Navigation
GDPR > 제20조. 개인정보 이동권
Download PDF

제20조 GDPR. 개인정보 이동권

1. 정보주체는 컨트롤러에게 제공한 본인에 관련된 개인정보를 체계적이고, 통상적으로 사용되며 기계 판독이 가능한 형식으로 수령할 권리가 있으며, 개인정보를 제공받은 컨트롤러로부터 방해 받지 않고 다른 컨트롤러에게 해당 개인정보를 이전할 권리를 가진다.

Expert commentary
Author
Siarhei Varankevich
Siarhei Varankevich CIPP/E, CIPM, CIPT, MBA, FIP
FIP_IAPP
Co-Founder & CEO of Data Privacy Office LLC. Data Protection Trainer and Principal Consultant

(a) 처리가 제6조(1)의 (a)호나 제9조(2)의 (a)호에 따른 동의나 제6조(1)의 (b)호에 따른 계약을 근거로 하는 경우

Related

(b) 처리가 자동화된 수단으로 시행되는 경우

2. 제1항에 따른 본인의 개인정보 이동권을 행사하는 데 있어, 정보주체는 기술적으로 가능한 경우 해당 개인정보를 한 컨트롤러에서 다른 컨트롤러로 직접 이전할 권리를 가진다.

3. 본 조 제1항에 규정된 권리의 행사는 제17조를 침해해서는 안 된다. 해당 권리는 공익을 위해서 또는 컨트롤러에게 부여된 공식권한을 행사하여 이루어지는 업무 수행에 필요한 처리에는 적용되지 않는다.

Related

4. 제1항에 규정된 권리는 다른 개인의 권리와 자유를 침해하지 않아야 한다.

Expert commentary ISO 27701 Recitals Guidelines & Case Law Leave a comment
Expert commentary

The right to data portability is presented primarily as a way to support “user choice, user control, and user empowerment” (Guidelines on the Right to Data Portability), as it aims at reinforcing an individual’s control over her/his personal information (recital 68). Data portability allows users to receive a copy of their personal data and can be seen in that sense as an extension of the right of access (article 15). It can also help them to switch services without losing their data, enabling users to transfer their information from one service to a potentially better one.

[…]


to read the full text

Author
Louis-Philippe Gratton
Louis-Philippe Gratton PhD, LLM
Privacy Expert

Data Subject Request Letter Sample

Concern: Exercise my right to data portability

Dear Madam, Dear Sir,

I would like to exercise my right to data portability under Article 20 of the General Data Protection Regulation (GDPR)…

[…]


to read the full text

Author
Louis-Philippe Gratton
Louis-Philippe Gratton PhD, LLM
Privacy Expert
ISO 27701

ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.

Here is the relevant paragraph to article 20 GDPR:

7.3.8 Providing copy of PII processed

Control

The organization should be able to provide a copy of the PII that is processed when requested by the PII principal.

Implementation guidance

The organization should provide a copy of the PII that is processed in a structured, commonly used, format accessible by the PII principal.

[…]


to read the full text

Recitals

(68) 본인의 데이터에 대한 통제를 더욱 강화하기 위해 개인정보가 자동수단을 통해 개인정보가 처리되는 경우 정보주체는 컨트롤러에게 제공한 본인의 개인정보를 조직적이고 상용화된, 기계판독 및 상호운용이 가능한 형식으로 수령하고 이를 제3의 컨트롤러에게 이전할 수 있어야 한다. 컨트롤러는 데이터 이동권data portability)을 가능하게 하는 상호운용 가능한 포맷을 개발하도록 장려된다. 그 권리는 정보주체가 본인의 동의에 근거하여 개인정보를 제공한 경우나 계약의 이행에 처리가 필요한 경우에 적용되어야 한다. 처리가 동의 또는 계약 이외의 법적 근거를 기반으로 하는 경우에는 그 권리가 적용되지 않는다. 그 권리는 본질적으로 공적 업무 수행을 위해 개인정보를 처리하는 컨트롤러에 반(反)하여 행사되어서는 안 된다. 따라서 컨트롤러에게 적용되는 법적 의무를 준수하기 위해 또는 공익을 위하거나 컨트롤러에게 부여된 공적 권한의 행사에 따른 직무 수행에 개인정보가 필요한 경우에는 그 권리가 적용되어서는 안 된다. 본인의 개인정보를 이전하거나 수령할 정보주체의 권리로 인해 컨트롤러에게 기술적으로 양립되는 처리 시스템을 채택하거나 유지해야 할 의무가 부과되어서는 안 된다. 특정 개인정보 세트에서 복수의 정보주체가 관련되는 경우, 개인정보를 수령할 권리는 본 규정에 따른 타 정보주체의 권리와 자유를 침해해서는 안 된다. 또한 그 권리는 정보주체 본인의 개인정보 삭제권과 그 권리에 대해 본 규정이 정한 제한을 침해해서는 안 되며, 특히 계약 이행에 개인정보가 필요한 범위 및 기간에 한하여 정보주체 본인이 제공한 개인정보에 대한 삭제를 의미하는 것이 아니다. 기술적으로 가능한 경우 정보주체는 해당 개인정보를 한 컨트롤러로부터 또 다른 컨트롤러에게 직접 이전할 수 있는 권리를 가진다.

Guidelines & Case Law Leave a comment
[js-disqus]