제5장 정보주체의 권리 보장

① 정보주체는 법 제35조제1항에 따라 자신의 개인정보에 대한 열람을 요구하려면 다음 각 호의 사항 중 열람하려는 사항을 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17>

1. 개인정보의 항목 및 내용

2. 개인정보의 수집ㆍ이용의 목적

3. 개인정보 보유 및 이용 기간

4. 개인정보의 제3자 제공 현황

5. 개인정보 처리에 동의한 사실 및 내용

② 개인정보처리자는 제1항에 따른 열람 요구 방법과 절차를 마련하는 경우 해당 개인정보의 수집 방법과 절차에 비하여 어렵지 아니하도록 다음 각 호의 사항을 준수하여야 한다. <신설 2017.10.17>

1. 서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것

2. 개인정보를 수집한 창구의 지속적 운영이 곤란한 경우 등 정당한 사유가 있는 경우를 제외하고는 최소한 개인정보를 수집한 창구 또는 방법과 동일하게 개인정보의 열람을 요구할 수 있도록 할 것

3. 인터넷 홈페이지를 운영하는 개인정보처리자는 홈페이지에 열람 요구 방법과 절차를 공개할 것

③ 정보주체가 법 제35조제2항에 따라 보호위원회를 통하여 자신의 개인정보에 대한 열람을 요구하려는 경우에는 보호위원회가 정하여 고시하는 바에 따라 제1항 각 호의 사항 중 열람하려는 사항을 표시한 개인정보 열람요구서를 보호위원회에 제출해야 한다. 이 경우 보호위원회는 지체 없이 그 개인정보 열람요구서를 해당 공공기관에 이송해야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4>

④ 법 제35조제3항 전단에서 "대통령령으로 정하는 기간"이란 10일을 말한다. <개정 2017.10.17>

⑤ 개인정보처리자는 제1항 및 제3항에 따른 개인정보 열람 요구를 받은 날부터 10일 이내에 정보주체에게 해당 개인정보를 열람할 수 있도록 하는 경우와 제42조제1항에 따라 열람 요구 사항 중 일부를 열람하게 하는 경우에는 열람할 개인정보와 열람이 가능한 날짜ㆍ시간 및 장소 등(제42조제1항에 따라 열람 요구 사항 중 일부만을 열람하게 하는 경우에는 그 사유와 이의제기방법을 포함한다)을 보호위원회가 정하여 고시하는 열람통지서로 해당 정보주체에게 알려야 한다. 다만, 즉시 열람하게 하는 경우에는 열람통지서 발급을 생략할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2017.10.17, 2020.8.4>

① 삭제 <2015.12.30>

② 보호위원회는 법 제68조제1항에 따라 법 제24조의2제4항에 따른 대체가입수단 제공의 지원에 관한 업무를 다음 각 호의 기관에 위탁할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4, 2022.7.19>

1. 「전자정부법」 제72조제1항에 따른 한국지역정보개발원

2. 한국인터넷진흥원

3. 대체가입수단의 개발ㆍ제공ㆍ관리 업무를 안전하게 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관ㆍ단체

③ 보호위원회(제10호의 경우 보호위원회 외의 지정권자를 포함한다. 이하 제4항 각 호 외의 부분 및 제5항에서 같다)는 법 제68조제1항에 따라 다음 각 호의 사항에 관한 업무를 제4항에 따른 기관에 위탁할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4, 2022.7.19, 2023.9.12, 2025.2.25, 2025.9.23, 2026.9.10>

1. 법 제7조의8제5호에 따른 개인정보 보호를 위한 국제기구와 외국의 개인정보 보호기구와의 교류ㆍ협력

2. 법 제7조의8제6호에 따른 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구

3. 법 제7조의8제7호에 따른 개인정보 보호에 관한 기술개발의 지원ㆍ보급

4. 법 제11조의2제1항에 따른 개인정보 보호수준 평가 및 같은 조 제2항에 따른 평가 자료의 제출 요청

5. 법 제13조제1호에 따른 개인정보 보호에 관한 교육ㆍ홍보

6. 법 제13조제2호에 따른 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원

7. 법 제13조제3호에 따른 개인정보 보호 인증마크의 시행 지원

8. 법 제13조제4호에 따른 개인정보처리자의 자율적인 규약의 시행 지원

8의2. 법 제31조제3항제2호에 따른 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 신고의 접수 및 처리

9. 법 제33조제6항에 따른 관계 전문가의 육성 및 영향평가 기준의 개발

10. 법 제35조제2항에 따른 열람 요구의 접수 및 처리

10의2. 법 제35조의3에 따른 개인정보관리 전문기관의 지정에 관한 다음 각 목의 사항

가. 제42조의10제1항에 따른 개인정보관리 전문기관 지정 신청의 접수 및 신청 내용의 확인

나. 제42조의10제4항에 따른 개인정보관리 전문기관 지정에 관한 예비심사

다. 제42조의12제1항 후단에 따른 지정 조건의 이행 여부 확인

10의3. 법 제35조의4제2항에 따른 개인정보전송지원플랫폼의 운영

11. 법 제63조에 따른 자료제출 요구 및 검사 중 다음 각 목의 사항과 관련된 자료제출 요구 및 검사

가. 법 제34조제3항 전단에 따른 신고에 대한 기술지원

나. 법 제62조에 따라 개인정보침해 신고센터에 접수된 신고의 접수ㆍ처리 및 상담

12. 제36조제2항에 따른 평가기관 지정신청서의 접수 및 같은 조 제6항에 따른 신고 사항의 접수

④ 보호위원회가 제3항 각 호의 사항에 관한 업무를 위탁할 수 있는 기관은 다음 각 호와 같다. <신설 2022.7.19>

1. 한국인터넷진흥원

2. 개인정보 보호 분야에 전문성을 갖춘 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관 또는 단체

⑤ 보호위원회가 제2항부터 제4항까지의 규정에 따라 업무를 위탁하는 경우에는 위탁받는 기관과 위탁업무의 내용을 관보나 보호위원회의 인터넷 홈페이지에 공고해야 한다. <개정 2022.7.19>

① 개인정보처리자는 제41조제1항에 따른 열람 요구 사항 중 일부가 법 제35조제4항 각 호의 어느 하나에 해당하는 경우에는 그 일부에 대하여 열람을 제한할 수 있으며, 열람이 제한되는 사항을 제외한 부분은 열람할 수 있도록 하여야 한다.

② 개인정보처리자가 법 제35조제3항 후단에 따라 정보주체의 열람을 연기하거나 같은 조 제4항에 따라 열람을 거절하려는 경우에는 열람 요구를 받은 날부터 10일 이내에 연기 또는 거절의 사유 및 이의제기방법을 보호위원회가 정하여 고시하는 열람의 연기ㆍ거절 통지서로 해당 정보주체에게 알려야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>

① 법 제35조의2제1항 각 호 외의 부분에서 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(이하 "본인대상정보전송자"라 한다)를 말한다. <신설 2026.2.19>

1. 「중소기업기본법 시행령」 제7조에 따라 산정한 같은 영 제3조제1항제1호가목에 따른 평균매출액등이 1,800억원을 초과하는 자로서 다음 각 목의 어느 하나에 해당하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은 제외한다). 이 경우 다음 각 목에 규정된 정보주체의 수는 전년도 말 기준 직전 3개월 간 일일평균을 기준으로 산정한다.

가. 5만명 이상의 정보주체의 민감정보 또는 고유식별정보를 처리하는 자

나. 100만명 이상의 정보주체의 개인정보를 처리하는 자

2. 공공시스템운영기관

3. 법 제35조의2제2항에 따른 개인정보처리자

② 법 제35조의2제2항 각 호 외의 부분에서 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(이하 "제3자대상정보전송자"라 한다)를 말한다. <개정 2025.10.1, 2026.2.19>

1. 보건의료 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 "보건의료정보전송자"라 한다)

가. 질병관리청

나. 「국민건강보험법」 제13조에 따른 국민건강보험공단 및 같은 법 제62조에 따른 건강보험심사평가원

다. 「의료법」 제3조의4에 따른 상급종합병원

라. 그 밖에 「보건의료기본법」 제3조제4호에 따른 보건의료기관 중 개인정보를 전송할 수 있는 기술적ㆍ재정적 능력과 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수 등을 고려하여 보호위원회가 보건복지부장관과 협의하여 고시하는 자

2. 통신 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 "통신정보전송자"라 한다)

가. 「전파법」 제10조에 따라 주파수를 할당받아 이동통신서비스를 제공하는 자로서 정보주체와 이동통신서비스의 이용에 관한 계약을 체결한 자

나. 그 밖에 「전기통신사업법」 제5조제2항에 따른 기간통신사업을 경영하는 자 중 개인정보를 전송할 수 있는 기술적ㆍ재정적 능력과 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수 등을 고려하여 보호위원회와 과학기술정보통신부장관이 공동으로 정하여 고시하는 자

3. 에너지 관련 기관, 법인 및 단체 중 다음 각 목의 어느 하나에 해당하는 자(이하 "에너지정보전송자"라 한다)

가. 「전기사업법」 제2조제10호에 따른 전기판매사업자

나. 다음의 어느 하나에 해당하는 자 중 개인정보를 전송할 수 있는 기술적ㆍ재정적 능력과 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수 등을 고려하여 보호위원회와 산업통상부장관이 공동으로 정하여 고시하는 자 1) 「도시가스사업법」 제2조제2호에 따른 도시가스사업자 2) 그 밖의 「도시가스사업법」 제2조제1호의2에 따른 도시가스사업 관련 기관, 법인 및 단체

① 정보주체는 법 제35조의2제1항에 따라 본인대상정보전송자에 대하여 같은 항 각 호의 요건을 모두 충족하는 개인정보 중 다음 각 호의 어느 하나에 해당하지 않는 개인정보(이하 "본인전송정보"라 한다)를 자신에게 전송할 것을 요구할 수 있다. <신설 2026.2.19>

1. 전송 요구로 인하여 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보

2. 「부정경쟁방지 및 영업비밀보호에 관한 법률」에 따른 영업비밀 또는 「산업기술의 유출방지 및 보호에 관한 법률」에 따른 산업기술 등 다른 법령에 따라 보호가 필요한 정보

3. 복호화(複號化)되지 않도록 일방향 암호화하여 저장된 정보

② 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 다음 각 호의 구분에 따른 개인정보(이하 "제3자전송정보"라 한다)를 법 제35조의3제1항에 따라 지정을 받은 개인정보관리 전문기관(이하 "개인정보관리 전문기관"이라 한다) 또는 일반수신자에게 전송할 것을 요구할 수 있다. <개정 2025.10.1, 2026.2.19>

1. 보건의료정보전송자: 다음 각 목의 보건의료 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회가 보건복지부장관과 협의하여 고시하는 정보(이하 "보건의료전송정보"라 한다)로서 해당 보건의료정보전송자가 보유하는 정보

가. 「의료법」 제22조 및 제23조에 따른 진료기록 등 진료와 관련하여 생성된 정보

나. 「약사법」 제30조에 따른 조제기록 등 조제와 관련하여 생성된 정보

다. 「의료기기법」 제2조제1항에 따른 의료기기를 통하여 생성ㆍ수집된 정보

라. 그 밖에 가목부터 다목까지와 유사한 보건의료 관련 정보

2. 통신정보전송자: 「전기통신사업법」 제2조제11호에 따른 기간통신역무를 제공함에 따라 생성된 이용자의 가입정보, 이용정보, 이용요금의 청구정보 및 납부정보 등의 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회와 과학기술정보통신부장관이 공동으로 정하여 고시하는 정보(이하 "통신전송정보"라 한다)로서 해당 통신정보전송자가 보유하는 정보

3. 에너지정보전송자: 다음 각 목의 에너지 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회, 산업통상부장관 및 기후에너지환경부장관이 공동으로 정하여 고시하는 정보(이하 "에너지전송정보"라 한다)로서 해당 에너지정보전송자가 보유하는 정보

가. 「전기사업법」 제14조에 따른 전기 공급에 따라 생성된 에너지 사용량 정보, 전기요금의 청구정보 및 납부정보 등의 정보

나. 「도시가스사업법」 제19조에 따른 도시가스 공급에 따라 생성된 에너지 사용량 정보, 도시가스 요금의 청구정보 및 납부정보 등의 정보

다. 그 밖에 가목 및 나목과 유사한 에너지 관련 정보

③ 정보주체는 본인전송정보 외에 본인대상정보전송자가 보유하는 정보로서 시간, 비용, 기술 등을 고려하여 정보주체에게 전송할 수 있다고 본인대상정보전송자가 자율적으로 정한 정보(이하 "자율전송정보"라 한다)를 자신에게 전송할 것을 요구할 수 있다. <개정 2026.2.19>

④ 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 보건의료전송정보, 통신전송정보 및 에너지전송정보를 개인정보관리 전문기관 또는 일반수신자에게 전송할 것을 요구하는 경우 제2항에도 불구하고 전송받는 자에 따라 보호위원회가 정하여 고시하는 정보는 전송을 요구할 수 없다. <개정 2026.2.19>

⑤ 보호위원회(제2항제2호 및 제3호에 따라 보호위원회와 공동으로 정하여 고시하는 관계 중앙행정기관의 장을 포함한다)는 제2항 각 호의 정보가 「전자정부법」 제43조의2제1항에 따른 행정기관등이 보유하는 본인정보에 해당하는 경우에는 제2항 각 호에 따라 고시하기 전에 전송 요구의 대상이 되는 정보 및 전송방법에 대하여 행정안전부장관과 미리 협의해야 한다. <개정 2026.2.19>

① 정보주체는 법 제35조의2제1항에 따른 전송 요구(이하 "본인전송요구"라 한다)를 하는 경우에는 전송 요구 목적 및 전송을 요구하는 개인정보를 특정해야 한다.

② 본인대상정보전송자는 정보주체가 법 제38조제1항에 따른 대리인을 통해 본인대상정보전송자에게 본인전송요구를 하는 경우로서 대리인이 제42조의6제3항제1호나목에 따라 사전에 협의한 방식으로 개인정보를 전송하도록 본인전송요구를 하는 경우 정당한 사유 없이 거절해서는 안 된다. <신설 2026.2.19>

③ 정보주체는 제3자전송요구를 하는 경우에는 다음 각 호의 사항을 특정해야 한다. <개정 2026.2.19>

1. 전송 요구 목적

2. 전송 요구를 받는 자

3. 개인정보를 전송받는 자

4. 전송을 요구하는 개인정보

5. 정기적 전송을 요구하는지 여부 및 요구하는 경우 그 주기[제5항에 따라 제3자대상정보전송자에게 제42조의9제1항제2호에 따른 일반전문기관(이하 "일반전문기관"이라 한다) 및 같은 항 제3호에 따른 특수전문기관(이하 "특수전문기관"이라 한다)에 대한 제3자전송요구를 하는 경우에 한정한다]

6. 전송 요구의 종료시점

7. 전송을 요구하는 개인정보의 보유 및 이용기간

④ 정보주체는 개인정보관리 전문기관 또는 일반수신자를 통하여 제3자대상정보전송자에게 제3자전송요구를 할 수 있다. 이 경우 개인정보관리 전문기관 또는 일반수신자는 제3항 각 호의 사항에 대하여 정보주체가 그 내용을 명확하게 인지하고 제3자전송요구를 할 수 있도록 미리 알려야 한다. <개정 2026.2.19>

⑤ 정보주체는 제3자대상정보전송자에게 일반전문기관 및 특수전문기관에 대한 제3자전송요구를 하는 경우 같은 내역의 개인정보를 정기적으로 전송할 것을 요구할 수 있다. <개정 2026.2.19>

⑥ 정보주체는 제1항부터 제5항까지의 규정에 따른 전송 요구를 변경하거나 철회할 수 있다. 이 경우 본인대상정보전송자, 제3자대상정보전송자, 개인정보관리 전문기관 및 일반수신자는 전송 요구 변경 및 철회의 방법ㆍ절차가 전송 요구 당시의 방법ㆍ절차보다 어렵지 않도록 해야 한다. <개정 2026.2.19>

① 법 제35조의2제1항 및 제2항에 따라 전송 요구를 받은 본인대상정보전송자 및 제3자대상정보전송자(이하 "정보전송자"라 한다)는 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 지체 없이 개인정보를 전송해야 한다. 이 경우 정보전송자는 지체 없이 전송할 수 없는 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 전송을 연기할 수 있으며, 그 사유가 소멸하면 지체 없이 개인정보를 전송해야 한다. <개정 2026.2.19>

② 정보전송자는 개인정보를 전송하는 경우 개인정보의 정확성, 완전성 및 최신성을 유지해야 한다.

③ 정보전송자는 전송의 안전성 및 신뢰성이 보장될 수 있도록 다음 각 호의 구분에 따른 방식으로 개인정보를 전송해야 한다. <개정 2026.2.19>

1. 본인대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식

가. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것

나. 정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 자동화된 도구를 이용하는 경우에는 개인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 사전에 협의한 방식일 것

2. 제3자대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식

가. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간에 미리 협의하여 정하는 방식일 것

나. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 식별ㆍ인증할 수 있는 방식일 것

다. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 확인할 수 있는 방식일 것

라. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것

④ 본인대상정보전송자는 자신이 관리하는 인터넷 홈페이지를 통해 정보주체가 즉시 열람ㆍ조회할 수 있는 정보를 안전한 암호 알고리즘으로 암호화하여 정보주체가 직접 내려받게 할 수 있다. <신설 2026.2.19>

⑤ 법 제38조제1항에 따라 정보주체의 본인전송요구를 대리한 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다. <신설 2026.2.19>

⑥ 본인대상정보전송자는 정보주체가 법 제35조의2제1항에 따라 개인정보 전송을 요구하고 전송 내역 등을 확인할 수 있도록 본인전송요구 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재해야 한다. 다만, 본인대상정보전송자가 보건의료정보전송자 또는 에너지정보전송자에 해당하는 경우에는 중계전문기관이 대신하여 게재할 수 있다. <개정 2026.2.19>

⑦ 제3자대상정보전송자는 제3자전송요구에 따라 개인정보를 전송하는 경우에는 중계전문기관을 통하여 전송해야 한다. 이 경우 제3자대상정보전송자는 보건의료전송정보에 대해서는 중계전문기관을 통하여 특수전문기관에만 전송해야 한다. <개정 2026.2.19>

⑧ 일반수신자는 제3자전송요구에 따라 개인정보를 전송받는 경우 다음 각 호의 어느 하나에 해당하는 행위로 인하여 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하지 않도록 노력해야 한다. <개정 2026.2.19>

1. 법 제16조제1항을 위반하여 전송 요구 목적과 관련 없는 개인정보를 전송하도록 요구하는 행위

2. 법 제16조제3항에 따른 서비스 운영을 위하여 필수적인 경우가 아닌데도 전송받은 정보에 대한 제3자 제공 동의를 전송 요구와 동시에 받는 행위

3. 법 제35조의2제1항ㆍ제2항에 따른 전송 요구 또는 법 제38조제1항에 따른 권리에 대한 대리 행사를 강요하거나 부당하게 유도하는 행위

4. 법 제35조의3제1항에 따른 개인정보관리 전문기관의 지정을 받지 않고 같은 항 각 호의 업무를 수행하는 행위

5. 정보주체의 동의 없이 제42조의5제3항에 따른 전송 요구 내용을 변경하여 개인정보를 요구하는 행위

6. 자기 또는 제3자의 이익을 위하여 특정 정보주체의 이익을 침해하는 행위

7. 정보주체의 전송 요구를 이유로 개인정보처리자의 전산설비에 지속적ㆍ반복적으로 접근하여 장애를 일으키는 행위

8. 그 밖에 제1호부터 제7호까지와 유사한 행위로서 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하는 행위

⑨ 일반전문기관, 특수전문기관 및 일반수신자는 제3자전송요구에 따라 제3자대상정보전송자로부터 개인정보를 전송받는 경우에는 제1호에 따른 정보주체의 접근수단을 제2호의 방식으로 사용ㆍ보관함으로써 보건의료전송정보, 통신전송정보 및 에너지전송정보를 수집해서는 안 된다. <개정 2026.2.19>

1. 다음 각 목에 따른 정보주체의 접근수단

가. 「전자서명법」 제2조제3호에 따른 전자서명생성정보 및 같은 조 제6호에 따른 인증서

나. 제3자대상정보전송자에 등록된 정보주체의 식별자 또는 인증정보

다. 정보주체의 생체정보

2. 다음 각 목의 방법을 통하여 정보주체의 이름으로 열람하는 방식

가. 제1호의 접근수단을 직접 보관하는 방법

나. 제1호의 접근수단에 접근할 수 있는 권한을 확보하는 방법

다. 제1호의 접근수단에 대한 지배권, 이용권 또는 접근권 등을 사실상 확보하는 방법

⑩ 개인정보관리 전문기관 및 일반수신자는 개인정보관리 전문기관 및 일반수신자로서 처리하는 정보와 다른 개인정보처리자로서 처리하는 정보를 분리하여 보관해야 한다. 다만, 특수전문기관(「의료법」 제3조에 따른 의료기관에 한정한다)이 같은 법 제23조의2제1항에 따른 전자의무기록시스템으로 보건의료전송정보를 진료 목적으로 전송받는 경우로서 같은 법 제23조제2항에 따라 전자의무기록을 안전하게 관리ㆍ보존하는 경우에는 분리 보관을 하지 않을 수 있다. <개정 2026.2.19>

⑪ 정보전송자, 개인정보관리 전문기관 및 일반수신자는 다음 각 호의 본인전송정보, 보건의료전송정보, 통신전송정보, 에너지전송정보 및 자율전송정보(이하 "전송요구대상정보"라 한다) 전송 내역을 3년간 보관해야 한다. 다만, 제3자대상정보전송자의 경우 중계전문기관이 대신 보관할 수 있다. <개정 2026.2.19>

1. 제42조의5제3항 각 호의 사항

2. 정보주체의 전송 요구에 따른 정보 송수신 기록

3. 전송 요구의 철회, 거절 및 전송 중단 내역 및 사유

⑫ 일반전문기관 및 특수전문기관은 제11항에 따른 전송요구대상정보 전송 내역을 제15조의3제4항 각 호의 어느 하나에 해당하는 방법으로 연 1회 이상 정보주체에게 알려야 한다. 다만, 정보주체가 통지에 대한 거부의사를 표시한 경우에는 통지를 생략할 수 있다. <개정 2026.2.19>

⑬ 보호위원회 및 관계 중앙행정기관의 장은 예산의 범위에서 정보전송자에 대하여 개인정보의 전송에 필요한 시설 및 기술의 구축ㆍ운영 비용 등 전송 요구의 이행에 필요한 비용을 지원할 수 있다. <개정 2026.2.19>

① 법 제35조의2제2항제2호에서 "대통령령으로 정하는 시설 및 기술 기준을 충족하는 자"란 고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위하여 개인정보를 전송받는 자로서 다음 각 호의 사항에 관하여 보호위원회가 정하여 고시하는 시설 및 기술을 갖춘 자를 말한다.

1. 표준 전송 절차, 전송시스템 연계 및 전송 보안 기준 등을 충족하는 전송 요구 관련 시스템

2. 전송 이력의 기록ㆍ보관 및 전송받은 개인정보의 분리 보관을 위한 시스템

3. 개인정보에 대한 불법적인 접근 및 침해사고 방지를 위한 탐지 및 차단 시스템

4. 개인정보에 대한 접근권한 관리 및 접근 통제 시스템

② 법 제29조에 따른 안전조치의무를 이행하고 제1항에 따른 시설 및 기술을 갖춘 자(이하 "일반수신자"라 한다)는 법 제35조의2제2항에 따른 전송 요구(이하 "제3자전송요구"라 한다)에 따라 개인정보를 전송받는 업무의 일부 또는 전부를 중지 또는 폐지하려는 경우에는 그 사실을 미리 제42조의9제1항제1호에 따른 중계전문기관(이하 "중계전문기관"이라 한다)에 통지하고 법 제35조의4제2항에 따른 개인정보 전송 지원 플랫폼(이하 "개인정보전송지원플랫폼"이라 한다)에 등재해야 한다.

법 제35조의2제4항제3호에서 "대통령령으로 정하는 법률의 규정"이란 다음 각 호의 규정을 말한다.

1. 「신용정보의 이용 및 보호에 관한 법률」 제32조

2. 「금융실명거래 및 비밀보장에 관한 법률」 제4조

3. 법 제17조 및 제18조

4. 「여신전문금융업법」 제54조의5

5. 「온라인투자연계금융업 및 이용자 보호에 관한 법률」 제33조제4항

6. 「외국환거래법」 제21조

7. 「의료법」 제21조제2항

8. 「약사법」 제30조제3항

9. 「생명윤리 및 안전에 관한 법률」 제52조제2항

10. 「상속세 및 증여세법」 제85조제2항

11. 「국제조세조정에 관한 법률」 제57조

12. 「지능형전력망의 구축 및 이용촉진에 관한 법률」 제23조제3항

① 법 제35조의2제6항에서 "정보주체의 본인 여부가 확인되지 아니하는 경우 등 대통령령으로 정하는 경우"란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <개정 2026.2.19>

1. 법 제22조의2제1항에 따른 법정대리인 동의 여부가 확인되지 않는 경우

2. 법 제35조제4항에 따른 열람의 제한 또는 거절 사유에 해당하는 경우

3. 법 제35조의2제1항 및 제2항에 따른 전송요구대상정보의 전송이 제3자의 권리나 정당한 이익을 침해하는 경우

4. 법 제38조제1항에 따른 대리인 여부가 확인되지 않는 경우

5. 제42조의5제1항 및 제3항에 따른 전송 요구 사항이 특정되지 않는 경우

6. 정보주체의 본인 여부가 확인되지 않는 경우

7. 정보주체의 인증정보를 탈취하는 등 부당한 방법에 의한 전송 요구임을 알게 된 경우

8. 정보주체 본인, 일반전문기관, 특수전문기관 또는 일반수신자가 아닌 자에게 전송해 줄 것을 요구하는 경우

9. 개인정보가 범죄에 악용되는 등 부정한 방법으로 사용되어 정보주체의 이익을 명백히 침해하는 경우

10. 정보주체가 동일한 개인정보에 대하여 정당한 사유 없이 과도하게 반복적으로 전송을 요구하여 업무에 지장을 초래하는 경우

11. 정보주체가 제3자의 기망이나 협박 때문에 전송 요구를 한 것으로 의심될 만한 정황이 확인되는 등 전송 요구를 거절하거나 전송을 중단할 합리적 사유가 있는 경우

② 정보전송자는 제1항 각 호의 어느 하나에 해당하는 사유로 정보주체의 전송 요구를 거절하거나 전송을 중단한 경우에는 지체 없이 해당 사실 및 그 사유를 정보주체에게 통지해야 한다. 다만, 정보주체가 개인정보관리 전문기관 또는 일반수신자를 통하여 전송 요구를 하는 경우에는 해당 개인정보관리 전문기관 또는 일반수신자를 통하여 통지할 수 있다.

① 정보주체는 법 제35조의2제1항에 따라 본인대상정보전송자에 대하여 같은 항 각 호의 요건을 모두 충족하는 개인정보 중 다음 각 호의 어느 하나에 해당하지 않는 개인정보(이하 "본인전송정보"라 한다)를 자신에게 전송할 것을 요구할 수 있다. <신설 2026.2.19>

1. 전송 요구로 인하여 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보

2. 「부정경쟁방지 및 영업비밀보호에 관한 법률」에 따른 영업비밀 또는 「산업기술의 유출방지 및 보호에 관한 법률」에 따른 산업기술 등 다른 법령에 따라 보호가 필요한 정보

3. 복호화(複號化)되지 않도록 일방향 암호화하여 저장된 정보

② 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 다음 각 호의 구분에 따른 개인정보(이하 "제3자전송정보"라 한다)를 법 제35조의3제1항에 따라 지정을 받은 개인정보관리 전문기관(이하 "개인정보관리 전문기관"이라 한다) 또는 일반수신자에게 전송할 것을 요구할 수 있다. <개정 2025.10.1, 2026.2.19>

1. 보건의료정보전송자: 다음 각 목의 보건의료 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회가 보건복지부장관과 협의하여 고시하는 정보(이하 "보건의료전송정보"라 한다)로서 해당 보건의료정보전송자가 보유하는 정보

가. 「의료법」 제22조 및 제23조에 따른 진료기록 등 진료와 관련하여 생성된 정보

나. 「약사법」 제30조에 따른 조제기록 등 조제와 관련하여 생성된 정보

다. 「의료기기법」 제2조제1항에 따른 의료기기를 통하여 생성ㆍ수집된 정보

라. 그 밖에 가목부터 다목까지와 유사한 보건의료 관련 정보

2. 통신정보전송자: 「전기통신사업법」 제2조제11호에 따른 기간통신역무를 제공함에 따라 생성된 이용자의 가입정보, 이용정보, 이용요금의 청구정보 및 납부정보 등의 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회와 과학기술정보통신부장관이 공동으로 정하여 고시하는 정보(이하 "통신전송정보"라 한다)로서 해당 통신정보전송자가 보유하는 정보

3. 에너지정보전송자: 다음 각 목의 에너지 관련 정보 중 정보주체의 이익, 전송에 필요한 시간ㆍ비용 및 기술적으로 전송 가능한 합리적인 범위 등을 고려하여 보호위원회, 산업통상부장관 및 기후에너지환경부장관이 공동으로 정하여 고시하는 정보(이하 "에너지전송정보"라 한다)로서 해당 에너지정보전송자가 보유하는 정보

가. 「전기사업법」 제14조에 따른 전기 공급에 따라 생성된 에너지 사용량 정보, 전기요금의 청구정보 및 납부정보 등의 정보

나. 「도시가스사업법」 제19조에 따른 도시가스 공급에 따라 생성된 에너지 사용량 정보, 도시가스 요금의 청구정보 및 납부정보 등의 정보

다. 그 밖에 가목 및 나목과 유사한 에너지 관련 정보

③ 정보주체는 본인전송정보 외에 본인대상정보전송자가 보유하는 정보로서 시간, 비용, 기술 등을 고려하여 정보주체에게 전송할 수 있다고 본인대상정보전송자가 자율적으로 정한 정보(이하 "자율전송정보"라 한다)를 자신에게 전송할 것을 요구할 수 있다. <개정 2026.2.19>

④ 정보주체는 법 제35조의2제2항에 따라 제3자대상정보전송자에 대하여 보건의료전송정보, 통신전송정보 및 에너지전송정보를 개인정보관리 전문기관 또는 일반수신자에게 전송할 것을 요구하는 경우 제2항에도 불구하고 전송받는 자에 따라 보호위원회가 정하여 고시하는 정보는 전송을 요구할 수 없다. <개정 2026.2.19>

⑤ 보호위원회(제2항제2호 및 제3호에 따라 보호위원회와 공동으로 정하여 고시하는 관계 중앙행정기관의 장을 포함한다)는 제2항 각 호의 정보가 「전자정부법」 제43조의2제1항에 따른 행정기관등이 보유하는 본인정보에 해당하는 경우에는 제2항 각 호에 따라 고시하기 전에 전송 요구의 대상이 되는 정보 및 전송방법에 대하여 행정안전부장관과 미리 협의해야 한다. <개정 2026.2.19>

① 법 제35조의2제1항 및 제2항에 따라 전송 요구를 받은 본인대상정보전송자 및 제3자대상정보전송자(이하 "정보전송자"라 한다)는 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 지체 없이 개인정보를 전송해야 한다. 이 경우 정보전송자는 지체 없이 전송할 수 없는 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 전송을 연기할 수 있으며, 그 사유가 소멸하면 지체 없이 개인정보를 전송해야 한다. <개정 2026.2.19>

② 정보전송자는 개인정보를 전송하는 경우 개인정보의 정확성, 완전성 및 최신성을 유지해야 한다.

③ 정보전송자는 전송의 안전성 및 신뢰성이 보장될 수 있도록 다음 각 호의 구분에 따른 방식으로 개인정보를 전송해야 한다. <개정 2026.2.19>

1. 본인대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식

가. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것

나. 정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 자동화된 도구를 이용하는 경우에는 개인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 사전에 협의한 방식일 것

2. 제3자대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식

가. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간에 미리 협의하여 정하는 방식일 것

나. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 식별ㆍ인증할 수 있는 방식일 것

다. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 확인할 수 있는 방식일 것

라. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것

④ 본인대상정보전송자는 자신이 관리하는 인터넷 홈페이지를 통해 정보주체가 즉시 열람ㆍ조회할 수 있는 정보를 안전한 암호 알고리즘으로 암호화하여 정보주체가 직접 내려받게 할 수 있다. <신설 2026.2.19>

⑤ 법 제38조제1항에 따라 정보주체의 본인전송요구를 대리한 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다. <신설 2026.2.19>

⑥ 본인대상정보전송자는 정보주체가 법 제35조의2제1항에 따라 개인정보 전송을 요구하고 전송 내역 등을 확인할 수 있도록 본인전송요구 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재해야 한다. 다만, 본인대상정보전송자가 보건의료정보전송자 또는 에너지정보전송자에 해당하는 경우에는 중계전문기관이 대신하여 게재할 수 있다. <개정 2026.2.19>

⑦ 제3자대상정보전송자는 제3자전송요구에 따라 개인정보를 전송하는 경우에는 중계전문기관을 통하여 전송해야 한다. 이 경우 제3자대상정보전송자는 보건의료전송정보에 대해서는 중계전문기관을 통하여 특수전문기관에만 전송해야 한다. <개정 2026.2.19>

⑧ 일반수신자는 제3자전송요구에 따라 개인정보를 전송받는 경우 다음 각 호의 어느 하나에 해당하는 행위로 인하여 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하지 않도록 노력해야 한다. <개정 2026.2.19>

1. 법 제16조제1항을 위반하여 전송 요구 목적과 관련 없는 개인정보를 전송하도록 요구하는 행위

2. 법 제16조제3항에 따른 서비스 운영을 위하여 필수적인 경우가 아닌데도 전송받은 정보에 대한 제3자 제공 동의를 전송 요구와 동시에 받는 행위

3. 법 제35조의2제1항ㆍ제2항에 따른 전송 요구 또는 법 제38조제1항에 따른 권리에 대한 대리 행사를 강요하거나 부당하게 유도하는 행위

4. 법 제35조의3제1항에 따른 개인정보관리 전문기관의 지정을 받지 않고 같은 항 각 호의 업무를 수행하는 행위

5. 정보주체의 동의 없이 제42조의5제3항에 따른 전송 요구 내용을 변경하여 개인정보를 요구하는 행위

6. 자기 또는 제3자의 이익을 위하여 특정 정보주체의 이익을 침해하는 행위

7. 정보주체의 전송 요구를 이유로 개인정보처리자의 전산설비에 지속적ㆍ반복적으로 접근하여 장애를 일으키는 행위

8. 그 밖에 제1호부터 제7호까지와 유사한 행위로서 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하는 행위

⑨ 일반전문기관, 특수전문기관 및 일반수신자는 제3자전송요구에 따라 제3자대상정보전송자로부터 개인정보를 전송받는 경우에는 제1호에 따른 정보주체의 접근수단을 제2호의 방식으로 사용ㆍ보관함으로써 보건의료전송정보, 통신전송정보 및 에너지전송정보를 수집해서는 안 된다. <개정 2026.2.19>

1. 다음 각 목에 따른 정보주체의 접근수단

가. 「전자서명법」 제2조제3호에 따른 전자서명생성정보 및 같은 조 제6호에 따른 인증서

나. 제3자대상정보전송자에 등록된 정보주체의 식별자 또는 인증정보

다. 정보주체의 생체정보

2. 다음 각 목의 방법을 통하여 정보주체의 이름으로 열람하는 방식

가. 제1호의 접근수단을 직접 보관하는 방법

나. 제1호의 접근수단에 접근할 수 있는 권한을 확보하는 방법

다. 제1호의 접근수단에 대한 지배권, 이용권 또는 접근권 등을 사실상 확보하는 방법

⑩ 개인정보관리 전문기관 및 일반수신자는 개인정보관리 전문기관 및 일반수신자로서 처리하는 정보와 다른 개인정보처리자로서 처리하는 정보를 분리하여 보관해야 한다. 다만, 특수전문기관(「의료법」 제3조에 따른 의료기관에 한정한다)이 같은 법 제23조의2제1항에 따른 전자의무기록시스템으로 보건의료전송정보를 진료 목적으로 전송받는 경우로서 같은 법 제23조제2항에 따라 전자의무기록을 안전하게 관리ㆍ보존하는 경우에는 분리 보관을 하지 않을 수 있다. <개정 2026.2.19>

⑪ 정보전송자, 개인정보관리 전문기관 및 일반수신자는 다음 각 호의 본인전송정보, 보건의료전송정보, 통신전송정보, 에너지전송정보 및 자율전송정보(이하 "전송요구대상정보"라 한다) 전송 내역을 3년간 보관해야 한다. 다만, 제3자대상정보전송자의 경우 중계전문기관이 대신 보관할 수 있다. <개정 2026.2.19>

1. 제42조의5제3항 각 호의 사항

2. 정보주체의 전송 요구에 따른 정보 송수신 기록

3. 전송 요구의 철회, 거절 및 전송 중단 내역 및 사유

⑫ 일반전문기관 및 특수전문기관은 제11항에 따른 전송요구대상정보 전송 내역을 제15조의3제4항 각 호의 어느 하나에 해당하는 방법으로 연 1회 이상 정보주체에게 알려야 한다. 다만, 정보주체가 통지에 대한 거부의사를 표시한 경우에는 통지를 생략할 수 있다. <개정 2026.2.19>

⑬ 보호위원회 및 관계 중앙행정기관의 장은 예산의 범위에서 정보전송자에 대하여 개인정보의 전송에 필요한 시설 및 기술의 구축ㆍ운영 비용 등 전송 요구의 이행에 필요한 비용을 지원할 수 있다. <개정 2026.2.19>

① 개인정보관리 전문기관은 다음 각 호와 같이 구분한다.

1. 중계전문기관: 법 제35조의3제1항제1호 및 제2호에 따른 업무로서 개인정보 전송 중계에 필요한 기능을 제공하고 관련 시스템을 운영하는 업무 및 정보전송자의 전송을 지원하는 업무(이하 "중계업무"라 한다)를 수행하는 자

2. 일반전문기관: 법 제35조의3제1항제3호에 따른 업무로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보전송자로부터 전송받은 개인정보(보건의료전송정보는 제외한다)를 관리ㆍ분석하는 업무를 수행하는 자

3. 특수전문기관: 법 제35조의3제1항제3호에 따른 업무로서 통합조회, 맞춤형 서비스, 연구, 교육 등을 위하여 정보전송자로부터 전송받은 보건의료전송정보를 관리ㆍ분석하는 업무를 수행하는 자

② 중계전문기관은 일반전문기관, 특수전문기관 및 일반수신자 업무를 함께 수행해서는 안 된다.

③ 중계전문기관은 중계업무를 수행하기 위하여 필요한 경우에는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제23조의5제1항에 따른 연계정보를 처리할 수 있다.

④ 보호위원회 또는 관계 중앙행정기관의 장은 예산의 범위에서 중계전문기관의 운영에 필요한 비용을 지원할 수 있다.

① 법 제35조의3제1항에 따라 개인정보관리 전문기관으로 지정받으려는 자는 제2항에 따른 지정권자에게 다음 각 호의 서류를 제출하여 지정을 신청해야 한다. 이 경우 개인정보관리 전문기관으로 지정받으려는 자는 개인정보전송지원플랫폼을 통하여 제출할 수 있다.

1. 지정신청서

2. 정관 또는 규약(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)

3. 사업계획서

4. 개인정보 관리 계획서

5. 최근 3년간의 재무제표(법 제2조제6호가목에 해당하는 공공기관에 대해서는 적용하지 않는다)

6. 법 제35조의3제2항에 따른 지정요건을 갖추었음을 증명할 수 있는 서류

② 법 제35조의3제1항에 따라 개인정보관리 전문기관을 지정할 수 있는 자(이하 "지정권자"라 한다)는 다음 각 호와 같다.

1. 중계전문기관: 보호위원회 또는 중계전문기관이 전송받으려는 정보와 관련된 관계 중앙행정기관의 장. 다만, 보건의료전송정보에 관한 중계전문기관의 경우에는 보건복지부장관으로 한다.

2. 일반전문기관: 보호위원회 또는 일반전문기관이 전송받으려는 정보와 관련된 관계 중앙행정기관의 장

3. 특수전문기관: 보건복지부장관

③ 제1항에 따른 지정 신청을 받은 지정권자는 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 법인 등기사항증명서(개인정보관리 전문기관으로 지정받으려는 자가 법인인 경우에 한정한다)를 확인해야 한다.

④ 개인정보관리 전문기관으로 지정받으려는 자는 제1항에 따른 지정 신청을 하기 전에 지정권자에게 제42조의11에 따른 지정요건 세부기준을 갖추었는지에 대한 예비심사를 신청할 수 있다.

법 제35조의3제3항제2호에서 "대통령령으로 정하는 행위"란 별표 1의3에 따른 행위를 말한다.

① 법 제38조에 따라 정보주체를 대리할 수 있는 자는 다음 각 호와 같다.

1. 정보주체의 법정대리인

2. 정보주체로부터 위임을 받은 자

② 제1항에 따른 대리인이 법 제38조에 따라 정보주체를 대리할 때에는 개인정보처리자에게 보호위원회가 정하여 고시하는 정보주체의 위임장을 제출하여야 한다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4>

① 정보주체는 법 제35조의2제1항에 따른 전송 요구(이하 "본인전송요구"라 한다)를 하는 경우에는 전송 요구 목적 및 전송을 요구하는 개인정보를 특정해야 한다.

② 본인대상정보전송자는 정보주체가 법 제38조제1항에 따른 대리인을 통해 본인대상정보전송자에게 본인전송요구를 하는 경우로서 대리인이 제42조의6제3항제1호나목에 따라 사전에 협의한 방식으로 개인정보를 전송하도록 본인전송요구를 하는 경우 정당한 사유 없이 거절해서는 안 된다. <신설 2026.2.19>

③ 정보주체는 제3자전송요구를 하는 경우에는 다음 각 호의 사항을 특정해야 한다. <개정 2026.2.19>

1. 전송 요구 목적

2. 전송 요구를 받는 자

3. 개인정보를 전송받는 자

4. 전송을 요구하는 개인정보

5. 정기적 전송을 요구하는지 여부 및 요구하는 경우 그 주기[제5항에 따라 제3자대상정보전송자에게 제42조의9제1항제2호에 따른 일반전문기관(이하 "일반전문기관"이라 한다) 및 같은 항 제3호에 따른 특수전문기관(이하 "특수전문기관"이라 한다)에 대한 제3자전송요구를 하는 경우에 한정한다]

6. 전송 요구의 종료시점

7. 전송을 요구하는 개인정보의 보유 및 이용기간

④ 정보주체는 개인정보관리 전문기관 또는 일반수신자를 통하여 제3자대상정보전송자에게 제3자전송요구를 할 수 있다. 이 경우 개인정보관리 전문기관 또는 일반수신자는 제3항 각 호의 사항에 대하여 정보주체가 그 내용을 명확하게 인지하고 제3자전송요구를 할 수 있도록 미리 알려야 한다. <개정 2026.2.19>

⑤ 정보주체는 제3자대상정보전송자에게 일반전문기관 및 특수전문기관에 대한 제3자전송요구를 하는 경우 같은 내역의 개인정보를 정기적으로 전송할 것을 요구할 수 있다. <개정 2026.2.19>

⑥ 정보주체는 제1항부터 제5항까지의 규정에 따른 전송 요구를 변경하거나 철회할 수 있다. 이 경우 본인대상정보전송자, 제3자대상정보전송자, 개인정보관리 전문기관 및 일반수신자는 전송 요구 변경 및 철회의 방법ㆍ절차가 전송 요구 당시의 방법ㆍ절차보다 어렵지 않도록 해야 한다. <개정 2026.2.19>

① 법 제35조의2제1항 및 제2항에 따라 전송 요구를 받은 본인대상정보전송자 및 제3자대상정보전송자(이하 "정보전송자"라 한다)는 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 지체 없이 개인정보를 전송해야 한다. 이 경우 정보전송자는 지체 없이 전송할 수 없는 정당한 사유가 있는 경우에는 정보주체에게 그 사유를 알리고 전송을 연기할 수 있으며, 그 사유가 소멸하면 지체 없이 개인정보를 전송해야 한다. <개정 2026.2.19>

② 정보전송자는 개인정보를 전송하는 경우 개인정보의 정확성, 완전성 및 최신성을 유지해야 한다.

③ 정보전송자는 전송의 안전성 및 신뢰성이 보장될 수 있도록 다음 각 호의 구분에 따른 방식으로 개인정보를 전송해야 한다. <개정 2026.2.19>

1. 본인대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식

가. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것

나. 정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 자동화된 도구를 이용하는 경우에는 개인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 사전에 협의한 방식일 것

2. 제3자대상정보전송자: 다음 각 목의 요건을 모두 충족하는 방식

가. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간에 미리 협의하여 정하는 방식일 것

나. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 식별ㆍ인증할 수 있는 방식일 것

다. 제3자대상정보전송자와 개인정보관리 전문기관 및 일반수신자 간 상호 확인할 수 있는 방식일 것

라. 정보 전송 시 안전한 암호 알고리즘으로 암호화하여 전송하는 방식일 것

④ 본인대상정보전송자는 자신이 관리하는 인터넷 홈페이지를 통해 정보주체가 즉시 열람ㆍ조회할 수 있는 정보를 안전한 암호 알고리즘으로 암호화하여 정보주체가 직접 내려받게 할 수 있다. <신설 2026.2.19>

⑤ 법 제38조제1항에 따라 정보주체의 본인전송요구를 대리한 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다. <신설 2026.2.19>

⑥ 본인대상정보전송자는 정보주체가 법 제35조의2제1항에 따라 개인정보 전송을 요구하고 전송 내역 등을 확인할 수 있도록 본인전송요구 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재해야 한다. 다만, 본인대상정보전송자가 보건의료정보전송자 또는 에너지정보전송자에 해당하는 경우에는 중계전문기관이 대신하여 게재할 수 있다. <개정 2026.2.19>

⑦ 제3자대상정보전송자는 제3자전송요구에 따라 개인정보를 전송하는 경우에는 중계전문기관을 통하여 전송해야 한다. 이 경우 제3자대상정보전송자는 보건의료전송정보에 대해서는 중계전문기관을 통하여 특수전문기관에만 전송해야 한다. <개정 2026.2.19>

⑧ 일반수신자는 제3자전송요구에 따라 개인정보를 전송받는 경우 다음 각 호의 어느 하나에 해당하는 행위로 인하여 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하지 않도록 노력해야 한다. <개정 2026.2.19>

1. 법 제16조제1항을 위반하여 전송 요구 목적과 관련 없는 개인정보를 전송하도록 요구하는 행위

2. 법 제16조제3항에 따른 서비스 운영을 위하여 필수적인 경우가 아닌데도 전송받은 정보에 대한 제3자 제공 동의를 전송 요구와 동시에 받는 행위

3. 법 제35조의2제1항ㆍ제2항에 따른 전송 요구 또는 법 제38조제1항에 따른 권리에 대한 대리 행사를 강요하거나 부당하게 유도하는 행위

4. 법 제35조의3제1항에 따른 개인정보관리 전문기관의 지정을 받지 않고 같은 항 각 호의 업무를 수행하는 행위

5. 정보주체의 동의 없이 제42조의5제3항에 따른 전송 요구 내용을 변경하여 개인정보를 요구하는 행위

6. 자기 또는 제3자의 이익을 위하여 특정 정보주체의 이익을 침해하는 행위

7. 정보주체의 전송 요구를 이유로 개인정보처리자의 전산설비에 지속적ㆍ반복적으로 접근하여 장애를 일으키는 행위

8. 그 밖에 제1호부터 제7호까지와 유사한 행위로서 정보주체의 이익을 침해하거나 전송 처리 체계를 저해하는 행위

⑨ 일반전문기관, 특수전문기관 및 일반수신자는 제3자전송요구에 따라 제3자대상정보전송자로부터 개인정보를 전송받는 경우에는 제1호에 따른 정보주체의 접근수단을 제2호의 방식으로 사용ㆍ보관함으로써 보건의료전송정보, 통신전송정보 및 에너지전송정보를 수집해서는 안 된다. <개정 2026.2.19>

1. 다음 각 목에 따른 정보주체의 접근수단

가. 「전자서명법」 제2조제3호에 따른 전자서명생성정보 및 같은 조 제6호에 따른 인증서

나. 제3자대상정보전송자에 등록된 정보주체의 식별자 또는 인증정보

다. 정보주체의 생체정보

2. 다음 각 목의 방법을 통하여 정보주체의 이름으로 열람하는 방식

가. 제1호의 접근수단을 직접 보관하는 방법

나. 제1호의 접근수단에 접근할 수 있는 권한을 확보하는 방법

다. 제1호의 접근수단에 대한 지배권, 이용권 또는 접근권 등을 사실상 확보하는 방법

⑩ 개인정보관리 전문기관 및 일반수신자는 개인정보관리 전문기관 및 일반수신자로서 처리하는 정보와 다른 개인정보처리자로서 처리하는 정보를 분리하여 보관해야 한다. 다만, 특수전문기관(「의료법」 제3조에 따른 의료기관에 한정한다)이 같은 법 제23조의2제1항에 따른 전자의무기록시스템으로 보건의료전송정보를 진료 목적으로 전송받는 경우로서 같은 법 제23조제2항에 따라 전자의무기록을 안전하게 관리ㆍ보존하는 경우에는 분리 보관을 하지 않을 수 있다. <개정 2026.2.19>

⑪ 정보전송자, 개인정보관리 전문기관 및 일반수신자는 다음 각 호의 본인전송정보, 보건의료전송정보, 통신전송정보, 에너지전송정보 및 자율전송정보(이하 "전송요구대상정보"라 한다) 전송 내역을 3년간 보관해야 한다. 다만, 제3자대상정보전송자의 경우 중계전문기관이 대신 보관할 수 있다. <개정 2026.2.19>

1. 제42조의5제3항 각 호의 사항

2. 정보주체의 전송 요구에 따른 정보 송수신 기록

3. 전송 요구의 철회, 거절 및 전송 중단 내역 및 사유

⑫ 일반전문기관 및 특수전문기관은 제11항에 따른 전송요구대상정보 전송 내역을 제15조의3제4항 각 호의 어느 하나에 해당하는 방법으로 연 1회 이상 정보주체에게 알려야 한다. 다만, 정보주체가 통지에 대한 거부의사를 표시한 경우에는 통지를 생략할 수 있다. <개정 2026.2.19>

⑬ 보호위원회 및 관계 중앙행정기관의 장은 예산의 범위에서 정보전송자에 대하여 개인정보의 전송에 필요한 시설 및 기술의 구축ㆍ운영 비용 등 전송 요구의 이행에 필요한 비용을 지원할 수 있다. <개정 2026.2.19>

① 법 제35조의2제6항에서 "정보주체의 본인 여부가 확인되지 아니하는 경우 등 대통령령으로 정하는 경우"란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <개정 2026.2.19>

1. 법 제22조의2제1항에 따른 법정대리인 동의 여부가 확인되지 않는 경우

2. 법 제35조제4항에 따른 열람의 제한 또는 거절 사유에 해당하는 경우

3. 법 제35조의2제1항 및 제2항에 따른 전송요구대상정보의 전송이 제3자의 권리나 정당한 이익을 침해하는 경우

4. 법 제38조제1항에 따른 대리인 여부가 확인되지 않는 경우

5. 제42조의5제1항 및 제3항에 따른 전송 요구 사항이 특정되지 않는 경우

6. 정보주체의 본인 여부가 확인되지 않는 경우

7. 정보주체의 인증정보를 탈취하는 등 부당한 방법에 의한 전송 요구임을 알게 된 경우

8. 정보주체 본인, 일반전문기관, 특수전문기관 또는 일반수신자가 아닌 자에게 전송해 줄 것을 요구하는 경우

9. 개인정보가 범죄에 악용되는 등 부정한 방법으로 사용되어 정보주체의 이익을 명백히 침해하는 경우

10. 정보주체가 동일한 개인정보에 대하여 정당한 사유 없이 과도하게 반복적으로 전송을 요구하여 업무에 지장을 초래하는 경우

11. 정보주체가 제3자의 기망이나 협박 때문에 전송 요구를 한 것으로 의심될 만한 정황이 확인되는 등 전송 요구를 거절하거나 전송을 중단할 합리적 사유가 있는 경우

② 정보전송자는 제1항 각 호의 어느 하나에 해당하는 사유로 정보주체의 전송 요구를 거절하거나 전송을 중단한 경우에는 지체 없이 해당 사실 및 그 사유를 정보주체에게 통지해야 한다. 다만, 정보주체가 개인정보관리 전문기관 또는 일반수신자를 통하여 전송 요구를 하는 경우에는 해당 개인정보관리 전문기관 또는 일반수신자를 통하여 통지할 수 있다.

① 법 제38조제3항에 따른 수수료와 우송료의 금액은 열람등요구에 필요한 실비의 범위에서 해당 개인정보처리자가 정하는 바에 따른다. 다만, 개인정보처리자가 지방자치단체인 경우에는 그 지방자치단체의 조례로 정하는 바에 따르고, 법 제38조제3항 단서에 따른 수수료는 전송요구대상정보의 특성 및 필요 설비의 구축ㆍ운영 비용 등을 고려하여 보호위원회가 정하여 고시하는 기준에 따라 산정해야 한다. <개정 2025.2.25>

② 개인정보처리자는 열람등요구를 하게 된 사유가 그 개인정보처리자에게 있는 경우에는 수수료와 우송료를 청구해서는 아니 된다.

③ 법 제38조제3항에 따른 수수료 또는 우송료는 다음 각 호의 구분에 따른 방법으로 낸다. 다만, 국회, 법원, 헌법재판소, 중앙선거관리위원회, 중앙행정기관 및 그 소속 기관(이하 이 조에서 "국가기관"이라 한다) 또는 지방자치단체인 개인정보처리자는 「전자금융거래법」 제2조제11호에 따른 전자지급수단 또는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제10호에 따른 통신과금서비스를 이용하여 수수료 또는 우송료를 내게 할 수 있다. <개정 2023.9.12>

1. 국가기관인 개인정보처리자에게 내는 경우: 수입인지

2. 지방자치단체인 개인정보처리자에게 내는 경우: 수입증지

3. 국가기관 및 지방자치단체 외의 개인정보처리자에게 내는 경우: 해당 개인정보처리자가 정하는 방법

④ 제3자대상정보전송자는 일반전문기관, 특수전문기관 및 일반수신자가 제42조의5제4항 전단에 따라 정보주체를 대신하여 제3자전송요구를 하는 경우에는 일반전문기관, 특수전문기관 및 일반수신자에게 법 제38조제3항 단서에 따른 수수료를 청구할 수 있다. <신설 2025.2.25, 2026.2.19>