📋 취약점 개요
만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의를 받고 실제로 동의했는지 확인해야 합니다. 동의 확인을 위한 최소 정보(법정대리인 이름·연락처)만 아동에게서 직접 수집할 수 있고, 동의가 확인되지 않으면 지체 없이 파기해야 합니다.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# 게임 서비스 가입
user$ 생년월일 2015-04-11 입력 → 가입 진행
>> 만 14세 미만인데 그대로 가입 완료
>> 법정대리인 동의 절차·확인 기록 없음
→ 법 제22조의2 위반 · 아동 개인정보 무단 처리
🔧 조치 방법
- 가입 절차에 연령 확인 단계를 두고 만 14세 미만이면 법정대리인 동의 경로로 분기시킵니다.
- 법정대리인 확인은 본인확인 수단(휴대전화·아이핀·신용카드 등)으로 정당한 주의의무를 다해 수행합니다.
- 동의자·동의 여부·동의 일시를 시스템에 기록 보존합니다.
- 동의 거부 또는 미확인 상태가 지속되면 수집한 개인정보를 지체 없이 파기합니다.
- 아동이 이해할 수 있는 쉬운 표현의 동의·처리방침을 별도로 제공합니다.
✅ 점검 체크리스트
- 만 14세 미만 분기 및 법정대리인 동의 절차 존재
- 법정대리인 동의 기록이 보존됨
- 미확인 시 자동 파기 로직 존재
근거: 개인정보 보호법 제22조의2 · 표준지침 제13조 · PIA 3.1.7