정당한 이익이란 무엇인가요?
동의와 달리 정당한 이익은 해당 개인이 그 처리에 적극적으로 동의할 것을 요구하지 않습니다. 다만 조직은 그 처리가 왜 적법하고 필요하며 비례적인지 정당화할 수 있어야 합니다.
이 분석을 문서화하기 위해 정당한 이익 평가(LIA)가 일반적으로 사용됩니다.
중요: 정당한 이익은 동의 요건을 일괄적으로 면제해 주는 것이 아닙니다. 특히 정당한 이익을 사용한다고 해서, 적용되는 ePrivacy 규칙이 동의를 요구하는 경우에 필수가 아닌 쿠키, 광고 트래커 또는 그 밖의 기술이 자동으로 허용되는 것은 아닙니다.
쉽게 설명하는 정당한 이익
정당한 이익이란 조직에 개인정보를 이용할 진정하고 적법한 이유가 있고, 그 목적을 달성하는 데 처리가 필요하며, 해당 개인의 프라이버시 이익이 조직의 이익에 우선하지 않는 것을 말합니다.
예를 들어 조직은 다음과 같은 사항에 정당한 이익을 가질 수 있습니다.
- 사기 방지
- 네트워크 및 정보 보안 보호
- 남용 탐지
- 기존 고객 관계 유지
- 일정한 형태의 직접 마케팅
- 채권 회수
- 법적 청구권 보호
- 내부 업무 운영 개선
- 서비스 오용 방지
정당한 이익이 적용되는지는 구체적인 상황에 따라 달라집니다.
어떤 활동이 상업적으로 유용하다는 사실만으로 그것이 자동으로 정당한 이익이 되는 것은 아닙니다.
정당한 이익은 GDPR에 따른 적법 근거인가요?
네.
GDPR 제6조 제1항 (f)는 정당한 이익을 개인정보 처리의 적법 근거 중 하나로 인정합니다.
다음의 경우에 적용됩니다.
- 조직 또는 제3자에게 정당한 이익이 있습니다.
- 그 이익을 위해 해당 개인정보의 처리가 필요합니다.
- 해당 개인의 이익, 권리 또는 자유가 그 정당한 이익에 우선하지 않습니다.
이 요건들은 중첩적으로 적용됩니다. 세 가지 모두 충족되어야 합니다.
3단계 정당한 이익 심사
정당한 이익의 핵심은 3단계 평가입니다.
목적 심사
먼저 정당한 이익을 특정합니다.
질문:
- 우리는 무엇을 달성하려고 하나요?
- 그 처리로 누가 이익을 얻나요?
- 그 이익은 적법한가요?
- 그 이익이 명확하게 정의되어 있나요?
- 진정하고 현존하는 이익이 있나요?
가능한 이익에는 상업적 이익, 개인의 이익, 운영상 이익, 보안상 이익 또는 보다 넓은 사회적 이익이 포함될 수 있습니다.
그 이익은 “업무상 목적”과 같은 모호한 표현으로 기술하기보다 명확하게 제시되어야 합니다.
필요성 심사
다음으로, 그 이익을 달성하는 데 개인정보 처리가 실제로 필요한지 판단합니다.
질문:
- 제안된 처리가 특정된 목표를 달성하는 데 도움이 되나요?
- 그 처리가 합리적으로 필요한가요?
- 같은 목표를 다른 방법으로 달성할 수 있나요?
- 덜 침해적인 방법이 있나요?
동일하게 효과적이면서 프라이버시를 덜 침해하는 방법을 합리적으로 이용할 수 있다면, 정당한 이익은 적절한 근거가 되지 않을 수 있습니다.
따라서 필요성 심사는 단순히 처리가 편리하다는 것을 뜻하지 않습니다.
이익형량 심사
마지막으로, 조직의 정당한 이익과 해당 개인의 이익, 권리, 자유를 형량합니다.
고려 사항:
- 어떤 개인정보가 처리되나요?
- 그 정보는 얼마나 민감한가요?
- 개인에게 미칠 수 있는 영향은 무엇인가요?
- 개인이 그 처리를 합리적으로 예상할 수 있나요?
- 조직의 이익은 얼마나 강한가요?
- 그 처리는 침해적인가요?
- 아동이나 취약한 개인이 관련되어 있나요?
- 어떤 보호 조치가 그 영향을 줄일 수 있나요?
해당 개인의 이익, 권리 또는 자유가 조직의 정당한 이익에 우선한다면, 그 처리에 대해 제6조 제1항 (f)를 근거로 삼을 수 없습니다.
정당한 이익 평가(LIA)란 무엇인가요?
정당한 이익 평가(LIA)는 특정 처리 활동에 대해 정당한 이익이 적절한 적법 근거인지 판단하기 위해 사용하는 문서화된 평가입니다.
좋은 LIA라면 일반적으로 다음을 문서화해야 합니다.
- 처리의 목적
- 추구하는 정당한 이익
- 이익을 얻는 당사자
- 관련된 개인정보
- 처리가 필요한 이유
- 검토한 대체 방법
- 개인에게 미칠 수 있는 영향
- 개인의 합리적 기대
- 관련 보호 조치
- 이익형량의 결론
- 그 처리에 부과되는 조건이나 제한
이 평가는 해당 처리에 정당한 이익을 근거로 삼기 전에 수행되어야 합니다.
ICO는 LIA를 제안된 처리의 구체적인 상황에 기반한 간이 위험 평가로 설명하며, 그 결과를 문서화할 것을 권고합니다.
정당한 이익이 동의를 대체할 수 있나요?
일반적으로는 아닙니다.
정당한 이익은 특정 처리 활동에 대해 GDPR상 대체적인 적법 근거가 될 수 있는 경우도 있지만, 다른 법적 요건을 무효화하지는 않습니다.
이 구분은 웹사이트에서 특히 중요합니다.
예를 들어 조직은 웹사이트 보안을 유지하는 데 정당한 이익을 가질 수 있습니다. 그렇다고 해서 모든 분석 쿠키나 광고 쿠키를 동의 없이 설치할 수 있다는 뜻이 자동으로 되는 것은 아닙니다.
쿠키 및 전자통신 규칙은 GDPR 적법 근거 분석을 넘어서는 추가 요건을 부과할 수 있습니다.
따라서 다음과 같습니다.
GDPR 적법 근거 ≠ 쿠키나 추적 기술을 설치할 수 있는 자동적인 허용.
이는 프라이버시 담당 팀이 이해해야 할 가장 중요한 구분 중 하나입니다.
정당한 이익과 쿠키
정당한 이익을 필수가 아닌 쿠키에 대한 포괄적인 정당화 근거로 사용해서는 안 됩니다.
예를 들어 적용되는 쿠키/ePrivacy 규칙이 사전 동의를 요구하는 경우, 웹사이트는 광고 트래커에 “정당한 이익”이라는 이름표를 붙이는 것만으로 그 트래커가 동의 전에 로드될 수 있다고 가정할 수 없습니다.
적절한 분석이라면 다음을 각각 별도로 고려해야 합니다.
- 해당 개인정보 처리에 유효한 GDPR 적법 근거가 있는지.
- 정보를 수집하거나 그에 접근하기 위해 사용하는 기술이 추가적인 쿠키/ePrivacy 요건의 적용을 받는지.
- 그 기술이 작동하기 전에 동의가 필요한지.
- 그 처리가 해당 개인의 기대 및 권리와 부합하는지.
이 구분은 조직이 GDPR 적법 근거와 쿠키 저장·접근 요건을 혼동하지 않도록 해 줍니다.
정당한 이익과 분석
분석에는 서로 다른 여러 처리 활동이 포함될 수 있습니다.
조직은 모든 분석을 자동으로 정당한 이익으로 분류해서는 안 됩니다.
다음을 고려하세요.
- 어떤 정보가 수집되나요?
- 그 데이터는 집계된 것인가요, 식별 가능한 것인가요?
- 지속적 식별자가 사용되나요?
- 정보가 제3자와 공유되나요?
- 사이트 간 추적이 포함되나요?
- 프로파일링이 수행되나요?
- 이용자는 어떤 기대를 갖고 있나요?
- 쿠키나 유사 기술이 관련되나요?
- 덜 침해적인 다른 분석 방법을 이용할 수 있나요?
영향이 적은 내부 분석 활동은 웹사이트와 서비스 전반에 걸친 행태 추적과 법적 분석이 달라질 수 있습니다.
따라서 적법 근거는 실제 구현 방식을 기준으로 평가해야 합니다.
정당한 이익과 사기 방지
사기 방지는 정당한 이익으로 흔히 고려되는 사항입니다.
조직은 다음을 탐지하는 데 강한 이익을 가질 수 있습니다.
- 계정 탈취
- 결제 사기
- 허위 계정
- 인증정보 남용
- 자동화된 공격
- 의심스러운 거래
- 서비스 오용
다만 조직이 이를 보안 관련 활동이라고 설명한다는 이유만으로 사기 방지가 자동으로 적법해지는 것은 아닙니다.
조직은 여전히 필요성, 비례성, 영향, 합리적 기대, 적용되는 보호 조치를 평가해야 합니다.
정당한 이익과 직접 마케팅
직접 마케팅은 GDPR/UK GDPR에서 정당한 이익에 근거할 수 있는 경우도 있지만, 이를 위해서는 맥락에 맞는 분석이 필요하며 추가적인 전자 마케팅 규칙의 적용을 받을 수 있습니다.
ICO는 적용되는 전자통신 규칙이 동의를 요구하지 않는 경우, 처리가 비례적이고 프라이버시에 미치는 영향이 미미하며 예상 밖이거나 부당한 반대를 불러일으킬 가능성이 없다면 직접 마케팅에 정당한 이익을 적용할 수 있다고 설명합니다.
이 때문에 기업은 다음과 같은 말을
“우리는 마케팅에 정당한 이익이 있습니다”
그 자체만으로 충분한 정당화 근거로 취급해서는 안 됩니다.
다음을 각각 별도로 고려해야 합니다.
- 관계의 성격
- 기존 고객 여부
- 개인이 합리적으로 기대하는 바
- 마케팅의 유형
- 커뮤니케이션 채널
- 적용되는 ePrivacy/직접 마케팅 규칙
- 해당 개인의 반대할 권리
정당한 이익과 프로파일링
프로파일링도 정당한 이익에 근거할 수 있는 경우가 있지만, 개인에게 미치는 영향이 커질수록 그 분석은 더욱 중요해집니다.
다음을 고려하세요.
- 어떤 정보가 사용되나요?
- 어떤 특성이 추론되나요?
- 그 프로파일링이 광고에 사용되나요?
- 제품이나 서비스에 대한 접근에 영향을 미치나요?
- 개인에게 중대한 영향이 있나요?
- 사람들이 그 프로파일링을 합리적으로 예상할 수 있나요?
- 반대할 수 있나요?
- 어떤 보호 조치를 이용할 수 있나요?
정당한 이익 평가는 프로파일링을 일반적인 처리로 취급하기보다 그 프로파일링의 실제 결과를 반영해야 합니다.
정당한 이익과 정보주체의 권리
처리가 정당한 이익에 근거하는 경우에도 개인은 중요한 권리를 계속 보유합니다.
GDPR에서 개인은 자신의 특수한 상황과 관련된 사유를 들어 제6조 제1항 (e) 또는 제6조 제1항 (f)에 근거한 처리에 반대할 수 있습니다.
직접 마케팅에 대한 반대인 경우 반대할 권리는 더 강하며, 해당 개인정보는 더 이상 직접 마케팅 목적으로 처리되어서는 안 됩니다.
따라서 정당한 이익에 근거하는 조직은 다음을 위한 절차를 갖추어야 합니다.
- 반대 접수
- 반대 검토
- 반대 기록
- 처리 설정 갱신
- 필요한 경우 처리 중단
- 허용되는 경우 처리를 계속할 적법한 사유의 문서화
정당한 이익과 아동
아동에 대해서는 특별한 주의가 필요합니다.
GDPR 제6조 제1항 (f)에서 정보주체의 권리와 자유는, 특히 그 정보주체가 아동인 경우에 정당한 이익 분석과 명시적으로 관련됩니다.
따라서 아동이 관련된 처리에는 더 강한 보호 조치와 보다 신중한 이익형량 평가가 필요할 수 있습니다.
조직은 성인에게 허용되는 정당한 이익이 아동에게도 자동으로 적절하게 유지된다고 가정해서는 안 됩니다.
정당한 이익과 민감정보
제6조 제1항 (f)에 따른 정당한 이익만으로는 GDPR상 특별 범주 정보를 처리하기에 충분하지 않습니다.
특별 범주 정보가 관련된 경우, 조직에는 일반적으로 다음이 필요합니다.
- 제6조에 따른 적법 근거, 그리고
- 제9조에 따른 적용 가능한 조건.
따라서 그 분석에는 추가적인 법적 보호 조치가 요구될 수 있습니다.
마찬가지로 범죄 경력 정보에는 추가 요건이 적용됩니다.
정당한 이익과 계약 비교
정당한 이익과 계약 이행을 위한 필요는 서로 다른 적법 근거입니다.
계약 이행을 위한 필요
해당 개인과의 계약을 이행하거나 계약 체결 전에 그 개인의 요청에 따라 조치를 취하기 위해 처리가 필요한 경우입니다.
정당한 이익
3단계 이익형량 심사를 전제로, 정당한 이익을 위해 처리가 필요한 경우입니다.
조직은 단지 그 처리가 사업에 유용하다는 이유만으로 계약을 근거로 삼아서는 안 됩니다.
마찬가지로 계약 이행을 위한 필요가 더 적절한 근거인 경우에는 정당한 이익을 사용해서는 안 됩니다.
적법 근거는 그 처리의 실제 목적과 필요성을 반영해야 합니다.
정당한 이익과 법적 의무 비교
법적 의무는 조직에 부과된 법적 요건을 준수하기 위해 처리가 필요한 경우에 적용됩니다.
정당한 이익은 이와 다릅니다.
예를 들면 다음과 같습니다.
법적 의무:
적용 법령이 요구하는 처리입니다.
정당한 이익:
이익형량 심사를 통과하는 정당한 사업상·보안상·운영상 이익 또는 제3자의 이익을 위해 필요한 처리입니다.
올바른 적법 근거를 선택하는 것은 그에 따라 관련 권리와 준수 요건이 달라질 수 있기 때문에 중요합니다.
정당한 이익과 개인정보 처리방침
정당한 이익에 근거하는 경우, 조직은 자신의 프라이버시 정보에서 관련 정당한 이익을 설명해야 합니다.
개인정보 처리방침에 다음과 같이만 기재해서는 안 됩니다.
“당사는 정당한 이익에 근거하여 귀하의 정보를 처리합니다.”
추구하는 정당한 이익에 관한 의미 있는 정보를 제공해야 합니다.
이는 개인이 다음을 이해하는 데 도움이 됩니다.
- 자신의 데이터가 왜 처리되는지
- 조직이 무엇을 달성하려 하는지
- 그 처리가 자신에게 어떤 영향을 미치는지
- 자신에게 어떤 권리가 있는지
- 어떻게 반대할 수 있는지
EDPB의 지침은 제6조 제1항 (f)에 근거하는 컨트롤러가 추구하는 정당한 이익을 정보주체에게 알려야 한다고 밝히고 있습니다.
DPDPA에서의 정당한 이익
인도의 Digital Personal Data Protection Act, 2023(DPDP Act)은 GDPR과 다른 구조를 사용합니다.
이 법은 다음에 근거하여 적법한 목적을 위해 개인정보를 처리할 수 있다고 규정합니다.
- 동의, 또는
- 일정한 적법한 이용.
제7조는 이러한 “일정한 적법한 이용”을 정의하고, Data Fiduciary가 개인정보를 처리할 수 있는 구체적인 상황을 열거합니다.
이는 중요한 구분입니다.
제6조 제1항 (f)에 따른 GDPR의 정당한 이익 개념을 인도 DPDPA 준수 체계에 그대로 옮겨 적용해서는 안 됩니다.
대신 다음과 같습니다.
GDPR:
정당한 이익은 제6조 제1항 (f)에 따른 구체적인 적법 근거입니다.
DPDPA:
“일정한 적법한 이용”은 제7조에 따른 구체적인 법정 근거입니다.
ConsentX는 인도 중심 콘텐츠 전반에서 이 구분을 유지해야 합니다.
DPDPA상 일정한 적법한 이용의 예시
제7조에는 Data Principal이 자발적으로 데이터를 제공하고 동의하지 않는다는 의사를 표시하지 않은 특정된 목적을 위해 개인정보를 처리하는 경우와 같은 구체적인 상황이 포함됩니다.
이 법은 또한 다음과 같은 영역과 관련된 그 밖의 적법한 이용 유형도 규정합니다.
- 국가의 급부 및 서비스
- 국가의 기능
- 법적 의무와 공개
- 의료 응급 상황
- 일정한 고용 관련 목적
- 특정된 상황에서 공개적으로 이용 가능한 개인정보
구체적인 요건은 적용되는 조항과 상황에 따라 달라집니다.
따라서 ConsentX는 DPDPA가 단순히 GDPR식 “정당한 이익” 적법 근거를 두고 있다고 설명하는 것을 피해야 합니다.
이 구분은 유럽과 인도 양쪽에서 사업을 운영하는 조직에 특히 중요합니다.
정당한 이익과 동의 관리 플랫폼
동의 관리 플랫폼(CMP)은 주로 동의와 설정 신호를 관리합니다.
CMP가 조직이 정당한 이익에 근거할 수 있는지를 자동으로 판단해 주지는 않습니다.
CMP는 다음에 도움이 될 수 있습니다.
- 동의 기록
- 거부 기록
- 설정 변경 관리
- 동의 선택의 집행
- 프라이버시 선택지 제시
- 감사 증적 지원
다만 조직은 자신의 적법 근거 분석을 별도로 문서화해야 합니다.
정당한 이익의 경우, 여기에는 관련 프라이버시 및 처리 기록과 함께 LIA를 유지하는 것이 포함될 수 있습니다.
정당한 이익은 기록해야 하나요?
네.
문서화된 LIA는 왜 정당한 이익을 선택했는지, 그리고 조직이 그 처리를 어떻게 평가했는지 입증하는 데 도움이 됩니다.
그 기록은 서로 무관한 처리 활동에 그대로 복사해 쓰는 범용 템플릿이어서는 안 됩니다.
유용한 LIA라면 다음에 맞추어 구체적이어야 합니다.
- 처리 목적
- 관련된 데이터
- 영향을 받는 사람
- 사용되는 기술
- 예상되는 영향
- 적용되는 보호 조치
- 결론
ICO는 3단계 평가의 결과를 문서화하고, 이를 처리가 시작되기 전에 수행할 것을 권고합니다.
정당한 이익 평가 체크리스트
정당한 이익에 근거하기 전에 다음을 확인하세요.
목적
- 우리는 어떤 정당한 이익을 추구하고 있나요?
- 그 이익은 적법하고 명확하게 정의되어 있나요?
- 누가 이익을 얻나요?
필요성
- 개인정보 처리가 실제로 필요한가요?
- 그 처리가 목적 달성에 실질적으로 기여하나요?
- 덜 침해적인 대안이 있나요?
이익형량
- 그 처리는 어떤 영향을 미치나요?
- 개인은 무엇을 합리적으로 기대할까요?
- 그 데이터는 민감하거나 사적인 것인가요?
- 그 처리가 피해를 초래할 수 있나요?
- 아동이 관련되어 있나요?
- 개인의 권리가 조직의 이익에 우선하나요?
보호 조치
- 데이터를 최소화할 수 있나요?
- 보관 기간을 줄일 수 있나요?
- 정보를 가명처리할 수 있나요?
- 접근을 제한할 수 있나요?
- 프로파일링의 범위를 줄일 수 있나요?
- 개인에게 의미 있는 통제 수단을 제공할 수 있나요?
책임성
- LIA가 문서화되었나요?
- 개인정보 처리방침이 갱신되었나요?
- 정당한 이익이 명확하게 기술되어 있나요?
- 반대를 처리하는 절차가 있나요?
- 조직이 왜 그 적법 근거를 선택했는지 입증할 수 있나요?
흔한 정당한 이익 실수
정당한 이익을 “동의가 필요 없다”는 뜻으로 여기기
정당한 이익은 GDPR상 적법 근거가 될 수 있지만, 다른 법령이 특정 기술이나 커뮤니케이션에 대해 여전히 동의를 요구할 수 있습니다.
LIA 생략하기
개인정보 처리방침에 “정당한 이익”이라고 적는 것만으로는 3단계 심사를 수행한 것과 같지 않습니다.
범용 LIA 사용하기
정당한 이익 평가는 실제 처리와 그 맥락을 반영해야 합니다.
합리적 기대 무시하기
사람들이 그 처리를 합리적으로 예상할 수 있는지는 이익형량 과정에서 중요한 부분입니다.
덜 침해적인 대안 무시하기
같은 목표를 더 적은 개인정보 처리로 합리적으로 달성할 수 있다면 필요성이 인정되지 않을 수 있습니다.
상업적 이익을 충분한 근거로 여기기
사업상 이익이 자동으로 개인의 권리와 자유에 우선하지는 않습니다.
쿠키 동의를 우회하기 위해 정당한 이익 사용하기
GDPR 적법 근거가 자동으로 적용되는 쿠키나 ePrivacy 요건에 우선하지는 않습니다.
GDPR의 정당한 이익과 DPDPA의 적법한 이용을 동일하게 여기기
두 체계는 서로 다른 법적 구조를 사용하므로 별도로 분석해야 합니다.
정당한 이익과 ConsentX
ConsentX는 조직이 여러 프라이버시 체계 전반에서 동의, 프라이버시 설정, 동의 기록, 감사 증적을 관리하도록 돕습니다.
정당한 이익 업무 흐름의 경우, ConsentX는 조직이 다음을 구분하도록 도와 동의 관리를 보완할 수 있습니다.
- 동의가 필요한 처리
- 다른 적법 근거에 기반한 처리
- 동의 설정
- 반대와 설정 변경
- 동의 증적
- 프라이버시 준수 문서
이 구분은 분석, 광고, 개인화, 그 밖의 서드파티 기술을 사용하는 웹사이트에서 특히 중요합니다.
ConsentX가 어떤 처리 활동이 정당한 이익에 해당하는지 자동으로 결정하는 것으로 제시되어서는 안 됩니다. 적법 근거를 판단하고 문서화할 책임은 여전히 조직에 있습니다.
정당한 이익: 핵심 요약
- 정당한 이익은 제6조 제1항 (f)에 따른 GDPR 및 UK GDPR의 적법 근거입니다.
- 여기에는 목적, 필요성, 이익형량이라는 3단계 평가가 필요합니다.
- 정당한 이익 평가(LIA)는 일반적으로 처리가 시작되기 전에 문서화되어야 합니다.
- 정당한 이익은 적극적인 동의를 요구하지는 않지만, 책임성과 개인의 권리 보호를 요구합니다.
- 개인은 해당하는 상황에서 정당한 이익에 근거한 처리에 반대할 권리가 있습니다.
- 직접 마케팅에는 적용되는 전자 마케팅 규칙에 대한 추가적인 고려가 필요합니다.
- 정당한 이익이 자동으로 필수가 아닌 쿠키나 추적 기술을 허용하지는 않습니다.
- 특별 범주 정보와 범죄 경력 정보에는 추가 요건이 적용됩니다.
- 인도 DPDPA에서 제7조에 따른 일정한 적법한 이용은 GDPR 제6조 제1항 (f)와 구별됩니다.
- CMP는 동의와 설정을 관리할 뿐, 그 자체로 정당한 이익이 적용된다는 사실을 입증하지는 않습니다.
- 견고한 프라이버시 프로그램은 하나의 적법 근거가 모든 경우에 적합하다고 여기기보다 각 처리 활동의 적법 근거를 문서화합니다.