[한국Q뉴스] 개인정보보호위원회는 11월 11일 제22회 전체회의를 열고 개인정보 보호 법규를 위반한 삼양그룹 4개社에 대해 총 5억 5,200만원의 과징금 및 1,620만원의 과태료 부과 등을 의결했다.

이들 사업자는 파일서버에 대한 접근통제, 주민등록번호 암호화 등 기본적인 안전조치 의무를 소홀했고 이로 인해 개인정보 유출사고가 발생한 것으로 확인됐다.

신원 미상의 자는 2022년 7월 삼양그룹 내 메일서버의 취약점을 이용해 관리자 권한을 획득하고 데이터 이관을 목적으로 설치되었던 내부 파일서버의 인증정보를 탈취했다.

이후 해커는 해당 서버에서 ㈜삼양홀딩스·㈜삼양사·㈜삼양패키징의 임직원 정보, 주주 정보, 관계자 정보 등 총 149,767명의 개인정보가 포함된 파일 약 85만개를 유출했다.

조사 결과, 삼양데이타시스템㈜은 삼양3사의 데이터 이관 완료 후에도 해당 서버를 사고 당시까지 외부망과의 통신이 연결된 상태로 두었고 이에 해커가 해당 서버로부터 삼양3사의 개인정보를 단기간에 외부 클라우드로 유출할 수 있었던 것으로 확인됐다.

또한, 삼양3사는 주민등록번호에 대한 암호화 등 안전성 확보에 필요한 조치를 하지 않았고 ㈜삼양홀딩스와 ㈜삼양패키징은 법령상 보존기간이 경과한 일용직 근로자 급여정보를 파기하지 않았으며 ㈜삼양홀딩스는 채용 과정에서 법령 근거 없이 주민등록번호를 수집해 온 것으로 확인됐다.

한편 삼양3사는 2022년 7월 유출사고 당시 삼양데이타시스템㈜에 개인정보 처리 업무를 위탁하고 있었으나, 2024년 12월에서야 개인정보 처리 위탁에 관한 계약서를 마련한 것으로 확인됐다.

이에 개인정보위는 주민등록번호 암호화 및 개인정보 처리 업무위탁에 관한 문서화를 위반한 삼양3사에 각각 과징금 1억 8,400만원과 과태료 180만원을 부과했다.

이와 함께, 개인정보 파기 규정을 위반한 ㈜삼양홀딩스와 ㈜삼양패키징에 각각 과태료 360만원, 법령 근거 없이 주민등록번호를 수집한 ㈜삼양홀딩스에 과태료 360만원을 부과하고 안전조치 의무를 위반한 삼양데이타시스템㈜에 시정명령 등을 의결했다.

이번 사고는 개인정보처리자가 더 이상 사용하지 않는 서버를 폐기하지 않는 등 안전조치 의무를 소홀히 함에 따라 발생했고 주민등록번호에 대한 암호화 미흡 및 불필요한 개인정보의 장기 보관 등으로 정보주체의 피해가 더욱 확대된 것으로 나타났다.

이에 개인정보위는 사용이 중단된 서버는 폐기하거나 외부 접근을 차단하고 불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 충실히 이행한다면 개인정보 유출 가능성을 낮추면서 정보주체의 피해도 최소화할 수 있다고 강조했다.