개보위, 본인전송요구권 사전협의 지원 시범운영 7월 31일까지 추가 접수

핵심 요약

- 개인정보보호위원회가 본인전송요구권 사전협의 지원 시범운영 추가 신청을 2026년 7월 31일까지 접수 - 금융·통신·유통 등 주요 산업 분야에서 본인전송요구권 의무 적용 대상 사업자 대상 - 법 시행 전 기업의 기술적·관리적 준비사항 점검 및 컨설팅 지원으로 안정적 제도 정착 도모

주요 내용

개인정보보호위원회(위원장 고학수)는 2026년 7월 20일, 본인전송요구권 제도의 원활한 도입을 지원하기 위한 사전협의 지원 시범운영 추가 신청을 7월 31일까지 받는다고 밝혔다. 본인전송요구권은 개인정보 주체가 자신의 개인정보를 사업자로부터 직접 받거나 제3자에게 전송하도록 요구할 수 있는 권리로, 2024년 개정된 개인정보보호법에 신설되어 단계적으로 시행될 예정이다.

이번 시범운영은 본인전송요구권 의무 적용 대상 사업자들이 법 시행 전 자율적으로 준비상황을 점검하고, 기술적·법적 이슈에 대한 사전 검토를 받을 수 있도록 지원하기 위해 마련됐다. 개보위는 신청 기업을 대상으로 전송 대상 개인정보의 범위, 전송 방식 및 인터페이스 표준 준수 여부, 본인 인증 절차, 정보주체 권리 고지 방법 등 핵심 이행사항에 대한 컨설팅을 제공한다.

특히 금융·통신·유통·의료·교육 등 개인정보를 대량으로 보유·처리하는 산업 분야의 사업자들이 주요 대상이다. 개보위는 사전협의를 통해 확인된 우수사례와 주요 이슈를 정리하여 향후 가이드라인 개정 및 FAQ 형태로 전체 사업자에게 공유할 계획이다. 신청을 희망하는 사업자는 개인정보보호위원회 누리집을 통해 신청서를 제출하면 되며, 개보위는 신청 내용을 검토한 후 8월 중순부터 순차적으로 협의를 진행할 예정이다.

개보위 관계자는 "본인전송요구권은 개인의 정보 자기결정권을 강화하고 데이터 경제 활성화를 동시에 추구하는 중요한 제도"라며, "시범운영을 통해 기업들이 충분히 준비할 수 있도록 지원하고, 제도 시행 시 혼란을 최소화하겠다"고 밝혔다.

전문가 시각

본인전송요구권은 EU GDPR의 데이터 이동권(Right to Data Portability)과 유사한 개념으로, 국내에서는 금융 분야 마이데이터 제도를 전 산업으로 확대하는 의미를 갖는다. ISMS-P 선임심사원 관점에서 볼 때, 이번 사전협의 지원은 단순한 법 준수를 넘어 정보보호 관리체계 전반의 재설계를 요구하는 계기가 될 것이다. 특히 API 보안, 접근통제, 전송 이력 관리 등 기술적 통제와 함께 정보주체 권리보장 프로세스의 전면적 재정비가 필요하다.

실무적으로는 전송 대상 개인정보의 명확한 분류체계 구축이 선행되어야 한다. 단순히 보유 중인 개인정보를 나열하는 수준이 아니라, 법적 전송 의무 대상인지 여부, 제3자 제공 동의 범위, 타인의 개인정보 포함 여부 등을 세밀하게 판단해야 한다. 또한 본인 인증 절차는 기존 개인정보 처리 동의보다 강화된 수준이 요구되므로, 전자서명법, 전자금융거래법 등 관련 법령과의 정합성도 함께 검토해야 한다. 이번 사전협의를 통해 확인된 쟁점사항들은 향후 ISMS-P 인증심사 시에도 중요한 점검 항목으로 반영될 가능성이 높다.

ISMS-P 심사원 체크포인트

1. 개인정보 이동권 구현 체계 (ISMS-P 2.9.1 정보주체 권리보장) - 본인전송요구권 행사 접수·처리·완료 전 과정의 절차 문서화 여부 - 전송 요구 접수 채널, 본인 확인 방법, 처리기한(법정기한 준수), 거절 사유 및 통지 절차 명시 - 개인정보보호법 제35조의2(개인정보의 이동권) 준수 여부 - 정보주체가 기계판독 가능한 형태로 개인정보를 수령할 수 있는 기술적 구현 확인

2. 전송 인터페이스 보안통제 (ISMS-P 2.5.3 인터페이스 보안) - API 기반 전송 시 인증·암호화·접근통제 적용 여부 - 전송 이력(요청자, 전송 항목, 전송 시점, 수신자 정보 등) 로그 기록 및 보관 - 개인정보보호법 시행령 제41조의2(전송 방법 및 절차) 기준 준수 - 비정상 전송 요청 탐지 및 대응 절차 수립

3. 개인정보 영향평가 반영 (ISMS-P 2.3.2 개인정보 영향평가) - 본인전송요구권 도입으로 인한 정보주체 권리 침해 요인 분석 - 제3자 전송 시 수신자의 개인정보 처리 안전성 확인 절차 - 개인정보보호법 제33조(개인정보 영향평가) 대상 여부 검토

위반 조항

개인정보보호법 제35조의2(개인정보의 이동을 요구할 권리) - 제1항: 정보주체는 자신의 개인정보를 기계판독 가능한 형태로 전송받거나 제3자에게 전송하도록 요구할 수 있으며, 개인정보처리자는 이를 거부하거나 지연할 경우 위반 - 제2항: 대통령령으로 정하는 개인정보처리자(대규모 이용자 기반 사업자 등)는 이동권 행사를 위한 기술적·관리적 조치를 의무적으로 마련해야 함

개인정보보호법 시행령 제41조의2(개인정보 이동권의 행사 방법 및 절차) - 전송 방법, 파일 형식, 본인 확인 절차, 처리 기한 등 세부 요건 미준수 시 위반 - 개인정보 보호법 제75조(과태료)에 따라 최대 3천만원 이하 과태료 부과 가능

개인정보보호법 제39조의3(정보주체 권리 침해 금지) - 본인전송요구권 행사를 이유로 정보주체에게 불이익을 주는 경우 위반 - 제39조의15(과징금) 및 제71조(벌칙) 적용 대상

CPPG·ISMS-P 연계 포인트

1. 데이터 이동권(Right to Data Portability)의 법적 구성요소 정보주체의 자기결정권 강화 수단으로, ① 개인정보를 기계판독 가능한 형태로 수령할 권리(다운로드권), ② 제3자에게 직접 전송하도록 요구할 권리(전송요구권)로 구성됨. EU GDPR 제20조와 국내 개인정보보호법 제35조의2가 근거 규정이며, 금융 분야 신용정보법의 본인신용정보관리업(마이데이터)과 연계하여 이해 필요. CPPG 시험에서는 이동권의 법적 요건, 예외 사유(타인 권리 침해 우려 등), 기술적 구현 방식이 출제 포인트.

2. 개인정보 라이프사이클 관리와 정보주체 권리 ISMS-P 인증기준 2.9.1(정보주체 권리보장)은 열람, 정정·삭제, 처리정지, 이동권 등 전 과정의 체계적 관리를 요구함. 본인전송요구권은 기존 열람권과 달리 ① 구조화된 데이터 형태, ② 자동화된 전송 인터페이스, ③ 제3자 직접 전송 기능이 핵심 차별점. 심사 시 요구 접수부터 완료까지의 처리절차서, 전송 이력 로그, 본인 인증 강도, 거절 사유의 적법성을 중점 확인하며, 처리기한 준수 여부(법령상 10일 이내 등)도 주요 점검 사항.