국내 금융분야 마이데이터 정책의 개인정보보호 강화방안 연구 : 유럽 PSD2 사례로 살펴본

국문 초록 (Abstract)

데이터 기반 경제시대에서 데이터 활용능력이 경쟁력이 됨에 따라 개인정보의 보호와 더불어 개인정보의 활용을 통한 경제적 부가가치를 창출하려는 노력이 함께 강조되고 있다. 이 가운데 등장한 금융분야 마이데이터 정책은 정보 주체인 개인의 자기정보통제권을 강화하고, 혁신적인 상품과 서비스를 제공하는 핀테크 업체 등이 금융 시장에 진입하여 대형 은행들과 공평하게 경쟁함으로써 금융 산업의 효율성과 경쟁력을 크게 제고할 것으로 기대된다. 하지만 이러한 정책 시행으로 개인의 소중한 금융 데이터 및 관련 정보가 금융기관에서 제3자 회사로 이동함에 따른 데이터 프라이버시와 해 킹 등의 보안사고 위험이 커진 것도 사실이다.
본 연구에서는 전 세계 오픈뱅킹의 시초가 된 EU의 PSD2(the Second Payment Service Directive) 제도와 규제적 기술기준인 RTS(Regulatory Technical Standards)의 내용을 중심으로 국내 금융분야 마이데이터 정책들을 비교해보고, 금융분야 마이데이터 정책의 개인정보보호 및 보안 위험요소들을 개인정보 생명주기(Lifecycle)별로 나누어 분석해 보았다.
금융분야 마이데이터 정책의 개인정보 보호 및 보안 위험 요소는 크게 3가지로 나누어 볼 수 있다. 첫째 데이터 수집단계에서 정보 주체자의 동의와 관련된 위험, 둘째 데이터 제공 및 이용 단계에서데이터 전송 방식의 위험, 셋째 데이터 저장 및 파기 단계에서 정보처리자의 관리상의 위험이 존재한다.
이러한 위험들에 대해서 적절한 제도 및 기준을 설정할 필요가 있는 데, 첫째 데이터 수집단계에서는 ‘정보이동권’과 같은 정보주체의 권리 보장과 동의 제도의 합리화가 필요하고, 두 번째 데이터제공 및 이용 단계에서는 제공방식의 보안성 확보를 위한 API 방식의 의무화 및 강력한 본인인증 절차 이행 등 기술적 기준 마련과 실행이 필요하며, 세 번째 데이터 저장 및 파기 단계에서는 정보처리자의 책임 및 의무를 강화하는 규제 제도가 필요하다.

디지털 금융 시대의 빠른 기술변화에 맞추어 관련 정책과 제도들을 대응시키고 변경하는 것은 매우 어려운 일이다. 기존의 보호 위주의 개인정보보호 정책도 문제이지만 현재의 핀테크업 활성화 및 개방 중심의 규제 완화 정책 역시 위험부담이 크다. 개인정보 보호와 활용이 적절히 균형을 이루도록 국내 금융분야 마이데이터 정책들을 실효성 있게 정착시켜 국민적 신뢰를 얻고 금융 산업 경쟁력 제고를 이루어 나가야 하겠다.

다국어 초록 (Multilingual Abstract)

As the ability to use data becomes competitive power in the data-driven economy, the effort to create economic value by using personal data is emphasized as much as to protect personal data. EU’s PSD2(the second Payment Service directive) became the initiative of the Open Banking trends all over the world, as it is the Mydata policy which protects the data subject’s right by empowering the subject to control over the personal data with the right to data portability and promotes personal data usages and transfer. Since the MyData policy in financial sector is expected to greatly enhance the efficiency and competitiveness of the financial industry by empowering individuals with so much control over their own data and giving Fintech companies with innovative products and services an opportunities to compete fairly with large banks in the financial market, Korean government is now fast adopting EU’s PSD2 in financial sector and promoting various polices. However, there is growing concerns in personal data abuse and misuse, and data breach. The data privacy and security risks has increased due to the personal financial data and other personal data’s migration from banks to the third parties.

This study analyzes domestic financial Mydata policy in comparison with EU’s PSD2 and focus on Personal information life-cycle risks of financial Mydata policy. Some suggestions on how to promote personal information and privacy in domestic financial Mydata Policy will be given.

목차 (Table of Contents)

• 제1장 서론 1
• 제1절 연구 배경과 목적 1
• 제2절 연구 방법 및 구성 5
• 제2장 마이데이터 정책의 의의와 해외 사례 6
• 제1절 정보이동권과 마이데이터 정책 6
• 제2절 금융분야 마이데이터 정책의 의의와 효과 8
• 제3절 해외 금융분야 마이데이터 정책 사례 10
• 1. 영국 10
• 2. 호주 12
• 제3장 EU PSD2와 국내 금융분야 정책의 비교 13
• 제1절 EU PSD2와 관련 법령 13
• 1. 개정 배경과 목적 13
• 2. 주요 내용 15
• 2.1. 계좌정보서비스 제공업자(AISP) 17
• 2.2. 지급지시서비스 제공업자(PISP) 18
• 2.3. 소비자 보호 강화 및 투명성 제고 20
• 3. 입법 현황 21
• 4. 규제적 기술기준: RTS(Regulatory Technical Standards) 21
• 4.1. 강력한 고객 인증(SCA) 22
• 4.2. 개방형 통신 표준(CSC) 24
• 5. 국내 금융분야 마이데이터 정책과 비교 24
• 제2절 국내 금융분야 마이데이터 정책 26
• 1. 데이터 산업 활성화 정책 26
• 2. 은행권 공동 오픈플랫폼 개발 사업 29
• 2.1. 초기 금융권 공동 핀테크 오픈플랫폼 구축 사업 30
• 2.2. 개방형 금융결제망(오픈뱅킹) 구축 32
• 3. 전자금융업 관련 체계 및 규제 개혁 34
• 제4장 마이데이터 정책의 개인정보 생명주기별 위험 요소 36
• 제1절 핀테크 활성화와 개인정보보호 36
• 제2절 데이터 수집 단계의 위험: 동의의 위험 39
• 제3절 데이터 이용과 제공 단계의 위험: 수집 및 제공 방식의 위험 41
• 제4절 데이터 저장과 파기 단계의 위험: 관리의 위험 44
• 제5장 개인정보 보호 및 보안 강화 방안 45
• 제1절 마이데이터 정책의 개인정보보호방안 45
• 제2절 데이터 수집 단계: 정보주체의 권리 보장과 동의 제도의 합리화 46
• 1. 정보주체의 권리 보장 46
• 2. 동의 제도의 합리화 48
• 제3절 데이터 이용 및 제공 단계: 제공 방식의 보안성 확보 51
• 1. 강력한 본인인증 절차의 이행 51
• 2. API 방식의 인터페이스 의무화 52
• 제4절 데이터 저장 및 파기 단계: 정보처리자의 책임 및 의무 강화 54
• 1. 예방 중심의 개인정보보호원칙 (Data Protection by Design and Default) 56
• 2. 개인정보영향평가(PIA)의 의무화 및 평가 결과 공개 58
• 3. DPO 지정 의무화 60
• 제6장 결론 65
• 참고문헌 68