30년전·사망자 정보도 유출…작년에 ‘5년후 파기’ 규정 뒤늦게 마련

개인정보 보호에 대한 금융당국의 신속한 지침 부재와 카드사의 안이한 대처가 이번 고객정보 유출 사태를 키운 것으로 드러났다.

20일 카드업계에 따르면 금융위원회, 금융감독원, 안전행정부 등은 지난해 7월 ‘금융분야 개인정보보호 가이드라인’을 만들어 각 카드사에 통보했다.

이때 만들어진 지침에는 고객과의 계약 최종 만료(탈회, 가맹점 해지, 카드론 변제일 등) 날짜로부터 5년 이상 지난 정보는 파기하게 되어 있다.

개인정보보호법, 신용정보의 이용 및 보호에 관한 법률, 전자금융거래법 등 어디에도 개인정보 취급에 명확한 기준이 없었기 때문이다.

일례로, 2011년 9월 말에 시행된 개인정보보호법에는 목적을 달성한 개인정보를 바로 5일 이내에 파기하도록 돼 있으나 ‘목적 달성’의 기준이나 정보 보유기간의 범위 등에 대한 명시적인 기준은 없다.

KB국민카드의 한 관계자는 “지난해 12월부터 5년이 지난 정보에 대해서는 폐기하고 있으며 이전분에 대해서도 절차에 따라 파기 절차를 밟는 중”이라고 말했다.

계약이 만료되고 나서 5년이 지난 고객의 이름이나 주민등록번호는 ‘비정상 상태’로 변경해 보관하고, 주소나 전화번호 같은 정보는 영구히 삭제하는 방식이다.

그러나 이번 KB국민카드 고객 정보가 유출된 시점은 지난해 6월로, 이런 지침이 마련되기 이전의 일이다. 국민카드가 출범한 1982년에 가입했다가 탈회한 회원 정보까지 유출됐다는 지적이 나오는 것도 이런 점들과 무관치 않아 보인다.

또 국민카드와 농협카드에서 사망한 회원들의 정보가 유출된 것도 이들 카드사의 유출 시점이 폐기 기준이 마련되기 전인 지난해 6월과 2012년 10~12월이기 때문인 것으로 보인다.

결국 금융당국이 금융사의 개인정보에 대해 신속하게 지침을 마련하고 카드사가 안이하게 대응하지 않았다면 이런 전무후무한 정보 유출 사태는 막을 수 있었다는 얘기다.

롯데카드도 현재 롯데손해보험[00400] 등의 그룹 계열사에 고객 정보를 공유하는 것으로 나타났다.

롯데카드의 김종극 기획부문장은 “롯데손보에 제공하는 정보는 전용선을 통해 직접 관리하기 때문에 정보가 유출될 가능성이 없다”며 “고객 정보 유출 가능성에 대해 재차 점검은 하고 있다”고 해명했다.

개인정보 보호에 대한 금융당국의 지침이 카드사에 제대로 전달되지 않는 등 고객정보에 대해 안이했다는 정황은 여기저기서 발견되고 있다.

NH농협카드의 한 임원급 관계자는 이날 기자회견에서 “개인정보 보유기간에 대한 개인정보보호법, 상법 등 간에 다툼이 있다”면서 “이 부분을 정리해 여기에 맞는 조치를 취하겠다”고 답했다.

금융당국이 마련한 개인정보보호 가이드라인이 있는지조차 몰랐다는 얘기다.

한편, 이날 정오까지 정보유출에 대해 각 카드사 홈페이지에서 조회한 건수는 KB국민카드가 198만건, 롯데카드 138만건, NH농협카드가 50만건으로 나타났다.

카드 재발급 신청은 NH농협카드 8만8천200건, KB국민 3만4천건, 롯데 3만2천500건 순이다.

연합뉴스