韓国個人情報保護委員会は8月11日、本人転送要求権の施行を前に、公的機関が保有する情報のスクレイピングを巡る事前協議支援の対象を、小規模事業者や非マイデータ事業者にも拡大すると発表した。20日の制度施行後もスクレイピングを一律に止めるのではなく、既存サービスを維持しながら、安全性の高い情報転送方式へ段階的に移行させる方針だ。

同委員会によると、11日から31日まで、本人転送要求権に基づく代理人向け事前協議支援の第3次申請を受け付ける。今回は従来の対象に加え、小規模事業者やマイデータ資格を持たない事業者も申請できる。委員会は各サービスの形態やセキュリティ水準を確認した上で、実務に適用可能な安全管理策を検討する。

今回の措置は、20日に施行される個人情報保護法施行令を前に、既存のスクレイピング利用事業者のサービス中断懸念を和らげる狙いがある。

同委員会は、制度施行がスクレイピングの全面禁止を意味するものではないと説明している。改正施行令では、利用者に代わって事業者がスクレイピングなどの自動化ツールを使い、公的機関が保有する情報を取得する場合、あらかじめ当該機関と協議することを求めている。

事前協議では、転送対象となる情報の範囲、代理人の確認方法、自動化ツールのアクセス・認証水準、個人情報保護措置、安全管理策などを定める。必要な安全管理措置を前提に、合意した範囲内では既存のスクレイピング方式を利用でき、中長期的にはAPIベースの転送方式へ移行するのが制度の基本的な方向性となる。

特に、第3次申請期間中に事前協議を申し込んだ企業・機関については、公的機関との協議が進む間、既存の情報転送方式を一定期間維持できるよう支援する。20日に制度が施行されても、書類の自動提出サービスなどが一斉に停止する仕組みにはなっていない。準備期間が必要な事業者には、現行サービスを継続しながら段階的に安全な方式へ移行するよう促す。

第3次の試行運用終了後も、事前協議の申請は可能だ。31日以降に新たなスクレイピング需要が生じたり、追加の協議が必要になったりした場合は、情報を保有する各公的機関に直接申請すればよいとしている。同委員会は、制度施行日の20日はスクレイピングサービスの一律終了日ではなく、公的機関ごとの事前協議体制が本格稼働する日だと位置付けている。

先行して実施した2回の試行運用では、想定を上回る需要が確認された。第1次（6月25日～7月10日）には約70の企業・機関から150件、第2次（7月20日～31日）には約300の企業・機関から550件の申請があった。

2回の試行運用を合わせた事前協議需要は約700件に達した。同委員会は、これまで複数のサービスでスクレイピングが使われてきた一方、全体像の把握は難しかったとし、第3次申請では未把握だった小規模事業者などの需要も確認する考えだ。

申請対象も明確にした。第3次試行運用では、マイデータ事業者などの資格の有無を問わず、自動化ツールを用いて公的システム運営機関が管理する個人情報の転送を受ける本人転送要求権の代理人が申請できる。

資格を持たない事業者は、申請書の資格区分を空欄のまま提出すればよい。ただし、事前協議の過程では、公的機関が代理人のアクセス方式や保護措置、安全管理策などを確認するため、別途準備が必要になる。

外部のスクレイピングソリューションを利用するフィンテック企業も申請対象となる。複数顧客のスクレイピング業務を担う受託会社が一括して申請することも可能だが、実際の転送要求の主体は各顧客がそれぞれ代理人となる。

ホームタックスなどの情報を活用するフィンテック企業も、今回の第3次試行運用に申請できる。フィンテック業界では、マイデータ資格のない事業者は事前協議に参加しにくいとの見方があり、サービス継続の可否を懸念してきた。今回の対象拡大で、当面の不確実性はかなり和らいだとの受け止めが出ている。

業界関係者は「当社のような事業者も申請できるようになり、ひとまず大きなハードルは越えたようだ」と話し、安堵感を示した。

個人情報保護委員会のヤン・チョンサム事務次長は「本人転送要求権の目的は、国民が利用してきたサービスを突然止めることではなく、必要なサービスは維持しつつ、個人情報の転送方式をより安全なものに改めることだ」と述べた。その上で「公的機関との協議を通じ、合意したスクレイピング方式やAPIなど、安全な移行を支援していく」と語った。

別のフィンテック業界関係者は「マイデータ資格のない事業者も事前協議を申請できるようになり、大きな山は一つ越えた」と評価する一方、「ただ、データを蓄積して分析・活用する部分にはなお課題が残る。今後はこの点についても追加の議論が必要だ」と話した。