핵심 요약: 개인정보 보호법 시행령 일부개정령(대통령령 제36121호, 2026년 2월 19일 공포)은 공포 후 6개월이 경과한 2026년 8월 20일 시행됐습니다. 다만 평균매출액등 1,800억원 초과 민간 기업을 대상으로 삼는 제42조의2 제1항 제1호는 부칙 단서에 따라 공포 후 1년이 경과한 2027년 2월 20일부터 시행되므로, 일반 기업이 8월 20일에 곧바로 전송 요구를 받는 것은 아닙니다. 반대로 스크래핑 등 자동화된 도구로 정보를 받아가는 대리인 측에는 8월 20일부터 시행령 제42조의6 제3항 제1호 나목의 사전협의 요건과 같은 조 제5항의 저장 금지가 적용됩니다. 즉 같은 시행일이 정보를 보내는 쪽과 받아가는 쪽에 전혀 다른 의미를 갖습니다.

"본인전송요구권이 8월 20일부터 전 분야로 확대된다"는 기사를 보고 우리 회사도 당장 무언가를 준비해야 하는지 묻는 경우가 많습니다.

답은 회사가 어느 쪽에 서 있는지에 따라 갈립니다. 고객 정보를 보유하고 있어서 전송 요구를 받게 되는 쪽인지, 아니면 고객을 대신해 다른 회사에 있는 정보를 받아오는 쪽인지입니다. 두 지위에 걸리는 날짜도 의무도 서로 다릅니다.

그런데 "전 분야 확대"라는 표현이 이 구분을 덮어버립니다.

우리 회사도 8월 20일부터 전송 요구를 받게 되나?

대부분의 민간 기업은 그렇지 않습니다.

전송 요구의 상대방이 누구인지는 법이 정하지 않았습니다. 개인정보 보호법 제35조의2 제1항은 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"라고만 쓰고 시행령에 넘겼습니다. 그 기준을 처음으로 채운 것이 이번에 신설된 시행령 제42조의2 제1항이고, 여기가 세 갈래로 나뉩니다.

제1호가 규모 기준입니다. 「중소기업기본법 시행령」에 따라 산정한 평균매출액등이 1,800억원을 넘어야 하고, 여기에 더해 민감정보나 고유식별정보를 처리하는 정보주체가 5만 명 이상이거나 개인정보를 처리하는 정보주체가 100만 명 이상이어야 합니다. 매출 요건과 규모 요건을 함께 넘겨야 대상이 됩니다. 각급 학교와 「의료법」 제3조의 의료기관은 빠집니다. 정보주체 수는 전년도 말 기준 직전 3개월간 일일평균으로 셉니다.

나머지 둘은 짧습니다. 제2호는 공공시스템운영기관이고, 제3호는 법 제35조의2 제2항에 따른 개인정보처리자, 즉 보건의료·통신·에너지 분야의 지정된 사업자입니다.

여기서 시행일이 갈립니다. 부칙(대통령령 제36121호)은 "이 영은 공포 후 6개월이 경과한 날부터 시행한다"고 하면서, 단서로 "제42조의2제1항제1호의 개정규정은 공포 후 1년이 경과한 날부터 시행한다"고 정했습니다. 공포일이 2026년 2월 19일이니 본칙은 2026년 8월 20일, 제1호는 2027년 2월 20일입니다.

즉 올 8월에 본인전송요구의 상대방이 되는 것은 공공시스템운영기관과 보건의료·통신·에너지 사업자입니다. 매출과 처리 규모로 걸리는 일반 민간 기업은 그 6개월 뒤에 들어옵니다.

물론 2027년 2월도 코앞입니다. 다만 8월에 준비가 덜 됐다고 해서 그것이 곧바로 위반이 되지는 않는다는 점은 짚어 둘 만합니다.

요구를 받으면 가진 정보를 전부 보내야 하나?

아닙니다. 제외되는 정보가 법과 시행령 양쪽에 있습니다.

법 제35조의2 제1항은 전송 요구의 대상이 되려면 세 요건을 모두 충족하라고 정합니다. 제1호는 처리 근거를 제한합니다. 동의를 받아 처리되는 개인정보(제15조 제1항 제1호, 제23조 제1항 제1호, 제24조 제1항 제1호), 계약을 이행하거나 계약 체결 과정에서 정보주체의 요청에 따른 조치를 하기 위해 처리되는 개인정보(제15조 제1항 제4호), 그리고 법령상 의무나 공공의 이익 등을 근거로 처리되는 정보 중 관계 중앙행정기관의 요청에 따라 개인정보보호위원회가 심의·의결해 전송 대상으로 지정한 정보. 이 셋뿐입니다.

제2호가 더 실질적입니다. "개인정보처리자가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보"는 대상에서 빠집니다. 회사가 자체 로직으로 만들어낸 등급, 점수, 세그먼트, 추천 결과가 여기 해당합니다. 수집한 원본을 그대로 내주는 것과 그것을 가공해 만든 결과물을 내주는 것은 정보주체의 자기결정권이 미치는 범위가 다르다는 취지로 읽히고, 실제로 기업이 가장 지키고 싶어 하는 자산도 대체로 후자 쪽에 있습니다.

여기에 시행령 제42조의4 제1항이 세 가지를 더 뺍니다. 전송 요구로 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보, 「부정경쟁방지 및 영업비밀보호에 관한 법률」의 영업비밀이나 「산업기술의 유출방지 및 보호에 관한 법률」의 산업기술처럼 다른 법령에 따라 보호가 필요한 정보, 그리고 복호화되지 않도록 일방향 암호화하여 저장된 정보입니다.

마지막 항목은 실무에서 자주 걸립니다. 비밀번호처럼 단방향 해시로만 저장한 값은 애초에 되돌릴 수 없으니 보낼 방법도 없습니다.

반대 방향도 열려 있습니다. 시행령 제42조의4 제3항은 의무 범위 밖의 정보라도 회사가 스스로 정해 전송할 수 있게 했고, 이를 "자율전송정보"라 부릅니다. 의무와 자율의 경계는 요구를 받은 뒤에 정하는 것보다 미리 그어 두는 편이 낫습니다.

스크래핑으로 데이터를 받아가는 쪽이라면

이쪽은 8월 20일이 곧바로 의미를 갖습니다.

자산관리·가계부·보험 분석·HR 서비스처럼 고객을 대신해 다른 기관의 정보를 긁어오는 구조는, 법 제38조 제1항의 대리인으로 전송 요구를 하는 형태가 됩니다. 제38조 제1항은 열람·전송·정정·삭제 등의 요구를 대리인에게 하게 할 수 있다고 정하고, 2023년 개정으로 제35조의2의 전송이 여기 명시적으로 들어왔습니다.

시행령이 이 경로에 조건을 셋 붙였습니다.

먼저 사전협의입니다. 시행령 제42조의6 제3항 제1호 나목은 "정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 자동화된 도구를 이용하는 경우에는 개인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 사전에 협의한 방식일 것"을 요구합니다. 스크래핑이 여기 말하는 자동화된 도구입니다.

협의를 마치면 얻는 것도 있습니다. 제42조의5 제2항은 대리인이 사전에 협의한 방식으로 전송을 요구하면 본인대상정보전송자가 정당한 사유 없이 거절해서는 안 된다고 정합니다. 사전협의는 부담이면서 동시에 근거입니다. 협의가 끝난 뒤에는 상대 기업이 임의로 연결을 끊기 어려워집니다.

세 번째가 무겁습니다. 제42조의6 제5항은 "정보주체의 본인전송요구를 대리한 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다"고 정합니다. 조문 한 줄이 사업 구조를 직접 건드립니다.

고객 데이터를 자사 서버에 쌓아 두고 분석과 추천에 재사용하는 모델이라면, 대리인 지위만으로는 그 축적을 설명할 수 없게 되므로 보유의 근거를 전송 대리가 아닌 다른 곳에서 따로 확보해 두어야 합니다. 대리로 받아 오는 것과 동의를 받아 보유하는 것은 같은 데이터라도 다른 문제입니다.

시범운영 창구를 통한 일괄 신청 기간은 닫혔습니다. 개인정보보호위원회가 2026년 8월 11일 보도자료로 안내한 사전협의 시범운영 3차 추가신청은 소규모 사업자와 마이데이터 자격을 갖추지 않은 사업자까지 대상에 포함했지만, 접수는 2026년 8월 31일로 마감됐습니다. 앞선 1·2차 시범기간에 합계 약 700건이 접수될 만큼 수요가 확인된 창구였는데도, 2026년 9월 1일 현재 개인정보보호위원회 보도자료 목록에는 4차 접수와 같은 추가 신청 안내가 나와 있지 않습니다.

기한 내에 사전협의 요청서를 내 둔 기업이라면 협의가 진행되는 동안 기존 방식의 한시적 유지를 지원받는 자리에 있습니다. 반면 신청 시기를 놓친 기업은 이 한시적 유지 지원을 전제로 삼을 수 없습니다. 다만 3차 시범운영이 끝난 뒤에도 개별 공공기관별 사전협의 체계는 계속 운영되므로, 이런 기업은 데이터를 받아오는 공공기관의 개별 창구로 각각 협의를 시작해야 합니다. 상대 기관이 여럿이라면 두드려야 할 창구도 그만큼 여러 개입니다.

그리고 협의가 끝나지 않았다는 사정이 요건의 적용을 미뤄 주지는 않습니다. 시행령 제42조의6 제3항 제1호 나목의 사전협의 요건은 시행일인 2026년 8월 20일부터 이미 적용되고 있기 때문입니다. 회사가 자동화된 도구로 고객의 데이터를 대신 받아오고 있다면, 협의를 마치기 전까지는 그 방식이 시행령이 말하는 사전협의를 거친 방식에 해당한다고 보기 어렵습니다.

무엇부터 정리해야 하나

정보를 보내는 쪽이라면 자사가 시행령 제42조의2 제1항 제1호에 걸리는지부터 봅니다. 평균매출액등 1,800억원 초과에 더해 민감정보·고유식별정보 5만 명 또는 개인정보 100만 명 요건까지 함께 봐야 합니다. 걸린다면 기한은 2027년 2월 20일입니다.

그 다음이 실제 작업입니다. 보유 정보를 세 갈래로 나눠 둡니다. 전송해야 하는 정보, 분석·가공으로 생성해 대상이 아닌 정보, 영업비밀이나 일방향 암호화로 제외되는 정보. 이 분류는 개인정보 처리방침에 무엇을 적어야 하는지와도 맞물립니다. 전송 요구의 방법과 절차 자체는 법 제38조 제4항에 따라 공개해야 하고, 그 방법이 수집 절차보다 어려워서는 안 됩니다.

정보를 받아가는 쪽은 순서가 다릅니다. 사전협의 대상 기관을 목록으로 만들고 협의에 들어가는 것이 먼저입니다. 그리고 제42조의6 제5항의 저장 금지를 전제로 데이터 흐름도를 다시 그려야 합니다. 어느 데이터가 대리 전송 경로로 들어오고 어느 데이터가 별도 동의에 근거해 남는지를 지금 구분해 두지 않으면, 나중에 그 경계를 설명할 방법이 없습니다. 보유 근거와 보유 기간을 갈라서 관리하는 문제는 탈퇴 회원 개인정보를 언제 파기해야 하는지에서 다룬 것과 같은 구조입니다.

거절하는 판단도 기록으로 남겨 두는 편이 좋습니다. 시행령 제42조의4 제1항의 제외 사유는 "영업비밀에 해당한다", "타인의 권리를 침해할 우려가 있다"처럼 회사의 평가가 들어가는 요건입니다. 거절 자체는 법이 허용합니다. 다만 그 판단이 정당했는지는 민원이나 분쟁이 생긴 뒤에 되짚어집니다. 무엇을 근거로 뺐는지 그때 설명할 자료는 거절하는 시점에만 만들 수 있습니다.

전송으로 오간 개인정보도 보유하는 순간 안전조치와 유출 통지의 대상이 됩니다. 사고가 났을 때 인지에서 신고·통지를 거쳐 조사·처분·분쟁까지 어떤 순서로 진행되는지는 유출 대응 단계별 지도에 정리했습니다.

요구가 실제로 들어온 뒤의 절차는 따로 정리했습니다. 전송 기한이 "지체 없이"로만 되어 있는 이유, 거절할 수 있는 열한 가지 사유, 거절하더라도 통지하고 3년간 보관해야 하는 부분은 본인전송요구를 받은 뒤의 처리에서 다뤘습니다. 데이터를 받아가는 쪽이 개인정보관리 전문기관 지정을 받아야 하는지는 수신자 쪽의 지정 문제에서 갈랐습니다.

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.

자주 묻는 질문

Q. 본인전송요구권이 8월 20일 시행됐는데 우리 회사도 바로 전송 요구를 받게 되나요?

대부분의 민간 기업은 아닙니다. 평균매출액등 1,800억원 초과 기업을 대상으로 삼는 시행령 제42조의2 제1항 제1호는 부칙에 따라 공포 후 1년이 경과한 날, 즉 2027년 2월 20일부터 시행됩니다. 2026년 8월 20일부터 본인전송요구의 상대방이 되는 것은 같은 항 제2호의 공공시스템운영기관과 제3호의 보건의료·통신·에너지 분야 사업자입니다.

Q. 정보주체가 요구하면 우리가 가진 정보를 전부 보내야 하나요?

아닙니다. 법 제35조의2 제1항 제2호가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보를 대상에서 제외하고, 시행령 제42조의4 제1항이 ① 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보, ② 부정경쟁방지법상 영업비밀이나 산업기술유출방지법상 산업기술 등 다른 법령에 따라 보호가 필요한 정보, ③ 복호화되지 않도록 일방향 암호화하여 저장된 정보를 제외합니다. 회원 등급이나 추천 결과처럼 회사가 자체 로직으로 만들어낸 값은 전송 의무의 범위 밖에 있습니다.

Q. 스크래핑으로 고객 데이터를 받아가는 서비스를 운영하는데 무엇이 달라지나요?

시행령 제42조의6 제3항 제1호 나목에 따라, 대리인이 자동화된 도구를 이용하는 경우에는 정보를 보내는 기업과 대리인이 사전에 협의한 방식이어야 합니다. 협의된 방식으로 요구하면 상대 기업은 정당한 사유 없이 거절할 수 없습니다(제42조의5 제2항). 다만 제42조의6 제5항이 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다고 정하고 있어, 받아온 데이터를 자사 서버에 축적하는 구조는 재검토가 필요합니다.

Q. 대리인과 사전협의를 마치면 무엇이 달라지나요?

협의는 부담이면서 동시에 근거가 됩니다. 시행령 제42조의6 제3항 제1호 나목은 대리인이 자동화된 도구를 쓸 때 사전에 협의한 방식일 것을 요구하는데, 그 요건을 갖추고 나면 제42조의5 제2항에 따라 상대 기업이 정당한 사유 없이 거절할 수 없게 됩니다. 협의를 마치기 전에는 연결이 임의로 끊길 수 있지만, 마친 뒤에는 그렇지 않습니다. 거절 사유 일반은 시행령 제42조의8 제1항에 별도로 열거되어 있고, 그 내용은 기한과 거절 사유를 다룬 글에 정리했습니다.

For your global headquarters — English summary

본사·본사 법무에 그대로 전달할 수 있도록 아래 요약을 영문으로 붙여 둡니다.

Korea’s right to transmission of personal information: which date actually applies to you

Korean reporting has described the right as extending "to all industries" from 20 August 2026. That phrasing collapses two different positions, and the date means opposite things depending on which side your Korean entity is on.

If you hold customer data and would receive transmission requests. PIPA Article 35-2(1) leaves the scope of covered controllers to the Enforcement Decree. Newly inserted Article 42-2(1) sets three categories: (i) companies with average revenue above KRW 180 billion that also process sensitive or unique identifying information of 50,000 or more data subjects, or personal information of 1 million or more data subjects; (ii) public system operating institutions; and (iii) designated operators in healthcare, telecommunications and energy. Under the supplementary provisions to Presidential Decree No. 36121 (promulgated 19 February 2026), the decree takes effect 20 August 2026, but category (i) takes effect one year after promulgation — 20 February 2027. Most private companies therefore do not become recipients of transmission requests in August 2026.

If you retrieve data on behalf of users through automated tools. Here the August date bites immediately. Where an agent acting under PIPA Article 38(1) uses automated tools such as screen scraping, Enforcement Decree Article 42-6(3)1(b) requires the method to have been agreed in advance with the transmitting company. Where a request is made by the agreed method, the transmitting company may not refuse it without justifiable grounds (Article 42-5(2)). Critically, Article 42-6(5) requires the agent to deliver the personal information to the individual without storing it — architectures that accumulate retrieved data on the agent’s own servers need to be reviewed.

Scope limits worth flagging to product teams. PIPA Article 35-2(1)2 excludes information newly created by analysing or processing collected personal information — scores, grades, segments and recommendation outputs generated by the company’s own logic fall outside the obligation. Enforcement Decree Article 42-4(1) further excludes information that would infringe the rights or legitimate interests of others, information protected under other statutes such as trade secrets under the Unfair Competition Prevention and Trade Secret Protection Act or industrial technology under the Industrial Technology Protection Act, and information stored under one-way encryption that cannot be decrypted. Article 42-4(3) allows a company to transmit information voluntarily beyond the mandatory scope.

Which English text to cite — and which to avoid. Statutory terms above follow the English translation of PIPA published by the Korea Ministry of Government Legislation: Act No. 20897, in force 2 October 2025, at law.go.kr. Three cautions if your team looks these provisions up independently:

  • The Enforcement Decree provisions cited above have no English translation. Articles 42-2 through 42-6 were inserted by Presidential Decree No. 36121 (promulgated 19 February 2026), while the most recent English decree text is Presidential Decree No. 35343, in force 13 March 2025. Searching an English decree for these article numbers will return nothing.
  • Avoid the copy hosted at elaw.klri.re.kr. It ranks well in search but the version served there is Act No. 16930 of 2020, which does not contain Article 35-2 at all — the provision this entire note is about.
  • All English translations of Korean statutes are unofficial and carry no legal effect; the Korean text governs.

Written by Hyunsub Lee, partner at SEUM Law (Seoul). Principal practice areas: IT, personal information and data, and startup advisory. This summary is general information on Korean law and is not legal advice; conclusions depend on the facts of each case. Full article in Korean: datalaw.kr.

More English summaries of Korean data protection law: English index.

8월 20일과 9월 11일에 각각 무엇이 시작됐는지를 한 줄에 놓고 보려면 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나를 함께 보시면 됩니다.

참고 자료