개인정보위, 유출 사고 발생한 위·수탁자 모두 과징금 처분
개인정보위, 유출 사고 발생한 위·수탁자 모두 과징금 처분
수탁자인 ㈜한양CC는 안전조치 의무 위반으로 과징금 약 1억5천만 원 부과
위탁자인 (사)서울CC는 수탁자 관리·감독 소홀로 과징금 약 5천만 원 부과
수탁자라 하더라도 시스템 운영 책임 명확한 경우 과징금 대상, 위탁자도 수탁자 관리·감독 의무 다해야
개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 10월 22일(수) 제22회 전체회의를 열고, 개인정보 보호 법규를 위반한 2개 사업자*에 대해 총 2억 110만 원의 과징금과 2,220만 원의 과태료를 부과하고, 시정명령, 공표명령 및 개선권고를 의결하였다.
* ㈜한양컨트리클럽 : 과징금 1억 4,800만 원, 과태료 1,230만 원, 공표명령, 개선권고
(사)서울컨트리클럽 : 과징금 5,310만 원, 과태료 990만 원, 시정명령, 공표명령
이들 2개 사업자의 구체적인 위반 내용과 처분 결과는 다음과 같다.
골프장을 운영하는 (사)서울컨트리클럽(이하 '서울CC')과 ㈜한양컨트리클럽(이하 '한양CC')은 골프장 회원으로부터 스팸문자를 수신했다는 민원 전화를 받고 개인정보 유출 사실을 인지*하였다.
* 개인정보 유출 사실 인지('23. 12. 4.), 유출 신고·통지('23. 12. 6.)
스팸문자는 "[한양CC] OOO 추천으로 찾아오셨다면.... " 문구에 도박사이트 URL 링크가 포함되어 있었고, 회원 등의 개인정보는 포함되어 있지 않았음
개인정보위 조사결과, 해커는 사전에 획득한 관리자 계정정보로 한양CC 홈페이지에 로그인하여 총 87,923명*의 서울CC와 한양CC 회원들에게 스팸문자를 발송하였다. 사고 당시 서울CC는 한양CC에 회원정보 처리를 위탁하고 있었는데, 한양CC가 같은 시스템으로 골프장 회원정보를 관리하다 보니 서울CC 회원에게도 스팸문자가 발송된 것이다.
* 서울CC 회원 70,166명, 한양CC 회원 17,757명
한양CC는 위·수탁 계약을 통해 자사뿐 아니라 서울CC의 홈페이지와 골프장 운영시스템을 운영하면서 업체 구분 없이 동일 웹서버, 데이터베이스, 관리자 계정을 사용해 관리하고 있었다. 개인정보위는 서울CC와 한양CC의 개인정보를 모두 처리하는 한양CC가 보호법에서 규정한 안전조치를 소홀히 하였다고 판단하였다.
또한 한양CC와 서울CC가 체결한 위·수탁 계약서에는 개인정보 처리업무 위탁 범위와 안전조치 등 세부 내용이 포함되지 않았다. 더불어 서울CC의 개인정보 처리방침은 개인정보 처리 수탁자로 한양CC가 아닌 골프장 운영시스템을 유지보수하는 IT업체를 명시하는 등 부정확한 정보를 담고 있었다. 이러한 점을 고려할 때 개인정보위는 서울CC가 개인정보 처리업무 위탁에 필요한 사항을 준수하지 않았다고 판단하였다.
아울러, 개인정보위는 서울CC와 한양CC 모두 골프장 회원권 양도·양수에 따른 명의개서* 명세서를 세무서에 제출하기 위해 수집한 회원 주민등록번호 등을 목적 달성 이후에도 파기하지 않고 보관해 보호법을 위반한 사실도 확인하였다.
* 주주 교체 시 취득자를 주주명부에 기재하는 행위
이에 따라, 개인정보위는 수탁자인 한양CC에는 과징금 1억 4,800만 원과 과태료 1,230만 원을 부과하고, 개인정보 처리방침에 개인정보 흐름을 명확히 할 것과 데이터베이스 접근권한을 처리자별로 분리하는 등의 개선을 권고하였다.
위탁자인 서울CC에는 과징금 5,310만 원, 과태료 990만 원을 부과하고, 홈페이지 등에 수탁자를 구체적으로 명시·공개할 것과 수탁자에 대한 처리 현황 점검 등 관리·감독을 충실히 하도록 시정 명령하였다.
< 이번 조사·처분의 의의 >
이번 처분은 개인정보 안전조치 의무에 대한 책임이 명확하게 수탁자에게 있는 경우에 수탁자와 함께 수탁자에 대한 관리·감독을 소홀히 한 위탁자도 처분한 사례라는 의미가 있다.
개인정보위는 개인정보 처리업무를 위탁할 때에는 위탁하는 업무 내용이나 목적, 보호조치 등을 명확히 하여야 한다고 강조하였다. 이와 더불어, 위탁자는 수탁자의 개인정보 처리 현황을 점검하는 한편, 개인정보 보호에 필요한 교육을 실시하는 등 수탁자에 대한 관리·감독을 충실히 이행할 것을 당부하였다.
* 기타 자세한 내용은 첨부파일을 확인해주시기 바랍니다.
담당자 : 조사1과 최우석(02-2100-3113)
