개인정보보호위원회가 삼양홀딩스(000070), 삼양사(145990), 삼양패키징(272550), 삼양데이타시스템 등 삼양그룹 4개 사에 과징금 총 5억 5200만 원과 과태료 1620만 원을 부과했다.

개인정보위는 지난 11일 전체회의에서 이같이 의결했다.

지난 2022년 7월 삼양그룹 내 메일서버의 취약점을 악용한 해킹으로 삼양홀딩스, 삼양사, 삼양패키징의 임직원·주주·관계자 정보 등 총 14만 9767명의 개인정보가 담긴 파일 약 85만 개(1.3TB)가 유출됐다. 여기에는 8만 2750명의 주민등록번호가 포함돼 있었다.

개인정보위 조사 결과, 정보가 유출된 삼양 3사는 주민등록번호에 대한 암호화 등 안전성 확보에 필요한 조치를 하지 않은 것으로 드러났다.

또한 삼양홀딩스와 삼양패키징은 법령상 보존기간이 지난 일용직 근로자 급여정보를 파기하지 않았으며, 삼양홀딩스는 채용 과정에서 법령 근거 없이 주민등록번호를 수집한 것으로 확인됐다.

삼양데이타시스템은 삼양 3사의 데이터 이관을 마친 뒤에도 사고 당시까지 해당 서버를 외부망과 통신이 연결된 상태로 유지했다. 이로 인해 해커가 해당 서버에서 삼양 3사의 개인정보를 단기간에 외부 클라우드로 유출할 수 있었다고 개인정보위는 판단했다.

한편 삼양 3사는 지난 2022년 7월 유출사고 당시 삼양데이타시스템에 개인정보 처리 업무를 위탁하고 있었으나, 2024년 12월에야 개인정보 처리 위탁에 관한 계약서를 마련한 것으로 확인됐다.

개인정보위는 주민등록번호 암호화 및 개인정보 처리 업무 위탁에 관한 문서화 의무를 위반한 삼양 3사에 각각 과징금 1억 8400만 원과 과태료 180만 원을 부과했다.

개인정보 파기 규정을 위반한 삼양홀딩스와 삼양패키징에는 각각 과태료 360만 원을 부과했다. 법적 근거 없이 주민등록번호를 수집한 삼양홀딩스에 과태료 360만 원을 부과하고, 안전조치 의무를 위반한 삼양데이타시스템에 시정명령 등을 의결했다.

sumin02@news1.kr