이미지 크게보기

인천영업센터서 가맹점주 20만여 명 개인정보 무단 활용
과징금 134억5100만원 부과…카카오 이어 국내기업 2위

신규 카드발급 마케팅을 위해 가맹점주 20만 명 이상의 개인정보를 무단으로 활용한 카드사가 개인정보보호위원회로부터 134억 원이 넘는 과징금 철퇴를 맞았다. 국내 기업에 부과된 과징금 중 지난해 5월 카카오에 부과된 151억여 원에 이어 두 번째로 많은 금액이다.

개인정보위는 26일 제7회 전체회의를 열고 개인정보보호법을 위반한 우리카드에 과징금 134억5100만 원과 함께 시정명령·공표명령을 내렸다고 27일 밝혔다. 조사 결과 우리카드의 인천영업센터는 신규 카드발급 영업실적을 올리기 위해 2022년 7월부터 2024년 4월까지 가맹점주 최소 20만7538명의 정보를 조회해 카드 모집인에게 전달한 것으로 드러났다.

이미지 크게보기 고학수 개인정보보호위원장이 26일 정부서울청사에서 열린 제7회 전체회의를 주재하고 있다. 개인정보보호위원회 제공

우리카드 인천영업센터는 카드 가맹점 관리 프로그램을 통해 가맹점주들의 성명, 주민등록번호, 전화번호, 주소 등 개인정보를 조회한 뒤 이를 카드발급심사 프로그램에 입력해 가맹점주가 우리카드의 신용카드를 보유하고 있는지 확인했다. 이어 이 정보를 카드 모집인 등이 참여한 카카오톡 단체채팅방에 공유해 카드모집인들이 가맹점주 대상 마케팅에 활용할 수 있도록 했다.

특히 2023년 9월부턴 더 쉬운 방법으로 개인정보를 마케팅에 활용하기 위해 개인정보 데이터베이스(DB)에서 가맹점주의 개인정보와 신용카드 보유 여부를 조회하는 명령어를 사용, 이런 정보를 목록으로 만든 것으로 밝혀졌다. 가맹점주 7만5676명의 개인정보가 담긴 이 목록은 지난해 1월 8일부터 4월 2일까지 총 100회에 걸쳐 카드 모집인에게 이메일로 전달됐다. 또 20만 명이 넘는 가맹점주의 개인정보를 마케팅에 활용했지만, 이 중 7만4692명은 마케팅 활용에 동의한 사실이 없었던 것으로 확인됐다.

우리카드가 DB 접근권한, 주민등록번호가 포함된 개인정보 열람 권한 등을 영업센터에 위임해 운영하면서 내부통제를 소홀히 한 사실도 밝혀졌다. 영업센터에서 개인정보 조회·다운로드가 월 3000만 건 이상 발생했음에도 이를 점검·조치하지 않는 등 사실상 본사가 이를 방치하고 있었던 것이다. 또 주민등록번호가 포함된 개인정보를 처리하기 위해선 합법 근거가 있어야 하나, 이 역시 없었다.

이미지 크게보기 김해숙 개인정보보호위원회 조사1과장이 27일 정부서울청사에서 우리카드에 내려진 처분 결과에 대해 브리핑하고 있다. 개인정보보호위원회 제공

개인정보위는 우리카드가 가맹점 관리 등을 목적으로 수집한 개인정보를 마케팅에 활용한 것은 개인정보 수집·이용하는 과정에서 원래의 목적 범위를 벗어나서는 안 된다고 정한 개인정보보호법 제18조 제1항을 위반한 행위라고 설명했다. 이날 정부서울청사에서 열린 브리핑에서 김해숙 개인정보위 조사1과장은 “당초 개인정보를 수집할 때 동의를 받더라도 그 범위를 벗어나 개인정보를 처리하는 것은 위법이다”라며 “개인정보를 처리하는 개인정보취급자에게 접근권한을 부여하더라도, 권한이 정당하게 관리되고 있는지나 불법적인 조회가 있었는지 등 주기적인 점검이 필요하다”고 말했다.

한편 이번 처분은 지난해 12월 손해보험사에 대한 조사·처분에 이은 금융계열 회사에 대한 처분이다. 김 과장은 “금융회사 등도 신용정보법뿐만 아니라 개인정보보호법상 규정도 적용될 수 있다”며 “이 사실을 한 번 더 상기할 수 있는 계기가 되길 바란다”고 덧붙였다.

구혁 기자