미국 상원 데이터보안법 추진, KYC 보존기간을 둘러싼 논쟁의 배경

미국 상원에서 추진 중인 데이터보안 관련 법안을 두고 금융·핀테크 업계와 개인정보 보호 진영이 팽팽하게 맞서고 있다. 쟁점의 한가운데에는 이른바 KYC(Know Your Customer·고객확인) 과정에서 수집한 신분 정보와 거래 데이터를 얼마나 오래 보관해야 하느냐는 '보존기간' 문제가 자리한다. 법안 자체는 기업이 다루는 민감 데이터의 보안 기준을 강화하는 것이 골자지만, 세부 조항에서 보존기간을 명시하는 방식을 두고 이해관계가 정면으로 충돌하고 있는 것으로 알려졌다.

배경을 먼저 짚어야 한다. KYC는 은행과 핀테크 기업이 자금세탁방지(AML) 규제를 준수하기 위해 고객의 신원과 자금 출처를 확인하는 절차다. 문제는 이렇게 모은 여권 사본, 주소, 계좌 이력 같은 정보가 규제상 일정 기간 보관 대상이 된다는 점이다. 규제 당국은 범죄 수사와 추적을 위해 '충분히 긴' 보존을 원한다. 반면 개인정보 보호 진영은 데이터가 오래 쌓일수록 유출 시 피해가 커진다고 본다. 데이터를 오래 들고 있는 것 자체가 위험 자산이 된다는 논리다. 이번 상원 법안은 이 두 요구가 한 조문 안에서 부딪히는 지점이라 논쟁이 격해진 것으로 전해진다.

이해관계 구도는 단순하지 않다. 대형 금융기관은 이미 긴 보존기간에 맞춘 시스템을 갖춰 두어 큰 변화를 원치 않는 편이다. 반대로 신생 핀테크와 암호화폐 관련 사업자들은 보관 부담과 보안 책임이 과중하다고 호소해 왔다. 여기에 프라이버시 시민단체는 '수집 최소화'와 '목적 달성 후 폐기'라는 원칙을 강조하며 짧은 보존기간을 밀고 있다. 법 집행기관과 일부 의원들은 반대로 수사 공백을 우려한다. 결국 어느 쪽으로 기울든 특정 산업과 이해관계자의 비용 구조가 달라지기 때문에 합의가 쉽지 않다는 관측이 나온다.

한국 독자에게도 남의 일은 아니다. 미국의 데이터 규제는 글로벌 기업의 표준을 사실상 끌어가는 경우가 많다. 미국 시장에 진출한 국내 핀테크나 거래소, 그리고 미국 사용자를 상대하는 서비스는 이 법안이 정하는 보존기간을 따라야 할 가능성이 크다. 국내에서도 개인정보보호법과 특정금융정보법(특금법)에 따라 KYC 정보 보관 의무가 이미 존재하는데, 미국 기준이 강화되거나 특정 방향으로 정리되면 국내 규제 논의에도 참고점이 될 수 있다. 다만 현재 법안은 위원회 심의 단계로 알려져 있어 최종 문구와 통과 여부는 불확실하다. 세부 조항이 바뀔 여지가 크고, 하원과의 조율 과정도 남아 있다. 개인적으로는 '데이터를 오래 갖고 있는 게 미덕'이라는 오랜 관행이 이번 논쟁을 계기로 흔들릴지가 관전 포인트라고 본다. 보관은 언젠가 청구서가 날아오는 위험이기도 하니 말이다. 확정된 내용은 없으니 원문 조항이 공개될 때마다 확인하는 편이 안전하다.