정보주체 권리보장

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [3.5.2 정보주체 권리보장]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

정보주체 또는 그 대리인이 개인정보에 대한 열람, 정정/삭제, 처리정지 및 동의 철회 등(이하 '열람등요구'라 함)을 개인정보 수집방법/절차보다 어렵지 아니하도록 권리 행사 방법 및 절차를 마련하고 공개하여야 한다.

• 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 쉽게 알 수 있도록 공개하여야 함
• 정보주체의 권리행사 방법 및 절차는 최소한 개인정보 수집절차 또는 회원가입 절차 보다 쉽고 편리하여야 하며, 개인정보 수집 시 요구하지 않던 증빙서류를 추가로 요구하지 않아야 함
• 정보주체가 편리하게 선택할 수 있도록 가급적 다양한 권리 행사 방법을 마련하여 제공할 필요가 있음 (방문, 서면, 전화, 전자우편, 인터넷 웹사이트 등)

열람 요구 방법/절차 마련 시 준수사항(개인정보 보호법 시행령 제41조제2항)

1. 서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것
2. 개인정보를 수집한 창구의 지속적 운영이 곤란한 경우 등 정당한 사유가 있는 경우를 제외하고는 최소한 개인정보를 수집한 창구 또는 방법과 동일하게 개인정보의 열람을 요구할 수 있도록 할 것
3. 인터넷 홈페이지를 운영하는 개인정보처리자는 홈페이지에 열람 요구 방법과 절차를 공개할 것

※ 방법과 절차 마련 시 해당 개인정보의 수집 방법과 절차에 비하여 어렵지 아니하도록 하여야 함

• 열람등요구를 한 자가 정보주체 본인이거나 정당한 대리인인지 확인하여야 하며, 확인 방법은 합리적인 수단이라고 객관적으로 인정되는 방식이어야 함(전자서명, 아이핀, 신분증 확인 등)

대리인의 범위(개인정보 보호법 시행령 제45조)

1. 정보주체의 법정대리인
2. 정보주체로부터 위임을 받은 자(정보주체로부터 위임계약 등에 기하여 대리권을 수여받은 임의대리인)

• 개인정보처리자가 공공기관인 경우 「전자정부법」에 따른 행정정보의 공동 이용을 통하여 신분확인이 가능하면 행정정보의 공동이용을 통하여 확인하여야 함
• 열람등요구를 한 자에게 관련 업무 수행에 필요한 실비의 범위에서 수수료와 우송료를 청구할 수 있으나, 열람등요구를 하게 된 사유가 해당 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구할 수 없음

정보주체 또는 그 대리인으로부터 개인정보 열람을 요구받은 경우 10일 이내에 정보주체가 해당 개인정보를 열람할 수 있도록 필요한 조치를 하여야 한다.

• 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대해 다음 사항의 열람을 요구할 수 있음

열람 요구 사항(개인정보 보호법 시행령 제41조제1항)

1. 개인정보의 항목 및 내용
2. 개인정보의 수집/이용의 목적
3. 개인정보 보유 및 이용 기간
4. 개인정보의 제3자 제공 현황
5. 개인정보 처리에 동의한 사실 및 내용

• 10일 이내에 열람할 수 없는 정당한 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 연기할 수 있으며, 개인정보 열람을 연기한 후 그 사유가 소멸하였을 경우 연기사유가 소멸된 날로부터 10일 이내에 열람하도록 하여야 함
• 개인정보 열람 제한 및 거절의 사유가 있는 경우 정보주체에게 그 사유를 알리고 열람을 제한 또는 거절할 수 있음

정보주체의 열람요구를 제한/거절할 수 있는 사유(개인정보 보호법 제35조제4항)

1. 법률에 따라 열람이 금지되거나 제한되는 경우
2. 다른 사람의 생명/신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우
   • 가. 조세의 부과/징수 또는 환급에 관한 업무
   • 나. 「초/중등교육법」 및 「고등교육법」에 따른 각급 학교, 「평생교육법」에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무
   • 다. 학력/기능 및 채용에 관한 시험, 자격 심사에 관한 업무
   • 라. 보상금/급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무
   • 마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무

• 열람 요구사항 중 일부가 열람 제한 및 거절의 사유가 있는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분에 대해서는 열람할 수 있도록 하여야 함

법적 의무 대상자에 해당하는 경우 정보주체 또는 대리인으로부터 개인정보 전송 요구에 대응하기 위한 절차와 방안을 수립/이행하여야 한다.

• 정보주체의 개인정보 전송 요구를 이행해야 할 법적 의무대상자(정보전송자)

구분	법적 의무대상자	비고
정보주체 자신에게로 전송할 것을 요구	개인정보 처리 능력을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자	개인정보 보호법 제35조의2제1항
다른 개인정보처리자에게 전송할 것을 요구 (단, 기술적으로 허용되는 합리적인 범위 내)	매출액, 개인정보의 보유 규모, 개인정보 처리 능력, 산업별 특성을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자	개인정보 보호법 제35조의2제2항

• 전송 요구를 할 수 있는 정보(아래의 요건을 모두 충족하는 개인정보)

No	전송을 요구할 수 있는 정보의 요건
1	정보주체가 전송을 요구하는 정보가 정보주체 본인에 관한 개인정보로서 다음 각 목의 어느 하나에 해당하는 정보일 것 가. 제15조제1항제1호, 제23조제1항제1호 또는 제24조제1항제1호에 따른 동의를 받아 처리되는 개인정보 나. 제15조제1항제4호에 따라 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 처리되는 개인정보 다. 제15조제1항제2호, 같은 항 제3호, 제23조제1항제2호 또는 제24조제1항제2호에 따라 처리되는 개인정보 중 정보주체의 이익이나 공익적 목적을 위하여 관계 중앙행정기관의 장의 요청에 따라 보호위원회가 심의/의결하여 전송 요구의 대상으로 지정한 개인정보
2	전송을 요구하는 개인정보가 개인정보처리자가 수집한 개인정보를 기초로 분석/가공하여 별도로 생성한 정보가 아닐 것
3	전송을 요구하는 개인정보가 컴퓨터 등 정보처리장치로 처리되는 개인정보일 것

• 전송 요구에 따른 개인정보를 전송받을 수 있는 개인정보처리자 요건(정보수신자)

No	정보수신자 요건
1	개인정보 보호법 제35조의3제1항에 따른 개인정보관리 전문기관
2	개인정보 보호법 제29조에 따른 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자

※ 개인정보 전송 요구권과 관련된 개인정보 보호법 제35조의2의 개정 규정은 공포(2023.3.14) 후 1년이 경과한 날부터 공포 후 2년이 넘지 아니하는 범위에서 대통령령으로 정하는 날 시행

정보주체 또는 그 대리인으로부터 개인정보의 정정/삭제를 요구받은 경우 정보주체의 요구가 정당하다고 판단되면 10일 이내에 그 개인정보를 조사하여 정보주체의 요구에 따라 해당 개인정보의 정정/삭제 등의 조치를 한 후 그 결과를 정보주체에게 알려야 한다.

• 개인정보 정정/삭제 요구를 받은 날부터 10일 이내에 조치 결과 회신
• 외부위탁 또는 제3자에게 제공한 개인정보에 대한 정정요청 및 동의 철회 시에는 수탁자 또는 제3자에게 연락하여 조치 요청
• 다른 법령에 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 삭제 요구를 거절할 수 있으며, 이 경우 요구에 따르지 않기로 한 사실, 근거 법령의 내용 및 그 이유와 이의제기 방법을 개인정보 정정/삭제 통지서로 해당 정보주체에게 정정/삭제 요구를 받은 날로부터 10일 이내에 알려야 함(전자상거래법에 따른 계약/청약 철회 기록 등)

정보주체 또는 그 대리인으로부터 개인정보의 처리정지 요구를 받은 경우 특별한 사유가 없는 한 지체 없이 처리의 전부 또는 일부를 정지하고 그 결과를 정보주체에게 알려야 한다.

• 개인정보 처리정지 요구를 받은 날부터 10일 이내에 조치 결과 회신
• 개인정보의 처리정지를 거절할 수 있는 사유가 있는 경우 관련 사실을 처리정지 요구자에게 요구를 받은 날로부터 10일 이내에 알려야 함

처리정지 요구 거부 사유(개인정보 보호법 제37조제2항)

1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
2. 다른 사람의 생명/신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
3. 공공기관이 개인정보를 처리하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우
4. 개인정보를 처리하지 않으면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 않은 경우

정보주체 또는 그 대리인이 개인정보 수집/이용/제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하여야 한다.

※ 정보주체 동의철회 시 조치(예시)

• 해당 정보주체와 관련된 개인정보의 지체 없는 파기
• 다른 법령에 따라 보존의무가 부여된 경우 해당 법령에 따른 기간 동안 분리하여 보관
• 제3자 제공 동의에 대한 철회인 경우 더 이상 제3자에게 개인정보를 제공하지 않도록 조치
• 홍보, 마케팅 등을 위한 문자, 이메일 등이 더 이상 발송되지 않도록 조치 등

정보주체 또는 대리인이 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함)으로 개인정보를 처리하여 이루어지는 결정(이하 '자동화된 결정'이라 함)을 거부하거나 설명 등을 요구한 경우 필요한 조치를 취하여야 한다.

• 정보주체는 자동화된 결정을 거부하거나 설명 등을 요구할 권리를 가짐

자동화된 결정에 대한 정보주체의 권리(개인정보 보호법 제37조의2)

① 정보주체는 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정(「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외하며, 이하 이 조에서 "자동화된 결정"이라 한다)이 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에는 해당 개인정보처리자에 대하여 해당 결정을 거부할 수 있는 권리를 가진다. 다만, 자동화된 결정이 제15조제1항제1호/제2호 및 제4호에 따라 이루어지는 경우에는 그러하지 아니하다.

② 정보주체는 개인정보처리자가 자동화된 결정을 한 경우에는 그 결정에 대하여 설명 등을 요구할 수 있다.

• 정보주체가 자동화된 결정을 거부하거나 이에 대한 설명 등을 요구한 경우에는 정당한 사유가 없는 한 자동화된 결정을 적용하지 아니하거나 인적 개입에 의한 재처리/설명 등 필요한 조치를 이행할 수 있도록 관련 절차를 수립/이행
• 자동화된 결정을 하는 경우, 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개

※ 자동화된 결정에 대한 거부 및 설명 요구 등과 관련된 개인정보 보호법 제37조의2의 개정 규정은 공포 후 1년이 경과한 날부터 시행(2024.3.15. 시행)

정보주체의 열람등요구에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하여야 한다.

• 이 경우 이의제기 절차는 공정하게 운영될 수 있도록 외부전문가를 참여시키거나 내부의 견제장치 마련 필요

정보주체의 열람등요구를 접수하고 처리한 결과에 대하여 기록을 남겨야 한다.

• 정보주체의 열람등요구를 접수하고 처리한 결과를 정기적으로 검토하여 정보주체 권리보장이 적절히 이루어지고 있는지 확인하고 필요시 보완 조치

정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하고 시행하여야 하며, 개인정보가 정보통신망을 통하여 공중에 노출되지 않도록 필요한 조치를 하여야 한다.

• 정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보로 사생활 침해나 명예훼손 등 타인의 권리가 침해된 경우, 침해를 받은 자는 해당 정보를 처리한 정보통신서비스 제공자에게 침해사실을 소명하여 그 정보의 삭제 또는 반박 내용의 게재를 요청할 수 있어야 함
• 타인의 권리가 침해된 경우 정보통신서비스 제공자가 해당 정보의 삭제 등을 요청받으면 지체 없이 삭제/임시조치 등의 필요한 조치를 하고 즉시 신청인 및 정보 게재자에게 알려야 함
• 타인의 권리가 침해된 경우에 대한 구제절차 등 필요한 조치에 관한 내용/절차 등을 미리 약관에 구체적으로 밝혀야 함
• 개인정보처리자는 고유식별정보, 계좌정보, 신용카드정보 등 개인정보가 정보통신망을 통하여 공중(公衆)에 노출되지 아니하도록 하여야 하며, 공중에 노출된 개인정보에 대하여 개인정보 보호위원회 또는 한국인터넷진흥원의 요청이 있는 경우에는 해당 정보를 삭제하거나 차단하는 등 필요한 조치를 하여야 함