보안 인증 미흡과 접속기록 누락 적발
배달과 쇼핑, 통신 서비스를 제공하는 기업들을 포함해 총 9곳의 고객센터 운영사가 개인정보 보호 조치 부실로 인해 개인정보보호위원회(개인정보위)로부터 시정 권고와 개선 조치를 받았다. 이번 조치는 쿠팡과 G마켓 등 주요 사업자와 이들의 고객센터를 운영하는 업체들이 개인정보를 다루는 과정에서 보안 체계가 제대로 작동하지 않았음을 시사한다.
개인정보위는 지난 29일, 대량의 고객 정보를 취급하는 고객센터의 개인정보 처리 실태를 전수 점검한 뒤 시정 조치안을 의결했다고 공표했다. 사전 점검 대상에는 쿠팡, 위대한상상, 브로드밴드 등 서비스 사업자 5곳과 메타엠, 유베이스, 트랜스코스모스코리아, 휴넥트 등 고객센터 운영사 4곳이 포함되었다.
개인정보 노출 및 관리 부실 사례 확인
점검 과정에서 드러난 보안 취약점은 심각한 수준이었다. A사는 외부 접속 시 반드시 갖춰야 할 인증서나 보안토큰 같은 안전한 인증 수단을 적용하지 않고 있었으며, B사 등은 접속 기록의 필수 항목을 빠뜨리거나 법정 보관 기간인 2년을 채우지 않고 1년 만에 기록을 삭제한 것으로 나타났다. C사의 경우 개인정보 처리 업무를 위탁하면서도 수탁자와 구체적인 업무 내용을 공개하지 않는 과오를 범했다.
특히 고객의 성명이나 연락처 중 단 하나의 정보만 입력해도 상세 주소까지 한꺼번에 조회할 수 있는 구조적 결함이 발견되었다. 상담사들의 작업 화면에서도 고객의 이름, 전화번호, 주소 등이 마스킹 처리 없이 그대로 노출되는 사례가 확인되어 정보 유출 위험성을 높였다. 개인정보위는 점검 중 상당 부분의 미흡 사항이 개선되었으나, 아직 조치가 마무리되지 않은 부분에 대해서는 시정 권고를 내렸다고 설명했다.
개인정보 보호 4대 행동 수칙 제시
개인정보위는 이번 점검 결과를 바탕으로 업계가 자율적으로 준수해야 할 ‘고객센터 개인정보 보호 4대 행동 수칙’을 발표했다. 우선 개인정보는 필요한 범위 내에서만 표시해야 하며, 마스킹 기법을 활용해 정보가 일괄적으로 노출되는 것을 방지해야 한다. 또한 상담사의 업무 성격에 따라 접근 가능한 정보의 범위를 엄격히 제한하고, 직원이 퇴사하거나 보직이 변경될 경우 정보 접근 권한을 즉각 회수하여 통제력을 강화하도록 권고했다.
접속 기록은 처리 규모와 항목에 따라 법정 기간인 1년 또는 2년 동안 반드시 보관해야 하며, 기록 조회 시에는 그 사유를 명확히 하는 등 보호 조치를 병행해야 한다. 서비스 사업자는 고객센터를 수탁한 운영사가 보안 조치를 잘 이행하는지 정기적으로 감독해야 하며, 상담사들에게는 무단 조회 금지 교육을 실시해 책임감을 높여야 한다. 개인정보위는 이번 점검이 실제 현장의 오남용 위험을 선제적으로 차단했다는 데 의의가 있으며, 향후 설명회와 홍보를 통해 '최소 조회·이용 원칙'이 업계 전반에 뿌리내리도록 관리할 방침이다.