계열사 간 위·수탁 관리 부실로 상조업계 전반 실태 점검
보람상조가 고객 개인정보 약 2만8000건을 유출한 사고와 관련해 5억원대 과징금을 부과받았다.
단순 해킹 사고를 넘어 계열사 간 복잡한 위·수탁 구조 속에서 개인정보 관리 책임이 제대로 작동하지 않았다는 점이 드러나면서, 개인정보보호위원회는 상조업계 전반에 대한 관리·감독 강화에도 나섰다.
개인정보보호위원회는 지난 14일 개인정보보호법을 위반한 보람상조개발 등 보람그룹 계열 7개사에 총 5억4250만원의 과징금과 1140만원의 과태료를 부과했다고 밝혔다.
제재 대상은 보람상조개발과 보람상조리더스, 보람상조라이프, 보람상조피플, 보람상조애니콜, 보람상조실로암, 보람상조플러스 등이다.
조사 결과 보람상조개발은 계열사들로부터 온라인 고객상담 등 고객관계관리(CRM) 업무를 위탁받아 회원 정보를 통합 관리하는 데이터베이스(DB)를 운영해왔다.
그러나 접근제어 등 기본적인 보안 조치를 소홀히 하면서 해커의 SQL 인젝션 공격에 노출됐고, 이 과정에서 이름·휴대전화번호·이메일·생년월일·아이디·비밀번호 등 개인정보 2만7882건이 유출된 것으로 조사됐다.
사고 이후 대응 과정에서도 문제는 이어졌다.
보람상조개발은 개인정보 유출 사실을 인지하고도 법정 기한인 72시간을 넘겨 이용자에게 통지했고, 보유 기간이 지난 개인정보도 별도 파기하지 않은 것으로 확인됐다. 개인정보위는 이를 개인정보 보호법상 안전조치 의무 위반으로 판단했다.
개인정보위는 개인정보 처리를 위탁한 계열사들의 책임도 함께 물었다. 수탁자인 보람상조개발의 보안 조치와 운영 현황을 실질적으로 감독·교육해야 할 의무를 다하지 않았다는 것이다.
이에 보람상조개발에는 과징금 5억3100만원과 과태료 1140만원이, 나머지 계열사들에는 총 1150만원의 과징금이 각각 부과됐다.
개인정보위는 그룹 차원의 개인정보 처리 체계와 위·수탁 구조를 전면 점검·정비하도록 시정명령과 공표명령도 함께 내렸다.
개인정보위 관계자는 “복잡한 위·수탁 구조에서는 처리 체계의 투명성이 중요하다”며 “대규모 개인정보를 처리하는 사업자에 대한 실태 점검과 감독을 강화할 계획”이라고 밝혔다.
현재 상조업계 전반에 대한 개인정보 처리 실태 점검도 진행 중이다.
