- 일부에서 고객정보 과다 노출 및 임의 검색 가능성 확인.. 불필요한 개인정보 조회 방지방안 마련·이행 권고
- 최소 정보 표시 및 임의 검색 제한, 이상조회 탐지 등 보호수칙 제시
개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 고객의 개인정보를 대량으로 처리하는 고객센터 업무에 대한 개인정보 처리실태를 점검*하여, 상담사에게 표시되는 고객정보 범위를 최소화하고 상담사의 임의 검색에 대한 통제를 강화하도록 하였다.
* 「개인정보 보호법」 제63조의2에 따른 사전 실태점검으로, 개인정보 보호 취약요인을 사전에 점검하여 침해 위험을 예방하는 제도. 미흡사항 발견 시 시정 혹은 개선 권고 실시
개인정보위는 지난 3월 고객센터 상담사가 고객정보를 무단 조회하여 보복 범죄에 악용한 사건을 계기로, 배달, 홈쇼핑, 온라인쇼핑, 유선통신 등 4개 분야의 주요 서비스 사업자 5개사*와 고객센터 운영사 4개사**를 대상으로 사전 실태점검을 실시하였다. 이에 대한 결과와 시정조치(안)은 10월 28일(수) 제21회 전체회의에서 심의·의결하였다.
* (서비스 사업자) ㈜쿠팡, ㈜위대한상상, ㈜CJENM, ㈜G마켓, ㈜SK브로드밴드
** (고객센터 운영사) ㈜메타엠, ㈜유베이스, ㈜트랜스코스모스코리아, ㈜휴넥트
이번 점검은 접근권한 관리 등 법적 의무 준수 여부뿐 아니라 상담 과정에서 발생할 수 있는 개인정보 오·남용 위험도 함께 살펴보았으며, 사업자들은 접속기록 점검, 상담사 교육 등 기본적인 보호조치를 대체로 이행하고 있었다.
다만, A사는 외부에서 접속할 때 인증서, 보안토큰 등 안전한 인증수단을 적용하지 않고 있었다. B사 등은 접속기록의 필수항목을 누락하거나 법정 보관기간(2년)보다 짧은 1년간 보관하였으며, C사 등은 개인정보 처리업무를 위탁하면서 위탁 업무의 내용과 수탁자를 공개하지 않은 경우도 있었다. 이러한 미흡사항은 점검 과정에서 상당 부분 개선되었으며, 아직 조치가 완료되지 않은 사항은 시정권고하였다.
또한, 일부는 고객의 이름이나 전화번호 등 한 가지 정보만 입력해도 상세주소 등 개인정보를 조회할 수 있었으며, 상담화면에 고객의 이름, 전화번호, 주소 등이 마스킹 없이 표시되는 사례도 있어, 개인정보의 오·남용을 방지하기 위한 보호조치를 강화하도록 하였다.
개인정보위는 이번 점검 결과를 토대로, 이름·주소·전화번호·이메일 등 주요 개인정보 항목에 대한 마스킹 권장기준을 포함하여, 서비스 사업자와 고객센터 운영사가 자율적으로 실천할 수 있는 '고객센터 개인정보 보호 4대 행동수칙(붙임)'을 제시하였다.
① 필요한 개인정보만 표시하고 조회한다.
상담 유형과 처리 단계에 따라 필요한 정보만 표시하고, 마스킹을 통해 개인정보를 일괄 노출하지 않도록 한다. 이름은 첫 글자와 세 번째 글자만 표시, 주소는 도로명 또는 법정동까지 표시, 전화번호는 가운데 번호까지 표시, 이메일은 아이디의 첫 두 글자와 도메인 정보만 표시하고 나머지는 마스킹하는 방안을 권고한다.
* (예) 홍*동/홍*동*, 서울시 종로구 세종대로 ***, 010-1234-****, PI*****@korea.kr
또, 이름, 전화번호 등을 이용한 임의 검색을 제한하고, 상세정보 조회나 마스킹 해제가 필요한 경우에는 사유 입력, 추가 인증 등 추가적인 보호절차를 적용한다.
② 업무에 필요한 사람만 접근하도록 통제한다.
상담사의 담당 업무에 따라 조회 가능한 정보 범위를 제한하고 퇴사·업무변경시 불필요한 권한을 신속히 회수한다. 외부에서 상담시스템에 접속할 때에는 안전한 인증수단을 적용한다.
③ 누가, 언제, 어떤 정보를 조회했는지 기록하고 확인한다.
접속기록을 법정 기간(처리규모·항목에 따라 1년 또는 2년) 동안 보관하고, 반복·대량 조회 등 비정상적인 이용행위를 상시 탐지·점검한다. 이상행위가 확인되면 조회 사유 등을 신속히 확인하고 필요한 보호조치를 시행한다.
④ 상담사와 고객센터 운영사를 함께 관리·감독한다.
서비스 사업자는 고객센터 업무를 수탁한 사업자의 보호조치 이행 실태를 주기적으로 점검한다. 상담사에게는 무단 고객정보 조회·이용 금지 등 보호수칙을 교육하고 책임성을 높인다.
이번 점검은 법령 위반 여부를 확인하는 데 그치지 않고, 실제 업무환경에서 발생할 수 있는 개인정보 오·남용 위험을 사전에 찾아 개선하도록 했다는 데 의의가 있다. 개인정보위는 시정·개선권고 사항의 이행 여부를 확인하고, 보호수칙 홍보, 관련 업계에 대한 설명회 개최 등을 통해 고객센터 운영 전반에 개인정보 최소 조회·이용 원칙이 확산되도록 할 계획이다.
붙임 고객센터 개인정보 보호 4대 행동수칙 1부. 끝.
“이 자료는 개인정보보호위원회의 보도자료를 전재하여 제공함을 알려드립니다.”
이 자료는 텍스트에 한하여 공공누리 제1유형(출처표시)의 조건에 따라 이용할 수 있습니다.
단, 텍스트를 제외한 사진·이미지·일러스트·동영상 등 자료의 대부분은 정책브리핑이 저작권을 보유하고 있지 않으므로, 이용 전 해당 저작권자의 허락을 반드시 받으셔야 합니다.
이 누리집은 대한민국 공식 전자정부 누리집입니다.
[261029 11시보도] 고객센터 개인정보 불필요한 조회이용과 일괄 노출 막도록 보호 강화(사전실태점검과).hwpx
[261029 11시보도] 고객센터 개인정보 불필요한 조회이용과 일괄 노출 막도록 보호 강화(사전실태점검과).pdf
