마이 데이터 사업의 이슈 파헤치기 : 데이터 3법 3시간 완성 세미나 [3강 김동환 변호사] 201006
•
2 gefällt mir•486 views
[마이 데이터 사업의 이슈 파헤치기] 3강 김동환 변호사 ‘데이터 3법 3시간 완성’ 온라인 세미나 개최 법무법인 디라이트는 10월 6일, 서울시 서초구 드림플러스에서 ‘데이터 3법 3시간 완성’ 온라인 세미나(웨비나)를 개최하였습니다. 저희 법인이 주최하고 한화 드림플러스가 후원하여 코로나 시대의 흐름에 맞춰 비대면 온라인 세미나인 웨비나(Webinar)로 진행되었으며, 데이터 3법 시행에 따른 동향과 변화, 발전 상황을 살펴보고, 비즈니스의 핵심으로 떠오른 데이터 활용과 그에 따른 개인 정보의 법적 이슈에 대해 중점적으로 논의하는 자리였습니다. 이번 세미나는 법무법인 디라이트의 황혜진 변호사가 ‘데이터 3법 시행령/가이드라인 해설’의 주제로 발표를 하고, 박경희 변호사가 ‘가명/익명정보 활용 Best Practice’의 주제 발표를, 김동환 변호사가 ‘마이 데이터 사업의 이슈 파헤치기’, 이시항 변호사가 ‘바이오 데이터 활용의 달인되기’, 안희철 변호사가 ‘개인정보 분쟁사례 완전 정복’의 주제로 발표를 하였습니다. 마지막으로, 조원희 변호사가 Q&A 세션을 통해 데이터 3법에 대한 전반적인 궁금증을 해결하는 시간을 마련하였습니다. [세미나 세션] 1강. 데이터 3법 시행령/가이드라인 해설 - 황혜진 변호사 2강. 가명/익명정보 활용 Best Practice - 박경희 변호사 3강. 마이 데이터 사업의 이슈 파헤치기 - 김동환 변호사 4강. 바이오 데이터 활용의 달인되기 - 이시항 변호사 5강. 개인정보 분쟁사례 완전 정복 - 안희철 변호사 법무법인 디라이트 : http://dlightlaw.com
Empfohlen
Empfohlen
Weitere ähnliche Inhalte
Mehr von 법무법인 디라이트 / D'LIGHT Law Group
Mehr von 법무법인 디라이트 / D'LIGHT Law Group (10)
마이 데이터 사업의 이슈 파헤치기 : 데이터 3법 3시간 완성 세미나 [3강 김동환 변호사] 201006
- 1. 김동환 변호사 마이 데이터 사업 이슈 파헤치기 현) 법무법인 디라이트, 변호사 현) NIPA, 2020년 ICT 규제샌드박스 과제화 지원 용역 PM KAIST 전기및전자공학과 학사 졸업 연세대학교 법학전문대학원 졸업 (변시 3회) 법무부 공익법무관 주식회사 포스코아이씨티 주최 후원 법무법인 디라이트 드림플러스 3강 일타강사 Associate / dhk@dlightlaw.com
- 3. 마이데이터 사업 이슈 파헤치기 변호사 김동환 법무법인 디라이트
- 4. 마이데이터(MyData)의 개념 • 개인정보주체 본인이 개인정보에 대한 관리 및 통제 권한을 온전히 보유하고, 이를 기반으로 개인 정보의 활용처 및 활용범위 등에 대해 능동적인 의사결정을 하는 개인정보 관리 및 활용체계 (출처: KDATA)
- 5. 마이데이터(MyData)의 법적 근거 • EU GDPR (General Data Protection Regulation)에서의 개인정보 이동권(Right to data portability) • 개인정보의 이동을 요청받은 경우 정보주체의 신원을 명확하게 확인할 수 있는 인증 절차 시행 • 요청에 따라 개인정보를 이동한 처리자(컨트롤러)는 수령자의 처리행위에 대해 책임지지 않음 • 지식재산권이나 영업비밀 등 제3자의 권리가 침해되는 경우 이동권에 대한 의무 적용 X ① 정보주체가 컨트롤러에게 제공한 자신에 관한 개인정보를 체계적으로 구성되고, 일반적으로 사용되며, 기계 판독이 가능한 형식으로 제공받을 권리 ② 기술적으로 가능한 경우 그 정보를 다른 컨트롤러에게 직접 이전할 것을 요구할 수 있는 권리 Article 20. Right to data Portability
- 6. 마이데이터(MyData)의 법적 근거 ① 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자 에게 요구할 수 있다. 제35조 (개인정보의 열람) (출처: KDATA)
- 7. 마이데이터(MyData)의 법적 근거 • EU PSD2 (Second Payment Service Directive)에서의 계좌접근 허용 (출처: 한국은행) 계좌정보서비스 제공업자 (AISP) 지급지시서비스 제공업자 (PISP) 사용자가 보유하고 있는 금융 정보에 접근하여 사용자 통합정보 조회 서비스 제공 사용자의 요청에 따라 지급 수취인의 계좌로 자금이체 서비스 제공
- 8. 금융분야에서의 마이데이터(MyData) 산업 추진경과 표준 API Working Group 운영 오픈뱅킹 서비스 전면 시행 본인신용정보관리업, 전송요구권 도입 • 마이데이터사업자에 관하여 허가제도 도입 • 8월 4일까지 63개의 기업이 예비허가 신청서 제출 • 작년 12월부터 오픈뱅킹 서비스 전면 시행 • 금융결제원 주도하에 은행 및 핀테크 기업들에게 Open API의 이용 허용 • 작년 4월부터 워킹 그룹 운영 • 다양한 주체들이 효율적으로 협업 가능한 환경 조성목적
- 9. Screen Scraping vs. Open API • 인터넷 웹사이트 화면에서 보이는 데이터 중 필요한 데이터를 자동적으로 수집·저장하는 기술 (출처: 금융위원회)
- 10. Screen Scraping vs. Open API • 정보주체로부터 (1) 정보조회 위임 동의와 (2) 개인정보 수집 및 이용 동의를 받는 방식으로 수집
- 11. Screen Scraping vs. Open API • API는 함수 호출에 따른 데이터 교신 방법 • 제3자 제공 동의를 얻는 방식으로 데이터 제공
- 12. Screen Scraping vs. Open API 항목 Screen Scraping 표준 API 고객 인증정보 입력 • 필요 (인증정보를 저장하고 필요시 접속 활용) • 불필요 (이용자가 직접 로그인 후 필요한 접근권한 부여 후 허용) 정보 처리 • 스크린상의 데이터 중 필요 한 데이터 추출 • 접근이 허용된 정보만을 제공 표준화 및 확장성 • 불가 • 가능 정보보호ㆍ보안 • 중요정보(ID/PW) 직접 저장 관리 • 필요 이상의 정보에 접근하 여 남용 또는 악의적 행위 활 용 가능 • 허용권한증표(token) 관리 • 이용자가 부여한 권한 내에서 정보수집이 가능하고 정보접근 통제 용이 • 사업자간 협의하여 필요한 보 안 대책 및 보안기술 적용 용이
- 13. 신용정보법상의 본인신용정보관리업 • 개인인 신용정보주체의 신용관리를 지원하기 위하여 신용정보제공ㆍ이용자(금융회사 등) 또는 공공 기관이 보유한 개인신용정보 등을 수집하고 수집된 정보의 전부 또는 일부를 신용정보주체가 조회 ㆍ열람할 수 있게 하는 방식으로 통합하여 그 신용정보주체에게 제공하는 업무 • ① 전자적 투자조언장치(로보어드바이저)를 통한 투자자문ㆍ투자일임업, ② 전자금융업, ③ 금융상 품자문업, ④ 신용정보업, ⑤ 온라인투자연계금융업, ⑥ 본인확인기관의 업무 등 (비금융업무 허용) • ① 데이터 분석ㆍ컨설팅, ② 신용정보주체 본인에게 자신의 개인신용정보를 관리ㆍ사용할 수 있는 계좌를 제공하는 업무, ③ 신용정보주체의 정보관련 권리를 대리 행사하는 업무, ④ 본인신용정보관 리업 관련 연수·교육·출판, ⑤금융상품 광고·홍보, ⑥ 본인인증 및 식별확인 업무 등 고유업무 겸영업무 부수업무
- 14. 개인신용정보의 전송요구권 ① 개인인 신용정보주체는 신용정보제공ㆍ이용자등에 대하여 그가 보유하고 있는 본인에 관한 개인신용정보를 다음 각 호의 어느 하나에 해당하는 자에게 전송하여 줄 것을 요구할 수 있다. 1. 해당 신용정보주체 본인 2. 본인신용정보관리회사 … ③ 제1항에 따라 본인으로부터 개인신용정보의 전송요구를 받은 신용정보제공ㆍ이용자등은 제 32조 및 다음 각 호의 어느 하나에 해당하는 법률의 관련 규정에도 불구하고 지체 없이 본인에 관한 개인신용정보를 컴퓨터 등 정보처리장치로 처리가 가능한 형태로 전송하여야 한다. ④ 제1항에 따라 신용정보주체 본인이 개인신용정보의 전송을 요구하는 경우 신용정보제공ㆍ이 용자등에 대하여 해당 개인신용정보의 정확성 및 최신성이 유지될 수 있도록 정기적으로 같은 내역의 개인신용정보를 전송하여 줄 것을 요구할 수 있다. 제33조의2 (개인신용정보의 전송요구)
- 15. 본인신용정보관리회사가 관리할 수 있는 개인신용정보 계좌정보 고객, 계좌자산 대출정보 일반 대출현황, 카드 대출현황, 금융투자 대출현황 카드정보 카드 상품, 카드 고객, 카드 이용 보험정보 보험 계약, 보험료 납입, 보험료 납입내역 금융투자상품정보 상품 기본, 상품 자산, 상품 거래내역, 체결 내역 증권계좌정보 고객, 계좌 및 계좌자산, 계좌 거래내역 연금상품정보 상품, 연금 납임, 연금 수령 보험대출정보 보험대출 현황, 대출 상환내역 전자지급수단 관련 정보 전자화폐, 전자자금 송금,포인트, 결제, 전용상품
- 16. 본인신용정보관리회사 허가 요건 자본금 • 최소 자본금 5억원 물적 요건 • 시스템 구성의 적정성 • 보안체계의 적정성 사업계획 타당성 • 수입·지출 전망의 타당성 • 조직구조 및 관리·운용체계의 사업계획 추진 적합성 • 조직구조 및 관리·운용체계의 이해상충 방지 등 건전 영업수행 적합성 대주주 적격성 • 대주주의 출자능력, 재무건전성 및 사회적 신용 임원자격 • 선임(예정) 임원이 금융회사의 지배구조에 관한 법률의 요건을 충족 전문성 • 본인신용정보관리업무 수행에 충분한 전문성 • 신용정보회사가 기존에 이용하던 DB서버와 구분되는 별도 DB서버를 갖출 것을 요구 • 개인신용정보취급자 컴퓨터에 대한 물리적, 논리적 망분리 요구
- 17. 본인신용정보관리회사 관련 이슈 • 하나의 기업집단에 하나의 본인신용정보관리회사만으로 시스템 구축 가능 (but 복수의 계열회사가 신청중) • 은행의 자회사 업종에 본인신용정보관리업 추가 • 금융지주회사외의 일반 지주회사도 본인신용정보관리회사를 계열회사로 보유 가능해질 계획 • 본인신용정보관리회사가 아닌 자는 마이데이타(MyData)라는 문자를 사용할 수 없음 (본인신용정보관리업 또는 이와 유사한 서비스를 제공하지 않는 자 내지 관련 정책 추진을 위해 중 앙행정기관의 장이 인정하는 경우는 예외)
- 18. 본인신용정보관리회사와 관련된 규제 Screen Scraping 등의 금지 (2021. 8. ~) • 본인신용정보관리회사는 어떠한 경우에도 스크린 스크래핑 방식을 이용하거나 제3자를 경유하여 (중계기관 제외) 정보를 수집할 수 없음 • 본인신용정보관리업과 관련이 없는 경우에도 스크래핑 방식으로 개인신용정보 수집이 제한됨 정보주체의 전송요구권 등의 침해 금지 • 개인인 신용정보주체에게 개인신용정보의 전송요구를 강요하거나 부당하게 유도하는 행위 • 본인신용정보관리회사 자신에게 전송요구를 하는 방법보다 제3자에게 전송요구를 하는 방법을 어 렵게 하는 행위 • 전송요구의 변경 및 철회의 방법을 최초 전송요구에 필요한 절차보다 어렵게 하는 행위 • 본인신용정보관리회사의 이익을 위해 금융소비자에게 적합하지 않다고 인정되는 계약 체결을 추 천 또는 권유하는 행위
- 19. 비금융분야에서의 마이데이터(MyData) 산업 추진경과 2019년 MyData 실증 사업 진행 2020년 MyData 실증 사업 선정 Kdata, 마이데이터 서비스 안내서 발표 • 작년 5월 의료, 금융, 에너지, 유통 등의 분야에서 총 8개 의 본인정보 활용지원 실증서비스 사업을 진행 • 금년 6월 의료, 금융, 모빌리티, 부동산 등의 6개 분야에 서 8개의 마이데이터 실증서비스 과제를 선정 • 개인이 주도적으로 데이터를 유통 활용할 수 있는 플랫 폼(PDS: Personal Data Storage) 구축 및 운영 목표 • 마이데이터 서비스를 제공하는 과정에서 이루어지는 개 인정보의 수집ㆍ이용 동의 과정 방식 등을 권고 • 정보주체가 개인정보를 통제하는 데에 중점
- 20. 마이데이터 서비스 안내서 • 정보를 활용하는 목적과 기관(업)을 직접 선택할 수 있도록 동의서 구성 (출처: KDATA)
- 21. 마이데이터 서비스 안내서 • 서비스 내에서 실시간으로 개인데이터 활용 동의의사를 확인하고 변경 가능하도록 동의서 구성 (출처: KDATA)
- 22. 마이데이터 서비스 안내서 • 내려받기 및 전송요청이 용이하도록 구성 (출처: KDATA)
- 23. 마이데이터 서비스 안내서 • 동의 및 개인데이터 활용 내역을 쉽기 이해하도록 구성 (출처: KDATA)
- 24. 2019년 과기정통부 MyData 실증서비스 - 본인정보 통합조회 및 생애주기별 맞춤형 금융상품 추천 서비스
- 25. 2020년 과기정통부 MyData 실증서비스 - 금융서비스를 연결하는 On-Device 기반 마이데이터 결합 플랫폼 (출처:NH농협 컨소시움)
- 26. 2020년 과기정통부 MyData 실증서비스 - 직장인 맞춤 웰니스 서비스: M-box (출처:https://www.itdaily.kr/news/articleView.html?idxno=102007)
- 27. 2020년 과기정통부 MyData 실증서비스 - 포스트 코로나19 대비 공공 교통수단 클린이용 서비스 (출처:서울특별시)
- 28. 마이데이터 사업과 연계 가능한 ICT 규제샌드박스 사례 • SK텔레콤, KT, LG U+의 모바일 운전면허증 임시허가 (모바일 운전면허증) • 카카오페이, 네이버 등의 행정∙공공기관 고지서 모바일 전자고지 임시허가 (CI 일괄변환)
- 29. 마이데이터 서비스에 관한 기타 법률이슈 • 블록체인 기반 마이데이터 사업 • DB에 대한 저작권, 저작편집권 등의 이슈 • 공정거래법상의 이슈 • 전자지급수단 관련 이슈
Hinweis der Redaktion
- PPT 슬라이드 첫화면 - 법인 메인 타이틀
- 안녕하세요? “마이데이터 사업 이슈 파헤치기”라는 주제로 웨비나를 진행하게 된 김동환 변호사입니다. 마이데이터에 이어 마이페이먼트, 마이제조데이터 등의 개념이 계속 등장하는 등 마이데이터 사업에 관한 관심이 상당한 것 같습니다. 귀한 시간을 내어 웨비나를 청취하고 계신 참가자분들께 어떤 부분을 중점적으로 설명드려야 하는지 고민이 되었는데요, 비금융회사에 계신 참가자분들도 상당수 계신 것으로 확인되어 마이데이터 사업에 대한 전반적인 이해를 돕고, 관련 이슈를 개략적으로 파악할 수 있도록 컨텐츠를 준비해 보았습니다. 그런데 마이데이터는 특정 종류의 사업에 한정된 개념이라기 보다는, 저희 법인의 경우에도 마이데이터 관련 실증사업을 진행하거나, 혹은 준비중인 기업들을 대상으로 법률자문을 진행하는데 업무의 범위가 상당히 폭넓습니다.
- 마이데이터란 개인정보주체 본인이 개인정보에 대한 관리 및 통제 권한을 온전히 보유하고, 이를 기반으로 개인정보의 활용처 및 활용범위 등에 대해 능동적인 의사결정을 하는 개인정보 관리 및 활용체계를 의미합니다. 즉, 마이데이터 서비스는 정보주체에게 직접적으로 이익이 되는 방향으로 개인정보를 이용할 수 있도록 하되, 이를 정보주체가 컨트롤할 수 있게 하는 서비스를 의미합니다.
- GDPR의 상세한 내용에 대하여 설명하지는 않을 계획임 2018년 5월부터 시행중인 EU의 GDPR에서 마이데이터의 개념과 가장 밀접한 연관이 있는 권리 중 하나는 개인정보의 이동권입니다.
- 개인정보 보호법에서는 이동권이 명시되어 있지 않음 (cf. 열람권) Csv, json 같은 파일로 제공할 의무는 없음
- 다시 EU로 돌아가보면, 금융분야에서는 2018년 1월부터 개정된 지급결제산업지침, 일명 PSD2가 시행되었습니다. 해당 지침은 개인정보 이동권을 금융 산업에 적용시켜 마이데이터 서비스와 밀접한 관련이 있는 지침으로서, 지급결제시스템 및 결제 서비스 제공에 필요한 계좌정보에 접근할 수 있는 지급지시서비스 제공업자(PISP: Payment Initiation Services Provider)와, 이용자의 명시적 동의하에 계좌 및 관련 거래내역 정보에 접근이 가능한 계좌정보서비스 제공업자(AISP: Account Information Service Provider)라는 개념을 제시하고 있습니다. 계좌정보서비스 제공업자는 뒤에서 살펴볼 신용정보법상의 본인신용정보관리회사와 유사한 개념인데, 은행 등의 계좌기반 지급서비스 제공업자는 고객이 동의할 경우 AISP에게 고객 계좌 정보에 대한 접근을 허용해야 하며, AISP는 고객의 은행별 계좌 정보를 취합하여 모바일 앱 등을 통해 제공할 수 있습니다. 또한 PISP는 고객이 동의할 경우 고객의 은행 계좌에서 타인의 계좌로 직접 자금을 이체할 수 있습니다. 예컨대 신용카드나 특정 은행 서비스를 이용하지 않고도 직접 예금계좌에서 결제요청 및 관리가 가능한 근거를 마련한 것입니다. 해당 지침은 핀테크 산업의 활성화를 위해 마련된 것으로서, PSD2의 기술체계인 RTS(규제기술 표준) 등이 제정되는 등 소비자보호, 경쟁 증진 및 공정경쟁 확보 등의 환경에서 다양한 핀테크 서비스의 개발 및 제공이 가능해진 상황입니다.
- 우리나라의 경우도 이러한 EU의 방침을 어느정도 참고하여 법령 및 제도를 정비하고 있는 상황입니다. 우선, 마이데이터 생태계 구축을 위해 작년 4월부터 데이터 표준 API 워킹 그룹을 구성하여 금융기관들의 API를 공개하고 표준화하여 다양한 주체들이 효율적으로 협업이 가능한 환경을 형성하고자 하고 있습니다. 아직까지 본인신용정보관리업으로 지정된 기업은 없으며, 금년 4월 레이니스트의 “고객 자산 및 소비 변동에 따른 금융주치의 서비스”를 혁신금융서비스(금융규제샌드박스)로 지정하는 등 본인신용정보관리업과 유사한 사업모델을 허용해준 사례는 존재합니다. 다만, 레이니스트 또한 서비스 출시 이전 본인신용정보관리업 허가를 받아야 합니다.
- 스크린 스크래핑이란, 인터넷 웹사이트 화면에서 보이는 데이터 중 필요한 데이터를 자동적으로 수집·저장하는 기술을 의미합니다. API를 제공하지 않는 플랫폼의 경우, 공개되어 있지 않은 API를 분석하는 것이 쉽지 않을 뿐더러 이를 이용하여 정보시스템에 접근하는 행위가 정보통신망법상 정보통신망 침입행위에 해당할 가능성이 있기 때문에, API 미제공 등으로 데이터를 별도로 수집할 수 있는 채널이 없는 경우, API의 대체 수단으로 활용 가능합니다. 정보주체의 동의를 얻어 개인정보를 수집하므로 별도의 위법행위를 구성하지 않음 형식적으로는 고객이 본인의 인증정보를 자발적으로 제공하는 것이므로, 정보유출 사고가 발생하였을 때 책임소재가 다소 불분명하다는 단점이 존재합니다.
- 정보통신서비스 제공자의 경우 「개인정보의 기술적ㆍ관리적 보호조치 기준」에 의거하여 비밀번호를 저장할 경우 복호화되지 아니하도록 일방향 암호화하여 저장할 의무를 지니므로, 비밀번호를 상시 이용 가능한 형태로 보관할 수 없어 이용의 불편이 존재해왔다. 그리고, 기존 은행과 전혀 다른 방식으로 접속시스템이 설계된 카카오뱅크에 과거 스크린 스크래핑 기술의 적용이 여의치 않았던 사례와 같이 공인인증서를 이용하지 않는 금융기관의 경우 스크린 스크래핑을 하는 것이 어려운데, 올 12월부터는 전자서명법에서 공인인증서의 개념이 사라지는 점을 감안할 때 향후 스크린 스크래핑의 효율성은 더욱 낮아질 가능성이 있다. 스크린 스크래핑을 통해 수집할 수 있는 개인정보의 범위에 기술적인 제한이 없기 때문에, 동의받은 범위를 초과하여 개인정보를 수집하거나 제3자의 개인정보에 해당하는 정보까지 함께 수집하여 이용하는 경우, 이를 파악하거나 제재할 수 있는 수단이 마땅치 않다는 점에서 심각한 개인정보 침해 위험이 존재한다. API를 이용할 경우 필요한 정보를 특정하여 보다 안전하게 제공될 수 있으며, API를 표준화할 경우 해당 API를 이용하는 기업들이 안전하고 신뢰할 수 있는 방식으로 고객의 데이터를 전송하거나 제공할 수 있을뿐만 아니라 플랫폼의 효율성 및 확장성도 보장되는 측면이 있다. 이에 EU의 PSD2 또는 관련 기술적 규제표준(RTS: Regulatory Technical Standards)에서는 데이터의 이동시 “안전하고 효율적인 채널(safe and efficient channels)”을 이용해야 한다고 규정하고 있으며 API의 사용을 의무하고 있지는 않으나, 실질적으로 Open API를 이용한 데이터의 제공방식이 이용되고 있다. (고객인증) API 방식의 경우 인증 주체가 서비스제공자에서 정보주체인 이용자로 변경됨에 따라 고객정보접근권을 정보주체가 확보하고 스스로 통제가 용이하다는 장점이 있습니다. (정보처리) API를 사용함에 따라 정보주체가 원하지 않는 정보 수집 자체를 차단할 수 있어 정보에 접근 통제가 용이하고 필요한 보안대책을 추가로 강화할 수 있습니다. 특히, 서비스제공자에게 모든 접근권한을 부여하는 것이므로, (표준화) 스크래핑의 경우 각 서비스의 임의 출력내용을 각각 추출하는 방식으로 표준화가 불가합니다. 그러나 표준 API를 이용하는 경우 호출함수 및 데이터 포맷에 대한 표준화가 가능합니다. 표준화가 불가능하다는 것은 여러 홈페이지를 연동하여 보다 진보된 서비스를 제공하기 곤란하다는 단점을 초래하게 됩니다. 예를 들어, 마이데이터 사업과 함께 논의되고 있는 마이페이먼트 사업의 경우, 스크래핑 방식을 이용하여 구현할 수 없습니다. 또한, 데이터 갱신을 위해 다시 스크래핑하기 위해서는 기술적으로 매번 이용자의 접속행위가 필요하게 됩니다. 정보통신서비스 제공자의 경우 「개인정보의 기술적ㆍ관리적 보호조치 기준」에 의거하여 비밀번호를 저장할 경우 복호화되지 아니하도록 일방향 암호화하여 저장할 의무를 지니므로 비밀번호를 상시 이용 가능한 형태로 보관하는 것이 불가능하기 때문입니다. 다만, 이러한 법령상의 규제를 해소하기 위하여 접속정보를 이용자의 단말기에 암호화하여 안전하게 저장하여 이용하며, 서비스제공자의 서버에 별도로 저장하지 않는 기술을 이용하기도 합니다. (정보보호, 보안) 고객의 중요정보를 서버 또는 모바일 앱 내 저장 관리하지 않고 안전한 통신 프로토콜을 적용한 API를 사용하여 정보를 전송함으로써 정보 유출 등 보안 위험을 감소 따라서 보다 안전하고 효율적인 시스템 구축을 위해서는 스크린 스크래핑 대신 표준 API를 이용하도록 해야 하지 않냐는 논의가 지속적으로 있어왔고, 뒤에서 살펴보겠지만 금융분야의 마이데이터사업의 경우 내년 8월부터 스크린 스크래핑을 이용할 수 없도록 예정되어 있습니다.
- 8월 5일자로 개정된 신용정보법이 시행되면서 마이데이터 사업자에 해당하는 본인신용정보관리업이라는 개념이 도입되었습니다. 본인신용정보관리업은 초반에 설명드린 PSD2의 AISP와 유사한 역할을 수행하는데, 금융기관 또는 공공기고나 등이 보유한 개인신용정보 등을 수집하고 수집된 정보의 전부 또는 일부를 신용정보주체가 조회ㆍ열람할 수 있게 하는 업무를 의미합니다. 본인신용정보관리회사의 고유 업무를 영위하고자 하는 자는 금융위원회의 허가를 받아야 합니다(법 제4조). 본인신용정보관리업에 해당하는 업무를 법 시행 전부터 영위하고 있던 회사는 2021. 2. 5.까지 허가를 받아야 하며, 허가를 받지 못하고 영업할 경우 무허가 영업에 해당하게 됩니다. 그리고 마이데이터업자에게 허용된 겸영·부수 업무의 범위는 상당히 넓습니다. 전자금융업을 허용하여 마이데이터 사업자가 직접 전자지급수단을 발행하여 리워드를 지급할 수 있으며, 로보어드바이저 기술과 정보주체의 거래데이터를 이용하여 정보주체에게 더욱 적합한 투자자문 및 투자일임을 제공할 수 있습니다. 나아가, 데이터를 분석 및 컨설팅하거나 금융상품 광고 및 홍보, 본인인증 및 식별확인 등의 업무 또한 부수적으로 영위할 수 있어, 현재 마이데이터 서비스 모델을 기반으로 구현하고자 하는 대부분의 사업모델을 함께 영위할 수 있도록 하고 있습니다. 뿐만 아니라 비금융업무의 경우 개별 법령에서 허용하는 한 자유로운 겸영을 허용하여 마이데이터 사업자가 영위 가능한 사업의 범위를 폭넓게 인정하였습니다. 본인신용정보관리회사가 겸영업무 또는 부수업무를 영위하기 위해서는 사전에 금융위에 신고해야 하는데, 본인신용정보관리업자의 겸영업무를 이미 영위하고 있는 비금융사는 허가시 사업계획에 겸영업무를 기재하게 되므로 별도의 겸영업무신고는 불필요합니다. 참고로, 부수업무 중 신용정보주체의 정보관련 권리를 대리 행사하는 업무가 포함되어 있는데, 해당 권리중 이번이 도입된 개인신용정보의 전송요구권이 포함되어 있으며, 이로 인하여 마이데이터 사업자는 개인신용정보주체의 위임을 받아 개인신용정보 전송요구권을 대리행사 하는 것이 명시적으로 허용되었다는 의미가 있습니다.
- 전송을 요구할 수 있는 신용정보의 요건으로 “신용정보제공ㆍ이용자등이 개인신용정보를 기초로 별도로 생성하거나 가공한 신용정보가 아닐 것”이 명시되어 있음
- 본인신용정보관리회사가 관리할 수 있는 개인신용정보는 신용정보주체의 거래내용을 판단할 수 있는 신용정보로서, 다음과 같이 다양합니다. 그러므로 마이데이터사업자는 다양한 신용정보를 수집하여 다양한 목적으로 활용할 수 있습니다. 여기서 눈여겨볼 점은 본인신용정보관리회사가 관리할 수 있는 개인신용정보의 범위에 전자지급수단 관련 정보가 포함되어 있다는 것입니다. 그렇다면 전자지급수단 내지 전자자금 관련 정보만을 다루는 경우 본인신용정보관리업 해당하는지 이슈가 존재합니다. 나아가 아직 특금법이 시행되지 않아 가상자산에 대한 정확한 법적 규제가 존재하지 않은 상황에서, 가상자산사업자에게 관련 규제를 적용받게 될 가능성이 있는 것은 아닌가 하는 우려도 존재합니다. 전자지급수단 관련 정보만을 통합하여 신용정보주체에게 전자지급수단에 관련된 정보가 포함되어 있음. 이에 관한 이슈 언급 마이데이터(MyData)라는 문자 사용 제한에 관한 이슈 추가 언급급할 필요가 있음
- 심사 요건 표 5억원 이상의 자본금, 보안설비 및 전산설비 등의 물적 시설을 갖추어야 한다. 보다 구체적으로는 신용정보회사가 기존에 이용하던 DB서버와 구분되는 별도 DB서버를 갖추어야 하고, 개인신용정보취급자 컴퓨터에 대한 물리적, 논리적 망분리를 하여야 하는데, 기존 전자금융거래법령 및 신용정보법령상의 망분리 요건과 동일한 수준을 요구하는 상황이다. 중요한 부분만 생략하여 동의받을 수 있는 근거 마련 물적 요건을 표로 기재
- □ 본인신용정보관리업자와의 제휴계약을 통해 해당 본인신용정보관리업자가 수집한 정보를 열람하게 하는 것이므로 가능 □ 다만 정보를 수집·종합하여 고객에게 제공하는 역할은 본인 신용정보관리업자가 수행해야 하며, 허가를 받지 않은 회사는 고객이 본인신용정보관리업자에게 서비스 사용을 신청하는 것을 중개하는 역할만 수행*하고 * B사는 B사 고객이 A사의 서비스에 접속하는 것을 중개하는 것만 가능 ◦ 허가받은 MyData업체가 어느 회사인지를 정보주체가 명확히 알 수 있도록 안내해야 하며, 허가받지 않은 회사는 통합정보에 대해 추가가공 등 수정이 불가 다만, 은행이 마이데이터 사업 허가를 직접 신청하지 않고 마이데이터 사업 허가를 받은 핀테크 업체를 인수하는 방식이 가능해지는 셈이다. 또한 현재 공정거래법상 금융지주회사외의 지주회사인 경우 금융업 또는 보험업을 영위하는 국내회사의 주식을 소유하는 행위는 금지되어 있습니다. 따라서 빅테크 기업과는 달리 일반지주회사는 마이데이터 사업을 영위하는 것이 곤란하여 데이터가 중요한 가치는 지니는 플랫폼 경쟁에서 불합리하게 뒤쳐질 가능성이 존재합니다. 이에 금융위는 마이데이터 사업을 폭넓게 허용하고자 공정거래위원회의 협의를 거쳐 이에 대한 유권 해석을 내리고자 하는 상황입니다.
- 스크래핑 금지: https://www.kbanker.co.kr/news/articleView.html?idxno=89528 우선, 본인신용정보관리회사의 경우 유예기간이 종료되는 2021년 8월부터 본인신용정보관리업자는 스크린스크래핑 방식을 이용하거나 제3자를 경유하여 정보를 수집할 수 없게 됨을 유의하여야 합니다. 유예기간 종료 이후에는 신용정보법에서 허용하고 있는 방식 이외의 방식으로 신용정보의 수집이 불가합니다. 다만, 본인신용정보관리업 허가를 받지 않은 자는 스크래핑 방식을 통해 개인신용정보를 수집할 수 있습니다. 대통령령으로 정하는 중계기관이란 종합신용정보집중기관, 금융결제원, 상호저축은행중앙회, 새마을금고 중앙회, 행정안전부, 코스콤, 한국정보통신진흥협회 등을 의미함 다른 사항들은 신용정보주체의 직접적인 전송요구권 침해행위를 금지하는 내용인데, 마지막 본인신용정보관리회사의 이익을 위해 금융소비자에게 적합하지 않다고 인정되는 계약 체결을 추천 또는 권유하는 행위는 전송요구권을 침해하지는 않으나 마이데이터 사업의 공정성을 훼손할 수 있는 행위에 해당합니다. 예를 들어 본인신용정보관리회사는 자사 또는 소속 금융그룹 계열사 금융상품을 항상 우선순위로 추천하는 방식으로 계열사의 매출액 증가에 부당하게 기여할 수 있습니다. 신용정보법에서는 원칙적으로 소비자와의 이해상충 방지 등 본인신용정보관리업자의 행위규칙을 준수하는 범위 내에서는 허용되지만, 공정거래법상의 부당지원행위에 해당할 가능성도 검토해볼 필요가 있습니다. 데이터의 가치가 점점 증대하면서 데이터의 일방적인 제공은 공정하지 않은 결과를 초래할 가능성이 높기 때문입니다. 수집 당시 동의를 받은 수집 목적에 마이데이터 업무에 활용하는 것이 포함되어 있다면 가능하나, 그렇지 않은 경우에는 새로운 동의를 받아야 합니다. 따라서 기업의 입장에서는 우선 마이데이터 업무에 활용할 수
- 아울러 과기정통부에서는 작년 5월 의료, 금융, 에너지, 유통 등의 분야에서 총 8개의 본인정보 활용지원 실증서비스 사업을 진행하였고, 금년 6월에도 의료, 금융, 모빌리티, 부동산 등의 6개 분야에서 8개의 마이데이터 실증서비스 과제를 선정하였는데, 작년과는 달리 정보주체인 개인이 주도적으로 데이터를 유통 활용할 수 있는 플랫폼(PDS: Personal Data Storage) 구축 및 운영을 주된 실증의 목적으로 삼는 등 마이데이터의 본질적인 개념에 부합하는 테스트 베드를 구축하고 있다. 다만, 실증사업은 기존의 법령 범위 내에서 이루어지는 것이고, 앞서 살펴본 바와 같이 현재 이동권이라는 개념이 명시적으로 존재하지 않는 상황이므로, 향후 이동권에 준하는 권리를 어떠한 방식으로 규격화할지 여부가 관건으로 보입니다. 한국데이터산업진흥원에서는 마이데이터 서비스를 제공하는 과정에서 이루어지는 개인정보의 수집ㆍ이용 동의 과정 방식 등을 권고하고 있습니다.
- 상기 권고사항들은 법적 구속력이 없지만 EU의 규정 등을 상당부분 차용하고 있으므로, 마이데이터 서비스 제공을 준비하고자 하는 기업들은 향후 법적 내지 실질적 준수의무 부담가능성을 감안하여 미리 준비할 필요가 있습니다. 또한 본인신용정보관리회사의 경우에도 본 가이드라인을 참고로 하여 UI 등을 구성하는 것이 바람직할 것입니다. 먼저, 핵심내용을 요약하여 제시하되 그림 표 등을 이용하여 직관적인 표현을 사용하고, 이해하기 쉬운 용어와 표현을 사용하며, 동의 여부에 따라 개인에게 발생할 수 있는 주의사항을 제시하는 것이 적절하다고 제시하고 있습니다. 신용정보법의 경우에는 이번에 개정을 하면서, 고지사항 중 그 일부를 생략하거나 중요한 사항만을 발췌하여 그 신용정보주체에게 알리고 정보활용 동의를 받을 수 있다는 내용이 명시되었는데, 이와 유사한 개념으로 이해하기 쉬운 동의서 및 개별적 동의는 개인이 개인데이터 활용에 관하여 충분히 이해한 상태에서 자신의 동의의사를 표현할 수 있는 권한을 갖는 것이 목적입니다. 기존에는 동의만 받으면 다른 요건과 관계없이 적법하게 개인정보를 활용할 수 있다는 잘못된 생각으로 동의 팝업창을 이용자가 쉽게 이해하기 어렵게 만들면서 동의를 받곤 하는 역설적인 모습을 보여왔는데, 동의에 관한 사항이 더욱 복잡해지는 마이데이터 서비스에서는 이러한 점을 개선하여 이용자의 명확한 이해가 수반된 동의를 얻도록 하는 것입니다.
- 그리고 이용자가 서비스 내에서 실시간으로 개인데이터 활용 동의의사를 확인하고 용이하게 변경(동의, 철회, 재동의)할 수 있도록 하며, 전체 동의 철회시 서비스 탈퇴로 연결될 수 있도록 시스템을 구성할 것을 권고하고 있다.
- 또한 이용자가 본인의 정보를 보관, 확인, 재활용하기 위해 언제든지 데이터를 기계가독형 혹은 사람이 읽을 수 있는 형식의 파일로 내려받을 수 있도록 하고 있으며, 이용자가 동의한 항목 및 개인데이터의 활용 내역 등을 이해하기 쉬운 방식으로 확인할 수 있도록 일종의 데이터 영수증을 발행할 것을 권하고 있다.
- 각 항목에 대한 개략적인 설명
- 과기정통부 MyData 실증서비스를 몇 가지 예시로 소개하면서 이슈를 짚어보기로 하겠습니다. 설명하기에 앞서, 실증서비스는 정부 주도 PoC 정도의 개념으로서, 규제샌드박스제도하의 실증규제특례와 달리 현재 존재하는 규제를 완화하는 것은 아니므로, 다른 기업들이 관련 서비스를 제공해도 현행법상 문제가 없습니다. 개인이 본인정보를 직접 내려받거나 동의하에 제3자에게 제공하여 다양한 분야의 개인데이터 활용 서비스를 누릴 수 있도록 본인정보 활용지원(MyData) 사업(이하 ‘마이데이터 사업’)을 추진하고 있습니다. 과제내용: 금융·비금융정보를 융합한 빅데이터 기반 맞춤형 금융상품 추천 서비스 제공 (주관기관) 엔에이치엔페이코㈜ / (참여기관) ㈜하나은행, 한화생명보험(주), 한화투자증권(주), 한화손해보험(주), 신한금융투자(주), 웰컴저축은행(주) 가이드라인을 준수하여 각종 동의 및 확인 창을 구현해놓았음
- https://zdnet.co.kr/view/?no=20200708154513&from=pc 블록체인 이슈 정보주체가 직접 입력한 개인신용정보를 단순 관리할 수 있는 UI 등을 제공하는 경우로서 개인신용정보가 금융회사 등 상거래기업의 서버에 저장되지 않고, 정보주체 이외에는 입력된 개인신용정보에 대해 접근·조회할 수 없는 경우에는 본인신용정보관리업에 해당하지 않음을 분명히 하고 있습니다. 금융위원회는 개인신용정보를 접근·저장하지 못하는 단순 가계부 어플 등을 상정하여 해당 기준을 제시하였으나, On-Device 방식의 위 사업모델에 의하면 실질직으로 마이데이터 서비스를 제공하면서도 본인신용관리업에 해당하지 않게 되는 결과가 초래될 가능성이 있어 보입니다.
- https://www.itdaily.kr/news/articleView.html?idxno=102007 2020년 실증사업의 개선방향이 뚜렷함. 마이데이터 관리 플랫폼을 중심으로 하여 데이터를 제공한 기업뿐만 아니라 제3자에게도 제공하여 이용자 본인이 다양한 분야에서 데이터 기반 맞춤형 서비스를 추천받을 수 있도록 함 가족데이터를 어떻게 제공받을지 문제될 수 있음. 특히 유전정보의 경우에는 본인 일가에 대한
- http://mediahub.seoul.go.kr/archives/1285248?tr_code=snews 버스이용의 경우 무승인 결제시스템인데, 실시간 데이터를 어떤 방식으로 수집할지 궁금
- http://mediahub.seoul.go.kr/archives/1285248?tr_code=snews 버스이용의 경우 무승인 결제시스템인데, 실시간 데이터를 어떤 방식으로 수집할지 궁금
- DB 관련 이슈는 데이터의 소유권에 대한 논의와 이어지는데, 원칙적으로 데이터에 대한 통제권은 개인정보 주체에게 인정되지만 기업들에게 인센티브, 예를 들어 해당 개인데이터에 비용과 시간을 투입하여 생성한 정보에 관한 우선적인 권리 등을 부여하지 않는다면 마이데이터 생태계의 구축이 어려울 가능성도 있기 때문입니다. 기업의 입장에서는
- 마무리 슬라이드 - 법인 홈피 주소 기입