지난주 홈플러스의 위조 상품 판매 행위가 드러나 많은 소비자의 공분을 샀다. 그런데 채 며칠이 지나지 않아 홈플러스가 소비자의 개인정보를 보험사에 팔아 231억이라는 막대한 부당 이익을 챙긴 사실이 드러났다.

복수의 언론 보도에 따르면 홈플러스는 겉으로는 고객 사은행사인 것처럼 꾸며서 소비자의 이름과 연락처뿐만이 아니라 생년월일과 자녀 수, 부모 동거 여부까지 적어내도록 했고, 이렇게 수집한 소비자의 개인정보를 1건당 1,980원씩에 보험사에 판매하였다. 홈플러스가 유출한 고객정보는 총 2,400만여건으로 알려졌다.

「개인정보 보호법」 제15조에 따르면 ‘개인정보처리자’인 홈플러스는 ‘정보주체’인 소비자의 동의를 얻어 개인정보를 수집할 수 있지만, 이러한 동의를 받을 때는 개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용 기간을 알려야 한다. 이는 개인정보를 수집하려는 목적을 단순히 이벤트 참여 안내문에 포함하는 정도를 넘어서 소비자에게 개인정보 수집에 관한 명확한 인식을 제공해야 한다는 의미이다. 또, 개인정보를 제3자인 보험사에 제공하기 위해서는 「개인정보 보호법」 제17조의 규정에 따라 제3자 정보제공 사실을 소비자에게 명확하게 알려야 한다.

국내법뿐만이 아니라 UN 개인정보지침 중 합법성 및 공정성의 원칙(Principle of Lawfulness and Fairness)이나 OECD 개인정보보호 8개 원칙 중 수집제한의 원칙(Collection Limitation Principle)에서도 개인정보의 수집단계에서부터 합법적이고 정당한 절차에 의하여 개인정보를 수집해야 한다고 규정하고 있다.

홈플러스와 같은 대형유통업체에서 소비자의 개인정보를 수집할 이유는 전혀 없다. 할인 포인트 등 이용고객에게 혜택을 주기 위해서는 고객 번호만으로도 충분히 관리할 수 있다. 이번에 홈플러스가 수집한 생년월일과 자녀 수, 부모 동거 여부는 물론이고 이름이나 전화번호가 고객 관리에 반드시 필요한 정보인지 의문이다.

이번 사태에 대하여 홈플러스가 진지하게 반성을 하고 있는지도 의문이다. 홈플러스의 이번 사태에 대한 입장을 보기 위해서는 홈페이지에 접속하여 스크롤을 여러 번 하여 마지막쯤에 나오는 ‘회사소개’라는 매우 작은 글씨를 찾아 클릭한 다음 상단 공지사항에서 ‘자세히 보기’를 클릭해야 한다. 사실상 사과를 하지 않는 것이나 마찬가지이다.

녹소연 관계자는 "홈플러스가 이번 개인정보 판매 사태에 대한 진정성이 있다면 피해자에게 개별적으로 연락하여 피해를 알려주거나, 적어도 피해 여부를 인터넷 등으로 쉽게 찾아볼 수 있도록 적절한 조치를 해야할 것"이라며 "이번 사태를 매우 심각하게 받아들이고 있다. 관련된 시민단체와 함께 손해배상 청구 또는 「개인정보 보호법」 및 「소비자기본법」 상의 단체소송 등 가능한 법적 조치를 마련해 대응할 것"이라고 전했다.