개인정보보호위원회가 11일 서울 종로구 정부서울청사에서 전체회의를 진행하고 있다. [사진=개인정보위]

[디지털데일리 김보민기자] 주요 식·음료 브랜드가 개인정보 보호 관리를 허술하게 운영하고 있다는 조사 결과가 나왔다.

이정은 개인정보보호위원회 조사2과장은 12일 정부서울청사에서 브리핑을 열고 "식음료 분야 사업자의 개인정보보호법 위반 행위에 대해 총 15억6600만원 과징금과 1억1130만원 과태료를 부과하고 시정명령과 공표 명령을 의결했다"고 밝혔다.

이번 제재 명단에 오른 기업은 와드, 테이블링, 야놀자F&B솔루션, SCK컴퍼니, BKR, 엠지씨글로벌, 한국맥도날드, 투썸플레이스, 이디야, 더본코리아다. 와드는 캐치테이블, BKR은 버거킹,엠지씨글로벌은 메가MGC커피, 더본코리아는 빽다방을 운영하는 곳이다.

개인정보위는 특히 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집해 이용한 행위에 대해 BKR에 9억원대 과징금을 부과했다. 동의 없이 목적 외로 회원 개인정보를 이용한 엠지씨글로벌은 6억원대 과징금을 부과받았다.

이 조사2과장은 "인터넷프로토콜(IP)을 접목한 원격 예약 및 대기, 키오스크 주문 등 서비스 실태를 조사한 결과 대부분 식음료 사업자들이 대량 개인정보 보유기간이 경과하거나 처리 목적을 달성한 후에도 이를 파기하지 않은 점을 확인했다"고 말했다. 이어 "앱 등 온라인 서비스 제공 과정에서 개인정보 동의 없이 홍보 마케팅에 이용하거나, 법정 대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집 및 이용한 사례를 확인했다"고 부연했다.

원격 예약 및 대기 서비스를 제공하는 플랫폼 사업자에 대해서는 "앱과 현장에서 수집한 개인정보를 연동하면서 외부에 노출될 수 있는 취약한 상태로 운영하는 등 다수 안전조치 의무 위반 사실을 확인했다"고 설명했다.

조사에 따르면, 버거킹 운영사 BKR은 법정대리인 동의 없이 만 14세 미만 아동 개인정보를 수집해 이용했다. 메가MGC커피 운영사 엠지씨글로벌은 회원가입 시 마케팅 활용에 동의하지 않은 경우에도 자동으로 동의 처리가 되도록 설정해 미동의 회원에게 앱푸시를 발송했다.

와드, 테이블링, 야놀자F&B솔루션, 한국맥도날드는 응용프로그램인터페이스(API) 설계와 운영을 미흡하게 해 접근통제를 소홀히 한 것으로 나타났다. 투썸플레이스는 매장 주문 시 휴대전화번호를 입력하지 않으면 주문·결제가 불가능하도록 서비스를 운영했다. 빽다방 운영사 더본코리아는 회원가입을 할 때 마케팅, 맞춤형 서비스 등 별도로 동의를 받아야 하는 사항을 포괄적으로 진행했다.

이 조사2과장은 "개인정보에 대한 인식이 충분하지 않은 아동·청소년 개인정보는 특별한 보호가 필요하고 다양한 참여자가 연결된 플랫폼 생태계에서는 적법한 처리 근거가 필요하다"며 "프라이버시 중심 서비스 설계가 중요하다"고 밝혔다.

그러면서 "디지털 환경에서 처리 목적을 달성한 개인정보 미파기는 잠재 유출 사고 변수로 작용할 수 있다"며 "불필요한 개인정보를 즉시 파기할 것을 당부드린다"고 강조했다.