개정 데이터 3법 시행령 입법예고
행정안전부, 방송통신위원회, 금융위원회(이하 “금융위”)는 개정 「개인정보 보호법」(이하 “개인정보법”), 「신용정보의 이용 및 보호에 관한 법률」(이하 “신용정보법”), 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “정보통신망법”)이 공포됨에 따라 법 시행에 필요한 위임 사항 등을 규정하기 위하여 2020. 3. 31. 개인정보법, 신용정보법, 정보통신망법 시행령 개정안을 입법예고 하였습니다. 아래에서는 위 시행령들 중 개인정보법 및 신용정보법 시행령의 중요 사항을 설명 드립니다.
**1.**개인정보법 시행령 개정안의 주요 내용
**1)**가명정보 결합 (개인정보법 시행령 개정안 제29조의2, 제29조의3, 제29조의4)
개인정보법 시행령 개정안에 의하면, 개인정보처리자 간 가명정보를 결합하려는 결합전문기관은 특정 개인을 알아볼 수 없도록 개인정보보호위원회(이하 “보호위원회”)가 고시하는 절차와 방법에 따라 가명정보를 결합하여야 합니다. 결합전문기관이 가명정보를 결합하면, 결합을 신청한 개인정보처리자는 전문기관 내에 마련된 안전한 분석 공간에서 결합된 정보를 분석할 수 있고, AI 분석 등을 위한 데이터 반출의 필요성이 있는 경우 전문기관의 안전성 평가 및 승인을 거쳐서 결합전문기관 외부로 반출할 수 있습니다.
**[**결합정보 반출 여부 및 적정한 반출 수준 심사기준안]
- 반출된 정보를 제공받은 기관이 원래 보유한 정보와 반출된 정보를 결합하여 개인을 알아볼 가능성이 없는지
- 반출정보의 처리 목적과 환경에 비추어 안전성 확보 조치계획이 적정한지
- 데이터 성격에 따른 보유기간의 적정성 및 반출 목적 달성 후 파기 계획이 적정한지 등을 종합적으로 검토하여 심사
결합전문기관은 보호위원회가 고시하는 요건(인력·조직, 시설·장비, 재정능력 등)을 갖추어 지정될 수 있고, 전문기관 지정은 3년간 효력이 유지되며, 지정권자가 전문기관의 업무 수행능력 및 기술과 시설 유지 여부를, 보호위원회가 가명정보 처리실태 등 관리 감독합니다.
**[**전문기관 지정요건안]
- 인력(안): 전문기관 내에 업무를 수행하는 전담조직 마련, 전문인력 기준(정보관리기술사, 정보보안기사 등 취득 후 1년 이상 관련 분야 업무 수행 경험) 충족 등
- 시설·장비(안): (시설) 결합실 및 분석 공간 별도 운영, 접근 권한 관리, (장비) 안전한 분석을 위한 분석실 모니터링 및 분석 행위 로그 저장 등
참고로 규제기관에 의하면 결합전문기관은 안전한 데이터 활용에 대한 국민의 신뢰를 확보하기 위해서 전문성과 신뢰성이 있는 공공기관을 중심으로 지정·운영하고, 추후 안전성 확보 규범 및 관행이 정착되면 민간기관 및 기업으로 확대를 할 계획이며, 기타 가명정보의 결합에 관한 세부사항은 (가칭) ‘가명정보 결합 등에 관한 고시’를 신설하여 규정할 계획입니다.
**2)**가명정보의 안전성 확보조치 (개인정보법 시행령 개정안 제29조의5)
가명정보를 처리하는 개인정보처리자는 내부관리계획{개인정보 보호책임자 지정, 취급자에 대한 교육, 접근 권한 관리 및 접근 통제, 접속기록 보관 및 점검에 관한 사항 등 포함(안전성 확보조치 기준 제4조)}을 수립해야 하고, 개인을 알아볼 수 있는 추가 정보를 분리 보관하며, 접근 권한도 분리해야 하는 등의 물리적·기술적인 안전조치를 실시해야 합니다. 또한, 가명정보 처리 목적, 보유기간, 파기 등의 사항을 기록으로 작성∙보관하여 안전성을 확보하여야 합니다.
**[**위반시 제재 수준]
- 안전조치 의무 미준수 ⇒ 3천만원 이하 과태료
- 가명처리 관련 기록 작성 의무 미준수 ⇒ 1천만원 이하 과태료
- 안전조치 의무 미준수로 개인정보(가명정보 포함)를 분실∙도난∙유출∙위조∙변조 또는 훼손당한 경우 ⇒ 2년 이하 징역 또는 2천만원 이하 벌금
※ 참고로, 재식별 목적으로 가명정보 처리 시 ⇒ 5년 이하 징역 또는 5천만원 이하 벌금(개인정보법 제71조), 전체 매출액의 3%까지 과징금 병과
**3)**개인정보의 추가적인 이용∙제공시 고려사항 (개인정보법 시행령 개정안 제14조의2)
개인정보처리자는 ① 당초 개인정보를 수집했던 목적과의 상당한 관련성, ② 수집한 정황과 처리 관행에 비춘 예측 가능성, ③ 추가 처리가 정보주체나 제3자의 이익을 부당하게 침해하지 않을 것 ④ 가명처리로 추가처리 목적을 달성할 수 있는 경우 가명처리할 것 등의 요건을 갖춘 경우 수집한 개인정보를 정보주체의 동의 없이 추가로 이용·제공할 수 있습니다.
이는 EU 개인정보보호법(GDPR)에서 수집 목적과 양립 가능한 범위 내에서 추가 처리를 허용하는 요건과 유사한 내용으로 추가처리의 예시는 아래와 같습니다.
**[**추가처리의 예시]
온라인사업자가 물품의 판매 목적으로 정보주체의 동의를 받아 개인정보(주소정보)를 수집한 경우, 이를 배송 목적으로 택배업체에 제공 가능
⇒ ① 추가처리 목적(배송)과 당초 수집목적(온라인 판매)의 상당한 관련성이 있고, ② 수집한 정황과 처리 관행에 비추어 볼 때 예측가능성(온라인 구매에 따른 배송)이 있으며, ③ 추가 처리(배송목적으로 최소한의 정보 제공)가 정보주체나 제3자의 이익을 부당하게 침해하지 않음
**4)**민감정보에 생체인식정보와 인종∙민족정보의 포함 (개인정보법 시행령 개정안 제18조)
생체인식정보는 특정 개인을 알아볼 목적으로 사용하는 지문․홍채․안면 등 개인의 고유 정보로서 유출시 되돌릴 수 없는 피해가 발생할 가능성이 매우 높다는 점을 고려하여, 민감정보에 ‘개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보’인 생체인식정보를 포함시켰습니다. 또한 우리사회가 다문화 사회로 변화함에 따라 개인정보처리 과정에서 개인을 차별하는데 인종이나 민족에 관한 정보를 사용할 수 없도록 보호할 필요성을 고려하여 ‘인종이나 민족에 관한 정보로서 해당 정보의 처리 목적이나 상황에 비추어 개인을 부당하게 차별할 우려가 있는 정보’인 인종∙민족정보도 민감정보에 포함되게 되어, 향후 별도 정보주체의 동의를 받아야 합니다.
**2.**신용정보법 시행령 개정안의 주요 내용
**1)**정보집합물 결합 및 전문기관 지정 (신용정보법 시행령 개정안 제22조의4, 제14조의2)
신용정보법 시행령 개정안에 의하면, 신용정보회사등(상거래기업 및 법인을 제외)이 정보집합물을 결합하고자 하는 경우 금융위가 지정한 전문기관에 결합을 신청하고, 전문기관은 해당 데이터를 결합한 뒤 가명·익명처리 및 적정성 평가 등 충분한 안전조치를 거쳐 결합의뢰기관(결합신청기관과 결합의 대상이 되는 정보집합물을 제공한 제3자)에게 데이터를 제공할 수 있습니다. 한편, 입법예고된 시행령에 따른 구체적인 데이터 결합절차를 정리하면 아래와 같습니다.
| 절차 | 주체 | 의무 |
|---|---|---|
| 결합의뢰 | 결합의뢰 기관 | ① 금융위가 정한 양식(고시)에 따라 결합신청 ② 데이터에 포함된 식별값은 결합키로 대체 ③ 개인신용정보는 가명처리 ④ 암호화 등 보호조치를 하여 전달 |
| 결합 및 결합데이터 제공 | 전문기관 | ① 데이터 결합 후 결합키는 삭제 또는 대체키 전환 ② 결합데이터는 가명처리 또는 익명처리의 적정성 평가를 거쳐 적정한 경우에만 전달 ③ 결합데이터를 결합의뢰기관에 전달 후 결합데이터 및 원본데이터를 즉각 삭제 |
| 결합 이후 | 전문기관 | 결합 관련 사항 기록‧관리, 연 1회 금융위 보고 |
규제기관은 개인정보법에 따른 전문결합기관 지정과 유사하게 우선 공공적 성격을 지닌 기관을 전문기관으로 지정한 이후, 사회적 신뢰 등을 고려하여 민간기업까지 확대할 예정이며, 전문기관으로 하여금 데이터 전문기관 업무 수행직원과 그 외의 인력을, 데이터 결합서버와 그 외의 서버를 분리하는 등 안전한 데이터 결합을 위한 ‘위험관리체계’를 갖추도록 하여 데이터 결합에 따른 사회적 신뢰를 구축할 계획입니다.
**2)**개인신용정보 전송요구권 범위 지정 (신용정보법 시행령 개정안 제18조의6, 제28조의3)
신용정보법 시행령 개정안에서는 전송요구권과 관련하여 (i) 그 행사 대상을 금융회사, 전자금융업자, 전기통신사업자 중 기간통신사업자, 한국전력공사, 한국수자원공사 등으로 정하고, (ii) 행사 범위를 금융거래내역, 국세 및 지방세 납부정보, 고용보험, 산업재해보상보험, 국민건강보험 등에 따른 보험료 납부 정보, 통신료 납부정보 등으로 규정하였습니다. 이에 따라 신용정보주체는 (i)에 기재된 기관들을 대상으로 (ii)에 기재된 정보들을 정보주체 본인, 금융회사, 개인신용평가회사 및 마이데이터 사업자에게 제공하도록 요청할 수 있습니다.
**3)**신용정보업에 관한 물적 요건 등 규정 (신용정보법 시행령 개정안 제6조, 제11조, 제11조의2, 제18조의3 내지 제18조의5)
개정 신용정보법은 신용정보업(CB:Credit Bureau)을 개인CB(전문개인CB 포함), 개인사업자CB, 기업CB(신용등급제공, 기술신용평가, 정보제공)로
구분하고, 신용정보업을 영위하기 위한 개별 물적 요건 등을 시행령에 위임하고 있습니다. 신용정보법 시행령 개정안은 신용정보업 등을 영위하기 위해 필요한 물적 요건으로 안전한 데이터 처리를 위한 시스템
및 설비요건(단, 고시를 통해 암호화시스템, 백업 및 복구시스템 구비, 방화벽 및 침입탐지 시스템 구비, 시스템 및 프로그램 운용·개발능력 등의 세부요건 규정 예정)을 갖추도록
정하고 있고, 허가단위별로 자본금 요건(5억원50억원)과 전문인력요건(2명10명)을 규정하고 있습니다.
또한 신용정보업에 대한 행위규칙으로 자사·계열사에 대한 신용평점 우대, 계열사 경쟁회사 등의 신용평가 하향 등 불공정한 신용평가 행위, 또는 신용정보업자가 제공하는 서비스 계약 체결을 위해 신용등급 상향을 약속하는 행위 등 건전한 신용질서를 훼손할 수 있는 행위를 금지하여 신용정보업 영업행위의 건전성을 제고하였습니다.
개정 신용정보법 제11조 및 제11조의2에 의하면 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사, 신용조사회사 등은 신용정보법 시행령에서 규정하는 겸영업무 및 부수업무를 할 수 있는데, 신용정보법 시행령 개정안에 의하면 신용정보회사들은 보유 데이터와 풍부한 노하우 등을 활용하여 다양한 데이터 관련 업무를 겸업할 수 있고(단, 전문개인신용평가업의 경우 금융 관련 법령 외의 법률에서 인허가∙등록을 거쳐야 함), 이 중 기업신용조회회사의 경우에는 관련 법률에서 인허가∙등록을 통해 운영할 수 있는 비금융업무도 다양하게 겸영할 수 있으며, 금융상품에 대한 광고, 홍보 내지 공개정보 중 신용정보가 아닌 정보를 제공하거나 이 정보를 기초로 하는 데이터 분석 및 컨설팅 업무 또는 개인신용평점 및 그 밖에 개인신용평가결과에 관한 정보는 제외한 정보로서 사업체의 실제 경영자 등에 대한 개인신용정보나 이를 가공한 정보를 본인이나 제3자에게 제공하는 업무(단, 기업정보제공업무를 하는 기업신용조회회사는 제외) 등의 부수업무를 수행할 수 있도록 업무 범위를 규정하였습니다.
**4)**금융분야 마이데이터 산업 도입 (신용정보법 시행령 개정안 제6조, 제11조, 제11조의2, 제18조의6)
개정 신용정보법에서 개인신용정보 전송요구권을 근거로 마이데이터 산업을 도입하였는데, 신용정보법 시행령 개정안에서는 마이데이터와 시너지 창출이 가능한 전자금융업, 대출 중개·주선 업무, 로보어드바이저(robo-advisor)를 이용한 투자자문·일임업 등도 다른 법령 등에 따른 허가 등을 받아 겸업할 수 있도록 허용하였습니다. 한편, 개인신용정보 전송요구권 행사 범위 이상의 개인신용정보 수집 등 정보주체의 정당한 자기결정권을 침해하는 행위, 사업자의 이익을 위해 금융소비자에게 적합하지 않다고 인정되는 계약 체결을 추진 또는 권유하는 행위 등이 금지됩니다. 참고로 규제기관에 의하면 4월 중 구체적인 「금융분야 마이데이터 산업 허가 방향」이 추가로 발표될 예정입니다.
**5)**금융권 정보보호 상시평가제 (신용정보법 시행령 개정안 제17조)
신용정보관리·보호인 선임의무가 있는 금융회사 및 신용정보업자들은 연 1회 이상 신용정보법 준수 현황을 점검하고 그 결과를 자율규제기구(금융보안원)에 제출하여야 합니다. 금융당국은 제출된 결과를 바탕으로 현장점검, 테마검사 등을 실시하고 취약부문 보완조치 등을 요구할 계획입니다.
**6)**금융권 정보활용∙제공 동의서 양식 개편 (신용정보법 시행령 개정안 제29조의2, 제29조의3)
금융회사 등은 정보주체로부터 요약된 정보활용·제공동의서를 통해 동의를 받을 경우 금융위가 산정한 정보활용 동의등급(금융회사 등의 개인정보 활용·제공 동의에 따른 위험 및 혜택, 가독성 등을 고려하여 산정)과 함께 필수고지사항(① 개인정보법 등에 따른 개인정보 수집·이용·제공 목적, 수집·제공대상 정보, 정보 보유 및 제공기간 등, ② 전체 정보 요청이 가능하다는 사실)을 알려 주어야 하고, 불이익한 조치는 축소 고지할 수 없습니다.
**3.**향후 일정
현재 개정 데이터 3법 시행을 준비하고 있는 행정안전부, 금융위원회, 방송통신위원회는 올해 5월까지 시행령에 따른 고시안을 행정예고하고, 법 시행일인 2020. 8. 5. 전까지 가이드라인 및 법령 해설서를 마련하여 배포하겠다는 계획을 밝히고 있습니다.
