스타벅스 본사에 개인정보위 '시정명령'…국내 협력사 개인정보 과도 수집

자료 제출 거부한 나무위키는 고발

미국 뉴욕 맨해튼의 스타벅스 매장. 게티이미지뱅크

국내 납품업체 직원의 개인정보를 과도하게 수집한 스타벅스 미국 본사와 위탁업체에 정부가 시정명령을 내렸다.

개인정보보호위원회는 전날 전체회의에서 개인정보보호 법규를 위반한 스타벅스 본사(Starbucks Corporation)와 수탁자 엘리베이트(Elevate Hong Kong Holdings Limited)에 대해 시정명령 및 개선권고를 의결했다고 27일 밝혔다. 개인정보위는 스타벅스가 국내 납품업체 직원들의 개인정보를 과도하게 요구한다는 언론 보도와 민원 제기에 따라 사실관계를 조사했다.

조사 결과 스타벅스 본사가 개인정보 수탁 업무인 '윤리구매 프로그램'에 대한 관리·감독을 미흡하게 한 것으로 드러났다. 이 프로그램은 근로자 연령, 법정 근로시간 준수, 최저임금 등을 평가해 윤리적으로 생산된 제품을 조달하기 위한 것이다. 스타벅스는 국내 프로그램을 실행하는 업무를 홍콩에 있는 컨설팅 회사 엘리베이트에 위탁했다.

하지만 스타벅스는 엘리베이트가 개인정보를 어떻게 처리하는지 제대로 관리·감독하지 않은 것으로 확인됐다. 윤리구매 평가 업무를 위탁하면서 개인정보보호법에서 정한 사항을 모두 포함해 계약을 체결하지 않았고, 수탁자에 대한 교육·감독도 제대로 하지 않았다.

또한 엘리베이트는 납품업체 직원 인사자료를 비롯해 다수의 개인정보 파일을 외부로 전송하는 등 불필요한 개인정보를 과도하게 수집·처리한 것으로 드러났다. 이에 개인정보위는 스타벅스가 개인정보 처리 업무를 위탁할 때 개인정보보호법을 준수하고, 위탁 업체를 관리·감독하도록 시정명령을 내렸다. 엘리베이트에는 법적 근거 없이 개인정보를 처리하지 말라고 시정명령했다.

한편 개인정보위는 사용자 참여형 지식 공유 서비스를 제공하는 나무위키(Umanle S.R.L.)를 수사기관에 고발했다. 나무위키가 개인정보보호법 준수 여부 확인을 위한 개인정보위의 자료 제출 요구를 수차례 거부한 데 따른 것이다.

김민순 기자 soon@hankookilbo.com