'개인정보 관리 미흡' 버거킹·메가커피 등 총 15억원대 과징금

개인정보 목적 외 이용·대리인 동의 위반 등
맥도날드·투썸플레이스 등 7곳 과태료 처분

개인정보보호위원회는 제3회 전체회의를 열고 식음료 분야 10개 사업자의 '개인정보보호법' 위반 행위에 대해 총 15억6000만원의 과징금과 1억1130만원의 과태료를 부과하고, 시정·공표를 명령했다고 12일 밝혔다.

이정렬 개인정보보호위원회 부위원장이 11일 오후 정부서울청사에서 열린 제3회 전체회의에서 의사봉을 두드리고 있다. 개인정보위 제공

해당 사업자 중 플랫폼사는 와드(캐치테이블)와 테이블링(테이블링), 야놀자F&B솔루션(도도포인트.나우웨이팅) 등 3곳이다. 프랜차이즈사는 7곳으로 SCK컴퍼니(스타벅스), BKR(버거킹), MGC글로벌(메가MGC커피), 한국맥도날드(맥도날드), 투썸플레이스(투썸플레이스), 이디야(이디야), 더본코리아(빽다방) 등이다.

개인정보위는 최근 정보통신기술(ICT)을 접목한 원격 예약·대기, 키오스크 주문 방식 등 대규모 개인정보 처리를 수반하는 서비스가 확산함에 따라 식음료 분야의 개인정보 처리 실태를 조사했다고 설명했다.

조사 결과 플랫폼 사업자들은 온·오프라인에서 수집한 개인정보를 연동하면서, 원격 예약과 현장 대기 고객의 개인정보가 외부에 노출된 상태로 운영했다. 응용프로그램 인터페이스(API) 설계·운영을 미흡하게 하는 등 접근 통제를 소홀히 한 것이다. 여기에는 한국맥도날드도 포함됐다.

프랜차이즈 사업자들은 개인정보 처리 업무를 제3자에게 위탁하면서 관리·감독을 소홀히 했다. 또 100만명 이상의 개인정보를 처리하면서 개인정보 수집·이용·제공 내역을 주기적으로 통지하지 않았다.

구체적으로 BKR은 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용했다. 이에 9억2400만원의 과징금 처분을 받았다. MGC글로벌에는 6억4200만원의 과징금이 부과됐다. 회원가입 시 마케팅 활용에 동의하지 않은 경우에도 자동으로 동의 처리되도록 설정해 마케팅 메시지(앱 푸시)를 발송했기 때문이다.

투썸플레이스는 매장 주문 시 휴대전화 번호를 입력해야 주문·결제가 가능하도록 서비스를 운영한 점을 지적받았다. 더본코리아는 회원가입 시 마케팅·맞춤형 서비스 등 별도 동의 사항을 포괄적으로 받았고, 개인정보 처리 수탁자에 대한 관리·감독도 소홀히 한 것으로 조사됐다.

개인정보위는 "그 밖에 대부분의 사업자가 보유기간이 지나거나 처리 목적이 달성된 개인정보를 파기하지 않고 보관하고 있었다"며 "접근 권한 관리 및 접근 통제, 접속 기록 보관 등의 안전조치 의무를 소홀히 한 사실이 확인됐다"고 말했다.

이어 "이번 조사·처분은 잠재된 개인정보 침해 요인을 선제적으로 제거하고, 유출 사고로 인한 사회적 비용과 피해를 최소화했다는 점에서 의미가 크다"며 "아동·청소년의 개인정보 특별 보호, 불필요한 개인정보 즉시 파기 등을 당부드린다"고 덧붙였다.

노경조 기자 felizkj@asiae.co.kr