[권영탁의 핀테크 이야기] ‘너의 데이터’ 아닌 ‘마이데이터(My Data)’

지난 1월 27일 28개 기업이 마이데이터의 본 허가를 획득했다. 바야흐로 본격적인 ‘마이데이터(My Data) 시대’가 열린 것이다.

마이데이터 서비스가 본격적으로 시행되는 시점부터 개인은 자신의 신용정보에 대한 주도권을 가지고 은행·보험회사·카드회사 등에 각각 흩어져 있는 자신의 금융정보를 한꺼번에 조회할 수 있게 된다.

또한 데이터 주체, 즉 고객의 동의 하에 통합된 금융 데이터를 마이데이터 사업자들에게 전달하게 되고, 사업자들은 고객 데이터를 분석하고 가공한 뒤 고객 맞춤형 금융서비스를 제공할 수 있게 된다.
금융소비자 입장에서는 그간 높은 비용이 수반됐던 금융상담 서비스를 간단한 동의절차와 적은 비용으로 받을 수 있는 등 새롭고 혁신적인 서비스들을 기대할 수 있게 된다.

다만 방대한 금융데이터가 개방되면서 개인정보 유출에 대한 우려의 목소리 역시 높아졌다.

개인의 구매내역, 신용카드, 계좌이체 내역, 대출 내역, 보험가입 이력 등 민감한 개인정보가 유출될 수 있지 않느냐는 지적에 따른 것이다.

이에 금융당국도 철저한 대비에 나서는 상황이다.

금융위원회는 마이데이터 사업의 인허가 조건으로 자본금 요건, 물적 시설, 사업계획의 타당성, 대주주 적격성, 신청인의 임원 적격성, 전문성 요건 등 총 6가지 항목을 평가했다.
이 가운데서도 시스템·보안을 중점적으로 검토하겠다고 밝히기도 했다. 대량의 신용정보를 처리하는 과정에서 정보 유출 등의 문제가 발생하지 않도록 하기 위해서는 충분한 보안설비가 필요하다는 판단에서다.

이와 함께 마이데이터 참여 기업의 보안과 개인정보 보호 등 의무 또한 법제화했다.

지난해 2월 공포돼 8월부터 시행 중인 데이터 3법(개인정보보호법·신용정보법·정보통신망법)은 개인정보의 ‘가명처리’를 정의하고, 이같은 ‘가명정보’를 어떻게 활용할 지에 대한 내용을 포함시켰다.

특정 개인을 식별하기 위한 목적으로 가명정보를 활용해서는 안된다는 부분을 명시했고, 그에 대한 과징금과 처벌조항을 규정했다.

아울러 개인정보 관할 기관을 개인정보보호위원회로 이관해 개인정보 보호를 위한 컨트롤타워 기능도 강화시켰다.

일각에서는 정보보안에 대한 금융당국의 규제가 지나치게 엄격하다는 목소리도 나오고 있다. 정보보안을 지나치게 강조하다보면 마이데이터 기업들의 혁신성을 저해할 수 있다는 의견이다.

미국, 영국 등 마이데이터 사업을 먼저 시행하고 있는 해외에서는 마이데이터 사업을 등록제로 운영하고 있지만, 한국은 정보보호와 겸영 규제의 필요성을 감안해 허가제를 도입한 상태다.

실제 작년 8월 63개 기업이 마이데이터 라이선스를 얻기 위해 사전 신청을 했는데, 이 가운데 절반도 본 허가를 받지 못했다. 심사 요건이 워낙 까다로웠기 때문이다.

또한 금융당국은 이번 마이데이터 라이센스 부여를 위한 요건으로 ‘물적시설’을 내세웠다. 외부의 해킹 공격에 사전에 대응하기 위해 내부망과 외부망을 분리하는 보안 설비를 갖추라는 의미다.

하지만 망 분리에 들어가는 비용은 상당하다. 소규모 기업들에게는 부담이 될 수 있고, 개발 작업을 할 때 데이터와 분석도구가 분리될 수 있어 효율적인 데이터 활용을 저해할 수 있다. 이에 일부에서는 “혁신적인 서비스를 만들어내기가 어렵다”는 불만도 흘러나온다.

물론 다양한 기업들의 마이데이터 사업 참여를 늘려 금융소비자들에게 도움이 되는 다양한 혁신서비스를 새롭게 만들어내는 것은 중요한 일이다. 하지만 금융소비자와의 신뢰 구축이 선행돼야 한다.

특히 마이데이터가 방대한 양의 금융데이터를 다루는 만큼, 이를 보호하기 위한 강력한 규제가 필요하다는 주장이 나오는 배경이다.

필자는 지난 2014년의 기억을 떠올릴 때마다 아직도 아찔하다.

당시 카드회사에서 근무하고 있던 필자는 모 카드회사에서 1억400만건의 개인정보가 유출되는 사상 초유의 사고가 발생하는 모습을 목격했다.

이름, 주민번호, 전화번호, 주소, 연소득, 카드번호, 주거상황, 신용한도금액, 신용등급, 결제일, 결제계좌, 유효기간 등의 민감한 정보가 새어나갔다. 유출된 정보의 수는 국민 대다수의 정보에 해당되는 수준이었다.

당시 이같은 대형 사고에 많은 사람들이 금융회사에 대한 신뢰도가 떨어져 카드 해지신청 건수가 300만건에 달할 정도였다.

이런 개인정보 유출 사건을 경험해 본 필자는 개인의 자산과 직접 관련된 금융서비스의 기본은 무엇보다 ‘신뢰’와 ‘안전’이라는 생각을 갖고 있다.

‘복수불반분(覆水不返盆)’이라는 말이 있다. 엎지른 물은 다시 담을 수 없다는 의미다. 한번 유출된 개인정보는 다시 주워담기가 어렵다.

특히 마이데이터와 같은 새로운 서비스 영역에서는 유출되지 않도록 하는 것이 무엇보다 중요하다.

만약 마이데이터 사업에서 정보 유출이 발생한다면 2014년 당시 한 카드회사의 개인정보 유출 사태 때보다 더 큰 파장을 불러일으킬 것이 뻔하다. 당시 유출됐던 정보보다 더 많고 다양한 데이터가 마이데이터 사업에서 다뤄지기 때문이다.

금융소비자들은 안전하지 않은 곳에 자신의 정보를 제공하고 싶어 하지 않는다.

마이데이터가 고객들로부터 외면을 받지 않기 위해서라도 정보보안을 위한 강력한 규제가 필요하다. ‘혁신’의 의미도 중요하지만, 신뢰를 기본으로 하는 ‘금융’의 본질을 잊어서는 안 된다. 마이데이터라는 꽃이 피기도 전에 시들게 해서는 안된다.

[권영탁 핀크 대표]