다른 고객 예약정보 1800여건 노출…한화호텔앤드리조트 억대 과징금

개인정보위, 전체회의서 의결… “시스템 개발 과실”
띵스플로우·현대자동차도 과징금 등 부과·시정명령

제14회 개인정보보호위원회 전체회의 - 고학수 개인정보보호위원회 위원장이 28일 서울 종로구 정부서울청사에서 제14회 위원회 전체회의를 주재하고 있다. 2024.8.29 연합뉴스

시스템 개발을 제대로 하지 않아 다른 고객의 예약정보 1800여건이 노출되도록 한 한화호텔앤드리조트가 억대 과징금을 내게 됐다.

개인정보보호위원회는 28일 제14회 전체회의를 열어 한화호텔앤드리조트에 대해 과징금 1억 8531만원과 과태료 300만원을 부과하기로 의결했다고 29일 밝혔다.

한화호텔앤드리조트는 온라인 회원도 쿠폰을 사용한 숙박 예약을 할 수 있는 이벤트를 하기 위해 온라인 예약 절차를 변경하면서 시스템 개발 과정에 과실이 있었고 사전 검증도 소홀히 했다. 그 결과 회원이 쿠폰을 사용해 예약한 경우 다른 사람의 예약정보가 최대 1818건 조회되는 오류가 발생했다.

개인정보위는 한화호텔앤드리조트가 개인정보보호법에 따른 안전조치 의무를 위반했다고 지적했다.

연인들이 사용하는 소셜미디어서비스(SNS) ‘비트윈’을 운영하는 사업자 띵스플로우에도 과징금 2732만원과 과태료 360만원이 부과하고 하고, 시정명령과 함께 처분 결과를 개인정보위 홈페이지에 공개하기로 했다. 띵스플로우가 합병한 비트윈어스는 만 14세 미만 아동 3만 8633명의 개인정보를 법정대리인의 동의 없이 수집했다.

개인정보취급자가 개인정보처리시스템에 접속한 기록을 보존·관리하지 않았고, 개인정보 열람 요구에 대해 기간(10일) 내 답변하지 않은 사실도 있었다.

개인정보위는 또 신차 시승 이벤트를 하면서 선택사항인 마케팅 활용 등 홍보 목적의 개인정보 수집에 동의하지 않은 고객에게는 시승 서비스 제공을 거부한 현대자동차에 과징금 329만원과 과태료 900만원을 부과하고 처분 결과를 홈페이지에 공표하기로 했다.

현대자동차는 또 고객지원 앱(마이현대) 운영 중 보안 패치를 즉시 적용하지 않아, 다른 사람의 개인정보가 이용자에게 노출된 사실이 적발됐다. 개인정보위는 신고 및 통지도 지연한 사실도 발견했다.

개인정보위는 “개인정보 처리시스템의 운영환경과 취약점을 주기적으로 점검하고, 만 14세 미만 아동의 개인정보를 수집할 때는 법정대리인의 동의를 받아야 한다”며 “마케팅 활용 등 홍보를 위한 개인정보 수집·이용에 동의하지 않았다는 이유로 서비스의 제공을 거부해서는 안 된다”고 강조했다.

허백윤 기자