개인정보

헬스장 지문 출입 정보나 회원 병력도 개인정보 보호법이 보호하나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.01 갱신

네, 지문 출입 정보와 회원 병력은 개인정보이면서 민감정보여서 개인정보 보호법이 더 엄격하게 보호합니다. 개인정보 보호법 제2조는 살아 있는 개인을 알아볼 수 있는 정보를 개인정보로 정하고, 제23조와 시행령 제18조는 건강정보와 생체인식 특징 정보를 민감정보로 봅니다. 지금은 보관 중인 파일을 식별 정보·결합 정보·민감정보로 나눠 적어 두십시오.

이름이 빠져 있다고 해서 모두 개인정보가 아니라고 단정할 필요도, 모든 숫자와 기록을 개인정보로 보고 겁낼 필요도 없습니다. 기준은 그 정보로 특정한 사람을 알아볼 수 있느냐입니다.

이런 상담이 많습니다

헬스장을 운영하는 H씨는 2026년 4월 출입 방식을 지문 인식으로 바꾸고, 회원 상담 카드에 병력과 체중 변화를 적어 관리하기 시작했습니다. 탈퇴한 회원의 운동 기록은 이름을 지우고 통계로만 남겨 두었고, 몇 년 전 세상을 떠난 회원의 가입서도 보관 중이었습니다. H씨는 이 가운데 어떤 것이 법이 보호하는 개인정보인지 물었습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

개인정보 보호법이 보호하는 개인정보에는 어떤 것이 있나요?

살아 있는 개인에 관한 정보로서 그 사람을 알아볼 수 있는 정보가 개인정보입니다. 2026. 10. 1. 기준 현행 「개인정보 보호법」은 성명·주민등록번호·영상처럼 그것만으로 알아볼 수 있는 정보, 그것만으로는 알 수 없어도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보, 가명처리한 가명정보를 개인정보로 정합니다.

신분관계(이름·주소·가족관계), 내면의 비밀(사상·신조·종교·정치적 성향), 심신의 상태(건강·신장·체중·병력), 사회경력(학력·직업·자격·전과), 경제관계(소득·재산·거래내역·신용정보), 지문·홍채·위치정보 같은 새로운 유형까지 그 사람을 알아볼 수 있으면 모두 개인정보가 될 수 있습니다. 쉽게 결합할 수 있는지는 다른 정보를 입수할 가능성과 알아보는 데 드는 시간·비용·기술을 합리적으로 따져 판단합니다.

지문이나 병력 같은 정보는 더 엄격하게 다뤄야 하나요?

네, 사상·신념, 노동조합·정당 가입, 정치적 견해, 건강, 성생활에 관한 정보와 시행령이 정한 정보는 민감정보여서 따로 동의를 받거나 법령 근거가 있을 때만 처리할 수 있습니다. 시행령은 유전정보, 범죄경력자료, 특정 개인을 알아볼 목적으로 기술적 수단을 통해 만든 신체적·생리적·행동적 특징 정보, 인종·민족 정보를 민감정보에 넣습니다.

출입용 지문 인식 정보는 특정 회원을 알아볼 목적으로 만든 신체적 특징 정보이므로 민감정보입니다. 상담 카드의 병력은 건강에 관한 정보입니다. 두 정보 모두 다른 동의와 구분한 별도 동의를 받고, 유출되지 않도록 안전조치를 해야 합니다.

이름을 지운 기록이나 세상을 떠난 사람의 정보도 개인정보인가요?

이름을 지웠더라도 회원번호나 가입일처럼 다른 자료와 맞추면 누구인지 알 수 있다면 여전히 개인정보이고, 추가 정보 없이는 알아볼 수 없게 처리했다면 가명정보로서 보호 대상입니다. 시간·비용·기술을 합리적으로 고려할 때 다른 정보를 써도 더 이상 개인을 알아볼 수 없는 정보에만 이 법이 적용되지 않습니다.

개인정보는 「살아 있는」 개인에 관한 정보이므로 사망한 사람의 정보는 원칙적으로 이 법의 개인정보가 아닙니다. 다만 사망자의 정보가 유족 같은 살아 있는 사람을 알아볼 수 있게 하는 정보라면 유족의 개인정보가 될 수 있고, 가입서 속 보호자 연락처처럼 다른 사람 정보가 함께 적혀 있으면 그 부분은 보호해야 합니다.

개인정보 해당 여부 대응 순서

• 보유 파일 목록 만들기 - 회원 명부, 상담 카드, 출입 기록, 통계 파일을 모두 적습니다. 파일마다 담긴 항목을 표시합니다.
• 알아볼 수 있는지 판단 - 항목만으로 또는 다른 자료와 결합해 특정인을 알아볼 수 있는지 봅니다. 알아볼 수 있으면 개인정보로 분류합니다.
• 민감정보 표시 - 지문 인식 정보, 병력, 체질 정보처럼 민감정보에 해당하는 칸을 따로 표시합니다. 별도 동의 여부를 확인합니다.
• 가명·익명 구분 - 통계 파일이 추가 정보로 다시 식별되는지 확인합니다. 식별 가능하면 가명정보로 관리합니다.
• 보관기간 정리 - 탈퇴·사망 회원의 기록 중 보관 이유가 없는 것은 파기합니다. 다른 사람 정보가 섞인 서류는 그 부분을 보호합니다.

여기까지는 일반 기준이고, 위치정보나 신용정보처럼 별도 법률이 적용되는 정보를 함께 다룬다면 해당 법률의 요건을 보고 따로 따져야 합니다. 법무법인 윤성은 개인정보 보호법 위반에 따른 과태료·과징금 처분 불복과 행정조사 대응을 수행합니다.

이 상황에서 자주 묻는 것

• 휴대전화번호만 있어도 개인정보인가요?
  대부분 개인정보입니다. 휴대전화번호는 그것만으로 이름이 드러나지 않더라도 가입자 정보나 다른 자료와 쉽게 결합해 특정한 사람을 알아볼 수 있기 때문입니다. 결합이 쉬운지는 다른 정보를 입수할 가능성과 드는 시간·비용·기술을 합리적으로 고려해 판단합니다.
• 가명정보와 익명정보는 어떻게 다른가요?
  가명정보는 이름 등을 지우거나 바꿔 추가 정보 없이는 알아볼 수 없게 만든 정보로, 추가 정보를 결합하면 다시 알아볼 수 있어 개인정보에 포함됩니다. 익명정보는 다른 정보를 써도 더 이상 개인을 알아볼 수 없는 정보로, 이 법이 적용되지 않습니다.
• 범죄경력도 민감정보인가요?
  네, 형의 실효 등에 관한 법률에 따른 범죄경력자료에 해당하는 정보는 민감정보입니다. 민감정보는 다른 개인정보 처리 동의와 별도로 동의를 받거나 법령이 처리를 요구·허용하는 경우에만 처리할 수 있습니다. 채용 과정에서 범죄경력을 묻는 것은 법령 근거가 있는 직종인지 먼저 확인해야 합니다.
• CCTV 영상에 찍힌 얼굴도 개인정보인가요?
  네, 영상을 통해 개인을 알아볼 수 있다면 개인정보입니다. 법은 성명·주민등록번호와 함께 영상을 개인을 알아볼 수 있는 정보의 예로 들고 있습니다. 얼굴 영상으로 특정인을 알아보는 얼굴인식 특징값을 만들면 민감정보가 됩니다.
• 회사나 가게의 정보도 개인정보인가요?
  법인이나 단체 자체에 관한 정보는 개인정보가 아닙니다. 개인정보는 살아 있는 개인에 관한 정보로 한정되기 때문입니다. 다만 법인 대표자의 이름과 연락처, 개인사업자의 상호와 결합된 사업주 정보처럼 특정 개인을 알아볼 수 있는 부분은 개인정보가 될 수 있습니다.
• 민감정보는 어떤 방식으로 동의를 받나요?
  처리 목적, 항목, 보유·이용 기간, 거부 권리와 불이익을 알리고 다른 개인정보 처리 동의와 별도로 동의를 받습니다. 서면으로 받을 때는 민감정보가 포함된다는 사실을 크게 쓰거나 색을 달리해 알아보기 쉽게 표시해야 합니다.

이 페이지는 일반적인 절차 안내입니다. 개별 사안의 판단은 상담에서 합니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성