개인정보위, 개인정보 유출 테슬라코리아 등에 과태료ㆍ과징금 부과

고객 개인정보 14만 건을 유출한 네이처리퍼블릭이 총 3120만 원의 과징금ㆍ과태료 처분을 받게 됐다.

네이처리퍼블릭은 정보통신망법 제28조 개인정보 보호조치 위반 행위로 과징금 2120만 원과 과태료 1000만 원을 부과 받았다. 개인정보처리시스템에 대한 접근통제와 암호화 등 보호조치가 이뤄지지 않았다는 이유다.

미상의 해커가 SQL 삽입 공격으로 관리자 페이지에 로그인, 네이처리퍼블릭의 고객 정보를 유출했다. 네이처리퍼블릭은 사고 원인이 된 계정의 외부 접속을 차단하고 한국인터넷진흥원(KISA)에 해당 사실을 신고했다.

네이처리퍼블릭 관계자는 “개정된 정보통신망법에 따라 주민등록번호는 수집하지 않고 있다. 비밀번호도 암호화로 보호돼 유출되지 않았다”라며 “이후 전문적인 정보보호 컨설팅을 의뢰해 보안 취약점을 강화하고 지속적인 모니터링 등 재발 방지를 위해 노력하는 중”이라고 전했다.

SD생명공학 또한 미상의 해커가 쇼핑몰서비스 웹셸 공격을 받았다. 이 과정에서 약 1만 4000여 건의 개인정보가 유출됐다. SD생명공학도 개인정보 보호조치가 이뤄지지 않았다는 이유로 과징금 850만 원과 과태료 800만 원을 부과 받았다. 여기에 정보통신망법 제27조 3의①에 따른 개인정보 유출 통지 지연으로 과태료 500만 원이 추가됐다.

테슬라코리아의 경우 담당자가 전기차 보조금 안내 시 실수로 이메일을 동봉 발신, 전체 수신에 이메일 주소를 유출했다. 500여 명의 고객정보가 이 과정에서 노출됐다. 과태료 500만 원이 부과됐다.

씨트립코리아는 회사 담당자가 이용자의 항공권 환불처리 과정에서 회사 이메일 주소가 아닌 타 이용자 이메일 주소를 안내, 개인정보가 유출된 건이다. 단 한 건의 개인정보가 유출돼 500만 원의 과태료가 부과됐다.

과태료·과징금 산정 기준에 대한 질문에 김진해 개인정보위 대변인은 “기술적인 사항이라 구체적으로 설명하기는 어렵다”고 말했다.

▲윤종인 개인정보보호위원회 위원장이 27일 오전 서울 종로구에 위치한 정부서울청사 4층 대회의실에서 개최된 제2회 전체회의를 주재하고 있다. (사진제공=개인정보보호위원회)

한편 개인정보위는 이날 오전 진행한 전체회의에서 ‘개인정보 보호법 위반에 대한 과태료 부과기준’ 제정에 관한 건을 의결했다. 개인정보 안전성 확보에 필요한 조치 이행 노력 정도, 피해확산 방지를 위한 후속조치 이행 여부 등을 고려해 과태료의 100분의 50 이내에서 더하거나 감액해주는 안이다. 과태료·과징금 처분에 이의가 있는 자는 처분 60일 이내에 이의제기가 가능하다는 내용도 포함됐다.

이외에도 개인정보위는 개인정보 보호법을 위반하고 개인정보 보호에 미흡하게 대처한 30개 기관에 대한 시정조치를 권고했다.

개인정보처리 시스템 접속기록 미보관한 27개 기관, 개인정보 취급자간 계정을 무단 공유한 19개 기관, 주민등록번호 암호화 미조치한 1개 기관, 업무처리 목적 달성 이후 개인정보를 파기하지 않은 1개 기관 등 총 47건을 적발했다.

(사진제공=개인정보보호위원회)