마이데이터, ‘스크래핑 퇴출'이 답인가…공공기관도 부담 [김현아의 IT세상읽기]

[이데일리 김현아 기자] 오는 20일 공공분야 마이데이터(본인전송요구권) 확대 시행을 앞두고 IT·핀테크 업계뿐 아니라 데이터를 제공해야 하는 국세청 등 공공기관의 부담도 커지고 있다.

개인정보보호위원회가 개인정보 보호와 보안을 이유로 기존 ‘스크래핑(화면 긁어오기)’ 방식의 이용을 제한하고 표준 API(응용프로그램 인터페이스) 방식으로 전환을 추진하면서다.

정책 취지는 이해할 만하다. 이용자의 아이디와 비밀번호를 기업에 제공해 정보를 가져오는 기존 스크래핑 방식은 개인정보 유출과 오남용 위험이 있기 때문이다. 이용자가 자신의 데이터를 직접 통제하고 필요한 곳으로 안전하게 전송할 수 있도록 API 기반의 마이데이터 체계를 구축하는 것도 바람직하다.

문제는 준비와 현실이다.

현장의 데이터 이용 환경을 충분히 고려하지 않은 채 ‘스크래핑은 악, API는 선’이라는 식으로 접근하면 오히려 이용자 편익을 해칠 수 있다. 특히 데이터를 제공해야 할 공공기관이 충분히 준비되지 않은 상황에서 기업에만 방식 전환을 요구하는 것은 현실과 맞지 않는다.

국세청 사례가 대표적이다. 국세청은 개인정보위가 지정한 마이데이터 전송기관이지만, 전송 기관 여부를 두고 국세청과 개인정보위의 설명이 엇갈리며 한때 혼선이 빚어졌다. 국세청이 당초 기관 지정 자체를 부인했다가 개인정보위가 전송기관 지정은 맞지만 전송 정보는 국세청 소관이라는 취지로 설명하면서 한발 물러선 것도 이런 상황을 보여준다.

국세청 입장에서는 보유한 국세정보를 외부에 개방할 경우 발생할 수 있는 보안 문제와 데이터 오용, 업무 부담 등을 따져야 한다. 어떤 기업이 어떤 정보를 얼마나 필요로 하는지도 충분히 파악되지 않은 상황에서 API를 구축하고 인증·보안체계와 운영 시스템까지 마련하는 것은 간단한 일이 아니다.

개인정보위가 최근 기자 설명회를 열고 20일 시행이 스크래핑의 ‘전면 금지’가 아니라 ‘협의 없는 무단 스크래핑 금지’라고 강조한 것도 이런 현실을 반영한 것으로 풀이된다. 기업이 안전조치를 마련하고 데이터 보유기관과 협의한다면 당분간 기존 방식의 이용을 허용하겠다는 취지다.

토스 ‘숨은 환급액 찾기’가 보여주는 현실

국세청의 고민을 보여주는 대표적인 사례가 토스의 ‘숨은 환급액 찾기’다.

이 서비스는 금융정보와 국세청 세금정보를 결합한다. 은행 계좌나 카드 사용 내역 등 금융정보는 마이데이터로 가져오고, 소득자료나 세금 납부 내역 등 국세청 정보는 홈택스 연동과 스크래핑 방식으로 가져와 환급액을 계산한다.

모든 데이터의 성격과 이용 방식이 같지는 않다는 얘기다.

스크래핑을 일률적으로 제한하고 모든 정보를 API로 전환한다면 국세청은 기업별 데이터 수요를 파악하고 API 구축은 물론 인증·보안체계와 운영 시스템까지 새로 마련해야 한다. 정부24 등 다른 공공서비스 운영기관도 사정은 크게 다르지 않다.

특히 소득이나 세금 납부 내역처럼 특정 시점에 확인하면 되는 정보까지 실시간 금융정보와 같은 방식으로 API화하는 것이 효율적인지도 따져봐야 한다.

한 정부 관계자는 “개인정보위는 스크래핑은 위험하고 전부 표준 API로 해야 한다고 밀고 나가지만, 국세청 환급정보나 정부24처럼 정말 기업이 원하는 정보는 해당 공공기관이 정보 전송에 소극적인 상황”이라고 전했다.

대법원 사례가 보여준 ‘일방통행’의 한계

최근 대법원 법원행정처의 스크래핑 차단 유예 논란도 같은 문제를 보여준다.

대법원은 개인정보보호법상 마이데이터 전송기관이 아님에도 20일 시행에 맞춰 비대면 대출 등에 활용되는 후견 등기사항부존재증명서 관련 스크래핑을 차단하려 했다. 금융권에서 대출 차질과 소비자 불편 우려가 커지자 결국 8월 31일까지 한시적으로 유예했다.

데이터 수집 방식을 바꾸는 일은 단순한 기술 교체가 아니다. 공공기관 시스템과 기업 서비스, 국민의 이용 편의가 모두 연결돼 있다. 충분한 협의 없이 일괄 전환을 추진하면 결국 현장에서 예외와 유예를 요구할 수밖에 없다.

개인정보위, 마이데이터 전송방식 개인정보보호 영향평가 나서라

스크래핑의 보안상 문제는 분명히 있다. 특히 이용자의 아이디와 비밀번호를 직접 제공받는 방식은 개선할 필요가 있다.

그러나 스크래핑 자체를 악으로, API를 무조건 안전한 방식으로 보는 것도 경계해야 한다. 스크래핑의 위험은 접근권한 관리, 목적 외 이용 제한, 보관·파기 등 구체적인 안전조치를 통해 줄일 수 있다. API 역시 해킹이나 인증정보 탈취 위험에서 완전히 자유롭지 않다.

중요한 것은 ‘스크래핑이냐 API냐’가 아니다. 데이터의 성격과 이용 빈도, 실시간성, 보안 수준, 구축 비용, 이용자 편익을 종합해 적절한 방식을 선택하는 기술중립적 접근이 절실하다.

무조건적인 API 전환에 앞서 개인정보보호위원회가 ‘마이데이터 전송방식에 대한 개인정보보호 영향평가’를 시행할 필요가 있다. 데이터 특성과 보안 수준, 구축 비용, 이용자 편익을 종합적으로 따져 어떤 방식이 적절한지 먼저 검증하자는 것이다. 충분한 연구와 협의 없는 밀어붙이기식 정책은 실패할 수밖에 없다.

앞으로 AI가 금융·행정·생활 데이터를 활용하는 서비스가 늘수록 마이데이터의 중요성도 커질 것이다. 그럴수록 필요한 것은 특정 기술을 정해놓고 밀어붙이는 것이 아니라 안전성과 이용자 편익을 함께 확보하는 일이다.

마이데이터의 목표는 API가 아니다. 개인정보 주체인 국민이 자신의 데이터를 안전하고 편리하게 활용할 수 있도록 하는 것, 그것이 정책의 출발점이어야 한다.