개보위, 마이데이터 본인전송요구 대리인 사전협의 시범운영 3차 추가 모집 시작

핵심 요약

- 개인정보보호위원회가 2026년 8월 11일 본인전송요구권 대리인 사전협의 시범운영 3차 추가 신청을 접수 - 마이데이터 생태계 활성화를 위한 대리인 제도의 안정적 정착 지원 - 사전협의를 통해 전송요구자(대리인)와 전송대상기관 간 기술적·법적 쟁점 사전 조율 가능

주요 내용

개인정보보호위원회(위원장 고학수)는 2026년 8월 11일 본인전송요구권 대리인의 사전협의 시범운영 3차 추가 신청을 받는다고 밝혔다. 본인전송요구권은 개인정보 주체가 자신의 개인정보를 제3자에게 전송하도록 요구할 수 있는 권리로, 2023년 9월 개인정보보호법 개정으로 도입되었다.

이번 시범운영은 마이데이터 사업자 등 대리인이 전송대상기관과 본격적인 전송 업무를 개시하기 전, 기술적 연동 방식, 데이터 형식, 보안 요구사항 등을 사전에 협의할 수 있는 기회를 제공한다. 개보위는 2025년부터 1차, 2차 시범운영을 진행해 왔으며, 3차 추가 신청을 통해 더 많은 사업자의 참여를 유도하고 있다.

사전협의 시범운영에 참여하는 대리인과 전송대상기관은 API 연동 방식, 인증·암호화 기술 표준, 전송 주기 및 범위, 오류 처리 프로세스 등을 협의하게 된다. 개보위는 협의 과정에서 발생하는 법적·기술적 쟁점에 대해 자문과 중재 역할을 수행하며, 시범운영 결과를 바탕으로 본인전송요구권 제도의 표준 가이드라인을 마련할 예정이다.

범정부마이데이터추진단은 이번 추가 신청을 통해 금융, 통신, 의료, 유통 등 다양한 분야의 전송대상기관과 마이데이터 사업자 간 협력 모델을 발굴하고, 2027년 본격적인 마이데이터 생태계 구축을 위한 기반을 다진다는 계획이다.

전문가 시각

ISMS-P 심사 현장에서 본인전송요구권 대응 체계는 2024년 이후 신규 심사항목으로 주목받고 있다. 특히 금융·통신사 등 대규모 개인정보처리자는 API 게이트웨이 보안, 전송 로그 관리, 동의 철회 시 데이터 삭제 프로세스 등을 구체적으로 구현해야 한다. 이번 사전협의 시범운영 참여는 단순한 법적 의무 이행을 넘어, ISMS-P 인증심사 시 '마이데이터 대응 역량'을 입증하는 핵심 근거자료로 활용될 수 있다.

기업 실무 관점에서는 사전협의 단계에서 기술적 명세서(API specification), 보안 요구사항 문서, 장애 대응 시나리오를 명확히 문서화하는 것이 중요하다. 특히 개인정보 전송 시 '최소한의 정보만 전송'하는 원칙을 기술적으로 구현했는지, 전송 데이터의 암호화 및 익명화 처리가 적절한지를 개보위가 면밀히 검토할 것으로 예상된다. 시범운영 참여 기업은 이를 내부 개인정보보호 관리체계(PIMS) 고도화의 기회로 삼아야 한다.

ISMS-P 심사원 체크포인트

1. 개인정보 이동권 보장 체계 (ISMS-P 3.2.4 관련)
- 본인전송요구권 접수·처리 프로세스가 문서화되어 있는가
- API 연동 시 OAuth 2.0 등 안전한 인증·인가 체계를 구현했는가
- 전송 요구 접수부터 완료까지의 처리 기한(개인정보보호법 시행령상 10일 이내) 준수 여부
- 전송 로그 기록 및 최소 3년 보관 체계 구축 여부

2. 개인정보 제공 시 안전조치 (개인정보보호법 제29조, ISMS-P 3.3.2)
- 본인전송요구 시 전송되는 개인정보 항목의 최소화 원칙 준수
- 전송 데이터의 TLS 1.2 이상 암호화 통신 적용
- 대리인(마이데이터 사업자)의 개인정보 처리 적격성 확인 절차
- 전송 중 데이터 무결성 검증(Hash, Checksum 등) 메커니즘

3. 개인정보 제3자 제공 동의 및 고지 (개인정보보호법 제17조, 제39조의15)
- 본인전송요구권 행사 시 정보주체에게 전송 항목, 대리인 정보, 이용 목적을 명확히 고지했는가
- 동의 철회 시 대리인에게 전송된 개인정보의 삭제·파기 요청 프로세스
- 14세 미만 아동 등 법정대리인 동의 필요 시 별도 확인 절차

위반 조항

본 보도자료는 제도 안내 성격으로 직접적인 위반 사례를 다루지 않으나, 본인전송요구권 미준수 시 다음 조항이 적용될 수 있다:

개인정보보호법 제39조의15(본인전송요구권)
- 정보주체의 본인전송요구를 정당한 사유 없이 거부하거나 지연하는 경우
- 전송 형식을 고의로 복잡하게 하여 실질적 이동권 행사를 방해하는 경우
- 위반 시: 3천만 원 이하 과태료(법 제75조제2항제11호)

개인정보보호법 제29조(안전조치의무)
- 본인전송 시 암호화 등 안전조치 미흡으로 개인정보 유출 발생
- 위반 시: 5천만 원 이하 과태료 또는 형사처벌(제73조)

개인정보보호법 제17조(개인정보 제공)
- 본인전송요구권 행사 시 법정 고지사항 누락
- 위반 시: 3천만 원 이하 과태료(제75조제2항제1호)

CPPG·ISMS-P 연계 포인트

1. 데이터 이동권(Data Portability)의 법적 요건
개인정보보호법 제39조의15는 GDPR 제20조의 데이터 이동권을 국내법으로 수용한 것이다. 정보주체는 ① 자신의 개인정보를 전송받거나 ② 제3자에게 전송하도록 요구할 수 있으며, 전송대상기관은 '기계가 읽을 수 있는 형식(CSV, JSON, XML 등)'으로 제공해야 한다. CPPG 시험에서는 본인전송요구권의 적용 대상, 예외사유(다른 사람의 권리를 침해할 우려가 있는 경우 등), 처리기한(10일 이내, 연장 시 사유 고지) 등이 출제될 수 있다.

2. API 보안 및 로그 관리 (ISMS-P 2.8.2, 2.10.3)
본인전송요구권은 대부분 API 방식으로 구현되므로, API 엔드포인트 보안이 핵심이다. ISMS-P 심사에서는 ① API 키 관리 및 주기적 갱신, ② Rate Limiting으로 무차별 대입 공격 방지, ③ 전송 로그(요청자, 시간, 전송 항목, 결과)의 위변조 방지 및 보관, ④ API 버전 관리 정책 등을 점검한다. 특히 개인정보 전송 로그는 정보주체의 열람 요구 시 제공해야 하므로, 검색·추출 가능한 형태로 관리해야 한다.