자료실
정책 브리프
페루, 오픈파이낸스 제도화…데이터 공유 규정안 공개
- 작성자 ec21rnc
- 등록일 2026.10.23
◆ 핵심 요약
•페루 은행보험연금감독청(SBS)은 오픈파이낸스 시스템 일반규정 제정안을 두 차례에 걸쳐 공개하고, 금융회사 간 고객 데이터 공유를 위해 참여 요건·동의 절차·기술표준을 제시함
•은행 예금계좌·신용카드 데이터부터 공유를 단계적으로 의무화하고, 감독당국이 공통 인프라를 운영하며 단일 표준을 적용하는 체계를 도입할 계획임
◆ 이슈 개요
•페루 은행보험연금감독청(Superintendencia de Banca, Seguros y AFP, SBS)은 2026년 10월 「오픈파이낸스 시스템 일반규정」 제정안을 두 차례로 나누어 공개하고 의견수렴에 착수함
•1차 규정안은 제1~4편에서 ①적용 범위 ②공유 데이터 ③참여기관 역할 ④등록·허가 절차 ⑤고객 동의를 규정함. 2차 규정안은 제5~7편에서 ①공통 인프라 ②신뢰체계 ③기술표준을 규정하며, 이로써 전체 10개 편 가운데 7개 편이 공개되었음
•오픈파이낸스는 고객 동의를 전제로 금융회사와 핀테크 등이 표준화된 API를 통해 고객 데이터를 교환하는 체계임. SBS는 이를 통해 금융권의 경쟁과 혁신을 촉진하고 포용금융을 확대하는 것을 목표로 함
•이번 규정안은 SBS가 2026년 2월 발표한 오픈파이낸스 로드맵 가운데 규제 체계 마련 단계에 해당함. SBS는 앞서 감독대상 기관·핀테크·기술 공급업체 등을 대상으로 시장 진단을 마쳤으며, 운영 가이드라인 초안에 대한 의견수렴도 실시함
•적용 대상은 은행·보험사·민간연금운용사 등 SBS 감독대상 기관 전반과 페루국민은행·개발금융공사(COFIDE)·주택금융기금 등 국영 금융기관임. SBS 감독을 받지 않는 법인도 등록 요건을 갖추면 자율적으로 참여할 수 있음
◆ 주요 내용 상세
참여기관 역할과 의무 공유 데이터
참여기관을 데이터 제공기관과 수신기관으로 구분하고, 은행 예금·카드 데이터부터 공유를 단계적으로 의무화해 신규 사업자의 데이터 접근 기반을 마련
•SBS가 공표하는 명단에 포함된 기관은 데이터 제공기관으로 의무 참여해야 하며, 2028년 1월에는 4대 은행이 우선 참여함. 아울러 상호주의 원칙에 따라 데이터 수신기관도 자신이 보유한 대상 데이터를 공유해야 함
•공유 대상은 ①고객 신원정보 ②보유 상품의 잔액·거래내역 ③금리·수수료 등 공개 상품정보임. 공개 상품정보는 개인정보를 포함하지 않으므로 고객 동의 없이 제공됨. 금융회사의 내부 위험평가와 자금세탁방지 보고·분석 결과는 공유 대상에서 제외됨
•데이터 제공은 저축·당좌예금 계좌의 경우 2028년 1월, 신용카드의 경우 2028년 7월 개시될 예정임. 제공해야 하는 거래내역 기간은 개시 시점 12개월에서 2030년까지 36개월로 단계적으로 확대됨
•자율 참여하는 비감독 법인은 순자산 67만 8천 솔 이상을 갖추고 SBS의 데이터 기반 서비스 제공자 명부에 등록해야 함
목적별 동의와 책임 배분
데이터 이용 목적을 정해진 유형으로 한정하고 목적별 동의를 의무화해 고객의 데이터 통제권을 보장하고, 사고 발생 시 1차 책임 주체를 판단하는 기준을 제시
•동의는 목적별로 따로 받아야 하며, 목적은 ①개인 자산관리 ②상품 비교 ③상품 이용 자격 심사 ④사기 예방 등 SBS가 정한 유형 가운데 하나여야 함. 데이터 접근 자체는 목적으로 인정되지 않음
•동의 절차는 ①수신기관에서의 동의 ②제공기관에서의 본인인증 ③제공기관에서의 최종 확인 순서로 진행됨
•모든 참여기관은 동의 관리 화면을 제공해야 함. 고객은 이 화면에서 언제든 사유 없이 즉시 동의를 철회할 수 있으며, 제공기관이 다른 기관에 부여된 동의의 철회를 유도하는 행위는 금지됨
•규정안은 사고 유형별 1차 책임 주체를 정한 책임 배분 기준을 두었음. 다만 이 기준은 최종 책임을 확정하거나 배상 의무를 발생시키지 않음
공통 인프라와 기술·보안 표준
SBS가 공통 인프라를 운영하고 단일 기술·보안 표준을 적용해 참여기관 간 상호운용성과 보안 수준을 확보
•SBS는 참여기관 등록부·개발자 포털·테스트 환경 등 공통 인프라를 운영함. 다만 데이터는 제공기관과 수신기관 간에 직접 교환되며, 공통 인프라를 거치거나 그곳에 집중 보관되지 않음
•참여기관은 등록부에 등재된 정보로 상대방의 신원과 역할을 확인하므로 별도 계약 없이 데이터를 교환할 수 있음. 제공기관이 개별 계약 체결을 데이터 제공 조건으로 요구하는 행위도 금지됨
•API 규격은 OpenAPI·REST·JSON 방식으로 통일되며, 데이터 항목은 국제 표준(ISO 20022)을 참고해 정함. 고객이 제공기관의 인증정보를 다른 기관에 제공하게 하거나 고객의 접속을 모방하는 방식은 금지됨
•참여기관은 OpenID 재단으로부터 보안 규격(FAPI 2.0 페루 프로파일)* 적합성 인증을 받고 매년 갱신해야 함. 아울러 정확성·완전성·적시성 등 데이터 품질 지표를 측정하고, 기준에 미달하면 개선해야 함
* FAPI(Financial-grade API): 금융거래 수준의 보안을 위해 OpenID 재단이 제정한 API 보안 규격
◆ 향후 계획 및 글로벌 동향
단계적 시행과 후속 규정 공개
•SBS는 의견수렴 기간 중 접수된 의견을 검토해 최종안을 확정할 예정임
•테스트 환경 관련 규정은 2027년 7월, 참여기관 등록·허가 절차와 공통 인프라·신뢰체계·기술표준 관련 규정은 2027년 8월 시행될 예정임. 나머지 규정은 2028년 1월 시행될 예정임
•①비용 회수 ②장애·분쟁 처리 ③모니터링·제재 등 나머지 3개 편은 추후 별도 규정으로 마련될 예정임
•대출·보험·연금 등 나머지 데이터의 제공 개시 일정은 아직 확정되지 않았음
콜롬비아의 오픈파이낸스 의무화 사례
•콜롬비아는 2026년 4월 시행령으로 오픈파이낸스를 의무화함. 페루와 마찬가지로 감독대상 기관은 의무적으로, 비감독 기관은 자율적으로 참여하는 혼합 방식이며, 참여기관 등록부도 콜롬비아 금융감독청(Superintendencia Financiera de Colombia, SFC)이 운영함
•그러나 기술표준을 정하는 방식은 상이함. 페루가 규정안에 API·보안 표준과 데이터별 개시 시점을 함께 명시한 반면, 콜롬비아 시행령은 공유 의무의 골격만 정하고 표준 제정을 SFC에 위임함. 금융회사는 SFC가 데이터 유형별 표준을 제정한 날부터 12개월 이내에 데이터 접근을 허용해야 함
•콜롬비아 정부는 2026년 10월 시행령을 개정해 SFC의 이행 기한을 6개월씩 연장함. 표준화 일정표 공표 기한은 2027년 4월, 참여기관 등록부 가동 기한은 2027년 10월로 조정됨
•연장 사유는 참여기관 등록부와 성과지표가 표준 제정에 좌우된다는 점이며, 데이터 공유 개시 일정은 아직 정해지지 않았음
※ 본 보고서의 내용은 해외금융협력협의회의 공식 입장이나 견해를 대변하지 않습니다.