Navigacija
GDPR > 제6조. 처리의 적법성
Preuzmite PDF

제6조 GDPR. 처리의 적법성

1. 개인정보 처리는 적어도 다음 각 호의 하나에 해당되고 그 범위에서만 적법하다.

(a) 정보주체가 하나 이상의 특정 목적에 대해 본인의 개인정보 처리를 동의한 경우

Smjernice i sudska praksa Vezani tekstovi

(b) 정보주체가 계약 당사자가 되는 계약을 이행하거나 계약 체결 전 정보주체가 요청한 조치를 취하기 위해 처리가 필요한 경우

Smjernice i sudska praksa Uvodne izjave

(44) 개인정보 처리가 계약 자체 또는 계약을 체결하고자 할 경우 요구된다면 이는 적법하다.

Vezani tekstovi

(c) 컨트롤러의 법적 의무를 준수하는데 개인정보 처리가 필요한 경우

Uvodne izjave

(45) 컨트롤러에게 부과된 법적 의무에 따라 처리가 이루어지는 경우 또는 공익을 위하거나 공적 권한 행사에 따른 직무 수행에 개인정보 처리가 필요한 경우, 해당 처리는 유럽연합 또는 회원국 법률에 그 근거를 두어야 한다. 본 규정은 각 개별 처리에 대하여 특정 법률을 요구하지는 않는다. 컨트롤러에 적용되는 법적 의무에 근거한 복수의 처리작업 또는 공익을 위하거나 공적 권한 행사에 따른 직무 수행에 처리가 요구되는 경우에 대한 근거가 된다면 하나의 법으로도 충분할 수 있다. 유럽연합 또는 회원국 법률은 처리 목적도 결정하여야 한다. 또한 그 법률은 개인정보 처리의 적법성을 관장하는 본 규정의 일반 조건을 명시할 수 있고, 컨트롤러, 처리 대상인 개인정보의 유형, 관련 정보주체, 해당 개인정보를 제공받을 수 있는 기관, 목적제한, 보관기간 및 적법하고 공정한 처리를 보장하기 위한 기타 조치를 결정하는 세부사항을 수립할 수 있다. 또한 유럽연합 또는 회원국 법률은 공익을 위하거나 공적 권한 행사에 따른 직무를 수행하는 컨트롤러가 공법에 적용받는 공공기관이나 기타 자연인 또는 법인이어야 하는지 여부, 또는 공중보건, 사회적 보호, 의료서비스 관리 등 건강목적을 포함해 공익에 부합하는 경우에는 전문가협회 등 민법에 적용받는지 여부를 결정하여야 한다.

(d) 정보주체 또는 제3자의 생명에 관한 이익을 보호하기 위해 개인정보 처리가 필요한 경우

Uvodne izjave

(46) 개인정보의 처리는 정보주체의 생명 또는 타인의 생명과 관련한 주요 이익을 보호하기 위하여 필요한 경우 합법적으로 간주된다. 타인의 생명과 관련한 주요 이익에 근거한 개인정보 처리는 원칙적으로 해당 처리가 명백하게 다른 법적 근거에 기반 할 수 없는 경우에 한해서 행해져야 한다. 일부 유형의 처리는 공익상 중요한 근거와 정보주체의 생명에 관련된 이익에 동시에 충족시킬 수 있는데, 에를 들어 전염병과 그 확산을 모니터링하거나 자연재해 또는 인재 등 인도주의적 비상상황에서 인도주의적 목적으로 처리가 필요한 경우가 이에 해당한다.

(e) 공익을 위하거나 컨트롤러의 공식 권한을 행사하여 이루어지는 업무수행에 처리가 필요한 경우

Smjernice i sudska praksa Uvodne izjave

(115) 일부 제3국은 회원국 소관의 자연인 및 법인의 개인정보 처리 활동을 직접 규제하기 위한 취지의 법률, 규정 및 기타 입법 기구를 채택한다. 여기에는 컨트롤러나 프로세서에게 개인정보의 이전이나 제공을 요구하는 제3국의 법원이나 재판소의 판결 또는 행정당국의 결정이 포함될 수 있다. 이 같은 판결이나 결정은 요청을 한 제3국과 유럽연합 또는 회원국 간에 시행 중인 사법공조조약 등의 국제협정에 기반을 두지 않는다. 이 같은 법률, 규정 및 기타 입법 기구의 역외 적용은 국제법에 위반될 수 있고 본 규정이 유럽연합 내에서 보장하는 개인에 대한 보호를 저해할 수 있다. 정보이전은 본 규정에 따른 제3국으로의 정보이전을 위한 조건을 만족시키는 경우에 한해서만 허용되어야 한다. 컨트롤러에 적용되는 유럽연합이나 회원국의 법률이 규정하는 공익상의 이유로 정보공개가 필요한 경우가 특히 이에 해당한다.

(f) 컨트롤러 또는 제3자의 정당한 이익 목적을 위해 처리가 필요한 경우로서, 개인정보가 보호되어야 할 정보주체의 이익 또는 기본적 권리와 자유가 우선되는 경우는 제외한다. 정보주체가 어린이인 경우에는 특히 그러하다.

Smjernice i sudska praksa Uvodne izjave

(47) 개인정보를 제공받을 수 있는 컨트롤러의 정당한 이익 등 컨트롤러의 정당한 이익 또는 제3자의 정당한 이익은 컨트롤러와의 관계를 기반으로 정보주체가 합리적으로 예상하는 바를 고려하여 정보주체의 이익 또는 기본권 및 자유가 우선시 되지 않는다면 처리의 법적 근거가 될 수 있다. 이러한 정당한 이익은 정보주체가 컨트롤러의 고객이거나 컨트롤러의 서비스를 이용 중인 경우 등 정보주체와 컨트롤러 간에 타당하고 적절한 관계가 있을 때 존재할 수 있다. 어떠한 경우에든 정당한 이익의 존재에 대해서는 정보주체가 정보수집의 시점 및 정보수집의 상황에서 이러한 목적으로 정보가 처리될 수 있을 것이라고 합리적으로 예상할 수 있는지 여부 등에 관한 신중한 평가가 필요하다. 정보주체의 이익과 기본권은 특히 정보주체가 추가적 개인정보 처리에 대해 합리적인 예상을 하지 못한 상황에서 개인정보가 처리되는 경우 컨트롤러의 이익에 우선할 수 있다. 공공기관이 개인정보를 처리하는 법적 근거는 입법기관(the legislator)이 법률로써 규정한다는 점을 고려하면 공공기관이 본연의 업무를 수행할 때 발생하는 처리에는 해당 법적 근거가 적용되지 않는다. 사기 방지의 목적으로 반드시 필요한 처리 또한 해당 컨트롤러의 정당한 이익에 해당한다. 직접 마케팅(direct marketing)을 목적으로 하는 개인정보의 처리는 정당한 이익을 위해 시행된 것으로 간주될 수 있다.

(48) ‘사업체 집단’ 또는 ‘중앙기구의 부속 기관’인 컨트롤러는 고객이나 피고용인의 개인정보의 처리 등 내부 행정의 목적으로 사업체 집단 내에서 개인정보를 전송하는 정당한 이익을 가질 수 있다. 사업체 집단 내에서 제3국에 소재한 사업체로의 개인정보를 규정한 일반 원칙에는 적용되지 않는다.

(49) 오로지 네트워크 및 정보보안을 담보할 목적에 대하여 필요하고 비례하는 범위 내에서 이루어지는 개인정보의 처리는 관련 컨트롤러의 정당한 이익이 된다. 네트워크 및 정보보안이란 주어진 신뢰수준에서 네트워크나 정보시스템이 저장되거나 전송된 개인정보의 가용성, 진위성, 무결성, 기밀성을 해치는 우발적 사건이나 불법적 또는 악의적 행위에 저항하는 능력, 그리고 해당 네트워크와 시스템이 제공하거나 이를 통해 공공기관, 컴퓨터 비상 대응팀, 컴퓨터 보안사고 대응팀, 전자통신 네트워크·서비스 공급자, 보안기술·서비스 공급자가 제공받는 관련 서비스의 보안을 가리킨다. 여기에는 전자통신 네트워크에의 무단접근 및 악성코드 배포를 방지하고 ‘서비스 거절’ 공격 및 컴퓨터·전자통신시스템의 손상을 중지시키는 것이 포함될 수 있다.

제1항 (f)호는 공공기관이 소관 업무를 수행하기 위해 개인정보를 처리하는 경우에는 적용되지 않는다.

Uvodne izjave

(40) 처리가 합법적이기 위해서는 관련 정보주체의 동의를 근거로 하거나, 본 규정이나 본 규정에 명시된 유럽연합 또는 회원국 법률에 규정된 기타 적법한 근거를 기반으로 하여야 한다. 컨트롤러에게 부과된 법적 의무의 준수, 정보주체가 계약 당사자가 되는 계약의 이행 또는 계약 체결 전에 정보주체의 요청에 따른 조치 시행 등이 이에 해당한다.

(50) 원래 수집 목적 이외의 개인정보 처리는 해당 개인정보의 처리가 원래의 수집 목적과 양립되는 경우에 한해서만 허용되어야 한다. 목적이 양립하는 경우, 당초 개인정보 수집을 허용한 법적 근거 이외의 별도의 법적 근거는 불필요하다. 공익을 추구하거나 컨트롤러에게 내재된 공적 권한의 행사에 따른 직무 수행에 처리가 필요한 경우, 유럽연합 또는 회원국 법률은 추가 처리가 양립 가능하고 적법하다고 간주되는 직무 및 목적을 결정하여 명시할 수 있다. 공익상의 기록보존 목적, 과학적 또는 역사적 연구 목적, 또는 통계 목적의 추가 처리는 양립 가능하고 적법한 처리 작업으로 간주되어야 한다. 유럽연합 또는 회원국 법률이 규정하는 개인정보 처리의 법적 근거는 추가 처리의 법적 근거도 될 수가 있다. 추가 처리의 목적이 당초 개인정보의 수집 목적과 양립되는지 여부를 확인하기 위해 컨트롤러는 당초 처리의 적법성에 관한 모든 요건을 충족시킨 후 무엇보다 당초 수집목적과 추가 처리 목적 간의 연관성, 해당 개인정보가 수집될 때의 상황, 특히 정보주체가 컨트롤러와의 관계를 토대로 추가 사용에 대해 합리적으로 예상할 수 있는 바, 해당 개인정보의 성격, 예정된 추가 처리가 정보주체에게 미치는 결과, 당초 처리 작업 및 추가 처리 작업에 대한 적절한 안전장치의 유무를 고려하여야 한다.

컨트롤러가 목적의 양립가능 여부와 상관없이 해당 개인정보를 추가적으로 처리할 수 있는 경우가 있는데, 첫째, 정보주체가 동의하였거나, 둘째, 민주사회에서의 일반적 공익의 중요한 목표를 보호하는데 필수적이고 비례적인 조치를 구성하는 유럽연합 또는 회원국 법률에 근거하여 처리가 이루어지는 경우이다. 어떤 경우에서도 본 규정이 정한 원칙을 준수하여야 하며, 추가 처리 목적과 더불어 (처리) 반대권 등 정보주체의 권리를 정보주체에게 통보하여야 한다. 컨트롤러가 발생 가능한 범죄행위나 공안의 위협을 입증하고 동일한 범죄행위나 위협에 관한 개별 또는 복수의 사례에서 관련 개인정보를 관계 당국에 전송하는 것은 컨트롤러가 추구하는 정당한 이익으로 간주되어야 한다. 그러나 해당 정보처리가 법적, 직무상 또는 기타 구속력 있는 기밀유지의 의무와 양립하지 않는 경우, 컨트롤러의 정당한 이익을 위한 정보의 전송 및 추가 처리는 금지되어야 한다.

2. 회원국은 본 규정의 규칙을 적용하기 위하여 더욱 구체적인 조문을 유지하거나 도입할 수 있다. 이는 개인정보 처리를 위한 구체적 요건과, 제IX장에서 규정하는 특정 처리 상황 등과 같이 적법하고 공정한 처리를 보장하기 위한 여타 조치들을 더욱 엄밀히 결정함으로써 제1항 (c)호 및 (e)호의 준수를 담보하기 위한 내용에 관한 것이다.

3. 제1항의 (c)호 및 (e)호에서의 개인정보 처리의 근거는 다음 각 호를 통해 규정되어야 한다.

(a) 유럽연합 법률

(b) 컨트롤러에게 적용되는 유럽연합 회원국의 법률

처리목적은 상기의 법적 근거에 의해 결정되어야 한다. 제1항 (e)호의 처리는 공익을 위하거나 컨트롤러의 공식권한을 행사하여 이루어지는 업무수행에 필요한 것이다. 해당 법적 근거로는 본 규정의 규칙을 적절히 적용하기 위한 특정 조문이 있을 수 있으며, 특히, 컨트롤러의 개인정보 처리 적법성에 대한 일반적인 조건, 해당 처리의 대상이 되는 개인정보의 유형, 관련 정보주체, 관련 개인정보의 제공 대상 및 목적, 목적 제한, 보관기간, 제IX장에서 규정하는 특정 처리상황을 위한 조치 등 합법적이고 공정한 처리를 보장하는 조치를 포함한 처리작업 및 처리절차가 이에 해당한다. 유럽연합 또는 회원국 법률은 공익의 목적을 달성하고 추구하는 적법한 목표에 비례해야 한다.

Uvodne izjave

(41) 본 규정이 법적 근거나 입법 조치를 규정하고 있는 경우, 그 규정들이 반드시 회원국 의회가 채택한 것일 필요는 없으나 회원국의 헌법적 질서에 따른 요건을 침해해서는 안 된다. 그러나 그 법적 근거 또는 법적 조치는 명확하고 정확해야 하고 이를 적용받는 개인이 유럽 사법재판소와 유럽 인권재판소의 판례법에 따라 그 적용을 예측할 수 있어야 한다.

4. 개인정보를 수집한 목적 외로 처리하는 것이 정보주체의 동의 또는 제23조(1)의 목적을 보장하기 위한 민주사회의 필요하고 비례적인 조치를 구성하는 유렵연합 또는 회원국 법률에 근거하지 않는 경우, 컨트롤러는 개인정보의 목적 외 처리가 해당 개인정보를 수집한 당초 목적과 양립될 수 있는지 확인하기 위해서 특히 다음 각 호를 고려해야 한다.

(a) 수집 목적과 의도된 추가처리 목적 간의 연관성

(b) 특히 정보주체와 컨트롤러 간의 관계와 관련해서 등의 개인정보가 수집된 상황

(c) 특히 제9조에 따른 특정 범주의 개인정보가 처리되는지 여부 또는 제10조에 따른 범죄경력 및 범죄행위와 관련한 개인정보가 처리되는지 여부 등 개인정보의 성격

(d) 의도된 추가처리가 정보주체에 초래할 수 있는 결과

(e) 암호처리나 가명처리 등 적절한 안전조치의 존재

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.

Here is the relevant paragraph to article 6(4)(e) GDPR:

7.4.5 PII de-identification and deletion at the end of processing

Control

The organization should either delete PII or render it in a form which does not permit identification or re-identification of PII principals, as soon as the original PII is no longer necessary for the identified purpose(s).

(EN) […]


to read the full text

Stručni komentar ISO 27701 Uvodne izjave Smjernice i sudska praksa Vezani tekstovi Ostavite komentar
Stručni komentar
ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.

Here is the relevant paragraph to article 6 GDPR:

7.2.2 Identify lawful basis

Control

The organization should determine, document and comply with the relevant lawful basis for the processing of PII for the identified purposes.

Implementation guidance

Some jurisdictions require the organization to be able to demonstrate that the lawfulness of processing was duly established before the processing.

The legal basis for the processing of PII can include:

(EN) […]


to read the full text

Uvodne izjave

(40) 처리가 합법적이기 위해서는 관련 정보주체의 동의를 근거로 하거나, 본 규정이나 본 규정에 명시된 유럽연합 또는 회원국 법률에 규정된 기타 적법한 근거를 기반으로 하여야 한다. 컨트롤러에게 부과된 법적 의무의 준수, 정보주체가 계약 당사자가 되는 계약의 이행 또는 계약 체결 전에 정보주체의 요청에 따른 조치 시행 등이 이에 해당한다.

(41) 본 규정이 법적 근거나 입법 조치를 규정하고 있는 경우, 그 규정들이 반드시 회원국 의회가 채택한 것일 필요는 없으나 회원국의 헌법적 질서에 따른 요건을 침해해서는 안 된다. 그러나 그 법적 근거 또는 법적 조치는 명확하고 정확해야 하고 이를 적용받는 개인이 유럽 사법재판소와 유럽 인권재판소의 판례법에 따라 그 적용을 예측할 수 있어야 한다.

(42) 처리가 정보주체의 동의에 근거하는 경우, 컨트롤러는 정보주체가 처리 방식에 대해 동의를 제공하였음을 입증할 수 있어야 한다. 특히 처리되는 사안이 아닌 다른 사안에 대해 서면 진술로 동의하는 경우, 안전장치를 통해 정보주체가 동의가 제공되었다는 사실과 어느 범위까지 동의가 제공되는지에 대해 인지하도록 해야 한다. 유럽이사회 지침 93/13/EEC1에 따라 [10], 컨트롤러가 사전에 작성한 동의 진술서는 명확하고 평이한 언어를 사용하여 이해할 수 있고 열람이 용이하여야 하며 불공정한 용어를 포함해서는 안 된다. 동의 내용을 인지한 동의가 되기 위해 정보주체는 최소한 컨트롤러의 신원과 예정된 개인정보 처리 목적에 대해 인지하고 있어야 한다. 정보주체가 진정으로 또는 자유 선택으로 동의하지 않았거나, 불이익 없이 동의를 거절하거나 철회할 수 없는 경우에는 해당 동의는 자유롭게 제공된 것이라고 간주되지 않는다.

[10] Council Directive 93/13/EEC of 5 April 1993 on unfair terms in consumer contracts (OJ L 95, 21.4.1993, p. 29). https://eur-lex.europa.eu/legal-content/EN/AUTO/?uri=OJ:L:1993:095:TOC

(43) 동의가 자유롭게 제공되도록 하기 위해서는, 정보주체와 컨트롤러 간의 명백한 불균형이 존재하는 특정 상황과 같은 경우에는 동의가 유효한 법적 근거가 되지 않으며, 특히 컨트롤러가 공공기관임으로 인해 그 특정 상황의 모든 정황에서 동의가 자유롭게 제공되었을 것이라 예상되지 않는 경우에는 더욱 그러하다. 서로 다른 개인정보 처리 작업에 개별 동의를 제공하는 것이 개별 사례에서 적절함에도 불구하고 그렇게 할 수 없는 경우 또는 서비스 제공 등의 계약의 이행이 동의 없이 이루어질 수 있음에도 불구하고 동의에 근거하여 진행되는 경우 동의는 자유롭게 제공된 것이 아니라고 간주된다.

(44) 개인정보 처리가 계약 자체 또는 계약을 체결하고자 할 경우 요구된다면 이는 적법하다.

(45) 컨트롤러에게 부과된 법적 의무에 따라 처리가 이루어지는 경우 또는 공익을 위하거나 공적 권한 행사에 따른 직무 수행에 개인정보 처리가 필요한 경우, 해당 처리는 유럽연합 또는 회원국 법률에 그 근거를 두어야 한다. 본 규정은 각 개별 처리에 대하여 특정 법률을 요구하지는 않는다. 컨트롤러에 적용되는 법적 의무에 근거한 복수의 처리작업 또는 공익을 위하거나 공적 권한 행사에 따른 직무 수행에 처리가 요구되는 경우에 대한 근거가 된다면 하나의 법으로도 충분할 수 있다. 유럽연합 또는 회원국 법률은 처리 목적도 결정하여야 한다. 또한 그 법률은 개인정보 처리의 적법성을 관장하는 본 규정의 일반 조건을 명시할 수 있고, 컨트롤러, 처리 대상인 개인정보의 유형, 관련 정보주체, 해당 개인정보를 제공받을 수 있는 기관, 목적제한, 보관기간 및 적법하고 공정한 처리를 보장하기 위한 기타 조치를 결정하는 세부사항을 수립할 수 있다. 또한 유럽연합 또는 회원국 법률은 공익을 위하거나 공적 권한 행사에 따른 직무를 수행하는 컨트롤러가 공법에 적용받는 공공기관이나 기타 자연인 또는 법인이어야 하는지 여부, 또는 공중보건, 사회적 보호, 의료서비스 관리 등 건강목적을 포함해 공익에 부합하는 경우에는 전문가협회 등 민법에 적용받는지 여부를 결정하여야 한다.

(46) 개인정보의 처리는 정보주체의 생명 또는 타인의 생명과 관련한 주요 이익을 보호하기 위하여 필요한 경우 합법적으로 간주된다. 타인의 생명과 관련한 주요 이익에 근거한 개인정보 처리는 원칙적으로 해당 처리가 명백하게 다른 법적 근거에 기반 할 수 없는 경우에 한해서 행해져야 한다. 일부 유형의 처리는 공익상 중요한 근거와 정보주체의 생명에 관련된 이익에 동시에 충족시킬 수 있는데, 에를 들어 전염병과 그 확산을 모니터링하거나 자연재해 또는 인재 등 인도주의적 비상상황에서 인도주의적 목적으로 처리가 필요한 경우가 이에 해당한다.

(47) 개인정보를 제공받을 수 있는 컨트롤러의 정당한 이익 등 컨트롤러의 정당한 이익 또는 제3자의 정당한 이익은 컨트롤러와의 관계를 기반으로 정보주체가 합리적으로 예상하는 바를 고려하여 정보주체의 이익 또는 기본권 및 자유가 우선시 되지 않는다면 처리의 법적 근거가 될 수 있다. 이러한 정당한 이익은 정보주체가 컨트롤러의 고객이거나 컨트롤러의 서비스를 이용 중인 경우 등 정보주체와 컨트롤러 간에 타당하고 적절한 관계가 있을 때 존재할 수 있다. 어떠한 경우에든 정당한 이익의 존재에 대해서는 정보주체가 정보수집의 시점 및 정보수집의 상황에서 이러한 목적으로 정보가 처리될 수 있을 것이라고 합리적으로 예상할 수 있는지 여부 등에 관한 신중한 평가가 필요하다. 정보주체의 이익과 기본권은 특히 정보주체가 추가적 개인정보 처리에 대해 합리적인 예상을 하지 못한 상황에서 개인정보가 처리되는 경우 컨트롤러의 이익에 우선할 수 있다. 공공기관이 개인정보를 처리하는 법적 근거는 입법기관(the legislator)이 법률로써 규정한다는 점을 고려하면 공공기관이 본연의 업무를 수행할 때 발생하는 처리에는 해당 법적 근거가 적용되지 않는다. 사기 방지의 목적으로 반드시 필요한 처리 또한 해당 컨트롤러의 정당한 이익에 해당한다. 직접 마케팅(direct marketing)을 목적으로 하는 개인정보의 처리는 정당한 이익을 위해 시행된 것으로 간주될 수 있다.

(48) ‘사업체 집단’ 또는 ‘중앙기구의 부속 기관’인 컨트롤러는 고객이나 피고용인의 개인정보의 처리 등 내부 행정의 목적으로 사업체 집단 내에서 개인정보를 전송하는 정당한 이익을 가질 수 있다. 사업체 집단 내에서 제3국에 소재한 사업체로의 개인정보를 규정한 일반 원칙에는 적용되지 않는다.

(49) 오로지 네트워크 및 정보보안을 담보할 목적에 대하여 필요하고 비례하는 범위 내에서 이루어지는 개인정보의 처리는 관련 컨트롤러의 정당한 이익이 된다. 네트워크 및 정보보안이란 주어진 신뢰수준에서 네트워크나 정보시스템이 저장되거나 전송된 개인정보의 가용성, 진위성, 무결성, 기밀성을 해치는 우발적 사건이나 불법적 또는 악의적 행위에 저항하는 능력, 그리고 해당 네트워크와 시스템이 제공하거나 이를 통해 공공기관, 컴퓨터 비상 대응팀, 컴퓨터 보안사고 대응팀, 전자통신 네트워크·서비스 공급자, 보안기술·서비스 공급자가 제공받는 관련 서비스의 보안을 가리킨다. 여기에는 전자통신 네트워크에의 무단접근 및 악성코드 배포를 방지하고 ‘서비스 거절’ 공격 및 컴퓨터·전자통신시스템의 손상을 중지시키는 것이 포함될 수 있다.

(50) 원래 수집 목적 이외의 개인정보 처리는 해당 개인정보의 처리가 원래의 수집 목적과 양립되는 경우에 한해서만 허용되어야 한다. 목적이 양립하는 경우, 당초 개인정보 수집을 허용한 법적 근거 이외의 별도의 법적 근거는 불필요하다. 공익을 추구하거나 컨트롤러에게 내재된 공적 권한의 행사에 따른 직무 수행에 처리가 필요한 경우, 유럽연합 또는 회원국 법률은 추가 처리가 양립 가능하고 적법하다고 간주되는 직무 및 목적을 결정하여 명시할 수 있다. 공익상의 기록보존 목적, 과학적 또는 역사적 연구 목적, 또는 통계 목적의 추가 처리는 양립 가능하고 적법한 처리 작업으로 간주되어야 한다. 유럽연합 또는 회원국 법률이 규정하는 개인정보 처리의 법적 근거는 추가 처리의 법적 근거도 될 수가 있다. 추가 처리의 목적이 당초 개인정보의 수집 목적과 양립되는지 여부를 확인하기 위해 컨트롤러는 당초 처리의 적법성에 관한 모든 요건을 충족시킨 후 무엇보다 당초 수집목적과 추가 처리 목적 간의 연관성, 해당 개인정보가 수집될 때의 상황, 특히 정보주체가 컨트롤러와의 관계를 토대로 추가 사용에 대해 합리적으로 예상할 수 있는 바, 해당 개인정보의 성격, 예정된 추가 처리가 정보주체에게 미치는 결과, 당초 처리 작업 및 추가 처리 작업에 대한 적절한 안전장치의 유무를 고려하여야 한다.

컨트롤러가 목적의 양립가능 여부와 상관없이 해당 개인정보를 추가적으로 처리할 수 있는 경우가 있는데, 첫째, 정보주체가 동의하였거나, 둘째, 민주사회에서의 일반적 공익의 중요한 목표를 보호하는데 필수적이고 비례적인 조치를 구성하는 유럽연합 또는 회원국 법률에 근거하여 처리가 이루어지는 경우이다. 어떤 경우에서도 본 규정이 정한 원칙을 준수하여야 하며, 추가 처리 목적과 더불어 (처리) 반대권 등 정보주체의 권리를 정보주체에게 통보하여야 한다. 컨트롤러가 발생 가능한 범죄행위나 공안의 위협을 입증하고 동일한 범죄행위나 위협에 관한 개별 또는 복수의 사례에서 관련 개인정보를 관계 당국에 전송하는 것은 컨트롤러가 추구하는 정당한 이익으로 간주되어야 한다. 그러나 해당 정보처리가 법적, 직무상 또는 기타 구속력 있는 기밀유지의 의무와 양립하지 않는 경우, 컨트롤러의 정당한 이익을 위한 정보의 전송 및 추가 처리는 금지되어야 한다.

(155) 회원국 법률 또는 ‘업무 협정서’ 등 단체 협약은 고용 환경에서 피고용인의 개인정보의 처리에 대해 특정 규정을 규정할 수 있고, 특히 고용 환경에서 개인정보가 피고용인의 동의, 고용 목적, 법률이나 단체 협약이 규정한 채무이행 등 고용 계약의 이행, 업무의 관리·계획·조직, 직장 내의 평등·다양성, 업무상의 건강·안전을 근거로 처리되고, 개별 또는 단체적 차원에서 고용과 관련한 권리 및 혜택을 행사하기 위한 목적으로 처리되며, 고용 관계의 종결을 목적으로 처리되는 조건을 규정할 수 있다.

Smjernice i sudska praksa Vezani tekstovi Ostavite komentar
[js-disqus]