마이데이터 활성화를 위한 개인정보 법제 개선방안^*

한국에서 민간정보에 관한 마이데이터가 법제화된 이래 마이데이터 서비스가 행해지고 있다. 마이데이터플랫폼을 통하여 제공되는 서비스는 건강·의료, 금융, 소비·지출, 교통, 공공·복지, 유통, 학술, 교육·취업, 문화·관광, 종합관리의 유형이 있는 등 다양하다.¹⁴⁾ 2022년 1월 금융 마이데이터가 전면 시행된 후 2025년 5월말 기준으로 마이데이터 서비스 이용자 수는 약 1억 6,531만명(누적기준)에 달한다.¹⁵⁾

한국에서 마이데이터 서비스가 제공됨에 따라 이용자들에게 자신의 재산과 소비 습관을 분석하여 맞춤형 금융상품 및 서비스를 제공할 수 있는 가능성이 열렸지만, 실제로는 예상만큼의 성과를 달성하지 못하고 있다.¹⁶⁾ 2024년부터 마이데이터업자가 사용하는 정보에 관한 과금이 시작된 이래 전체 69개 본인신용정보관리업자 중에서 6개 업체가 수익성 미흡을 이유로 허가를 반납한 상황이다.¹⁷⁾ 마이데이터 사업자 전체 매출에서 고유 업무인 신용정보통합관리 수익이 차지하는 비율은 미미하며 마이데이터 사업자들은 마이데이터 본사업으로는 수익을 거의 내지 못한다고 한다.¹⁸⁾

마이데이터 사업자에 정보를 제공하는 정보제공기관은 마이데이터 표준 API를 활용하여 고객의 개인정보 전송요구동의 내역을 기반으로 마이데이터 사업자에게 요청 정보를 전송하게 되어 있다. 이 상황에서 각 사업자는 서비스 특화를 위한 부가서비스를 사업자가 그 비용을 부담하여 제공하는 경우가 많으며 데이터를 호출한 금융회사에게 데이터 사용료 납부의무를 진다. 고유업무를 통한 수익성 모델은 불투명한 반면, 부가서비스와 정보이용료 등 지출해야 하는 비용이 적지 않다는 사정이 있다.¹⁹⁾

한국의 마이데이터업이 부진한 사유의 하나로 현행 마이데이터 법제가 이용자 친화적인지 여부를 살펴볼 필요가 있다. 이용자 친화적으로 평가되어야 개인정보주체들이 자신의 개인정보를 마이데이터업자에게 제공하기 용이할 것이며 정보를 제공할 동기가 부여될 것이기 때문이다. 그러나 현실에서는 마이데이터업을 수행하면서 겸영업무 등에서 수익을 창출하고자 이용자의 동의를 얻지 않고 정보를 수집하는 경우가 적발되기도 하며²⁰⁾ 심지어 이용자를 오도하여 마이데이터 가입 동의를 이끌어내기 위한 다크패턴도 목격된다.²¹⁾

‘비즈니스’으로서의 마이데이터업은 수익성 모델의 발굴과 함께 수익 창출을 위한 자원(데이터)의 집적을 유도하는 것이 영업의 중요한 관건이다. 이를 위하여 마이데이터업자는 정보주체의 강한 신뢰를 획득하는 것이 핵심적이다. 예컨대 마이데이터업을 주인-대리인 문제에 투영한 선행연구²²⁾에서 이용자들은 마이데이터 서비스업체의 프로파일링 및 과도한 개인정보 수집과 같은 숨겨진 행위에 대해 가장 우려하는 등 마이데이터업자를 불신하고 있었다.²³⁾ 또한 선행연구에서 한국 이용자를 대상으로 한 설문의 결과, 이용자들은 마이데이터 서비스를 이용할 만큼 매력적인 서비스를 찾지 못하였음은 물론, 나아가 이용자가 마이데이터 서비스 이용을 적극적으로 중단할 사유가 개인정보 침해 우려인 것으로 응답하였다.²⁴⁾ 이를 종합하면 장기적으로 마이데이터에 관한 신뢰를 다지는 것이 마이데이터 활성화를 위한 기본 전제이며, 이를 위하여 개인정보에 관한 이용자의 우려를 일소하고 정보보호를 강화할 필요가 있다.

마이데이터업이 부진한 상황에서 정부에서는 마이데이터업 활성화를 위한 정책이 발표되고 있다. 정부당국 중 본인신용정보관리업자에 관한 감독권을 가진 금융위원회의 주도로 2025.6.19.부터 마이데이터 2.0이 일부(27개) 마이데이터사업자를 대상으로 시행되었다.²⁵⁾ 마이데이터 2.0의 주요내용은 전체 금융자산 조회 기능 강화²⁶⁾, 계좌정보(어카운트인포) 연계로 마이데이터앱에서 원스탑 계좌관리, 본인정보 관리 강화, 동의절차 간소화, 정기적 전송주기 구체화의 7개 사항이다.²⁷⁾ 마이데이터 2.0은 2022년에 발표되었던 ｢마이데이터 2.0 추진방향｣의 일부를 담고 있다.

우선, 마이데이터 2.0은 개인의 마이데이터 가입·전송내역 열람을 지원하고자 마이데이터 종합앱을 구축하고 개별 마이데이터 앱과 연계하여 시스템을 구축함으로써 이용자가 직접 자신의 마이데이터 가입 내역 및 제3자 제공 내역을 조회·관리할 수 있도록 한다. 한국의 마이데이터업자의 수가 많고 개인이 각각 마이데이터서비스에 분산 가입하면서 다수 서비스에 가입한 이용자가 자신의 마이데이터 가입현황 및 본인정보의 제3자 제공내역을 총합적으로 볼 수요가 있다.

두 번째로 마이데이터 2.0은 제3자에게로의 정보전송 과정에서 보안(security)을 위하여 금융보안원이 구축한 시스템(마이데이터 안심제공 시스템)을 통하여 제3자에게 정보를 전송하도록 하고 있다. 마이데이터업자가 외부에 개인정보를 제공할 때 정보화일을 제공하는 것이 위험하므로²⁸⁾ 대신 금융보안원의 시스템에 제3자에게 제공할 정보를 업로드하고 제3자는 시스템 내에서 정보를 활용하도록 하는 방식을 활용하도록 하고 있다.²⁹⁾

마이데이터 2.0에 의하면 가입유효기간이 종래의 1년에서 최대 5년까지 연장될 수 있게 되는데, 이 경우 상당기간 비접속하는 이용자의 정보가 과도하게 축적될 수 있으므로 이용자가 일정기간(6개월) 비접속시 정기적인 정보 전송을 중단하고 1년 동안 접속하지 않는 경우에는 해당 이용자의 정보를 삭제하도록 하고 있다. 마이데이터 2.0은 본인정보의 관리 강화 및 이용자 편의를 제고하는 내용을 담고 있는데 이는 개인의 자기정보 통제권(controllability) 행사를 직·간접적으로 지원하고 있다는 점에서 바람직하다.

2025년 6월 시행된 마이데이터 2.0이 이용자 친화적인 조치를 담고 있으나 여전히 이용자 관점에서는 이용자를 위하기보다 여전히 마이데이터업자의 수익성 추구를 지원하는 것에 치중한 것이 아니냐는 의구심을 가질 수 있다. 예컨대 현행 신용정보법상 마이데이터업자가 겸영 가능한 업무는 투자자문·투자일임법, 금융상품자문업, 대출 중개·주선업무, 금융상품 판매대리·중개업을 포함하여 12개에 달하는데 마이데이터업자가 겸영업무를 수행할 경우 본 업무와의 관계에서 이해상충 우려가 제기될 수 있다.³⁰⁾

그럼에도 불구하고 마이데이터 2.0 준비단계에서 금융위원회가 과거(2024.4월) 발표한 마이데이터업 2.0 추진방향에서 마이데이터업자의 겸업·부수업무 범위를 네거티브 방식으로 획기적으로 확대하겠다는 방침이 발표된 바 있다.³¹⁾ 이러한 방침은 마이데이터업자들의 수익성 확보를 위한 것이지 마이데이터(업)에 관한 이용자 신뢰의 제고나 회복과는 거리가 멀다. 오히려 이용자 관점에서 마이데이터업자가 그 이익을 위하여 이용자의 개인정보를 오·남용할 유인을 높인다고 보아(이해충돌 소지) 이용자의 신뢰를 저해할 우려가 있다. 마이데이터업자가 이용자 정보를 저장하고 이를 수익 추구 용도로 언제든지 꺼내쓸지 모른다고 생각할 수 있기 때문이다. 마이데이터 2.0이 이용자의 자기정보 통제권 행사 지원 등 바람직한 방안을 내놓았으나 그 자체로 마이데이터업을 활성화하고 이로써 데이터 거래 시장의 체질을 개선하는 것에 역부족일 수밖에 없다.

한국에서 마이데이터가 활성화하려면 마이데이터에 관한 개인정보주체의 신뢰를 강화하는 것을 고려하여 법제 개편방안을 생각하지 않을 수 없다. 특히 개인정보 전반으로 마이데이터를 도입하는 내용으로 2025년 3월 시행된 개인정보법이 이러한 필요에 부응하는지도 중요하다.

개정 개인정보법은 개인정보전송권에 대해 제한을 두고 있지 아니하나 시행령은 마이데이터를 위한 전송요구대상 정보의 범위를 보건의료정보 등 일부 분야로 한정하고 있으며(개인정보법시행령 제42조의4 제1항) 나머지 분야는 차차 확대할 예정이라고 한다.³³⁾

개인정보법상 도입된 마이데이터 제도에 의하면, 정보주체는 정보전송자에게 전송 요구 목적, 전송 요구 대상 정보 등을 특정하여 전송을 요구하여야 하며(개인정보법 제35조의2제1항 및 시행령 제42조의5), 제3자전송 요구시에는 개인정보 관리 전문기관 또는 일반수신자를 통하여 전송 요구를 할 수 있다.³⁴⁾ 정보주체가 본인에 대한 전송요구를 하거나 제3자 전송요구를 할 경우에는 전송요구하는 내용을 특정하여야 한다(개인정보법시행령 제42조의5 제1항 및 제2항).³⁵⁾

개인정보법상 동법의 적용대상인 개인정보란 생존한 개인에 관한 정보로서 해당 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합하여 알아볼 수 있거나 가명처리하여 추가정보를 사용하면 특정 개인을 알아볼 수 있는 정보를 말한다. 즉, 개인정보법상 보호되는 개인정보란 생존한 개인이 식별되거나 식별가능한 정보로 하여(개인정보법 제2조 제1호) 정보 일반을 가리키며 따로 개인신용정보를 동법의 적용대상에서 제외하고 있지 않다. 아울러 개인정보법은 정보주체의 권리로서 신설된 정보전송 요구권을 행사할 수 있는 대상정보를 ‘개인정보’로 하고 있으며(개인정보법 제4조 제3호), 개인정보 전송요구권을 규정한 개인정보법 제35조의2 역시 ‘개인정보’라고 할뿐 개인정보의 범위를 특별히 제한하지 않고 있다.³⁶⁾

개인정보법이 마이데이터 근거를 도입하고 일부 부문이긴 하지만 마이데이터를 시행하는 것은 바람직하나 현행법의 근본적인 한계는 여전하다. 한국 법제는 일반적인 개인정보인지, 개인신용정보인지 또는 개인위치정보인지에 따라 각각 별개의 법을 제정하고 별도의 관장부처를 정하고 있다. 예컨대 마이데이터업을 수행하려는 자는 개인정보법하에서는 ‘개인정보관리전문기관’으로 개인정보 보호위원회의 ‘지정’을 받아야 하며, 신용정보법하에서는 ‘본인신용정보관리업자’로서 금융위원회의 ‘허가’를 받아야 할 수 있다. 그러나 정보의 성격이 중복될 경우 어느 법에 따라 어느 부처의 감독을 받을 것인지 알기 곤란하며 이중 규제 또는 규제갭의 발생 또는 형평에 반할 수 있으므로 개인정보 보호 및 활용에 관한 법제의 개선이 필요하다.

개인정보법은 개인정보주체가 개인정보처리자에게 전송요구를 할 수 있는 개인정보에 관한 기준(누적 기준)³⁷⁾을 정하고 있다(개인정보법 제35조의2). 우선, ① 정보주체가 전송요구 가능한 개인정보는 정보주체 본인에 관한 개인정보이어야 함은 물론이나, 추가적으로 일정한 기준을 충족하는 것이어야 한다. 세부적으로 살펴보면 (i)정보주체의 동의를 받아 처리되는 개인정보(data from me), (ii)계약의 체결 또는 이행하는 과정에서 필요적으로 처리되는 개인정보(data about me), 또는 (iii)법령상 근거를 가지고 처리되는 개인정보 중 정보주체의 이익 또는 공익적 목적을 위하여 처리되는 정보(data for me or for public interest)인 경우이다(개인정보법 제35조의2 제1항 제1호 각목). 아울러 ② 전송을 요구하는 개인정보가 개인정보처리자가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보가 아니어야 한다는 조건이 붙는다(개인정보법 제35조의2 제1항 제2호). 또한 ③ 전송을 요구하는 개인정보가 컴퓨터 등 정보처리장치로 처리되는 개인정보이어야 한다고 하여 전자적으로 처리되는 정보만을 전송요구대상으로 한다(개인정보법 제35조의2 제1항 제3호).

전송요구 대상정보 요건에 대해 개인정보법은 본인에게 전송을 요구하든 또는 제3자에게 전송을 요구하는 경우이든 전송대상 정보의 범위를 동일하게 규정한다.³⁸⁾ 따라서 본인전송요구대상 정보는 정보주체가 다른 개인정보처리자에게로의 전송을 요구하는 제3자 전송요구권의 대상정보에도 해당한다(개인정보법 제35조의2 제2항). 다만 현행 시행령은 몇 가지 유형의 정보로 전송대상정보를 제한한다.³⁹⁾ 적법한 전송요구의 효과로서 요구를 받은 개인정보처리자는 시간, 비용, 기술적으로 허용되는 합리적인 범위에서 해당 정보를 정보처리장치로 처리 가능한 형태로 전송할 의무를 진다(개인정보법 제35조의2 제3항).

그런데 전송요구 대상정보와 관련하여 몇 가지 쟁점이 제기될 수 있다. 우선, 현행 개인정보법에 따를 경우 전송대상인 ‘정보주체의 동의를 받아 처리되는 개인정보’(개인정보법 제35조의2 제1항 제1호 가목)에서 ‘동의’ 개인정보의 수집·이용을 위한 정보주체의 동의를 말하며 문언상 개인정보법이 요구하는 민감정보의 동의방법(개인정보법 제23조 제1항 제1호), 고유식별정보의 처리방법(개인정보법 제24조 제1항 제1호)를 ‘준수’하는 동의를 말한다. 따라서 동의를 받지 않거나 동의가 있었더라도 민감정보나 고유식별정보에 관하여 개인정보법이 특별히 정하는 방식의 동의가 아닌 경우에는 불법적으로 수집·처리되는 정보이다. 그런데 불법 내지 위법하게 수집·처리되는 정보 일체에 대한 개인의 전송요구권 행사는 금지되는 것인지 확실하지 않다. 조문 구조상 ‘적법한’ 동의를 받지 않은 개인정보는 본인의 정보임에도 불구하고 전송요구 대상정보에서 제외되는 것처럼 보이기 때문이다.

두 번째로, 개인정보법 시행령이 보건의료정보를 전송대상으로 하고 있음⁴⁰⁾에도 의료인이나 의료기관종사자가 의료정보의 전송요구에 응하여도 문제가 없을지는 여전히 법적 불확실성에 놓여 있는 것으로 보인다. 의료법은 의료정보의 민감성을 고려하여 엄격한 제한을 두고 있다. 예컨대 의료법은 의료인이나 의료기관 종사자의 의료 등 업무 등을 통하여 알게된 타인의 정보의 누설이나 발표를 금지하고(의료법 제19조 제1항)⁴¹⁾ 예외를 인정받으려면 의료법이나 다른 ‘법령’에 특별히 규정된 경우이어야 한다(의료법 제19조 제1항).

의료법이 엄격히 금지하는 의료인등에 의한 의료정보의 유통을 개인정보법과 같은 ‘다른’ 법에 의하여 허용할지는 매우 중요한 입법적 결단 사항이므로, 허용을 한다면 법률 단계의 개인정보법에 의료법과의 관계를 명확히 규정할 필요가 있다.⁴²⁾ 관련하여 현행 개인정보법은 개인정보의 전송요구를 받은 경우 적용배제되는 법률규정을 동법 시행령에 위임하여 시행령으로 의료법을 적용배제하는 근거를 두고 있으나(개인정보법 제35조의2 제4항 제3호 및 시행령 제42조의7 제7호), 다른 법률이 두는 제한을 적용배제하기 위한 근거를 ‘시행령’에 두는 방식은 입법적으로 적절하지 않다.⁴³⁾ 개인정보법이 적용배제될 다른 법의 조항이 무엇인지를 정하는 대신 그 결정을 시행령에 포괄 위임하는 현행 방식은 국회의 심의 없이 행정청의 편의⁴⁴⁾를 우선시하는 시행령 입법이라는 비판을 받을 소지가 크다. 아울러 현행 개인정보법 시행령이 적용배제하는 의료법 조문은 환자의 의료기록의 타인 열람이나 내용 확인을 막는 제21조 제2항⁴⁵⁾로, 환자의 의료정보의 누설 등을 금지하는 의료법 제19조 제1항 등은 적용배제대상으로 하고 있지 아니하여 법적 불확실성이 여전하다.

환자의 의료정보를 마이데이터용 전송요구대상정보로 선해할 수 있다고 하자. 그 경우에도 어느 의료정보가 전송요구대상이 되려면 전송요구대상정보의 기준을 정하는 개인정보법의 기준을 충족하여야 한다(개인정보법 제35조의2 제1항 제1호 각 목).⁴⁶⁾ 즉, 어느 의료정보를 수집·처리할 때에 개인정보법이 요구하는 수준의 동의를 받은 것인지 확인되어야 하며 그러지 아니할 경우 적법한 동의를 받지 않고 수집된 개인정보이므로 전송요구대상정보에 포함되지 않는다는 지적이 가능하다. 결국 이러한 논란을 피하려면 개인정보법이 전송대상정보의 기준을 지금처럼 막연하게 두는 대신 의료정보의 경우 개인정보법(법률)에 기준을 마련하는 것이 필요하다.

마지막으로, 의료정보(의료기록)이 개인정보법상 전송대상 정보의 요건을 충족하는지도 문제이다. 개인정보법은 전송대상정보의 소극적 기준으로 전송을 요구하는 개인정보가 개인정보처리자가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보가 ‘아닐’ 것을 요구한다(개인정보법 제35조의2 제1항 제2호). 그런데 의료인이 작성한 진단서·검안서·증명서, 처방전, 진료기록, 진료기록부, 전자의무기록은 정보주체인 환자를 진단하여 측정 또는 평가하여 개인정보(측정결과)를 기초로 의료인이 그 전문지식을 활용하여 2차적으로 ‘분석’하거나 ‘가공’하여 별도 생성한 정보로 볼 소지가 있다.⁴⁷⁾ 이러한 불확실성을 해결하려면 개인정보법(법률) 차원에서 명시적인 규정을 두어야 한다.⁴⁸⁾

개인정보법은 시행령을 통하여 전송대상정보의 범위를 한정하며 이에 따라 정보전송요구의 상대방이 될 수 있는 개인정보처리자의 범위 역시 제한된다. 이러한 정보전송자 및 전송 정보 기준은 서비스 수요, 전송 인프라 여건 등을 고려한 것이라고 한다.⁴⁹⁾ 정보주체의 전송 요구에 응하려면 데이터 변환, 시스템 구축, 보안 등 상당한 인프라가 소요되기 때문에 모든 정보처리자가 정보주체의 전송요구에 일일이 응하기 어려울 것이다.

현재 개인정보법상 정보주체의 전송요구에 응하여야 할 의무가 있는 개인정보처리자의 범위는 보건의료 관련 기관, 통신 관련 기관, 에너지 관련 기관으로 지정되어 있으나(개인정보법시행령 제42조의2) 개인정보 보호위원회는 조만간 시행령 개정으로 전송요구대상 정보를 확대할 계획이다.⁵⁰⁾

한편 정보주체는 정보전송자에게 제3자 전송요구를 함에 있어서 개인정보관리 전문기관 또는 일반수신자를 통하여 하도록 하여 제3자전송요구를 받는 자의 범위를 제한하고 있다(개인정보법시행령 제42조의5 제3항 제1문). 제3자전송요구에 의한 개인정보 수신인이 만일 일반전문기관 및 특수전문기관일 경우, 즉 정보주체가 정보전송자에게 일반전문기관 및 특수전문기관에게 정보를 전송하도록 요구하는 경우에는 같은 내역의 개인정보에 한하여 정기적 전송을 요구하는 것이 허락된다(개인정보법시행령 제42조의5 제4항).

개인정보의 전송요구권 행사를 지원하는 업무를 수행하려면 ‘개인정보관리 전문기관’으로 지정받아야 하며 이때 지정권을 가진 당국은 개인정보 보호위원회 또는 관계 중앙행정기관의 장이다(개인정보법 제35조의3 제1항). 개인정보관리 전문기관의 업무범위에는 개인정보의 전송을 직접 지원하는 업무가 주된 것이지만 그 외에도 개인정보 전송시스템의 구축 및 표준화와 함께 개인정보의 관리·분석을 하는 것 등이 포함된다(개인정보법 제35조의3 제1항 제2호 및 제3호). 개인정보법은 개인정보관리 전문기관이 수행가능한 개인정보의 관리·분석 업무를 정보주체의 권리행사를 지원하기 위한 것으로 제한하므로(개인정보법 제35조의3 제1항 제2호 및 제3호) 수익 창출용으로 개인정보 관리·분석 내용을 사용하는 것은 이해상충을 넘어 위법할 것이다.

개인정보법 개정으로 도입된 개인정보관리 전문기관은 종전의 전문기관과는 구분된다. 개인정보법 제28조의3이 규정하는 전문기관은 가명정보 결합을 수행하는 전문기관으로 동일기관(개인정보 보호위원회 또는 관계 중앙행정기관의 장)으로부터 ‘지정’을 받아서 업무를 수행하지만 전문기관 지정의 목적이 다르고 지정의 요건도 다르기 때문이다.

개인정보법은 제3자 전송요구권의 행사에 의하여 정보를 수신할 수 있는 자(제3자)의 요건을 제한한다. 정보전송요구에 따라 정보전송자로부터 개인정보를 수신한 자가 수신한 정보를 안전하게 관리할 수 없을 경우 개인정보 유출로 이어질 수 있기 때문에 수신이 가능한 자에 관한 요건을 마련한 것으로 이해된다. 이때 정보주체는 자신의 전송요구권의 행사로 인하여 타인의 권리나 정당한 이익을 침해할 수 없다는 당연한 제약을 받는다(개인정보법 제35조의2 제7항).

수신자의 요건이 제한된 결과, 정보주체의 제3자 전송요구에 따라 개인정보를 수신할 수 있는 제3자는 개인정보관리 전문기관이거나 또는 일정한 시설·기술 기준을 충족하는 자이어야 한다(개인정보법 제35조의2 제2항). 이 중 후자는 개인정보법상 ‘일반수신자’로 호칭되는데 일반수신자가 구비할 시설 등의 기준에 대하여 개인정보법은 시행령에 구체적인 내용을 위임하고 있다(개인정보법 제35조의2 제2항 제2호). 이에 따라 시행령은 일반수신자가 될 수 있는 “일정한 시설 및 기술 기준을 충족하는 자”에 관한 기준을 정하고 있다.⁵¹⁾ 일반수신자가 되기 위하여는 위의 일정한 기준을 갖추면 되며 개인정보법은 그 외에 별도로 허가나 신고 등을 요구하고 있지 아니하므로, 개인정보법 시행령 제42조의3 제1항 각호가 정하는 일정한 시설 기준을 충족하는 자는 일반수신자로서 정보주체의 정보전송 요구 행사시 개인정보를 수신하는 것이 가능하다.⁵²⁾

다만 상대적으로 일반수신자는 정보보안 능력이 약할 수 있으므로 일반수신자가 수신하는 정보의 범위를 제한할 필요가 인정될 수 있다. 이에 따라 개인정보법은 정보주체가 개인정보관리 전문기관 또는 일반수신자에게 정보전송을 요구하더라도 개인정보 보호위원회가 정하여 고시하는 일정한 정보의 경우 정보전송 요구를 금지하는 근거를 두고 있다(개인정보법시행령 제42조의4 제3항).

마이데이터 서비스 수용 요인에 관한 선행 연구⁷⁸⁾는 마이데이터 서비스 이용자의 마이데이터 서비스 수용의도에 유의미한 영향을 미치는 요인은 신뢰성, 용이성, 유용성이며(이용자의 지각 기준)⁷⁹⁾ 이중 마이데이터 서비스에 대한 ‘신뢰성’에 영향을 미치는 요인은 기밀성, 무결성, 책임성과 관련성을 보인다고 한다.⁸⁰⁾ 선행연구의 결론은 개인정보 보호조치가 갖춰진 경우 마이데이터 서비스의 신뢰성을 높이며 인지된 리스크를 감소시킬 수 있으므로 마이데이터 서비스의 수용의도에 긍정적인 영향을 미친다는 것으로⁸¹⁾, 이용자에게 그 개인정보가 안전하게 지켜지고 있다는 신뢰를 주는 것이 정보주체가 데이터 공유의 안전성을 인식하고 자발적으로 개인정보를 제공하도록 하는데에 중요하다는 것을 시사한다.

이를 위하여 마이데이터업자가 취득한 개인정보를 활용하여 개인별 자산과 소비습관을 분석하여 맞춤형 서비스를 제공하는 것과 같은 본업을 수행하는 길을 완화하되 정보누출 위험을 감안하여 가급적 익명화·가명화하는 방안을 확립하여야 한다. 또한 마이데이터 운영모델 중 전송받은 개인정보를 마이데이터업자가 스스로 보유하지 않는 방안(개인정보는 각 개인의 PDS에 분산 저장)을 권장하고 만일 정보를 직접 저장할 경우에는 정보보안을 위한 엄격한 부담을 지우는 방안이 있다.

마이데이터업자 자체에 대한 신뢰성 확보도 중요하다. 마이데이터업 활성화를 위하여 과거(2024.4.4.)에 발표된 금융위원회의 마이데이터 2.0 추진방안은 마이데이터업자의 겸업 및 부수업무 확대로 정책방향을 설정하고 있었다.⁸²⁾ 그러나 겸업이나 부수업무에 기한 서비스를 개인정보주체에게 서비스로 제공하겠다는 것은 마이데이터업이 아닌 다른 비즈니스일 뿐이다. 과도한 겸업이나 부수업무의 허용은 해당 업무를 영위하는 기존의 업자와의 경쟁 구도에서 마이데이터업자에게 특혜를 제공하는 것이 아닌가 하는 비판을 면하기 어렵다.

마이데이터업자가 금융상품 등을 광고하거나 판매대리하는 영업 등을 부수·겸영 업무로 영위하여 수익을 내도록 하는 현재의 방식은 이해상충 우려와 함께 금융플랫폼업과 무슨 차이가 있겠느냐는 비판에 직면하여 마이데이터업의 독자성을 희석시킴은 물론 시장에 이미 많은 마이데이터업자가 있는데 이들이 동일한 전략을 취한다면 협소한 시장에서 파이나눠먹기가 되므로 성공하리라는 기대를 하기 어렵다. 예컨대, 개인화된 재무관리솔루션을 제공하던 유명 플랫폼 Mint의 사례를 보자. Mint⁸³⁾는 금융스타트업으로 출발하여 고급 알고리즘의 도움으로 이용자의 수입과 지출을 분석하고 거래를 분류하고 개인화된 예산을 생성하는 등 개인자산관리 서비스를 제공하여⁸⁴⁾ 크게 인기를 끌었다.⁸⁵⁾ 그러나 2023.10.31. Mint의 운영회사(Intuit)는 Mint 서비스를 돌연 중지하고 타 회사에 넘기기에 이르렀다. 미국처럼 시장이 큰 곳에서 인기가 있던 금융플랫폼도 수익성이 뒷받침되지 못하면 영업의 지속성이 담보되지 못한다.⁸⁶⁾

한국의 좁은 시장에서 다수의 마이데이터업자가 운집하면서 데이터 과금비용과 시스템 유지비용을 지출하는 와중에 수익모델이 명확하지 않다면 이익을 내기가 쉽지 않을 것이므로, 현재와 같은 시장상황은 지속가능하지 않을 소지가 크다. 마이데이터를 활성화하는 명목은 좋다. 그러나 이를 위하여 마이데이터업자의 ‘수’를 늘리는 정책이 한국의 데이터산업을 실제로 키웠는지, 데이터 거래시장의 규모를 늘리고 데이터 수요자에게 데이터를 원활하게 공급하기 위한 본래의 목적에 부응하는지 의문이다.

현재와 같이 우후죽순 마이데이터업자들이 경합하면서 인적·물적 자원을 중복 투자하는 대신, 데이터거래시장을 활성화하여 합리적인 가격으로 데이터를 사볼 수 있도록 하고 마이데이터업자는 데이터를 잘 가공, 결합, 분석 그리고 제공하여 정보주체(이용자) 및 데이터시장 수요자에게 질좋은 데이터를 제공하는 역할로 가야 할 것이다.

이용자의 정보제공을 촉진할 수 있도록 마이데이터업자가 제공하는 서비스 질의 ‘유용성’ 관점에서 살펴볼 필요가 있다. 최근 마이데이터 2.0의 시행 등 정보 투명성 및 제3자 전송방식의 신뢰성을 확보하려는 노력이 행해지고 있는 것은 바람직하나, 개인을 마이데이터의 장으로 유인하려면 아직 충분하지 않다. 개인이 자기정보에 대한 전송요구권을 행사하도록 동기를 부여하려면 마이데이터업자로부터 받는 대가가 만족스러워야 할 것이다(유용성). 대가는 반드시 유형물에 국한되지 않으며 무형의 서비스도 무방하나, 현행 법제에서는 개인에게 유용한 서비스를 하기에 장애가 존재하는 것으로 보인다.

우선, 자유로운 정보 결합이 저해되는 배경에는 현행 데이터 가버넌스 법제의 복잡성이 작용한다고 생각된다. 개인정보인 위치정보, 신용정보, 기타의 개인정보는 동일 개인을 출처로 하는 여러 정보를 관념적으로 부르는 명칭에 불과하나, 현재 개인정보 일반, 개인신용정보 또는 개인위치정보인지에 따라 규제법과 부처가 별도로 존재한다. 그러나 정보의 특성이 겹치거나 다른 유형의 정보가 결합된 경우에는 어느 법에 의하여 어느 부처의 감독 대상인지 모호할 수 있으며 효과적인 개인정보의 보호나 활용에 가시적·비가시적인 장애로 작용할 수 있다. 앞에서도 언급하였듯이 한국도 개인정보 ‘일반’을 대상으로 그 보호와 활용을 규제하는 법제 및 통합부서를 두는 방향으로 가야 할 것이다.

마이데이터업자가 제공하는 마이데이터 서비스의 가치를 제고하려면 겸업이나 부수업무에 과도하게 기대지 말고 결국 본 서비스의 질을 제고할 방안을 찾아야 한다.⁸⁷⁾ 마이데이터업자가 가진 분석기법 및 다른 정보와의 결합(가용 한도)을 통하여 마이데이터 이용자에게 해당 이용자가 반길만한 서비스를 개발하여 제공할 수 있을 것이다(유용성 관점). 그런데 마이데이터업의 본업 차원에서 정보주체에게 효용을 제공하고 데이터 거래에 기여하려면 결국 마이데이터업자의 정보처리·분석 능력을 키워야 한다. 이러한 과정에서 마이데이터업자가 자사의 보유정보와 마이데이터로 전송받은 정보를 결합할 자유를 완화할 필요가 있다. 한편 2024.9.30. 금융위원회는 마이데이터를 통해 수집한 정보와 마이데이터업자가 이미 보유한 정보 간의 결합이 허용됨을 밝혔으나⁸⁸⁾ 결합 기준은 아직 유동적인 것으로 보인다.⁸⁹⁾

결합이 허용되더라도 마이데이터업자가 전송요구를 통하여 수집한 개인정보를 외부에 제공할 경우 원칙적으로 정보주체로부터 제3자 제공 동의를 받아야 한다. 마이데이터업자의 제3자 정보 제공이 데이터 판매 및 중개업(부수업무)를 수행하기 위한 목적에서 행해지는 것이라면 개인정보화일을 직접 제공하는 대신 금융보안원에 구축된 전송시스템(안심제공시스템)을 이용하여 전송하여야 한다. 외부 전송통로를 통제하는 것 외에도 다만 정보유출의 우려를 낮추려면 법제 마련시 정보보호 디자인(protection by design)을 촘촘이 가미해야 한다. 결합정보라도 외부 제공을 허용하되 개인식별가능정보는 가급적 익명처리나 가명처리를 하도록 의무화하고 익명이나 가명처리가 제대로 되었는지 적절히 점검하는 내부통제시스템을 수립하도록 하는 등⁹⁰⁾ 개인정보 보호와 개인정보 활용 간의 균형을 찾을 수 있는 유연한 대안이 논의되어야 한다.