“무단 정보 수집 금지”…개인정보위, 스크래핑에서 API로 단계적 전환 추진

[IT동아 김예지 기자] 오는 8월 20일부터 공공 분야를 시작으로 마이데이터의 ‘본인전송요구권’이 전면 확대 시행된다. 이번 개정 개인정보보호법의 핵심은 관행적으로 이뤄져 온 무단 스크래핑(Scraping)을 제한하는 데 있다. 개인정보보호위원회(개인정보위)는 사전협의 없는 무단 스크래핑을 금지하는 한편, 사전협의를 거친 ‘약속된 스크래핑’은 한시적으로 허용한다고 밝혔다. 장기적으로는 정밀한 데이터 통제가 가능한 API 방식으로 전환해 안전성을 높이면서도 서비스의 연속성을 보장하겠다는 구상이다. 마이데이터 제도 / 출처=개인정보위 본인전송요구권은 정보주체가 보유 기관에 자신의 정보를 본인 또는 제3자에게 전송해 달라고 요구하는 권리를 뜻한다. 국민이 직접 행사하거나, 금융사나 핀테크 서비스 기업(대리인) 등에게 위임할 수 있다. 지난 2월 개인정보보호법 시행령 개정으로 의료·통신·에너지 등에 한정되던 범위가 전 영역으로 확대됐다. 공공기관은 오는 8월 20일, 민간 기업은 내년 2월 20일부터 적용된다. 무분별한 스크래핑 관행, 단계적 전환 목표 핵심 쟁점은 ‘안전한 전송방식’ 규정이다. 그간 대리인은 공공기관 홈페이지 데이터를 가져올 때 스크래핑 기술을 활용했다. 스크래핑은 이용자의 아이디, 비밀번호, 공동인증서 등 접속 권한을 넘겨받아 대리인이 대신 로그인한 뒤 비공개 정보를 수집하는 방식이다. 편리한 장점 덕분에 서류 자동 제출 서비스 등 널리 쓰이나, 인증정보가 사업자 서버에 남는 구조이다 보니 유출·오남용 위험이 있었고 사후 통제도 어려웠다. 과도한 접속으로 공공기관 서버 부하와 서비스 지연을 일으키기도 했다. 앞으로는 공공기관과 대형 기업(평균 매출 1800억 원 초과 및 개인정보 100만 명 이상 또는 민감정보 5만 명 이상 처리)이 스크래핑으로 수집하려면, 공공기관과 사전협의한 방식으로만 전송하도록 바뀐다. 개인정보위가 제시한 해법은 단계적 전환이다. 1단계가 사전협의를 통한 ‘약속된 스크래핑’으로, 대리인은 전송 범위, 신원 확인 방식, 스크래핑 접근 방식, 인증 수준, 보호조치, 비용 부담 등을 사전에 협의해야 한다. 나아가, 2단계 목표는 API 방식으로의 완전 전환이다. API 방식은 전용 통로로 필요한 정보만 주고받는 방식으로, 안전성이 높다. 개인정보위 관계자는 “현재는 대리인 접속도 국민 본인의 조회로 표시되지만, 약속된 스크래핑을 통해서는 전송 이력 확인이 가능해진다. 또한 API...