개인정보위, 안전조치 의무 위반한 삼양그룹 소속 4개사 제재

개인정보 15만 명 유출…삼양그룹 4개사에 5.5억원 과징금 부과

이정렬 개인정보위 부위원장이 11일 정부서울청사에서 개최된 제22회 위원회 전체회의를 진행하고 있다/개인정보위출처

삼양그룹 계열사들이 데이터 이관이 끝난 서버를 외부망에 연결한 채 방치하고 주민등록번호 암호화 등 기본 안전조치도 소홀히 해 임직원·주주·관계자 등 14만 9767명의 개인정보가 유출된 사실이 드러나 제재를 받았다.

개인정보보호위원회는 지난 11일 전체회의에서 삼양홀딩스·삼양사·삼양패키징·삼양데이타시스템 등 삼양그룹 4개사에 총 5억 5200만원의 과징금과 1620만원의 과태료, 시정명령 등을 의결했다고 12일 밝혔다

조사 결과 신원 미상의 해커는 지난 2022년 7월 삼양그룹 내 메일서버 취약점을 이용해 관리자 권한을 얻은 뒤 데이터 이관용 내부 파일서버의 인증정보를 탈취했다. 이후 임직원·주주·관계자 등 14만 9767명의 개인정보가 담긴 파일 약 85만개를 외부로 유출한 것으로 확인됐다.유출된 개인정보에는 8만2750명의 주민등록번호도 포함됐다.

특히 삼양홀딩스·삼양사·삼양패키징은 주민등록번호 암호화 등 안전성 확보 조치도 하지 않았다. 삼양홀딩스와 삼양패키징은 법정 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않았고 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 것으로 조사됐다.

사업자별 위반 및 시정조치 내역/개인정보위

이와 함께 개인정보 처리 업무를 위탁하면서 필수 계약서를 누락한 점도 문제가 됐다. 삼양홀딩스·삼양사·삼양패키징은 지난 2022년 7월 유출 사고 당시 이미 삼양데이타시스템에 업무를 맡겼지만 2년 5개월이 지난 2024년 12월에야 위탁 계약서를 마련했다.

이에 개인정보위는 삼양홀딩스·삼양사·삼양패키징에 각각 과징금 1억 8400만원을 부과하고 과태료는 삼양홀딩스 900만원, 삼양사 180만원, 삼양패키징 540만원으로 결정했다. 아울러 접근통제 등 안전조치 의무를 위반한 삼양데이타시스템에는 시정명령과 공표 조치를 의결했다.

개인정보위 관계자는 "이번 사고는 사용하지 않는 서버를 폐기하지 않는 등 안전조치 의무를 소홀히 한 데서 발생했으며 주민등록번호 암호화 미흡과 불필요한 개인정보의 장기 보관으로 피해가 커졌다"고 지적했다. 이어 "사용이 중단된 서버는 폐기하거나 외부 접근을 차단하고 불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 철저히 준수해 달라"고 당부했다.