이용자 사진을 시설 SNS에 올려도 되나, 입소 때 받은 동의서로는 부족한 이유

여름 프로그램이 끝나면 사진 정리부터 시작된다. 물놀이 나들이, 기업 봉사단 방문, 여름캠프 단체사진까지 담당자 휴대폰에 수백 장이 쌓이고, 그중 잘 나온 몇 장을 골라 시설 블로그와 인스타그램에 올린다. 문제는 그다음이다. 지도점검이나 법인 감사에서 "이 사진들 게시 동의는 받으셨습니까"라는 질문이 들어오면 대개 입소·이용 계약할 때 받아둔 개인정보 수집·이용 동의서를 꺼내게 되는데, 그 종이 한 장으로는 설명이 안 되는 경우가 꽤 많다.

사진은 어느 지점부터 '개인정보'가 되나

먼저 정리해야 할 게 있다. 사진을 개인정보로 볼 것이냐다. 얼굴이나 행동으로 그 사람이 누구인지 알아볼 수 있게 찍힌 영상·이미지는 개인영상정보로 보고, 개인정보에 해당한다는 것이 공공기관 개인정보보호 안내자료들이 공통으로 잡고 있는 기준이다. 이름을 안 적고 사진만 올렸으니 괜찮다는 논리가 통하지 않는 이유가 여기 있다. 이름이 없어도 얼굴로 식별되면 그 자체가 개인정보다.

그래서 실무에서 판단이 갈리는 건 "동의를 받았느냐"보다 "이 사진이 식별 가능한가"다. 눈만 가리는 처리는 흔히 쓰이지만 안전한 편이 아니다. 같은 프로그램에 있던 사람끼리는 체형과 옷차림만으로도 누구인지 바로 알아본다. 지역이 좁은 시설일수록 이 문제가 실제로 커진다.

가장 자주 놓치는 건 주인공이 아닌 사람이다. 후원 기업 봉사자들과 찍은 기념사진 뒤로 복도를 지나가던 다른 이용자가 걸리는 경우, 프로그램 참여자 한 명을 찍었는데 옆 테이블 이용자가 함께 나온 경우. 동의는 앞줄 사람에게만 받아놓고 뒤에 걸린 사람은 계산에 넣지 않는다. 게시 전에 "이 프레임 안에 동의받지 않은 얼굴이 있는가"를 한 장씩 확인하는 게 결국 제일 확실하다.

입소할 때 받은 그 동의서로는 왜 부족한가

개인정보 동의는 목적 단위로 받는다. 서비스 제공과 사례관리를 목적으로 받은 동의는 서비스 제공과 사례관리에만 쓸 수 있고, 기관 홍보나 대외 성과 안내는 목적이 다르다. 그런데 현장 동의서를 열어보면 수집·이용 목적란에 "서비스 제공, 사례관리, 급여 지급" 정도만 적혀 있고 홍보·게시에 관한 문구는 어디에도 없는 경우가 많다. 이 상태에서 사진을 블로그에 올리면 받아둔 동의의 범위를 넘어선 이용이 된다.

현장에서 지적으로 이어지는 전형적인 형태가 세 가지다. 첫째, 목적란에 홍보가 아예 없는데 게시가 이뤄진 경우. 둘째, "기관 홍보 활용"이라는 한 줄은 있는데 그게 어디에 어떻게 게시된다는 건지가 없어서 이용자가 SNS 공개 게시까지 예상할 수 없었던 경우. 셋째, 동의서는 있는데 그 사진을 찍은 시점이 동의서를 받은 시점보다 앞선 경우다. 세 번째는 서류가 멀쩡해 보여 넘어가기 쉬운데, 촬영일과 동의일만 대조하면 바로 드러난다.

동의서에 반드시 들어가야 하는 네 줄

동의를 받을 때 알려야 하는 항목은 정해져 있다. 수집·이용 목적, 수집하는 항목, 보유·이용 기간, 그리고 동의를 거부할 권리가 있다는 사실과 거부했을 때의 불이익 내용이다. 이 고지를 빠뜨리면 3천만원 이하의 과태료 대상이 된다는 것이 공공기관 안내자료들이 공통으로 밝히고 있는 내용이고, 동의 없이 수집한 경우는 이보다 무거운 5천만원 이하로 잡힌다.

고지 항목	사진 게시 동의서에서 실제로 자주 비어 있는 부분
수집·이용 목적	"홍보"만 적고 게시 매체(홈페이지·SNS·소식지·보고서)를 특정하지 않음
수집 항목	사진·영상이 항목으로 안 적혀 있고 성명·연락처만 나열됨
보유·이용 기간	공란이거나 "영구"로 기재
거부 권리와 불이익	문구 자체가 통째로 빠져 있음

보유 기간을 어떻게 쓸지가 특히 애매하다. 사진은 서류와 성격이 다르다. 캐비닛에 넣어두는 게 아니라 게시물로 계속 공개돼 있기 때문에, 보유 기간을 "영구"로 적어두면 5년 전 프로그램 사진이 10년 뒤에도 검색에 걸리는 상태를 시설이 스스로 정당화한 셈이 된다. 게시 목적이 끝나는 시점, 예컨대 해당 사업연도 종료 후 몇 년까지로 기간을 끊고, 그 기간이 지난 게시물은 실제로 내리는 절차를 함께 정해두는 편이 낫다. 기간을 적어놓고 아무도 안 내리면 오히려 더 설명하기 어렵다.

필수와 선택을 한 칸에 묶는 순간 문제가 된다

서비스를 제공하려면 반드시 있어야 하는 정보에 대한 동의와, 없어도 서비스에는 지장이 없는 정보에 대한 동의는 성격이 다르다. 사진을 찍어 홍보물에 쓰는 건 명백히 후자다. 그런데 동의서 양식을 한 장으로 만들다 보면 "위 사항에 모두 동의합니다" 체크박스 하나로 묶여버리는 일이 생긴다. 이렇게 되면 이용자는 서비스를 받기 위해 홍보 게시까지 동의할 수밖에 없는 구조가 되고, 이건 동의를 받은 게 아니라 동의를 강요한 형태에 가깝다.

해결은 단순하다. 체크박스를 나누고, 홍보·게시 항목 옆에 "동의하지 않아도 서비스 이용에 제한이 없습니다"라고 명시한다. 그리고 실제로 제한이 없어야 한다. 이 문구를 적어놓고 홍보 동의를 안 한 이용자를 프로그램에서 은근히 빼거나 단체사진에서 배제하면 문구만 지킨 것이다. 동의를 거부한 이용자가 있는 프로그램은 애초에 촬영 구도를 그 사람이 안 들어가게 잡는 쪽으로 운영하는 게 현실적이다.

동의서를 새로 만들 때 가장 많이 나오는 질문이 "그럼 예전에 받아둔 건 다 다시 받아야 하나"다. 이미 게시된 사진과 앞으로 찍을 사진을 나눠서 접근하는 게 현실적이다. 앞으로 찍을 사진은 새 양식으로 받으면 되고, 이미 올라가 있는 사진은 목록을 뽑아 게시 근거가 확인되는 것과 안 되는 것으로 갈라놓는다. 근거가 확인 안 되는 쪽은 사후에 동의를 받거나 내리거나 둘 중 하나인데, 대개는 내리는 게 빠르다.

만 14세 미만 아동, 그리고 의사 확인이 어려운 이용자

만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의를 받아야 한다. 지역아동센터, 아동복지시설, 학교 연계 프로그램에서 여름방학 활동 사진을 다룰 때 바로 걸리는 지점이다. 여기서 실무가 헷갈리는 건 "동의를 받았다"와 "동의한 사람이 법정대리인이 맞는지 확인했다"가 별개라는 점이다. 서명란에 보호자 이름이 적혀 있어도, 그 사람이 친권자·후견인인지 확인이 안 되면 절차가 완결됐다고 보기 어렵다. 조부모나 동거 친척이 아이를 실제로 돌보는 가정에서 특히 자주 어긋난다.

성인 이용자 쪽은 더 조심스럽다. 인지 기능이 떨어져 의사 확인이 어려운 이용자의 사진을 보호자 동의만으로 게시하는 관행이 아직 남아 있는데, 성년후견 등 법정대리 권한이 정리돼 있지 않다면 보호자 서명이 곧 법적 동의가 되는 건 아니다. 이 부분은 시설 유형과 이용자의 법적 상태에 따라 판단이 달라지므로, 애매하면 관할 시군구 담당부서나 법인 자문을 통해 확인하고 넘어가는 편이 안전하다. 확실하지 않은 채 게시부터 하는 게 가장 나쁜 선택이다.

"내려주세요" 전화가 왔을 때, 그리고 초상권이라는 다른 트랙

개인정보 동의는 언제든 철회할 수 있다. 이용자나 가족이 사진을 내려달라고 하면 근거를 따지기 전에 우선 내리는 게 맞다. 이때 놓치는 게 원본 게시물만 지우고 끝내는 것이다. 인스타그램에 올린 사진은 스토리로 다시 공유돼 있을 수 있고, 소식지 PDF에 실린 사진은 홈페이지 자료실에 파일째로 남아 있으며, 연간보고서에 들어간 사진은 이미 인쇄돼 배포된 뒤다. 게시물을 지울 때 그 사진이 파생된 경로를 같이 훑는 절차가 없으면 몇 달 뒤 같은 항의를 다시 받는다.

여기서 구분해둘 게 하나 더 있다. 개인정보보호법상의 동의와 초상권은 같은 트랙이 아니다. 개인정보 동의는 행정적 규율에 가깝고 위반하면 과태료 같은 제재로 이어지지만, 초상권은 민사상 인격권 영역이라 별도의 손해배상 다툼이 될 수 있다. 즉 동의서를 형식적으로 갖췄더라도 게시 방식이나 맥락이 당사자의 명예나 사생활을 침해하는 형태였다면 별개의 문제로 남는다. 반대로 초상권 사용 동의만 받고 개인정보 고지 항목을 빠뜨렸다면 그것대로 문제가 된다. 두 가지를 한 장에 담더라도 항목은 각각 채워야 한다는 뜻이다.

여름 사진 정리를 시작하기 전에 할 일을 순서로 잡으면 이렇게 된다. 현재 쓰고 있는 동의서를 꺼내 목적·항목·기간·거부권 네 줄이 다 있는지 확인하고, 홍보 게시 항목이 별도 체크박스로 분리돼 있는지 본다. 그다음 올해 찍은 사진 중 게시 예정인 것을 골라 프레임 안 인물 전원의 동의 여부를 대조한다. 만 14세 미만이 포함돼 있으면 법정대리인 확인까지 간다. 이 세 단계를 통과한 사진만 올리면, 적어도 게시 근거를 묻는 질문에는 서류로 답할 수 있다. 판단이 애매한 사안은 관할 시군구 담당부서에 먼저 확인하는 편이 낫다.

참고 출처: 개인정보 보호법(수집·이용 동의 및 고지사항, 아동의 개인정보 보호 규정), 서울특별시교육청 개인정보보호 안내자료(개인영상정보의 개인정보 해당 여부, 고지의무 위반 시 3천만원 이하·수집 위반 시 5천만원 이하 과태료), 개인정보보호위원회 개인정보보호 포털. 본문 수치는 2026년 7월 기준이며, 법령 개정에 따라 달라질 수 있습니다. 이 글은 일반적인 실무 참고용 정보로, 개별 시설의 구체적 사안에 대한 법률 자문이 아닙니다. 시설 유형·이용자의 법적 상태·게시 형태에 따라 판단이 달라질 수 있으므로 최종 확인은 관할 시군구 담당부서나 법인 자문을 통해 하시기 바랍니다.