중국산 전기차 개인정보 유출 위험, 국방부 출입 통제 허점 드러나

핵심 요약

- 중국산 전기차가 스마트폰 연동 시 개인정보를 차량 시스템으로 복사하고 AI 음성비서 데이터를 수집하는 구조적 취약점 보유 - 국방부 등 국가 안보 시설 출입 시에도 별도 통제 없이 통과되어 정보 유출 경로로 악용될 가능성 제기 - 제조사는 국내 서버 저장 및 개인정보보호법 준수를 주장하나, 데이터 전송 경로와 중국 본사 접근 권한에 대한 투명성 부족

주요 내용

2026년 현재 국내에 판매되는 중국산 전기차는 스마트폰과의 연동 기능을 통해 연락처, 통화 기록, 위치 정보 등 개인정보를 차량 시스템으로 자동 복사하는 구조를 가지고 있다. 특히 AI 음성비서 기능은 사용자의 음성 명령뿐만 아니라 차량 내 대화까지 인식·저장할 수 있어, 민감한 개인정보와 업무 관련 대화가 수집될 위험이 크다. 이는 단순한 편의 기능이 아니라 대규모 개인정보 수집 인프라로 작동할 수 있는 구조다.

월간조선 보도에 따르면, 이러한 중국산 전기차가 국방부를 비롯한 국가 안보 시설 정문을 별다른 통제 없이 통과하고 있는 것으로 확인됐다. 일반 방문객의 스마트폰은 보안상 제출하도록 하는 반면, 차량에 탑재된 통신 장비와 데이터 수집 시스템에 대해서는 점검이 이루어지지 않고 있다. 커넥티드카(Connected Car)는 실시간으로 데이터를 외부 서버와 송수신하는 '움직이는 IoT 기기'임에도 불구하고, 보안 검색의 사각지대에 놓여 있는 것이다.

중국산 전기차 제조사들은 "고객 개인정보는 국내 서버에만 저장·관리하며 개인정보보호법 등 국내 법령에 따라 처리한다"고 해명하고 있다. 그러나 데이터의 수집 범위, 암호화 수준, 중국 본사의 접근 권한, 제3국 서버 경유 여부 등 구체적인 데이터 처리 절차에 대한 투명한 공개는 이루어지지 않고 있다. 개인정보보호법 제28조의2(가명정보의 처리 등) 및 제39조의3(개인정보의 국외 이전)에 따른 고지 의무가 실질적으로 이행되고 있는지에 대한 검증이 필요한 상황이다.

최근 미국과 유럽연합(EU)은 중국산 커넥티드카에 대한 보안 조사를 강화하고 있으며, 일부 국가에서는 정부 기관의 중국산 전기차 사용을 제한하는 조치를 취하고 있다. 우리나라도 국가 안보 시설에 대한 차량 보안 점검 체계를 마련하고, 커넥티드카의 개인정보 수집·전송에 대한 투명성 강화 방안을 시급히 마련해야 할 시점이다.

전문가 시각

ISMS-P 인증 관점에서 볼 때, 커넥티드카는 '개인정보 처리시스템'으로 분류되어야 하며, 특히 AI 음성비서를 통한 음성 데이터 수집은 '민감정보' 처리에 해당할 수 있다. 개인정보보호법 제23조(민감정보의 처리 제한)에 따라 명확한 동의 절차가 필요하지만, 현재 대부분의 차량 제조사는 포괄적 동의만을 받고 있어 법 위반 소지가 있다. 또한 차량 내 수집된 데이터가 실시간으로 외부 서버로 전송될 경우, 암호화 통신(TLS 1.3 이상), 접근 통제, 전송 로그 관리 등 ISMS-P 인증기준 2.8.2(개인정보의 암호화), 2.9.1(개인정보 전송 시 보호조치)의 통제 항목이 적용되어야 한다.

국방부 등 국가 중요 시설의 경우, 차량을 통한 정보 유출 위험을 고려한 '차량 보안 검색 체계'를 수립해야 한다. 이는 단순히 중국산 차량만의 문제가 아니라, 모든 커넥티드카에 적용되어야 할 보안 원칙이다. 실무적으로는 ① 보안 시설 진입 전 차량 통신 기능 일시 차단, ② 블루투스·Wi-Fi 등 무선 통신 비활성화 확인, ③ 차량 데이터 수집 로그에 대한 정기 감사 등의 조치가 필요하다. 기업 입장에서는 임직원이 사용하는 차량의 개인정보 수집 정책을 검토하고, 업무용 차량에 대한 정보보호 지침을 마련하는 것이 시급하다.

CPPG·ISMS-P 연계 포인트

개인정보의 국외 이전 (개인정보보호법 제39조의3)
개인정보처리자가 개인정보를 국외로 이전하는 경우, 정보주체에게 이전 국가·이전 일시·방법, 수집 목적, 보유·이용 기간 등을 고지하고 동의를 받아야 한다. 커넥티드카 제조사는 차량 데이터가 해외 서버로 전송되는 경우 이를 명확히 고지해야 하며, 중국 등 제3국의 정보 접근 가능성에 대해서도 투명하게 공개할 의무가 있다.

개인정보의 암호화 (ISMS-P 인증기준 2.8.2)
개인정보는 안전한 암호 알고리즘으로 암호화하여 저장해야 하며, 네트워크를 통해 송수신 시에도 안전한 암호화 통신을 적용해야 한다. 차량과 외부 서버 간 데이터 전송 시 TLS 1.3 이상의 암호화 프로토콜 사용, AES-256 등 강력한 암호화 알고리즘 적용, 암호키의 안전한 관리 체계가 필수적이다.