개인정보 처리자는 개인정보 이용목적 범위를 초과하여 이용 또는 제3자에게 제공할 수 없다. 정보주체로부터 별도의 동의를 받은경우와 공공기간에 한하여 필요한 때 예외적으로 목적 외 이용 또는 제3자 제공을 허용한다.
2011년 제정된 개인정보 보호법 은 정보인권 국제기준, 주요 국가의 개인정보보호 법률, 헌법 상의 법률유보 원칙 및 과잉금지 원칙 등을 반영하여 개인정보의 당초 수집 목적 외 이용 또는 제3자 제공 금지를 규정하고 있다. 같은 법 제18조제1항은 개인정보처리자는 원칙적으로 개인정보를 당초 수집․이용 목적 범위를 초과하여 이용하거나 제3자에게 제공할 수 없도록 하고, 같은 조 제2항은 정보주체로부터 별도의 동의를 받은 경우, 다른 법률에 특별한 규정이 있는 경우 등에 한하여 예외적으로 개인정보의 목적 외 이용 또는 제3자 제공을 허용하고 있다. 또한 같은 항 제5호 내지 제9호는 공공기관에 한하여 범죄 수사와 공소의 제기 및 유지, 법원의 재판업무 수행 등을 위해 필요한 때에 개인정보의 목적 외 이용 또는 제3자 제공을 허용한다.