전송 의무는 시행령이 정한 사업자에게만 있습니다. 2026. 10. 12. 현재는 보건의료·통신·에너지 분야 지정 사업자와 공공시스템운영기관 등이 대상이고, 매출 1,800억원 초과 대규모 사업자는 2027. 2. 19.부터 본인 전송 의무를 집니다. 분석·가공해 만든 정보는 전송 대상에서 빠집니다.
요구를 받으면
전송 의무가 있는 사업자라면 시스템 장애 같은 사유가 없는 한 지체 없이 전송합니다. 거절하거나 중단할 때는 그 사실과 사유를 지체 없이 알리고, 전송 내역은 3년간 보관합니다.
모든 회사가 전송 의무를 지는 것은 아닙니다. 전송요구권은 대통령령이 정한 기준에 해당하는 사업자에게만 행사할 수 있고, 2026. 10. 12. 현재는 보건의료·통신·에너지 분야에서 지정된 사업자와 공공시스템운영기관 등이 대상입니다. 대규모 일반 사업자로 넓히는 규정은 2027. 2. 19. 시행 예정입니다. 대상이 아닌 회사에 온 요구는 열람 요구 등 다른 권리 행사로 보고 처리합니다.
이런 상담이 많습니다
H사는 연 매출 약 2,500억원, 회원 150만명의 온라인 여행 플랫폼입니다. 2026. 9. 22. 회원 I씨가 전송요구권을 근거로 그동안의 예약 내역과 회원 정보를 파일로 보내 달라고 요구했습니다. 다른 앱으로 옮기겠다며, 앱이 매긴 회원 등급과 추천 점수도 함께 달라고 했습니다. H사 개인정보 보호책임자는 지금 응할 의무가 있는지, 내년부터 달라지는지, 등급과 점수까지 주어야 하는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)
우리 회사도 전송 의무가 있는 사업자인가요?
정보주체가 다른 기관이나 사업자에게 보내 달라고 하는 제3자 전송은 보건의료(질병관리청, 국민건강보험공단, 건강보험심사평가원, 상급종합병원 등), 통신(이동통신사 등), 에너지(전기판매사업자 등) 분야의 정해진 사업자가 대상입니다. 본인에게 보내 달라는 전송은 이들과 공공시스템운영기관이 대상입니다.
개인정보 전송 의무 사업자(시점별)
구분
대상
시행
제3자 전송
보건의료 지정 기관(질병관리청, 건강보험공단·심사평가원, 상급종합병원 등)
현행
통신(이동통신사 등), 에너지(전기판매사업자 등)
현행
본인 전송
공공시스템운영기관, 제3자 전송 대상 사업자
현행
평균매출액등 1,800억원 초과 + 100만명 이상 또는 민감·고유식별 5만명 이상
2027. 2. 19.
각급 학교와 의료기관은 매출 기준에 따른 본인 전송 대상에서 제외됩니다.
출처 - 개인정보 보호법 시행령 제42조의2, 부칙(대통령령 제36121호)
2027. 2. 19.부터는 평균매출액등이 1,800억원을 넘으면서 100만명 이상의 개인정보나 5만명 이상의 민감정보·고유식별정보를 처리하는 사업자도 본인 전송 의무를 집니다. 정보주체 수는 전년도 말 기준 직전 3개월 일일평균으로 셉니다. 사례의 H사는 지금은 대상이 아니어서 I씨 요구를 열람 요구로 처리할 수 있지만, 2027. 2. 19.부터는 본인 전송 대상이 될 수 있으므로 지금부터 준비합니다.
어떤 정보까지 보내야 하나요?
동의나 계약 이행을 근거로 처리하는 본인 정보로서 컴퓨터로 처리하는 정보가 대상입니다. 회사가 수집한 정보를 분석·가공해 별도로 만든 정보는 빠지므로, 사례의 회원 등급이나 추천 점수는 전송 대상이 아니라고 볼 수 있습니다. 예약 내역과 회원 정보처럼 고객이 제공하거나 거래로 생긴 정보가 중심입니다.
열람 요구와 전송 요구 비교
열람 요구
(중립)모든 처리자
처리 중인 자기 개인정보 열람
법이 정한 사유로만 제한·거절
부당한 거절은 과태료 대상
전송 요구
(유리)지정 사업자만
정보처리장치로 처리 가능한 형태로 전송
동의·계약 근거 원천 정보
분석·가공 생성 정보 제외
영업비밀·일방향 암호화 정보 제외
출처 - 개인정보 보호법 제35조, 제35조의2, 같은 법 시행령 제42조의4
다른 사람의 권리나 정당한 이익을 침해할 우려가 있는 정보, 영업비밀 등 다른 법령으로 보호가 필요한 정보, 복호화되지 않게 일방향 암호화한 정보도 본인 전송 대상에서 빠집니다. 이 밖의 정보도 회사가 정해 자율적으로 전송할 수 있습니다.
요구한 고객도 지켜야 할 선이 있습니다. 전송 요구로 다른 사람의 권리나 정당한 이익을 침해해서는 안 되므로, 예약 내역에 동행자 정보가 섞여 있다면 그 부분은 가리고 보내는 방법을 검토합니다. 고객은 언제든 요구를 철회할 수 있습니다.
어떤 방식으로, 언제까지 보내야 하나요?
전송은 지체 없이 하되 정당한 사유가 있으면 정보주체에게 사유를 알리고 미룰 수 있습니다. 본인 전송은 안전한 암호 알고리즘으로 암호화해 보내야 하고, 홈페이지에서 바로 조회되는 정보는 암호화해 직접 내려받게 할 수도 있습니다. 전송하는 정보는 정확하고 완전하며 최신이어야 합니다.
전송 대상 사업자는 요구 방법과 전송 내역을 확인하는 방법을 홈페이지에 게재해야 하고, 요구를 바꾸거나 철회하는 절차를 처음 요구할 때보다 어렵게 만들 수 없습니다. 대리인이 미리 협의한 방식으로 요구하면 정당한 사유 없이 거절하지 못합니다. 제3자 전송 요구에는 필요한 설비를 고려해 수수료를 정할 수 있습니다.
본인 전송을 대리한 대리인은 받은 정보를 저장하지 않고 본인에게 전달해야 합니다. 회사는 전송 요구 내용, 송수신 기록, 철회·거절·중단 내역과 사유를 3년간 보관합니다.
거절하거나 중단할 수 있는 경우는 언제인가요?
본인 여부나 대리인 여부가 확인되지 않는 경우, 요구할 정보가 특정되지 않은 경우, 탈취한 인증정보로 한 요구처럼 부당한 방법임을 안 경우, 정당한 사유 없이 같은 정보를 과도하게 반복 요구해 업무에 지장을 주는 경우, 제3자의 기망이나 협박이 의심되는 경우 등에는 거절하거나 전송을 중단할 수 있습니다. 이때는 그 사실과 사유를 지체 없이 알려야 합니다.
전송 대상 사업자가 아니어서 열람 요구로 처리하는 경우에도, 정당한 사유 없이 열람을 제한하거나 거절하면 3천만원 이하 과태료 대상입니다. 시행령 기준 금액은 1회 900만원입니다. 거절할 때는 이의를 제기하는 절차도 함께 안내합니다.
개인정보 전송요구 대응 순서
대상 확인 - 우리 회사가 지금, 그리고 2027. 2. 19. 이후 전송 대상 사업자인지 확인합니다.
요구 분류 - 전송 요구인지 열람 요구인지, 본인 전송인지 제3자 전송인지 가립니다.
정보 범위 정리 - 분석·가공 정보와 영업비밀 등 제외 정보를 미리 목록으로 정합니다.
전송 체계 마련 - 암호화 전송, 요구 방법 게재, 내역 3년 보관 체계를 갖춥니다.
거절 통지 - 거절·중단 사유가 있으면 사유와 이의 절차를 지체 없이 알립니다.
여기까지는 일반 기준이고, 회사가 전송 대상 사업자에 해당하는지와 요구받은 정보가 가공 정보인지에 따라 응할 범위가 달라집니다. 법무법인 윤성은 개인정보 전송요구 대응 체계 정비와 정보주체 권리 행사 분쟁 대응을 수행합니다.
스스로 점검해 보기
해당하는 문항이 있으면 그 할 일부터 챙겨 두세요. 혼자 하기 어려우면 변호사에게 맡기세요.
전송 요구를 받으면 먼저 우리 회사가 대상 사업자인지부터 확인합니다. 대상이 아닌데도 전송요구권이라는 말에 맞춰 대응 체계를 급히 만들 필요는 없지만, 같은 요구를 열람 요구로 보고 처리할 의무는 남습니다. 요구 문구보다 요구의 실질을 보고 분류하는 것이 첫 단계입니다.
대규모 플랫폼은 2027. 2. 19.을 기준으로 일정을 잡아야 합니다. 어떤 데이터가 동의나 계약에 근거한 원천 정보이고 어떤 데이터가 분석·가공 정보인지 데이터 목록을 나눠 두면, 전송 범위를 둘러싼 분쟁을 미리 줄일 수 있습니다.
거절 사유는 넓어 보이지만 통지 의무가 함께 붙습니다. 본인 확인이 안 되거나 반복 요구가 지나치다는 이유로 거절한다면, 그 판단 근거를 기록하고 사유를 지체 없이 알려야 나중에 보호위원회 민원이 들어와도 설명할 수 있습니다.
— 허진영 변호사 · 회사·사업
관련 수행 이력
법무법인 윤성은 플랫폼·통신·의료 분야 기업의 개인정보 전송요구 대응 체계와 데이터 범위 정리, 정보주체 권리 행사 분쟁과 보호위원회 민원 대응을 수행해 왔으며, 시행 일정에 맞춘 준비 순서를 함께 정리합니다.
전송 대상 사업자 해당 여부 검토
전송 대상 정보 범위 정리
거절·중단 통지 문안 작성
정보주체 권리 행사 분쟁 대응
이 상황에서 자주 묻는 것
아닙니다. 시행령이 정한 사업자만 전송 의무가 있습니다. 현재는 보건의료·통신·에너지 분야의 정해진 사업자와 공공시스템운영기관 등이 대상이고, 그 밖의 회사는 열람 요구 등으로 처리합니다.
2027. 2. 19.부터 평균매출액등이 1,800억원을 넘으면서 100만명 이상의 개인정보나 5만명 이상의 민감정보·고유식별정보를 처리하는 사업자도 본인 전송 의무를 집니다. 각급 학교와 의료기관은 제외됩니다.
회사가 수집한 정보를 분석·가공해 별도로 만든 정보는 전송 요구 대상이 아니므로, 등급이나 추천 점수는 원칙적으로 빠진다고 볼 수 있습니다. 고객이 제공하거나 거래로 생긴 원천 정보가 대상입니다.
정보시스템 장애 등 사유가 없으면 지체 없이 전송해야 합니다. 지체 없이 보낼 수 없는 정당한 사유가 있으면 정보주체에게 사유를 알리고 연기할 수 있으며, 사유가 없어지면 지체 없이 전송합니다.
본인이나 대리인 여부가 확인되지 않는 경우, 요구 정보가 특정되지 않은 경우, 부당한 방법의 요구, 과도한 반복 요구, 기망·협박이 의심되는 경우 등입니다. 거절하면 사실과 사유를 지체 없이 알려야 합니다.
전송 요구 내용, 정보 송수신 기록, 철회·거절·중단 내역과 사유를 3년간 보관해야 합니다. 다른 기관으로 보내는 제3자 전송을 하는 사업자는 중계전문기관이 대신 보관할 수 있습니다.
법무법인 윤성 × Lexle
허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록
이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!
