개인정보 보호위원회

EU 사법재판소(CJEU)의 최근 결정은 정보주체에게 처리 중인 “개인정보의 사본”을 제공해야 하는컨트롤러의 의무에 대한 구체적인 범위를 제시 (’23.5.3.)

• CJEU는 GDPR 제15조제3항에서 명시한 개인정보 사본을 획득할 수 있는 권리는 정보주체에게 해당하는 모든 개인정보에 대한 "진실하고 정확한 복제"의 제공을 의미한다고 판결

- 즉 컨트롤러가 원자료(raw data)의 사본을 제공하는 것만으로는 불충분하며, 정보주체가 정보 처리의 완전한 맥락을 이해할 수 있도록 데이터베이스 발췌본 등을 같이 제공해야 함

• 오스트리아의 개인정보보호 옹호단체 noyb는 정보주체가 데이터베이스 발췌본을 포함하여 자신과 관련되어 처리된 모든 개인정보의 사본을 요청한 건에 대해 신용평가사 CRIF가 개인정보의 목록만을제공한 것에 대해 오스트리아 개인정보 감독기관(DSB)에 민원을 제기

- 오스트리아 연방 행정법원*은 동 사건과 관련해 GDPR 제15조제3항의 “개인정보의 사본”을 받을 권리의 범위에 대해 CJEU에 질의

• CJEU는 판결을 통해 GDPR의 목적은 정보주체의 권리를 강화하고 명확하게 규정하는 것임을 강조

- 개인정보에 대한 열람 권한은 정보주체가 정보 삭제·수정·이의제기와 같은 추가 권한을 행사할 수 있게 한다는 맥락에서 특히 중요하다고 설명

- 또한, 정보주체에게 원자료의 단순한 목록을 제공하는 것만으로는 충분치 않으며 전체적으로, 맥락에 맞게, 원본과 동일한 정보를 제공해야 하며, 정보주체의 개인정보를 기반으로 생성된 데이터베이스발췌본을 포함하는 등 제공된 정보의 맥락화를 강조

[출처]
• noyb, “noyb win at CJEU: Right of access may include documents and database extracts”, 2023.5.4.

※ 본 번역 요약본의 저작권은 개인정보보호위원회 및 한국인터넷진흥원에 있으며, 본 요약본을 활용하실 경우에는 출처를 반드시 밝혀주시기 바랍니다.