2014 의결 제18호(2014. 8. 25.)

안건번호 : 2014 의결 제18호(2014. 8. 25.)
안건명 : 개인정보 접속기록 보관ㆍ관리 개선의 건

안전행정부장관은 개인정보처리자가 보관ㆍ관리하는 접속기록에 개인정보취급자 등이 접속한 정보주체를 식별할 수 있는 정보가 명확히 포함되도록 「개인정보의 안전성 확보조치 기준」을 개정할 필요가 있다.

1. 개인정보 접속기록 관련 규정

「개인정보 보호법」 제29조와 동 법 시행령 제30조제1항제4호 전단에서는 개인정보처리자의 안전성 확보 조치 중의 하나로서 “개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관”을 규정하고 있으며, 동 시행령 제30조제3항은 그 세부 기준을 안전행정부장관이 정하여 고시하도록 하고 있다. 이에 따라 마련된 「개인정보의 안전성 확보조치 기준」(안전행정부 고시 제2011-43호)의 제2조제13호에서는 “접속기록”에 대하여 '개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무내역에 대하여 식별자, 접속일시, 접속지를 알 수 있는 정보, 수행업무 등 접속한 사실을 전자적으로 기록한 것’이라고 정의하고 있다.

2. 판단

「개인정보 보호법」 제29조와 동 법 시행령 제30조제1항제4호에서 접속기록을 보관ㆍ 관리 하는 목적을 “개인정보 침해사고 발생에 대응”이라고 하고 있는 점에 비추어 볼 때, 접속기록의 내용에는 언제, 누가, 누구의 개인정보를, 어떻게 하였는지가 포함되어야 할 것이다. 그러나 위 「개인정보의 안전성 확보조치 기준」 제2조제13호의 접속기록에 대한 정의에서는 기록하여야 하는 대상으로서 정보주체를 식별할 수 있는 정보(이하 “정보주체 식별정보”)를 명시적으로 규정하고 있지 않다. 이로 인해 개인정보처리자는 개인정보 접속기록에 개인정보취급자 등이 접속한 정보주체 식별정보를 포함시키지 않아도 무방하다고 해석할 소지가 있다.

실제로 개인정보보호위원회가 2014년 3월 공공기관의 개인정보처리시스템 중 개인정보를 1천만 건 이상 대량으로 처리하고 있는 42개 개인정보처리시스템에 대하여 개인정보 접속기록 보관ㆍ관리 실태를 확인한 결과, 36개 개인정보처리시스템은 개인정보취급자 등 접속한 자에 대한 정보(ID, 접속일시 등)와 이들이 접속한 정보주체 식별정보(고객명, 관리번호 등), 업무내용(조회, 열람, 출력 등) 등 수행업무 정보를 보관ㆍ관리하고 있었으나, 6개의 개인정보처리시스템은 개인정보취급자 등이 접속한 정보주체 식별정보를 보관ㆍ관리하고 있지 않았다.

최근 공공기관에서 개인정보를 무단 열람하거나 제공하는 사례가 빈번한 점을 고려할 때 개인정보에 대한 접속기록을 상세하게 남기고 관리하도록 함으로써 개인정보 침해 사고 시 책임성을 확보할 뿐만 아니라 개인정보처리자의 오남용을 예방하여야 할 것이다. 따라서, 개인정보에 대한 안전관리를 실질적으로 강화하기 위해서 「개인정보의 안전성 확보조치 기준」 제2조제13호의 “접속기록”에 개인정보취급자 등이 접속한 정보주체 식별 정보가 명확히 포함되도록 개정할 필요가 있다고 판단된다.

이상과 같은 이유로 주문과 같이 의결한다.