1. 개인정보 수집ᆞ이용(제15조 제1항)
수집이란 정보주체(직접)로부터 또는 제3자(간접)로부터 개인정보를 제공받거나 취득하는 일체의 행위를 말하며, 개인정보의 “수집”이란 정보주체로부터 직접 이름, 주소, 전화번호 등의 개인정보를 제공받는 것뿐만 아니라 제3자로부터 정보주체에 관한 모든 형태의 개인정보를 취득하는 것을 말한다. 다만, 인터넷 등에 공개된 자료의 경우 이에 해당하지 않는다.
수집한 개인정보는 목적범위 내에서 이용할 수 있다. 개별 법령에서 개인정보의 “수집”을 허용한 경우, 이용에 관한 규정이 없더라도 수집목적 범위 내에서 이용할 수 있다.
2. 개인정보 수집ᆞ이용의 정당화 사유(제15조 제1항)
(1) 정보주체의 동의를 받은 경우(제1항 제1호)
‘동의’는 개인정보처리자가 개인정보를 수집ᆞ이용하는 것에 대한 정보주체의 자발적인 승낙의 의사표시로서(서명날인, 구두, 홈페이지 동의 등) 동의 여부를 명확하게 확인할 수 있어야 한다.
인터넷 홈페이지 등 공개된 매체, 장소 등에 정보주체가 자신의 개인정보를 수집ᆞ이용해도 된다는 명시적인 동의의사를 표시하거나, 홈페이지의 성격, 게시물 내용 등에 비추어 사회통념상 동의의사가 있었다고 인정되면, 해당 정보주체의 개인정보는 동의 없이 수집ᆞ이용이 가능하다. (표준지침 제6조 제4항)
(2) 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우(제1항 제2호)
‘법률’에서 수집ᆞ이용을 구체적으로 요구하거나 허용하고 있어야 한다. 따라서 시행령이나 시행규칙에서 규정하는 경우는 이에 해당하지 않는다.
법률에서 수집ᆞ이용을 요구하거나 허용하기만 하고 상대방(제3자)에게 제공 의무를 규정하고 있지 않아도 제3자는 정보주체의 동의 없이 개인정보를 제공할 수 있다(대법원 2012다105482 판결, 2016.3.10. 선고).
(3) 공공기관이 법령 등에서 정하는 소관업무 수행을 위해 불가피한 경우(제1항 제3호)
공공기관의 경우 개인정보를 수집할 수 있도록 명시적으로 허용하는 규정이 없더라도 ‘법령 등’에서 소관업무를 정하고 있고 그 소관업무의 수행을 위하여 개인정보를 불가피하게 수집할 수 밖에 없는 경우를 말한다.
예를 들어, 정부조직법, 각 기관별 직제령, 직제규칙 등 조직법뿐 아니라 「주민등록법」, 「지능 정보화기본법」등 작용법 등에서 공공기관에 소관업무 수행을 규정하고 있는 경우 및 하나의 공공기관에 소속된 내부 직원끼리 소관업무를 수행하기 위하여 개인정보를 전달하는 것은 하나의 개인정보처리자 내의 개인정보취급자간 전달이므로 가능하다.
(4) 정보주체와의 계약 체결 및 이행을 위해 불가피하게 필요한 경우(제1항 제4호)
이 경우까지 동의를 요하는 것은 지나치게 경제 활동을 제약하기 때문에 이런 경우 동의 없이도 수집이 허용된다.
(5) 정보주체의 사전 동의를 받을 수 없는 경우로서 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우(제1항 제5호)
‘정보주체의 사전 동의를 받을 수 없는 경우’란 정보주체나 법정대리인이 의사표시를 할 수 없거나 주소불명 등으로 사전 동의를 할 수 없는 경우가 이에 해당한다고 해석된다.
‘정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우’란 이익과 손해를 비교하여 이익이 월등한 경우를 말하며, 급박한지 여부는 동의를 받을 수 있는 충분한 시간적 여유가 있는지 여부를 말한다.
(6) 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백히 정보주체의 권리보다 우선하는 경우(제1항 제6호)
개인정보처리자의 정당한 이익과 정보주체의 권리를 비교하여 전자의 이익이 명백하게 월등한 경우를 말한다.
해당 개인정보의 수집과 이용이 개인정보처리자의 정당한 이익과 관련성이 높고 합리적 범위 내의 것이어야 한다.
개인정보처리자의 정당한 이익을 달성하기 위한 경우인지 판단은 정보주체의 이익과 비교하여 신중하게 판단하여야 한다.
3. 개인정보 이용 범위 확대(제15조 제3항)
개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 다음 각 호의 사항을 고려하여 정보주체의 동의 없이 이용할 수 있음
※ 당초 수집 목적과 합리적 관련성 판단의 고려 요소
- 당초 수집 목적과 관련성이 있는지 여부
- 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부
- 정보주체의 이익을 부당하게 침해하는지 여부
- 가명처리 또는 암호화 등 안전성 확보에 필요한 조치 수행 여부
위 고려사항에 대한 판단 기준을 개인정보 처리방침에 미리 공개하고, 개인정보 보호책임자가 해당 기준에 따라 개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검하여야 한다.
4. 개인정보 최소 수집 원칙(제16조)
목적에 필요한 최소한의 개인정보를 수집. 단 최소한의 개인정보 수집 입증 책임은 개인정보 처리자가 부담한다.
필요 최소한의 정보 외의 개인정보 수집에는 동의 거부 가능을 구체적으로 알리고 수집하며, 최소한의 개인정보 이외의 개인정보 수집에 동의하지 않는다는 이유로 재화 등의 제공을 거부하는 것은 금지된다.