넥서스 금융 브리핑

누구에게

본인의 신용정보를 가진 개인 전부

무엇을

내 정보를 원하는 곳으로 옮기라고 요구할 권리

언제부터

2020년 8월 5일 전송요구권 시행, 2021년 사업자 허가 시작

어디서 확인

마이데이터 종합포털과 이용 중인 앱의 전송요구 관리 화면

01 · 이 제도는 무엇을 정하는가

규칙의 내용

마이데이터의 법률상 이름은 본인신용정보관리업이다. 여러 금융회사에 흩어져 있는 개인의 신용정보를 모아 통합해 보여 주는 사업이다. 아무나 할 수 없고 금융위원회의 허가를 받아야 한다. 허가 없이 이 업무를 하면 무허가 영업이 된다.

제도의 중심은 전송요구권이다. 신용정보법 제33조의2가 개인신용정보의 전송요구를 정한다. 정보주체가 자기 정보를 가진 금융회사에 대해 그 정보를 특정한 곳으로 보내라고 요구할 수 있는 권리다. 정보를 받는 쪽이 요청하는 구조가 아니라, 본인이 요구하고 본인이 받을 곳을 정하는 구조다.

정보를 주고받는 방식도 정해져 있다. 마이데이터 사업자는 표준화된 응용프로그램 접속 규격, 곧 표준 API를 통해 개인신용정보를 받는다. 이용자의 아이디와 비밀번호를 대신 입력해 화면을 긁어 오는 방식은 허용되지 않는다.

전송요구는 신용정보법 제33조의2에 따라 언제든 철회할 수 있다. 철회하면 그 뒤로는 정보가 넘어가지 않는다. 마이데이터 사업자는 정보주체의 이익을 먼저 고려해야 하고, 자기 회사의 다른 사업과 이해가 충돌하지 않도록 내부 규정을 두어야 하며, 정보를 언제 누구에게 보냈는지 기록을 남겨야 한다.

02 · 왜 만들어졌는가

이 규칙이 없던 시절

이 제도가 없던 시절에도 여러 계좌를 한 화면에 모아 보여 주는 서비스는 있었다. 방식이 문제였다. 이용자에게서 인터넷뱅킹 아이디와 비밀번호를 받아 사업자가 대신 접속해 화면을 긁어 오는 방식이었다. 이용자의 접근매체가 통째로 사업자에게 넘어갔고, 사고가 나면 책임을 나누기가 어려웠다.

동시에 반대편의 문제도 있었다. 개인의 금융정보는 금융회사가 쥐고 있었고, 정보주체는 자기 정보를 다른 곳으로 옮길 방법이 없었다. 오래 거래한 은행이 가진 거래 기록을 근거로 다른 곳에서 더 나은 조건을 받고 싶어도 그 기록을 꺼낼 수단이 없었다.

전송요구권은 이 두 문제를 함께 다룬다. 정보를 옮길 권리를 정보주체에게 주되, 옮기는 통로를 표준 규격으로 정해 비밀번호를 넘기지 않아도 되게 했다. 정보를 모으는 사업은 허가를 받게 해 감독 대상으로 삼았다. 전송요구권을 담은 신용정보법 제33조의2는 2020년 2월 4일 신설됐고 개정 신용정보법은 2020년 8월 5일 시행됐다. 금융위원회는 2021년부터 사업자 허가를 내주기 시작했다.

제도가 돌아가기 시작하자 새로운 문제가 드러났다. 이용자가 어떤 정보를 어디에 넘겼는지 스스로 파악하기 어려웠고, 한 번 넘어간 정보가 제3자에게 다시 넘어가는 경로가 잘 보이지 않았다. 금융당국은 마이데이터 2.0이라는 이름으로 이용 연령을 14세 이상으로 낮추고, 제3자에게 정보를 판매할 때 지정된 시스템을 쓰도록 의무화하는 등의 보완을 추진했다.

03 · 실제로 어떻게 작동하는가

적용 요건과 예외

마이데이터는 권리 하나와 통로 하나로 이뤄져 있다. 권리는 전송요구권이고 통로는 표준 API다. 무엇이 넘어가고 무엇이 넘어가지 않는지를 구분하는 것이 핵심이다.

허가받은 사업자만

본인신용정보관리업은 금융위원회의 허가를 받아야 한다. 앱이 계좌를 모아 보여 준다고 해서 모두 마이데이터 사업자는 아니다. 허가 여부는 마이데이터 종합포털과 금융회사 공시에서 확인할 수 있다.

전송요구는 본인이 한다

정보를 넘기라고 요구하는 주체는 정보주체 본인이다. 어느 회사의 어떤 정보를 어디로 보낼지 본인이 고른다. 금융회사가 임의로 정보를 넘길 수 없고, 마이데이터 사업자가 대신 요구할 수도 없다.

표준 API로만

정보는 표준화된 접속 규격을 통해 오간다. 이용자의 아이디와 비밀번호를 사업자에게 넘겨 대신 접속하게 하는 방식은 쓰이지 않는다. 접근매체를 남에게 주지 않고도 정보를 옮길 수 있게 한 것이 이 방식의 목적이다.

넘어가는 정보

예금과 대출의 잔액과 거래 내역, 카드 이용 내역, 보험 계약 정보, 증권 계좌의 보유 내역처럼 금융거래에서 생긴 신용정보가 대상이다. 어떤 항목이 넘어가는지는 전송요구 화면에 목록으로 표시된다.

넘어가지 않는 정보

마이데이터 사업자가 볼 수 있는 것은 전송요구한 항목뿐이다. 요구하지 않은 계좌, 다른 금융회사의 정보, 금융거래와 무관한 개인정보는 넘어가지 않는다. 계좌에서 돈을 빼내는 권한은 전송요구에 포함되지 않는다.

철회와 기록

전송요구는 언제든 철회할 수 있다. 철회하면 그 시점 이후의 전송이 멈춘다. 사업자는 정보를 언제 어디서 받아 어디에 썼는지 기록을 남겨야 하고, 이용자는 자기 전송요구 내역을 조회할 수 있어야 한다.

이해상충 금지

마이데이터 사업자는 정보주체의 이익을 자기 이익보다 앞세워야 한다. 모은 정보를 자기 상품을 파는 데만 유리하게 쓰지 못하도록 내부 관리규정을 두게 되어 있다.

04 · 나에게 어떻게 적용되는가

상황별로 본다

01
앱 하나에 여러 은행 계좌를 다 연결했다
그 앱이 마이데이터 허가를 받은 사업자인지 먼저 확인한다. 허가 사업자라면 표준 규격을 통해 정보만 받아 간다. 연결할 때 어떤 항목에 전송요구를 했는지 화면에 나오므로, 필요 없는 항목은 빼고 요구하는 것이 낫다.
02
앱이 아이디와 비밀번호를 알려 달라고 한다
마이데이터 방식이 아니다. 인터넷뱅킹 아이디와 비밀번호는 접근매체이고, 이를 남에게 넘기면 사고가 났을 때 이용자 본인의 책임으로 넘어갈 수 있다. 정식 전송요구 절차는 비밀번호를 요구하지 않는다.
03
더는 쓰지 않는 앱에 내 정보가 계속 간다
전송요구를 철회하면 그 시점부터 전송이 멈춘다. 앱을 지우는 것만으로는 철회가 되지 않는다. 앱 안의 전송요구 관리 화면이나 마이데이터 종합포털에서 연결 내역을 확인하고 하나씩 끊어야 한다.
04
마이데이터 앱이 대출을 권하는데 조건이 좋아 보인다
모아 놓은 정보를 근거로 상품을 권하는 것 자체는 허용된다. 다만 사업자는 정보주체의 이익을 먼저 고려해야 한다. 권유받은 조건이 실제로 유리한지는 다른 곳의 조건과 비교해 확인해야 한다.
05
정보가 제3자에게 넘어간 것 같다
마이데이터 사업자는 정보를 언제 누구에게 제공했는지 기록을 남겨야 한다. 먼저 이용 중인 앱에서 제3자 제공 내역을 조회하고, 동의한 적이 없다면 사업자에게 설명을 요구한 뒤 금융감독원에 민원을 제기할 수 있다.

05 · 아직 해결되지 않은 것

이 규칙이 막지 못하는 것

제도의 빈틈

규칙이 있다고 해서 다 막히는 것은 아니다.

01
전송요구는 본인이 하지만, 실제 화면에서는 여러 항목에 한꺼번에 동의를 누르게 되어 있는 경우가 많다. 어떤 정보가 넘어가는지 항목별로 따져 보고 고르는 이용자는 많지 않다.
02
정보가 마이데이터 사업자에게 넘어간 뒤 다시 제3자에게 흘러가는 경로는 이용자가 추적하기 어렵다. 기록은 남지만 그 기록을 찾아 읽는 부담은 이용자에게 있다.
03
여러 곳에 전송요구를 해 놓은 이용자일수록 관리해야 할 연결이 늘어난다. 앱을 지워도 전송요구는 남기 때문에 본인이 잊은 연결이 계속 유지되는 상황이 생긴다.
04
모은 정보로 상품을 권하는 구조는 사업자의 수익 모델과 맞물려 있다. 이해상충 금지 규정이 있어도 어떤 상품이 왜 먼저 보이는지는 이용자에게 드러나지 않는다.
05
허가받지 않은 사업자가 비슷한 화면을 만들어 계좌 정보를 요구하는 경우를 이용자가 구별하기 어렵다. 허가 여부를 확인하지 않으면 아이디와 비밀번호를 넘기는 옛 방식으로 되돌아갈 수 있다.

이 제도가 적용되는 상품