계약서에 카드정보 수기작성, 개인정보보호법 위반인가요?

Question

한 학원과 수업 계약서 작성 당시에 삼성페이를 건넸는데 카드번호와 유효기간을 알려달라길래 알려줬는데 인포 담당자가 그걸 계약서에 수기로 기재해 결제했었습니다. 당시엔 문제점을 못느꼇는데 다른 문제를 발견하던 도중 개인정보보호법에 걸릴 수 있다는걸 알게되었습니다.
복사본 계약서를 제가 가지고 있는데 명백히 카드번호와 유효기간을 수기로 작성해놨더라고요  법적으로 문제되는 부분 맞나요??

배성환 변호사 · Accepted Answer

학원 계약 과정에서 결제를 위해 카드번호와 유효기간을 요구받고 이를 알려주셨는데, 담당자가 그 정보를 계약서에 수기로 적어 보관 형태로 남긴 점은 개인정보 처리 관점에서 문제가 될 소지가 있습니다. 카드번호와 유효기간은 결제수단 정보로서 유출 시 2차 피해로 이어질 위험이 있어, 단순 결제 목적을 넘어 종이 문서에 기재해 보관하는 방식은 과도한 수집이나 안전조치 미흡으로 평가될 가능성이 있습니다.

다만 위법 여부는 당시 동의가 어느 범위까지 있었는지, 결제가 일회성인지 정기결제인지, 계약서 원본과 사본이 어디에 어떻게 보관되는지, 접근 권한과 파기 기준이 있는지에 따라 달라질 수 있습니다. 우선 학원에 카드정보가 기재된 계약서 사본의 회수 또는 해당 부분 마스킹과 파기를 요청하시고, 내부에 같은 정보가 추가로 저장되어 있는지와 삭제 여부를 서면으로 확인받아 두시는 편이 안전합니다. 응하지 않거나 유출 정황이 있다면 개인정보보호위원회 신고나 손해배상 청구 가능성도 함께 검토해볼 수 있습니다.

여러가지 사정을 고려할 때 변호사의 정확한 판단이 필요해 보입니다. 연락주시면 성심껏 도와드리겠습니다.

임대환 변호사 · Accepted Answer

안녕하세요.
지헌의 임대환 변호사입니다.

📌 1. 카드번호·유효기간은 민감한 개인정보에 해당합니다

결제 과정에서 카드번호와 유효기간을 받아 계약서에 그대로 적어 보관하는 방식은 법적으로 상당히 위험합니다. 카드번호 자체가 개인정보로 취급되고, 특히 “보관” 단계에서 유출 위험을 줄이기 위한 안전조치 의무가 문제될 수 있습니다. 전자적으로 저장하는 경우에는 카드번호를 암호화하여 저장하도록 기준이 정해져 있고개인정보의안전성확보조치기준_제7조(개인정보의 암호화), 종이 문서로 보관하더라도 접근통제·보관장소 관리 등 최소한의 물리적 보호조치가 필요하다는 점은 동일합니다.

📌 2. 학원은 보통 카드정보를 계약서에 적어둘 필요가 없습니다

가맹점은 원칙적으로 등록된 카드단말기 등을 통해 결제하고, 카드회원 정보 보호 의무를 부담합니다여신전문금융업법_제19조(가맹점의 준수사항). 또한 실무상 가맹점 표준약관 취지로 카드 “유효기간” 같은 인증정보 보관은 금지되고, 카드번호도 꼭 필요하지 않으면 보유하지 말아야 한다는 해석이 존재합니다금융위원회-법령해석-200221. 즉, “결제 편의”를 이유로 계약서에 장기간 남겨두는 관행은 정당화되기 어렵습니다.

📌 3. 지금 바로 하실 수 있는 조치

우선 학원에 (1) 계약서 사본의 카드번호·유효기간 부분 마스킹/삭제, (2) 원본·전산·사진 등 보관분 전부 폐기(파기확인) 요청을 하시고, 응하지 않으면 개인정보보호위원회 신고도 검토하실 수 있습니다. 카드번호가 외부에 노출될 가능성이 있었다면 카드사에 재발급 상담도 권합니다. 사안에 따라 손해배상이나 분쟁 대응은 “어떻게 보관했고 누가 접근했는지”가 핵심이므로, 자료를 가지고 오시면 법률사무소 지헌 임대환 변호사가 정리해서 가장 현실적인 대응을 안내드리겠습니다.

구체적인 사실관계 및 자료를 함께 확인하면 보다 정확한 방향제시가 가능할듯 합니다.
필요하시면 편하게 문의해주세요!

권오훈 변호사 · Answer

결론부터 말씀드리면, 카드번호와 유효기간을 계약서에 수기로 적어 보관한 행위는 개인정보 보호법상 문제될 소지가 있습니다.

카드번호·유효기간은 개인정보에 해당하고, 특히 결제정보는 안전하게 관리해야 하는 민감도가 높은 정보입니다. 「개인정보 보호법」은 개인정보를 수집할 때 그 목적에 필요한 최소한으로 수집하도록 하고(제3조, 제16조), 처리자가 분실·도난·유출되지 않도록 안전성 확보에 필요한 조치를 하도록 정하고 있습니다(제29조). 결제는 단말기·결제대행을 통하면 충분한데도 카드 전체 번호와 유효기간을 종이 계약서에 그대로 적어 보관했다면, 최소수집 원칙과 안전조치 의무에 어긋날 여지가 있습니다.

다만 위법 여부와 제재는 학원이 수집 목적·동의 여부, 보관·파기 방식, 안전조치를 어떻게 했는지에 따라 달라집니다. 결제를 위해 일시적으로 적었다가 즉시 파기했는지, 아니면 계약서에 그대로 남겨 보관 중인지가 핵심입니다. 귀하가 가진 복사본에 번호가 그대로 남아 있다면 원본에도 남아 있을 가능성이 큽니다.

실무적으로는 다음을 권합니다. 첫째, 학원에 해당 카드정보의 즉시 파기와 처리 경위 설명을 서면으로 요구하십시오. 둘째, 보관 사실을 보여주는 복사본을 증거로 보존하십시오. 셋째, 시정이 안 되거나 유출이 우려되면 개인정보보호위원회 또는 한국인터넷진흥원(개인정보침해 신고센터)에 신고할 수 있습니다. 카드 도용이 우려되면 카드사에 재발급도 검토하십시오.

차앤권 법률사무소

이태준 변호사 · Answer

안녕하세요. 클로저 법률사무소 대표변호사 이태준입니다.

질문 내용만으로는 곧바로 개인정보보호법 위반이라고 단정하기는 어렵지만, 계약서에 카드번호와 유효기간을 수기로 기재하여 보관한 행위는 법적·관리적 측면에서 문제가 될 소지가 있습니다.

카드번호와 유효기간은 금융거래와 관련된 중요한 개인정보에 해당하며, 사업자는 결제에 필요한 범위를 넘어 이를 계약서에 기재·보관하는 경우 개인정보보호법 및 신용카드 정보 보호 기준 위반 여부가 검토될 수 있습니다. 특히 결제가 완료된 이후에도 해당 정보를 계속 보관할 필요성이 있는지, 적절한 보호조치를 했는지가 중요한 판단 요소입니다.

다만 질문자님이 카드번호를 직접 알려주었고, 결제를 위해 일시적으로 사용한 것인지, 계약서에 계속 보관한 것인지 등에 따라 법적 평가는 달라질 수 있습니다.
우선 해당 학원에 계약서에 기재된 카드정보의 삭제 또는 마스킹을 요청하고, 현재도 원본 계약서에 그대로 보관 중인지 확인해 보시는 것이 좋습니다.

심규덕 변호사 · Answer

귀하의 질의에 대해 답변드리겠습니다.

뒤늦게 계약서를 확인하시면서 카드정보가 그대로 기재된 것을 발견하셨다니 충분히 불안하고 찝찝하셨을 것으로 이해됩니다.

1. 결론

카드번호와 유효기간을 계약서에 수기로 기재하여 보관한 것은 개인정보 보호 측면에서 문제될 소지가 있으나, 이 사안만으로 큰 법적 실익을 얻기는 쉽지 않습니다. 다만 학원과 별도의 분쟁이 있다면 함께 활용할 여지가 있습니다.

2. 쟁점별 검토

가. 개인정보보호법 위반 가능성

카드번호와 유효기간은 민감한 개인정보이자 금융정보로서 안전하게 관리되어야 합니다. 결제 후에도 종이 계약서에 그대로 남겨두는 방식은 안전조치 의무를 다하지 못한 것으로 평가될 여지가 있습니다. 또한 가맹점은 카드정보 보호 의무를 부담하며, 유효기간 같은 인증정보 보관은 원칙적으로 금지되는 것이 실무 해석입니다.

나. 실질적 대응 방향

다만 학원 측에서는 귀하가 자발적으로 정보를 제공했고 외부 유출이 없었다는 점을 들어 다툴 가능성이 높습니다. 실제 유출이나 구체적 피해가 확인되지 않는 단계에서는 손해배상으로 큰 금액을 회수하기 어렵습니다. 다만 학원과 환불이나 계약 해지 등 다른 분쟁이 있다면 협상 카드로 활용할 실익이 있습니다.

다. 조치 사항

학원에 카드정보 부분 삭제 및 폐기를 요청하고, 필요시 개인정보보호위원회 신고를 검토하실 수 있습니다. 구체적인 대응 방향과 비용은 상담을 통해 자세히 안내드리겠습니다.

조상우 변호사 · Answer

계약서를 다시 살펴보시다 카드 정보가 그대로 적혀 있는 것을 발견하셨다면 충분히 찝찝하고 불안하실 수 있습니다. 다만 이 사안은 위법 여부 자체보다, 의뢰인께 실제로 어떤 의미와 활용 가치가 있는지를 먼저 가늠해 보는 것이 더 중요한 사안으로 보입니다.

카드번호와 유효기간은 개인정보이자 보호 필요성이 높은 신용·결제정보에 해당하므로, 결제가 끝난 뒤에도 종이 계약서에 그대로 남겨 둔 처리 방식은 안전하게 관리할 의무를 다하지 못한 것으로 평가될 여지가 있습니다.

다만 상대 학원 측에서는, 의뢰인께서 결제를 위해 자발적으로 카드 정보를 건네셨고 그 범위에서 처리했을 뿐이라는 점, 외부로 유출된 정황이 없고 사본도 의뢰인이 보유하고 있다는 점을 들어 책임의 정도를 다투려 할 가능성이 있습니다. 실제로 별도의 유출이나 구체적 피해가 확인되지 않는 단계에서는, 이 사안만 떼어 손해배상으로 큰 금액을 회수하기는 쉽지 않은 것이 일반적입니다.

오히려 주목할 부분은, 의뢰인께서 다른 문제를 살피시던 중 이 점을 발견하셨다는 대목입니다. 카드 정보 처리 문제는 그 자체로 다투기보다, 본래 학원과 사이에 있는 분쟁(예: 환불·계약 해지)에서 상대의 부주의를 함께 환기하는 협상 카드로 쓰일 때 의뢰인께 실익이 더 커질 여지가 있습니다.

상황에 맞는 현실적이고 안정적인 법률 조언을 제공해 드릴 수 있으니 추가적인 문의 사항이 있으시다면 언제든 연락 주시기 바랍니다. 이미 확보하신 사본만으로도 대응을 시작할 토대는 충분합니다. 계약서 사본과 학원과 주고받은 자료를 지참해 주시면, 개인정보보호위원회 신고 실익 판단·학원에 보낼 내용증명 문안·본래 분쟁(환불·해지) 쟁점과의 연계 전략까지 함께 정리해 드리겠습니다.

조기현 변호사 · Answer

해당 사안이 개인정보보호법 위반 소지가 있을 수 있으나 실무적으로 어떠한 문제를 제기하기에는 사안이 매우 경미한만큼 상대방에게 책임을 묻고자 하신다면 복수의 변호사와 상담을 먼저 진행해보신 뒤 법률적 조치의 실익여부부터 따져보시길 권합니다.

남천우 변호사 · Answer

안녕하세요. 법무법인 쉴드의 남천우 변호사입니다.

■ 질의요지
의뢰인님께서는 학원과 수업 계약을 체결하는 과정에서 담당자가 카드번호와 유효기간을 계약서에 수기로 기재하여 결제를 진행한 사실을 뒤늦게 확인하셨고, 이러한 행위가 개인정보 보호법 위반에 해당하는지 문의하셨습니다.

■ 검토의견
카드번호와 유효기간은 개인정보 보호법상 개인정보에 해당하며, 그중에서도 금융 관련 민감 정보로 분류됩니다. 이를 수기로 계약서에 기재하는 행위는 개인정보의 적절한 안전조치 의무를 위반할 소지가 있습니다. 개인정보 보호법은 개인정보처리자가 개인정보를 처리할 때 안전성 확보에 필요한 조치를 취하도록 규정하고 있는데, 카드번호 전체와 유효기간을 종이 문서에 그대로 기재하는 방식은 이러한 의무를 충족하지 못할 가능성이 높습니다. 아울러 여신전문금융업법에서도 카드번호 등 결제 정보의 보안 관리를 엄격히 요구하고 있어, 해당 학원의 처리 방식은 복수의 법령에서 문제가 될 수 있습니다. 의뢰인님께서 계약서 복사본을 보유하고 계신 점은 중요한 증거가 될 수 있으며, 개인정보 보호위원회에 신고하거나 손해배상 청구를 검토해볼 여지도 있습니다. 다만 실제 피해 발생 여부와 손해 규모에 따라 구제 방법과 결과가 달라질 수 있으므로, 구체적인 사실관계를 토대로 면밀히 살펴볼 필요가 있습니다.

대형로펌에서 쌓은 실전 경험을 바탕으로 작은 사실관계 하나, 증거 하나도 놓치지 않고 살피겠습니다. 혼자 고민하지 마시고 상담을 받아보시기 바랍니다. 의뢰인의 편에서 끝까지 최선을 다하겠습니다.