전 분야 마이데이터 제도 확대 시행 관련
'본인 전송 요구' 대리 행사 상세 설명 등

[이데일리 김범준 기자] 개인정보보호위원회는 ‘전 분야 마이데이터 개인정보 전송요구권 제도 안내서’를 발간했다고 6일 밝혔다.

(사진=개인정보보호위원회)

이번 안내서는 공공 및 금융 분야에 이어 전 분야로 확대 시행 중인 마이데이터 제도와 관련해 지난 3월 말 온라인에서 초안을 공개하고 의견 수렴을 거쳐 완성했다. 정보 주체가 자신의 개인정보를 원하는 곳으로 안전하게 전송할 수 있도록 법령 해설 및 구체적인 권리 행사 방법을 담고 있다.

안내서에서는 자주 제기된 주요 질문을 질의 응답 형식으로 제공한다. 특히 본인 전송 요구의 대리 행사에 관한 문의가 빈번해 이에 대해 상세히 설명했다. 안내서의 자세한 내용은 개인정보위 홈페이지와 개인정보 포털에서 내려받을 수 있다.

개인정보보호법상 전송을 요구할 수 있는 정보는 정보 주체 본인에 관한 개인정보로 컴퓨터 등으로 처리가 가능한 모든 정보다. 전송 요구는 △정보 주체 본인에게 정보를 전송하는 ‘본인 전송 요구’ △개인정보 관리 전문기관 등에 정보를 전송하는 ‘제3자 전송 요구’ 두 가지로 나뉜다.

이 중 본인 전송은 제3자 전송보다 폭넓게 권리를 보장하기 위해 추가적인 정보를 전송자가 자율로 정할 수 있도록 하면서, 정보 전송자의 홈페이지에서 조회가 가능한 모든 개인정보가 해당될 수 있다. 정보 전송자는 자사 홈페이지에서 제공하는 개인정보 열람·조회 기능 등을 활용해 정보 주체가 정보를 내려받을 수 있는 기능을 구현할 수 있다.

정보 주체는 정보 전송자 홈페이지에서 본인 정보를 직접 내려 받거나, 대리인에게 위임해 내려 받을 수 있다. 하지만 대리인이 인증 정보를 위임받아 자동화 도구(스크래핑 등)를 통해 수집하는 경우, 정보 전송자는 기술적·관리적 취약점을 고려해 안전한 전송 방법을 마련해야 한다.

정보 전송자는 개인정보를 전송하기 전 정보 주체 본인 또는 정당한 대리인 여부를 반드시 확인해야 한다. 자동화 도구를 통한 무차별 대입 공격 등 정보 주체 확인이 어려운 상황에 대비한 보안 조치가 필수적이다. 특히 본인 전송 요구는 정보 전송자의 홈페이지를 통해 처리되는 만큼, 웹사이트를 통한 개인정보 유출 방지를 위한 기술적·관리적 보호조치의 이행이 중요하다.

최근 급증하는 크리덴셜 스터핑(credential stuffing), 심 스와핑(SIM swapping)에 의한 휴대폰 인증 도용 등 개인정보 침해 위협에 대응하는 방안을 마련해야 한다. 그 방안으로 다중 인증(MFA), 캡차(CAPTCHA) 적용, 비정상 로그인 시도 탐지 및 차단 등 보안기능 강화를 위한 기술적 조치를 당부했다.

이와 함께 정보 전송자와 사전 협의를 통해 안전하고 신뢰할 수 있는 전송 방식을 정한 자에 한해 자동화된 도구에 의한 접근을 허용하도록 홈페이지 이용 약관을 개정하는 등 제도적 장치 도입도 권고한다.

개인정보위는 개인정보 관리 전문기관이 정보 주체 위임을 받아 본인 전송 요구를 대리할 경우, 정보 전송자가 적극 협조할 것을 권고한다. 전문기관과 정보 전송자 간 안전한 전송 체계를 확보하기 위해 △API 직접 연계 △중계전문기관을 통한 API 추가 연계 △협의된 스크래핑 방식 등 다양한 방식을 고려할 수 있다는 설명이다.

이정렬 개인정보위 사무처장은 “정보 주체의 전송요구권 보장은 개인정보의 안전한 관리와 책임있는 활용이 필수”라며 “이국민의 개인정보 자기결정권이 안전한 환경에서 실질적으로 보장될 수 있도록 대국민 홍보와 지속적인 정책 지원을 병행해 나갈 것”이라고 말했다.

김범준 (yolo@edaily.co.kr)

Copyright © 이데일리. 무단전재 및 재배포 금지.