안녕하세요, 법무법인 청출 이영경 변호사입니다. 최근 개인정보보호위원회(이하 '개인정보위')가 ㈜우리카드에 대해 거액의 과징금을 부과한 사례를 분석해 드리고자 합니다. 이번 사례는 금융회사의 개인정보 관리 실태에 대한 중요한 시사점을 제공하고 있습니다.

[Question] 개인정보를 목적 외로 사용하여 개인정보위에서 제재한 최근 사례가 무엇일까?

[Answer]

사안의 개요

1. 개인정보위는 2025년 3월 26일 제7회 전체회의를 열고, ㈜우리카드가 「개인정보 보호법」(이하 '보호법')을 위반한 행위에 대해 134억 5,100만 원의 과징금 부과와 함께 시정명령·공표명령을 의결했습니다. 해당 조사는 2024년 4월 ㈜우리카드의 신고와 "(주)우리카드 가맹점 대표자(이하 '가맹점주')의 개인정보가 카드 신규 모집에 이용된다"는 언론보도 등에 따라 착수되었습니다. 조사 결과, ㈜우리카드가 가맹점주의 개인정보를 동의 없이 신규 카드발급 마케팅에 활용하고, 영업센터 직원이 이를 카드 모집인에게 전달한 사실이 확인되었습니다.

구체적인 위반 행위는 다음과 같습니다:

1. ㈜우리카드 인천영업센터는 신규 카드발급 마케팅을 통한 영업실적 증대를 위해 2022년 7월부터 2024년 4월까지 카드가맹점의 사업자등록번호를 가맹점 관리 프로그램에 입력하여 가맹점주 최소 131,862명의 성명, 주민등록번호, 휴대전화번호, 주소 등 개인정보를 조회했습니다.

2. 카드발급심사 프로그램에서 가맹점주의 주민등록번호를 입력하여 해당 가맹점주가 ㈜우리카드에서 발급한 신용카드(이하 '우리신용카드')를 보유하고 있는지 확인한 후, 출력된 가맹점 문서에 이를 기재 및 촬영하여 카드 모집인 등이 참여한 카카오톡 단체채팅방에 공유했습니다.

3. 특히 2023년 9월부터는 가맹점주 및 카드회원의 개인정보를 처리하는 데이터베이스(이하 'DB')에서 정보조회 명령어를 통해 가맹점주의 개인정보 및 우리신용카드 보유 여부를 조회한 후 개인정보 파일로 생성했으며, 2024년 1월 8일부터 4월 2일까지 1일 2회 이상 총 100회에 걸쳐 가맹점주 75,676명의 개인정보를 카드 모집인에게 이메일로 전달했습니다. 이러한 방식으로 최소 207,538명의 가맹점주 정보를 조회하여 카드 모집인에게 전달했으며, 이 중 74,692명은 마케팅 활용에 동의한 사실이 없었습니다.

개인정보보호위원회 판단 - 개인정보위는 ㈜우리카드의 행위가 보호법 위반에 해당한다고 판단했습니다:

1. 개인정보 목적 외 이용·제공 제한 규정 위반: 보호법은 수집‧이용 범위를 초과하여 개인정보를 이용하여서는 안 된다고 규정하고 있습니다. ㈜우리카드가 가맹점 관리 등 목적으로 수집한 개인정보를 우리신용카드 발급 등 마케팅에 활용한 것은 개인정보 목적 외 이용‧제공 제한 규정(보호법 제18조 제1항)을 위반한 것입니다.

2. 주민등록번호 처리 제한 규정 위반: 이 과정에서 법률에 근거하지 않고 주민등록번호를 처리한 것은 주민등록번호 처리의 제한 규정(보호법 제24조의2 제1항)을 위반한 것입니다.

3. 안전조치의무 위반: ㈜우리카드가 DB 접근권한, 파일 다운로드 권한 및 주민등록번호가 포함된 개인정보의 열람 권한 등을 사실상 개별 부서에 해당하는 영업센터에 위임하여 운영하면서 접근권한 부여 현황 파악, 접속기록 점검 등 내부통제를 소홀히 했습니다. 구체적으로 ㈜우리카드는 영업센터 직원 업무와 무관하게 DB 접근권한을 부여하여 가맹점주 정보를 조회할 수 있게 했으며, 심지어 영업센터에서 월 3천만 건 이상의 대량 개인정보 조회‧다운로드가 발생했음에도 이를 점검‧조치하지 않는 등 사실상 가맹점주나 신용카드 회원 정보를 조회‧이용하는 것을 방치했습니다(보호법 제29조).

이러한 위반 행위에 대해 개인정보위는 다음과 같은 조치를 취했습니다:

1. 과징금 부과: 134억 5,100만 원의 과징금을 부과했습니다.

2. 시정명령: 개인정보 오·남용을 방지하기 위한 내부통제 강화, 접근권한 최소화 및 점검 등 안전조치의무 준수, 개인정보취급자에 대한 관리·감독 강화 등을 시정하도록 명령했습니다.

3. 공표명령: 처분받은 사실을 홈페이지 등에 공표하도록 했습니다. 이는 개인정보 보호법 개정(2023.9.15.)으로 신설된 처분 규정으로, 사업자 홈페이지 등에 과징금‧과태료 등의 처분받은 사실을 공표하는 제도입니다.

시사점

이번 개인정보위의 결정은 다음과 같은 중요한 시사점을 제공합니다:

1. 개인정보 수집·이용 목적 준수의 중요성: 개인정보위는 "당초 개인정보의 수집·이용 목적을 벗어난 개인정보의 처리는 위법"이라는 점을 강조했습니다. 이는 기업이 개인정보를 수집할 때 명시한 목적 외로는 해당 정보를 활용할 수 없다는 원칙을 재확인한 것입니다.

2. 내부통제 시스템의 필요성: 개인정보위는 "직원 등 개인정보취급자의 개인정보 접근권한을 주기적으로 점검하고, 불필요한 개인정보 조회나 이용이 없는지 접속기록도 확인하는 등 내부통제 시스템을 잘 갖추어야 한다"고 당부했습니다. 이는 단순히 개인정보 보호 정책을 마련하는 것을 넘어 실질적인 관리·감독이 이루어져야 함을 의미합니다.

3. 금융회사에 대한 보호법 적용 확인: 개인정보위는 "지난해 12월 손해보험사에 대한 조사‧처분에 이어 카드사에 대한 이번 처분을 통해 금융회사 또한 보호법이 적용될 수 있으므로, 보호법 준수 여부를 다시 한번 점검할 필요가 있다"고 말했습니다. 이는 금융회사들이 관련 법령을 철저히 준수해야 함을 명확히 한 것입니다.

4. 과징금 규모의 중대성: 134억 5,100만 원이라는 과징금 규모는 개인정보 보호 위반에 대한 제재가 매우 강력해지고 있음을 보여줍니다. 이는 기업들이 개인정보 보호에 더욱 신중한 접근을 해야 함을 시사합니다.

5. 공표명령의 도입: 2023년 9월 개정된 보호법에 따라 도입된 공표명령은 법적 제재 외에도 기업의 평판에 직접적인 영향을 미칠 수 있는 조치로, 기업들의 자발적 법 준수를 유도하는 효과가 있을 것으로 보입니다.

기업의 대응 방향

이번 사례를 통해 기업들은 다음과 같은 조치를 취할 필요가 있습니다:

1. 개인정보 처리 목적의 명확한 설정 및 준수: 개인정보를 수집할 때부터 그 이용 목적을 명확히 하고, 해당 목적 외 이용을 엄격히 제한해야 합니다.

2. 내부통제 시스템 강화: 개인정보 접근권한 관리, 접속기록 보관 및 점검, 정기적인 감사 등 내부통제 시스템을 강화해야 합니다.

3. 개인정보취급자에 대한 교육 강화: 개인정보를 다루는 직원들에게 관련 법규와 기업 내부 규정에 대한 교육을 정기적으로 실시해야 합니다.

4. 개인정보 보호 관련 법규 준수 점검: 보호법 등 관련 법규의 개정 사항을 지속적으로 모니터링하고, 자사의 준수 여부를 정기적으로 점검해야 합니다.

법무법인 청출은 김&장 법률사무소, 태평양, 광장, 세종, 율촌과 같은 국내 대형로펌과 대기업 사내변호사를 통해 쌓은 전문성과 경험을 바탕으로, 다수의 기업에 개인정보보호법과 관련한 종합 자문을 제공하고 있습니다. 청출과 함께 하시면 사건의 본질을 정확히 파악하여 의뢰인의 입장을 잘 전달하는 든든한 조력자가 되어 드리겠습니다.