|
|
개인정보보호위원회(위원장 송경희)는 2월 11일 제3회 전체회의에서 식음료 분야 10개 사업자의 개인정보 보호법 위반 행위에 대해 이 같은 처분을 결정했다고 밝혔다. 조사 대상에는 원격 예약·대기 플랫폼과 주요 프랜차이즈가 포함됐다.
플랫폼은 와드(캐치테이블), 테이블링, 야놀자에프앤비솔루션(도도포인트·나우웨이팅)이며, 프랜차이즈는 스타벅스, 버거킹, 메가MGC커피, 한국맥도날드, 투썸플레이스, 이디야, 더본코리아(빽다방) 등이다.
개인정보위는 “대부분 사업자가 보유기간이 지났거나 처리 목적이 달성된 개인정보를 파기하지 않는 등 관리가 미흡했다”며 “온라인 서비스 과정에서 동의 없이 홍보·마케팅에 활용하거나, 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용한 사례도 확인됐다”고 밝혔다.
|
플랫폼은 ‘연동’ 과정에서 노출…API 접근통제도 미흡
분야별로 보면 플랫폼 사업자는 온·오프라인에서 수집한 개인정보를 연동하는 과정에서 원격 예약·현장 대기 고객의 개인정보가 외부에 노출된 상태로 운영되는 등 안전조치 의무 위반이 다수 확인됐다. 와드(캐치테이블), 테이블링, 야놀자에프앤비솔루션, 한국맥도날드는 API 설계·운영이 미흡해 접근통제를 소홀히 한 사실이 적시됐다.
프랜차이즈는 위탁관리·통지 의무 위반…필수정보 논란도
프랜차이즈 사업자들은 개인정보 처리업무를 제3자에게 위탁하면서 수탁자 관리·감독을 소홀히 하거나, 100만명 이상 개인정보를 처리하면서도 수집·이용·제공 내역을 주기적으로 정보주체에게 통지하지 않는 등 위반이 확인됐다.
투썸플레이스는 매장 주문 시 휴대전화번호를 입력하지 않으면 주문·결제가 불가능하도록 운영한 점이 문제로 지적됐다. 더본코리아(빽다방)는 마케팅 동의, 맞춤형 서비스 동의 등 별도 동의가 필요한 항목을 구분하지 않고 포괄 동의를 받은 점과 위탁관리 부실이 함께 적시됐다.
버거킹 9.24억·메가MGC커피 6.42억…“아동·마케팅 동의 위반”
개인정보위는 버거킹 운영사 비케이알이 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용한 행위에 대해 과징금 9억2400만원을 부과했다. 메가MGC커피 운영사 엠지씨글로벌은 회원가입 시 마케팅 활용에 동의하지 않은 경우에도 자동 동의 처리되도록 설정해 미동의 회원에게 앱푸시를 발송한 점이 문제로 지적돼 과징금 6억4200만원이 부과됐다. 두 회사에는 각각 과태료 1,530만원과 시정명령·공표명령도 함께 내려졌다.
이 밖에도 다수 사업자에서 개인정보 미파기, 접근권한·접근통제 미흡, 접속기록 미보관 등 안전조치 의무 소홀 사례가 확인돼 과태료 부과와 함께 시정·공표 명령이 내려졌다.
개인정보위 “프라이버시 중심 설계·즉시 파기…아동 보호 강화해야”
개인정보위는 이번 조사·처분의 의미로 “일상에서 매일 접하는 식음료 서비스 전반의 개인정보 관리 체계를 점검해 잠재된 침해 요인을 선제적으로 제거했다”고 밝혔다. 특히 플랫폼 생태계처럼 여러 참여자가 연결된 서비스에서는 적법한 처리 근거 확보, 필요·최소한의 정보 수집 등 ‘프라이버시 중심 설계’가 중요하다고 강조했다.
또 처리 목적을 달성한 개인정보를 파기하지 않는 관행이 유출 사고의 핵심 변수로 작용할 수 있다며 불필요한 개인정보의 즉시 파기를 당부했다. 개인정보위는 향후에도 국민 실생활과 직결된 분야를 중심으로 상시 점검과 사전 예방 활동을 강화하겠다고 밝혔다.
Copyright ⓒ 이데일리 무단 전재 및 재배포 금지
