개인정보위, 암호화폐 사업자 등 5개사에 과태료 4540만원

회원가입·탈퇴 과정 및 이용약관 상 미비점 발견돼

개인정보보호위원회는 23일 전체회의를 열고 개인정보보호법을 위반한 5개 사업자에게 총 4천540만원의 과태료 부과와 함께 시정명령 처분을 의결했다고 밝혔다.

이번에 적발된 사업자는 코인원, 스쿱미디어, 시터넷, 닥터마틴에어웨어코리아, 티몬 등 총 5개 사업자다.

개인정보위는 침해신고, 언론보도 등을 계기로 각 사업자에 대한 조사에 착수해 위법사항을 확인했다.

코인원은 구글에서 제공하는 설문 형식(구글폼)을 통해 회원을 모집하는 과정에서, 작성된 신청서에 대한 접근 권한을 ‘전체 공개’로 설정함에 따라 열람 권한이 없는 제3자도 볼 수 있도록 안전성 확보 조치를 소홀히 했다.

스쿱미디어는 이메일을 통해서만 회원탈퇴가 가능하도록 하는 등 회원 탈퇴 방법을 개인정보 수집 방법보다 어렵게 해 이용자의 권리보호 의무를 소홀히 했다.

시터넷은 이용자 패스워드를 일방향 암호화해 저장하지 않았다.

닥터마틴 에어웨어코리아는 누리집 등을 통해 공개되는 개인정보 처리방침에 법정고지 사항 중 개인정보 처리 위탁 내용 등을 포함시키지 않았다.

티몬은 이용자의 개인정보 열람요구에 대한 조치를 약 25일간 지연하는 등 개인정보보호 법규 위반사항이 각각 확인됐다.

사업자별 위반사항에 대한 행정처분

개인정보위는 특히 코인원, 스쿱미디어 등 2개사는 특정금융정보법 개정에 따라 9월까지 신고를 완료해야 하는 가상자산(암호화폐) 사업자로, 이번 처분이 가상자산 업계에서 개인정보보호법을 더욱 철저히 준수하게 되는 계기가 될 것으로 기대했다.

이날 전체회의에서는 또다른 가상자산 사업자인 코빗도 제재 대상으로 논의됐으나, 향후 재심의하는 것으로 의견이 모아졌다. 휴면 계정 해제 신청 시, 신분증 사진과 신분증을 들고 있는 사진을 요구한 점이 위법 소지가 있는 것으로 판단됐으나, 전체회의에서 코빗이 참고인 진술을 하고 난 뒤 이같이 결론이 났다.

배상호 개인정보위 조사2과장은 전체회의 결과에 대한 브리핑에서 "코빗의 휴면 계정 해제 시 본인확인 방법에 의해 심층적인 논의를 한 결과, 비대면 인증방식에 대한 관련 지침 등 사실관계를 추가 확인한 후에 차기 위원회 회의에서 재심의하기로 했다"고 답했다.

송상훈 개인정보위 조사조정국장은 “국민의 개인정보를 일상적으로 다루는 기업에서는 이용자의 열람권 보장, 개인정보 수집·이용 등 개인정보 처리 전 과정에서 침해가 발생하지 않도록 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 해야 한다”며 “앞으로도 개인정보위는 가상자산 사업자들의 개인정보 처리실태에 대해 지속적으로 점검하고, 개인정보 침해사고 등의 문제 발생 시 신속하게 조사에 착수해 피해를 최소화하겠다”고 밝혔다.