개인정보보호위원회가 보람상조개발 등에 과징금 5억4250만원 등을 부과했다고 14일 밝혔다.
개인정보위는 전날 제9회 전체회의를 열고 '개인정보 보호법'을 위반한 보람상조개발 등 보람상조 7개 사업자에 대해 과징금 총 5억4250만원과 과태료 1140만원을 부과하고 시정 및 공표 명령을 의결했다.
정부는 2024년 5월 28일 보람상조개발로부터 개인정보 유출 신고가 접수되면서 조사에 착수했다. 해커가 홈페이지의 취약점을 이용한 '에스큐엘 인젝션(SQL Injection) 공격을 통해 해당 데이터베이스(DB)에 침입해 이름, 휴대전화번호, 이메일 등 고객의 개인정보를 탈취한 것으로 확인됐다.
아울러 보람상조 홈페이지 통합 회훤은 물론 온라인 상담 신청자의 이름, 휴대전화번호 등 개인정보 2만7882건이 유출된 것으로 파악됐다.
조사 결과 보람상조개발은 보람상조리더스등 보람그룹 내 6개 계열사로부터 온라인 고객 상담 등 고객관계관리(CRM) 업무를 위탁받아 수행하면서 홈페이지를 통해 수집된 개인정보를 통합 관리하는 DB를 운영해 왔으나 해당 시스템 접근제어 등 안전성 확보 조치를 소홀히 했다.
아울러 위탁사인 6개 계열사는 개인정보 처리를 위탁한 주체로서 수탁자인 보람상조개발이 안전하게 정보를 관리하도록 교육하고 감독해야 할 의무가 있음에도 이를 충분히 이행하지 않은 사실도 확인됐다.
또한 보람상조개발이 유출 사실을 인지한 후 정보주체에게 지체없이 통지하지 않고 법정 기한을 넘겨 통지한 사실과 보유 기간이 경과한 개인정보를 파기하지 않고 보관한 사실도 확인됐다 .
이에 따라 개인정보위는 보람상조개발에 안전조치의무 위반 등으로 과징금을 처분하고 그룹 차원의 전반적 개인정보 처리 현황 점검·정비 및 의사결정 체계 정비, 위수탁 관계 투명성 확보 등을 내용으로 하는 시정조치 명령을 통해 그룹 전체의 개인정보 보호 수준을 강화하도록 했다.
이번 처분은 계열회사 등 다수 기업이 관련되는 복잡한 개인정보 처리환경에서 개인정보 처리가 불투명하게 운영될 경우 발생할 수 있는 보안 사각지대를 경고했다는 데 의의가 있다. 특히 위수탁 등을 통해 개인정보를 통합 처리하는 경우 효율성 못지않게 처리 체계의 투명성 확보가 중요하다. 개인정보위는 위탁자가 수탁자의 개인정보 처리 현황 및 보호 조치 등을 실질적으로 관리·감독할 책임이 있다는 점을 지적했다.
개인정보위는 앞으로도 대규모 개인정보를 처리하거나 복잡한 위·수탁 구조를 가진 사업자들이 보다 투명하고 안전하게 개인정보를 처리할 수 있도록 실태점검 및 감독을 강화해 나갈 예정이며, 현재 상조 분야 전반에 대해 개인정보 처리실태 점검 및 관행 개선을 위한 사전 실태점검을 진행 중이다.