금융당국-개인정보위, 스크래핑 차단 대응 논의...비대면 금융 개인정보보호 딜레마

핵심 요약

- 2026년 8월 12일 금융감독원·개인정보보호위원회 등이 스크래핑 제한 대응 방안 논의 - 비대면 대출 등 금융서비스에서 스크래핑 차단으로 인한 서비스 차질 우려 제기 - 금융혁신과 개인정보보호 사이의 균형점 모색 필요성 대두

주요 내용

2026년 8월 12일 서울 중구 은행회관에서 개인정보보호위원회와 금융감독원, 금융협회·금융회사, 유관기관 등이 참석한 가운데 스크래핑 제한에 따른 대응 방안을 논의하는 회의가 개최되었다. 이번 회의는 최근 강화된 개인정보보호 규제로 인해 금융권 스크래핑 서비스가 제한되면서 비대면 대출 등 주요 금융서비스에 차질이 발생할 수 있다는 우려가 제기됨에 따라 마련되었다.

스크래핑(Scraping)은 이용자 동의 하에 다른 금융기관의 웹사이트나 앱에서 고객의 금융정보를 자동으로 수집하는 기술로, 비대면 대출 심사, 자산관리 서비스 등에서 광범위하게 활용되고 있다. 그러나 개인정보보호 관점에서는 이용자 계정정보(ID/PW)를 제3자에게 제공하는 방식의 스크래핑이 정보주체의 개인정보자기결정권을 침해할 수 있다는 지적이 지속적으로 제기되어 왔다.

금융당국은 이번 회의를 통해 개인정보보호와 금융혁신 사이의 균형점을 모색하고 있다. 특히 마이데이터 사업과 같은 합법적 정보전송 체계를 활성화하면서도, 기존 스크래핑 방식에 의존하는 금융서비스의 급격한 차질을 방지하기 위한 과도기적 대응 방안이 논의된 것으로 알려졌다. 금융회사들은 API 기반의 안전한 정보전송 방식으로의 전환을 위한 충분한 유예기간과 기술적 지원이 필요하다는 입장을 전달한 것으로 파악된다.

전문가 시각

ISMS-P 관점에서 스크래핑 이슈는 '개인정보 제3자 제공'과 '접근권한 관리'의 핵심 통제항목과 직접 연관된다. 현행 스크래핑 방식은 이용자의 인증정보(credential)를 제3자 사업자가 보유·사용한다는 점에서 최소권한 원칙과 직접 인증 원칙에 위배된다. 금융회사는 개인정보 영향평가(PIA)를 통해 스크래핑 방식의 위험도를 재평가하고, OAuth 2.0이나 금융분야 마이데이터 표준 API와 같은 안전한 인증·인가 체계로의 전환 로드맵을 수립해야 한다. 특히 ISMS-P 인증심사 시 스크래핑 관련 개인정보 처리 현황은 중점 점검 대상이 될 가능성이 높다.

실무적으로 금융회사는 단계적 대응 전략이 필요하다. 단기적으로는 스크래핑 시 이용자 동의 고도화(명확한 정보 제공, 동의 철회 기능 강화), 접속 로그 모니터링 강화, 비정상 접근 탐지체계 구축 등을 통해 현행 방식의 보안성을 최대한 높여야 한다. 중장기적으로는 마이데이터 API 전환을 위한 시스템 개발, 레거시 시스템 개선, 협력사 선정 기준 강화 등을 추진해야 한다. 특히 AI 기반 이상거래탐지시스템(FDS)을 활용해 스크래핑 과정에서 발생할 수 있는 비정상적 계정 접근을 실시간으로 감지하는 체계를 구축하는 것이 권장된다.

CPPG·ISMS-P 연계 포인트

개인정보 제3자 제공 동의 (개인정보보호법 제17조)
스크래핑은 이용자 금융정보를 제3자(핀테크 사업자 등)에게 제공하는 행위로, 법적으로 ①제공받는 자 ②제공 목적 ③제공 항목 ④보유·이용기간을 명확히 고지하고 동의를 받아야 한다. ISMS-P 인증기준 2.8.1(개인정보 수집 시 동의)과 연계되며, 포괄적 동의가 아닌 구체적·개별적 동의 원칙이 적용된다.

접근권한 관리 및 인증 (ISMS-P 인증기준 2.5.3)
스크래핑 방식은 이용자의 ID/PW를 제3자가 보관·사용하므로 '공유 계정 사용 금지' 및 '개인별 계정 부여' 원칙에 위배될 수 있다. OAuth 2.0, OpenID Connect 등 토큰 기반 위임 인증 방식이나 금융결제원의 오픈뱅킹 API, 마이데이터 표준 API 등 안전한 대안을 채택해야 하며, ISMS-P 심사 시 인증정보 관리 체계의 적정성이 평가된다.