theTAX tv 채흥기 기자 | 환급금 조회 등을 목적으로 수집한 개인정보를 저장하거나 분석·활용하는 행위를 제한하는 개정 <개인정보 보호법 시행령>이 오는 20일부터 시행된다. 이에 따라 삼쩜삼과 토스인컴, 비즈넵 등 세무플랫폼의 개인정보 수집 방식과 환급대행·부가가치세 신고 등 세무 관련 서비스에도 적지 않은 변화가 예상된다.
한국세무사회(회장 구재이)는 이번 시행령 시행을 계기로 세무플랫폼의 개인정보 및 과세정보 수집·보관 실태를 관계기관과 함께 점검하는 한편, 자체적으로 위반 사례를 수집해 형사고발 등 적극적인 대응에 나설 방침이라고 밝혔다.
다만 세무플랫폼의 위법 여부는 구체적인 개인정보 수집 방식과 이용자의 동의 범위, 실제 업무 수행 형태 등에 따라 관계기관의 조사와 법적 판단을 거쳐야 한다.
개정 시행령은 기업이 정보 주체를 대신해 개인정보를 단순히 전송하는 대리인 역할을 할 경우, 해당 정보를 자체 서버에 저장하거나 별도의 목적으로 분석·활용하지 못하도록 개인정보의 ‘전송’과 ‘활용’을 엄격하게 구분하고 있다.
신설된 ‘본인전송요구권’은 정보 주체가 자신의 개인정보를 본인에게 전송하도록 요구할 수 있는 권리다. 개인정보 전송은 표준화된 API를 이용하는 방식이 원칙이며, 이용자의 아이디와 비밀번호 등을 이용해 여러 기관의 정보를 자동으로 가져오는 이른바 ‘스크래핑’ 방식은 제한된다.
또한 개인정보를 전송받는 행위와 사업자가 이를 별도의 영업이나 마케팅 목적으로 저장·분석·활용하는 행위도 구분된다. 이용자의 동의만을 근거로 사업자가 개인정보를 광범위하게 수집하고 장기간 보관해 온 관행을 개선하고, 정보 주체의 개인정보 통제권을 강화하겠다는 취지다.
이에 따라 세무플랫폼이 국세청 홈택스나 마이데이터 등을 통해 소득·과세정보를 수집한 뒤 환급 가능성을 분석하고, 이를 유료 환급대행이나 세무신고 서비스로 연결해 온 영업 방식에도 상당한 제약이 뒤따를 것으로 전망된다.
자동화된 정보수집 도구 역시 정보제공기관과의 사전 협의나 심사를 거친 경우에만 사용할 수 있어, 무분별한 스크래핑 방식의 개인정보 수집은 한층 어려워질 것으로 보인다.
한국세무사회는 세무플랫폼들이 겉으로는 ‘프로그램 제공업’을 표방하고 있지만, 실제로는 의뢰인의 홈택스상 소득·과세정보를 수집하고 분석해 환급 가능 여부를 자동으로 판단한 뒤 유료 신고 대행으로 연결하는 등 사실상 세무대리 업무를 수행해 왔다는 입장이다.
특히 일부 플랫폼이 환급 가능성을 강조하는 광고를 통해 이용자의 관심을 끈 뒤, 한 차례 간편인증으로 확보한 개인정보와 과세정보를 반복적인 마케팅과 환급대행·세무신고 서비스에 활용하고 있다며 철저한 점검이 필요하다고 강조했다.
세무사회는 세무대리 권한이 없는 플랫폼이 개인정보와 과세정보를 기반으로 실질적인 세무대리를 수행했다면 개인정보 보호법뿐 아니라 세무사법 위반 여부도 함께 살펴야 한다는 입장이다.
세무사회는 대표적인 세무플랫폼 ‘삼쩜삼’ 운영사인 ㈜자비스앤빌런즈가 2023년 개인정보보호위원회로부터 주민등록번호 등 개인정보를 부적절하게 수집·보관하고 제3자에게 제공한 사실이 적발돼 시정명령과 과징금 8억5,410만 원, 과태료 1,200만 원을 부과받은 사례도 거론했다. 당시 개인정보보호위원회는 해당 업체에 주민등록번호 등 관련 개인정보를 파기하도록 시정명령을 내린 바 있다.
세무사회는 이 같은 처분 이후에도 일부 세무플랫폼이 환급금 조회를 계기로 이용자를 회원으로 가입시키고, 확보한 정보를 환급대행과 부가가치세·종합소득세 신고 등 유료 서비스의 마케팅에 활용하고 있다고 주장했다.
또 플랫폼들이 수천만 명 규모의 회원을 확보했다고 홍보하거나 신고 결과에 대한 보상제도를 운영하는 것 역시 단순한 프로그램 제공을 넘어 세무대리업과 유사한 형태로 볼 여지가 있다고 지적했다.
개인정보법·표시광고법·세무사법 통한 대응 예고
한국세무사회는 개정 시행령이 현장에 안정적으로 정착하려면 개인정보보호위원회와 국세청 등 관계기관이 세무플랫폼의 개인정보 수집 경로와 보관·활용 방식, 환급대행 및 세무신고 서비스의 실제 운영 구조를 일제히 점검해야 한다고 촉구했다.
세무사회는 앞으로 자체적으로 위반 사례를 집중적으로 수집해 세무플랫폼이 환급금 조회를 명목으로 개인정보와 과세정보를 과도하게 수집하는 행위를 예방하고, 실질적인 영업 형태에 맞도록 ‘프로그램 제공업’으로 등록된 업종을 재검토하도록 관계기관에 요구할 계획이다.
아울러 개인정보의 부당한 수집·보관·제3자 제공을 규제하는 개인정보 보호법과 근거 없는 환급액 제시 등 거짓·과장·기만 광고를 제한하는 표시·광고법, 세무대리로 오인하게 하는 광고와 무자격 세무대리를 금지하는 세무사법을 중심으로 단속과 고발 활동을 강화하겠다는 방침이다.
김선명 한국세무사회 부회장은 “세무플랫폼이 유도성 광고를 통해 확보한 개인정보를 이용해 수천만 명의 회원을 보유했다고 홍보하면서 환급대행과 부가가치세 신고 등 세무대리 마케팅과 사업을 계속해 온 것은 개인정보 보호 제도의 취약점을 악용한 것”이라고 주장했다.
이어 “개인정보 보호법 관련 규정이 보강된 만큼 관계기관은 국민의 개인정보와 과세정보가 담긴 국세청 홈택스 자료가 부당하게 수집·활용되지 않도록 실제 영업 형태에 입각해 법령을 적용하고 관리·감독해야 한다”고 강조했다.
<삼쩜삼 등 세무플랫폼 타격입나?>
오는 8월 20일 시행으로 세무플랫폼의 기존 영업 방식에는 상당한 타격이 예상되지만, “삼쩜삼·토스인컴·비즈넵 같은 세무플랫폼 사업 자체가 불가능해진다”는 해석은 과하다. 특히 한국세무사회가 주장하는 ‘원천봉쇄’와 개인정보보호위원회의 공식 설명 사이에는 상당한 온도 차가 있다.
그렇다면 고객이 동의하면 되는 것 아닌가?라는 질문에는 간단치 않다. 고객 동의를 받아도 ‘무제한 스크래핑’이 허용되는 것은 아니다.
개인정보위는 8월 9일 공식 설명자료에서 정보주체가 동의했더라도 아이디·비밀번호·인증정보를 기업에 넘겨 공공기관 홈페이지에 대신 로그인하게 하고 정보를 긁어오는 방식에는 정보유출·오남용 위험이 있다고 명시했다. 따라서 자동화된 스크래핑을 이용해 본인전송요구를 대리하려면 정보 보유기관과 사전에 안전한 전송방식을 협의해야 한다.
즉, “나는 삼쩜삼에 내 개인정보를 제공하는 데 동의합니다” 라는 체크 하나가 “삼쩜삼이 홈택스에 자동으로 접속해 필요한 자료를 가져가고, 이를 서버에 장기간 저장·분석하고 다른 서비스 마케팅까지 활용해도 된다”는 포괄적인 허가가 아니라는 점이다. 동의의 효력이 없어지는 것이 아니라, 동의와 데이터 취득 방식이 별개의 문제다.
그런데 한국세무사회의 세무플랫폼 개인정보 활용 원천봉쇄 주장도 지나친 측면이 있다. 한국세무사회 측은 이번 시행령으로 세무플랫폼이 개인정보를 보관·분석·활용하기 어려워져 기존 사업모델이 사실상 봉쇄될 것이라는 입장이다.
그러나 개인정보위는 8월 9일 본인전송요구권의 ‘대리인’은 사용자를 대신해 정보를 받아 본인에게 전달하는 역할을 하는 것이 원칙이지만, 기업이 개인정보를 활용하는 다른 합법적인 통로가 존재한다고 밝혔다. 예를 들어 제3자전송요구권이나 공공마이데이터 등을 이용하면 기업이 이용자의 동의를 바탕으로 개인정보를 전송받아 저장·분석하고 맞춤형 서비스를 제공하는 것이 가능하다고 공식적으로 설명했다.
따라서 방식 고객 동의 플랫폼 저장·분석, 본인전송요구를 단순 대리 필요 원칙적으로 제한, 무단·비협의 스크래핑 동의해도 문제 상당한 제한, 사전협의된 스크래핑/API 필요 목적·지위에 따라 가능, 제3자전송요구권 이용자 요구·동의 가능, 공공마이데이터 등 적법한 전송 필요 절차 충족 가능, 고객이 적법하게 제공한 정보를 별도 계약으로 처리 동의·계약 등 법적 근거 필요 목적 범위 내는 가능하다.
따라서 개인정보 활용이 전면 금지된다라기보다 데이터를 가져오는 경로와 활용 근거를 엄격히 분리한다고 보는 것이 보다 정확하다.
그렇다면 삼쩜삼 같은 플랫폼은 어디에서 가장 타격을 받을까?
가장 타격이 큰 부분은 세금 신고 그 자체보다 ‘환급금 무료조회 → 고객 확보 → 유료 신고 전환’이라는 영업 퍼널이다. 예를 들어 지금까지의 전형적인 구조가 간편인증 → 홈택스 정보 자동수집 → 예상환급액 계산 → “38만 원 받을 수 있습니다” → 수수료 제시 → 환급신고였다면, 앞으로는 첫 단계의 정보 수집부터 적법한 전송 경로와 사전협의가 필요하다.
특히 대규모로 고객에게 “숨은 환급금 확인하세요” 라고 광고한 뒤 몇 번의 클릭으로 과세자료를 가져와 잠재고객 DB를 구축하는 방식은 이전보다 훨씬 부담이 커질 가능성이 높다. 개인정보위도 세무행정 등을 포함해 공공기관의 비공개 개인정보를 제한 없이 자동 수집하는 관행에 전환이 필요하다고 밝히고 있다.
이에 따라 신규 고객 모집과 무료 환급액 자동조회, 스크래핑 기반 개인별 마케팅은 타격이 크고, 기존 고객의 정상적인 신고서비스는 상대적으로 타격력이 약하다. API·공공마이데이터 전환에 성공한 대형 플랫폼은 중간 정도 타격을 입을 것이며, 기술·보안투자가 어려운 소규모 플랫폼은 큰 타격이 예상되고 있다.
특히 대형 플랫폼과 작은 플랫폼의 격차가 커질 가능성이 있다. 이 법 때문에 삼쩜삼 같은 대형 사업자가 바로 사라진다고 보기는 어렵다. 오히려 자본력이 있는 대형 플랫폼은 홈택스·관련 기관과 사전협의 → API 전환 → 공공마이데이터 이용 → 필요한 경우 전문기관 지위·제휴 확보 등으로 사업모델을 변경할 가능성이 높다.
실제로 개인정보위는 API가 즉시 구축되기 어려운 현실을 인정해 사전협의를 거친 기존 스크래핑은 일정 기간 약속된 방식으로 유지할 수 있도록 단계적으로 전환하겠다는 입장이다. 게다가 오늘인 11일부터 오는 31일까지 마이데이터 자격이 없는 소규모 사업자 등에 대해서도 3차 사전협의 신청을 추가로 받는다고 발표했다.
이것은 상당히 중요한 대목으로, 정부도 8월 20일을 기점으로 세무·금융 플랫폼의 스크래핑을 일시에 차단해 서비스를 중단시키려는 것은 아니라는 것이다.
결국 “고객 동의”는 여전히 중요하지만 만능열쇠는 아니다. 예를 들어 고객이 삼쩜삼에 ① 개인정보 수집·이용에 동의 ② 홈택스 자료 전송을 요구 ③ 해당 자료를 삼쩜삼이 분석하는 데 별도로 동의 ④ 적법한 제3자전송 또는 공공마이데이터 방식으로 정보가 넘어간다면 개인정보보호법상 적법하게 정보를 활용할 수 있는 길은 남아 있다. 개인정보위도 기업의 저장·분석·맞춤형 서비스 자체가 금지되는 것이 아니라고 설명하고 있다.
반대로 “회원가입할 때 개인정보 활용에 동의했으니까 우리가 고객 인증정보를 이용해서 홈택스에 들어가 필요한 정보를 마음대로 가져오겠다”는 방식은 앞으로 훨씬 어려워진다.
세무플랫폼에 더 큰 문제는 개인정보보호법과 ‘세무사법’이 동시에 적용된다는 점이다. 개인정보 문제를 해결했다고 해서 모든 문제가 끝나는 것도 아니다.
현행 세무사법은 조세 신고·신청·청구의 대리, 세무 관련 서류 작성, 신고를 위한 장부 작성, 조세 상담·자문 등을 ‘세무대리’로 규정하고 있다. 따라서 앞으로 세무플랫폼 규제의 실제 쟁점은 개인정보보호법 → 데이터를 어떻게 가져왔는가와 세무사법 → 그 데이터를 가지고 누가 실제 세무대리를 했는가 라는 두 개의 관문이 될 가능성이 높다.
플랫폼이 개인정보를 적법한 API로 가져왔다고 하더라도 실제 신고 판단과 세무대리를 무자격 플랫폼이 수행했다는 문제가 있다면 별도의 세무사법 쟁점이 생길 수 있다. 하지만 단기적으로는 삼쩜삼·토스인컴·비즈넵 같은 세무플랫폼의 영업에 꽤 큰 타격이 있을 것으로 예상되고 있으나 사업 자체가 원천적으로 막힌다고 보기는 어렵다.
향후 이들은 스크래핑 기반 영업모델은 약화될 전망이다. 현재처럼 수백만 명을 대상으로 손쉽게 무료 환급조회 → 개인정보·과세정보 확보 → 예상환급액 분석 → 반복 마케팅 → 유료 세무서비스 전환시키는 방식에는 상당한 제약이 생길 수 있다. 반면 사용자가 명확히 서비스를 신청하고, 플랫폼이 정식 API·공공마이데이터·제3자전송요구권 등을 통해 필요한 정보만 전달받아 서비스를 제공하는 방식은 계속 가능하다.
그래서 매출에는 분명 악재지만 치명타인지는 각 회사가 홈택스 데이터 취득 구조를 얼마나 빨리 적법한 API·마이데이터 방식으로 전환하느냐에 달려 있다고 보는 게 가장 현실적이다.
그리고 한국세무사회가 표현한 “세무플랫폼사업 원천봉쇄”는 법령 자체의 확정적 결론이라기보다는 세무사회 측의 강한 정책적·법률적 주장으로 보는 것이 타당하다. 왜냐면 개인정보위는 불과 지난 9일 공식자료에서 기업이 제3자전송요구권·공공마이데이터 등을 통해 개인정보를 받아 저장·분석하고 맞춤형 서비스를 제공하는 길이 있다고 명확하게 설명했다.
특히, 문제는 벌어들이는 수익에 비해 턱없이 적은 벌금이 세무플랫폼이 법을 위반하면서 영업을 지속하는 것이어서 영업정지 등 조치가 위반시마다 반복적으로 이뤄지고, 재 위반시 가중처벌하는 등의 후속조치가 이뤄져야 실효성이 있을 것으로 보고 있다.
