개인정보보호위원회는 2024.5.1. 전 분야 마이데이터 추진을 위한 「개인정보 보호법」 시행령 개정안(이하, 시행령 개정안)을 2024.6.10.까지 입법예고하였습니다. 이는 2023.3. 「개인정보 보호법」 개정으로 도입된 개인정보 전송 요구권 제도의 후속 입법으로서, 그 시행을 위한 기준 및 절차 등 세부적 사항에 관한 내용을 규율하고 있습니다.
법무법인(유) 광장 개인정보팀 및 신용정보팀에서는 아래와 같이 시행령 개정안의 주요 내용 및 시사점을 설명드리겠습니다.
관련하여, 2024.3.15. 시행된
「개인정보 보호법」 2차 개정 시행령[바로가기→],
금융위원회 「마이데이터 2.0 추진방안」 발표[바로가기→]의 내용도 참고하시기 바랍니다.
I. 주요 내용
1. 전송 요구권 행사에 따른 정보 전송자 및 전송 정보 기준 규정
■ 시행령 개정안은 정보 주체 본인 전송과 제3자 전송을 구분하여, 정보 주체의 개인정보 전송 요구 시 정보를 전송하는 개인정보처리자(이하, 정보 전송자) 및 전송 요구 대상 정보의 기준을 다르게 정하고 있습니다.
■ 정보 주체 본인 전송(다운로드)의 경우, 정보 전송자의 기준은 개인정보 처리 능력 등을 고려하여 정보 주체 수가 10만 명 이상인 대기업·중견기업 또는 정보 주체 수가 100만 명 이상인 기관·법인·단체 등으로 설정하였고, 전송 정보는 제3자 권리 침해 정보 등의 제외 기준에 해당하지 않으면 원칙적으로 전송을 요구할 수 있도록 기준을 정하였습니다.
■ 제3자 전송의 경우, 서비스 수요, 전송 인프라 여건 등을 고려하여 보건의료·통신·유통 등 부문부터 우선적으로 추진하는 방향으로 기준이 수립되었습니다. 각 부문별로 정보 전송자* 및 전송 정보**를 유형화하였고, 세부 기준의 수립은 하위 고시의 제정을 통하여 이루어질 예정입니다.
2. 일반 수신자 기준 규정
■ 정보를 전송받아 확인할 수 있는 일반 수신자의 기준을 전송 요구 관련 제반 시스템, 불법적인 접근 및 침해사고 방지를 위한 보호 설비 및 기술, 전송 내역 기록·보관을 위한 시스템 등 고시하는 시설 및 기술 기준을 충족하는 자로 정하였습니다.
3. 개인정보 관리 전문기관 지정 기준·절차 등 규정
■ 정보 주체의 요구에 따라 정보를 전송받을 수 있는 수신자로서 개인정보 관리 전문기관의 지정 등에 관한 기준 및 절차가 마련되었습니다.
■ 개인정보보호위원회 또는 관계 중앙행정기관의 장(이하, 지정권자)은 기술 수준 및 전문성, 안전성 확보 조치 수준, 재정 능력 등의 요건을 심사하여 개인정보 관리 전문기관을 지정할 수 있습니다. 개인정보 관리 전문기관은 ① 전송 중계 시스템 운영 및 기능 제공 등의 업무를 수행하는 중계 전문기관, ② 전송받은 개인정보를 관리·분석하여 정보 주체에게 맞춤형 서비스 등을 제공하는 일반 전문기관, ③ 민감한 보건의료 정보를 관리·분석하는 특수 전문기관의 세 가지 유형으로 구분됩니다.
■ 지정의 유효 기간은 3년이며, 유효 기간 연장을 희망하는 기관은 재지정을 신청할 수 있고, 예비 지정 신청 절차도 마련되었습니다. 지정권자는 고의 또는 중과실로 인한 침해사고 발생, 조건 위반 등의 사유가 발생한 경우 지정을 취소할 수 있습니다.
■ 전문기관의 행위 규칙도 마련되어, 중계 전문기관은 전송 중계 외의 목적으로 전송 정보를 이용해서는 아니 되고, 중계 시스템 장애 발생 시 개인정보보호위원회 등에 즉시 통지하지 않는 행위 등이 금지되며, 일반·특수 전문기관은 전송 요구를 하도록 강요하거나 부당하게 유도하는 행위, 정보 주체에게 부적합하다고 인정되는 계약을 추천·권유하는 행위 등을 해서는 안 됩니다.
4. 정보 전송 절차 및 방법 등 규정
■ 정보 주체는 전송 요구 시 목적, 전송받는 자(수신자), 대상 정보 등을 특정하여 전송을 요구하여야 합니다. 정보 주체는 정보 수신자를 통해 전송 요구를 할 수 있고, 정기적 전송 요구가 가능합니다.
■ 정보 전송자는 정보 주체의 전송 요구가 있는 경우, 본인 또는 대리인 여부가 확인되지 않는 등의 거절 또는 중단 사유가 없는 한, 중계 전문기관을 통해 지체 없이 개인정보를 전송하여야 하고, 안정성과 신뢰성이 보장될 수 있는 방식으로 정보를 전송하여야 합니다. 정보 수신자는 전송받은 정보와 기존 정보를 분리하여 보관하여야 합니다.
■ 이외에도, 정보 주체가 본인의 전송 이력을 관리할 수 있는 전송 지원 플랫폼의 구축·운영에 관한 사항이 마련되었고, 개인정보 전송 내역 통지를 ‘개인정보의 수집 출처 등 통지’ 및 ‘개인정보 이용·제공 내역 통지’와 함께할 수 있도록 관련 규정이 정비되었습니다.
5. 전송 요구 관련 수수료 규정
■ 시행령 개정안은 정보 전송자가 정보 주체를 대신하여 개인정보 전송을 요구하는 수신자에게 수수료를 청구할 수 있도록 규정하고 있습니다. 전송 요구에 대한 수수료는 개인정보보호위원회가 제시하는 수수료 산정 기준에 따라, 필요 설비 구축 비용, 운영 비용 및 대상 개인정보 특성 등을 고려하여 산정합니다.
6. 결합 전문기관 재지정 기준 정비
■ 결합 전문기관 지정 이후 가명정보 결합 실적이 전혀 없는 비활동·무실적 결합 전문기관에 대해서는 재지정 시 결합 실적 및 향후 운영 계획 등을 추가 검토하여 재지정 여부를 결정할 수 있는 근거를 마련하였습니다.
II. 시사점
1. 기대효과
시행령 개정안은 개인정보의 전송 방법 및 절차 등에 관한 내용을 구체화함으로써, 전 분야 마이데이터가 안정적으로 추진될 수 있도록 전송체계 구축에 관한 기반을 마련하였습니다. 마이데이터의 전 분야 확대는 정보 주체의 권리를 강화하는 동시에, 다양한 분야의 데이터의 융합을 통한 새로운 사업 모델의 창출 및 기업 경쟁력 제고에도 기여할 것으로 기대됩니다.
2. 유의사항
시행령 개정안은 그 시행일을 2025.3.13.로 정하고 있습니다(일부 조항은 공포한 날부터 시행). 시행령 개정안이 시행되면, 개인정보 전송 요구권 행사에 따라 정보를 전송 내지 수신하는 기업들에게 중대한 영향을 미칠 것으로 예상됩니다. 특히, 보건의료·통신·유통 부문 등 제3자 정보 전송이 우선적으로 추진되는 분야의 경우 시행 전 사전 준비가 필요한 사항들을 철저하게 점검할 필요가 있습니다.
그리고 개인정보관리전문기관으로 지정받아 그 업무를 수행하고자 하는 기업 또는 단체는 지정 요건 및 지정 신청의 절차를 사전에 면밀히 검토하는 한편, 개인정보관리전문기관의 행위 규칙에 대해서도 명확히 인지하고 준비하여 전문기관으로서 업무를 수행하는 과정에서 발생할 수 있는 법적 리스크를 최소화할 필요가 있습니다.
또한, 가명정보결합전문기관의 경우 시행령 개정안에서 새로이 정비된 결합 전문기관 재지정 기준의 세부적인 내용을 주의 깊게 살필 필요가 있겠습니다.
저희 법무법인(유) 광장의 개인정보팀 및 신용정보팀은 이미 금융 마이데이터와 관련하여 본인신용정보관리업 허가 취득 등 다양한 자문 업무를 성공적으로 완료한 바 있으며, 전 분야 마이데이터 도입을 앞두고 금융 외 다양한 분야의 마이데이터에 관하여도 선도적으로 자문 활동을 수행하고 있습니다.
전 분야 마이데이터 추진에 따른 법률상 이슈 또는 시행령 개정안에 관련하여 자문이 필요하시거나 입법예고에 대한 의견 제출 등이 필요하신 경우, 언제든지 법무법인(유) 광장 개인정보팀 및 신용정보팀에 문의하여 주시기 바랍니다.