[개인정보보호위원회] 삼양그룹 4개사 제재… 과징금 5억5,200만 원

개인정보보호위원회가 개인정보 보호 법규를 위반한 삼양그룹 소속 4개사에 과징금 총 5억5,200만 원과 과태료 총 1,620만 원을 부과하기로 했다. 개인정보위는 11일 제22회 전체회의에서 관련 제재를 의결했다고 밝혔다.

대상은 삼양홀딩스·삼양사·삼양패키징과 개인정보 처리 수탁사인 삼양데이타시스템이다. 이번 처분은 2022년 7월 발생한 유출사고를 조사한 결과로, 최근 새롭게 발생한 유출사고를 알리는 내용은 아니다.

미사용 서버·암호화 미흡으로 피해 확대

개인정보위에 따르면 해커는 메일서버 취약점을 이용해 관리자 권한을 얻고 내부 파일서버 인증정보를 탈취했다. 이후 삼양홀딩스·삼양사·삼양패키징의 임직원·주주·관계자 등 14만9,767명의 개인정보가 포함된 파일 약 85만 개를 유출했다. 주민등록번호가 포함된 정보주체는 8만2,750명이다.

삼양데이타시스템은 데이터 이관이 끝난 뒤에도 해당 서버를 외부망과 연결된 상태로 두었다. 삼양3사는 주민등록번호 암호화 등 필요한 안전조치를 하지 않았으며, 일부 회사에서는 보존기간이 지난 급여정보 미파기와 법령 근거 없는 주민등록번호 수집도 확인됐다.

사업자별 처분 내용

• 삼양홀딩스 : 과징금 1억8,400만 원과 과태료 900만 원, 공표 조치가 의결됐다.

• 삼양사 : 과징금 1억8,400만 원과 과태료 180만 원이 부과된다.

• 삼양패키징 : 과징금 1억8,400만 원과 과태료 540만 원, 공표 조치가 의결됐다.

• 삼양데이타시스템 : 접근통제 등 안전조치 의무 위반에 대해 시정명령과 공표 조치가 의결됐다.

개인정보위는 사용이 중단된 서버를 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보를 적시에 파기해야 한다고 강조했다. 개인정보 처리 위탁에 관한 문서화와 주민등록번호 암호화 등 기본적인 안전조치를 충실히 이행하는 것도 중요하다고 당부했다.

문의는 개인정보보호위원회 조사1과(02-2100-3113)로 하면 된다.