전 분야 마이데이터 추진…'개인정보 보호법 시행령 개정안' 입법예고

정보전송자, 정보수신자, 전송 방법 등 세부 기준 및 절차 마련

[프라임경제] 정부가 오는 2025년 전 분야 마이데이터(개인정보 전송요구권 제도) 시행을 앞두고 정보 전송자의 요건과 전송 방법 등에 대한 세부 기준을 마련했다.

ⓒ 개인정보보호위원회

개인정보보호위원회(이하 개인정보위)는 이같은 내용이 담긴 개인정보 보호법 개정안을 오는 5월1일부터 6월10일까지 입법 예고한다고 30일 밝혔다.

이번 시행령 개정안은 지난해 3월 개인정보 보호법 개정으로 도입된 개인정보 전송요구권 제도의 후속조치로, 마이데이터의 본격 시행에 필요한 세부 기준을 마련한 게 골자다. 마이데이터란 자신의 개인정보를 보유한 기업이나 기관에 그 정보를 당사자가 원하는 다른 곳으로 옮기도록 요구할 수 있는 서비스다.

먼저 정보주체의 전송 요구에 따라 정보를 전송하는 개인정보처리자(정보전송자)와 전송 요구 대상 정보의 기준을 마련했다. 정보주체가 본인의 정보를 전송할 것을 요구한 경우에는 제3자 권리 침해 등 제외 기준에 해당하지 않는다면 어떠한 정보라도 받을 수 있도록 했다.

정보 전송자 기준은 정보주체 수가 10만명 이상인 대기업·중견기업이거나 정보주체 수가 100만명 이상인 기관·법인·단체로 설정했다. 제3자 전송은 산업별 특성을 고려해 보건의료, 통신, 유통 등 부문별로 세부 기준을 수립했다. 

이와 함께 개인정보관리 전문기관 지정 기준과 절차도 마련했다.

개인정보관리 전문기관은 크게 중계 전문기관, 일반 전문기관, 특수 전문기관으로 구분된다. 개인정보위 또는 관계 중앙행정기관의 장(지정권자)이 기술수준과 전문성, 안전성 확보조치 수준, 재정능력 등의 요건을 심사해 지정한다.

전문기관 지정 유효기간은 3년이며, 유효기간 연장을 원할 경우 재지정을 신청할 수 있다. 지정권자는 고의 또는 중과실로 인한 침해사고, 조건 위반 등 사유가 발생한 경우 지정을 취소할 수 있다.

아울러 정보주체가 효과적으로 전송 요구권을 행사할 수 있도록 전송 과정에서 필요한 절차나 방법도 담았다.

정보주체는 전송 요구 목적, 전송받는 자, 요구 대상 정보 등을 특정해 전송을 요구해야 하며 정보 수신자를 통해 전송 요구를 할 수 있다. 

정보 전송자는 정보주체의 전송 요구가 있는 경우 거절·중단 사유가 없는 한 중계 전문기관을 통해 지체 없이 개인정보를 전송해야 한다. 또 정보주체의 파기 요청에 대응하기 위해 전송받은 정보와 기존 정보를 분리해 보관해야 한다.

개인정보위는 정보주체의 전송요구권이 안전하고 효과적으로 운용될 수 있도록 자료 제출 요구 등을 통해 참여자들을 관리·감독해야 한다. 뿐만 아니라 전송 지원 플랫폼 운영에 관한 사항을 규정하고, 설비 구축·운영비용이나 전송 정보 특성 등을 고려한 정보전송 수수료 산정 근거도 마련했다.

이밖에 결합전문기관 재지정 기준도 정비했다. 

지정 이후 결합실적이 없는 결합전문기관에 대해서는 재지정 시 결합실적과 향후 운영계획 등을 추가 검토해 재지정 여부를 결정할 수 있도록 했다.

고학수 개인정보위 위원장은 "개인정보 전송요구권은 분야 간 칸막이에 갇혀있던 데이터가 정보주체의 요구에 따라 이동할 수 있는 근본적 변화인 만큼 국민이 우선적으로 체감할 수 있는 부문을 시작으로 확대해 나갈 계획"이라며 "입법예고 이후에도 학계, 산업계, 시민단체 등 다양한 의견을 들어 하위법령에 반영하겠다"고 말했다.