個人情報保護委員会は10日、マイデータ制度に関する個人情報保護法施行令の改正案が同日の国務会議で議決されたと発表した。8月の施行後は、これまで医療・通信分野に限られていた個人情報の伝送要求権の対象が全分野に広がる。

マイデータ制度は、本人が自身の個人情報を希望する先に移転し、活用できるようにする仕組み。今回の改正案は、2025年3月13日に施行された伝送要求権制度について、利用対象を広げ、国民が実際に活用しやすくすることを目的としている。

改正案では、これまで医療・通信分野に限定されていた対象事業者と伝送対象情報を全分野に拡大した。あわせて、拡大後の制度を安全に利用できるよう、伝送手続きや方法も定めた。

対象事業者の基準については、個人情報を適切に保護できる体制を備えた大規模個人情報処理者などと規定した。具体的には、中小企業基本法などに基づく平均売上高が1800億ウォンを超え、かつ情報主体が100万人以上、または機微情報・固有情報が5万人分以上ある大規模システム運営機関、公共システム運営機関、第三者向け情報伝送事業者などが含まれる。

伝送要求の対象となる情報は、本人の同意に基づいて処理される情報、契約の締結・履行の過程で処理される情報、法令に基づいて処理される情報などで、原則として広く認める。

また、本人が代理人を通じて伝送要求権を行使する場合の安全な伝送方法も盛り込んだ。代理人がスクレイピングなどの自動化ツールを使う場合は、個人情報の安全確保の観点から、情報伝送事業者と事前に協議した方式でのみ情報を受け取れるようにする。

方式としては、原則としてAPI（アプリケーション・プログラミング・インターフェース）連携を推奨する。ただし当面は、本人向け情報伝送事業者が代理人と事前協議を行い、安全性と信頼性が確認された場合に限って、スクレイピングを限定的に認める。

施行後、情報主体の伝送要求権の行使範囲は医療・通信分野から全分野に広がる。一方で、事業者側の準備期間を考慮し、公共システム運営機関と第三者向け情報伝送事業者には公布から6カ月の猶予期間を設ける。平均売上高が1800億ウォンを超える民間分野の本人向け情報伝送事業者には1年間の猶予期間を設ける。

個人情報保護委員会は、マイデータを国民が実感できる分野へ広げるため、第三者伝送分野についても2026年にエネルギー、教育、雇用、文化、余暇分野へ拡大するための実務協議体を構成し、運営する計画だ。あわせて、改正施行令の主な内容と伝送要求権の拡大に関する説明会を3月から開き、個人情報管理専門機関の指定や支援事業計画について案内する予定としている。

ソン・ギョンヒ委員長は「今回の施行令改正により、国民が自らの個人情報に関する権利をより積極的に行使し、自身の意思に沿って情報を移転・活用できるようになることを期待している」と述べた。そのうえで「安全で信頼できる企業・機関を通じて情報が伝送される環境を整え、マイデータ制度に対する国民の信頼向上と、実感できる成果の創出に努める」とした。