보람상조 7개 계열사 ‘안전조치의무’ 위반
위탁사의 관리·감독 책임·사후 조치 부실
작년 하반기 시정명령 이행률 95% 달해
SKT·인크루트 재발 방지 대책 이행 조치
송경희 개인정보보호위원회 위원장이 지난 13일 오후 서울 종로구 정부서울청사에서 개최된 2026년 제9회 개인정보보호위원회 전체회의에서 모두발언을 하고 있다. (제공: 개인정보보호위원회)
[천지일보=황해연 기자] 개인정보보호위원회(개인정보위)가 2만 8000여명의 개인정보를 유출한 보람상조 계열사들에 과징금·과태료 약 5억 5000만원을 부과했다.
개인정보위는 지난 13일 열린 제9회 전체회의에서 ‘개인정보 보호법’을 위반한 보람상조개발㈜ 등 보람상조 7개 사업자에 대해 과징금 총 5억 4250만원 및 과태료 1140만원을 부과하고 시정 및 공표 명령을 의결했다고 14일 밝혔다.
조사 결과에 따르면 수탁자인 보람상조개발은 보람상조리더스 등 보람그룹 내 6개 계열사로부터 온라인 고객 상담 등 고객관계관리(CRM) 업무를 위탁받아 수행해 왔다. 보람상조개발은 이 과정에서 효율적인 업무 수행을 위해 홈페이지를 통해 수집된 개인정보를 통합 관리하는 데이터베이스(DB)를 운영해 왔으나 해당 시스템과 관련해 접근제어 등 안전성 확보 조치를 소홀히 했던 것으로 드러났다.
이러한 보안 관리 미흡 상황에서 해커가 홈페이지의 취약점을 이용한 ‘에스큐엘 인젝션(SQL Injection)’ 공격을 통해 해당 DB에 침입한 사실이 나타났다. 이로 인해 이름, 휴대전화번호, 이메일 등 고객의 개인정보를 탈취한 것으로 나타났다.
위탁사인 6개 계열사는 개인정보 처리를 위탁한 주체로서 수탁자인 보람상조개발이 안전하게 정보를 관리하도록 교육하고 감독해야 할 의무가 있음에도 이를 충분히 이행하지 않은 사실도 확인됐다. 이에 따라 개인정보위는 수탁자에 대한 관리·감독 책임을 물어 해당 계열사들에 총 1150만원의 과징금을 부과하고 처분 내용을 사업자의 홈페이지에 공표하도록 명령했다.
사고 이후의 대응 과정 역시 부실했던 것으로 드러났다. 조사 결과 보람상조개발이 유출 사실을 인지한 후 정보주체에게 지체 없이 통지해야 함에도 법정 기한을 넘겨 통지한 사실이 드러났다. 보유 기간이 경과한 개인정보를 파기하지 않고 그대로 보관해 온 사실도 함께 드러났다.
이에 개인정보위는 보람상조개발에 과징금 5억 3100만원과 유출통지 지연 및 개인정보 미파기에 따른 과태료 1140만원을 부과했다.
아울러 그룹 차원의 전반적 개인정보 처리 현황 점검·정비 및 의사결정체계 정비, 위수탁 관계 투명성 확보 등을 내용으로 하는 시정조치 명령을 의결했다.
개인정보위는 이번 보람상조 처분에 대해 “계열회사 등 다수 기업이 관련되는 복잡한 개인정보 처리 구조에서 발생할 수 있는 보안 사각지대를 경고했다는 데 의의가 있다”고 밝혔다. 특히 위·수탁 등을 통해 개인정보를 통합 처리하는 경우 처리 체계의 투명성 확보가 중요하며, 위탁자는 수탁자의 개인정보 처리 현황 등을 실질적으로 관리·감독할 책임이 있다는 점을 명확히 했다.
개인정보위는 보람상조 제재와 더불어 대규모 개인정보 처리자 및 해외사업자 등을 대상으로 처분한 시정명령 및 개선권고 사항에 대한 2025년 하반기 이행점검 결과를 보고했다.
점검 결과 이행 기간이 도래한 222건 중 211건(약 95.0%)이 이행되거나 이행계획이 제출된 것으로 확인됐다.
개인정보위는 지난해 대규모 개인정보 유출 사고가 발생했던 사업자들에 대해 현장 점검을 실시해 구체적인 이행 여부를 확인했다.
조사 결과 약 2300만건의 유출이 발생했던 SK텔레콤은 이동통신망 내 개인정보 처리 시스템 식별 및 전수점검을 완료하고 방화벽 정책 개선 및 유심(USIM) 인증키와 중요 정보 암호화를 완료한 것으로 나타났다. 개인정보보호책임자(CPO)가 IT 인프라 등 영역 제한 없이 개인정보 자산을 관리·감독할 수 있도록 조직을 재정비한 사실도 함께 확인됐다.
약 720만건의 유출 사고를 겪은 인크루트 역시 추가 인증체계 마련 및 비정상 트래픽 탐지 정책 개선 등 보안 강화 조치를 충실히 이행한 것으로 조사됐다.
공공기관과 해외 사업자들의 보안 수준도 향상됐다. 경찰청 등은 인사 정보와 개인정보 처리 시스템을 연계해 접근 권한 관리를 강화했으며 국민연금공단 등은 시스템 이용 기관이 접속기록을 직접 조회할 수 있도록 시스템을 개선했다.
한국장애인고용공단 등은 이상 행위에 대한 실시간 소명 및 책임자 결재 절차를 마련한 것으로 확인됐다. 해외사업자인 쿠카엔터테인먼트 등은 법적 근거 없는 주민등록번호 처리를 제한하고 수집 금지 체크리스트를 내부 관리 계획에 반영한 것으로 나타났다.
네이버와 카카오 등 슈퍼앱 사업자들은 개선권고에 따라 관행적인 필수 동의 대신 대체 방안을 마련하고 서비스별 탈퇴가 가능하도록 조치했으며 월드코인(TFH)은 아동 연령 확인 절차 도입 등의 시정조치를 이행한 것으로 확인됐다.
개인정보위는 현재 상조 분야 전반에 대해 개인정보 처리 실태점검 및 관행 개선을 위한 사전 실태점검을 진행 중이며 향후에도 대규모 개인정보를 처리하거나 복잡한 위·수탁 구조를 가진 사업자들이 안전하게 정보를 처리할 수 있도록 실태점검 및 감독을 강화해 나갈 예정이다.
천지일보는 24시간 여러분의 제보를 기다립니다.
천지일보 카톡
1644-7533
댓글
0