개인정보 본인전송요구권 적용 대상의 단계적 확대가 8월 20일 시작됐다. 인증정보를 넘겨받아 화면을 긁어오는 무분별한 스크래핑을 줄이는 방향은 타당하다. 그러나 안전한 방식으로 바뀐다는 설명만큼 이용자가 실제로 쓸 수 있는 대체 경로도 선명해야 한다.
확인된 사실
개인정보보호위원회 안내서에 따르면 2025년에는 본인전송요구와 제3자전송요구의 정보전송자 기준이 같았지만 개정 시행령은 본인대상정보전송자를 별도로 확대했다. 공공시스템운영기관과 보건의료·통신·에너지 등 기존 제3자대상정보전송자는 2026년 8월 20일부터 적용되고, 매출액과 정보주체 수 등 일정 기준을 충족하는 전 분야 사업자는 2027년 2월부터 적용된다. 자동화된 도구를 활용하는 대리인이 전송을 대신할 때는 정보전송자와 사전협의하도록 했다.
개인정보위가 21일 공개한 안내는 스크래핑을 사업자가 이용자의 아이디와 비밀번호 같은 인증정보를 넘겨받아 기관 웹사이트에 로그인한 뒤 데이터를 가져오는 기술로 설명한다. 인증정보 유출, 필요 범위를 넘는 정보 수집과 반복 접속에 따른 서비스 장애가 위험으로 제시됐다.
광고
전환 방향은 무분별한 스크래핑을 사전에 약속된 스크래핑과 응용프로그램 인터페이스로 바꾸는 것이다. 기존 서비스가 끊기지 않도록 공공기관과 안전한 방식을 협의한 사업자에게는 기존 스크래핑을 한시적으로 허용하는 단계도 안내됐다.
2026년 6월 개정된 현재 안내서는 본인대상정보전송자가 인터넷 홈페이지 등에 전송요구 방법과 전송 현황, 내역 확인 방법을 게시하도록 설명한다. 다만 보건의료정보전송자 또는 에너지정보전송자는 중계전문기관이 대신 게시할 수 있다. 지체 없이 전송할 수 없는 정당한 사유가 있으면 그 사유를 정보주체에게 알리도록 한 규정도 담겼다.
논설
제도의 성패는 스크래핑을 막았는지가 아니라 이용자가 자신의 정보를 실제로 받을 수 있는지로 평가해야 한다. 같은 서비스를 계속 쓸 수 있는지, 어떤 정보가 아직 준비되지 않았는지, 전송 실패가 기관과 대리인 중 어디에서 발생했는지가 화면에 드러나야 한다.
사업자는 기존 인증정보를 더 이상 받지 않는다는 공지만으로 책임을 다했다고 보기 어렵다. 대체 전송 방식, 지원되는 정보 범위, 처리 예상시간과 실패 때 다시 시도하거나 직접 받을 수 있는 경로를 함께 안내해야 한다.
정보를 보유한 기관도 전송 버튼 하나를 만드는 데서 멈출 수 없다. 전송 요청과 처리 상태, 거절 또는 지연 사유, 이용자가 취소하고 내역을 확인하는 절차가 같은 흐름 안에 있어야 데이터 이동권이 실질적인 권리가 된다.
안전과 편익을 서로 반대편에 놓을 필요는 없다. 인증정보 보관 위험을 줄이면서도 서비스 공백을 최소화할 수 있다. 이를 가능하게 하는 책임은 기술 이름이나 자동화 도구가 아니라 전송기관과 서비스 제공자의 설계, 운영 기록과 이용자 안내에 있다.
