개인정보 목적 외 이용·제3자 제공 절차

2022. 5

정 보 보 안 센 터

						목 차

Ⅰ. 개요	1

1. 목적	1

2. 관련근거	1

3. 용어의 정의	1

Ⅱ. 목적 외 이용□제3자 제공 기준	2

1. 기본원칙	2

2. 개인정보 제공기준	3

Ⅲ. 목적 외 이용□제3자 제공 절차	4

1. 목적 외 이용□제3자 제공시 절차	4

2. 처리기준	4

Ⅳ. 목적 외 이용□제3자 제공 방법	9

1. 자료제공 업무처리 기준	9

2. 자료제공 방법	9

Ⅴ. 이용□제공 제한	11

1. 개인정보를 제공받은 자의 이용□제공 제한	11

2. 벌칙규정	11

Ⅵ. 안전성 확보조치	11

1. 책임관계 명확화	11

2. 문서시행	12

Ⅶ. 공개 및 기록□관리방안	12

1. 목적 외 이용□제3자 제공 사실의 공개	12

2. 목적 외 이용□제3자 제공 사실의 관리	12

# 붙임	14

[붙임 1] 관련법 조항	14

[붙임 2] 개인정보 목적 외 이용□제공 동의서(표준양식)	20

[붙임 3] 개인정보 목적 외 이용 및 제3자 제공 대장	21

[붙임 4] 개인정보 목적 외 이용 또는 제3자 제공 공고	22

Ⅰ		개 요

1. 목적

□ 최근 일부 공공기관에서 개인정보의 목적 외 이용 및 제3자 제공시「개인정보보호법」상 의무사항을 준수하지 않아 민원 및 행정처분 사례 증가

□ 공사가 수집·보유하고 있는 고객 개인정보를 외부기관에 제공할 때 기준, 범위, 내용 등에 대한 판단기준을 명확히 하여 개인정보에 관한 권리와 이익을 보호하고 관련 업무처리의 원활한 수행 도모

2. 관련 근거

□「개인정보보호법」제17조(개인정보의 제공), 제18조(개인정보의 이용·제공 제한),   제24조(고유식별정보의 처리제한) 및 제24조의2(주민등록번호 처리의 제한)

□ 개인정보보호법 시행령 제15조(개인정보의 목적 외 이용 또는 제3자 제공의 관리)

□ 표준 개인정보 보호지침 제8조(개인정보의 목적 외 이용·제공)

□ 공사 개인정보보호 지침 제6조(개인정보의 제공), 제7조(개인정보의 추가적인 이용·제공의 기준 등), 제8조(개인정보의 목적 외 이용·제공 제한)

3. 용어의 정의

□ “제3자”라 함은 개인정보를 실질적□직접적으로 수집□보유한 개인정보처리자를 제외한 모든자를 의미(수탁자는 제외)

□ “개인정보 제공”이란 우리공사가 보유하고 있는 개인정보를 제3자에게 저장매체(USB 등)에 저장하여 제공하거나, 개인정보가 수록된 출력물 등의 이전, 네트워크 전송, 개인정보 공유 등 개인정보의 이전 또는 공동이용 상태에 이르는 모든 행위를 말함

□ “목적 외 이용 및 제3자 제공”이란 개인정보처리자(기관․단체․법인 포함)가 당초의 수집목적을 벗어나 다른 목적으로 개인정보를 이용하거나, 당초 수집목적을 벗어나 다른 목적으로 이용하기 위해  제3자에게 개인정보를 제공하는 것

Ⅱ		목적 외 이용□제3자 제공 기준

1. 기본원칙

목적 외 이용□제3자 제공 판단기준

□ (목적의 정당성) 구체적으로 어떠한 목적을 위하여 해당 개인정보가 필요한가의 판단

□ (수단의 적정성) 해당 개인정보를 제공함으로써 공익목적을 달성할 수 있는지에 대한 판단

□ (피해의 최소성) 목적달성을 위하여 필요한 최소한의 정보는 어디까지 인지에 대한 판단

☞ 목적의 정당성, 수단의 적정성, 피해의 최소성, 법익의 균형성에 대하여 종합적     으로 검토한 후 필요한 최소한의 범위내에서 제공

□ (법익의 균형성) 제공에 따른 이익과 정보주체가 받을 수 있는 예상 피해를 비교하여 전자가 우월하다고 할 수 있는지의 여부 판단

요청기관의 적격여부 확인

□ 요청기관의 개별법에 자료요청의 근거조항이 구체적으로 명시된 경우 제공 가능

□ 요청기관의 개별법에 자료요청 근거법이 없는 경우 정보주체의 동의가 있었는지 여부 등 예외적 제공가능 사항에 해당되는지 확인한 후 제공 여부 결정

제공항목 판단

□ 공사가 수집한 정보여부 확인

- 공사가 직접 수집·생산한 정보가 아닌 경우 자료 제공이 불가하나, 정보주체의 동의가 있는 경우 제공 가능

- 요청목적에 부합하는 최소항목만 제공(개인정보 최소 제공 원칙)

- 주민등록번호는 법령에 구체적으로 처리를 요구(허용)하도록 규정되어 있는 경우 제공

2. 개인정보 제공기준

1. 정보주체로부터 별도의 동의를 받은 경우

2. 제15조제1항제2호ㆍ제3호ㆍ제5호 및 제39조의3제2항제2호ㆍ제3호에 따라 개인정보를

수집한 목적 범위에서 개인정보를 제공하는 경우

수집목적 범위 내에서 제공하는 경우(법 제17조)

수집목적 외의 용도로 제공하는 경우(법 제18조)

□ 기본원칙

- 개인정보처리자는「개인정보보호법」제18조(개인정보의 목적 외 이용·제공 제한) 제1항에 따라「개인정보보호법」제17조(개인정보의 제공) 제1항(수집 목적 범위에서 제공) 및 제3항(국외의 제3자에게 제공)의 범위를 초과하여 제3자에게 제공해서는 아니되나 「개인정보보호법」제18조 제2항 각 호에 해당하는 다음의 경우는 예외적으로 제공 가능함

- 단, 정보주체 또는 제3자의 권익을 부당하게 침해할 우려가 있다고 인정되는 때에는 제공 불가

⟪목적 외 이용 · 제3자 제공금지 예외 사유⟫

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 정보주체가 의사표시를 할 수 없거나 주소불명 등으로 사전 동의를 받을 수 없는

경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여

필요하다고 인정되는 경우

4. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른

법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을

거친 경우

5. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여

필요한 경우

6. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

7. 법원의 재판업무 수행을 위하여 필요한 경우

8. 형 및 감호, 보호처분의 집행을 위하여 필요한 경우

Ⅲ		목적 외 이용□제3자 제공 절차

1. 목적 외 이용□제3자 제공시 절차

절 차	주요내용
1. 법적근거 검토	- 목적 외 이용□제3자 제공이 가능한 경우에 해당하는지 법적근거 검토
□
2. 동의절차 이행	- 법적 근거가 없는 경우에는 정보주체로부터 별도의 동의를 받아야 함 * 동의서는 [붙임2]의 표준양식 참조 ** 단 주민등록번호는 정보주체의 동의가 있더라도 법적 근거 없이는 처리 불가
□
3. 대장기록□관리	- ‘개인정보의 목적 외 이용 및 제3자 제공대장’ 기록□관리 * 목적 외 이용□제공 대장은 [붙임3] 참조
□
4. 주요내용 공개	- 30일 이내에 관보 또는 인터넷 홈페이지 게재 * 공고문은 [붙임4] 참조
□
5. 보호조치 요구	- 제3자 제공시에는 이용목적, 이용방법, 이용기간, 이용형태 등을 제한하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 문서로 요청 * 전자결재 시 문서정보 내 공개여부 6호 설정 시 안전성확보조치 문구 자동설정
□
6. 조치결과 회신	- 안전성 확보조치 요청을 받은 자(제공받은 기관)는 그에 따른 조치를 취한 후, 그 결과를 개인정보를 제공한 기관에게 문서로 알려야 함

2. 처리 기준

요청 절차의 적정성 확인

① 문서 접수

□ 개인정보 제공 요청은 요청 기관의 장으로부터 문서로 접수

□ 문서는 전자문서 접수를 원칙으로 하되 법원문서 등 불가피한 경우는 예외

※ 우편 또는 팩스 등 오프라인으로 접수한 경우 원본서류를 스캔하여 전자결재를 득한 후 처리

□ 제3자 제공요청 문서 접수 시 확인할 필수 사항

1. 요청하는 법률 근거(정보주체의 동의를 받은 경우 동의 여부 확인)

2. 요청 목적

3. 요청하는 개인정보 항목

4. 이용기간

※ 요청 문서에 상기 내용이 불충분할 경우 해당기관에 문서 재발송 요구

② 신청인 등 확인

□ 전자문서 : 신청인 확인 절차 생략

□ 방문신청 : 신분증 확인 및 요청 기관 근무여부 확인

□ 팩스, 우편 등 : 담당자 신분증 사본 접수 및 요청 기관 근무여부 확인

자료제공 항목 판단

① 공사의 직접수집 정보여부 확인

□ 공사가 직접 수집□생산한 정보에 한하여 제공

□ 공사가 다른 기관으로부터 입수□활용하는 정보는 제공 불가

- 단, 정보주체로부터 별도의 동의를 받았거나 다른 법률에 특별한 규정이 있는 경우에는 제공 가능

② 요청 목적에 부합하는 최소 항목만 제공(개인정보 최소 제공의 원칙)

□ 자료제공 요청 항목이 요청 목적과 부합하지 않거나 과도하다고 판단되는 경우 해당 항목은 제외하고 필요한 최소의 범위내 제공

□ 자료요청 근거 법령에서 제공 항목을 열거하고 있는 경우 해당 항목에 한해 제공

③ 다른 기관으로부터 위탁받은 업무인 경우 위탁받은 업무범위를 초과하여 자료제공 불가

자료제공여부 및 범위 판단

☞ 개인정보의 제공 여부 판단 및 제공 범위는 요청 기관의 개별 법률과 개인정보 보호 법령 및 지침□고시 해설서 등을 종합적으로 참조하여 사례별로 판단하고   정보주체 또는 제3자의 이익을 침해하지 않는 범위 내에서 최소한의 자료만 제공

① 정보주체의 동의를 받은 경우(법 제18조 제2항 제1호)

□ 반드시 정보주체의 동의를 받아야 하므로 배우자 등 가족의 개인 정보까지 요청하는 경우 가족 개개인의 동의 여부 확인

□ 요청기관이 정보주체의 동의를 받은 경우 요청기관으로부터 동의서를 전수 제출받아 확인 후 제공

- 동의서에 기재된 자료제공 항목 범위 내에서 제공

- 주민등록번호는 법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우에 제공

□ 정보주체의 동의를 받아 제공하는 경우 개인정보보호법 제18조 제3항에 따른 의무사항 반드시 준수

- 공사에서 정보주체의 동의를 받아 제공하는 경우에는 정보주체에게 제공받는 자, 이용목적, 이용기간 등 법 제18조 제3항에 따른 필수 고지사항을 알려주어야 함

- 공사에서 정보주체의 동의를 받아 제공하는 경우 동의서에 법 제18조 제3항에 따른 필수 고지사항 기재 여부 반드시 확인 후 제공

※ 고지할 사항이 누락된 경우 정보제공 불가(단, 요청기관이 동의서에 필수 고지사항을 보완하여 제출한 경우에는 제공 가능)

⟪법 제18조 제3항에 따른 필수 고지사항⟫

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용기간

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

- 정보주체의 동의를 받을 시 다음 항목은 글씨크기 9pt이상, 다른 내용과

최소 20%이상 크게 적용하고, 색깔, 굵기 또는 밑줄 등을 통해 안내

(법 제22조 제2항)

⟪법 제22조 제2항에 따른 명확한 표시사항⟫

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 개인정보를 제공받는 자의 개인정보 보유 및 이용기간

4. 제공하는 개인정보의 항목 중 민감정보 또는 고유식별정보

5. 동의사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우, 그 중요한 내용

② 다른 법률에 특별한 규정이 있는 경우(법 제18조 제2항 제2호)

☞ 요청기관의 개별 법률을 근거로 자료제공을 요청하는 경우

□ 자료 제공 근거 법령 유무 확인

- 요청 기관의 개별법이 이용기관, 이용목적, 이용하는 개인정보의 항목 등을 구체적으로 명시한 특별한 규정이 있는 경우 제공

□ 요청목적의 적정여부 확인

- 개별 법령에서 정한 이용목적 및 요청항목과 요청목적이 부합하지 않는 경우 제공 불가

- 개별 법령에 이용 목적이 한정되어 있거나 제공 항목을 열거하고 있는 경우에는 해당 목적 및 항목에 한해 제공

③ 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우(법 제18조 제2항 제7호)

□ ②번 항목의 “다른 법률에 특별한 규정이 있는 경우”의 자료제공 기준에 준하여 판단

□ 수사 등의 목적으로 개인정보 제공을 요청받은 경우에도 무조건 제공해야 하는 것은 아니므로 영장, 사건번호, 접수번호 등을 확인한 후 자료제공 여부를 판단

- 범죄의 형태와 경중, 정보주체가 받을 불이익의 정도 등 제반 사정을 종합적으로 고려하여 개인정보 이용이 없이는 수사 목적을 달성할 수 없는 경우에 한하여 제한적으로 제공 가능하나 요청기관과 협의하여 자료 제공범위 등 결정

☞ 불특정 다수의 개인정보를 제공할 경우 정보주체, 또는 제3자의 권익(인권)이     부당하게 침해 될 소지가 있음

- 수사기관에서 영장을 제시하거나 법원에서 요청하는 경우에는 영장의 구속력      에 따라 제공 가능하나 자료 요청자와 협의하여 최소한의 범위로 자료 제공

④ 법원의 재판업무 수행을 위하여 필요한 경우(법 제18조 제2항 제8호)

□ ②번 항목의 “다른 법률에 특별한 규정이 있는 경우”의 자료제공 기준에 준하여 판단

□ 법원의 문서제출명령서, 사실조회, 문서송부촉탁 등에 의해 정보주체의 동의 없이 목적 외로 제공 가능

⑤ 형 및 감호 보호처분의 집행을 위하여 필요한 경우(법 제18조 제2항 제8호)

□ ②번 항목의 “다른 법률에 특별한 규정이 있는 경우”의 자료제공 기준에 준하여 판단

⑥ 법 제18조 제2항 제3호부터 제6호까지의 제3자 제공여부 판단

□ 개인정보의 제공 목적, 내용, 형태, 관련 근거법 등을 고려하여 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없는지 여부 등을 종합적으로 판단하여 제공

Ⅳ		목적 외 이용□제3자 제공 방법

1. 자료제공 업무처리 기준

□ 개인정보 자료 제공은 부득이한 경우를 제외하고는 전자결재에 의한 문서 회신을 원칙으로 함

⟪회신문서의 필수 기재사항⟫

1. 이용목적, 이용방법, 이용기간, 이용형태의 제한 사항

2. 개인정보의 안전성 확보를 위해 필요한 구체적인 조치사항(복원불가능한 방법으로 삭제,

해당 파일 완전 파기 등)

□ 회신 내용에는 다음 사항을 반드시 기재

※ 전자결재 시 문서정보 내 공개여부 6호 설정 시 안전성확보조치 문구 자동설정

(자동설정문구 : 제공받은 개인정보는 「개인정보보호법」에 따라 사용목적 달성 후 파기하는 등

안전성확보조치를 하여주시기 바랍니다.)

□ 자료제공 내역을 ‘개인정보 목적 외 이용 및 제3자 제공대장’   (별지3호 서식)에 반드시 기록□관리하고 관련 시스템에 등록

□ 업무처리 후 PC에 개인정보 자료가 저장된 경우 지체없이 삭제

2. 자료제공 방법

□ 기본원칙

- 전자결재 문서에 의해 제공함을 원칙으로 하되, 부득이한 경우 보조기억매체(USB, CD 등) 및 이메일, 우편 등으로 제공 가능

□ 우편을 이용하는 경우 배달증명으로 발송

□ 이메일에 의한 자료 제공시 업무용 컴퓨터에서 사용하는 문서작성 도구(한글, 엑셀 등)의 자체 암호화 기능으로 파일 암호화

- 자료제공 시 반드시 내부결재를 득한 후 제공

□ 전자결재 문서에 의한 전자통신망을 이용하여 제공하는 경우

- 문서 본문에 개인정보 및 비밀번호를 표기하여 제공불가

- 개인정보를 엑셀 등 첨부파일 형태로 제공하되, 반드시 암호화조치

하여 송부하고 암호는 유선 등의 방법으로 별도 통보

□ 엑셀 등 문서 출력물에 의해 직접 전달하는 경우

- 자료 제공 시 요청기관의 담당자 또는 직상급자에게 직접 전달

- 수령자 인적사항 등을 반드시 확인하여 대장기록 관리

□ 보조기억매체(USB)을 이용하여 제공하는 경우

- 제공되는 개인정보 자료는 반드시 암호화 조치

- 요청 기관의 담당자 또는 직상급자에게 직접 전달

- 수령자 인적사항 등을 반드시 확인하여 대장기록 관리

- 보조기억매체(USB) 반․출입 절차에 대해서는 저장매체관리시스템에 등록 후 처리

Ⅴ		이용□제공 제한

1. 개인정보를 제공받은 자의 이용·제공 제한(법 제19조)

□ 원칙적으로 개인정보의 제공받은 목적 외 이용 및 제3자 제공금지

- 개인정보를 제공받은 자는 해당 개인정보를 제공받은 목적과 다른 용도로 이용하거나 제3자에게 제공하여서는 안 됨

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

□ 예외적으로 아래의 사유에 해당하는 경우에는 제공받은 목적 외 이용·제공 가능

2. 벌칙규정

위반행위	벌 칙
개인정보를 목적 외로 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자(제18조 제1항, 제2항, 제19조 위반)	5년 이하의 징역 또는 5천만원 이하의 벌금 (제71조 제2호)
정보주체에 대한 고지의무 위반(제18조 제3항 위반)	3천만원 이하의 과태료 (제75조 제2항 제1호)

Ⅵ		안전성 확보조치

1. 책임관계 명확화

□ 개인정보를 제공하는 자와 개인정보를 제공받는 자는 안전성에 대한 책임관계를 명확히 하여야 함

□ 이용목적, 이용방법, 이용기간, 이용형태 등에 일정한 제한을 가하거나 법 제29조에 따른 안전성 확보에 필요한 구체적인 조치를 마련하도록 제공받는 기관에 문서(전자문서 포함)로 요청

- 이 경우 요청을 받은 자는 그에 따른 조치를 취한 후, 그 사실을 개인정보를 제공한 개인정보처리자에게 문서로 알려야 함

2. 문서시행

□ 개인정보 자료 제공시 문서로 시행

- 문서에 제공목적 이외의 이용금지, 사용목적 달성 후 폐기, 사후관리 실태 확인 등의 안전성 확보 조치 문구를 표기하여 시행

※ 전자결재 시 문서정보 내 공개여부 6호 설정 시 안전성확보조치 문구 자동설정

Ⅶ		공개 및 기록□관리방안

1. 목적 외 이용·제3자 제공 사실의 공개(법 제18조제4항)

□ 공개방법

- 목적 외 이용 등을 한 날로부터 30일 이내에 관보 또는 인터넷

홈페이지에 게재(홈페이지에 게재하려는 때에는 10일 이상 계속 게재)

- 공개의 예외 : 아래의 경우에는 공개하지 않아도 됨

1. 정보주체로부터 별도의 동의를 받은 경우

2. 범죄의 수사와 공소의 제기 및 유지를 위하여 개인정보를 목적 외로 이용·제공하는 경우

□ 필수 공개사항

1. 이용 또는 제공의 일자

2. 이용 또는 제공의 법적 근거

3. 이용 또는 제공의 목적

4. 이용 또는 제공하는 개인정보의 항목

※ 목적 외 이용 또는 제3자 공고문 : [붙임4]참조하여 작성

2. 목적 외 이용□제3자 제공의 관리(시행령 제15조)

□ 관리방법

- 개인정보를 목적 외의 용도로 이용하거나 제공한 경우에는「개인정보의 목적 외 이용 및 제3자 제공 대장」*을 기록□관리

※ 목적 외 이용□제공 대장은 [붙임3] 참조

□ 필수 기록사항

⟪개인정보의 목적 외 이용 및 제3자 제공 대장 기록사항⟫

1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭

2. 이용기관 또는 제공받는 기관의 명칭(성명, 연락처)

3. 이용목적 또는 제공받는 목적

4. 이용 또는 제공의 법적 근거

5. 이용 또는 제공하는 개인정보의 항목

6. 이용 또는 제공의 일자, 주기 또는 기간

7. 이용 또는 제공하는 형태

8. 개인정보를 제공받는 자에게 개인정보의 이용을 제한하거나 안전성 확보를 위하여

필요한 조치를 마련할 것을 요청한 경우에는 그 내용

붙임1		관련법 조항

□ 개인정보보호법

제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 제15조제1항제2호·제3호 및 제5호에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

③ 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 제2항 각 호에 따른 사항을 정보주체에게 알리고 동의를 받아야 하며, 이 법을 위반하는 내용으로 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

④ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있다.

제18조(개인정보의 목적 외 이용ㆍ제공 제한) ① 개인정보처리자는 개인정보를 제15조제1항 및 제39조의3제1항 및 제2항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.

② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 이용자(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 해당하는 자를 말한다. 이하 같다)의 개인정보를 처리하는 정보통신서비스 제공자(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제3호에 해당하는 자를 말한다. 이하 같다)의 경우 제1호ㆍ제2호의 경우로 한정하고, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 삭제 <2020. 2. 4.>

5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우

6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

8. 법원의 재판업무 수행을 위하여 필요한 경우

9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

③ 개인정보처리자는 제2항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)

3. 이용 또는 제공하는 개인정보의 항목

4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

④ 공공기관은 제2항제2호부터 제6호까지, 제8호 및 제9호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 보호위원회가 고시로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.  <개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 2. 4.>

⑤ 개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.

제24조(고유식별정보의 처리 제한) ① 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 "고유식별정보"라 한다)를 처리할 수 없다.

1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우

② 삭제 <2013. 8. 6.>

③ 개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다. <개정 2015. 7. 24.>

④ 보호위원회는 처리하는 개인정보의 종류·규모, 종업원 수 및 매출액 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 제3항에 따라 안전성 확보에 필요한 조치를 하였는지에 관하여 대통령령으로 정하는 바에 따라 정기적으로 조사하여야 한다.

<신설 2016. 3. 29., 2017. 7. 26., 2020. 2. 4.>

⑤ 보호위원회는 대통령령으로 정하는 전문기관으로 하여금 제4항에 따른 조사를 수행하게 할 수 있다. 있다. <신설 2016. 3. 29., 2017. 7. 26., 2020. 2. 4.>

제24조의2(주민등록번호 처리의 제한) ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. <개정 2016. 3. 29., 2017. 7. 26., 2020. 2. 4.>

1. 법률·대통령령·국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우

2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우

3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우

② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다. <신설 2014. 3. 24., 2015. 7. 24.>

③ 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다. <개정 2014. 3. 24.>

④ 보호위원회는 개인정보처리자가 제3항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련·지원할 수 있다.

<개정 2014. 3. 24., 2017. 7. 26., 2020. 2. 4.>

[본조신설 2013. 8. 6.]

□ 개인정보보호법 시행령

제15조(개인정보의 목적 외 이용 또는 제3자 제공의 관리) 공공기관은 법 제18조제2항 각 호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 다음 각 호의 사항을 보호위원회가 정하여 고시하는 개인정보의 목적 외 이용 및 제3자 제공 대장에 기록하고 관리하여야 한다. <개정 2013. 3. 23., 2014. 11. 19., 2017. 7. 26., 2020. 8. 4.>

1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭

2. 이용기관 또는 제공받는 기관의 명칭

3. 이용 목적 또는 제공받는 목적

4. 이용 또는 제공의 법적 근거

5. 이용하거나 제공하는 개인정보의 항목

6. 이용 또는 제공의 날짜, 주기 또는 기간

7. 이용하거나 제공하는 형태

8. 법 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용

□ 표준 개인정보 보호지침

제8조(개인정보의 목적 외 이용·제공) ① 개인정보처리자가 법 제18조제2항에 따라 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 이용 기간, 이용 형태 등을 제한하거나, 개인정보의 안전성 확보를 위하여 필요한 구체적인 조치를 마련하도록 문서(전자문서를 포함한다. 이하 같다)로 요청하여야 한다. 이 경우 요청을 받은 자는 그에 따른 조치를 취하고 그 사실을 개인정보를 제공한 개인정보처리자에게 문서로 알려야 한다.

② 법 제18조제2항에 따라 개인정보를 목적 외의 용도로 제3자에게 제공하는 자는 해당 개인정보를 제공받는 자와 개인정보의 안전성 확보 조치에 관한 책임관계를 명확히 하여야 한다.

③ 개인정보처리자가 법 제18조제3항제1호에 따라 정보주체에게 개인정보를 제공받는 자를 알리는 경우에는 그 성명(법인 또는 단체인 경우에는 그 명칭)과 연락처를 함께 알려야 한다.

□ 공사 개인정보보호 지침

제6조(개인정보의 제공) ① “개인정보의 제공“이란 개인정보의 저장매체 또는 개인정보가 담긴 출력물이나 책자 등의 물리적 이전, 네트워크를 통한 개인정보의 전송, 개인정보에 대한 제3자의 접근권한 부여, 공사와 제3자의 개인정보 공유 등 개인정보의 이전과 공동으로 이용할 수 있는 상태를 초래하는 모든 행위를 말한다.

② “제3자“란 정보주체와 정보주체에 관한 개인정보를 수집·보유하고 있는 공사를 제외한 모든 자를     의미하며, 정보주체의 대리인(명백히 대리의 범위 내에 있는 것에 한다)과 「개인정보 보호법」     (이하 “법“이라 한다) 제26조제2항에 따른 수탁자는 제외한다.

③ 공사는 다음 각 호의 경우에 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다)할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 제5조제2항제2호·제3호·제4호·제5호에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

④ 제3항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다.

이 경우 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자(연락처 포함)

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

⑤ 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등     안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 제7조제1항에 따라 정보주체의 동의     없이 개인정보를 제공할 수 있다.

제7조(개인정보의 추가적인 이용·제공의 기준 등) ① 공사는 제5조제8항 또는 제6조제5항에 따라 정보주체 동의 없이 개인정보를 이용 또는 제공(이하 “개인정보의 추가적인 이용 또는 제공“이라 한다)하려는 경우에는 다음 각 호의 사항을 고려해야 한다.

1. 당초 수집 목적과 관련성이 있는지 여부

2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부

3. 정보주체의 이익을 부당하게 침해하는지 여부

4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부

② 공사는 제1항 각 호의 고려사항에 대한 판단 기준을 법 제30조제1항에 따른 개인정보 처리     방침에 미리 공개하고, 법 제31조제1항에 따른 개인정보 보호책임자가 해당 기준에 따라

개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검해야 한다.

제8조(개인정보의 목적 외 이용·제공 제한) ① 공사는 제5조제2항에 따른 범위를 초과하여 개인정보를 이용하거나 제6조제3항에 따른 범위를 초과하여 제3자에게 개인정보를 제공하여서는 아니 된다.

② 제1항에도 불구하고 공사는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의     이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나     이를 제3자에게 제공할 수 있다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우

5. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

6. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

7. 법원의 재판업무 수행을 위하여 필요한 경우

8. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

③ 공사가 제2항제2호부터 제5호까지, 제7호 및 제8호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공(이하 "목적외이용등"이라 한다)하는 경우에는 개인정보를 목적외이용등을 한 날부터 30일 이내에 다음 각 호의 사항을 관보 또는 인터넷 홈페이지에 게재하여야 한다. 이 경우 인터넷 홈페이지에 게재할 때에는 10일 이상 계속 게재하되, 게재를 시작하는 날은 목적외이용 등을 한 날부터 30일 이내여야 한다.

1. 목적외이용등을 한 날짜

2. 목적외이용등의 법적 근거

3. 목적외이용등의 목적

4. 목적외이용등을 한 개인정보의 항목(구성)

④ 공사가 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 이용 기간, 이용 형태 등을 제한하거나, 개인정보의 안전성 확보를 위하여 필요한 구체적인 조치를 마련하도록 문서(전자문서를 포함한다. 이하 같다)로 요청하여야 한다. 이 경우 요청을 받은 자는 그에 따른 조치를 취하고 그 사실을 개인정보를 제공한 공사에게 문서로 알려야 하며, 개인정보를 제공하는 자와 제공받는 자는 개인정보의 안전성에 관한 책임관계를 명확히 하여야 한다.

⑤ 개인정보를 제3자에게 제공하거나 목적 외의 용도로 이용하는 경우에는 별지 제1호서식의 개인정보의 목적 외 이용 및 제3자 제공대장에 관련사항을 기록·관리하여야 한다.

⑥ 개인정보의 제3자 제공에 관한 상세절차는 『개인정보의 목적 외 이용 및 제3자 제공 절차서』를 따른다.

붙임2		개인정보 목적 외 이용□제공 동의서(표준양식)

《작성방법》

○ 수집한 개인정보를 제3자에게 제공할 경우에만 작성/활용

○ 개인정보를 제공받는 자, 제공받는 자의 개인정보 이용목적, 제공하는 개인정보의 항목,

제공받는 자의 개인정보 보유/이용기간, 거부 시 불이익사항을 명시

○ 제공받는 자, 제공받는 자의 개인정보 이용목적, 개인정보의 보유 및 이용기간, 제공하는 개인

정보 항목 중 민감정보 또는 고유식별정보 등은 글씨 크기 9pt이상, 다른 내용과 최소 20%이상

크게 적용하고, 색깔, 굵기 또는 밑줄 등을 통해 안내

《예 시》

【개인정보를 제공받는 자】

한국토지주택공사는 수집한 귀하의 개인정보를 다음과 같은 자에게 제공합니다.

1. OOO에 관한 법률 제O조에 의한 OOO기관

2. 주식회사 OOO

【개인정보를 제공받는 자의 개인정보 이용목적】

1. OOO에 관한 서비스

2. OOO에 관한 업무

【제공하는 개인정보의 항목】

성명, 전화번호, 운전면허번호, 생년월일

【개인정보를 제공받는 자의 개인정보 보유 및 이용기간】

OOO에 제공된 귀하의 개인정보는 원칙적으로 개인정보의 수집 및 이용 목적이 달성되면 지체

없이 파기합니다. 단, 다음의 정보에 대해서는 아래의 이유로 명시한 기간 동안 보존합니다.

1. 보존 사유 : OOO

2. 보존 기간 : O년

【개인정보를 제공에 대한 동의를 거부할 권리】

귀하가 OOO에 정보를 제공하기 원하지 않을 경우 귀하는 개인정보의 제공에 대한 동의를 거부

할 수 있으며, 미동의시 OOO상의 불이익이 발생할 수 있습니다.

□ 개인정보의 제3자 제공(홈페이지 게시)에 동의하십니까? (해당란에 √표시)	□ 동의함 □ 동의하지 않음

동의자 확인  :   성명 _________________ (인 또는 서명)

※ 인터넷, 홈페이지 등을 통한 동의 시에는 동의 여부만 표시하고 확인 서명 제외 가능

붙임3		개인정보의 목적 외 이용 및 제3자 제공 대장

개인정보의 목적 외 이용 및 제3자 제공 대장
개인정보 또는 개인정보파일 명칭
이용 또는 제공 구분	［ ］목적 외 이용 ［ ］제3자 제공
목적 외 이용기관의 명칭 (목적 외 이용의 경우)		담당자	소 속
			성 명
			전화번호
제공받는 기관의 명칭 (제3자 제공의 경우)		담당자	성 명
			소 속
			전화번호
이용하거나 제공한 날짜, 주기 또는 기간
이용하거나 제공한 형태
이용 또는 제공의 법적 근거
이용 목적 또는 제공받는 목적
이용하거나 제공한 개인정보의 항목
「개인정보 보호법」 제18조제5항에 따라 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용

붙임4		개인정보의 목적 외 이용 또는 제3자 제공 공고

○○ 공고 제 ○○호

개인정보의 목적 외 이용 또는 제3자 제공 공고

『개인정보 보호법』제18조(개인정보의 목적 외 이용․제공 제한) 및『개인정보 처리 방법에 관한 고시』제2조(공공기관에 의한 개인정보의 목적 외 이용 또는 제3자 제공의 공고)에 의거 ○○○에서 개인정보의 목적 외 이용 또는 제3자 제공한 내역을 아래와 같이 공고합니다.

1. 관리부서 :

2. 개인정보파일명 :

3. 공고기간 : 게재일로부터 10일 이상

4. 공고 장소 : ○○○ 홈페이지 (고시/공고)

5. 개인정보 목적 외 이용 또는 제3자 제공일 :

6. 개인정보 목적 외 이용 또는 제3자 제공 법적근거 :

7. 개인정보 목적 외 이용 또는 제3자 제공 목적 :

8. 개인정보 목적 외 이용 또는 제3자 제공 항목 :

20   .    .    .

○ ○ ○