본문바로가기

법무법인 민후는 본인인증 서비스를 이용하는 기업 고객사로부터, 한국인터넷진흥원(KISA)의 연계정보 이용기관 실태점검 및 자료제출 요구와 관련하여 자사가 정보통신망법상 ‘연계정보 이용기관’ 및 실태점검 대상에 해당하는지에 관한 법률자문을 요청받았습니다. 해당 실태점검은 본인확인기관으로부터 일정 규모 이상의 연계정보를 제공받은 기관을 대상으로 안전조치의 운영·관리 실태를 점검하기 위한 것이었습니다.

고객사는 복수의 본인확인기관을 통한 본인인증 서비스를 이용하고 있었으나, 자체적으로 연계정보값(CI)을 수집·보관·관리하지 않고 있었습니다. 이에 일반적인 본인인증 결과정보만 제공받는 경우에도 연계정보 이용기관으로 분류되어 실태점검 및 자료제출 의무를 부담하는지가 주요 검토사항이었습니다.

법무법인 민후는 먼저 정보통신망법상 연계정보(CI)의 개념과 연계정보 이용기관의 판단기준을 검토하였습니다. 연계정보는 서비스 연계를 위하여 이용자의 주민등록번호를 비가역적으로 암호화한 정보이며, 연계정보 이용기관 해당 여부는 본인확인기관으로부터 이러한 연계정보를 실제로 제공받는지가 중요한 판단기준이 된다는 점을 살펴보았습니다.

또한 연계정보 이용기관에 적용되는 안전조치 의무와 실태점검 대상 요건을 검토하였습니다. 연계정보 이용기관은 연계정보를 주민등록번호와 분리하여 보관·관리하고 분실·도난·유출 등을 방지하기 위한 안전조치를 이행해야 하며, 일정한 요건을 충족하는 기관은 관계기관의 운영·관리 실태점검 대상이 될 수 있다는 점을 확인하였습니다.

법무법인 민후는 고객사가 본인확인기관으로부터 실제로 수신하는 정보의 종류도 구체적으로 확인하였습니다. 이름, 휴대전화번호, 성별, 생년월일 및 내·외국인 여부 등 통상적인 본인인증 결과정보와 연계정보(CI)를 구분하고, 실제 연계정보가 수신·저장되는 서비스 구조인지 여부를 중심으로 연계정보 이용기관 해당 가능성과 실태점검 대상 여부를 검토하였습니다.

아울러 현재 확인된 서비스 구조만으로 판단하지 않고, 향후 규제기관 대응 과정에서 사실관계에 대한 이견이 발생하지 않도록 본인확인기관과 체결한 계약서, 연동규격서 및 API 응답 명세 등을 통해 CI가 실제 전송·저장되는지를 재확인하는 방안을 제시하였습니다. 시스템 로그 등 어떠한 형태로든 CI가 수신·저장되고 있는 경우에는 법적 판단이 달라질 수 있으므로 실제 기술적 처리구조까지 확인할 필요가 있음을 검토하였습니다.

또한 실태점검 대상에 해당하지 않는다고 판단되는 경우에도 관계기관의 오해나 반복적인 자료제출 요구를 방지하기 위해, 연계정보를 제공받거나 수집·보관·관리하지 않는다는 사실을 소명하고 이를 뒷받침할 자료를 함께 제출하는 대응방안을 검토하였습니다.

법무법인 민후는 이번 자문을 통해 고객사가 본인인증 서비스를 이용하는 과정에서 처리되는 정보와 연계정보(CI)를 구분하여 정보통신망법상 연계정보 이용기관 및 실태점검 대상 해당 여부를 점검하고, 실제 시스템의 CI 수신·저장 여부 확인과 관계기관에 대한 소명자료 준비 등 규제기관의 실태점검에 체계적으로 대응할 수 있도록 법률자문을 제공하였습니다.

업무 수행 변호사
최근 유사 업무사례
더보기 +
목록