[비즈한국] ロッテカードの大規模な個人情報流出事故に関連し、個人情報保護委員会が100億ウォンに近い課徴金を課した。課徴金が違反行為に関連する一部の売上にのみ適用されたため、制裁レベルが予想より低いという評価も出ている。金融当局による追加制裁が残る中、16日の正式就任を控えたロッテカードのチョン・サンホ新代表は、事故の収拾と制裁への対応という課題を同時に背負うことになった。
個人情報保護委員会は11日、第4回全体会議において、ロッテカードに課徴金96億2000万ウォン、過料480万ウォン、および是正措置と公表命令を課す制裁を議決した。これは2025年9月にロッテカードで発生した利用者297万人の個人情報流出事故に対するもので、委員会がロッテカードの住民登録番号処理義務違反の有無を調査した結果によるものである。
ロッテカードは2025年8月、外部の攻撃者からオンライン決済システムをハッキングされた。ハッカーはロッテカードのオンライン決済サーバーに悪性コードを植え付け、決済処理の過程で発生したログファイルを盗み出した。ハッカーが奪取したファイルのうち半分ほどは暗号化されていたが、残りは平文で流出した。流出した個人情報には、△連携情報（CI、暗号化した個人識別情報） △仮想決済コード △カード番号 △有効期限 △CVC番号などが含まれていた。
流出した情報の中には、45万人の住民登録番号も含まれていたことが確認された。個人情報保護委員会は、ロッテカードがオンライン決済関連のログにおいて住民登録番号などの個人情報を暗号化せず、ログファイルの暗号化も適切に行わなかったため、個人情報保護法に違反したと判断した。個人情報保護法では、住民登録番号を法律に関連する事項や、情報主体の生命・身体・財産上の利益保護のために明確に必要な場合にのみ処理するよう規定している。
さらに、ログファイルには最小限の個人情報のみを記録すべきであるにもかかわらず、ロッテカードが住民登録番号を含む多数の個人情報を保存していたことが大規模なハッキング事故につながった点も指摘した。個人情報保護委員会は、課徴金・過料の賦課に加え、ロッテカードに対し、個人情報保護責任者（CPO）の責任と独立性を強化し、個人情報保護体制全般を整備するよう是正措置を命じた。
個人情報保護委員会は、今回の事故を機に業界全体の点検にも乗り出す。金融分野の事業者を対象に、法的根拠なしに不必要に住民登録番号を処理する慣行について、3月中に事前実態調査を推進する計画だと発表した。
個人情報保護委員会の発表を受け、業界では処分水準が予想より低いという反応が相次いだ。同業他社のウリカードは、2025年3月に個人情報保護法違反で134億ウォンの課徴金を課されたことがある。ロッテカードの課徴金が100億ウォン未満にとどまったのは、課徴金の算定基準となる違反行為に関連する売上規模そのものが小さかったためと見られる。
個人情報保護委員会は、「住民登録番号の処理義務と暗号化措置義務を違反した部分のみを調査した。オンライン決済サービスに関連する売上に限定して課徴金を算定した」とし、「違反行為の重大性によって売上高に対する算定比率が異なり、1次調整、2次加重・減額などを経て算定する」と説明した。
ロッテカードは、処分に対して異議を申し立てるものと見られる。ロッテカードは「事故の事実を自主申告し、個人情報保護委員会の調査にも誠実に応じた」とし、「法的根拠条項など、説明した内容が十分に反映されていない部分がある。議決書を受領後、内容を綿密に検討し、可能な異議申し立て手続きを通じて引き続き釈明する」と回答した。
一方、個人情報保護委員会が制裁案を発表した12日、ロッテカードは臨時株主総会と取締役会を開き、チョン・サンホ新代表取締役を最終選任した。チョン新代表の任期は2026年3月16日から2028年3月29日までである。チョン新代表は就任と同時に制裁への対応という課題を引き受けたことになる。
まだ公表されていない金融当局の処分結果も注目される。金融委員会と金融監督院は、ロッテカードが個人情報流出に関連して、信用情報法に基づき安全措置義務を守っていたかどうかを調査している。信用情報法上、ハッキングによる個人情報流出事故は、課徴金の上限が50億ウォンに制限される。ただし、与信専門金融業法違反が確定した場合、6ヶ月の営業停止処分も可能であり、役員陣に対する制裁も残っている。
ロッテカードは「サイバー侵害事故により、ご不便とご心配をおかけしたことを深くお詫びする」とし、「今後、再発防止と個人情報保護の強化に向けて最善の努力を尽くす」と明らかにした。