‘스크래핑’에서 직접 전송 요구…마이데이터 무엇이 달라지나

금융사와 핀테크 등 기업이 고객 대신 공공기관 홈페이지에 접속해 ‘스크래핑’하던 방식에서 고객이 자신의 정보를 어디로 보낼지 결정하는 방식으로 개인정보 전송체계가 바뀐다. 다만 개인정보보호위원회는 당장 스크래핑을 전면 금지하기보다는 사전협의 시범기간을 추가 운영해 단계적 전환을 추진할 방침이다.

신민필 개인정보위 범정부마이데이터추진단장은 11일 정부서울청사에서 기자들과 만나 “20일은 스크래핑 금지의 날이 아니라 협의 없는 스크래핑이 멈추는 날”이라며 “공공기관의 API가 즉시 구축되기 어려운 현실을 고려해 사전협의를 거친 경우 기존 스크래핑도 한시적으로 이용할 수 있도록 단계적 전환을 추진 중”이라고 말했다.

개정된 개인정보 보호법 시행령에 따라 20일부터 본인전송요구권(마이데이터) 적용 범위가 기존 의료·통신 등 일부 분야에서 전 분야로 확대된다. 본인전송요구권은 정보 주체가 자신의 개인정보를 본인에게 전송하도록 요구할 수 있는 권리다.

공공기관을 대상으로 먼저 시행되며 민간기업·기관에는 내년 2월 20일부터 적용된다. 핵심은 기업이 웹사이트에 대신 접속해 정보를 가져오는 스크래핑에서 정해진 통로로 데이터를 주고받는 API로 전환하는 것이다.

그동안 기업은 고객의 아이디·비밀번호·인증정보 등을 활용해 공공기관 홈페이지에 대신 로그인하고 정보를 가져왔다. 비대면 대출에 필요한 소득·재직·가족관계 확인이나 토스·삼쩜삼의 세금 환급 서비스 등이 대표적이다.

하지만 정보주체의 동의를 얻었더라도 인증정보가 타인에게 넘어가기 때문에 정보유출과 오남용 위험이 높고 수집된 데이터를 정보주체가 통제하는 것이 곤란하다는 문제점이 있었다.

개정 시행령은 기업이 고객을 대신해 공공기관 정보를 자동으로 가져가려면 해당 기관과 전송항목 범위, 대리인 여부 확인 방식, 자동화된 도구 접근 방식과 인증 수준, 대리인의 보호조치 등 정보 전송 방법을 미리 협의하도록 했다.

다만 제도 시행을 앞두고 금융사·핀테크·헬스케어 등 업계의 우려는 여전하다. 공공기관이 제공하는 API가 기존 스크래핑을 완전히 대체할 만큼 구축되지 않아 서비스가 지연되거나 중단될 수 있다는 지적이다.

개인정보위는 6월 25일부터 공공기관과 대리인 간 사전협의를 직접 지원하는 시범기간을 운영했다. 1차 시범기간에는 약 70개 기업·기관에서 150여건, 2차 시범기간에는 약 300개 기업·기관에서 550여건의 사전협의 수요가 있었다.

이날부터 31일까지 기존 신청 대상뿐 아니라 마이데이터 자격이 없는 소규모 사업자 등에 대해서도 추가 신청을 받는다. 이들 업체가 현실적으로 준수할 수 있는 보안·안전관리 기준을 추가로 마련하고 기존 서비스의 안전한 전환을 지원할 방침이다.

개인정보위는 본인전송요구권 외에도 제3자전송요구권이나 공공마이데이터 등을 이용하면 기업이 개인정보를 활용한 기존 서비스를 제공할 수 있다고 설명했다. 제3자전송요구권은 정보주체가 본인의 데이터를 제3자에게 전송 요청할 수 있는 권리다.

김은경 개인정보위 범정부마이데이터추진단 전략기획팀장은 “사전협의 신청을 통해 스크래핑 수요가 처음 드러난 만큼 공공기관은 이 수요를 바탕으로 API 구축 등을 준비할 것”이라며 “공공기관 등의 전송자는 개인정보보호법 개정안을 준수하기 위해서 이용약관 개정을 해야 하며 무분별한 스크래핑을 인지했을 때 민사소송 영역으로 갈 수 있다”고 말했다.