"1인 평균 17만원 환급"…'민감한 개인정보 수집' 삼쩜삼, 국감서 도마에 올라

'최소수집원칙' 위반 사항·과장광고 등 확인
"삼쩜삼 편의 사항 국세청이 제공해야" 지적

1600만이 넘는 사용자를 보유한 온라인 세금 환급 플랫폼 '삼쩜삼'이 국회 기획재정위원회 국정감사에서 도마에 올랐다. 민감한 개인정보를 수집하고 보유하는 플랫폼 특성상 감시체계와 단속근거가 필요하다는 지적이다.

[사진=자비스앤빌런즈 제공]

10일 김영선 국민의힘 의원은 기재위 국감에서 삼쩜삼을 지목하며 사기업이 이용자 1650만명의 홈택스 아이디, 비밀번호, 건강정보, 신용카드 정보 등 민감 정보를 포함한 개인정보를 수집·보유·활용하는 상황에 대해 국세청 차원의 단속인 시정조치, 감시체계가 없다고 지적했다.

김 의원은 "기존의 과세자료는 납세자의 민감정보가 포함돼 있어 국세기본법 제81조의13(비밀유지)의 비밀유지 규정으로 과세당국이 정보의 제삼자 제공이나 누출을 금지하고, 국회도 개별 과세정보 접근을 거부당할 정도로 엄격하게 관리되지만, '삼쩜삼' 세무 플랫폼의 홈택스 접근의 경우에는 국세청의 단속 근거가 부족하다"라고 꼬집었다.

이어 "해당 플랫폼의 개인정보 유출 우려와 과장광고로 인한 소비자 피해 발생을 막기 위해 시정 조치와 단속 근거 마련이 필요하다"라고 덧붙였다.

김 의원이 확인한 개인정보보호위원회 행정처분 내용에 따르면 삼쩜삼 플랫폼 운영사 자비스앤빌런즈는 주민등록번호와 건강정보를 포함한 개인의 민감정보를 수집해 '최소수집원칙'을 위반했다.

개인정보보호위원회에 따르면 삼쩜삼은 이용자로부터 수집한 주민등록번호를 통해 홈택스 로그인·소득 관련 정보의 수집, 세무 대리인 수임 동의, 환급 신고 대행을 했다. 개인정보위 조사 과정 중에 절차를 개선해 현재는 환급 신고 대행 시에만 주민등록번호를 수집·이용한 후 회원 탈퇴 시까지 저장·보유하고 있으나, 삼쩜삼이 법령에 근거 없이 주민등록번호를 수집·보관한 행위 등은 개인정보 보호법 위반이다.

아울러 삼쩜삼은 소득정보 등 개인정보를 수집하는 과정에서 처리 방침을 통해 포괄 동의를 받으면서, 수집 항목을 누락하고 수집 목적·보유기간 등을 불명확하게 고지했다. 또 근로소득 지급 명세서에 포함된 이용자(부양가족 포함) 장애 여부 등에 대한 정보를 수집하면서 민감정보인 건강정보에 대한 별도 동의를 받지 않았다. 추가 검토가 필요한 경우 세무 대리인이 대신 신고하도록 하면서 이용자에게 세무 대리인(제삼자)에 제공하는 사항을 명시적으로 알리지 않았다.

이에 개인정보위는 앞서 과징금 8억 5000만원과 과태료 1200만원 부과 조치를 받았다.

김 의원은 "삼쩜삼은 원천세 납부자에게 세금환급 진행을 도와주는 플랫폼임에도 이에 해당하지 않는 소비자들을 현혹하는 과장광고로 인해 플랫폼을 이용해 세금을 되찾으려다 오히려 비용을 더 쓰는 소비자들이 발생하는 경우도 빈번했다"라고 지적했다.

그러면서 "해당 플랫폼의 개인정보 유출 우려와 과장광고로 인한 소비자 피해 발생을 막기 위해 시정조치와 단속 근거 마련이 필요하다"면서 "결국 국세청 홈택스를 통한 국민들의 셀프 세금 신고가 어렵다는 인식 때문에 해당 플랫폼에 접근하는 만큼, 삼쩜삼에서 제공하는 정보들을 국세청 홈택스에서 발 빠르게 먼저 제공해야 한다"라고 설명했다.

구나리 인턴기자 forsythia26@asiae.co.kr