공개된 개인정보의 수집·제공과 동의의 범위

정보주체가 공개한 개인정보라도, 동의가 있었다고 객관적으로 인정되는 범위에서 처리한다면 별도 동의가 불필요하다(2014다235080 판결요지 [3]). 공개 목적·대상과 다시 제공하는 방식 등을 함께 판단한다(2014다235080 판결요지 [3]). 그 범위에서는 별도 동의 누락만으로 개인정보 보호법 제15조·제17조 위반이라고 볼 수 없다(2014다235080 판결요지 [3]).

쉽게 말하면 — 대학 홈페이지의 교수 소개를 모아 유료로 제공한 사건이 있었습니다(2014다235080 이유 1.다).
대법원은 직업정보라는 성격과 원래 공개 목적, 정보를 접하는 범위 등을 살폈습니다(2014다235080 이유 1.라.(2)).
그 결과 회사가 소장 부본을 송달받을 무렵까지 제공한 행위는 객관적으로 동의한 범위 안에 있다고 판단했습니다(2014다235080 이유 1.라.(2)).
이에 따라 별도 동의를 받지 않았다는 이유만으로 개인정보 보호법 제15조·제17조 위반이라고 볼 수 없었습니다(2014다235080 이유 1.라.(2)).

어떤 공개정보도 개인정보로 보호되는가

공개된 정보라도 개인을 알아볼 수 있는 정보라면 개인정보자기결정권의 보호대상이다(2014다235080 판결요지 [1]). 개인정보자기결정권은 자기 정보가 언제 누구에게 어느 범위까지 알려지고 이용될지 스스로 정할 권리다(2014다235080 판결요지 [1]). 사적인 비밀뿐 아니라 공적 생활에서 생겼거나 이미 공개된 정보도 보호한다(2014다235080 판결요지 [1]).

개인정보 보호법의 개인정보는 살아 있는 개인에 관한 정보다(개인정보 보호법 제2조 제1호). 성명·영상처럼 그 자체로 알아볼 수 있는 정보와 다른 정보에 쉽게 결합해 알아볼 수 있는 정보가 포함된다(같은 법 제2조 제1호 가·나목).

결합의 용이성은 다른 정보의 입수 가능성, 알아보는 데 필요한 시간·비용·기술 등을 합리적으로 고려한다(같은 법 제2조 제1호 나목). 가명처리로 추가 정보를 사용·결합하지 않으면 개인을 알아볼 수 없게 된 가명정보도 개인정보에 포함된다(같은 법 제2조 제1호 다목).

정보주체란 처리되는 정보로 알아볼 수 있는 그 사람을 뜻한다(개인정보 보호법 제2조 제3호). 개인정보처리자는 업무상 개인정보파일을 운용하려고 직접 또는 다른 사람을 통해 정보를 처리하는 공공기관·법인·단체·개인 등이다(같은 법 제2조 제5호).

개인정보파일은 정보를 쉽게 검색하도록 일정한 규칙으로 배열하거나 구성한 정보의 집합이다(같은 법 제2조 제4호).

공개 형태·대상 범위를 대조하려면 실제 게시된 항목과 누가 접근할 수 있었는지를 확인한다(저자 종합, 2014다235080 판결요지 [3]).

공개된 정보를 다시 수집·제공할 때 별도 동의가 필요한가

정보처리자는 정보주체의 동의가 있었다고 객관적으로 인정되는 범위 안에서 처리할 때 별도 동의를 받을 필요가 없다(2014다235080 판결요지 [3]). 이 법리는 정보주체가 직접 또는 제3자를 통해 공개한 개인정보에 적용된다(2014다235080 이유 1.나). 동의의 범위가 외부에 표시되지 않았다는 사정만으로 다시 동의를 받을 의무가 생기지는 않는다(2014다235080 이유 1.나).

그 범위 안에서는 별도 동의를 받지 않았다는 이유만으로 개인정보 보호법 제15조·제17조 위반이라고 볼 수 없다(2014다235080 판결요지 [3]).

동의가 있었다고 인정되는 범위는 다음 사정을 종합하여 객관적으로 판단한다(2014다235080 판결요지 [3]).

공개된 개인정보의 성격, 공개한 형태와 대상 범위를 살핀다(2014다235080 판결요지 [3]).
공개 상황에서 드러나는 정보주체의 의도와 목적을 살핀다(2014다235080 판결요지 [3]).
다시 수집·제공하는 방식과 그 제공으로 공개 대상이 원래보다 달라졌는지를 살핀다(2014다235080 판결요지 [3]).
다시 제공하는 목적이 원래 공개 목적과 상당한 관련이 있는지를 살핀다(2014다235080 판결요지 [3]).

공개 사실만으로 모든 수집·제공에 동의한 것으로 볼 수는 없다(저자 종합, 2014다235080 판결요지 [3]).

유료로 제공하면 위법해지는가

정보처리자의 영리 목적만으로 위법해지는 것은 아니며 정보주체와 정보처리자 등의 이익을 구체적으로 비교한다(2014다235080 판결요지 [2]). 자기 의사로 공개한 정보를 별도 동의 없이 영리 목적으로 수집·제공한 경우의 판단이다(2014다235080 판결요지 [2]). 일반 판단기준과 교수 직업정보 사건에의 적용을 나누어 볼 수 있다.

이익형량의 기준

이익형량이란 충돌하는 양쪽의 보호할 이익을 구체적으로 비교하는 것이다. 대법원은 개인정보의 인격권 보호 이익과 알 권리·표현의 자유·영업의 자유·경제적 효율성 등을 비교하도록 했다(2014다235080 판결요지 [2]).

다음 사정들을 종합해 어느 쪽 이익이 우월한지 판단한다(2014다235080 판결요지 [2]).

정보주체가 공적인 존재인지와 정보의 공공성·공익성을 살핀다(2014다235080 판결요지 [2]).
원래 공개한 대상 범위를 살핀다(2014다235080 판결요지 [2]).
처리 목적·절차·이용 방식의 상당성과 필요성을 살핀다(2014다235080 판결요지 [2]).
처리로 침해될 수 있는 이익의 성질과 내용을 살핀다(2014다235080 판결요지 [2]).

교수 직업정보의 유료 제공 사례

법률정보 회사는 법학과 홈페이지와 교원명부·교수요람에서 교수의 사진·성명·학력·경력 등을 수집했다(2014다235080 이유 1.다.(3)·(4)). 회사는 이를 다른 콘텐츠와 결합하여 요금을 받는 방식으로 제공했다(2014다235080 이유 1.다.(2)).

대법원이 판단한 정보는 일반인이 접근할 수 있는 매체에 공개된 교수의 직업정보였다(2014다235080 이유 1.라.(1)). 민감정보나 고유식별정보는 포함되지 않았다(2014다235080 이유 1.라.(1)). 민감정보에는 건강·정치적 견해 등에 관한 정보가 포함된다(개인정보 보호법 제23조 제1항). 고유식별정보는 법령에 따라 개인을 고유하게 구별하려고 부여한 식별정보 중 대통령령으로 정한 정보다(같은 법 제24조 제1항).

대법원은 회사가 교수의 명시적 의사에 반하여 정보를 처리한 것은 아니라는 점도 고려했다(2014다235080 이유 1.라.(1)). 대법원은 교수의 공적 지위와 정보의 공익성 등을 종합해 처리로 얻는 법적 이익이 우월하다고 판단했다(2014다235080 이유 1.라.(1)).

또한 재제공 내용은 원래 공개한 내용과 같았고, 목적도 직업정보 제공으로 관련성이 있었다(2014다235080 이유 1.라.(2)). 정보에 대한 인식 범위도 당초 공개 때와 달라졌다고 보기 어려웠다(2014다235080 이유 1.라.(2)). 이 조건에서 소장 부본을 송달받을 무렵까지의 제공은 객관적으로 동의한 범위 안에 있다고 판단했다(2014다235080 이유 1.라.(2)).

대법원은 회사의 위자료 책임을 일부 인정한 원심판결을 그 부분에서 파기환송했다(2014다235080 이유 1.마·주문). 유료 제공의 허용 여부는 이처럼 실제 정보와 공개·처리 상황을 대조하여 판단한다(저자 종합, 2014다235080 판결요지 [2]·[3]). 일반적인 손해배상 요건과 시효는 불법행위에서 설명한다.

동의 범위를 벗어난 이용은 어떻게 판단하나

정보처리자는 공개만으로 허용되지 않는 처리를 하려면 별도 동의나 해당 행위를 허용하는 법적 근거를 갖추어야 한다(개인정보 보호법 제15조 제1항, 같은 법 제17조 제1항). 이미 수집한 정보의 목적 외 이용·제공에는 별도의 제한이 적용된다(같은 법 제18조). 처리 유형과 정보의 성격에 따라 필요한 근거를 살핀다.

수집·이용과 제3자 제공

개인정보처리자는 동의나 법정 사유가 있으면 개인정보를 수집하고 그 수집 목적 안에서 이용할 수 있다(개인정보 보호법 제15조 제1항). 이러한 근거로 수집할 때는 목적에 필요한 최소한의 정보만 수집해야 하며, 최소수집이라는 점은 처리자가 증명해야 한다(같은 법 제16조 제1항).

제3자 제공은 동의를 받거나, 다음 근거 중 하나로 수집한 목적 범위에서 할 수 있다(개인정보 보호법 제17조 제1항).

법률의 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우다(개인정보 보호법 제15조 제1항 제2호).
공공기관이 법령 등에서 정한 소관 업무를 수행하기 위해 불가피한 경우다(개인정보 보호법 제15조 제1항 제3호).
정보주체나 제3자의 급박한 생명·신체·재산의 이익을 위해 명백히 필요하다고 인정되는 경우다(개인정보 보호법 제15조 제1항 제5호).
처리자의 정당한 이익을 달성하는 데 필요하고, 그 이익이 정보주체의 권리보다 명백히 우선하는 경우다(개인정보 보호법 제15조 제1항 제6호). 그 정당한 이익과 상당한 관련이 있고 합리적인 범위도 넘지 않아야 한다(같은 법 제15조 제1항 제6호).
공중위생 등 공공의 안전과 안녕을 위해 긴급히 필요한 경우다(개인정보 보호법 제15조 제1항 제7호).

정보주체와의 계약 이행이나 계약 체결 과정에서 정보주체가 요청한 조치에 필요한 경우에도 수집·이용할 수 있다(개인정보 보호법 제15조 제1항 제4호). 다만 이 계약상 필요성은 위 제3자 제공의 법정 근거에 포함되지 않는다(같은 법 제17조 제1항 제2호).

동의를 받을 때 알릴 사항

수집·이용 동의를 받을 때는 목적·항목·보유 및 이용 기간·거부권과 거부에 따른 불이익이 있다면 그 내용을 알려야 한다(개인정보 보호법 제15조 제2항). 제3자 제공 동의에는 제공받는 자·이용 목적·제공 항목·보유 및 이용 기간·거부권과 해당 불이익을 알려야 한다(같은 법 제17조 제2항).

고지사항 중 하나를 변경할 때에도 알리고 다시 동의를 받아야 한다(개인정보 보호법 제15조 제2항, 같은 법 제17조 제2항). 처리자는 수집·이용, 제3자 제공 등 각 동의 사항을 구분해 명확히 알리고 각각 동의를 받아야 한다(같은 법 제22조 제1항).

목적 외 이용과 추가 이용

개인정보처리자는 허용 범위를 넘는 목적 외 이용·제공을 원칙적으로 할 수 없다(개인정보 보호법 제18조 제1항). 별도 동의나 다른 법률의 특별 규정 등 같은 조 제2항 각 호의 사유가 있으면 예외가 가능하다(같은 법 제18조 제2항).

다만 정보주체나 제3자의 이익을 부당하게 침해할 우려가 있으면 이 예외를 적용할 수 없다(개인정보 보호법 제18조 제2항). 제2항 제5호부터 제9호까지의 사유는 공공기관에만 적용된다(같은 법 제18조 제2항 단서).

당초 수집 목적과 합리적으로 관련된 추가 이용·제공에는 별도의 법정 요건이 있다(개인정보 보호법 제15조 제3항, 같은 법 제17조 제4항). 공개 당시 동의의 객관적 범위를 판단하는 법리와는 구별된다(저자 종합, 2014다235080 판결요지 [3]).

처리자는 다음 사항을 모두 고려해야 한다(개인정보 보호법 시행령 제14조의2 제1항).

당초 수집 목적과 관련성이 있는지를 본다(개인정보 보호법 시행령 제14조의2 제1항 제1호).
수집 정황이나 처리 관행에 비추어 추가 이용·제공을 예측할 수 있는지를 본다(개인정보 보호법 시행령 제14조의2 제1항 제2호).
정보주체의 이익을 부당하게 침해하는지를 본다(개인정보 보호법 시행령 제14조의2 제1항 제3호).
가명처리·암호화 등 필요한 안전조치를 했는지를 본다(개인정보 보호법 시행령 제14조의2 제1항 제4호).

추가 이용·제공이 지속적으로 발생하면 처리자는 이 판단 기준을 개인정보 처리방침에 공개해야 한다(개인정보 보호법 시행령 제14조의2 제2항). 개인정보 보호책임자는 그 기준에 따라 처리하는지 점검해야 한다(같은 영 제14조의2 제2항).

민감정보와 고유식별정보

민감정보에는 사상·신념, 노동조합·정당 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보가 포함된다(개인정보 보호법 제23조 제1항). 시행령은 다음 정보도 민감정보로 정한다(개인정보 보호법 시행령 제18조).

유전자검사 등의 결과로 얻은 유전정보다(개인정보 보호법 시행령 제18조 제1호).
형의 실효 등에 관한 법률상 범죄경력자료에 해당하는 정보다(개인정보 보호법 시행령 제18조 제2호).
신체적·생리적·행동적 특징에 관한 정보로서, 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보다(개인정보 보호법 시행령 제18조 제3호).
인종이나 민족에 관한 정보다(개인정보 보호법 시행령 제18조 제4호).

고유식별정보는 주민등록번호·여권번호·운전면허번호·외국인등록번호다(개인정보 보호법 시행령 제19조). 다만 공공기관이 법 제18조 제2항 제5호부터 제9호까지에 따라 처리하는 해당 정보는 두 시행령 조항이 정한 정보 범위에서 제외된다(같은 영 제18조 단서, 같은 영 제19조 단서).

민감정보 처리에는 다른 개인정보 처리와 별도로 받은 동의나, 처리를 요구·허용하는 법령의 근거가 필요하다(개인정보 보호법 제23조 제1항). 별도 동의 때에는 수집·이용 또는 제공 동의에 필요한 사항을 알려야 한다(같은 법 제23조 제1항 제1호).

고유식별정보도 별도 고지·동의 또는 처리를 구체적으로 요구·허용하는 법령의 근거가 필요하다(개인정보 보호법 제24조 제1항).

주민등록번호의 특별 제한

주민등록번호는 동의만으로 처리할 수 없고 별도의 법정 사유가 있어야 한다(개인정보 보호법 제24조의2 제1항). 허용 사유는 다음 어느 하나다(같은 법 제24조의2 제1항).

법률·대통령령 등 같은 항 제1호에 열거된 규정에서 구체적으로 처리를 요구하거나 허용한 경우다(개인정보 보호법 제24조의2 제1항 제1호).
정보주체나 제3자의 급박한 생명·신체·재산의 이익을 위해 명백히 필요하다고 인정되는 경우다(개인정보 보호법 제24조의2 제1항 제2호).
위 두 사유에 준해 처리가 불가피한 경우로서 보호위원회가 고시로 정한 경우다(개인정보 보호법 제24조의2 제1항 제3호).

위법한 처리의 손해배상

개인정보처리자의 법 위반으로 손해를 입은 정보주체는 손해배상을 청구할 수 있다(개인정보 보호법 제39조 제1항). 처리자는 고의·과실이 없음을 증명해야 책임을 면할 수 있다(같은 법 제39조 제1항). 증명책임 등은 개인정보 유출과 민사상 손해배상에서 설명한다.

정보의 출처를 묻거나 처리를 중단시킬 수 있는가

정보주체는 수집 출처 등의 통지와 처리정지를 요구할 수 있지만 법정 예외에 해당하면 요구가 제한될 수 있다(개인정보 보호법 제20조 제1·4항, 같은 법 제37조 제1·2항). 출처를 알리는 의무와 실제 처리를 멈추는 의무는 각각의 요건에 따라 적용된다.

다만 법 제28조의2 또는 제28조의3에 따라 처리된 가명정보에는 출처 통지·열람·정정 및 삭제·처리정지 규정이 적용되지 않는다(개인정보 보호법 제28조의7). 가명처리 자체에 대한 정지 요구와 구체적인 적용 범위는 가명처리의 처리정지 요구에서 설명한다.

수집 출처와 목적의 통지

정보주체 이외에서 정보를 수집해 처리하는 개인정보처리자는 본인의 요구가 있으면 다음 사항을 모두 즉시 알려야 한다(개인정보 보호법 제20조 제1항).

개인정보를 수집한 출처를 알려야 한다(개인정보 보호법 제20조 제1항 제1호).
개인정보를 처리하는 목적을 알려야 한다(개인정보 보호법 제20조 제1항 제2호).
처리정지를 요구하거나 동의를 철회할 권리가 있다는 사실을 알려야 한다(개인정보 보호법 제20조 제1항 제3호).

국가안전·수사 등 제32조 제2항 각 호의 등록 제외 파일에 들어 있는 정보는 통지 예외가 될 수 있다(개인정보 보호법 제20조 제4항 제1호). 통지가 타인의 생명·신체를 해할 우려나 재산 등 이익을 부당하게 침해할 우려를 낳는 경우도 예외가 될 수 있다(같은 법 제20조 제4항 제2호).

두 경우 모두 정보주체의 법상 권리보다 명백히 우선해야 한다(같은 법 제20조 제4항 단서).

요구 없는 통지의 대상과 시기

요구 없는 출처 통지 규정은 2016년 9월 30일부터 시행됐다(개인정보 보호법 부칙 제1조(2016.3.29)). 시행 후 최초로 정보주체 이외에서 개인정보를 수집하는 경우부터 적용된다(같은 법 부칙 제2조(2016.3.29)).

현행 기준으로 다음 어느 하나에 해당하는 처리자는 제3자 제공 동의에 따라 다른 곳에서 수집·처리하면 요구 없이도 통지할 의무가 있다(개인정보 보호법 제20조 제2항).

5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보를 처리하는 자다(개인정보 보호법 시행령 제15조의2 제1항 제1호).
100만명 이상의 정보주체에 관한 개인정보를 처리하는 자다(개인정보 보호법 시행령 제15조의2 제1항 제2호).

인원은 전년도 말 기준 직전 3개월간의 일일평균으로 산정한다(개인정보 보호법 시행령 제15조의2 제1항). 다만 수집 정보에 연락처 등 알릴 수 있는 정보가 없는 경우나 앞의 통지 예외에 해당하면 통지 의무가 적용되지 않는다(개인정보 보호법 제20조 제2항 단서·제4항).

처리자는 개인정보를 제공받은 날부터 3개월 이내에 수집 출처·처리 목적·처리정지 또는 동의철회권을 알려야 한다(개인정보 보호법 시행령 제15조의2 제2항). 서면·전자우편·전화·문자 등 쉽게 확인할 수 있는 방법이나, 재화·서비스 제공 중 쉽게 알 수 있는 알림창으로 알려야 한다(같은 영 제15조의2 제2항 각 호).

동의한 범위에서 연 2회 이상 주기적으로 정보를 제공받아 처리하면 통지 시기를 선택할 수 있다(개인정보 보호법 시행령 제15조의2 제2항 단서). 이 동의는 제공받는 자·이용 목적·제공 항목·보유 및 이용 기간에 관한 것이어야 한다(같은 영 제15조의2 제2항 단서).

이 경우 제공받은 날부터 3개월 이내에 알리거나, 동의를 받은 날부터 기산하여 연 1회 이상 알려야 한다(개인정보 보호법 시행령 제15조의2 제2항 단서).

처리정지와 동의 철회

정보주체는 자신의 개인정보 처리정지를 요구하거나 처리 동의를 철회할 수 있다(개인정보 보호법 제37조 제1항). 공공기관에 대해서는 제32조의 등록 대상 개인정보파일 중 자기 정보에 한정된다(같은 법 제37조 제1항).

처리정지는 수집·이용·제공 등 정보 처리의 전부나 일부를 멈추는 것이다(같은 법 제2조 제2호, 같은 법 제37조 제2항).

개인정보처리자는 요구를 받으면 지체 없이 요구에 따라 전부 또는 일부 처리를 정지해야 한다(개인정보 보호법 제37조 제2항). 다만 다음 어느 하나에 해당하면 거절할 수 있다(같은 법 제37조 제2항 단서).

법률의 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우다(개인정보 보호법 제37조 제2항 제1호).
타인의 생명·신체를 해할 우려나 재산 등 이익을 부당하게 침해할 우려가 있는 경우다(개인정보 보호법 제37조 제2항 제2호).
공공기관이 처리하지 않으면 다른 법률상 소관 업무를 수행할 수 없는 경우다(개인정보 보호법 제37조 제2항 제3호).
처리 중단으로 계약 이행이 곤란하고 정보주체가 그 계약의 해지 의사를 명확히 밝히지 않은 경우다(개인정보 보호법 제37조 제2항 제4호).

정보주체가 동의를 철회하면 처리자는 지체 없이 복구·재생할 수 없도록 파기하는 등 필요한 조치를 해야 한다(개인정보 보호법 제37조 제3항). 다만 위 네 사유 중 하나에 해당하면 동의 철회에 따른 조치를 하지 않을 수 있다(같은 법 제37조 제3항 단서).

처리정지를 거절하거나 철회에 따른 조치를 하지 않으면 그 사유를 지체 없이 알려야 한다(같은 법 제37조 제4항).

처리자는 처리정지 요구를 받은 날부터 10일 이내에 보호위원회가 정한 결과 통지서로 정보주체에게 알려야 한다(개인정보 보호법 시행령 제44조 제2항). 정지했다면 조치한 사실을, 거절했다면 거절 사실·이유와 이의제기 방법을 알려야 한다(같은 영 제44조 제2항).

요구에 따라 처리가 정지된 정보에 대해서는 지체 없이 파기 등 필요한 조치를 해야 한다(개인정보 보호법 제37조 제5항).

요구 방법과 이의제기

정보주체는 개인정보처리자가 공개한 구체적인 요구 방법·절차를 확인해 처리정지 등을 요구한다(개인정보 보호법 제38조 제4항). 처리자는 요구 방법을 정보 수집 방법보다 어렵게 만들어서는 안 된다(같은 법 제38조 제4항).

거절 등에 불복하는 경우 이의를 제기할 절차도 마련하고 안내해야 한다(같은 법 제38조 제5항).

열람과 연기·거절

정보주체는 처리자가 처리하는 자기 개인정보의 열람을 요구할 수 있다(개인정보 보호법 제35조 제1항). 정보의 항목·내용, 수집·이용 목적, 보유·이용 기간, 제3자 제공 현황, 동의 사실·내용 중 열람할 사항을 정해 요구한다(개인정보 보호법 시행령 제41조 제1항).

처리자는 요구받은 날부터 10일 이내에 열람할 수 있도록 해야 한다(개인정보 보호법 제35조 제3항, 개인정보 보호법 시행령 제41조 제4·5항). 그 기간에 열람하게 할 수 없는 정당한 사유가 있으면 사유를 알리고 연기할 수 있다(같은 법 제35조 제3항). 사유가 없어지면 지체 없이 열람하게 해야 한다(같은 법 제35조 제3항).

다음 어느 하나에 해당하면 사유를 알리고 열람을 제한하거나 거절할 수 있다(개인정보 보호법 제35조 제4항).

법률에 따라 열람이 금지되거나 제한되는 경우다(개인정보 보호법 제35조 제4항 제1호).
다른 사람의 생명·신체를 해할 우려나 재산 등 이익을 부당하게 침해할 우려가 있는 경우다(개인정보 보호법 제35조 제4항 제2호).
공공기관의 조세·성적평가·입학선발·시험·자격심사 등 같은 항 제3호 각 목의 업무 수행에 중대한 지장을 초래하는 경우다(개인정보 보호법 제35조 제4항 제3호). 여기에는 보상금·급부금 산정 등에 관해 진행 중인 평가·판단과 다른 법률에 따른 감사·조사도 포함된다(같은 법 제35조 제4항 제3호 라·마목).

일부에만 제한 사유가 있으면 나머지는 열람할 수 있게 해야 한다(개인정보 보호법 시행령 제42조 제1항). 연기하거나 거절할 때는 요구받은 날부터 10일 이내에 사유와 이의제기 방법을 연기·거절 통지서로 알려야 한다(같은 영 제42조 제2항).

열람 결과와 정정·삭제

열람하게 할 때는 대상 정보와 열람 날짜·시간·장소 등을 열람통지서로 알려야 한다(개인정보 보호법 시행령 제41조 제5항). 일부만 열람하게 하면 사유와 이의제기 방법도 포함해야 하며, 즉시 열람하게 할 때는 통지서 발급을 생략할 수 있다(같은 영 제41조 제5항).

법에 따라 열람한 뒤에는 정정·삭제를 요구할 수 있지만, 다른 법령이 수집 대상으로 명시한 정보는 삭제를 요구할 수 없다(개인정보 보호법 제36조 제1항). 다른 법령의 특별한 절차가 없다면 처리자는 지체 없이 조사하여 요구에 따른 정정·삭제 등 필요한 조치를 하고 결과를 알려야 한다(같은 법 제36조 제2항).

다른 처리자에게서 받아 개인정보파일로 처리하는 정보는 직접 정정·삭제하거나, 요구사항을 제공기관의 장에게 지체 없이 알려 처리 결과에 따라 조치해야 한다(개인정보 보호법 시행령 제43조 제2항).

정정·삭제 조치를 했다면 요구받은 날부터 10일 이내에 조치 사실을 결과 통지서로 알려야 한다(개인정보 보호법 시행령 제43조 제3항). 법정 수집대상이라는 이유로 삭제하지 않았다면 같은 기간 안에 그 사실·이유와 이의제기 방법을 결과 통지서로 알려야 한다(같은 영 제43조 제3항). 실제로 삭제할 때는 복구·재생할 수 없도록 조치해야 한다(개인정보 보호법 제36조 제3항).

실무 체크포인트

동의 범위를 대조할 수 있도록 원게시물의 내용·공개 목적·대상과 재제공 항목·수신 범위를 기록한다(저자 종합, 2014다235080 판결요지 [3]).
정보주체 이외에서 수집한 정보로서 법 제28조의7의 가명정보 예외가 아니면 출처·처리 목적·처리정지 또는 동의철회권의 통지를 요구한다(개인정보 보호법 제20조 제1항, 같은 법 제28조의7). 통지 예외와 권리보다 명백히 우선해야 한다는 조건도 확인한다(같은 법 제20조 제4항).
법 제28조의7의 가명정보 예외가 아니면 공개된 방법으로 처리정지를 요구하고, 거절 사유와 이의제기 절차를 확인한다(개인정보 보호법 제28조의7, 같은 법 제37조 제4항, 같은 법 제38조 제4·5항).