1. 개인정보의 목적 외 이용ᆞ제공 금지(제18조 제1항)
개인정보의 목적 외 이용ᆞ제공이란 정보주체에게 이용ᆞ제공의 목적을 고지하고 동의를 받은 범위나 법 또는 다른 법령에 의하여 이용·제공이 허용된 범위를 벗어나서 개인정보를 이용하거나 제공하는 것을 말한다.
개인정보의 목적 외 이용ᆞ제공은 정보주체의 별도의 동의 등 예외사유가 있는 경우를 제외하고는 원칙적으로 금지된다.
2. 목적 외 이용ᆞ제공이 가능한 경우(제18조 제2항)
(1) 정보주체로부터 별도의 동의를 받은 경우(제18조 제2항 제1호)
개인정보를 목적 외로 이용·제공하기 위해서는 정보주체의 별도의 동의를 받아야 한다.
(2) 다른 법률에 특별한 규정이 있는 경우(제18조 제2항 제2호)
‘특별한 규정’은 ‘법률’로 한정되어 있으므로 법률의 위임 없이 시행령·시행규칙에만 관련 규정이 있는 경우에는 목적 외 이용ᆞ제공이 허용되지 않는다. 또한 법률에서 개인정보의 목적 외 이용ᆞ제공을 구체적으로 허용하고 있어야 하며, ‘법령상 의무이행’과 같이 포괄적으로 규정된 경우에는 목적 외 이용·제공이 허용되지 않는다.
(3) 급박한 생명ᆞ신체ᆞ재산상 이익을 위하여 필요한 경우(제18조 제2항 제3호)
정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전동의를 받을 수 없는 경우로서 명백히 제3자의 급박한 생명·신체·재산상의 이익을 위하여 필요하다고 인정되는 경우에는 목적 외 이용ᆞ제공이 허용된다.
(4) 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우(제18조 제2항 제5호)
‘공공기관’이 다른 법률에서 정하는 소관 업무를 수행하기 위하여 목적 외 이용 또는 제공이 불가피하게 필요한 경우, 보호위원회의 심의ᆞ의결을 거쳐 목적 외 이용 또는 제공이 가능하다.
(5) 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우(제18조 제2항 제6호)
법률의 효력을 가지는 조약이나 국제협정에서 개인정보의 목적 외 이용 또는 제공을 규정하고 있다면, 이러한 조약 등의 이행을 위해서는 정보주체의 동의 없이도 개인정보를 목적 외 이용 또는 제공할 수 있다.
(6) 범죄 수사와 공소의 제기 및 유지를 위하여 필요한 경우(제18조 제2항 제7호)
공공기관 외의 개인정보처리자에 대해서는 비록 범죄 수사 목적이라 하더라도 원칙적으로 형사소송법 등의 규정에 따라서만 개인정보 제공을 요구할 수 있음. 따라서 원칙적으로 법원이 발부한 영장이 필요하다.
‘공공기관’의 경우 수사기관이 범죄 수사, 공소 제기 및 유지를 위해서 필요하다고 요청하는 경우 해당 개인정보를 정보주체의 별도의 동의 없이 제공할 수 있다. 단, 영장에 의하지 않는 경우에는 피의자가 죄를 범하였다고 의심할 만한 정황이 있고 해당 사건과 관계가 있다고 인정할 수 있는 경우에 한하여 극히 제한적으로 개인정보를 제공하여야 할 것이며, 범죄의 형태나 경중, 정보주체가 받을 불이익의 정도 등 제반 사정을 종합적으로 고려하여 개인정보 이용이 없이는 수사의 목적을 달성할 수 없는 경우에 한하여 극히 제한적으로 개인정보를 제공하여야 할 것이다.
(7) 법원의 재판업무 수행을 위하여 필요한 경우(제18조 제2항 제8호)
법원으로부터 보정명령, 자료제출명령 등이 있는 경우 공공기관이 보유하고 있는 개인정보를 정보주체의 동의 없이 목적 외로 이용 또는 제공하는 것이 가능하다.
(8) 형 및 감호, 보호처분의 집행을 위하여 필요한 경우(제18조 제2항 제9호)
형, 보호ᆞ치료감호, 보호처분의 원활한 집행을 위하여 공공기관이 보유하고 있는 개인정보의 목적 외 이용 또는 제공을 허용하고 있다.
3. 목적 외 이용·제공시 동의의 방법(제18조 제3항)
(1) 당초 동의와 구분되는 별도의 동의를 받아야 함
목적 외 이용·제공 동의는 그 성질상 최초 동의에 포함될 수 없는 것이므로, 목적 외 이용ᆞ제공 사유 발생시 정보주체로부터 별도의 동의를 새롭게 받아야 한다.
(2) 목적 외 ‘이용’의 경우 고지사항
① 개인정보의 이용목적
② 이용하는 개인정보의 항목
③ 개인정보의 보유 및 이용기간
④ 동의거부권이 있다는 사실 및 동의거부에 따른 불이익에 관한 사항
(3) 목적 외 ‘제공’의 경우 고지사항
① 개인정보를 제공받는 자의 성명(법인 또는 단체인 경우에는 그 명칭)
② 제공받는 자의 이용목적
③ 제공하는 개인정보의 항목
④ 제공받는 자의 개인정보 보유 및 이용 기간
⑤ 동의거부권이 있다는 사실 및 동의거부에 따른 불이익
4. 목적 외 이용ᆞ제공의 공개(제18조 제4항)
공공기관이 개인정보를 목적 외로 이용하거나 제3자에게 제공하는 경우에는 목적 외 이용ᆞ제공을 한 날로부터 30일 이내에 목적 외 이용·제공의 법적 근거, 이용 또는 제공 일자ᆞ목적ᆞ항목에 관하여 관보 또는 인터넷 홈페이지에 게재하여야 한다.
단, 정보주체의 동의를 받은 경우 또는 범죄수사와 공소제기 및 유지를 위해 개인정보를 목적 외로 이용하거나 제공하는 경우에는 공개가 요구되지 아니한다.
5. 목적 외 ‘제공’시의 보호조치(제18조 제5항)
개인정보처리자가 개인정보를 목적 외로 제3자에게 제공할 때에는 제공과 동시에 또는 필요한 경우 제공한 이후에 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 이용 기간, 이용 형태 등을 제한하거나, 개인정보의 안전성 확보를 위하여 필요한 구체적인 조치를 마련하도록 문서(전자문서를 포함)로 요청하여야 한다.
이 경우 요청을 받은 자는 그에 따른 조치를 취하고 그 사실을 개인정보를 제공한 개인정보처리자에게 문서로 알려야 한다.