개인정보보호위원회는 개인정보보호법을 위반한 루이비통코리아, 크리스챤디올꾸뛰르코리아, 티파니코리아에 과징금 360억3300만원과 과태로 1080만원을 부과하고 처분 사실 공표를 명령했다고 12일 밝혔다.

해당 사업자들의 개인정보 유출 사고는 모두 지난해 발생했으며, 이들 모두 서비스형 소프트웨어(SaaS) 기반의 고객관리 서비스를 이용하는 과정에서 유출이 발생했다.

가장 큰 과징금을 맞은 곳은 루이비통으로, 213억8500만원이 부과됐다.

루이비통은 직원 기기가 악성코드에 감염되면서 소프트웨어 계정 정보를 해커에 탈취당해 지난해 6월 약 360만명의 개인정보가 유출됐다. 유출된 정보에는 이름, 성별, 국가, 전화번호, 이메일주소, 생년월일이 포함됐다.

루이비통은 고객관리를 위해 2013년부터 해당 소프트웨어를 운영하면서도 접근할 수 있는 권한을 인터넷프로토콜(IP) 주소 등으로 제한하지 않았으며 개인정보 취급자가 외부에서 접속할 때 안전한 인증수단도 부재했다.

디올과 티파니는 고객센터 직원이 해커의 보이스피싱에 속아 소프트웨어 접근권한을 해커에게 알려주면서 개인정보가 유출됐다.

약 195만명의 개인정보가 유출된 디올에는 과징금 122억3600만원과 과태료 360만원이 부과됐다.

특히 디올은 개인정보 다운로드 여부 등 접속기록을 월 1회 이상 점검하지 않으면서 유출 사고를 3개월 이상 인지하지 못했던 것으로 나타났다. 또한 지난해 5월 유출 사실을 인지한 후에도 정당한 사유 없이 72시간을 넘겨 유출을 통지했다.

티파니에서는 약 4600명의 개인정보가 유출됐으며, 이에 개인정보위는 과징금 24억1200만원과 과태료 720만원을 부과했다. 티파니도 고객관리 소프트웨어 접근 제한이 미비했으며, 유출을 인지한 후 72시간을 넘겨 신고했다.

윤여진 개인정보위 조사1과장은 이날 브리핑에서 “많은 기업은 초기 구축 비용 절감과 유지관리 효율성을 이유로 글로벌 대기업의 SaaS를 도입해 운영하고 있다”며 “비용·편의 측면만 고려 시 개인정보 안전성 확보에는 소홀히 할 우려가 있어 주의가 요구된다”고 설명했다.

윤 과장은 이어 “이번 사고는 휴먼 에러가 결합된 사고로, 안전 조치를 했다면 발생하지 않을 수 있던 사고”라고 지적했다.

개인정보위는 SaaS를 활용해 개인정보를 처리하는 경우는 개인정보처리시스템에 해당하므로 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하는 조치를 취해야 하며, 인가받지 않은 접근 통제와 외부에서 접속 시 안전한 인증수단을 적용해야 한다고 권고했다.