핵심 요약 개인정보 보호법 시행령은 본인전송요구의 처리 기한을 며칠이라고 정하지 않고 제42조의6 제1항에서 “지체 없이"라고만 씁니다. 대신 거절 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 열거된 사유이므로 그 밖의 이유로는 거절할 근거가 없고, 거절하더라도 제2항에 따라 사실과 사유를 정보주체에게 통지해야 합니다. 거절·중단 내역과 사유는 제42조의6 제11항 제3호에 따라 3년간 보관 대상입니다. 요구를 받는 창구를 홈페이지에 게재할 의무도 제6항에 따로 있습니다.
전송 요구를 실제로 받게 되는 날짜와 대상은 앞선 글에서 정리했습니다. 이번에는 그다음 단계, 요구가 창구로 들어온 뒤의 처리를 봅니다.
실무에서 가장 먼저 나오는 질문이 기한입니다. 그런데 조문에는 일수가 없습니다.
며칠 안에 보내야 하나?
시행령 제42조의6 제1항은 이렇게 정합니다. 전송 요구를 받은 정보전송자는 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 지체 없이 개인정보를 전송해야 합니다.
일수가 없으니 여유가 있다고 읽기 쉽습니다. 조문의 뒷부분을 보면 반대입니다.
지체 없이 전송할 수 없는 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 전송을 연기할 수 있고, 그 사유가 소멸하면 다시 지체 없이 전송해야 합니다. 즉 늦어질 때마다 왜 늦는지 설명해야 하고, 사유가 없어지면 곧바로 처리해야 합니다.
기한이 느슨한 것이 아니라 지연의 정당성을 매번 스스로 입증하는 구조입니다. 30일 같은 숫자가 있으면 그 안에서는 자유롭지만, “지체 없이"에는 그런 안전지대가 없습니다.
거절할 수 있는 경우는 정해져 있습니다
제42조의8 제1항은 거절하거나 전송을 중단할 수 있는 경우를 열한 가지로 열거합니다. 실무에서 마주칠 만한 것들을 추리면 이렇습니다.
가장 자주 쓰이게 될 것은 확인이 안 되는 경우입니다. 정보주체 본인 여부가 확인되지 않거나(제6호), 만 14세 미만 아동의 법정대리인 동의 여부가 확인되지 않거나(제1호), 대리인 여부가 확인되지 않는 경우(제4호)입니다.
요구 자체가 불완전한 경우도 있습니다. 제42조의5 제1항은 정보주체에게 전송 요구 목적과 요구하는 개인정보를 특정하도록 하는데, 그 특정이 없으면 제5호의 거절 사유가 됩니다.
타인의 권리가 걸리면 보내지 않습니다. 전송이 제3자의 권리나 정당한 이익을 침해하는 경우(제3호), 열람의 제한·거절 사유에 해당하는 경우(제2호)입니다.
부정한 요구를 걸러내는 근거도 셋 있습니다. 인증정보를 탈취하는 등 부당한 방법에 의한 요구임을 알게 된 경우(제7호), 개인정보가 범죄에 악용되는 등 부정한 방법으로 사용되어 정보주체의 이익을 명백히 침해하는 경우(제9호), 제3자의 기망이나 협박 때문에 요구한 것으로 의심될 정황이 확인되는 경우(제11호)입니다.
나머지 둘은 업무 부담과 수신자 자격에 관한 것입니다. 동일한 개인정보를 정당한 사유 없이 과도하게 반복 요구하여 업무에 지장을 초래하는 경우(제10호), 그리고 정보주체 본인이나 전문기관, 일반수신자가 아닌 자에게 전송해 달라는 요구(제8호)입니다.
여기서 중요한 것은 이 목록이 열거라는 점입니다. 시스템 부담이 크다거나 영업상 곤란하다는 이유는 목록에 없습니다.
거절하면 끝나는 것이 아닙니다
실무에서 가장 놓치기 쉬운 대목입니다.
제42조의8 제2항은 거절하거나 전송을 중단한 경우 지체 없이 그 사실과 사유를 정보주체에게 통지하도록 정합니다. 요구를 반려하고 조용히 종결하는 처리는 이 조항과 맞지 않습니다.
여기에 기록 의무가 겹칩니다. 제42조의6 제11항은 전송 내역을 3년간 보관하도록 하면서, 제3호에서 전송 요구의 철회·거절·중단 내역 및 사유를 명시적으로 포함시켰습니다.
두 조항을 붙여 읽으면 이런 뜻이 됩니다. 거절은 판단으로 끝나지 않고 문서로 남습니다. 나중에 조사가 들어오면 어떤 요구를 어떤 사유로 거절했는지가 3년치로 확인됩니다. 담당자가 그때그때 판단하고 넘어가는 방식으로는 이 요건을 맞출 수 없습니다.
창구를 홈페이지에 올려야 합니다
제42조의6 제6항은 별도의 의무를 둡니다. 본인대상정보전송자는 정보주체가 전송을 요구하고 전송 내역을 확인할 수 있도록 본인전송요구 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재해야 합니다.
전송 요구를 처리할 준비만 하고 그 창구를 알리지 않으면 이 항을 지키지 못합니다. 개인정보처리방침에 한 줄 넣는 것으로 갈음할 수 있는지는 조문 문언만으로 분명하지 않으므로, 요구 방법과 내역 확인 방법을 이용자가 찾을 수 있는 위치에 두는 편이 안전합니다.
보건의료정보전송자나 에너지정보전송자는 중계전문기관이 대신 게재할 수 있다는 단서가 있습니다.
대리인이 협의된 방식으로 요구하면 거절하기 어렵습니다
스크래핑 등 자동화된 도구를 쓰는 대리인에 관해서는 별도의 제약이 있습니다. 제42조의5 제2항은 대리인이 제42조의6 제3항 제1호 나목에 따라 사전에 협의한 방식으로 전송을 요구하는 경우 정당한 사유 없이 거절해서는 안 된다고 정합니다.
거절이 전면 금지되는 것은 아닙니다. 정당한 사유가 있으면 거절할 수 있고, 위에서 본 제42조의8 제1항의 열한 가지도 그대로 적용됩니다. 다만 협의된 방식이라는 요건을 갖춘 요구를 관행적으로 반려하기는 어려워집니다.
지금 준비할 것
시행일이 다가오는 회사라면 순서대로 확인하시기 바랍니다.
① 전송 요구를 접수할 창구가 있는가, 그 방법과 내역 확인 방법이 홈페이지에 게재되어 있는가 ② 접수부터 전송까지 걸리는 시간이 관리되고 있는가, 지연될 때 사유를 통지하는 절차가 있는가 ③ 거절 사유 열한 가지를 기준으로 판단하는 체크리스트가 있는가, 목록 밖의 이유로 반려하고 있지는 않은가 ④ 거절·중단할 때 정보주체에게 통지하는 절차가 있는가 ⑤ 전송 내역과 거절 사유를 3년간 남기는 기록 체계가 있는가 ⑥ 대리인을 통한 요구에 대비해 자동화 도구 사용 방식의 협의 절차가 마련되어 있는가
자주 묻는 질문
본인전송요구를 받으면 며칠 안에 보내야 하나요?
일수가 정해져 있지 않습니다. 시행령 제42조의6 제1항은 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 “지체 없이” 전송하도록 정합니다. 지체 없이 전송할 수 없는 정당한 사유가 있으면 정보주체에게 그 사유를 알리고 연기할 수 있고, 사유가 소멸하면 지체 없이 전송해야 합니다. 즉 기한이 느슨한 것이 아니라 지연할 때마다 사유를 설명할 부담이 생기는 구조입니다.
전송 요구를 거절할 수 있나요?
거절할 수 있는 사유가 시행령 제42조의8 제1항에 열한 가지로 열거되어 있습니다. 본인 여부가 확인되지 않는 경우, 전송 요구 사항이 특정되지 않는 경우, 제3자의 권리나 정당한 이익을 침해하는 경우, 인증정보 탈취 등 부당한 방법에 의한 요구임을 알게 된 경우, 정당한 사유 없이 과도하게 반복 요구하여 업무에 지장을 초래하는 경우 등입니다. 열거된 사유이므로 여기에 해당하지 않으면 거절 근거가 없습니다.
거절하면 그것으로 끝인가요?
아닙니다. 시행령 제42조의8 제2항은 거절하거나 전송을 중단한 경우 지체 없이 그 사실과 사유를 정보주체에게 통지하도록 정합니다. 나아가 제42조의6 제11항 제3호는 전송 요구의 철회·거절·중단 내역과 사유를 3년간 보관하도록 하고 있어, 거절 판단의 근거가 기록으로 남아야 합니다.
종합하면
이 제도는 “언제까지 보내라"가 아니라 **“왜 안 보냈는지 설명하고 남겨라”**로 설계되어 있습니다. 기한에 숫자가 없는 대신 지연에는 사유 통지가, 거절에는 열거된 근거와 통지와 3년 보관이 따라붙습니다.
그래서 준비의 초점도 시스템 연동보다 판단과 기록의 절차에 있다고 판단됩니다. 요구를 받는 창구, 거절 여부를 가르는 기준, 그 판단을 남기는 양식이 먼저 있어야 합니다.
시행령 개정령(대통령령 제36121호)의 시행일과 대상 기업 구분은 앞선 글에 정리해 두었습니다. 반대로 정보를 받아가는 쪽에 서 있다면 전문기관 지정이 필요한 경우와 그렇지 않은 경우가 갈리는데, 그 기준은 수신자 쪽의 지정 문제에서 다뤘습니다. 개정 개인정보 보호법 전반이 바뀌는 내용은 신구조문 대조표를 참고하시기 바랍니다.
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
참고 자료
- 개인정보 보호법 시행령 제42조의5, 제42조의6, 제42조의8 (국가법령정보센터)
- 개인정보 보호법 시행령 일부개정령(대통령령 제36121호, 2026년 2월 19일 공포, 2026년 8월 20일 시행). 제42조의2 제1항 제1호는 부칙 단서에 따라 2027년 2월 20일 시행
- 개인정보 보호법 제35조의2(개인정보의 전송 요구), 제38조 (국가법령정보센터)