[시큐리티 Q&A] 주민번호 요구시 대처법

Q. 개인정보보호법이 발효되어 충분히 개인정보에 대한 보호가 이루어지고 있는지 정보통신망법에 의해 개인의 정보유출에 대한 차단 및 신고보안 체계가 잘 이루어져 있는지 궁금합니다. 그리고 만약 비밀번호를 찾을 때 주민등록번호를 요구한다면 어떻게 대처해야 하나요?

A-1. 개정된 개인정보보호법의 경우 개인정보보호에 관한 일반법임에도 불구하고 정책적, 기술적으로 개인정보처리자에게 요구하는 개인정보보호의 수준이 상당히 높으며, 그 내용도 구체적입니다. 법령에서 정하는 바를 모두 충족한다는 가정 하에 충분히 개인정보에 대한 보호가 잘되고 있다고 판단할 수 있을 것입니다.

정보통신망법 제27조의3(개인정보 누출 등의 통지·신고)는 개인정보가 분실, 도난, 누출된 사실을 정보통신서비스 제공자등이 알게 된 때에는 지체 없이 일정한 사항을 해당 이용자에게 알리고 방송통신위원회나 한국인터넷진흥원에 신고하도록 규정하고 있으며, 오는 11월에 시행되는 개정 법률에서는 통지 및 신고를 24시간 이내에 수행하도록 규정하고 있습니다.

이용자가 잊어버린 비밀번호를 찾고자 할 때, 사업자가 주민등록번호를 요구하는 경우 이는 법령에서 허용하고 있는 주민등록번호 수집, 이용 사례에 해당하지 않기 때문에 사업자에게 위법한 사실을 알리고 개선을 요청하거나 한국인터넷진흥원의 개인정보침해신고센터에 신고하여 처리할 수 있습니다.

(이진규 네이버 개인정보보호팀장/davidlee@nhn.com)

A-2. 개인정보보호법이 시행되기 전에는 개인정보보호를 위한 사각지대가 존재했으나 이 법의 시행으로 국가기관을 포함해 350만 개인정보처리자를 법 대상으로 포괄하고 있으며 5인 이하의 소기업을 제외하고는 법 적용이 예외 없이 시행되고 있습니다.

물론 법 시행 3년이 다가오고 있으나 연 초에 발생한 카드사 개인정보 대량유출 사고에서 보듯이 법 시행 이후에도 다수의 개인정보 유출사고가 발생했습니다. 주 요인으로 해킹수법의 지능화·고도화를 비롯해 금전적 수익을 노린 계획적인 내부유출도 상당히 포함되어 있습니다. 물론 법 준수가 최선일 수는 없겠으나 개인정보유출로 인한 실제적인 보상을 비롯해 유출 기업에 부과될 과징금 등 규제강도도 점점 강화되고 있으므로 기업의 개인정보 보호를 위한 노력은 기업 경영적 관점에서 재고될 필요가 있습니다.

(박찬옥 한국개인정보보협의회 운영국장/kcppi21@hanmail.net)

A-3. 개인정보보호법은 공공, 민간 부문을 아울러 개인정보 보호에 대해 규율하고 있으며, 특히 정보통신서비스 제공자에 대해서는 정보통신망법에서 개인정보보호와 관련한 여러 가지 조치 사항을 자세하게 규정하고 있어 정보유출에 대한 차단 및 신고보안 체계는 잘 갖춰져 있습니다.

비밀번호 확인을 위해 주민등록번호를 요구하는 것은 본인 확인을 위한 것입니다. 그러나 이는 법령상 근거가 없는 것이고, 주민등록번호가 아닌 다른 정보들로도 본인 확인이 가능하므로 위법합니다. 따라서 이 경우 해당 기업에 대해 위법성을 지적해 다른 수단을 통해 비밀번호 확인을 할 수 있도록 조치를 요구할 수 있습니다.

(김광준 태평양 변호사/kwangjun.kim@bkl.co.kr)

A-4. 개정 개인정보보호법 시행으로 인해 주민등록번호를 무분별하게 사용하던 관행은 획기적으로 개선될 수 있을 것이며, 주민등록번호를 연결고리로 해서 발생하던 개인정보 침해사건도 줄어들어 궁극적으로 사회 모든 분야에서 개인정보보호가 강화될 것입니다.

그리고 정보통신망법도 개인정보 분실·도난·누출에 대해 방송통신위원회에 신고하도록 체계를 갖추고 있고, 누출 등의 경우 2년 이하의 징역 또는 1천만 원 이하의 벌금에 처하도록 하고 있습니다.

한편 비밀번호 분실 시 새로운 비밀번호 부여를 위해 주민등록번호를 이용하는 것 역시 법령근거가 없기 때문에 이런 경우 해당 기업에 개선을 요구하거나 개인정보침해신고센터에 신고하는 등 정보주체들의 적극적인 대처가 주민번호 사용관행의 개선을 앞당길 것입니다.

(최경환 KISA 개인정보안전단 /loraciel@kisa.or.kr)

[민세아 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)