아동정보 동의 없이 수집·마케팅 강행... 버거킹·메가MGC커피에 과징금

최근 음식점·카페 등에서 원격 예약, 키오스크 주문처럼 대규모 개인정보 처리를 수반하는 서비스가 빠르게 확산되는 가운데, 적지 않은 사업자들이 개인정보를 허술하게 관리해 온 사실이 드러났다. 특히 아동·청소년이 자주 이용하는 프랜차이즈에서도 관리 부실이 확인된 만큼, 미성년자 개인정보 보호에 각별한 주의가 요구된다. 

개인정보보호위원회(위원장 송경희, 이하 개인정보위)는 11일 제3회 전체회의를 열고, 식음료 분야 10개 사업자의 「개인정보 보호법」 위반 행위에 대해 총 15억 6600만 원의 과징금과 1억 1130만 원의 과태료를 부과했다.

이번 제재 대상은 플랫폼 사업자인 ▲와드(캐치테이블) ▲테이블링 ▲야놀자에프앤비솔루션(도도포인트·나우웨이팅)과 프랜차이즈 사업자인 ▲에스씨케이컴퍼니(스타벅스) ▲비케이알(버거킹) ▲엠지씨글로벌(메가MGC커피) ▲한국맥도날드(맥도날드) ▲투썸플레이스 ▲이디야 ▲더본코리아(빽다방) 등이다.

조사 결과, 버거킹은 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용했고, 메가커피는 회원가입 과정에서 마케팅 활용에 동의하지 않은 이용자도 자동으로 동의 처리되도록 설정해 이들에게 마케팅 메시지를 발송한 것으로 확인됐다.

또한 캐치테이블, 테이블링, 도도포인트·나우웨이팅, 맥도날드는 응용프로그램 인터페이스(API) 설계·운영 과정에서 접근통제를 소홀히 하는 등 안전조치 의무를 충분히 이행하지 않은 것으로 드러났다.

투썸플레이스는 매장 주문 시 휴대전화번호를 입력하지 않으면 주문·결제가 불가능하도록 운영했고, 더본코리아는 회원가입 과정에서 마케팅 동의, 맞춤형 서비스 동의 등 별도로 받아야 할 사항을 포괄적으로 동의받은 데다 개인정보 처리 수탁자에 대한 관리·감독도 미흡했던 것으로 나타났다.

이 밖에도 다수 사업자가 보유기간이 지났거나 처리 목적이 달성된 개인정보를 파기하지 않은 채 보관하고 있었으며, 접근권한 관리, 접근통제, 접속기록 보관 등 기본적인 안전조치 의무를 제대로 이행하지 않은 사실이 확인됐다.

개인정보위는 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용한 행위에 대해 버거킹에 9억 2400만 원의 과징금을, 동의 없이 회원 개인정보를 목적 외로 활용한 엠지씨글로벌에 6억 4200만 원의 과징금을 각각 부과했다.

아울러 기타 보호법 위반 행위에 대해서는 총 1억 1130만 원의 과태료를 부과하고, 재발 방지를 위한 시정명령과 공표명령도 함께 내렸다.