[privacy] 열람청구권이 있는데 전송요구권이 왜 필요할까

마이데이터 얘기를 따라가다 보면 '전송요구권'이라는 말이 계속 나온다. 이 두 권리는 겉으로만 비슷해 보일 뿐 설계 목적 자체가 다르다는 걸 알게 됐다.

열람청구권은 '확인'을 위한 권리다

개인정보처리자는 열람청구권 등 정보주체의 권리를 보장해야 한다는 내용이 개인정보보호법 제3조에 명시돼 있다. 열람청구권은 거칠게 말하면 "당신이 내 정보를 뭘 갖고 있는지 보여줘"라는 권리다. 정보주체가 자신의 개인정보를 수집한 기관을 대상으로 개인정보 수집내역, 제3자 제공내역 등 열람을 요구할 수 있는 제도이고, 여기서 끝나지 않고 정정·삭제, 처리정지까지 연결된다. 즉 '내 데이터의 현황을 파악하고, 잘못된 게 있으면 고쳐라'는 수비적 성격의 권리다.

그런데 열람을 해서 뭘 얻는가를 생각해보면, 결국 내가 그 정보를 눈으로 확인하는 것에서 멈춘다. 다른 서비스로 가져가거나 분석 목적으로 활용하는 건 열람청구권의 범위 밖이다. 그게 이 권리의 한계이기도 하고, 설계된 의도이기도 하다.

전송요구권은 '이동'을 위한 권리다

정보주체의 개인정보 관리·통제권을 강화하기 위해 본인에 관한 개인정보를 본인 또는 제3자에게 전송할 것을 요구할 수 있는 권리인 "개인정보 전송요구권"이 도입됐다. 이 권리의 핵심은 '내가 정보를 받아서 끝'이 아니라, '내가 원하는 곳으로 보내달라'는 데 있다.

개인정보 전송 요구는 정보주체 본인에게 정보를 전송하는 '본인전송 요구'와 개인정보관리 전문기관 등에 정보를 전송하는 '제3자전송 요구' 두 가지로 나뉜다. 내가 A기관에서 축적한 건강 기록을 B앱에 직접 보내달라고 요구할 수 있다는 것이다. 열람청구권으로는 절대 할 수 없는 일이다.

다만 전송 대상에는 제한이 있다. 정보주체가 전송을 요구할 수 있는 개인정보는 컴퓨터 등 정보처리장치로 처리되는 개인정보에 한정되며, 개인정보처리자가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보는 전송요구권의 대상에서 제외된다. 기관이 원본 데이터를 가공해서 만든 2차 분석 결과물까지 가져올 수는 없다는 뜻이다. 이 지점은 꽤 중요한데, 전송요구권이 만능이라는 오해를 잡아주는 경계선이기도 하다.

언제부터, 어디에 적용되는가

전 분야 마이데이터 실현을 위한 법적 기반인 개인정보 전송요구권이 2025년 3월 13일 시행됐으며, 개인정보보호법 제35조의2가 이를 규정하고 있다. 모든 분야에 동시에 적용된 건 아니고, 보건의료정보와 통신정보에 대한 전송요구권은 2025년 3월 13일에 시행됐지만, 에너지정보에 대한 전송요구권은 2026년 6월 1일까지 유예됐다.

개인정보 전송요구권은 금융 및 공공 분야에 한정되었던 마이데이터 사업을 다른 산업 분야로 확대하기 위한 제도적 기반으로 이해된다. 금융권 마이데이터는 「신용정보의 이용 및 보호에 관한 법률」 체계 안에서 이미 운영돼 왔는데, 이제는 의료·통신·에너지 등 영역까지 법적 근거가 생겼다는 의미다.

두 권리의 차이를 한 문장으로

열람청구권이 "내 정보를 보여줘"라면, 전송요구권은 "내 정보를 저기로 보내줘"다. 수신자가 '나'에 한정되지 않고 제3자까지 포함된다는 점, 그리고 기계가 읽을 수 있는 형태로 전송을 요구할 수 있다는 점이 핵심적인 차이다. 전송 요구를 받은 개인정보처리자는 시간, 비용, 기술적으로 허용되는 합리적인 범위 내에서 정보를 전송할 의무가 있고, 정보주체의 본인 확인이 되지 않는 경우 등에는 전송 요구를 거절하거나 전송을 중단할 수 있다.

개인적으로는, 전송요구권이 진짜 의미 있는 이유는 정보 주체가 단순히 '내 데이터를 보는 사람'에서 '내 데이터를 활용하는 사람'으로 바뀔 수 있는 법적 근거를 처음으로 확보했다는 데 있다고 본다. 열람청구권은 방어권에 가깝고, 전송요구권은 능동적 활용권에 가깝다. 비슷해 보이는 두 단어가 사실은 꽤 다른 시대적 발상에서 나온 셈이다.