📋 취약점 개요
제3자에게 개인정보를 제공하려면 제공받는 자, 제공 목적, 제공 항목, 제공받는 자의 보유·이용 기간을 알리고 동의를 받거나 법령 근거가 있어야 합니다(법 제17조). 제공 항목은 제공 목적에 맞는 최소한이어야 합니다.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# 제휴사 연동 API
api$ GET /partner/export?all=true
>> 회원 전체 레코드(주소·생년월일·구매이력) 일괄 전송
>> 동의 고지 항목: "제휴 서비스 제공" 1줄
→ 제공 항목 과다 · 4대 고지사항 누락
🔧 조치 방법
- 제공 동의 시 제공받는 자·제공 목적·제공 항목·보유기간 4가지를 반드시 알립니다.
- 제공 API는 필드 화이트리스트로 제한해 목적에 맞는 최소 항목만 내보냅니다.
- 제공 이력(누가·언제·무엇을)을 로깅하고 정기적으로 점검합니다.
- 제공·연계 시 암호화 조치와 제공받는 자의 보유기간 지정을 계약에 반영합니다.
- 처리위탁(법 제26조)과 혼동하지 않도록 법적 성격을 먼저 판단합니다.
✅ 점검 체크리스트
- 제3자 제공 4대 고지사항이 동의에 포함됨
- 제공 항목이 최소화되고 화이트리스트로 통제됨
- 제공 이력 로깅·점검 존재
근거: 개인정보 보호법 제17조 · PIA 3.3.1, 3.3.2, 3.3.7