- 자료 출처: 개인정보 전송요구권 제도 안내서(개인정보보호위원회)
개인정보보호위원회에서 발간한 개인정보 전송요구권에 대한 구체적인 내용이 담긴 안내서이다.
개인정보처리 전문기관 지정 기준까지는 아니더라도, 개념이나 내용은 잘 알아둬야겠다.
* 아직 초안이 공개된 상태라서 내용이 변경될 수 있다.
[요약]
용어
- 개인정보처리 전문기관 = 일반전문기관(통신, 에너지) + 특수전문기관(의료)
- 정보수신자 = 개인정보처리 전문기관 + 일반 수신자
- 중계전문기관 = 개인정보 전송을 중계하며, 제3자 전송 시 반드시 중계전문기관을 통해 전송해야 함
정보전송자
- 정보주체 본인 또는 제3자인 정보수신자에게 개인정보를 전송하는 개인정보처리자
- 정보전송자는 몇몇 기관 또는 기업으로 한정되어 있음(통신, 에너지, 보건)
- 전송내역 3년 간 보관 의무(제3자 전송 시 중계기관이 대신 보관 가능)
- 본인 확인 업무에 한정하여 주민등록번호, 외국인등록번호 처리 가능
- 전송요구 시 지체없이 개인정보를 전송해야 하며, 정확성/완전성/최신성을 보장해야 함
일반수신자
- 업무 상 본인 확인 목적으로만 개인정보 전송받을 수 있음(정기적 수신 불가)
- 수신한 개인정보는 본인 확인 목적 달성 시 파기해야 함
- 개인정보전송지원플랫폼에 일반수신자로써 등재 필요
- 의무사항
- 안전한 암호화 알고리즘 사용
- 전송받은 정보는 다른 개인정보와 분리 보관
- 목적에 맞는 개인정보만 전송 요구를 해야 하며, 수신받은 개인정보는 목적 외 사용 금지
- 필수적이지 않은 제3자 제공 동의를 전송요구와 같이 받으면 안 됨
개인정보처리 전문기관
- 일반전문기관(통신, 에너지) + 특수전문기관(보건)
- 지정 유효기간은 3년이며, 만료일 6개월 전까지 재지정 신청 필요
- 예비신청(2개월+1개월), 본신청(3개월+2개월)
- 업무 종료 시 6개월 전 지정권자에게 통지
전송요구대상정보
- 정보주체 본인에 대한 개인정보 + 아래 중 하나의 요건에 해당해야 함
- 정보주체 동의
- 정보주체 요청에 따른 계약 체결/이행
- 법률 및 법령 상 의무
- 공공기관 소관업무
- 개인정보처리자가 별도로 가공/생성한 개인정보는 전송요구 대상이 아님
- 통신 정보 중 청구 및 납부정보는 일반전문기관에만 전송 가능
전송 방법
- 정보주체 본인 요구 시
- 편집 가능한 XLS, CSV 등의 형식으로 안전하게 전송
- 정보주체 본인만 접근 가능한 경로 확인 필요
- 제3자 요구 시
- 반드시 API를 통해서만 전송해야 함
- 반드시 중계전문기관을 통해서만 전송해야 함
- 다른 일반적인 개인정보와 분리 보관 필요(국내 저장 시 논리적 분리 가능, 의무기록은 미 분리 가능)
- 정기적 전송은 언제든 철회 가능해야 하며, 미 접속 시 1년 이후 자동으로 전송 중단해야 함
- 개인정보 전송내역 보관(3년 간)
- 전송 요구 목적
- 전송 요구를 받는 자
- 전송받는 자
- 전송받는 자의 처리 및 보유기간
- 전송 항목
- 전송 종료시점
- 정기적 전송 여부
- 개인정보처리 전문기관은 연 1회 이상 전송내역을 통지해야 함(거부 의사 시 미 통지 가능, 개인정보 이용/제공내역과 함께 통지 가능함)
전송 거절/중단
- 주요 사유
- 본인/(법정)대리인 여부 미 확인
- 전송항목 미 특정
- 정보주체 본인, 일반전문기관, 특수전문기관 또는 일반수신자가 아닌 자에게 전송 요구
- 타인의 생명, 신체, 재산 상 이익 침해
- 부당한 방법 또는 강요로 인한 전송 요구
정보전송자 기준 및 의무
분야별 정보전송자 기준 (25년 3월 기준으로 3개 정보전송자 유형만 존재)
- 보건의료정보전송자: 질병관리청, 국민건강보험공단, 건강보험심사평가원, 상급종합병원
- 통신정보전송자: 이동통신 3사
- 에너지정보전송자: 한국전력공사, 도시가스사업자
정보전송자의 의무
- 전송요구를 받은 경우, 시간/비용/기술을 고려하여 허용되는 합리적인 범위에서 전송요구대상정보를 정보처리장치를 통해 처리 가능한 형태로 전송해야 한다
- 정보전송자는 본인 확인 업무에 한정하여 주민등록정보 또는 외국인등록번호가 포함된 자료를 처리할 수 있다(해당 업무 목적으로 신규 수집은 불가)
- 의무 상세내역
- 개인정보를 지체없이 전송해야 한다 (지체없이 = 합리적인 범위 내)
- 개인정보의 정확성, 완전성, 최신성을 유지해야 한다
- 정보요구대상정보 전송내역을 보관해야 한다(3년 간)
- 중계전문기관을 통해 전송하는 정보전송자는 중계전문기관이 대신하여 전송내역을 보관할 수 있다
- 본인전송요구 방법과 전송 현황/내역을 확인할 수 있는 방법을 게재해야 한다
일반수신자 기준 및 의무, 행위 원칙
일반수신자의 기준
- 업무 수행 과정에서 수집한 정보의 진위 여부 등 단순 확인 목적으로 전송받는 자 (단순 본인 확인 외 다른 목적 X)
- 수신받은 정보는 단순 확인 목적으로만 처리할 수 있으며, 목적 달성 시 파기해야 한다
- 예시: 박물관 할인 대상여부 확인, 채용 담당자가 자격증 진위여부 확인 등
- 일반수신자가 갖춰야 하는 시설 및 기술
- 표준 전송절차 및 보안 기준을 충족하는 제반 시스템
- 전송 이력의 기록/보관 및 전송받은 개인정보의 분리 보관을 위한 시스템
- 불법적인 접근 및 침해사고 방지를 위한 탐지 및 차단 시스템
- 접근권한 관리 및 접근 통제 시스템
- 개인정보전송지원플랫폼에 일반수신자를 등재해야 한다
- 개인정보 전송 관련 업무를 중지/폐지하려는 경우에는 그 사실을 미리 중계전문기관에 통지하고 개인정보전송지원플랫폼에 등재해야 한다
일반수신자의 의무
- 안전성 및 신뢰성이 보장되는 방식으로 정보 수신
- 안전한 알고리즘 사용
- 정해진 방식 외의 방법으로 정보를 수집해서는 안 된다
- 전송받은 정보의 분리 보관
- 다른 정보와 분리 보관함으로써 정보의 안정성 등을 보장해야 한다
- 아래의 행위를 하지 않도록 노력해야 한다
- 전송 요구 목적과 관련없는 개인정보 전송 요구를 하지 말아야 한다
- 필수적이지 않은 제3자 제공 동의를 전송 요구와 동시에 받지 말아야 한다
- 전송 요구를 강요하거나 부당하게 요구하지 말아야 한다
- 단순 확인 목적을 벗어나 개인정보를 처리하지 말아야 한다
- 정보주체의 동의없이 전송 요구 내용을 변경하여 개인정보를 요구하지 말아야 한다
- 자기 또는 제3자의 이익을 위해 정보주체의 이익을 침해하지 말아야 한다
- 개인정보처리자의 전산설비에 지속적/반복적으로 접근하여 장애를 일으켜서는 안 된다
전송 요구 대상 정보
전송 요구 대상 정보 기본 요건
- 정보주체가 전송을 요구하는 정보는 정보주체 본인에 관한 개인정보로서 아래 항목의 어느 하나에 해당해야 한다
- 정보주체 동의를 받아 처리하는 개인정보(민감정보, 고유식별정보 포함)
- 정보주체의 요청에 따른 계약 이행 또는 체결 과정에서 처리되는 개인정보
- 법률에 특별한 규정 또는 법령 상 의무 준수를 위해 처리되는 개인정보
- 공공기관 소관업무를 위해 처리되는 개인정보
- 개인정보처리자가 수집한 개인정보를 기초로 분석/가공하여 별도로 생성한 정보가 아닐 것
- 전송을 요구하는 개인정보가 컴퓨터 등 정보처리장치로 처리되는 개인정보일 것
- 통신 분야 전송 요구 대상 정보 중 “청구정보 및 납부정보”는 일반 전문기관으로만 전송 요구가 가능하다(본인신용정보관리업 허가 사업자만 전송 받을 수 있음)
전송 요구의 방법 및 절차
정기적으로 전송 시
- 일반수신자는 수집한 정보의 진위 여부 등의 확인 목적으로만 정보를 전송받으므로 정기적 전송 대상자에서 제외된다
- 정기적 전송은 언제든 철회가 가능하며, 1년 이상 미 접속 시 정기적 전송을 자동으로 중단해야 한다
전송 방법 및 절차
본인요구 시 전송 방법 및 절차
- PDF는 편집의 제한이 있어 XLS, CSV, HTML 등의 처리에 용이한 형식으로 제공 필요
- 안전한 알고리즘으로 암호화(SSL/TLS 등)
- 정보주체만이 접근 가능한 전송 경로 확보 필요(정보주체의 단말기기, 전자우편, 클라우드 등)
제3자 전송요구 시 전송 방법 및 절차
- 반드시 API 방식으로만 전송해야 한다
- 반드시 중계 전문기관을 통해 전송해야 한다
- 개인정보관리 전문기관과 일반수신자로서 처리하는 정보는 다른 개인정보처리자로서 처리하는 정보와 분리 보관해야 한다
- 논리적 분리 보관 허용(스키마 또는 인스턴스 수준 이상의 분리 + 국내 저장으로 한정)
- 의료법에 따른 전자의무기록은 분리 보관하지 않을 수 있다
전송 내역 보관 및 통지
- 정보 전송자, 개인정보관리 전문기관, 일반수신자는 개인정보 전송 내역을 3년 간 보관해야 한다 (일반수신자는 중계전문기관이 대신 보관 가능)
- 전송 요구 목적
- 전송 요구를 받는 자
- 개인정보를 전송받는 자
- 전송을 요구하는 개인정보
- 정기적 전송을 요구하는지 여부 및 요구하는 경우 그 주기
- 전송 요구의 종료시점
- 전송을 요구하는 개인정보의 보유 및 이용기간 등
- 일반전문기관 및 특수전문기관은 전송 내역을 연 1회 이상 통지해야 한다
- 서면, 전자우편, 전화 ,문자전송 등
- 개인정보보호법 제20조의2 제1항에 따른 이용/제공내역과 같이 통지할 수 있다
- 정보주체가 통지에 대한 거부의사를 표시한 경우에는 통지의 생략이 가능하다
전송 요구의 변경/철회 및 전송 요구의 거절, 전송 중단
전송 요구의 변경/철회
- 변경/철회 절차 및 방법이 전송 요구의 방법과 절차보다 어렵지 않아야 한다
- 제3자 전송요구의 경우에는 정보수신자를 통해 전송 요구의 변경/철회를 할 수 있다 (개인정보전송지원플랫폼을 통해서도 가능)
전송 요구의 거절, 전송 중단
- 거절, 전송 중단 시 지체없이 해당 사실 및 그 사유를 정보주체에게 통지해야 한다
- 거절, 전송 중단 사유
- 법정대리인 동의 여부/대리인 여부/본인 여부가 확인되지 않는 경우
- 열람 제한 또는 거절 사유에 해당하는 경우
- 법률에 따라 금지
- 다른 사람의 생명/신체/재산 상 이익을 침해할 우려가 있는 경우
- 공공기관 업무에 지장을 초래하는 경우(조세법, 학교 성적 또는 입학자 선발 등)
- 제3자의 권리나 정당한 이익을 침해하는 경우
- 전송 요구 사항이 특정되지 않는 경우
- 부당한 방법에 의한 전송 요구임을 알게 된 경우
- 정보주체 본인, 일반전문기관, 특수전문기관 또는 일반수신자가 아닌 자에게 전송을 요구하는 경우
- 부정한 방법으로 사용되어 정보주체의 이익을 명백히 침해하는 경우
- 동일한 개인정보에 대해 정당한 사유없이 과도하게 반복적으로 전송을 요구하는 경우
- 기망, 협박으로 인해 전송 요구를 한 것으로 의심될 만한 경우
개인정보관리 전문기관 (=일반전문기관+특수전문기관)
일반 사항
- 개인정보관리 전문기관으로 지정된 기관은 정보 전송을 받을 수 있다
- 지정 유효기간은 3년이며, 만료일 6개월 전까지 재지정 신청이 필요하다
- 본지정 신청에 앞서 예비심사 신청을 할 수 있다
- 예비심사 신청: 2개월 이내에 결과 통지(1개월 연장 가능)
- 본지정 신청: 3개월 이내에 결과 통지(2개월 연장 가능)
구분 일반전문기관 특수전문기관 중계전문기관
| 구분 | 일반전문기관 | 특수전문기관 | 중계전문기관 |
| 업무 | 통합조회, 맞춤형 서비스, 연구, 교육 등 | 통합조회, 맞춤형 서비스, 연구, 교육 등 | 전송 중계에 필요한 시스템 운영 및 기능 제공 |
| 전송정보 | 통신, 에너지 전송정보 | 보건의료전송정보 | - |
- 업무 중지 또는 폐지 시 6개월 전까지 지정권자에게 알리고 대책을 마련해야 한다
이후의 내용은 생략