스타벅스 본사, ‘업체직원 무단 정보수집’ 관리에 시정 조치

업무수행 엘리베이트, 주민번호 등 처리 소홀

이정렬 개인정보보호위원회 부위원장이 26일 서울 종로구 정부서울청사에서 개최된 ‘제 24회 개인정보보호위원회 전체회의’에서 의사봉을 두드리고 있다. 개인정보보호위원회 제공

스타벅스 미국 본사가 한국 개인정보 관리 수탁자인 엘리베이트(Elevate Hong Kong Holdings Limited)에 대한 미흡한 관리 감독으로 시정명령 처분을 받았다. 엘리베이트가 법적 근거 없이 납품업체 직원의 주민등록번호 등 개인정보를 과다 수집·처리한 점이 문제가 됐다.

개인정보보호위원회는 지난 26일 ‘제 24회 전체회의’를 열고 관련 보호 법규를 위반한 스타벅스 등에 이 같은 조치를 내렸다.

개인정보위는 지난 2023년 2월 스타벅스가 국내 납품업체 직원들의 개인정보를 과도하게 요구한다는 언론과 민원 제기로 조사에 착수했다.

조사 결과에 따르면 스타벅스 본사가 개인정보 수탁 업무인 ‘윤리구매 프로그램’에 대한 관리·감독을 미흡하게 했다. 당시 한국 내 윤리구매 프로그램 수행은 스타벅스 본사와 계약한 엘리베이트가 맡았다. 엘리베이트는 한국 정보주체의 개인정보를 불필요하게 처리한 것으로 나타났다.

스타벅스 본사는 납품업체 등과 동반 성장을 추구하고 윤리적으로 생산된 제품을 조달하기 위해 윤리구매 프로그램을 운영하고 있다. 이 프로그램은 근로자 건강·안전 및 권리보장과 근무시간 및 보상체계, 환경보호 등을 주제로 한다. 근로자 연령과 법정 근로시간 준수, 최저임금 보장 등을 주로 평가한다.

스타벅스 본사는 윤리구매 평가 업무를 엘리베이트에 위탁하며 개인정보 보호법에서 정한 사항을 모두 포함해 위탁 계약을 체결하지 않았다. 수탁자에 대한 교육·감독의 의무가 있음에도 윤리구매 평가 시 인사자료와 임금 및 출퇴근 시간 기록표 등 개인정보를 처리하는 엘리베이트에 대한 관리·감독을 소홀히 했다.

윤리구매 평가 업무를 위탁받은 엘리베이트는 납품업체 직원 인사 자료 등 다수의 개인정보 파일을 납품업체 외부로 전송하는 등 불필요한 개인정보를 과도하게 수집·처리한 것으로 파악됐다.

개인정보위는 스타벅스 본사에 개인정보 처리 업무 위탁 시 개인정보 보호법을 준수하고 수탁자를 관리·감독할 것을, 엘리베이트에 대해선 법적 근거 없이 개인정보를 처리하지 않도록 시정명령했다.

개인정보위 측은 “시정명령 이행결과를 모니터링하고 불이행 시 과태료 부과 등 처분할 것”이라며 “스타벅스코리아는 이번 사안과 직접적인 관련은 없었지만, 스타벅스 본사와 엘리베이트 및 평가를 받는 납품업체 등에 개인정보 보호법을 준수하는데 필요한 내용을 안내하고 협력하도록 권고했다”고 말했다.

임성원 기자 sone@dt.co.kr