개인정보 제3자 제공
IT 위키
더 많은 작업
개인정보 제3자 제공 : Provision of Personal Information to Third Parties
개인정보처리자가 보유한 개인정보를 제3자가 자신의 목적으로 이용할 수 있도록 넘겨주거나 공유하는 행위이다.
개인정보 보호법 제17조는 제3자에게 제공(공유를 포함)할 수 있는 경우를 정하고, 개인정보 보호법 제18조는 수집 목적 범위를 넘는 이용·제공을 제한한다. 개인정보를 넘긴다는 겉모습은 개인정보 처리 업무 위탁과 같지만, 누구의 업무와 이익을 위해 넘기는지에 따라 법적 요건이 전혀 다르다. 국외의 제3자에게 제공하는 경우에는 개인정보 국외 이전 규정(개인정보 보호법 제28조의8)도 함께 지켜야 한다.
- 정보주체의 동의를 받은 경우(제17조제1항제1호)
- 제15조제1항제2호, 제3호, 제5호부터 제7호까지에 따라 수집한 목적 범위에서 제공하는 경우(같은 항 제2호). 법률의 특별한 규정·법령상 의무, 공공기관의 소관 업무, 급박한 생명·신체·재산의 이익, 개인정보처리자의 정당한 이익, 공중위생 등 긴급한 공공의 안전이 여기에 해당한다. 계약 이행(제15조제1항제4호)을 근거로 수집한 개인정보는 이 호에 포함되지 않는다.
- 당초 수집 목적과 합리적으로 관련된 범위에서 대통령령으로 정하는 바에 따라 동의 없이 제공할 수 있다(제17조제4항). 이때 수집 목적과의 관련성, 제공에 대한 예측 가능성, 정보주체 이익의 부당한 침해 여부, 가명처리·암호화 등 안전성 확보 조치 여부를 고려한다(시행령 제14조의2).
제17조제2항에 따라 동의를 받을 때 다음 사항을 알려야 하며, 어느 하나를 변경할 때에도 다시 알리고 동의를 받아야 한다.
| 번호 | 알려야 할 사항 |
|---|---|
| 1 | 개인정보를 제공받는 자 |
| 2 | 제공받는 자의 개인정보 이용 목적 |
| 3 | 제공하는 개인정보의 항목 |
| 4 | 제공받는 자의 개인정보 보유 및 이용 기간 |
| 5 | 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용 |
- 제3자 제공 동의는 수집·이용 동의 등 다른 동의 사항과 구분하여 각각 받아야 한다(개인정보 보호법 제22조제1항제2호). 동의 방법 전반은 개인정보 활용 동의에 정리되어 있다.
- 제15조제1항의 범위를 넘어 이용하거나, 제17조제1항 및 제28조의8제1항의 범위를 넘어 제3자에게 제공해서는 안 된다.
- 예외로 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 때 목적 외로 이용·제공할 수 있는 경우는 다음과 같다(제18조제2항).
- 정보주체로부터 별도의 동의를 받은 경우
- 다른 법률에 특별한 규정이 있는 경우
- 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요한 경우
- 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우
- 공공기관만 해당하는 경우: 보호위원회 심의·의결을 거친 소관 업무 수행, 조약·국제협정 이행, 범죄 수사와 공소 제기·유지, 법원의 재판업무, 형 및 감호·보호처분의 집행
- 별도 동의를 받을 때에도 제공받는 자, 이용 목적, 항목, 보유·이용 기간, 동의 거부권과 불이익의 5가지를 알려야 한다(제18조제3항).
- 공공기관이 목적 외로 이용·제공하면 법적 근거, 목적, 범위 등을 관보나 인터넷 홈페이지 등에 게재해야 한다(제18조제4항).
- 목적 외로 제공할 때에는 제공받는 자에게 이용 목적·방법 등을 제한하거나 안전성 확보 조치를 요청해야 한다(제18조제5항).
- 제공받은 자도 별도 동의나 다른 법률의 특별한 규정이 없으면 제공받은 목적 외로 이용하거나 다시 제공할 수 없다(개인정보 보호법 제19조).
| 구분 | 제3자 제공 (제17조) | 처리위탁 (제26조) |
|---|---|---|
| 목적 | 제공받는 자의 업무와 목적을 위한 이전 | 위탁자(개인정보처리자)의 업무를 처리하기 위한 이전 |
| 이익을 얻는 자 | 제공받는 제3자 | 위탁자 |
| 관리·감독 | 제공 후 제공받는 자가 스스로 개인정보처리자로서 책임을 진다 | 위탁자가 수탁자를 교육하고 처리 현황 점검 등으로 감독한다 |
| 손해배상책임 | 제공받는 자가 자신의 위반에 대해 책임 | 수탁자의 법 위반으로 생긴 손해배상책임은 수탁자를 위탁자의 소속 직원으로 보아 위탁자도 책임 |
| 정보주체 고지·동의 | 원칙적으로 동의 필요, 동의 시 5가지 사항 고지 | 동의는 필요 없고, 위탁 업무 내용과 수탁자를 공개(홈페이지 지속 게재 등). 홍보·판매 권유 업무 위탁은 정보주체에게 알려야 함 |
| 문서 | 별도 요건 없음 | 목적 외 처리 금지, 기술적·관리적 보호조치 등을 포함한 문서로 위탁 |
| 재이전 | 별도 동의 등이 없으면 목적 외 제공 금지(제19조) | 재위탁은 위탁자의 동의 필요(제26조제6항) |
- 둘의 구분은 계약의 명칭보다 실질로 판단한다. 개인정보가 누구의 업무를 위해, 누구의 관리·감독 아래 처리되는지가 기준이며, 받는 쪽이 자기 사업에 개인정보를 쓴다면 위탁이 아니라 제3자 제공에 가깝다.
- 위탁에 관한 상세는 개인정보 처리 업무 위탁과 개인정보 보호법 제26조를 본다.
- 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 이전하는 경우는 제3자 제공 동의가 아니라 사전 통지로 처리한다.
- 양도자는 미리 개인정보를 이전하려는 사실, 영업양수자등의 성명(법인은 명칭)·주소·전화번호 등 연락처, 이전을 원하지 않는 정보주체가 조치할 수 있는 방법 및 절차를 서면등의 방법으로 알려야 한다.
- 양도자가 과실 없이 알릴 수 없으면 인터넷 홈페이지에 30일 이상 게재한다(시행령 제29조제2항).
- 영업양수자등은 이전받으면 지체 없이 그 사실을 알려야 하며, 양도자가 이미 알린 경우에는 생략할 수 있다.
- 영업양수자등은 이전 당시의 본래 목적으로만 이용하거나 제공할 수 있고, 이 경우 개인정보처리자로 본다.
- 관련 조문: 개인정보 보호법 제27조
- 제3자 제공 동의 시 알려야 할 5가지 사항과, 변경 시 다시 동의를 받아야 한다는 점을 묻는다.
- 제3자 제공과 처리위탁을 목적, 이익 주체, 책임, 동의 필요 여부로 구분할 수 있어야 한다.
- 제18조제2항 목적 외 이용·제공 예외 중 공공기관에만 허용되는 사유를 구분할 수 있어야 한다.
- 영업양도 시 통지 사항과 영업양수자등의 이용 제한을 묻는다.