본인전송요구권 관련 ｢개인정보 보호법 시행령｣ 개정안에 대한 입법예고

개인정보보호위원회는 2025. 6. 23. 정보주체의 본인전송요구권 확대를 주요 내용으로 하는 「개인정보 보호법 시행령」(이하 “시행령”) 개정안(이하 “본건 개정안”)을 입법예고하였습니다. 본건 개정안은 「개인정보 보호법」(이하 “보호법”) 제35조의2의 취지에 따라, 본인대상 정보전송자 및 본인전송정보의 범위를 확대하고, 본인전송요구 대리시 전송방법과 개인정보관리전문기관의 본인전송정보 관리 및 분석 업무를 규정하고 있습니다. 본건 개정안의 주요 내용은 아래와 같습니다. I. 시행령 개정안의 내용 1. 본인대상정보전송자의 확대(안 제42조의2) 가장 중요한 개정 사항은 본인전송요구권에 대한 정보전송자 범위의 전면적인 확대입니다. 개인정보의 전송요구권에 대해 규정하고 있는 보호법 제35조의2에서는 정보주체가 본인의 개인정보를 자신에게 전송 요구할 수 있는 ‘본인전송요구권’와 제3자에게 전송 요구할 수 있는 ‘제3자 전송요구권’을 구분하고 있습니다. 정보전송자와 관련하여서는, 본인 전송 요구권의 대상이 되는 개인정보처리자(이하 “본인대상정보전송자”)의 기준은 개인정보 처리 능력 등을 고려하여 대통령령으로 정하도록 한 반면, 제3자 전송요구권의 대상이 되는 개인정보처리자(이하 “제3자정보전송자”)는 매출액, 개인정보의 보유 규모, 개인정보 처리 능력, 산업별 특성 등을 고려하여 대통령령으로 정하도록 하고 있어 본인전송요구의 범위를 더 폭넓게 보장하고 있습니다. 그러나 현행 시행령은 이를 구분하지 않고 본인전송요구권에 대해서도 그 적용 대상을 보건의료, 통신, 에너지의 3개 분야로 한정할 뿐만 아니라, 제42조의2 제1호부터 제3호에 따라 해당 분야 내에서도 특정한 기관이나 사업자에 대해서만 정보전송 의무를 부과하고 있어, 본인대상정보전송자의 범위가 좁게 설정되어 있습니다. 본건 개정안은 본인대상정보전송자를 특정 분야에 한정하지 않고, 전년도 매출액이 1,500억 원 이상이며 100만 명 이상의 개인정보를 처리하거나 5만 명 이상의 민감정보 또는 고유식별정보를 처리하는 자, 직전 연도 12월31일 기준 재학생 수 2만 명 이상인 「고등교육법」 제2조에 따른 학교, 공공시스템운영기관 및 법 제35조의2 제2항에 따른 개인정보처리자 및 기타 개인정보 보호위원회가 별도로 고시하는 자로 확대하고 있습니다. 이에 따라, 일정 요건을 갖춘 개인정보처리자는 업종을 불문하고 정보주체 본인의 요구가 있는 경우, 해당 정보주체에게 본인에 관한 정보를 전송할 의무가 있습니다. 2. 본인전송정보의 확대 (안 제42조의4) 본인전송 정보의 범위 또한 본건 개정안에서 확대되었습니다. 현행 시행령 제42조의4는 보건의료, 통신, 에너지 3개 분야에서 전송요구 대상 정보를 각 분야의 특성을 고려하여 개인정보보호위원회가 유관 부처와 협의해 고시하는 정보로 한정하고 있어, 정보주체가 전송을 요구할 수 있는 정보의 범위가 제한적이었습니다. 이에 반해, 본건 개정안은 보호법 제35조의2 제1항의 취지를 반영하여 특정 분야나 고시된 항목에 한정하지 않고 보다 넓은 범위의 개인정보