[서울=뉴시스]윤정민 기자 = 일부 금융사가 단순 회원가입이나 비밀번호 재설정 과정에서 고객의 주민등록번호를 관행적으로 요구해 온 사실이 드러났다. 실제 금융거래가 발생하지 않는 업무임에도 민감한 개인정보를 무분별하게 수집한 것이다. 정부 실태점검에 따라 해당 금융사들은 관련 절차를 모두 개선했다.

개인정보보호위원회는 은행과 보험사 등 금융회사 220곳을 점검해 법령상 근거가 없는 주민등록번호 처리 관행을 전면 정비했다고 27일 밝혔다.

점검 대상은 ▲은행 ▲생명보험 ▲손해보험 ▲신용카드 ▲저축은행 ▲증권 등 6개 분야다. 개인정보위는 지난 4월 1일부터 금융거래와 직접 관련이 없는 일반 업무에서도 관행적으로 주민등록번호를 처리하는지 살폈다.

점검 결과 일부 금융사는 금융거래 없이 온라인 서비스에 가입하는 이용자에게도 주민등록번호를 요구했다. 아이디를 찾거나 비밀번호를 재설정하는 등 계정을 관리하는 과정에서 주민등록번호를 입력하도록 한 사례도 확인됐다.

비밀번호 재설정에는 본인 확인이 필요하지만 주민등록번호가 반드시 필요한 것은 아니다. 휴대전화나 아이핀, 민간인증서 등 다른 인증수단을 이용할 수 있고 금융거래와 무관한 계정관리 업무에서는 법령상 근거 없이 주민등록번호를 요구할 수 없다.

민간인증서를 등록하거나 금융사 서비스와 연계할 때 주민등록번호를 요구한 사례도 있었다. 민간인증서는 주민등록번호를 암호화한 연계정보(CI)를 기반으로 이용자를 식별할 수 있어 등록·연계 과정에서 주민등록번호를 직접 처리할 필요성이 낮다는 게 개인정보위 판단이다.

금융사는 금융실명법 등 관계 법령에 따라 계좌 개설과 금융상품 가입 등 금융거래 과정에서 고객의 주민등록번호를 처리할 수 있다. 하지만 법령에 따라 수집한 주민등록번호라도 다른 목적의 업무에서 별도 근거 없이 이용할 수 있는 것은 아니다.

개인정보 보호법은 법률이나 대통령령 등에서 구체적으로 허용한 경우와 정보주체의 생명·신체·재산상 이익을 위해 명백히 필요한 경우 등을 제외하면 주민등록번호 처리를 금지한다. 이용자가 동의하더라도 법령상 근거가 없다면 주민등록번호를 수집·이용할 수 없다.

한편 이번 점검은 지난해 롯데카드 해킹으로 약 45만명의 주민등록번호가 유출된 사건의 후속 조치다. 개인정보위는 롯데카드가 온라인 결제 로그에 주민등록번호를 법적 근거 없이 저장하고 암호화 조치도 제대로 하지 않았다고 판단해 지난 3월 과징금 등 법적 제재를 부과한 바 있다.

개인정보위는 이번 점검에서 문제가 확인된 금융사들이 주민등록번호 처리 필요성을 자체적으로 재검토하고 불필요한 수집·이용 절차를 없애도록 했다. 사업자가 점검 과정에서 개선 조치를 마친 경우에는 별도의 처분 없이 점검을 종결했다.

다만 개인정보위는 법령상 근거 없이 주민등록번호를 처리한 금융회사의 수와 명칭, 분야별 적발 현황은 공개하지 않았다.

개인정보위 관계자는 "국민 생활과 밀접한 분야를 중심으로 개인정보 침해 위험 요인을 선제적으로 발굴하고 개선하겠다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com