제2026-217-392호

안건번호 : 제2026-217-392호
안건명 : 개인정보 보호조치에 대한 개선권고에 관한 건
신청인 : 주식회사 우아한형제들 (사업자등록번호 : )
의결연월일 : 2026. 9. 9.

1. 피심인 주식회사 우아한형제들에게 다음과 같이 개선을 권고한다.
가. 피심인은 고객 등의 요청 등과 무관한 개인정보취급자의 고객정보 조회로 인한 사고 등에 대한 내실있는 접속기록 점검 등 재발방지 대책을 마련할 것
나. 유출사고 재발방지를 위해 수탁사를 포함한 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리ㆍ감독을 철저히 할 것
다. 피심인은 가., 나.의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행결과를 개인정보보호위원회에 제출할 것

Ⅰ. 기초 사실

피심인은 '배달의 민족’ 서비스를 운영하면서 이용자의 개인정보를 처리하는 개인정보 보호법」개인정보 보호법(법률 제20897호, 2025. 4. 1., 일부개정, 2025. 10. 2. 시행)(이하 '보호법’) 제2조제5호에 따른 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169839633" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 ㈜우아한형제들(이하 '피심인’) 고객상담센터 상담직원*(수탁사 소속, 이하 '사고직원’)이 '배달의민족’ 서비스의 고객정보를 무단으로 조회하여 제3자에게 유출한 사실을 신고함(’26.3.28.)에 따라 개인정보 처리 실태 및 보호법 위반 여부를 조사(’26.4.1. ~ ’26.8.31.)하였으며, 다음과 같은 사실을 확인하였다.

*

2. 행위 사실

가. 개인정보 처리 현황

피심인은 온라인 배달플랫폼 '배달의민족’ 서비스를 운영하면서 기준 건의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169839635" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계

1) (유출 경위) '배민커넥트지원센터(라이더 대상 상담센터)’에서 근무하던 피심인의 사고직원( (수탁사) 소속)이 라이더로부터 문의접수가 없고, 당일(24시간 이내) 주문이력이 없는 건에 대해서 ' ’ 에서 주문전화번호를 입력하여 고객의 개인정보를 무단조회하고 제3자(사적 보복 대행 조직)에게 유출하였다.
<img src="/LSW/flDownload.do?flSeq=169839637" alt="3번째 이미지"></img>
* 사고직원이 최신 배달주소 정보를 확인할 목적이 있었던 것으로 보이는 점, 조회조건 설정일 기준 최근 30일이내 주문건만 확인 가능한 점 고려하여 조회시점을 1개월 내로하여 확인

2) (유출 내용) 배달의민족 이용자 1명*의 개인정보(닉네임, 전화번호, 이메일주소, 배달주소)가 제3자(사적 보복 대행 조직)에게 유출되었고, 이용자 467명의 개인정보가 무단조회(닉네임, 전화번호, 이메일주소, 배달주소)된 정황**이 있다.
* 경찰 영장 기준

** (무단조회 의심대상) 사고 직원이 근무기간 동안(’25.7.17~’26.3.13) 조회한 대상 중 아래 대상을 제외한 건수
①당일(24시간 내) 주문이력 있는 건, ②조회한 연락처가 배민커넥트 이용 라이더인 경우
③오기입(조회해도 결과 값이 나오지 않는 건)건 ④(24시간~1년 내)주문이력 없는 건(조회해도 결과 값이 나오지 않는 건), ⑤연락처 중복값

3) (유출 인지 및 대응)
<img src="/LSW/flDownload.do?flSeq=169839639" alt="4번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 개인정보 안전성 확보에 필요한 조치 관련

사고직원은 '배민커넥트지원센터(라이더 대상 상담)’에서 근무하면서 라이더 채팅 상담으로 인입된 문의를 해결*하는 상담직원으로 피심인은 고객상담 업무를 위해 외주 고객지원센터 상담직원인 사고직원에게 상담시스템(
이하 '상담앱’)의 '상담사 권한’**을 부여(’25.7.17)한 바 있으며,
* <인입 문의 내용>
①오배달(주소지 오전달)ㆍ오픽업(주문번호 오매핑) 시 사후처리 등을 위한 주문고객 안내 및 주소 불일치 여부 등 확인
②고객 환불요청, 사후 보상처리 등 후속조치를 위한 라이더, 파트너 측 확인 및 고객응대, 고객 주문이력 조회

** 상담사 권한 : 상담업무 메뉴에서 상담에 필요한 대상 고객정보 조회, 주문ㆍ배달 정보 조회 가능

피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 내부 모니터링 기준*에 따라 매월 정기적으로 점검한 사실이 있다.
*

나. 개인정보 유출 통지 및 신고 관련

피심인은 사고 직원이 체포된 사실을 확인(’26.3.24)한 후 72시간 내 피해자(1명)에게 개인정보 유출 사실을 통지(’26.3.26)한 바 있으며, 사고 직원이 무단조회한 것으로 의심되는 대상자에게도 유출 통지를 한 바 있다.



Ⅲ. 위법성 판단

1. 관련법 규정

가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

같은 법 시행령개인정보 보호법 시행령(대통령령 제35780호, 2025. 9. 23. 일부개정, 2025. 10. 2.. 시행)제30조제1항제2호는 “개인정보에 대한 접근 권한을 제한하기 위해 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 '개인정보처리시스템’이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행(가목), 그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치(다목)를 하여야 한다”고 규정하고 있으며, 5호는 “개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 개인정보처리시스템에 대한 접속기록의 안전한 보관(나목) 등의 조치를 하여야 한다”라고 규정하고 있다.

한편, 같은 조 제3항은 ”제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다“라고 규정하고 있으며, 이에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2025-9호, 2025. 10. 31. 시행)(이하 '고시’) 제5조는 ”개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한 범위로 차등부여하고(제1항), 개인정보처리자는 개인정보처리시스템에 접근할 수 있는 계정을 발급하는 경우 정당한 사유가 없는 한 개인정보취급자 별로 계정을 발급하고 다른 개인정보취급자와 공유되지 않도록 하여야 한다(제4항)“고 규정하고 있다. 또한, 고시 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보취급자의 개인정보처리시스템에 대한 접속기록 및 개인정보 다운로드 상황을 확인하고 점검하는 주기ㆍ방법ㆍ사후조치절차 등을 내부 관리계획으로 정하고 이행하여야 한다.”고 규정하고 있다.
가. 개인정보 안전성 확보에 관한 사항
[보호법 제29조(안전조치의무)]

피심인이 라이더 채팅 및 고객 유선상담 업무를 수행하였던 사고 직원에게 고객정보 조회권한을 부여한 것이 업무 수행에 필요한 범위를 벗어난 것이라고 보기 어려우며, 피심인은 상담앱 계정 발급 시 직원 개인별로 발급(1인 1계정)하고, 업무별로 접근 가능한 메뉴 및 상세 권한( )을 세분화하여 관리하고 있어 고시 제5조제1항 및 제4항을 위반하여 접근권한 관리를 소홀히 했다고 보기 어려우며,

또한, 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 내부 모니터링 기준에 따라 매월 정기적으로 점검하고 있어 고시 제8조제2항을 위반하여 접속기록의 보관 및 점검을 소홀히 하였다고 보기 어렵다.

Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대한 개인정보 보호조치 사실조사 결과, 안전조치 의무 등 보호법을 위반하였다고 보기 어려우며, 재발방지를 위한 조치를 마련하는 등 시정조치 등의 처분은 필요하다고 보기 어려우나, 향후 상담사가 고객 등의 요청과 무관하게 이용자의 개인정보를 조회하여 발생하는 사고 등에 적절하게 대응하기 위해서는 내부관리계획 등에 내부 모니터링 기준을 강화하고, 수탁사를 포함한 개인정보취급자에 대한 철저한 관리ㆍ감독을 강화하기 위해 피심인에게 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 다음과 같이 개선을 권고한다.

가. 피심인은 고객 등의 요청 등과 무관한 개인정보취급자의 고객정보 조회로 인한 사고 등에 대한 내실있는 접속기록 점검 등 재발방지 대책을 마련할 것

나. 유출사고 재발방지를 위해 수탁사를 포함한 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리ㆍ감독을 철저히 할 것

다. 피심인은 가., 나.의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행결과를 개인정보보호위원회에 제출할 것




이상과 같은 이유로 주문과 같이 의결한다