공공기관 마이데이터 확대 시동…개인정보위, 본인전송 조치 점검

개인정보보호위원회가 공공기관의 본인전송 제도 확대 시행을 앞두고 현장 점검에 나섰다. 오는 8월 개인정보 보호법 시행령 개정안 시행에 맞춰 공공시스템운영기관도 개인정보 전송요구권 대응 체계를 갖춰야 한다.

개인정보위는 행정안전부, 보건복지부, 건강보험공단 등 주요 공공기관과 함께 29일 정부세종청사에서 '주요 공공기관 대상 본인전송 확대 조치 간담회'를 열었다고 밝혔다.

이번 간담회는 개인정보 보호법 시행령 개정에 따라 본인대상정보전송자가 된 공공시스템운영기관 실무자를 대상으로 마련됐다. 개인정보위는 개정 시행령 주요 내용과 기관별 조치 필요사항을 설명하고 현장 의견을 들었다.

본인전송은 정보주체가 본인 개인정보를 자신에게 전송해 달라고 요구할 수 있는 제도다. 기존에는 의료·통신 분야를 중심으로 적용됐지만, 시행령 개정으로 적용 범위가 넓어진다.

개정안은 평균매출액 등이 1800억원을 넘고 일정 규모 이상의 개인정보를 처리하는 민간 사업자뿐 아니라 공공시스템운영기관도 본인대상정보전송자에 포함했다. 공공시스템운영기관은 개인정보 처리 규모와 개인정보 취급자 수 등 개인정보위가 고시하는 기준에 해당하는 공공시스템을 운영하는 기관이다.

이에 따라 해당 공공기관은 본인전송 방법을 마련해야 한다. 개인정보처리방침에는 본인전송 요구 방법과 전송 대상 정보 등을 게재해야 한다. 자동화 도구인 스크래핑을 이용해 본인전송 요구를 대리하는 경우에는 사전협의가 필요하다는 취지로 이용약관도 정비해야 한다.

개인정보위는 제도 시행에 맞춰 '전 분야 마이데이터 개인정보 전송요구권 제도 안내서' 개정도 추진하고 있다. 안내서에는 본인전송요구 범위 확대와 전송방식 사전협의 기준 등이 담긴다.

안내서 개정안에 따르면 본인대상정보전송자 해당 여부를 판단할 때 평균매출액 등은 국내외 매출액 전체를 기준으로 산정한다. 정보주체 수는 전체 시스템이 처리하는 정보주체 수의 총합을 기준으로 한다.

공공시스템운영기관의 경우 특정 공공시스템만 보는 것이 아니라 해당 기관이 관리하는 모든 시스템을 기준으로 판단한다. 다만 기관별 여건은 고려된다. 개인정보위는 전송 요구 수요가 많을 것으로 예상되는 시스템부터 본인전송 방법을 마련할 수 있다고 설명했다. 나머지 시스템은 개인정보처리방침에 확대 일정을 게재한 뒤 단계적으로 조치할 수 있다.

전송 요구 대상 정보는 정보주체의 동의나 계약에 따라 수집한 정보, 법령에 따라 수집한 정보 중 개인정보위가 심의·의결한 정보다. 개인정보처리자가 별도로 생성한 정보가 아닌 정보, 정보처리장치로 처리되는 개인정보여야 한다. 다만 타인의 권리나 정당한 이익을 침해할 우려가 있는 정보는 제외된다. 영업비밀이나 산업기술 등에 해당하는 정보도 본인전송 요구 대상에서 빠진다.

인터넷 홈페이지에서 정보주체가 즉시 열람하거나 조회할 수 있는 개인정보를 내려받을 수 있게 하는 기능도 본인전송으로 인정된다. 정보주체 요청이 있는 경우에는 전송정보 범위를 단계적으로 확대하는 방안도 검토할 수 있다.

개인정보위는 자동화 도구를 활용한 대리 전송 요구에 대해서도 기준을 제시했다. 대리인이 스크래핑을 이용해 본인전송요구를 대신할 경우 본인대상정보전송자와 대리인은 사전에 협의해야 한다. 협의 항목에는 전송 범위와 목적, 방식이 포함된다. 대리인의 위임권 확인, 보호조치와 안전관리 방안, 대리인의 책임도 협의 대상이다.

개인정보위는 간담회에서 나온 의견을 검토한 뒤 필요하면 안내서 개정안에 반영할 계획이다. 확정된 안내서 개정안은 오는 6월 공개된다.