개인정보보호위원회가 고객센터 업무에서 상담사에게 표시되는 고객정보 범위를 최소화하고 임의 검색에 대한 통제를 강화하도록 했다.
개인정보위는 올해 3월 고객센터 상담사가 고객정보를 무단 조회해 보복 범죄에 악용한 사건을 계기로, 배달과 홈쇼핑, 온라인쇼핑, 유선통신 등 4개 분야의 주요 서비스 사업자와 고객센터 운영사를 대상으로 사전 실태점검을 실시했다. 점검 대상은 쿠팡, 위대한상상, CJENM, G마켓, SK브로드밴드 등 서비스 사업자 5개사와 메타엠, 유베이스, 트랜스코스모스코리아, 휴넥트 등 고객센터 운영사 4곳이다.
이번 점검은 접근권한 관리 등 법적 의무 준수 여부뿐 아니라 상담 과정에서 발생할 수 있는 개인정보 오·남용 위험 점검도 함께 이뤄졌다. 사업자들은 접속기록 점검, 상담사 교육 등 기본적인 보호조치를 대체로 이행하고 있는 것으로 파악됐다.
다만 A사는 외부 접속 시 인증서, 보안토큰 등 안전한 인증수단을 적용하지 않는 것으로 확인됐다. B사 등은 접속기록의 필수항목을 누락하거나 법정 보관기간인 2년보다 짧은 1년간 보관했다. C사 등은 개인정보 처리업무를 위탁하면서 위탁 업무의 내용과 수탁자를 공개하지 않았다. 미흡사항은 점검 과정에서 상당 부분 개선됐고 조치가 완료되지 않은 사항은 시정권고했다.
특히 일부 사업자는 고객의 이름이나 전화번호 등 한 가지 정보만 입력해도 상세주소 등 개인정보를 조회할 수 있었다. 상담화면에 고객의 이름, 전화번호, 주소 등이 마스킹 없이 표시되는 사례도 확인돼 보호조치를 강화하도록 했다.
개인정보위는 점검 결과를 토대로 서비스 사업자와 고객센터 운영사가 자율적으로 실천할 수 있는 '고객센터 개인정보 보호 4대 행동수칙'을 제시했다. 상담 유형과 처리 단계에 따라 필요한 정보만 표시하고, 업무에 필요한 사람만 접근하도록 통제하는 내용이다. 또 누가, 언제, 어떤 정보를 조회했는지 기록하고, 상담사와 고객센터 운영사를 함께 관리·감독하는 내용이 담겼다.
구체적으로는 상담 유형과 처리 단계에 따라 필요한 정보만 표시하고, 마스킹을 통해 개인정보를 일괄 노출하지 않도록 했다. 이름은 첫 글자와 세 번째 글자만, 주소는 도로명 또는 법정동까지, 전화번호는 가운데 번호까지, 이메일은 아이디의 첫 두 글자와 도메인 정보만 표시하고 나머지는 마스킹하는 방안을 권고했다. 예를 들면 △홍*동 △서울시 종로구 세종대로 *** △010-1234-**** △PI*****@korea.kr 식이다. 이름, 전화번호 등을 이용한 임의 검색을 제한하고, 상세정보 조회나 마스킹 해제가 필요한 경우에는 사유 입력, 추가 인증 등 추가적인 보호절차를 적용하도록 했다.
또 퇴사·업무 변경시 불필요한 권한을 신속히 회수하고, 외부에서 상담시스템에 접속할 때에는 안전한 인증수단을 적용하도록 제시했다. 접속기록은 법정 기간(처리규모·항목에 따라 1년 또는 2년) 동안 보관하는 내용도 담겼다. 서비스 사업자는 고객센터 업무를 수탁한 사업자의 보호조치 이행 실태를 주기적으로 점검하고, 상담사에게 고객정보 조회·이용 금지 등 보호수칙을 교육하는 내용도 포함됐다.
개인정보위는 "시정·개선권고 사항의 이행 여부를 확인하고, 보호 수칙 홍보, 관련 업계에 대한 설명회 개최 등을 통해 고객센터 운영 전반에 개인정보 최소 조회·이용 원칙이 확산되도록 할 계획"이라고 말했다.
