[정보보안기사] 개인정보 보호법 총칙 제3장 개인정보의 처리 : 제 1절 개인정보의 수집, 이용 제공 등

---

 

[정보보안기사] 개인정보 보호법 총칙 제3장 개인정보의 처리 : 제1절 개인정보의 수집, 이용 제공 등

 

---

 

 

(제15조)개인정보 수집·이용

1. 개인정보 처리자는 다음과 같은 경우에 개인정보를 수집할 수 있고 그 수집 목적 범위 내에서만 이용할 수 있다.
   • 정보주체의 동의를 받은 경우
   • 법류에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우
   • 공공기관이 법령 등에서 정하는 소관업무 수행을 위해 불가피한 경우
   • 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우
   •  명백히 정보주체 등의 급박한 생명, 신체, 재산의 이익을 위해 필요하다고 인정되는 경우
   • 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우
   • 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우
2. 정보주체로부터 개인정보 수집 ·이용 동의를 받을 때에는 다음 사항을 고지하여야 한다.
   • 개인정보의 수집 ·이용 목적
   • 수집하려는 개인정보 항목
   • 개인정보의 보유 및 이용 기간
   • 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

 

---

 

(제16조) 개인정보 수집 제한

(가) 개인정보 처리자는 수집 목적에 필요한 최소한의 개인정보를 수집해야 하며 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.

1. 수집 목적에 필요한 최소한의 범위를 벗어난 개인정보는 선택정보로서 필수 정보와 구분하여 동의를 얻어야 하며 정보주체가 동의하면 수집할 수 있다

 

(나) 개인정보처리자는 필요한 '최소한의 개인정보(필수 정보) 이외의 '개인정보(선택 정보)' 수집에는 동의하지 않을 수 있다는 사실을 구체적으로 알리고 개인 정보를 수집하여야 한다.

1. 필요한 최소한의 개인정보 이외의 개인정보(선택 정보) 수집에는 동의 거부 가능 

 

(다) 개인정보처리자는 필요한 '최소한의 개인정보(필수 정보) 이외의 '개인정보(선택 정보)' 수집에 동의하지 않는다는 이유로 정보주체에게 재화 또는 서비스 제공을 거부할 수 없다.

1. 필요한 최소한의 개인정보 이외의 개인정보 수집에 동의하지 않는다는 이유로 재화 또는 서비스 제공 거부 금지

 

---

 

(제17조) 개인정보의 제공 : 수집 목적 범위 내 제3자 제공

(가) 개인정보처리자는 다음의 경우에 수집한 개인정보를 제3자에게 제공할 수 있다.

1.  정보주체의 동의를 받은 경우
2. 다음의 경우에 따라 수집한 목적 범위 내에서 제공하는 경우
   • 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우
   • 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위해 불가피한 경우
   • 명백히 정보주체 또는 제3자의 급박한 생명, 신ㅊ레, 재산의 이익을 위하여 필요하다고 인정되는 경우
   • 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우
   • 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

 

(나) 개인정보 제3자 제공에 따른 정보주체의 동의를 받을 때에는 다음과 같은 사항을 고지하여야 한다.

1. 개인정보를 제공받는 자
2. 개인정보를 제공받는 자의 개인정보 이용 목적
3. 제공하는 개인정보의 항목
4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간
5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

 

---

 

(제18조) 개인정보의 목적 외 이용·제공 제한

(가) 개인정보를 목적 외 이용하거나 제3자에게 제공하는 것은 원칙적으로 금지한다. 단, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없는 경우에 예외적으로 다음에 한해 허용한다.

1. 정보주체의 별도 동의를 받은 경우
2. 다른 법률에 특별한 규정이 있는 경우
3. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
4. 기타 공공기관에 해당하는 사항
   • 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정한 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의 ·의결을 거친 경우 등
5. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

 

(나) 개인정보를 목적 외 용도로 제3자에게 제공하는 경우 이행 사항

1. 제공하는 자 : 제공받는 자에게 이용 목적, 이용 방법 그 외 필요 사항에 대해 제한하거나 개인정보 안전성 확보 조치를 마련하도록 요청
2. 제공받는 자 : 개인정보의 안전성 확보 조치 이행

 

---

 

(제19조) 개인정보를 제공받은 자의 이용·제공 제한

(가) 개인정보처리자로부터 개인정보를 제공받은 자는 다음의 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공해서는 안된다.

1. 정보주체로부터 별도의 동의를 받은 경우
2. 다른 법률에 특별한 규정이 있는 경우

 

---

 

(제20조) 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지

(가) 정보주체 이외로부터 수집한 개인정보를 처리할 때 정보주체의 요구가 있으면 즉시 다음 사항을 알려야 한다.

1. 개인정보의 수집 출처
2. 개인정보의 처리 목적
3. 개인정보 처리의 정지를 요구하거나 동의를 철회할 권리가 있다는 사실

 

---

 

(제20조의2) 개인정보 이용·제공 내역의 통지

(가) 일정 기준 이상의 개인정보처리자는 수집한 개인정보의 이용 ·제공 내역이나 이용 ·제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 주기적으로 정보주체에게 통지해야 한다.

1. 통지의무 대상 개인정보처리자
   • 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자
   • 100만명 이상의 정보주체에 대한 개인정보를 처리하는 자
2. 통지해야 하는 정보
   • 개인정보의 수집 ·이용 목적 및 수집한 개인정보 항목
   • 개인정보를 제공받은 제3자와 그 제공 목적 및 제공한 개인정보 항목
3. 통지 방법 및 주기 : 연 1회 이상 다음 중 하나의 방법으로 통지
   • 서면 ·전자우편 ·전화 ·문자전송 등 정보주체가 통지 내용을 쉽게 확인할 수 있는 방법
   • 재화 및 서비스를 제공하는 과정에서 정보주체가 쉽게 알 수 있도록 알림창을 통해 알리는 방법

 

(나) 연락처 등 정보주체에게 통지할 수 있는 개인정보를 수집 ·보유하지 않았을때는 통지하지 않을 수 있다.

 

(다) 개인정보 이용 ·제공 내역 통지 예시(전자우편 통지)

 

---

 

(제21조) 개인정보의 파기

(가) 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 개인정보가 불필요하게 되었을 때에는 지체 없이 파기해야 한다. 다만, 다른 법령에 따라 보존해야 하는 경우 보존할 수 있다.

1. (2020 개인정보 보호 법령 및 지침 ·고시 해설/개인정보보호위원회) 개인정보처리자는 개인정보 보유기간을 고지하고 동의받는 경우 그 보유기간을 정할 때는 필요 최소한으로 정해야 한다.

 

(나) 개인정보를 파기할 때에는 복구 또는 재생되지 않도록 조치한다.

※ 파기 방법
 - 기록물, 인쇄물 서면, 기록매체 : 파쇄 또는 소각
 - 전자적 파일 형태 : 복원이 불가능한 방법으로 영구 삭제

※ 파기 절차
 - 개인정보처리자 : 개인정보의 파기에 관한 사항을 기록 및 관리
 - 개인정보보호책임자 : 개인정보파기 시행 후 파기 결과를 확인

 

(다) 다른 법령에 따라 보존 시 다른 개인정보와 분리하여 저장 ·관리해야 한다.

 

---

 

(제22조) 동의를 받는 방법

(가) 정보주체(법정 대리인 포함)의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아아야 한다. 즉 포괄적 동의를 금지한다.

1. 개인정보의 수집 ·이용 동의
2. 개인정보 제3자 제공 동의
3. 개인정보의 목적 외 이용 ·제공 동의
4. 개인정보를 제공받은 자의 목적 외 이용 ·제공 동의
5. 민감정보의 처리 동의
6. 고유식별정보의 처리 동의
7. 재화나 서비스를 홍보하거나 판매를 권류하기 위하여(마케팅 목적) 개인정보의 처리에 동의받으려는 경우

 

(나) 정보주체의 동의 없이 처리할 수 있는 개인정보는 그 항목과 법적 근거를 정보주체의 동의를 받아서 처리하는 개인정보와 구분하여 개인정보 처리방침에 공개하거나 전자우편 등으로 정보주체에게 알려야 한다.

 

(다) 정보주체가 선택적으로 동의할 수 있는 사항을 동의하지 않는 이유로 재화나 서비스 제공을 거부해서는 안된다.

 

(라) 개인정보 수집 ·이용 및 제3자 제공 동의 예시

 

---

 

(제22조의2) 아동의 개인정보 보호

(가) 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의를 받아야 하며, 법정대리인이 동의하였는지를 확인해야 한다.

 

(나) 법정대리인의 동의를 받기 위해 필요한 최소한의 정보는 법정대리인의 동의없이 해당 아동으로부터 직접 수집할 수 있다.

 

(다) 만 14세 미만 아동의 개인정보 수집 ·이용 동의 예시