핵심 요약: 개인정보 보호법 시행령 일부개정령(대통령령 제36121호, 2026년 2월 19일 공포)은 공포 후 6개월이 경과한 2026년 8월 20일 시행된다. 다만 평균매출액등 1,800억원 초과 민간 기업을 대상으로 삼는 제42조의2 제1항 제1호는 부칙 단서에 따라 공포 후 1년이 경과한 2027년 2월 20일부터 시행되므로, 일반 기업이 8월 20일에 곧바로 전송 요구를 받는 것은 아니다. 반대로 스크래핑 등 자동화된 도구로 정보를 받아가는 대리인 측에는 8월 20일부터 시행령 제42조의6 제3항 제1호 나목의 사전협의 요건과 같은 조 제5항의 저장 금지가 적용된다. 즉 같은 시행일이 정보를 보내는 쪽과 받아가는 쪽에 전혀 다른 의미를 갖는다.

“본인전송요구권이 8월 20일부터 전 분야로 확대된다"는 기사를 보고 우리 회사도 당장 무언가를 준비해야 하는지 묻는 경우가 많다.

답은 회사가 어느 쪽에 서 있는지에 따라 갈린다. 고객 정보를 보유하고 있어서 전송 요구를 받게 되는 쪽인지, 아니면 고객을 대신해 다른 회사에 있는 정보를 받아오는 쪽인지다. 두 지위에 걸리는 날짜도 의무도 서로 다르다.

그런데 “전 분야 확대"라는 표현이 이 구분을 덮어버린다.

우리 회사도 8월 20일부터 전송 요구를 받게 되나?

대부분의 민간 기업은 그렇지 않다.

전송 요구의 상대방이 누구인지는 법이 정하지 않았다. 개인정보 보호법 제35조의2 제1항은 “대통령령으로 정하는 기준에 해당하는 개인정보처리자"라고만 쓰고 시행령에 넘겼다. 그 기준을 처음으로 채운 것이 이번에 신설된 시행령 제42조의2 제1항이고, 여기가 세 갈래로 나뉜다.

제1호가 규모 기준이다. 「중소기업기본법 시행령」에 따라 산정한 평균매출액등이 1,800억원을 넘어야 하고, 여기에 더해 민감정보나 고유식별정보를 처리하는 정보주체가 5만 명 이상이거나 개인정보를 처리하는 정보주체가 100만 명 이상이어야 한다. 매출 요건과 규모 요건을 함께 넘겨야 대상이 된다. 각급 학교와 「의료법」 제3조의 의료기관은 빠진다. 정보주체 수는 전년도 말 기준 직전 3개월간 일일평균으로 센다.

나머지 둘은 짧다. 제2호는 공공시스템운영기관이고, 제3호는 법 제35조의2 제2항에 따른 개인정보처리자, 즉 보건의료·통신·에너지 분야의 지정된 사업자다.

여기서 시행일이 갈린다. 부칙(대통령령 제36121호)은 “이 영은 공포 후 6개월이 경과한 날부터 시행한다"고 하면서, 단서로 “제42조의2제1항제1호의 개정규정은 공포 후 1년이 경과한 날부터 시행한다"고 정했다. 공포일이 2026년 2월 19일이니 본칙은 2026년 8월 20일, 제1호는 2027년 2월 20일이다.

즉 올 8월에 본인전송요구의 상대방이 되는 것은 공공시스템운영기관과 보건의료·통신·에너지 사업자다. 매출과 처리 규모로 걸리는 일반 민간 기업은 그 6개월 뒤에 들어온다.

물론 2027년 2월도 코앞이다. 다만 8월에 준비가 덜 됐다고 해서 그것이 곧바로 위반이 되지는 않는다는 점은 짚어 둘 만하다.

요구를 받으면 가진 정보를 전부 보내야 하나?

아니다. 제외되는 정보가 법과 시행령 양쪽에 있다.

법 제35조의2 제1항은 전송 요구의 대상이 되려면 세 요건을 모두 충족하라고 정한다. 제1호는 처리 근거를 제한한다. 동의를 받아 처리되는 개인정보(제15조 제1항 제1호, 제23조 제1항 제1호, 제24조 제1항 제1호), 계약을 이행하거나 계약 체결 과정에서 정보주체의 요청에 따른 조치를 하기 위해 처리되는 개인정보(제15조 제1항 제4호), 그리고 법령상 의무나 공공의 이익 등을 근거로 처리되는 정보 중 관계 중앙행정기관의 요청에 따라 개인정보보호위원회가 심의·의결해 전송 대상으로 지정한 정보. 이 셋뿐이다.

제2호가 더 실질적이다. “개인정보처리자가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보"는 대상에서 빠진다. 회사가 자체 로직으로 만들어낸 등급, 점수, 세그먼트, 추천 결과가 여기 해당한다. 수집한 원본을 그대로 내주는 것과 그것을 가공해 만든 결과물을 내주는 것은 정보주체의 자기결정권이 미치는 범위가 다르다는 취지로 읽히고, 실제로 기업이 가장 지키고 싶어 하는 자산도 대체로 후자 쪽에 있다.

여기에 시행령 제42조의4 제1항이 세 가지를 더 뺀다. 전송 요구로 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보, 「부정경쟁방지 및 영업비밀보호에 관한 법률」의 영업비밀이나 「산업기술의 유출방지 및 보호에 관한 법률」의 산업기술처럼 다른 법령에 따라 보호가 필요한 정보, 그리고 복호화되지 않도록 일방향 암호화하여 저장된 정보다.

마지막 항목은 실무에서 자주 걸린다. 비밀번호처럼 단방향 해시로만 저장한 값은 애초에 되돌릴 수 없으니 보낼 방법도 없다.

반대 방향도 열려 있다. 시행령 제42조의4 제3항은 의무 범위 밖의 정보라도 회사가 스스로 정해 전송할 수 있게 했고, 이를 “자율전송정보"라 부른다. 의무와 자율의 경계는 요구를 받은 뒤에 정하는 것보다 미리 그어 두는 편이 낫다.

스크래핑으로 데이터를 받아가는 쪽이라면

이쪽은 8월 20일이 곧바로 의미를 갖는다.

자산관리·가계부·보험 분석·HR 서비스처럼 고객을 대신해 다른 기관의 정보를 긁어오는 구조는, 법 제38조 제1항의 대리인으로 전송 요구를 하는 형태가 된다. 제38조 제1항은 열람·전송·정정·삭제 등의 요구를 대리인에게 하게 할 수 있다고 정하고, 2023년 개정으로 제35조의2의 전송이 여기 명시적으로 들어왔다.

시행령이 이 경로에 조건을 셋 붙였다.

먼저 사전협의다. 시행령 제42조의6 제3항 제1호 나목은 “정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 자동화된 도구를 이용하는 경우에는 개인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 사전에 협의한 방식일 것"을 요구한다. 스크래핑이 여기 말하는 자동화된 도구다.

협의를 마치면 얻는 것도 있다. 제42조의5 제2항은 대리인이 사전에 협의한 방식으로 전송을 요구하면 본인대상정보전송자가 정당한 사유 없이 거절해서는 안 된다고 정한다. 사전협의는 부담이면서 동시에 근거다. 협의가 끝난 뒤에는 상대 기업이 임의로 연결을 끊기 어려워진다.

세 번째가 무겁다. 제42조의6 제5항은 “정보주체의 본인전송요구를 대리한 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다“고 정한다. 조문 한 줄이 사업 구조를 직접 건드린다.

고객 데이터를 자사 서버에 쌓아 두고 분석과 추천에 재사용하는 모델이라면, 대리인 지위만으로는 그 축적을 설명할 수 없게 되므로 보유의 근거를 전송 대리가 아닌 다른 곳에서 따로 확보해 두어야 한다. 대리로 받아 오는 것과 동의를 받아 보유하는 것은 같은 데이터라도 다른 문제다.

개인정보보호위원회는 2026년 7월 20일 보도자료에서 사전협의 지원 시범운영의 추가 신청을 7월 31일까지 받는다고 밝혔다. 온마이데이터 또는 국민신문고로 요청서를 내는 방식이다. 시범기간 안에 신청한 기업에는 협의가 끝날 때까지 현재의 전송 방식을 한시적으로 유지하게 해 서비스가 끊기지 않도록 지원한다고 했다.

시범기간이 지나도 대리인과 정보전송자 사이의 자율적인 사전협의 체계는 계속 운영된다.

무엇부터 정리해야 하나

정보를 보내는 쪽이라면 자사가 시행령 제42조의2 제1항 제1호에 걸리는지부터 본다. 평균매출액등 1,800억원 초과에 더해 민감정보·고유식별정보 5만 명 또는 개인정보 100만 명 요건까지 함께 봐야 한다. 걸린다면 기한은 2027년 2월 20일이다.

그 다음이 실제 작업이다. 보유 정보를 세 갈래로 나눠 둔다. 전송해야 하는 정보, 분석·가공으로 생성해 대상이 아닌 정보, 영업비밀이나 일방향 암호화로 제외되는 정보. 이 분류는 개인정보 처리방침에 무엇을 적어야 하는지와도 맞물린다. 전송 요구의 방법과 절차 자체는 법 제38조 제4항에 따라 공개해야 하고, 그 방법이 수집 절차보다 어려워서는 안 된다.

정보를 받아가는 쪽은 순서가 다르다. 사전협의 대상 기관을 목록으로 만들고 협의에 들어가는 것이 먼저다. 그리고 제42조의6 제5항의 저장 금지를 전제로 데이터 흐름도를 다시 그려야 한다. 어느 데이터가 대리 전송 경로로 들어오고 어느 데이터가 별도 동의에 근거해 남는지를 지금 구분해 두지 않으면, 나중에 그 경계를 설명할 방법이 없다. 보유 근거와 보유 기간을 갈라서 관리하는 문제는 탈퇴 회원의 정보를 언제까지 두어야 하는지에서 다룬 것과 같은 구조다.

거절하는 판단도 기록으로 남겨 두는 편이 좋다. 시행령 제42조의4 제1항의 제외 사유는 “영업비밀에 해당한다”, “타인의 권리를 침해할 우려가 있다"처럼 회사의 평가가 들어가는 요건이다. 거절 자체는 법이 허용한다. 다만 그 판단이 정당했는지는 민원이나 분쟁이 생긴 뒤에 되짚어진다. 무엇을 근거로 뺐는지 그때 설명할 자료는 거절하는 시점에만 만들 수 있다.

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.

자주 묻는 질문

본인전송요구권이 8월 20일 시행되면 우리 회사도 바로 전송 요구를 받게 되나요?

대부분의 민간 기업은 아닙니다. 평균매출액등 1,800억원 초과 기업을 대상으로 삼는 시행령 제42조의2 제1항 제1호는 부칙에 따라 공포 후 1년이 경과한 날, 즉 2027년 2월 20일부터 시행됩니다. 2026년 8월 20일부터 본인전송요구의 상대방이 되는 것은 같은 항 제2호의 공공시스템운영기관과 제3호의 보건의료·통신·에너지 분야 사업자입니다.

정보주체가 요구하면 우리가 가진 정보를 전부 보내야 하나요?

아닙니다. 법 제35조의2 제1항 제2호가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보를 대상에서 제외하고, 시행령 제42조의4 제1항이 ① 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보, ② 부정경쟁방지법상 영업비밀이나 산업기술유출방지법상 산업기술 등 다른 법령에 따라 보호가 필요한 정보, ③ 복호화되지 않도록 일방향 암호화하여 저장된 정보를 제외합니다. 회원 등급이나 추천 결과처럼 회사가 자체 로직으로 만들어낸 값은 전송 의무의 범위 밖에 있습니다.

스크래핑으로 고객 데이터를 받아가는 서비스를 운영하는데 무엇이 달라지나요?

시행령 제42조의6 제3항 제1호 나목에 따라, 대리인이 자동화된 도구를 이용하는 경우에는 정보를 보내는 기업과 대리인이 사전에 협의한 방식이어야 합니다. 협의된 방식으로 요구하면 상대 기업은 정당한 사유 없이 거절할 수 없습니다(제42조의5 제2항). 다만 같은 조 제5항이 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다고 정하고 있어, 받아온 데이터를 자사 서버에 축적하는 구조는 재검토가 필요합니다.