ISMS-P 데일리 카드뉴스

2026.08.25 화요일 · 개인정보 오늘의 키워드: 공공기관 스크래핑 사전협의 의무화 · 8월 20일 시행 · 자동화 수집 통제

핵심 판단

같은 8월 20일 시행 시행령에 조용하지만 파급이 큰 조항이 하나 더 있다. 사업자가 자동화된 도구로 공공기관의 개인정보를 가져가려면, 필요한 정보·전송 방식·안전조치를 해당 기관과 먼저 협의해야 한다.

그동안 스크래핑은 "이용자 동의를 받았으니 이용자를 대신해 긁어온다"는 논리로 운영돼 왔다. 시행령은 여기에 기관과의 사전협의라는 절차를 넣었다. ISMS-P 관점에서는 수집 경로의 적법성(3.1.5)과 자동화 접근의 통제(2.6.6)가 동시에 걸린다.

오늘의 픽 — 스크래핑을 "기능"이 아니라 "수집 경로"로 본다

스크래핑 사전협의 3.1.5

핵심은 기존 서비스가 즉시 중단되는 것이 아니라는 점이다. 보도에 따르면 사업자가 공공기관과 사전에 협의해 필요한 정보·전송 방식·안전조치를 정하면, 협의가 진행되는 동안 기존 방식도 한시적으로 유지할 수 있다.

[스크래핑 서비스 운영 중]
        |
        v
[해당 공공기관과 사전협의 개시]  <- 필요한 정보 / 전송 방식 / 안전조치
        |
        +-- 협의 진행 중 -> 기존 방식 한시 유지
        |
        v
[협의 완료 -> 합의된 방식으로 전환]

실무에서 먼저 할 일은 우리 서비스가 어떤 공공기관에서 무엇을 긁어오는지 목록화하는 것이다. 이 목록이 없으면 협의도 시작할 수 없고, 심사에서 수집 출처를 설명할 수도 없다.

심사원 관점 — 무엇을 확인할 것인가

3.1.5 개인정보 간접수집: 자동화 수집의 출처·항목·법적 근거가 문서화됐는가.
2.6.6 원격접근 통제: 외부 시스템에 대한 자동화 접근 계정·자격증명이 통제되는가.
3.3.2 개인정보 처리 업무 위탁: 스크래핑을 대행사가 수행한다면 위탁 계약·점검이 있는가.

브리핑 — 오늘 함께 볼 이슈

(1) 자동화 계정의 자격증명이 남는다

스크래핑은 이용자 계정 정보(아이디·비밀번호·인증서)를 대신 사용하는 구조가 많다. 그 자격증명을 어디에 얼마나 보관하는가가 실질 위험이다.

심사 포인트: 자격증명 저장 여부·암호화·즉시 파기 절차 (2.7.1 연계, 3.1.5).

(2) 로그가 없으면 협의 내용도 증명 못 한다

합의된 범위대로 수집했는지는 요청 로그로만 증명된다. 요청 시각·대상·항목·건수가 남아야 한다.

심사 포인트: 자동화 수집 이력 기록·보관, 이상 급증 탐지 (2.9.5).

(3) 전송요구권과 스크래핑은 대체 관계다

전 분야 마이데이터가 자리 잡으면 정식 전송 경로가 스크래핑을 대체하는 방향이다. 어제 다룬 본인전송요구권 확대와 같은 시행령에 함께 담긴 이유다.

심사 포인트: 정식 전송 API 전환 계획이 있는가 (1.4.1).

심사원 실무 공지

두 조항(본인전송요구권 확대 · 스크래핑 사전협의)은 같은 시행령, 같은 2026.8.20 시행이다. 함께 본다.
조문 확인: 국가법령정보센터 개인정보 보호법 시행령

오늘의 심사 체크포인트

수집 경로 목록 — 어떤 기관에서 무엇을 자동 수집하는가 (3.1.5)
사전협의 상태 — 협의 개시·진행·완료 현황 문서 (1.4.1)
자격증명 관리 — 대행 접속용 자격증명 저장·파기 (2.6.6)
수집 로그 — 요청 이력 기록·보관·점검 (2.9.5)
위탁 관리 — 대행 수행 시 계약·점검 (3.3.2)
전환 계획 — 정식 전송 경로로의 이행 계획 (1.4.1)

인증기준	연계 근거	비고
3.1.5 개인정보 간접수집	자동화 수집	출처·근거
2.6.6 원격접근 통제	외부 시스템 자동 접근	자격증명
2.9.5 로그 및 접속기록 점검	수집 이력	증명 수단
3.3.2 개인정보 처리 업무 위탁	대행 수행	계약·점검
1.4.1 법적 요구사항 준수 검토	시행령 2026.8.20	협의 이행

원본 링크 (추가 확인용)

공공기관 개인정보 무단 스크래핑 사전협의 의무화 — 뉴스토마토 → https://www.newstomato.com/ReadNews.aspx?no=1309984
개인정보 보호법 시행령 — 국가법령정보센터 → https://www.law.go.kr/LSW/lsInfoP.do?lsId=011468&ancYnChk=0
시행령 제·개정이유 — 국가법령정보센터 → https://www.law.go.kr/LSW/lsRvsRsnListP.do?lsId=011468&chrClsCd=010102
마이데이터 전 분야 확대 — 대한민국 정책브리핑 → https://www.korea.kr/briefing/pressReleaseView.do?newsId=156743965
개인정보보호위원회 → https://www.pipc.go.kr

<sub>본 카드뉴스는 공개된 정부·법령 자료를 심사원 실무 관점에서 요약한 것으로, 법적 해석·자문을 대체하지 않습니다. 적용 대상과 세부 절차는 국가법령정보센터·개인정보보호위원회 최신 자료로 재확인하세요.</sub>

ISMS-P 데일리 뉴스(2026년08월25일)

문서 본문