회사가 본인 이외의 곳에서 수집한 개인정보를 처리한다면, 정보주체가 요구할 때 수집 출처 등을 즉시 알려야 한다(개인정보 보호법 제20조 제1항). 모르는 회사가 내 정보를 갖고 있다면 어디에서 무엇 때문에 수집했는지부터 묻는 것이 출발점이다.
출처와 처리 목적을 함께 요구한다
가령 직접 정보를 준 기억이 없는 회사가 자기 정보를 이용하고 있음을 알게 됐다고 하자. 설명용 가상 사례다. 제20조 제1항은 수집 출처와 처리 목적, 개인정보 처리정지 요구나 동의 철회 권리가 있다는 사실을 모두 알리도록 정한다. 어디서 얻었는지 한 가지만 묻고 그 정보를 어떤 목적으로 처리하는지는 놓치지 않는다. 다만 회사가 본인에게서 직접 받은 경우까지 이 항의 상황과 같게 설명하지 않는다.
요구 없이 알릴 의무와는 구별한다
제20조 제2항은 개인정보의 종류와 규모, 종업원 수와 매출액 등 대통령령의 기준에 해당하는 처리자가 제3자 제공 동의에 따라 본인 이외의 곳에서 수집하여 처리하는 경우에는 요구 여부와 별도로 알리도록 한다. 다만 수집 정보에 연락처 등 알릴 수 있는 정보가 없다면 예외가 있다. 모든 회사가 어떤 수집이든 먼저 통지해야 한다는 뜻으로 확대하지 않는다. 제1항의 요구에 따른 통지와 제2항의 별도 통지 대상을 나눈다.
법정 예외와 실제 답변을 대조한다
제20조 제4항은 법정 개인정보파일에 포함된 경우나 통지가 다른 사람의 생명 · 신체를 해할 우려, 재산 등 이익을 부당하게 침해할 우려가 있는 경우의 적용 예외도 정한다. 이 예외는 정보주체의 권리보다 명백히 우선하는 경우에 한한다는 제한이 있다. 단지 회사 내부 정보라는 설명을 이러한 조건과 같게 읽지 않는다. 회사가 처리하는 정보의 내용, 출처와 목적을 요구한 기록, 회신과 그 이유를 모아 본다. 실제 수집이 적법했는지는 수집 출처를 들은 것만으로 확정되지 않는다. 이 글은 개별 회사의 수집 근거나 대통령령의 규모 기준까지 판정하는 설명은 아니다.
