회원 병력·체형 사진 보관 기준, 개인정보 보호법 민감정보 조항으로 확인해요

저녁 수업 끝나고 휴대폰 사진첩을 넘기다가 손이 멈췄어요. 개인레슨 회원 체형 사진이 가족사진이랑 셀카 사이에 섞여 있었거든요. 상담지에 적힌 디스크 이력은 카톡으로 원장님께 보낸 채 그대로였고요. 회원을 잘 보려고 남긴 기록이 맞는데, 이런 정보는 법이 특별히 조심하라고 정해 둔 종류라는 게 그제야 떠올랐어요. 그날 개인정보 보호법 원문을 찾아 읽었어요.

건강 정보는 법에서 '민감정보'로 따로 묶여 있어요

개인정보 보호법 제23조 제1항은 사상·신념, 정당 가입, 정치적 견해, 건강, 성생활 등에 관한 정보를 민감정보로 정하고, 원칙적으로 처리하지 못하게 해요. 예외는 두 가지예요.

1. 정보주체에게 필요한 사항을 알리고 다른 개인정보 처리 동의와 별도로 동의를 받은 경우
2. 법령에서 처리를 요구하거나 허용하는 경우

수업 전에 묻는 병력, 수술 이력, 통증 부위, 임신 여부는 모두 건강에 관한 정보예요. 체형 사진도 건강 상태를 판단하는 데 쓴다면 같은 무게로 다루는 게 안전해요.

동의서는 가입 동의서와 따로 받아요

가입 동의서에 한 줄 넣으면 될 줄 알았는데, 제23조는 '별도로'라고 정해 두었어요. 일반 회원 가입 동의서와 한 칸에 섞지 않고 서명을 따로 받아요. 동의서에는 이런 내용이 들어가요.

보관은 다른 사람이 못 보는 곳에 해요

제23조 제2항은 민감정보를 처리할 때 분실·도난·유출 등이 없도록 안전성 확보 조치를 하라고 해요.

• 체형 사진을 개인 사진첩이 아닌 잠금이 걸린 별도 폴더나 앱에 두기
• 카톡 단체방이나 개인 채팅으로 건강정보 보내지 않기
• 휴대폰 잠금, 클라우드 계정 비밀번호 확인하기
• 센터 기기에 남긴 기록은 접근할 수 있는 사람 확인하기

필요 없어진 정보는 늦추지 않고 지워요

제21조는 보유기간이 지나거나 처리 목적을 달성해 개인정보가 필요 없어지면 지체 없이 파기하라고 해요. 다시 살려 낼 수 없게 지워야 하고요.

• 동의서에 적은 보관 기간이 끝난 회원 목록 만들기(분기마다)
• 사진첩 '최근 삭제' 폴더와 클라우드 휴지통까지 비우기
• 지운 날짜를 회원 기록에 적어 두기

센터 소속이냐 프리랜서냐에 따라 먼저 볼 기준이 달라요

센터 소속으로 센터 양식에 기록한다면 센터 관리 기준을 먼저 따르면 돼요. 여러 센터를 다니며 내 휴대폰에 기록하는 프리랜서라면, 내 기록 방식부터 위 기준에 맞춰 봐야 해요. 누가 어디까지 책임지는지 애매하면 개인정보보호위원회 안내를 보세요.

그날 저는 회원 체형 사진만 골라 잠금 폴더로 옮기는 데 10분쯤 썼어요. 진도 기록에 건강 정보를 어떤 말로 적는지는 회원별 진도 기록법에, 첫 회 관찰 기록을 나눠 적는 법은 개인레슨 첫 회 시퀀스에 있어요.