얼마 전 일이다. 중학생쯤 되어 보이는 남학생이 길에서 우연히 어머니를 만난 광경을 보았다. 아들을 알아본 어머니는 일행에게 아들을 인사시켰고, 일행은 무척 반가워하며 학생에게 이름을 물었다. 그런데 뜻밖의 대답이 돌아왔다. “개인정보라서 알려줄 수 없습니다.” 꽤 진지하고 단호한 답변이었다. 당돌한 학생의 모습은 당황한 어머니의 모습과 겹치며 한동안 실소를 자아냈다. 

추측건대 학생은 최근 개인정보 보호교육을 받은 것 같다. 교육이 잘 된 것이라 해야 할지 난감하지만, 개인정보 보호에 대한 인식이 높아졌음을 보여주는 사례인 것은 분명하다. 유출된 개인정보가 명의도용·보이스피싱 범죄에 이용된다고 하니 문제의식을 크게 느낄 만도 하다. 「개인정보 보호법」(이하, ‘법’이라고만 한다)이 시행되면서 공공기관의 개인정보 관리에 비상이 걸렸다. 학교도 여러 개인정보를 보유·관리하기 때문에 주의가 필요하다. 법 위반 시에는 형사처분까지 받게 된다. 안타깝게도 학교의 법 위반 사례가 종종 발생하고 있다. 여러 사례를 통해 학교에서의 적법한 개인정보 관리방법에 관하여 알아본다.

공문처리 시 개인정보가 담겨 있지 않은지 꼭 확인하자
개인정보란 기본적으로 살아있는 개인을 알아볼 수 있는 정보를 말한다. 또한 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있다면 이 역시 개인정보에 해당한다. 예컨대 ‘수학여행 불참자(4명): 김○○, 허○○, 권○○, 지○○’이란 정보를 살펴보자. 이름이 가려져 있어 언뜻 개인정보가 아니라고 생각할 수 있지만, 만약 이번에 수학여행을 가는 학년이 2학년이고, 2학년에 해당 성(姓)씨를 가진 학생이 한 명뿐이라면 이러한 정보를 쉽게 조합하여 특정 개인을 알아볼 수 있으므로 개인정보에 해당한다. 그렇다면 열람제한 등의 비공개 조치를 해야 한다.

공문처리 시 개인정보가 담겨 있지 않은지 꼭 확인하여야 한다. 비공개 설정(열람제한 등)을 잊어버리거나, 공문 붙임파일에 개인정보가 담겨 있는 것을 꼼꼼히 확인하지 않아서 의도치 않게 개인정보가 유출되는 경우가 자주 발생하고 있기 때문이다. 

질병·장애 등 민감정보는 특별히 주의해야 한다.
학생·보호자 상담 중에 다른 학생의 개인정보를 누설하기 쉽다. 특히 학생의 병력(病歷)·장애와 같은 민감정보가 유출되면 문제가 크다. 어느 한 초등학교에서 보호자 상담 중에 발생한 일이다. 다른 학생(홍길동)의 행동에 문제가 많다는 보호자의 이야기에 교사는 홍길동에 대한 이해를 구하고자 “홍길동이 ADHD 증세가 있고, 그 보호자도 장애가 있는 등 관심과 배려가 필요한 학생”이라 말했다. 하지만 이러한 교사의 의도와는 달리 상담한 보호자가 홍길동의 보호자에게 이 같은 사실을 말했고, 교사는 큰 홍역을 치러야만 했다.

학생·교직원의 코로나19 확진 정보를 수집·보고할 때도 개인정보 보안에 특별히 신경 써야 한다. 최근 공공기관 내부직원의 확진자 정보 유출 사례가 사건화되었다. 이와 마찬가지로 교원이 확진된 학생·교직원의 개인정보가 담긴 학교의 문건(보고서 등)을 휴대전화로 촬영하여 가족·지인에게 전송한다면 법 위반으로 처벌될 수 있다.

개인정보는 수집 목적 외의 용도로 이용할 수 없다.
수집된 개인정보는 수집 목적 내에서만 이용해야 한다. 수집 목적 외로 개인정보를 이용하려면 이에 대한 정보주체1에게 별도로 동의를 받는 등의 요건(법 제18조 제2항)을 갖춰야 한다. 몇 년 전 수능시험 감독관으로 들어간 교사가 감독과정에서 알게 된 수험생의 연락처로 개인적인 메시지를 보내 법 위반으로 기소된 사건이 있었다. 제공받은 개인정보를 목적 외의 용도로 이용했기 때문이다.

다른 사안에서 교사가 담임으로서 알게 된 학부모들의 주소로 내용증명서를 발송하였다가 법 위반으로 유죄선고를 받았고, 아동학대 수사를 받던 교사가 학부모들에게 탄원서를 부탁하기 위해 문자메시지를 전송하였다가 유죄선고를 받기도 했다. 모두 정보주체의 동의 없이 개인정보를 수집 목적 외 용도로 이용했다는 점이 문제였다. 

개인정보는 수집 목적 범위 내에서만 제3자에게 제공할 수 있다.
최근 들어 학교폭력사안에서 회복적 분쟁 해결이 강조되고 있다.
보호자가 화해·조정·합의를 위해 상대방 보호자의 전화번호 등 개인정보를 요구하기도 한다. 그러나 보호자의 개인정보가 이러한 목적으로 수집된 것이 아니라면 원칙적으로 이를 다른 보호자에게 제공할 수 없다(학교폭력 피·가해학생 가족의 개인정보를 비밀로 규정하고 있는 「학교폭력예방 및 대책에 관한 법률」에 저촉될 소지도 있다). 개인정보를 수집된 목적 외로 제3자에게 제공하려면 정보주체의 동의를 받는 등의 요건(법 제18조 제2항)을 갖춰야 한다.

수사기관과의 관계에서도 ‘개인정보 보호’를 유념해야 한다. 
만약 교사를 폭행한 학생 또는 보호자가 있다고 하자. 이들을 수사기관에 고소·고발하면서 학교가 업무상 수집하고 있는 학생·보호자의 개인정보를 제출한다면 어떻게 될까? 수사기관에 제출한 것이므로 문제가 없는 것일까? 대법원은 수사기관에 개인정보를 제출한 행위 역시 개인정보 누설에 해당하여 법 위반으로 본다2. 고소·고발을 목적으로 수사기관에 제출하였다는 사정만으로 법 위반을 피하지 못한 것이다. 법원은 이 경우 법 제18조, 법 시행령 제15조 절차에 따라 수사기관이 학교로부터 개인정보를 받아야 한다고 한다.

■ 「개인정보 보호법」
제18조(개인정보의 목적 외 이용·제공 제한) ① (생략)
② ‌제1항에도 불구하고 개인정보처리자는 다음 각호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만 이용자의 개인정보를 처리하는 정보통신서비스 제공자의 경우 제1호·제2호의 경우로 한정하고, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다. 

1. 정보주체로부터 별도의 동의를 받은 경우
2. 다른 법률에 특별한 규정이 있는 경우
3. ‌정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우
4. 삭제
5. ‌개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우
6. (생략)
7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
8. 법원의 재판업무 수행을 위하여 필요한 경우
9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

법원이 이야기하는 적법 절차를 보다 자세히 알아보면 다음과 같다. 학교와 같은 공공기관은 범죄수사와 공소제기 유지를 위해 수사기관에서 요청하는 경우 정보주체의 동의 없이 개인정보를 제공할 수 있다(법 제18조 제2항 제7호). 단, ‘범죄수사와 공소 제기·유지에 필요한 경우’라는 제한된 범위 안에서 제공할 수 있다. 따라서 수사기관이 개인정보를 요청할 때는 관련 법령 및 요청 목적을 명확히 하고, 최소한의 범위로 요청해야 한다. 실무적으로 수사기관은 학교에 ‘수사협조 의뢰’라는 공문으로 자료제공을 요청한다. 그리고 요청 근거로는 보통 「형사소송법」 제199조와 「경찰관 직무집행법」 제8조 제1항 규정을 든다. 그런데 때론 수사기관이 요청하는 정보가 너무 광범위하여 범죄수사와는 무관한 개인정보까지 포함하고 있는 경우를 본다. 이때 범죄수사와 관련 없는 개인정보는 법을 이유로 제공하지 않을 수 있다. 수사기관이 근거로 삼은 위 규정들은 법 제18조 제2항 제2호에서 말하는 ‘다른 법률에 특별한 규정’에는 해당하지 않으므로3 법 제18조 제2항 제7호가 적용되어 범죄수사에 필요한 개인정보만 제공할 수 있기 때문이다.

사진·영상
개인을 알아볼 수 있는 사진·영상 역시 개인정보에 해당한다. 따라서 학교 운동회·수련회의 사진·영상 등을 학교홈페이지에 게시할 때는 학생의 동의를 받아야 한다(만 14세 미만이면 법정대리인의 동의를 받아야 한다). 업무상 수집한 학생의 얼굴이 담긴 사진·영상을 교사 개인 유튜브 채널에 누구나 볼 수 있도록 게시하는 것 또한 법 위반에 해당한다.

마치며
앞서 살펴보았듯이 업무상 처리되는 개인정보는 엄격히 관리되어야 한다. 이를 위해 법은 개인정보처리자4, 개인정보처리자로부터 개인정보를 제공받은 자, 업무(개인정보 처리업무)상 개인정보를 알게 된 자 등에 대한 의무와 책임을 규정하고 있다. 하지만 개인정보를 주는 자와 받는 자 모두 업무와 관계없는 경우까지 법이 규율하는 것은 아니다. 그러므로 사적영역에서의 개인정보 제공까지 법에 얽매일 것은 아니다. 어머니를 옆에 두고 어머니의 일행이 자신의 이름을 묻는다면 사회통념상 답하는 것이 적절해 보인다. 혹시 용돈이라도 받을지 모르는 일이다.