마이데이터 본인전송요구권이 정확히 무엇인가요?

마이데이터 본인전송요구권이란, 나에 관한 개인정보를 보유하고 있는 기업·기관에게
“그 데이터를 나한테, 혹은 내가 지정한 곳에 보내 달라”고 법적으로 요구할 수 있는 권리입니다.
2023년 3월 개인정보보호법 개정 때 도입된 조항이지만, 실제 적용은 의료·통신 분야에만 먼저 시행됐고
이번 2026년 2월 시행령 개정으로 드디어 전 산업 분야로 확대됩니다.

쉽게 말하면 이렇습니다. 지금까지는 네이버, 쿠팡, 카카오 같은 플랫폼이 내 구매이력이나
검색기록을 쌓아도 내가 그 데이터를 직접 꺼내 다른 서비스에 활용하기가 매우 어려웠습니다.
앞으로는 “내 데이터를 CSV로 뽑아 달라” 혹은 “내가 지정한 건강관리 앱에 전송해 달라”고
당당히 요청할 수 있게 됩니다. 이것이 흔히 유럽 GDPR에서 ‘데이터 이동권(Right to Data Portability)’이라
부르는 개념과 거의 같습니다.

마이데이터 제도에는 두 가지 전송 방식이 있습니다. 첫 번째는 본인직접전송으로,
기업·기관이 보유한 내 정보를 내 기기나 저장소로 직접 내려받는 방식입니다.
두 번째는 제3자 전송으로, 개인정보관리 전문기관(마이데이터 사업자)에게
내 정보를 모아 달라고 위임하는 방식입니다. 두 방식 모두 이번 개정으로 적용 범위가
전 산업으로 넓어집니다.

▲ 목차로 돌아가기

2026년 8월, 무엇이 달라지나요?

개인정보보호위원회는 2026년 2월 10일 국무회의를 통해 「개인정보 보호법 시행령」 개정안을
의결했습니다. 핵심은 본인전송요구권이 적용되는 분야를 기존 의료·통신에서
교통, 문화, 여가, 유통, 에너지, 교육, 고용 등 전 산업 분야로 확대한 것입니다.
시행은 대상 유형별로 다르게 적용됩니다.

시행 일정 요약표

즉, 올해 8월부터는 공공기관과 일정 규모 이상의 민간 기관을 대상으로 제3자 전송부터 우선 시행되고,
대형 민간 기업들의 본인 대상 직접 전송은 2027년 초부터 단계적으로 이루어질 예정입니다.
그렇다고 ‘아직 멀었네’라고 방심해서는 안 됩니다. 지금부터 개념을 이해하고 어떤 플랫폼에
내 데이터가 쌓여 있는지 파악해 두는 것이 8월 이후 실질적인 권리 행사의 출발점이 됩니다.

▲ 목차로 돌아가기

누가 정보를 보내야 할 의무가 있나요?

모든 기업·기관이 이 의무를 지는 건 아닙니다. 개인정보보호위원회는 개인정보 보호 역량을
갖춘 대규모 개인정보처리자만을 의무 대상으로 지정했습니다. 구체적인 기준은
다음과 같습니다.

이 기준에 해당하는 기업들이란 사실상 우리가 일상에서 자주 쓰는 대형 플랫폼들입니다.
쿠팡, 네이버, 카카오, 배달의민족, 롯데온, SSG닷컴, 지하철 교통카드 운영사, 대형 통신사 등이
모두 이에 해당할 가능성이 높습니다. 반면 동네 소규모 쇼핑몰이나 중소 앱 개발사는
이번 의무 대상에서 빠지게 됩니다.

▲ 목차로 돌아가기

어떤 정보를 어떻게 요청할 수 있나요?

전송 가능한 정보의 범위는 이용자가 동의했거나 계약 이행·체결 과정에서,
또는 법령에 따라 처리된 개인정보가 원칙적으로 모두 해당됩니다.
예를 들어 쿠팡에 쌓인 구매 이력, 지하철 교통카드 이용 기록, 병원 진료 기록, 문화센터
수강 이력, 직업훈련 이수 기록 등이 모두 요청 대상이 됩니다.

전송 불가 정보 유형 (예외)

단, 아래 유형의 정보는 기업이 제공을 거부할 수 있습니다. 첫째, 기업이 분석·가공을 통해
새로 만든 통계 또는 평가 정보(예: 신용점수 산출에 사용된 내부 알고리즘 결과물)입니다.
둘째, 영업비밀로 보호되는 정보입니다. 셋째, 제3자의 권리·이익을 침해할 수 있는 정보입니다.
이 부분은 기업들이 핑계로 남용할 소지가 있으므로, 향후 개인정보위의 세부 가이드라인을
주의 깊게 지켜봐야 합니다.

전송 방식 — API가 원칙, 스크래핑은 제한적 허용

정보 전송 방식은 API(응용프로그램 인터페이스) 연계가 원칙입니다.
API는 프로그램끼리 정해진 규칙으로 안전하게 정보를 주고받는 방식으로,
금융 마이데이터에서 이미 사용되고 있는 검증된 방법입니다. 시스템이 갖춰지기 전
과도기에는 사전 협의된 안전한 대리인에 한해 스크래핑 방식도 제한적으로 허용됩니다.
또한 이용자가 해당 기업 홈페이지에서 직접 다운로드하는 방식도 가능합니다.

▲ 목차로 돌아가기

실생활에서 이렇게 활용하세요

마이데이터 본인전송요구권은 단순히 ‘내 데이터를 다운받는 것’ 이상의 의미를 지닙니다.
실질적으로 어떤 장면에서 어떻게 활용할 수 있는지를 구체적으로 살펴보겠습니다.

활용 시나리오 ① 건강 통합 관리

A 병원, B 한의원, C 치과에 흩어진 진료 기록을 한 번에 모아 AI 건강관리 앱에 제공할 수
있습니다. 지금까지는 각 병원에 직접 방문해 진료기록 사본을 요청해야 했지만,
마이데이터 전송 플랫폼을 통해 한 번의 동의로 통합 관리가 가능해집니다.

활용 시나리오 ② 맞춤형 복지·일자리 추천

고용·교육·복지 분야까지 확대됨에 따라, 직업훈련 수료 이력과 취업 희망 직종 데이터를
고용 플랫폼에 전달해 더 정확한 일자리 매칭을 받을 수 있습니다.
또한 기초생활보장 수급 여부, 국민건강보험 납부 기록 등을 복지 플랫폼에 자동 제공해
중복 서류 제출 없이 맞춤형 혜택을 받는 것도 가능해집니다.

활용 시나리오 ③ 소비 최적화 및 금리 협상

쿠팡·네이버쇼핑·배달앱 등에 분산된 소비 이력을 한 금융 앱에 모아, 지출 패턴 분석과
함께 맞춤형 할인·캐시백 전략을 설계할 수 있습니다. 더불어 소득·자산 데이터를 은행에
직접 전송해 금리인하요구권 자동 신청까지 연결하는 것이 가능해집니다.
실제로 토스는 이미 마이데이터 기반 금리인하요구권 자동 신청 기능을 운영하고 있습니다.

▲ 목차로 돌아가기

주의해야 할 함정과 보안 리스크

마이데이터 확대는 분명 소비자에게 유리한 제도이지만, 주의할 점도 반드시 짚고 넘어가야 합니다.
데이터 권리가 커질수록 그 권리를 악용하려는 시도 역시 증가하기 때문입니다.

위험 ① 피싱·사칭 서비스 급증 가능성

제도 시행 초기에는 “마이데이터 전송 신청을 도와드린다”는 명목의 사기 서비스나
개인정보를 가로채려는 피싱 앱이 등장할 수 있습니다. 반드시 개인정보보호위원회가
공식 인증한 ‘온마이데이터 플랫폼’ 또는 금융위원회가 허가한 정식 마이데이터 사업자를 통해서만
이용하세요. 출처가 불분명한 앱이나 링크를 통한 전송 동의는 절대 금물입니다.

위험 ② 기업의 ‘영업비밀’ 핑계 남용

시행령은 “영업비밀”에 해당하는 정보는 전송 대상에서 제외할 수 있다고 규정하고 있습니다.
이 조항을 일부 기업이 과도하게 적용해 전송 의무를 회피할 가능성이 있습니다.
예를 들어 소비자의 구매 이력 원본 데이터를 ‘가공 통계 정보’로 분류해 거부하는 식입니다.
이런 경우 개인정보위 신고 또는 분쟁조정위원회 신청을 통해 구제받을 수 있습니다.

위험 ③ 데이터 집중으로 인한 개인정보 침해 확대

여러 곳에 흩어진 데이터를 한 곳에 모을수록 해당 플랫폼이 해킹당했을 때 피해 규모가
극적으로 커질 수 있습니다. 개인정보관리 전문기관을 이용할 때는 해당 기관이
개인정보위 공식 지정 여부를 반드시 확인하고, 전송 동의 범위를 최소한으로 설정하는 것이
현명한 전략입니다.

▲ 목차로 돌아가기