개인정보보호위원회가 '배달의민족 보복 테러사건'과 관련해 운영사 우아한형제들에 '개선권고' 처분을 의결했다. 우아한형제들이 안전조치 의무 등 개인정보보호법을 위반했다고 보긴 어렵다는 판단에서다.
1일 개인정보위에 따르면 지난 9일 열린 전체회의에서 '배달의민족 보복 테러사건'과 관련, 우아한형제들에 개선권고를 의결하고 최근 처분내용을 송달했다. 개인정보위는 배달의민족 이용자 1명의 개인정보가 제3자인 사적 보복대행 조직에 유출됐고 이용자 467명의 개인정보가 무단조회된 정황이 있다고 판단했다.
'배달의민족 보복 테러사건'은 보복대행 조직이 조직원을 배달의민족 고객센터 외주 협력사에 상담사로 위장 취업시켜 이름·주소 등 고객정보를 무단조회·유출한 뒤 확보한 정보를 이용해 피해자 집의 현관에 인분 등 오물을 묻히고 래커로 욕설을 쓰는 등 보복테러를 저지른 사건이다.
개인정보위는 △이용자의 요청과 무관한 개인정보취급자의 고객정보 조회로 인한 사고 등에 관한 내실 있는 접속기록 점검 등 재발방지대책 마련 △수탁사를 포함, 개인정보취급자에 대한 정기교육 실시 등 개인정보 안전처리 관리·감독 △개선권고에 따른 개선조치 이행 및 통지를 받은 날로부터 90일 내 이행결과 제출 등을 권고했다.
개인정보위는 개선권고 외에도 시정권고, 시정조치 명령, 과태료·과징금 부과, 고발·징계권고 등 제재를 취할 수 있다. 개선권고는 이 중 낮은 수준의 제재다. 실제 법위반은 없다는 점이 결정과정에 반영된 것으로 보인다.
우아한형제들은 수탁사의 개인정보 보호체계를 강화하고 재발방지를 위해 노력하겠다는 입장을 밝혔다.
우선 개인정보를 수탁하는 협력사를 전수 현장점검해 보안솔루션 적용현황과 관리체계를 확인했다. 기존 31개인 점검 체크리스트 항목을 53개로 늘렸다. 추가된 항목에는 △사고 모의훈련 및 재발방지대책 수립여부 △데이터손실방지(DLP) 네트워크접근제어(NAC) 등 보안솔루션 적용현황 점검 △디스크 폐기이력 점검 등이 포함된다.
점검절차도 강화했다. 우아한형제들은 수탁사를 방문해 개인정보 수집부터 저장·이용·제공·파기 등 데이터 생애주기 전체를 현장에서 직접 전수점검했다. 이어 수탁사·시스템별 잠재위험 요소를 도출하고 개선조치했다. 이외에도 위수탁 관계에 따른 정보보호합의서 내용을 보완하고 신규 상담센터 개소시 매뉴얼에 따른 개인정보보호 관련사항 사전점검 절차를 강화하는 등 수탁절차를 체계화했다.
우아한형제들 관계자는 "이용자의 소중한 개인정보를 보호하기 위한 조치를 꾸준히 강화해 나가겠다"고 말했다.