개인정보보호위원회 제공공공기관 대상 본인전송요구권 확대를 골자로 한 개인정보보호법 개정 시행령이 오는 20일부터 시행되는 가운데, 개인정보보호위원회가 사전협의를 신청한 기업에는 기존 전송 방식을 한시적으로 유지할 수 있도록 해 서비스 연속성을 보장하기로 했다.
개인정보위 신민필 범정부마이데이터추진단장은 11일 정부서울청사에서 설명회를 열고 "기존 스크래핑 방식이 당장 전면 금지되는 것은 아니다"라며 "사전협의를 신청한 경우에는 협의가 끝날 때까지 기존 방식을 사용할 수 있다"고 밝혔다.
본인전송요구권은 국민이 개인정보를 보유한 기관에 자신의 정보를 본인이나 본인이 지정한 곳으로 전송해 달라고 요구할 수 있는 권리다. 법령 개정에 따라 대상이 확대돼 공공기관은 오는 20일부터, 일정 규모 이상의 민간기업·기관은 내년 2월부터 적용된다.
권리 확대와 함께 개정 시행령은 그간 별다른 제한 없이 이뤄져 온 스크래핑 역시 보다 안전한 방식으로 전환하도록 했다. 스크래핑이란 사업자가 이용자의 아이디·비밀번호·공동인증서 등 인증정보를 넘겨받아 공공기관에 이용자 대신 로그인한 뒤 필요한 정보를 수집하는 방식이다.
지금까지는 사업자가 자동화된 도구를 이용해 필요한 정보뿐 아니라 다른 정보에도 접근할 가능성이 있었지만, 앞으로는 사업자와 공공기관이 전송할 개인정보의 범위와 안전관리 방안 등을 사전에 협의한 이른바 '약속된 스크래핑'만 가능하다.
장기적으로는 약속된 스크래핑을 넘어 공공기관과 기업이 응용프로그램 인터페이스(API)를 구축해 필요한 정보만 주고받는 방식으로 전환한다는 방침이다. API 방식은 사업자가 필요한 정보만 요청하고 공공기관이 해당 정보만 제공할 수 있어 불필요한 개인정보 접근을 최소화할 수 있다.
신 단장은 "20일은 스크래핑 금지의 날이 아니라 협의 없는 스크래핑이 멈추는 날"이라며 "공공기관의 API가 즉시 구축되기 어려운 현실을 고려해 사전협의를 거친 경우 기존 스크래핑도 한시적으로 이용할 수 있도록 단계적 전환을 추진 중"이라고 말했다.
개인정보보호위원회 제공개인정보위는 공공기관과 사업자 간 사전협의도 지원하고 있다. 지난 6월 25일부터 접수를 시작해 1차에서 150여건, 2차에서 약 550건의 신청을 받았다.
소규모 사업자의 서비스가 갑작스럽게 중단되지 않도록 11일부터 오는 31일까지 3차 사전협의 신청도 추가로 받는다. 마이데이터 자격이 없는 소규모 사업자에 대해서도 현실적으로 준수할 수 있는 보안·안전관리 기준을 마련해 전환을 지원한다.
이번 제도 개편을 통해 국민이 대리인에게 인증정보를 직접 맡기는 일을 줄이고 자신이 요청한 범위 내에서만 개인정보에 접근하도록 할 수 있을 것으로 기대된다. 요청한 정보만 안전하게 이동하고 전송 이력을 직접 확인·관리할 수 있게 되면서 개인정보 자기결정권도 한층 강화될 전망이다.
공공기관 등 정보전송자는 누가 어떤 정보를 가져가는지 확인할 수 있어 비정상적인 접근과 정상적인 정보 전송을 구분·관리하기 쉬워질 것으로 보인다. 과도한 트래픽 유입에 따른 시스템 장애를 방지하고 국민의 실제 데이터 수요를 파악해 계획적으로 API를 구축하는 것도 가능해질 전망이다.
대리인 역할을 하는 사업자 역시 협의된 방식으로 정보를 전달받아 서비스의 안전성과 예측 가능성을 높일 수 있을 것으로 보인다. 기존에는 정보전송자가 갑자기 웹사이트 구성이나 인증 방식을 변경할 경우 스크래핑 방식을 다시 설계해야 했지만, 단계적인 API 전환이 이뤄지면 이 같은 불확실성도 줄어들 것으로 기대된다.
영문기사 보기 (View English Article)