정보주체 권리 행사 실무 — 열람·삭제·처리정지, 어디까지 응해야 하나

이 글의 범위

2026년 개정 내용(과징금 · CPO · 72시간 통지)은 별도 아티클에서 다뤘다. 이 글은 평상시 실무에 집중한다 — 정보주체가 권리를 행사해 왔을 때 무엇을, 어떻게, 언제까지 해야 하는가.

정보주체의 권리 — 무엇이 있나

개인정보보호법은 정보주체에게 다음 권리를 보장한다:

• 열람 요구권 — 자신의 개인정보가 어떻게 처리되는지 확인
• 정정 · 삭제 요구권 — 사실과 다르거나 불필요한 정보의 수정 · 파기
• 처리정지 요구권 — 처리 자체의 중단 요구
• 전송요구권 — 본인 정보를 다른 사업자에게 전송 (마이데이터)
• 자동화된 결정에 대한 거부 · 설명 요구권

자동화된 결정 — 가장 많이 놓치는 항목

실무에서 자주 발생하는 착오는 "우리는 AI를 쓰지 않는다"는 판단이다. 룰 기반 스코어링, 자동 승인/거절 로직도 사람의 실질적 개입 없이 결과가 확정된다면 대상이 될 수 있다. 기술의 종류가 아니라 사람의 개입 여부가 기준이다.

거부할 수 있는가 — 실무의 핵심 쟁점

권리 행사 요구는 무제한이 아니다. 다만 거부 사유는 법령에 근거해야 하며, "업무에 지장이 있다"는 이유만으로는 부족하다.

• 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우
• 다른 사람의 생명 · 신체 · 재산과 이익을 부당하게 침해할 우려가 있는 경우
• 다른 법령에서 그 개인정보가 수집 대상으로 명시된 경우 (삭제 요구 관련)

거부할 때는 사유를 알리고 이의제기 방법을 안내해야 한다. 거부 자체보다 거부 절차의 흠결이 분쟁으로 이어지는 경우가 많다.

수탁자가 있을 때

개인정보 처리를 위탁한 경우, 정보주체는 위탁자(원 사업자)에게 권리를 행사한다. 수탁사가 보유한 정보라는 이유로 미룰 수 없다.

2026년 개정으로 CPO 지정 · 신고 의무가 수탁자에게도 준용되면서 위탁 관계 전반의 관리 책임이 강화됐다. 수탁사 계약서에 권리 행사 협조 의무를 명시해 두는 것이 안전하다.

실무 체크리스트

• ☐ 권리 행사 접수 창구를 처리방침에 명확히 기재 (이메일 · 서면 · 온라인)
• ☐ 요구자의 본인 확인 절차 마련 — 과도한 요구는 그 자체가 권리 제한
• ☐ 자동화 결정 시스템 목록화 — 룰 기반 스코어링 포함
• ☐ 자동화 결정 대상자에게 사전 고지하는 절차 수립
• ☐ 거부 시 법령상 사유 + 이의제기 방법을 함께 통지하는 표준 양식
• ☐ 수탁사 계약서에 권리 행사 협조 의무 조항 반영
• ☐ 권리 행사 접수 · 처리 이력 기록 보관 (분쟁 시 입증 자료)