국내 대표 결혼정보회사 듀오에서 회원 43만명 가까운 정보가 유출됐다. 이름과 연락처를 넘어 신장·체중·혼인경력·직장명 등 극도로 민감한 정보까지 빠져나간 사실이 확인됐지만 부과된 과징금은 12억원 수준에 그치면서 '솜방망이 제재'라는 비판이 나오고 있다.

24일 개인정보보호위원회(개보위)에 따르면 지난 22일 제7회 전체회의를 열고 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과했다. 또한 개인정보가 유출된 회원에게 즉각 유출 사실을 통지하라고 명령했다.

악성코드로 직원 PC 뚫어 DB 서버 침입…43만명 정보 유출

사고는 지난해 1월 벌어졌다. 해커는 개인정보를 취급하는 듀오 직원의 업무용 PC를 악성코드로 감염시킨 뒤 데이터베이스(DB) 서버 계정 정보를 탈취해 회원 DB에 침입했다. 이후 정회원 42만7464명의 개인정보를 내려받아 외부로 유출했다.

이번 사태가 일반적인 해킹 사고와 질적으로 다르다는 평가가 나오는 이유는 유출된 정보의 성격 때문이다. 빠져나간 정보에는 이름, 생년월일, 성별, 휴대전화 번호, 주소 같은 기본 인적 사항은 물론 신장, 체중, 혈액형, 종교, 취미, 혼인경력, 형제 관계, 장남·장녀 여부, 학교명, 전공, 입학·졸업 연도, 학교 소재지, 입사 연월, 직장명 등 지극히 사적인 내용들이 망라됐다.

결혼정보업체는 회원 가입 시 상대방에게 자신을 알릴 수 있는 정보를 제출하도록 하는데, 초혼 여부와 체중처럼 가까운 사이가 아니면 좀처럼 알기 어려운 내용들도 필수 항목으로 포함돼 있다. 43만명 가까운 회원들이 감추고 싶은 이야기가 고스란히 해커의 손에 넘어간 셈이다.

파기 안 한 정보 30만건·신고 지연·통지도 안 해…위반 3중 겹쳐

듀오의 위법 행위는 피해 규모를 더욱 키웠다. 개인정보처리방침에 따라 보유기간 5년이 지난 정보는 파기해야 하지만 듀오는 이를 이행하지 않았다. 파기하지 않은 정보만 29만8566건에 달했다. 해킹을 확인한 뒤에도 정당한 사유 없이 72시간가량 신고를 미뤘고 유출 사실을 정보주체에게 통지하지 않은 것도 이번 조사에서 드러났다. 정보 파기 규정 위반, 신고 위반, 통지 위반 등 3가지 의무를 동시에 어긴 것이다.

듀오 측은 "지금까지 2차 피해가 있다는 보고는 없었다"고 밝혔다. 그러나 피해 사실 자체를 통지받지 못한 회원들이 스스로 피해를 인지해 신고하기를 기대하는 것 자체가 어불성설에 가깝다는 비판이 나온다.

듀오 관계자는 파기하지 않은 정보에 대해 "성혼이 나중에 일어나는 경우가 있어 서비스 기간 만료 후에도 결혼 여부 확인을 위해 보관했다"고 해명했고 신고 지연에 대해서는 "해커의 침투 여부와 루트를 파악하는 데 시간이 걸렸다"고 설명했다. 이어 "개인정보 처리 과정에서 미흡했던 부분을 인정하고 송구스럽게 생각한다. 주민등록번호 암호화 등 지적됐던 사항들은 현재 대부분 보완한 상태"라고 덧붙였다.

과징금 12억…"피해자 1인당 3000원도 안 된다"

부과된 과징금 규모를 두고 온라인에서는 즉각 '불충분한 조치'라는 비판이 쏟아졌다. 누리꾼들은 "민감 정보가 털렸는데 과징금 12억원은 너무 약하다", "납득할 수 없는 수준"이라고 비판했고, "피해자 숫자로 나누면 1인당 3000원도 안 된다"는 지적도 나왔다.

이처럼 과징금이 낮게 산정된 데는 법률 구조상의 한계가 작용했다. 개인정보보호법에 따르면 개보위는 위반 행위에 대해 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있다. 듀오의 위반 행위가 지난해에 발생한 만큼 직전 3년(2022~2024년) 매출액 평균인 약 413억원을 기준으로 과징금이 산정됐다. 여기에 듀오가 중기업으로 분류돼 기준 금액의 15%를 추가로 감경받았다. 과태료 1320만원은 파기 규정 위반, 신고 위반, 통지 위반 등 3가지 의무 위반에 따라 산정됐다.

https://n.news.naver.com/article/123/0002381942?cds=news_media_pc&type=editn