[세종타임즈] 개인정보보호위원회는 고객의 개인정보를 대량으로 처리하는 고객센터 업무에 대한 개인정보 처리실태를 점검해, 상담사에게 표시되는 고객정보 범위를 최소화하고 상담사의 임의 검색에 대한 통제를 강화하도록 했다.

개인정보위는 지난 3월 고객센터 상담사가 고객정보를 무단 조회해 보복 범죄에 악용한 사건을 계기로 배달, 홈쇼핑, 온라인쇼핑, 유선통신 등 4개 분야의 주요 서비스 사업자 5개사와 고객센터 운영사 4개사를 대상으로 사전 실태점검을 실시했다.

이에 대한 결과와 시정조치은 10월 28일 제21회 전체회의에서 심의·의결했다.

이번 점검은 접근권한 관리 등 법적 의무 준수 여부뿐 아니라 상담 과정에서 발생할 수 있는 개인정보 오·남용 위험도 함께 살펴보았으며 사업자들은 접속기록 점검, 상담사 교육 등 기본적인 보호조치를 대체로 이행하고 있었다.

다만, A사는 외부에서 접속할 때 인증서 보안토큰 등 안전한 인증수단을 적용하지 않고 있었다. B사 등은 접속기록의 필수항목을 누락하거나 법정 보관기간보다 짧은 1년간 보관했으며 C사 등은 개인정보 처리업무를 위탁하면서 위탁 업무의 내용과 수탁자를 공개하지 않은 경우도 있었다.

이러한 미흡사항은 점검 과정에서 상당 부분 개선됐으며 아직 조치가 완료되지 않은 사항은 시정권고했다.

또한, 일부는 고객의 이름이나 전화번호 등 한 가지 정보만 입력해도 상세주소 등 개인정보를 조회할 수 있었으며 상담화면에 고객의 이름, 전화번호, 주소 등이 마스킹 없이 표시되는 사례도 있어, 개인정보의 오·남용을 방지하기 위한 보호조치를 강화하도록 했다.

개인정보위는 이번 점검 결과를 토대로 이름·주소·전화번호·이메일 등 주요 개인정보 항목에 대한 마스킹 권장기준을 포함해, 서비스 사업자와 고객센터 운영사가 자율적으로 실천할 수 있는 ‘고객센터 개인정보 보호 4대 행동수칙’을 제시했다.

필요한 개인정보만 표시하고 조회한다.

상담 유형과 처리 단계에 따라 필요한 정보만 표시하고 마스킹을 통해 개인정보를 일괄 노출하지 않도록한다.

이름은 첫 글자와 세 번째 글자만 표시, 주소는 도로명 또는 법정동까지 표시, 전화번호는 가운데 번호까지 표시, 이메일은 아이디의 첫 두 글자와 도메인 정보만 표시하고 나머지는 마스킹하는 방안을 권고한다.

또, 이름, 전화번호 등을 이용한 임의 검색을 제한하고 상세정보 조회나 마스킹 해제가 필요한 경우에는 사유 입력, 추가 인증 등 추가적인 보호절차를 적용한다.

업무에 필요한 사람만 접근하도록 통제한다.

상담사의 담당 업무에 따라 조회 가능한 정보 범위를 제한하고 퇴사·업무변경시 불필요한 권한을 신속히 회수한다.

외부에서 상담시스템에 접속할 때에는 안전한 인증수단을 적용한다.

누가, 언제, 어떤 정보를 조회했는지 기록하고 확인한다.

접속기록을 법정 기간 동안 보관하고 반복·대량 조회 등 비정상적인 이용행위를 상시 탐지·점검한다.

이상행위가 확인되면 조회 사유 등을 신속히 확인하고 필요한 보호조치를 시행한다.

상담사와 고객센터 운영사를 함께 관리·감독한다.

서비스 사업자는 고객센터 업무를 수탁한 사업자의 보호조치 이행 실태를 주기적으로 점검한다.

상담사에게는 무단 고객정보 조회·이용 금지 등 보호수칙을 교육하고 책임성을 높인다.

이번 점검은 법령 위반 여부를 확인하는 데 그치지 않고 실제 업무환경에서 발생할 수 있는 개인정보 오·남용 위험을 사전에 찾아 개선하도록했다는 데 의의가 있다.

개인정보위는 시정·개선권고 사항의 이행 여부를 확인하고 보호수칙 홍보, 관련 업계에 대한 설명회 개최 등을 통해 고객센터 운영 전반에 개인정보 최소 조회·이용 원칙이 확산되도록 할계획이다.