고객센터 개인정보 실태 점검 및 시정조치
개인정보보호위원회가 고객센터를 대상으로 진행한 개인정보 처리 실태 점검을 마무리하고, 이에 따른 시정조치안을 마련했다. 위원회는 서비스 제공 사업자와 고객센터 운영사가 자율적으로 지킬 수 있는 '고객센터 개인정보 보호 4대 행동수칙'을 함께 공개했다.
개인정보위는 지난 29일, 제21회 전체회의를 통해 실태 점검 결과와 시정조치안을 심의하고 의결했다고 밝혔다. 이번 조치는 개인정보보호법에 근거한 사전 실태 점검의 일환으로 시행되었다. 이는 침해 사고를 예방하기 위해 취약 요인을 미리 파악하는 제도로, 미흡한 점이 발견될 경우 시정이나 개선을 권고할 수 있는 권한을 갖는다.
이번 점검은 지난 3월 발생한 배달의민족 외주 고객센터 상담사의 고객정보 무단 조회 및 보복 대행업체 정보 유출 사건에서 비롯되었다. 점검 대상에는 배달·홈쇼핑·온라인쇼핑·유선통신 분야의 주요 사업자인 쿠팡, 위대한상상(요기요 운영사), 브로드밴드 등이 포함되었으며, 고객센터 운영사인 메타엠, 유베이스, 트랜스코스모스코리아, 휴넥트 등 4개사도 함께 조사받았다.
보안 취약점 발견 및 개선 권고
접근권한 관리의 법적 의무 준수 여부와 상담 과정에서의 정보 오·남용 위험성을 종합적으로 분석한 결과, 대부분의 사업자는 상담사 교육과 접속기록 점검 등 기본적인 보호 조치를 수행하고 있는 것으로 나타났다.
그러나 일부 보안 허점이 확인되기도 했다. A사의 경우 외부 접속 시 보안토큰이나 인증서 같은 안전한 인증 수단을 사용하지 않았으며, B사는 접속기록의 필수 항목을 빠뜨리거나 법정 보관 기간인 2년보다 짧은 1년 동안만 기록을 유지하고 있었다. 또한 성명이나 전화번호 등 단일 정보만 입력해도 상세 주소와 같은 추가 개인정보가 즉시 노출되는 사례도 적발되었다. 이러한 미흡 사항들은 점검 과정에서 즉시 개선되었으며, 개보위는 아직 조치되지 않은 일부 사항에 대해 시정 권고를 내렸다.
개인정보 보호를 위한 4대 행동수칙
개인정보위는 점검 결과를 바탕으로 자율적 실천을 위한 4대 행동수칙을 제시했다. 첫째, '필요한 개인정보만 표시하고 조회'하는 것이다. 상담 단계와 유형에 맞춰 정보 노출을 최소화하고, 마스킹 처리를 통해 개인정보가 일괄적으로 드러나지 않게 해야 한다. 또한 임의 검색을 제한하고 상세 정보 조회 시에는 사유 입력이나 추가 인증 절차를 거치도록 한다.
둘째, '업무에 꼭 필요한 인원만 접근할 수 있도록 통제'하는 원칙이다. 상담사의 담당 직무에 따라 정보 조회 범위를 차등화하고, 퇴사자나 업무 변경자가 발생할 경우 권한을 즉각 회수해야 한다. 외부 접속 시에는 반드시 안전한 인증 수단을 갖춰야 한다. 셋째, '조회 기록의 철저한 관리 및 확인'이다. 접속 기록을 법정 기간(규모에 따라 1~2년) 동안 보관하며, 대량 조회와 같은 비정상적 행위를 상시 탐지해야 한다. 이상 징후 발견 시에는 즉시 사유를 확인하고 보호 조치를 취해야 한다.
마지막으로 '상담사와 운영사 간의 공동 관리·감독'이 강조되었다. 서비스 사업자는 수탁사인 고객센터 운영사의 보호 조치 이행 여부를 정기적으로 점검해야 하며, 상담사에게는 무단 정보 이용 금지 교육을 실시하고 책임 소재를 명확히 해야 한다.
개인정보위 관계자는 이번 점검이 단순한 법 위반 확인을 넘어 실제 업무 환경의 오·남용 위험을 선제적으로 개선했다는 점에 의의가 있다고 설명했다. 이어 시정 권고 사항의 이행 여부를 지속적으로 확인하고, 업계 설명회 개최와 수칙 홍보를 통해 고객센터 운영 전반에 '최소 조회·이용 원칙'이 정착되도록 노력하겠다고 덧붙였다.