개인정보위, '사기피해 조회'·'세무앱' 개인정보 처리 실태 점검…개선 권고

더치트에 과태료 480만 원 부과

"주민번호 입력 최소화 권고"

사진=개인정보보호위원회

개인정보보호위원회(이하 개인정보위)가 9일 전체회의를 열고 사기피해 조회 서비스 업체 더치트㈜와 세무대행 애플리케이션 운영사 3곳(토스인컴㈜, 지앤터프라이즈㈜, 자비스앤빌런즈㈜)에 대한 조사 및 처분 결과를 심의·의결했다. 

10일 개인정보위는 더치트가 피해 등록 과정에서 사기 의심자의 계좌번호, 휴대전화번호 등 개인정보를 피해자에게서 수집해 처리한 것이 개인정보보호법 위반에 해당하지 않는다고 판단했다.

이는 개인정보보호법 제15조 제1항 제5호에 따라, 제3자의 급박한 재산상 이익을 위해 필요한 경우에는 개인정보 수집·이용이 가능하다는 조항에 근거한 것이다.

다만, 개인정보위는 더치트가 수집한 개인정보를 사기 피해 방지 목적 외로 이용하지 못하도록 하고, 보유 및 공개 기간을 최소한으로 제한하며, 사기 의심자가 피해 사실이 없음을 소명하고 삭제를 요청할 경우에는 관련 정보를 삭제할 수 있도록 개선을 권고했다. 

또한 더치트가 회원 가입 및 피해사례 등록 시 이용자로부터 구체적 동의를 받지 않고, 포괄적인 방식으로 개인정보 동의를 받은 점 등을 문제로 지적하며 과태료 480만 원을 부과하고 시정명령 및 결과 공표를 결정했다.

이와 함께 개인정보위는 종합소득세 환급 대행 앱을 운영하는 세무대행 3개 업체에 대해서도 개선을 권고했다. 

이들 사업자는 이용자에게서 주민등록번호를 입력받아 홈택스 및 정부24 등 공공기관에 로그인한 후 환급 정보를 조회하고 신청서를 제출하는 방식으로 서비스를 운영하고 있다. 

개인정보위는 이들 사업자가 이용자의 명시적 위임을 받은 상태에서 주민등록번호를 공공기관에 단순 전달한 뒤 저장하지 않는 점을 확인하고, 개인정보보호법 위반은 아닌 것으로 판단했다.

그러나 주민등록번호의 과도한 수집을 방지하기 위해 주민등록번호 입력을 최소화할 수 있는 대체 방안을 검토할 것을 권고했다. 특히 환급세액 정보 조회만 필요한 경우, 이용자가 공공사이트 회원으로 직접 로그인하면 주민등록번호 입력이 불필요하다는 점을 안내했다. 

개인정보위는 이번 처분을 통해 국민이 자주 사용하는 서비스의 개인정보 처리 기준을 명확히 하고, 정보주체의 개인정보 자기결정권을 강화하는 계기를 마련했다고 설명했다.