개인정보보호위원회
결 정
개인정보 유출 통지 제도의 해석 및 운용의 적정성에 대한 심의ㆍ의결
의결일: 2012년 11월 12일
요지
안건명 : 개인정보 유출 통지 제도의 해석 및 운용의 적정성에 대한 심의ㆍ의결
주문
1. 개인정보보호법 제34제 제1항에서 규정하고 있는 개인정보처리자의 개인정보 유출통지는 '유출된 개인정보의 항목(같은 항 제1호)’을 구체적으로 명시하여 개인정보주체에게 개별적으로 통지하였는지 여부, 개인정보의 유출로 인한 피해확산의 방지와 피해의 구제에 실질적인 도움이 될 수 있는 정도로 '유출된 시점과 그 경위(같은 항 제2호)’, '유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보(같은 항 제3호)’, '개인정보처리자의 대응조치 및 피해 구제 절차(같은 항 제4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(같은 항 제5호)’가 구체적으로 명확하게 통지되었는지 여부에 따라 그 적법성이 판단되어야 한다.
2. 행정안전부장관과 방송통신위원회 위원장은 아래 이유에서 적시된 사례를 포함하여 개인정보보호법이 시행 된 이후 발생한 개인정보 유출사고에 있어서 정보주체에 대한 유출통지가 위 1항 기준에 따라 적법하게 이루어졌는지 여부를 판단하여 개인정보 보호법 제75조 제2항 제8호에 따른 과태료 부과 등 필요한 조치를 취할 것을 권고한다.
2. 행정안전부장관과 방송통신위원회 위원장은 아래 이유에서 적시된 사례를 포함하여 개인정보보호법이 시행 된 이후 발생한 개인정보 유출사고에 있어서 정보주체에 대한 유출통지가 위 1항 기준에 따라 적법하게 이루어졌는지 여부를 판단하여 개인정보 보호법 제75조 제2항 제8호에 따른 과태료 부과 등 필요한 조치를 취할 것을 권고한다.
이유
1. 개인정보보호법에 의한 개인정보 유출통지제도의 도입 취지 및 내용
가. 도입 취지
최근 정보통신기술의 발달로 개인정보의 수집, 처리 등이 용이해지면서 개인이나 기업 또는 국가의 편익이 크게 증진되고 있지만, 개인정보의 유출로 인한 개인ㆍ기업ㆍ국가적 손실 또한 날로 막대해지고 있다. 개인정보의 유출로 인한 손실을 줄이기 위해서는 유출을 방지할 수 있는 제도적ㆍ기술적 조치도 중요하지만, 유출이 되었을 경우 개인정보주체의 피해를 최소화하고 피해구제에 도움이 되도록 유출된 개인정보항목과 기타 필요한 사항들이 지체 없이 개인정보주체에게 통지 되어야 한다. 그러나 개인정보처리자 입장에서는 정보유출로 인한 책임을 회피하거나 축소하기 위해 개인정보 유출사고가 발생하였음에도 유출사실을 숨기거나 정확한 정보를 제공하지 않으려는 유혹에 빠지기 쉽고, 실제 그러한 사례들이 발생하여 문제점으로 지적되어 왔다.
이에 2011. 3. 29. 제정된 개인정보호보호법은 개인정보처리자로 하여금 개인정보 유출 사실을 피해자들에게 통지하도록 의무화하는 개인정보 유출통지제도를 도입 하였고, 이는 2011. 9. 30부터 본격적으로 시행되고 있다. 개인정보 유출통지제도는 유출사실을 정보주체에게 신속하게 알려 2차적 피해를 방지하고 나아가 실질적인 피해의 구제를 위한 매우 효과적인 장치이자 후속 조치를 위한 최소한의 필수적인 장치라 할 수 있다.
나. 내용
개인정보보호법은 “개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 1. 유출된 개인정보의 항목, 2. 유출된 시점과 그 경위, 3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 4. 개인정보처리자의 대응조치 및 피해구제절차, 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처를 알려야 한다”고 규정하고 있다(제34조 제1항).
한편, 통지의 방법 등은 개인정보보호법 시행령(대통령령 제23169호, 2011. 9. 29. 제정)에 의하여 구체화되었는데, 이에 의하면 통지의 방법은 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법이어야 하고, 그 시기는 지체 없이 이루어져야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출된 개인정보의 삭제 등 긴급한조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있다. 그리고 1만 명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 개인정보보호법 제34조 제1항 각 호의 사항을 7일 이상 게재하여야 한다. 그리고 1만 명 이상의 개인정보가 유출된 경우에는 통지와 조치 결과를 지체 없이 행정안전부장관 또는 한국인터넷진흥원에 신고하여야 한다(제39조, 제40조).
개인정보보호법은 제34조 제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자와 제34조 제3항을 위반하여 조치 결과를 신고하지 아니한 자에 대하여 각각 3,000만 원 이하의 과태료를 부과하도록 규정하고 있다(제75조 제2항 제8호, 제9호).
한편, 개인정보보호법은 개인정보보호에 관하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '정보통신망법’), 「신용정보의 이용 및 보호에 관한 법」에서 정하는 바에 따르도록 규정(제6조)하고 있는데, 2012. 2. 17. 일부 개정된 정보통신망법 (법률 제11322호)은 개인정보보호법에 따라 정보통신서비스 제공자에 특화된 개인정보 유출통지 규정을 신설하였고 이는 2012. 8. 18.부터 시행되고 있다(부칙 제1조). 위 규정은 개인정보보호법의 개인정보유출통지와 통지시기, 통지항목, 통지방법 등이 실질적으로 동일하다.
2. 개인정보 유출통지제도의 운용실태
위와 같이 개인정보 유출통지제도가 본격적으로 도입되었으나 실제 개인정보 유출사고에 있어서 유출통지가 제대로 이루어지지 않아 제도의 도입취지를 살리지 못하고 있는 사례들이 확인되고 있다. 유출통지제도의 목적에 비추어 볼 때 통지대상항목을 임의로 누락시키거나 중요성 여부를 자의적으로 판단하여 통지대상항목을 축소하여서는 아니됨에도 불구하고, 해당 정보주체에게 개별적인 통지가 명확하게 이루어지지 않거나 유출된 개인정보의 항목 중 일부를 누락하는 사례가 발견되고 있으며, 나머지 통지 사항도 종종 일부를 누락하거나 형식적으로 이루어져 피해확산의 방지와 피해의 구제에 실질적인 도움이 되지 못하는 형식적인 조치에 그치고 있는바, 그 동안 확인된 몇 가지 사례를 정리하면 다음과 같다.
가. 주식회사 넥슨코리아의 사례
주식회사 넥슨코리아는 2011. 11. 18. 외부인의 해킹에 의해 1,322만 건의 메이플스토리 이용 회원의 개인정보가 유출된 것을 2011. 11. 24. 인지하고, 11. 26. 유출 사실을 통지한 바 있다.
그러나 유출된 개인정보가 '계정고유번호, 사용자계정, 단방향암호화 패스워드, 이름, 성별, 지역ID, 넥슨클럽ID, 등록일, 언블럭 날짜, 계정상태, PrivateStatusID, 인증여부, 구매경험, 암호화된 주민번호’이었음에도, 통지 시에는 '이름, 계정, 암호화된 비밀번호와 주민등록번호’라고만 적시하였고, 피해구제절차, 피해신고 접수 담당부서와 연락처를 포함시키지 않았다.
나. 한국교육방송공사의 사례
한국교육방송공사는 2012. 5. 14.과 5. 15. 외부 침입에 의하여 422만 명 회원들의 개인정보가 유출된 것을 자체 모니터링을 통해 확인하고, 유출피해를 입은 회원들에게 전자우편으로 통지를 하였다.
그러나 한국교육방송공사는 개인정보가 유출되었을 수도 있으니 홈페이지에 접속해서 유출여부를 확인하라는 취지로 통지하였을 뿐 해당 개인정보주체의 개인정보가 유출되었음을 분명하게 고지하지 않았다. 또한 유출된 개인정보의 항목이 이름, 주소, 자택전화번호, 회사전화번호, 핸드폰번호, 패스워드, 이메일, 생년월일임에도, 통지된 전자우편에는 유출된 항목이 이름, 아이디, 전화번호, 이메일, 주소, 비밀번호라고 하여, 생년월일 정보의 유출사실을 누락하고 어떤 전화번호가 유출된 것인지 명확하게 적시하지 아니하였다. 그리고 피해를 입었을 경우의 피해구제 절차는 어떻게 되는지와, 피해신고 접수 담당부서는 어디이고, 연락처는 어떻게 되는지도 누락되어 있고, 단지 한국교육방송공사의 대표 콜센터의 전화번호만이 고지되었다.
다. 에스케이텔레콤 주식회사(이하 SKT라고 한다)와 주식회사 케이티(이하 KT라고 한다)의 이동전화 가입고객들의 위치정보 유출사례
2012. 6. 21.자로 발표된 서울지방경찰청과 방송통신위원회의 수사발표와 보도자료에 의하면, SKT와 KT의 커뮤니티 서비스('친구 찾기’, '내가 찾는 연인팅’ 등)를 유지ㆍ 보수ㆍ개발하는 협력업체 대표 및 프로그래머들이 별도의 인증절차(ID, P/W, 검증키, 동의절차 등) 없이도 SKT와 KT의 이동전화 가입자들의 인적사항, 휴대폰 실시간 위치정보를 조회할 수 있는 프로그램을 개발하였는데, 이 불법조회 프로그램이 해킹되어 심부름센터 업자에게 판매되었고, 위 심부름센터 업자는 이를 이용하여 2011. 8.부터 같은해 11.까지 SK와 KT에 접속하여, 가입자 인적사항, 휴대폰 실시간 위치 정보 등 1,568명(33,000여건)을 불법적으로 조회하여 브로커와 심부름센터 업자들에게 판매한 것으로 되어있다.
SKT와 KT는 2012. 1. 압수수색 실시 이후 현재까지도 유출통지의 주체는 자신이 아니고 위 협력업체라는 이유로 유출통지를 않고 있는 것으로 보인다. 그러나 위 협력업체가 위치기반서비스사업자로서 위치정보사업자인 SKT와 KT로부터 위치정보를 제공받아 독립적으로 서비스를 제공하는 관계에 있다고 하더라도, 협력업체가 가입고객의 동의를 받아 SKT와 KT로부터 제공받은 위치정보를 유출한 것이 아니라 불법조회 프로그램을 해킹한 후 비정상 경로를 통해 SKT와 KT의 위치정보시스템에 접속하여 위 협력업체의 서비스와 전혀 관계가 없는 정보주체들의 위치정보를 유출한 것이라면 이는 협력업체가 아닌 SKT와 KT가 보관하고 있는 개인정보가 해킹에 의하여 유출된 것으로 봐야 할 것인데도 이에 대한 명시적인 확인과 조치가 이루어지지 않고 있다.
또한 위 협력업체의 경우 경찰의 서버 압수로 개인정보가 유출된 가입고객을 확인할 수 없다는 이유로 개별적인 통지 없이 2012. 7. 10.과 2012. 7. 19. 홈페이지를 통해 유출사실을 알리는 공고문만을 게시하였고, 게시한 공고문에는 유출된 개인정보의 주체와 유출된 개인정보의 항목을 포함하여 개인정보보호법에서 규정하고 있는 통지대상의 대부분을 누락하고 있어 사생활의 비밀 등을 침해당할 우려가 큰 위치정보를 유출당한 개인정보주체가 그들의 피해를 최소화하고 피해 구제를 받을 수 있는 기회를 박탈하였다는 추궁을 면하기 어렵다. 2012. 9. 14.과 2012.9.27.에 이르러서야 뒤늦게 수사기간으로부터 유출내역을 통지받아 개별통지 하였다고 하나 그 의무위반의 중대성에 비추어 볼 때 수사기관의 비협조를 들어 의무위반의 책임이 없다고 단정하기도 어렵다.
라. KT의 가입고객 정보 유출 사례
KT는 2012. 7. 13. 이동전화 가입고객 870만 명의 개인정보가 불법적으로 조회되어 텔레마케팅에 이용된 것을 적발하고 경찰에 수사를 의뢰하였고, 같은 해 7. 27. 경찰의 수사결과가 발표되자 이를 개인정보주체들에게 문자메시지나 전자우편으로 통지하였다.
그러나 전자우편으로 이루어진 통지에는 피해 구제절차를 기술하지 않았고, 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 정보 대신 단순히 고객센터의 대표전화만을 표기하였다. 문자메시지 역시 유출된 개인정보의 항목이 휴대폰번호, 고객명, 고객번호, 주민번호, 단말기모델명, 가입일, 기기변경일, 요금제, 기본요금, 월정액합계 등임에도 유출된 개인정보의 항목을 휴대폰번호, 이름 등이라고만 하고 구체적으로 적시하지 않았다. 유출된 시점과 그 경위도 정확하게 밝히지 않아서 얼마동안 유출된 것인지와 그 피해의 정도를 파악하기 어렵게 하였다. 그리고 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 피해 구제절차에 대한 정보도 기술하지 않았고, 피해 신고 등을 접수할 수 있는 담당부서 및 연락처 정보도 단순히 고객센터의 대표전화번호만을 표기하였다.
3. 관계 중앙행정기관장의 대응에 대한 평가
이와 같이 몇몇 사례에서는 유출통지가 적절하게 이루어지지 못하고 있음에도 불구하고, 관계 중앙행정기관의 장인 행정안전부 장관과 방송통신위원회위원장은 개인정보 유출통지의 올바른 이행을 위한 행정지도나, 과태료 부과와 같은 적극적인 조치를 취하지 않고 있다. 또한 SKT와 KT의 위치정보유출사건과 같은 경우에는 유출경위 및 경로에 대한 철저한 조사를 통해 유출통지주체가 누구인지 명확한 판단이 이루어졌어야 함에도 이를 소홀히 하였다는 비판의 여지가 크다.
특히 제도의 도입 초기 단계에서 제도의 정착을 위해서는 법에 규정된 통지 대상과 방법을 명확히 하고 보다 엄격한 심사를 통해 이에 상응하는 조치를 적극적으로 취해야 함에도, 다소 느슨해 보이는 법적용과 소극적인 대응을 하는 것은 「개인정보 보호법」에 의하여 도입된 개인정보 유출 통지제도의 정착을 도모해야 하는 주무부서의 임무를 방기하는 것이다.
거듭 강조하지만 개인정보 유출통지는 개인정보의 유출로 인한 피해확산의 방지와 피해의 구제에 실질적으로 도움을 주기 위한 것으로, 단순히 유출사실을 알리거나 막연하게 유출 가능성을 알리는 것만으로는 부족하고, 실제로 피해자들이 방어권을 행사할 수 있는 수준이 될 때 비로소 유출통지가 적법하게 이루어졌다고 할 수 있다. 그럼에도 상당수 개인정보처리자들은 개인정보의 유출의 통지를 정보주체들에 대한 서비스 차원이나 유출사실을 알리는 정도로 인식하고 있는 경향이 있어 정착기에 접어들어야 할 개인정보 유출통지제도가 시행 초기부터 개인정보처리자의 자의적 해석에 따라 적정하게 시행되지 못하거나 그 취지가 몰각될 위험성이 있는 바, 그만큼 관계 중앙행정기관의 장인 행정안전부 장관과 방송통신위원회 위원장의 적절한 대응이 요구된다 할 것이다.
4. 결론
본 위원회는 개인정보보호법의 개인정보 유출통지제도가 개인정보 유출시에 개인정보주체가 후속 피해를 예방하고, 효과적인 피해 구제를 받을 수 있게 해 주는 가장 기본적이자 필수적인 제도라는 점을 다시 한 번 환기시키고자 한다.
이를 위해 '개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항’(개인정보보호법 제8조 제1항 제2호) 내지 '개인정보 보호에 관한 법령의 해석ㆍ운용에 관한 사항’(같은 조 같은 항 제4호)에 관한 심의ㆍ의결권에 기하여, 개인정보보호법상 개인정보 유출통지규정의 해석을 명확히 하는 한편 개인정보 유출통지제도의 적정한 운영을 위하여 관계 중앙행정기관의 장인 행정안전부장관과 방송통신위원회 위원장에게 개인정보보호법에 규정된 적극적인 조치를 할 것을 권고하기로 하여 주문과 같이 의결한다.
가. 도입 취지
최근 정보통신기술의 발달로 개인정보의 수집, 처리 등이 용이해지면서 개인이나 기업 또는 국가의 편익이 크게 증진되고 있지만, 개인정보의 유출로 인한 개인ㆍ기업ㆍ국가적 손실 또한 날로 막대해지고 있다. 개인정보의 유출로 인한 손실을 줄이기 위해서는 유출을 방지할 수 있는 제도적ㆍ기술적 조치도 중요하지만, 유출이 되었을 경우 개인정보주체의 피해를 최소화하고 피해구제에 도움이 되도록 유출된 개인정보항목과 기타 필요한 사항들이 지체 없이 개인정보주체에게 통지 되어야 한다. 그러나 개인정보처리자 입장에서는 정보유출로 인한 책임을 회피하거나 축소하기 위해 개인정보 유출사고가 발생하였음에도 유출사실을 숨기거나 정확한 정보를 제공하지 않으려는 유혹에 빠지기 쉽고, 실제 그러한 사례들이 발생하여 문제점으로 지적되어 왔다.
이에 2011. 3. 29. 제정된 개인정보호보호법은 개인정보처리자로 하여금 개인정보 유출 사실을 피해자들에게 통지하도록 의무화하는 개인정보 유출통지제도를 도입 하였고, 이는 2011. 9. 30부터 본격적으로 시행되고 있다. 개인정보 유출통지제도는 유출사실을 정보주체에게 신속하게 알려 2차적 피해를 방지하고 나아가 실질적인 피해의 구제를 위한 매우 효과적인 장치이자 후속 조치를 위한 최소한의 필수적인 장치라 할 수 있다.
나. 내용
개인정보보호법은 “개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 1. 유출된 개인정보의 항목, 2. 유출된 시점과 그 경위, 3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 4. 개인정보처리자의 대응조치 및 피해구제절차, 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처를 알려야 한다”고 규정하고 있다(제34조 제1항).
한편, 통지의 방법 등은 개인정보보호법 시행령(대통령령 제23169호, 2011. 9. 29. 제정)에 의하여 구체화되었는데, 이에 의하면 통지의 방법은 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법이어야 하고, 그 시기는 지체 없이 이루어져야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출된 개인정보의 삭제 등 긴급한조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있다. 그리고 1만 명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 개인정보보호법 제34조 제1항 각 호의 사항을 7일 이상 게재하여야 한다. 그리고 1만 명 이상의 개인정보가 유출된 경우에는 통지와 조치 결과를 지체 없이 행정안전부장관 또는 한국인터넷진흥원에 신고하여야 한다(제39조, 제40조).
개인정보보호법은 제34조 제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자와 제34조 제3항을 위반하여 조치 결과를 신고하지 아니한 자에 대하여 각각 3,000만 원 이하의 과태료를 부과하도록 규정하고 있다(제75조 제2항 제8호, 제9호).
한편, 개인정보보호법은 개인정보보호에 관하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 '정보통신망법’), 「신용정보의 이용 및 보호에 관한 법」에서 정하는 바에 따르도록 규정(제6조)하고 있는데, 2012. 2. 17. 일부 개정된 정보통신망법 (법률 제11322호)은 개인정보보호법에 따라 정보통신서비스 제공자에 특화된 개인정보 유출통지 규정을 신설하였고 이는 2012. 8. 18.부터 시행되고 있다(부칙 제1조). 위 규정은 개인정보보호법의 개인정보유출통지와 통지시기, 통지항목, 통지방법 등이 실질적으로 동일하다.
2. 개인정보 유출통지제도의 운용실태
위와 같이 개인정보 유출통지제도가 본격적으로 도입되었으나 실제 개인정보 유출사고에 있어서 유출통지가 제대로 이루어지지 않아 제도의 도입취지를 살리지 못하고 있는 사례들이 확인되고 있다. 유출통지제도의 목적에 비추어 볼 때 통지대상항목을 임의로 누락시키거나 중요성 여부를 자의적으로 판단하여 통지대상항목을 축소하여서는 아니됨에도 불구하고, 해당 정보주체에게 개별적인 통지가 명확하게 이루어지지 않거나 유출된 개인정보의 항목 중 일부를 누락하는 사례가 발견되고 있으며, 나머지 통지 사항도 종종 일부를 누락하거나 형식적으로 이루어져 피해확산의 방지와 피해의 구제에 실질적인 도움이 되지 못하는 형식적인 조치에 그치고 있는바, 그 동안 확인된 몇 가지 사례를 정리하면 다음과 같다.
가. 주식회사 넥슨코리아의 사례
주식회사 넥슨코리아는 2011. 11. 18. 외부인의 해킹에 의해 1,322만 건의 메이플스토리 이용 회원의 개인정보가 유출된 것을 2011. 11. 24. 인지하고, 11. 26. 유출 사실을 통지한 바 있다.
그러나 유출된 개인정보가 '계정고유번호, 사용자계정, 단방향암호화 패스워드, 이름, 성별, 지역ID, 넥슨클럽ID, 등록일, 언블럭 날짜, 계정상태, PrivateStatusID, 인증여부, 구매경험, 암호화된 주민번호’이었음에도, 통지 시에는 '이름, 계정, 암호화된 비밀번호와 주민등록번호’라고만 적시하였고, 피해구제절차, 피해신고 접수 담당부서와 연락처를 포함시키지 않았다.
나. 한국교육방송공사의 사례
한국교육방송공사는 2012. 5. 14.과 5. 15. 외부 침입에 의하여 422만 명 회원들의 개인정보가 유출된 것을 자체 모니터링을 통해 확인하고, 유출피해를 입은 회원들에게 전자우편으로 통지를 하였다.
그러나 한국교육방송공사는 개인정보가 유출되었을 수도 있으니 홈페이지에 접속해서 유출여부를 확인하라는 취지로 통지하였을 뿐 해당 개인정보주체의 개인정보가 유출되었음을 분명하게 고지하지 않았다. 또한 유출된 개인정보의 항목이 이름, 주소, 자택전화번호, 회사전화번호, 핸드폰번호, 패스워드, 이메일, 생년월일임에도, 통지된 전자우편에는 유출된 항목이 이름, 아이디, 전화번호, 이메일, 주소, 비밀번호라고 하여, 생년월일 정보의 유출사실을 누락하고 어떤 전화번호가 유출된 것인지 명확하게 적시하지 아니하였다. 그리고 피해를 입었을 경우의 피해구제 절차는 어떻게 되는지와, 피해신고 접수 담당부서는 어디이고, 연락처는 어떻게 되는지도 누락되어 있고, 단지 한국교육방송공사의 대표 콜센터의 전화번호만이 고지되었다.
다. 에스케이텔레콤 주식회사(이하 SKT라고 한다)와 주식회사 케이티(이하 KT라고 한다)의 이동전화 가입고객들의 위치정보 유출사례
2012. 6. 21.자로 발표된 서울지방경찰청과 방송통신위원회의 수사발표와 보도자료에 의하면, SKT와 KT의 커뮤니티 서비스('친구 찾기’, '내가 찾는 연인팅’ 등)를 유지ㆍ 보수ㆍ개발하는 협력업체 대표 및 프로그래머들이 별도의 인증절차(ID, P/W, 검증키, 동의절차 등) 없이도 SKT와 KT의 이동전화 가입자들의 인적사항, 휴대폰 실시간 위치정보를 조회할 수 있는 프로그램을 개발하였는데, 이 불법조회 프로그램이 해킹되어 심부름센터 업자에게 판매되었고, 위 심부름센터 업자는 이를 이용하여 2011. 8.부터 같은해 11.까지 SK와 KT에 접속하여, 가입자 인적사항, 휴대폰 실시간 위치 정보 등 1,568명(33,000여건)을 불법적으로 조회하여 브로커와 심부름센터 업자들에게 판매한 것으로 되어있다.
SKT와 KT는 2012. 1. 압수수색 실시 이후 현재까지도 유출통지의 주체는 자신이 아니고 위 협력업체라는 이유로 유출통지를 않고 있는 것으로 보인다. 그러나 위 협력업체가 위치기반서비스사업자로서 위치정보사업자인 SKT와 KT로부터 위치정보를 제공받아 독립적으로 서비스를 제공하는 관계에 있다고 하더라도, 협력업체가 가입고객의 동의를 받아 SKT와 KT로부터 제공받은 위치정보를 유출한 것이 아니라 불법조회 프로그램을 해킹한 후 비정상 경로를 통해 SKT와 KT의 위치정보시스템에 접속하여 위 협력업체의 서비스와 전혀 관계가 없는 정보주체들의 위치정보를 유출한 것이라면 이는 협력업체가 아닌 SKT와 KT가 보관하고 있는 개인정보가 해킹에 의하여 유출된 것으로 봐야 할 것인데도 이에 대한 명시적인 확인과 조치가 이루어지지 않고 있다.
또한 위 협력업체의 경우 경찰의 서버 압수로 개인정보가 유출된 가입고객을 확인할 수 없다는 이유로 개별적인 통지 없이 2012. 7. 10.과 2012. 7. 19. 홈페이지를 통해 유출사실을 알리는 공고문만을 게시하였고, 게시한 공고문에는 유출된 개인정보의 주체와 유출된 개인정보의 항목을 포함하여 개인정보보호법에서 규정하고 있는 통지대상의 대부분을 누락하고 있어 사생활의 비밀 등을 침해당할 우려가 큰 위치정보를 유출당한 개인정보주체가 그들의 피해를 최소화하고 피해 구제를 받을 수 있는 기회를 박탈하였다는 추궁을 면하기 어렵다. 2012. 9. 14.과 2012.9.27.에 이르러서야 뒤늦게 수사기간으로부터 유출내역을 통지받아 개별통지 하였다고 하나 그 의무위반의 중대성에 비추어 볼 때 수사기관의 비협조를 들어 의무위반의 책임이 없다고 단정하기도 어렵다.
라. KT의 가입고객 정보 유출 사례
KT는 2012. 7. 13. 이동전화 가입고객 870만 명의 개인정보가 불법적으로 조회되어 텔레마케팅에 이용된 것을 적발하고 경찰에 수사를 의뢰하였고, 같은 해 7. 27. 경찰의 수사결과가 발표되자 이를 개인정보주체들에게 문자메시지나 전자우편으로 통지하였다.
그러나 전자우편으로 이루어진 통지에는 피해 구제절차를 기술하지 않았고, 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 정보 대신 단순히 고객센터의 대표전화만을 표기하였다. 문자메시지 역시 유출된 개인정보의 항목이 휴대폰번호, 고객명, 고객번호, 주민번호, 단말기모델명, 가입일, 기기변경일, 요금제, 기본요금, 월정액합계 등임에도 유출된 개인정보의 항목을 휴대폰번호, 이름 등이라고만 하고 구체적으로 적시하지 않았다. 유출된 시점과 그 경위도 정확하게 밝히지 않아서 얼마동안 유출된 것인지와 그 피해의 정도를 파악하기 어렵게 하였다. 그리고 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 피해 구제절차에 대한 정보도 기술하지 않았고, 피해 신고 등을 접수할 수 있는 담당부서 및 연락처 정보도 단순히 고객센터의 대표전화번호만을 표기하였다.
3. 관계 중앙행정기관장의 대응에 대한 평가
이와 같이 몇몇 사례에서는 유출통지가 적절하게 이루어지지 못하고 있음에도 불구하고, 관계 중앙행정기관의 장인 행정안전부 장관과 방송통신위원회위원장은 개인정보 유출통지의 올바른 이행을 위한 행정지도나, 과태료 부과와 같은 적극적인 조치를 취하지 않고 있다. 또한 SKT와 KT의 위치정보유출사건과 같은 경우에는 유출경위 및 경로에 대한 철저한 조사를 통해 유출통지주체가 누구인지 명확한 판단이 이루어졌어야 함에도 이를 소홀히 하였다는 비판의 여지가 크다.
특히 제도의 도입 초기 단계에서 제도의 정착을 위해서는 법에 규정된 통지 대상과 방법을 명확히 하고 보다 엄격한 심사를 통해 이에 상응하는 조치를 적극적으로 취해야 함에도, 다소 느슨해 보이는 법적용과 소극적인 대응을 하는 것은 「개인정보 보호법」에 의하여 도입된 개인정보 유출 통지제도의 정착을 도모해야 하는 주무부서의 임무를 방기하는 것이다.
거듭 강조하지만 개인정보 유출통지는 개인정보의 유출로 인한 피해확산의 방지와 피해의 구제에 실질적으로 도움을 주기 위한 것으로, 단순히 유출사실을 알리거나 막연하게 유출 가능성을 알리는 것만으로는 부족하고, 실제로 피해자들이 방어권을 행사할 수 있는 수준이 될 때 비로소 유출통지가 적법하게 이루어졌다고 할 수 있다. 그럼에도 상당수 개인정보처리자들은 개인정보의 유출의 통지를 정보주체들에 대한 서비스 차원이나 유출사실을 알리는 정도로 인식하고 있는 경향이 있어 정착기에 접어들어야 할 개인정보 유출통지제도가 시행 초기부터 개인정보처리자의 자의적 해석에 따라 적정하게 시행되지 못하거나 그 취지가 몰각될 위험성이 있는 바, 그만큼 관계 중앙행정기관의 장인 행정안전부 장관과 방송통신위원회 위원장의 적절한 대응이 요구된다 할 것이다.
4. 결론
본 위원회는 개인정보보호법의 개인정보 유출통지제도가 개인정보 유출시에 개인정보주체가 후속 피해를 예방하고, 효과적인 피해 구제를 받을 수 있게 해 주는 가장 기본적이자 필수적인 제도라는 점을 다시 한 번 환기시키고자 한다.
이를 위해 '개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항’(개인정보보호법 제8조 제1항 제2호) 내지 '개인정보 보호에 관한 법령의 해석ㆍ운용에 관한 사항’(같은 조 같은 항 제4호)에 관한 심의ㆍ의결권에 기하여, 개인정보보호법상 개인정보 유출통지규정의 해석을 명확히 하는 한편 개인정보 유출통지제도의 적정한 운영을 위하여 관계 중앙행정기관의 장인 행정안전부장관과 방송통신위원회 위원장에게 개인정보보호법에 규정된 적극적인 조치를 할 것을 권고하기로 하여 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).