우리카드가 가맹점주 7만여 명의 개인정보를 사전 동의 없이 마케팅에 활용한 사실이 드러나, 130억 원이 넘는 과징금을 물게 됐다.
개인정보보호위원회(이하 개인정보위)는 27일 제7회 전체회의를 열고 개인정보보호법 위반 혐의로 우리카드에 과징금 134억5,100만 원과 함께 시정명령 및 공표 명령을 의결했다고 밝혔다.
이번 조사는 지난해 4월 우리카드의 자진 신고와 더불어 ‘우리카드 가맹점 대표자의 개인정보가 카드 신규 모집에 활용되고 있다’는 언론 보도를 계기로 착수됐다. 조사 결과, 우리카드 인천영업센터는 2022년 7월부터 2024년 4월까지 신규 카드 발급 마케팅을 위한 실적 확대를 목적으로, 최소 20만7,538명의 가맹점주 개인정보를 무단으로 수집·조회한 것으로 드러났다.
센터 직원들은 가맹점 관리 프로그램에 카드가맹점의 사업자등록번호를 입력해 가맹점주의 성명, 주민등록번호, 주소, 휴대전화번호 등 민감한 개인정보를 확인한 뒤, 카드 발급 심사 프로그램을 통해 해당 가맹점주가 우리카드 보유자인지 여부를 확인했다. 이 같은 정보를 카카오톡 단체 채팅방과 이메일 등을 통해 카드 모집인에게 공유했으며, 이 과정에서 7만4,692명의 가맹점주는 정보 활용에 동의하지 않은 것으로 파악됐다.
특히 2023년 9월부터는 데이터베이스(DB) 조회 명령어를 이용해 우리카드 보유 여부 등 정보를 확인하고 이를 파일로 생성한 뒤, 지난해 1월부터 4월까지 하루 평균 두 차례씩 총 100회에 걸쳐 가맹점주 7만5,676명의 개인정보를 카드 모집인에게 이메일로 전송했다.
개인정보위는 우리카드가 수집 목적을 초과해 개인정보를 이용한 것은 보호법 제18조 제1항(목적 외 이용·제공 제한) 위반에 해당하며, 주민등록번호를 법적 근거 없이 처리한 점은 보호법 제24조의2 제1항 위반이라고 판단했다.
또한, 우리카드는 영업센터에 DB 접근 및 파일 다운로드 권한, 주민등록번호 열람 권한 등을 위임하고도 이에 대한 점검이나 통제가 미흡했던 것으로 조사됐다. 실제로 인천영업센터에서는 월 3,000만 건 이상의 개인정보가 대량 조회·다운로드됐으나, 본사 차원의 관리·감독은 사실상 이루어지지 않았다.
김해숙 개인정보위 조사1과장은 “인천영업센터에서 문제가 발생했지만, 내부 통제가 제대로 이뤄지지 않은 점을 고려할 때 우리카드 본사의 구조적인 문제로 판단했다”며 “일부 영업센터의 일탈로 볼 수 없다고 본 위원회의 판단에 따라 제재가 결정됐다”고 설명했다.
개인정보위는 우리카드에 내부통제 강화, 접근권한 최소화, 접속기록 점검 등 안전조치 의무 이행과 개인정보취급자에 대한 관리·감독 강화 등을 명령했으며, 이번 처분 사실을 홈페이지 등에 공표하도록 했다.
개인정보위 관계자는 “개인정보 수집·이용 목적을 벗어난 처리는 명백한 위법”이라며 “향후 유사 사례가 재발하지 않도록 내부통제 시스템을 철저히 갖추는 것이 중요하다”고 강조했다.
