개인정보 전송요구권 전 산업 확대…쿠콘 신사업 성과로 AI·결제 시장 주목

핵심 요약

- 개인정보보호위원회, 개인정보 전송요구권 적용 범위를 금융·공공 중심에서 전 산업 분야로 확대 추진 중 - 쿠콘, 2026년 2분기 AI 데이터·글로벌 결제·스테이블코인 신사업에서 성과 창출하며 매출·영업익 동반 성장 - 전송요구권 전면 확대 시 AI 학습 데이터 산업과 핀테크 사업자의 개인정보 처리 체계 전면 재검토 필요

주요 내용

개인정보보호위원회가 2026년 하반기 개인정보 전송요구권(데이터 이동권) 적용 범위를 기존 금융·공공 중심에서 전 산업 분야로 확대하는 방안을 추진하고 있다. 이는 2023년 9월 「개인정보 보호법」 개정으로 도입된 전송요구권 제도가 단계적 확대 로드맵에 따라 본격 실행 단계에 진입했음을 의미한다. 전송요구권은 정보주체가 본인의 개인정보를 다른 사업자에게 직접 이동시킬 수 있는 권리로, EU GDPR 제20조와 동일한 개념이다.

이러한 시장 환경 변화 속에서 쿠콘은 2026년 2분기 실적 발표를 통해 AI 데이터 가공, 글로벌 결제, 스테이블코인 등 신사업 부문에서 가시적 성과를 거두며 매출과 영업이익 동반 성장을 기록했다고 밝혔다. 특히 AI 데이터 사업은 개인정보를 포함한 학습용 데이터셋 구축이 핵심인 만큼, 전송요구권 확대가 데이터 수집·활용 방식에 직접적 영향을 미칠 전망이다.

전송요구권이 전 산업으로 확대되면 AI 데이터 라벨링, 크라우드소싱 플랫폼, 핀테크 결제 서비스 등 개인정보를 대규모로 처리하는 사업자들은 기술적·관리적 대응 체계를 전면 재구축해야 한다. 특히 API 기반 데이터 전송 인터페이스 구현, 전송 데이터 형식 표준화(CSV, JSON 등), 본인 확인 절차 강화, 전송 이력 관리 등이 필수 요건으로 부상하고 있다. ISMS-P 인증 기준에도 전송요구권 대응 항목이 신설될 것으로 예상된다.

글로벌 결제 및 스테이블코인 사업의 경우, 국경 간 개인정보 이동(Cross-border data transfer)과 전송요구권이 결합되면서 GDPR, 미국 각 주 프라이버시법(CCPA 등), 한국 개인정보보호법의 동시 준수(Multi-jurisdiction compliance)가 필수가 되고 있다. 쿠콘과 같은 사업자는 기술적 보호조치뿐 아니라 국가별 법적 요구사항을 통합 관리할 수 있는 거버넌스 체계 수립이 시급하다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 개인정보 전송요구권 전면 확대는 기업의 개인정보 처리 단계 전반에 걸친 통제체계 재설계를 요구한다. 특히 ① 전송 요구 접수·처리 프로세스 문서화(절차서·지침), ② API 보안(OAuth 2.0, JWT 토큰 기반 인증), ③ 전송 데이터 암호화(전송 중·저장 시), ④ 접근 권한 관리(RBAC), ⑤ 로그 기록·보관(최소 3년)이 ISMS-P 인증 심사 시 필수 확인 항목이 될 것이다. 현재 많은 기업이 전송요구권을 '민원 처리' 수준으로 인식하고 있으나, 이는 시스템 아키텍처 차원의 설계 요구사항임을 명확히 해야 한다.

AI 데이터 사업자의 경우 추가적으로 ① 학습 데이터 출처 추적성(Data lineage), ② 개인정보 비식별 처리 적정성 검증, ③ 제3자 제공 동의 관리, ④ 데이터 최소화 원칙 준수 여부를 전송요구권 대응 체계와 통합 관리해야 한다. 특히 AI 모델 학습에 사용된 개인정보를 사후에 삭제·이동 요청받을 경우 기술적 대응이 복잡하므로, 데이터 수집 단계부터 '잊혀질 권리(Right to be forgotten)' 및 전송요구권을 고려한 설계(Privacy by Design)가 필수적이다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 전송요구권(개인정보보호법 제35조의2)
정보주체가 자신의 개인정보를 기계가 읽을 수 있는 형태로 다른 사업자에게 전송하도록 요구할 수 있는 권리. ISMS-P 인증 기준 2.9.1(정보주체 권리 보장) 항목에서 요구·제공·삭제 등 권리 행사 절차와 함께 심사되며, 기술적 구현(API, 데이터 포맷)과 관리적 절차(요청 접수·처리 기한 준수) 양면이 평가 대상이다.

2. 국외 이전 개인정보 보호조치(개인정보보호법 제28조의8)
글로벌 결제·스테이블코인 사업처럼 국경 간 개인정보 이동 시 ① 정보주체 고지·동의, ② 이전 국가 법령·제도 확인, ③ 기술적·관리적 보호조치, ④ 이전 기록 관리가 필수. ISMS-P 인증 기준 2.6.4(개인정보 국외 이전 관리)에서 이전 절차, 계약서 점검, 보호 수준 평가가 심사되며, 전송요구권과 결합 시 다중관할권(Multi-jurisdiction) 법 준수 복잡도가 급증한다.