카드 3사, 카드런 확산될까 전전긍긍

KB국민카드, 롯데카드, NH농협카드 등 카드 3사로부터 시작된 고객정보 유출 사태의 파장이 끝없이 번져가고 있다. 특히 금융당국이 이들 카드 3사에 대해서 법령상 부과 가능한 최고한도인 영업정지 3개월의 제재를 2월중 추진할 계획이라고 엄포를 놓으면서 고객들의 불안감은 더욱 확산되는 분위기다.

이로 인해 22일 정오까지 이들 카드사에 들어온 카드 재발급·해지건수는 200만건이 훌쩍 넘어섰다. 아울러 정보 유출 피해가 속속 확인되면서 집단소송도 제기되고 있다. 앞으로 계속 늘어날 것으로 보인다. 이처럼 사태가 걷잡을 수 없이 커지자, 정부는 22일 이번 고객 정보유출 사태와 관련해 ‘금융권 개인정보보호 종합대책’을 발표했다.

이번 종합대책은 정보수집과 활용·폐기, 금융사의 내부통제, 최고경영자(CEO) 처벌 등 전방위적인 대책을 담고 있다. 대규모 고객정보 유출사태의 재발을 막기 위한 이 같은 대책을 내놨지만 소비자들은 못 미덥다는 반응이다.
◇ 과도한 개인정보 보유나 공유 금지

금융위와 금융감독원은 신용도 파악 등 영업에 필수적이지 않은 개인정보를 과도하게 수집·보유한다는 지적이 제기됨에 따라 금융사의 정보보유 실태를 점검하여 꼭 필요한 정보만 수집·보관하도록 할 계획이다. 금융위는 우선 올해 1분기에 금융사별로 정보보유 현황에 대한 자체점검과 타당성 평가를 해 불필요한 정보의 수집을 중단하도록 할 계획이다. 금융당국은 금융사들이 일반적으로 고객의 전화번호와 주소 등 약 20여개 항목에 대해, 많은 경우 약 50여개 항목의 정보를 수집하는 것으로 파악하고 있다. 금융사가 고객 정보를 보유하는 기간도 줄인다. 〈표 참조〉

현재 금융사는 상법과 전자금융거래법 등 관련 법령에 따라 5년∼10년 이상 개인정보를 보유하고 있다. 이에 정부는 신용정보법을 손질해 금융사의 개인신용정보 보유기간을 다른 법률에 특별한 규정이 없는 한 거래 종료일로부터 5년간으로 제한할 계획이다.

카드회원 탈퇴 요청을 한 고객 등 거래종료 고객 정보는 현재의 고객과는 별도로 분리해 보관·관리하고, 외부영업(보험TM·대출상품 권유 등 마케팅 활동) 목적의 활용을 엄격히 제한하기로 했다. 또 거래종료 고객이 ‘개인신용정보 보호요청’을 하면 △불필요한 자료 삭제 △보관이 필요한 정보는 암호화해 별도 보관 △금융사의 자료 활용 때 본인 통지 등을 의무화할 계획이다.

이번 사건으로 논란이 된 금융지주사 계열사간 정보공유도 어려워진다. 앞으로는 금융지주회사법상 특례에 따른 정보활용은 원칙적으로 신용위험관리 등 내부경영관리 목적에 한정되고 사전 동의 없이 고객정보를 외부영업에 활용하는 경우 업무 처리절차를 대폭 강화하기로 했다. 금융위는 고객 동의 없이 공유되는 정보의 98.3%가 위험관리·고객등급산출 등 내부경영관리 목적으로 이용 중인 것으로 보고 있다. 그런가 하면 금융위는 정보제공이 과다하게 이뤄지는 것을 막기 위해 원칙적으로 동의서에 정보제공 대상 회사를 개별적으로 명시해야만 정보제공이 가능하도록 할 계획이다. 제공대상 정보도 관련 부가서비스 이용 등에 필요한 정보로 한정해 선택할 수 있도록 개선한다.
제3자 취득정보의 활용기간은 당초 정보 활용 목적에 필요한 기간을 구체적으로 명시하고, 마케팅 목적 활용은 원칙적으로 제한한다. 정보제공 금융회사는 제3자가 제공받은 기록을 제대로 파기했는지 확인할 의무도 부과받는다.

◇ 금융당국, 불법정보 이용, 매출액 1% 징벌적 과징금 부과

내부통제의 강도와 사고 발생에 대한 처벌 수위도 높아진다. 금융위는 우선 신용정보 보호책임자가 개인정보 수집·보관·처리 전반에 대한 권한과 책임을 확보할 수 있도록 조치할 계획이다. 일정 규모 이상의 금융사에 대해서는 신용정보 관리·보호인을 임원으로 임명해 권한과 의무를 강화하는 식이다. 신용정보 관리·보호인은 중요 사항은 최고경영자(CEO)에게 월 1회 이상, 이사회에는 연 1회이상 정기적으로 정보 보호 상황을 보고하게 된다. 금융사의 외주용역에 대한 CEO와 정보보호최고책임자(CISO)의 사전승인·사후관리 절차도 명확히 하고 CISO 책임하에 외부저장매체(노트북·USB 등)의 반입통제를 철저히 시행하기로 했다.

처벌 수준도 강화된다.
우선 고객정보를 불법유출·사용한 대출모집인 등은 자격을 박탈하고 향후 타 업권 모집인 등록도 제한(원스트라이크 아웃제.one-strike out)하기로 했다. 금융위는 또 불법 수집·유통된 개인정보를 활용해 영업한 금융회사에 대해서는 ‘징벌적 과징금’을 부과하고, 개인정보를 불법유출한 금융회사도 높은 과징금을 부과할 계획이다.

매출액의 1%를 과징금 상한선으로 설정해 사실상 과징금에 제한이 없도록 하는 방안이 검토되고 있다. 신용정보법·전자금융거래법 등의 정보유출 관련 형벌수준을 가급적 금융 관련법 최고 수준으로 대폭 상향하고 CEO 등 임원에 대해서도 직접적 책임을 부과해 사고가 났을 때 엄격하게 제재할 계획이다. 개별 금융사에 대한 기관제재도 영업정지 3개월에서 6개월로 강화된다.

금융위는 신용정보회사도 영업정지 등 기관제재를 받도록 할 계획이다.

이번에 대규모 정보를 유출한 국민카드, 롯데카드, 농협카드가 내달 영업정지가 되더라도 신규 고객 유치와 판촉 업무 정지만 해당하기 때문에 기존 고객에는 지장이 없다. 기존 고객의 경우 재발급 받거나 카드 결제, 부가 서비스 이용에 전혀 지장이 없다는 의미다. 금융당국 관계자는 “이들 카드사가 영업 정지되면 신규 회원을 모집할 수 없게 되지만 기존 회원은 변함없이 기존 카드를 쓸 수도 있고 재발급도 받을 수 있다”고 말했다.

◇ 일각에선 알맹이 빠진 대책이라는 지적도

이날 금융위원회 등이 발표한 ‘금융사 고객정보 유출방지 대책‘에 대해 3개 카드사는 겸허하게 받아들인다는 입장이지만 시민단체와 고객 등은 ‘소비자 보호’ 대책은 빠져있다고 지적했다. KB국민카드 한 관계자는 “영업정지 3개월은 4분기 가운데 한 분기에 해당하고, 영업정지 후 경영이 회복될 때까지 많은 기간이 소요 될 수밖에 없기 때문에 타격이 크지만 겸허히 받아들이겠다”고 밝힌 뒤 “고객 불편을 최소화하는데 역량을 집중할 계획”이라고 밝혔다.

하지만 시민단체는 정부의 대책이 카드 고객에 대한 배려 없이 금융사와 금융당국에만 초점이 맞춰져 있다는 부정적인 반응을 보였다. 금융소비자연맹 강현구 국장은 “카드사인 공급자 위주의 대책이다. 소비자 입장에서 정보 열람권이나 관리권을 가질 수 있도록 하는 내용이 없다”고 지적했다. 투기자본감시센터 홍성준 사무처장도 “뒷북이다. 이런 일이 한 두 번 생긴 것도 아니고 매번 반복돼도 여론이 집중 될때만 대책 내놓고 솜방망이 처벌하고 끝이다”라고 비판했다.

금융소비자원 조남희 대표 역시 “알맹이 없는 대책이다. 금융당국이 문제점을 제대로 파악했는지 의심스럽다”라며 “정보유출에 대한 소송에서 입증책임을 금융사가 지게 해야 하는 등의 내용이 빠져 있다”고 말했다. 예컨대 제3자 정보제공을 엄격히 제한하고 징벌적 과징금제 도입, CEO 문책 등 사후 관리방안 또한 과거 현대캐피탈, 농협 사태가 벌어졌을 때 단골로 나왔던 대책방안이다. 쟁점이 됐던 고객 정보 보관기간을 5년으로 축소한 것도 ‘소 잃고 외양간 고친다’는 비난을 면하기 어려워 보인다. 당장 신용정보법을 개정해 추진되더라도 수십년 전 정보 활용에 동의한 수백만명의 고객 정보를 어떻게 어떤 근거로, 언제부터 폐기할지도 정해지지 않았다. 과거 고객은 예외라는 것이다.

개인 정보 보유 기간인 5년의 근거도 불명확하다. 금융 거래 정보만 해당되는 건지, 유통사 등이 보유한 정보도 포함되는 건지 명확하지 않다. 신제윤 금융위원장은 “TF에서 논의해보겠다”고 답변했다. 수십 가지 대책안이 나왔지만 금융보안 전문가들은 보안인력 양성과 교육 시스템 마련이 먼저라고 강조했다. 나열식 사후 보안 대책보다는 금융 정보에 접근 가능한 보안인력이 스스로 주인의식을 갖고, 일할 수 있는 토양을 만들어야 한다는 지적이다.

◇ ‘개인 정보유출’ 우편통지… 2차 카드런 우려 확산

한편 이날 신제윤 금융위원장이 종합대책을 발표하면서 “해당 카드사는 내달 중 최장 3개월 영업정지 조치를 내리겠다”고 엄포를 놓으면서 고객들의 이탈이 가속화 되고 있다. 특히, 이날부터 우편 통지가 시작되면서 2차 ‘카드런(카드고객 대규모 이탈현상) 확산 우려가 커지고 있다는 것이다. 이에 해당 카드사들은 고객이탈을 막기 위한 총력전에 돌입했다. 22일 금융감독원에 따르면 이날 정오 기준 재발급 신청 건수는 NH농협카드가 63만8000건으로 가장 많고 KB국민카드 32만9000건, 롯데카드 30만6000건 등 총 127만3000건으로 집계됐다.

특히 이들 카드사 고객 가운데 재발급보다 해지 또는 회원 탈퇴를 신청하는 건수가 KB국민카드의 경우 46만3000건으로 NH농협카드(42만9000건)와 롯데카드(12만5000건)에 비해 훨씬 많은 것으로 조사되면서 ‘카드런(card run)’ 확산 우려가 고조되고 있다.

사실 KB국민카드 고객 대부분은 국민은행을 주거래 은행으로 삼는 평생고객이다. 오랜 세월 믿고 거래했던 금융기관에서 큰 사고가 터지면서 불안감이 커지자 재발급 받는 대신 아예 카드 사용을 중단하기로 결심한 고객이 급증한 것으로 분석된다.

반면 NH농협카드는 고령자 고객이 많은 만큼 자동이체 변경, 새로운 금융거래처 등록 등 번거로움을 덜기 위해 해지보다 재발급을 많이 선택했다. 롯데카드의 경우에는 주 사용처인 롯데백화점, 롯데마트 등 유통계열사에 대한 할인혜택 등을 포기하기 어려워 상대적으로 해지 건수가 적은 것으로 풀이된다. 임영록 KB금융지주 회장도 KB국민카드의 고객 변동 상황에 대해 철저히 모니터링할 것을 지시함에 24시간 비상체제에 돌입하고 실시간 고객이탈 추이를 살피고 있다.

KB국민카드 관계자는 “불안감이 커진 고객들이 ‘일단 보유하고 있는 타사 카드를 대체 사용하겠다’는 생각으로 해지에 나서는 것 같다”며 “회원탈퇴가 아직 우려할 만한 수준까지 이르진 않았으나 예의주시하고 있다”고 말했다. 이처럼 카드를 해지하거나 재발급을 신청하는 고객들이 계속 늘어나자 금융당국은 본인확인수단 추가 도입 등을 통해 ‘카드런’ 막기에 적극 나서고 있다. 해당 카드사들 역시 고객정보 유출 사고 대응을 위해 카드 영업점 운영시간을 연장했다.

KB국민카드는 지난 21일부터 전국 25개 영업점의 업무를 주말과 공휴일을 포함해 24시간 운영하고 있다. 또한 본점 1층에 ‘개인정보 비상 상담실’을 개설해 24시간 가동에 들어갔다. 롯데카드도 76개 영업점의 영업시간을 오전 8시부터 자정까지로 확대했다. 이와 함께 롯데백화점과 롯데마트 소재 카드센터 운영시간 마감은 오후 10시까지로 2시간 30분 늘렸다. 해당 카드센터의 개소시간은 오전 10시다.

NH농협카드의 경우 전국 NH농협은행에서 오후 6시까지 카드 재발급, 비밀번호 변경 등 카드 관련 업무를 연장 실시한다. 이 가운데 200여 곳의 거점영업부는 오후 9시까지 연다.

하지만 해당 카드사들이 이날부터 정보유출 피해자들에게 e메일 및 우편 고지를 실시하면서 2차 카드런 우려가 높아지고 있다. 인터넷 접근성이 떨어졌던 중장년층 고객들까지 카드 해지와 재발급 요구 대열에 합류할 것으로 예상되기 때문이다. 카드업계 관계자는 “해당 카드사들이 영업점 영업시간 연장 등에 나서고 있지만 고객들의 불안이 큰 만큼 카드런은 당분간 계속될 것”이라고 말했다. 게다가 이들 카드 3사가 다음 달 중 3개월의 제재를 받을 가능성이 높아지면서 중소 신용카드사들에는 호재로 작용할 것으로 보인다는 주장이 제기돼 이들을 더욱 긴장시키고 있다.

만약 이들 카드사들의 영업정지가 현실화되면 일부 중소 카드사에는 시장을 확대할 수 있는 기회가 된다는 것이다. 이와 관련 카드업계 고위 관계자는 “카드를 해지하는 고객들은 다른 카드사들에는 기회로 작용하고 있다. 물론 적극적인 영업을 표면적으로 할 수는 없지만 영업정지 3개월 동안은 이들 카드사의 고객을 얻을 수 있는 기회”라며 “3개월 후 카드업권의 판도가 달라질 수도 있다”고 말했다.



김의석 기자 eskim@fntimes.com