세금 환급 서비스 플랫폼 ‘삼쩜삼(3.3)’이 이용자의 개인정보와 민감정보를 무단으로 수집해 개인정보보호위원회의 제재를 받았음에도 여전히 불필요한 개인정보를 수집하고 있는 것으로 확인됐다.

국민의힘 김상훈 의원실에 따르면, 삼쩜삼은 2023년 이용자로부터 수집한 주민등록번호를 통해 홈택스 로그인 및 소득 관련 정보를 수집했다. 이는 법령상 근거 없는 주민등록번호 수집·보관에 해당하며 개인정보보호법 6개 조항을 위반한 것이다.

이에 개인정보보호위원회는 지난해 6월 28일 삼쩜삼에 대해 주민등록번호 단순 전달 후 파기 및 보유 금지 등의 시정명령과 함께 과징금 8억 5410만원, 과태료 1200만원을 부과했다.

2020년 5월 출시한 삼쩜삼은 ‘자비스앤빌런즈’가 운영하는 서비스다. 지난 5월 기준, 누적 환급액 1조 원과 누적 신고 1000만 건, 누적 가입자 2000만 명의 실적을 기록했다고 홍보하고 있다.

삼쩜삼은 지난 5월 3일부터 가족환급서비스도 개시했다. 이용자 가족의 정보를 활용해 추가 환급 가능 금액을 산출해 주는 서비스다.

송금 플랫폼 ‘토스’도 세무 플랫폼인 ‘세이브잇’을 운영하는 택사스소프트를 인수해 세무 서비스 사업에 진출했다. 대출 플랫폼 ‘핀다’도 지난 4월 세무 자동화 기술 기업 ‘지엔터프라이즈’와 사업자 대출, 세무 자동화 서비스 제공을 위한 업무협약을 체결했다.

한국세무사회는 지난 4월과 5월 공정거래위원회에 ▲삼쩜삼 ▲토스 ▲핀다를 개인정보보호법 위반 혐의로 고발했다. 삼쩜삼은 가족환급을 이유로 정부24에서 주민등록번호 13자리를 취득해 개인정보를 수집했다. 토스와 핀다는 국세청 홈택스에서 과세 자료를 얻고자 주민등록번호 13자리를 취득했다.

삼쩜삼, 여전히 주민번호 전체 수집

김상훈 의원실은 “공동인증서나 간편인증 등 적법한 인증 수단을 통해 세금 환급에 필요한 정보를 수집할 수 있음에도 삼쩜삼 등은 법률상 근거가 없이 이용 회원의 주민등록번호 13자리를 수집했다”면서 “토스와 핀다는 고발 이후 인증 방식을 간편인증으로 변경했으나 삼쩜삼은 여전히 주민등록번호 전체를 수집하고 있다”고 했다.

이어 “삼쩜삼 등 세무 플랫폼이 ▲주민등록번호 처리 제한 위반(개인정보보호법 제24조의2 제1항) ▲민감정보 처리 제한 위반(개인정보보호법 제23조 제1항) ▲개인정보 처리 방침 수립‧공개 위반(개인정보보호법 제30조 제1항) 등 개인정보보호법을 어기고 있다”고 했다.

핀다와 업무 제휴중인 지엔터프라이즈의 ‘세금을 되찾는 순간 1분’은 지난 9월 30일부로 서비스를 종료했다.

삼쩜삼 측은 개인정보보호위원회의 개인정보 보호 지침을 준수하고 있다는 입장을 밝혔다.

한편 금융감독원은 지난 28일 고객의 개인신용정보를 무단으로 수집·사용한 토스에 대해 기관주의와 함께 과징금 53억7400만원, 과태료 6억2800만원을 부과했다. 관련 임직원들에게는 감봉, 견책, 주의, 경고 등을 적용했다.

글=이경훈 월간조선 기자