'팝업창'으로 개인정보 불법수집한 손보사, 과징금 92억 '철퇴'

[이데일리 김범준 기자] 자동차보험을 판매하는 손해보험사들이 ‘팝업창(재유도 창)’을 운영하며 소비자의 개인정보를 위법 또는 편법적으로 과도하게 수집해 마케팅에 활용한 것으로 적발되면서 총 92억원 상당의 과징금 ‘철퇴’를 맞았다.

고학수 개인정보보호위원회 위원장이 지난 11일 서울 종로구 정부서울청사에서 열린 전체회의에서 모두발언을 하고 있다.(사진=개인정보보호위원회)

개인정보보호위원회는 12일 브리핑을 통해 지난 11일 전체회의에서 개인정보 보호법을 위반한 다이렉트 자동차보험 판매 12개 손해보험사에 대해 제재 처분을 의결했다고 밝혔다. 해당 12개 손보사는 △현대해상(001450) △악사손해보험 △하나손해보험 △MG손해보험 △롯데손해보험(000400) △삼성화재(000810) △DB손해보험(005830) △KB손해보험 △메리츠화재(000060) △한화손해보험(000370) △흥국화재(000540) △캐롯손해보험이다.

개인정보위는 12개 자동차 손보사들이 불필요하거나 과도한 고객 개인정보를 요구한다는 지적에 지난해 8월부터 이들에 대한 조사를 실시했다. 조사 결과 12개 보험사 중 적법한 동의 없이 개인정보를 수집해 마케팅에 활용한 현대해상, 악사손보, 하나손보, 엠지손보 등 4개 보험사는 과징금 92억770만원을 부과하기로 결정했다. 이 과정에서 개인정보 보호책임자(CPO)의 내부통제 역할도 강화하도록 시정명령했다.

아울러 개인정보위는 조사 대상 12개 보험사 모두 보험료 계산을 중단하거나 보험 계약을 체결하지 않은 이용자 정보를 파기하지 않고 1년간 보유하고 있어, 보유기간을 개선하도록 시정명령했다. 1년이 넘어도 이용자 정보를 파기하지 않은 롯데손보에는 과태료 540만원을 부과했다.

손보사들의 이번 구체적인 법 위반은 △적법한 동의 없이 개인정보 수집 및 보험 마케팅에 이용 △개인정보 보호책임자(CPO)의 내부통제 미흡 △처리 목적을 달성한 개인정보를 파기하지 않은 행위다.

먼저 개인정보위는 현대해상·악사손보·하나손보·MG손보 등 4개사가 상품 소개를 위한 동의에 명백히 ‘미동의’ 의사를 표시한 이용자에게 동의로 변경을 유도하는 팝업창(재유도 창)을 운영하면서, 오인할 수 있는 표현 및 개인정보 자기결정권을 제한함으로 인해 이용자의 의사에 따른 것으로 볼 수 없다고 판단했다.

특히 이러한 재유도 창으로 개인정보 수집·이용과 제공에 동의를 받으면서도, 재유도 창에는 ‘개인정보 처리’ 표현이나 동의에 필요한 법정 고지사항이 없어 이용자는 마케팅 활용을 위한 개인정보 처리라는 사실을 알 수 없었다.

조사 결과 이러한 재유도 창은 2022년 7월 현대해상이 종전의 재유도 창에서 ‘확인’과 ‘취소’ 버튼의 효과를 변경해 정보주체가 오인하도록 유도하고, 확인 버튼을 누르는 경우 동의 내역이 변경된 것을 알 수 없도록 했는데 이를 다른 사업자들이 벤치마킹해 도입한 것으로 확인됐다.

손해보험사들의 개인정보 보호법 위반행위 관련 재유도 창 운영 전·후 비교 예시.(자료=개인정보보호위원회)

이렇게 4개 보험사가 재유도 창을 운영한 기간 동안 이용자의 마케팅 동의율은 31.42%에서 61.71%로 최대 30%포인트 급증한 것으로 나타났다. 또한 적법하지 않게 동의받은 개인정보를 이용해서 자동차보험뿐 아니라 운전자보험, 건강보험, 치아보험 등 해당 보험사에서 운영하는 다른 보험 마케팅에도 활용했는데, 자동차보험에만 국한해도 문자 메시지와 전화 등 약 3000만건의 마케팅을 실시한 것으로 확인됐다.

개인정보위는 통상 보험사들이 자동차 보험료 계산 과정에서 상품소개 동의 시 1건당 5000원에서1만원 상당의 상품권이나 쿠폰을 지급하는 이벤트를 실시하는 것을 고려할 때, 재유도 창을 이용한 적법하지 않은 동의 절차를 통해 상당한 마케팅 비용 절감 이익을 얻은 것으로 보고 이번 과징금 규모를 결정했다.

또한 손보사들의 재유도 창을 통한 동의 절차는 마케팅 부서에서 기획했는데, 그 과정에서 CPO 검토 등 내부통제가 제대로 작동하지 않은 것이 확인됐다. 이에 따라 개인정보위는 4개 보험사에 대해 CPO의 내부통제 절차가 적정하게 이뤄지고 독립적으로 역할을 수행할 수 있도록 시정명령했다.

이 밖에도 12개 보험사가 보험료 계산서비스를 제공하면서 이름, 주민등록번호, 전화번호 등 수집한 개인정보를 이용자가 계산을 중단하거나 계산 후 계약을 체결하지 않더라도 1년간 보유하고 있는 사실도 확인됐다. 다만 이들은 손해보험협회와 협의해 개선 방안을 마련해 개인정보위에 공식 의견으로 제출하고, 내년 초부터 자진 시정할 계획임을 밝힘에 따라 개인정보위는 보유기간 개선 이행에 대한 시정명령을 했다 하지만 롯데손보는 동의 유효기간인 1년이 만료됐음에도 32만명의 개인정보를 파기하지 않아 과태료 540만원이 부과됐다.

남석 개인정보위 조사조정국장은 브리핑에서 “과징금 결정 단계에서 해당 손보사들의 매출 규모와 행위의 경중과 비난 가능성 등 여러 가지 가중 감정 요소를 반영했다”며 “위원회의 조사와 안건 상정 과정에서 해당 보험사들이 재유도 창 운영을 중지하거나 변경하는 등 시정을 완료했다”고 밝혔다.