'마이데이터' 보건의료·통신·유통사, 개인정보 3자전송 의무자 지정

/사진=개인정보보호위원회

전 분야 마이데이터(개인정보 전송요구권) 시행을 앞두고 정보주체 10만명 이상 대기업·중견기업과 정보주체 100만명 이상인 기관 등이 개인정보 전송자로 규정됐다.

정보주체 본인이 자신의 정보를 내려받는 게 아니라 제3자에게 전송해줄 것을 요구하는 '제3자 전송'은 보건의료, 통신, 유통 등 부문부터 우선 추진된다.

개인정보보호위원회는 내달 1일부터 6월10일까지 40일간 개인정보보호법 시행령 개정안을 입법예고한다며 30일 이같이 밝혔다. 이번 개정안에 대한 의견은 국민참여입법센터 홈페이지나 개인정보위 이메일 및 일반우편 등을 통해 제출할 수 있다.

이번 개정안은 정보주체의 개인정보 전송 요구시 정보를 전송하는 개인정보처리자(기업·기관)와 전송 요구 대상 정보의 기준을 정하고, 정보를 전송받을 수 있는 개인정보관리 전문기관의 지정 절차를 수립하는 등 마이데이터의 본격 시행에 필요한 세부 기준을 담았다.

'개인정보 전송자'는 정보주체 수가 10만 명 이상인 대기업·중견기업 또는 정보주체 수가 100만 명 이상인 기관·법인·단체 등으로 규정됐다. 개인정보 처리능력 등을 고려해 소기업은 제외한 것이다.

전송정보는 제3자 권리 침해 정보 등의 제외기준에 해당하지 않으면 전송을 요구할 수 있도록 했다.

다만 제3자 전송은 서비스 수요와 전송 인프라 여건 등을 고려해 보건의료, 통신, 유통 부문에서 우선적으로 마이데이터를 시행하는 것으로 했다. 상급종합병원, 기간통신사업자, 연 매출 1500억원 이상이거나 정보주체가 100만명 이상인 전자상거래업체 등이 이에 해당한다.


아울러 정보주체의 요구에 따라 정보를 전송받을 수 있는 수신자인 '개인정보관리 전문기관'에 대한 기준도 만들어졌다. 개인정보관리 전문기관은 △전송 중계 시스템 운영 및 기능 제공 등의 업무를 수행하는 중계 전문기관 △전송받은 개인정보를 관리·분석해 정보주체에게 맞춤형 서비스 등을 제공하는 일반 전문기관 △민감한 보건의료 정보를 관리·분석하는 특수 전문기관으로 구분된다. 개인정보위나 관계부처가 기관·기업의 기술수준, 전문성, 안전성 확보조치 수준, 재정능력 등을 고려해 지정한다.

전문기관 지정의 유효기간은 3년으로 하며, 유효기간 연장을 원할 경우 재지정을 신청할 수 있다. 지정권자는 고의 또는 중과실로 인한 침해사고 발생, 조건 위반 등의 사유가 발생한 경우 지정을 취소할 수 있다.

정보전송자 등의 의무도 규정됐다. 정보주체의 전송 요구가 있을 때 본인 또는 대리인 여부가 확인되지 않는다거나 다른 이에게 속아서 전송하는 것으로 의심된다는 등 거절·중단 사유가 없으면 중계 전문기관을 통해 지체없이 개인정보를 전송해야 한다. 정보전송자는 안전성과 신뢰성이 보장될 수 있는 방식으로 정보를 전송해야 하며, 정보수신자는 정보주체의 파기 요청에 대응하기 위해 전송받은 정보와 기존 정보를 분리하여 보관해야 한다.

고학수 개인정보위 위원장은 "이번에 도입되는 개인정보 전송요구권은 분야간 칸막이에 갇혀있던 데이터가 정보주체의 요구에 따라 이동·융합될 수 있는 근본적 변화인 만큼, 국민이 우선적으로 체감할 수 있는 부문을 시작으로 점진적·단계적으로 확대해 나갈 계획"이라며 "국민을 위한 다양한 혁신적 서비스를 창출하기 위해 보다 많은 기업들이 참여할 수 있도록 입법예고 이후에도 학계, 산업계, 시민단체 등의 다양한 의견을 들어 하위법령에 반영해 나갈 것"이라고 했다.