개보위, 롯데카드에 과징금 96억원…"주민번호 과도하게 수집·처리"

[프라임경제] 지난해 대규모 개인정보 유출 사고가 발생한 롯데카드가 과징금 96억2000만원을 부과받았다. 해킹의 타깃이 된 로그 파일에 고객의 주민등록번호 13자리가 그대로 기록돼 있었던 것으로 확인됐다. 

개인정보보호위원회(이하 개인정보위)는 12일 정부서울청사에서 제4회 전체회의 관련 브리핑을 열고 개인정보 보호 법규를 위반한 롯데카드에 대해 과징금 96억2000만원과 과태료 480만원을 부과했다고 밝혔다.

개인정보위는 지난해 9월22일 금융감독원이 롯데카드의 '개인신용정보 누설 신고 사실'을 통보하면서 조사에 착수했다.

조사 결과 롯데카드의 온라인 간편결제 시스템 해킹으로 로그 파일에 기록된 이용자 약 297만명의 개인신용정보가 유출된 것으로 드러났다. 이 가운데 45만명의 주민등록번호도 함께 유출된 사실을 확인했다.

롯데카드는 온라인 결제와 관련된 로그에 주민등록번호를 포함한 다수의 개인정보를 평문으로 기록하는 등 법에서 허용한 범위를 벗어나 주민등록번호를 처리한 것으로 나타났다. 또 로그 파일에 대한 암호화 조치도 충분히 하지 않았다.

윤여진 개인정보위 조사1과장은 "로그 파일에는 과도한 개인정보를 기입하지 않도록 하는데 로그 파일을 평문으로 기록했다는 것은 주민번호를 그대로 보이게 저장했다는 것"이라고 설명했다.

개인정보위는 이번 해킹사고가 대규모 개인정보 유출로 이어진 원인 중 하나로 롯데카드가 로그에 주민등록번호를 포함한 다수의 개인정보를 별도의 검토 없이 저장해온 것을 꼽았다.

개인정보위는 롯데카드에 과징금 96억2000만원과 과태료 480만원을 부과했다. 또 처분 사실을 회사 홈페이지에 공표하고, 개인정보 보호책임자(CPO)의 책임·독립성 강화를 비롯해 개인정보 보호 체계 전반을 정비하도록 했다.

현행 개인정보보호법에 따르면 개인정보 유출 사고를 낸 사업자에게는 전체 매출액 3% 이내 과징금을 부과할 수 있다. 2024년 연결 기준 롯데카드의 전체 매출액은 3조348억원이다.

과징금이 높지 않다는 지적에 대해 윤 과장은 "롯데카드 과징금은 주민등록번호를 과도하게 수집하고 처리한 부분에 대한 과징금"이라며 "결제 정보나 개인정보에 대한 유출 피해 등과 관련한 것은 금융당국이 관여한다"고 했다.

개인신용정보 처리에 대해서는 신용정보법이 우선 적용되고, 신용정보법에 규정돼 있지 않은 개인정보 처리에 대해서는 개인정보 보호법이 적용된다.

이에 따라 금융당국은 롯데카드의 개인신용정보 유출과 관련한 안전조치의무를 중심으로 신용정보법 위반 여부를, 개인정보위는 롯데카드의 주민등록번호 처리를 중심으로 보호법 위반 여부를 조사했다.

윤 과장은 "개인정보위는 롯데카드의 정보 유출 위법성을 매우 엄중하게 바라보고 있다"며 "과징금 처분 시 최대 50%까지 감경이 가능한데 감경 사유에 해당하는 것도 포함시키지 않고 20%수준만 감경하는데 그쳤다"고 말했다.

이어 "다만 과징금은 전체 매출액 기준인데 롯데카드가 관련 매출액이 아닌 부분 을 입증해 온라인 결제 매출액만으로 (과징금을) 산정했다"며 "2년여 동안 개인정보법 위반에 따른 과징금 가중 사유 50% 등이 있었으며 최종적으로 20% 과징금을 가중 처분하는 것으로 결정내렸다"고 덧붙였다.

이번 사태를 계기로 개인정보위는 금융 분야 사업자의 주민등록번호 처리 실태에 대한 사전 점검도 추진할 계획이다.

윤 과장은 "2014년 주민등록번호 법정주의가 도입된 지 10년이 넘었음에도 여전히 주민등록번호를 과도하게 처리하는 사실을 확인했다"며 "금융 분야 사업자 전반에 대해 처리 관행을 사전 실태점검을 할 계획"이라고 강조했다.

이날 롯데카드는 의결서 수령 이후 이의절차를 통해 입장을 소명해 나가겠다고 밝혔다.

롯데카드는 "사고 사실을 자진 신고하고 위원회 조사에도 성실히 임했다"면서도 "다만, 법적 근거 조항 등 소명한 내용이 충분히 반영되지 못한 부분에 대해서는 의결서를 수령한 뒤 내용을 면밀히 검토해 가능한 이의절차를 통해 계속 소명해 나갈 것"이라고 전했다.

아울러 "지난해 사이버 침해 사고로 인하여 불편과 심려를 끼쳐 드린 점에 대해 다시 한번 깊이 사과 드린다"며 "향후 재발 방지와 개인정보 보호 강화를 위해 최선의 노력을 다할 것을 약속 드린다"고 첨언했다.