회원가입을 하라는데…믿을 수 있을까요?

인터넷을 활용해 각종 정보를 수집하거나 온라인 쇼핑몰을 이용하는 일반인들에게 웹 사이트 회원가입은 더 이상 새로운 것이 아니다. 최근에는 자신만의 즐겨찾기 목록을 이용함으로써 자신의 신상정보를 제공하는 횟수는 다소 적어졌지만, 그럼에도 불구하고 인터넷을 이용하는 사람들이라면, 회원가입이라는 제도를 벗어나기 어렵다. 문제는 사회적으로 많은 이슈를 몰고 다니는 것처럼 거래대상으로 삼는다거나, 외부 해킹이나 웜 바이러스의 감염으로, 혹은 내부자에 의해 개인정보가 새고 있다는 데 있다. 웹 사이트의 이용 기준이 더 이상 정보의 종류나, 상품의 가격 등이 아닌 자신이 입력한 개인정보를 보유할 기업의 신뢰성과 안전성을 고려해야 하는 시대가 온 것이다. 문제는 하루에도 수많은 사이트가 믿을 수 있는지 판단할 수 있는 기준을 찾는 것이다. 과연 어떤 판단 기준이 있을까. 이 글은 읽는 독자 여러분들도 페이지를 넘기기 전에 스스로 어떤 기준을 가지고 웹 사이트의 회원가입을 하고 있는지 생각해 보시길… 정보보호뉴스 취재팀 회원가입도 가려서 해야 하는 시대, 당신의 기준은 무엇입니까? 급증하는 스팸메일, 자신의 휴대전화로 걸려오는 광고전화, 하루에 몇 건인지도 모르는 스팸문자까지. 이런 상황을 맞이한 사람들이라면 한번쯤 자신이 회원가입한 웹 사이트들 중에서 개인정보가 유출됐는지 의심해 볼 필요가 있다. 일부 웹 사이트 운영 업체가 회원정보를 일정한 금액을 받고 제3자에게 제공하거나, 해킹 혹은 내부자에 의해 기업의 회원 DB가 유출되는 현실 때문이다. 최근에는 사용자 회원가입 시 해당 웹 사이트가 신뢰할 수 있는 업체인지 우선적으로 판단해야 하는 상황이 된 것이다. 그렇다면 어떤 기준으로 판단해야 하는 것일까. 눈에 띄는 마크가 있다. 온라인 환경뿐만 아니라 오프라인 상에서도 기업의 신뢰도를 파악하는 것은 중요하다. 물론 그 신뢰도는 소비자가 특정 업체의 제품을 계속 구매해 왔다든지, 혹은 외부 기관의 품질인증 마크를 받았다는지 등을 통해 신뢰도를 쌓아갈 수 있을 것이다. [그림 1] 웹 사이트 정보보호 인증마크 온라인 상에서 회원 가입을 두려워하는 일반인이라면 공신력 있는 외부 평가 기관에 의해 부여되는 웹 사이트 인증제도를 참고하는 것도 좋은 방법이다. 지난 1999년 7월부터 한국정보통신산업협회가 정보보호마크 인증위원회의 심의를 거쳐 부여하는 정보보호마크 인증제도가 대표적인 웹 사이트 인증제도다. 이 인증제도는 개인정보보호 수준 및 내부관리 체계를 중점적으로 평가해 부여하는 ‘개인정보보호(e-PRIVACY)’ 마크와 웹 사이트의 시스템보안, 개인정보보호, 소비자보호 수준 및 내부관리체계를 종합적으로 평가해 일정 기준을 충족하는 경우 부여하는 ‘인터넷사이트안전(i-Safe)’ 마크로 나눠진다. 심사기준은 정보통신망법 및 개인정보보호지침, 전자상거래보호법 등에 기초해 개인정보 수집?이용 및 관리, 이용자 권리보호 등에 관한 72개 평가 항목을 심사해 마크를 수여하고 있으며, 현재까지 웹 사이트에 대해서는 가장 믿을 수 있는 정보보호 인증마크라고 할 수 있다. 구분 인증신청 인증탈락 최종인증 개인정보보호마크(ePRIVACY) 211개 73개 138개 인터넷사이트안전마크(i-Safe) 82개 40개 42개 계 293개 113개 180개 [표] 정보보호마크 인증 현황(2006년 6월 기준) 정보보호 관련 인증 마크 정보보호와 관련해 사이트의 신뢰도를 가늠할 수 있는 인증제도로 정보 통신산업협회의 ‘ePRiVACY’와 ‘i-Safe’만 있는 것은 아니다. 전자상거래 업체들을 대상으로 안전거래 여부를 검증하기 위해 한국전자거래진흥원이 수여하는 ‘e-Trust’ 마크도 사용자의 판단 기준이 될 수 있다. 여기에 웹 사이트뿐만 아니라 기업 전체의 정보보호 수준과 체계를 평가하는 한국정보보호진흥원의 ISMS 그리고 국제 보안표준규격 ISO 27001 인증도 사용자가 웹 사이트의 신뢰성과 안전성을 측정하는 기준이 될 수 있다. 이 인증제도를 신뢰할 수 있는 또 하나의 배경에는 심사과정뿐만 아니라 인증 수여 기관이 마크 취득 사이트에 대해 상시 모니터링을 지속적으로 실시하고, 개인정보관리책임자 및 실무자를 대상으로 전문교육을 실시해 개인정보 관리에 대한 객관적인 평가와 지침을 제공하고 있기 때문이다. 현재까지 국내 180개 웹 사이트가 획득한 이 인증마크는 대부분 웹 사이트 초기 화면 하단에 등록해 놓고 있어, 사용자는 회원가입 이전에 스크롤을 내려 간단하게 확인할 수 있다. 개인정보보호 정책과 책임자가 있나요? 사용자의 입장에서는 모든 웹 사이트를 인증마크의 획득 여부로 판단할 수 있다면 좋겠지만, 개인정보를 수집하는 수많은 웹 사이트 및 기업 중 인증마크를 획득한 업체는 불과 200개 미만. 때문에 인터넷 사용자의 입장에서 인증마크 이외의 판단기준도 필요하다. 이런 의미에서 법적으로 명시된 개인정보보호 정책과 책임자의 고지여부도 사용자에게는 유용한 웹 사이트의 판단기준이 될 수 있다. 대개 인증마크 등과 함께 사이트 하단에 고지되는 개인정보보호 책임자와 정책은 해당 웹 사이트가 개인정보를 어떤 목적에서 어떤 정보를 수집하고, 어떤 경우에 제3자에게 제공할 수 있는지, 또 수집된 개인정보는 언제 폐기되는지 등의 내용이 담겨 있다. 개인정보의 제3자 제공시 사용자의 동의를 구하고 있나요? 물론 사용자가 회원 가입 이전에 개인정보보호 정책을 세밀하게 확인하는 것이 필요하겠지만, 사실 회원 가입 시 이를 외면하는 사용자가 대부분이며, 매번 해당 웹 사이트의 개인정보보호 정책을 확인하는 것도 어려운 일일 수 있다. 그렇지만 스팸메일 및 문자 수신 등 개인정보의 유출로 고통을 겪는 경우라면 최소한 그림 2처럼 해당 웹 사이트가 명시해 놓은 개인정보의 제 3자 제공 여부와 관련 정책을 점검해 볼 필요가 있다. 일반적으로 사용자의 동의 없이 개인정보의 제3자 제공은 원칙적으로 금지하고 있지만 예외 조항을 구분해 놓고 있는데 관련 법령에 의거하거나, 수사 기관의 요청 그리고 학술조사 등을 이유로 개인을 식별할 수 없는 형태로 제공하는 경우 등에 대해서는 별도의 고지 없이도 해당 기관에 제공할 수 있도록 명시해 놓고 있다. 반면, 예외조항 이외에도 웹 사이트 업체와 제휴 관계에 있는 제휴사에게는 개인정보를 공유할 수 있는데, 물론 이때는 반드시 회원들을 대상으로 이메일 고지 등을 통해 동의절차를 구해야 하며, 사용자가 원하지 않을 경우에는 정보를 제공해서는 안 된다. 만약 이런 절차를 거치지 않고 회원 정보를 타 업체에 제공할 경우에는 정보통신망법에 의해 5년 이하의 징역이나 5,000만원 이하의 벌금이 처해진다. 하지만 일부 업체들은 정보제공 동의 여부를 변경하지 못하도록 만드는 편법을 동원하는가 하면, 한발 더 나아가 개인정보를 회원들 몰래 유출시키기도 하는데 이에 대비해 정통부, KISA, 정보통신위원회 그리고 시민단체가 지속적인 모니터링을 통해 위법 업체를 적발해 시정 조치 명령이나 범칙금을 부과하고 있다. 물론 개인정보보호 정책이나 책임자의 고지만으로 해당 웹 사이트가 회원정보 관리를 ‘완벽’하게 한다고 평가할 수는 없다. 그러나 KISA 개인정보보호팀의 한 관계자는 “정책고지와 책임자 공개만이 최선이라고 할 수는 없지만 해당 웹 사이트가 개인정보보호에 대한 중요성을 인식하고 정보보호를 위한 노력을 펼쳐나가고 있다는 의미로 받아들일 수 있다”며 업체별 정책고지의 의미를 설명했다. 선택 항목과 필수 항목 구분이 없다? 개인정보보호 정책의 내용을 확인하게 되면, 남은 절차 중 하나가 약관 동의 내용을 거쳐 회원 가입에 필요한 내용을 입력하는 것이다. 이때 작성하는 회원가입 항목도 웹 사이트의 신뢰도를 평가하는 기준으로 적용할 수 있는데, 대부분의 웹 사이트는 성명, 주민등록번호, 주소, 전화번호, 전자우편주소 등을 회원가입을 위한 필수항목으로 정해놓고 있으며, 소수이기는 하지만 웹 사이트에서는 주민번호를 아예 받지 않거나 이메일 주소만을 필수항목으로 설정해 놓은 경우도 나타나고 있다. 그러나 일부 웹 사이트는 직업이나 종교 등 회원 가입에 불필요한 구체적인 정보를 필수 항목에 포함시킨 경우도 있어 사용자의 주의가 필요하다. 특히 회원 가입 시 웹 사이트의 성격과 맞지 않는 불필요한 정보를 요구하는 경우에는 온라인 사업자가 회원 개인정보를 다른 용도로 사용하거나 이벤트 홍보 업체 등에 사용자 동의 없이 제공할 가능성이 높은 경우라고 판단할 수 있다. 쇼핑몰인데 카드결제가 안 되네! 몇 년 전 하프 플라자와 같은 인터넷 사기 사이트가 유행처럼 번진 적이 있었다. 당시 사기 사이트들은 고가의 상품을 절반 가격으로 판매한다는 광고를 통해 사용자를 모집한 후 현금만으로 결제하도록 유도한 뒤 결제 상품을 보내지 않고 운영자가 잠적한 사건이었다. 그 이후 온라인 쇼핌몰의 결제 문제가 대두되면서 인터넷 카드 결제와 공인인증서의 사용 등 보완책이 등장하고 있지만, 일부 웹 사이트에서는 현금 결제만을 받는 경우도 있다. 그런데 에스크로우 제도나 카드 대금 지불 유예 제도와 같은 소비자 보호 정책이 카드사를 통해 활성화되기 시작하면서 카드 결제가 안전성을 갖추고 있는 반면, 현금 결제는 현금 입금 후에는 소비자가 보상을 받을 수 있는 방법이 사실상 없어, 소비자 스스로가 쇼핑몰 사이트 선택 시 유의할 필요가 있다. 인터넷 사기가 가능한 곳이라면 회원의 가입정보 역시 아무렇지 않게 매매의 대상이 되지 않을까. 회원 탈퇴 기능이 없어요 앞선 기준들을 통해 가입한 웹 사이트이지만, 웹 사이트가 회원 가입 탈퇴 기능을 찾기 어렵게 만들었거나, 아예 회원 탈퇴 기능이 없다면 자신의 개인 정보를 계속 둘 것이냐를 다시 신중하게 검토해 봐야 한다. 대부분의 사이트는 개인정보를 수정할 수 있는 ‘My page’와 같은 메뉴에 회원 탈퇴 메뉴를 만들어 놓고 있지만, 일부에서는 일단 가입한 회원이 탈퇴할 수 없도록 메뉴를 별도로 만들어 놓지 않거나, 회원 탈퇴 시 주민등록등본 사본을 요구하는 등 탈퇴를 어렵게 만들어 놓는 경우도 있다. 또한 탈퇴한 회원 정보를 즉시 삭제하지 않은 채, 지속적으로 DB를 보관해 놓거나 개인정보를 저장해 보유하는 경우도 있다. 이런 사이트에 회원가입을 해선 절대 안되죠! 인터넷 사기가 빈번하게 발생하면서 인터넷 쇼핑몰에 대한 소비자들의 자발적인 모니터링 서비스가 활발하게 이뤄지고 있다. 전자상거래센터(http://ecc.seoul.go.kr) 역시 대표적인 인터넷 안전 감시 사이트. 한국 소비자연맹이 주체가 되고 서울시가 운영하는 전자상거래센터는 특정 사이트에 대해 소비자의 제보가 등록되면 서울시가 사업자 정보 확인, 도메인 정보 확인, 그리고 사업장 주소 방문 등의 절차를 거친 후 사기 사이트로 판명될 경우, 해당 거래은행에 입출금 거래정지와 같은 법적 조치를 요청하고 있다. 특히 사기 가능성이 높은 웹 사이트에 대한 문의가 공개돼 사용자들이 사이트에 대한 신뢰도를 간접적으로 평가할 수 있어 개인정보 유출이나 온라인 사기 사이트로 인해 피해가 확산되는 것을 최소화시킬 수 있다. 물론 이곳 블랙리스트에 올라 온 사이트에 회원가입을 하는 것은 금물이다. 이들 사이트의 경우에는 회원정보를 수집해 제3자에게 제공하려는 목적이 강하다고 볼 수 있다. 회원탈퇴가 어렵거나 탈퇴메뉴가 없는 경우에는 개인정보침해신고센터(국번 없이 1336번)에 신고를 할 수 있으며, 이 역시 조사 후 해당 업체에게는 시정명령이나 범칙금이 부과된다. 주민번호를 요구하지 않는다? 본격적으로 시행되지 않았지만 정통부와 KISA가 추진하고 있는 주민번호대체수단을 이용하는 회원정보 수집도 웹 사이트의 신뢰도를 판단할 근거가 될 수 있다. 지금까지 정통부,김포시청 등 국내 16개 웹 사이트에서 시범적으로 적용하고 있는 주민번호대체수단을 이용한 회원가입제도는 이용자가 자신의 신원 정보를 신뢰할 수 있는 기관(본인 확인 기관)에게 제공, 본인임을 확인한 뒤 가상의 주민번호 등을 발급 받아 인터넷 사이트 회원 가입이나 성인 인증 등을 위해 주민번호 대신 사용하는 것이다. 주민번호대체수단을 이용한 회원 가입이 본격적으로 이뤄지게 되면 가입자는 주민번호를 입력하지 않아도 되기 때문에, 개인정보 중 가장 민감한 주민번호를 원칙적으로 보호할 수 있게 된다. 개인정보가 도용된 것 같아요. 어떻게 해야 하나요? 회원 가입 과정 등에서 개인정보의 유출이나 도용 등 침해 피해가 발생해 이에 대한 문의 및 분쟁조정을 신청하고자 한다면 개인정보침해신고센터를 찾으면 된다. 개인정보침해신고센터는 정보통신망법 상의 개인정보보호규정이 이행되는지 여부를 감시하는 임무를 수행하고 있으며, KISA 내에 설치돼 있다. 일반적으로 민원신청이 접수되면 신고센터 내 상담원들이 해당 민원을 1차적으로 검토하게 되며, 자세한 사실 조사가 필요하거나 법률 검토가 필요한 경우에는 신청인과 피신청인의 의견청취, 증거수집, 전문가 자문 등 필요한 사실조사를 별도로 실시하게 된다. 민원 신청은 개인정보침해신고센터(국번 없이 1336번, cyberprivacy@kisa.or.kr)로 연락하거나, KISA 홈페이지(www.kisa.or.kr) → 개인정보침해신고센터로 접속한 후 민원신청 양식을 작성하면 된다.

[출처] 정보보호뉴스 2006년 9월호(정보보호진흥원 발행)