개인정보위, 비번 암호화 안한 인스타그램 등 8개사 3320만원 '철퇴'

청주 자원봉사센터, 정보산업연합회 등 개인정보보호법 위반

윤종인 개인정보위 위원장이 8일 서울 종로구 정부청사에서 개최된 제20회 전체회의에서 모두발언을 하고 있다.[사진=개인정보위]

비밀번호를 암호화하지 않은 인스타그램 등 개인정보보호법을 위반한 8개 사업자에 철퇴가 내려졌다.

개인정보보호위원회는 8일 제20회 전체회의를 통해 개인정보 처리 시 안전성 확보조치를 미흡하게 하는 등 개인정보 보호법을 위반한 8개 사업자에 총 3320만원의 과태료를 부과하는 등 시정조치를 심의 의결했다.

청주시자원봉사센터에서는 직원이 자원봉사포털에서 청주 자원봉사자 3만1341명의 명단을 내려받아 국회의원 선거캠프에 제공한 사건이 발생했다. 이 과정에서 개인정보 안전성 확보조치를 소홀히 하고 정보주체를 대상으로 한 유출 통지도 지연한 것으로 확인됐다. 이에 과태료 600만원 부과 결정이 내려졌다.

사단법인 정보산업연합회와 슈빅은 해킹 공격을 당했다. 이로 인해 정보산업연합회는 산하기구 홈페이지 회원정보 3587건과 행사 참석자 1만9841건의 개인정보가 유출됐다. 슈빅의 경우 위탁 운영 중이던 동창회 등의 홈페이지와 온라인 쇼핑몰 회원 총 15만7만986명의 개인정보가 다크웹 등에 유출됐다. 개인정보위는 연합회와 슈빅을 대상으로 각각 과태료 660만원, 600만원 부과 시정조치를 의결했다.

개인정보위 측은 "조사 과정에서 2개사 모두 보유기간이 지난 개인정보를 삭제하지 않고 보관해 왔다"며 "개인정보의 안전성 확보조치도 소홀히 한 사실을 확인했다"고 말했다.

한국사회복지사협회는 회원정보를 조회하는 웹페이지가 접근통제 없이 운영되는 등 안전조치를 미흡하게 관리해 인터넷 검색엔진에 해당 웹페이지가 노출됐다. 대연은 '구글 설문지' 이용시 설문 옵션을 '공개'로 잘못 설정해 설문지 응답자 개인정보가 타인에 공개됐고, 롯데푸드는 인사담당자 등 직원들을 대상으로 개인정보 관리 감독을 소홀히 한 것으로 나타났다.

사회복지사협회는 과태료 360만원, 대연은 과태료 300만원의 부과 조치가, 롯데푸드는 개선권고 조치가 내려졌다.

또 인스타그램은 비밀번호 암호화 조치없이 지난 2016년부터 3년간 국내 이용자 8200여 명의 비밀번호를 평문으로 저장·보관해 과태료 500만원이, 창의와탐구는 학원관리 시스템의 접근통제를 미흡하게 해 과태료 300만원 조치가 내려졌다.

송상훈 개인정보위 조사조정국장은 "각 사업자들은 개인정보의 안전한 관리를 위해 임직원 등 개인정보 취급자를 대상으로 지속적인 교육 및 관리·감독을 해야 한다"며 "개인정보 처리업무를 위탁한 경우에도 수탁자에 대한 관리‧감독을 철저히 해야 하며 수탁자들도 개인정보보호법규 준수 의무가 있음을 분명히 해야한다"고 말했다.