개인정보는 해당 정보가 수집된 주된 목적(primary purpose)을 달성하기 위해서, 혹은 개인이 합리적으로 예상할 수 있는 관련 목적을 위해서만 사용하거나 공개해야 합니다. 다만 일부 특정한 부차적 목적(secondary purpose)에 대해서는 사전 동의 없이 사용하는 것이 허용될 수 있습니다.
이 원칙은 부차적인 목적을 위한 개인정보 사용에 명확한 한계를 설정합니다. 즉, 수집 목적과 무관한 부차적 목적이나 개인이 예상하기 어려운 목적으로 개인정보를 활용하려면 반드시 당사자의 동의를 받아야 하며, 그렇지 않은 경우에는 강력한 공공의 이익이 존재할 때에만 가능합니다. 이 원칙의 세부 내용은 다음과 같습니다.
부차적 목적 사용 시 지켜야 할 조건
기관은 개인정보를 수집한 주된 목적 외의 다른 목적(부차적 목적)으로 사용하거나 공개해서는 안 되며, 아래의 예외 사항 중 하나 이상에 해당하는 경우에만 허용됩니다.
(a) 민감 정보인 경우
해당 정보가 민감 정보(sensitive information)라면, 부차적 목적이 주된 목적과 직접적으로 관련되어야 하고, 개인이 조직이 그러한 목적으로 정보를 사용하거나 공개할 것이라고 합리적으로 예상할 수 있어야 합니다.
(b) 민감 정보가 아닌 경우
민감 정보가 아니라면, 부차적 목적이 주된 목적과 관련되어 있고 개인이 합리적으로 예상할 수 있는 경우에 한해 사용 또는 공개가 가능합니다.
(c) 개인의 동의
개인이 해당 정보의 사용 또는 공개에 대해 명시적으로 동의한 경우입니다.
(d) 생명·안전에 대한 심각한 위협
기관이 해당 정보의 사용이나 공개가 본인 또는 타인의 생명, 건강, 안전에 대한 심각하고 긴박한 위협을 줄이거나 방지하는 데 필수적이라고 합리적으로 판단하는 경우, 혹은 공중 보건(public health)이나 공공 안전(public safety)에 대한 심각한 위협에 대응하기 위해 필요한 경우입니다.
(e) 불법 행위 조사
기관이 불법 행위(unlawful activity)가 이미 발생했거나, 진행 중이거나, 앞으로 발생할 가능성이 있다고 합리적으로 의심할 만한 근거가 있는 경우, 해당 조사의 필수적인 부분으로서 정보를 사용하거나, 관련 당사자 또는 기관에 신고하기 위해 활용할 수 있습니다.
(f) 법률에 의한 요구 또는 승인
정보의 사용 또는 공개가 법률에 의해 요구되거나 승인된 경우입니다.
(g) 법 집행 기관을 위한 사용
기관이 해당 정보의 사용이나 공개가 법 집행 기관(law enforcement agency)에 의해 또는 그를 대신하여 수행되는 다음 활동 중 하나 이상에 합리적으로 필요하다고 판단하는 경우입니다.
- 법률 위반이나 규정된 법령 위반 행위의 예방, 적발, 조사, 기소 또는 처벌
- 범죄 수익 몰수와 관련된 법률의 집행
- 공공 세입(public revenue) 보호
- 심각하게 부적절한 행위 또는 규정된 행위의 예방, 적발, 조사 또는 시정
- 법원이나 재판소에서의 절차 준비 및 수행, 또는 법원·재판소 명령의 집행
추가 의무 사항
- 관할 구역 외 이전: 기관이 개인정보를 관할 구역(Territory) 밖의 사람에게 이전하는 경우에도 IPP 9(정보 프라이버시 원칙 9호)의 요건을 준수할 책임이 있습니다.
- 문서화 의무: 기관이 개인정보를 법 집행 기관에 제공하거나 공개하는 경우, 해당 사용 또는 공개에 대한 문서화된 기록을 작성하고 유지해야 합니다.