개인정보보호위원회 결정문

【결정요지】

【주문】

1. 강원도가 정보주체에게 강원AI 헬스케어 글로벌 혁신 규제자유특구 사업에 따른 개인정보 처리 내용 등을 충분히 설명하고 정보주체의 자유로운 의사에 따라 개인정보 열람(사본의 발급 포함, 이하 같음) 요구권을 정당하게 위임받은 경우에는 정보주체를 대신하여 건강검진결과의 열람을 요구할 수 있다.

2. 강원도는 정보주체의 개인정보 열람 요구를 대리하는 사정만으로 개인정보를 스스로의 목적으로 수집ㆍ이용하거나 제3자에 제공할 수 없으며, 제반 상황과 처리 결과 등을 정보주체에게 충분히 설명하고 정보주체의 자유로운 의사에 따라 동의 여부를 결정하도록 하는 등 개인정보 열람 요구 대리와 별개로 「개인정보 보호법」제23조 제1항 제1호에 따라 민감정보의 처리에 관하여 정보주체로부터 별도로 동의를 받아야 한다.

3. 국민건강보험공단은 강원도로부터 정보주체의 열람 요구 위임장 등을 제출받아야 하며, 대량의 개인정보 열람 요구를 한 자가 정보주체의 정당한 대리인인지 여부를 유선통화, 방문면담, 인감증명서 확인 등을 통해 선량한 관리자로서 주의의무를 기울여 확인하여야 한다.

4. 강원도와 국민건강보험공단은 민감한 개인정보를 대리 열람하고 이를 수집ㆍ이용하거나 제3자에 제공하는 과정에서 적법한 열람 및 동의 절차에 따르고 민감정보가 유출ㆍ오남용 되지 않도록 하는 등 개인정보 보호에 필요한 대책을 마련ㆍ이행하여야 한다.

【이유】

별지와 같다.

이상과 같은 이유로 주문과 같이 의결한다.

2025년 02월 12일

【위원정보】

【별지】

1. 질의요지

가. 질의배경

○ 강원도는 「규제 자유특구 및 지역특화발전 특구에 관한 규제특례법」제72조(규제자유특구의 지정신청) 등에 의해, 최종적으로 강원AI 헬스케어 글로벌 혁신 규제자유특구로 지정되었으며, 국민건강보험공단(이하 '공단’)으로부터 사업에 활용하기 위해 참여자 검진결과(이하 '본 건 개인정보’)를 「개인정보 보호법」(이하 '보호법’) 제35조 등에 의해 대리 열람하고자 함

○ 강원도에 따르면, ①대리 열람으로 출력물을 정보주체에게 전달하고 ②다시 별도 동의를 거쳐 ③강원도가 축적한 유전체 데이터와 건강검진 데이터를 결합한 양질의 데이터를 ④스타트업에 제공할 계획임

○ 강원도는 보호법 제35조(개인정보의 열람), 제38조(권리행사의 방법 및 절차)에 따라 정보주체를 대리하는 형태로 일시에 수천 건의 개인정보를 획득해 정보주체에게 전달하고 동의를 통해 수집ㆍ이용ㆍ제공하겠다는 것으로서 법적인 하자가 없음을 주장하나,

- 개인정보의 열람과 전달의 과정에서 발생할 수 있는 개인정보 유출의 우려, 일시에 수천 건의 열람요구 처리 과정에서의 불안전, 위임받는 자 (대리인)로서 법인이 수행 가능한 역할 범위 등이 명확하지 않아 질의함

나. 질의내용

○ 강원도가 AI헬스케어 글로벌 혁신특구 사업을 추진하기 위해 건강검진결과를 사업에 활용하려는 목적으로,

- 보호법 제35조 및 제38조에 따라 정보주체로부터 위임장을 받아 공단에 본 건 개인정보의 열람을 신청하여 자료를 획득하여 정보주체에게 전달하고,

- 정보주체의 별도 동의를 거쳐 본 건 개인정보를 수집ㆍ이용하거나 제3자에 제공하는 것이 가능한지 여부

2. 이유

가. 강원도가 보호법 제35조 및 제38조에 따라 정보주체로부터 위임장을 받아 공단에 본 건 개인정보의 열람 요구를 하고 본 건 개인정보를 수집ㆍ이용하거나 제3자에 제공하는 것이 열람의 본래 취지와 목적에 비추어 볼 때 허용 가능한지 여부

○ 보호법 제38조 제1항에서 정보주체가 보호법 제35조에 따른 개인정보의 열람(사본의 발급을 포함, 이하 같음) 요구를 대리인을 통해 할 수 있도록 규정한 취지는 정보주체가 직접 열람 요구를 하기 어려운 경우에는 대리인을 통하여 권리를 행사할 수 있도록 하려는 취지임

- 따라서, 강원도가 본 건 개인정보를 강원AI 헬스케어 사업에 활용하려는 제반 상황에 관하여 정보주체에게 충분히 설명하고, 정보주체는 자신에게 미치는 영향 등에 관하여 충분히 이해한 상태에서 자유로운 의사결정에 따라 열람 요구권을 위임한 경우가 아니라면, 이는 제도의 목적과 취지에 반할 소지가 있음

- 즉, 강원도는 열람 대리를 통해 정보주체의 민감한 개인정보인 건강검진결과가 담긴 출력물을 발급받아 정보주체에게 전달하고 다시 별도 동의를 거쳐 강원도가 보유하고 있는 데이터와 결합하여 스타트업에 제공할 계획이라는 강원AI 헬스케어 글로벌 혁신 규제자유특구 사업에 따른 개인정보 처리 내용 등을 충분히 설명한 후, 정보주체의 자유로운 의사에 따라 개인정보 열람 요구권을 정당하게 위임받은 경우에 정보주체를 대신하여 건강검진결과 열람을 요구할 수 있음

○ 강원도가 정보주체로부터 적법하게 위임을 받아 본 건 개인정보의 열람 요구를 대리하는 사정만으로 이를 바로 개인정보의 수집ㆍ이용 또는 제3자 제공의 근거를 갖추었다고 할 수 없으며,

- 특히, 정보주체의 건강검진결과는 보호법 제23조에 따른 민감정보로서 보다 엄격히 보호되어야 하고, 강원도가 본 건 개인정보를 자신들의 사업에 활용할 목적으로 수집ㆍ이용하거나 제3자에 제공하기 위해서는 개인정보 수집ㆍ이용의 목적 및 제공받는 자의 이용 목적, 개인정보를 제공받는 자, 수집ㆍ이용ㆍ제공하는 개인정보 항목, 개인정보 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용 등을 정보주체에게 충분히 설명하고, 정보주체의 자유로운 의사에 따라 동의 여부를 결정하도록 하는 등 개인정보 열람 요구 대리와 별개로 「개인정보 보호법」제23조 제1항 제1호에 따라 민감정보의 처리에 관하여 정보주체로부터 별도로 동의를 받아야 함

나. 정보주체로부터 위임을 받은 자의 범위에 법인ㆍ단체도 포함되는지, 1인이 한 번에 수천명의 열람 대리 신청이 가능한 지 여부

○ 보호법 제35조 제1항과 제38조 제1항에 따르면, 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 개인정보처리자에게 요구할 수 있으며, 정보주체는 동법 시행령으로 정하는 방법ㆍ절차에 따라 열람 요구를 대리인에게 하게 할 수 있음

○ 보호법 시행령 제45조 제1항 제2호에서는 '정보주체로부터 위임을 받은 자’가 정보주체를 대리하여 열람의 요구를 할 수 있다고 규정하고 있는데, 법인ㆍ단체가 열람 요구를 대리하는 것을 제한하고 있지 않음

○ 따라서, 「지방자치법」제3조 제1항에 따른 법인인 강원도가 정보주체의 적법한 위임에 따라 대리인 자격으로 공단에 본 건 개인정보의 열람을 요구하는 것이라면, 이는 정보주체의 개인정보자기결정권의 행사에 따른 것으로서 보호법에 반하는 것으로 볼 수는 없을 것임

- 또한, 열람 요구를 대리할 수 있는 정보주체의 수에 대하여도 보호법에서 특별히 제한하는 규정은 없음

다. 열람 요구 행위는 강원도의 대표자가 하여야 하는지, 소속 직원도 할 수 있는지 여부 및 공단의 확인 절차ㆍ내용

○ 열람 요구를 대리하는 경우 대리하는 자는 원칙적으로 위임권을 받은 자가 대리하여야 할 것이나, 위임권을 받은 자가 법인인 경우 소속 직원이 그 법인 내부 업무관계에 따라 그 법인의 이름으로 업무 범위 내에서 관련 행위를 하는 것도 가능할 것임

○ 보호법 시행령 제46조 제1항에서는 개인정보처리자가 열람의 요구를 받았을 때에는 열람 등 요구를 한 사람이 본인이거나 정당한 대리인인지를 확인하도록 하고 있음

- 공단은 ①위임장 등 정보주체와의 대리관계를 나타내는 서류, ②대리인의 신분을 증명하는 서류, ③소속 직원의 경우에는 업무 수행 관계를 증명하는 서류 등을 확인하여야 하며,

- 대량의 개인정보 열람 요구를 한 자가 정보주체의 정당한 대리인인지 여부를 유선통화, 방문면담, 인감증명서 육안 확인* 등을 통해 선량한 관리자로서 주의의무를 기울여 확인하여야 함

* 정당한 대리인인지 여부 확인을 위해 인감증명서 확인이 필수적인 것은 아님

라. 대량 열람 건을 처리함에 따라 발생하는 물리적인 한계가 열람의 연기 사유가 되는지, 연기 횟수ㆍ기간 등에 제한이 있는지 여부

○ 보호법 제35조 제3항과 같은 법 시행령 제41조 제4항에 따르면, 개인정보처리자는 열람을 요구받았을 때에는 10일 내에 열람할 수 있도록 해야 하지만, '정당한 사유’가 있을 때에는 열람을 연기할 수 있고, 그 사유가 소멸하면 지체없이 열람하게 하여야 하며,

- 「표준 개인정보 보호지침」제31조 제1항에 따르면, 개인정보의 열람을 연기한 후 그 사유가 소멸한 경우에는 정당한 사유가 없는 한 사유가 소멸한 날로부터 10일 이내에 열람하도록 하여야 함

○ 보호법 상의 '정당한 사유’는 구체적인 사실관계에 따라 개별적으로 판단하여야만 할 것인 바, 평시의 업무상황, 인력, 설비 등에 비추어 일시에 많은 개인정보 열람 요구를 받아 도저히 열람 요구를 10일 내에 처리하는 것이 현실적으로 불가능한 경우, 이러한 경우까지 10일 내에 열람 요구를 처리하도록 일률적으로 요구하는 것은 개인정보 처리자에게 과도한 부담을 주게 되므로, 대량의 열람 요구를 처리함으로써 발생하는 물리적인 한계는 보호법 제35조 제3항의 '정당한 사유’에 해당할 것으로 판단됨

- 또한, 보호법은 열람 연기의 기간이나 횟수에 대하여 특별한 제한을 두고 있지 않으며, 공단이 행정역량을 최대한 활용하여 접수된 열람 요구 건을 처리하여도 기한 내 처리가 어려운 건에 대해서는 열람을 연기할 수 있으나 최대한 신속하게 열람 요구를 처리하여야 할 것임