금융위 ‘데이타 해외위탁’ TF 꾸려 대응 나서

국내외 금융회사가 보유한 금융서비스 관련 데이터가 해외로 나가는데 제약이 없어져 파문이 일고 있다. 

금융회사 거래정보와 이를 처리하는 IT시스템 등의 해외이전이 허용돼 버린 것이다.

금융위원회는 뒤늦게 한-미, 한-EU 자유무역협정(FTA) 내용 중 이같은 조항을 발견하고, 급히 정보보호 대응책 마련에 나서는 등 ‘뚫린 외양간’ 고치기에 분주한 모습이다.

◆쟁점 협정문 어떤 내용인가 = 한-미, 한-EU 협정문은, 조항은 다르지만 공히 ‘금융서비스 공급자에 의한 정보의 국경간 이전을 허용한다’고 적시하고 있다.

아울러 두 협정의 내용 중 부속서 ‘정보의 이전’ 관련, ‘양 당사자는 금융서비스 공급자에 의한 정보의 국경간 이전의 중요성을 인정한다’고 돼 있다.

여기서 말하는 ‘정보’ 관련, 금융위원회는 ‘데이터 해외 위탁’이라는 표현을 사용, 정의에 따라 두 가지 해석을 내놓았다.

1안으로 ‘협정문상에서 적용되는 금융서비스 공급과 관련되거나 이로부터 알게 된 금융거래 정보 또는 자료’로 해석했다.

이는 거래정보 데이터, 금융서비스 관련 데이터로 볼 수 있다는 게 금융위의 풀이다.

2안은 대한민국 소재 금융회사(데이터 위탁자) 및 수탁자가 국내 관련법상 보유하고 있는 금융거래 정보로 정의했다.

두 해석 모두 ‘국내법이 적용하는 모든 금융서비스 관련 거래정보’를 포함하는 것으로, 소위 은행 기준 계정계, 정보계 데이터 모두를 아우른다는게 업계의 시각이다.

다만, FTA 규정에는 민감정보에 대한 프라이버시권 보장이 언급돼 있다.

한-미, 한-EU FTA 협정문 부속서 ‘정보의 이전’에는 ‘소비자의 민감정보의 보호’, ‘그 민감정보의 무단 재사용의 금지’ 등이 언급돼 있다.

정리하면, 그동안 국내법에 의해 금지돼 온 주요 업무 IT시스템의 해외 위탁이 개인정보 보호를 전제로 완전 허용된 것이다.

◆논란의 쟁점은 = 한-미, 한-EU FTA 협정 중 ‘정보의 국경간 이전 허용’은 현재 국내법이 금지하는 금융회사의 위수탁업무 범위를 넓히고, 해외이전을 허용하는 것으로 해석하면 된다.

예를 들어, 국내 A 은행이 ‘자사의 금융서비스 관련 데이터’ 해외 이전을 전제로 데이터 센터를 한국이 아닌 제3국으로 옮겨갈 경우, 금융위는 이를 막을 근거가 부족해진 것이다.

‘FTA 협정’은 체결 직후 국내법률과 같은 지위를 갖는다. 이 경우 상위법 우선 원칙, 특별법 우선원칙, 신법 우선원칙이 순차로 적용된다.

상위법은 아니지만, ‘국가간 조약의 특별법’ 성격의 FTA는 기존 아웃소싱 금지의 금융위 규제보다 앞에 서고, 따라서 그동안 금지해 온 금융회사 IT 해외이전이 완전 허용된 것이다.

외국계 은행이 경영권을 갖고 있는 한국씨티, SC은행 등이 본국으로 자사의 ‘금융거래 정보만’이라도 이전하겠다고 허가 신청을 하게 될 경우, 한국정부는 이를 허용해야 한다.

◆금융위, 대응책 마련 나서 = 뒤늦게 이같은 사실을 파악한 금융위원회는 최근 전자금융팀 산하에 ‘데이터 해외위탁 TF’를 마련하고, 대책 마련에 분주한 모습이다.

지난 19일 ‘데이터 해외위탁 TF’는 민-관-학이 참여하는 대책회의를 가진 것으로 알려졌다.

민간과 학계에서는 KB은행, 동부화재, 대우증권 상무, 김&장 변호사, 고려대 교수 등이, 관에서는 금융위 전자금융팀, 금융위 정보관련 담당 사무관, 행안부 개인정보보호 사무관, 금감원 개인정보보호 TF 사무관 등이 참석했다.

이 회의에서는 ▲위탁 데이터의 정의 ▲위탁데이터 보호방안 ▲정보이전시 개인으로부터 사전동의 징구여부 ▲정보보호 유출 사고로부터 금융소비자 보호 방안 등 쟁점과, 일부 금융업계 추가 의견등이 논의된 것으로 전해졌다.

금융위 전자금융팀 관계자는 이 활동 관련, “쟁점을 발굴하는 단계”라며 “업계에서는 밖으로 나가려는 경향(해외 이전)이 있고 이를 허용할 때 다른 분야에 어떤 영향을 미치는지를 종합적으로 검토 중”이라고 밝혔다.

한-미, 한-EU FTA가 전자거래기본법, 이를 근거로 한 전자금융감독규정, 금융위 위수탁업무 규정 등을 무력화 시킨 상황에서, 이 TF활동은 고작 ‘위탁데이터 보호방안’ 마련 수준에 그칠 것이라는 게 대체적인 분석이다.

◆금융권 “국내 금융IT 사망선고” 비난 봇물 = 현재 금융서비스 데이터 또는 거래정보 데이터를 해외로 이전하는 방식은 ‘모든 데이터가 전산화’ 돼 있다는 점에서 ‘데이터센터’ 해외 이전도 허용됐다는 점을 의미한다.

따라서 금융권에서는 외국계 금융회사를 중심으로 ‘데이터 센터 해외이전’을 가속화할 것이라고 전망한다.

실제로, 이같은 우려는 현실화되고 있다. 지난 5월 SC은행이 잠실 전산센터를 매각한 것.

그동안 영국에 본사를 스탠다드 차타드 그룹은 한국 SC은행의 독자적인 IT투자를 못마땅하게 여겨왔다.

본사 통합을 강력하게 주장해 왔지만, 국내 ‘위수탁 금지 업무’에 막혀 ‘정보 해외이전’을 뜻대로 해오지 못하다가, FTA 발효 후 매각을 서둘러 온 것으로 보인다.

금융권에서는 SC은행이 국내에 데이터센터를 이전한다는 계획없이 2년간 임대를 전제로 매각한 것이 FTA 조치에 따른 ‘해외이전’을 전제로 한 것으로 풀이한다.

한국씨티은행도 데이터 센터 이전 가능성이 높은 것으로 전해졌다. 씨티은행 역시 한국에 대한 IT투자에 인색해 왔던 것이 사실.

업계에서는 다국적 자본을 중심으로 한 움직임 외에도 대주주가 외국계인 대다수 국내 은행이 ‘데이터 센터’ 해외 이전에 무방비로 노출된 것으로 파악하고 있다.

문제는 해외로 나간 금융정보가 안전하게 보호된다는 보장이 없다는데 심각성을 더하고 있다.

한-미, 한-EU FTA 협정문 모두 민감정보 보호를 내세우지만, 이를 지키지 않았다고 제재하기는 쉽지 않아 보인다.

금융위는 ▲주민번호, 여권번호 등 암호화 필요성 ▲국내 금융정보 위수탁 기관의 다른 데이터와 별도 보관 및 관리 ▲사전 동의없는 외국 감독기관 열람 금지 ▲정보유출 피해 국내 금융회사 직접 손배소 등 보완책을 논의, 마련 중이다.

금융권에서는 그러나 이미 지난해 농협 전산사고, 현대캐피탈 정보유출 등에서 입증된 것처럼, 국경간 정보 이전이 무한 허용된 마당에 제도보완은 의미가 없다고 일갈했다.

국가간 협정을 부처간 치밀한 협조 없이 처리한 대가가 어떤 결과를 초래할지 우려가 앞서는 대목이다.

<김동기 기자>kdk@bikorea.net