본인전송요구권, 전 산업 분야로 전면 확대…개인정보위 시행령 개정안 입법예고

개인정보를 직접 내려받고 활용할 수 있는 ‘본인전송요구권’의 적용 대상이 기존 의료·통신 분야에서 전 산업 분야로 대폭 확대된다. 개인정보보호위원회(위원장 고학수, 이하 개인정보위)는 6월 23일부터 8월 4일까지 「개인정보 보호법 시행령」 개정안을 입법예고하고, 본인전송요구권 제도의 실효성을 높이기 위한 제도 개선에 착수했다.

전송요구 대상 확대…전 산업 분야로 본격 적용

이번 개정안의 핵심은 전송요구권 적용 대상을 모든 산업 분야로 확장한 점이다. 그간 본인전송요구는 의료 및 통신 등 일부 분야에만 제한적으로 적용돼 활용에 한계가 있었다. 개정안은 이러한 제약을 해소하고, 국민이 보다 다양한 분야에서 자신의 개인정보를 안전하게 활용할 수 있도록 법적 기반을 마련했다.

본인전송요구의 대상이 되는 개인정보처리자의 기준은 개인정보 보호역량을 갖춘 대규모 사업자 등이다. 구체적으로는 ▲연간 매출 1,500억 원 이상이면서 정보주체 수가 100만 명 이상 ▲민감정보 또는 고유식별정보를 5만 명 이상 보유한 기관 ▲2만 명 이상의 학생을 둔 대학 ▲공공 시스템 운영 기관 등이 해당된다.

전송이 가능한 정보의 범위도 확대됐다. 정보주체의 동의에 따라 수집된 정보, 계약 체결 및 이행 과정에서 수집된 정보, 법령에 따라 수집된 정보 등은 원칙적으로 전송 대상이다. 다만, 개인정보처리자의 고유 행위와 별개로 생성된 분석정보나 제3자의 권리나 이익을 침해할 우려가 있는 정보는 제외된다. 예를 들어, 병원이 환자의 진단 및 처방내역을 바탕으로 위험군을 분류한 통계자료는 전송 대상에서 제외된다.

웹사이트 열람 정보도 암호화 파일로 전송 가능

전송 방법도 다양화됐다. 기존에는 웹사이트에서 정보를 열람하거나 조회하는 방식이 주였으나, 개정안은 이와 같은 정보를 암호화된 파일 형태로 내려받을 수 있도록 허용했다. 정보주체가 직접 정보를 보관·활용할 수 있는 환경을 마련한 것이다.

또한 개인정보처리자 입장에서도 정보 전송 부담을 줄이기 위해 파일 전송 방식을 명확히 하고, 표준화된 절차를 제시했다. 이를 통해 전송요구 처리에 대한 법적 불확실성과 행정 부담을 최소화할 수 있을 것으로 기대된다.

대리인 전송요구 시 안전성 확보 조치 마련

정보주체가 대리인을 통해 본인전송요구를 행사하는 경우를 위한 안전장치도 도입됐다. 특히 자동화된 스크래핑 도구 등을 사용하는 경우, 개인정보의 무분별한 수집과 오용을 방지하기 위해 개인정보처리자와 사전에 협의된 방식으로만 전송할 수 있도록 제한했다.

정부는 본질적으로 API(Application Programming Interface) 연계 방식을 권장하되, 단기적으로는 신뢰성 있는 개인정보관리 전문기관에 한해 스크래핑 방식도 허용하기로 했다. 이는 기술 환경을 고려한 과도기적 조치로, 향후에는 보다 안전하고 표준화된 전송체계로의 전환이 예상된다.

전문기관 통한 안전한 정보 저장 및 활용 지원

전문기관의 역할도 확대된다. 정보주체는 본인전송요구를 전문기관을 통해 안전하게 요청할 수 있으며, 전송받은 개인정보는 정보주체만이 접근 가능한 저장소에 보관된다. 이 저장소에 저장된 정보는 정보주체의 위임 하에 전문기관이 분석 및 관리할 수 있도록 함으로써, 마이데이터 서비스의 활용도와 신뢰성을 동시에 높이겠다는 방침이다.

이에 따라 개인정보위는 통합조회형 전문기관이 수행할 정보분석 및 관리 업무와 관련한 산업계 의견 수렴을 위해 정보제공요청서(RFI, Request for Information)를 공개하고, 관심 있는 기업과 기관으로부터 제안서를 받고 있다. 관련 자료는 한국인터넷진흥원(KISA) 홈페이지에서 확인할 수 있다.

또한 개정안의 주요 내용을 설명하고 산업계와 국민의 이해를 돕기 위한 대국민 설명회도 개최될 예정이다.

“국민이 정보 활용까지 주도할 수 있는 제도적 기반 마련”

하승철 개인정보위 마이데이터추진단장은 “이번 시행령 개정을 통해 국민이 본인의 정보를 단순히 내려받는 데 그치지 않고, 주체적으로 활용할 수 있는 제도적 기반이 마련될 것”이라며 “국민이 체감할 수 있는 실질적인 마이데이터 서비스를 실현해 개인정보 통제권을 강화하고, 국민주권정부 구현에 기여하겠다”고 밝혔다.

시행령 개정안에 대한 의견은 국민참여입법센터, 개인정보위 이메일, 일반우편을 통해 8월 4일까지 제출할 수 있다.