[KJtimes=김은경 기자] 가맹점 관리 목적으로 수집된 개인정보가 카드 모집 영업에 활용되고, 한 영업센터에서 월 3000만건이 넘는 조회·다운로드가 이뤄지는 동안 본사 차원의 점검은 작동하지 않았다. 우리카드에 134억 5100만원의 과징금이 부과된 이번 사건은 개인정보의 목적 외 이용뿐 아니라 광범위한 접근권한과 사후 점검 부재 등 내부통제 전반의 문제를 드러냈다.
개인정보보호위원회 조사에 따르면 우리카드 인천영업센터에서는 2022년 7월부터 2024년 4월까지 가맹점 관리 프로그램 등을 통해 가맹점주의 이름과 주민등록번호, 휴대전화번호, 주소 등 개인정보가 대량 조회됐다.
조사 과정에서 확인된 개인정보 조회 규모는 최소 20만7538명이다. 이 가운데 7만4692명은 카드 마케팅 활용에 동의하지 않은 것으로 파악됐다.
◆ 가맹점주 7만 5676명 정보 100차례 모집인에 전달…월 3000만건 넘는 조회·다운로드에도 본사 점검 미흡
인천영업센터는 2023년 9월부터 가맹점주와 카드 회원 정보를 처리하는 데이터베이스에서 카드 보유 여부를 확인해 별도의 개인정보 파일을 만들었다. 2024년 1월 8일부터 4월 2일까지 100차례에 걸쳐 가맹점주 7만5676명의 개인정보가 이메일을 통해 카드 모집인에게 전달됐으며, 일부 정보는 모집인들이 참여한 카카오톡 단체채팅방에도 공유됐다.
개인정보위는 가맹점 관리 목적으로 수집한 정보를 신규 카드 마케팅에 사용한 행위를 목적 외 이용·제공 제한 위반으로 판단하고 우리카드에 과징금 134억5100만원을 부과했다.
내부통제 문제도 제재 판단의 주요 배경이 됐다. 우리카드는 영업센터 직원에게 데이터베이스 접근과 파일 다운로드 권한을 부여했고 주민등록번호가 포함된 정보도 열람할 수 있도록 했다. 그러나 개인정보위 조사에서는 접근권한 관리와 접속기록 점검이 제대로 이뤄지지 않은 것으로 나타났다. 특히 한 달 3000만건을 넘는 조회·다운로드에도 본사 차원의 확인과 조치가 없었던 것으로 조사됐다.
우리카드는 조사 과정에서 인천영업센터에서 발생한 개별적인 문제라는 취지의 입장을 제시했지만 개인정보위는 본사의 관리·감독과 내부통제가 충분하지 않았다고 보고 회사의 책임을 인정했다. 이에 내부통제 강화와 접근권한 최소화·점검, 개인정보취급자 관리·감독 강화 등을 시정명령했다.
사고 이후 구체적인 개선 내용은 공개적으로 확인되지 않고 있다. 우리카드는 관련 질의에 “고객정보 보호와 내부통제 체계 강화를 위해 지속적으로 노력하고 있으며, 유사 사례 재발 방지를 위한 개선 조치도 철저히 이행하고 있다”고 밝혔다.
다만 영업센터의 개인정보 접근권한이 실제로 어느 정도 조정됐는지, 비정상적인 대량 조회를 자동으로 탐지하는 체계를 갖췄는지, 개인정보 파일의 다운로드와 외부 전달에 어떤 통제 절차를 적용하고 있는지는 기존 기사에서 확인되지 않았다.
또 모집인에게 전달된 개인정보가 실제 카드 발급으로 얼마나 이어졌는지와 이에 따른 모집 수수료 규모 역시 공개된 개인정보위 조사 결과만으로는 확인되지 않았다.
이번 사건은 외부 침입이 아닌 업무상 부여된 접근권한이 목적과 다르게 사용될 경우 개인정보 보호 체계가 어떤 위험에 노출될 수 있는지를 보여준다.
우리카드는 사고 이후 고객정보 보호와 내부통제 강화, 재발 방지를 위한 개선 조치를 이행하고 있다는 입장이다. 다만 우리카드가 이후 어떤 시스템을 바꿨는지, 접근권한은 얼마나 줄었는지, 대량 조회 시 회사가 즉시 감지할 수 있는지는 여전히 확인되지 않은 질문으로 남아 있다.
