수집 출처 및 이용·제공 내역 통지
개념
- 정보주체 이외(제3자·공개 자료)로부터 수집한 개인정보를 처리할 때, 정보주체 요구 시 수집 출처·처리 목적·동의 철회 권리를 알려야 하며, 일정 규모 이상은 요구 없이도 통지해야 한다. 단, 자체적으로 생산된 정보는 해당하지 않는다.
법령 참조
- 개인정보 보호법 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지), 제20조의2(이용·제공 내역 통지)
주요내용
- 통지사항 3가지: ①개인정보 수집 출처 ②처리 목적 ③처리정지 요구·동의 철회 권리.
- 요구 시 통지 기한: 즉시(3일 이내).
- 정보주체 이외로부터 수집한 개인정보 사전 통지 대상: ①민감·고유식별정보 5만 명 이상 ②개인정보 100만 명 이상.
- 사전 통지 기한: 개인정보 제공받은 날로부터 3개월 이내 (연 2회 이상 주기적 수집 시 연 1회 이상 가능).
- 이용·제공 내역 대상: ①민감·고유식별정보 5만 명 이상 ②개인정보 100만 명 이상, 연 1회 이상.
- 이용·제공 내역 항목: 목적, 항목, 제공받은 제3자·제공 목적·제공한 항목
결함 사례
- 100만 명 이상 개인정보를 처리하면서 수집 출처를 요구 없이도 통지해야 함에도 3개월 이내에 통지하지 않은 경우.
- 정보주체가 수집 출처 통지를 요구했으나 3일을 초과하여 응한 경우.
- 통지 의무를 수탁자에게도 있다고 오인하여 위탁자가 통지를 이행하지 않은 경우.
참고
- 정보주체가 요구하지 않더라도 5만/100만 기준 초과 처리자는 선제적으로 알려야 함
- 이용·제공 내역 통지 방법: 서면·전자우편·전화·문자·알림창 등.
정리
- 수집 출처 통지 의무: 위탁자(개인정보처리자) 부담. 수탁자는 해당 없음.
- 통지 제외: 연락처가 없는 경우, 법령 등록 예외 파일(수사·국가안보 등), 통지로 제3자 피해 우려.
- 이용·제공 내역 통지 제외 대상: 통지 거부 표시 정보주체, 임직원, 법령 의무 이행 관련 정보주체, 일회적으로 운영되어 관리할 필요성이 낮은 개인정보 파일.