2022년 마이데이터 시대 개막

마이데이터 사업은 일반적으로 데이터 개방∙활용 정도에 따라 0-4 단계로 구분할 수 있다. 0단계는 조회, 1단계는 저장, 2단계는 전송요구, 3단계는 대리활용, 4단계는 전 분야 확산으로 정의되며, 4단계에서는 본인의 관리∙통제 하에 모든 분야에서 '내 데이터를 뜻대로 안전하고 편리하게’ 활용하는 단계라고 볼 수 있다. 그런데 금융분야는 법률개정, 마이데이터 사업자 허가 등의 추진으로 3단계 정도라고 볼 수 있지만, 의료∙공공∙통신 분야는 정보주체가 데이터를 열람∙다운 받고 부분적으로 마이데이터 사업자에게 전송이 가능한 수준이어서 현재 1-1.5단계에 머물고 있는 실정이다.

마이데이터는 API 방식 마이데이터 서비스 전면 시행에 앞서 희망하는 사업자에 한하여 시범서비스를 운영 중이다. 이를 통해 전면 시행 이전 시스템 추가 개선사항 등을 최종 확인해 정보제공자 측의 트래픽 부담도 분산할 수 있을 거라 기대하고 있다.
한편, 마이데이터 본격 시행을 앞두고 실시된 시범 서비스 중 마이데이터 정보 제공 범위를두고 업계 간 갈등을 빚고 있는데, 그 내용은 크게 1. 카드 매입 취소 정보를 받지 못한다는 점, 2. 보험 데이터의 일부 제공, 3. 데이터 고속도로망의 부실함, 4. 만 14세~19세의 서비스 제한 등으로 요약할 수 있다.

개인정보보호법 개정안에는 정보주체인 국민의 권리를 강화하기 위해 △본인의 개인정보 이동을 요구할 수 있는 개인정보 이동권(자료전송 요구권)과 자동화된 결정에 대한 거부 등 대응권이 신설되었다.
개인정보 이동권이란 정보주체인 개인이 기업 등 개인정보처리자가 보유한 본인의 개인정보를 자신 또는 다른 기업에게 전송해 줄 것을 요구할 수 있는 권리다. 전송요구권 도입으로 정보주체인 개인은 자신의 개인정보를 본인 또는 다른 기업에게 직접 전송하도록 요구할 수 있게 된다. 일반법인 개인정보 보호법에 개인정보 이동권을 도입함에 따라 현재 금융·공공 등 일부 분야에서만 추진 중인 마이데이터 사업이 전 국민, 전 분야 마이데이터 산업으로 확산될 것으로 전망된다. 또한, 일부 플랫폼 기업으로 데이터가 집중되는 독점 현상을 완화하고, 스타트업 등 다양한 경제주체들이 데이터를 안전하게 활용할 수 있는 기반도 마련될 것으로 기대된다.
아울러 인공지능(AI) 등 신기술이 국민생활에 큰 영향을 미칠 것으로 예상됨에 따라, 과세대상·복지 수혜자격 결정·신용등급 등 완전히 자동화된 결정으로 인해 자신의 권리와 의무에 중대한 영향을 받게 되는 경우 이를 거부하거나 이에 대한 설명을 요구할 수 있는 권리도 도입한다. 자동화된 결정에 대한 대응권이란 사람의 개입 없이 완전히 자동화된 시스템에 의한 결정으로 권리 또는 의무에 중대한 영향을 받은 경우 이를 거부하거나 설명을 요구할 수 있는 권리다.
또한 국민 생활 전 분야에서 마이데이터를 제대로 활용하기 위해서는 이종 산업간 개인정보 전송 연계를 위한 표준화 등 기반 마련이 필요한 상황에서, 통합 개인정보 전송요구권을 실현을 위해 데이터 표준화 작업이 추진 중이다. 개인정보위와 관계부처는 전 분야 마이데이터 도입을 위한 첫 걸음으로 2021년 11월 마이데이터 표준화 협의회 1차 회의를 갖고, 산업간 데이터 형식 및 전송방식을 표준화하기 위한 기본 방향 및 절차 사용자인증 및 보안체계 구축 방안 등 표준화 추진계획을 논의했다.

마이데이터 서비스의 전 산업적 확대를 위한 공공기관의 역할도 생태계 활성화에 도움이 되는 기반 조성에 매우 중요하다. 공공기관은 공익적 필요성이 특히 큰 분야, 인프라 제공 등에 집중하고 서비스 개발∙제공 등의 업무는 민간 전문기관이 수행하는 것이 바람직하다. 또한, 데이터 이용과 거래를 촉진하고 정보주체에 대한 신뢰성을 높이기 위해 △형사처벌 합리화 △동의 제도 개선 △개인정보 오남용 방지 등의 제도 정비가 필요해 보인다.
현재 개인정보보호법은 단순 과실에 의한 법률상 의무사항 위반 시에도 형사처벌을 할 수 있는 경우가 있으며, 다른 국가에 비해 대상범위가 광범위하다는 지적이 있다. 다만, 형사처벌을 완화하는 경우 제도의 실효성을 높일 수 있도록 행정적 규제를 강화하거나 민사적으로 피해자들의 손해가 실질적으로 보전될 수 있도록 하는 방안을 검토할 필요가 있다.
현행법상 원칙적 사전동의(opt-in) 제도는 데이터의 활용을 저해할 뿐만 아니라 정보주체 보호의 실효성이 낮아 개선이 필요하다는 지적이 있다. 현재의 동의제도는 형식적으로 진행되어 동의의 유효성을 충족하지 못하며 사전 동의로 인해 정보주체가 모든 책임을 지는 문제가 발생하게 된다. 따라서 현행 사전동의(opt-in) 제도를 원칙적 사후 동의(opt-out)로 전환하여 활용도를 높이고 동의받을 항목을 포괄하는 등의 동의 절차를 간소화하여 제도의 실효성을 높임과 동시에 개인정보처리자의 개인정보 관리 역량을 향상시켜야 한다.
아울러 개인정보보호법에서 데이터의 활용 가능성이 높아짐에 따라 개인정보의 오남용을 방지하는 방안이 필요하다. 정보집합물 결합 시 개인이 특정될 수 있고 가명정보가 다른 정보와 결합될 경우 개인이 식별될 우려가 높아짐으로 이에 대하여 사후적으로 감사하거나 모니터링을 강화하는 조치가 필요하다. 현행법상 개인정보 영향평가를 공공기관에 대해서만 의무화하고 있는데 가명정보 또는 결합된 정보집합물을 다루는 민간 기관 등에 대해서도 영향평가를 하는 방안을 검토해야 한다.