배달·쇼핑·통신 분야 9곳 고객센터 개인정보 처리 사전 실태 점검

보안 토큰 미적용 등 미흡 사항 발견

개인정보위 ‘4대 행동 수칙’ 제시

서울 송파구 쿠팡 본사의 모습. 윤창빈 기자
서울 송파구 쿠팡 본사의 모습. 윤창빈 기자

[헤럴드경제=박세정 기자] 쿠팡, G마켓 등 배달·쇼핑·통신 분야 사업자와 고객센터 운영사 9곳이 개인정보 보호 조치 미흡으로 개인정보보호위원회(개인정보위)로부터 개선 조치를 받았다. 개선이 미흡한 부분은 시정 권고를 받았다.

이들은 고객센터 운영 과정에서 안전한 인증수단을 적용하지 않거나 접속기록의 필수항목을 누락하는 등의 미흡 사항이 발견됐다.

개인정보위는 시정 권고와 함께 ‘고객센터 개인정보 보호 4대 행동 수칙’을 제시하고, 미흡한 보안 조치를 지속적으로 개선해 갈 방침이다.

29일 개인정보위는 고객의 개인정보를 대량으로 처리하는 고객센터 업무에 대한 개인정보 처리 실태를 점검하고 시정 조치안을 의결했다고 밝혔다.

사전 실태점검 대상은 서비스 사업자 5곳(쿠팡, 위대한상상, CJ ENM, G마켓, SK브로드밴드)과 고객센터 운영사 4곳(메타엠, 유베이스, 트랜스코스모스코리아,휴넥트)이다.

점검 결과 A사는 외부에서 접속할 때 인증서, 보안토큰 등 안전한 인증수단을 적용하지 않고 있었다.

B사 등은 접속기록의 필수항목을 누락하거나 법정 보관기간(2년)보다 짧은 1년간 보관했다. C사 등은 개인정보 처리 업무를 위탁하면서 위탁 업무의 내용과 수탁자를 공개하지 않은 경우도 있었다.

일부는 고객의 이름이나 전화번호 등 한 가지 정보만 입력해도 상세 주소 등 개인정보를 조회할 수 있었다. 상담화면에 고객의 이름, 전화번호, 주소 등이 마스킹 없이 표시되는 사례도 확인됐다.

개인정보위는 이러한 미흡사항은 점검 과정에서 상당 부분 개선됐으며, 아직 조치가 완료되지 않은 사항은 시정권고했다고 설명했다.

송경희 개인정보보호위원장 [개인정보보호위원회 제공]
송경희 개인정보보호위원장 [개인정보보호위원회 제공]

아울러 개인정보위는 이번 점검 결과를 토대로 서비스 사업자와 고객센터 운영사가 자율적으로 실천할 수 있는 ‘고객센터 개인정보 보호 4대 행동 수칙’을 제시했다.

우선, 필요한 정보만 표시하고 마스킹을 통해 개인정보를 일괄 노출하지 않도록 해야 한다고 권고했다.

상담사의 담당 업무에 따라 조회 가능한 정보 범위를 제한하고 퇴사·업무 변경 시 불필요한 권한을 신속히 회수해 정보 접근권을 통제하도록 했다.

또 접속기록을 법정 기간(처리규모·항목에 따라 1년 또는 2년) 동안 보관하고, 이 상행위가 확인되면 조회 사유 등 필요한 보호조치를 시행하도록 했다.

서비스 사업자는 고객센터 업무를 수탁한 사업자의 보호조치 이행 실태를 주기적으로 점검토록 했다. 상담사에게는 무단 고객정보 조회·이용 금지 등 보호 수칙을 교육하고 책임성을 높이도록 권고했다.

개인정보위 측은 “이번 점검은 실제 업무환경에서 발생할 수 있는 개인정보 오·남용 위험을 사전에 찾아 개선하도록 했다는 데 의의가 있다”며 “시정·개선 권고 사항의 이행 여부를 확인하고, 보호 수칙 홍보, 관련 업계에 대한 설명회 개최 등을 통해 고객센터 운영 전반에 개인정보 최소 조회·이용 원칙이 확산되도록 할 계획”이라고 밝혔다.


sjpark@heraldcorp.com