개인정보위 조사서 무단조회 의심 467명 확인
실제 외부 유출 확인은 1명…법 위반 판단은 없어

▲ [우아한형제들]

 

배달의민족이 개인정보 접속기록을 매월 점검하고도 고객상담 수탁사 직원의 비정상 조회를 사전에 걸러내지 못한 것으로 나타났다. 정기 점검이 실제 이상행위를 포착할 수 있도록 관리체계를 보완할 필요성이 제기된다.

3일 개인정보보호위원회 결정문과 우아한형제들에 따르면 이번 사건은 배달의민족 고객상담 수탁사 직원이 업무 과정에서 접근할 수 있었던 고객정보를 사적인 목적으로 조회하면서 발생했다.

개인정보위 조사 결과 해당 직원은 사적 보복에 사용할 개인정보를 얻을 목적으로 고객상담 수탁사에 취업한 것으로 파악됐다. 이후 상담업무를 수행하면서 정상적인 업무 범위를 벗어나 고객정보에 접근했다.

개인정보위는 직원의 근무기간 중 개인정보 조회내역을 분석해 이용자 467명의 정보가 업무 목적과 무관하게 조회됐을 가능성이 있다고 판단했다. 다만 이들 모두의 개인정보가 외부로 넘어간 것은 아니다. 실제 외부 유출이 확인된 이용자는 1명이다.

쟁점은 비정상적인 조회가 사전에 발견되지 않았다는 점이다.

우아한형제들은 당시 개인정보취급자의 접속기록을 매월 점검하고 있었다. 그러나 해당 직원의 이상 조회 정황은 사고가 발생한 뒤 진행된 조사 과정에서 확인됐다.

개인정보 접속기록을 정기적으로 살펴보는 절차는 운영됐지만 특정 직원이 업무상 필요한 범위를 벗어나 반복적으로 고객정보에 접근하는 행위를 조기에 탐지하는 데는 한계가 있었던 셈이다.

다만 개인정보위는 이번 사건에서 우아한형제들의 개인정보보호법상 안전조치 의무 위반을 인정하지 않았다.

해당 직원이 개인정보 확보를 목적으로 수탁사에 취업한 범행의 특수성과 당시 회사가 운영하고 있던 접근통제·접속기록 관리 등 보호조치를 종합적으로 고려했다. 이에 따라 과징금이나 시정명령을 내리지 않고 재발 방지를 위한 개선을 권고했다.

우아한형제들도 사고 이후 내부 통제를 강화했다.

우아한형제들은 2일 토요경제에 “사고 이후 조회 권한을 최소화하고 이상 접근에 대한 실시간 탐지·차단 기준을 강화했다”며 “수탁사 보안점검 항목도 기존 31개에서 53개로 확대했다”고 밝혔다.

이어 “피해 고객께 깊이 사과드리며 향후 개인정보위의 권고 사항을 성실히 이행하겠다”고 말했다.

 

토요경제 / 황세림 기자 hsr@sateconomy.co.kr 

[ⓒ 토요경제. 무단전재-재배포 금지]