“외부 정보와 결합 땐 개인 식별”카카오 “유출 안 해” 소송 예고 카카오톡 오픈채팅 이용자의 개인정보 유출에 대해 개인정보보호위원회(개인정보위)가 카카오에 역대 최대 규모인 151억원의 과징금을 부과한 것을 두고 양측 사이 갈등의 골이 깊어지고 있다. 6일 업계에 따르면 최장혁 개인정보위 부위원장은 전날 정부서울청사에서 열린 정례 브리핑에서 “카카오가 이미 개인정보 유출로 처분이 내려졌음에도 해당 정보는 개인정보가 아니라는 입장을 고수하고 있다”면서 “맞지 않는 처사라고 본다”고 했다. 그러면서 “‘회원 일련번호는 개인정보가 아니다’라는 카카오 쪽 주장은 개인정보에 대한 개념이 많이 바뀐 상태에선 수긍할 수 없는 주장”이라며 “외부 정보와 결합해 충분히 개인을 식별할 수 있으면 개인정보에 포함된다”고 말했다. 과거 자동차 차대번호만으로는 개인정보를 식별할 수 없음에도 법원은 2019년 차대번호 유출 역시 개인정보 유출로 봤다는 예시도 들었다. 앞서 개인정보위는 지난달 23일 카카오에 과징금 151억 4196만원과 과태료 780만원을 부과했다. 카카오가 개인정보 관리감독을 소홀히 해 카카오톡 오픈채팅 이용자 정보 6만 5000여건이 유출됐다는 판단에서다. 그러면서 이용자에게 개인정보 유출 사실을 통지하라는 시정명령을 내렸다. 최 부위원장은 이날 카카오가 개인정보 유출 사실을 아직 개인정보위에 신고하지 않았을 뿐만 아니라 유출 피해 당사자에게 통보도 하지 않은 점을 지적하며 “행정법상 처분을 따른 뒤 다투는 게 순서상 옳다”고 말했다. 그러나 카카오 관계자는 이에 대해 “(개인정보위에서) 아직 최종 결론이 나지 않아 당사자들에게 통보하지 않은 것”이라는 입장을 밝혔다. 당초 카카오는 이번 사태를 개인정보 유출이 아니라고 보고 있다. 사업자가 생성한 서비스 일련번호(회원 일련번호)는 어떠한 개인정보도 포함하고 있지 않기 때문에 개인 식별이 불가능하다는 점으로 미루어 암호화 대상이 아니라는 이유에서다. 카카오는 이를 근거로 이번 처분에 대한 행정소송을 준비 중이다. 개인정보위의 조사에 따르면 해커들은 카카오톡 오픈채팅방의 참여자 정보를 알아 내 ‘회원 일련번호’를 매개로 여러 정보를 결합한 뒤 개인정보 파일을 생성해 판매했다. 최소 696명의 정보가 유출됐다는 설명이다.

지난해 발생한 ‘카카오톡 오픈채팅 이용자 개인정보 유출 사고’와 관련해 개인정보보호위원회(개인정보위)가 카카오에 과징금 151억여원을 부과했다. 이는 역대 최대 과징금이었던 골프존의 75억여원보다 2배 이상 많은 금액이다. 개인정보위는 전날 전체회의를 열고 카카오에 대해 개인정보보호법상 안전조치 의무 위반으로 과징금 151억 4196만원과 유출 신고·통지의무 위반으로 과태료 780만원을 부과하고 시정명령과 처분 결과를 공표하기로 했다고 23일 밝혔다. 개인정보위는 지난해 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론 보도에 따라 개인정보보호법 위반 여부에 대한 조사에 착수한 바 있다. 개인정보위 조사 결과 해커는 오픈채팅의 취약점을 이용해 오픈채팅 참여자 정보(임시 ID)를 획득했고, 카카오톡의 ‘친구 추가’ 기능과 불법 프로그램 등을 이용해 일반채팅 이용자 정보(회원 일련번호)를 확보했다. 개인정보위는 이들 정보를 회원 일련번호 기준으로 결합한 뒤 개인정보 파일을 생성해 판매한 것으로 확인됐다고 밝혔다. 남석 개인정보위 조사조정국장은 “정확한 유출 규모는 경찰에서 조사 중”이라며 “특정 사이트에 카카오톡 오픈채팅 이용자 696명의 정보가 올라와 있는 것을 확인했고, 해커가 최소 6만 5719건의 개인정보를 조회한 것으로 확인했다”고 했다. 개인정보위는 카카오가 오픈채팅 서비스 설계·구현 과정에서의 과실과 카카오톡 전송 방식을 분석해 만든 해킹 프로그램을 이용한 악성 행위에 대한 대응조치 미흡 등으로 인해 개인정보가 해커에게 공개·유출된 만큼 개인정보보호법상 안전조치 의무를 위반했다고 밝혔다. 또 지난해 3월 언론 보도와 개인정보위 조사과정에서 카카오톡 오픈채팅 이용자의 개인정보가 유출되고 있다는 사실을 알았음에도 유출 신고와 이용자 대상 유출 통지를 하지 않아 개인정보보호법을 위반했다고도 했다. 카카오는 이에 대해 행정소송을 포함한 법적 대응을 적극 검토하겠다는 입장을 밝혔다. 카카오는 임시 ID 자체는 어떠한 개인정보도 포함하고 있지 않아 개인 식별이 불가능하고, 사업자가 생성한 서비스 일련번호는 관련법상 암호화 대상이 아니므로 법령 위반으로 볼 수 없다고 항변했다. 특히 해커가 결합해 사용한 다른 정보는 카카오에서 유출된 것이 아니라 독자적인 불법행위를 통해 자체 수집한 것이란 점에서 이를 카카오 과실로 판단한 부분은 부당하다고 했다. 김승주 고려대 정보보호대학원 교수는 “개인정보보호법상 개인정보란 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보로 정의하고 있다”면서 “향후 이들 정보가 쉽게 결합할 수 있는 개인정보에 해당하는지를 두고 첨예한 소송이 예상된다”고 말했다.

이용자 정보에 대한 점검과 보호 조치 등을 소홀히 해 약 6만 5000건의 개인정보를 유출한 카카오가 국내업체 중 역대 최대 과징금인 151억여원을 물게 됐다. 이제까지 역대 최대 과징금이었던 골프존의 75억여원보다 두 배 이상 많은 금액이다. 개인정보보호위원회는 22일 열린 제9회 전체회의에서 이러한 내용을 의결했다고 23일 밝혔다. 개인정보위는 지난해 3월 카카오톡 오픈 채팅 이용자의 개인정보가 불법 거래되고 있다는 보도에 따라 개인정보보호법 위반 여부 조사에 착수했다. 오픈 채팅방은 익명으로 자유롭게 입장할 수 있는 공개된 채팅방이다. 당시 온라인 마케팅 프로그램을 거래하는 한 사이트에서는 카카오톡 오픈 채팅방 참여자의 실명과 전화번호 등 정보를 추출해준다는 업체의 광고 글이 잇달아 올라왔던 것으로 알려졌다. 카카오는 2020년 8월부터 오픈 채팅방 임시 아이디를 암호화하는 조처를 했으나 기존에 개설된 일부 오픈 채팅방의 임시 아이디는 여전히 암호화가 되지 않은 채 그대로 쓰였던 것으로 확인됐다. 해커는 이러한 취약점을 파고들었고 암호화 여부와 상관없이 모든 오픈 채팅방의 임시아이디와 회원일련번호를 알아내 카카오톡의 ‘친구 추가’ 기능 등을 통해 일반채팅 이용자 정보(회원일련번호)를 파악했다. 해커는 이들 정보를 회원일련번호를 기준으로 결합해 개인정보 파일로 생성했고 이를 텔레그램 등에 판매했다. 회원일련번호는 카카오톡 내부에서만 관리를 목적으로 쓰이는 정보로, 주민등록번호나 사원증 번호처럼 개인에게 부여된 고유 번호와 유사한 개념이다. 개인정보위는 정확한 유출 규모는 조사 중이지만 해커가 최소 6만 5719건을 조회한 것으로 파악하고 있다. 개인정보위는 개발자 커뮤니티에서 카카오톡 API(응용프로그램 인터페이스)를 이용한 각종 악성 행위 방법이 공개됐음에도 카카오가 개인정보 유출 가능성에 대한 점검과 조치를 제대로 하지 않았다고 지적했다. 카카오는 개인정보 유출 사실을 알고서도 신고하지 않고 이용자에게 알리지도 않았다. 개인정보위는 카카오에 대해 안전조치의무 위반으로 과징금 151억 4196만원을, 안전조치의무와 유출 신고·통지의무 위반으로 과태료 780만원을 부과했다. 아울러 카카오가 이용자에게 유출 통지를 할 것을 시정명령하고, 개인정보위 홈페이지에 이러한 처분 결과를 공표하기로 했다. 카카오는 이날 입장문을 내고 “회원일련번호와 임시 아이디는 그 자체로 어떠한 개인정보도 포함하고 있지 않으며 이것으로 개인 식별이 불가능하다”며 “사업자가 생성한 서비스 일련번호를 암호화하지 않은 것은 법령 위반으로 볼 수 없을 것”이라고 반박했다. 이어 “전담 조직을 통해 외부 커뮤니티 및 소셜미디어(SNS) 등을 상시 모니터링하고 보안 이슈를 점검하고 있다”며 “행정소송을 포함한 다양한 법적 조치 및 대응을 적극 검토할 예정”이라고 밝혔다.

주차 차량에 공개해 둔 전화번호가 범죄에 악용될 가능성이 꾸준히 제기되는 가운데, 서울의 한 주차장에서 전화번호를 수집하던 남성들이 경찰에 붙잡혔다. 21일 경찰청은 유튜브를 통해 이 같은 사건 현장이 담긴 영상을 공개했다. 공개된 영상에 따르면 사건 당일 새벽 3시쯤 서울의 한 아파트 주차장에서 남성 두 명이 주차된 차량 사이로 돌아다닌다. 이들은 구역을 나눠 각자 차량 옆을 지나다니고 있었다. 이때 차량에 가까이 다가가 휴대전화 플래시까지 켜 차량 내부를 살피기도 했다. 이 모습을 수상하게 여긴 아파트 경비원이 다가오자 남성들은 도망치기 시작했다. 이들 중 1명은 주차장에 세워진 차량 옆에 쭈그려 앉아 숨었고, 1명은 건물 밖으로 재빠르게 도망갔다. 차량 절도를 의심한 경비원이 112에 신고해 경찰이 출동했다. 주차장에 도착한 경찰을 본 남성은 경찰차 뒤로 도주했고, 경찰관들이 남성을 쫓기 시작했다. 추격전을 벌이던 남성은 이내 도주를 포기하고 경찰관 앞에서 털썩 주저앉았다. 이후 공원에 숨어있던 공범도 붙잡혔다. 조사 결과 이들은 차량 절도가 아닌 분양사무소 홍보를 위해 연락처를 수집하고 있었다. 경찰은 두 남성을 폭력행위 등 처벌에 관한 법률 위반(공동건조물침입) 혐의로 입건했다. “범죄 악용” 지적…‘QR코드’ 개발한 지자체도 개인정보위원회에 따르면 지난달 한달 동안 접수된 개인정보 침해 신고·상담 건수는 6657건이다. 대부분은 온라인에서 개인정보 침해가 발생하지만, 오프라인에서도 개인정보 유출은 이뤄질 수 있다. 특히 주차 차량에 불특정 다수에게 공개해 둔 전화번호가 주요 개인정보 유출 통로로 지목되기도 한다. 앞서 지난 2021년 서울의 한 아파트 단지에서 차량에 부착된 전화번호를 수집한 50대 남성이 경찰에 붙잡히는 사건도 있었다. 해당 남성은 전화번호 1건당 일정 금액을 받기로 약속하고, 자동차 번호판과 차량에 남겨진 전화번호를 촬영했다. 같은 해 인천에서도 20대 남성이 주차 차량 속 전화번호를 수집하다가 경찰에 붙잡혔다. 당시 상담사로 근무한 남성은 불특정 다수에게 영업할 목적으로 전화번호를 수집한 것으로 알려졌다. 위급한 상황을 대비해 차량에 남겨둔 전화번호가 무방비하게 노출된 탓에 범죄에 악용될 가능성이 제기되자 일부 지자체는 안심번호 도입을 추진하는 등 대책 마련에 나섰다. 운전자들의 불안감을 해소하기 위해 차 앞 유리에 붙여놓는 휴대전화 번호를 ‘QR코드’로 대체할 수 있는 서비스를 시행하는 지자체가 늘어나고 있다. 제주와 전북, 대전 등은 이러한 서비스를 개발해 시행하고 있다.

지난 3월 말부터 4월 중순에 걸쳐 ‘정부24’에서 타인의 민원서류가 잘못 발급돼 총 1233건의 개인정보가 유출된 사실이 뒤늦게 확인됐다. 개인정보보호위원회(개인정보위)는 행정안전부를 대상으로 관련법 위반 여부와 유출 경위를 조사하고 있다. ‘정부24’는 여러 부처에 흩어져 있던 전자정부 시스템을 2017년 통합한 ‘K-전자정부’의 상징과 같은 정부 대표포털이다. 행안부는 5일 “성적·졸업 등 증명서 646건, 법인용 납세증명서 587건이 잘못 발급됐다”면서 “오발급된 서류를 삭제하고 (유출 피해) 당사자들에게 사실을 알렸으며 현재 서류는 정상 발급되고 있다”고 밝혔다. 지난 3월 29일 ‘정부24’에서 성적증명서를 뗄 때 신청인이 아닌 사람의 서류가 발급됐다. 서류에는 다른 사람의 이름과 주민등록번호, 과목별 성적 등 민감한 정보가 담겼다. 행안부는 지난달 1일 오류를 인지하고 다음날 시스템을 보완했다. 지난달 18일에는 법인용 납세증명서를 발급받을 때 사업자등록번호가 아닌 법인 대표의 이름과 주민등록번호가 노출됐다. 행안부는 개발자가 프로그램을 만들 때 실수한 것이라고 해명했다. 행안부 관계자는 “재발 방지 대책을 마련하고 개발 업체를 대상으로 법적 대응 등의 제재를 논의하고 있다”고 말했다. 문제는 정부 전산망 오류가 되풀이되고 있다는 점이다. 지난해 6월 개통한 교육부의 4세대 교육행정정보시스템(NEIS)의 잦은 오류가 문제가 됐고 11월엔 행정전산망 장애로 주민센터의 민원서비스가 전면 중단됐다. 올해 2월 개통한 지방세와 세외수입 업무처리를 하는 차세대 지방세입정보시스템도 개통 후 한 달 넘게 오류가 반복됐다.

알리익스프레스와 테무 등 최근 급성장하고 있는 중국 인터넷 기업이 국내에서 개인정보보호법을 준수하는 데 유예기간을 줄 수 없다고 정부가 밝혔다. 최장혁 개인정보보호위원회 부위원장은 22일 브리핑에서 “외국 기업이 한국에서 사업하려면 (자국과는 다른) 국내 제도나 법, 시스템을 이해하기 위해 충분한 시간이 필요하다”며 “그럼에도 중국 기업들이 국내 시장에 급하게 진출하다 보니 간과한 측면이 생긴 것이라고 지적했다”고 설명했다. 최 부위원장은 최근 중국을 방문해 중국 기업들과 간담회를 했으며 중국 기업 관계자들에게 국내 개인정보보호법을 위반하면 직전 3년간 평균 매출액의 3% 이하에 해당하는 과징금을 낼 수 있고 외국 기업이라고 하더라도 한국에서 사업을 벌이면 관련법을 적용받는다는 점을 알렸다고 밝혔다. 그는 “중국 업체의 어려운 사정을 잘 감안하겠다는 의사와 함께 유예기간을 줄 수 없다는 점을 분명히 전달했다”며 “이러한 우리 측의 지적에 (간담회에 참석한) 모든 중국 업체도 다 수긍하는 분위기였다”고 전했다. 최 부위원장은 알리와 테무 등 중국 인터넷 기업을 대상으로 한 국내 개인정보보호법 위반 여부에 대한 조사도 조만간 마무리한다고 밝혔다. 그는 “업체들도 성실히 조사에 임하고 있다”며 “급격하게 사업을 확장하면서 놓친 부분에 대해 의사를 표명하는 등 조사에 잘 응하고 있다”고 말했다. 이번 방중에서 한중인터넷협력센터 개소식에 참석했던 최 부위원장은 “중국 정부의 승인을 받은 창구가 마련된 것”이라며 “공식 업무 절차가 생겼다는 점에서 한국 정부 입장에서도 굉장히 의미 있는 일”이라고 덧붙였다.

김규남 서울시의회 의원(국민의힘·송파1)이 개인정보보호위원회(이하 개인정보위)를 찾아 김어준 출연료의 정보공개를 촉구했다. TBS는 국민의힘과 서울시의회의 지속적인 요구에도 전 뉴스공장 진행자인 김어준씨의 출연료를 공개하지 않았다. 지난 2023년 11월 서울시의회 행정감사에는 개인정보공개에 동의하지 않는다는 김씨의 자필 서명을 제출하기도 했다. 이에 김 의원은 TBS에 개인정보위 심의를 통해 공익에 해당하는 김씨의 출연료를 공개하는 방안을 제안했고, TBS 측이 수용해 지난 12월 출연료 공개 가능 여부에 대한 심의 건을 접수했다. 심의 대상인 “국회 등의 자료 제출 요구 관련 서울시 미디어재단 티비에스 보유 개인정보 제공에 관한 건”의 결과는 오늘(3/27, 수) 오후 4시 30분에 열리는 개인정보위 제1소위원회 심의에서 결정된다. 이에 김 의원은 이날 심의위원회가 열리기 전 정부청사 개인정보위를 찾아 ‘김어준 출연료 등 개인정보공개 촉구 요청서’를 제출했다. 김 의원은 “방송통신심의위원회에서 수없이 지적받을 만큼 거짓 방송을 일삼은 김씨에 대한 출연료 공개는 국민의 세금이 어떻게 쓰였는지 공익적인 측면에서 당연히 공개되어야 하는 부분”이라며 “늦게라도 명명백백하게 밝혀 국민의 세금을 허투루 쓴 대가를 받도록 심판해야 한다”고 밝혔다.

여성가족부, 방송통신위원회, 개인정보보호위원회, 병무청, 새만금개발청, 원자력안전위원회가 정부 업무평가에서 2년 연속 가장 낮은 평가를 받았다. 국무조정실은 6일 국무회의에서 ‘2023년도 정부업무평가 결과’를 보고했다. 평가는 45개 중앙행정기관을 대상으로 주요 정책(50점), 규제 혁신(20점), 정부 혁신(10점), 정책 소통(20점) 등 4개 부문에 걸쳐 실시됐고, 적극행정 가점이 최대 3점 합산했다. 장관급 기관에서는 통일부, 여가부, 방통위, 개인정보위 등 4곳이 최하위 C등급을 받았다. 통일부는 전년에 B등급이었으나 이번엔 C등급으로 떨어졌다. 차관급 기관 중에서는 병무청, 행정중심복합도시건설청, 새만금개발청, 원자력안전위원회가 C등급을 받았다. 전년에 종합평가 C등급이었던 국민권익위원회와 경찰청은 지난해에는 B등급으로 한단계 올라갔다. 이번 평가에서 최상위 A등급을 받은 곳은 장관급 기획재정부, 외교부, 농림축산식품부, 환경부, 고용노동부, 국토교통부와 차관급 인사혁신처, 식품의약품안전처, 국세청, 관세청, 산림청, 해경청 등 총 12곳이다. 국무조정실은 “국민이 공감하는 성과를 창출하고, 민간 투자를 저해하는 규제를 개선하며, 비정상을 정상으로 복원하는 데 이바지한 기관들이 우수한 평가를 받았다”며 “반면 정책 성과에 대한 국민 체감이 저조하거나, 부문별 관리가 미흡했던 기관들은 상대적으로 낮은 평가를 받았다”고 설명했다.

명품 매장을 구경하기 위해 밖에서 대기하던 고객뿐만 아니라 동행인에게도 이름과 연락처, 거주지 같은 개인정보를 과도하게 요구한 샤넬코리아가 결국 과태료 처분을 받았다. 개인정보보호위원회(개인정보위)는 지난 22일 전체회의를 열고 “샤넬코리아가 개인정보 보호법을 위반한 사실이 인정된다”며 “과태료 360만원을 부과하기로 의결했다”고 23일 밝혔다. 앞서 샤넬코리아는 지난 6월 서울의 한 백화점 샤넬 매장 밖에서 입장 대기 번호를 받으려고 줄을 선 고객들에게 개인정보를 요구했다는 사실이 언론 보도로 알려졌다. 해당 매장은 구매자는 물론 동행인에게도 이름과 연락처, 생년월일, 거주지역(국가)까지 요구한 것으로 알려져 개인정보를 무리하게 수집했다는 비판이 제기됐다. 샤넬코리아 측은 “1인당 구매 물량이 한정돼 있어 대리구매를 방지해야 한다는 목적이었다”고 해명했지만 사실상 고객을 예비 범죄자로 취급했다는 비난을 받았다. 개인정보위는 샤넬코리아의 이 같은 행위가 대기 고객 관리 등의 목적에 필요한 범위를 벗어난 것으로 판단했다. 특히 개인정보 수집에 동의하지 않은 대기 고객에게 서비스 제공을 거부한 것은 명백한 법 위반이라는 게 개인정보위의 결론이다. 개인정보 보호법 제16조 3항은 “정보 주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 재화 또는 서비스의 제공을 거부해서는 안 된다”고 규정한다. 이를 어기면 3000만원 이하의 과태료를 부과할 수 있다. 샤넬코리아는 논란이 불거진 뒤 개인정보 수집 대상 고객을 실제 ‘입장객’으로 한정하고, 생년월일과 거주지역 대신 이름과 전화번호만 적도록 내부 규정을 손질한 것으로 알려졌다. 한편, 샤넬코리아는 2021년 당시 해킹을 당해 자사 고객 8만여명의 개인정보가 유출되는 사고를 냈다. 당시 사건으로 샤넬코리아는 개인정보위로부터 과징금 1억 2616만원과 과태료 1860만원을 부과받았다.

지난 1월 해커의 공격에 의해 고객 개인정보 약 30만건이 유출된 LG유플러스에 대해 개인정보보호위원회가 과징금 68억원과 과태료 2700만원을 부과했다. 위원회가 그동안 제재한 국내 기업 중 최대 금액이다. 위원회는 12일 전체회의를 열고 이렇게 결정했다. 지난 1월 불법거래 사이트에 LG유플러스 고객 개인정보 약 60만건(중복 포함)이 공개됐다. 이에 위원회는 민관 합동조사단, 경찰과 협조해 조사를 해 왔다. 분석 결과 유출이 확인된 개인정보는 중복된 경우를 빼면 총 29만 7117건이며, 유출된 항목은 휴대전화번호·성명·주소·생년월일·이메일 주소·아이디·유심(USIM) 고유번호 등 26개다. LG유플러스의 여러 시스템 중 유출된 자료와 가장 일치하는 데이터를 보관하는 시스템은 고객인증시스템(CAS)이며, 유출시점은 2018년 6월인 것으로 분석됐다. CAS는 LG유플러스 부가 서비스 제공 과정에서 고객인증과 부가서비스 가입·해지 기능을 제공하는 시스템이다. 이에 위원회는 전체 매출액이 아닌 부가서비스 관련 매출액을 기준으로 과징금을 산정했다. 조사가 시작된 지난 1월까지 CAS의 서비스 운영 인프라와 보안 환경은 해커의 불법침입에 매우 취약한 상태였다. 운영체제(OS), 데이터베이스 관리시스템(DBMS), 웹서버(WEB), 웹 애플리케이션 서버(WAS) 등 LG유플러스가 사용하는 소프트웨어 대부분은, 유출이 발생한 것으로 추정되는 2018년 6월 기준 단종되거나 기술지원이 종료된 상태였다. 또 침입차단시스템(방화벽) 등 기본 보안장비가 설치되지 않았거나, 보안정책이 제대로 적용되지 않았다. CAS 운영기에서 관리하는 실제 운영 데이터를 살펴본 결과, 2008년에 생성된 정보 등 개인정보 1000만건 이상이 조사 시점까지 남아 있었던 사실도 확인됐다. 다량의 개인정보를 관리하면서도 개인정보취급자의 접근 권한과 접속 기록을 제대로 관리하지 않아, 대규모 개인정보를 추출·전송한 기록이 남아있지 않고, 비정상 행위 점검과 확인이 안 되는 등 관리 통제도 부실한 상황이었다. 개인정보 유출 사실을 알고도 피해 고객들에게 24시간 내에 개별적으로 통지하지 않은 것도 법규 위반항목에 포함됐다. 위원회는 “CAS 시스템 관리가 전반적으로 부실했고, 타사 대비 현저히 저조한 정보보호 관련 투자와 노력이 이번 개인정보 유출 사고로 이어졌다고 판단한다”고 밝혔다. 위원회의 과징금 규모는 연 매출액의 3% 이내까지 부과할 수 있는 관련 법규에 비해서는 다소 가벼운 편이지만, 위원회가 국내 기업에 부과한 규모로는 사상 최대 액수다. 위원회는 이와 함께 개인정보보호책임자(CPO)의 역할 강화, 개인정보 보호 조직 전문성 제고, 개인정보 내부관리계획 재정립 등을 시정명령하기로 했다. 지난 1월 사고 이후 LG유플러스가 약속한 개인정보 보호 관련 각종 투자와 2차 피해 방지대책을 차질없이 이행하라고도 당부했다. LG유플러스는 이번 제재에 대해 “이번 일로 불편을 겪으셨을 고객들께 다시 한 번 고개숙여 사과 말씀을 드린다”며 “지난 2월 발표한 1000억원 규모 정보보호 투자 계획을 포함한 전사적 차원의 재발방지대책을 추진하고 있다”고 입장을 냈다. 이어 “사이버 보안 강화를 위해 상반기까지 취약성 점검과 인프라 투자 등에 640억원을 집행하는 등 정보보호 투자액을 늘리고 있다”고 덧붙였다.

어린 시절 인터넷에 올린 게시물을 삭제하고 싶은 아동·청소년이 해당 게시물을 지우거나 가림 처리할 수 있게 돕는 일명 ‘지우개 서비스’가 시행된다. 개인정보보호위원회(개인정보위)는 디지털 세대인 아동·청소년의 개인정보에 대한 통제권을 강화하기 위해 ‘디지털 잊힐권리 시범사업’을 시작한다고 24일 밝혔다. 현재 자신이 올린 게시물은 직접 삭제할 수 있다. 그러나 홈페이지나 커뮤니티를 이미 탈퇴했거나 계정정보나 게시물 삭제 비밀번호를 잊어버린 경우는 본인이 직접 지우기 어렵다. 이 경우 게시판 운영 사업자에게 ‘자기 게시물 접근배제’를 요청해 다른 사람들이 게시물을 못 보게 할 수 있지만 아동·청소년은 방법을 모르거나 신청 경로가 복잡해 아무런 조치를 하지 못하는 경우가 대부분이다. 앞으로는 만 24세 이하 국민 누구나 ‘잊힐권리 서비스’를 통해 보다 편리하게 자기 게시물 접근배제를 요청할 수 있다.개인정보 포털 내 서비스 신청 페이지에서 만 18세 미만 아동·청소년 시기에 게시했으나 현재는 삭제를 희망하는 게시물 주소(URL)와 자기 게시물이라는 것을 입증할 수 있는 자료를 함께 첨부해 신청하면 정부가 정보 주체를 대신해 해당 사업자에게 접근배제를 요청한다. 개인정보위는 서비스 신청자와 담당자를 1대1로 연결해 자기 게시물 입증 등 아동·청소년이 접근배제를 요청할 때 겪는 어려움을 해소할 계획이다. 또한 이번 시범사업은 자신이 올린 ‘자기 게시물’ 삭제 등을 위주로 지원하지만, 제3자가 올린 불법 촬영물이나 개인정보 불법 거래 게시물에 대해서도 상담을 통해 조치 방법을 안내할 예정이다. 개인정보위는 올해 시범사업을 거쳐 내년부터는 제3자 게시물에 대해서도 삭제를 요청할 수 있는 서비스를 시작할 계획이다. 그러면 부모가 자녀를 대신해 삭제 신청을 할 수 있게 된다. 이를 위해 내년까지 ‘아동·청소년 개인정보 보호법’을 제정한다는 방침이다. 이정렬 개인정보위 사무처장은 “디지털 잊힐 권리 시범사업은 아동·청소년이 개인정보 자기결정권을 실질적으로 행사할 수 있도록 지원하는 사업”이라면서 “아동·청소년이 ‘지우개 서비스’를 편리하게 이용할 수 있도록 지원하고 아동·청소년 개인정보 보호 체계를 확대하겠다”고 말했다.

CJ올리브영에서 회원 개인정보 유출 사고가 발생해 개인정보보호위원회가 조사에 착수했다고 23일 밝혔다. CJ올리브영은 지난 22일과 이날 회원 이름, 프로필 사진, 회원 등급, 배송지 주소 등이 유출됐다고 개인정보위에 신고했다. 사고는 지난 16일 CJ올리브영이 시스템 변경 작업을 하던 중 일부 회원이 로그인할 때 본인이 아닌 타인의 정보가 보이는 식으로 발생했다. 회사에 따르면 유출 규모는 전체 1100만명의 회원 중 1만 명 수준으로 확인된다. 사고 수습과 별개로 CJ올리브영이 사고 발생 6일 뒤에야 당국에 신고를 마쳐 늦장을 부렸다는 지적도 있다. 회사 측은 “발생 원인과 방지 대책 등을 세부적으로 파악하는 과정에서 신고가 지체됐다”고 설명했다. 개인정보위는 CJ올리브영에 대해 이용자에게 유출 통지·신고 기한 준수가 적법하게 이루어졌는지와 유출 경위 및 규모, 기술적·관리적 보호조치 위반 여부 등 개인정보 보호법 위반에 대해 조사할 계획이다. CJ올리브영의 규정 위반이 확인되면 행정처분하고 재발 방지 대책 등을 마련토록 할 예정이다. CJ올리브영 관계자는 “오류 발생 당일 상황을 인지하고 즉시 원복 조치했다”면서 “고객께 심려 끼쳐 드린 점 깊이 사과드리며 동일한 일이 발생하지 않도록 더 철저히 점검하겠다”는 입장을 내놨다.

이태원 참사 희생자 명단을 유족 동의 없이 공개한 단체들에 대한 신고가 들어와 정부가 위법성 조사를 시작했다. 14일 개인정보보호위원회는 최근 인터넷 매체 ‘민들레’ 등의 개인정보 침해 사실 및 개인정보보호법 적용 가능 여부를 살펴보기 시작했다고 밝혔다. 조사 대상은 사실관계를 확인한 후 특정한다. 개인정보보호위원회는 다만 같은 사안을 수사 중인 경찰과 공조하지는 않을 것으로 알려졌다. 앞서 민들레와 유튜브 채널 ‘더탐사’는 지난달 14일 참사 희생자 155명의 실명을 유족 동의 없이 일방적으로 공개했다. 그러자 이종배(국민의힘) 서울시 의원은 같은달 15일 “유족 동의 없이 희생자 명단을 공개한 것은 정보 주체의 동의를 받지 않고 개인 정보를 제3자에게 제공한 것이다”라며 개인정보보호법 위반 혐의로 두 매체를 경찰에 고발했다. 시민단체 ‘서민민생대책위원회’도 같은달 16일 “희생자 전체 명단은 정부기관 공무원이 아니면 파악하기가 불가능하다”며 이를 제공한 것으로 추측되는 공무원을 수사해 달라고 서울청에 고발장을 냈다. 민들레 측은 “희생자들의 실존을 느낄 수 있게 해주는 최소한의 이름만이라도 공개하는 것이 진정한 애도와 책임 규명에 기여하는 길이라고 판단한다”고 주장했다. 그러나 논란이 일자 민들레는 이튿날 “신원이 특정되지 않지만 그래도 원치 않는다는 뜻을 전해온 유족 측 의사에 따라 희생자 10여명의 이름은 삭제했다”고 부연했다. 현행 개인정보보호법에서 ‘개인정보’는 ‘살아있는 개인’의 것으로 간주해 ‘사망자의 이름’을 보호할 마땅한 수단은 없다는 것이 법조계의 대체적인 시각으로 알려졌다. 다만 사망자의 이름이 다른 정보와 결합해 특정 개인을 식별할 수 있는 정보로 인정되면 위법성이 인정될 가능성도 있다.앞서 주호영 국민의힘 원내대표는 명단이 공개된 것에 대해 “민주화를 위해 헌신한 국가유공자들 명단을 공개하지 않은 것도 사생활 문제나 사적 정보 문제와 관련이 있는데, 유족 대부분이 공개를 원치 않는 것을 누가 함부로 공개했는지 여러 법률적 문제가 있을 것이다”라고 지적했다. 안호영 더불어민주당 수석대변인은 “진정한 추모가 되기 위해선 희생자 명단, 사진, 위패가 있는 상태에서 추모가 되는 게 바람직하다”면서도 “그렇게 되기 위해선 유가족 동의가 선행돼야 한다는 취지의 말이다”라고 했다. 그러면서 “동의 없이 명단이 공개되는 건 적절하지 않다”고 강조했다. 다만 안 수석대변인은 “유가족 중에서도 실제 희생자들 명단이 공개되고 사진도 공개되며, 제대로 된 추모가 됐으면 좋겠다는 뜻을 가진 유가족도 상당수 있을 것으로 생각한다”고 덧붙였다. 이정미 정의당 대표는 자신의 페이스북을 통해 “참담하다”며 “유가족 동의 없는 명단 공개에 강한 유감을 표한다”고 했다. 이어 “희생자 명단 공개는 정치권이나 언론이 먼저 나설 것이 아니라, 유가족이 결정할 문제라고 몇 차례 말씀드린 바 있다”며 “과연 공공을 위한 저널리즘 본연의 책임은 어디까지인지 다시 한번 생각해 본다”고 말했다.

윤석열 대통령은 6일 개인정보보호위원회 위원장(장관급)에 고학수(55) 서울대 법학전문대학원 교수를 내정했다. 고 내정자는 서울대 경제학과 졸업 후 미국 컬럼비아대 법학 전문 석사, 경제학 박사를 취득한 후 2010년부터 서울대 로스쿨 교수로 재직 중이다. 아시아법경제학회장, 한국법경제학회장 등을 역임했으며 현재 한국인공지능법학회 회장을 맡고 있다. 대통령실은 이날 보도자료에서 고 내정자에 대해 “법경제학자로서 개인정보 보호, 데이터경제, 인공지능과 관련한 다양한 학술활동을 활발히 수행해 왔으며, 정부위원회 위원 등으로 참여해 법·제도의 현실에도 밝은 개인정보 보호 분야의 최고 전문가”라며 “개인정보의 철저한 보호, 안전하고 신뢰성 있는 데이터 활용체계 확립 등 윤석열 정부의 국정과제를 적극적으로 추진할 적임자”라고 소개했다. 개인정보위원회는 개인정보 처리와 보호에 관한 사안을 독립적으로 수행하기 위해 설립된 합의제 중앙행정기관으로, 위원장은 인사청문회를 거치지 않는다. 2020년 8월 위원회 출범과 함께 취임한 윤종인 전 위원장이 지난달 임기를 약 1년 남기고 사퇴하면서 공석이었다. 위원장 임기는 3년이다.

윤석열 대통령은 6일 개인정보보호위원회 위원장(장관급)에 고학수 서울대 법학전문대학원 교수를 내정했다. 고 신임 위원장은 서울대 경제학과 졸업 후 미국 컬럼비아대 법학 전문 석사, 경제학 박사를 취득한 후 2010년부터 서울대 로스쿨 교수로 재직중이다. 아시아법경제학회 회장, 한국법경제학회 회장 등을 역임했으며 현재 한국인공지능법학회 회장을 맡고 있다. 대통령실은 이날 보도자료에서 고 내정자에 대해 “법경제학자로서 개인정보 보호, 데이터 경제, 인공지능 관련 다양한 학술 활동을 활발히 수행해 왔으며 정부위원회 위원 등에 참여해 법·제도의 현실에도 밝은 개인정보 보호 분야 최고 전문가”라며 “개인정보의 철저한 보호, 안전하고 신뢰성 있는 데이터 활용 체계 확립 등 윤석열정부의 국정과제를 적극적으로 추진할 적임자”라고 소개했다. 개인정보위원회는 개인정보 처리와 보호에 관한 사안을 독립적으로 수행하기 위해 설립된 합의제 중앙행정기관으로, 위원장은 인사청문회를 거치지 않는다. 지난 2020년 8월 위원회 출범과 함께 취임한 윤종인 전 위원장이 지난달 임기를 약 1년 남기고 사퇴하면서 공석이었다. 위원장 임기는 3년이다.

‘신당역 스토킹 살인 사건’ 피의자 전주환(31·구속)이 서울교통공사에서 직위 해제 된 후에도 내부망으로 피해자 근무지를 알아낸 것으로 드러난 것과 관련해 정부는 관련 개인정보처리자인 서울교통공사에 대한 조사를 시작했다. 개인정보보호위원회는 전씨가 개인정보처리 시스템에 권한 없이 접근한 경우 위법성 소지가 있다고 보고 조사에 나섰다고 21일 밝혔다. 전씨는 지난해 10월 불법 촬영물을 유포하겠다며 직장 동료인 피해자를 협박하고 만남을 강요한 혐의 등으로 고소된 뒤 직위 해제 됐다. 그러나 이후에도 회사 내부망 접속 권한을 그대로 갖고 있었고, 이를 이용해 지난 1월 바뀐 피해자의 근무지를 파악했다. 전씨는 휴가 중인 직원이라고 주장하면서 사내 내부망에 접속했던 것으로 전해졌다. 전씨는 전사적자원관리(ERP) 시스템의 허점을 파악하고 있던 것으로 추정된다. ERP는 고객사의 지속적인 관찰이 없을 경우 허점을 찾기 힘든 속성이 있다. 이 때문에 유력 ICT 기업들도 ERP 관련한 소송 등에 휘말린 바 있다. 개인정보보호법에 따르면 개인을 식별할 수 있는 정보는 모두 개인정보다. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보도 개인정보에 속한다. 내부망 접속 권한은 재판이 끝나고 징계 절차가 개시돼야 박탈되는 탓에 전씨의 내부망 접속이 가능했다고 서울교통공사는 해명했다. 이와 관련, 개인정보위 관계자는 “조사 중인 내용은 구체적으로 밝힐 수 없다”며 “신변보호 여성 가족 살해사건으로 이어진 수원시 개인정보 유출 사건도 조사에 5개월가량 걸렸다”고 말했다.

개인정보보호위원회로부터 그제 역대 최고 수준의 과징금 부과 처분을 받은 구글과 메타(페이스북, 인스타그램 운영)가 법적 대응 방침을 밝혔다. 이용자의 동의 없이 개인정보를 수집하고는 이를 온라인 맞춤형 광고에 활용해 막대한 수익을 거둔 이들 기업이 외려 과징금 부과 처분이 억울하다며 반발하고 나선 것이다. 이들 두 기업이 처분받은 과징금은 구글 692억원, 메타 308억원으로, 개인정보보호 법규 위반에 따른 과징금으로는 가장 많다. 그만큼 이들의 개인정보 무단 수집의 부당성이 크다는 얘기로, 이들의 반발은 적반하장이 아닐 수 없다. 　구글은 2016년부터 현재까지 서비스 가입 시 타사 행태정보 수집과 이용 사실을 명확히 알리지 않고, ‘옵션 더보기’ 화면을 가려둔 채 기본값을 ‘동의’로 설정하는 방법을 썼다. 메타 역시 2018년 7월부터 지금까지 서비스 이용자의 타사 행태정보를 수집해 맞춤형 광고에 이용하면서 그 사실을 해당 이용자에게 명확하게 알리거나 동의를 구하지 않았다. 이렇듯 명백한 개인정보보호법 위반 사례가 드러나 시정명령을 받았음에도 사과는커녕 법적 대응을 운운하며 반발하고 있다. 특히 이들은 다수 유럽연합(EU) 회원국에서는 이용자들이 개인정보 보호 설정을 직접 선택할 수 있도록 한 것과 다르게 운용해 한국 이용자를 차별했다는 비판도 나왔다. 　한국에서의 이런 차별적 행태를 자행하고도 과징금 처분에 반발해 법적 대응에 나서겠다는 구글과 메타의 오만한 행태는 한국 이용자들을 그야말로 ‘봉’으로 보고 있음을 말해준다. 이들 기업이 취해야 할 조치는 법적 대응이 아니라 개인정보를 무단으로 자기들 수익 창출에 활용 당한 한국 이용자에 대한 사과다. 관련 법을 어기고 한국 이용자의 자유와 권리를 침해하고 외국과 차별적으로 개인정보 수집 행위를 지속해 온 데 대해 사과해야 한다. 아울러 자사 서비스에 가입·이용할 때 개인정보 보호 및 자유로운 결정권을 보장할 수 있는 철저하고도 근본적인 제도 개선에 나서야 한다. 온라인 관계망을 통한 활동이 필수적인 현대사회에서 개인정보위의 이번 과징금 부과 조치는 개인정보 보호에 둔감한 플랫폼 기업들의 행태에 경종을 울리는 계기가 돼야 마땅하다.

개인정보 수집 내용 ‘더보기’ 가려이용자 82% 기본 선택으로 설정메타도 동의 안 받아 98%가 허용개인정보위 “쉽게 고지” 시정명령구글 “유감” 메타 “법적대응 검토”개인정보보호위원회가 세계 최대 플랫폼 업체인 구글과 페이스북의 모기업인 메타에 각각 692억원, 308억원 등 역대 최고 과징금을 부과한 이유는 두 회사가 이용자들의 ‘타사 행태정보’를 수집하는 과정에서 적법한 동의를 받지 않았기 때문이다. 이용자가 다른 웹사이트 및 앱을 사용할 때 축적되는 정보는 광고 수익으로도 연결되고, 지속적으로 축적되면서 정보주체의 권리가 침해받을 위험이 커진다. 개인정보위는 14일 “이용자의 사상·신념, 정치적 견해, 건강, 신체적·생리적·행동적 특징 및 민감한 정보를 생성하고 식별할 가능성이 높다”고 설명했다. 개인정보법 제39조의3에는 정보통신서비스 제공자가 이용자의 개인정보를 이용하려고 수집하는 경우 이를 이용자에게 알리고 동의를 받아야 한다고 돼 있다. 구글은 이런 내용을 ‘더보기’로 가리고 동의를 기본 선택으로 설정해 놔 한국에선 이용자의 82%가 수집을 허용한 상태였다. 유럽에서는 이용자가 선택할 수 있도록 단계별로 구분해 놓은 것과 다른 방식이다. 이런 과정도 제대로 만들어 놓지 않은 메타는 이용자의 98%가 행태정보를 제공하고 있었다. 특정 사이트를 반복적으로 방문하고 나면 구글과 페이스북에 관련 광고가 지속적으로 뜨는 건 이런 행태정보를 활용한 탓이다. 메타는 자사 서비스인 페이스북과 인스타그램엔 수집 동의를 필수 선택으로 하겠다고 발표했다가 이용자들의 반발을 사 철회하기도 했다. 개인정보위는 구글과 메타가 제출한 2019~2021년 매출액에서 국내 이용자 비율을 곱한 금액을 토대로 위반행위의 중대성과 기간 등을 고려해 최종 과징금을 부과했다. 위반행위와 관련한 매출액의 100분의3 이하에 해당하는 금액을 과징금으로 부과할 수 있다(제39조의15)는 관련법 규정에 따른 것이다. 양사에는 이용자의 타사 행태정보를 수집·이용하려면 이용자가 쉽고 명확하게 인지해 자유로운 결정권을 행사할 수 있도록 이용자에게 알리고 동의를 받으라고 시정 명령했다. 개인정보위의 이번 조치에 구글코리아는 입장문을 통해 “개인정보위의 심의 결과에 깊은 유감을 표하며 서면 결정을 면밀히 검토할 계획”이라고 했다. 그러면서 “앞으로도 한국 이용자의 프라이버시 보호를 위해 계속해서 개인정보위와 협의해 나가겠다”고 덧붙였다. 메타 관계자는 “개인정보위 결정은 존중한다”면서도 “메타는 관련 법안을 모두 준수하고 적법한 절차를 통해 고객사와 협업하고 있다고 자신한다. 이에 따라 이번 결정에 동의할 수 없으며, 법원의 판단을 포함한 모든 가능성을 열어 둔 채 사안을 면밀히 검토할 방침”이라고 밝혔다.

이용자 동의 없이 개인정보를 수집해 온라인 맞춤형 광고에 활용한 구글과 메타에 1000억원의 과징금이 부과됐다. 온라인 맞춤형 광고 플랫폼의 행태정보 수집·이용과 관련된 첫 번째 제재이자 개인정보보호 법규 위반 과징금으로는 역대 최대 규모다. 개인정보보호위원회는 14일 제15회 전체회의를 열어 구글에 692억원, 메타에 308억원 등 과징금 부과를 의결했다. 두 회사의 매출액이 워낙 큰 데다가 고의성과 개인정보 활용 기간 등을 종합적으로 고려하면서 과징금 규모가 커졌다. 개인정보위 조사 결과 구글과 메타는 자사 서비스 이용자의 타사 행태정보를 수집·분석해 이용자의 관심사를 추론하거나 맞춤형 광고에 사용하면서 이용자에게 명확히 사실을 알리지 않고 사전 동의도 받지 않았다. 타사 행태정보는 이용자가 다른 웹사이트를 방문하고 앱을 사용하는 과정에서 자동으로 수집되는 정보를 가리킨다. 구글은 최소 2016년부터 이용자가 가입을 할 때 타사 행태정보 수집과 이용 사실을 알리는 내용을 ‘옵션 더 보기’ 화면으로 가려 둔 채 기본값을 ‘동의’로 설정하는 방법을 썼다. 메타 역시 2018년 7월 14일부터 가입자의 타사 행태정보를 수집해 맞춤형 광고에 이용하면서 이런 사실을 명확하게 알리지 않고 동의 또한 받지 않았다. 윤종인 개인정보위 위원장은 “이용자를 식별해 수집되는 행태정보가 축적되면 개인의 사생활을 심각하게 침해할 우려가 있다는 점에서 그 위반행위가 중대하다”고 밝혔다. 두 회사는 이번 조치에 반발해 법정 대응을 예고했다.

부산지역에서 데이터 산업을 활성화하는 거점이 될 빅데이터 혁신센터가 설치됐다. 시는 29일 부산 해운대구 센텀기술창업타운에 ‘부산 빅데이터 혁신센터’를 열고 운영을 시작한다고 밝혔다. 빅데이터 혁신센터는 데이터 산업 생태계 조성을 위한 것으로 다양한 공공·민간 데이터를 활용해 데이터 분석과 시각화, 데이터 활용 자문 컨설팅 등을 제공한다. 데이터 활용과 관련한 자치단체와 산업계, 대학을 연결하는 포럼, 컨퍼런스 조직을 추진하고, 데이터 산업화 지원으로 관련 기업 육성에도 나선다. 시는 개인정보위원회 공모사업에 선정돼 ‘지역 가명정보 활용지원센터’를 유치하는 데도 성공했다. 가명정보 활용 지원센터는 기업이나 기관이 안전하게 가명 처리를 할 수 있도록 기반 시설을 제공하고, 각종 기술·교육·상담 등을 역할을 할 예정이다. 가명정보는 개인정보를 일부 삭제하거나 대체해 추가적인 정보가 없다면 개인 식별이 불가능하도록 처리한 정보다. 개인정보보호법, 정보통신망법, 신용정보법 등 이른바 ‘데이터 3법’이 개정되면서 데이터를 시장조사나 과학연구, 상업적 통계 작성, 공익 기록보존 등에 활용할 수 있게 됐는데, 이를 위해서는 데이터의 가명정보화가 우선돼야 한다. 시는 가명정보 활용지원센터를 향후 ‘가명정보 결합전문기관’으로 지정되도록 할 계획이다. 이는 개인정보보호법에 따라 가명정보 결합을 수행하는 전문기관으로 현재 통계청, 삼성SDS 등 전국 22개 기관이 지정돼 있다. 시는 빅데이터 혁신센터와 가명정보 활용지원센터가 함께 운영되면서 지역 데이터 산업 발전을 위한 동력 마련될 것으로 기대한다. 이성권 부산시 경제부시장은 “부산 빅데이터혁신센터와 가명정보 활용 지원센터는 지역 데이터 산업이 발전하는 발판이 될 것”이라며 “미래 먹거리가 될 데이터를 잘 모으고, 가치 있게 활용하는 사례를 발굴해 기업의 성장에 실질적인 도움이 되는 센터로 발전시켜 가겠다”고 밝혔다.