위메프 '실수' 강조했지만…방통위, 개인정보유출 18억 과징금

[아이뉴스24 김문기 기자] 방통위가 위메프 개인정보유출과 관련해 과징금 18억5천200만원을 부과했다.

위메프는 개인정보유출과 관련해 큰 틀에서의 잘못을 시인했다. 다만, 전형적인 직원의 실수로 시스템 미비로 인한 문제가 아닌 점, 그간 방통위 선례를 짚었을 때 해킹 등에 의해 적게는 2천명, 많게는 300만명의 개인정보유출건과 달리 이번 20명의 개인정보유출이고 직원 실수기 때문에 정도가 경미하다는 점, 선제적 조치와 이용자 보상, 보안투자계획을 수립한 점을 들어 과징금이 아닌 시정명령을 내려줄 것을 바랐다.

하지만 방통위는 개인정보유출은 어떤 형태로도 엄격하게 다뤄야 한다는 전제로, 4천억원 이상의 매출을 올리는 대규모 사업자의 관리 미비와 향후 4차산업혁명 시대의 빅데이터 활용에도 영향을 미칠 수 있다는 점을 고려해 법적으로 불가피한 판단을 내릴 수밖에 없다는 징벌적 입장을 관철시켰다.

방송통신위원회(위원장 한상혁)는 22일 과천정부종합청사에서 57차 위원회 전체회의를 열고 '통신사 영업점 등 개인정보보호법규 위반사업자에 대한 시정조치에 관한 안건에 대해 원안대로 의결했다.

이번 안건은 방통위가 개인정보 유출을 신고한 사업자와 이용자 민원이 접수된 사업자 등에 대한 사실조사 결과, 정보통신망법 제23조의 2 등 위반시실이 확인된 11개사에 대해 시정명령과 함께 총 19억9천800만원의 과징금과 과태료를 부과했다.

이 중 가장 큰 과징금이 내려진 곳은 위메프다. 위메프는 지난해 11월 1일 블랙프라이데이 이벤트를 진행 중 직원의 실수로 타인의 개인정보가 이메일로 유출되는 사고가 일어난 바 있다. 당시 20명의 주소와 이름 핸드폰 번호 등이 노출됐다.

소명을 위해 참석한 이재환 위메프 이사는 "회사를 대표해서 진심으로 죄송하다"라며, "플랫폼 사업자의 개인정보보호가 중요하지만 그에 대해 부족했다는 것을 절실히 느꼈고, 고객분들과 판매자분들의 안전한 환경을 조성하는데 최선을 다하겠다"고 말했다.

다만, 위메프의 개인정보유출은 이번이 처음이 아니다. 앞서도 개발자의 실수로 개인정보가 유출되는 사고가 발생해 방통위가 지난 2017년 12월 이에 따른 과태료를 부과한 바 있다.

김정희 위메프 정보보호실장은 "(2017년 12월 과태료 관련) 사고 이후 별도 플랫폼 운영 산하에 3명만 존재하고 있었던 보안인원에 대해 정보보호실을 설치하고 내부인력을 20명까지 증원했다"고 설명했다. 이번 사고와 관련해서는 "이번 발생한 직원 실수는 시스템 자동화 구축 과정에서 발생한 건으로, 현재는 완료된 상황으로 동일한 재발방지 완벽하다고 말할 수 있다"고 해명했다.

또한 이번 사고와 관련해 법률대리인으로 참석한 법무법인 세종 변호사는 정보통신망법의 제 28조에 '기술적 관리적 조치를 해야 한다'라는 문구에 해당되지 않는 전형적인 직원의 실수로 시스템상의 문제가 아니었음을 재차 강조했다.

법률대리인은 "그간 방통위는 기술적 조치가 등의 취약점을 전제로 과징금을 부과한 바 있다"라며, "과징금 부과 선례를 보더라도 해킹 등으로 인한 사고와 2천명에서 300만명에 이르는 대규모 유출 건에 대해 다뤘지만 과거 비춰볼 때 시스템 취약점도 아닌 단순 임직원 실수로 정도가 경매하고 즉시 대응 조치 취하고 보상하고, 보안투자계획도 말했다"라며 적극적은 격려를 선처했다.

위메프는 1차 개인정보유출과 관련해 정보보호실을 설치하는 등 보안 측면에서 노후장비와 인건비를 제외하고 24억5천만원을 투자했다고 밝혔다. 이번 2차 개인정보유출로 인해서 보안투자가 증액돼 추가로 24억원이 투입된다고 설명했다.

이재환 이사는 "조직 측면에서 3개 파트 1개팀에서 3개팀으로 늘려 보안기술팀과 침해보호팀을 신설하고, 인원도 25명으로 늘리고 그 중 3분의 2는 10년 이상의 고급경력의 채용절차를 밟고 있다"라며, "임직원 보안 위한 교육 강화 및 정보보호실 직원 특화 전문교육 등에 기존 10배 이상을 책정했고 이사회 보고 통해 확정됐다"고 강조했다.

방통위는 법에 의거해 매출액의 100분의 3 수준인 50억9천만원을 책정했으나 자진신고 및 조사협력과 3년내 과징금 부과 사살이 없는 점 등을 고려해 감액처분을 내린 결과 18억5천200만원을 부과하기로 했다.

표철수 방통위 상임위원은 "근본적으로 개인정보 유출된 것은 각종 형태로 많이 일어났다"라며, "법 적용을 엄격하게 해왔다는 것을 말하고 앞으로도 빅데이터 활용 위해서도 이번에도 엄격하게 해야 한다는 입장을 밝힌다"고 말했다.

김창룡 방통위 상임위원 역시 "방통위는 정보보호의 최후의 보루이기에 (엄격하지 않다면) 불신을 받을 수 있지 않을까"라며, "그만한 덩치(위메프의 매출 규모)에 걸맞는 보호조치를 했는지를 봐야 해 불가피하게 이런 결정을 내리는데 동의한다"고 덧붙였다.

다만, 김석진 방통위 부위원장은 "엄한 행정처분은 필요하지만 액수가 과중해 선뜻 받아들이기 그렇다"라며, "사업자들이 자발적으로 24억원이라는 돈을 투자하고 보강하겠다고 하면 행정처분에 이를 반영했으면 하는 아쉬움이 있다"고 소수의견을 피력했다.

한편, 이번 개인정보보호 미흡과 관련해 C.C통신 2호점은 과태료 2천만원, 골드문 2천만원, 디에이치테크 1천만원, 비트젯 500만원, 에스알 3천만원, 엠떠블유 1천만원, 지앤디플러스 1천800만원, 천재교과서 1천300만원이 부과됐다.