우리카드 가맹점주 개인정보 무단 조회·제공 과징금 사태

우리카드 인천영업센터는 2022년 7월경부터 카드 가맹점의 사업자등록번호를 가맹점 관리 프로그램에 입력해 가맹점주의 개인정보를 조회하기 시작했다. 이렇게 확인한 정보에는 이름과 주민등록번호, 휴대전화번호, 주소 등 민감한 항목이 포함됐다. 본래 가맹점 관리를 위해 수집한 정보를 다른 목적으로 들여다본 것이다. 조회 대상은 최소 13만1862명에 달했다. 목적 외 개인정보 처리의 시작이었다.

우리카드는 가맹점 관리 목적으로 수집·조회한 개인정보를 우리신용카드 신규 발급 마케팅에 활용했다. 2023년 9월경부터 영업센터 직원이 데이터베이스에서 생성한 개인정보 파일을 카드 모집인에게 전달하는 방식이 본격화됐다. 가맹점 관리와 무관한 카드 영업에 개인정보가 전용된 것이다. 이는 개인정보의 목적 외 이용·제공 제한 규정을 정면으로 위반한 행위였다. 내부 통제 없이 조직적으로 이뤄졌다.

2024년 1월 8일부터 4월 2일까지 약 3개월 동안 우리카드 인천영업센터 직원은 하루 2회 이상, 총 100회에 걸쳐 가맹점주의 개인정보 파일을 이메일로 카드 모집인에게 전달했다. 이 과정에서 마케팅 활용에 동의하지 않은 가맹점주 7만5676명의 정보가 노출됐다. 동의 없는 개인정보가 외부 모집인에게 대량으로 넘어간 것이다. 접근 권한 점검과 접속 기록 검토 등 내부 통제도 부실했다. 유출 규모와 반복성이 심각했다.

우리카드 인천영업센터의 가맹점주 개인정보 무단 조회와 제공 행위는 2022년 7월부터 2024년 4월까지 이어졌다. 마케팅에 동의하지 않은 가맹점주 20만7583명의 정보가 조회돼 카드 모집인에게 제공된 것으로도 집계됐다. 장기간에 걸친 반복적 위반이 확인된 것이다. 개인정보 보호 체계가 사실상 작동하지 않았다는 점이 드러났다. 이후 당국의 조사로 전모가 밝혀졌다.

개인정보보호위원회는 2025년 3월 26일 전체회의를 열고 개인정보 보호법을 위반한 우리카드에 대한 제재를 의결했다. 위원회는 우리카드가 가맹점 관리 목적으로 수집한 개인정보를 카드 발급 마케팅에 활용한 것을 목적 외 이용·제공 제한 규정 위반으로 판단했다. 법률 근거 없이 주민등록번호를 처리한 점도 별도 위반으로 봤다. 이에 과징금과 함께 시정명령·공표명령을 결정했다. 금융권 내부 정보 오용에 대한 강한 제재였다.

개인정보보호위원회는 2025년 3월 27일 우리카드에 134억5100만 원의 과징금 부과를 확정했다. 시정명령과 공표명령도 함께 내려졌다. 해킹 등 외부 침입이 아닌 내부 직원의 목적 외 이용과 무단 제공에 대해 100억 원대 과징금이 부과된 이례적 사례였다. 금융사가 보유한 대량의 개인정보 관리 책임이 다시 부각됐다. 강도 높은 제재로 업계 전반에 경종을 울렸다.

당국은 우리카드의 위반을 두 축으로 정리했다. 첫째, 가맹점 관리 등 목적으로 수집한 개인정보를 신규 카드 발급 마케팅에 활용한 것은 개인정보의 목적 외 이용·제공 제한 규정 위반이다. 둘째, 법률에 근거하지 않고 주민등록번호를 처리한 것은 주민등록번호 처리 제한 규정 위반이다. 여기에 접근 권한 점검과 접속 기록 검토를 하지 않은 내부 통제 부실도 지적됐다. 위반의 성격이 구조적임이 드러났다.

우리카드 사건은 금융권 개인정보의 내부 오용 문제로 논의가 확산됐다. 외부 해킹뿐 아니라 내부 직원에 의한 목적 외 이용이 심각한 유출 경로임이 재확인됐다. 실적 압박 속에 영업 조직이 개인정보를 무단 활용하는 관행이 도마에 올랐다. 비슷한 시기 다른 카드사에서도 유사 사례가 드러나며 업계 전반의 통제 부실이 지적됐다. 미국식 고액 과징금 도입을 요구하는 목소리도 나왔다.

과징금 부과 이후 우리카드는 재발 방지 대책과 개인정보 보호 체계 강화를 약속했다. 접근 권한 통제와 접속 기록 점검, 내부 감사 강화 등이 개선 과제로 제시됐다. 그러나 반복되는 금융권 정보 유출 속에서 실효성 있는 조치가 이뤄질지에 대한 회의적 시각도 있었다. 정보 보호에 대한 투자와 통제가 여전히 미흡하다는 비판이 이어졌다. 재발 방지의 진정성이 관건으로 남았다.

우리카드 과징금 사태는 국내 개인정보 보호 규제의 실효성 논의로 이어졌다. 대규모 과징금에도 유사한 목적 외 이용과 유출이 반복되는 현실이 문제로 지적됐다. 금융사의 개인정보 처리에 대한 상시 감시와 사후 제재를 강화해야 한다는 요구가 커졌다. 내부 통제와 임직원 교육의 중요성도 재확인됐다. 개인정보 자기결정권 보호를 위한 제도 보완이 과제로 남았다.