[단독] 직원이 회원에 “인스타 맞팔하자”…개인정보위, 네이버 ‘크림’ 조사

“개인정보 잘 통제됐는지 현장조사”
안전성 조처 의무 위반 등 조사 착수

네이버 크림은 ‘익명으로 안전하게 거래’하는 스니커즈 거래 플랫폼을 표방한다. 크림 누리집 갈무리

개인정보보호위원회(개인정보위)가 고객 개인정보를 사적 연락 등에 남용한 네이버 계열사 ‘크림’(KREAM)에 대한 조사에 나섰다. 이 회사에서는 최근 한 직원이 여성 고객의 연락처 등을 이용해 인스타그램 ‘맞팔’(친구맺기) 등을 요구한 것으로 알려져 논란이 일었다. 개인정보위는 네이버 크림이 직원들에 대한 개인정보 접근권을 적법하게 통제했는지 등을 현장조사 등을 통해 밝힐 방침이다.

8일 개인정보위와 네이버 관계자 등의 말을 종합하면, 개인정보위 조사국은 지난 7일 개인정보보호법 위반 등의 혐의로 크림에 대한 조사에 착수했다. 크림은 한정판 스니커즈 등 신발 거래를 중개하는 플랫폼으로 ‘안전한 익명 거래’를 표방해왔다. 기존 중고거래 플랫폼들과 달리 비대면으로 상품 배송과 판매금 정산 등이 이뤄져 20~30대 젊은층을 중심으로 인기를 끌었다. 그러나 지난달 이 회사의 오프라인 매장(‘드롭존’)에서 상품을 접수하던 직원이 여성 고객의 연락처를 남용해 사적 연락을 시도한 사실이 최근 온라인 커뮤니티 등에 알려지며 논란이 인 바 있다. 이 직원은 고객이 맡긴 상품 박스에 적힌 휴대전화 번호 등을 보고 이 고객에게 문자메시지를 보낸 것으로 알려졌다.

개인정보위는 회원 개인정보에 대한 크림의 안전성 확보 조처 등이 관련법 상 규정에 못 미쳤을 소지가 큰 것으로 보고 조사를 결정했다. 이 법 제29조등은 개인정보 처리자가 ‘개인정보가 분실·도난·유출·훼손되지 않도록, 내부 관리계획 수립·접속기록 보관 등 안전성 확보에 필요한 기술적·관리적·물리적 조처를 해야 한다’고 규정하고 있다. 이에 따라 개인정보위는 △해당 직원의 정보 접근 권한 △회사의 적절한 개인정보 내부관리·접근통제 여부 △정보 처리자에 대한 교육·관리감독 여부 등을 현장조사 등을 통해 확인할 계획이다.

특히, 문제의 직원이 개인정보 처리·접근 권한이 없던 것으로 밝혀진다면 회사의 책임도 커질 수 있다. 개인정보위는 안전성 조처 의무를 위반해 회원 개인정보를 침해한 인터넷 기업에 대해 관련 매출액의 최대 3%에 해당하는 과징금 부과를 의결할 수 있다. 기업이 직원에게 개인정보 관련 교육과 감독을 충분히 하지 않은 경우에도 제재할 수 있다.

개인정보위 관계자는 <한겨레>와의 통화에서 “개인정보가 회사 바깥으로 새어나가지 않았더라도, 개인정보 처리 권한이 없는 직원이 회원 정보를 들여다봤다면 (관련법 상) 개인정보 ‘유출’에 해당할 수 있다. 이 경우 회사의 (정보 보안) 시스템에 큰 문제가 있는 셈”이라고 설명했다.

한편, 크림은 해당 직원이 오프라인 매장을 관리하는 위탁업체 소속인 것으로 확인하고, 직원이 일으킨 문제를 위탁업체에 통보했다. 위탁업체는 해당 직원을 사규 위반 등의 사유로 해고한 상태다. 네이버 홍보실 관계자는 <한겨레>에 “사건 이후 드롭존에서 취급하는 상자 위에 고객 개인정보를 적거나 인쇄하지 않도록 상품 처리 프로세스를 바꿨다”며 “이 직원이 개인정보 접근권이 있었는지는 확인되지 않았다”고 말했다.

천호성 기자 [e-mail]