올초 ‘데이터 3법’ 개정안이 통과된 데 이어, 가명정보 결합·외부반출 절차 구체화를 골자로 한 시행령이 입법예고됐다. 국세·지방세 등 공공정보를 정보주체가 원할 경우 본인 또는 금융사 등에 제공할 수 있는 ‘개인신용정보 전송요구권’을 도입했고, 데이터 3법의 핵심인 ‘가명정보’ 처리 등에 관한 사항을 규정했다.

 

정부는 지난 30일 데이터 3법(개인정보 보호법·정보통신망 이용 촉진 및 정보 보호 등에 관한 법률·신용정보의 이용 및 보호에 관한 법률) 시행령 개정안을 이달 31일부터 40일간 입법예고한다고 밝혔다. 시행령 개정안은 오는 8월5일 공포·시행된다. 

 

시행령은 공공기관을 비롯해 금융회사, 상거래기업 등이 정보주체의 전송요구권에 따라 보유한 국세·지방세 등 공공정보, 보험료 납부정보, 금융거래정보, 기타 주요 거래내역 정보를 정보주체 본인 및 금융회사, 개인신용평가회사 및 마이데이터 사업자에 제공할 수 있도록 했다.

 

단, 개인신용정보 전송요구권 행사 범위 이상의 개인신용정보 수집 등 정보주체의 정당한 정보주권을 보장하지 않는 행위는 금지한다.

 

개인정보처리자는 일정 요건을 갖추면 수집한 개인정보를 ‘동의없이’ 추가로 이용·제공할 수 있다. 해당 요건은 △당초 수집 목적과의 상당한 관련성 △수집 정황·처리 관행에 비춘 예측가능성 △추가 처리가 정보 주체나 제3자의 이익을 부당하게 침해하지 않을 것 등이다.

 

데이터 3법의 핵심 개념인 ‘가명정보’의 결합 절차 및 전문기관 지정의 범위도 규정했다. 가명정보는 특정 개인을 식별할 수 없게 조치한 개인정보를 말한다. 가명정보를 결합해 주는 전문기관은 일정한 인력·조직, 시설·장비, 재정능력을 갖춰야 지정되며, 3년간 효력이 인정된다. 

 

가명정보를 처리하는 개인정보처리자는 내부관리계획을 수립해야 하고, 추가정보는 별도로 관리하는 등 안전조치를 실시해야 한다. 가명정보의 처리 목적, 보유기간, 파기 등 관련 사항은 기록으로 작성·보관토록 한다. 지문·홍채·안면 등 생체인식정보와 인종·민족정보는 ‘민감정보’에 포함해 처리를 제한했다.

 

개인정보 보호를 위해 운영되는 전문위원회는 위원 정수를 10명→20명으로 늘렸다. 이와 함께 중앙행정기관이 참여하는 개인정보보호 정책협의회, 지자체가 참여하는 시·도 개인정보보호 협의회를 설치하고 운영 근거를 마련했다.

 

아울러 금융권 회사는 데이터를 결합할 때 금융위가 지정한 전문기관에 결합을 신청토록 하고, 정보주체에게 정보활용·제공동의서를 받을 때는 가독성을 고려한 동의서를 제공함으로써 ‘알고 하는 동의’가 이뤄지도록 했다. 

 

신용정보업체는 안전한 데이터 처리를 위한 시스템과 설비요건을 갖춰야 하며, 허가단위별 자본금 요건에 따라 정해진 전문인력요건을 갖춰야 한다. 자사·계열사에 대한 신용평점 우대, 신용등급 상향을 약속하는 행위 등 불공정한 신용평가 행위는 금지된다. 

 

이와 관련, ’금융권 정보보호 상시평가제’를 도입해 금융사와 신용정보업자들이 연 1회 이상 ‘신용정보법’ 준수 현황을 점검하고 그 결과를 자율규제기구에 제출토록 했다. 필요시 금융당국이 현장점검, 테마 검사 등을 실시할 방침이다.

 

이밖에 시행령의 관련 규정을 이관, 위임근거가 사라진 조항들을 삭제하는 등 조문 체계를 정비해 개정안에 반영했다. 시행령에 포함되지 않은 가명정보 결합 관련 구체적인 절차 및 전문기관 지정 요건 등의 세부 사항은 신설 고시에 반영해 내달 행정예고할 계획이다.

 

정부는 데이터 3법에 대한 국민 관심이 크다는 점을 감안, 입법예고 기간 중 별도로 합동 공청회를 갖고 각계 의견을 모아 이를 적극 반영키로 했다.