[디지털정보위][성명]
내밀한 삶까지 유출된 중대한 침해,
듀오정보 강력히 규탄한다
개인정보보호위원회는 2026년 4월 23일 보도자료를 통해, 국내 유수의 결혼정보회사인 듀오정보가 개인정보 보호법상 안전조치 의무를 위반하여 고객의 소중한 정보를 유출시킨 사실을 확인하고 지난 22일 전체 회의를 열어 과징금 부과 등의 처분을 결정했다고 발표했다.
처분결정에 따르면, ‘공격자’는 2025년 1월경 듀오정보 직원의 업무용 PC에 악성코드를 감염시켜 데이터베이스 서버 계정 정보를 탈취했으며, 이를 통해 전체 정회원 427,464명의 개인정보가 외부로 무분별하게 유출되었다. 우리 위원회는 이번 사건이 통상적인 개인정보 유출과 달리, 정보주체의 삶 자체를 위협하는 중대한 인권 침해라는 점에서 더 깊은 분노를 표하며 다음과 같이 의견을 밝힌다.
우선, 내밀한 개인의 사생활 정보 일체가 유출됨으로 인하여 그로 인한 정신적 피해가 너무도 심각하다는 점을 지적하고자 한다.
유출된 개인정보는 아이디, 비밀번호(암호화), 이름, 생년월일, 주민등록번호(암호화), 성별, 이메일주소, 휴대폰번호, 본인주소 뿐만 아니라, 신장, 체중, 혈액형과 같은 신체 정보, 종교, 취미, 혼인경력(초혼/재혼), 형제관계, 장남/장녀 여부, 학교명, 전공, 입학년도, 졸업년도, 학교소재지, 입사년월, 직장정보(직장명, 입사년월)등 지극히 내밀한 개인의 사생활 정보까지 포함되어 있다.
즉 정보주체를 단순히 식별할 수 있는 개인정보 뿐만 아니라, 이와 결합하여 개인 인생의 주요부분을 담은 개인정보가 유출되어, 개인의 인생자체가 제3자에게 유출되었다고 할 수 있다. 이는 헌법상 보장된 인간의 존엄과 가치, 사생활의 비밀과 자유, 그리고 개인정보자기결정권에 대한 전면적인 침해이다.
결혼정보회사는 고객의 개인정보를 단순히 관리하는 차원을 넘어서 해당 고객의 개인정보를 활용하여 매칭수익을 올리는 회사이다. 고객은 소중한 미래의 인연을 찾기 위하여 회사를 믿고 자신의 인생을 담은 정보를 제공하였다. 따라서, 듀오정보는 여느 기업보다도 고객의 개인정보를 엄중히 보호해야 할 책임이 있다. 그럼에도 불구하고 듀오정보는 의무를 위반하여 정보주체인 고객의 신뢰를 저버렸으며, 이로 인한 정보주체의 정신적 피해는 이루 헤아릴 수 없을 것이다. 이에 우리 위원회는 이번 사건으로 유출된 개인정보의 성격에 비추어 통상적인 기업의 개인정보 유출사건과는 비교할 수 없을 만큼 정보주체에게 더 큰 침해를 야기하였음을 강하게 지적한다.
또한 듀오정보는 유출사실을 안 이후 지금까지 정보주체에 대한 아무런 통지를 하지 않고 있다는 점을 지적한다. 개인정보 보호법은 유출 사실을 인지한 즉시 정보주체에게 통지하여 2차 피해를 예방하도록 규정하고 있다. 이는 정보주체가 자신의 개인정보가 유출된 사실을 인지하고 자신을 보호하기 위한 조치를 취할 수 있게 하려는 것이다. 그러나 개인정보보호위원회에 따르면 듀오정보는 유출 사실을 확인하고도 법에 따른 신고를 하지 않았음은 물론, 현재까지도 해당정보가 유출된 사실을 정보주체에게 통지를 하지 않았다고 한다.
이러한 은폐 행위는 정보주체가 스스로를 보호할 최소한의 기회마저 박탈한 것이며, 정보주체의 내밀한 정보가 범죄나 악성 마케팅에 이용될 위험을 그대로 방치한 무책임함의 극치이다. 듀오정보가 고객을 단순한 ‘매출 수단’으로만 여기지 않았다면 결코 있을 수 없는 행태이다.
마지막으로, 듀오정보가 보유기간이 경과된 정회원 정보 298,556건에 대한 파기의무를 위반하였다는 점을 지적한다. 듀오정보는 회원탈퇴를 하여 일정 보유기간이 경과하면 파기를 해야하는 정보를 회원 데이터베이스 서버에 그대로 저장하여 이들 또한 유출 피해를 입도록 하였다. 이는 쿠팡 개인정보 유출사건에서도 마찬가지였다. 탈퇴한 회원의 개인정보 파기의무에 대하여 기업들이 얼마나 소홀히 여기고 있는지 다시금 확인할 수 있다.
듀오정보가 회원탈퇴를 한 고객의 민감하고 내밀한 정보를 파기하지 않고 보유하고 있었다는 점은, 과연 듀오정보가 이 정보를 당초 목적 외의 용도로 활용하려 했던 것은 아닌지 강한 의구심을 자아낸다. 탈퇴한 회원의 신뢰까지 저버린 듀오정보는 이 의문에 대해 명확히 답해야 할 것이며, 이번 사태에 대해 진심으로 사죄하고, 피해자들에 대한 실질적인 배상 책임을 이행해야 할 것이다.
우리 위원회는 반복되는 기업의 개인정보 유출 사고와 이에 대한 기업의 무책임한 태도에 참담함을 금할 수 없으며 또 다시 기업의 개인정보유출 사건에 대한 성명을 낼 수밖에 없는 상황에 마음이 무겁다. 그럼에도 우리 위원회는 앞으로도 국가와 기업이 개인정보 보호 수준을 실질적으로 향상시킬 수 있도록 철저히 감시할 것이며, 정보주체의 정당한 권리를 되찾기 위한 법적·사회적 투쟁을 멈추지 않을 것이다.
2026년 4월 24일
민주사회를위한변호사모임 디지털정보위원회
Views: 940