개인정보 전송요구권 제도의 본격 시행
2025년 3월부터 「개인정보 보호법」 개정에 따라 '개인정보 전송요구권' 제도가 본격적으로 시행되었습니다.
본 제도는 정보주체의 개인정보 자기결정권을 실질적으로 강화하고, 데이터 이동성과 활용을 촉진하기 위해 도입된 것으로, EU GDPR(일반개인정보보호법) 제20조 '데이터 이동권(Right to Data Portability)'을 참조하여 국내 실정에 맞게 설계되었습니다.
개인정보 전송요구권은 「개인정보 보호법」 제35조의2(개인정보의 전송 요구)에 근거하고 있으며, 정보주체는 본인이 제공하거나 본인의 활동을 통해 생성된 개인정보를 본인 또는 제3자에게 전송하도록 개인정보처리자에게 요구할 수 있는 법적 권리를 갖게 되었습니다.
개인정보 전송요구권의 적용 대상
이번 개정된 개인정보 보호법에 따른 개인정보 전송요구권은 주로 의료, 통신, 에너지 분야를 중심으로 적용됩니다.
가. 의료정보
질병관리청, 국민건강보험공단, 건강보험심사평가원, 상급종합병원이 보유한 예방접종정보, 건강검진정보, 진료내용정보, 투약이력정보, 진단정보 등을 포함합니다.
환자는 자신의 의료정보를 직접 관리하고, 병원 간 진료기록 이관이나 개인건강기록(PHR) 플랫폼 연계 등을 통해 건강관리 효율성을 높일 수 있습니다.
나. 통신정보
이동통신 3사가 보유하는 고객정보, 가입정보, 이용정보, 청구정보, 납부정보 등이 대상입니다.
정보주체는 자신의 통신 이용 이력을 기반으로 요금제 비교, 이동통신사간 자유로운 전환을 보다 손쉽게 이용할 수 있습니다.
다. 에너지정보
전기판매사업자(한국전력공사), 도시가스사업자·도시가스사업 관련 기관, 법인 및 단체 중 고시하는 자가 보유하는 에너지 사용량 정보, 전기요금·가스요금의 청구정보 및 납부정보 등 고시로 정하는 정보입니다.
이를 통해 에너지 요금 비교, 소비 최적화 서비스 활용이 가능해질 전망입니다.
개인정보보호위원회의 마이데이터 정책 확대
한편, 개인정보보호위원회는 기존 금융·공공 중심의 마이데이터를 넘어 의료, 통신 분야를 시작으로 2026년 6월에는 에너지 분야까지 확대하는 계획을 추진 중입니다.
가. 전체 마이데이터 추진 방향
• 본인전송: 정보주체가 자신의 개인정보를 직접 수령
• 제3자 전송요구: 정보주체의 요청으로 제3자(마이데이터 사업자)에게 전송
본인전송과 제3자전송 모두 대통령령으로 정한 기준에 따라 범위가 설정되며, 현재 시행령은 양 전송 범위를 일치시키도록 규정했습니다.
나. 마이데이터 중점 10대 분야
의료, 통신, 에너지 외에도 교통, 교육, 고용, 부동산, 복지, 유통, 여가 분야로 확장 예정이며, 이들 분야에서도 개인정보 전송요구권이 점진적으로 적용될 계획입니다.
다. 주요 전송 의무자 및 전송정보
분야 | 전송의무자 | 전송대상정보 |
의료 | 질병관리청, 국민건강보험공단, 건강보험심사평가원, 상급종합병원 | 예방접종정보, 건강검진정보, 진료내용정보, 투약이력정보, 진단정보 등 |
통신 | SK텔레콤, KT, LG유플러스 등 이동통신 3사 | 가입정보, 이용정보, 청구정보, 납부정보 등 |
에너지 | 한국전력공사, 도시가스사업자 등 | 에너지 사용량 정보, 전기요금·가스요금 청구 및 납부 정보 등 |
마이데이터 제도의 구조
가. 전송 방식
• 안전하고 신뢰성 있는 전송이 필수
• 전송 시 암호화, API 방식 허용 / 스크래핑 방식 금지
• 반드시 중계 전문기관을 통한 전송이 요구됨
나. 정보 수신자 구분
• 개인정보관리 전문기관: 전송된 정보를 안전하게 보관·활용
-일반 전문기관: 다양한 분야
-특수 전문기관: 보건의료 데이터 특화
• 일반 수신자: 본연의 업무 수행 목적을 위해 전송받은 기관
※ 모든 수신자는 마이데이터 플랫폼 등록 요건을 충족해야 하며, 사실상 허가제를 적용받습니다.
법적 유의사항 및 리스크 관리
전송 대상은 정보주체의 개인정보에 한하며, 개인정보처리자가 자체 분석·가공하여 생성한 정보(예: 프로파일링 결과)는 전송 대상에서 제외됩니다. (단, 의료법상 진단정보 등은 예외적으로 전송 대상에 포함됩니다.)
정보전송자는 전송요구 발생 시 지체 없이 전송해야 하며, 전송지연이나 거부 시에는 정당한 사유가 있어야 하며, 이를 정보주체에게 통지해야 합니다.
개인정보 보호법 상 개인정보 전송요구권 규정에 따른 의무를 위반한 경우, 직접적인 형사처벌이나 과태료 부과 규정은 존재하지 않습니다.
다만, 전송 과정에서 보안성 및 신뢰성을 확보하지 못할 경우, 개인정보 보호법에 따른 과태료 부과, 행정처분 등의 제재가 이루어질 수 있습니다.
전송을 위한 수수료는 정보의 특성, 설비 구축 비용, 운영 비용 등을 고려해 정보수신자에게 청구할 수 있도록 규정되어 있습니다.
시사점
개인정보 전송요구권과 마이데이터 제도의 전면 확대는 정보주체 중심의 데이터 거버넌스 체계를 실질적으로 구축하는 데 중요한 전환점이 될 것입니다.
기업과 기관은 개인정보 이동성 확장에 따른 서비스 혁신 기회를 적극 활용하는 한편, 강화된 법적 요구사항에 따라 개인정보 관리체계, 보안체계, 리스크 대응체계를 전사적으로 정비해야 할 시기에 와 있습니다.
특히 의료기관, 통신사업자, 에너지사업자는 자신들의 특수성과 민감정보를 다루는 특성을 반영해 보다 높은 수준의 데이터 보호 및 활용 전략을 수립할 필요가 있습니다.
의료 마이데이터와 관련하여 문의사항이 있으시다면 🔗의료전문변호사 법률상담예약 또는 1660-1036(핫라인)으로 상담을 요청해주시기 바랍니다.
