정보전송자, 정보수신자, 전송 방법 등 세부 기준 및 절차 마련
2025년부터 의료·통신·유통 우선 추진...전 분야 단계적 확대 예정
[보안뉴스 김경애 기자] 전 분야 마이데이터 시행을 위한 ‘개인정보 보호법 시행령’ 개정안이 5월 1일부터 6월 10일까지 40일간 입법예고된다.
이번 시행령 개정안은 지난해 3월 ‘개인정보 보호법’ 개정으로 도입된 개인정보 전송요구권 제도(2025년 시행)의 후속조치다. 정보주체의 개인정보 전송 요구시 정보를 전송하는 개인정보처리자와 전송 요구 대상 정보의 기준을 정하고, 정보를 전송받을 수 있는 개인정보관리 전문기관의 지정 절차를 수립하는 등 마이데이터의 본격 시행에 필요한 세부 기준을 마련하는 내용을 담고 있다. 또한, 가명정보 결합실적이 전혀 없는 결합전문기관에 대해 재지정을 하지 않을 수 있는 근거도 마련했다.
전송요구권 행사에 따른 정보전송자 및 전송정보 기준 규정
첫째, 정보주체의 전송 요구에 따라 정보를 전송하는 개인정보처리자(정보전송자) 및 전송 요구 대상 정보의 기준을 마련했다. 정보주체 본인에게 정보를 전송하는 경우는 부문·분야 구분 없이 정보전송자와 전송정보 기준을 폭넓게 설정했다. 제3자에게 정보를 전송하는 경우는 서비스 수요, 전송인프라 여건 등을 고려해 보건의료·통신·유통 부문부터 우선적으로 추진하는 것으로 기준을 수립했다.
먼저 본인 전송(다운로드)의 경우, 정보전송자 기준은 개인정보 처리 능력 등을 고려해 정보주체 수가 10만 명 이상인 대기업·중견기업 또는 정보주체 수가 100만 명 이상인 기관·법인·단체 등으로 설정했다. 전송정보는 제3자 권리 침해 정보 등의 제외기준에 해당하지 않으면 전송을 요구할 수 있도록 기준을 규정했다.
제3자 전송은 산업별 특성을 고려하여 정보전송자 및 전송정보를 유형화 했으며, 하위 고시 제정을 거쳐 보건의료(‘의료법’ 제3조의4의 상급종합병원 및 고시하는 자), 통신(‘전기통신사업법’ 제2조제11호의 기간통신역무를 제공하는 자 중 고시하는 자), 유통(‘전자상거래법’에 따른 통신판매업자 또는 통신판매중개업자이면서 연 매출액 1,500억원 이상 또는 정보주체 수 100만 명 이상인 자 중 고시하는 자) 등 부문별로 세부 기준을 수립한다.
개인정보관리 전문기관 지정 기준·절차 규정
둘째, 정보주체의 요구에 따라 정보를 전송받을 수 있는 수신자로서 개인정보관리 전문기관 지정에 관한 기준 및 절차를 마련했다.
개인정보관리 전문기관은 전송 중계 시스템 운영 및 기능 제공 등의 업무를 수행하는 중계 전문기관, 전송받은 개인정보를 관리·분석해 정보주체에게 맞춤형 서비스 등을 제공하는 일반 전문기관, 민감한 보건의료 정보를 관리·분석하는 특수 전문기관으로 구분된다. 개인정보위 또는 관계 중앙행정기관의 장(지정권자)이 기술수준 및 전문성, 안전성 확보조치 수준, 재정능력 등의 요건을 심사해 지정한다.
개인정보관리 전문기관 지정 및 취소 등에 관한 절차도 마련했다. 전문기관으로 지정받으려는 자는 사업계획서, 개인정보 관리 계획서 및 기타 지정 요건 충족을 증명할 수 있는 서류 등을 첨부해 지정을 신청한다. 사업자의 편의를 위해 예비지정도 신청할 수 있도록 절차를 마련했다. 전문기관 지정의 유효기간은 3년으로 하며, 유효기간 연장을 원할 경우 재지정을 신청할 수 있다. 지정권자는 고의 또는 중과실로 인한 침해사고 발생, 조건 위반 등의 사유가 발생한 경우 지정을 취소할 수 있다.
정보주체의 권리 침해 우려를 막기 위해 전문기관의 행위규칙도 규정했다. 중계 전문기관은 전송 중계 외의 목적으로 전송정보 이용은 안 된다. 중계시스템 장애 발생 시 개인정보위 등에 즉시 통지해야 한다. 일반·특수 전문기관은 전송 요구를 하도록 강요하거나 부당하게 유도하는 행위, 정보주체에게 적합하지 않다고 인정되는 계약을 추천·권유하는 행위 등을 해서는 안 된다.
전송 방법 및 절차 등 규정
셋째, 정보주체가 효과적으로 전송요구권을 행사할 수 있도록 전송 과정에서 필요한 절차·방법 등의 기준을 수립했다.
정보주체는 전송 요구 목적, 전송받는 자, 요구 대상 정보 등을 특정해 전송을 요구해야 한다. 정보수신자를 통해 전송 요구를 할 수 있다. 이 경우 정보수신자는 정보주체가 전송 내용을 명확하게 인지하고 요구할 수 있도록 해야 한다.
정보전송자는 정보주체의 전송 요구가 있는 경우 거절·중단 사유가 없는 한 중계 전문기관을 통해 지체없이 개인정보를 전송해야 한다. 또한 정보전송자는 안전성과 신뢰성이 보장될 수 있는 방식으로 정보를 전송해야 하며, 정보수신자는 정보주체의 파기 요청에 대응하기 위해 전송받은 정보와 기존 정보를 분리해 보관해야 한다. 이러한 경우로는 본인 또는 대리인 여부가 확인되지 않는 경우, 제3자 기망·협박에 의한 전송요구로 의심되는 경우, 전송요구 사항이 특정되지 않은 경우, 열람 제한·거절 사유에 해당하는 경우 등이 해당된다.
개인정보위는 정보주체의 전송요구권이 안전하고 효과적으로 구현될 수 있도록 자료제출 요구 등을 통해 참여자들을 관리·감독해야 한다. 뿐만 아니라 정보주체가 본인의 전송 이력을 투명하게 관리할 수 있는 전송 지원 플랫폼의 구축·운영에 관한 사항을 규정하고, 설비 구축비용·운영비용·전송정보 특성 등을 고려한 정보전송 수수료 산정 근거도 마련했다.
결합전문기관 재지정 기준 정비
마지막으로, 결합전문기관에서 지정된 유효기간(3년)의 연장을 신청할 경우 지정 기준 적합 여부만을 판단해 재지정해왔다. 이번 개정안을 통해 결합전문기관 지정 이후 결합실적이 전혀 없는 비활동·무실적 결합전문기관에 대해서는 재지정 시 결합실적 및 향후 운영계획 등을 추가 검토해 재지정 여부를 결정할 수 있는 근거를 마련했다.
고학수 개인정보위 위원장은 “이번에 도입되는 개인정보 전송요구권은 분야간 칸막이에 갇혀있던 데이터가 정보주체의 요구에 따라 이동·융합될 수 있는 근본적 변화인 만큼, 국민이 우선적으로 체감할 수 있는 부문을 시작으로 점진적·단계적으로 확대해 나갈 계획”이라며, “국민을 위한 다양한 혁신적 서비스를 창출하기 위해 보다 많은 기업들이 참여할 수 있도록 입법예고 이후에도 학계, 산업계, 시민단체 등의 다양한 의견을 들어 하위법령에 반영해 나갈 것”이라고 밝혔다.
이번 시행령 개정안에 대해 의견이 있는 기관·단체 또는 개인은 국민참여입법센터 또는 개인정보위 전자우편 및 일반우편 등으로 6월 10일까지 의견을 제출할 수 있다.
[김경애 기자(boan3@boannews.com)]
2025년부터 의료·통신·유통 우선 추진...전 분야 단계적 확대 예정
[보안뉴스 김경애 기자] 전 분야 마이데이터 시행을 위한 ‘개인정보 보호법 시행령’ 개정안이 5월 1일부터 6월 10일까지 40일간 입법예고된다.
[이미지= gettyimagesbank]
이번 시행령 개정안은 지난해 3월 ‘개인정보 보호법’ 개정으로 도입된 개인정보 전송요구권 제도(2025년 시행)의 후속조치다. 정보주체의 개인정보 전송 요구시 정보를 전송하는 개인정보처리자와 전송 요구 대상 정보의 기준을 정하고, 정보를 전송받을 수 있는 개인정보관리 전문기관의 지정 절차를 수립하는 등 마이데이터의 본격 시행에 필요한 세부 기준을 마련하는 내용을 담고 있다. 또한, 가명정보 결합실적이 전혀 없는 결합전문기관에 대해 재지정을 하지 않을 수 있는 근거도 마련했다.
전송요구권 행사에 따른 정보전송자 및 전송정보 기준 규정
첫째, 정보주체의 전송 요구에 따라 정보를 전송하는 개인정보처리자(정보전송자) 및 전송 요구 대상 정보의 기준을 마련했다. 정보주체 본인에게 정보를 전송하는 경우는 부문·분야 구분 없이 정보전송자와 전송정보 기준을 폭넓게 설정했다. 제3자에게 정보를 전송하는 경우는 서비스 수요, 전송인프라 여건 등을 고려해 보건의료·통신·유통 부문부터 우선적으로 추진하는 것으로 기준을 수립했다.
먼저 본인 전송(다운로드)의 경우, 정보전송자 기준은 개인정보 처리 능력 등을 고려해 정보주체 수가 10만 명 이상인 대기업·중견기업 또는 정보주체 수가 100만 명 이상인 기관·법인·단체 등으로 설정했다. 전송정보는 제3자 권리 침해 정보 등의 제외기준에 해당하지 않으면 전송을 요구할 수 있도록 기준을 규정했다.
제3자 전송은 산업별 특성을 고려하여 정보전송자 및 전송정보를 유형화 했으며, 하위 고시 제정을 거쳐 보건의료(‘의료법’ 제3조의4의 상급종합병원 및 고시하는 자), 통신(‘전기통신사업법’ 제2조제11호의 기간통신역무를 제공하는 자 중 고시하는 자), 유통(‘전자상거래법’에 따른 통신판매업자 또는 통신판매중개업자이면서 연 매출액 1,500억원 이상 또는 정보주체 수 100만 명 이상인 자 중 고시하는 자) 등 부문별로 세부 기준을 수립한다.
개인정보관리 전문기관 지정 기준·절차 규정
둘째, 정보주체의 요구에 따라 정보를 전송받을 수 있는 수신자로서 개인정보관리 전문기관 지정에 관한 기준 및 절차를 마련했다.
개인정보관리 전문기관은 전송 중계 시스템 운영 및 기능 제공 등의 업무를 수행하는 중계 전문기관, 전송받은 개인정보를 관리·분석해 정보주체에게 맞춤형 서비스 등을 제공하는 일반 전문기관, 민감한 보건의료 정보를 관리·분석하는 특수 전문기관으로 구분된다. 개인정보위 또는 관계 중앙행정기관의 장(지정권자)이 기술수준 및 전문성, 안전성 확보조치 수준, 재정능력 등의 요건을 심사해 지정한다.
개인정보관리 전문기관 지정 및 취소 등에 관한 절차도 마련했다. 전문기관으로 지정받으려는 자는 사업계획서, 개인정보 관리 계획서 및 기타 지정 요건 충족을 증명할 수 있는 서류 등을 첨부해 지정을 신청한다. 사업자의 편의를 위해 예비지정도 신청할 수 있도록 절차를 마련했다. 전문기관 지정의 유효기간은 3년으로 하며, 유효기간 연장을 원할 경우 재지정을 신청할 수 있다. 지정권자는 고의 또는 중과실로 인한 침해사고 발생, 조건 위반 등의 사유가 발생한 경우 지정을 취소할 수 있다.
정보주체의 권리 침해 우려를 막기 위해 전문기관의 행위규칙도 규정했다. 중계 전문기관은 전송 중계 외의 목적으로 전송정보 이용은 안 된다. 중계시스템 장애 발생 시 개인정보위 등에 즉시 통지해야 한다. 일반·특수 전문기관은 전송 요구를 하도록 강요하거나 부당하게 유도하는 행위, 정보주체에게 적합하지 않다고 인정되는 계약을 추천·권유하는 행위 등을 해서는 안 된다.
전송 방법 및 절차 등 규정
셋째, 정보주체가 효과적으로 전송요구권을 행사할 수 있도록 전송 과정에서 필요한 절차·방법 등의 기준을 수립했다.
정보주체는 전송 요구 목적, 전송받는 자, 요구 대상 정보 등을 특정해 전송을 요구해야 한다. 정보수신자를 통해 전송 요구를 할 수 있다. 이 경우 정보수신자는 정보주체가 전송 내용을 명확하게 인지하고 요구할 수 있도록 해야 한다.
정보전송자는 정보주체의 전송 요구가 있는 경우 거절·중단 사유가 없는 한 중계 전문기관을 통해 지체없이 개인정보를 전송해야 한다. 또한 정보전송자는 안전성과 신뢰성이 보장될 수 있는 방식으로 정보를 전송해야 하며, 정보수신자는 정보주체의 파기 요청에 대응하기 위해 전송받은 정보와 기존 정보를 분리해 보관해야 한다. 이러한 경우로는 본인 또는 대리인 여부가 확인되지 않는 경우, 제3자 기망·협박에 의한 전송요구로 의심되는 경우, 전송요구 사항이 특정되지 않은 경우, 열람 제한·거절 사유에 해당하는 경우 등이 해당된다.
개인정보위는 정보주체의 전송요구권이 안전하고 효과적으로 구현될 수 있도록 자료제출 요구 등을 통해 참여자들을 관리·감독해야 한다. 뿐만 아니라 정보주체가 본인의 전송 이력을 투명하게 관리할 수 있는 전송 지원 플랫폼의 구축·운영에 관한 사항을 규정하고, 설비 구축비용·운영비용·전송정보 특성 등을 고려한 정보전송 수수료 산정 근거도 마련했다.
결합전문기관 재지정 기준 정비
마지막으로, 결합전문기관에서 지정된 유효기간(3년)의 연장을 신청할 경우 지정 기준 적합 여부만을 판단해 재지정해왔다. 이번 개정안을 통해 결합전문기관 지정 이후 결합실적이 전혀 없는 비활동·무실적 결합전문기관에 대해서는 재지정 시 결합실적 및 향후 운영계획 등을 추가 검토해 재지정 여부를 결정할 수 있는 근거를 마련했다.
고학수 개인정보위 위원장은 “이번에 도입되는 개인정보 전송요구권은 분야간 칸막이에 갇혀있던 데이터가 정보주체의 요구에 따라 이동·융합될 수 있는 근본적 변화인 만큼, 국민이 우선적으로 체감할 수 있는 부문을 시작으로 점진적·단계적으로 확대해 나갈 계획”이라며, “국민을 위한 다양한 혁신적 서비스를 창출하기 위해 보다 많은 기업들이 참여할 수 있도록 입법예고 이후에도 학계, 산업계, 시민단체 등의 다양한 의견을 들어 하위법령에 반영해 나갈 것”이라고 밝혔다.
이번 시행령 개정안에 대해 의견이 있는 기관·단체 또는 개인은 국민참여입법센터 또는 개인정보위 전자우편 및 일반우편 등으로 6월 10일까지 의견을 제출할 수 있다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-05-12] 
