개보위, 마이데이터 교육·고용 분야 확대…제3자 전송요구권 적용 범위 넓힌다

핵심 요약

- 개인정보보호위원회가 2026년 7월 6일 교육·고용 분야로 개인정보 제3자 전송요구권(마이데이터) 확대를 추진한다고 발표 - 금융(2020년), 의료(2023년)에 이어 세 번째 분야 확장으로, 개인의 데이터 주권 강화 및 신산업 육성 목적 - 학력·성적·자격증 정보(교육), 경력·급여·4대보험 정보(고용) 등이 전송 대상에 포함될 전망

주요 내용

개인정보보호위원회(위원장 고학수, 이하 개보위)는 2026년 7월 6일 교육 및 고용 분야까지 개인정보 제3자 전송요구권 제도를 확대 추진한다고 밝혔다. 제3자 전송요구권은 개인정보 보호법 제35조의2에 근거한 제도로, 정보주체가 자신의 개인정보를 보유한 사업자에게 본인 또는 제3자에게 해당 정보를 전송해 줄 것을 요구할 수 있는 권리다. 2020년 데이터 3법 개정으로 도입된 이후 금융 분야(2021년 본격 시행), 의료 분야(2023년 시범사업)에 적용되어 왔으며, 이번 확대는 세 번째 주요 분야 적용 사례가 된다.

교육 분야에서는 학력정보, 성적증명, 수강이력, 자격증 취득 정보 등이 전송 대상으로 검토되고 있다. 이를 통해 평생학습 포트폴리오 구축, 맞춤형 교육 서비스 추천, 학점은행제 통합 관리 등의 혁신 서비스가 가능해질 전망이다. 고용 분야에서는 경력증명서, 재직증명서, 급여명세서, 4대보험 가입이력, 퇴직금 산정 정보 등이 포함될 것으로 보인다. 특히 잦은 이직이 일반화된 현대 노동시장에서 개인이 자신의 경력정보를 통합 관리하고, 이를 기반으로 구직·재취업 서비스를 받을 수 있게 된다.

개보위는 이번 확대를 위해 관계부처(교육부, 고용노동부), 관련 업계, 시민단체 등과 협의체를 구성하고 2026년 하반기 중 시범사업을 추진할 계획이다. 기술적으로는 표준 API 개발, 본인인증 체계 고도화, 데이터 형식 표준화 등이 선행되어야 하며, 법적으로는 시행령·고시 개정을 통해 전송 대상 정보의 범위, 전송 방식, 보안 요건 등을 명확히 규정할 예정이다. 개보위는 "데이터 주권 강화와 혁신 서비스 활성화라는 두 마리 토끼를 잡기 위해 개인정보 보호와 활용의 균형을 면밀히 고려하겠다"고 밝혔다.

한편 EU GDPR 제20조의 데이터 이동권(Right to Data Portability)과 유사한 이 제도는 국내에서 '마이데이터'라는 브랜드로 확산되고 있다. 금융 분야 마이데이터는 2026년 6월 기준 누적 이용자 2,400만 명을 돌파했으며, 의료 마이데이터는 시범사업 단계에서 약 15만 명이 참여 중이다. 교육·고용 분야까지 확대될 경우 전 국민이 자신의 생애 주기별 핵심 정보를 통합 관리할 수 있는 인프라가 구축되는 셈이다.

전문가 시각

ISMS-P 인증심사 현장에서 제3자 전송요구권 대응 체계는 아직 초기 단계다. 금융권을 제외한 대부분의 기업은 관련 프로세스를 갖추지 못한 상태이며, 교육·고용 분야 확대 시 학교법인, 학원, 교육플랫폼, 인사관리 솔루션 제공업체 등이 새로운 의무주체가 될 가능성이 높다. 특히 주의해야 할 점은 단순히 정보를 '제공'하는 것이 아니라 '기계가 읽을 수 있는 형식(machine-readable format)'으로 전송해야 한다는 기술적 요건이다. 개인정보 보호법 시행령 제41조의5는 전송 방식으로 CSV, JSON, XML 등 구조화된 포맷을 요구하고 있으며, API 방식의 실시간 전송 인프라 구축이 필수적이다.

기업 입장에서는 전송요구권 대응을 위해 ①정보주체 본인 확인 강화(공인인증·생체인증 등), ②전송 대상 정보 목록 및 범위 명확화, ③전송 이력 로그 관리, ④제3자(수신기관) 적격성 검증 체계 구축이 선행되어야 한다. 특히 교육 분야의 경우 미성년자 정보가 다수 포함되므로 법정대리인 동의 프로세스, 고용 분야는 퇴직자 정보 보유 기간 및 전송 의무 범위 등 세부 쟁점이 발생할 수 있다. 지금부터 내부 데이터 인벤토리를 재점검하고, 마이데이터 확대 로드맵에 따른 시스템 개선 계획을 수립해야 한다.

ISMS-P 심사원 체크포인트

1. 2.8.2 개인정보 열람 및 제공 (ISMS-P 인증기준) 제3자 전송요구권은 개인정보 보호법 제35조의2에 명시된 정보주체 권리로, ISMS-P 2.8.2항의 '개인정보 열람 및 제공' 통제 항목과 직결된다. 심사 시 ①전송요구권 접수 창구(온라인 신청 시스템 등) 마련 여부, ②본인 확인 절차의 안전성(2-factor 인증 이상 권고), ③전송 대상 정보 명세의 명확성, ④전송 이력 기록 및 보관(최소 3년) 여부를 중점 점검한다. 특히 개인정보 보호법 시행령 제41조의5 제2항에서 요구하는 '전자적 파일 형태'로의 제공이 기술적으로 구현되었는지, API 호출 시 암호화 통신(TLS 1.2 이상) 적용 여부를 확인한다.

2. 2.8.6 개인정보의 안전한 전송 (ISMS-P 인증기준) 전송요구권 행사 시 개인정보는 정보주체 본인 또는 정보주체가 지정한 제3자에게 전송된다. 이 과정에서 2.8.6항의 '개인정보 안전한 전송' 통제가 적용되며, ①전송 구간 암호화(TLS/SSL), ②파일 암호화(AES-256 등), ③전송 전 악성코드 검사, ④전송 완료 후 정보주체 알림(이메일·SMS 등) 등을 점검한다. 개인정보 보호법 제29조(안전조치의무)와 연계하여, 전송 과정에서 개인정보 유출·훼손이 발생하지 않도록 기술적·관리적 보호조치가 충분한지 확인한다. 특히 제3자(수신기관)가 마이데이터 사업자로 등록되었는지, 개보위 고시에 따른 보안 요건을 충족하는지 검증 절차가 필요하다.

3. 2.3.2 개인정보 보호 관련 법령 및 규정 준수 (ISMS-P 인증기준) 교육·고용 분야 마이데이터 확대 시 ①초중등교육법, 고등교육법, 학점인정 등에 관한 법률(교육), ②근로기준법, 고용보험법, 국민연금법(고용) 등 개별 법령상 정보 제공 제한 규정과의 충돌 여부를 사전 검토해야 한다. ISMS-P 2.3.2항은 '개인정보 보호 관련 법령 및 규정 준수 여부'를 요구하며, 심사 시 ①법령 모니터링 체계, ②법령 개정 시 내부 정책 반영 프로세스, ③전송요구권 관련 최신 고시·지침 반영 여부를 확인한다. 개인정보 보호법 제35조의2 제3항은 "다른 법률에 특별한 규정이 있는 경우 제외"를 명시하므로, 분야별 특수성을 반영한 예외 사항 관리가 필수적이다.

위반 조항

개인정보 보호법 제35조의2(개인정보의 전송요구) 제1항: 정보주체는 개인정보처리자가 보유하고 있는 본인의 개인정보를 본인 또는 본인이 지정하는 자에게 전송하여 줄 것을 요구할 수 있다. → 위반 시: 제39조의7(시정조치 등) 및 제39조의13(과태료 3천만 원 이하) 적용

제2항: 개인정보처리자는 정당한 사유가 없으면 전송요구를 거부할 수 없다. → 위반 시: 제64조의2(과태료 3천만 원 이하) 또는 형사처벌 가능성(상습적·악의적 거부 시)

개인정보 보호법 제29조(안전조치의무) 개인정보 전송 시 암호화, 접근통제 등 안전조치를 이행하지 않은 경우 → 위반 시: 제73조(5천만 원 이하 벌금 또는 5년 이하 징역)

개인정보 보호법 시행령 제41조의5(개인정보 전송요구의 방법 및 절차) 전송 형식, 방법, 절차 등을 준수하지 않은 경우 → 위반 시: 과태료 또는 시정명령 대상

CPPG·ISMS-P 연계 포인트

1. 정보주체 권리 보장 (CPPG 1과목, ISMS-P 2.8 영역) 제3자 전송요구권은 개인정보자기결정권의 핵심 요소로, CPPG 시험에서 '정보주체 권리(열람·정정·삭제·처리정지·전송요구)'의 범위와 행사 절차를 묻는 문제가 출제된다. 특히 전송요구권은 2020년 데이터 3법 개정으로 신설된 권리이므로, ①전송 대상 정보의 범위(개인정보처리자가 처리하는 정보주체 본인 정보), ②전송 방식(전자적 파일, 기계 판독 가능 형식), ③거부 사유(기술적 불가능, 다른 법령 위반 등)를 정확히 숙지해야 한다. ISMS-P 심사에서는 2.8.2(개인정보 열람 및 제공) 통제 항목으로 구체