개인정보보호위원회는 2026년 11월 11일 제22회 전체회의에서 삼양그룹 소속 4개사의 개인정보 보호 법규 위반에 대해 과징금 총 5억 5,200만원과 과태료 총 1,620만원을 부과하고 시정명령·공표 등을 의결했다고 12일 밝혔다. 제재 대상은 ㈜삼양홀딩스, ㈜삼양사, ㈜삼양패키징, 삼양데이타시스템㈜이다.
2022년 7월 신원 미상의 해커는 삼양그룹 내 메일서버의 취약점을 이용해 관리자 권한을 얻은 뒤, 데이터 이관을 위해 설치된 내부 파일서버의 인증정보를 탈취했다.
해커는 해당 서버에서 삼양홀딩스·삼양사·삼양패키징의 임직원·주주·관계자 등 14만 9,767명의 개인정보가 담긴 파일 약 85만 개(1.3TB)를 외부 클라우드로 유출했다. 이 가운데 8만 2,750명의 주민등록번호가 포함됐다.
조사 결과, 삼양데이타시스템㈜은 세 회사의 데이터 이관이 끝난 뒤에도 사고 당시까지 해당 서버를 외부망과 통신할 수 있는 상태로 뒀다.
이 때문에 해커가 서버에 있던 개인정보를 단기간에 외부 클라우드로 유출할 수 있었던 것으로 확인됐다. 삼양홀딩스·삼양사·삼양패키징은 주민등록번호 암호화 등 안전성 확보에 필요한 조치를 하지 않았다.
세 회사는 사고 당시 삼양데이타시스템㈜에 개인정보 처리 업무를 위탁하고 있었지만, 위탁 관련 계약서는 2024년 12월에야 마련했다.
삼양홀딩스와 삼양패키징은 법령상 보존기간이 지난 일용직 근로자 급여정보를 파기하지 않았다. 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호도 수집했다.
개인정보위는 주민등록번호 암호화와 위탁업무 문서화 의무 위반을 이유로 삼양홀딩스·삼양사·삼양패키징에 각각 과징금 1억 8,400만원과 과태료 180만원을 부과했다.
개인정보 파기 의무 위반으로 삼양홀딩스와 삼양패키징에 각각 과태료 360만원을, 법적 근거 없는 주민등록번호 수집으로 삼양홀딩스에 과태료 360만원을 추가로 부과했다. 이에 따른 회사별 과태료는 삼양홀딩스 900만원, 삼양사 180만원, 삼양패키징 540만원이다.
삼양홀딩스와 삼양패키징에는 공표도 의결됐다.
삼양데이타시스템㈜에는 접근통제 등 안전조치 의무 위반으로 시정명령과 공표를 의결했다. 개인정보위는 사용이 중단된 서버는 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 충실히 이행해야 한다고 강조했다.
이번 사고에서는 서버를 폐기하지 않은 등 안전조치 소홀과 주민등록번호 암호화 미흡, 불필요한 개인정보의 장기 보관으로 정보주체의 피해가 확대된 것으로 나타났다.
