개인정보위, 개인정보 ‘최소 수집의 원칙’ 위반 코빗에 과태료 부과

이메일 인증으로 회원가입, 휴면계정 전환시 신분증 들고 있는 사진 요구

[보안뉴스 원병철 기자] 개인정보보호위원회(위원장 윤종인, 이하 개인정보위)는 7월 14일(수) 오전 10시 정부서울청사에서 제12회 전체회의를 열고 개인정보 ‘최소 수집의 원칙’을 위반한 가상자산 사업자인 코빗에 480만원의 과태료 부과와 함께 시정명령 처분을 의결했다.

▲과태료를 부과받은 코빗 홈페이지[자료=보안뉴스 캡처]

개인정보위는 이용자의 침해신고(2020년 5월)를 계기로 조사에 착수했으며, 조사 결과 코빗은 당초 이메일 인증만으로 회원가입이 가능하도록 했으나, 휴면계정으로 전환된 이용자가 해제를 요청할 경우 ‘신분증 사진과 신분증을 들고 있는 사진’을 요구하며, 이를 제공하지 않는다는 이유로 휴면계정 해제 서비스 제공을 거부한 사실이 확인됐다.

이에 대해 코빗 측은 휴면계정 해제 즉시, 매매 거래가 가능하기 때문에 사기전화(보이스피싱) 등의 금융범죄 예방을 위해 신분증 사진정보를 수집하는 강화된 절차가 필요했다고 주장했다.

코빗 측 주장을 확인한 결과, 이용자가 휴면계정을 해제하더라도 거래와 입출금을 위해서는 ‘휴대전화번호 인증’을 추가로 요구하고 있어 휴면계정 해제 시 신분증 사진정보가 반드시 필요한 정보는 아닌 것으로 확인됐다.

개인정보위는 코빗이 휴면계정 해제 이후에도 ‘회원 들어가기(로그인)와 조회 서비스’만 가능함에도 신분증 사진정보를 요구하고 이를 미제공 시, 휴면계정 해제를 거부한 행위에 대해 개인정보 보호법상 ‘개인정보 최소 수집의 원칙’을 위반한 것으로 판단했다.

‘개인정보 보호법’에 따르면 개인정보를 처리할 경우, 그 처리 목적과 비례하여 적절한 범위에서 개인정보를 최소한으로 수집해야 한다. 추가 확인한 업비트, 빗썸, 코인원 등 국내 3대 가상자산 사업자는 ‘휴면계정 해제’ 시 신분증 사진정보를 요구하지 않는 것으로 확인됐다.

송상훈 개인정보위 조사조정국장은 “앞으로도 개인정보위는 개인정보 최소수집 원칙이 잘 지켜질 수 있도록 엄정한 법 집행과 함께 사업자들의 인식 제고를 위해서도 노력해 나가겠다”라고 밝혔다.
[원병철 기자(boanone@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)