개인정보위, 식음료 10개사 제재…정보 수집·마케팅 동의 위반 적발

15억 6600만원 과징금 부과

보관기간 경과 정보 미파기·접근통제 미흡 등 광범위한 관리 부실 확인

개인정보위 로고 [사진=연합뉴스]

개인정보보호위원회(개인정보위)가 식음료 분야 주요 사업자들의 개인정보 처리 실태를 점검한 결과, 다수 사업자가 개인정보 보호법을 위반한 사실을 확인하고 제재에 나섰다.

개인정보위는 식음료 분야 10개 사업자에 대해 총 15억 6600만원의 과징금과 1억 1130만원의 과태료를 부과하고, 시정명령과 공표명령을 의결했다고 12일 밝혔다.

이번 조사는 키오스크 주문, 모바일 앱, 예약 플랫폼 등 정보통신기술(ICT)을 활용한 서비스 확산으로 개인정보 처리가 증가한 데 따른 것이다. 조사 결과, 상당수 사업자가 보유기간이 경과하거나 처리 목적이 달성된 개인정보를 파기하지 않고 보관하는 등 기본적인 관리 의무를 소홀히 한 것으로 나타났다.

또한 일부 사업자는 이용자 동의 없이 개인정보를 홍보·마케팅에 활용하거나, 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용한 사실도 확인됐다.

분야별로 보면 플랫폼 사업자의 경우 온·오프라인에서 수집한 개인정보를 연동하는 과정에서 원격 예약자나 현장 대기 고객의 정보가 외부에 노출된 상태로 운영되는 등 안전조치 의무를 위반한 사례가 적발됐다. 프랜차이즈 사업자 중에는 개인정보 처리 업무를 외부에 위탁하면서 수탁자에 대한 관리·감독을 제대로 하지 않거나, 100만명 이상 정보주체의 개인정보를 처리하면서 수집·이용·제공 내역을 주기적으로 통지하지 않은 사례도 있었다.

구체적으로 ㈜비케이알(버거킹)은 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용해 9억 2400만 원의 과징금을 부과받았다. ㈜엠지씨글로벌(메가MGC커피)은 회원가입 시 마케팅 활용에 동의하지 않은 경우에도 자동 동의 처리되도록 설정해 미동의 회원에게 마케팅 메시지를 발송한 사실이 확인돼 6억 4200만 원의 과징금을 부과받았다.

이와 함께 ㈜와드(캐치테이블), 테이블링㈜, ㈜야놀자에프앤비솔루션, 한국맥도날드(유)는 응용프로그램 인터페이스(API) 설계·운영 과정에서 접근통제를 소홀히 한 것으로 나타났다. 투썸플레이스㈜는 매장 주문 시 휴대전화번호를 입력하지 않으면 주문·결제가 불가능하도록 운영했으며, ㈜더본코리아(빽다방)는 마케팅 및 맞춤형 서비스 동의를 포괄적으로 받는 등 별도 동의 절차를 제대로 거치지 않은 것으로 조사됐다.

이 밖에도 다수 사업자가 접근권한 관리, 접속기록 보관 등 안전조치 의무를 충실히 이행하지 않은 사실이 확인됐다.

개인정보위는 아동·청소년의 개인정보는 특별한 보호가 필요하다고 강조하며, 다양한 참여자가 연결된 플랫폼 환경에서는 적법한 처리 근거 확보와 최소한의 정보 수집 등 ‘프라이버시 중심 설계’가 중요하다고 밝혔다. 또한 목적이 달성된 개인정보를 즉시 파기하지 않을 경우 잠재적인 유출 위험이 커질 수 있는 만큼, 불필요한 정보는 지체 없이 삭제해야 한다고 당부했다.