[개인정보] 개인정보 보호법 시행령 일부개정
개정이유
정보주체의 개인정보에 대한 통제권을 강화하기 위하여 정보주체가 개인정보처리자에게 자신의 개인정보를 정보주체 본인, 개인정보관리 전문기관 또는 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자에게 전송할 것을 요구할 수 있도록 하는 등의 내용으로 「개인정보 보호법」이 개정(법률 제19234호, 2023. 3. 14. 공포, 2025. 3. 13. 시행)됨에 따라 정보주체의 개인정보를 전송받으려는 자가 갖추어야 하는 시설 및 기술 기준, 전송 요구의 대상이 되는 정보의 범위 및 전송 요구의 방법 등을 정하는 한편, 가명정보의 결합을 수행하는 전문기관의 지정 기준 및 재지정 기준을 정비하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완하려는 것임.
주요내용
가. 가명정보의 결합을 수행하는 전문기관의 지정 기준 및 재지정 기준 정비(제29조의2제1항 및 제4항)
가명정보의 결합을 활성화하기 위하여 가명정보의 결합을 수행하는 전문기관의 지정 기준에 최근 1년 이내에 재지정되지 않은 사실 또는 지정 취소된 사실이 없을 것 등을 추가하고, 지정 기준에 적합한지뿐만 아니라 향후 업무 수행 계획이 지정 목적 달성에 적합한지, 지정 목적에 따라 업무를 제대로 수행했는지 등을 검토하여 재지정 여부를 결정할 수 있도록 함.
나. 정보주체의 요구에 따라 개인정보를 전송하여야 하는 개인정보처리자(제42조의2 신설)
정보주체의 요구에 따라 정보주체에게 또는 개인정보관리 전문기관 등에 정보주체의 개인정보를 전송하여야 하는 개인정보처리자를 산업별 특성을 고려하여 질병관리청 등 보건의료 관련 기관ㆍ법인 및 단체, 「전파법」에 따라 주파수를 할당받아 이동통신서비스를 제공하는 자 등 통신 관련 기관ㆍ법인 및 단체, 「전기사업법」에 따른 전기판매사업자 등 에너지 관련 기관ㆍ법인 및 단체로 각각 규정함.
다. 정보주체의 개인정보를 전송받을 수 있는 자가 갖추어야 하는 시설 및 기술 기준(제42조의3 신설)
개인정보가 안정적으로 전송될 수 있도록 하기 위하여 개인정보관리 전문기관 외에 정보주체의 개인정보를 전송받을 수 있는 개인정보처리자를 고유 업무 수행 과정에서 수집한 정보의 진위 여부 등을 확인하기 위하여 개인정보를 전송받는 자로서 전송 요구 관련 시스템 등을 갖춘 자로 규정함.
라. 전송 요구의 대상이 되는 개인정보의 범위(제42조의4 신설)
정보주체의 전송 요구권을 보장하기 위하여 전송 요구의 대상이 되는 개인정보의 범위를 진료와 관련하여 생성된 정보 등 보건의료 관련 정보, 「전기통신사업법」에 따른 기간통신역무 제공에 따라 생성된 이용자의 가입정보 등 통신 관련 정보 및 「전기사업법」에 따른 전기 공급에 따라 생성된 에너지 사용량 정보 등 에너지 관련 정보로 규정함.
마. 전송 요구의 방법, 개인정보의 전송 방법 및 전송 요구를 거절하거나 전송을 중단할 수 있는 사유(제42조의5, 제42조의6 및 제42조의8 신설)
1) 개인정보 전송 요구의 실효성을 확보하기 위하여 정보주체는 자신에게 또는 개인정보관리 전문기관 등에 정보주체의 개인정보 전송을 요구하는 경우 전송 요구 목적 및 전송을 요구하는 개인정보 등을 특정하도록 함.
2) 정보주체의 요구에 따라 정보주체에게 또는 개인정보관리 전문기관 등에 정보주체의 개인정보를 전송하여야 하는 개인정보처리자는 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 지체 없이 개인정보를 전송하도록 함.
3) 개인정보처리자는 정보주체의 본인 여부가 확인되지 않거나 정보주체가 제3자의 기망이나 협박 때문에 전송 요구를 한 것으로 의심될 만한 정황이 확인되는 등의 경우에는 정보주체의 전송 요구를 거절하거나 전송을 중단할 수 있도록 함.
바. 개인정보관리 전문기관의 지정 절차(제42조의10부터 제42조의12까지 신설)
1) 개인정보관리 전문기관으로 지정받으려는 자는 개인정보 보호위원회 또는 관계 중앙행정기관의 장에게 사업계획서 및 개인정보 관리 계획서 등을 제출하여 지정을 신청하도록 함.
2) 개인정보관리 전문기관으로 지정받으려는 자가 갖추어야 하는 지정요건의 세부기준으로 10억원 이상의 자본금, 손해배상책임의 이행을 위한 10억원 이상의 보험 또는 공제 가입 등을 규정함.
3) 개인정보관리 전문기관 지정의 유효기간은 3년으로 하고, 개인정보 보호위원회 또는 관계 중앙행정기관의 장은 개인정보관리 전문기관이 지정 유효기간의 연장을 신청하면 지정요건에 적합하다고 인정하는 경우 개인정보관리 전문기관으로 재지정할 수 있도록 함.
사. 개인정보관리 전문기관의 금지행위(제42조의13 및 별표 1의3 신설)
개인정보의 안전한 전송 여건을 마련하기 위하여 개인정보관리 전문기관은 정보주체의 전송 요구 철회 요청에도 불구하고 즉시 전송 절차를 중단하지 않는 행위 및 전송 요구를 하도록 강요하거나 부당하게 유도하는 행위 등을 하지 못하도록 함.
<법제처 제공>
