바로고·디아스타코리아, 개인정보보호법 위반

[이데일리 최훈길 기자] 배달 대행업을 하는 바로고와 여행·숙박 중개업을 하는 디아스타코리아가 개인정보보호법을 위반해 행정처분을 받았다.

개인정보보호위원회는 28일 정부서울청사에서 전체회의를 열고 이들 사업자에 대해 8297만원의 과징금과 360만원의 과태료를 부과하고 시정명령 조치를 의결했다. 앞서 개인정보위는 언론 보도 및 개인정보 유출 신고로 사실 조사에 착수해 이같은 개인정보 관리 문제를 적발했다.

(사진=바로고, 디아스타코리아)

바로고는 주문배달 관련한 개인정보를 제대로 관리하지 않아 시정명령 처분을 받았다. 일례로 2014년 4월부터 올해 4월까지 A 음식점에 주문 이력이 없는 주문자의 전화번호를 입력하면 주문자가 이전에 다른 음식점에서 이용했던 배달지 주소가 자동 조회·출력됐다. 이는 개인정보보호법 26조5항을 위반한 것이다.

디아스타코리아는 해킹 공격으로 이용자 예약 내역을 유출했다. 조사 결과 해커는 쿠키 변조 보안 취약점을 이용해 관리자 권한을 얻은 뒤 관리자 페이지에 무단 접속해 개인정보를 유출했다.

디아스타코리아는 개인정보처리 시스템을 운영하면서 이같은 취약점 관련한 점검에 소홀했다. 해킹을 당한 뒤에도 안전성 확보를 위한 적절한 개선 조치도 하지 않았다. 이 결과 과징금 8297만원, 과태료 360만원 및 시정명령을 받았다.

양청삼 개인정보위 조사조정국장은 “음식점, 판매점, 부동산 등으로부터 개인정보 업무를 위탁받아 처리하는 수탁자는 위탁받은 업무 범위를 초과해 개인정보를 이용하면 안 된다”며 “향후 수탁자의 개인정보보호 법규 위반에 대해 과징금·과태료를 부과할 수 있도록 한 보호법 개정안이 처리되면, 수탁자의 개인정보보호에 대한 책임성이 한층 강화될 것”이라고 강조했다.