기업의 개인정보 수집·이용·제3자 제공 시 확인할 사항

개인정보 보호법 제15조는 개인정보처리자가 정보주체의 동의를 받거나 법률에 특별한 규정이 있는 등 법이 정한 사유가 있을 때만 개인정보를 수집·이용할 수 있다고 정한다. 제18조는 수집한 목적 범위를 벗어나 개인정보를 이용하거나 제3자에게 제공하는 것을 원칙적으로 제한한다. 제19조는 개인정보를 제공받은 자도 그 목적 범위를 벗어나 이용하거나 제3자에게 다시 제공해서는 안 된다고 정한다. 제20조의2는 일정한 경우 개인정보의 이용·제공 내역을 정보주체에게 통지하도록 정한다.

즉 기업은 개인정보를 수집할 때부터 이용 목적을 명확히 하고, 그 목적을 벗어나는 이용이나 제3자 제공이 필요하면 별도 동의를 받거나 법이 정한 예외에 해당하는지부터 확인해야 한다.

헌법재판소는 통계작성, 학술연구, 공익적 기록보존을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있도록 한 개인정보 보호법 제28조의2가 개인정보자기결정권을 침해하지 않는다고 판단했다. 가명정보는 그 자체만으로 특정 개인을 알아볼 수 없어 인격권 침해가 크지 않고, 동의 없는 처리도 통계·연구·공익적 기록보존 목적으로만 제한되며, 정보주체를 보호하는 여러 규정이 함께 있다는 것이 이유다.

또 다른 예외로, 대법원은 소송 과정에서 주장을 증명하거나 방어권을 행사하기 위해 금융거래정보나 개인정보가 담긴 서류를 법원에 증거로 제출하는 경우, 금융실명법·개인정보 보호법 위반죄의 구성요건에 해당하더라도 형법 제20조의 정당행위에 해당해 위법성이 조각될 수 있다고 판단했다. 다만 이 경우에도 실제로 정당행위에 해당하는지는 제출 경위와 필요성 등 구체적 사정에 따라 개별적으로 판단해야 한다.

기업은 개인정보를 수집할 때 이용 목적을 구체적으로 특정해 고지하고, 나중에 다른 목적으로 쓰거나 제3자에게 넘기려면 그때마다 별도 동의를 받는 것이 원칙임을 전제로 실무를 운영해야 한다. 가명처리 후 통계·연구 목적으로 쓰는 경우에도 목적을 벗어나지 않는지, 재식별 위험을 차단하는 조치를 했는지 점검해야 한다.

소송이나 분쟁 과정에서 상대방이나 제3자의 개인정보·금융정보를 증거로 제출해야 할 상황이 생기면, 정당행위로 인정받을 여지가 있다고 해서 안심하기보다 꼭 필요한 범위로 제출 범위를 최소화하고 제출 경위를 기록해 두는 것이 안전하다.

기업의 개인정보 처리 실무를 직접 다룬 공식 판례는 확인되지 않는다.

이 원고는 법률전문가의 검수를 받지 않은 편집팀 작성 초안이며, 조문의 최신 개정 여부와 관련 판례의 후속 법리는 사람이 다시 확인해야 한다.