학교는 교직원과 학생들이 소속되어 일상적으로 생활하는 공간이다. 또 학생들은 미성년자이므로 보호자들의 연락처와 인적 사항도 필요하다. 그렇기에 학교는 매우 많은 사람의 개인정보가 취급될 수밖에 없다. 이러한 이유로 경찰·법원 등을 비롯한 각종 기관으로부터 학교에 소속된 학생이나 교직원 등의 개인정보 등을 요구받는 일이 흔하다.

그럴 때마다 요청된 개인정보를 제공하는 것이 맞는지, 제공을 위해 당사자들의 동의를 받아야 하는지, 지켜야 할 절차는 무엇인지 등에 대해 많이들 궁금해한다. 관련된 규정부터 사례까지 차근차근 살펴보도록 하자.

강제는 아니더라도 협조 권장
개인정보를 제공하는 기관이 어디인지, 형식이 어떤지에 따라 제공이 의무인지에 차이가 있다. 이중 학교로 개인정보를 요청하는 가장 대표적인 기관인 경찰과 법원을 예로 보자.

경찰은 수사에 관한 조사를 할 수 있고, 공무소 기타 공사단체에 조회하여 필요한 사항의 보고를 요구할 권한이 있다(「형사소송법」 제199조). 그러나 요구받은 기관에 제출 의무는 없어 학교가 자료를 제공하지 않더라도 특별한 불이익은 없다. 다만 경찰은 신고된 사람의 인적 사항을 알 수 있는 다른 방법이 없거나 혹은 수사를 위해 중요한 자료라면 법원을 통한 압수·수색 영장 등을 발부받아 강제로 집행할 수 있다.

법원을 통해 사실조회(「민사소송법」 제294조)나 문서송부촉탁(「민사소송법」 제352조)이 있는 경우도 많다. 이때 학교가 법원으로 요청된 정보나 자료 등을 제공하지 않더라도 이에 대한 직접적인 불이익은 없다. 다만 중요한 사실에 대한 부분이라면 법원이 교직원을 증인으로 출석하게 할 수 있고, 이때 정당한 사유 없이 출석하지 않는다면 과태료가 부과될 수 있다. 사실조회나 문서송부촉탁 외에 문서제출명령(「민사소송법」 제344조)도 있고, 여기에는 제출 의무가 있다. 그러나 학교가 소송의 직접 당사자가 아니라면 통상 문서제출명령이 문제가 되지는 않는다.

경찰에 대한 자료 제출 거부로 압수·수색 영장을 집행하러 오거나, 법원이 교직원을 증인으로 소환하는 일은 드문 편이기는 하다. 그러나 공공기관인 학교로서는 직접적인 불이익과 무관하게 수사나 재판에 관한 업무를 담당하는 위 기관에 협조할 의무 정도는 있다. 이러한 기관을 통해 제출되는 개인정보는 법적 근거가 있는 제공이므로 제출하는 사람에게 문제가 생기지도 않는다. 제공하지 않는 이유가 있다면 적어도 그 이유를 밝히는 편이 좋다. 제공 거부에 대해 종종 수사나 재판에 이해관계가 있는 사람들이 직접 민원을 제기하며 ‘학교는 왜 자료를 숨기냐. 소극 행정이다’라고 하여 곤란함을 겪는 일들도 생길 수도 있다.

제공 절차에서 ‘동의’는 사실 큰 의미가 없다
학교가 제3자로부터 학생의 성명이나 주민등록번호와 같은 정보 제공 요청을 받았을 때 가장 궁금해하는 내용은 제공에 대한 당사자의 동의를 받아야 하느냐는 부분이다. 그런데 사실 이는 큰 의미가 없어서 고민할 필요가 없다.

「개인정보보호법」에서의 제공에 대한 동의는 그저 ‘보내는 것에 동의합니다’라는 대답으로 부족하다. 법에서 정한 동의를 위해서는 개인정보를 제공받는 자가 누구인지, 개인정보를 제공받는 자의 이용 목적은 무엇인지, 제공하는 항목은 무엇인지, 제공받는 자의 개인정보 보유 및 이용 기간은 어떻게 되는지, 동의 거부에 따른 불이익 등의 내용을 사전에 알려야 한다. 이렇게 동의를 얻는 과정 자체가 학교에 상당한 부담일 것이다.

그런데 막상 「개인정보보호법」에는 당사자에게 제3자로부터 정보 제공을 요청받았다는 것을 알려야 한다거나 이에 대해 동의할 것인지를 물어봐야 할 의무가 없다. 그렇기에 예를 들어 학교가 ‘학생의 이름·주민등록번호·연락처를 알려달라는 경찰의 요청이 왔는데 제공에 동의할 건가요?’를 물어볼 이유가 없는 것이다. 따라서 학교가 동의를 받을 것인지 고민할 필요가 없다. 그냥 현황 그대로를 두고 개인정보를 제3자에게 제공할 것인지, 제공하지 않을 것인지를 결정하면 된다.

개인정보 제3자 제공에 대한 개인정보보호법의 근거
학교가 제3자에게 개인정보를 넘겨주는 것에 대하여 「개인정보보호법」에는 크게 2가지 근거가 있다. ‘수집한 목적 범위에서 제3자에게 제공하는 경우’(「개인정보보호법」 제17조)와 ‘수집한 목적 범위 외에 제3자에게 제공하는 경우’(「개인정보보호법」 제18조)이다.

먼저 ‘수집한 목적 범위에서 제3자에게 제공’은 대표적으로 ① 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, ② 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, ③ 명백히 당사자 또는 제3자의 급박한 생명·신체·재산의 이익을 위해 필요하다고 인정되는 경우 등이 있다(「개인정보보호법」 제17조 제1항 제2호, 제15조 제1항 제2호·제3호·제5호).

다음으로 ‘수집한 목적 범위 외에 제3자에게 제공’은 대표적으로 ① 범죄의 수사를 위해 필요한 경우, ② 법원의 재판업무 수행을 위하여 필요한 경우, ③ 제3자 제공에 대한 법적 근거가 있는 경우 등이 있다(「개인정보보호법」 제18조 제2항 제1호·제7호·제8호). 당연하겠지만 수집한 목적 범위 외에 제3자 제공은 당사자가 제공에 대한 예측 가능성이 적기 때문에 제공의 근거가 법에 명확해야 하고, 특히 제공 이후 진행해야 할 후속의 절차가 따로 마련되어 있다. 우선 학교현장의 구체적인 사례들을 아래에서 보자.
  
학교현장에서 자주 묻는 사례
● 학교폭력 관련 학생과 보호자의 개인정보를 교육지원청에 제공
학교폭력에 대한 사안조사와 그에 따른 학생 및 보호자의 면담은 학교폭력 관련 법령에 따른 학교의 의무이자 소관 업무이다. 따라서 그 업무의 수행을 위해 학생·보호자의 성명·주소·연락처와 관련 자료 등을 교육청에 제공하는 것은 ‘수집한 목적 범위에서 제3자에게 제공’이어서 가능하다.

● 아동학대범죄 신고를 위해 경찰에 보호자 인적 사항 제공
「아동학대범죄 처벌 등에 관한 특례법」에 따라 교원은 아동학대범죄 신고의무자다. 따라서 보호자에 의해 아동학대를 당하는 학생에 대한 신고의무 이행을 위해 피해자 학생의 성명, 가해자인 부모의 성명·주소·연락처 등을 경찰이나 아동보호시설로 제공하는 것은 학교의 의무이자 소관 업무이고, 당사자의 안전을 위한 것이므로 ‘수집한 목적 범위에서 제3자에게 제공’이어서 가능하다.

● 경찰의 학생 신상 확인 및 인적 사항 제공 요청
학교현장에서 가장 많은 질문이다. 예를 들어 최근 학교 주변에 늘어난 무인 편의점에서 학생들이 계산하지 않고 가버려 절도 등으로 문제가 되는 경우다. 경찰은 매장에서 촬영된 CCTV 영상 캡처본을 학교로 보내면서 촬영된 학생이 누구인지, 학생의 인적 사항에 대한 정보 제공을 요청하는 일이 많다.

영상이나 사진을 통해 학생이 누구인지 쉽게 특정할 수 있다면, 범죄의 수사를 위해 필요한 경우이므로 학생의 성명·주민등록번호·주소와 보호자의 연락처 등을 제공하는 것은 ‘수집한 목적 범위 외에 제3자에게 제공’이어서 가능하다.

우리 학교 학생인지를 알기 어렵다면 어떻게 할까. 학생 수가 많은 학교라면 더욱이나 얼굴만으로 누구인지 알기 어려울 수 있다. 그렇다고 전교 교직원에게 메신저를 돌려서까지 특정해야 하는 것은 아니다. 확인이 어렵다면 그 이유를 경찰로 회신하면 된다.

● 법원의 개인정보 제공 요청
통상 법원에서 ‘사실조회서’라는 형식으로 학생이나 교직원의 성명·주민등록번호·주소 등을 요청한다. 법원의 재판업무수행을 위하여 필요한 경우에 해당하므로 ‘수집한 목적 범위 외에 제3자에게 제공’이어서 가능하다.
구체적으로 어떻게 답신하는지 궁금해하는 예가 많다. 법원에서 요청한 정보를 바탕으로 그에 한정해서 간략하게 작성하면 된다. 조금 형식을 갖추겠다면 오른쪽 예시를 참조하도록 한다.

● 건강보험공단의 자료제출 요청
요즘 들어 건강보험공단이 학교로 학교폭력 관련 자료 등의 제공을 요청하는 사례가 늘었다. 병원에서 진료를 보고 난 뒤, 진료비 세부내역서를 받아 본 적 있을 것이다. 진료비는 급여와 비급여로 나뉘고 급여 부분에서는 공단부담금과 본인부담금이 있다. 환자는 본인부담금과 비급여 총액만 지출하면 되고, 나머지는 건강보험공단이 병원에 지급한다.

건강보험공단은 학교폭력과 같이 가해자의 행위로 환자가 치료받아 공단부담금을 지출하게 된 경우 가해자에게 구상권을 청구할 수 있다. 그렇기에 구상권 행사 등을 검토하기 위해 관련한 자료를 학교에 요청하는 것이다.
「국민건강보험법」은 건강보험공단의 업무수행을 위해서 공공기관 등에 자료 제공을 요청할 수 있고, 자료 제공을 요청받은 자는 성실히 이에 따라야 한다고 규정하고 있다(「국민건강보험법」 제96조). 이렇게 개별 법령에 근거가 있으므로 ‘수집한 목적 범위 외에 제3자에게 제공’이어서 제공이 가능하다.

● 개인정보 제3자 제공 이후 후속 절차
개인정보를 ‘수집한 목적 범위에서 제3자에게 제공’한 경우라면 제공 이후 거쳐야 하는 특별한 절차가 없다. 당사자에게 ‘당신의 개인정보를 제3자에게 제공했습니다’라는 안내 등도 불필요하다. 반면 ‘수집한 목적 범위 외에 제3자에게 제공’은 「개인정보보호법 시행령」과 「개인정보 처리 방법에 관한 고시」에 따라 거쳐야 할 절차가 두 가지 있다.

첫 번째는 제3자 제공에 대한 공고이다. 공공기관은 개인정보를 목적 범위 외에 제3자에게 제공한 경우 30일 이내에 제공한 날짜, 제공의 법적 근거, 제공의 목적, 제공한 항목을 관보 또는 인터넷 홈페이지에 게재해야 한다(「개인정보 처리 방법에 관한 고시」 제2조). 학교가 관보를 운영하지는 않으므로 학교 홈페이지 게시판에 올리는 방법을 사용하면 되고, 10일 이상 계속 올려두어야 한다.

다음으로 제3자 제공에 대한 장부도 보존해야 한다. 장부에는 제공한 개인정보 또는 개인정보파일의 명칭, 제공받는 기관의 명칭, 제공의 목적, 제공한 개인정보의 항목 등이 포함된다(「개인정보보호법 시행령」 제15조). 이에 대한 서식은 「개인정보 처리 방법에 관한 고시」에 첨부된 서식을 참조하면 된다. 제공을 위한 전자결재 과정에서 만들어 첨부해 둔다면 별도 출력물로 보존할 필요까지는 없을 것이다.

주의할 것은 ‘수집한 목적 범위 외에 제3자에게 제공’ 중에서도 경찰과 같은 수사기관에 제공한 개인정보에 대해서는 위 두 가지 절차를 거칠 필요가 없고, 당사자에게도 이를 알리지 않는 것이 좋다. 수사는 증거의 확보 등을 위해 은밀성이 필요하므로 당사자에게도 수사의 대상이 되었다는 사실을 일정 기간 알리지 않는 것이 필요하기 때문이다.