‘스크래핑 차단’ 8월말 유예 종료…은행권 초비상

금융사와 핀테크사 등 본인전송요구의 대리인은 고객의 동의 아래 아이디·비밀번호 등 인증정보를 받아와, 가족관계등록시스템이나 국세청 등에 로그인할 수 있었다. 이를 통해, 이들은 비공개된 정보 등을 수집하는 ‘스크래핑(scraping)’ 방식으로 정보를 전송받았다. 고객은 일일이 가족관계증명서, 소득금액증명원 등을 발급받아 제출할 필요가 없었다.

그러나, 내달 1일부터는 과거처럼 고객이 다시 관공서를 직접 돌며 서류를 일일이 떼야 하는 ‘아날로그’ 시대로 회귀할 수 있다는 우려가 나오고 있다. 공공기관의 개인정보를 자동으로 가져오는 ‘스크래핑’ 방식이 개인정보 보호 강화를 위해 지난 20일부터 제한되기 시작하면서다. 법원은 일선의 혼란을 우려해 이달 31일까지 시행을 한시적으로 유예했다.

26일 금융권에 따르면, 각 은행은 스크래핑이 본격 제한되는 9월 1일을 앞두고 크게 긴장하고 있다. 각 은행이 스크래핑에 대한 대체 시스템을 제대로 구축하지 않으면, 고객이 직접 증명서를 발급해 제출하거나, 사진을 찍어 올리는 방식으로 되돌아갈 가능성이 제기되고 있다. 

은행권은 대출 이외에도 통장개설, 상속인 조회 등을 포함한 비대면 금융업무에서 행정기관 정보를 확인하기 위해 스크래핑을 광범위하게 활용해 왔다. 가족관계 확인 등에 필요한 증빙서류를 대법원 시스템에서 자동으로 확인하는 방식이 대표적이다. 

스크래핑은 기업이 고객을 대신해 공공기관 홈페이지에 로그인한 뒤 필요한 정보를 자동으로 추출하는 기술이다. 소비자 입장에서는 ‘서류 제출을 없애주는 기술’이지만, 개인정보 보호 측면에서는 약점이 있다.

개인정보위는 이를 “택배기사에게 집 비밀번호를 알려주고 필요한 물건을 대신 가져오게 하는 것”에 비유한다. 이용자의 아이디·비밀번호 등 인증정보가 제3자에게 넘어갈 수 있고, 대리인이 필요한 정보 외에 다른 정보까지 접근할 가능성도 있기 때문이다. 반복적인 자동 접속으로 공공기관 시스템에 트래픽 부담을 줄 수 있다는 문제도 있다. 

스크래핑 방식의 장기적인 대안으로, 개인정보보호위원회 등 정부 부처들은 응용 프로그래밍 인터페이스(API) 방식을 제시한다. 금융회사나 핀테크가 공공기관 홈페이지에 직접 들어가는 대신, 이 방식은 공공기관이 정해진 전용 통로를 통해 요청받은 정보만 보내준다. 택배기사를 집에 들이는 대신, 필요한 물건을 무인 택배함에 넣어두고 기사가 가져가도록 하는 방식이라고 개보위는 설명하고 있다.

이번 제도를 둘러싸고 금융권에서 혼선이 커진 것은 ‘8월 20일부터 스크래핑이 전면 금지된다’는 인식이 퍼졌기 때문이다. 실제 개인정보위의 설명은 다르다. 지난 20일부터 시행된 본인전송요구권 확대는 스크래핑 자체를 일률적으로 금지하는 제도는 아니다. 

기업이 자동화 도구를 이용해 고객의 개인정보를 전송받으려면, 정보보유기관과 △전송 범위, △대리인 확인 방법, △접근·인증 수준, △보안조치 등을 사전에 협의하도록 한 것이 핵심이다. 개인정보위는 공공기관의 API가 당장 모두 구축되기 어려운 현실을 감안해, 사전협의를 거친 사업자에게는 기존 스크래핑을 ‘약속된 스크래핑’ 형태로 한시적으로 유지할 수 있도록 하고 있다. 궁극적으로는 API 방식으로 전환한다는 구상이다. 

이미 사전협의 수요도 상당하다. 개인정보위가 6월 25일부터 두 차례 시범운영한 결과 △1차에서 약 70개 기관이 150건, △2차에서 약 550건을 신청했다. 개인정보위는 31일까지 3차 신청을 받고 있으며, 이번에는 소규모 사업자와 마이데이터 자격이 없는 사업자까지 신청할 수 있도록 문턱을 낮췄다.

즉, 지난 20일은 스크래핑 서비스가 일제히 사라지는 날이라기보다, ‘무단 스크래핑에서 사전협의 방식으로 넘어가는 전환점’이라고 보는 것이 정확하다.

문제는 개인정보보호법상 본인전송요구권 제도와 별개로 대법원이 자체적으로 가족관계등록시스템 등의 스크래핑을 제한하고 있다는 점이다. 대법원은 당초, 지난 20일부터 가족관계증명서와 후견 등기사항부존재증명서 등의 인터넷 발급 과정에서 금융기관 등이 자동화 프로그램을 이용해 정보를 가져오는 것을 제한하려 했다. 법원은 가족관계증명서 인터넷 발급 과정에서의 대리인 스크래핑이 관련 법률과 충돌할 소지가 있고, 자동화 접속에 따른 시스템 부담과 개인정보 보호 문제도 있다는 입장이다. 

그러나 금융권의 준비가 충분하지 않다는 지적이 나오자 법원행정처는 금융기관 등이 신청할 경우 이달 31일까지 시행을 한시적으로 유예하기로 했다. 따라서 금융권이 실제로 긴장하는 시점은 8월 20일보다 8월 31일 유예 종료 이후, 즉 9월 1일부터다. 

가장 민감한 분야가 주택 관련 금융이다. 주택담보대출과 전세자금대출은 고객의 소득뿐 아니라 주민등록, 가족관계, 혼인관계, 건강보험, 국민연금 등 다양한 행정정보를 확인해야 한다. 

한국주택금융공사도 현재 주민등록초본, 가족관계증명서, 혼인관계증명서, 건강보험자격득실확인서, 소득금액증명원, 건강보험료 및 국민연금 납부내역 등을 스크래핑을 통해 자동 제출할 수 있도록 하고 있다. 

스크래핑이 원활하게 작동하지 않을 경우, 주택금융공사는 현재도 고객이 대출신청을 먼저 진행한 뒤 정식 서류를 직접 발급하거나 이미지로 제출하는 대체 절차를 안내하고 있다. 문제는 이런 방식이 일상적인 비대면 대출의 기본 절차가 될 경우, 고객 편의성이 떨어지고 심사시간이 길어질 수 있다는 점이다.

특히 주담대와 전세대출은 잔금일 등 자금 집행 일정이 정해져 있는 경우가 많아 단순한 앱 이용 불편을 넘어 실제 금융소비자의 자금 일정에 영향을 줄 수 있다.

금융권은 스크래핑이 제한되면 소비자가 증명서를 직접 발급해 제출해야 하는 등 비대면 업무 전반에 차질이 생길 수 있다고 우려하고 있다. 특히 대면 창구가 활성화되지 않은 인터넷전문은행의 영향이 클 것으로 예상된다. 주택금융공사와 주택도시보증공사도 무주택자·신혼부부 등의 자격요건을 확인하는 데 스크래핑을 활용하고 있어 정책금융 지연 가능성이 제기된다.

인터넷은행들이 특히 민감하게 보는 서비스는 미성년자 계좌다. 부모가 자녀 명의 통장을 비대면으로 개설하려면 부모가 법정대리인이라는 사실과 자녀와의 가족관계를 확인해야 한다. 지금까지는 대법원 가족관계등록시스템에서 필요한 정보를 자동으로 확인하는 방식이 활용돼왔다.

스크래핑이 막히면, 부모가 가족관계증명서를 직접 발급해 제출하거나 사진을 찍어 올리는 절차가 필요할 수 있다. 이는 ‘영업점 방문 없이 계좌 개설’이라는 인터넷은행의 경쟁력과 정면으로 충돌한다.

인터넷은행들이 미성년 고객을 확보하려는 이유는 어린 고객을 선점하고 부모와 자녀를 동시에 금융 플랫폼 안으로 끌어들여 장기 고객으로 만드는 전략이다. 따라서 비대면 계좌 개설 과정에서 서류 제출이 복잡해지는 것은 단순한 운영비 증가를 넘어 고객 확보 전략에도 영향을 줄 수 있다.

시중은행 역시 최근 몇 년간 주택담보대출과 전세대출을 포함한 비대면 금융서비스를 빠르게 확대했다. 영업점에서 직원이 서류를 받아 확인하던 업무를 모바일 앱과 자동화 시스템으로 옮겨온 만큼, 스크래핑은 사실상 디지털 금융의 ‘보이지 않는 인프라’ 역할을 해왔다. 결국 이번 논란은 지난 몇년간 금융권이 추진해온 ‘종이 없는 금융’의 기반을 어떻게 새로운 개인정보 전송체계로 갈아탈 것인가의 문제다.

장기적인 ‘API로의 전환’ 자체에는 금융권도 반대하기 어렵다. 고객 인증정보를 제3자에게 넘기지 않고 필요한 정보만 전송할 수 있기 때문이다. 데이터가 언제, 누구에게, 어떤 항목까지 전송됐는지 기록하기도 상대적으로 쉽다.

그러나 API 전환에는 공공기관의 개발·보안 투자와 운영체계 구축이 필요하다. 모든 공공기관이 모든 정보를 동시에 API로 제공하기도 어렵다. 실제 개인정보위도 공공기관의 API가 즉시 구축되기 어려운 현실을 인정하고 사전협의 방식의 한시적 스크래핑을 병행하고 있다. 

금융권이 요구하는 것도 스크래핑을 영구적으로 허용해 달라는 것이라기보다, 대체 인프라가 구축되기 전에 기존 서비스부터 끊는 ‘선 차단, 후 대책’을 피해달라는 것이다. 금융위 역시 개인정보 보호를 위한 스크래핑 제한 취지에는 공감하면서도, 공공 마이데이터 연계 등 대체수단을 마련할 충분한 준비기간을 거친 뒤 단계적으로 시행해야 한다고 보고있다. 

금융권의 한 고위 관계자는 “개인정보 보호라는 방향성에는 공감하지만, 당장 공공 마이데이터 연계나 API 인프라가 완벽히 구축되지 않은 상태에서 스크래핑부터 막으면 그 피해와 불편은 고스란히 고객에게 돌아갈 것”이라며, “당국의 단계적인 전환 유도와 함께 충분한 완충 기간이 필요하다”고 지적했다.

이번 논란에서 중요한 것은 기술의 이름보다, 데이터가 이동하는 방식과 통제 수준이다. 기존 스크래핑은 인증정보를 제3자에게 제공해야 한다는 구조적 위험이 분명하다. 

그러나 API라고 해서 보안 문제가 사라지는 것도 아니다. API를 통해 전달받은 개인정보를 금융회사나 핀테크가 어떻게 저장하고, 누가 접근하며, 언제 파기하는지가 중요하기 때문이다.

고객이 자신의 데이터를 안전하게 통제하면서도 지금의 비대면 금융 편의성을 유지할 수 있는 데이터 이동 인프라를 만드는 것이 핵심이다. 서류 없는 금융’을 유지하면서 ‘비밀번호를 맡기지 않는 금융’으로 갈아타야 하는 것이다.

개인정보 보호를 강화하면서도 비대면 금융의 편의성을 지키는 것. 이번 스크래핑 논란은 한국 금융의 디지털 전환이 다음 단계로 넘어가기 위한 시험대가 되고 있다.

권선무 기자