마이데이터 삼총사 [알아야 보이는 법(法)]

세계일보

마이데이터란 (1) 정보주체가 특정 유형의 본인정보에 대하여 (2) 그 정보를 처리하는 기관(정보제공자)들을 상대로 (3) 그 정보를 본인 또는 본인이 지정하는 특정 기관(정보수신자)에 전송해줄 것을 요구할 수 있도록 한 제도를 말한다. 이는 일반적으로 인정되는 권리는 아니고, 특별법상 근거가 있어야 한다. 그러한 특별법은 조만간 시행이 예정된 법률을 포함하여 세가지가 마련되어 있다.

첫째 금융분야 마이데이터 제도는 현재 시행 중인 신용정보법 제33조의2 ‘개인신용정보 전송요구권’을 통해 규정되어 있다. (1) 개인신용정보 주체가 본인의 여·수신 정보, 보험 정보, 카드 정보, 금융투자 정보, 선불전자지급수단 정보, 전자결제 정보, 개인형퇴직연금(IRP) 정보, 통신업 정보, 보증보험 정보, 공공 정보 등에 대하여 (2) 은행, 증권사, 보험사, 카드사, 캐피탈사, 전자금융업자(PG사 등), 한국거래소, 신용정보회사, 기간통신사업자(통신사, ISP 등), 한국전력공사, 한국수자원공사, 국민건강보험공단을 비롯한 일부 공공기관 등을 상대로 (3) 본인 또는 본인이 지정한 마이데이터사업자, 은행, 여신전문금융회사를 비롯한 특정 유형의 금융회사에 전송해줄 것을 요구할 수 있으며, 데이터 전송은 상호 연계된 전산망(Application Programming Interface·API)을 통해 자동으로 이루어져야 한다.

금융분야에서는 법개정 이전부터 이미 마이데이터 서비스가 있었다. 스크린 스크레이핑(Screen Scraping)을 이용한 뱅크샐러드 서비스가 대표적 사례인데, 이용자가 본인이 가입한 인터넷 뱅킹, 신용카드 등의 아이디·비밀번호를 뱅크샐러드 애플리케이션에 입력해 두면, 뱅크샐러드가 이용자 본인 대신 위 금융기관 홈페이지에 로그인하여 계좌 입·출금 내역, 신용카드 승인내역 등을 자동으로 긁어와(scraping) 그 데이터 분석 결과를 토대로 맞춤형 금융상품을 추천하는 구조였다. 이것을 정식으로 법제화한 것이 바로 금융분야 마이데이터 제도라고 할 수 있다. 보안에 취약한 스크린 스크레이핑 대신 기관 간 연계된 전산망을 통해 개인신용정보가 보다 안전하고 활발하게 전송될 수 있도록 한 것이다.

둘째 공공분야 마이데이터 제도는 오는 12월9.일 시행을 앞둔 전자정부법 제43조의2 ‘행정정보의 제공요구권’을 통해 도입된다. (1) 정보주체가 본인에 관한 증명서류 또는 구비서류 등의 행정정보(개인정보 보호법 제35조 제4항에 따른 열람제한 사유가 있는 것은 제외)에 대하여 (2) 해당 정보를 전산처리하고 있는 행정기관을 상대로 (3) 본인 또는 본인정보를 이용하여 업무를 처리하려는 다른 행정기관, 은행, 또는 그 밖에 대통령령으로 정하는 개인·법인·단체(예: 마이데이터사업자, 금융기관 등)에 제공해줄 것을 요구할 수 있다는 내용이다.

공공분야 마이데이터 제도가 시행되면, 일단 공공기관에서 종이로 된 증명서를 발급받을 일이 대폭 줄어들 것이다. 나아가 행정기관이 개별 전자정부 서비스를 일일이 개발할 필요 없이 데이터베이스만 제공하면 민간의 서비스를 통해 그 데이터를 조회 및 활용할 길도 열릴 것으로 예상된다. 특히 건강보험·조세 등 공공분야에 집약된 고품질 데이터의 민간 교류가 활발해질 것으로 기대된다.

셋째 일반분야의 마이데이터 제도는 지난 9월28일 정부가 국회에 발의한 개인정보 보호법 개정안 제35조의2 ‘개인정보 전송요구권’을 통해 도입될 전망이다. (1) 정보주체는 본인이 수집에 동의하였거나(consent) 계약 이행을 위해 필수 수집되었던(contractual necessity) 개인정보 원본(원본을 분석·가공하여 별도로 생성한 정보는 제외)에 대하여 (2) 이를 보유한 일정 규모 이상의 개인정보처리자를 상대로 (3) 본인 또는 본인이 지정한 제3의 개인정보관리 전문기관 등에게 API 형태로 전송해줄 것을 요구할 수 있다는 내용으로 법안이 제출되어 있다. 세부내용은 법안이 국회를 통과한 뒤 시행령 등 하위 행정규칙이 마련되면서 구체화될 것으로 보인다.

이렇게 분야별로 마이데이터 제도의 도입에 열을 올리고 있는 이유는 무엇일까. 이것이 기존의 개인정보 제3자 제공 동의 제도보다 훨씬 강력하기 때문이다.

예컨대 가계부 서비스를 제공하는 C사가 A은행에서 계좌 입출금 내역을, B카드사에서 신용카드 승인내역을 각각 받아오려면 기존 제도에 따르면 “A은행이 개인정보를 C사에 제공하는 데 동의합니다” 및 “B카드사가 개인정보를 C사에 제공하는 데 동의합니다”라는 이용자 동의를 일일이 받아야 했다. 한편 C사가 신용정보법상 마이데이터 사업자 허가를 받으면, 이용자로 하여금 ‘타금융기관에서 내 정보 가져오기’ 등의 버튼 한번만 누르도록 함으로써 여러 금융기관에 보관된 당해 이용자의 정보를 한꺼번에 받아올 수 있게 된다. 이것의 비즈니스 가능성은 무궁무진하다.

게다가 마이데이터에서 교류되는 정보를 API 형태로 전송하도록 의무화한 국가는 우리나라가 사실상 최초라고 할 수 있다. 부디 이 제도가 이용자의 개인정보를 안전하게 보호하면서 동시에 산업적 가치를 추구하도록 잘 발전하기를 바란다.