[PEDIEN] 개인정보보호위원회가 고객센터에서 발생하는 개인정보의 불필요한 조회와 일괄 노출을 막기 위한 보호 조치를 강화한다. 상담사에게 표시되는 고객정보 범위를 최소화하고, 상담사의 임의 검색에 대한 통제를 강화하는 내용을 골자로 한다.
이번 조치는 지난 3월 발생한 고객센터 상담사의 고객정보 무단 조회 및 보복 범죄 악용 사건을 계기로 마련됐다. 개인정보위는 배달, 홈쇼핑, 온라인 쇼핑, 유선 통신 등 4개 분야의 주요 서비스 사업자 5개사와 고객센터 운영사 4개사를 대상으로 사전 실태점검을 실시했다. 점검 결과와 시정 조치는 지난 10월 28일 제21회 전체회의에서 심의·의결됐다.
점검은 접근권한 관리 등 법적 의무 준수 여부와 함께 상담 과정에서 발생할 수 있는 개인정보 오·남용 위험을 함께 살폈다. 사업자들은 접속기록 점검, 상담사 교육 등 기본적인 보호조치를 대체로 이행하고 있었으나 일부 미흡 사항이 발견됐다.
A사는 외부 접속 시 인증서 보안토큰 등 안전한 인증수단을 적용하지 않았으며, B사 등은 접속기록의 필수 항목 누락 또는 법정 보관 기간보다 짧은 1년간 보관하는 문제가 드러났다. C사 등은 개인정보 처리 업무를 위탁하면서 위탁 업무 내용과 수탁자를 공개하지 않은 경우도 있었다.
이러한 미흡 사항은 점검 과정에서 상당 부분 개선되었으며, 아직 조치가 완료되지 않은 사항에 대해서는 시정 권고가 이루어졌다.
또한, 이름이나 전화번호 등 한 가지 정보만 입력해도 상세 주소 등 개인정보 조회가 가능하거나, 상담 화면에 고객의 이름, 전화번호, 주소 등이 마스킹 없이 표시되는 사례도 확인됐다. 이에 개인정보위는 개인정보의 오·남용을 방지하기 위한 보호조치 강화 방안을 제시했다.
개인정보위는 이번 점검 결과를 바탕으로 이름, 주소, 전화번호, 이메일 등 주요 개인정보 항목에 대한 마스킹 권장 기준을 포함해, 서비스 사업자와 고객센터 운영사가 자율적으로 실천할 수 있는 ‘고객센터 개인정보 보호 4대 행동수칙’을 발표했다.
4대 행동수칙에는 ▲필요한 개인정보만 표시하고 조회한다 ▲업무에 필요한 사람만 접근하도록 통제한다 ▲누가, 언제, 어떤 정보를 조회했는지 기록하고 확인한다 ▲상담사와 고객센터 운영사를 함께 관리·감독한다 등이 포함된다.
특히, 필요한 개인정보만 표시하고 조회하는 방안으로 이름은 첫 글자와 세 번째 글자만, 주소는 도로명 또는 법정동까지, 전화번호는 가운데 번호까지, 이메일은 아이디 첫 두 글자와 도메인 정보만 표시하고 나머지는 마스킹하는 방안이 권고된다. 이름, 전화번호 등을 이용한 임의 검색 제한 및 상세 정보 조회나 마스킹 해제가 필요한 경우 사유 입력, 추가 인증 등 절차를 적용한다.
업무에 필요한 사람만 접근하도록 통제하기 위해 상담사의 담당 업무에 따라 조회 가능한 정보 범위를 제한하고 퇴사·업무 변경 시 불필요한 권한을 신속히 회수한다. 외부에서 상담 시스템 접속 시에는 안전한 인증수단을 적용한다.
누가, 언제, 어떤 정보를 조회했는지 기록하고 확인하는 조치로는 접속기록을 법정 기간 동안 보관하고 반복·대량 조회 등 비정상적인 이용 행위를 상시 탐지·점검하며, 이상 행위 확인 시 조회 사유 등을 신속히 확인하고 필요한 보호 조치를 시행한다.
상담사와 고객센터 운영사를 함께 관리·감독하기 위해 서비스 사업자는 수탁 사업자의 보호 조치 이행 실태를 주기적으로 점검한다. 상담사에게는 무단 고객정보 조회·이용 금지 등 보호 수칙 교육을 실시하고 책임성을 높인다.
이번 점검은 법령 위반 여부 확인에 그치지 않고 실제 업무 환경에서 발생할 수 있는 개인정보 오·남용 위험을 사전에 찾아 개선했다는 데 의의가 있다. 개인정보위는 시정·개선 권고 사항의 이행 여부를 확인하고, 보호 수칙 홍보 및 관련 업계 설명회 개최 등을 통해 고객센터 운영 전반에 개인정보 최소 조회·이용 원칙이 확산되도록 할 계획이다.
저작권자 © PEDIEN 무단전재 및 재배포 금지
