항해
GDPR > 전문68조
다운로드 PDF

전문68조

Recital 68

(68) 본인의 데이터에 대한 통제를 더욱 강화하기 위해 개인정보가 자동수단을 통해 개인정보가 처리되는 경우 정보주체는 컨트롤러에게 제공한 본인의 개인정보를 조직적이고 상용화된, 기계판독 및 상호운용이 가능한 형식으로 수령하고 이를 제3의 컨트롤러에게 이전할 수 있어야 한다.

컨트롤러는 데이터 이동권data portability)을 가능하게 하는 상호운용 가능한 포맷을 개발하도록 장려된다.

그 권리는 정보주체가 본인의 동의에 근거하여 개인정보를 제공한 경우나 계약의 이행에 처리가 필요한 경우에 적용되어야 한다.

처리가 동의 또는 계약 이외의 법적 근거를 기반으로 하는 경우에는 그 권리가 적용되지 않는다.

그 권리는 본질적으로 공적 업무 수행을 위해 개인정보를 처리하는 컨트롤러에 반(反)하여 행사되어서는 안 된다.

따라서 컨트롤러에게 적용되는 법적 의무를 준수하기 위해 또는 공익을 위하거나 컨트롤러에게 부여된 공적 권한의 행사에 따른 직무 수행에 개인정보가 필요한 경우에는 그 권리가 적용되어서는 안 된다.

본인의 개인정보를 이전하거나 수령할 정보주체의 권리로 인해 컨트롤러에게 기술적으로 양립되는 처리 시스템을 채택하거나 유지해야 할 의무가 부과되어서는 안 된다.

특정 개인정보 세트에서 복수의 정보주체가 관련되는 경우, 개인정보를 수령할 권리는 본 규정에 따른 타 정보주체의 권리와 자유를 침해해서는 안 된다.

또한 그 권리는 정보주체 본인의 개인정보 삭제권과 그 권리에 대해 본 규정이 정한 제한을 침해해서는 안 되며, 특히 계약 이행에 개인정보가 필요한 범위 및 기간에 한하여 정보주체 본인이 제공한 개인정보에 대한 삭제를 의미하는 것이 아니다.

기술적으로 가능한 경우 정보주체는 해당 개인정보를 한 컨트롤러로부터 또 다른 컨트롤러에게 직접 이전할 수 있는 권리를 가진다.

(68) To further strengthen the control over his or her own data, where the processing of personal data is carried out by automated means, the data subject should also be allowed to receive personal data concerning him or her which he or she has provided to a controller in a structured, commonly used, machine-readable and interoperable format, and to transmit it to another controller.

Data controllers should be encouraged to develop interoperable formats that enable data portability.

That right should apply where the data subject provided the personal data on the basis of his or her consent or the processing is necessary for the performance of a contract.

It should not apply where processing is based on a legal ground other than consent or contract.

By its very nature, that right should not be exercised against controllers processing personal data in the exercise of their public duties.

It should therefore not apply where the processing of the personal data is necessary for compliance with a legal obligation to which the controller is subject or for the performance of a task carried out in the public interest or in the exercise of an official authority vested in the controller.

The data subject’s right to transmit or receive personal data concerning him or her should not create an obligation for the controllers to adopt or maintain processing systems which are technically compatible.

Where, in a certain set of personal data, more than one data subject is concerned, the right to receive the personal data should be without prejudice to the rights and freedoms of other data subjects in accordance with this Regulation.

Furthermore, that right should not prejudice the right of the data subject to obtain the erasure of personal data and the limitations of that right as set out in this Regulation and should, in particular, not imply the erasure of personal data concerning the data subject which have been provided by him or her for the performance of a contract to the extent that and for as long as the personal data are necessary for the performance of that contract.

Where technically feasible, the data subject should have the right to have the personal data transmitted directly from one controller to another.