개인정보보호위원회, 금융사 대상 실태조사
개인정보보호위원회가 그동안 일부 금융사들이 법적 근거 없이 관행적으로 고객의 주민등록번호 등 개인정보를 수집하던 절차에 제동을 걸었다.
개인정보위는 은행, 생명·손해보험, 신용카드, 저축은행, 증권 등 6개 분야 220개 금융기관을 대상으로 실태점검을 진행한 결과, 법적 근거가 없는 주민등록번호 처리 절차를 전면 정비했다고 27일 발표했다.
개인정보위 조사 결과, 일부 금융사는 실제 금융거래가 발생하지 않는 단순 온라인 회원가입이나 아이디 찾기, 비밀번호 재설정 과정에서 관행적으로 주민등록번호 입력을 요구해 온 것으로 드러났다.
비밀번호 재설정 등에 본인 확인 과정이 요구되더라도 휴대전화, 아이핀, 민간인증서 등 기타수단을 통해 본인 확인을 할 수 있는 만큼 주민등록번호 수집은 불필요하다는 것이 당국의 판단이다.
현행 개인정보 보호법상 주민등록번호 처리는 법률 및 대통령령 등 명확한 법적 근거가 있는 경우로 엄격히 제한된다. 금융실명법에 따라 계좌 개설 등 실제 거래 업무에서는 처리할 수 있지만, 고객이 동의하더라도 별도 법적 근거가 없다면 단순 서비스나 계정 관리 목적으로 활용할 수 없다.
이번 전수 조사는 지난해 발생한 롯데카드 대규모 해킹 사건이 계기가 됐다. 당시 롯데카드는 약 45만 명에 달하는 고객의 주민등록번호가 외부로 유출되는 보안 사고를 냈다.
개인정보위 조사 결과, 롯데카드는 법적 근거가 없음에도 온라인 결제 시스템의 로그 기록에 고객의 주민등록번호를 그대로 저장해 온 것으로 확인됐다. 여기에 해당 민감 정보를 암호화 하지 않고 관리하는 등 안전성 확보 의무를 위반한 사실이 드러나 지난 3월 과징금 등 법적 제재를 받았다.
개인정보위는 점검 과정에서 사업자가 자체적으로 필요한 조치를 완료한 경우에는 별도의 처분 없이 점검을 종결한다는 입장으로, 앞으로도 사전 실태 점검을 통해 국민 생활과 밀접한 분야를 중심으로 개인정보 침해 위험요인을 선제적으로 발굴·개선해 나갈 방침이다.
구지훈 더나은미래 기자
