개인정보 전송 및 개인정보관리 전문기관 지정 등에 관한 고시

제1장 총 칙

제1조(목적) 이 고시는 「개인정보 보호법」(이하 "법"이라 한다) 제35조의2부터 제35조의4 및 「개인정보 보호법 시행령」(이하 "영"이라 한다) 제42조의3, 제42조의5, 제42조의9부터 제42조의12, 제42조의14, 제42조의16에 따른 전송 요구의 방법, 개인정보관리 전문기관의 지정요건 세부기준, 지정 절차 및 개인정보 전송 지원 플랫폼 등재 등에 관한 사항을 정하는 것을 목적으로 한다.

제2조(정의) 이 고시에서 사용하는 용어의 뜻은 다음과 같다. 1. "정보전송자"란 법 제35조의2제1항 및 제2항, 영 제42조의2에 따라 정보주체로부터 전송할 것을 요구받은 개인정보를 정보주체 본인, 개인정보관리 전문기관 또는 일반수신자에게 전송하는 자를 말한다. 2. "일반수신자"란 법 제35조의2제2항제2호에 따라 법 제29조에 따른 안전조치의무를 이행하고 영 제42조의3제1항에 따른 시설 및 기술 기준을 충족하는 자로서 고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위하여 개인정보를 전송받는 자를 말한다. 3. "지정권자"란 법 제35조의3제1항 및 영 제42조의10제2항에 따라 개인정보관리 전문기관을 지정할 수 있는 개인정보 보호위원회(이하 "보호위원회"라 한다) 또는 관계 중앙행정기관의 장을 말한다. 4. "중계전문기관"이란 영 제42조의9제1항제1호에 해당하는 자로서 개인정보 전송 중계에 필요한 기능을 제공하고 관련 시스템을 운영하는 업무 및 정보전송자의 전송을 지원하는 업무를 수행하는 자를 말한다. 5. "일반전문기관"이란 영 제42조의9제1항제2호에 해당하는 자로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보전송자로부터 전송받은 개인정보(보건의료전송정보는 제외한다)를 관리ㆍ분석하는 업무를 수행하는 자를 말한다. 6. "특수전문기관"이란 영 제42조의9제1항제3호에 해당하는 자로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보전송자로부터 전송받은 보건의료전송정보를 관리ㆍ분석하는 업무를 수행하는 자를 말한다.

제2장 개인정보 전송 등

제3조(일반수신자 시설 및 기술) 영 제42조의3제1항에 따른 "보호위원회가 정하여 고시하는 시설 및 기술"은 별표 1과 같다.

제4조(전송 요구의 방법) 정보주체는 법 제35조의2제2항에 따른 전송 요구를 하는 경우에는 별지 제1호서식의 전송요구서를 작성하여 정보전송자에게 제출해야 한다.

제3장 개인정보관리 전문기관 지정

제5조(지정 신청) ① 개인정보관리 전문기관으로 지정받으려는 기관ㆍ법인 또는 단체(이하 "지정신청자"라 한다)는 법 제35조의3제1항 및 영 제42조의10제1항에 따라 별지 제2호서식의 개인정보관리 전문기관 지정신청서에 별표 2에 따른 신청서류를 첨부하여 지정권자에게 제출해야 한다. ② 지정신청자가 일반전문기관과 특수전문기관의 업무를 모두 수행하고자 하는 경우에는 각 지정권자에게 제1항에 따른 지정 신청을 각각 해야 한다. ③ 제1항에 따른 지정 신청을 받은 각 지정권자는 다음 각 호의 어느 하나에 해당하는 경우에는 다른 지정권자와 협의하여 접수된 신청서류를 지체 없이 소관 기관에 이송하고, 그 사실을 지정신청자에게 통지해야 한다. 1. 지정권자의 업무와 지정 신청의 내용 간에 밀접한 관련성이 없는 경우 2. 지정권자가 해당 업무를 수행하기 어려운 정당한 사유가 있는 경우 ④ 제3항에도 불구하고 보호위원회는 제1항에 따른 지정 신청을 받은 지정권자(관계 중앙행정기관의 장에 한한다)가 개인정보관리 전문기관을 지정하는 것이 적정하지 않다고 판단되는 경우에는 해당 지정권자 및 다른 지정권자와 협의하여 접수된 신청서류를 소관 기관에 이송하도록 할 수 있다. 이 경우 보호위원회는 그 사실을 지정신청자에게 통지해야 한다.

제6조(지정요건 세부기준) 영 제42조의11제1항제1호다목에 따른 "보호위원회가 정하여 고시하는 설비 및 기술" 및 같은 항 제2호나목에 따른 "보호위원회가 정하여 고시하는 보호체계"는 별표 3과 같다.

제7조(지정절차) ① 법 제35조의3제1항 및 영 제42조의12제1항에 따른 개인정보관리 전문기관의 지정절차는 서류심사, 현장심사, 종합심사의 순으로 진행된다. ② 지정권자는 제5조제1항에 따른 신청서류 등이 누락되거나 보완이 필요한 경우에는 지정신청자에게 기간을 정하여 보완을 요구할 수 있다. ③ 지정권자는 제5조제1항에 따른 지정 신청을 받은 날의 다음날부터 3개월 이내(제10조에 따른 예비심사를 통과한 경우에는 1개월 이내)에 개인정보관리 전문기관의 지정 여부를 결정하여 그 결과를 지체 없이 지정신청자에게 문서(지정신청자가 「전자문서 및 전자거래 기본법」 제2조제1호에 따른 전자문서(이하 "전자문서"라 한다)로 신청한 경우 전자문서를 포함한다. 이하 같다)로 통지해야 한다. 다만, 부득이한 사정이 있는 경우에는 2개월의 범위에서 그 기간을 연장할 수 있다. ④ 제3항에 따른 심사기간을 산정할 때에는 다음 각 호에 해당하는 기간은 심사기간에 산입하지 아니한다. 1. 제5조제3항 및 제4항에 따라 지정권자의 확인 및 변경, 지정권자 협의 등에 소요되는 기간 2. 제2항에 따른 지정신청자의 신청서류 보완에 소요되는 기간 3. 법 또는 영에 따른 의무의 위반과 관련하여 지정신청자를 상대로 형사소송 절차가 진행되고 있거나 조사ㆍ검사 등의 절차가 진행되고 있고, 그 소송이나 조사ㆍ검사 등의 내용이 지정심사에 중대한 영향을 미칠 수 있다고 인정되는 경우에는 그 소송이나 조사ㆍ검사 등의 절차가 끝날 때까지의 기간 4. 지정심사 중 불가피한 사유, 대규모 사회재난, 천재지변 등 불가항력적인 사유로 인한 기간 ⑤ 지정권자는 개인정보관리 전문기관의 지정 여부를 결정하기 위하여 보호위원회 또는 전송 요구 대상 정보와 관련된 관계 중앙행정기관의 장의 의견을 들어야 한다. ⑥ 제5조제2항의 경우 지정권자는 사전에 다른 지정권자와 협의하여 지정 여부를 결정해야 한다. 이 경우 지정권자는 다른 지정권자와 협의하여 지정심사(제1항에 따른 서류심사, 현장심사 및 종합심사를 포함한다)를 공동으로 진행할 수 있다.

제8조(지정심사위원회 구성 등) ① 지정권자는 제5조제1항에 따른 지정 신청을 받은 경우 법 제35조의3제2항 및 영 제42조의11제1항에 따른 개인정보관리 전문기관의 지정요건별 세부기준을 충족하는지 여부를 개인정보관리 전문기관 지정심사위원회(이하 "지정심사위원회"라 한다)를 구성하여 심사해야 한다. ② 지정심사위원회는 개인정보 보호, 정보보호, 회계 및 지정권자가 정하는 관계 분야 등 지정요건에 관하여 학식과 경험이 풍부한 전문가로 구성하되, 7명 이상 15명 이하로 한다. ③ 지정심사위원회는 제7조제1항에 따른 종합심사를 수행한 후 그 심사결과를 지정권자에게 보고해야 한다. ④ 지정권자는 다음 각 호의 기관의 장에게 지정심사위원회의 구성ㆍ운영, 기술적인 사항의 자문 등 지정 여부를 결정하기 위하여 필요한 지원을 요청할 수 있다. 1. 한국인터넷진흥원 2. 업무 관련성 및 수행능력 등을 고려하여 지정권자가 적합하다고 인정하는 기관

제9조(지정 및 지정서 발급) ① 지정권자는 제8조제3항에 따른 지정심사위원회의 심사결과를 확인하여 지정이 적합하다고 인정하는 경우에는 지정신청자를 개인정보관리 전문기관으로 지정할 수 있다. ② 지정권자는 제1항에 따라 개인정보관리 전문기관을 지정한 때에는 별지 제3호서식의 개인정보관리 전문기관 지정서를 지정신청자에게 발급해야 한다.

제10조(예비심사) ① 영 제42조의10제4항에 따른 개인정보 관리 전문기관에 관한 예비심사(이하 "예비심사"라 한다)를 받으려는 자는 별지 제2호서식의 개인정보관리 전문기관 예비심사신청서에 별표 2에 따른 신청서류를 첨부하여 지정권자에게 제출해야 한다. ② 지정권자는 제1항에 따른 예비심사 신청을 받은 경우에는 2개월 이내에 서류심사를 하고 그 결과를 지체 없이 예비심사를 신청한 자에게 통지해야 한다. 다만, 부득이한 사정이 있는 경우에는 1개월의 범위에서 그 기간을 연장할 수 있다. ③ 예비심사를 통과한 자는 제2항에 따른 결과를 통지받은 날부터 6개월 이내에 예비심사의 내용(예비심사시 조건을 붙인 경우 그 조건을 포함한다)을 이행한 후 제5조에 따른 개인정보관리 전문기관 지정(이하 이 항에서 "본지정"이라 한다)을 신청해야 한다. 다만, 지정권자가 예비심사 당시 본지정 신청기한을 따로 정하였거나 예비심사 후 본지정 신청기한의 연장에 대하여 지정권자의 승인을 받은 경우에는 그 기간을 따른다. ④ 예비심사에 관하여 제1항부터 제3항까지에서 정한 사항을 제외하고는 제5조, 제7조부터 제8조까지의 규정을 준용한다. 이 경우 "지정"은 "예비심사"로 본다.

제11조(변경 승인) ① 영 제42조의12제2항에 따른 변경 승인(이하 "변경 승인"이라 한다)을 받으려는 자는 별지 제4호서식의 개인정보관리 전문기관 변경승인신청서에 영 제42조의12제2항 각 호의 변경된 문서를 첨부하여 지정권자에게 제출해야 한다. ② 지정권자는 제1항에 따라 제출된 변경승인신청서를 심사하고 승인 여부를 변경 승인을 신청한 자에게 통지해야 한다. ③ 영 제42조의12제2항에 따른 "보호위원회가 정하여 고시하는 경미한 내용"이란 자구(字句) 수정, 오탈자 정정 등 단순한 변경에 관한 사항을 말한다. ④ 변경 승인에 관하여 제1항부터 제3항까지에서 정한 사항을 제외하고는 제7조부터 제8조까지의 규정을 준용할 수 있다. 이 경우 "지정"은 "변경 승인"으로 본다.

제12조(재지정) ① 영 제42조의12제4항에 따라 재지정(이하 "재지정"이라 한다)을 받으려는 경우에는 유효기간 만료일 6개월 전까지 제5조제1항에 따른 개인정보관리 전문기관 지정신청서 및 신청서류를 갖추어 지정권자에게 제출해야 한다. 이 경우 재지정 신청에 대한 심사결과를 통지받을 때까지는 그 지정은 계속 유효한 것으로 본다. ② 재지정 심사 및 절차에 관하여는 제5조, 제7조부터 제9조까지의 규정을 준용한다. 이 경우 "지정"은 "재지정"으로 본다.

제13조(지정취소) 지정권자는 개인정보관리 전문기관에 법 제35조의3제4항제2호의 사유 또는 영 제42조의14제1항의 지정취소 사유가 발생하는 경우에는 그 지정을 취소하기 전에 해당 개인정보관리 전문기관에 시정ㆍ보완을 요구할 수 있다.

제14조(지정 등의 공고) 지정권자는 개인정보관리 전문기관을 지정, 재지정 또는 지정취소를 한 경우에는 영 제42조의12제6항 및 제42조의14제3항에 따라 다음 각 호의 사항을 관보에 공고하거나 지정권자의 홈페이지에 게시해야 한다. 1. 개인정보관리 전문기관의 명칭 및 주소 2. 담당 부서 및 연락처 3. 지정 유효기간(지정 또는 재지정의 경우에 한한다) 4. 취소일자 및 취소사유(지정취소의 경우에 한한다)

제4장 그 밖에 필요한 사항

제15조(일반수신자 개인정보 전송 지원 플랫폼 등재 절차) ① 영 제42조의16제1항에 따라 일반수신자로서 정보를 전송받으려는 자는 별지 제5호서식의 일반수신자 등재신청서에 다음 각 호의 서류(전자문서를 포함한다. 이하 같다)를 첨부하여 개인정보 전송 지원 플랫폼(이하 "개인정보전송지원플랫폼"이라 한다)에 등재를 신청해야 한다. 1. 개인정보 관리 계획서(고유의 업무 수행에 있어 전송받고자 하는 정보의 필요성 및 이용계획을 포함한다) 2. 법 제29조에 따른 안전조치의무 이행을 증명할 수 있는 서류 3. 별표 1에 따른 일반수신자 시설 및 기술을 갖추었음을 증명할 수 있는 서류 ② 보호위원회는 제1항에 따른 서류를 확인하여 법 제35조의2제2항제2호에 따른 일반수신자 기준을 충족하는 경우에는 해당 일반수신자를 개인정보전송지원플랫폼에 등재해야 한다.

제16조(전문기관 등 개인정보전송지원플랫폼 등재 절차) ① 보호위원회는 지정권자가 제9조제1항에 따라 개인정보관리 전문기관을 지정한 경우에는 해당 개인정보관리 전문기관을 개인정보전송지원플랫폼에 등재해야 한다. ② 보호위원회는 영 제42조의15제1항에 따라 법 제35조의2제2항에 따른 정보전송자임을 확인한 경우에는 해당 정보전송자를 개인정보전송지원플랫폼에 등재해야 한다.

제17조(재검토기한) 보호위원회는 「행정규제기본법」 및 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2025년 1월 1일을 기준으로 3년마다(매 3년이 되는 해의 1월 1일 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.