마이데이터변호사, 본인신용정보관리업 허가부터 정보전송·동의·보안과 금융당국 대응 기준

금융 분야 마이데이터는 개인이 자신의 신용정보를 원하는 곳으로 전송하도록 요구하고 이를 기반으로 통합조회·분석 등의 서비스를 이용할 수 있도록 하는 제도입니다. 사업자는 본인신용정보관리업 허가 여부와 전송 가능한 정보의 범위, 이용자의 전송요구·철회, 개인신용정보의 이용·제공과 보안체계 및 금융위원회의 감독·검사 가능성을 사업구조 전체에서 검토해야 합니다.

신용정보법은 본인신용정보관리업을 개인인 신용정보주체의 신용관리를 지원하기 위해 본인의 신용정보를 일정한 방식으로 통합하여 제공하는 업무로 규율하고 있습니다. 따라서 금융데이터를 한 화면에 보여주거나 분석·추천 서비스를 제공한다고 해서 모두 동일한 법적 구조가 적용되는 것은 아니며 실제 서비스가 어떤 정보를 누구로부터 받아 어떤 방식으로 처리하는지를 먼저 확인해야 합니다.

또한 금융 마이데이터와 개인정보 보호법상 범정부 마이데이터는 적용 법률과 사업구조가 다를 수 있습니다. 금융서비스를 준비하는 기업이라면 신용정보법상 본인신용정보관리업과 개인정보 보호법상 전송요구권을 혼동하지 않고 현재 사업이 어느 규제체계에 해당하는지 구분하는 것이 중요합니다.

1. 서비스가 본인신용정보관리업에 해당하는지 먼저 확인해야 합니다

마이데이터 서비스를 기획할 때 가장 먼저 검토할 문제는 회사가 수행하려는 업무가 신용정보법상 본인신용정보관리업에 해당하는지 여부입니다. 단순한 금융정보 조회 기능인지, 이용자의 전송요구에 따라 여러 기관의 개인신용정보를 수집·통합하여 제공하는 구조인지에 따라 법적 평가가 달라질 수 있습니다.

본인신용정보관리업에 해당한다면 원칙적으로 금융위원회의 허가가 전제되어야 하므로 서비스를 개발한 뒤 허가 여부를 검토하기보다 사업모델을 설계하는 단계에서 규제대상성을 확인하는 것이 좋습니다.

2. 본인신용정보관리업은 금융위원회 허가가 문제됩니다

신용정보법은 본인신용정보관리업을 신용정보업 등과 함께 허가 대상으로 규율하고 있습니다. 허가를 준비하는 사업자는 법률과 시행령에서 정한 자본·인력·물적 설비와 사업계획 등 허가요건을 확인해야 합니다.

현행 신용정보법 시행령은 허가신청 시 정관과 자본금 또는 기본재산 관련 서류, 재무제표, 사업계획서 및 예상 수입·지출 계산서 등 필요한 자료를 제출하도록 규정하고 있습니다. 실제 허가 여부는 법령과 금융위원회 고시에서 정한 세부요건을 함께 검토해야 합니다.

따라서 스타트업이나 플랫폼 기업이 금융데이터 서비스를 새로 도입하려는 경우 개발업체와 API 연동계약부터 체결하기보다 서비스가 허가업무에 해당하는지를 먼저 확인하고 필요한 조직·인프라를 허가일정에 맞추어 준비하는 것이 중요합니다.

3. 이용자의 개인신용정보 전송요구권을 기준으로 구조를 설계해야 합니다

신용정보법 제33조의2는 개인인 신용정보주체가 신용정보제공·이용자 등이 보유한 본인의 개인신용정보를 본인이나 본인신용정보관리회사 등 법에서 정한 대상에게 전송하도록 요구할 수 있도록 규정하고 있습니다.

전송요구가 가능하다고 해서 금융기관이 보유한 모든 자료를 제한 없이 받을 수 있는 것은 아닙니다. 전송 가능한 개인신용정보의 범위는 법률과 시행령에서 별도로 정하고 있으므로 실제 서비스에서 요청하는 데이터 항목을 법정 전송대상과 대조해야 합니다.

이용자는 전송요구를 철회할 수도 있으므로 철회 이후 신규 데이터 전송을 어떻게 중단하고 기존에 수집한 정보는 어떤 법적 근거에 따라 보유·처리할 것인지까지 서비스 정책에 반영할 필요가 있습니다.

4. 전송받은 정보의 이용목적을 명확하게 관리해야 합니다

마이데이터 사업자가 데이터를 적법하게 전송받았다고 해서 이후 자유롭게 모든 목적으로 사용할 수 있는 것은 아닙니다. 신용정보법상 개인신용정보 이용과 제공에는 별도의 법적 근거와 동의요건 등이 적용될 수 있으므로 데이터 전송과 이후 활용을 구분해야 합니다.

서비스 가입과정에서는 통합자산 조회에 필요한 정보와 금융상품 추천·마케팅에 활용하려는 정보를 구분할 필요가 있습니다. 이용자가 예상하기 어려운 방식으로 데이터를 활용하거나 당초 고지한 목적을 넘어 제3자에게 제공하는 구조가 되지 않는지 점검해야 합니다.

5. 인증정보 탈취와 부당한 전송요구에 대한 통제가 필요합니다

개인신용정보 전송 과정에서는 이용자가 실제로 전송을 요구했는지 확인할 수 있는 인증절차와 보안체계를 갖추는 것이 중요합니다. 신용정보법 시행령은 본인의 전송요구가 확인되지 않거나 제3자의 기망·협박 또는 인증정보 탈취 등 부당한 방법에 따른 전송요구가 확인되는 일정한 경우 전송을 거절하거나 정지·중단할 수 있도록 관련 기준을 두고 있습니다.

따라서 단순히 로그인에 성공했다는 이유만으로 모든 전송요구가 적법하다고 처리하기보다 비정상적인 기기나 반복적인 요청, 계정탈취 의심상황을 탐지하고 추가 인증이나 전송중단이 가능하도록 내부 절차를 마련할 필요가 있습니다.

전송요구를 거절하거나 전송을 중단하는 경우에도 법령에서 요구하는 이용자 통지절차가 적용될 수 있으므로 보안정책과 고객안내 절차를 함께 설계하는 것이 중요합니다.

6. 개발·클라우드·분석업체 위탁계약도 점검해야 합니다

마이데이터 사업자는 서비스 개발과 운영 과정에서 클라우드 사업자, 고객상담 업체, 데이터 분석기업이나 보안업체 등 여러 외부 사업자와 협업할 수 있습니다. 이 과정에서 개인신용정보가 외부 사업자에게 제공되거나 해당 업체가 정보처리 과정에 접근한다면 그 법적 관계를 명확하게 해야 합니다.

외부회사가 단순한 업무수탁자인지 독립적인 목적으로 정보를 이용하는 제3자인지에 따라 계약과 이용자 고지·동의 구조가 달라질 수 있습니다. 위탁계약에는 처리할 정보와 목적, 접근가능 인력, 보안조치, 재위탁 조건과 사고 발생 시 통지·조사협력 내용을 구체적으로 정하는 것이 좋습니다.

특히 시스템 개발사가 운영환경에 지속적으로 접근하는 구조라면 개발이 종료됐다는 이유로 법적 검토를 끝내지 말고 실제 운영단계의 접근권한과 로그관리까지 점검해야 합니다.

7. 정보유출 사고에 대비한 내부통제 체계가 필요합니다

마이데이터 서비스에는 여러 금융기관의 개인신용정보가 통합될 수 있으므로 정보유출이나 계정탈취가 발생하면 피해범위가 커질 수 있습니다. 사업자는 권한관리와 접근통제, 로그기록, 이상거래·접속 탐지 및 내부 임직원의 정보반출 방지체계를 지속적으로 운영할 필요가 있습니다.

신용정보회사 등에는 신용정보 관리·보호와 관련된 내부통제 의무가 적용될 수 있으며, 신용정보관리·보호인을 중심으로 관련 법령과 내부규정 준수 여부를 점검하는 체계를 마련해야 합니다.

사고가 발생했을 때에는 기술적 복구뿐 아니라 어떤 정보가 언제 누구에게 노출되었는지 확인하고 관련 법령상 통지·신고 의무와 금융당국 대응을 신속하게 검토해야 합니다. 평상시에 사고대응 매뉴얼을 구축하지 않으면 실제 사고 시 사실관계 파악과 규제기관 보고가 지연될 수 있습니다.

8. 금융위원회의 감독·검사와 제재 가능성도 고려해야 합니다

신용정보법은 금융위원회가 신용정보회사 등에 대해 법 준수 여부와 업무·재산상태를 감독·검사할 수 있는 근거를 두고 있습니다. 따라서 마이데이터 사업자는 허가를 받은 이후에도 지속적인 규제준수 체계를 운영해야 합니다.

검사과정에서는 이용자의 동의화면만 아니라 개인신용정보 수집·이용·제공 내역과 위탁관계, 내부통제, 정보보호 체계 및 실제 시스템 기록 등이 확인될 수 있습니다. 규정과 실제 업무가 다르게 운영되고 있다면 검사 초기부터 사실관계를 정확하게 파악하는 것이 중요합니다.

법 위반이 문제되는 경우에는 시정조치와 제재 등으로 이어질 가능성이 있으므로 조사자료를 임의로 수정하기보다 당시 운영상태를 객관적으로 정리하고 위반 여부와 시정내용을 구분하여 대응해야 합니다.

9. 마이데이터 법률대응은 단계별로 준비해야 합니다

사업모델 검토부터 금융당국 대응까지

마이데이터변호사 상담을 준비한다면 서비스 이용약관이나 개인정보 처리방침만 준비하기보다 데이터 흐름도를 함께 정리하는 것이 좋습니다. 어떤 회사가 데이터를 보유하고 어떤 경로로 전송되며 어느 서버에 저장된 뒤 어떤 알고리즘이나 제휴서비스에서 이용되는지를 확인해야 실제 법적 쟁점을 파악할 수 있기 때문입니다.

신규 서비스를 추가하는 경우에도 기존 허가범위 안에서 가능한 업무인지, 새로운 종류의 신용정보를 수집하거나 제3자에게 제공하는 구조가 추가되는지를 다시 검토할 필요가 있습니다. 마이데이터 서비스는 출시 당시 적법했더라도 기능과 제휴사가 변경되면서 데이터 흐름이 달라질 수 있습니다.

결국 마이데이터 법률대응의 핵심은 서비스 명칭만으로 규제를 판단하지 않고 실제 개인신용정보의 전송·통합·이용 구조를 기준으로 허가 여부를 확인한 뒤 이용자의 전송요구와 동의·철회, 위탁·제3자 제공, 보안·내부통제와 금융당국 감독까지 데이터의 전체 생애주기에서 관리하는 것입니다.

공식 참고자료