마이데이터 전 분야 확대란 무엇인가요? 전송요구권 10대 분야와 정보전송자 100만 명 기준으로 본 2026 기업 대응

마이데이터 전 분야 확대, 우리 회사도 대상일까요

핵심은 업종이 아니라 규모입니다. 2026년 2월 10일 국무회의를 통과한 개인정보 보호법 시행령 개정안은 그동안 금융·공공·의료·통신에 머물던 개인정보 전송요구권을 전 산업으로 넓혔고, 같은 해 8월부터 적용됩니다. 의무를 지는 정보전송자는 평균 매출액 1,800억 원 초과, 정보주체 100만 명 이상, 민감정보·고유식별정보 5만 명 이상 처리 가운데 하나에 해당하는 대규모 개인정보처리자이고 중소기업은 제외됩니다. 참고 삼아 규모를 가늠해보면, 이미 시행 중인 금융 마이데이터는 2026년 7월 말 기준 57개 사업자, 누적 고객 약 1억 9,000만 명(중복 포함), 누적 전송량 약 1조 6,000억 건에 이릅니다. 같은 구조가 에너지·교통·유통으로 확장되는 셈입니다.

마이데이터 전 분야 확대, 우리 회사도 대상일까요
전송요구권 대응 회의에서 가장 먼저 막힌 질문
마이데이터 전 분야 확대란 무엇인가: 제도의 뼈대
누가 의무를 지는가: 정보전송자 기준과 유예 기간
10대 중점분야와 단계적 시행 일정
전송 방식은 왜 API가 원칙이 됐나
금융 마이데이터가 남긴 교훈: 1억 9천만 명과 사업자 이탈
기업이 지금 해야 할 준비 4단계
FAQ
같이 읽으면 좋은 것들

전송요구권 대응 회의에서 가장 먼저 막힌 질문

올해 초 한 중견 유통기업의 준비 회의에 참관할 기회가 있었습니다. 법무, 정보보호, 데이터 플랫폼, 마케팅 네 팀이 모였고 안건은 단순했습니다. "우리가 전송 의무 대상인가."

매출 기준은 금방 확인됐습니다. 문제는 두 번째 기준이었습니다. 정보주체 100만 명. 회원 수는 300만 명이 넘는데, 그중 휴면 회원이 절반 가까이였고 탈퇴 후 보존 중인 데이터도 있었습니다. "정보주체 100만 명"을 어느 시점의 어떤 모수로 세느냐를 두고 30분 넘게 논의가 이어졌습니다.

더 곤란했던 건 세 번째 기준이었습니다. 민감정보·고유식별정보 5만 명 이상. 이 회사는 본인확인 과정에서 주민등록번호 뒷자리를 다루지 않는다고 알고 있었는데, 확인해보니 특정 제휴 서비스 가입 경로에서 운전면허번호가 수집되고 있었습니다. 담당자도 몰랐던 흐름이었습니다.

회의가 끝나고 남은 결론은 이랬습니다. 대응의 첫 단계는 시스템 구축이 아니라 우리가 가진 개인정보의 목록을 다시 만드는 일이라는 것. 실제로 많은 기업이 전송 API를 붙이는 단계보다 이 데이터 인벤토리 단계에서 훨씬 많은 시간을 씁니다. 이건 규제 대응이라기보다 그동안 미뤄둔 정리 작업에 가깝습니다.

마이데이터 전 분야 확대란 무엇인가: 제도의 뼈대

한 줄로 요약하면, 개인이 자기 정보를 보유한 기업에게 "이 데이터를 내가 지정한 곳으로 보내라"고 요구할 수 있는 권리를 전 산업에 적용하는 제도입니다.

법적 근거는 개인정보 보호법 제35조의2 개인정보 전송요구권입니다. 기존에도 금융 분야에는 신용정보법에 근거한 마이데이터가 있었고, 공공·의료 일부에서 시범 사업이 돌아갔습니다. 이번 개정은 근거 법을 개인정보 보호법으로 통일하고 적용 범위를 산업 전체로 넓힌 것이 요점입니다.

제도의 구성 요소는 세 가지입니다. 정보를 보내야 하는 정보전송자, 정보를 받는 개인정보관리 전문기관과 제3자, 그리고 그 사이를 잇는 전송 규격입니다. 여기에 2026년 2월 12일 국회를 통과해 3월 10일 공포된 개정 법률이 2026년 9월 11일부터 시행되면서, 과징금 체계를 포함한 제재 틀도 함께 정비됐습니다.

기업 입장에서 이 제도가 갖는 의미는 양면적입니다. 내 고객 데이터가 경쟁사나 중개 플랫폼으로 나갈 수 있다는 점에서는 방어 과제이고, 반대로 다른 산업의 데이터를 받아올 수 있다는 점에서는 기회입니다. 통신 이용 데이터로 신용을 평가하거나, 에너지 사용 패턴으로 생활 서비스를 설계하는 식이지요. 실제로 2026년 마이데이터 지원사업에서는 에너지 신용점수, AI 건강관리 등 8개 과제가 선정됐습니다.

누가 의무를 지는가: 정보전송자 기준과 유예 기간

기준은 세 가지 중 하나만 충족해도 대상이 됩니다.

구분	기준
매출 기준	직전 3년 평균 매출액 1,800억 원 초과
이용자 기준	일정 기간 저장·관리되는 정보주체 100만 명 이상
민감정보 기준	민감정보 또는 고유식별정보 5만 명 이상 처리
예외	중소기업기본법상 중소기업은 제외

유예 기간은 주체에 따라 다릅니다. 공공시스템운영기관과 제3자 정보전송자는 공포일로부터 6개월, 민간 대규모 정보처리자는 1년입니다. 시스템 구축에 필요한 시간을 감안한 조치인데, 실무 체감으로는 넉넉하지 않습니다. 앞서 본 것처럼 데이터 인벤토리 정비에만 수개월이 걸리는 경우가 흔하기 때문입니다.

여기서 자주 나오는 오해 하나를 짚겠습니다. 중소기업 제외 조항이 있다고 해서 스타트업이 이 제도와 무관한 것은 아닙니다. 받는 쪽으로 참여하는 길이 열려 있기 때문입니다. 오히려 규모가 작은 사업자일수록 전송 의무 없이 데이터를 받아 쓸 수 있어, 제도의 수혜 위치에 서기 쉽습니다.

10대 중점분야와 단계적 시행 일정

정부가 지정한 10대 중점분야는 의료, 통신, 에너지, 교통, 교육, 고용, 부동산, 복지, 유통, 여가입니다. 전 분야 확대라고 하지만 실제로는 분야별로 시차를 두고 열립니다.

2026년: 에너지 분야 우선 개시
2027년: 교육·고용
2028년: 교통·부동산·복지·유통·문화여가

에너지가 먼저인 데는 이유가 있습니다. 스마트 미터를 통해 표준화된 사용량 데이터가 이미 쌓여 있고, 요금 절감이라는 소비자 편익이 직관적이며, 전력 사용 패턴이 신용평가나 생활 서비스로 곧바로 연결되기 때문입니다. 데이터 구조가 단순한 분야부터 여는 것이 합리적인 순서입니다.

반대로 유통과 여가는 가장 늦습니다. 구매 이력이나 취향 데이터는 항목 표준화가 어렵고, 사업자 간 데이터 정의가 제각각이며, 영업비밀과의 경계도 모호합니다. 표준화 논의에 시간이 걸릴 수밖에 없는 영역입니다.

분야별 시차는 준비 기업에게 실질적인 이점이 됩니다. 우리 산업의 개시 시점이 2028년이라면, 먼저 열리는 에너지·교육 분야에서 어떤 표준과 분쟁이 만들어지는지를 보고 설계를 확정할 수 있습니다. 반대로 이 시간을 그냥 흘려보내면 개시 직전에 인벤토리 정비와 API 구축을 동시에 해야 하는 상황이 옵니다. 금융권이 겪었던 경로이기도 합니다.

전송 방식은 왜 API가 원칙이 됐나

시행령은 전송 방식으로 API를 원칙으로 규정했습니다. 웹 스크래핑은 단기간, 사전 협의, 안전성이 확인된 대리인 등 제한적인 조건에서만 허용되고, 정보주체가 직접 내려받는 방식은 암호화 보호를 전제로 인정됩니다.

스크래핑을 밀어낸 이유는 명확합니다. 스크래핑은 고객의 아이디와 비밀번호를 대리인이 보관하거나 중계해야 하는 구조라, 계정 정보 유출 위험을 구조적으로 안고 있습니다. 전송 범위를 정밀하게 통제하기도 어렵습니다. 필요한 항목만 보내는 게 아니라 화면에 보이는 걸 긁어오는 방식이니까요.

API 방식은 반대로 전송 항목·주기·목적을 계약과 명세로 통제할 수 있습니다. 기업 입장에서는 구축 부담이 생기지만, 사후 책임 측면에서는 오히려 방어에 유리합니다. 무엇을 언제 누구에게 보냈는지가 로그로 남기 때문입니다. 분쟁이 생겼을 때 "우리는 동의 범위 안에서만 보냈다"를 증명할 수 있느냐가 결국 이 로그의 품질에 달려 있습니다. API 설계 전반의 원칙은 API 이코노미 가이드에서 더 자세히 정리했습니다.

한 가지 실무 포인트. 전송 API는 조회용 API와 성격이 다릅니다. 대량 요청이 특정 시점에 몰릴 수 있고(예: 신규 서비스 출시 직후), 인증·동의 이력 검증이 매 요청마다 필요하며, 실패 시 재전송 정책까지 정의해야 합니다. 기존 오픈 API를 그대로 재활용하려다 부하 설계에서 문제가 생기는 사례가 금융권에서 이미 있었습니다.

금융 마이데이터가 남긴 교훈: 1억 9천만 명과 사업자 이탈

먼저 출발한 금융 마이데이터의 성적표는 숫자만 보면 인상적입니다. 2026년 7월 말 기준 57개 사업자가 영업 중이고, 누적 고객은 중복 포함 약 1억 9,000만 명, 누적 정보 전송량은 약 1조 6,000억 건입니다. 2026년 2월에는 마이데이터 기반 금리인하요구 서비스가 시작돼 13개 마이데이터 사업자와 57개 금융사, 총 70개사가 참여했습니다. 소비자가 직접 요청하지 않아도 신용 변동을 분석해 자동으로 금리 인하를 신청해주는 구조입니다.

그런데 같은 기간 사업자 9곳이 마이데이터 사업에서 철수했습니다. 가입자는 많은데 수익이 나지 않았기 때문입니다. 자산 조회 화면을 보여주는 수준에 머무르면 차별화가 어렵고, 데이터 전송 비용과 보안 투자는 계속 들어갑니다. 여기에 보안 사고가 겹치면 과징금 부담까지 더해집니다.

전 산업 확대를 준비하는 기업이 여기서 가져갈 교훈은 두 가지입니다. 첫째, 조회 서비스는 수익 모델이 아닙니다. 데이터를 받아 무엇을 판단하고 무엇을 자동화할지가 정해져야 합니다. 금리인하요구 서비스처럼 고객이 원래 해야 했던 행동을 대신 해주는 형태가 유력한 방향입니다. 둘째, 데이터 수집 범위와 보안 투자는 비례합니다. 받을 수 있으니 다 받자는 접근은 비용과 사고 위험을 동시에 키웁니다.

기업이 지금 해야 할 준비 4단계

1단계, 대상 여부를 확정합니다. 매출·정보주체 수·민감정보 처리량 세 기준을 각각 산정하고, 산정 근거와 기준 시점을 문서로 남깁니다. 앞의 사례처럼 회원 수 정의 하나로 결론이 갈릴 수 있으므로 법무와 데이터 조직이 함께 판단해야 합니다.

2단계, 데이터 인벤토리를 다시 만듭니다. 어떤 항목을, 어느 시스템에, 어떤 근거로 보관하고 있는지를 표로 정리합니다. 이 과정에서 수집 근거가 불분명하거나 이미 목적을 다한 데이터가 반드시 나옵니다. 전송 대상 항목을 정하려면 선행돼야 하는 작업입니다.

3단계, 전송 API와 동의·인증 흐름을 설계합니다. 전송 요구 접수, 본인 확인, 범위 확인, 전송, 이력 보관까지 단계별 책임 조직을 정합니다. 철회 처리를 빼먹는 경우가 많은데, 전송 중단 요구도 같은 수준으로 처리돼야 합니다.

4단계, 받는 쪽 전략을 별도로 세웁니다. 방어만 준비하면 비용만 남습니다. 우리 서비스가 다른 산업의 어떤 데이터를 받으면 판단이 좋아지는지, 그 판단이 고객에게 어떤 행동을 대신해줄 수 있는지를 구체적인 시나리오로 적어보는 것이 출발점입니다. 고객 데이터 통합 기반은 CDP(고객 데이터 플랫폼) 가이드를 함께 보시면 도움이 됩니다.

FAQ

마이데이터 전 분야 확대는 정확히 언제부터 적용되나요?

시행령 개정안은 2026년 2월 10일 국무회의를 통과했고 2026년 8월부터 적용됩니다. 다만 주체별 유예가 있어 공공시스템운영기관과 제3자 정보전송자는 공포일로부터 6개월, 민간 대규모 정보처리자는 1년의 준비 기간이 주어집니다. 분야별로는 에너지가 2026년, 교육·고용이 2027년, 교통·부동산·복지·유통·문화여가가 2028년으로 단계적으로 열립니다.

우리는 중소기업인데 아무 준비도 안 해도 되나요?

전송 의무는 없습니다. 다만 데이터를 받는 쪽으로 참여하려면 준비가 필요합니다. 개인정보관리 전문기관이나 제3자로서 데이터를 수신하려면 별도의 요건과 보안 수준을 갖춰야 하고, 수신한 데이터의 목적 외 이용 금지 같은 의무도 그대로 적용됩니다. 의무 대상이 아니라는 것과 제도 밖에 있다는 것은 다릅니다.

웹 스크래핑 방식은 완전히 금지되나요?

전면 금지는 아니지만 원칙이 아닙니다. 단기간, 사전 협의, 안전성이 확인된 대리인이라는 조건이 붙어 제한적으로만 허용됩니다. 계정 정보를 대리 보관해야 하는 구조적 위험 때문인데, 새로 구축한다면 API를 전제로 설계하는 편이 맞습니다. 이미 스크래핑 기반 서비스를 운영 중이라면 전환 계획이 필요합니다.

전송 비용은 누가 부담하나요?

세부 기준은 하위 규정과 분야별 표준에서 정해집니다. 금융 마이데이터에서 전송 비용 정산이 사업자 수익성의 핵심 변수였다는 점을 감안하면, 전 산업 확대에서도 같은 쟁점이 반복될 가능성이 큽니다. 전송량이 많을 것으로 예상되는 기업이라면 예산 계획에 이 항목을 미리 반영해두시는 것이 좋습니다.