지금까지 해오던 것들과, 헤어질 결심.

지금까지 알게 모르게 행해지던 관행, 이제는 안돼요.
개인정보보호위원회가 사업자 및 기관을 처분하는 사유가 기존보다 훨씬 다양해졌거든요.

기존에는 개인정보 보호법 위반 행위의 대부분이 개인정보 유출이나 안전조치 의무 위반이었어요. 유출 사고의 66%는 안전조치 의무 위반 때문이었고요. 때문에 과태료나 과징금 부과 사례도 이 두 가지 유형일 때가 대부분이었죠. 하지만 최근 2주간 개인정보보호위원회가 사업자 및 기관에 대해 처분한 내용을 살펴보면, 신선한(?) 과태료 처분 사유가 등장했어요.

하지만, 똑닥, 닥터나우, 나만의닥터, 올라케어는 각각의 동의서를 안내하고 별도로 구분하여 동의를 받지 않았어요. 회원가입 시 개인정보 처리방침 전문으로 일괄 동의를 받은 거예요. 이렇게 ‘동의서’가 아니라 ‘처리방침’에 동의를 받는 건, 개인정보, 민감정보, 고유식별정보가 모두 포괄적으로 기재되어 있기 때문에 이용자가 특히 주의해야 할 부분을 쉽게 알아채기 어려워요.

동의서가 아니라 처리방침에 동의 받는 건 사업자가 가장 흔히 위반하는 사항인데요. 개선 권고와 같은 시정 명령으로 끝나던 과거와 달리, 실질적으로 과태료가 내려지기 시작했으므로 더욱 유의하셔야겠습니다.

주민등록번호는 내 신분을 나타내는, 한 사람당 하나밖에 없는 아주 중요한 개인정보죠. 그만큼 다른 고유식별번호와 달리(운전면허번호, 여권번호, 외국인등록번호) 법령에서 명시하는 처리 가능한 근거에 해당되지 않는다면 이용자의 동의가 있더라도 처리할 수 없어요. 유출되면 2차 피해가 발생할 가능성도 매우 높고요.

이렇게 중요한 주민등록번호, 이용자로부터 수집했다면 안전히 보호해야겠죠? 유출되지 않도록 보관해야 함은 물론, 보관할 때도 마스킹 처리나 암호화를 해야 합니다. 이러한 안전조치를 하지 않은 닥터나우, 나만의닥터, 올라케어가 추가 과태료를 부과받았어요. 안전성 확보조치 미흡으로 주민등록번호가 유출된 대방건설은 약 5천만 원의 과징금을 부과받기도 했습니다.

필수 동의 사항은 서비스 제공을 위해 꼭 필요한 사항을 말해요. 만약 쇼핑몰이 주문자의 이름, 전화번호, 주소를 모르면 주문상품을 배송해 줄 수 없으니, 이들 정보를 수집·이용하는 것에 동의해야 인터넷 쇼핑 서비스 제공이 가능하죠.

선택 동의 사항은 서비스 제공에 있어 꼭 필요하진 않지만, 서비스의 운영이나 부가 기능을 위해 이용자들로부터 선택적으로 추가적인 정보를 수집하는 사항을 말해요. 보통 맞춤 추천이나 부가 기능 이용, 마케팅 정보 수신을 위한 개인정보의 처리를 말해요.

선택 사항은 말 그대로 “선택”사항! 개인정보처리자는 개인정보 보호법 제22조제5항에 따라 선택적으로 동의할 수 있는 사항에 동의하지 않았다고 이용자에게 서비스의 제공을 거부해서는 안돼요. 선택 사항에 동의하지 않았다고 회원가입이나 다음 단계로의 진행을 막아서는 안된다는 점, 꼭 주의해 주세요! (어떤 것이 필수인지, 선택인지 잘 구분하는 것도 중요하겠죠?😉)

사용자가 회원탈퇴를 했다고요? 주문한 상품이 배송완료됐나요? 이벤트 상품 전달이 끝났나요?

그럼, 개인정보를 파기하셔야 해요! 개인정보는 수집 목적을 달성하거나 사용자에게 안내한 보유기간이 종료되면 지체 없이 삭제하여야 합니다. 보유기간이 경과한 개인정보를 파기하지 않는 것도 가장 많이 위반하는 사항이에요. 지난 26일 (주)좋은책신사고가 보유기간이 지난 개인정보를 파기하지 않아 과태료 300만 원을 부과받았으며, 최근 대규모로 개인정보가 유출된 LG U+는 탈퇴 고객의 개인정보를 삭제하지 않고 있다가 이들 개인정보까지 모두 유출된 적 있어요.

개인정보는 수집·이용부터 파기까지 처리의 모든 과정 중 어느 하나도 소홀해서는 안돼요. 데이터 경제가 도래할수록 데이터의 안전한 활용, 프라이버시 보호에 대한 사회적 요구도 함께 증가하고 있죠. 사회는 점점 더 기업에게 정보주체의 권리에 대한 더 높은 수준의 경각심을 요구합니다. 개인정보보호위원회뿐만 아니라 모든 이용자가 언제나 지켜보고 있다는 점, 명심하세요! 👀

채널톡 상담 이후 각종 스팸 문자를 받은 고객들이 발생해 채널톡에서 개인정보가 유출된 것이 아니냐는 논란이 일었어요. (저희 프리뷰팀도 사용하고 있어서 화들짝…!😱) 채널톡은 현재 10만여 개의 기업에서 사용할 만큼 폭발적으로 성장하고 있는 CRM 툴인데요. 확인 결과, 외부 개인정보 유출은 아닌 제3자 제공 동의 절차에 대한 문제였어요.

채널톡에는 ‘카카오톡 상담하기’라는 기능이 있는데요. 채널톡에서 카카오톡으로 바로 연결되어 상담 서비스를 받을 수 있는 방법이에요. 카카오톡으로 상담 채널이 변경됨에 따라 카카오 계정이 있어야 상담이 가능하기 때문에, ‘카카오톡 상담하기’를 이용할 때마다 ‘제3자 제공 동의’가 필요해요. 상담받으려는 고객의 카카오톡 개인정보가 채널톡 및 채널톡을 이용하는 업체에 전달되기 때문이에요.

채널톡은 ‘제3자 제공 동의’를 받으면서 수탁자를 채널톡으로만 명시했지만 실제로 상담을 요청한 고객 개인정보는 채널톡 유료 서비스를 도입한 모든 업체에 전달되고 있었어요. 개인정보를 전달받는 수탁자가 채널톡+카카오톡을 통해 상담받으려는 업체뿐이어야 하는데 말이죠. 그래서 내가 상담받은 적도 없던 업체로부터의 마케팅 문자를 받았던 거였어요! 상담을 위해 제공한 개인정보가 스팸 용도로 쓰였다는 것도 문제고요.

편의점 CU 멤버십 앱 ‘포켓CU’에서 개인정보가 유출되었다는 소식이에요. 유출된 인원은 약 600명 정도로, 기본 인적 사항은 물론 이용자들의 CU포인트 80만 원까지 탈취당했어요.

원인은 바로 ‘크리덴셜 스터핑’. 다른 사이트에서 사용하는 아이디와 비밀번호 정보를 알아내어 이 정보로 포켓CU에서 로그인을 시도했어요. 사람들이 여러 사이트에서 동일한 비밀번호를 사용하는 점을 이용한 공격 방법이에요. 주로 로그인된 사용자들의 포인트나 상품권 등 금전적 이익을 노린 경우가 많아요. 올해 초, G마켓에서도 크리덴셜 스터핑 공격으로 인해 상품권 PIN 번호가 유출된 적이 있어요.

이런 크리덴셜 스터핑 방식은 정상적인 아이디와 비밀번호로 로그인을 시도하기 때문에 시스템상에서도 ‘정상 접근’으로 파악되어 피해 사실을 즉각적으로 확인하기 어려워요. 이번 포켓CU 사고에서는 사용자의 신고가 있어 빠르게 대응할 수 있었고, 탈취된 이용자의 포인트도 CU 측에서 복원해 주었다고 해요. 하지만 사용자가 여러 사이트에서 동일한 비밀번호를 사용하고, 이를 바꾸지 않은 것에 대해서는 사용자의 책임이 크기 때문에 일반적으로 피해를 보상받기는 쉽지 않아요. 기업에서도 이런 공격에 대비해야겠지만, 이용자 스스로 경각심을 가지고 비밀번호를 사이트마다 다르게 설정하고, 주기적으로 변경하는 노력이 가장 기본입니다!😉