📋 취약점 개요
수집 목적 범위를 넘는 이용·제3자 제공은 원칙적으로 금지되며, 별도 동의나 법 제18조제2항 각 호의 예외에 해당해야 합니다. 공공기관이 목적 외로 이용·제공한 경우에는 관보·홈페이지 공개와 대장 기록 의무까지 따라붙습니다.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# 배송용으로 수집한 정보를 마케팅에 사용
crm$ SELECT phone FROM orders → 광고 문자 발송
>> 수집 목적: 주문 배송 / 실제 이용: 광고
>> 별도 동의·법령 근거 없음 · 기록 없음
→ 법 제18조 위반 · 정보주체 예측 범위 이탈
🔧 조치 방법
- 데이터에 수집 목적 태그를 부여하고 목적별로 조회·활용 권한을 분리합니다.
- 목적 외 이용·제공이 필요하면 별도 동의를 받거나 법 제18조제2항 예외 사유를 문서로 검토합니다.
- 목적 외 이용·제공 시 이용 목적에 맞는 최소 항목으로 제한합니다.
- 「개인정보 목적 외 이용 및 제3자 제공 대장」에 기록·관리하고, 공공기관은 관보 또는 홈페이지에 공개합니다.
- 제공 시 암호화·보유기간 지정 등 안전성 확보 조치를 요청합니다.
✅ 점검 체크리스트
- 목적별 데이터 접근 권한이 분리됨
- 목적 외 이용·제공 대장이 기록됨
- 공공기관 공개 절차 이행됨
근거: 개인정보 보호법 제18조 · PIA 3.3.3~3.3.6