고객이 내 정보를 다른 곳으로 보내 달라고 하면 우리도 대상인가요?

전송 요구는 열람 요구와 무엇이 다른가요?

열람 요구는 '내 정보를 보여 달라'이고, 전송 요구는 '내 정보를 기계가 읽을 수 있는 형태로 나에게, 또는 내가 지정한 곳으로 보내 달라'입니다. 그래서 화면에 보여 주는 기능으로는 전송 요구를 처리할 수 없고, 내보내기 기능과 전송 기록이 따로 필요합니다.

법은 전송 요구를 받은 개인정보처리자가 시간·비용·기술적으로 허용되는 합리적인 범위에서 해당 정보를 컴퓨터 등 정보처리장치로 처리 가능한 형태로 전송해야 한다고 정합니다. 화면 캡처나 사람이 읽는 문서가 아니라 데이터 파일이나 연계로 내보내는 일입니다.

지금 요구를 받는 사업자는 누구인가요?

모든 사업자가 대상은 아닙니다. 법은 '대통령령으로 정하는 기준에 해당하는 개인정보처리자'만 전송 요구의 상대로 정하고, 시행령이 그 기준을 적어 두었습니다. 본인에게 전송하는 요구의 상대에는 공공시스템운영기관과, 제3자 전송 요구의 상대가 되는 개인정보처리자가 들어갑니다.

제3자 전송 요구의 상대는 분야로 지정되어 있습니다. 보건의료에서는 질병관리청, 국민건강보험공단과 건강보험심사평가원, 상급종합병원 등이고, 통신에서는 주파수를 할당받아 이동통신서비스를 제공하는 사업자, 에너지에서는 전기판매사업자 등입니다. 일반적인 쇼핑몰이나 사내 서비스는 이 목록에 들어 있지 않습니다.

판정은 세 줄로 끝납니다. 아래 순서대로 보면 우리 회사가 지금 어느 자리에 있는지 확인할 수 있습니다.

매출·규모 기준은 2027년 2월 20일부터 적용됩니다

시행령에는 매출과 처리 규모로 대상을 정하는 기준이 함께 들어 있습니다. 중소기업기본법 시행령에 따라 산정한 평균매출액등이 1,800억원을 초과하는 사업자로서, 5만명 이상의 민감정보나 고유식별정보를 처리하거나 100만명 이상의 개인정보를 처리하는 경우입니다. 각급 학교와 의료법상 의료기관은 제외되고, 정보주체 수는 전년도 말 기준 직전 3개월간 일일평균으로 산정합니다.

이 기준을 담은 조항은 2027년 2월 20일부터 시행됩니다. 그래서 지금 당장 요구를 받는 자리가 아니더라도, 매출과 보유 규모가 이 선에 가까운 회사라면 준비 기간을 그 날짜에서 역산해 잡을 수 있습니다.

대상이 되면 백오피스에 무엇이 필요한가요?

네 가지가 기능으로 필요합니다. 요구를 받는 창구, 내보내는 처리, 내역을 남기는 기록, 그리고 요구를 바꾸거나 철회하는 경로입니다.

1. 창구와 안내 — 본인전송요구의 방법과 전송 현황·내역을 확인할 수 있는 방법을 홈페이지 등에 게재해야 합니다.
2. 전송 — 시스템 장애 등 지연 사유가 없으면 지체 없이 전송하고, 정당한 사유로 연기할 때는 사유를 알린 뒤 사유가 없어지면 지체 없이 전송합니다. 전송할 때는 안전한 암호 알고리즘으로 암호화합니다.
3. 기록 — 전송 요구의 내용, 송수신 기록, 철회·거절·중단의 내역과 사유를 3년간 보관합니다.
4. 변경과 철회 — 요구를 변경하거나 철회하는 방법·절차가 요구할 때보다 어렵지 않아야 합니다.

정확성도 요건입니다. 전송하는 개인정보의 정확성·완전성·최신성을 유지해야 하므로, 전송용 데이터를 따로 모아 두고 오래 방치하는 방식은 맞지 않습니다.

보내지 않아도 되는 정보

요구 대상에서 빠지는 정보가 정해져 있습니다. 다른 사람의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보, 부정경쟁방지법상 영업비밀이나 산업기술보호법상 산업기술처럼 다른 법령에 따라 보호가 필요한 정보, 복호화되지 않도록 일방향 암호화하여 저장된 정보입니다.

법 자체에도 범위 제한이 있습니다. 수집한 개인정보를 기초로 분석·가공해 별도로 생성한 정보는 대상이 아니고, 컴퓨터 등 정보처리장치로 처리되는 개인정보만 대상입니다. 우리가 만든 등급이나 점수는 여기서 갈립니다.

받는 쪽이 되려면 무엇이 필요한가요?

다른 회사의 고객 정보를 받아 서비스를 만들려면 보내는 쪽보다 요건이 많습니다. 제3자 전송 요구로 정보를 받는 자는 개인정보관리 전문기관으로 지정을 받거나, 안전조치의무를 이행하고 보호위원회가 고시하는 시설·기술을 갖춘 일반수신자여야 합니다.

고시로 정해진 시설·기술은 네 가지 묶음입니다. 표준 전송 절차와 전송 보안 기준을 충족하는 전송 요구 관련 시스템, 전송 이력의 기록·보관과 전송받은 정보의 분리 보관 시스템, 불법 접근과 침해사고를 막는 탐지·차단 시스템, 접근권한 관리와 접근 통제 시스템입니다.

지금 확인할 한 가지

우리 회사의 평균매출액등과 보유한 정보주체 수를 한 번 계산해 적어 둡니다. 두 숫자가 기준선에서 멀면 이번에는 할 일이 없고, 가깝다면 고객 데이터를 기계가 읽을 수 있는 형태로 꺼내는 기능이 지금 백오피스에 있는지부터 확인합니다.