이동통신사 가입자 개인정보관리 대책 마련

----------------------------------------

정보통신부 정보화기획실 정보이용보호과 750-1273

앞으로 이동전화사업자는 가입자 개인정보를 보호하기 위해 개인정보 총괄

책임자를 자체 지정하고 역할과 책임을 내부 규정에 명문화해야 한다. 또 개인

정보 고지내용을 이용자가 충분히 알 수 있도록 인터넷이나 가입 계약서를 통해

알려줘야 한다.

정보통신부는 최근 이동전화 가입자의 개인정보 유출사건이 자주 일어나 국민

사생활이 위협받는 수준에 이르렀다고 보고 이 같은 내용의 `이동전화 가입자

개인정보보호 강화 조치계획`을 마련, 12월 26일 이동전화 업체에 통보했다.

정통부는 이번 조치계획에서 이동전화 업체는 사내 개인정보업무 처리지침을

마련, 체계적으로 개인정보를 관리하고, 개인정보 관리상황을 정기적으로 자체

점검해 위반했을 때는 강력히 제제토록 아울러 규정했다. 또 개인정보 제공·

위탁에 관한 내용은 제공·위탁 업체이름과 그 업체가 제공하는 서비스 내용까지

명시해 이용자에게 충분히 알려주도록 했다.

이와 함께 판매점에 대해서는 보관하는 가입계약서 원본을 본사나 대리점으로

보내도록 하는 등 관리감독을 강화하고 개인정보 제공·위탁업체의 개인정보보호

상황에 관한 관리감독도 철저히 하도록 규정했다.

이밖에 직원들이 고객정보 데이터베이스(DB) 관리시스템에 접속할 때 주민등록

번호, 이동전화번호를 모두 입력해 두 가지가 다 맞아야만 작동하도록 시스템을

개선할 것과 고객정보 DB 관리시스템 접속 로그기록 보관, 개인정보 처리직원에

대한 정기·전문적 개인정보 교육 등을 지키도록 했다.

정통부는 이동전화 업체가 이번 개선방안을 잘 지키는지를 꾸준히 점검하는

한편, 정보통신서비스 제공자와 항공사·여행사·호텔·학원 등 오프라인 사업

자에 대한 개인정보 관리실태도 정기적으로 점검해 위반했을 때는 강력히 제재할

방침이다.

한편 정통부가 한국정보보호진흥원과 함께 지난 10월 24일부터 11월 8일까지

SK텔레콤, KTF, LG텔레콤, SK신세기통신 등 4개 이동통신사의 본사, 대리점,

고객센터, 판매점에 대한 개인정보 관리실태를 조사한 결과 개인정보 관리체계,

관리규정, 직원교육 등이 미흡한 것으로 나타났다.

조사 결과 이들 업체는 대부분 개인정보업무 처리를 위한 내부지침이나 규정을

마련하지 않았고 개인정보 관리실태 점검·문제점을 개선할 자체 통제·감독

장치가 없는 것으로 드러났다.

또 개인정보관리책임자나 개인정보 제공·위탁업체의 개인정보 관리상황 감독이

부실하고 판매점에 대한 이동통신사 관리감독 소홀, 고객정보DB 관리시스템 무단

접속과 로그기록 미보관, 개인정보보호 전문교육 미흡 등의 문제점도 지적됐다.

<< 이동전화 가입자의 개인정보보호 강화를 위한 조치계획 >>

1. 경위

o 우리나라 대다수 국민이 이동통신 가입자(2001.11월말 현재

2,910만)라는 점에서 이동통신사의 가입자 개인정보 관리

문제는 일반 정보통신서비스제공자에 비해 특히 중요

- 그러나 최근 이동통신사 가입자 정보의 유출로 살인, 협박 등

범죄행위에 악용되는 사건이 빈발하고, 이에 따른  국민들의

불안 증대가 심각한 사회문제로 대두

o 이에  이동통신사업자들의 개인정보  관리실태를 점검하기

위한 현장조사를 실시하였으며

- 그 결과, 개인정보 관리체계, 관리규정, 직원교육 등 전

반적 사항에 대한  문제점이 발견됨에 따라  이에 대한

개선책을 마련하여 시행함으로써 이동전화 가입자의  개

인정보보호를 강화하고자 함

<조사 개요>

o 조사 기간

- 2001. 10. 24일 ∼ 11. 8일

o 조사 방법

- 정통부 및 한국정보보호진흥원(KISA) 담당직원으로 조사반을

구성하여 현장조사

(※ 2001.9월 예비조사로서 서면조사 기 실시)

o 조사 대상

- SKT, KTF, LGT, SK신세기통신 :  본사 개인정보 담당 부서 및

대리점, 고객센터, 판매점

2. 이동통신사의 가입자 개인정보 관리실태 및 문제점

□ 개인정보 관리감독 체계

o 회사내 고객지원 담당부서 등에서  개인정보 관련업무를

수행하고 있으며, 일부  사업자들은 이들 부서를  총괄하는

별도의 책임자나 전담기구를 운영

※ SK : CS본부장, KTF : 고객정보관리협의회 등

o 사업자  대부분이  사내에서 가입자   개인정보 관련업무

처리를 위한 내부지침이나 규정 없이 비체계적으로  개인

정보를 관리하고 있으며

- 이용자에게 회사의  개인정보보호정책을 공개하기  위해

홈페이지에  게시하고  있는   "개인정보보호방침"에서도

아동 개인정보 수집시 조치 등  정통망법에 새롭게 규정된

사항이 미 반영되어 있는 등 관리가 허술

o 사업자 스스로 개인정보  관리실태를 점검하고, 문제점을

시정하기 위한 내부 통제·감독장치를 두고 있지 않음

□ 개인정보 수집시의 조치

o 사업자는 정통망법상에서  규정하고 있는  개인정보 고지

의무 사항을 각사의 인터넷홈페이지를 통해서 고지

- 그러나  일반  인터넷사이트와 달리,  이동통신서비스는

대리점 등 오프라인상에서  가입계약서를 작성함으로써

가입이 이루어진다는  점에서 인터넷상의 고지만으로는

가입자가 해당사항을 인지하기가 어렵다 할 것임

o 따라서 고지의 실효성을 담보하기 위해서는 가입계약서 등

이용자가 가입단계에서 직접 접할  수 있는 수단을  통해

고지가 이루어지는 것이 바람직 하나,  현재 이러한 고지가

이루어지지 않고 있음

※ 개인정보관리책임자의 경우 성명이나 직위는 고지하지 않고, 대리점

이나 고객센터의 연락처만 고지

※ 개인정보 제공, 위탁사항에 관하여는 매우 포괄적으로 고지

※ 개인정보 이용, 보유기간은 4개 이동통신사업자 모두 미 고지

□ 개인정보의 제공·공유 및 위탁처리

o 이동통신사는 가입유치,  요금수납, 부가서비스제공·신용

정보 공동이용·보증보험  가입  등의 업무수행을  위해

대리점, 신용정보기관, 보험회사  등에 가입자  정보를 제공

하거나 위탁하고 있음

o 그러나 이들 업체의 개인정보보호 활동에 대한  이동통신

사의 관리감독이 전혀 이루어지지 않고 있는 실정이며

- 개인정보의 공유, 위탁처리 사실을 약관이나 가입계약서를

통해 고지하고는 있으나, 매우 포괄적으로 하고 있어 이

용자가 구체적인 내용을 알기 어려움

※ "고객관리, 부가서비스제공 등의 목적상" 가입자  정보를 제3자나

위탁업체에 제공할 수 있다고 규정할 뿐, 구체적 서비스내용이나 해당

업체명은 미고지

□ 개인정보 보유 및 파기

o 개인정보 수집은 본사와 위탁관계에 있는 대리점이나, 위탁

관계는 아니지만 단말기 판매,  신규가입 등  대리점과 유사한

영업활동을 하는 소위 판매점의 가입계약서를 통해 수집

- 대리점은 전산망을 통해 가입계약서상에 기재된 개인정보를

본사 DB로 전송하고, 판매점은 가입계약서  사본을 대리

점에 팩스로 송부한 후 가입계약서 원부는 자체보관

o 그러나 판매점의 경우  영세성, 인식부족으로 가입계약서

등 개인정보 관리가 매우  허술하게 이루어지고 있으나,

대리점과 달리 계약관계가 없다는 이유로 본사차원의  관리

감독이 전혀 시행되지 않고 있음

- 판매점 운영 사업자는 해당사업을 중단한 이후에도  가입

계약서 원부를 본사나 대리점에 이송하지 않고 자체처리

※ 가입계약이 판매점 통해 이루어지는 경우가 전체의 약 50%

□ 고객정보 관리시스템의 고객정보DB에 대한 접근

o 사업자들은 각각의  고유한 고객정보  관리시스템을 개발

하여 상담이나 고충처리, 이용실적 조회 등에 활용하고 있음

- 본사, 대리점, 고객센터의  일부 직원에 대해 ID를  부여하여

시스템 접속권한 부여(4개 이동통신사업자 총 11,870명)

o 그러나, 일부 사업자의  시스템은 이동전화번호 또는 주민

등록번호 중 한가지만 입력하여도 고객정보DB에 대한

접속이 가능토록 되어있어,  임의의 전화번호나 주민등록번호를

활용하여 접속할 가능성이 있으며(별첨 : 고객정보 DB 화면)

- 시스템 접속  로그기록을 보관하지 않아  개인정보 유출

등 불법행위 발생시 행위자를 찾아내기 어려운 실정

※ 통화내역 열람 로그기록은 현재 모든 사업자들이 보관하고 있음

<이동통신사의 고객정보 관리시스템>

---------------------------------------------------------------

업체명    명칭            고객정보 열람을 위한 입력사항

---------------------------------------------------------------

SK텔레콤     COIS    - 이동전화번호와 주민등록번호 모두 입력

(접속자 ID, 접속일자 등 log기록도 보관)

KTF           WISE   - 이동전화번호 또는 주민등록번호 입력

LG텔레콤      CSBS   - 이동전화번호 또는 주민등록번호 입력

SK신세기통신  CSBS   - 고객센터 : 이동전화번호만 입력

- 대리점 : 성명, 이동전화번호, 주민등록

번호 모두 입력

---------------------------------------------------------------

□ 교육

o 회사내 정기 또는 특별교육 시간 등을  통해 직원들에 대한

개인정보 유출, 오·남용 방지  등에 대한 교육을 실시하고

있으나, 체계적이고 전문적인 교육이 미흡

- 개인정보에 관한  별도의 전문 교육프로그램과  교재가

없고, 전문지식이 없는 내부직원에 의해 교육 실시

3. 개선 방안

◇ 회사내 개인정보 업무 총괄책임자를 지정하고, 총괄

책임자의 가입자 개인정보보호 활동 강화

◇ 사내의 개인정보업무처리지침을 수립함으로써 가입자

개인정보 관리를 체계화

◇ 개인정보 관리에 대한 자체점검을 정기적으로 실시하고,

법규 위반자에 대한 제재조치 실시

◇ 개인정보 위탁처리 등  법률상 개인정보 고지  의무사항이 실질

적으로 고지될 수 있도록, 가입계약서 등에 고지사항 명시

◇ 개인정보 관리가 허술한 판매점에 대한 이동통신사의

감독 및 교육 실시

◇ 개인정보 공유 및 위탁업체의 개인정보보호 상황에 대한

감독 강화

◇ 고객정보 관리시스템 접속을 위해 주민등록번호, 이동

전화번호를 모두 입력토록 시스템 개선

- 아울러, 시스템 접속 로그기록을 보관

◇ 정기적, 전문적  교육을 실시하여  개인정보 처리자의 개인

정보보호 인식 및 관련규정의 준수를 제고

가. 개인정보 업무 총괄책임자의 역할 강화

o 개인정보   업무 총괄책임자가  회사내에서  개인정보보호

업무에 관한 실질적인 역할을 수행할 수 있도록 제도개선

- 사내에서 개인정보 관련업무를 총괄하고, 이에 대한 최종

책임을 지는 임원급의 총괄책임자를 지정

- 회사의 내부규정, 직제, 개인정보 업무처리지침  등에 개인

정보 업무 총괄책임자의 역할과 책임을 명문화

※ 개인정보 관리책임자의 역할 : 개인정보  위탁처리자의 개인정보 관리

상황 감독, 이용자의 불만사항 접수·처리에 대한 책임, 개인정보  취급

직원에 대한 교육훈련 계획수립 등

나. 자체 점검활동 강화

o 정통망법, 개인정보보호지침, 회사지침 등에 대한 준수

여부에 대하여 정기적인 자체점검을  실시하고, 위반사실

발견시 경고, 감봉, 전보 등 제재조치를 실시토록 함

- 사업자는  점검계획을  수립하여 년  1∼2회  정기적인

점검을 실시하고,  점검보고서를 작성·보관하여  정통부

요구시 제출

※ 점검계획서는 점검대상, 목적, 범위, 절차, 일정표 등을 포함하여 마련

다. 체계적인 「개인정보업무 처리지침」 수립

o 개인정보  취급직원이 개인정보   관리업무를 체계적이고,

안전하게 수행할 수 있도록 내부 업무처리지침 마련

- 개인정보 업무처리지침은 회사내 최고책임자의 결재를

통과하는 등 필요한 절차를 거쳐서 정하도록 하고,

- 정통부와  한국정보보호진흥원은 법률이나  정책적 사항에

대한 자문을 실시하여 사업자의 지침 수립을 지원

※ 개인정보 업무처리지침의  내용 : 정통망법과  개인정보보호지침의

규정사항, 개인정보 담당조직  체계, 개인정보 관리책임자의 역할·

책임, 개인정보 취급자 자격, 법률·지침위반자에 대한 제재조치 등

라. 개인정보 고지의무 준수강화

o 인터넷 홈페이지뿐만  아니라 가입계약서나  이용약관에

서도 법률상의 고지의무 사항을 명시

- 아울러  고지의무 사항은 색상이나 글자체를 조정하거나

테두리를 하여 두드러지게 함으로써 이용자가  쉽게 알아

볼 수 있도록 함

※ 인터넷 홈페이지에서도  아동 개인정보  수집시 법정대리인 동의  등

정통망법에 개인정보 고지사항으로 새롭게 규정된 사항 고지

o 개인정보 제공, 위탁의  경우에는 해당 업체명과 서비스

내용을 구체적이고 명확하게 고지

- 다만 해당 사항이 빈번히 변경될  수 있으므로, 이에 대

해서는 가입계약서 이외 별도의 인쇄물을 제작하여 대

리점이나 판매점에서 가입계약시 고지토록 함

마. 개인정보 위탁처리업체에 대한 관리강화

o 사업자는  개인정보처리 위탁시  정통망법이나 개인정보보호

지침 등을 충실히 준수할 수 있는 업체를 선정하도록 함

- 이를 위해 기술적 보안조치, 관리적  조치 등에 관한 선정

기준 마련

o 또한 위탁계약시  개인정보에 관한 비밀유지,  제3자 제공

금지, 처리 종료  후의 개인정보의 반환  또는 파기  등에

관하여 명확히 규정하고, 당해 계약내용을 서면 또는 전자적

기록으로 보존

바. 판매점에 대한 관리감독 강화

o 본사에서 판매점에  대한 체계적인  관리지침을 세워  관리

감독을 강화하고, 판매점 직원에 대한 정기적인 교육실시

- 특히, 판매점이 보유하고 있는 가입계약서 원부는 가입

계약 체결 직후 본사 또는 본사의 직접적 관리감독이

가능한 대리점으로 송부하여 보관토록 함

사. 고객정보 관리시스템의 개선

o 고객정보 관리시스템  접근시 주민등록번호,  이동전화번호에

관한 사항을 모두 입력하여  두가지 요소가 모두  일치될

때에만 해당 고객의 정보를 열람할 수 있도록 하고,

- 업무유형에 따라 모니터에 나타나는 고객정보의 범위를

다르게  함으로써 개인정보취급자의  고객정보 열람을

최소화할 수 있도록 시스템 개선

※ 예 : 요금청구, 수납업무 처리시에는 고객정보 관리시스템 화면에

해당 고객의 주민등록번호, 주소, 연락처 등은 나타나지 않도록 함

o 아울러 고객정보  관리시스템에 접속하여  고객정보 조회시

조회자ID, 조회시간  등  로그기록을 보관함으로써,  개인

정보 유출시 효과적으로 대응

아. 개인정보보호 인식제고를 위한 교육·홍보 강화

o 개인정보  담당직원의 개인정보보호   인식을 제고하고,

정통망법·개인정보보호지침·회사지침  등의   내용을

충분히 이해하여 준수할 수 있도록 교육·홍보 강화

- 체계적이고 종합적인 교육계획을  수립하고, 전문 교육

프로그램 및 교육교재를 마련하여 정기적 교육실시

- 교육대상은 정규직원  뿐만 아니라  계약직원, 파견직원,

판매점 직원까지 포함

o 사내교육 과정에 외부 전문가에 의한  교육을 확대하고,

한국정보보호진흥원 등 외부 전문기관이 실시하는 교육

프로그램에 참여함으로써 전문적인 교육을 받을 수 있도록 함

※ 한국정보보호진흥원은 2002.1월부터 민간업체의 개인정보업무담당자를

대상으로 한 개인정보보호 교육프로그램을 운영할 계획

o 특히, 개인정보 유출 가능성이  높은 대리점, 판매점, 고객

센터 등 고객접점직원들의 개인정보보호 인식제고를 위해

- 정통망법, 개인정보보호지침 등의  내용과 현장에서 개인

정보보호를  위해 준수해야할  사항에 관하여  알기  쉽게

설명해 놓은 홍보물을 제작하여 각 대리점 등에 비치토록 함

4. 향후 계획

o 이동통신사는 개선조치의  이행을 위해  2002.1월까지 이행

계획을 수립하여 우리부에 보고한 후 추진

- 우리부는 사업자의 이행계획  수립을 지원하는 한편,  사업

자의 추진상황을 지속적으로 관리감독

※ 매년 1∼2회 정기점검 실시추진

o 업무협의 창구로 이동통신사, 정통부, 한국정보보호진흥원

실무책임자들로 개인정보보호협의체를 구성·운영