개인정보위, 삼양 계열사·알뜰폰 8개사 제재

개인정보보호위원회(이하 개인정보위)는 개인정보 보호 법규를 위반한 삼양그룹 소속 4개사와 알뜰폰 사업자 8개사에 과징금·과태료 총 7억3950만원 부과 등을 의결했다고 12일 밝혔다. 삼양그룹에서는 방치한 파일서버를 통한 개인정보 유출사고가 발생했고 알뜰폰 사업자들은 주민등록번호 무단 수집과 개인정보 암호화 미흡 등으로 제재를 받았다.

개인정보위는 지난 11일 제22회 전체회의에서 두 건의 조사 결과를 심의했다. 삼양그룹에는 과징금 5억5200만원과 과태료 1620만원을 부과했다. 알뜰폰 사업자들에는 과징금 6090만원과 과태료 1억1040만원을 부과하고 시정명령과 공표명령을 내렸다.

데이터 이관 마친 서버 방치해 15만명 정보 유출

삼양그룹 제재 대상은 삼양홀딩스·삼양사·삼양패키징·삼양데이타시스템이다. 해커는 2022년 7월 삼양그룹 메일서버의 취약점을 악용해 관리자 권한을 얻었다. 이어 내부 파일서버의 인증정보를 탈취하고 삼양홀딩스·삼양사·삼양패키징의 임직원·주주·관계자 등 14만9767명의 개인정보가 담긴 파일 약 85만개를 유출했다. 유출 규모는 1.3테라바이트(TB)다. 이 가운데 8만2750명의 주민등록번호가 포함됐다.

삼양데이타시스템은 3개사의 데이터 이관을 마친 뒤에도 해당 서버를 외부망과 통신할 수 있는 상태로 두었다. 개인정보위는 해커가 이 서버의 정보를 단기간에 외부 클라우드로 유출할 수 있었다고 설명했다.

삼양홀딩스·삼양사·삼양패키징은 주민등록번호 암호화 등 안전조치를 하지 않았다. 삼양홀딩스와 삼양패키징은 법정 보존기간이 지난 일용직 근로자 급여정보도 파기하지 않았다. 삼양홀딩스는 채용 과정에서 법령상 근거 없이 주민등록번호를 수집했다.

3개사는 사고 당시 삼양데이타시스템에 개인정보 처리업무를 맡겼지만 관련 위탁계약서는 2024년 12월에야 마련했다.

개인정보위는 삼양홀딩스·삼양사·삼양패키징에 각각 과징금 1억8400만원을 부과했다. 과태료는 삼양홀딩스 900만원, 삼양사 180만원, 삼양패키징 540만원이다. 접근통제 의무를 위반한 삼양데이타시스템에는 시정명령과 공표 처분을 내렸다.

알뜰폰 사업자, 주민번호 수집·암호화·파기 의무 위반

알뜰폰 제재 대상은 케이티엠모바일·미디어로그·에스원·엘지헬로비전·에스케이텔링크·유니컴즈·국민은행·케이티스카이라이프다. 개인정보위는 가입·개통부터 해지까지 개인정보 처리 전 과정을 조사했다.

케이티엠모바일과 유니컴즈는 웹사이트에서 유심을 판매하면서 법적 근거 없이 주민등록번호를 수집했다. 미디어로그는 온라인 가입·개통 과정에서 요금 납부자를 회선 명의자가 아닌 제3자로 변경하는 신청을 받으며 근거 없이 주민등록번호를 수집했다.

개인정보위는 해당 위반행위에 케이티엠모바일 1370만원, 미디어로그 4720만원의 과징금을 부과했다. 유니컴즈는 과징금 산정 결과 면제 대상에 해당해 과징금을 면제하고 같은 위반행위에 과태료 390만원을 부과했다.에스케이텔링크·엘지헬로비전·케이티엠모바일·미디어로그는 주민등록번호와 신용카드번호, 계좌번호 등을 암호화하지 않은 평문으로 보관했다. 케이티스카이라이프와 유니컴즈는 개인정보 처리시스템의 접근권한 관리 기록을 최소 3년간 보관하지 않았다. 엘지헬로비전은 접속기록 보관도 소홀히 했다.

보유기간이 지났거나 처리 목적을 달성한 개인정보를 파기하지 않은 사례도 확인됐다. 일부 사업자는 부가서비스를 위한 개인정보 제3자 제공 선택 동의를 필수 항목으로 구성했다. 이용자가 동의하지 않으면 알뜰폰을 개통하거나 이용할 수 없도록 운영했다.

업체별 과태료는 케이티엠모바일 2340만원, 미디어로그 1440만원, 에스원 1080만원, 엘지헬로비전 1530만원, 에스케이텔링크 1440만원, 유니컴즈 1290만원, 국민은행 1380만원, 케이티스카이라이프 540만원이다. 유니컴즈의 과태료에는 주민등록번호 수집 위반에 대한 390만원이 포함된다.

개인정보위는 개통을 마치지 않은 신청서를 필요한 최소 기간만 보관하도록 내부 기준을 마련하게 했다. 사업자별 보관기간은 최소 5일에서 최대 1년까지 차이가 났다. 가입은 웹이나 앱으로 가능하지만 해지는 대리점 방문이나 고객센터 상담사 연결로만 가능한 사업자에는 해지 절차를 개선하도록 권고했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network