제2022-009-057호

안건번호 : 제2022-009-057호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결연월일 : 2022. 5. 25

피심인에 대하여 다음과 같이 시정조치를 권고한다.
가. 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다.
나. 가.에 대한 시정권고에 따른 시정조치를 이행하고, 처분통지를 받은 날로부터 40일 이내에 개인정보보호위원회에 그 결과를 제출하여야 한다.

Ⅰ. 피심인의 일반 현황

피심인은 「지방자치법」에 따른 지방자치단체이자 「개인정보 보호법」(법률 제14839호, 이하 “보호법”이라 함) 제2조제5호에 따른 개인정보 처리자이며, 일반현황은 다음과 같다.
< 피심인 일반현황 >
<img src="/LSW/flDownload.do?flSeq=119018433" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

개인정보보호위원회(각주:2020. 8. 5. 시행된 개정 「개인정보 보호법」(법률 제16930호, 2020. 2. 4. 일부개정) 부칙 제3조에 따라 개인정보보호위원회가 행정안전부 소관사무 중 개인정보 보호에 해당하는 사무를 승계(제2항), 법 시행 전 행정안전부가 행한 고시ㆍ행정처분 중 그 소관이 행정안전부에서 개인정보보호위원회에게로 이관되는 사항에 관한 행위는 개인정보보호위원회가 행한 것으로 간주(제3항)) 는 피심인의 개인정보 유출사고 인지건과 관련하여 「개인정보 보호법」 위반 여부에 대한 사실조사 ( ) 결과, 다음과 같은 사실을 확인하였다.

1. 개인정보 유출 경위

가. 사고 경위 및 규모

피심인은 홈페이지 접속기록 관리 기능을 추가 개발한 후 접속기록 확인 페이지의 접근통제 설정을 하지 않아 접속기록 확인 페이지에서 개인정보취급자가 처리한 정보주체의 개인정보를 누구나 열람할 수 있는 유출사고가 발생하였다.

접속기록 리스트 중 동일인 중복 제거 결과 총 명의 개인정보가 유출되었으며, 유출항목은 성명, 아이디, 휴대전화번호, 이메일주소이다.

나. 사고인지 및 대응

ㅇ ('20.6.15.) 민원인이 인터넷진흥원에 유출 제보

* 유출 URL:


ㅇ ('20.6.19.) 인터넷진흥원에서 피심인에 유출사실 알림(11:00)

- 홈페이지 수탁사( )에서 확인 후 유출된 페이지 차단(13:00)

ㅇ ('20.6.23.) 정보주체에게 문자 및 이메일로 개인정보 유출사항 통지 및 구글에 유출된 접속이력 페이지 검색 제외조치

2. 개인정보보호 법규 위반 행위 사실

가. 개인정보에 대한 안전조치의무를 소홀히 한 행위

1) 피심인은 취급중인 개인정보가 개인정보처리스템에서 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 조치를 취하여야 하나 그러하지 않은 사실이 있다.

2) 피심인은 정보주체 및 개인정보취급자의 비밀번호를 저장시 일방향 암호화를 적용하여야 하나 양방향 알고리즘( )을 사용하여 암호화한 사실이 있다.

3) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 항목 누락 없이 1년 이상 보관ㆍ관리하여야 하나 일부 접속기록을 누락하여 보관ㆍ관리한 사실이 있다.

3. 처분의 사전통지 및 의견 수렴

개인정보보호위원회는 . '개인정보보호법 위반 기관에 대한 행정처분 등 사전통지’ 공문을 통하여 이 사건에 대한 피심인의 의견을 요청하였으며, 피심인은 위반 사실을 인정하고 위반사항에 대해 전부 시정을 완료하였다는 의견을 제출하였다.
Ⅲ. 위법성 판단

1. 안전성 확보에 필요한 조치를 소홀히 한 행위

가. 관련법 규정

보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”고 규정하고 있다.

같은 법 시행령 제30조제1항은 법 제29조에 따른 안전성 확보 조치로서 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치(제2호), 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화기술의 적용 또는 이에 상응하는 조치(제3호), 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치(제4호)를 하도록 규정하고 있으며,

시행령 제30조제3항에 따른 안전성 확보 조치의 세부기준인「개인정보의 안전성 확보조치 기준(행정안전부고시 제2019-47호)」에서 개인정보처리자의 안전성 확보 조치 내용을 다음과 같이 구체적으로 정하고 있다.

① 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망 이용 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 업무용 컴퓨터, 모바일 기기 및 관리용 단말기 등에 접근 통제 등에 관한 조치를 하여야 한다. (제6조 제3항)

② 개인정보처리자는 비밀번호 및 바이오정보는 암호화하여 저장하여야 한다. 다만 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다. (제7조 제2항)
③ 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 5만 명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관ㆍ관리하여야 한다. (제8조제1항)

나. 위법성 판단

피심인이 ① 취급중인 개인정보가 개인정보처리시스템에서 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 조치를 하지 않은 사실(고시 제6호 제3항), ② 비밀번호 저장 시 일방향 암호화를 적용하지 않은 사실(고시 제7조제2항), ③ 개인정보취급자의 접속기록을 일부 누락한 사실(고시 제8조제1항)은 「개인정보 보호법」 제29조를 위반한 것이다.

Ⅳ. 처분 및 결정

1. 시정조치 권고

가. 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다.

나. 가.에 대한 시정권고에 따른 시정조치를 이행하고, 처분통지를 받은 날로부터 40일 이내에 개인정보보호위원회에 그 결과를 제출하여야 한다.

Ⅴ. 결론

피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조(시정조치 등) 제4항에 따라 주문과 같이 의결한다.

피심인은 이 시정조치권고에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 개인정보보호위원회에 행정심판청구 또는 관할법원에 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.