.jpg)
간편 세금·환급서비스 제공 어플 ‘삼쩜삼’ 운영 사업자 대상 과징금·과태료 처분 결정
[보안뉴스 이소미 기자] 개인정보보호위원회(위원장 고학수, 이하 개인정보위)는 28일에 진행된 전체회의에서 개인정보보호 법규를 위반한 ‘삼쩜삼’ 앱 운영 사업자(자비스앤빌런즈)를 대상으로 ‘주민등록번호 단순 전달 후 파기 및 보유 금지’ 시정 명령과 함께 총 8억 5,410만 원의 과징금과 1,200만 원의 과태료 부과를 결정했다.
‘삼쩜삼’은 간편 세금·환급서비스를 제공하는 앱(어플리케이션)으로 국세청 홈텍스에서 이용자의 소득정보 등을 수집해 이용자의 종합소득세 신고 및 환급 등의 서비스를 지원해왔다.
개인정보위는 한국소비자연맹 등의 공익·민원 신고에 따라 지난해 5월부터 자비스앤빌런즈(이하, ‘삼쩜삼’)에 대한 조사에 착수해 △주민등록번호 처리 근거 및 과정 △개인정보 수집·이용 △제3자 제공 관련 적법 동의 여부 등을 중점적으로 조사했다.
그 결과, 그동안 삼쩜삼은 이용자로부터 수집한 주민등록번호를 통해 홈택스 로그인 및 소득 관련 정보의 수집, 세무대리인 수임 동의, 환급신고 대행을 한 사실이 있으며, 조사 과정 중에 절차를 개선해 현재는 환급신고 대행시에만 주민등록번호를 수집·이용한 후 회원 탈퇴시까지 저장·보유하고 있는 상황이다. 이는 법령 근거 없이 무단으로 주민등록번호를 수집·보관한 행위로 개인정보 보호법(이하, 보호법) 제24조의2를 위반한 것이다.
다만, 주민등록번호가 포함된 신고·신청(종합소득세 신고 등)을 대행하는 사업자가 법령에 따라 주민등록번호 처리 권한을 기 보유한 행정기관(국세청)에 주민등록번호를 단순 전달한 후 즉시 파기하는 경우는 보호법상 제한된 행위로 보지 않아, ‘주민등록번호 단순 전달 후 파기, 파일 등으로 저장·보유 금지’ 내용의 시정조치를 명령하고, 향후 이행 여부를 확인할 예정이다.
아울러 삼쩜삼이 △소득정보 등 개인정보 수집 과정 중 처리방침을 통해 포괄 동의를 받으면서 수집 항목 누락과 수집 목적·보유기간 등을 불명확하게 고지한 사실 △근로소득 지급명세서에 포함된 이용자(부양가족 포함) 장애 여부 등의 정보를 수집하며 민감정보에 해당하는 건강정보에 대한 별도 동의를 받지 않은 사실 △추가 검토가 필요한 경우 세무대리인이 대신 신고토록 하면서 이용자에게 세무대리인(제3자)에 제공하는 사항을 명시적으로 알리지 않은 사실 등을 확인해 보호법에 근거해 과징금 및 과태료를 부과했다.
남석 조사조정국장은 “데이터 경제 시대에 개인정보위는 법 위반행위에 대해서는 엄격한 제재를 하겠지만, 새싹기업 등이 신규 서비스를 설계할 때 개인정보보호 관점에서 서비스를 기획·개선하도록 유도함으로써 국민들이 다양한 서비스를 안전하게 이용할 수 있는 환경 조성을 위해 노력해 나갈 계획”이라고 밝혔다.
[이소미 기자(boan4@boannews.com)]
[보안뉴스 이소미 기자] 개인정보보호위원회(위원장 고학수, 이하 개인정보위)는 28일에 진행된 전체회의에서 개인정보보호 법규를 위반한 ‘삼쩜삼’ 앱 운영 사업자(자비스앤빌런즈)를 대상으로 ‘주민등록번호 단순 전달 후 파기 및 보유 금지’ 시정 명령과 함께 총 8억 5,410만 원의 과징금과 1,200만 원의 과태료 부과를 결정했다.
‘삼쩜삼’은 간편 세금·환급서비스를 제공하는 앱(어플리케이션)으로 국세청 홈텍스에서 이용자의 소득정보 등을 수집해 이용자의 종합소득세 신고 및 환급 등의 서비스를 지원해왔다.
개인정보위는 한국소비자연맹 등의 공익·민원 신고에 따라 지난해 5월부터 자비스앤빌런즈(이하, ‘삼쩜삼’)에 대한 조사에 착수해 △주민등록번호 처리 근거 및 과정 △개인정보 수집·이용 △제3자 제공 관련 적법 동의 여부 등을 중점적으로 조사했다.
[이미지=보안뉴스]
그 결과, 그동안 삼쩜삼은 이용자로부터 수집한 주민등록번호를 통해 홈택스 로그인 및 소득 관련 정보의 수집, 세무대리인 수임 동의, 환급신고 대행을 한 사실이 있으며, 조사 과정 중에 절차를 개선해 현재는 환급신고 대행시에만 주민등록번호를 수집·이용한 후 회원 탈퇴시까지 저장·보유하고 있는 상황이다. 이는 법령 근거 없이 무단으로 주민등록번호를 수집·보관한 행위로 개인정보 보호법(이하, 보호법) 제24조의2를 위반한 것이다.
▲개인정보보호법 제24조의2 내용[자료=보안뉴스]
다만, 주민등록번호가 포함된 신고·신청(종합소득세 신고 등)을 대행하는 사업자가 법령에 따라 주민등록번호 처리 권한을 기 보유한 행정기관(국세청)에 주민등록번호를 단순 전달한 후 즉시 파기하는 경우는 보호법상 제한된 행위로 보지 않아, ‘주민등록번호 단순 전달 후 파기, 파일 등으로 저장·보유 금지’ 내용의 시정조치를 명령하고, 향후 이행 여부를 확인할 예정이다.
아울러 삼쩜삼이 △소득정보 등 개인정보 수집 과정 중 처리방침을 통해 포괄 동의를 받으면서 수집 항목 누락과 수집 목적·보유기간 등을 불명확하게 고지한 사실 △근로소득 지급명세서에 포함된 이용자(부양가족 포함) 장애 여부 등의 정보를 수집하며 민감정보에 해당하는 건강정보에 대한 별도 동의를 받지 않은 사실 △추가 검토가 필요한 경우 세무대리인이 대신 신고토록 하면서 이용자에게 세무대리인(제3자)에 제공하는 사항을 명시적으로 알리지 않은 사실 등을 확인해 보호법에 근거해 과징금 및 과태료를 부과했다.
▲삼쩜삼(자비스앤빌런즈) 개인정보보호 법규 위반사항에 따른 행정처분 내용[표=개인정보위]
남석 조사조정국장은 “데이터 경제 시대에 개인정보위는 법 위반행위에 대해서는 엄격한 제재를 하겠지만, 새싹기업 등이 신규 서비스를 설계할 때 개인정보보호 관점에서 서비스를 기획·개선하도록 유도함으로써 국민들이 다양한 서비스를 안전하게 이용할 수 있는 환경 조성을 위해 노력해 나갈 계획”이라고 밝혔다.
[이소미 기자(boan4@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이소미기자 기사보기
[2024-05-01] 
