개인정보위, 개인정보를 과다 수집·처리한스타벅스 본사(미국), 엘리베이트(홍콩)에 시정명령

- 자료제출 요구에 불응한 나무위키는 수사기관에 고발 조치

  개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 11월 26일(수) 제24회 전체회의를 열어, 개인정보보호 법규를 위반한 스타벅스 본사(Starbucks Corporation)와 그 수탁자인 엘리베이트(Elevate Hong Kong Holdings Limited)에 대해 시정명령 및 개선권고 등을 의결하고, 나무위키(Umanle S.R.L.)를 수사기관에 고발하였다.

< 스타벅스 > 

  개인정보위는 스타벅스가 국내 납품업체 직원들의 개인정보를 과도하게 요구한다는 언론보도('23.2월)와 민원 제기에 따라 스타벅스 관계사를 대상으로 구체적인 사실관계를 조사하였다. 

  조사 결과, 스타벅스 본사가 개인정보 수탁 업무인 윤리구매 프로그램에 대한 관리·감독을 미흡하게 하였고, 엘리베이트가 한국 정보주체의 개인정보를 불필요하게 과도히 처리한 사실이 확인되었다.

  스타벅스 본사는 납품업체 등과 동반 성장을 추구하고 윤리적으로 생산된 제품을 조달하기 위해 윤리구매 프로그램*을 운영하고 있으며, '23년 언론보도 당시 한국 내 윤리구매 프로그램 수행은 스타벅스 본사와 계약한 엘리베이트가 담당하였다. 

  * 윤리구매 프로그램은 근로자 건강·안전 및 권리보장, 근무시간 및 보상체계, 환경 보호 등을 주제로, 근로자 연령, 법정 근로시간 준수, 최저임금 보장 등을 주로 평가

  스타벅스 본사는 윤리구매 평가 업무를 엘리베이트에 위탁하면서 개인정보 보호법에서 정한 사항을 모두 포함하여 위탁 계약을 체결하지 않았고, 수탁자에 대한 교육·감독의 의무가 있음에도 윤리구매 평가 시 인사자료, 임금 및 출퇴근 시간 기록표 등 개인정보를 처리하는 엘리베이트에 대한 관리·감독을 소홀히 하였다.

  또한, 윤리구매 평가 업무를 위탁받은 엘리베이트는 납품업체 직원 인사자료 등 다수의 개인정보 파일을 납품업체 외부로 전송하는 등 불필요한 개인정보를 과도하게 수집·처리한 사실이 확인되었다. 

  이에 따라, 개인정보위는 스타벅스 본사에 개인정보 처리 업무 위탁 시 개인정보 보호법을 준수하고 수탁자를 관리·감독할 것을, 엘리베이트에 대해서는 법적 근거 없이 개인정보를 처리하지 않을 것을 시정명령하였다. 

  ※ 시정명령 이행결과를 모니터링하고 불이행 시 과태료 부과 등 처분

  아울러, 스타벅스코리아는 이번 사안과 직접적인 관련은 없었으나, 스타벅스 본사, 엘리베이트 및 평가를 받는 납품업체 등에게 개인정보 보호법을 준수하는데 필요한 내용을 안내하고 협력하도록 권고하였다. 

< 나무위키 >

  한편, 나무위키는 한국을 대상으로 서비스를 제공하는 것이 명백함에도 특정 국가의 법률이 적용된다고 주장하고, 수차례에 걸친 개인정보위의 자료제출 요구에 불응하였다. 이에 개인정보위는 나무위키를 수사기관에 고발하였다

* 기타 자세한 내용은 첨부파일을 확인해주시기 바랍니다.

- 담당자 : 조사1과 고명석(02-2100-3119)

“이 자료는 개인정보보호위원회의 보도자료를 전재하여 제공함을 알려드립니다.”