월간 배달대행 1800만건 ‘바로고’…기한 지난 고객 정보 계속 보관
제휴 가맹점이면 이용내역 없어도 고객정보 확인 가능
개인정보위, "수탁자 법규위반시 과징금, 과태료 규정 없어…고발 요건에는 부족 판단
윤종인 개인정보보호위원회 위원장(가운데)이 28일 오전 서울 종로구 정부서울청사에서 개최된 제16회 개인정보보호위원회 전체회의에서 모두발언을 하고 있다. (사진=개인정보보호위원회 제공) *재판매 및 DB 금지
[서울=뉴시스]송종호 기자 = 월간 배달건수 건수(1800만건) 기준 업계 1위 배달 대행 플랫폼사인 바로고가 개인정보보호위원회로부터 시정명령 처분을 받았다.
특정 음식점에서 주문한 적이 없는 이용자라도, 전화번호만 입력하면 집주소 등 배달지가 자동 조회·출력됐기 때문이다. 가령 A음식점을 이용한 고객의 정보를, 이용 내역이 없는 B음식점에서 확인할 수 있는 것이다. 이같은 부실 관리는 지난 2014년 4월부터 올해 4월까지 약 8년간 계속됐다.
개인정보보호위원회는 바로고가 개인정보 처리 위탁(업무위탁에 따른 개인정보 처리 제한)을 규정한 개인정보보호법 제 26조 제5항을 위반했다고 판단했다. 위탁받은 업무 범위를 초과해 개인정보를 이용하거나 제3자에게 제공해서는 안된다는 법령을 지키지 않은 것이다.
이에 개인정보위는 28일 제16회 전체회의를 개최하고 개인정보보호 법규를 위반한 바로고에 시정명령 조치를 의결했다.
배달대행 업계에 따르면 고객이 음식을 주문할 경우 음식점은 제휴한 배달대행업체에 고객 정보를 전달한다. 배달대행업체는 이때 받은 고객 정보를 일정 기간이 지나면 삭제해야 한다.
하지만 바로고는 고객 정보를 계속 저장해 두고, 자사의 제휴 음식점들이 이를 조회·출력할 수 있도록 했다.
이날 바로고는 시정명령을 받았지만, 같은 날 개인정보보호법 위반 혐의로 제재 대상에 올랐던 디아스타코리아 등 다른 사업자들에 비해 제재가 가벼우면서 솜방망이 처벌 아니냐는 지적도 나온다.
이는 현행 개인정보보호법이 수탁자의 법규 위반에 대해선 처벌 조항으로 '과징금'이나 '과태료'를 규정하고 있지 않기 때문이다. 즉 법적 근거가 없는 것이다.
개인정보위 관계자는 “현행법은 바로고와 같은 법규 위반에 대해 시정명령과 고발을 할 수 있도록 하고 있다”라며 “다만 고발의 경우 고의성 등 다양한 요건이 충족돼야 하는데 이번 건의 경우 해당 요건에 부합하는 사례는 아니었다”고 말했다.
하지만 이같은 사례에 대한 처벌 규정이 약하다는 지적에 따라 개인정보위는 법 개정을 추진하고 있다. 수탁자의 개인정보보호에 대한 책임을 강화하고, 위반 시 처벌을 강화하는 내용이 담겼다.
개인정보위 관계자는 ”현재 수탁자의 개인정보보호 법규 위반에 대해 과징금·과태료를 부과할 수 있도록 한 개인정보보호법 개정안이 국회에 제출된 상태“라며 ”하반기 국회에서 논의돼 해당 법안이 통과될 수 있도록 최선을 다할 것“이라고 말했다.
◎공감언론 뉴시스 [email protected]
