할리스 고객정보 유출, 탈퇴 회원 정보가 남은 이유는?

할리스 고객정보 유출 사고에서는 이미 탈퇴한 회원에게도 유출 통지가 간 점이 문제로 떠올랐다.

할리스 고객센터는 멤버십 개편 과정에서 만든 임시 데이터 파일이 정상적으로 삭제되지 않았고, 이 파일에서 정보가 유출된 것으로 추정한다고 설명했다.

현재 사용하는 고객 데이터베이스가 아니라 과거 개편을 위해 클라우드에 제공한 파일이 남아 있었던 것이다.

할리스는 10월 19일 입장문에서 유출 데이터가 활성 고객 데이터베이스가 아닌 과거 멤버십 개편용 임시 파일이었다고 밝혔다.

탈퇴 회원 A씨는 10월 28일 고객센터와 통화하며 파일이 삭제되지 않아 유출됐을 가능성이 있다는 설명을 들었다고 전했다.

회원 B씨는 27일, 탈퇴 정보는 사실상 3개월이 지나면 없어져야 하는데 왜 남았는지 회사도 모르며 내부 조사 중이라는 답변을 받았다고 밝혔다.

이번 사고에서 유출된 정보 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보다.

다만 탈퇴 회원별로 이 가운데 어떤 항목이 유출됐는지는 밝혀지지 않았다.

할리스 개인정보처리방침은 부정 사용과 피해를 막기 위해 탈퇴 회원의 아이디·이름·DI를 탈퇴 후 30일 동안 보관할 수 있도록 정하고 있다.

수년 전에 탈퇴한 회원의 정보가 남은 경위는 이 예외만으로 설명되지 않는다.

개인정보보호법 제21조는 보유기간이 지나거나 처리 목적을 달성해 정보가 불필요해지면 지체 없이 파기하도록 규정한다.

따라서 탈퇴 회원의 비밀번호·생년월일·전화번호·주소·이메일이나 서비스 이용 정보까지 임시 파일에 남아 유출됐다면, 파기해야 할 정보를 보관했을 가능성이 있다.

개인정보보호위원회는 이번 사고를 조사하면서 할리스가 개인정보 파기 의무를 지켰는지도 살펴볼 계획이다.