금융사 챗봇 상당수 개인정보 암호화하지 않아

금감원 "금융사 26곳 점검 결과 10곳만 암호화"

금융감독원이 금융사의 챗봇 관리 현황을 서면 점검한 결과 챗봇을 도입한 26개 금융사 중 개인정보를 암호화해 관리하는 곳은 10여 곳에 그쳤다.

금감원 신용정보평가실은 352개 금융사에 서면으로 ▲챗봇 운영현황 ▲개인정보의 관리 여부 ▲정보주체의 권리보장 여부 등을 질의했으며, 돌아오는 답변을 분석한 결과 챗봇과 대화하는 도중 개인정보가 수집될 우려가 있음에도 개인정보 암호화를 하지 않았다고 31일 밝혔다.

(사진=픽사베이)

암호화는 일상적인 문자로 쓰이는 평문을 암호키를 소유하지 않은 사람이 알아볼 수 없도록 기호나 다른 문자 등을 사용해 암호문으로 변환하는 보안 기술이다.

현재 챗봇 서비스를 시행 중인 금융사는 26곳이다. 은행권 6개사·보험권 10개사·저축은행업권 3개사·금융투자 및 여신전문업권 7개사 등이다. 26개사 중 18개사는 인공지능 기술 기반의 챗봇을, 8개사는 고객이 입력한 키워드에 따라 답변만 제공하는 시나리오 기반의 챗봇을 운영하고 있다.

이밖에 챗봇을 통해 수집한 개인정보의 관리 통제도 미흡했다. 일부 금융사들은 개인정보 접근 권한을 차등적으로 접근하는 권한을 아예 부여치 않은 것으로 나타났다. 또 챗봇으로 얻은 개인정보에 대한 구체적인 파기 기준 수립도 미흡했다고 금감원 측은 설명했다.

금감원의 손한석 신용정보평가실 팀장은 "로그인 후에 챗봇을 이용하더라도 챗봇에서 수집되는 개인정보를 수집하고 활용하는 것을 동의한다고 할 순 없다"고 말했다.

금감원은 이번 점검결과를 바탕으로 챗봇 상담 시 수집하는 개인정보에 대하여 암호화 조치토록 지도한다는 계획이다.

하지만 개인정보 암호화 미이행은 법규 위반 사항이 아니라 금감원의 지도가 실효성을 거둘 수 있을지는 미지수다. 행정안전부의 개인정보의 암호화 조치 안내서에 따르면 단순 상담시 수집되는 주민등록번호 등의 경우 암호화 대상에서 제외된다.

금감원의 권민수 신용정보평가실장은 "신용정보법 상 상거래가 완료되면 개인정보는 완료된 시점부터 5년 내 파기돼야 한다는 조항이 있다"면서도 "아직 챗봇은 초기 단계이기 때문에 이런 법상 위배될 수 있는 사항을 정보 차원에서 제공하기 위해 실태를 점검한 것"이라고 말했다.

한편, 금감원은 2019년 금융분야 개인정보보호 가이드라인 개정 시 금융사가 챗봇을 도입할 경우 개인정보보호 조치나 접근 통제 강화 등의 내용이 반영될 수 있도록 관계부처와 협의한다는 방침이다.