개인정보위, 고객센터 9개사 점검…이름·전화번호 마스킹 수칙 제시

고객센터 상담사가 이름이나 전화번호 한 가지만 입력해도 고객의 상세주소까지 조회할 수 있었던 것으로 확인됐다. 개인정보보호위원회는 배달·홈쇼핑·온라인쇼핑·유선통신 분야 서비스 사업자 5개사와 고객센터 운영사 4개사 등 9개사를 대상으로 사전 실태점검을 벌여 이 같은 문제를 확인하고 보호조치를 강화하도록 했다고 29일 밝혔다.

이번 점검은 지난 3월 고객센터 상담사가 고객정보를 무단 조회해 보복 범죄에 악용한 사건이 계기였다. 개인정보위는 상담화면에 고객의 이름·전화번호·주소가 마스킹 없이 그대로 표시된 사례도 확인했다. 점검 결과와 시정조치안은 10월 28일 제21회 전체회의에서 심의·의결됐다.

점검 대상은 쿠팡, 위대한상상, CJENM, G마켓, SK브로드밴드 등 서비스 사업자와 메타엠, 유베이스, 트랜스코스모스코리아, 휴넥트 등 고객센터 운영사다. 사업자들은 접속기록 점검과 상담사 교육 등 기본적인 보호조치는 대체로 이행하고 있었지만, 외부 접속 때 인증서나 보안토큰 같은 안전한 인증수단을 적용하지 않은 곳이 있었다. 접속기록의 필수항목을 누락하거나 법정 보관기간인 2년보다 짧은 1년간만 보관한 사업자도 있었고, 개인정보 처리업무를 위탁하면서 위탁 업무 내용과 수탁자를 공개하지 않은 경우도 있었다. 개인정보위는 이 같은 미흡사항을 시정권고하고, 점검 과정에서 상당 부분 개선됐다고 설명했다.

개인정보위는 점검 결과를 토대로 서비스 사업자와 고객센터 운영사가 자율적으로 실천할 수 있는 '고객센터 개인정보 보호 4대 행동수칙'을 제시했다. 상담 유형과 처리 단계에 따라 필요한 정보만 표시하고, 이름은 첫 글자와 세 번째 글자만, 주소는 도로명이나 법정동까지만, 전화번호는 가운데 번호까지만, 이메일은 아이디 첫 두 글자와 도메인 정보만 남기고 나머지는 가리는 방식이다.

이름이나 전화번호로 임의 검색을 하는 것도 제한한다. 상세정보 조회나 마스킹 해제가 필요한 경우에는 사유 입력과 추가 인증 같은 보호절차를 거치도록 했다. 이와 함께 담당 업무에 따라 조회 가능한 정보 범위를 제한하고 퇴사·업무변경 시 불필요한 권한을 신속히 회수하며, 접속기록을 법정 기간 동안 보관하면서 반복·대량 조회 같은 비정상 이용행위를 상시 탐지·점검하도록 했다. 서비스 사업자는 수탁 사업자의 보호조치 이행 실태를 주기적으로 점검하고, 상담사에게는 무단 조회·이용 금지 등 보호수칙을 교육해야 한다.

개인정보위는 이번 점검이 법령 위반 여부 확인에 그치지 않고 실제 업무환경에서 생길 수 있는 개인정보 오·남용 위험을 미리 찾아 개선하도록 했다는 데 의의가 있다고 밝혔다. 앞으로 시정·개선권고 사항의 이행 여부를 확인하고, 보호수칙 홍보와 관련 업계 설명회를 통해 고객센터 운영 전반에 개인정보 최소 조회·이용 원칙이 자리 잡도록 할 계획이다.