핵심 요약 데이터를 받는 쪽은 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자로 갈립니다. 갈림점은 회사 규모가 아니라 받은 정보로 무엇을 하느냐입니다. 통합조회·맞춤형 서비스·연구·교육을 위해 관리·분석하면 시행령 제42조의9 제1항의 전문기관이고, 고유 업무에서 수집한 정보의 진위 확인 정도면 제42조의3의 일반수신자입니다. 경계를 넘는 것은 제42조의6 제8항 제4호가 금지행위로 규정하고, 어느 쪽이든 제10항의 분리 보관 의무는 함께 걸립니다.
전송 요구를 받는 쪽의 의무는 앞선 두 글에서 다뤘습니다. 이번에는 반대편, 데이터를 받아서 서비스를 만들려는 쪽입니다.
여기서 가장 먼저 나오는 질문이 지정입니다. 마이데이터 사업을 하려면 허가 같은 것을 받아야 하는가.
받는 쪽은 두 갈래입니다
시행령을 보면 전송받는 지위가 둘로 나뉘어 있습니다.
하나는 개인정보관리 전문기관입니다. 제42조의9 제1항이 셋으로 구분합니다. 전송 중계에 필요한 기능과 시스템을 운영하는 중계전문기관, 통합조회·맞춤형 서비스·연구·교육 등을 위해 전송받은 정보를 관리·분석하는 일반전문기관, 그리고 같은 업무를 보건의료 정보에 대해 하는 특수전문기관입니다.
다른 하나는 일반수신자입니다. 제42조의3 제1항은 이를 “고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위하여 개인정보를 전송받는 자"로 정의합니다.
두 지위의 결정적 차이는 지정을 받느냐입니다. 전문기관은 법 제35조의3에 따라 지정을 받아야 하고, 일반수신자는 지정 절차가 없습니다. 대신 보호위원회가 고시하는 시설 및 기술 기준을 갖추면 됩니다.
갈림점은 규모가 아니라 목적입니다
여기서 오해가 자주 생깁니다. 회사가 크면 지정 대상이고 작으면 아니라고 생각하기 쉬운데, 조문은 규모를 묻지 않습니다.
묻는 것은 받은 정보로 무엇을 하느냐입니다.
받은 정보를 모아 보여주거나, 그것을 근거로 맞춤형 서비스를 만들거나, 연구·교육에 쓴다면 제42조의9 제1항 제2호의 관리·분석 업무입니다. 지정이 필요합니다.
반면 대출 심사를 하면서 신청인이 적어 낸 소득이 맞는지 확인하는 용도로만 받는다면, 그것은 고유 업무 과정에서 수집한 정보의 진위 확인입니다. 일반수신자에 해당합니다.
같은 데이터를 받더라도 쓰임이 다르면 지위가 달라집니다.
경계를 넘으면 금지행위입니다
이 구분이 선언에 그치지 않는다는 것이 제42조의6 제8항에서 확인됩니다.
이 항은 일반수신자가 하지 않도록 노력해야 하는 행위 여덟 가지를 열거하는데, 그중 제4호가 **“법 제35조의3제1항에 따른 개인정보관리 전문기관의 지정을 받지 않고 같은 항 각 호의 업무를 수행하는 행위”**입니다.
진위 확인 목적으로 받은 정보를 쌓아 두었다가 나중에 통합조회 화면을 만들거나 추천에 쓰기 시작하면, 지정 없이 전문기관 업무를 하는 셈이 됩니다.
같은 항의 다른 호들도 실무에서 걸릴 만합니다. 전송 요구 목적과 관련 없는 개인정보를 요구하는 행위(제1호), 필수적인 경우가 아닌데도 전송받은 정보의 제3자 제공 동의를 전송 요구와 동시에 받는 행위(제2호), 전송 요구나 대리 행사를 강요하거나 부당하게 유도하는 행위(제3호), 정보주체 동의 없이 전송 요구 내용을 변경해 요구하는 행위(제5호)입니다.
가입 과정에서 전송 요구와 마케팅 동의를 한 화면에 묶는 설계는 제2호와 제3호 양쪽에 걸릴 수 있습니다.
어느 쪽이든 분리 보관은 걸립니다
제42조의6 제10항은 개인정보관리 전문기관과 일반수신자 모두에게 같은 의무를 지웁니다. 그 지위로 처리하는 정보와 다른 개인정보처리자로서 처리하는 정보를 분리하여 보관해야 합니다.
전송받은 데이터와 자사가 원래 갖고 있던 회원 데이터를 한 테이블에 합치는 구조는 이 항과 맞지 않습니다. 서비스 기획 단계에서 데이터 저장소를 어떻게 가를지 정해 두어야 하고, 나중에 분리하려면 이미 섞인 데이터를 되돌려야 합니다.
의료기관인 특수전문기관이 전자의무기록시스템으로 보건의료 정보를 진료 목적으로 전송받는 경우에는 예외가 있습니다.
중계전문기관에는 겸업 제한도 있습니다. 제42조의9 제2항은 중계전문기관이 일반전문기관, 특수전문기관 및 일반수신자 업무를 함께 수행해서는 안 된다고 정합니다. 중계는 중계만 하라는 뜻입니다.
지정을 받으려면
전문기관 지정이 필요하다고 판단됐다면 절차는 제42조의10에 있습니다.
지정신청서와 함께 정관 또는 규약, 사업계획서, 개인정보 관리 계획서, 최근 3년간의 재무제표, 그리고 지정요건을 갖추었음을 증명하는 서류를 제출합니다. 개인정보전송지원플랫폼을 통해 제출할 수 있습니다.
지정권자는 종류에 따라 갈립니다. 중계전문기관과 일반전문기관은 보호위원회 또는 전송받으려는 정보와 관련된 관계 중앙행정기관의 장이고, 특수전문기관과 보건의료 정보에 관한 중계전문기관은 보건복지부장관입니다.
설립 초기 회사에 실질적으로 중요한 것은 제4항입니다. 지정 신청을 하기 전에 지정권자에게 지정요건 세부기준을 갖추었는지에 대한 예비심사를 신청할 수 있습니다. 요건은 기술수준·전문성, 안전성 확보조치 수준, 재정능력 세 축으로 되어 있고(제42조의11 제1항), 재정능력 요건은 공공기관에는 적용되지 않습니다.
준비가 끝났다고 보고 본신청을 넣었다가 반려되는 것보다, 예비심사로 부족한 항목을 먼저 확인하는 편이 낫습니다.
무엇부터 정하나
데이터를 받는 서비스를 기획 중이라면 순서대로 확인하시기 바랍니다.
① 받은 정보로 무엇을 할 것인가. 진위 확인인가, 통합조회·맞춤형 서비스인가 ② 후자라면 전문기관 지정 대상이다. 어느 종류인가(중계·일반·특수) ③ 전자라면 일반수신자다. 보호위원회 고시의 시설·기술 기준 네 가지를 갖추었는가 ④ 전송받은 데이터와 기존 보유 데이터의 저장소가 분리되어 있는가 ⑤ 가입·동의 화면이 제42조의6 제8항의 금지행위에 걸리지 않는가 ⑥ 지정이 필요하다면 예비심사부터 신청할 것인가
자주 묻는 질문
전송받는 쪽은 모두 개인정보관리 전문기관 지정을 받아야 하나요?
아닙니다. 두 갈래가 있습니다. 시행령 제42조의9 제1항은 개인정보관리 전문기관을 중계·일반·특수 세 종류로 나누는데, 이들은 전송받은 개인정보를 통합조회, 맞춤형 서비스, 연구, 교육 등을 위해 관리·분석하는 업무를 합니다. 반면 제42조의3 제1항의 일반수신자는 고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위해 전송받는 자로, 지정이 아니라 보호위원회가 고시하는 시설 및 기술 기준을 갖추면 됩니다.
일반수신자가 받은 데이터로 분석 서비스를 해도 되나요?
안 됩니다. 시행령 제42조의6 제8항 제4호는 개인정보관리 전문기관의 지정을 받지 않고 법 제35조의3 제1항 각 호의 업무를 수행하는 행위를 하지 않도록 노력해야 한다고 정합니다. 진위 확인 목적으로 받은 정보를 통합조회나 맞춤형 서비스에 쓰기 시작하면 지정이 필요한 업무 영역으로 넘어갑니다.
전문기관 지정을 신청하기 전에 요건을 미리 확인할 방법이 있나요?
예비심사 제도가 있습니다. 시행령 제42조의10 제4항은 지정 신청을 하기 전에 지정권자에게 제42조의11의 지정요건 세부기준을 갖추었는지에 대한 예비심사를 신청할 수 있도록 정합니다. 지정권자는 전문기관 종류에 따라 다른데, 중계·일반전문기관은 보호위원회 또는 관계 중앙행정기관의 장이고 특수전문기관과 보건의료 중계전문기관은 보건복지부장관입니다.
종합하면
받는 쪽의 규제는 무엇을 하느냐로 갈리고, 그 경계를 넘는 것 자체가 금지행위로 규정되어 있습니다. 회사 규모나 데이터 양이 기준이 아니라 쓰임이 기준입니다.
그래서 기획 단계에서 정해야 할 것도 시스템 사양이 아니라 서비스의 목적 범위로 판단됩니다. 진위 확인으로 시작했다가 자연스럽게 분석으로 넘어가는 흐름이 가장 위험합니다. 그 이동이 언제 일어나는지 회사 스스로 기록해 두지 않으면 나중에 설명할 방법이 없습니다.
전송 요구를 받는 쪽에 걸리는 날짜와 의무는 본인전송요구권 시행일 정리에, 요구가 들어온 뒤의 처리 절차는 기한과 거절 사유에 정리해 두었습니다.
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
참고 자료
- 개인정보 보호법 시행령 제42조의3, 제42조의6, 제42조의9, 제42조의10, 제42조의11, 제42조의13 (국가법령정보센터)
- 개인정보 보호법 제35조의2, 제35조의3(개인정보관리 전문기관), 제35조의4 (국가법령정보센터)
- 개인정보 보호법 시행령 일부개정령(대통령령 제36121호, 2026년 2월 19일 공포, 2026년 8월 20일 시행)
- 일반수신자의 시설·기술 기준과 개인정보관리 전문기관 금지행위(별표 1의3)의 세부 내용은 보호위원회 고시에 따릅니다. 이 글은 시행령 문언까지를 다뤘습니다