전 분야 마이데이터 추진을 위한 ｢개인정보 보호법｣ 시행령 개정안 입법예고

- 정보전송자, 정보수신자, 전송 방법 등 세부 기준 및 절차 마련

- ’25년부터 의료·통신·유통 우선 추진 … 전 분야 단계적 확대 예정

  개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 전 분야 마이데이터 시행을 위한 「개인정보 보호법 시행령」개정안을 5월 1일부터 6월 10일까지(40일) 입법예고한다고 밝혔다.

  이번 시행령 개정안은 작년 3월 「개인정보 보호법」 개정으로 도입된 개인정보 전송요구권 제도(’25년 시행)의 후속조치로, 정보주체의 개인정보 전송 요구시 정보를 전송하는 개인정보처리자와 전송 요구 대상 정보의 기준을 정하고, 정보를 전송받을 수 있는 개인정보관리 전문기관의 지정 절차를 수립하는 등 마이데이터의 본격 시행에 필요한 세부 기준을 마련하는 내용을 담고 있다. 또한, 가명정보 결합실적이 전혀 없는 결합전문기관에 대해 재지정을 하지 않을 수 있는 근거도 마련하였다.

【 전송요구권 행사에 따른 정보전송자 및 전송정보 기준 규정 】

  첫째, 정보주체의 전송 요구에 따라 정보를 전송하는 개인정보처리자(정보전송자) 및 전송 요구 대상 정보의 기준을 마련하였다. 정보주체 본인에게 정보를 전송하는 경우는 부문·분야 구분 없이 정보전송자 및 전송정보 기준을 폭넓게 설정하였고, 제3자에게 정보를 전송하는 경우는 서비스 수요, 전송인프라 여건 등을 고려하여 보건의료·통신·유통 부문부터 우선적으로 추진하는 것으로 기준을 수립하였다.

  먼저 본인 전송(다운로드)의 경우, 정보전송자 기준은 개인정보 처리 능력 등을 고려하여 정보주체 수가 10만 명 이상인 대기업·중견기업 또는 정보주체 수가 100만 명 이상인 기관·법인·단체 등으로 설정하였고, 전송정보는 제3자 권리 침해 정보 등의 제외기준에 해당하지 않으면 전송을 요구할 수 있도록 기준을 규정하였다.

  제3자 전송은 산업별 특성을 고려하여 정보전송자 및 전송정보를 유형화 하였으며, 하위 고시 제정을 거쳐 보건의료*, 통신**, 유통*** 등 부문별로 세부 기준을 수립한다. 

   * 「의료법」 제3조의4의 상급종합병원 및 고시하는 자

  ** 「전기통신사업법」 제2조제11호의 기간통신역무를 제공하는 자 중 고시하는 자

 *** 「전자상거래법」에 따른 통신판매업자 또는 통신판매중개업자이면서 연 매출액 1,500억원 이상 또는 정보주체 수 100만 명 이상인 자 중 고시하는 자

【 개인정보관리 전문기관 지정 기준·절차 규정 】

  둘째, 정보주체의 요구에 따라 정보를 전송받을 수 있는 수신자로서 개인정보관리 전문기관 지정에 관한 기준 및 절차를 마련하였다.

  개인정보관리 전문기관은 전송 중계 시스템 운영 및 기능 제공 등의 업무를 수행하는 중계 전문기관, 전송받은 개인정보를 관리·분석하여 정보주체에게 맞춤형 서비스 등을 제공하는 일반 전문기관, 민감한 보건의료 정보를 관리·분석하는 특수 전문기관으로 구분되며, 개인정보위 또는 관계 중앙행정기관의 장(지정권자)이 기술수준 및 전문성, 안전성 확보조치 수준, 재정능력 등의 요건을 심사하여 지정한다.

  개인정보관리 전문기관 지정 및 취소 등에 관한 절차도 마련하였다. 전문기관으로 지정받으려는 자는 사업계획서, 개인정보 관리 계획서 및 기타 지정 요건 충족을 증명할 수 있는 서류 등을 첨부하여 지정을 신청한다. 사업자의 편의를 위해 예비지정도 신청할 수 있도록 절차를 마련하였다. 전문기관 지정의 유효기간은 3년으로 하며, 유효기간 연장을 원할 경우 재지정을 신청할 수 있다. 지정권자는 고의 또는 중과실로 인한 침해사고 발생, 조건 위반 등의 사유가 발생한 경우 지정을 취소할 수 있다.

  정보주체의 권리 침해 우려를 막기 위해 전문기관의 행위규칙도 규정하였다. 중계 전문기관은 전송 중계 외의 목적으로 전송정보를 이용하여서는 아니되고, 중계시스템 장애 발생 시 개인정보위 등에 즉시 통지하여야 한다. 일반·특수 전문기관은 전송 요구를 하도록 강요하거나 부당하게 유도하는 행위, 정보주체에게 적합하지 않다고 인정되는 계약을 추천·권유하는 행위 등을 하여서는 아니된다.

【 전송 방법 및 절차 등 규정 】

  셋째, 정보주체가 효과적으로 전송요구권을 행사할 수 있도록 전송 과정에서 필요한 절차·방법 등의 기준을 수립하였다. 

  정보주체는 전송 요구 목적, 전송받는 자, 요구 대상 정보 등을 특정하여 전송을 요구하여야 하며, 정보수신자를 통하여 전송 요구를 할 수 있다. 이 경우 정보수신자는 정보주체가 전송 내용을 명확하게 인지하고 요구할 수 있도록 하여야 한다.

  정보전송자는 정보주체의 전송 요구가 있는 경우 거절·중단 사유*가 없는 한 중계 전문기관을 통해 지체없이 개인정보를 전송하여야 한다. 또한 정보전송자는 안전성과 신뢰성이 보장될 수 있는 방식으로 정보를 전송하여야 하며, 정보수신자는 정보주체의 파기 요청에 대응하기 위하여 전송받은 정보와 기존 정보를 분리하여 보관하여야 한다.

  * 본인 또는 대리인 여부가 확인되지 않는 경우, 제3자 기망·협박에 의한 전송요구로 의심되는 경우, 전송 요구 사항이 특정되지 않은 경우, 열람 제한·거절 사유에 해당하는 경우 등

  개인정보위는 정보주체의 전송요구권이 안전하고 효과적으로 구현될 수 있도록 자료제출 요구 등을 통해 참여자들을 관리·감독하여야 한다. 뿐만 아니라 정보주체가 본인의 전송 이력을 투명하게 관리할 수 있는 전송 지원 플랫폼의 구축·운영에 관한 사항을 규정하고, 설비 구축비용·운영비용·전송정보 특성 등을 고려한 정보전송 수수료 산정 근거도 마련하였다.

【 결합전문기관 재지정 기준 정비 】

  마지막으로, 결합전문기관에서 지정된 유효기간(3년)의 연장을 신청할 경우 지정 기준 적합 여부만을 판단하여 재지정해왔는데, 이번 개정안을 통해서 결합전문기관 지정 이후 결합실적이 전혀 없는 비활동·무실적 결합전문기관에 대해서는 재지정 시 결합실적 및 향후 운영계획 등을 추가 검토하여 재지정 여부를 결정할 수 있는 근거를 마련하였다.

  고학수 개인정보위 위원장은 “이번에 도입되는 개인정보 전송요구권은 분야간 칸막이에 갇혀있던 데이터가 정보주체의 요구에 따라 이동·융합될 수 있는 근본적 변화인 만큼, 국민이 우선적으로 체감할 수 있는 부문을 시작으로 점진적·단계적으로 확대해 나갈 계획이다”며, 

  “국민을 위한 다양한 혁신적 서비스를 창출하기 위해 보다 많은 기업들이 참여할 수 있도록 입법예고 이후에도 학계, 산업계, 시민단체 등의 다양한 의견을 들어 하위법령에 반영해 나갈 것”이라고 밝혔다.

  이번 시행령 개정안에 대하여 의견이 있는 기관·단체 또는 개인은 국민참여입법센터(http://opinion.lawmaking.go.kr) 또는 개인정보위 전자우편 및 일반우편 등으로 6월 10일까지 의견을 제출할 수 있다.

* 기타 자세한 내용은 첨부파일을 확인해주시기 바랍니다.

- 담당자 : 범정부 마이데이터 추진단 윤혜원(02-2100-3172), 윤상은(02-2100-3173)

             데이터안전정책과 주문호(02-2100-3088), 강나희(02-2100-3058)

“이 자료는 개인정보보호위원회의 보도자료를 전재하여 제공함을 알려드립니다.”