개인정보위, 마이데이터 사전협의 3차 접수…소규모 사업자도 신청
세무사회, 세무플랫폼 개인정보 수집·보관 실태 점검 강화

세금 환급 조회 서비스로 급성장한 세무플랫폼 업계에 규제의 칼날이 겨눠진다. 오는 20일부터 개인정보보호법 시행령 개정안이 시행되면서, 삼쩜삼·토스인컴·비즈넵 등 세무플랫폼이 그동안 활용해 온 개인정보 수집·저장 방식에 제약이 걸릴 것으로 보인다.

개인정보보호위원회는 기존 의료·통신 분야에 한정돼 있던 마이데이터 제도를 전 산업으로 확대하는 내용의 시행령 개정을 추진해왔다. 이번 개정의 핵심은 개인정보의 '전송'과 '활용'을 명확히 구분하는 데 있다. 기업이 정보주체를 대신해 개인정보를 단순히 전달하는 대리인 역할을 할 경우, 해당 정보를 자체 서버에 저장하거나 별도 목적으로 분석·활용하는 행위는 원칙적으로 금지된다.
송경희 개인정보위 위원장(연합뉴스)
송경희 개인정보위 위원장(연합뉴스)
"스크래핑에서 API로…다만 '전면 금지'는 아냐"
그동안 세무플랫폼들은 이용자의 아이디·비밀번호 등을 이용해 국세청 홈택스나 마이데이터에서 소득·과세정보를 자동으로 긁어오는 '스크래핑' 방식으로 서비스를 운영해왔다. 개정 시행령은 이런 방식 대신 표준 API를 통한 정보 전송을 원칙으로 삼는다.

다만 20일부터 스크래핑이 즉각적으로 전면 금지되는 것은 아니다. 개인정보위는 시스템 전환에 시간이 걸리는 점을 고려해 API 전환을 위한 연착륙 기간을 지원한다는 입장이다. 실제로 관련 기업에는 전송 시스템 구축을 위한 6개월 유예기간이 주어지며, 정보제공기관과 사전 협의(심사)를 거친 경우에 한해 당분간 자동화된 도구 사용이 허용된다. 다만 유예기간 중이라도 보안 투자 책임까지 면제되는 것은 아니라는 게 당국의 설명이다.

개인정보위는 이런 전환 과정을 뒷받침하기 위해 11일부터 31일까지 본인전송요구 대리인의 사전협의를 지원하는 3차 신청을 받는다고 11일 밝혔다.

개인정보위는 이날 기자간담회를 통해 3차 신청부터는 기존 신청 대상에 더해 소규모 사업자와 마이데이터 자격을 갖추지 않은 사업자도 참여할 수 있도록 문을 넓혔다고 설명했다. 개인정보위는 서비스 형태와 보안 수준 등을 살펴 각 사업자가 현실적으로 적용 가능한 안전관리 방안을 개별적으로 검토할 계획이다.

앞서 지난 6월부터 진행된 1·2차 시범운영에는 약 370개 기업·기관에서 700건에 이르는 사전협의 수요가 몰렸다. 1차에는 약 70곳에서 150건, 2차에는 약 300곳에서 550건이 신청됐다.

개인정보위는 이번 제도의 취지가 기존 스크래핑 방식을 일률적으로 금지하는 데 있지 않고, 개인정보 전송 과정의 안전성을 높이는 데 있다고 설명했다. 스크래핑은 이용자의 아이디·비밀번호나 인증정보를 이용해 대리인이 해당 기관 시스템에 직접 접속해 정보를 가져오는 방식으로, 서비스 개발이 쉽고 빠른 대신 인증정보 유출이나 필요 이상의 개인정보 접근이라는 위험을 안고 있다.

이번 신청 기간 안에 사전협의를 요청한 기업·기관은 협의가 진행되는 동안 기존 방식을 한시적으로 유지할 수 있도록 지원받는다. 개인정보위는 장기적으로는 이용자의 인증정보를 대리인에게 넘기는 스크래핑 방식 대신, API를 활용한 전송 방식으로 완전히 전환한다는 방침이다.
세무사회 "실질은 세무대리업"…강경 대응 예고
한국세무사회는 이번 시행령을 계기로 세무플랫폼의 개인정보 수집·보관 실태에 대한 일제 점검에 나서겠다는 입장이다. 세무사회는 세무플랫폼들이 '프로그램 제공업'이라는 외관을 내세우고 있지만, 실제로는 홈택스상 소득·과세정보를 분석해 환급 가능 여부를 자동 판정하고 유상 신고 대행으로 연결하는 사실상의 '세무대리업'을 해왔다고 주장하고 있다.

김선명 세무사회 부회장은 "세무플랫폼이 유도 광고로 확보한 개인정보를 활용해 대규모 회원을 기반으로 환급대행·세무신고 마케팅을 지속해온 것은 개인정보법의 허점을 이용한 것"이라며, 관계기관의 철저한 법령 적용과 관리 감독을 촉구했다.

세무사회가 근거로 드는 사례는 삼쩜삼의 과거 제재 이력이다. 개인정보위는 2023년 6월 삼쩜삼 운영사에 대해 법적 근거 없이 주민등록번호를 수집·보관한 사실을 적발해 과징금 8억5410만원과 과태료 1200만원을 부과하고, 관련 정보의 즉시 파기를 명령한 바 있다.

세무사회는 이후에도 삼쩜삼이 수천만 명 규모의 회원 기반을 홍보하며 사실상 개인정보 보유·활용을 자인하고 있다고 지적했다.

세무사회는 개인정보보호법에 더해 표시광고법(근거 없는 환급액 제시 등 과장광고 규제), 세무사법(세무대리로 오인될 수 있는 광고 규제)을 묶어 이른바 '3대 세무플랫폼 규제 체계'를 완성해 향후 개정 시행령 위반 사례를 자체 수집해 형사고발도 병행하겠다는 방침이다.
한경DB
한경DB
한편, 세무플랫폼 업계에서는 이번 시행령이 중장기적인 관점에서 오픈 API 전환에 공감하나 업계 전반의 서비스 위축으로 번질 수 있다는 목소리가 나오고 있다.

자비스앤빌런즈 관계자는 "개인정보위를 통해 국세청과 사전 협의하라는 내용을 전달받았다"며 "국세청과도 협의 신청을 접수해놓은 상태"라고 밝혔다.

강홍민 기자 khm@hankyung.com