요즘은 마이데이터 사업자 쪽에서 먼저 연락이 옵니다. "고객이 귀사 데이터를 우리 앱으로 보내 달라고 하는데 전송 창구가 어디입니까"라는 문의입니다. 담당자는 당장 답할 말이 없습니다.

이 문의에 답하려면 개발 방법을 고민하기 전에 한 가지를 먼저 확정해야 합니다. 우리 회사가 법이 말하는 정보전송자인지 여부입니다. 대상이 아니면 아무것도 만들지 않아도 되고, 대상이면 화면 하나로 끝나지 않습니다.

평균매출액 1,800억원과 정보주체 수를 함께 보세요

2026년 2월 19일 공포된 개인정보 보호법 시행령(대통령령 제36121호)이 전송 의무자의 범위를 정했습니다. 개인정보보호위원회 발표 문구로는 "평균매출액 등이 1,800억원 초과하면서 정보주체 수가 100만 명 이상 또는 민감·고유정보 5만 명 이상"인 대규모 시스템 운영 기관입니다.

두 조건은 '또는'이 아니라 '그리고'로 묶여 있습니다. 매출이 1,800억원을 넘어도 정보주체가 100만 명에 못 미치고 민감정보·고유식별정보 처리도 5만 명 미만이면 본인 대상 전송 의무는 생기지 않습니다. 회원이 많아도 매출 기준에 걸리지 않으면 마찬가지입니다.

중소기업은 본인 대상 정보전송자에서 제외됐습니다. 2025년 6월 입법예고 때 1,500억원이던 매출 기준이 공포안에서 1,800억원으로 올라간 점도 기억해 둘 만합니다. 기준선 근처라면 해마다 다시 계산해야 합니다.

유예 기간은 공포일인 2026년 2월 19일부터 셉니다

시행 시점은 대상에 따라 다릅니다. 공공시스템운영기관과 제3자 대상 정보전송자는 공포된 날부터 6개월을 유예받았습니다. 평균매출액 1,800억원을 초과하는 민간의 본인 대상 정보전송자는 1년입니다.

공포일이 2026년 2월 19일이므로 6개월 그룹은 2026년 8월, 1년 그룹은 2027년 2월에 의무가 시작됩니다. 개인정보위도 의결 당시 "유예기간을 거쳐 오는 8월부터 시행될 예정"이라고 밝혔습니다.

민간 기업 다수는 1년 그룹입니다. 오늘 기준으로 남은 기간은 석 달 반입니다. 요건 확정과 개발, 테스트, 상대방과의 사전협의를 모두 넣어야 하는 일정입니다.

분야 지정은 제3자 전송에서만 작동합니다

'전 분야'라는 말은 고객이 자기 정보를 직접 받아 가는 본인 전송에 해당합니다. 고객이 지정한 다른 회사로 바로 보내는 제3자 전송은 분야를 지정해 넓혀 가는 방식입니다.

의료·통신에서 출발해 에너지 분야는 2026년 6월 1일 시행이 발표됐습니다. 개인정보위는 교육·고용·문화·여가로 확대하겠다고 밝혔고, 교육·고용 확대를 담은 시행령 개정안을 2026년 6월 30일부터 8월 10일까지 입법예고했습니다.

우리 업종이 이 분야 안에 있는지가 중요합니다. 제3자 대상 정보전송자는 유예가 6개월이어서 2026년 8월에 이미 의무가 시작된 상태입니다.

전송 요구를 받는 창구를 홈페이지에 올려야 합니다

개인정보위 절차 안내를 보면 본인 전송요구는 "정보전송자가 안내하는 인터넷 홈페이지에 게재된 방식"으로 받습니다. 고객은 개인정보 전송요구서를 작성해 제출합니다. 즉 접수 방식을 정해 공개하는 것까지가 의무입니다.

견적으로 보면 화면 하나가 아닙니다. 전송 항목 선택, 수신자 지정, 1회인지 정기인지 구분, 정기 전송 철회, 고객이 자기 전송 요구 내역을 확인하는 화면까지 묶입니다. 철회는 접수와 별개 기능이라 공수를 따로 잡아야 합니다.

본인 확인과 대리인 사전협의가 일정을 늘립니다

전송 절차는 본인 확인을 거친 뒤 정보를 보내는 구조입니다. 기존 로그인으로 끝낼지 별도 인증을 더할지는 전송 항목의 민감도를 보고 판단해야 합니다.

까다로운 쪽은 대리인입니다. 자동화된 도구로 본인전송요구를 대리하면 정보전송자와 사전 협의하도록 규정됐고, 사전 협의된 방식의 요구는 정당한 사유 없이 거절할 수 없습니다. 개인정보위 집계로 사전협의 시범운영 1·2차에 약 700건의 수요가 접수됐습니다.

상대가 한 곳이 아니라는 뜻입니다. 협의 창구와 대리인 검증, 접근 권한 발급을 운영 업무로 설계해 두어야 합니다.

전송 형식은 API를 기준으로 견적을 잡으세요

개인정보위는 API 연계 방식을 원칙적으로 권장합니다. 스크래핑은 사전 협의를 거쳐 안전성이 확인된 대리인에 한해 단기적으로만 제한 허용됩니다.

홈페이지에서 열람·조회가 가능한 정보라면 안전한 암호화 알고리즘으로 암호화해 내려받는 방식도 인정됩니다. 전송 항목이 단순하고 건수가 적다면 이 방식이 초기 비용을 크게 줄입니다. 다만 정기 전송 수요가 생기면 결국 API를 만들게 됩니다.

거절 사유는 데이터 항목별로 미리 분류해 두세요

모든 정보를 보내야 하는 것은 아닙니다. 분석·가공해 별도로 생성한 정보, 제3자의 권리·이익을 침해하는 정보, 영업비밀처럼 다른 법령에 따라 보호가 필요한 정보는 제외할 수 있습니다.

문제는 이 판단을 전송 요구가 들어온 뒤에 하면 늦다는 점입니다. 테이블의 항목마다 전송과 제외를 미리 표시하고, 제외 사유를 코드로 관리해야 합니다. 실무에서는 이 데이터 매핑이 전체 공수에서 가장 큰 덩어리입니다.

전송요구권 개발에서 가장 오래 걸리는 일은 API를 만드는 일이 아니라 어느 항목을 보낼지 확정하는 일입니다.

전송 내역 보관과 게재는 중계전문기관에 맡길 수 있습니다

본인 대상 정보전송자는 전송 요구 내역 확인 방법을 홈페이지 등에 게재하고 전송 내역을 보관해야 합니다. 2026년 7월 입법예고된 시행령 개정안은 이 의무를 중계전문기관이 대신 수행할 수 있게 하는 내용을 담았습니다.

직접 구축과 위탁 사이에서 고를 수 있다는 뜻입니다. 전송 상대가 늘어날수록 위탁이 유리합니다. 다만 이 개정안의 공포 여부와 시행일은 오늘 기준으로 확인되지 않았습니다.

견적은 네 덩어리로 끊어서 받으세요

  • 전송 요구 접수·내역 확인 화면: 항목 선택, 수신자 지정, 정기 전송과 철회
  • 본인 확인: 인증 수단, 대리인 사전협의 처리
  • 전송 처리: API 또는 암호화 파일, 실패와 재시도 처리
  • 기록·거절 관리: 전송 내역 보관, 항목별 제외 사유 관리

한 줄로 묶인 견적서는 비교가 되지 않습니다. 네 항목으로 나눠 받으면 본인 확인처럼 이미 가진 기능을 덜어낼 수 있고, 어디서 금액이 뛰는지도 보입니다.

전송 대상과 절차는 개인정보보호위원회 전송요구 절차 안내에서 확인하세요. 개발 범위를 잡는 방법은 실무 가이드와 개발 노트에도 정리해 두었습니다. 대상 판정과 견적이 필요하면 Codeforest로 문의하세요.

기준에 걸리지 않으면 지금 만들 필요가 없습니다

평균매출액이 1,800억원을 넘지 않거나 중소기업이면 본인 대상 정보전송자가 아닙니다. 이때 전송 기능을 미리 만드는 것은 권하지 않습니다. 형식과 세부 기준이 정비되는 중이라 다시 고칠 가능성이 큽니다.

확인되지 않은 항목도 남아 있습니다. 전송 관련 기록의 보관 기간과 표준 전송 형식의 세부 규격은 개인정보위의 제도 안내서와 고시로 확인해야 합니다. 안내서는 2026년 4월 개정 초안이 공개돼 5월 8일까지 의견수렴을 거쳤습니다.

결론: 대상 판정을 끝내고 네 항목으로 견적을 받으세요

전송 의무자 여부는 평균매출액 1,800억원 초과와 정보주체 수 기준(100만 명 또는 민감·고유식별정보 5만 명)을 함께 보면 판정됩니다. 시행은 공포일 2026년 2월 19일을 기준으로 공공시스템운영기관과 제3자 대상이 2026년 8월, 민간 본인 대상이 2027년 2월입니다.

대상이면 추가되는 개발은 접수 화면, 본인 확인, 전송 처리, 기록·거절 관리 네 덩어리입니다. 비용이 가장 큰 쪽은 코드가 아니라 전송 항목을 확정하는 작업입니다. 남은 기간을 보면 항목 분류부터 시작하는 것이 맞습니다.