할리스, 개인정보 276만건 유출…외주업체 삭제확인서도 안 받아

[SWTV 유호경 기자] 최근 276만건의 고객 개인정보가 유출된 커피 프랜차이즈 할리스가 과거 멤버십 개편 용역을 맡겼던 외부 업체로부터 개인정보 파기 여부를 증명하는 ‘삭제확인서’를 받지 않았던 것으로 확인됐다. 외주 수탁자에 대한 최소한의 관리·감독 의무를 다하지 않은 만큼 당국의 징계가 불가피할 전망이다.

20일 유통 및 법조계에 따르면, 할리스는 지난 19일 공식 입장을 통해 멤버십 정보를 사용하는 클라우드 서비스에서 비인가 접근으로 개인정보가 유출됐다고 밝혔다. 할리스가 한국인터넷진흥원(KISA)에 신고한 유출 규모는 중복 회원을 포함해 약 276만건이다.

▲ 커피 프랜차이즈 할리스. [사진=연합뉴스]

유출된 정보는 지난 2009년~2020년 2월11일 사이 누적된 고객 데이터로 추정되고, 아이디·비밀번호·이름·생년월일·전화번호·주소·이메일·중복가입확인정보(DI)·서비스 이용 관련 정보가 포함됐다.

할리스 관계자는 본지와의 통화에서 “KG그룹 인수 전 멤버십 개편 용역을 외부 업체에 맡겼지만 당시 삭제확인서를 받지 않았다”며 “인수 이후에도 이같은 사실을 인지하지 못했다”라고 해명했다.

KG그룹은 지난 2020년 10월 IMM프라이빗에쿼티가 보유한 할리스에프앤비 지분 93.8%를 1450억원에 인수한 바 있다.

현행 개인정보보호법은 보유기간이 지나거나 처리 목적이 달성돼 개인정보가 불필요해졌을 때 원칙적으로 지체 없이 파기하도록 규정하고 있고, 개인정보 유출을 방지하기 위한 안전조치 의무를 정하고 있다. 개인정보 처리업무를 외부에 위탁했다면 제26조에 따른 수탁자 관리·감독 의무도 적용된다.

개인정보위는 앞서 수탁업체로부터 자료미보유확약서를 받았더라도 실제 개인정보 파기 여부를 확인하지 않은 위탁기관에 관리·감독 책임을 물은 바 있다.

실제로 개인정보위는 지난 5월 농촌진흥청 용역업체 미소테크가 개인정보 57만5000건을 무단 보관하다 유출한 사건과 관련해 서류만 받고 실제 파기를 확인하지 않은 농촌진흥청에 수탁자 관리·감독 의무 위반으로 1억6800만원의 과징금을 부과한 바 있다. 또 미소테크는 과징금 8250만원과 과태료 450만원을 부과받았다.

한편 할리스는 비인가 접근 경로 차단과 함께 인증 절차를 강화했고, 해당 클라우드를 사용하는 멤버십 서비스를 조속히 중단하겠다고 밝혔다.