인천국제공항공사가 운영하는 인천공항 면세점 통합 플랫폼 'AIRSTAR DF'가 개인정보처리자 표기를 기존 메가존에서 인천국제공항공사로 정정했다.

공사는 개인정보 영향평가를 준비하는 과정에서 법률 검토를 다시 진행한 결과, 현재 운영 구조상 공사가 실질적인 개인정보처리자에 해당한다고 판단해 약관과 개인정보 처리 방침을 정비했다고 설명했다.

25일 인천국제공항공사에 따르면 AIRSTAR DF는 지난 20일부터 개인정보 처리 방침을 정정해 시행했으며, 이용약관은 지난 13일 변경 내용을 사전 공지하고 27일부터 변경 적용할 예정이다.

기존 약관과 개인정보 처리 방침에는 AIRSTAR DF의 운영사업자이자 개인정보처리자로 메가존이 표시돼 있었다. 이번 정정에서는 메가존을 개인정보처리자 표기에서 삭제하고 인천국제공항공사를 개인정보처리자로 명시했다. 기존 메가존의 개인정보 처리 방침 대신 공사의 개인정보 처리 방침도 적용한다.

다만 이번 조치는 개인정보 처리 업무를 메가존에서 공사로 새롭게 넘기는 것은 아니라는 게 공사 측 설명이다. 메가존은 AIRSTAR DF 플랫폼의 운영·유지관리 업무를 공사로부터 위탁받아 수행하는 사업자로, 기존에도 공사의 관리·감독 아래 개인정보 처리 업무를 수행해 왔다는 것이다.

공사 관계자는 "기존에는 메가존을 개인정보처리자로 보는 것이 적합하다고 판단해 그렇게 운영해 왔지만, 개인정보 관리를 강화하고 개인정보 영향평가를 준비하는 과정에서 다시 법률 검토를 진행했다"며 "현재 운영 구조에서는 공사가 실질적인 개인정보처리자로 보는 것이 맞다는 판단에 따라 약관과 개인정보 처리 방침을 현행화했다"고 설명했다.

메가존, 개인정보 접근 권한은 보유…'수탁자' 역할
이번 정정에서 주목되는 부분은 메가존이 실제 개인정보에 접근할 수 있는 권한을 보유하고 있었다는 점이다. 공사에 따르면 메가존은 플랫폼 운영·유지관리 과정에서 서버 관리 등을 담당하는 일부 직원에게 개인정보 접근 권한을 부여하고 있다.

다만 이는 위탁 업무 수행에 필요한 범위에서 부여된 권한으로, 메가존이 개인정보 처리의 목적과 수단을 결정하는 개인정보처리자라는 의미는 아니라는 게 공사 측 설명이다.

공사 관계자는 "운영사업자에게 개인정보 처리 권한이 있는 것은 맞다"라면서도 "위탁받은 업무를 수행하기 위해 필요한 최소한의 범위에서 개인정보를 조회하고 다룰 수 있는 권한"이라고 설명했다.

결과적으로 기존 약관에는 현재 법률 검토에서 수탁자로 판단된 메가존이 개인정보처리자로 표시돼 있었던 셈이다. 이번 법률 검토 결과는 지난 7월 공사에 접수된 것으로 전해졌다.

공사는 AIRSTAR DF가 지난해 4월 처음 출시된 이후 메가존을 개인정보처리자로 표시하게 된 구체적인 경위에 대해서 "당시 관련 법률 검토 결과에 따라 운영해 온 것"이라고 답했다. 법령이 개정돼 표기를 변경한 것은 아니며, 개인정보처리자의 법적 범위에 대한 재검토 과정에서 현재 운영 구조에 맞게 표기를 바로잡았다는 설명이다.


AIRSTAR DF는 인천공항 면세점 상품을 통합해 제공하는 플랫폼으로, 이용자의 상품 검색·구매 과정에서 개인정보가 처리된다. 특히 공공기관인 인천국제공항공사가 운영하는 면세 플랫폼의 개인정보 처리 주체와 민간 운영사업자의 역할을 명확히 하는 것은 이용자 입장에서도 중요한 부분이다.

이에 따라 업계에서는 개인정보 처리 주체와 위탁사업자의 역할이 실제 운영 구조와 약관에 일치하도록 지속적인 점검이 필요하다는 분석이 나온다. 특히 민간 운영사업자가 개인정보에 접근할 수 있는 경우 그 권한과 처리 범위를 명확히 관리하고 이용자에게 투명하게 안내하는 것이 중요하다는 지적이다.

youmj@news1.kr