고객센터 화면 속 이름·주소 가리고 퇴사자 접근권한 회수 권고
개인정보보호위원회가 10월 29일 서비스 사업자 5곳과 고객센터 운영사 4곳의 개인정보 처리 실태점검 결과를 발표했다. 10월 28일 전체회의에서 결정한 시정·개선 권고에는 고객정보 조회 범위와 접근권한을 줄이는 내용이 담겼다.
임상용 기자
개인정보보호위원회가 10월 29일 서비스 사업자 5곳과 고객센터 운영사 4곳의 개인정보 처리 실태를 점검한 결과를 내놨다. 10월 28일 전체회의에서 결정한 시정·개선 권고의 뼈대는 상담사가 들여다볼 수 있는 고객정보의 범위와 접근권한을 줄이는 것이다.
점검 대상은 배달·홈쇼핑·온라인쇼핑·유선통신 4개 분야다. 고객의 상세주소를 반드시 다뤄야 하는 대규모 서비스 사업자를 중심으로 골랐다. 개인정보 유출 사고 등으로 이미 조사를 받고 있는 곳은 대상에서 뺐다. 개인정보위는 10월 28일 전체회의에서 점검 결과를 심의한 뒤 미흡한 부분에 시정·개선을 권고했다.
점검은 지난 3월 배달의민족 외주 고객센터에서 벌어진 사건에서 출발했다. 한 상담사가 업무와 상관없이 고객 주소 등 개인정보를 조회한 뒤, 보복 범죄를 의뢰받은 일당에게 넘긴 것으로 조사됐다. 개인정보위는 같은 일이 되풀이되지 않도록 서비스 사업자와 고객센터 운영사를 함께 점검했다.
점검해 보니 일부 고객센터에서는 상담사가 이름이나 전화번호 하나만 입력해도 상세주소까지 조회할 수 있었다. 상담화면에 이름과 전화번호, 주소가 가림 처리 없이 그대로 뜨는 곳도 있었다. 접속기록 점검이나 상담사 교육 같은 기본적인 보호조치는 대체로 지켜지고 있었다. 다만 일부 사업자는 접근통제와 관리가 허술했다.
화면 너머의 접속과 기록 관리에도 빈틈이 있었다. 외부에서 상담시스템에 접속할 때 인증서나 보안토큰 같은 안전한 인증수단을 쓰지 않은 사업자가 있었다. 접속기록의 필수항목을 빠뜨리거나, 법정 보관기간인 2년에 못 미치는 1년치만 남겨 둔 사례도 나왔다. 개인정보 처리업무를 외부에 맡기면서 어떤 업무를 어느 업체에 맡겼는지 공개하지 않은 곳도 점검에서 드러났다.
개인정보위가 내놓은 처방의 핵심은 필요한 개인정보만 화면에 띄우고 조회하게 하는 것이다. 이를 담은 ‘고객센터 개인정보 보호 4대 행동수칙’은 업무에 필요한 사람만 접근하도록 막고, 조회기록을 보관·점검하며, 상담사와 고객센터 운영사에 대한 관리·감독을 강화하도록 했다.
상담화면에 무엇을 어디까지 보여줄지도 구체적으로 정했다. 이름은 첫 글자와 세 번째 글자만, 주소는 도로명이나 법정동까지만 표시하도록 권고했다. 전화번호는 뒷자리를 숨기는 식으로 노출을 최소화하게 했다. 상담사가 고객정보를 마음대로 검색하지 못하게 막고, 상세 정보를 봐야 할 때는 사유를 입력하거나 추가 인증을 거치도록 했다.
상담사가 그만두거나 담당 업무가 바뀌면 필요 없어진 접근권한을 서둘러 거둬들이라는 권고도 나왔다. 반복 조회나 대량 조회처럼 비정상적인 이용을 상시 탐지·점검하라는 내용도 들어갔다. 상당수 미흡사항은 점검 도중 이미 고쳐졌고, 조치가 끝나지 않은 부분에는 시정을 권고했다. 개인정보위는 앞으로 권고가 이행되는지 확인하고, 업계 설명회 등을 통해 개인정보를 꼭 필요한 만큼만 조회·이용하는 원칙을 넓혀 갈 계획이다. 동네 가게에도 짚어 볼 대목이 남는다. 주문·상담 화면에 손님의 이름과 전화번호, 주소가 그대로 뜨는지, 그만뒀거나 업무가 바뀐 직원의 접근권한이 아직 살아 있는지다.