보이스피싱 등 경제범죄 악용 위험 매우 커
- 시민단체, 주무부처 방미통위에 시정조치, 대책 등 공개질의
1. 최근 티빙에서 1,953만 명의 CI를 포함한 개인정보가 유출되어 큰 충격을 주었고, 편의점 CU의 택배를 운영하는 BGF 네트웍스에서도 CI가 유출된데 이어, 7월 3일에 또다시 우리은행에서 CI 등 1만 7,551건이 유출되었다. 2025년에는 롯데카드에서 CI 129만명분이 유출되었고 이 중 45만명은 주민등록번호가 함께 유출되었다. 국민의 고유식별정보인 CI 유출사고가 계속되고 있음에도 주무부처인 방미통위는 CI 제도의 실태조사 결과나 제도개선 대책을 국민 앞에 발표한 적이 없다. 이에 오늘(8/26) 디지털정의네트워크·민주사회를 위한 변호사모임 디지털정보위원회·정보인권연구소·참여연대는 방송미디어통신위원회(위원장 김종철, 이하 ‘방미통위’)에 계속되는 기업의 대규모 CI(연계정보) 유출에 대해 실태조사와 시정조치 계획 및 근본적인 제도개선책에 대해 공개 질의하였다.
2. CI는 주민등록번호에 일방향 해시함수를 적용해 만든 88바이트의 기호이다. 주민등록번호가 바뀌지 않는 한 일생 불변하고 유일하다. 애초 CI는 공공을 비롯 민간에서도 주민등록번호를 광범위하게 수집, 이용하면서 유출사고가 빈번하자 주민등록번호 대체 수단인 아이핀의 일부로 도입된 것이다. 초기에는 온오프라인상의 서비스를 연계하면서 본인인증 수단으로 사용되었지만, 기업들은 CI가 주민등록번호와 같이 한 개인에게 유일하고 불변한 점을 활용해 점차 온라인상 개인 활동을 식별하고 추적하는데 이용하고 있다. 게다가 2024년 1월 23일「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(약칭: 정보통신망법)이 개정되면서 CI의 생성과 처리는 기존 본인인증을 넘어 공공기관과 민간업체가 온라인에서 광범위하게 국내 이용자를 ‘식별'하는 목적으로 활용할 수 있는 법적 근거까지 마련되었다(법 제23조의5 신설). 이로 인하여 다수 기관과 기업 간에 CI의 연계, 즉 제3자에게 CI를 제공하고 개인정보를 통합하는 처리가 크게 증가하였다.
3. 반면 정작 대부분의 정보주체들은 자신의 CI가 언제 생성되었는지, 어떤 서비스에 어떻게 이용되는지, 이에 대해 열람, 삭제, 처리정지 등 개인정보보호법에서 보장하는 권리 행사는 가능한지조차 명확히 통지받거나 인지하지 못하고 있다. 실제로 단체활동가들이 기업들에 CI 열람 청구 및 동의철회, 처리정지 등 정보주체로서 권리를 요구하였음에도 이에 응하지 않거나 ‘서비스 이용불가’라고 답변하기까지 했다. CI를 원래 본인인증 목적 외 장래의 추가 서비스 연계를 위한 목적이라면 개별 목적마다 정보주체로부터 별도 동의를 받아야 하고, 동의 철회, 처리정지 등의 정보주체로서 권리보장이 되어야 하기 때문에 이와 같은 행태는 적법한 처리라고 할 수 없다. 만일 최근 잇따른 CI 유출 기업들이 서비스 연계를 목적으로 명시적 동의 없이 이용자 식별을 위한다는 명목으로 CI를 무분별하게 수집ㆍ보관하지 않았다면 CI가 대규모로 유출되는 일도 발생하지 않았을 것이다. 이에 정보통신망법 상 CI 생성 및 처리 등에 대해 관리 감독의 책임이 있는 방미통위는 지금이라도 기업들의 CI 오남용 실태를 철저하게 점검하고 시정조치를 명령하는 것이 필요하다.
4. 방미통위는 정보통신망법 제23조의 6제3항 등에 따라 연계정보 이용기관의 안전조치에 대한 운영ㆍ관리 실태를 점검할 수 있고, 이 법을 위반한 정보통신서비스 제공자에게 해당 위반행위의 중지나 필요한 시정조치를 명할 수 있다(제64조제4항). 이에 단체들은 방미통위에, △ 지금까지 유출된 CI 관련 통계, 롯데카드 대규모 CI 유출 사고가 발생한 이후 실태조사 결과보고서 공개, △ 정보통신망법의 규정에 따라 CI가 유출된 기업들은 물론 본인확인기관으로부터 연계정보를 1,000건 이상 제공받은 모든 기업(정보통신망법 시행령 제14조제2호)을 대상으로 CI 안전조치 실태 점검, △ 별도 동의를 받지 않고 CI를 자사 또는 타사의 서비스 연계용으로 처리하고 있거나, 정보주체의 동의철회·삭제·처리정지 요구권 행사를 방해하는 기업의 위법적 관행에 대해 즉각 시정 조치 및 그 결과 공개, △ CI 생성, 처리 등에 대한 개인정보자기결정권 침해, 온라인상 거의 모든 개인정보를 연결할 수 있는 ‘마스터키’이기 때문에 보이스피싱 등 범죄 노출 위험, CI가 없는 외국인 이용자에 비해 CI에 기반하여 끊임없이 식별되는 내국인 역차별, 국내 진출 해외 사업자들 역시 우리 국민의 CI를 대규모로 수집, 오남용할 가능성 등 그 부작용에 대한 방미통위의 대책 등에 대해 질의하였다.
5. 일평생 변하지 않고 거의 모든 정보의 연결키인 주민등록번호 제도의 경우에서처럼 주민등록번호를 기반으로 한 CI 제도 역시 대폭 개선하지 않는 한 앞으로 더 많은 유출, 더 심각한 피해로 이어질 것이 자명하다. 방미통위는 국민의 개인정보자기결정권을 침해하고 온라인상 거의 모든 정보의 연결키를 넘어 마스터키로 기능하는 CI 운용을 근본적으로 개선하는 대책을 조속히 마련해야 한다. 끝.