개인정보처리자에게서 고객정보를 받았다고 해서 다른 목적에 자유롭게 쓰거나 다시 넘길 수 있는 것은 아니다. 개인정보 보호법 제19조는 제공받은 목적 밖의 이용과 제3자 제공을 원칙적으로 금지하고, 정보주체의 별도 동의나 다른 법률의 특별 규정이 있는 경우를 예외로 둔다.
제공받은 목적과 새 이용을 나눈다
가령 다른 회사에게서 특정 목적에 사용할 고객정보를 제공받은 회사가 그 정보를 별개 홍보에 쓰려 한다고 하자. 설명용 가상 사례다. 제19조가 다루는 것은 개인정보처리자로부터 정보를 제공받은 자의 이용 · 제공 제한이다. 처음 정보를 적법하게 받았는지와 이후 새 용도로 사용할 수 있는지는 같은 판단이 아니다. 이 글은 실제 제3자 제공으로 받은 경우를 전제로 하며, 처리 업무를 위탁받은 수탁자인지까지 임의로 확정하지 않는다.
목적 밖 이용에는 별도 근거가 필요하다
제19조의 예외는 정보주체로부터 별도의 동의를 받았거나 다른 법률에 특별한 규정이 있는 경우다. 제공한 회사와 받는 회사가 서로 합의했다는 사실을 정보주체의 별도 동의와 같게 볼 수는 없다. 원래 제공받은 목적이 무엇이고 새 용도가 그 목적 밖인지, 별도 동의나 특별 규정이 실제로 있는지를 나누어 확인한다. 거래가 이어진다는 설명으로 다른 목적의 이용 근거까지 대체하지 않는다.
다시 넘길 때에도 제한을 확인한다
제19조는 목적 밖의 자체 이용뿐 아니라 제3자에게 제공하는 것도 함께 제한한다. 전달받은 자료를 보유하고 있다는 사실만으로 또 다른 회사에 줄 권한이 생기는 것은 아니다. 제공 당시 목적과 정보 항목을 보여 주는 안내, 정보주체의 별도 동의 문구 및 경과, 새 이용이나 제공의 근거로 제시한 규정을 함께 대조한다. 누가 무엇에 동의했는지와 회사 사이 업무 합의를 구분해야 한다. 이 글은 개별 홍보 행위의 적법성이나 다른 법률에 따른 추가 의무를 일괄 판단하지 않는다. 처음 받은 관계와 새 목적을 정리해야 확인할 제한과 예외가 분명해진다.
