개인정보 수집·제공·위탁과 국외 이전

1. 수집·이용의 근거

2026년 9월 13일 시행 법령 기준이다. 동의는 대표적인 근거지만 유일하지 않다. 법률의 특별 규정·법령상 의무, 공공기관 소관 업무, 정보주체와의 계약 체결·이행, 급박한 생명·신체·재산상 이익, 정당한 이익 등의 법정 요건도 판단한다.

정당한 이익은 처리자의 이익이 정보주체 권리보다 명백히 우선하고 상당한 관련성과 합리적 범위가 있는지 등을 따진다. “사업에 도움이 된다”는 이유만으로 충분하지 않다. 근거가 있어도 필요한 최소한만 처리한다.

동의를 받는 경우 목적, 항목, 보유·이용기간, 거부권과 불이익을 알린다. 필수·선택 동의를 구분하고, 필요 없는 선택정보에 동의하지 않았다는 이유로 기본 서비스를 부당하게 거절하지 않는다. 만 14세 미만 아동에게 동의가 필요한 처리라면 법정대리인 동의와 확인 요건을 적용한다.

2. 민감정보·고유식별정보

민감정보에는 사상·신념, 건강, 성생활 등 법률상 항목과 유전정보, 범죄경력자료, 개인 식별 목적의 생체인식정보, 인종·민족 정보 등 시행령상 항목이 포함된다. 모든 일반 사진이 자동으로 생체인식 민감정보가 되는 것은 아니다.

고유식별정보는 주민등록번호·여권번호·운전면허번호·외국인등록번호다. 일반 회원번호와 구별한다. 민감정보와 고유식별정보는 별도 동의 또는 법령상 허용 등 강화된 근거를 확인한다.

주민등록번호는 별도 동의만으로도 처리할 수 없다. 구체적 처리를 요구·허용하는 법령, 급박한 생명·신체·재산상 이익 등 법 제24조의2의 제한적인 근거를 확인해야 한다.

3. 제3자 제공과 위탁

계약의 제목보다 실제 처리 목적과 지시·감독 관계를 본다. 수집·이용의 근거가 있다고 제3자 제공까지 자동 허용되는 것은 아니다. 제공 동의 시 받는 자, 이용 목적, 항목, 보유·이용기간, 거부권·불이익을 알린다.

위탁은 목적 외 처리 금지와 안전조치 등을 문서로 정하고 위탁업무·수탁자를 공개하며 교육·감독한다. 홍보·판매 권유 업무 위탁의 별도 알림 요건과 재위탁 시 위탁자 동의도 구분한다. 업체에 맡겼다는 이유로 감독 책임이 사라지지 않는다.

4. 목적 외 처리와 사업 이전

당초 목적과 합리적으로 관련된 추가 이용·제공은 관련성, 예측 가능성, 부당한 이익 침해 여부, 안전조치 등 요건을 검토한다. 목적이 크게 다른 신규 사업에 무제한 활용할 수 있다는 뜻이 아니다.

영업양도·합병 등으로 이전할 때에는 이전 사실과 승계 주체 등을 알리고, 승계자는 당초 목적 범위와 법정 제한을 지켜야 한다. 회사가 바뀌었다고 새로운 목적의 이용이 자동 허용되지는 않는다.

좌우로 이동해 그림을 확인하세요.그림 크게 보기

5. 국외 이전의 두 층

국외 이전에는 제공(조회 포함), 처리위탁, 보관이 포함된다. 국내에 둔 자료를 국외 수령자가 조회하는 경우도 판단 대상이다.

법정 근거에는 별도 동의, 법률·조약 등의 특별 규정, 계약 체결·이행에 필요한 위탁·보관과 고지·공개 요건, 인정된 인증과 보호조치, 보호위원회의 동등 수준 인정 등이 있다. 특히 계약 필요성에 따른 고지·공개 근거는 위탁·보관에 관한 것으로 모든 제3자 제공에 확대하지 않는다.

동의 시 이전 항목, 국가·시기·방법, 수령자, 목적·보유기간, 거부 방법·절차·효과를 알린다. 국내의 제공·위탁 근거와 국외 이전 근거·보호조치를 모두 충족해야 한다. 해외 클라우드 이용 자체가 금지되거나 자동 허용되는 것은 아니다.