Скачать или смотреть ISO/IEC 27701:2025 PIMS 심사원이 살펴본 개인정보보호법 위반사례 분석 (공병철, 여동균, 이준화, 이승률)

사회자 : 공병철
심사원 : 여동균, 이준화, 이승률


2025.3.26 우리카드 개인정보보호법 위반사례

1. 우리카드 인천영업센터는 신규 카드발급 마케팅을 위해 카드가맹점의 가맹점주 최소 131,862명 개인정보 조회!
ISO/IEC 27701:2025 B.1.2.5 동의 획득 및 기록
조직은 문서화된 프로세스에 따라 PII 주체로부터 동의를 획득하고 기록해야 한다.

2. 가맹점주 최소 131,862명 개인정보를 카카오톡 단체 채팅방에 공유!
ISO/IEC 27701:2025 B.2.4.4 PII 전송 통제(Control)
조직은 데이터 전송 네트워크를 통해 전송되는 PII에 대해, 데이터가 의도된 목표지에 도달하도록 설계된 적절한 통제를 적용해야 한다.

3. 가맹점주의 개인정보 및 우리신용카드 보유 여부를 조회한 후 개인정보 파일로 생성!
가맹점주 75,676명의 개인정보를 카드 모집인에게 이메일로 전달.
해당 내역의 가맹점주는 마케팅 활용에 동의한 사실이 없었다.
ISO/IEC 27701:2025 B.2.2.4 마케팅 및 광고 활용
조직은 계약에 따라 처리되는 PII를 적절한 PII 주체로부터 사전 동의를 얻었음을 확인하지 않고 마케팅 및 광고 목적으로 사용해서는 안 된다. 조직은 이러한 동의 제공을 서비스 수령의 조건으로 삼아서는 안 된다.

4. 우리카드의 개인정보 보호법 위반행위
우리카드가 가맹점 관리 등 목적으로 수집한 개인정보를 우리신용카드 발급 등 마케팅에 활용한 것은
‘개인정보보호법 제18조’ 개인정보의 목적 외 이용ㆍ제공 제한 규정을 위반한 것
ISO/IEC 27701:2025 B.1.4.3 처리 제한
조직은 PII 처리를 식별된 목적에 적절하고 관련성이 있으며 필요한 만큼으로 제한해야 한다.

5. 법률에 근거하지 않고 주민등록번호를 처리한 것은
‘개인정보보호법 제24조의2’ 주민등록번호 처리의 제한 규정도 위반한 것이다.
ISO/IEC 27701:2025 B.1.4.2 수집 제한
조직은 PII 수집을 식별된 목표에 관련성이 있고 비례하며 필요한 최소한으로 제한해야 한다.

6. 개인정보처리시스템의 기술적 관리 측면의 위반 사항
우리카드가 DB 접근권한, 파일 다운로드 권한 및 주민등록번호가 포함된
개인정보의 열람 접근권한 부여 현황 파악, 접속기록 점검 등 내부통제를 소홀히 했다.

우리카드는 영업센터 직원 업무와 무관하게 DB 접근권한을 부여하여 가맹점주 정보를 조회할 수 있게 했다.
영업센터에서 월 3천만 건 이상의 대량 개인정보 조회‧다운로드가 발생하였음에도 이를 점검‧조치하지 않았다.
사실상 가맹점주나 신용카드 회원 정보를 조회‧이용하는 것을 방치하고 있었다.

ISO/IEC 27701:2025 B.3.9 접근 권한
PII 및 PII 처리와 관련된 기타 연관 자산에 대한 접근 권한은 조직의 접근 통제에 관한 주제별 정책 및 규칙에 따라 프로비저닝, 검토, 수정 및 제거되어야 한다.

ISO/IEC 27701:2025 B.3.14 기록의 보호
PII 처리와 관련된 기록은 손실, 파괴, 위조, 무단 접근 및 무단 공개로부터 보호되어야 한다.

ISO/IEC 27701:2025 B.3.25 로그 기록(Logging)
PII 처리와 관련된 활동, 예외, 오류 및 기타 관련 이벤트를 기록하는 로그가 생성, 저장, 보호 및 분석되어야 한다.

7. 개인정보처리시스템의 기술적 보호조치 규정
‘개인정보보호법 제29조’ 안전조치의무 규정에 근거하여
개인정보의 안전성 확보조치 기준 제8조 접속기록의 보관 및 점검 규정도 위반한 것입니다.
고시에는 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 대한 접속기록 및 개인정보 다운로드 상황을 확인하고 점검하는 주기ㆍ방법ㆍ사후조치절차 등을 내부 관리계획으로 정하고 이행하여야 한다.라고 명시하고 있습니다.

8. 개인정보위, 우리카드가 가맹점주의 개인정보를 목적 외로 이용한 행위 등에 대해 과징금 134억 5,100만원을 부과하는 한편,
개인정보 오·남용을 방지하기 위한 내부통제 강화, 접근권한 최소화 및 점검 등 안전조치의무 준수, 개인정보취급자에 대한 관리·감독 강화 등을 시정명령과 공표명령을 의결하였다.

9. 공표명령이란?
공표명령은 개인정보 보호법이 지난 23.9.15자 개정때 신설된 처분 규정으로, 사업자 홈페이지 등에 과징금‧과태료 등의 처분받은 사실을 공표하는 제도입니다.

10. 개인정보위, 과징금 2차 조정 감경률 50% 적용
우리카드가 국내 ISMS-P 인증을 포함한 회사의 자발적인 노력을 반영했다며 과징금 2차 조정 감경률을 50%로 적용하였다고 합니다.

11. 국내 ISMS-P 인증과 국제 ISO 27701 PIMS 인증 취득과 유지관리의 중요성이 강조되는 시점입니다.

PIMS 인증심사원 공병철, 여동균, 이준화, 이승률