개인정보보호위원회(개인정보위)가 전 분야 마이데이터 시행을 위한 '개인정보 보호법 시행령' 개정안을 5월 1일부터 6월 10일까지(40일) 입법 예고한다.

이번 시행령 개정안은 작년 3월 개인정보 보호법 개정으로 도입된 개인정보 전송요구권 제도(2025년 시행)의 후속 조치로, 정보 주체의 개인정보 전송 요구 시 정보를 전송하는 개인정보처리자와 전송 요구 대상 정보의 기준을 정하고 정보를 전송받을 수 있는 개인정보 관리 전문 기관의 지정 절차를 수립하는 등 마이데이터의 본격 시행에 필요한 세부 기준을 마련하는 내용을 담고 있다.

또한, 가명 정보 결합 실적이 전혀 없는 결합 전문 기관에 대해 재지정을 하지 않을 수 있는 근거도 마련했다.

전송 요구권 행사에 따른 정보 전송자 및 전송 정보 기준 규정

첫째, 정보 주체의 전송 요구에 따라 정보를 전송하는 개인정보처리자(정보 전송자) 및 전송 요구 대상 정보의 기준을 마련했다. 정보 주체 본인에게 정보를 전송하는 경우는 부문‧분야 구분 없이 정보 전송자 및 전송 정보 기준을 폭넓게 설정하였고 제3자에게 정보를 전송하는 경우는 서비스 수요, 전송 인프라 여건 등을 고려하여 보건 의료‧통신‧유통 부문부터 우선적으로 추진하는 것으로 기준을 수립하였다.

먼저 본인 전송(다운로드)의 경우, 정보 전송자 기준은 개인정보 처리 능력 등을 고려하여 정보 주체 수가 10만 명 이상인 대기업‧중견기업 또는 정보 주체 수가 100만 명 이상인 기관‧법인‧단체 등으로 설정하였고, 전송 정보는 제3자 권리 침해 정보 등의 제외 기준에 해당하지 않으면 전송을 요구할 수 있도록 기준을 규정했다.

제3자 전송은 산업별 특성을 고려하여 정보 전송자 및 전송 정보를 유형화 하였으며 하위 고시 제정을 거쳐 보건의료, 통신, 유통 등 부문별로 세부 기준을 수립한다. 

개인정보 관리 전문 기관 지정 기준‧절차 규정

둘째, 정보 주체의 요구에 따라 정보를 전송받을 수 있는 수신자로서 개인정보 관리 전문 기관 지정에 관한 기준 및 절차를 마련했다.

개인정보 관리 전문 기관은 ▲전송 중계 시스템 운영 및 기능 제공 등의 업무를 수행하는 중계 전문 기관 ▲전송받은 개인정보를 관리‧분석하여 정보 주체에게 맞춤형 서비스 등을 제공하는 일반 전문 기관 ▲민감한 보건의료 정보를 관리‧분석하는 특수 전문 기관으로 구분되며 개인정보위 또는 관계 중앙행정기관의 장(지정권자)이 기술 수준 및 전문성, 안전성 확보 조치 수준, 재정 능력 등의 요건을 심사하여 지정한다.

개인정보 관리 전문 기관 지정 및 취소 등에 관한 절차도 마련하였다. 전문 기관으로 지정받으려는 자는 사업계획서, 개인정보 관리 계획서 및 기타 지정 요건 충족을 증명할 수 있는 서류 등을 첨부하여 지정을 신청한다. 사업자의 편의를 위해 예비 지정도 신청할 수 있도록 절차를 마련했다. 전문 기관 지정의 유효 기간은 3년으로 하며 유효 기간 연장을 원할 경우 재지정을 신청할 수 있다. 지정권자는 고의 또는 중과실로 인한 침해 사고 발생, 조건 위반 등의 사유가 발생한 경우 지정을 취소할 수 있다.

정보 주체의 권리 침해 우려를 막기 위해 전문 기관의 행위 규칙도 규정했다. 중계 전문 기관은 전송 중계 외의 목적으로 전송 정보를 이용하여서는 아니되고 중계 시스템 장애 발생 시 개인정보위 등에 즉시 통지하여야 한다. 일반‧특수 전문 기관은 전송 요구를 하도록 강요하거나 부당하게 유도하는 행위, 정보 주체에게 적합하지 않다고 인정되는 계약을 추천‧권유하는 행위 등을 하여서는 아니된다.

전송 방법 및 절차 등 규정

셋째, 정보 주체가 효과적으로 전송 요구권을 행사할 수 있도록 전송 과정에서 필요한 절차·방법 등의 기준을 수립하였다. 

정보 주체는 전송 요구 목적, 전송받는 자, 요구 대상 정보 등을 특정하여 전송을 요구하여야 하며 정보 수신자를 통하여 전송 요구를 할 수 있다. 이 경우 정보 수신자는 정보 주체가 전송 내용을 명확하게 인지하고 요구할 수 있도록 하여야 한다.

정보 전송자는 정보 주체의 전송 요구가 있는 경우 거절‧중단 사유가 없는 한 중계 전문 기관을 통해 지체없이 개인정보를 전송하여야 한다. 또한 정보 전송자는 안전성과 신뢰성이 보장될 수 있는 방식으로 정보를 전송하여야 하며 정보 수신자는 정보 주체의 파기 요청에 대응하기 위하여 전송받은 정보와 기존 정보를 분리하여 보관하여야 한다.

개인정보위는 정보 주체의 전송 요구권이 안전하고 효과적으로 구현될 수 있도록 자료 제출 요구 등을 통해 참여자들을 관리‧감독하여야 한다. 뿐만 아니라 정보 주체가 본인의 전송 이력을 투명하게 관리할 수 있는 전송 지원 플랫폼의 구축‧운영에 관한 사항을 규정하고 설비 구축 비용‧운영 비용‧전송 정보 특성 등을 고려한 정보 전송 수수료 산정 근거도 마련하였다.

결합 전문 기관 재지정 기준 정비

마지막으로 결합 전문 기관에서 지정된 유효 기간(3년)의 연장을 신청할 경우 지정 기준 적합 여부만을 판단하여 재지정해 왔는데, 이번 개정안을 통해서 결합 전문 기관 지정 이후 결합 실적이 전혀 없는 비활동‧무실적 결합 전문 기관에 대해서는 재지정 시 결합 실적 및 향후 운영 계획 등을 추가 검토하여 재지정 여부를 결정할 수 있는 근거를 마련하였다.

고학수 개인정보위 위원장은 "이번에 도입되는 개인정보 전송 요구권은 분야 간 칸막이에 갇혀있던 데이터가 정보 주체의 요구에 따라 이동‧융합될 수 있는 근본적 변화인 만큼 국민이 우선적으로 체감할 수 있는 부문을 시작으로 점진적‧단계적으로 확대해 나갈 계획이다. 국민을 위한 다양한 혁신적 서비스를 창출하기 위해 보다 많은 기업들이 참여할 수 있도록 입법 예고 이후에도 학계, 산업계, 시민단체 등의 다양한 의견을 들어 하위 법령에 반영해 나가겠다"고 밝혔다.

한편, 이번 시행령 개정안에 대하여 의견이 있는 기관·단체 또는 개인은 국민참여입법센터 또는 개인정보위 이메일 및 일반 우편 등으로 6월 10일까지 의견을 제출할 수 있다.

석주원 기자 다른기사 보기