여행업계의 고객의 개인 정보 관리에 대한 각별한 주의가 요구되고 있다.

행정안전부(장관 김부겸)는‘제1차 과징금부과위원회’를 지난 5일 개최하고 하나투어에 3억2,725만원의 과징금, 대표자(CEO)와 임원대상 특별교육과 징계권고, 1,800만원의 과태료 처분을 의결했다.

하나투어는 지난 2017년 9월말 해킹으로 인해 약 42만 명의 주민등록번호가 유출되면서 접근 통제·암호화 등 기술적·관리적 안전조치를 위반하여 개인정보보호법 제정 이래 최초로 과징금이 부과됐다. 아울러, 하나투어 대표자와 개인정보보호책임자(CPO)를 대상으로 특별교육과 책임에 상응하는 징계를 권고하고, 주민번호와 개인정보 미파기에 대하여 과태료를 부과했다.

그동안 행정안전부는 지난 2017년 10월부터 방송통신위원회, 한국인터넷진흥원과 공동으로‘합동조사단’을 구성하여 하나투어의 해킹경위와 개인정보 처리·관리 실태에 대한 현장조사를 실시했다.

현장조사에서 확인된 위법사항을 토대로 행정처분을 사전통지했고(‘18.1.5), 하나투어의 의견 제출(1.5~1.19)을 접수받아 ‘제1차 과징금부과위원회’에서 행정처분을 의결하여 최종통지했다.

그동안 실시된‘합동조사단’의 해킹경위 분석결과, 하나투어는 고객 465,198명과 임직원 29,471명을 합한 494,669명의 개인정보를 유출했고 이 중에는 424,757명의 주민등록번호가 포함되어 있었다.

이번 사고로 하나투어가 업무용 피시(PC)에 파일 형태로 보관하던 주민등록번호 및 그 밖의 개인정보와 별도의 개발DB로 이관하여 보관하고 있던 개인정보가 유출됐다.

또한 고객의 예약 및 여행이 완료된 후 5년이 지난 2,218,257명의 개인정보와 지난 2004년경부터 2007년까지 수집하여 보관의무가 없는 418,403명의 주민등록번호를 파기하지 않고 보관한 것으로 지적됐다.

행정안전부는 주민등록번호 유출 관련은 법 제24조 제3항에 따른 안전성 확보 조치 중 접근 통제 및 암호화를 하여 해커가 쉽게 주민등록번호에 접근하지 못하도록 하고 있다.

여행업계는 고객 및 직원의 불필요한 개인 정보를 보관하지 말고 폐기하는 등 주의가 요구되고 있다.

그리고 암호화 저장 및 전송조치도 위반하였다. 위탁받은 유지보수 직원의 업무망 PC에 내부시스템의 아이디와 비밀번호를 평문저장하여 해커가 활용할 수 있도록 하였으며, 주민번호가 있는 PC에 엑셀 및 텍스트 파일의 일부를 암호화 또는 비밀번호를 설정하지 않은 상태로 보관하다가 유출되었다.

이에 따라 ㈜하나투어의 대표자(CEO) 및 개인정보보호책임자(CPO)를 대상으로 2018년도‘개인정보보호 특별교육’이수와 징계권고, 3억2,750만원의 과징금과 1,800 만원의 과태료를 처분하였다.

이번 유출사고가 (주)하나투어의 위수탁업체 관리감독 소홀, 접근통제와 암호화 등 중대한 안전조치의 위반, 그리고 과거에 항공기 예약고객의 유출로 인한 과태료 처분의 전력 등을 감안하여 특별히 대표자(CEO)의 특별교육 이수와 징계권고를 의결하였다.

「과징금부과위원회의」심의결과에 의하면, ㈜하나투어는 과징금 기본금액 산정과 1차·2차·최종산정에 있어서 ① 수탁업체 직원에 대한 관리감독 위반으로 개인정보 DB의 아이디와 비밀번호를 해커가 쉽게 접근할 수 있도록 하여 중대한 관리상의 과실을 보인 점 ② 2017년 1월 여행예약고객의 명단이 유출된 사고에서 통지의무를 위반하여 과태료 처분을 받은 점 ③개인정보 DB를 암호화하였으나 암호화 키를 동시에 보관하다가 주민번호를 유출 한 점 등 안전성 확보를 위한 과실의 정도가 중대하여 ‘매우 중대한 위반행위’에 해당하는 과징금을 부과하게 되었다.