‘전 분야 마이데이터 도입’ 살펴보기
개인정보보호법 시행령 개정안을 중심으로
2026년 2월 19일, 정보주체의 권리 보장을 강화하기 위하여 본인전송요구 범위를 확대하고 관련 기준을 마련하는 내용의 개인정보보호법 시행령 개정안이 공포되었습니다.
이번 개정의 핵심은 정보주체의 요구(‘본인전송요구권’)에 따라 개인정보처리자가 본인에게 전송해야 하는 개인정보의 범위와 대상 산업을 기존 의료/통신/에너지 분야에서, 전 분야의 정보주체 본인에 대한 모든 정보로 확대한 것입니다.
개정된 시행령에서 제시하는 본인전송요구권 행사 절차와 방법 등 주요 내용을 살펴보겠습니다.
주요 개념
(1) 마이데이터(MyData)
마이데이터는 정보주체(개인)가 본인 데이터에 대한 권리를 갖고, 본인이 원하는 방식으로 데이터를 관리하고 처리하는 것을 의미합니다. 개인정보보호법 제35조의2(개인정보의 전송 요구)부터 제35조의4(개인정보 전송 관리 및 지원) 규정을 통해 마이데이터 제도에 대한 법적 근거가 마련되어 있습니다.
(2) 본인전송요구
정보주체가 개인정보처리자에게 본인의 개인정보를 자신에게 전송하도록 요구할 수 있는 권리입니다. 이때 정보는 컴퓨터 등 정보처리장치로 처리가 가능한 형태로 전송되어야 합니다.
(3) 제3자 전송요구
정보주체가 개인정보처리자에게 본인의 개인정보를 제3자(개인정보관리 전문기관, 일반 수신자)에게 전송하도록 요구할 수 있는 권리입니다. 이는 표준화된 API 방식을 활용하거나 중계전문기관을 통해 이루어집니다.
전 분야 마이데이터 제도 (개인정보보호위원회 제공)본인전송요구권 관련 시행령 개정 주요 내용
(1) 본인대상정보전송자의 기준
정보주체는 다음 요건 중 하나에 해당하는 개인정보처리자에게 개인정보를 자신에게로 전송하도록 요구할 수 있습니다.
① 평균매출액 등이 1,800억원을 초과하는 자로서 ‘5만명 이상의 정보주체의 민감정보 또는 고유식별정보를 처리하는 자’이거나 ‘100만명 이상의 정보주체의 개인정보를 처리하는 자’*
② 공공시스템운영기관
③ 제3자 대상 정보전송자
* 27년 2월 20일부터 전송 의무가 적용됩니다.
(2) 본인전송정보 범위
본인전송정보는 개인정보보호법 제35조의2 제1항 요건을 충족하는 개인정보이며, 이번 개정으로 전 분야의 정보가 포함됩니다.
① 전송 요구 대상
- 동의를 받아 처리되는 개인정보, 계약을 이행하거나 체결하는 과정에서 처리되는 개인정보, 법령 등에 따라 처리되는 정보 중 개인정보위가 심의·의결한 정보
- 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보가 아닐 것
- 정보처리장치로 처리되는 개인정보
② 전송 제외 대상
- 전송 요구로 인하여 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보
- 「부정경쟁방지 및 영업비밀보호에 관한 법률」에 따른 영업비밀 또는 「산업기술의 유출방지 및 보호에 관한 법률」에 따른 산업기술 등 다른 법령에 따라 보호가 필요한 정보
- 복호화되지 않도록 일방향 암호화하여 저장된 정보
(3) 본인전송요구의 방법
정보주체가 직접 혹은 대리인을 통해 전송을 요구할 수 있습니다.
이번 시행령 개정안은 특히 대리인을 통한 행사에 대해 명확하게 규정하였습니다. 정당한 대리인이 정보전송자와 사전에 협의한 방식으로 요구를 대리할 경우, 본인대상정보전송자는 정당한 사유 없이 이를 거절할 수 없습니다.
(4) 안전한 본인대상 전송방법
본인대상정보전송자는 다음의 요건을 충족하는 방식으로 개인정보를 전송하여야 합니다.
- 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하여야 합니다.
- 대리인이 자동화된 도구를 이용하는 경우에는, 개인정보의 안전성 확보를 위하여 본인대상 정보전송자와 해당 대리인이 사전에 협의한 방식이어야 합니다.
본인대상정보전송자는 자신이 관리하는 인터넷 홈페이지를 통해 정보주체가 즉시 열람·조회할 수 있는 정보를 안전한 암호 알고리즘으로 암호화하여 정보주체가 직접 내려받게 할 수도 있습니다. 이때 정보주체가 본인전송요구의 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재해야 합니다.
이처럼 본인전송요구 범위를 전 분야로 확대하는 법 및 하위 시행령에 따라, 대상이 되는 정보전송자는 정보주체의 권리 보장을 위한 충분한 사전 준비가 필요합니다.
마이데이터가 전 분야로 확대되는 만큼, 카카오도 안전하고 신뢰할 수 있는 절차 마련을 위해 힘쓰겠습니다.
[참고 자료]
- 개인정보 보호법 및 시행령
- 개인정보보호위원회, 전 분야 마이데이터 제도 및 마이데이터 서비스 지원사업 설명회 발표자료