정보주체의 권리
IT위키
더 많은 작업
정보주체의 권리 : Rights of the Data Subject
정보주체가 자신의 개인정보 처리와 관련하여 개인정보 보호법에 따라 가지는 권리이다.
개인정보 보호법 제4조는 정보주체의 권리를 6가지로 열거하고, 제5장 정보주체의 권리 보장에서 열람, 전송, 정정·삭제, 처리정지, 자동화된 결정에 대한 대응, 권리행사 방법과 손해배상을 구체적으로 정한다. 2023년 3월 14일 개정으로 전송 요구권(제35조의2)과 자동화된 결정에 대한 권리(제37조의2)가 새로 들어오고, 처리정지와 별도로 동의 철회가 명문화되었다.
| 제4조 각 호 | 권리 내용 | 구체화한 조문 |
|---|---|---|
| 제1호 | 개인정보의 처리에 관한 정보를 제공받을 권리 | 개인정보 보호법 제15조(동의 시 고지), 개인정보 보호법 제20조(수집 출처 통지), 개인정보 보호법 제30조(처리방침 공개) |
| 제2호 | 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리 | 개인정보 보호법 제22조(동의를 받는 방법), 개인정보 보호법 제37조(동의 철회) |
| 제3호 | 처리 여부를 확인하고 열람(사본 발급 포함) 및 전송을 요구할 권리 | 개인정보 보호법 제35조, 개인정보 보호법 제35조의2 |
| 제4호 | 처리 정지, 정정·삭제 및 파기를 요구할 권리 | 개인정보 보호법 제36조, 개인정보 보호법 제37조 |
| 제5호 | 처리로 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리 | 개인정보 보호법 제39조(손해배상), 개인정보 분쟁조정, 개인정보 단체소송 |
| 제6호 | 완전히 자동화된 처리에 따른 결정을 거부하거나 설명 등을 요구할 권리 | 개인정보 보호법 제37조의2 |
- 정보주체는 개인정보처리자가 처리하는 자신의 개인정보 열람을 요구할 수 있다. 공공기관에는 직접 요구하거나 개인정보보호위원회를 통하여 요구할 수 있다.
- 열람을 요구할 수 있는 사항은 개인정보의 항목과 내용, 수집·이용 목적, 보유·이용 기간, 제3자 제공 현황, 처리에 동의한 사실과 내용이다(시행령 제41조제1항).
- 개인정보처리자는 요구를 받은 날부터 10일 이내에 열람하게 해야 한다(시행령 제41조제4항·제5항). 정당한 사유가 있으면 사유를 알리고 연기할 수 있으며, 연기·거절도 10일 이내에 통지서로 알린다(시행령 제42조제2항).
- 제한·거절 사유: 법률에 따라 열람이 금지·제한되는 경우, 다른 사람의 생명·신체를 해하거나 재산 등 이익을 부당하게 침해할 우려가 있는 경우, 공공기관의 조세, 학교 성적 평가·입학자 선발, 시험·자격 심사, 보상금·급부금 산정, 진행 중인 감사·조사 업무에 중대한 지장을 주는 경우이다(제35조제4항).
- 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 자신의 개인정보를 본인에게, 또는 개인정보관리 전문기관 등 제3자에게 전송하도록 요구하는 권리이다.
- 대상은 동의나 계약 이행을 근거로 처리되는 본인 정보 등이며, 처리자가 분석·가공하여 별도로 생성한 정보는 제외되고, 컴퓨터 등 정보처리장치로 처리되는 정보여야 한다.
- 정보주체는 전송 요구를 철회할 수 있고, 처리자는 본인 확인이 안 되는 경우 등에는 거절하거나 전송을 중단할 수 있다. 금융 분야의 같은 성격 제도는 신용정보의 이용 및 보호에 관한 법률 제33조의2의 전송요구권이다.
- 열람한 정보주체는 정정 또는 삭제를 요구할 수 있다. 다만 다른 법령에서 그 개인정보가 수집 대상으로 명시된 경우에는 삭제를 요구할 수 없다.
- 처리자는 지체 없이 조사하여 필요한 조치를 하고, 요구를 받은 날부터 10일 이내에 결과를 통지한다(시행령 제43조제3항). 삭제할 때에는 복구·재생되지 않도록 조치한다.
- 정보주체는 처리의 정지를 요구하거나 처리에 대한 동의를 철회할 수 있다. 공공기관에 대해서는 등록 대상 개인정보파일에 한하여 요구할 수 있다.
- 처리자는 요구를 받은 날부터 10일 이내에 조치 결과나 거절 사유를 통지한다(시행령 제44조제2항).
- 거절 사유: 법률에 특별한 규정이 있거나 법령상 의무 준수에 불가피한 경우, 다른 사람의 생명·신체 또는 재산 등 이익을 침해할 우려가 있는 경우, 공공기관이 소관 업무를 수행할 수 없는 경우, 약정한 서비스 제공 등 계약 이행이 곤란한데 정보주체가 해지 의사를 명확히 밝히지 않은 경우이다(제37조제2항).
- 동의를 철회하면 처리자는 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 한다.
- 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템 포함)으로 이루어진 결정이 권리나 의무에 중대한 영향을 미치면 그 결정을 거부할 수 있다. 행정기본법 제20조에 따른 행정청의 자동적 처분은 제외된다.
- 정보주체의 동의, 법률의 특별한 규정이나 법령상 의무 준수, 계약 체결·이행(제15조제1항제1호·제2호·제4호)에 따라 이루어진 자동화된 결정은 거부 대상이 아니지만, 이 경우에도 설명 등은 요구할 수 있다.
- 처리자는 정당한 사유가 없으면 결정을 적용하지 않거나 인적 개입에 의한 재처리·설명 등의 조치를 하고, 결정의 기준과 절차를 공개해야 한다.
- 열람, 전송, 정정·삭제, 처리정지 및 동의 철회, 자동화된 결정에 대한 거부·설명 요구를 묶어 열람등요구라 한다.
- 정보주체는 대리인에게 열람등요구를 하게 할 수 있다. 대리인은 정보주체의 법정대리인과 정보주체로부터 위임을 받은 자이며, 위임장을 제출해야 한다(시행령 제45조).
- 만 14세 미만 아동의 법정대리인은 그 아동의 개인정보 열람등요구를 할 수 있다. 아동의 개인정보 처리에 법정대리인 동의가 필요하다는 규정은 개인정보 보호법 제22조의2에 있다.
- 처리자는 실비 범위의 수수료와 우송료(사본 우송을 청구한 경우만)를 청구할 수 있다.
- 열람등요구의 방법과 절차는 개인정보 수집 방법과 절차보다 어렵지 않아야 하고, 거절 등에 불복할 수 있는 이의제기 절차를 마련하여 안내해야 한다.
| 요구 | 근거 | 통지 기한 |
|---|---|---|
| 열람 | 법 제35조, 시행령 제41조·제42조 | 요구를 받은 날부터 10일 이내 열람 또는 연기·거절 통지 |
| 정정·삭제 | 법 제36조, 시행령 제43조 | 요구를 받은 날부터 10일 이내 결과 통지 |
| 처리정지 | 법 제37조, 시행령 제44조 | 요구를 받은 날부터 10일 이내 결과 통지 |
| 전송 | 법 제35조의2, 시행령 제42조의6 | 지체 없이 전송(정당한 사유가 있으면 사유를 알리고 연기) |
- 제4조의 권리 6가지와 각 권리를 구체화한 조문 번호를 연결할 수 있어야 한다.
- 열람·정정·삭제·처리정지 요구에 대한 10일 기한과 열람 거절, 처리정지 거절 사유를 묻는다.
- 대리인의 범위(법정대리인, 위임받은 자)와 만 14세 미만 아동의 법정대리인 권리를 구분할 수 있어야 한다.
- 2023년 개정으로 신설된 전송 요구권과 자동화된 결정에 대한 거부·설명 요구권의 요건과 예외를 묻는다.