[PEDIEN] 개인정보 전송요구권(본인 마이데이터)이 8월 20일 전 산업으로 확대 시행되면서, 데이터를 '보내는' 기업만 지던 부담이 이제 데이터를 '받는' 제3자에게로 옮겨붙기 시작했다.
본지가 개인정보보호위원회의 개정 시행령과 사전협의 진행 현황, 그리고 해외 마이데이터 제도를 교차 분석한 결과, 이번 변화의 핵심은 '전송 대상 확대'가 아니라 '받는 쪽에 처음으로 인증·안전조치 의무가 붙었다'는 데 있다.
금융권에 국한됐던 컴플라이언스 지도가 유통·통신·헬스케어로 넓어지는 분기점이다.
제도의 뼈대부터 짚어야 오해가 없다.
이번에 바뀐 것은 하나의 법이 아니라 서로 시점이 다른 두 갈래다.
개인정보위에 따르면 본인전송요구권과 직결되는 시행령 규정(대통령령)은 8월 20일 먼저 발효하고, 개정 개인정보 보호법 본체는 9월 11일 시행된다.
여기에 '보내는 쪽'과 '받는 쪽'에 걸리는 날짜가 또 갈린다.
매출 1,800억 원을 초과하는 민간 기업이 이용자의 전송 요구를 실제로 받아 처리해야 하는 시점은 2027년 2월 20일로 예정돼 있다.
즉 8월 20일은 종착점이 아니라 긴 이행기의 출발선이다.
개인정보 전송요구권 전 산업 확대, 무엇이 언제 바뀌나
과거 마이데이터는 사실상 금융의 언어였다. 2022년 본격 개시된 금융 마이데이터는 은행·카드·보험 계좌 정보를 한 앱에서 모아 보는 서비스로 자리 잡았고, 누적 가입은 1억 6,000만 건대까지 불어났다.
그러나 이 구조에는 오래된 약점이 있었다.
상당수 서비스가 이용자의 아이디·비밀번호를 넘겨받아 기관 화면을 긁어오는 '스크래핑'에 의존했다는 점이다.
인증정보를 제3자와 공유하고, 필요 이상으로 넓은 범위의 정보에 접근할 수 있다는 위험이 늘 따라다녔다.
개정 제도가 겨눈 지점이 바로 여기다.
개인정보위는 8월 20일부터 사업자가 자동화된 도구로 공공기관의 개인정보를 가져가려면, 필요한 정보의 범위와 전송 방식, 접근에 쓰는 인증 수준, 대리인의 안전관리 방안 등을 해당 기관과 미리 협의하도록 의무화했다.
무단 스크래핑에 단계적으로 제동을 걸고, 표준화된 전송 API로 갈아타게 만드는 설계다.
다만 일괄 중단은 아니다.
개인정보위는 사전협의가 진행되는 동안에는 기존 방식도 한시적으로 유지할 수 있다고 못 박았다.
실제로 6월 말부터 접수한 사전협의는 8월 중순까지 약 700건에 이르렀고, 은행·보험·증권·대출 등 금융권이 대부분을 차지했다.
대상 정보의 폭도 넓어졌다.
개인정보위는 국민 활용도가 높은 정보를 보유한 공공기관 8곳을 우선 지정했다.
국가보훈부·법무부·질병관리청·건강보험심사평가원·국민건강보험공단·근로복지공단·한국부동산원·한국사회보장정보원이 그 대상이다.
예방접종 이력, 건강보험 자격·보험료, 진료·요양급여 내역, 청약 신청·당첨, 고용·산재보험, 외국인 등록·출입국 기록까지 개인이 원하는 앱으로 옮길 수 있게 된다.
여기에 개인정보위는 교육·고용 분야를 대상에 추가하는 시행령 개정안을 별도로 입법예고했다.
금융에서 시작한 물줄기가 의료·통신을 지나 공공·교육·고용으로 번지는 그림이다.
데이터 '받는' 제3자엔 어떤 인증·안전조치 의무가 생기나
지금까지 규제의 무게는 정보를 내주는 쪽, 즉 보유기업에 실려 있었다.
전송요구권 확대의 진짜 무게중심은 반대편으로 이동한다.
데이터를 건네받는 제3자(제3자대상정보전송자·대리인)가 어떤 인증 체계를 갖췄는지, 받은 정보를 목적 범위 안에서만 쓰는지, 위탁·수탁 구조에서 안전조치가 실제로 작동하는지가 처음으로 정면에서 심사 대상이 된다.
사전협의 항목에 '자동화 도구의 접근 방식과 인증 수준' '대리인의 개인정보 보호조치'가 명시된 것이 그 신호다.
본지 분석의 첫 번째 결론은, 이번 개편의 실질이 '전송'이 아니라 '수탁 컴플라이언스의 재편'이라는 것이다.
데이터를 받는 순간 그 기업은 단순 이용자가 아니라 안전조치 의무의 주체가 된다.
유통 플랫폼이 건강·청약 정보를 받아 맞춤 서비스를 붙이려면, 전송 API 연동만이 아니라 인증 등급·접근통제·처리 기록 보관 체계를 함께 증명해야 한다.
두 번째 결론은, 부담이 규모가 아니라 '위치'로 갈린다는 점이다.
이사회 의결·신고 의무의 금액 기준은 종전 1,500억 원에서 1,800억 원으로 상향됐지만, 이는 '보내는 쪽' 대기업의 이행 시점을 가르는 선일 뿐이다.
정작 데이터를 받아 새 서비스를 얹으려는 헬스케어·핀테크 스타트업은 매출이 작아도 인증·안전조치 요건을 그대로 감당해야 한다.
전문기관 지정 대상인지 여부도 규모가 아니라 사업 목적으로 갈린다.
작다고 가벼운 게 아니라는 뜻이다.
세 번째 결론은 시간표의 함정이다. 8월 20일이라는 날짜가 스포트라이트를 받지만, 민간이 전송 요구를 실제로 받는 의무는 2027년 2월로 미뤄져 있다.
이 18개월은 준비 기간이자 착각의 구간이다.
마이데이터 2.0을 앞두고 이미 사업자 9곳이 시장을 떠난 전례가 보여주듯, 유예를 '아직 멀었다'로 읽는 기업과 '지금이 표준 전환의 골든타임'으로 읽는 기업의 격차는 시행일에야 드러난다.
해외 마이데이터 확대와 비교하면 — 호주·영국·EU·인도
전 산업 확대의 방향은 한국만의 실험이 아니다.
각국이 먼저 부딪힌 시행착오를 보면 우리 제도의 좌표가 선명해진다.
가장 가까운 참고서는 호주다.
호주는 소비자데이터권리(CDR)를 2020년 은행권에서 시작해 에너지, 통신 순으로 단계 확대했는데, '데이터를 받는' 인가사업자(ADR)에 엄격한 인증과 보안 심사를 부과한 것이 핵심이었다.
문제는 인증 문턱이 지나치게 높아 참여 사업자가 기대만큼 늘지 않았다는 점이다.
받는 쪽 규제를 강하게 걸면 신뢰는 오르지만 생태계 확산은 더뎌지는 딜레마를, 한국도 그대로 물려받을 소지가 있다.
영국은 결이 조금 다르다.
오픈뱅킹으로 축적한 경험을 스마트데이터(Smart Data) 체계로 넓혀 에너지·통신 등으로 확장하는 중인데, 표준 API와 공동 인증 체계를 정부가 앞장서 깔아준 점이 두드러진다.
받는 쪽에 의무를 지우되, 그 의무를 감당할 공통 인프라를 함께 제공하는 방식이다.
유럽연합은 정보이동권(GDPR 제20조)이라는 원칙을 이미 갖고 있었지만 실효성이 약했고, 이를 보완하려 데이터법(Data Act)으로 사물인터넷·클라우드까지 이동 범위를 넓히며 '받는 자'의 재이용 제한을 명문화했다.
인도는 계좌통합기관(Account Aggregator) 모델로 개인 동의를 매개하는 중립 기관을 세워, 데이터를 받는 핀테크가 원본 인증정보를 직접 다루지 않도록 구조 자체를 바꿨다.
네 나라의 공통 교훈은 분명하다.
받는 쪽 규제 없이는 신뢰가 서지 않지만, 인프라와 표준을 함께 깔지 않으면 규제만 남고 서비스는 나오지 않는다.
본지가 4개국 사례와 국내 일정을 교차 분석한 결과, 한국의 위치는 '규제는 호주형, 인프라는 아직 영국 이전 단계'로 요약된다.
받는 쪽에 인증·안전조치를 강하게 걸기 시작했지만, 이를 저비용으로 충족할 표준 인증·전송 인프라의 공공 제공은 이제 막 사전협의 단계를 밟고 있다.
이 간극을 어떻게 메우느냐가 전 산업 확대의 성패를 가른다.
우리 회사는 어디에 해당하나 — 유형별 대응 우선순위
결국 실무의 질문은 하나로 모인다.
'우리는 어느 유형이고, 무엇부터 해야 하나.' 데이터를 대량으로 보유하면서 동시에 받기도 하는 대형 유통 플랫폼이라면, 전송 의무와 수탁 의무를 한꺼번에 진다.
매출 1,800억 원을 넘는 이들은 2027년 2월을 사실상의 마감으로 잡고 전송 API와 인증 등급, 위탁사 관리 체계를 병렬로 손봐야 한다.
통신사는 보유 정보량이 방대한 대표적 '보내는 쪽'이다.
전송 표준 준수와 대량 트래픽 대응, 민감정보 필터링이 우선순위다.
데이터를 받아 새 가치를 만드는 쪽은 계산이 다르다.
건강보험·진료 정보를 연계하려는 디지털 헬스케어 기업은 규모가 작아도 인증·안전조치 요건에서 예외가 없다.
인증 등급 확보와 목적 외 이용 차단 설계를 초기 제품 단계부터 심어야 한다.
스크래핑에 기대 온 핀테크·마이데이터 사업자는 유예 기간을 표준 API 전환에 통째로 써야 살아남는다.
반대로 수탁·솔루션을 공급하는 중소 IT 기업에는 이 전환 자체가 시장이다.
인증·전송 인프라를 대신 깔아주는 컴플라이언스 수요가 헬스케어·유통·통신 전반에서 동시에 열리기 때문이다.
함의는 이렇게 정리된다.
첫째, 8월 20일을 '금융 뉴스'로 흘려보내면 안 된다.
개인정보를 보유했거나 받으려는 거의 모든 산업의 컴플라이언스 문제다.
둘째, 유예 기간은 면제가 아니라 준비 지시다.
받는 쪽 인증 체계는 하루아침에 서지 않는다.
셋째, 규제만 앞서고 표준·인증 인프라가 늦으면 해외의 실패를 답습한다.
정부가 공동 인증과 전송 표준을 얼마나 빨리, 얼마나 싸게 제공하느냐가 서비스 출현 속도를 좌우한다.
데이터 주권이라는 명분은 결국 '받는 기업이 신뢰를 증명할 수 있는가'라는 실무의 문제로 내려앉는다.
검증 노트
본 기사는 2026-08-16 기준으로 작성했다.
시행 일정과 사전협의 현황, 지정 공공기관 명단은 개인정보보호위원회 발표와 정부입법 예고, 복수 경제지 보도를 교차 확인했다.
시행령 발효일(8월 20일), 개정법 본체 시행(9월 11일), 매출 1,800억 원 초과 민간 기업의 전송 수신 의무 개시(2027년 2월 20일), 이사회 의결 기준의 1,500억→1,800억 상향은 개정 시행령 및 입법예고 기준이며, 세부 시점은 후속 고시로 조정될 수 있어 '~기준'으로 표기했다.
마이데이터 누적 가입 규모(약 1억 6,000만 건대)와 사업자 이탈 사례는 업계 집계 기반 추정치다.
해외 사례(호주 CDR, 영국 스마트데이터, EU 데이터법, 인도 계좌통합기관)는 각국 제도 원칙을 요약한 것으로, 세부 요건은 나라별 개정에 따라 달라질 수 있다.
기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국