[PEDIEN] 개인정보 전송요구권(마이데이터)이 의료·통신을 넘어 교육·고용을 포함한 전 분야로 확대되는 개인정보보호법 시행령 입법예고가 나오면서, 어떤 기업이 언제부터 데이터를 '내줘야' 하는지를 둘러싼 셈법이 복잡해졌다.
본지가 개인정보보호위원회의 시행령 개정 자료와 금융 마이데이터 선례, 해외 제도 세 곳을 교차 분석한 결과, 이번 제도의 진짜 분기점은 '받을 의무(수신)'가 먼저 시작되고 '보낼 의무(송신)'가 뒤따르는 시차 구조에 있었다.
받는 쪽은 2026년 8월에 문이 열렸지만, 정작 비용과 책임이 몰리는 보내는 쪽 기업의 의무는 2027년 2월에야 본격화된다.
이 반 년 남짓한 시차가 산업별로 전혀 다른 전략 분기를 만들고 있다.
제도의 골격부터 짚자.
개인정보위는 2026년 2월 본인전송요구권을 의료·통신에 한정하지 않고 전 분야로 넓히는 시행령 개정안을 입법예고했고, 개정 시행령은 2026년 8월 20일 시행됐다.
이어 7월에는 교육·고용 분야를 전송 대상에 추가하는 내용이 다시 입법예고됐다.
교육 분야에서는 대학과 평생교육기관, 직업훈련기관 등이 보유한 학력·성적·학위·자격·교육 이수 정보가, 고용 분야에서는 채용·재직·경력·직무 관련 정보가 전송 대상에 들어간다.
취업준비생이 성적증명서를 떼지 않고도 본인 요청만으로 대학 성적을 채용 서비스에 바로 보내 맞춤형 일자리 추천을 받는 그림이 공식 활용 사례로 제시됐다.
교육·고용의 실제 시행 시점은 2027년으로 잡혀 있고, 그 뒤 복지·교통·부동산·유통까지 순차 확대가 예고돼 있다.
마이데이터 전 분야 확대, 수신의무와 송신의무는 언제부터인가
핵심은 두 개의 시계다.
하나는 정보를 대신 받아 정보주체에게 전달하는 '수신(대리인)' 쪽, 다른 하나는 자기가 쌓아둔 고객 정보를 내보내야 하는 '송신(정보보유기업)' 쪽이다.
개정 시행령에 따르면 2026년 8월 20일부터 본인전송요구의 상대방이 된 것은 공공시스템운영기관과 보건의료·통신·에너지 분야 지정 사업자다.
에너지 분야는 2026년에 먼저 궤도에 올랐다.
반면 매출과 처리 규모 기준으로 걸리는 일반 민간기업의 송신의무는 부칙에 따라 공포 1년 뒤인 2027년 2월 20일부터 적용된다.
그 기준선은 '평균매출액등 1800억원 초과'이면서 '민감정보나 고유식별정보를 처리하는 정보주체가 5만명 이상이거나 전체 개인정보 처리 정보주체가 100만명 이상'이다.
이 매출 1800억원 선이 사실상 산업 지도를 둘로 가른다.
왜 시차가 생겼나.
받는 쪽은 소프트웨어로 대응할 여지가 크지만, 보내는 쪽은 표준화된 응용프로그램 인터페이스(API)를 새로 깔아야 하기 때문이다.
개인정보위는 전송 방식으로 원칙적으로 API를 권장한다.
정해진 규칙으로 기관끼리 안전하게 정보를 주고받는 연결 통로를 대기업·중견기업이 1년 안에 구축하도록 유예를 둔 것이다.
수신과 송신 사이의 반 년은 '배려'라기보다, 보내는 쪽의 물리적 구축 시간을 전제로 한 설계라는 것이 본지의 판단이다.
스크래핑 퇴출과 API 구축비용, 누가 떠안나
이 대목에서 금융권 선례가 거울이 된다.
금융 마이데이터는 2022년 1월 스크래핑을 전면 금지하고 API 방식으로 전환했다.
스크래핑은 소비자의 아이디·비밀번호를 받아 기관 화면을 긁어오던 방식으로, 보안과 과도한 정보 수집 논란이 끊이지 않았다.
이번 전 분야 확대 역시 같은 방향이다.
대리인이 자동화된 도구를 쓰려면 정보를 보내는 기업과 사전 협의한 방식이어야 하고, 대리인은 개인정보를 저장하지 않고 본인에게 전달만 해야 한다.
협의가 끝나면 상대 기업은 정당한 사유 없이 거절할 수 없다.
스크래핑에 사업모델을 기대온 자산관리앱·일부 핀테크로서는 기존 수집 경로가 막히고, API 연동이라는 새 관문을 통과해야 하는 구조다.
비용 규모도 선례가 말해준다.
금융 마이데이터에서 정보제공기관의 시스템 구축비는 연 372억원, 운영비는 연 921억원으로 총원가가 약 1293억원 수준으로 산정됐다.
중소 사업자에게는 50% 감액이 적용됐고, 호출할 때마다 비용이 붙는 과금 체계는 지금도 재검토가 진행 중이다.
본지가 확인한 바로는 금융당국이 328억원 규모의 원가를 다시 들여다보는 등 과금 부담 자체가 쟁점으로 남아 있다.
전 분야로 넓어지면 정보제공기관의 수가 금융권과는 비교가 안 되게 늘어난다.
교육기관, 병원, 통신사, 에너지 공기업, 채용 플랫폼이 각자 API를 깔고 운영해야 한다.
직접 구축이 버거운 중소 사업자를 위해 금융권은 신용정보원·금융결제원·코스콤·한국정보통신진흥협회 같은 중계기관을 뒀는데, 교육·고용 등 신규 분야에서 누가 이 중계 역할을 맡느냐가 구축비 분담의 향방을 가른다.
교육·고용 마이데이터, 기업별 전략은 어떻게 갈리나
본지 분석에 따르면 전송의무 기업군은 대략 네 갈래로 갈라선다.
첫째, 이미 2026년 8월부터 상대방이 된 통신 3사와 보건의료·에너지 지정 사업자다.
이들은 준비 시간이 가장 짧았던 대신, 금융권이 먼저 닦아둔 표준과 인증 경험을 참고할 수 있다.
둘째, 매출 1800억원 선을 넘는 대형 민간기업이다.
유통 대기업, 대형 플랫폼, 대형 병원·사학재단 등이 2027년 2월 송신의무로 편입될 공산이 크다.
이들에게 API 구축은 비용이자 동시에 '내 데이터로 다시 서비스를 만드는' 기회이기도 하다.
셋째, 매출 기준에 미달하는 중소·중견 사업자다.
직접 구축 대신 중계기관에 올라타는 선택이 합리적이지만, 중계 수수료와 호출 과금이 수익성을 압박한다.
넷째, 스크래핑에 의존해온 데이터 수집형 사업자다.
이들은 수신의무 규율 아래 사전 협의·무저장 원칙을 받아들여 '정식 대리인'으로 전환하거나, 아예 데이터 중개에서 서비스 부가가치로 축을 옮겨야 한다.
교육·고용 분야는 특히 결이 다르다.
전송 대상 정보가 성적·학위·경력처럼 한 사람의 생애에 직결되는 민감한 기록이다.
대학과 평생교육기관, 직업훈련기관, 그리고 한국고용정보원 등이 관리하는 구직 정보가 오간다.
대학은 공공성이 강하지만 전산 역량과 예산은 제각각이어서, 수백 개 대학이 동시에 API를 깔 수 있을지가 2027년 시행의 실질적 관문이다.
채용 플랫폼과 인사관리(HR) 서비스 업계는 반대로 '받는' 쪽에서 가장 공격적으로 움직일 유인이 크다.
성적·경력이 검증된 형태로 흘러들어오면 맞춤 추천과 자동 지원 서비스의 정확도가 올라가기 때문이다.
해외 마이데이터와 비교하면 한국은 어디쯤인가
국제 비교는 한국 제도의 좌표를 선명하게 해준다.
유럽연합(EU)은 데이터법(Data Act)을 통해 커넥티드카·스마트가전·산업기계가 만든 원시 데이터를 이용자가 접근·공유하도록 했다.
역내 모든 회원국에 직접 적용돼 별도 국내법이 필요 없다는 점에서 '수평적·일괄적' 접근이다.
영국은 정반대로 섹터별로 간다. 2025년 데이터이용접근법(Data Use and Access Act)으로 정부에 기업의 스마트데이터 체계 참여를 강제할 법적 권한을 부여했고, '스마트데이터 2035' 전략에서 2030년까지 5개 이상, 2035년까지 20개 이상의 활성 체계를 목표로 최소 3600만파운드를 투입하기로 했다.
은행·금융·에너지·연료·부동산·유통·디지털시장·교통·통신·농식품 등 10개 분야를 지목한 점이 눈에 띈다.
호주는 소비자데이터권(CDR)으로 은행에서 출발해 에너지로 넓혔고 비은행 대출을 추가하는 식으로, 정부가 지정한 분야에만 적용하는 신중한 단계적 확장을 택했다.
세 나라를 겹쳐 보면 한국의 위치가 드러난다.
한국은 영국·호주처럼 섹터를 지정해 단계적으로 넓히되, 금융에서 이미 API 전면 전환과 스크래핑 금지를 끝낸 경험을 디딤돌로 삼아 의료·통신·에너지에서 교육·고용으로 속도를 내는 중이다.
영국이 10개 분야를 '앞으로' 지목한 수준이라면, 한국은 그중 일부에서 이미 의무 시행에 들어갔다는 점에서 추진 속도는 빠른 편이다.
다만 EU가 비(非)개인정보까지 포괄하는 넓은 데이터 접근을 설계한 데 비해, 한국은 '본인'의 전송요구권에 초점이 맞춰져 있어 산업 데이터 공유로까지 나아갈지는 아직 과제로 남는다.
본지의 결론과 남는 쟁점
본지의 결론은 세 가지다.
첫째, 이번 제도의 승부처는 '전면 확대'라는 선언이 아니라 수신 2026년 8월과 송신 2027년 2월 사이의 시차를 각 기업이 어떻게 쓰느냐다.
보내는 쪽은 유예를 '구축 기간'으로 삼지 못하면 시행일에 그대로 노출된다.
둘째, 비용은 매출 1800억원 선을 경계로 양극화한다.
선을 넘는 대기업은 비용을 기회로 전환할 여력이 있지만, 선 아래 중소 사업자에게는 중계기관과 과금 체계의 설계가 생존 변수다.
셋째, 스크래핑 퇴출은 데이터 수집형 사업자에게 단순한 규제가 아니라 사업모델 재설계 압력이다.
수집으로 벌던 구조에서 분석·추천 같은 부가가치로 축을 옮기지 못하면 밀려난다.
함의는 분명하다.
정책 당국은 교육·고용처럼 전산 역량이 고르지 않은 신규 분야에서 중계기관과 표준 API, 과금 상한을 조기에 확정해 준비 격차를 줄여야 한다.
기업은 송신의무 해당 여부(매출·처리 규모)를 지금 자가진단하고, 2027년 2월을 역산해 구축 로드맵을 짜는 편이 안전하다.
성적·경력·의료처럼 민감한 정보가 더 쉽게 흐르는 만큼, 전송 뒤 제3자 활용에 대한 동의 관리와 재전송 통제는 제도 신뢰의 마지막 빗장이 될 것이다.
검증 노트
본 기사는 2026년 10월 16일 기준으로 작성됐다.
개인정보보호위원회의 시행령 개정 입법예고(2026년 2월·7월)와 보도자료, 개정 시행령(2026년 8월 20일 시행)의 수신·송신 의무 적용 시점 및 매출 1800억원·정보주체 5만명/100만명 기준을 1차로 확인했다.
금융 마이데이터의 스크래핑 전면 금지(2022년 1월)와 시스템 구축비 연 372억원·운영비 연 921억원·총원가 약 1293억원, 중소 사업자 50% 감액, 과금 재검토 동향은 금융당국·업계 공개 자료로 교차 확인했다.
해외 제도는 EU 데이터법, 영국 데이터이용접근법 2025 및 스마트데이터 2035 전략, 호주 소비자데이터권의 공개 자료로 대조했다.
교육·고용 전송 대상 정보 범위는 입법예고 보도를 근거로 했으며, 세부 고시·과금표는 확정 전 사안으로 변동될 수 있어 '예고·추진' 단계임을 명시한다.
기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국
원본 데이터
본 기사 수치의 근거 데이터입니다. 출처를 표기하면 인용·재사용할 수 있습니다.
| 항목 | 수치 | 비고 |
|---|---|---|
| 수신(받을) 의무 개시 | 2026년 8월 | 정보를 대신 받아 전달하는 대리인 쪽 개시 |
| 개정 시행령 시행일 | 2026년 8월 20일 | 공공시스템운영기관·보건의료·통신·에너지 지정 사업자가 상대방이 됨 |
| 시행령 개정안 입법예고 | 2026년 2월 | 본인전송요구권 전 분야 확대 |
| 일반 민간기업 송신의무 적용 | 2027년 2월 20일 | 공포 1년 뒤, 부칙에 따라 적용 |
| 교육·고용 분야 실제 시행 | 2027년 | 이후 복지·교통·부동산·유통 순차 확대 예고 |
| 송신의무 매출 기준 | 평균매출액등 1800억원 초과 | 산업 지도를 둘로 가르는 기준선 |
| 민감·고유식별정보 처리 정보주체 기준 | 5만명 이상 | 송신의무 적용 요건 |
| 전체 개인정보 처리 정보주체 기준 | 100만명 이상 | 송신의무 적용 요건 |
| 금융 마이데이터 스크래핑 전면 금지 | 2022년 1월 | API 방식으로 전환 |
| 금융 정보제공기관 시스템 구축비 | 연 372억원 | 금융 마이데이터 선례 |
| 금융 정보제공기관 운영비 | 연 921억원 | 금융 마이데이터 선례 |
| 금융 마이데이터 총원가 | 약 1293억원 | 구축비+운영비 산정치 |
| 중소 사업자 감액률 | 50% | 과금 체계는 재검토 진행 중 |
| 금융당국 재검토 원가 규모 | 328억원 | 과금 부담이 쟁점으로 남아 있음 |
| 조기 편입 통신 사업자 | 통신 3사 | 2026년 8월부터 상대방이 된 지정 사업자 |
출처: 개인정보보호위원회(시행령 개정 자료) 및 금융 마이데이터 선례, 본지 교차 분석