[로이슈 전여송 기자] 최근 티빙 개인정보 유출 사고를 계기로 사실상 변경이 어려운 고유식별정보인 CI(연계정보·Connecting Information)의 위험성이 다시 주목받고 있다. 이름이나 휴대전화번호와 달리 CI는 동일인을 지속적으로 식별하기 위해 생성되는 정보라는 점에서 유출 시 파장이 크다는 평가를 받는다.

9일 본지 취재를 종합하면 국내 최대 규모 사교육업체인 메가스터디교육㈜은 결제 과정에서 CI를 수집하는 한편, 동일한 계정 체계 안에서 미성년 수험생의 성적과 학교생활기록부, 진학 상담 이력, 학부모 정보 등 다양한 교육 관련 정보를 관리하고 있는 것으로 확인됐다.

메가스터디의 개인정보처리방침에는 CI와 성적·생활기록부 등의 정보를 직접 연계한다고 명시돼 있지는 않다. 다만 동일 계정 체계 안에서 함께 관리되는 구조인 만큼, 티빙 사태가 '평생 식별자'인 CI 유출의 위험성을 보여줬다면, 메가스터디 사례는 그 식별정보와 함께 어떤 교육 정보가 관리되고 있는지를 보여준다는 점에서 이용자 입장에서는 변경이 어려운 식별정보와 교육 정보가 함께 축적되는 방식에 대한 우려가 제기된다.

◆ '평생 식별자' CI, 결제 과정에서 수집

메가스터디교육 개인정보처리방침에 따르면 회사는 콘텐츠 결제 과정에서 즉시출금(자동출금) 서비스를 등록할 때 CI를 수집한다. 본인확인 절차는 위탁업체인 NICE평가정보를 통해 진행된다.

이용약관상 미성년 회원의 결제는 원칙적으로 보호자 명의 또는 보호자의 동의를 전제로 이뤄진다. 이에 따라 결제 과정에서 수집되는 CI는 보호자 명의일 수도 있고, 재수생이나 성인 회원처럼 본인 명의로 결제하는 경우에는 학생 본인의 CI가 수집될 수도 있다.

CI는 본인확인기관이 주민등록번호 등을 기반으로 생성하는 연계정보다. 휴대전화 번호를 변경하거나 회원 탈퇴 후 다시 가입하더라도 동일인을 식별할 수 있는 특성을 지녀 개인정보 업계에서는 사실상 '평생 식별자'로 불린다.

최근 티빙 개인정보 유출 사고 역시 단순 회원정보가 아니라 변경이 사실상 어려운 CI가 외부로 유출됐다는 점에서 사회적 우려가 크게 확산된 바 있다.

◆ 성적·생기부·학부모 정보까지…한 계정 안에 축적되는 교육 데이터

메가스터디교육 개인정보처리방침에 따르면 회사는 서비스 유형에 따라 ▲모의고사 및 수능 성적 ▲내신 성적 ▲목표 대학 ▲수시·정시 원서 접수 내역 ▲합격·불합격 결과 ▲학교·학년·계열 정보 ▲진학 및 학습 상담 내용 등을 수집한다.

'AI 생기부 분석 리포트' 서비스 이용 시에는 학교생활기록부에 포함된 창의적 체험활동상황, 세부능력 및 특기사항, 행동특성 및 종합의견 등도 수집 대상에 포함된다.

세부능력 및 특기사항과 행동특성 및 종합의견에는 학생의 학업 성향과 진로, 교사의 평가 등이 담긴다. 단순 성적을 넘어 학생의 교육 이력 전반을 보여주는 정보라는 점에서 민감성이 높은 데이터로 평가된다.

이들 정보는 해당 서비스를 이용하는 회원에 한해 수집되지만, 동일 계정 안에서 성적과 생활기록부, 상담 이력, 학부모 정보 등이 함께 관리될 수 있다는 점에서 사실상 하나의 '입시 프로파일'에 가까운 정보 구조를 형성하게 된다. 학생이 어떤 대학을 목표로 준비했고 어떤 상담을 거쳐 입시 전략을 세웠는지까지 포함될 수 있어 일반 회원정보보다 훨씬 높은 민감성을 가진다.

◆ 전화번호는 바꿀 수 있어도 학생의 과거는 바꿀 수 없다

교육 정보는 일반 개인정보와 성격이 다르다. 이름이나 연락처는 변경이 가능하지만 학교생활기록부와 과거 성적, 진학 이력은 한 번 생성되면 사실상 다시 만들거나 수정하기 어렵다.

특히 학교생활기록부와 과거 성적은 외부로 노출될 경우 사후 복구가 사실상 불가능한 정보다. 일반 회원정보보다 변경 가능성이 현저히 낮다는 점에서 개인정보 보호의 중요성도 더욱 커질 수밖에 없다.

변경이 어려운 CI와 이러한 교육 정보가 동일 계정 체계 안에서 함께 관리될 경우 이용자 입장에서는 식별성과 정보 민감성이 동시에 높아질 수 있다는 우려도 제기된다.

◆ 학생 넘어 학부모까지…가족 단위로 관리되는 개인정보

메가스터디교육의 개인정보 처리 구조에서 또 하나 눈에 띄는 부분은 학부모 정보다. 개인정보처리방침에 따르면 학부모회원 가입 시에는 이름과 생년월일, 연락처 등을 수집하며, 만 14세 미만 아동이 회원으로 가입하는 경우에는 법정대리인의 성명과 연락처도 함께 수집한다.

교육 서비스의 특성상 학생의 학습 정보와 보호자의 정보가 동일한 계정 체계 안에서 함께 관리될 수 있는 구조다. 이에 따라 사고가 발생할 경우 영향 범위가 학생 개인을 넘어 보호자까지 확대될 가능성도 배제하기 어렵다.

특히 학생의 교육 이력과 보호자의 연락처 등 가족 단위 정보가 함께 관리되는 구조는 일반적인 온라인 서비스와는 다른 교육 플랫폼만의 특징으로 볼 수 있다.

◆ 이용자가 인식하기 어려운 수집 구조…ISMS 인증도 유효기간 종료

상당수 이용자는 강의를 결제하거나 서비스를 이용하는 과정에서 CI가 수집된다는 사실이나, 동일한 계정 안에서 성적과 학교생활기록부, 진학 상담 정보 등이 함께 관리될 수 있다는 점을 구체적으로 인식하기 쉽지 않다.

메가스터디 이용자 상당수가 입시를 준비하는 학생이라는 점을 고려하면, 변경이 어려운 식별정보와 교육 관련 정보가 어떤 방식으로 관리되는지 이용자에게 충분히 안내되고 있는지에 대해서도 살펴볼 필요가 있다는 지적이 나온다.

보안 관리 측면에서도 확인이 필요한 부분이 있었다. 메가스터디교육 개인정보처리방침에는 정보보호 관리체계(ISMS) 인증 유효기간이 '2013년 12월 30일~2026년 3월 24일'로 기재돼 있다. 취재 시점 기준 해당 기간은 이미 종료된 상태였으며, 개인정보처리방침에서는 갱신된 인증 정보는 확인되지 않았다.

다만 실제 인증 갱신 여부와 별개로, 개인정보처리방침에는 만료 이전 인증 정보가 그대로 게시돼 있어 이용자가 현재 인증 상태를 정확히 확인하기는 어려운 상황이었다.

개인정보 보관 기준에서도 눈에 띄는 대목이 있다. 개인정보처리방침은 회원 정보를 원칙적으로 회원 탈퇴 시까지 보관한다고 규정하면서도, 중복 가입 방지를 위해 아이디는 영구 보관한다고 명시하고 있다. 다만 영구 보관되는 값이 단순 문자열인지, 다른 식별정보와 연결 가능한 형태인지는 개인정보처리방침만으로는 확인되지 않았다.

◆ 메가스터디교육 "CI 수집·보유 기준" 질의에는 답변 없어

본지는 메가스터디교육 측에 ▲CI 수집 목적과 법적 근거 ▲CI 보유 및 파기 기준 ▲회원 탈퇴 이후 CI 처리 방식 ▲교육 정보와의 내부 관리 체계 ▲학교생활기록부 등 교육정보 보호 대책 ▲개인정보처리방침상 ISMS 인증 정보가 갱신되지 않은 경위 등에 대해 질의했다.

메가스터디교육 측은 "당사 이용약관 및 개인정보처리방침은 개인정보 보호법 등 관련 법령에 따라 법률 검토를 거쳐 마련됐다"며 "이용약관 제24조의 게시물 이용허락 조항은 저작권법상 이용허락에 관한 것으로, 일반적인 회원 서비스 운영 목적의 규정"이라고 밝혔다. 이어 "개인정보 보호법에 따른 동의·철회·삭제 요구권 등 법정 권리는 위 조항과 무관하게 전면 보장된다"고 답했다.

다만 본지가 확보한 이용약관 제24조 3항은 회원 콘텐츠에 대해 "인공지능(AI) 기반 답변 생성·검색 기능 고도화" 등을 명시적 목적으로 한 "영구적·전세계적·취소불가능한" 이용허락을 규정하고 있어, 이를 "일반적인 회원 서비스 운영 목적의 규정"으로 보기는 어렵다는 지적이 나올 수 있다. 아울러 제23조 5항은 "철회 의사표시 이전에 이미 활용·가공되어 분리가 곤란한 결과물(AI 모델, 출판물 등)에 대하여는 그러하지 아니한다"고 명시하고 있어, 회사가 밝힌 '법정 권리의 전면 보장'과 약관 문구 사이에는 괴리가 있다.

한편 CI 수집 목적·보유기간, 탈퇴 후 파기 여부, 성적 정보와의 내부 연계 여부 등 본지가 질의한 구체적 사실관계에 대해서는 답변하지 않았다.

티빙 개인정보 유출 사고는 변경이 어려운 CI가 외부로 유출될 경우 어떤 위험이 발생할 수 있는지를 보여줬다. 메가스터디 사례는 그 CI와 함께 학생의 성적과 학교생활기록부, 진학 상담, 학부모 정보 등 교육 관련 정보가 동일 계정 체계 안에서 관리될 수 있는 구조를 보여준다.

개인정보처리방침만으로 CI와 교육 정보가 직접 연계된다고 단정할 수는 없다. 다만 변경이 어려운 식별정보와 학생의 교육 이력이 함께 관리되는 구조인 만큼, 이용자들이 이러한 개인정보 수집·관리 방식을 충분히 인지하고 동의하고 있는지, 또 회사가 그 필요성과 보호 체계를 어떻게 설명할 것인지에 대한 사회적 논의는 계속될 것으로 보인다.

전여송 로이슈(lawissue) 기자 arrive71@lawissue.co.kr