최근 세금환급 대행 앱인 삼쩜삼의 시장 장악력이 커지고 있다. 지난해까지 누적 가입자 수가 이미 1천300만명을 넘어선 것으로 알려졌다.
삼쩜삼은 인공지능(Artificial Intelligence: AI)프로그램을 이용하여 납세자의 세금환급 등 신고를 대리한다고 하여 혹자는 디지털 시대의 새로운 변화라고 말하기도 한다. 하지만, 인공지능은 머신러닝(기계학습)을 통해 알고리즘을 코딩하더라도 훈련할 예측모델을 만들 수 없고, 검증할 데이터가 없다면 에너지가 없어 동작을 멈춘 기계와 같다.
따라서 삼쩜삼은 개인정보를 수집하여야 하고, 이 과정에서 개인정보보호 조치가 제대로 되었는지에 대한 검토가 필요하다. 특히 세금환급 대행 업무는 매년 납세자 정보를 축적하게 되므로 더욱 세심한 주의가 필요하다. 일반적인 수익사업을 하는 애플리케이션 업체와는 달리 삼쩜삼은 단순한 회원가입 정보를 넘어서 수입과 지출, 신용카드사용 명세까지 확인할 수 있기 때문이다.
만일 삼쩜삼이 '세무사법' 및 '개인정보 보호법' 등의 위반으로 업무정지를 당하여 수익창출을 못하게 된다면, 납세자의 개인정보 매각 등을 통해 여러 가지 수익사업에 악용할 가능성을 배제할 수 없다. 실례로 인터넷 금융업체인 토스가 약 82만명의 개인정보를 법인보험대리점과 보험설계사에게 1인당 6만9천원에 매각하여 약 292억원의 수익을 거둔 바 있다(국민일보 2022.10.2.자 뉴스). 이러한 앱들이 수집한 개인정보는 언제든지 매각을 할 수 있고, 그 정보 주체에게는 어떠한 대가도 지급하지 않는다.
토스의 사례처럼 단순한 금융정보의 수준을 뛰어넘어 개인의 수입 규모와 지출행태까지 분석할 수 있는 납세자 정보는 국내외 전자상거래 회사 뿐만 아니라 불법적으로 개인정보를 활용하는 이들에게도 충분히 활용가치가 있는 매력적인 정보이다. 이러한 납세자의 민감 정보가 모두 홈택스를 통해 획득되고 있음에도 불구하고, 정작 주무관청인 국세청은 정보 유출 과정에서 발생할 수 있는 개인정보 침해를 방지할 수 있는 일련의 조치들을 하고 있지 않다.
지난해 국정감사에서 더불어민주당 김주영 의원을 비롯한 여러 국회의원이 국세청장을 질책한 것도 위와 같은 이유에서이다. 즉, 삼쩜삼 가입자 1천300만명 중 대부분 납세자는 삼쩜삼의 환급과정에서 ① 환급금 조회를 위해 기존의 세무대리인과의 수임계약이 자동으로 해지되고, ② 누군지도 모르는 삼쩜삼이 정한 6명(개인사업자 1, 법인사업자 1)에게 자신의 정보가 자동으로 넘어가고, ③ 본인의 개인정보를 이용하는데 어떠한 권한을 갖는지 알 수 없다는 것이다. 심지어 삼쩜삼의 이용자가 본인의 세무대리인이 누군지 알려달라고 요청해도 (해당 세무대리인의) 개인정보라 알려줄 수 없다는 비상식적인 답변만이 돌아왔다고 한다(일간 NTN, 2022. 9. 22. 기사).
국세청은 납세자가 홈택스를 통해 세무대리인을 선정하는 과정에서 공인인증서 등으로 반드시 직접 로그인하여 다시 동의를 거치게 하고 있지만, 삼쩜삼에 대하여는 이러한 절차도 생략한 채 바로 세무대리인의 변경이 가능하도록 하고 있다. 이는 플랫폼의 편의성만을 존중하고 유출되는 납세자 개인정보에 대해 반드시 지켜야 하는 최소한의 안전장치마저 풀어버린 것이 아닌지 의심된다. 물론 국세청은 세무대리인 선임이 납세자와 세무대리인간의 사적 계약관계이므로 개입하지 않겠다고 한다.
하지만 국세청은 2020년 국제표준기반의 개인정보보호 체계를 확립하기 위해 ISO/IEC 27001 인증과 ISO/IEC 27701 인증을 동시에 획득하였고, 개인정보보호를 위하여 빅데이터 분석에 활용되는 자료가 업무 외적으로 사용되거나 외부로 유출되지 않도록 엄격한 절차에 따라 운영 및 관리하고 있다고 발표하였다(국세청 보도자료, “국세청, 국제표준 기반의 개인정보 보호체계 확립”, 2020.9.21.). 이러한 계획에 따라 국세청은 납세자의 개인정보보호에 한층 더 관심을 가져야 할 때이다.
특히 삼쩜삼은 1,300만 명에 달하는 납세자의 정보를 습득하고 있고 세무대리인 변경을 재차 확인하는 절차를 거치지 않아 납세자 본인의 세무대리인이 누구인지 알려주지 않고 있다. 이에 대한 납세자들의 개선 요구가 있고, 국회에서도 문제점으로 지적하고 있다. 그러므로 국세청은 국세행정의 편의를 위해 수집된 납세자의 정보를 세무대리인의 신고에 사용될 수 있도록 하였다면, 홈택스가 보유한 정보의 반출과정에서도 납세자의 권익, 즉 개인정보를 침해하지 않도록 국가기관으로서 더욱 책임감 있는 자세를 취할 필요가 있다.
※ 외부기고는 본지의 편집방향과 다를 수 있습니다.
