개인정보보호위원회가 고객센터의 개인정보 처리실태를 점검하고 시정조치안을 마련했다. 개인정보위는 서비스 사업자와 고객센터 운영사가 자율적으로 실천할 수 있는 '고객센터 개인정보 보호 4대 행동수칙'도 제시했다.
개인정보위는 지난 28일 제21회 전체회의에서 처리실태 결과와 시정조치안을 심의·의결했다고 29일 밝혔다. 이번 조치는 개인정보보호법에 따른 사전 실태점검 결과다. 개인정보 보호 취약 요인을 사전에 점검해 침해 위험을 예방하는 제도로, 미흡 사항 발견 시 시정·개선 권고를 내릴 수 있다.
개인정보위는 지난 3월 배달의민족 외주 고객센터 상담사가 고객정보를 무단 조회해 보복 대행업체에 넘긴 사건을 계기로 실태점검을 실시했다. △쿠팡 △위대한상상(요기요 운영사) △CJ ENM △G마켓 △SK브로드밴드 등 배달·홈쇼핑·온라인쇼핑·유선통신 4개 분야 주요 사업자와 △메타엠 △유베이스 △트랜스코스모스코리아 △휴넥트 등 고객센터 운영사 4개사가 대상이었다.
개인정보위가 접근권한 관리 등 법적 의무 준수 여부와 상담 과정에서 발생할 수 있는 개인정보 오·남용 위험을 함께 살펴본 결과, 사업자들은 접속기록 점검, 상담사 교육 등 기본적인 보호조치를 대체로 이행하고 있었다.
다만 일부 미흡 사항도 있었다. A사는 외부에서 접속할 때 인증서, 보안토큰 등 안전한 인증수단을 적용하지 않았고, B사는 접속기록의 필수항목을 누락하거나 법정 보관기간(2년)보다 짧은 1년간 보관했다. 이름, 전화번호 등 한 가지 정보만 입력해도 상세주소 등 다른 개인정보가 조회되는 경우도 있었다. 미흡 사항은 점검 과정에서 개선됐고, 개보위는 일부 미조치 사항에 대해 시정 권고했다.
개인정보위는 이번 점검 결과를 토대로 '고객센터 개인정보 보호 4대 행동수칙'을 제시했다.
첫 번째는 '필요한 개인정보만 표시·조회'이다. 상담 유형과 처리 단계에 따라 필요한 정보만 표시하고, 마스킹을 통해 개인정보를 일괄 노출하지 않도록 한다. 또 이름·전화번호 등을 이용한 임의 검색을 제한하고, 상세정보 조회·마스킹 해제에는 사유 입력, 추가 인증 등 추가 보호 절차를 적용한다.
두 번째는 '업무에 필요한 사람만 접근하도록 통제'한다. 상담사의 담당 업무에 따라 조회할 수 있는 정보 범위를 제한하고 퇴사·업무 변경 시 불필요한 권한을 신속히 회수한다. 외부에서 상담시스템에 접속할 때는 안전한 인증수단을 적용한다.
세 번째는 '누가·언제·어떤 정보를 조회했는지 기록 및 확인'한다. 접속기록을 법정 기간(처리 규모·항목에 따라 1년 또는 2년) 동안 보관하고, 반복·대량 조회 등 비정상적인 이용행위를 상시 탐지·점검한다. 이상행위 확인 시 조회 사유 등을 신속히 확인하고 필요한 보호조치를 시행한다.
네 번째는 '상담사와 고객센터 운영사를 함께 관리·감독'한다. 서비스 사업자는 고객센터 업무를 수탁한 사업자의 보호조치 이행 실태를 주기적으로 점검한다. 상담사에게는 무단 고객정보 조회·이용 금지 등 보호 수칙을 교육하고 책임을 강화한다.
개인정보위 관계자는 "이번 점검은 법령 위반 여부를 확인하는 데 그치지 않고 실제 업무환경에서 발생할 수 있는 개인정보 오·남용 위험을 사전에 찾아 개선하도록 했다는 데 의의가 있다"며 "시정·개선 권고 사항의 이행 여부를 확인하고 보호 수칙 홍보, 관련 업계 대상 설명회 개최 등 고객센터 운영 전반에 개인정보 최소 조회·이용 원칙이 확산되도록 노력할 계획"이라고 밝혔다.