2014년 8월 7일, 정부가 개인정보보호법 개정안을 시행함에 따라, 앞으로 법령에 근거가 없으면 주민번호를 수집할 수 없다. (참고 링크) 그런데 이미 지난 6월 10일, 안전행정부(이하 ‘안행부’)는 오프라인 본인 확인 수단으로 마이핀(My-PIN) 서비스를 시행하겠다고 밝혔다.

• 마이핀(My-Pin)?
  ① 13자리의 임의의 숫자로 구성되고,
  ② 개인정보를 포함하고 있지 않으며,
  ③ 필요시 변경할 수 있고(1년에 3회),
  ④ 회원가입 및 기타 서비스에 이용할 목적으로,
  ⑤ 받고 싶은 사람만 발급받는 번호다.

마이핀 샘플

안행부는  마이핀 도입 추진의 명분으로 주민번호 수집 금지에 따른 불편(?) 해소를 내세운다. 그런데 이상하다. 주민번호 수집 금지에 따라 어떤 불편이 생긴다는 것일까?

기존에 주민번호를 수집하던 업체나 기관은 이제 법령에 의하지 않고는 주민번호를 수집할 수 없기 때문에 시스템 교체 비용이 들고, 이는 불가피한 일이다. 그러나 굳이 주민번호를 수집할 필요가 없어서 법령에 수집 근거를 만들어놓지 않은 경우, 어떠한 불편이 생긴다는 건지 의문이다. 주민번호 수집이 업무처리 상 꼭 필요하다면, 법이나 시행령을 개정하여 수집 근거를 만들면 된다. 마이핀이 필요한 이유를 도무지 찾을 길 없다.

한국의 ‘마이핀’에 앞서 개발된 일본의 ‘유용한’ 발명품들 (원본 출처 미상)

마이핀, 도대체 어디에 쓰는 물건인고?

그럼 도대체 마이핀은 어디에 쓰는 물건인가? 우선 안행부가 6월 10일자 보도자료에서 ‘친절하게’ 설명한 예시 사례를 살펴보자.

사례 1. 주부 OOO ☞ 대형매장에서 멤버십 카드 발급시

백화점 고객센터에서 본인 확인이 필요하다면 주민등록증, 운전면허증과 같은 신분증으로 하면 된다. (주의! 여기에서 ‘주민등록증’을 신분증으로 쓴다는 의미는 기업이 주민번호를 수집한다는 의미가 아니라 현장에서 그 사람이 맞는지를 확인한다는 것을 의미할 뿐이다.)

백화점, 아울렛 등 서로 다른 매장에서 동일한 멤버쉽 카드를 사용하려고 한다면, 해당 업체들이 별개의 멈버십 카드 고객 번호를 할당해도 무방하다. 이를 어떻게 할 것인지 정부가 정해주고, 권할 어떤 이유도 없다. 즉, 마이핀을 이용할 이유가 전혀 없다.

대형마트 멤버십 카드를 ‘마이핀’으로 발급 받으라고요? 왜죠?

사례 2. 회사원 000 대리 ☞ ARS를 통해 콜센터 상담 문의시.

이미 전 국민 주민번호가 유출된 상황에서 전화로 주민번호를 입력한다고 어떻게 본인인지 확인할 수 있을까? 이 정도 본인 확인 시스템이라면, 이름과 생년월일 정도로도 충분하다. 주민번호 대신 마이핀을 사용한다고 더 안전해지는 것도 아니다. 정부가 할 일은 부실한 본인확인으로 이용자 피해 가능성이 없는지 감독하는 일이다.

즐거운 콜센터 상담은 ‘마이핀’과 함께? 왜죠? (사진: 출처 미상)

사례 3. 출장 많은 000 과장 ☞ 공항에서 마일리지 적립시.

13자리 마이핀 번호 외우는 것이 회원 번호 외우기보다 쉬운가? (쉬운가??) 혹은 마이핀 카드를 소지하고 다니는 것은 회원카드를 소지하고 다니는 것과 무엇이 다른가? (다른가??) 주민번호로 본인 확인하고 마일리지를 적립해주었다면, 이름과 생년월일(필요하다면 연락처나 주소 등을 추가) 정보를 추가하는 것으로도 충분히 관련 업무가 가능하다. 마이핀은 도대체 왜 필요한가? (필요한가??)

마일리지 적립도 ‘마이핀’으로 한방에? (사진: Doug, CC BY NC ND)

‘마이핀’으로 신분 확인? 이미 있는 신분증은 장식?

안행부가 제시한 사례를 아무리 꼼꼼히 읽어봐도 도대체 왜 마이핀이 필요한지 알 수가 없다. 안행부는 마이핀을 오프라인 본인 확인 수단이라고 한다. 그런데 오프라인에서 본인확인 수단으로는 이미 ‘신분증’이라는 것이 있다.

주민등록증을 오프라인에서 본인 확인을 위해 만든 것 아닌가? 운전면허증, 여권, 학생증 등도 때에 따라 대체 신분증으로 사용할 수 있다. 왜 골치 아프게 마이핀을 또 만들어야 하는가? (응??)

현장에서 본인을 확인하기 위해선 이미 있는 ‘주민등록증’으로도 충분하다.

주민번호는 ‘본인 확인’ 아닌 ‘개인 식별’ 수단일 뿐

사실 번호 자체가 본인 확인 수단인 것도 아니다. 주민번호로 본인 확인을 한다는 것 자체가 잘못이라는 말이다. 주민번호를 알려주었다고, 내가 그 주민번호의 보유자임이 어떻게 증명할 수 있단 말인가?

주민번호는 국민들을 ‘식별’하기 위한 수단일 뿐이다. 이를테면 일종의 ID와 같은 것이다. 이용자는 ID를 통해 접속하고, 해당 ID의 보유자임을 확인하기 위해 주로 비밀번호를 사용한다. 주민번호로 본인을 확인하는 것은 ID를 비밀번호로 사용하는 멍청한 행위와 유사하다.

ID를 비밀번호로 사용하는 것 같은 ‘멍청한’ 짓

마이핀 역시 다르지 않다. 정부는 ‘식별 번호’로 ‘본인을 확인’한다는 잘못된 개념에서 벗어나야 한다.

안행부는 앞서 사례에서 봤듯, 서비스 연계가 필요한 1) 멤버십 카드 신청, 2) 각종 대여서비스 계약이나 3) 고객상담 등에서 주민번호대신 마이핀을 쓰겠다는 건데, 이는 ‘본인 확인(신분 확인)’이 아니라, ‘개인 식별’ 용도로 마이핀을 이용하겠다는 의미다.

그런데 민간기업이 고객 개개인을 식별하는 일에 왜 정부가 왜 관여하는가? 롯데마트 멤버십 카드 회원은 롯데마트가 알아서 관리하면 족하다. 왜 우리가 서로 다양한 업체의 서비스를 이용할 때 같은 개인 식별 번호를 사용해야 하는가?

멤버십 카드는 해당 기업이 알아서 발행하고, 관리하면 그만이다. 왜 정부에서 이래라 저래라 하는가? (사진: janet lackey, CC BY NC)

범용 식별 번호에 대한 정부의 집착

정부가 버려야 할 또 하나의 잘못된 집착은 ‘범용 식별 번호’의 사용이다. 주민번호가 그토록 많이 유출되고, 또 오용 가능성이 높아진 건 공공이고, 민간이고 할 것 없이 모두 그 ‘번호’만을 사용해왔기 때문이다.

물론 번호 하나를 정해 모든 서비스에 사용하면 편할 수는 있다. 하지만 그만큼 보안에서는 취약해질 수밖에 없다. 따라서 공공 부문에서도 주민번호와 같은 ‘단일 식별자’를 사용할지에 관한 전면적인 재검토가 필요하다. 건강보험증 번호, 조세번호 등 목적에 따라 다른 식별자를 사용하면 큰일이라도 벌어지는 걸까? 전혀 그렇지 않다. 이미 외국에선 다들 그렇게 한다.

하물며 민간 영역이다. 단일 식별자 사용을 정부가 사기업에 권할 이유는 더더욱 없다. 민간에서는 스스로 필요에 따라 알아서 하면 충분하다.

왜 굳이 ‘단일 식별자’로 다양한 용도의 서비스를 이용해야 하는가? (사진: marsmettnn tallahassee, CC BY NC SA)

화룡점정, 마이핀 사용 명세는 모두 기록될 수 있다!

하나 더 충격적인 사실. 마이핀 사용 내용은 모두 기록될 수 있다. 온라인에서 본인 확인 수단으로 정부가 사용을 권장해 온 아이핀(I-PIN) 경우를 보면, 아이핀 사용 내용은 본인 확인 기관(신용평가기관과 통신사)에 의해 기록되고 있다. (참고: 신용평가기관은 ‘마이핀’과 ‘아이핀’을 통한 본인 확인 서비스를 제공하고, 통신사는 ‘휴대폰 인증’을 통한 본인 확인 서비스를 제공한다.)

그런데 이러한 개개인의 활동 내용을 보관하는 것 자체가 심각한 프라이버시 침해일 수 있다. 내가 무엇에 관심이 있고, 어떤 활동을 했는지 보여주고 있기 때문이다.

더욱이 이러한 개인의 이용 정보를 보관하고 있는 업체가 어디인가? 1억 건이 넘는 개인정보 유출사고를 야기한 KCB나 수차례 가입자 정보를 유출한 KT와 같은 본.인.확.인.기.관.들이다. 이 정보가 유출된다면? 혹은 정부나 수사기관이 개인에 대한 사찰을 위해 악용한다면? 상상만으로도 끔찍하다.

단일 식별자에 대한 정부의 집착은 디지털 원형감옥(판옵티콘)을 초래할 수도 있다. (위키백과 공용)