이벤트 페이지 캐시 설정 오류로 20명의 개인정보가 타인에게 노출됨

• 2018년 11월 1일, 온라인 쇼핑몰 운영사가 '블랙프라이스데이' 이벤트를 진행하면서 모바일 웹 이벤트 페이지에만 적용되는 새로운 캐시 정책을 배포했습니다.
• 이 캐시 정책 설정 과정에서 오류가 발생하여, 이용자가 모바일 웹으로 로그인할 때 다른 사람의 계정으로 로그인되는 현상이 나타났습니다.
• 그 결과 20명의 이용자 개인정보(이름, 이메일, 휴대폰번호, 배송지 주소)가 29명의 다른 이용자에게 노출되었습니다.
• 2018년 11월 2일, 방송통신위원회에 이 사고가 신고되었고, 이후 한국인터넷진흥원과 함께 현장조사를 실시했습니다.
• 조사 결과, 개인정보보호 관련 법규를 위반한 것으로 판단되어 2019년 12월 27일 시정명령과 과징금 18억 5,200만 원이 부과되었습니다.
• 운영사는 이 처분에 불복하여 소송을 제기했습니다.

온라인 쇼핑몰 운영사가 블랙프라이스데이 이벤트 페이지에 캐시 정책을 잘못 적용하여 20명 이용자의 개인정보(이름, 이메일, 휴대폰번호, 배송지 주소)가 29명에게 노출되는 사고가 발생했습니다. 이에 대해 개인정보보호위원회는 시정명령과 함께 과징금 18억 5,200만 원을 부과했으나, 법원은 과징금 부과처분은 취소하고 시정명령은 유지하는 판결을 내렸습니다.

• 법원은 과징금 부과의 근거가 된 '위반행위와 관련한 매출액' 산정 방식이 법률의 위임 범위를 벗어나 위법하다고 판단했습니다. 시행령이 직전 3개 사업연도의 연평균 매출액을 일률적으로 적용한 것은 법률이 위임한 범위를 넘어선 것입니다.
• 또한, 이 사건 사고는 극히 일부 이용자(20명)에게만 발생했고, 유출된 정보의 범위도 제한적이었으며, 운영사가 사고를 예방하기 위해 상당한 노력을 기울인 점을 고려할 때 과징금 18억 5,200만 원은 과도하다고 보았습니다.
• 다만, 시정명령에 대해서는 운영사가 개인정보 보호 조치를 소홀히 한 점이 인정되므로 적법하다고 판단하여 원고의 청구를 기각했습니다.
• 법원은 캐시 정책 오류로 인한 개인정보 노출이 정보통신망법상 '개인정보처리시스템'에 대한 보호조치 의무 위반에 해당한다고 보았습니다.

이 사건은 기업이 이벤트 페이지 등에서 캐시 설정을 할 때 개인정보 보호 조치를 철저히 해야 함을 보여줍니다. 또한, 과징금 산정 시 위반행위와 관련된 매출액을 합리적으로 산정해야 하며, 법률의 위임 범위를 넘는 시행령 규정은 무효가 될 수 있습니다.