[IT 동아] “무단 정보 수집 금지”…개인정보위, 스크래핑에서 API로 단계적 전환 추진

[IT동아 김예지 기자] 오는 8월 20일부터 공공 분야를 시작으로 마이데이터의 ‘본인전송요구권’이 전면 확대 시행된다. 이번 개정 개인정보보호법의 핵심은 관행적으로 이뤄져 온 무단 스크래핑(Scraping)을 제한하는 데 있다.

개인정보보호위원회(개인정보위)는 사전협의 없는 무단 스크래핑을 금지하는 한편, 사전협의를 거친 ‘약속된 스크래핑’은 한시적으로 허용한다고 밝혔다. 장기적으로는 정밀한 데이터 통제가 가능한 API 방식으로 전환해 안전성을 높이면서도 서비스의 연속성을 보장하겠다는 구상이다.

본인전송요구권은 정보주체가 보유 기관에 자신의 정보를 본인 또는 제3자에게 전송해 달라고 요구하는 권리를 뜻한다. 국민이 직접 행사하거나, 금융사나 핀테크 서비스 기업 및 기관(대리인) 등에게 위임할 수 있다. 지난 2월 개인정보보호법 시행령 개정으로 의료·통신·에너지 등에 한정되던 범위가 전 영역으로 확대됐다. 공공기관은 오는 8월 20일, 민간 기업은 내년 2월 20일부터 적용된다.

핵심 쟁점은 ‘안전한 전송방식’ 규정이다. 그간 대리인은 공공기관 홈페이지 데이터를 가져올 때 스크래핑 기술을 활용했다. 스크래핑은 이용자의 아이디, 비밀번호, 공동인증서 등 접속 권한을 넘겨받아 대리인이 대신 로그인한 뒤 비공개 정보를 수집하는 방식이다. 편리한 장점 덕분에 서류 자동 제출 서비스 등 널리 쓰이나, 인증정보가 사업자 서버에 남는 구조이다 보니 유출·오남용 위험이 있었고 사후 통제도 어려웠다. 과도한 접속으로 공공기관 서버 부하와 서비스 지연을 일으키기도 했다.

앞으로는 공공기관과 대형 기업(평균 매출 1800억 원 초과 및 개인정보 100만 명 이상 또는 민감정보 5만 명 이상 처리)이 스크래핑으로 수집하려면, 정보전송자와 사전협의한 방식으로만 전송하도록 바뀐다. 개인정보위가 제시한 해법은 단계적 전환이다. 1단계가 사전협의를 통한 ‘약속된 스크래핑’으로, 대리인은 전송 범위, 신원 확인 방식, 스크래핑 접근 방식, 인증 수준, 보호조치, 비용 부담 등을 사전에 협의해야 한다.

나아가, 2단계 목표는 API 방식으로의 완전 전환이다. API 방식은 전용 통로로 필요한 정보만 주고받는 방식으로, 안전성이 높다. 개인정보위 관계자는 “현재는 대리인 접속도 국민 본인의 조회로 표시되지만, 약속된 스크래핑을 통해서는 전송 이력 확인이 가능해진다. 또한 API 단계에서는 정보 항목별 전송 시점과 주체가 기술적으로 정밀하게 기록된다”고 설명했다. 다만 API를 도입하더라도 가져온 대량의 정보를 안전하게 보관·관리하는 수신 기업의 보안 체계가 핵심 과제다.

전자정부법상 공공 마이데이터 등 일부 API를 활용하는 제도는 있었지만, 스크래핑 방식이 남발된 이유는 API 연동에 필요한 보안 투자와 승인 절차 대신 편의성을 택했기 때문이다. 이에 개인정보위는 “가져온 정보를 관리하는 시스템의 보안 수준이 부실할 수 있다는 점이 문제로 지적돼 왔다”며, “API 연동 이후 관리 방안에 대해 명확한 보안 기준을 제시하고, 업계 전반의 관리 수준을 끌어올릴 계획”이라고 밝혔다.

일각에서는 8월 20일부터 스크래핑의 금지로 삼쩜삼, 토스 등 핀테크 서비스가 대거 중단될 것이라는 불안감이 조성되기도 했다. 그러나 개인정보위는 “8월 20일이 스크래핑 전면 차단의 날이 아니며, ‘사전협의 없는 무단 스크래핑이 중단되는 날’이자, ‘안전한 개인정보 전송 체계로 전환하는 기점’임”을 강조했다. 개인정보위는 사전협의를 신청한 기업이 협의 완료 시까지 현행 방식을 유지하도록 유예를 적용하며, 약속된 스크래핑 방식, API 방식 등 안전한 방식으로의 단계적 전환을 적극 지원할 예정이다.

개인정보위는 지난 1년간 현장 소통을 진행해 왔다. 지난 6월부터는 공공기관과 대리인 간 사전협의를 개인정보위가 직접 지원하는 시범운영을 시작했다. 1차(6월 25일~7월 10일)에는 70여 개 기관 150여 건, 2차(7월 20일~31일)에는 550여 건을 통해 다양한 스크래핑 활용 사례와 전환 수요를 확인했다고 밝혔다.

이어 개인정보위는 오는 8월 31일까지 본인전송요구 대리인의 사전협의 지원을 위한 3차 신청을 받는다. 지난 시범운영에서 확인된 수요를 바탕으로, 마이데이터 자격이 없는 소규모 사업자까지 포함한다. 기업은 본인전송요구 서비스를 제공 중인지 점검하고, 단기적으로 정보전송자에게 사전협의를 신청해야 한다. 중장기적으로는 API 기반 전송 방식으로 전환할 준비를 해야 한다. 3차 시범운영이 종료된 이후에도 개별 공공기관별로 사전협의 창구를 통해 절차를 진행할 수 있다.

개인정보위 관계자는 “음성화되어 있던 관행을 양성화하는 과정에서 사업자들은 단계적 전환 취지에 공감하면서도, 현장 상황과 여건을 고려해 속도와 비용 부담을 적절히 조절하는 방향으로 보완되기를 바라는 분위기”라며, “소규모 사업자의 서비스 형태와 보안 수준을 함께 살펴보고 현실적으로 적용 가능한 안전관리 방안도 검토할 계획”이라고 밝혔다.

이번 제도 개편으로 달라지는 것을 무엇일까. 개인정보위는 국민이 체감하는 기존 조회·제출 서비스 이용 방식은 그대로 유지되면서, 인증정보 공유는 최소화되는 방향으로 개선된다고 밝혔다. 대리인이 정보를 어디까지 가져가는지 알 수 없었던 기존과 달리 앞으로는 요청한 정보만큼만 접근을 허용할 수 있으며, 향후 온마이데이터 플랫폼을 통해 내 정보가 어느 기관으로 전송됐는지 이력을 간편하고 투명하게 확인할 수 있게 된다는 설명이다.

정보전송자인 공공기관 입장에서도 누가 정보를 가져가는지 식별할 수 있게 되어 정상적인 요청과 비정상적인 접속을 구분하기 쉬워진다. 또한 데이터 수요를 정확히 파악해 API 구축 등 향후 시스템 개선 계획을 세우는 데도 도움이 된다. 서비스 기업 및 기관(대리인) 역시 사전협의 절차를 밟아야 하는 부담은 있지만, 공공기관 홈페이지 구성이나 인증방식이 바뀔 때마다 스크래핑 서비스가 중단되던 불안정성에서 벗어나 예측 가능성을 확보할 수 있다. 인증정보를 직접 취급하는 데 따른 보안 부담도 완화된다.

개인정보위는 사전협의 과정에서 확인된 수요를 바탕으로 사업자가 현실적으로 준수할 수 있는 기준을 마련할 계획이다. 데이터 저장을 하지 않는 서비스 형태나 혁신 서비스의 경우 예외 규정도 검토 중이며, 규제 샌드박스를 활용하는 방안도 열려 있다. 기업은 본인전송요구권 외에도 기존의 ‘전자정부법상 공공마이데이터’나 ‘개인정보보호법 제3자전송요구권’ 등 검증된 안전 활용 제도가 존재하므로, 이를 결합해 서비스를 차질 없이 제공할 수 있다. 개인정보위는 “국민 불편은 최소화하고 기관과 기업은 적극 지원하는 방향으로 제도를 연착륙시키겠다”고 강조했다.

한편, 본인전송요구권 문제는 지난달 대법원이 스크래핑 허용 불가 공지를 내면서 본격화됐다. 대법원은 과부하와 개인정보 보호를 이유로 스크래핑을 차단한다고 공지한 바 있다. 그러나 이에 대해 신민필 개인정보위 범정부 마이데이터 추진단장은 “대법원은 개인정보보호법에 따른 본인전송요구권 대상이 아님에도 오는 8월 20일부터 스크래핑 제한 공지를 냄에 따라 혼선이 있었다”며, “업계의 준비 기간이 충분치 않으므로 금융위원회, 행정안전부와 함께 대법원에 유예를 요청한 상태”라고 밝혔다.

IT동아 김예지 기자 (yj@itdonga.com)