개인정보위, 스타벅스 본사·하스 등 5개 사업자 제재

개인정보보호위원회(위원장 송경희, 이하 개인정보위)는 개인정보보호법을 위반한 국내외 사업자 5곳에 대해 시정명령과 과징금, 고발 등 제재를 의결했다고 27일 밝혔다. 이번 조치는 해외 본사의 개인정보 과다 수집부터 의료기기 업체의 안전조치 미흡, 자료 제출 거부까지 다양한 위반 유형을 동시에 점검한 결과다.

해외 본사 개인정보 과다 수집…스타벅스 본사·엘리베이트 시정명령

개인정보위는 스타벅스 본사(Starbucks Corporation)가 납품업체 근로자 정보를 과도하게 요구했다는 민원과 언론보도를 계기로 조사를 진행했다. 조사 결과, 본사는 윤리구매 프로그램 위탁 과정에서 개인정보 보호법상 필수 계약 요건을 누락했고 수탁자인 엘리베이트(Elevate Hong Kong Holdings Limited)에 대한 관리·감독도 부실했다.

엘리베이트는 인사자료, 급여 정보, 출퇴근 기록 등 법적 근거 없이 처리한 개인정보를 외부로 전송한 사실이 확인돼 시정명령을 받았다. 개인정보위는 두 회사에 개선을 권고하고 이행 여부를 지속적으로 점검할 예정이다.

개인정보위는 스타벅스코리아가 직접적 위반과 관련 없지만, 본사와 수탁자가 법을 준수하도록 안내할 것을 권고했다.

관리 부실에 따른 유출·자료 제출 거부…하스·바텍엠시스·나무위키 제재

의료기기 제조·판매업체 하스와 바텍엠시스는 외부 해커에 의해 관리자 계정이 탈취당하면서 유출 사고가 발생했다. 외부 접속 허용 상태에서 추가 인증수단을 적용하지 않았고, 관리 계정을 여러 직원이 공유하거나 접속기록 점검을 소홀히 한 점이 드러났다.

하스는 733명의 개인정보가 다크웹에 게시됐음에도 신고·통지를 지연해 과징금 1억3300만원과 과태료 780만원이 부과됐다. 바텍엠시스는 9637명 개인정보 유출로 과징금 5520만원 처분을 받았다.

나무위키(Umanle S.R.L.)는 한국 이용자를 대상으로 서비스를 제공하면서도 개인정보위의 자료 제출 요구를 반복적으로 거부해 수사기관에 고발됐다.

개인정보위는 관리자 페이지 해킹이 최근 유출 사고의 주요 원인으로 자리 잡고 있다며, IP 기반 접근통제, 다중 인증, 계정 공유 금지, 정기 취약점 점검 등 필수 안전조치를 재차 강조했다. 또한 이번 제재를 계기로 해외 본사나 국외 사업자의 국내 서비스 제공 과정에서도 동일한 법적 기준을 적용해 점검을 강화할 방침이다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network