[기업법률가이드] 개인정보보호 위반 과징금 부과

표경민 (법무법인 디엘지 변호사)

지난해 3월14일 개인정보보호법 개정으로 개인정보보호위원회는 개인정보처리자의 각종 개인정보보호법 위반행위에 대해 위반행위자의 전체 매출 3%를 상한으로 하는 과징금을 부과할 수 있게 됐다. 개정 전(前) 개인정보보호법은 정보통신서비스제공자에 대해 위반행위와 관련된 매출의 3%를 상한으로 하는 과징금 부과 규정만 존재했었다. 이번 법 개정으로 부과할 수 있는 과징금 액수가 대폭 증가한 셈이다. 다만 개인정보처리자가 전체 매출액 중 위반행위와 관련없는 매출액을 입증할 수 있으면 해당 액수를 과징금 산정시 공제할 순 있다. 결과적으론 개인정보처리자의 입증책임 및 징벌 수준이 높아졌다.

개정된 법 규정이 적용된 첫 사례는 올해 5월8일 〈주〉골프존에 과징금(75억400만원) 부과다. 해킹 공격 탓에 골프존 파일서버에 저장된 221만명 이상의 서비스 이용자 및 임직원의 개인정보가 유출돼서다. 이 중엔 주민등록번호와 계좌번호도 일부 포함됐다. 골프존은 코로나19 사태로 재택근무가 증가하자 가상사설망(VPN) 도입과정에 필요한 안전조치를 취하지 않아 외부에서 서버로의 원격접속 등 불필요한 접근을 허용했다. 아울러 수집한 주민등록번호를 암호화하지 않았고, 파기해야 할 개인정보도 그대로 보관했다.

개인정보보호위는 지난 5월22일엔 카카오에 151억4천196만원의 과징금을 부과했다. 역대 최대 과징금 액수다. 개인정보보호위는 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론 보도를 접하고 조사에 착수했다. 조사 결과, 해커는 오픈채팅 메시지 송수신시 활용되는 참여자의 임시ID에 대한 보안 허점을 파고들었다. 카카오는 오픈채팅과 일반채팅을 이용하는 이용자를 동일한 회원일련번호로 식별하도록 했다. 2020년 8월 이전엔 오픈채팅방의 임시 ID를 암호화하지 않아 임시 ID로부터 회원 일련번호를 쉽게 식별할 수 있었다. 임시 ID 암호화 후에도, 오픈채팅 게시판에 암호화된 임시 ID를 입력하면 암호화가 해제된 임시 ID를 노출하는 취약점이 있었다. 아울러 카카오톡 전송방식에 대한 공개 API(응용프로그램 인터페이스)를 활용하면 이용자 정보 추출이 가능하다는 개발자 커뮤니티의 지적도 있었다. 하지만 이에 대한 검토, 개선을 하지 않았다. 오픈채팅 이용자의 개인정보 유출 신고 및 통지의무도 이행하지 않았다.

지난 7월25일엔 중국 기업 '알리익스프레스(이하 알리)'에 대해 과징금 19억7천800만원을 부과했다. 알리에 대한 전 세계 최초의 과징금 부과 사례다. 알리는 구매자 정보를 중국 내 판매자들에게 전달하는 과정에서 개인정보를 국외 제3자에게 제공하는 것에 대한 동의를 받음에 있어 정보주체에게 고지해야 하는 사항들을 누락했다. 개인정보보호위는 현재 '테무'에 대한 조사를 진행 중이다. 특히, 알리 및 테무의 국내 이용자가 1천만명 이상인 상황에서 중국 판매자들에게 국내 정보주체들의 개인정보가 적법한 근거없이 이전되는 건 데이터 주권 문제와도 직결된다. 국가 안보차원에서도 주의해야 할 문제다.

개인정보보호위는 법 개정 전보다 대폭 강화된 과징금을 부과하고 있다. 개인정보처리자라면 개인정보보호법의 기본원칙을 충실히 지킬 필요가 있다. 만일 일정 규모 이상의 개인정보를 다루고 있거나, 민감정보 등 특별한 보호가 요구되는 개인정보를 중점 취급하는 서비스 제공자라면 조직 내 개인정보관리 부서를 별도 설립, 기본적인 개인정보 컴플라이언스 시스템을 갖추는 게 중요하다. 가이드라인의 업데이트에 맞춰 개인정보처리방침이나 개인정보 수집이용동의서를 업데이트하자. 개인정보에 대한 안전성 조치를 주기적으로 검토 및 개선해 정보주체의 동의 및 목적이 달성된 개인정보의 파기의무 준수 등 기본적 의무를 수행하기 위한 조직 내 체계를 수립해두는 것도 중요하다.

표경민〈법무법인 디엘지 변호사〉