마케팅활용 미동의 7만명 사용
카드 모집인에 전달해 발급 권유
카드 모집인에 전달해 발급 권유
우리카드가 가맹점주 최소 20만여명의 개인정보를 동의없이 수집해 카드 모집인에 전달하는 등 신용카드 신규 발급 마케팅에 활용한 것으로 드러났다. 이 가운데 7만여명은 자신의 개인정보에 대한 마케팅 활용에 동의한 사실이 없었음에도 무단으로 쓰인 것이다.
개인정보보호위원회(개인정보위)는 개인정보보호법 위반 혐의로 우리카드에 134억5100만원의 과징금을 부과하고 시정·공표 명령을 내렸다고 27일 밝혔다. 조사 결과, 우리카드 인천영업센터는 가맹점주 최소 20만7538명의 개인정보를 조회한 후 카드 모집인에 전달하는 등 자사 신용카드 신규 발급 마케팅에 활용했다. 이 중 7만4692명은 자신의 개인정보에 대한 마케팅 활용에 동의한 사실이 없었다.
우리카드 인천영업센터는 2022년 7월부터 지난해 4월까지 카드가맹점 사업자등록번호를 가맹점 관리 프로그램에 입력해 가맹점주 최소 13만1862명의 성명·주민등록번호·휴대전화번호·주소 등을 조회했다. 카드발급심사 프로그램에 이 주민등록번호를 입력해 우리카드가 발급한 신용카드(이하 우리신용카드)를 가맹점주가 보유중인지 확인한 후, 출력된 가맹점 문서에 이를 기재·촬영해 카드모집인 등이 참여한 카카오톡 단체채팅방에 유포했다.
특히 2023년 9월부터는 가맹점주 및 카드회원의 개인정보를 처리하는 데이터베이스(DB)에서 SQL로 가맹점주의 개인정보 및 우리신용카드 보유 여부를 조회한 후 개인정보 파일로 생성했다. 지난해 1월 8일부터 4월 2일까지 1일 2회 이상 총 100회에 걸쳐 가맹점주 7만5676명의 개인정보를 카드 모집인에 이메일로 전달했다.
개인정보위는 이에 대해 개인정보보호법상 개인정보 목적 외 이용·제공 제한 규정(제18조제1항)을 위반한 것으로 판단했다. 이 과정에서 법률 근거 없이 주민등록번호를 처리하면서 주민등록번호 처리의 제한 규정(제24조의2제1항)도 위반한 것으로 봤다.
우리카드가 DB 접근권한과 파일 다운로드 권한 및 개인정보 열람 권한 등을 사실상 개별부서에 해당하는 영업센터에 위임해 운영하면서 내부통제도 소홀히 한 것으로 파악했다. 영업센터 직원 업무와 무관하게 DB 접근권한을 부여했고, 월 3000만건 이상의 개인정보 조회·다운로드가 발생했음에도 이를 점검·조치하지 않았다. 사실상 가맹점주나 신용카드 회원 정보를 조회·이용하는 것을 방치하고 있었다는 게 개인정보위의 판단이다.
김해숙 개인정보위 조사1과장은 이날 브리핑에서 "당초 개인정보 수집 시 동의를 받았더라도 그 범위를 벗어나 개인정보를 처리하는 것은 위법이다. 또 직원 등에 개인정보취급자들에 접근권한을 부여하면 그 권한이 제대로 관리되고 있는지 주기적으로 점검할 필요가 있다"며 "금융사는 신용정보법을 준수해야 하지만 개인정보보호법상 규정도 적용될 수 있다"고 말했다.
팽동현·임성원기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
