개인정보보호위원회
심의ㆍ의결
제2022-107-016호
감사원의 타 기관 감사를 위한 대한항공 보유 개인정보제공에 관한 건
의결일: 2022년 4월 27일
요지
안건번호 : 제2022-107-016호
안건명 : 감사원의 타 기관 감사를 위한 대한항공 보유 개인정보제공에 관한 건
신청인 : ㈜대한항공 대표이사
의결연월일 : 2022. 4. 27.
안건명 : 감사원의 타 기관 감사를 위한 대한항공 보유 개인정보제공에 관한 건
신청인 : ㈜대한항공 대표이사
의결연월일 : 2022. 4. 27.
주문
대한항공은 감사원의 타 기관 감사를 위하여 「감사원법」 제50조 및 「감사원 감사사무 처리규칙」 제63조를 근거로 주민등록번호를 포함한 개인정보를 감사원에 제공할 수 있다.
이유
별지와 같다.
이상과 같은 이유로 주문과 같이 의결한다.
1.질의요지
가. 질의배경
○ 감사원은 감사업무 수행을 위해 「감사원법」 제50조에 따라 감사대상 기관이 아닌 대한항공에 탑승고객의 성명, 주민등록번호, 결재내역, 탑승정보 등 개인정보를 요구하는 경우가 있음
○ 이에 대한항공은 위 규정을 근거로 개인정보를 당초 수집목적 외의 용도로 감사원에 제공할 수 있는지를 질의함
나. 질의내용
○ 감사원이 「감사원법」 제50조를 근거로 주민등록번호를 포함한 개인정보를 요구하는 것이 「개인정보 보호법」(이하 '보호법’이라 함) 제18조 제2항 제2호 및 제24조의2 제1항 제1호에 해당하는지 여부
2. 이유
가. 「감사원법」 제50조가 보호법 제18조 제2항 제2호에 해당하는지 여부
○ 보호법 제18조 제2항 제2호는 다른 법률에 특별한 규정이 있는 경우 개인정보처리자는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고 개인정보를 목적 외의 용도로 제3자에게 제공할 수 있다고 규정하고 있음
- 여기서 '다른 법률에 특별한 규정이 있는 경우’란 법률에서 개인정보의 목적 외 제공을 구체적으로 허용하고 있는 경우를 말하고, 해당 법률에 목적 외 제공되는 개인정보 항목이 구체적으로 열거되어 있지 않더라도 당해 업무의 목적ㆍ성격 등을 고려하였을 때 목적 외 제공 대상에 개인정보가 포함될 것이 합리적으로 예견되는 경우를 포함함(개인정보보호위원회 2018. 7. 23. 제2018-14-133호 결정 참고)
○ 「감사원법」 제50조는 감사원은 필요한 경우에는 이 법에 따른 감사대상 기관 외의 자에 대하여 자료를 제출하거나 출석하여 답변할 것을 요구할 수 있고(제1항), 요구를 받은 자는 정당한 사유가 없으면 그 요구에 따라야 한다고(제3항) 규정하고 있음
○ 위 조항은 감사원이 요구할 수 있는 개인정보의 항목을 구체적으로 열거하고 있지는 않으나,
- 감사원의 회계검사나 직무감찰을 위해서는 예산집행자나 수령인의 정보, 감사대상기관 임직원의 직무 등 개인에 관한 내용이 감사대상이 될 수 있는 점,
- 우리위원회에서는 보호법 제18조 제2항 제2호의 다른 법률의 특별한 규정 사례의 하나로 「감사원법」 제27조에 따른 감사원의 자료요구를 들고 있어(개인정보보호 법령 및 지침ㆍ고시 해설, 121면 참조) 감사 요구자료에는 개인정보가 포함될 수 있음을 예상할 수 있는 점,
- 감사원이 정확한 감사를 수행하기 위해서는 명확한 사실관계 확인이 필수적인데, 이를 확인할 수 있는 자료를 감사대상 기관이 아닌 자가 보유한 경우 제3자에게도 자료제출 요구가 불가피한 점,
- 법제처에서도 「감사원법」에 따른 자료제공요청 규정은 감사목적 달성을 위해 필수적인 규정으로 업무협조 차원의 일반적인 자료제공 요청 규정과는 다른 특별한 규정으로 보아야 한다고 해석하였던 점(법제처 2019. 4. 18. 회신 18-0798 해석례 참조) 등을 미루어 볼 때,
- 「감사원법」 제50조는 보호법 제18조 제2항 제2호의 '다른 법률에 특별한 규정이 있는 경우’에 해당함
○ 다만, 보호법 제18조 제2항 본문에서 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때에는 개인정보의 목적 외 이용ㆍ제공을 제한하고 있고, 「감사원법」 제50조 제2항에서도 제1항의 요구는 감사에 필요한 최소한도에 그쳐야 한다고 규정하고 있으므로,
- 감사목적 달성을 위해 제공할 수 있는 개인정보의 구체적인 범위는 개별 사안마다 감사의 목적과 필요성, 해당 감사와 제출자료와의 직접적인 연관성, 정보주체나 제3자의 이익을 부당하게 침해하는지 여부 등을 종합적으로 고려하여 판단해야 할 것임
나. 「감사원법」 제50조가 보호법 제24조의2 제1항 제1호에 해당하는지 여부
○ 보호법 제24조의2 제1항 제1호는 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 개인정보처리자는 주민등록번호를 처리할 수 있다고 규정하고 있음
○ 감사원법」 제50조는 감사원의 자료요구에 따른 제3자의 제출의무에 관한 규정으로 주민등록번호의 처리에 대한 사항은 포함하고 있지 않으나, 같은 법 제52조에서 감사원의 감사사무 처리에 관한 규칙을 제정할 수 있도록 하고 있고,
- 이에 따라 제정된 「감사원 감사사무 처리규칙」 제63조는 감사원은 「감사원법」 제50조에 따른 사무를 수행하기 위하여 보호법 시행령 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호가 포함된 원본 자료 등을 제출받아 처리할 수 있다고 규정하고 있음
○ 따라서 「감사원 감사사무 처리규칙」 제63조는 보호법 제24조의2 제1항 제1호의 '법률 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우’에 해당함
이상과 같은 이유로 주문과 같이 의결한다.
1.질의요지
가. 질의배경
○ 감사원은 감사업무 수행을 위해 「감사원법」 제50조에 따라 감사대상 기관이 아닌 대한항공에 탑승고객의 성명, 주민등록번호, 결재내역, 탑승정보 등 개인정보를 요구하는 경우가 있음
○ 이에 대한항공은 위 규정을 근거로 개인정보를 당초 수집목적 외의 용도로 감사원에 제공할 수 있는지를 질의함
나. 질의내용
○ 감사원이 「감사원법」 제50조를 근거로 주민등록번호를 포함한 개인정보를 요구하는 것이 「개인정보 보호법」(이하 '보호법’이라 함) 제18조 제2항 제2호 및 제24조의2 제1항 제1호에 해당하는지 여부
2. 이유
가. 「감사원법」 제50조가 보호법 제18조 제2항 제2호에 해당하는지 여부
○ 보호법 제18조 제2항 제2호는 다른 법률에 특별한 규정이 있는 경우 개인정보처리자는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고 개인정보를 목적 외의 용도로 제3자에게 제공할 수 있다고 규정하고 있음
- 여기서 '다른 법률에 특별한 규정이 있는 경우’란 법률에서 개인정보의 목적 외 제공을 구체적으로 허용하고 있는 경우를 말하고, 해당 법률에 목적 외 제공되는 개인정보 항목이 구체적으로 열거되어 있지 않더라도 당해 업무의 목적ㆍ성격 등을 고려하였을 때 목적 외 제공 대상에 개인정보가 포함될 것이 합리적으로 예견되는 경우를 포함함(개인정보보호위원회 2018. 7. 23. 제2018-14-133호 결정 참고)
○ 「감사원법」 제50조는 감사원은 필요한 경우에는 이 법에 따른 감사대상 기관 외의 자에 대하여 자료를 제출하거나 출석하여 답변할 것을 요구할 수 있고(제1항), 요구를 받은 자는 정당한 사유가 없으면 그 요구에 따라야 한다고(제3항) 규정하고 있음
○ 위 조항은 감사원이 요구할 수 있는 개인정보의 항목을 구체적으로 열거하고 있지는 않으나,
- 감사원의 회계검사나 직무감찰을 위해서는 예산집행자나 수령인의 정보, 감사대상기관 임직원의 직무 등 개인에 관한 내용이 감사대상이 될 수 있는 점,
- 우리위원회에서는 보호법 제18조 제2항 제2호의 다른 법률의 특별한 규정 사례의 하나로 「감사원법」 제27조에 따른 감사원의 자료요구를 들고 있어(개인정보보호 법령 및 지침ㆍ고시 해설, 121면 참조) 감사 요구자료에는 개인정보가 포함될 수 있음을 예상할 수 있는 점,
- 감사원이 정확한 감사를 수행하기 위해서는 명확한 사실관계 확인이 필수적인데, 이를 확인할 수 있는 자료를 감사대상 기관이 아닌 자가 보유한 경우 제3자에게도 자료제출 요구가 불가피한 점,
- 법제처에서도 「감사원법」에 따른 자료제공요청 규정은 감사목적 달성을 위해 필수적인 규정으로 업무협조 차원의 일반적인 자료제공 요청 규정과는 다른 특별한 규정으로 보아야 한다고 해석하였던 점(법제처 2019. 4. 18. 회신 18-0798 해석례 참조) 등을 미루어 볼 때,
- 「감사원법」 제50조는 보호법 제18조 제2항 제2호의 '다른 법률에 특별한 규정이 있는 경우’에 해당함
○ 다만, 보호법 제18조 제2항 본문에서 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때에는 개인정보의 목적 외 이용ㆍ제공을 제한하고 있고, 「감사원법」 제50조 제2항에서도 제1항의 요구는 감사에 필요한 최소한도에 그쳐야 한다고 규정하고 있으므로,
- 감사목적 달성을 위해 제공할 수 있는 개인정보의 구체적인 범위는 개별 사안마다 감사의 목적과 필요성, 해당 감사와 제출자료와의 직접적인 연관성, 정보주체나 제3자의 이익을 부당하게 침해하는지 여부 등을 종합적으로 고려하여 판단해야 할 것임
나. 「감사원법」 제50조가 보호법 제24조의2 제1항 제1호에 해당하는지 여부
○ 보호법 제24조의2 제1항 제1호는 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 개인정보처리자는 주민등록번호를 처리할 수 있다고 규정하고 있음
○ 감사원법」 제50조는 감사원의 자료요구에 따른 제3자의 제출의무에 관한 규정으로 주민등록번호의 처리에 대한 사항은 포함하고 있지 않으나, 같은 법 제52조에서 감사원의 감사사무 처리에 관한 규칙을 제정할 수 있도록 하고 있고,
- 이에 따라 제정된 「감사원 감사사무 처리규칙」 제63조는 감사원은 「감사원법」 제50조에 따른 사무를 수행하기 위하여 보호법 시행령 제19조에 따른 주민등록번호, 여권번호, 운전면허의 면허번호 또는 외국인등록번호가 포함된 원본 자료 등을 제출받아 처리할 수 있다고 규정하고 있음
○ 따라서 「감사원 감사사무 처리규칙」 제63조는 보호법 제24조의2 제1항 제1호의 '법률 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우’에 해당함
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).