깜깜이 데이터 수집은 차단하되, 혁신의 길은 열어야 [김현아의 IT세상읽기]

[이데일리 김현아 기자] “깜깜이 스크래핑을 없애야 한다”는 명제에 쉽게 반대할 사람은 없다.

스크래핑은 이용자가 직접 일일이 정보를 입력하지 않아도 기업이 이용자의 동의를 받아 여러 웹사이트에 흩어진 정보를 자동으로 가져와 한곳에서 보여주는 방식이다. 세금 환급이나 자산관리 서비스에서 국세청이나 금융기관 등에 있는 정보를 자동으로 조회해주는 것이 대표적인 사례다.

그동안 스크래핑은 핀테크와 세무, 맞춤형 헬스케어 등 다양한 혁신 서비스의 기반 역할을 해왔다. 하지만 이용자 입장에서는 자신의 개인정보가 어디서, 누구에게, 얼마나 흘러가는지 알기 어려운 비투명한 데이터 수집이라는 한계도 있었다. 무단으로 개인정보를 자동 수집하면서 보안 책임마저 불분명한 구조를 ‘혁신’이라는 이유로 방치할 수도 없다.

다만 여기서 분명히 짚어야 할 것이 있다. 문제는 스크래핑이라는 기술 자체라기보다 이용자의 통제권 없이 개인정보를 수집하거나, 수집 과정과 책임이 불투명했던 방식에 있다.

스크래핑 없애고, 혁신까지 없앨 것인가 [김현아의 IT세상읽기]

스크래핑 전환, ‘기술 퇴출’이 목표는 아니다

과연 스크래핑을 일률적으로 배제하는 것이 마이데이터 정책의 궁극적인 목표일까.

오는 20일부터 공공부문을 시작으로 개인정보 전송요구권, 이른바 마이데이터 제도가 본격 시행된다. 이용자가 자신의 정보를 원하는 기업에 직접 전송하도록 요구할 수 있는 제도다. 이에 따라 기존 스크래핑 방식은 앞으로 API(응용프로그램 인터페이스) 방식으로 빠르게 전환될 전망이다.

API 방식으로의 전환은 데이터 제공과 이용 과정의 투명성과 통제력을 높이는 데 의미가 있다. 다만 API라고 해서 보안 문제가 자동으로 해결되는 것은 아니다. 어떤 기술을 사용하느냐보다 개인정보를 어떤 절차와 기준에 따라 수집하고 관리하느냐가 더 중요하다.

스크래핑에 의존했던 기업들의 불안감이 커지자 개인정보보호위원회는 ‘사전협의’라는 안전판을 마련했다. 송경희 개인정보보호위원장은 “8월 20일에 당장 스크래핑을 100% 금지하고 API만을 강제하겠다는 뜻은 결코 아니다”라고 강조했다. 개보위는 이미 700여 건의 사전협의를 진행하며 기존 수집 방식의 한시적 유예와 API 전환을 위한 시간적 여유를 제공하고 있다.

정책 방향은 타당하다. 문제는 속도와 현실성이다.

[이데일리 이미나 기자]

대기업과 스타트업, 전환 비용은 ‘하늘과 땅’

대기업과 스타트업이 처한 환경은 크게 다르다. 카카오페이나 토스 같은 대형 핀테크 기업은 상당한 인력과 자본을 투입해 API 전환에 상대적으로 수월하게 대응할 수 있다.

반면 적은 인력과 자본으로 혁신적인 서비스를 만들어내는 스타트업에게 단기간 내 API 구축과 고도의 보안 체계 마련은 사업의 존폐를 가르는 거대한 장벽이 될 수 있다.

국민의 개인정보를 보호하려던 제도가 자칫 국민에게 유용한 서비스를 제공해온 혁신 스타트업의 시장 진입과 사업 지속을 가로막는다면 “과연 누구를 위한 규제인가”라는 질문을 던지지 않을 수 없다.

실제로 네이버(NAVER(035420))와 카카오(035720), 토스 등 국내 주요 플랫폼·핀테크 기업의 성장 과정에서 스크래핑이 혁신 서비스의 기반으로 활용된 것도 사실이다. 이미 시장에 진입해 규모를 키운 기업과 이제 막 데이터 기반 서비스를 개발하려는 후발 사업자 사이에 규제 전환 비용의 격차가 커진다면, 후발 핀테크나 헬스케어 기업 입장에서는 자칫 ‘사다리 걷어차기’로 받아들일 수 있다.

물론 ‘스타트업이니 규제 수준을 낮춰달라’는 주장은 아니다. 개인정보를 다루는 기업이라면 규모와 관계없이 기본적인 보안 조치를 갖추는 것이 당연하다.

다만 엄격한 책임을 요구하려면 그에 걸맞은 현실적인 지원도 뒤따라야 한다.

개인정보 보호와 혁신, 두 마리 토끼 잡아야

개보위가 사전협의 창구를 열어둔 것은 바람직하다. 여기에 그치지 않고 보다 구체적인 스타트업 지원책을 마련해야 한다. API 전환에 필요한 기술 가이드라인을 세밀하게 제공하고, 영세 사업자를 대상으로 보안 컨설팅과 개발 비용을 지원하는 방안도 적극 검토할 필요가 있다.

특히 기업 규모와 서비스 특성을 고려한 단계적인 전환이 필요하다. 모든 기업에 동일한 방식과 속도로 API 전환을 요구하기보다 개인정보 처리 규모와 위험 수준, 기술적 준비 정도 등을 종합적으로 고려해 전환 기간과 지원 수준을 달리하는 방안을 검토할 만하다.

또한 ‘스크래핑=절대 악’이라는 단순한 이분법에서도 벗어나야 한다. 문제의 본질은 기술 자체가 아니라 통제되지 않은 무단 수집과 이용자 통제권의 부재에 있다.

이용자의 명확한 동의 아래 필요한 데이터만 안전하게 수집하고 그 과정과 책임을 투명하게 관리한다면, 기술 방식만으로 선악을 가르는 접근은 지양해야 한다. 궁극적으로 중요한 것은 어떤 기술을 쓰느냐가 아니라 이용자가 자신의 데이터를 얼마나 안전하게 통제할 수 있느냐다.

마이데이터의 주인은 기업 아닌 ‘이용자’

마이데이터 생태계의 진정한 주인은 데이터를 수집하는 기업이 아니라 데이터를 만들어낸 이용자다. 제도의 성패 역시 기업 간 데이터 쟁탈전이 아니라 국민이 자신의 정보를 얼마나 안전하고 주도적으로 통제할 수 있게 됐느냐로 평가해야 한다.

음성적인 스크래핑 관행은 도려내야 한다. 그러나 낡은 관행을 걷어내는 과정에서 새로운 혁신의 싹까지 꺾어서는 안 된다. 작은 스타트업들이 상당한 전환 비용에 짓눌려 서비스를 접는다면 결국 그 피해는 새로운 데이터 서비스와 편의성을 누릴 국민에게 돌아간다.

규제는 비정상적인 시장을 바로잡는 단호한 칼이어야 한다. 미래의 혁신을 키울 사다리까지 걷어차는 도구가 돼서는 안 된다.

이번 마이데이터 전환 과정에서 개인정보보호위원회가 보여줘야 할 것은 ‘얼마나 강하게 규제했느냐’가 아니다. 개인정보를 안전하게 보호하면서도 스타트업들이 시장에서 살아남고 새로운 서비스를 만들어낼 수 있는 길을 얼마나 정교하게 열어줬느냐가 더 중요하다.

개인정보 보호와 산업 혁신은 결코 제로섬 게임이 아니다. 마이데이터 제도의 진정한 성공은 낡은 기술을 얼마나 빨리 퇴출하느냐가 아니라, 이용자의 데이터 주권을 굳건히 지키면서 얼마나 안전하고 역동적인 데이터 생태계를 조성했느냐로 평가받아야 할 것이다.