여행사는 항공권을 예약하거나 비자 발급을 대행하면서 고객에게 여권정보를 받아요. 업무상 고객 정보를 처리하는 개인사업자도 개인정보 처리방침 작성·공개 대상입니다. 고객에게 동의를 받는 절차와 별도로, 정보를 어떻게 처리하는지 공개해야 해요.
처리방침과 동의서
개인정보 처리방침은 고객 정보의 수집부터 이용·제공·파기까지 어떻게 처리하는지 공개하는 문서입니다. 처리 목적과 보유기간, 외부 업체에 제공하는 내용, 개인정보 관련 문의를 받는 연락처 등을 기재해야 해요.
동의서는 동의가 필요한 개인정보 처리에 대해 고객에게 허락을 받는 문서입니다. 처리방침에 여권정보를 수집한다고 적는 것만으로 고객 동의를 대신하지는 못해요.
여권번호는 고유식별정보입니다. 법령에서 처리를 구체적으로 요구하거나 허용하는 경우가 아니라면, 다른 개인정보 처리에 대한 동의와 구분해 별도 동의를 받아야 해요. 항공사에 적용되는 출입국 관련 정보 제출 의무와 여행사가 고객 정보를 수집하는 근거는 별개입니다.
수집 목적과 항목
처리방침에는 실제로 받는 정보와 사용하는 목적을 연결해 적어야 해요. 항공권 예약·발권, 숙박 예약, 비자 발급 대행처럼 업무를 나누고, 각 업무에서 처리하는 항목을 기재해야 해요.
여권 사본에는 사진, 여권번호, 영문 이름 등 여러 정보가 담겨 있습니다. 필요한 항목만 입력받을 때보다 사본 전체를 받을 때 수집 범위가 넓어지죠. 개인정보는 목적에 필요한 최소한의 범위에서 수집해야 해요. 최소한의 정보만 수집했다는 점은 여행사가 입증해야 해요.
필요한 최소한의 정보 외의 수집을 거부했다는 이유로 상품이나 서비스 제공을 거부해서는 안 됩니다. 예약에 필요한 정보와 추가로 받는 선택정보를 구분할 때 적용되는 규정이에요.
제3자 제공
항공사나 호텔, 현지 여행사가 전달받은 정보를 자신의 서비스 제공에 사용하는 경우에는 제3자 제공에 해당해요. 처리방침에는 다음 내용을 기재해야 해요.
- 제공받는 업체
- 이용 목적
- 제공하는 개인정보 항목
- 보유·이용기간
고객 동의를 근거로 제공할 때는 동의를 거부할 권리와 거부에 따른 불이익도 미리 알려야 합니다. 동의 없이 제공할 법적 근거가 있는 경우와 동의를 받아 제공하는 경우를 구분해야 해요. 동의를 받아 제공하는 업체나 항목 등을 변경할 때에는 변경 내용을 알리고 다시 동의를 받아야 해요.
업무위탁
외부 업체가 여행사를 대신해 개인정보 처리업무를 수행하는 것은 업무위탁입니다. 문자발송이나 예약시스템 관리 등을 맡기는 경우가 여기에 해당해요.
위탁이 있는 여행사는 위탁받는 업체와 맡긴 업무를 고객이 쉽게 확인하도록 공개해야 합니다. 위탁할 때는 개인정보 보호에 관한 내용을 담은 문서가 필요하고, 여행사는 업체가 개인정보를 안전하게 처리하는지 교육·감독해야 해요. 처리방침에 업체명만 넣는 것으로 위탁업무 관리가 끝나는 것은 아니에요.
국외 이전
개인정보의 국외 이전에는 해외 업체에 정보를 제공하는 것뿐 아니라 처리를 맡기거나 해외에 보관하는 것도 포함됩니다. 예약시스템과 클라우드 서비스를 이용한다면 실제 정보가 처리·보관되는 국가도 처리방침에 반영해야 해요.
국외 이전 항목에는 적용 근거와 함께 다음 내용을 기재해야 합니다.
- 이전되는 개인정보 항목
- 이전 국가와 시기·방법
- 정보를 받는 업체의 명칭과 연락처
- 이용 목적과 보유·이용기간
- 이전 거부 방법·절차와 거부에 따른 영향
고객과 계약을 맺거나 이행하는 데 국외 처리위탁·보관이 필요한 경우, 법에서 정한 사항을 처리방침에 공개하거나 정해진 방법으로 고객에게 알리면 국외 이전에 관한 별도 동의 없이 이전할 수 있어요. 해외 업체에게 제3자로 정보를 제공하는 경우에는 해당되지 않습니다.
보유기간과 파기
보유기간이 지났거나 처리 목적을 달성해 개인정보가 불필요해지면 지체 없이 파기해야 합니다. 다른 법령에 따라 보존해야 하는 정보는 정해진 기간 동안 다른 개인정보와 분리해 저장·관리해야 해요.
법령상 보존이 필요한 정보는 처리방침에 보존 근거와 대상 정보, 기간을 기재해야 합니다. 계약·결제기록을 보관할 의무가 있다는 이유만으로 여권 사본 전체를 같은 기간 보관해서는 안 돼요. 사본을 계속 보관하려면 그에 맞는 처리 근거와 보유기간이 필요해요.
파기할 때는 복구하거나 재생하지 못하도록 조치해야 합니다. 전자파일은 복구되지 않도록 삭제하고, 종이 문서는 분쇄하거나 소각하는 등의 방법을 적용해요. 이메일 첨부파일과 메신저로 받은 사본도 파기 대상에서 빠지지 않아야 해요.
보관·전달 방법
고유식별정보를 처리할 때는 암호화 등 안전성 확보에 필요한 조치를 해야 합니다. 처리방침에는 실제로 시행하는 보호조치를 기재해야 해요.
직원별 접근권한 관리, 개인정보가 담긴 파일 보호, 종이 서류의 잠금 보관 등이 해당하는 조치입니다. 운영하지 않는 보안시스템을 다른 업체의 문서에서 가져와 적으면 실제 처리 현황과 달라져요.
고객 문의 창구
고객이 자신의 정보를 열람하거나 정정·삭제를 요청할 때 이용할 방법도 공개해야 합니다. 문의를 받는 전화나 이메일, 방문 접수 장소 등 실제로 운영하는 경로를 기재해야 해요.
개인정보 보호책임자의 성명 또는 개인정보 보호업무와 고충사항을 처리하는 부서의 명칭·연락처도 공개 대상입니다. 사용하지 않는 이메일이나 다른 회사의 담당 부서가 문서에 남아 있으면 고객 요청을 접수하기 어려워요.
표준안 내려받기
개인정보보호위원회에서 제공하는 「여행업 개인정보 처리방침 표준(안)」에는 작성지침과 항목별 예시, 전문형·간이형 문서가 들어 있어요. 여행사에서 자주 처리하는 정보를 바탕으로 각 회사에 맞게 수정해 사용하는 자료입니다.
파일은 다음 경로에서 내려받을 수 있어요.
- 개인정보보호위원회 누리집 접속
- 정책·법령의 법령정보에서 안내서 선택
- 개인정보 처리방침 표준안 게시글 선택
- 첨부파일 중 여행업 개인정보 처리방침 표준안 PDF 다운로드
표준안에 적힌 회사명과 업체명, 처리 항목, 보유기간은 작성 예시입니다. 실제 계약한 업체와 사용하는 시스템에 맞춰 수정해야 해요. 예시에 없는 업무를 수행한다면 그 업무에서 처리하는 정보도 추가해야 해요.
공개와 변경 관리
작성하거나 변경한 처리방침은 고객이 쉽게 확인하도록 공개해야 합니다. 홈페이지에는 지속적으로 게재해야 해요.
홈페이지에 게재할 수 없는 경우에는 법에서 정한 다른 공개방법을 사용해야 합니다. 사업장의 보기 쉬운 장소에 게시하거나 고객에게 발급하는 계약서 등에 싣는 방법이 있어요. 홈페이지가 없더라도 내부 보관만으로 공개를 대신하지는 못해요.
수집 항목이나 외부 업체, 보유기간이 바뀌면 처리방침에도 변경 내용을 반영해야 합니다. 적용 시점과 이전 문서를 함께 관리하면 고객 정보를 처리했던 당시의 내용을 확인할 자료가 남아요.
정보를 맡긴다는 것
고객은 여행을 준비하며 자신의 신원을 담은 서류를 여행사에 맡깁니다. 여행을 맡긴 신뢰가 개인정보를 다루는 일에서도 이어지면 좋을 것 같아요.