개인정보위, 안전조치 의무 위반한삼양그룹 소속 4개사 제재

 - 개인정보 유출 방지를 위해 사용하지 않는 서버의 폐기 및 불필요한 개인정보의 적시 파기 등 기본적인 안전조치 의무 준수 당부

개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 11월 11일(수) 제22회 전체회의를 열고, 개인정보 보호 법규를 위반한 삼양그룹 4개社*에 대해 총 5억 5,200만원의 과징금 및 1,620만원의 과태료 부과 등을 의결하였다.

   * ㈜삼양홀딩스(그룹 지주사), ㈜삼양사(설탕·제분업), ㈜삼양패키징(포장용 플라스틱 제조)삼양데이타시스템㈜(시스템 통합 자문·구축, 수탁사)

  이들 사업자는 파일서버에 대한 접근통제, 주민등록번호 암호화 등 기본적인 안전조치 의무를 소홀하였고, 이로 인해 개인정보 유출사고가 발생한 것으로 확인되었다. 구체적인 위반 내용과 처분 결과는 다음과 같다.

< 삼양그룹 : 과징금 5억 5,200만원, 과태료 1,620만원, 시정명령 및 공표 >

  신원 미상의 자(이하 '해커')는 2022년 7월 삼양그룹 내 메일서버의 취약점을 이용하여 관리자 권한을 획득하고, 데이터 이관을 목적으로 설치되었던 내부 파일서버(이하 '해당 서버')의 인증정보를 탈취하였다. 이후 해커는 해당 서버에서 ㈜삼양홀딩스·㈜삼양사·㈜삼양패키징(이하 '삼양3사')의 임직원 정보, 주주 정보, 관계자 정보 등 총 149,767명의 개인정보(주민등록번호 82,750명)가 포함된 파일 약 85만개(1.3TB)를 유출하였다.

  조사 결과, 삼양데이타시스템㈜은 삼양3사의 데이터 이관 완료 후에도 해당 서버를 사고 당시까지 외부망과의 통신이 연결된 상태로 두었고, 이에 해커가 해당 서버로부터 삼양3사의 개인정보를 단기간에 외부 클라우드로 유출할 수 있었던 것으로 확인되었다.

  또한, 삼양3사는 주민등록번호에 대한 암호화 등 안전성 확보에 필요한 조치를 하지 않았고, ㈜삼양홀딩스와 ㈜삼양패키징은 법령상 보존기간이 경과한 일용직 근로자 급여정보를 파기하지 않았으며, ㈜삼양홀딩스는 채용 과정에서 법령 근거 없이 주민등록번호를 수집해 온 것으로 확인되었다.

  한편, 삼양3사는 2022년 7월 유출사고 당시 삼양데이타시스템㈜에 개인정보 처리 업무를 위탁하고 있었으나, 2024년 12월에서야 개인정보 처리 위탁에 관한 계약서를 마련한 것으로 확인되었다.

  이에, 개인정보위는 주민등록번호 암호화 및 개인정보 처리 업무위탁에 관한 문서화를 위반한 삼양3사에 각각 과징금 1억 8,400만원과 과태료 180만원을 부과하였다.

  이와 함께, 개인정보 파기 규정을 위반한 ㈜삼양홀딩스와 ㈜삼양패키징에 각각 과태료 360만원, 법령 근거 없이 주민등록번호를 수집한 ㈜삼양홀딩스에 과태료 360만원을 부과하고, 안전조치 의무를 위반한 삼양데이타시스템㈜에 시정명령 등을 의결하였다. 

< 이번 조사·처분의 의의 >

  이번 사고는 개인정보처리자가 더 이상 사용하지 않는 서버를 폐기하지 않는 등 안전조치 의무를 소홀히 함에 따라 발생하였고, 주민등록번호에 대한 암호화 미흡 및 불필요한 개인정보의 장기 보관 등으로 정보주체의 피해가 더욱 확대된 것으로 나타났다.

  이에 개인정보위는 사용이 중단된 서버는 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 충실히 이행한다면 개인정보 유출 가능성을 낮추면서 정보주체의 피해도 최소화할 수 있다고 강조하였다.