[개인정보보호법] 제 3장 개인정보의 처리 (제 28조의 2 ~ 7)

⚜️ 제 28조의 2 가명정보의 처리 등

 

ⓛ 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.

 

--> 가명정보 처리

: 가명정보의 수집, 이용 및 제공 등 가능

 

② 개인정보처리자는 제 1항에 따라 가명정보를 제 3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 안된다.

 

---

 

⚜️ 제 28조의 3 가명정보의 결합 제한

 

ⓛ 제 28조의 2에도 불구하고 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다.

 

※ 지정된 결합전문기관에서만 결합 가능

-->  개인정보보호위원회, 보건복지부 등이 지정

-->  공공 혹은 민간 기관 지정

 

② 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 개인정보처리자는 가명정보 또는 제 58조의 2(적용제외)에 해당하는 정보로 처리한 뒤, 전문기관 장의 승인을 받아야 한다.

 

※ 결합 결과를 외부로 반출하기 위해 필요한 조건

-->  결합결과를 가명처리하거나 익명 처리

-->  결합 전문기관 장의 승인

 

※ 제 58조의 2(적용 제외)에 해당하는 정보

: 이 법은 시간, 비용, 기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보에는 적용하지 아니한다.

== 익명정보에는 적용하지 아니함

 

③ 제 1항에 따른 결합 절차와 방법, 전문 기관의 지정과 지정 취소 기준·절차, 관리·감독, 제 2항에 따른 반출 및 승인 기준·절차 등 필요 사항은 대통령령으로 정한다.

 

---

 

⚜️ 제 28조의 4 가명정보에 대한 안전조치의무 등

 

ⓛ 개인정보처리자는 제 28조의 2(가명정보의 처리 등) 또는 제 28조의 3(가명정보의 결합 제한)에 따라 가명정보를 처리하는 경우에는 원 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관·관리하는 등 해당 정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 해야 한다.

 

② 개인정보처리자는 제 28조의 2(가명정보의 처리 등) 또는 제 28조의 3(가명정보의 결합 제한)에 따라 가명정보를 처리하는 경우 처리목적을 고려하여 가명정보의 처리 기간을 별도로 정할 수 있다.

 

③ 개인정보처리자는 제 28조의 2 또는 제 28조의 3에 따라 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제 3자 제공 시 제공받는 자, 가명정보의 처리 기간 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 하며, 가명정보를 파기한 후에는 파기한 날부터 3년 이상 보관하여야 한다.

 

※ 가명 정보의 처리 기간 관련 기록의 경우 제 2항에 따라 처리 기간을 별도로 정한 경우에 한하여 고려한다.

 

---

 

⚜️ 제 28조의 5 가명정보 처리 시 금지의무 등

 

ⓛ 제 28조의 2 또는 제 28조의 3에 따라 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명 정보를 처리해서는 안 된다.

 

② 개인정보처리자는 제 28조의 2 또는 제 28조의 3에 따라 가명정보를 처리하는 과정에서 특정 개인을 식별할 수 있는 정보가 생성된 경우 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수·파기해야 한다.

 

---

 

⚜️ 제 28조의 6 가명정보 처리에 대한 과징금 부과 등

--> 개정법 제 64조의 2 (과징금의 부과)로 이동

 

---

 

⚜️ 제 28조의 7 적용 범위

 

ⓛ 제 28조의 2(가명정보의 처리 등) 또는 제 28조의 3(가명정보의 결합 제한)에 따라 처리된 가명정보는 아래 조항을 적용하지 아니한다.

 

※ 적용 제외 조항

• 제 20조 (정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지)
• 제 20조의 2 (개인정보 이용 및 제공)
• 제 27조 (영업양도 등에 따른 개인정보의 이전 제한)
• 제 34조 (개인정보 유출 등의 통지·신고) 제 1항 (정보주체에 통지 의무)  <--  단, 규제기관에 신고의무는 적용
• 제 35조 (개인정보의 열람)
• 제 35조의 2 (개인정보의 전송 요구)  <--  2024. 03. 15 시행
• 제 36조 (개인정보의 정정·삭제)
• 제 37조 (개인정보의 처리정지 등)