[더팩트ㅣ이윤경 기자] 알뜰폰 사업자 8곳이 주민등록번호를 법적 근거 없이 수집하거나 개인정보를 암호화하지 않고 보관하는 등 개인정보 보호법 위반으로 총 1억7130만원의 과징금과 과태료를 부과받았다.
개인정보보호위원회(개보위)는 제22회 전체회의를 열고 8개 알뜰폰 사업자의 개인정보 보호법 위반행위에 대해 총 6090만원의 과징금과 1억1040만원의 과태료를 부과하고 시정명령 및 공표명령을 의결했다고 12일 밝혔다.
대상은 KT엠모바일, 미디어로그, 에스원, LG헬로비전, SK텔링크, 유니컴즈, KB국민은행, KT스카이라이프 8개사다. 개보위에 따르면 지난 8월 기준 알뜰폰 가입 회선은 약 1050만개로 전체 이동통신 휴대전화 회선의 약 18%를 차지한다.
조사 결과 KT엠모바일과 유니컴즈는 웹사이트에서 유심 상품을 판매하면서 법적 근거 없이 주민등록번호를 수집했다. 미디어로그도 온라인 가입·개통 과정에서 요금 납부자를 회선 명의자가 아닌 제3자로 변경하는 신청을 접수하면서 주민등록번호를 수집한 것으로 확인됐다.
개인정보를 암호화하지 않고 보관한 사례도 적발됐다. SK텔링크와 LG헬로비전, KT엠모바일, 미디어로그는 주민등록번호와 신용카드번호, 계좌번호 등을 암호화하지 않은 채 평문으로 보관했다. KT스카이라이프와 유니컴즈는 개인정보 처리시스템 취급자의 접근권한 관리 기록을 최소 3년간 보관하지 않았으며, LG헬로비전은 접속기록 보관 의무를 소홀히 했다.
대부분의 사업자는 보유기간이 지났거나 처리 목적을 달성한 개인정보를 파기하지 않았다. 일부는 특정 부가서비스 이용을 위한 제3자 제공 동의를 필수 항목으로 설정해 동의하지 않으면 가입이나 개통을 할 수 없도록 했다. 개인정보 처리 업무를 위탁한 업체에 대한 관리·감독도 미흡했다.
이에 개보위는 법적 근거 없이 주민등록번호를 수집한 KT엠모바일과 미디어로그에 각각 1370만원, 4720만원의 과징금을 부과했다. 이외 다른 위반행위를 포함한 개인정보 보호법 위반에 대해서는 8개 사업자에 총 1억1040만원의 과태료를 부과하고 재발 방지를 위한 시정명령과 공표명령을 내렸다.
개보위는 개통이 완료되지 않은 신청서의 보관기간이 사업자별로 최소 5일부터 최대 1년까지 차이가 나는 점도 확인해 개인정보 보관기간을 필요한 최소한으로 정하는 내부 기준을 마련하도록 했다.
아울러 알뜰폰 가입·개통 과정에서 고유식별정보와 결제정보 등 중요 개인정보가 처리되는 만큼 사업자들이 안전조치 의무를 철저히 이행해야 한다고 당부했다.
한편 개보위는 같은 날 개인정보 보호 법규를 위반한 삼양그룹 4개사에 대한 제재도 의결했다. 삼양홀딩스·삼양사·삼양패키징 등 3개사에 총 5억5200만원의 과징금과 1620만원의 과태료를 부과하고, 삼양데이타시스템에는 시정명령 등을 내렸다.
이번 조치는 2022년 7월 발생한 해킹으로 삼양 3사의 임직원·주주·관계자 등 14만9767명의 개인정보가 유출된 데 따른 것이다. 유출 정보에는 8만2750명의 주민등록번호가 포함됐다.
조사 결과 삼양데이타시스템은 데이터 이관 작업이 끝난 뒤에도 내부 파일서버를 외부망에 연결된 상태로 방치했다. 삼양 3사는 주민등록번호 암호화 등 안전조치를 소홀히 했으며, 삼양홀딩스와 삼양패키징은 보존기간이 지난 개인정보를 파기하지 않았다. 삼양홀딩스는 법적 근거 없이 채용 과정에서 주민등록번호를 수집한 사실도 확인됐다.
개보위는 사용하지 않는 서버를 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보를 적시에 파기하는 등 기본적인 안전조치를 준수해야 한다고 강조했다.