동의 안한 개인정보 멋대로 넘긴 현대카드…애플페이 고객정보는 ‘안녕할까'

디지털화로 개인정보보호 필요성 높아져
“동의 없는 개인정보 유출은 분명한 문제”
정보유출 피해, 현행 제도상 구제 쉽지 않아
분쟁조정위 통한 위자료 청구, 대안 될 수도

실물서류로 행해지던 작업들 상당 부분이 디지털 활성화에 힘입어 데이터로 전환되면서 일상의 많은 부분이 변했다. [출처=픽사베이]

“새 상품이나 서비스계약을 할 때마다 불안한 건 있죠. 또 광고문자 날아오진 않을까. 항상 마케팅 정보 활용은 체크하지 않고 비워두는데 어디에서 날아오는 건지 모르겠어요.”

한 무역업체에 근무하는 A씨는 최근 기자와의 통화 중 이렇게 말했다. 개인정보 보호의 중요성이 커지고 있지만 기승을 부리는 각종 피싱이나 광고성 문자·메일은 일반 소비자들에게 여간 성가신 존재가 아니다.

일반적으로 개인정보의 유통은 상품·서비스의 신규 가입이나 재계약 과정에서 발생한다. 소비자의 의도에 따른 것도 있지만 이와 별개로 기업의 무책임한 행동에서 일어나기도 한다.

최근 현대카드는 신규 고객을 유치하는 과정에서 개인정보 마케팅 활용에 동의하지 않은 고객의 신청서를 직원이 임의로 동의 처리한 뒤 50여곳으로 넘긴 바 있다. 현대카드 관계자는 당시 상황에 대해 ‘신입직원의 실수’였다고 해명했다. (기사참조 : 현대카드, 고객 동의 안한 개인정보 멋대로 넘겨…회수 요구엔 “과도한 요구”)

현대카드는 지난 3월 애플(Apple)페이를 정식 출범하면서 수많은 신규 카드를 발급했다. 현대카드에 따르면 서비스 출시 이후 발급된 신규 카드만 약 35만5000장에 이른다. 3월 한 달 간 유입된 신규 회원수(개인)만 해도 20만명을 넘어섰는데 통상 현대카드의 월간 신규 회원수가 10만여명을 웃도는 수준이었던 점을 감안하면 2배 가까운 증가다.

앞선 피해고객 사례처럼 애플페이 신규고객의 개인정보가 본인도 모르는 사이 유통되고 있을 가능성을 배제하기 힘들어 우려를 낳고 있다.

기업들은 상품이나 서비스 등을 판매하면서 소비자 데이터베이스(DB)를 수집한다. 개인정보보호법에 따라 각 기관이 수집한 DB는 수집한 기관에서만 자체적으로 사용할 수 있다.

자체 DB 수집도 서비스 제공을 위해 불가피한 경우 등으로 조건이 한정된다. 흔히 서비스 등을 이용하기 위해 ‘필수(required) 동의’로 분류돼 있는 항목이 이것으로, 제3자에게 제공하기 위해서는 정보주체(소비자)로부터 별도의 동의를 얻어야 한다.

개인정보보호법은 정보주체의 동의 없이 수집된 개인정보를 제3자에게 제공 및 공유하기 위한 법적 근거로 정보주체의 동의 외 절차를 규정하지 않고 있다. 개인정보의 제3자 제공을 위해서는 정보주체 동의가 필수적이며 유일한 방법이란 소리다. 이 항목은 일반적으로 ‘선택(optional) 동의’로 분류돼 있다.

문제는 개인정보로 인한 파급효과는 그 속도가 빠르고 원상회복이 어렵다는 데 있다. 특히 ‘선택 동의’ 항목에 동의한(된) 경우 다른 수많은 기업들에게 유상으로 제공되기도 한다.

금융권의 한 관계자는 “고객 DB는 당연히 돈을 주고 사오는 것”이라며 “DB 하나하나가 자산이 될 수 있는데 타사에 이를 무상으로 제공할 이유가 전혀 없다”라고 말했다.

카드모집인으로 일하고 있는 B씨도 “주변에서도 고객 데이터베이스(DB)를 유상으로 팔고, 하위업체로 또 다시 팔아넘기는 일이 비일비재 하다”라며 “개인정보보호를 외치는 기업들이 보안이나 인증절차만 불편하게 하면서 정작 고객정보는 자기 마음대로 다루고 있다”라고 성토했다.

정보주체가 동의하지 않는다는 의사를 거듭해서 밝혔음에도 직원이 임의로 동의 처리한 경우 기업은 책임에서 벗어나기 어렵다. 앞선 사례에서 현대카드가 이 신규고객을 받은 날은 지난 4월 1일이었지만 한 달이 지난 현재까지 회수는 50여개사 중 4개사에 그치고 있다. 회수된 4개사는 모두 현대자동차그룹과 지분관계가 얽힌 회사들이다.

개인정보보호위원회 관계자는 “일반적으로 선택 동의 항목에 동의한 경우 정보주체의 동의가 있었던 만큼 개인정보의 유상제공은 문제가 되지 않는다”라면서도 “하지만 기업이 정보주체 동의를 얻지 않고 개인정보를 멋대로 유통시켰다면 분명한 문제이고 살펴볼 필요가 있다”라고 말했다.

하지만 정보유출의 피해가 있어도 현행 제도 상 구제는 쉽지 않다. 소송으로 이를 다투기 위해선 민사상 손해배상 절차를 따라야 하는데 손해배상은 요건 중 하나로 구체적인 피해 발생을 요구하고 있기 때문이다.

개인정보보호위원회를 통한 분쟁조정신청도 방안이 될 수 있지만 사고가 있었다는 사실만으로는 기업에 책임을 지우기도 쉽지 않다. 이해당사자의 신청이 필수적으로 요구된다는 의미다.

가천대 법대 최경진 교수는 “소송을 걸고 손해배상을 다툴 수는 있겠지만 실제 피해가 발생하지 않으면 가능성은 낮다”라면서도 “분쟁조정위원회를 통해 위자료를 받는 방안이 대안일 수 있다”라고 말했다.

앞선 개인정보위 관계자는 “당사자의 신청이 있기 전에는 피해나 권리구제를 할 수 없다”라고 말했다.

[위키리크스한국=김수영 기자]

swimming6176@wikileaks-kr.org

김수영 기자 다른기사 보기