 |
사진=롯데카드 |
개인정보보호위원회가 대규모 개인정보 유출 사고와 관련해 롯데카드에 약 96억원 규모의 과징금을 부과했다.
개인정보위는 12일 롯데카드의 개인정보보호법 위반 행위에 대해 과징금 96억2천만원과 과태료 480만원을 부과하고 시정 및 공표 명령을 내렸다고 밝혔다. 해당 결정은 전날 열린 개인정보위 전체회의에서 의결됐다.
이번 사건은 지난해 9월 금융감독원이 롯데카드의 개인신용정보 유출 신고 사실을 개인정보위에 통보하면서 조사에 착수하며 본격적으로 드러났다. 조사 결과 롯데카드의 온라인 간편결제 시스템이 해킹되면서 로그 파일에 저장돼 있던 이용자 약 297만명의 개인신용정보가 외부로 유출됐고, 이 가운데 약 45만명의 주민등록번호도 포함된 것으로 확인됐다.
사안의 성격상 금융당국과 개인정보위가 역할을 나눠 조사를 진행했다. 금융당국은 신용정보법을 기준으로 정보 유출과 관련한 안전조치 의무 위반 여부를 중심으로 살폈고, 개인정보위는 주민등록번호 처리 과정에서 개인정보보호법 위반이 있었는지를 중점적으로 들여다봤다.
조사 결과 롯데카드는 온라인 결제 과정에서 생성되는 로그 파일에 주민등록번호를 포함한 여러 개인정보를 평문 형태로 기록해 온 것으로 나타났다. 현행 개인정보보호법은 법률이나 대통령령 등에서 허용한 경우 또는 긴급한 생명·신체·재산 보호가 필요한 상황 등 제한적인 경우에만 주민등록번호 처리를 허용하고 있다. 그럼에도 롯데카드는 별도의 검토 절차 없이 로그에 주민등록번호 등 다양한 개인정보를 함께 저장했고, 암호화 조치 역시 충분히 이뤄지지 않았던 것으로 조사됐다.
또한 로그 파일에는 불가피한 경우 최소한의 개인정보만 기록해야 하지만 롯데카드는 필요 이상의 개인정보를 함께 저장하는 구조를 유지해 왔던 것으로 파악됐다. 개인정보위는 이러한 관리 방식이 이번 해킹 사고에서 대규모 개인정보 유출로 이어진 원인 가운데 하나로 작용했다고 판단했다.
일각에서는 과거 SK텔레콤이 대규모 개인정보 유출 사고로 1348억원의 과징금을 부과받았던 사례와 비교하기도 하지만, 개인정보위는 두 사건을 단순 비교하기는 어렵다는 입장이다. 이번 사건의 경우 개인정보위가 주민등록번호 처리 제한과 암호화 조치 위반 여부만을 판단한 것이며, 전체 개인정보 유출 사건에 대한 안전조치 위반 여부는 금융당국이 별도로 판단할 사안이라는 설명이다.
과징금 산정 기준도 이 같은 판단을 반영했다. 개인정보위는 이번 사건의 기준 매출을 롯데카드 전체 매출이 아니라 주민등록번호가 저장된 로그가 발생한 '온라인 결제 서비스' 관련 매출로 한정해 계산했다.
개인정보위는 과징금과 과태료 부과와 함께 롯데카드에 개인정보 처리 체계를 전반적으로 점검하고 개인정보 보호책임자(CPO)의 책임과 독립성을 강화하는 등 보호 체계를 정비하라는 시정 명령도 내렸다. 아울러 이번 사건을 계기로 금융권 사업자들의 주민등록번호 처리 실태에 대한 사전 점검도 추진할 계획이라고 밝혔다.
롯데카드는 이날 입장문을 통해 사고에 대한 유감을 표하면서도 일부 판단에 대해서는 추가 소명 절차를 진행하겠다는 뜻을 밝혔다. 롯데카드는 "사고 사실을 자진 신고했고 조사 과정에도 성실히 협조했다"며 "다만 법적 근거와 관련해 제출한 소명 내용이 충분히 반영되지 않은 부분이 있다고 판단된다"고 설명했다. 이어 "의결서를 수령한 뒤 세부 내용을 검토해 필요한 경우 이의 절차를 통해 추가 소명을 진행할 계획"이라고 밝혔다.
또한 회사 측은 "지난해 사이버 침해 사고로 고객들에게 불편과 심려를 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다"며 "향후 재발 방지와 개인정보 보호 강화를 위해 보안 체계를 더욱 강화하겠다"고 덧붙였다.
<저작권자 copyright ⓒ 테크m 무단전재 및 재배포 금지>
