개인정보를 제3자에게 제공하는 데 동의를 받을 때에는 받는 사람과 이용 목적, 제공 항목 등을 알려야 한다(개인정보 보호법 제17조 제2항). 동의 버튼이 있다는 사실만으로 무엇을 어디에 제공하는지 모두 설명됐다고 볼 수는 없다. 이 글은 동의를 근거로 하는 제3자 제공의 고지사항을 다룬다.
수집 동의와 제공 동의를 구분한다
가령 서비스를 신청하는 중 다른 회사에 개인정보를 제공한다는 동의란을 보았다고 하자. 설명용 가상 사례다. 신청받은 회사가 자기 업무에 정보를 수집하는 일과 다른 개인정보처리자에게 제공하는 일은 구분해서 읽는다. 제17조 제1항은 제3자에게 제공하는 데 공유도 포함한다고 정한다. 다만 모든 정보 전달이 같은 형태인지는 실제 처리 관계를 확인해야 하며, 이 글에서 개별 업무위탁인지 제3자 제공인지까지 판정하지는 않는다.
누가 받아 무엇에 얼마나 쓰는가
동의를 받을 때에는 개인정보를 제공받는 자, 그 사람의 개인정보 이용 목적, 제공하는 정보의 항목, 받는 사람의 보유 및 이용 기간을 알려야 한다. 동의를 거부할 권리가 있다는 사실과 거부에 따른 불이익이 있다면 그 내용도 알릴 사항이다. 제17조 제2항은 이 사항 중 어느 하나를 변경할 때에도 알리고 동의를 받도록 한다. 처음 동의한 문구만 보지 말고 변경 안내가 무엇을 바꾼 것인지 대조한다.
모든 제공에 동의가 필요한 것은 아니다
제17조 제1항 제2호는 법이 정한 수집 근거와 목적 범위에 따른 제공도 정한다. 제4항에는 당초 수집 목적과 합리적으로 관련된 범위에서 불이익과 안전성 조치 등을 고려해 대통령령에 따라 동의 없이 제공할 수 있는 경우도 있다. 따라서 동의가 없었다는 사정만으로 모든 제공이 곧바로 위법하다고 확정하지 않는다. 먼저 회사가 어떤 근거로 누구에게 어떤 정보를 제공한다고 알렸는지 확인한다. 동의 당시 안내와 변경 안내, 실제 제공에 관한 회신을 모아 고지사항과 처리 근거를 나누어 살핀다.
