개인정보 제3자 제공·위탁 원칙
개념
- 제3자 제공은 정보주체 동의 또는 법령 근거가 필요하며, 처리업무 위탁은 문서에 근거하여 진행하고 위탁자가 수탁자를 감독·교육해야 한다.
법령 참조
- 개인정보 보호법 제17조(제3자 제공), 제26조(업무위탁에 따른 처리제한)
주요내용
- 제3자 제공 시 동의 고지사항 5가지:
①제공받는 자
②이용 목적
③제공 항목
④보유·이용 기간
⑤동의 거부 권리 및 불이익 - 위탁 문서 필수 기재 사항: 위탁 목적 외 처리 금지 / 기술적·관리적 보호조치 / 위탁 목적·범위 / 재위탁 제한 / 접근 제한 안전조치 / 감독·손해배상 책임.
- 위탁 공개: 인터넷 홈페이지에 지속 게재 (불가 시 사업장 게시·관보·간행물·계약서 등).
- 홍보·마케팅 위탁 시: 별도로 정보주체에게 서면 등으로 통지 필요.
결함 사례
- 위탁 계약서에 재위탁 제한 조항을 포함하지 않아 수탁자가 임의로 재위탁한 경우.
- 마케팅 업무를 위탁하면서 정보주체에게 서면 등으로 통지하지 않은 경우.
- 통신사가 요금이 연체된 고객의 채권 추심을 위해 추심업체에 고객 정보를 제공하는 과정에서 해당 고객이 아닌 고객 가족 연락처를 동의를 받지 않고 함께 제공한 경우.
참고
- 수탁자 위법으로 인한 손해: 수탁자 = 위탁자의 소속 직원으로 간주 → 위탁자가 배상책임.
- 전자처방전 서비스 플랫폼을 통하여 그 서비스 이용자인 병원이 전자처방전을 환자가 지정한 약국으로 직접 전송함에 있어서 해당 플랫폼이 중계를 위하여 처방 정보를 일시 보관하는 경우에는 개인정보의 처리로 보지 않음.
정리
- 개인정보의 추가적인 이용·제공 시 고려사항: ①목적 관련성 ②예측 가능성 ③정보주체 이익 침해 여부 ④안전조치 이행.