상조 3개사 점검에서 드러난 개인정보 관리 빈틈

개인정보보호위원회(개인정보위)는 지난 24일 '제12회 전체회의'에서 상조 서비스 주요 사업자의 개인정보 처리 사전 실태점검 결과를 다뤘다. 점검 결과 보안취약점 조치 미흡, 장기 미사용 계정 관리 소홀 등이 발견돼 시정권고를 하기로 했다고 25일 밝혔다.

이번 점검은 지난 2024년 6월 보람상조그룹, 올해 1월 교원라이프 등 상조업계 개인정보 유출 사고가 잇달아 발생한 뒤 진행됐다. 개인정보위는 선수금 규모 등을 고려해 상조 분야 주요 사업자 3개사를 선정하고 올해 1월 사전 실태점검에 착수했다.

상조서비스 업계는 최근 웨딩, 여행 등으로 서비스 범위를 넓히고 있다. 서비스 제공 과정에서는 성명, 전화번호, 종교 등 여러 개인정보가 처리된다. 장기간 회원정보를 보유해야 하는 특성도 있어 개인정보 보호조치가 요구된다.

점검에서는 개인정보처리시스템 안전 조치가 충분하지 않은 사례가 확인됐다. 보안 취약점 점검 뒤 발견된 취약점을 제때 조치하지 않거나, 장기간 쓰지 않은 계정의 접근 권한을 회수하지 않는 등 접근권한 관리가 미흡했다. 접속기록 보관 때 필수 항목인 정보주체 정보를 포함하지 않은 사례도 있었다.

보관기간이 지난 개인정보를 파기하지 않거나 분리보관 의무를 지키지 않은 사례도 확인됐다. 상조 서비스 해지 뒤 보유 기간이 지난 개인정보가 남아 있던 사례가 포함됐다. 개인정보 처리업무를 맡은 수탁자 일부에 대해 점검과 교육을 하지 않는 등 수탁자 관리·감독도 소홀한 것으로 파악됐다.

개인정보위는 이 같은 사항이 '개인정보보호법' 위반에 해당한다고 보고 시정권고를 의결했다. 점검 과정에서는 내부 데이터베이스 서버 접근통제 미흡, 개인정보 전송구간 암호화 미적용, 개인정보 보호책임자 지정요건 미준수도 확인됐다. 개인정보위는 실태점검 기간 중 관련 사항을 모두 개선·조치했다고 밝혔다.

개인정보위는 국민 생활과 밀접한 분야를 중심으로 사전 실태점검을 계속 확대한다는 방침이다. 개인정보 처리 전 과정에서 위험 요인을 미리 확인하고 개선하는 예방 중심의 개인정보 보호체계를 확산해 국민의 개인정보가 보다 안전하게 보호될 수 있도록 노력해 나간다는 계획이다.