후속 처리를 볼 때 제15조제3항과 제17조제4항을 같은 조항처럼 쓰면 안 됩니다. 제15조제3항은 정보주체가 동의하지 않은 상황에서 개인정보처리자가 추가로 이용하는 경우를, 제17조제4항은 그 동의 없이 제3자에게 추가 제공하는 경우를 다룹니다. 두 조항은 당초 수집 목적과 합리적으로 관련된 범위 및 시행령상 고려사항을 확인합니다.
당초 목적 범위를 넘어서는 이용·제공은 제18조의 제한과 별도 예외를 따로 검토합니다. 배송 안내가 원래 주문·배송 목적 안의 이용인지부터 확인하고, 제휴 판촉은 수령자와 독립 목적, 추가 제공인지 목적 외 처리인지 나눕니다. 아래 사례는 새로 만든 교육용 예시입니다.
‘관련 있다’는 말은 자동 허용을 뜻하지 않습니다
주문 정보를 받은 사업자가 배송 지연을 알리는 일과 제휴사가 자기 상품을 광고하는 일을 같은 ‘고객 관리’로 묶으면 중요한 차이가 사라집니다. 첫째, 배송 안내가 당초 주문·배송 목적의 이용인지 확인합니다. 원래 목적 범위의 이용과 추가 이용은 다른 판단입니다. 원래 목적과 관련된 동의 없는 추가 이용이라면 제15조제3항, 제3자에게 관련 범위에서 동의 없이 추가 제공하려면 제17조제4항을 각각 살핍니다. 두 조항은 대상 행위가 다릅니다. 시행령 제14조의2는 이 추가 이용·제공에서 네 가지 사항을 고려하게 합니다. 당초 수집 목적과의 관련성, 수집 정황·처리 관행에 따른 예측 가능성, 정보주체 이익의 부당한 침해 여부, 가명처리·암호화 등 안전조치 여부입니다. 이는 제시 사실을 확인하는 고려사항이지 ‘관련성’ 하나만으로 자동 허용한다는 뜻이 아닙니다. 기존 수집 목적을 넘는 행위라면 제18조의 목적 외 이용·제공 제한과 별도 예외를 확인해야 합니다. 제15조제3항·제17조제4항의 추가 이용·제공 규정을 제18조 예외와 섞어 쓰지 마세요.
배송 상태 알림과 제휴 판촉을 비교합니다
| 상황 | 질문할 처리 형태 | 확인할 조건 | 즉시 내릴 수 없는 결론 |
|---|---|---|---|
| 주문한 상품의 배송 지연 안내 | 수집 목적 범위의 이용인지 확인 | 주문·배송 목적, 안내 대상과 항목 | 주문정보를 모든 후속 안내에 쓸 수 있다는 뜻 아님 |
| 제휴사가 별도 상품을 홍보 | 제3자 제공 또는 목적 외 처리 여부 확인 | 수령자, 독립 목적, 법적 근거, 불이익·보호조치 | ‘고객 혜택’이라는 표현만으로 허용되지 않음 |
| 같은 회사의 신규 서비스 추천 | 새 이용 목적 또는 관련성 여부 확인 | 기존 수집 목적, 예상 가능한 범위, 시행령 요건 | 같은 회사이므로 언제나 목적 내 이용이라는 뜻 아님 |
첫 번째 행의 배송 안내도 주문·배송 목적 안에서 필요한 정보와 대상에게 보내는지 확인해야 합니다. 다만 그 목적을 벗어난 추가 이용이라면 제15조제3항의 조건을 따져야 합니다. 두 번째 행에서는 제휴사가 제3자인지와 정보를 자기 판촉에 쓰는지 확인합니다. 당초 목적과 합리적으로 관련된 범위에서 동의 없이 제3자에게 추가 제공하는 경우라면 제17조제4항 및 시행령 제14조의2의 네 고려사항을 검토합니다. 그렇지 않고 당초 수집 목적 범위를 넘는 제공이라면 제18조의 제한·예외를 별도로 확인합니다. 세 번째 행은 수령자가 동일해도 새 이용 목적이 생길 수 있음을 보여 줍니다. 회사 안팎이라는 위치 하나로 조문을 결정하지 말고, 목적·행위·수령자·근거를 각각 적으세요. 사례에 없는 불이익·예측 가능성·안전조치는 임의로 채우지 말고 추가 확인 조건으로 남깁니다.
다섯 단계로 처리 유형과 조문을 나눕니다
- 처음 개인정보를 받은 목적과 수집 근거를 그대로 씁니다.
- 후속 행위가 같은 처리자의 이용인지, 제3자에게 하는 제공인지 구분합니다.
- 당초 목적 범위 안인지, 목적과 관련된 추가 이용·제공인지, 목적 외 처리인지 판별합니다.
- 제15조제3항의 이용 또는 제17조제4항의 제공이라면 관련성·예측 가능성·부당한 이익 침해·안전조치 네 고려사항을 확인합니다.
- 목적 외 처리라면 제18조의 제한·예외를 별도로 검토하고, 빠진 사실은 미확인으로 남깁니다.
시험형 질문이 ‘제공할 수 있는가’를 묻는다면 수령자와 제공 목적을 먼저 찾습니다. 법 제17조제4항은 제공에 대한 조항이므로, 이를 다른 주체의 모든 이용에도 그대로 적용하지 마세요. 목적 외 이용은 제18조의 별도 예외와 제한을 확인합니다. 또한 법률에서 정한 고려요소가 보인다고 곧바로 통과 점수를 주듯 판단하지 않습니다. 실제 업무에서는 시행령의 구체 요건과 정보주체에게 미칠 영향, 안전조치 등을 같이 대조해야 합니다. 문제 지문이 하나의 사실만 제공했다면 그 사실만으로 모든 요건을 충족했다고 상상하지 않는 것이 중요합니다.
목적의 이름을 바꿔 후속 이용을 숨기지 않습니다
대표적인 오답은 ‘서비스 품질 개선’이나 ‘고객 편의’라는 넓은 표현을 목적이라고 적고, 그 안에 배송, 판촉, 제휴 제공을 모두 넣는 것입니다. 목적 이름이 넓다고 각 처리 행위의 관계가 자동으로 해결되지는 않습니다. 또 법 제17조제4항의 조건 중 ‘합리적으로 관련된 범위’만 외우고 불이익과 안전조치, 시행령 기준을 빠뜨리는 답도 불완전합니다. 답안에는 수집 목적, 후속 행위, 수령자, 확인할 조건을 각각 한 줄로 분리해 적으세요.
수집 목적과 후속 행위를 한 쌍으로 회상합니다
복습 카드의 앞면에는 ‘배송 지연 안내’ 또는 ‘제휴 상품 광고’만 적고, 뒷면에는 원래 목적과 처리 형태부터 회상합니다. 그다음 제17조의 관련 제공 조건이나 제18조의 목적 외 제한처럼 적용할 조문을 붙이세요. 정보주체 불이익, 안전조치, 시행령 요건이 빠졌다면 결론을 보류합니다. 이 순서는 ‘관련성’이라는 단어를 만능 허가처럼 암기하지 않게 도와줍니다. 실제 처리에서는 개인정보 보호 담당자와 적용 법령을 확인해야 합니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
서비스가 주문 때 받은 연락처로 배송 지연을 알리는 행위와, 제휴사에 연락처를 보내 판촉에 쓰게 하는 행위를 비교하세요. 추가 이용·제공과 목적 외 처리를 나누는 조문은 각각 무엇이며, 추가 이용·제공에서 확인할 시행령 고려사항은 무엇인가요?
정답과 해설 확인
배송 알림이 당초 주문·배송 목적 안의 이용인지 먼저 확인합니다. 목적 관련 추가 이용은 법 제15조제3항, 정보주체가 동의하지 않은 상황에서 제3자에게 하는 추가 제공은 제17조제4항과 시행령 제14조의2를 검토합니다. 당초 목적 범위를 넘어가면 제18조의 제한과 예외를 별도로 적용합니다. 시행령상 당초 목적 관련성, 처리 정황·관행에 따른 예측 가능성, 정보주체 이익의 부당한 침해 여부, 가명처리·암호화 등 안전조치를 확인합니다.제15조제3항은 개인정보처리자가 추가로 이용하는 경우, 제17조제4항은 제3자에게 추가로 제공하는 경우를 다룹니다. 시행령 제14조의2는 정보주체가 동의하지 않은 상황에서 두 조항에 따라 추가 이용하거나 제공할 때 네 고려사항을 정하며, 제18조의 목적 외 이용·제공은 별도 제한과 예외를 둡니다. 배송 알림이 기존 목적 범위인지 여부는 구체적 수집 목적과 사실에 따라 확인해야 합니다.