전자금융거래법

돈이 오가는 자리에는 오랫동안 은행 창구가 있었습니다. 창구에서 사고가 나면 책임질 곳이 분명했고, 그 책임을 지도록 은행에는 자본금과 감독이 따라붙었습니다. 인터넷 뱅킹과 카드 결제가 퍼지면서 이 구조가 흔들렸습니다. 은행이 아닌 회사가 결제를 중계하고, 상품권처럼 돈을 미리 받아 두고, 정산까지 대신하기 시작했는데 이들에게는 그런 요건이 하나도 걸려 있지 않았습니다.

문제는 사고가 났을 때 드러났습니다. 계정이 털려 돈이 빠져나가면 사용자는 은행에 묻고, 은행은 중계한 회사를 가리키고, 그 회사는 사용자의 비밀번호 관리가 허술했다고 답했습니다. 셋 중 누가 물어 주는지가 어디에도 적혀 있지 않아서 결국 소송으로 갔고, 같은 사고라도 판결이 갈렸습니다. 돈을 미리 받아 둔 회사가 문을 닫으면 충전해 둔 금액은 그대로 사라졌습니다.

전자금융거래법은 이 빈자리를 메우려고 만들어졌습니다. 세 가지를 못 박았습니다. 이런 일을 하려면 먼저 등록하고 요건을 갖출 것, 사고가 나면 원칙적으로 사업자가 먼저 물어 줄 것, 그리고 거래 기록과 보안 조치를 갖춰 둘 것입니다. 사용자가 사고 원인을 증명해야 했던 구도가 여기서 뒤집혔습니다.

이 법은 돈을 다루는 회사에 세 겹으로 걸립니다. 문을 여는 조건, 사고가 났을 때의 책임, 그리고 평소에 갖춰야 할 상태입니다.

1. 등록과 허가 — 결제를 중계하거나 돈을 미리 받아 두는 일을 사업으로 하려면 금융당국에 먼저 등록해야 합니다. 하는 일에 따라 유형이 나뉩니다. 카드 결제를 대신 처리하면 전자지급결제대행업, 포인트나 캐시처럼 먼저 충전받아 나중에 쓰게 하면 선불전자지급수단 발행업, 거래 대금을 중간에 맡아 두었다가 배송 후에 넘기면 결제대금예치업입니다. 유형마다 자본금과 인력, 보안 설비 요건이 따로 정해져 있습니다.
2. 사고 책임 — 해킹이나 위조로 이용자의 돈이 빠져나가면 사업자가 먼저 배상합니다. 사업자가 잘못했다는 점을 이용자가 증명해야 하는 것이 아니라, 반대로 이용자에게 고의나 중대한 과실이 있었다는 점을 사업자가 증명해야 면책됩니다. 이 방향이 이 법에서 가장 무거운 대목입니다.
3. 안전성과 기록 — 거래 기록을 정해진 기간 동안 보관해야 하고, 접속 기록과 이상 거래 탐지 같은 보안 조치를 갖춰야 합니다. 사고가 났을 때 무엇이 일어났는지 재구성할 수 없으면 책임을 가릴 수도 없기 때문입니다.

대부분의 작은 회사는 1번을 직접 하지 않습니다. 이미 등록을 마친 결제 대행 회사와 계약해 결제를 맡기고, 카드 번호를 자기 서버에 받지 않는 방식으로 요건을 넘깁니다. 결제창이 대행사 화면으로 넘어갔다가 돌아오는 흐름이 이 이유로 만들어진 것입니다. 다만 넘어가는 것은 결제 처리에 한정됩니다. 돈을 미리 받아 두는 구조를 직접 만들면 그 부분은 그대로 이 회사에 걸립니다.

제품을 만드는 쪽에서 이 법이 실제로 튀어나오는 자리는 셋입니다.

1. 결제를 처음 붙일 때 — 카드 정보를 어디까지 받아 둘지 정하는 자리입니다. 결제 대행사를 끼면 카드 번호는 그쪽 화면에서 입력받고 우리 쪽에는 결제 성공 여부와 식별자만 넘어옵니다. 이 설계를 바꿔 카드 번호를 직접 보관하려 들면 준비해야 할 것이 한 단계 올라갑니다.
2. 충전 방식의 포인트나 크레딧을 만들 때 — 돈을 먼저 받아 두는 구조라 선불전자지급수단에 해당할 수 있습니다. 받아 둔 충전금을 회사 운영 자금과 섞어 쓰지 못하고 따로 관리해야 하고, 남은 금액을 언제 어떻게 돌려주는지를 이용약관에 적어야 합니다. 기획 회의에서 가장 자주 과소평가되는 기능이 이것입니다.
3. 여러 판매자에게 돈을 나눠 줄 때 — 고객에게 받은 돈을 우리 계좌에 모았다가 판매자에게 정산하는 구조는 결제 대금을 맡아 두는 일에 해당합니다. 마켓플레이스를 만들면 반드시 지나는 자리입니다.

소비자 보호 규정과 겹쳐 보이지만 보는 대상이 다릅니다. 저쪽은 산 물건을 무를 수 있는지를 보고, 이 법은 돈이 오가는 통로 자체가 안전한지를 봅니다.

"충전 방식으로 가면 전자금융업 등록 검토해야 합니다."

포인트를 미리 사 두게 하는 설계가 등록 대상이 될 수 있다는 경고입니다.

"카드 번호는 저희가 안 받습니다. PG사 창으로 넘겼다 돌아옵니다."

결제 정보를 직접 보관하지 않아 그만큼의 의무를 지지 않는다는 설명입니다.

"정산을 우리 계좌로 받았다가 나눠 주면 그건 예치업이에요."

돈을 중간에 맡아 두는 구조가 별도 등록 대상이라는 지적입니다.

페이지덱이 기업 고객용 선결제 크레딧을 검토할 때 이 법이 회의 전체를 바꿔 놓았습니다. 처음 안은 단순했습니다. 큰 고객이 1년치 금액을 먼저 넣어 두고 쓴 만큼 차감하는 방식이었고, 지현은 화면 두 개짜리 기능으로 봤습니다.

규원이 자문을 받아 온 결과는 달랐습니다. 돈을 먼저 받아 두는 구조라 충전금을 회사 돈과 분리해 관리해야 하고, 쓰지 않은 잔액을 돌려주는 조건을 약관에 명시해야 하며, 규모에 따라 등록이 필요할 수 있다는 답이었습니다. 팀은 방향을 바꿔 계약서에 연간 금액을 적고 매달 나눠 청구하는 방식으로 갔습니다. 고객이 보는 결과는 비슷하지만 돈을 미리 받아 두지 않으니 이 법에 직접 걸리지 않습니다.

결제 대행사를 붙였으니 이 법과 무관하다고 넘기는 경우가 가장 흔합니다. 카드 번호를 안 받으니 위험한 일은 다 넘겼다고 읽는 것이고, 결제만 놓고 보면 맞는 말이기도 합니다. 하지만 넘어간 것은 결제 처리 한 가지뿐입니다. 포인트 충전을 붙이는 순간, 판매자 정산을 직접 하는 순간 그 부분은 자기 몫으로 돌아옵니다. 기능을 붙일 때마다 다시 봐야 하는 이유가 이것입니다. 처음 결제를 붙일 때 한 번 검토하고 덮어 두면, 2년 뒤에 늘어난 기능 서너 개가 한꺼번에 문제로 올라옵니다.

충전해 둔 포인트를 회사가 자유롭게 정리해도 된다고 보는 것도 자주 나옵니다. 서비스 안에서만 쓰는 값이니 유효기간을 두고 소멸시키면 된다고 생각하기 쉽습니다. 실제로는 사용자가 돈을 내고 산 것이라 매출이 아니라 돌려줘야 할 빚에 가깝습니다. 남은 금액을 어떻게 처리하는지에 제약이 걸리고, 회사가 문을 닫는 상황까지 염두에 둔 관리 의무가 따라옵니다. 소멸 조건을 마음대로 정했다가 분쟁이 되면 약관 조항이 통째로 무효가 될 수 있습니다.