고객 이름만 입력해도 주소 노출…개인정보위, 고객센터 9개사 개선 권고

고객센터 상담사가 고객의 이름이나 전화번호만 입력해도 상세 주소 등 개인정보를 조회할 수 있는 사례가 확인됐다. 상담 화면에 고객의 이름과 전화번호, 주소 등이 가림 처리 없이 표시되는 경우도 있었다. 개인정보보호위원회는 고객센터 운영 실태를 점검하고 불필요한 개인정보 조회와 노출을 제한하도록 개선을 권고했다고 29일 밝혔다.

개인정보위는 지난 3월 고객센터 상담사가 고객정보를 무단 조회해 보복 범죄에 악용한 사건을 계기로 이번 점검에 착수했다. 점검 대상은 배달·홈쇼핑·온라인쇼핑·유선통신 분야 서비스 사업자 5곳과 고객센터 운영사 4곳 등 총 9개사다.

서비스 사업자는 쿠팡, 위대한상상, CJ ENM, G마켓, SK브로드밴드다. 고객센터 운영사는 메타엠, 유베이스, 트랜스코스모스코리아, 휴넥트다.

점검 결과 사업자들은 접속기록 점검과 상담사 교육 등 기본적인 보호조치를 대체로 이행하고 있었다. 그러나 일부 사업자는 고객의 이름이나 전화번호 등 한 가지 정보만으로 상세 개인정보를 검색할 수 있도록 허용했다. 상담 화면에 개인정보가 한꺼번에 노출되는 사례도 확인됐다.

법적 안전조치 의무를 제대로 이행하지 않은 사례도 있었다. 한 사업자는 외부에서 상담시스템에 접속할 때 인증서나 보안토큰 등 안전한 인증수단을 적용하지 않았다. 다른 사업자들은 접속기록의 필수 항목을 누락하거나 법정 보관기간인 2년보다 짧은 1년간 기록을 보관했다. 개인정보 처리업무를 위탁하면서 위탁 내용과 수탁자를 공개하지 않은 사례도 있었다.

개인정보위는 점검 과정에서 상당수 미흡사항을 개선하도록 했으며 조치가 끝나지 않은 사항에는 시정을 권고했다.

또한 개인정보 오·남용을 막기 위해 ‘고객센터 개인정보 보호 4대 행동수칙’을 제시했다. 핵심은 상담 업무에 필요한 개인정보만 표시하고 불필요한 조회를 제한하는 것이다.

상담 화면에서 이름은 첫 글자와 세 번째 글자만 표시하고 주소는 도로명이나 법정동까지만 노출하는 방식이다. 전화번호는 뒷자리를 가리고 이메일은 아이디 앞 두 글자와 도메인 정보만 표시하도록 권고했다. 이러한 가림 처리를 ‘마스킹’이라고 한다.

이름이나 전화번호를 이용한 임의 검색도 제한하도록 했다. 상세정보 조회나 마스킹 해제가 필요할 때는 사유 입력이나 추가 인증 절차를 적용하도록 권고했다.

상담사의 담당 업무에 따라 개인정보 접근 권한을 구분하고 퇴사하거나 담당 업무가 바뀌면 불필요한 권한을 신속히 회수하도록 했다. 반복 조회나 대량 조회 등 비정상적인 이용행위를 상시 탐지하고 접속기록을 법정 기간에 맞춰 보관하는 방안도 포함했다.

고객센터 업무를 외부 업체에 위탁한 서비스 사업자는 수탁업체의 개인정보 보호조치 이행 여부를 주기적으로 점검해야 한다.

개인정보위는 이번 점검에서 확인한 시정·개선 권고사항의 이행 여부를 확인하고 관련 업계 설명회 등을 통해 보호수칙을 확산할 계획이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network