[공개질의] 끊임없는 온라인 주민등록번호 CI 유출 사태,방미통위 제도 개선 나서야

연계정보(CI) 대규모 유출에 대한 정부 대책과 시정조치 계획 관련

반복되는 대규모 유출에 주무부처로서 대책이나 시정조치 계획 있는지 등

실태 조사 및 시정 조치 결과 보고서 공개

CI의 대규모 유출은 인터넷사업자들이 자사 서비스는 물론 다른 기업과의 제휴서비스 등에서 이용자를 편리하고 고유하게 식별하기 위하여 대규모로 수집하고 보관한 데서 기인한 것입니다. CI는 출생시부터 사망시까지 국민마다 고유하게 부여되어 있는 주민등록번호를 88자리 코드로 변환한 값으로서 온라인에서는 CI 자체로 우리 국민을 평생 고유하게 식별할 수 있기 때문에 ‘온라인 주민등록번호’로 지칭되고 있습니다. 주민등록번호가 변경되지 않으면 CI 또한 변경되지 않기 때문에 CI가 한번 유출되면 해당 국민에게 보이스피싱을 비롯한 평생 반복적인 피해를 낳을 수 있습니다.

국내 인터넷사업자들이 CI를 온라인 표준식별번호로 광범위하게 활용하는 관행이 확산되었기 때문에 서로 다른 인터넷서비스에서 유출되었거나 장래 유출될 개인정보들도 CI를 ‘연결자’로 삼아 서로 결합될 수 있고 이는 더욱 큰 피해로 이어질 위험이 매우 높습니다. 정부는 2025년 8월 28일 <보이스피싱 근절 종합대책>을 발표하면서 시민사회의 반대에도 불구하고 휴대전화 가입시 얼굴인증을 요구하는 정책을 도입하였습니다. 그런데 CI야말로 서로 다른 개인정보를 방대하게 연결하고 보이스피싱 피해를 더욱 악화시킬 수 있음에도 이 정책을 주무하는 방미통위는 아무런 대책도 내놓지 않았습니다.

[질의1] 방미통위는 지난해 롯데카드에서 주민등록번호까지 포함된 대규모 CI 유출 사고가 발생한 이후 이에 대한 실태조사를 실시하고 보고서도 작성한 것으로 알려져 있으나, 그 내용을 공개하지 않았습니다. 온라인에서 공공과 민간의 거의 모든 정보를 연결할 수 있어 ‘온라인 마스터키’라고까지 불리는 CI가 지금처럼 계속해서 유출되는 상황에서는 국민 누가 언제 어떻게 그로 인한 피해를 보게 될지 가늠하기 어려운 상황입니다. 따라서 CI 유출 사고에 대한 방미통위의 실태조사와 진단 내용은 마땅히 국민들 앞에 공개되어야 합니다. 

방미통위는 지금까지 유출된 CI 관련 통계를 가지고 있습니까? CI 유출 사고의 원인과 대책을 어떻게 진단하고 있습니까? 방미통위가 지난해 롯데카드 유출 사고 등 CI 사고에 대하여 실태조사를 실시하고 이 문제에 대해 작성한 보고서를 모두 공개하여 주십시오.

서비스 연계를 위한 본인인증 수단으로 도입된 CI의 처리 목적 변질 실태 파악 및 시정조치, 실제 기업 이용 현황

CI는 과거 주민등록번호 대규모 유출 사태에 대응하여 국가적으로 주민등록번호를 대체하는 제도를 도입하면서 생성되었으며 초기에는 온라인상 ‘본인인증’ 목적에 한해 처리되었습니다. 그러나 2024년 1월 23일「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(약칭: 정보통신망법)이 개정되면서 CI의 생성과 처리는 기존 본인인증을 넘어 공공기관과 민간업체가 온라인에서 광범위하게 국내 이용자를 ‘식별’하는 목적으로 확대되었습니다(제23조의5 신설). 이 법은 CI의 생성과 처리의 목적을 1) 식별 ·인증, 2) 전자정부서비스, 3) 마이데이터, 4) 모바일 고지, 5) 신용·금융 마이데이터 등으로 열거하고 있지만(제23조의5제1항 및 동법 시행령 제10조), 이는 실제로는 공공과 민간에서 이루어지는 우리 국민 인터넷 생활의 대부분을 아우르는 포괄적인 수준입니다.

이로 인하여 다수 기관과 기업 간에 CI의 연계, 즉 제3자에게 CI를 제공하고 개인정보를 통합하는 처리가 크게 증가하였습니다. 그러나 정작 대부분의 정보주체 국민은 자신의 CI가 언제 생성되었는지, 언제 특정 기관과 업체에 전달되어 얼마나 보관되고 있는지 명확히 통지받거나 인지하지 못하고 있으며, 심지어 자신의 CI가 어떻게 생겼는지 볼 기회조차 없었습니다.

현재 ‘연계정보 이용기관’인 인터넷사업자들 다수는 CI를 서비스 운영과 제휴서비스 제공에 꼭 필요한 ‘필수정보’로 취급하면서 정보주체 이용자 선택권을 제한하는 방식으로 수집보관하고 있습니다. 만약 이용자 본인확인과 중복가입 방지가 목적이라면 성명, 휴대전화번호, 생년월일 또는 그조합 등 해외 여러 인터넷서비스와 마찬가지 방식의 처리만으로 충분하고, 국내에는 CI를 대체할 수 있는 중복가입확인정보(DI)도 존재하기 때문에 CI의 수집이용이 필수적이라고 보기 어렵습니다.

그럼에도 대부분의 정보주체는 CI가 필수정보라는 인터넷업체의 일방적인 판단에 의해 CI 처리에 대하여 명시적인 선택이나 의사표시를 할 기회도 제공받지 못했습니다. 설령 최초 가입시 정보주체가 포괄적인 동의를 제공하였다 하더라도 현재 또는 장래 연계될 구체적인 각각의 자사 또는 타사의 서비스에 대한 정보를 제공받지 못한 상태에서는 이것이 충분한 정보에 기반한 자유롭고 합법적인 동의권 행사였다고 보기 어렵습니다.

특히 자사서비스 내 개인정보 통합이나 제3자와 제휴서비스 제공은 개인정보보호법에 따라 각각 개별적인 별도 동의가 필요하며 동의는 언제든지 취소할 수 있어야 합니다. 이용자가 각각의 자사서비스 통합에 별도 동의하지 않은 상태이거나 타사 제휴서비스를 이용하지 않는 상태임에도 불구하고 인터넷업체들이 CI를 이용자가 선택할 수 없는 필수정보로 수집하여 장기간 보관하는 것은 합헌적이고 적법한 관행이라고 보기 어렵습니다. 그럼에도 현재는 이용자가 자신의 CI의 처리에 대하여 동의 철회, 삭제, 처리정지 등을 요구하였을 때, 아래 그림 및 표의 내용과 같이 인터넷사업자는 이에 응하지 않거나 자사 서비스를 이용할 수 없다며 이용자를 탈퇴시키는 행태가 만연해 있습니다. 이러한 관행은 정보통신망법은 물론 개인정보보호법에 따른 적법한 처리가 아닙니다.

본인확인기관으로부터 CI를 제공받은 인터넷사업자인 “연계정보 이용기관”은 제공받은 목적 범위에서 CI를 처리할 수 있고, 다만 정보주체에게 별도로 동의받은 경우에는 동의받은 목적 범위에서 CI를 처리할 수 있습니다(제23조의5제4항). 이때 정보통신서비스 제공자의 서비스 연계를 위하여 이용자를 ‘식별’하고 인증하기 위한 목적으로 처리될 수 있습니다(제23조의5제1항). 하지만, 이는 정보주체 이용자가 매번 구체적인 자사 또는 타사의 제3의 서비스 연계를 위한 CI 제공에 동의하는 경우에 한해 적법하다 할 것입니다. 장래 제3의 서비스 제공을 위해 현재 이용자에게 CI 처리에 대하여 포괄적으로 동의할 것을 요구하고 탈퇴시까지 사실상 영구적으로 CI를 보관하는 것은 법률이 정한 목적과 범위를 크게 넘어서는 잘못된 관행입니다. 또한 개인정보보호법 제18조에 따르면 자사나 타사 연계서비스를 위한 목적외 또는 제3자 제공은 ‘최초’ 시점에도 포괄동의가 아니라 개별적인 ‘별도동의’를 명확하게 받아야 하며, 정보주체는 이러한 동의 의사를 언제든지 철회하거나 삭제 및 처리정지 요구를 할 수 있어야 합니다.

<그림> 정보주체의 CI 처리정지, 삭제 요구에 대한 인터넷서비스의 처리 회신 사례

<표> 정보주체의 CI 처리정지, 삭제 요구에 대한 인터넷서비스의 처리 조치 사례

[질의2] 방미통위는 연계정보 이용기관의 안전조치에 대한 운영ㆍ관리 실태를 점검할 수 있으며(제23조의6제3항), 이 법을 위반한 정보통신서비스 제공자에게 해당 위반행위의 중지나 시정을 위하여 필요한 시정조치를 명할 수 있습니다(제64조제4항). 우리 단체들은 방미통위가 CI가 유출된 기업들은 물론 본인확인기관으로부터 연계정보를 1,000건 이상 제공받은 모든 기업(정보통신망법 시행령 제14조제2호)을 대상으로 CI 안전조치 실태를 철저히 점검하고, 특히 별도 동의를 받지 않고 CI를 자사 또는 타사의 서비스 연계용으로 처리하고 있거나, 정보주체의 동의철회·삭제·처리정지 요구권 행사를 방해하는 위법적 관행을 즉각 시정하는 조치를 내려야 한다고 생각합니다. 이에 대한 방미통위의 구체적인 계획을 밝히고 위법적인 CI 수집 및 처리 관행에 대하여 시정조치한 내용 및 결과를 알려 주십시오.

대규모 CI 유출 방지를 위한 방미통위의 근본적 대책

만일 앞서 CI를 유출한 기업들이 연계된 서비스에서 이용자를 식별한다는 이유로 정보주체의 명시적 동의 의사를 넘어 CI를 무분별하게 수집 보관하지 않았다면 CI가 대규모로 유출되는 사고를 막을 수 있었을 것입니다. 방미통위는 롯데카드의 대규모 CI 유출사고에 대하여 조사하고 조치하면서 CI가 오남용처리되는 관행을 인지하였을 가능성이 있습니다. 그럼에도 CI 제도 운용 자체에 대하여 아무런 대책이나 시정이 이루어지지 않고 방관한 결과 티빙을 비롯한 후속 유출사고가 이어졌으며, 아무런 조치가 없다면 앞으로도 CI 유출사고가 계속될 것입니다. CI 유출로 인한 개인정보 침해는 무분별하게 CI를 수집 보관한 기업들의 책임이기도 하지만, 이용자 식별ㆍ인증을 위해서는 CI를 무분별하게 처리할 수 있는 것처럼 허용하고 있는 현행 정보통신망법과 이를 주무하는 방미통위의 책임이기도 합니다.

방미통위가 기업들의 CI 오남용 실태를 철저하게 점검하고 시정하는 조치를 명령하는 것이 필요합니다. 나아가 방미통위는 국민의 개인정보자기결정권을 침해하고 위험에 처하게 만든 위헌적인 CI 제도의 운용을 근본적으로 개선하는 대책을 마련해야 할 것입니다.

[질의3] CI 제도는 우리 국민의 헌법상 기본권인 개인정보자기결정권의 행사를 침해하고 있으며, 온라인상 거의 모든 개인정보를 연결할 수 있는 ‘마스터키’로서 그 정보주체를 보이스피싱 등 범죄에 노출될 위험 앞에 방치하는 결과를 낳고 있습니다. 또한 CI가 없는 외국인 이용자에 비교하였을 때 CI에 기반하여 끊임없이 온라인에서 식별되는 내국인을 역차별하며, 국내 인터넷 기업이 CI를 대규모로 수집 처리하는 이상 국내에 진출한 해외 사업자들 역시 우리 국민의 CI를 대규모로 수집하여 오남용할 가능성이 있습니다. 즉 CI 제도는 그 운용에 따른 부작용이 이익보다 현저하게 많습니다. CI 제도에 대해 주민등록번호 제도처럼 대폭적인 개선을 조치하지 않는 한 앞으로 더 많은 문제점과 더 심각한 피해가 나타날 것입니다. 방미통위가 CI제도의 근본적인 개선을 위하여 어떠한 계획을 가지고 있는지 밝혀 주십시오.