'전송요구권' 대상 개인정보는?…"상시 운영 협의체서 설정해야" [데이터링]

[아이뉴스24 김혜경 기자] "금융 분야는 신용정보법상 신용정보 개념 범주가 규정돼 있지만 전송요구권 대상 정보를 결정하는데 어려움을 겪었다. '전송정보 선정검토위원회' 등 상시 절차 운영을 위한 협의체를 신설, 어떤 정보를 전송 대상으로 설정할 것인지 논의할 필요가 있다,"

1일 서울 중구 포스트타워에서 열린 '디지털 대전환 시대에 맞는 개인정보법 개선방안' 세미나에서 정원준 한국법제연구원 부연구위원은 이 같이 전했다.

개인정보 전송요구권은 개인정보보호법 2차 개정안 핵심이다. 앞서 지난달 보호법 2차 개정안이 정무위원회 법안소위를 통과한 바 있다. 전송요구권이란 정보 주체가 개인정보를 본인이나 '제3자(개인정보처리자 혹은 개인정보관리 전문기관)'에 이전하도록 요구할 수 있는 권리다.

개인이 본인정보를 적극 관리‧통제하고 본인이 원하는 서비스를 제공받기 위해 데이터 전송을 요구하는 행위 일체를 뜻한다. 유럽연합(EU)의 '일반 개인정보 보호법(GDPR)'과 미국의 '캘리포니아주 소비자 프라이버시법(CCPA)' 등은 전송요구권에 대한 법적 근거를 두고 있다.

전송요구권 도입은 마이데이터 확산과도 맞물린다. 현재 전송요구권은 '신용정보의 이용‧보호에 관한 법률'과 '전자정부법'에 따라 금융‧공공 분야에 제한적으로 도입된 상황이다.

정 위원은 "전송의무자인 금융기관은 자회사 마이데이터 활용으로 자사 서비스를 확장하는 등 실익이 있었다"며 "그러나 이 같은 유인이 없는 일반 기업에 전송의무를 부과하려면 합리적 범위 내에서 이뤄져야 하는데 대상 사업자 선정 기준이 모호한 상황"이라고 지적했다.

그는 "산업별 특성을 고려했을 때 마이데이터 서비스가 필요한 산업을 어떻게 정할 것인지도 문제"라면서 "개정안의 '개인정보 관리 전문기관'과 대통령령으로 정하는 기관, 전송지원 플랫폼 간 역할과 기능에 대한 구분도 필요하다"고 말했다.

정보 이전 과정에서 발생하는 비용 문제도 해결해야 한다고 강조했다. 정 위원은 "모든 기업에 응용 프로그램 인터페이스(API)를 강제하는 것은 기업에 과도한 수준의 비용 부담을 초래할 수 있다"며 "실시간 정보 제공이 중요한 영역의 경우 정기 전송 외 실시간 조회 시 부과되는 비용 문제 해결도 필요하다"고 전했다.

윤아리 김앤장법률사무소 변호사도 전송 대상 정보 범위 설정과 비용 측면을 고려해야 한다고 강조했다. 윤 변호사는 "개인정보처리자의 비용 부담은 정보주체의 부담으로도 연결될 수 있다는 점을 고려해야 한다"며 "실효성을 보장하면서 소규모 사업자에게 과도한 부담이 되지 않도록 개인정보처리자 규모를 고려해 의무자 범위를 규정해야 할 것"이라고 말했다.

그는 "전송요구권 대상 정보를 어느 범위에서 인정할 것인지 실무적 고려가 필요하다"며 "전송요구권의 형태는 산업별 상이할 수 있으므로 이 같은 내용을 고려해 법제도를 설계해야 한다"고 했다.

허승진 법무법인 율촌 변호사는 전송의무 예외 규정을 도입해야 한다고 전했다. 허 변호사는 "면제규정이 전송요구권을 사문화한다는 비판도 있다"며 "그러나 마이데이터 사업이 아직 활성화되지 않았다는 점과 제3자 전송을 위한 인증 시스템 구축에 많은 비용이 소요된다는 점 등을 고려해 합리적인 예외 규정 도입을 검토해야 한다"고 강조했다.

허 변호사는 "예외 규정의 적용 범위를 시행령 개정을 통해 점차 축소하는 방안이 현실적일 것"이라며 "마이데이터 사업자의 전송의무 부담은 개인정보위가 준비하고 있는 '개인정보 전송지원 플랫폼'을 통해 점차 해소될 것으로 보고 있다"고 말했다.

이날 세미나에서 이병남 개인정보위 정보보호정책과장은 "수정안에는 전송 대상에 포함되는 정보 범위 등에 대해 대통령령으로 위임하고 있다"며 "개정 후에도 전송요구권 시행 관련해선 1~2년 시간적 여유를 두고 추진할 것"이라고 말했다.

이어 "심의 과정에서 전송의무 예외 조항 도입 등 산업계 요구사항이 있었지만 이 같은 내용은 단서조항이 아닌 시행령으로 반영할 수 있다고 봤다"고 부연했다.