종합소득세 환급 플랫폼 '삼쩜삼'이 개인정보보호법 위반 혐의로 과징금 및 과태료 부과 처분을 받았다.

개인정보보호위원회는 28일 전체회의를 열고, 삼쩜삼을 운영하는 자비스앤빌런즈에 과징금 8억5410만원과 과태료 1200만원을 부과하기로 의결했다.

개인정보위에 따르면 그동안 삼쩜삼은 이용자로부터 수집한 주민등록번호를 통해 홈택스 로그인 및 소득 관련 정보의 수집, 세무대리인 수임 동의, 환급신고 대행을 했다.

삼쩜삼은 개인정보위 조사 과정 중에 절차를 개선해 현재는 환급신고 대행 시에만 주민등록번호를 수집·이용한 후 회원 탈퇴 시까지 저장·보유하고 있으나, 이처럼 법령에 근거 없이 주민등록번호를 수집·보관한 행위 등은 개인정보 보호법 위반이다.

아울러 삼쩜삼은 소득정보 등 개인정보를 수집하는 과정에서 처리방침을 통해 포괄 동의를 받으면서, 수집 항목을 누락하고 수집 목적·보유기간 등을 불명확하게 고지했다.

근로소득 지급명세서에 포함된 이용자(부양가족 포함) 장애 여부 등에 대한 정보를 수집하면서 민감정보인 건강정보에 대한 별도 동의도 받지 않았다.

또한 추가 검토가 필요한 경우 세무대리인이 대신 신고토록 하면서 이용자에게 세무대리인에 제공하는 사항을 명시적으로 알리지 않았다.

이에 개인정보위는 주민등록번호는 정보주체의 명시적인 위임을 받아 주민등록번호가 포함된 신청·신고서의 단순 작성·제출에만 사용한 후 파기하며 파일 등으로 저장·보유하지 말 것, 2020년 4월 이후 수집·보관 중인 주민등록번호는 즉시 파기할 것을 명령했다.

남석 조사조정국장은 "데이터 경제 시대에 개인정보위는 법 위반행위에 대해서는 엄격한 제재를 하겠지만, 새싹기업 등이 신규 서비스를 설계할 때 개인정보보호 관점에서 서비스를 기획·개선하도록 유도함으로써 국민들이 다양한 서비스를 안전하게 이용할 수 있는 환경 조성을 위해 노력해 나갈 계획"이라고 말했다.

자비스앤빌런즈 측은 이번 시정명령에 "이번 조사로 지적받은 부분을 개선하고 있다"며 "개인정보보호위원회 가이드에 맞춰 더 강화된 개인정보 보호 시스템을 구축하겠다"고 밝혔다.