마이데이터의 시작 - 금융 데이터 주권이 바뀐 날 (데이터 3법 개정)

2020년 1월 9일, 금융 데이터 주권이 바뀐 그 회의실에 제가 있었어요

2020년 1월 9일, 국회 본회의에서 데이터 3법 개정안이 통과됐어요.

개인정보보호법, 신용정보법, 정보통신망법이 패키지로 한꺼번에 처리된 순간이었어요.

그날 저는 금융 IT 컨설턴트로서 모 시중은행 본점 디지털그룹 기획 부서와 긴급 미팅을 진행하고 있었어요.

스마트폰 화면으로 법안 통과 속보가 뜨자, 회의실 안 공기가 순식간에 차갑게 가라앉았던 기억이 아직도 생생해요.

제 바로 옆에 앉아 노트북을 두드리던 현업 부서 유팀장님이 마른침을 삼키며 나지막이 뱉은 한마디가 그날 분위기를 대변했어요.

“컴플라이언스 대응, 이제 진짜 지옥문이 열렸네요.”

그 한마디에는 앞으로 닥쳐올 거대한 파도가 담겨 있었어요.

개정된 신용정보법을 수용하려면 은행 IT 본부와 현업 부서가 막대한 시스템 구축 예산을 확보해야 했고, 영업 현장에서는 고객 동의를 일일이 정밀하게 받아야 하는 과제가 떨어진 셈이었어요.

내 옆 자리에 있던 홍차장님은 깊은 한숨을 쉬며 말했어요.

“그동안에도 개인정보보호부와 맨날 싸우면서 마케팅을 했는데, 앞으로는 더 힘들어지겠네요.

새로 개정되는 데이터 3법을 공부해서, 기획할 때마다 개인정보보호부와 또 협의해야 하니 일이 더 많아지겠어요.”

걱정이 태산 같던 그 얼굴이 지금도 기억나요.

데이터 3법 개정, 데이터 주권을 둘러싼 2년의 줄다리기

데이터 3법 개정은 하루아침에 이뤄진 게 아니에요.

국회 문턱을 넘기까지 2년간 치열한 이해관계 충돌이 있었어요.

2018년 2월, 4차산업혁명위원회 주관으로 산업계·학계·시민단체가 ‘가명정보 활용 범위’를 둘러싸고 대타협을 시도했어요.

산업계는 “규제를 풀어야 핀테크가 산다”고 했고,
시민단체는 “개인정보가 무분별하게 결합되면 프라이버시 재앙이 온다”고 맞섰어요.

이 대립의 물꼬를 튼 게 글로벌 환경 변화였어요.

당시 최종구 금융위원장은 “EU와 일본이 GDPR을 매개로 데이터 동맹을 맺고 있다. 지금 법안을 통과시키지 못하면 골든타임을 놓친다“고 했어요. (2019년 2월 신용정보법 입법공청회)

결국 2년의 줄다리기 끝에 2020년 1월 9일, 데이터 3법이 최종 통과됐어요.

저도 2019년 모 시중은행 프로젝트를 수행할 때,

현업 부서로부터 개인정보를 가명 정보화하거나 익명화 처리해서 빅데이터 시스템으로 내려 작업해야 한다는 요청을 받았어요.

그런데 IT 입장에서는 익명화·가명화 작업이 말처럼 쉬운 게 아니었어요. IT 자원이 정말 많이 들어가는 일이었거든요.

고객 정보의 주민번호나 고객번호를 익명화하면, DB에 쌓여 있는 실적 데이터 등과 연계하는 데 많은 노력과 시간이 들어가기 때문이에요.

결국 저는 은행의 개발 시스템과 테스트 시스템에서만 가명화·익명화된 데이터로 개발했고, 운영 환경에서는 제대로 적용하지 못했어요.

이때의 경험이 나중에 큰 자산이 됐어요.

마이데이터 2.0을 구축할 때, 가명화·익명화·유형화·범주화라는 네 가지 처리 방식을 업무 범위별로 어떻게 적용할지 정해주는 역할도 했어요.

그때도 이 네 가지를 업무에 따라 어떻게 나눠 적용할지 머리를 많이 썼어요.

데이터 3법이 내 돈에 미친 4가지 변화

복잡한 법률 조항을 핵심만 요약하면 이래요.
① 금융 이동권 — 내가 쌓은 거래 이력을 다른 은행이나 토스로 안전하게 전송하라고 요구할 수 있게 됐어요.

② 동의 제도 2.0 — 포스트잇 체크해서 서명하던 깜깜이 약관 동의가, 시각화된 인포그래픽 동의로 바뀌었어요. 동의는 언제든 철회할 수 있어요.

③ 씬파일러 구원 — 대출 실적이 없어 신용등급이 낮았던 사회초년생, 주부, 소상공인도 통신비·전기요금 같은 비금융 데이터로 신용 재평가를 받을 수 있게 됐어요.

④ 징벌적 손해배상 — 개인정보 유출 시 배상액이 기존 3배에서 최대 5배로 강화됐어요.

금융 데이터 주권이 넘어온 날, 은행 본점은 이렇게 움직였어요

법안 통과 다음날 오후, 제가 컨설팅하던 은행 본점에서 즉각 ‘마이데이터 긴급 TF’가 발족됐어요.

대회의실에 IT본부장, 법무팀장, 개인정보보호부장, 리테일사업본부장, 디지털채널부장 등 실무자까지 20명 정도 모였어요.

리테일사업본부장의 첫마디가 “우리 은행, 주도권 싸움에서 밀릴 겁니까? 본허가 신청 서두릅시다”였어요.

디지털채널부 박부장은 “빅테크는 1년 전부터 준비해왔다. 속도 늦추면 우량 고객 데이터가 핀테크로 다 빠진다”고 했고,

IT개발부 신부장은 “표준 API 구축 비용과 기간 견적도 안 나온다. 보안 요건이 상상을 초월하는데 일정 안에 사고 없이 오픈할 수 있겠나”고 했어요.

그날 회의실에 저는 옵서버로 참석했는데,
리테일사업본부장이 저에게 의견을 물었어요.

저는 은행에 있을 때 스크래핑에 대해 가졌던 우려와, 그럼에도 핀테크들이 약진해온 사례를 들면서, 결국 앞으로의 방향이 그쪽으로 갈 거라고 조언했어요.

그날 회의실에서는 데이터 3법 개정에 대한 컨센서스와 향후 대책 방안을 논의하고 회의를 마쳤어요.

얼마 후 대다수 시중은행들은 비용과 리스크를 감수하고 본허가 신청 레이스에 전면 참여하기로 결단을 내렸어요.

금융 데이터 주권을 실현하는 데 극복해야 할 4대 난제

경영진의 결단 뒤, 실무진 앞에는 진짜 난제가 기다리고 있었어요.

① 레거시 시스템의 한계 — 20~30년 전 설계된 코어뱅킹을 건드려야 했어요.

저는 회의에서 이렇게 말했어요. “시속 100km로 달리는 차의 엔진을, 멈추지 않고 새 기통으로 교체하는 자살 특공대 업무”라고요.

레거시를 건드는 건 심각하게 생각해야 한다고 의견을 제시했고, 결국 레거시에 직접 손대지 않고 별도의 제공자 시스템을 만들어 지원하기로 결정했어요.

② 데이터 표준화의 늪 — 은행마다 계좌번호 체계, 결제 분류 기준이 제각각이라, 하나의 표준 API 규격에 맞춰 매핑하는 작업이 끝없는 밤샘의 연속이었어요.

제가 제일 고생했던 업권은 보험업권과 제2금융권 데이터 표준화였어요.

보험업권은 데이터 종류가 많은데 업무 자체를 잘 몰랐고, 제2금융권은 데이터가 제각각 들어와서 정말 힘들었던 기억이 나요.

③ 살인적인 일정 압박 — 마이데이터 정식 오픈 일정이 고정돼 있어서, 시장에서 금융 IT 개발자와 보안 전문가를 구하는 인력 쟁탈전이 벌어졌어요.

④ 엄격한 보안 컴플라이언스 — 스크래핑은 전면 금지되고 표준 API만 허용됐어요.

다중 본인 인증과 배상책임보험 가입까지 의무화되면서, 이 기준을 충족하는 것 자체가 큰 진입 장벽이었어요.

타임라인 — 법이 바뀌고 제도가 자리 잡기까지

▲ 데이터 3법 통과부터 마이데이터 정식 시행까지 726일 (직접 재구성)

마이데이터의 시작, 금융 데이터 주권이 실현되는 첫 페이지를 현장에서 봤어요

데이터 3법 개정은 거대 금융 자본이 독점하던 고객 데이터 권력을, 소비자에게 법적으로 이양해 준 사건이에요.

물론 법이 통과됐다고 현장 문화와 소비자 인식이 하루아침에 바뀌지는 않아요.

시스템을 빌드업하고, 소비자가 그 권리의 가치를 이해하고, 생태계가 정착하는 데는 현장 실무자들의 수많은 시행착오가 필요했어요.

저는 그 변화의 한복판에서, 회의실의 한숨과 결단, 밤샘 매핑 작업까지 이 과정을 직접 목격하고 참여했어요.

다음 편에서는 마이데이터 사업자 허가를 받기 위한 구체적인 심사 과정과, 그 바늘구멍을 뚫고 승리한 기업들의 이야기를 풀어드릴게요.

뱅커노트 (Banker’s Note)
30년 금융 현장의 경험을 바탕으로 디지털 금융과 마이데이터 이야기를 쉽게 풀어갑니다.

마이데이터의 시작｜데이터 3법 개정｜금융 데이터 주권이 바뀐 날