개인정보보호위원회
심의ㆍ의결
제2022-011-066호 (사건번호 : 2022조총0001)
개인정보보호 법규 위반행위에 대한 시정조치 및 개인정보 처리실태 개선권고에 관한 건
요지
안건번호 : 제2022-011-066호 (사건번호 : 2022조총0001)
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개인정보 처리실태 개선권고에 관한 건
신청인 : 1 수원시청피 심 인 2
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개인정보 처리실태 개선권고에 관한 건
신청인 : 1 수원시청피 심 인 2
주문
1. 피심인 1 수원시청에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 3,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인 1에 대하여 다음과 같이 시정조치를 권고한다.
가. 수원시청은 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 자동차관리정보시스템상 개인정보를 법상 정의된 목적 외로 이용하지 않도록 할 것
나. 건설기계관리정보시스템에서 건설면허발급업무를 수행하는 자에게 발급업무 이상의 권한을 부여하지 않는 등 개인정보처리시스템을 통한 업무 수행시 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 접근권한을 부여하고, 인사발령으로 개인정보취급자가 변경되었을 경우 지체없이 접근권한을 변경하도록 할 것
다. 개인정보취급자가 이용하는 개인정보처리시스템의 접속기록을 점검할 수 있는 체계를 마련하고 접속기록을 월1회 점검할 것
라. 개인정보취급자가 개인정보 관련 교육을 이수하고, 접근권한을 소관 업무 외의 용도로 불법적으로 사용하지 않도록 하는 등 적절한 관리ㆍ감독을 수행할 것
마. 피심인 1은 위 가,나,다,라의 시정조치를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
3. 피심인 1의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
4. 피심인 1에 대하여 「개인정보 보호법」 제65조제2항에 따라 동건 위반행위에 대하여 책임이 있는 자(대표자 및 책임있는 임원을 포함한다)에 대하여 징계할 것을 권고한다. 피심인은 징계권고에 대한 검토 결과를 통지를 받은 날로부터 60일 이내에 개인정보 보호위원회에 통보하여야 한다. 다만 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경우에는 그 사유를 개인정보 보호위원회로 통보하여야 한다.
5. 피심인 2 에 대하여 다음과 같이 개선을 권고한다.
가. 목적 외 이용 제한
1) 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 운영 중인 자동차관리정보시스템상 개인정보를 이용기관이 법상 정의된 목적 외로 이용하지 않도록 점검할 것. 이와 관련하여 지자체에서 불법노점단속 업무시 자동차관리정보시스템을 이용하는 현황을 파악하고 개선대책을 마련할 것
나. 접근권한 최소 부여
1) 자동차관리정보시스템 및 건설기계관리정보시스템에 대한 접근권한 관리체계를 점검하여 지자체 등 이용기관의 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 할 것
2) 자동차관리정보시스템 및 건설기계관리정보시스템에서 개인정보 조회시 전 국민의 개인정보가 아닌 자동차등록, 면허발급 등 해당 업무 대상자에 한해서만 개인정보 조회가 가능하도록 개선할 것
다. 접속기록 조회 기능 구현
1) 이용기관이 소속 개인정보취급자의 접속기록을 쉽게 점검할 수 있도록 이용기관의 접근권한 관리자 화면에서 소속 개인정보취급자의 접속기록을 조회할 수 있는 기능을 조속히 구현할 것
라. 피심인 2는 위 가,나,다의 개선권고를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
가. 과 태 료 : 3,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인 1에 대하여 다음과 같이 시정조치를 권고한다.
가. 수원시청은 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 자동차관리정보시스템상 개인정보를 법상 정의된 목적 외로 이용하지 않도록 할 것
나. 건설기계관리정보시스템에서 건설면허발급업무를 수행하는 자에게 발급업무 이상의 권한을 부여하지 않는 등 개인정보처리시스템을 통한 업무 수행시 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 접근권한을 부여하고, 인사발령으로 개인정보취급자가 변경되었을 경우 지체없이 접근권한을 변경하도록 할 것
다. 개인정보취급자가 이용하는 개인정보처리시스템의 접속기록을 점검할 수 있는 체계를 마련하고 접속기록을 월1회 점검할 것
라. 개인정보취급자가 개인정보 관련 교육을 이수하고, 접근권한을 소관 업무 외의 용도로 불법적으로 사용하지 않도록 하는 등 적절한 관리ㆍ감독을 수행할 것
마. 피심인 1은 위 가,나,다,라의 시정조치를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
3. 피심인 1의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
4. 피심인 1에 대하여 「개인정보 보호법」 제65조제2항에 따라 동건 위반행위에 대하여 책임이 있는 자(대표자 및 책임있는 임원을 포함한다)에 대하여 징계할 것을 권고한다. 피심인은 징계권고에 대한 검토 결과를 통지를 받은 날로부터 60일 이내에 개인정보 보호위원회에 통보하여야 한다. 다만 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경우에는 그 사유를 개인정보 보호위원회로 통보하여야 한다.
5. 피심인 2 에 대하여 다음과 같이 개선을 권고한다.
가. 목적 외 이용 제한
1) 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 운영 중인 자동차관리정보시스템상 개인정보를 이용기관이 법상 정의된 목적 외로 이용하지 않도록 점검할 것. 이와 관련하여 지자체에서 불법노점단속 업무시 자동차관리정보시스템을 이용하는 현황을 파악하고 개선대책을 마련할 것
나. 접근권한 최소 부여
1) 자동차관리정보시스템 및 건설기계관리정보시스템에 대한 접근권한 관리체계를 점검하여 지자체 등 이용기관의 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 할 것
2) 자동차관리정보시스템 및 건설기계관리정보시스템에서 개인정보 조회시 전 국민의 개인정보가 아닌 자동차등록, 면허발급 등 해당 업무 대상자에 한해서만 개인정보 조회가 가능하도록 개선할 것
다. 접속기록 조회 기능 구현
1) 이용기관이 소속 개인정보취급자의 접속기록을 쉽게 점검할 수 있도록 이용기관의 접근권한 관리자 화면에서 소속 개인정보취급자의 접속기록을 조회할 수 있는 기능을 조속히 구현할 것
라. 피심인 2는 위 가,나,다의 개선권고를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
이유
Ⅰ. 피심인의 일반 현황
피심인 1 수원시청(이하 수원시)은 「지방자치법」 제2조에 따른 지방자치단체로 자치사무(각주:자치사무 근거: 자동차관리법 제8조(등록) 제11조(변경), 제13조(말소), 건설기계관리법 제3조(등록), 5조(변경), 6조(말소) 등) 인 자동차 등록, 건설면허 발급 업무를 목적으로 자동차관리정보시스템(이하 자동차시스템) 및 건설기계관리정보시스템(이하 건설기계시스템)에서 개인정보를 조회ㆍ수집 등을 하여 자신의 개인정보파일을 생성ㆍ관리하는 「개인정보 보호법」(이하 '보호법’) 제2조 제5호에 따른 개인정보처리자이다.
<img src="/LSW/flDownload.do?flSeq=119536841" alt="1번째 이미지"></img>
피심인 2 (이하 )는중앙행정기관으로 직제, 관련 법등에 따라 자동차시스템 및 건설기계시스템의 총괄적 운영ㆍ관리를 하며 개인정보파일을 관리하는 보호법 제2조 제5호에 따른 개인정보처리자이다.
<img src="/LSW/flDownload.do?flSeq=119536843" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
개인정보보호위원회는 개인정보보호 포털에 유출신고가 접수된 건과 관련하여 현장조사 및 이와 관련된 제출자료를 토대로 조사한 결과( ), 다음과 같은 사실을 확인하였다.
1. 개인정보 유출 경위
가. 유출 관련 개인정보처리시스템 현황금번 유출사고가 발생한 시스템은 자동차시스템과 건설기계시스템이며, 자동차시스템은 자동차 등록, 검사, 차대번호 관리 등 자동차 관련 업무를 처리(각주:관련 근거: 자동차관리법 69조 및 동법 시행규칙 제150조) (각주:는 시스템 총괄 및 자동차 검사, 차대번호 관리 등 국가사무를 수행하며, 수원시는 자동차 등록, 튜닝 등 법에 따른 지자체 자치사무 수행) 하기 위해 운영되고 있으며, 건설기계시스템에서는 건설기계 등록, 변경, 말소, 건설기계조종사면허의 발급 등의 업무를 처리(각주:관련 근거: 건설기계관리법 39조의2 및 동법 시행규칙 제95조①) (각주:는 시스템 총괄 및 건설기계 검사 등 국가사무를 수행하며, 수원시는 건설기계 등록, 면허발급 등 법에 따른 지자체 자치사무 수행) 한다.
【개인정보처리시스템 현황】
<img src="/LSW/flDownload.do?flSeq=119536845" alt="3번째 이미지"></img>
자동차시스템, 건설기계시스템 모두 국토부가 전국적인 공통 업무를 위해 단일시스템을 운영하고, 지자체 등 다수의 기관이 이를 사용하여 업무를 수행한다.
는 자동차시스템과 건설기계시스템의 실질적인 구축ㆍ운영 업무를 에 위탁(각주:관련근거: 자동차관리법시행령 제19조⑨, 건설기계관리법시행령 제18조의3②) 하고 있으며, 은 관련 용역계약및 개인정보처리 위탁계약(각주:보호법 제26조(위ㆍ수탁)에 근거한 표준 개인정보처리 위탁 계약) 에 따라 지자체 개인정보취급자 계정 관리 업무 등 의 개인정보 처리 수탁자로서 개인정보 처리 업무를 수행하고 있다.
로부터 업무를 위탁받은 은 지자체 등 시스템 이용기관에 관리권한을 부여하며, 이용기관은 소속 업무담당자에게 직접 접근권한을 부여(각주:관련근거: 자동차관리전산정보처리조직의 운영에 관한 규정 제18조) 한다. 이 사건 권선구 공무원의 접근권한은 자동차시스템의 경우 수원시 자동차등록과에서 직접 부여하였으며, 건설기계시스템의 경우 수원시 자동차등록과에서 권선구 건설과에 접근부여권한을 부여한 후 권선구 건설과에서 담당자에게 부여(각주:부여방식 : → 17개 시도 접근권한 관리자(예: 경기도) → 관련 시군 구 접근권한 관리자(예: 수원시 자동차관리과) → 업무담당자(예: 권선구 공무원)) 하였다.
자동차시스템 및 건설기계시스템은 업무성격별로 대메뉴, 중메뉴, 소메뉴로 구분되며 최소 권한 부여 단위는 소메뉴 단위이다. 두 시스템 모두 주민등록시스템과 연계되어있어, 자동차시스템의 자동차관리 업무대상이 아니고, 건설기계시스템의 조종사면허 발급대상이 아니어도 성명과 주민등록번호 조합으로 모든 국민의 개인정보의 조회가 가능하다.
자동차시스템에서 이 사건 공무원은 소메뉴 18개(대메뉴 1개, 중메뉴 2개)의 접근권한을 부여받았으며, 해당 항목에서 성명ㆍ주소ㆍ전화번호ㆍ차대번호ㆍ저당건수 등에 접근가능하였고, 건설기계시스템에서 이 사건 공무원은 소메뉴 28개(대메뉴 1개, 중메뉴 6개) 항목의 접근권한을 부여받았으며 해당 항목에서 성명ㆍ주소ㆍ전화번호ㆍ면허번호 등에 접근가능하였다.
지자체 공무원은 각 시스템에서 부여된 접근권한 내에서 정보를 조회한 후 관련 정보를 직접 생성ㆍ수정ㆍ폐기(각주:관련근거: 자동차관리법 제8조(등록) 제11조(변경), 제13조(말소), 건설기계관리법 제3조(등록), 5조(변경), 6조(말소) 등) 할 수 있다.
나. 유출 경위 및 규모
수원시 권선구 건설과 공무원 박○○은 업무수행을 위해 부여된 권한을 이용하여 흥신소에 2년여간 1,101건의 개인정보를 유출하였다.첫째로, 이 사건 공무원은 불법노점단속 업무 수행을 목적으로 자동차시스템을 이용하였다. 차량등록번호(15노****)를 조회하여 차량 소유주의 개인정보를 검색하여 유출하였으며, 해당 시스템은 주민등록시스템과 연계되어있어 차량을 소유하지 않은 사람도 성명과 주민등록번호 조합으로 조회하여 개인정보 열람(각주:자동차시스템 조회가능항목 : 차량등록번호, 주소(세대주정보 등 포함), 주민번호, 전화번호, 차량 정보 등) 이 가능하였다.
둘째, 이 사건 공무원은 건설면허 발급 업무 수행을 목적으로 건설기계시스템을 이용하였다. 건설기계시스템에 접속하여 이름과 주민등록번호를 조회하여 주소 등을 유출하였으며, 주민등록시스템과 연계되어 있어 건설기계조종사가 아닌 사람도 성명과 주민등록번호 조합으로 개인정보 조회(각주:건설기계시스템 조회가능항목 : 성명, 주소(세대주, 세대주 주민번호 등 포함), 주민번호, 전화번호, 건설기계정보 등) 가 가능하였다.
2. 개인정보보호 법규 관련 행위 사실
가. 개인정보를 수집 목적 외로 이용한 사실
자동차시스템의 경우 자동차관리법에 규정된 업무*를 처리하는데 이용할 수 있고(자동차관리법 제69조제1항), 법에 규정된 업무목적 외로 시스템을 이용하기 위해서는 국토부장관의 별도 승인을 받아야 하나(동법 제69조제2항), 수원시가 수행하는 불법노점단속 업무의 경우 자동차관리법에서 허용한 시스템 이용범위에 속하지 않으며, 국토부장관의 별도 승인을 받지도 않은 사실이 있다.
나. 개인정보에 대한 안전조치의무를 소홀히 한 행위
1) 피심인 1은 건설기계면허 발급업무를 수행하는 이 사건 공무원에게, 건설기계면허 발급 업무를 위한 접근권한 부여시 필요한 최소한의 접근권한은 조종사면허등록(중메뉴)이나, 조종사면허등록 외에도 조종사교육관리, 면허적성검사 등 6개의 중메뉴가 포함된 면허관리(대메뉴) 접근권한 전체를 부여한 사실이 있다.
2) 피심인 1은 건설기계시스템의 개인정보취급자 명 중 명이 인사발령 등으로 최소 1년 이상 관련 업무를 수행하지 않았음에도 접근권한을 변경ㆍ말소하지 않은 사실이 있다.
3) 피심인 1은 기준, 최근 3년간 자동차시스템 및 건설기계시스템의 개인정보취급자에 대한 접속기록을 점검하지 않은 사실이 있다.
이와 관련하여 시스템에 개인정보취급자의 접속기록 조회 기능이 구현되어 있지 않아 점검을 위해서는 한국교통안전공단에서 접속기록을 제공받아 수동 점검할 수 밖에 없었던 사정은 있으나, 한국교통안전공단에 따르면 이용기관이 소속 개인정보취급자의 접속기록을 요청하는 경우 접속기록을 제공하고 있으므로, 접속기록 점검에 사실상의 장애가 있다고 볼 수 없다.
다. 개인정보 관리ㆍ감독을 소홀히 한 행위
피심인 1은 이 사건 공무원 박○○가 ’20년 개인정보보호 교육을 이수하도록 관리하지 않은 점, 공무원 박○○의 개인정보 처리 범위를 업무상 필요한 한도에서 최소한으로 제한하지 않은 점, 공무원 박○○에게 부여된 사용자권한을 소관업무 외의 용도로 사용하지 않도록 점검하지 않은 점, 개인정보 유출 예방을 위한 접속기록을 점검하지 않은 점 등 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 사실이 있다.
3. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 '개인정보보호법 위반 기관에 대한 행정처분 등 사전통지’ 공문을 통하여 이 사건에 대한 피심인의 의견을 요청하였으며, 피심인은 위반 사실을 인정하고 안전성 확보조치 기준 위반사항에 대해 전부 시정을 완료하였다는 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 목적 외 이용
가. 관련법 규정
보호법 제18조 제1항은 “개인정보처리자는 개인정보를 제15조제1항 및 제39조의3제1항 및 제2항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.”고 규정하고 있다.
나. 위법성 판단
피심인 1이 자동차관리법령상 부여된 자동차 시스템의 접근권한을 국토부장관의 별도 승인을 받지 않고 당초 법에 규정된 업무 목적 외로 불법노점단속 업무에 활용한 행위는 보호법 제18조 제1항을 위반한 것이다.
2. 안전성 확보에 필요한 조치를 소홀히 한 행위
가. 관련법 규정
보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”고 규정하고 있다.
같은 법 시행령 제30조제1항은 법 제29조에 따른 안전성 확보 조치로서, 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치(제2호), 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치(제4호)를 하도록 규정하고 있으며,
시행령 제30조제3항에 따른 안전성 확보 조치의 세부기준인「개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2021-2호)」에서 개인정보처리자의 안전성 확보 조치 내용을 다음과 같이 구체적으로 정하고 있다.
① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다. (제5조제1항)
② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다. (제5조제2항)
③ 개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다. (제8조제2항)
나. 위법성 판단
피심인 1이 건설기계시스템에서 접근권한 부여 시 업무 수행에 필요한 최소한의 범위로 부여하지 않은 사실(고시 제5조제1항), 인사발령 등으로 최소 1년 이상 관련 업무를 수행하지 않은 자의 접근권한을 변경ㆍ말소하지 않은 사실(고시 제5조제2항), 개인정보처리시스템의 접속기록을 점검하지 않은 사실(고시 제8조제2항)은 「개인정보 보호법」 제29조를 위반한 것이다.
3. 개인정보취급자 관리ㆍ감독을 소홀히 한 행위
가. 관련법 규정
보호법 제28조 제1항은 “개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자에 대하여 적절한 관리ㆍ감독을 행하여야 한다.”고 규정하고 있다.
나. 위법성 판단
피심인 1이 이 사건 공무원 박○○가 ’20년 개인정보보호 교육을 이수하도록 관리하지 않은 점, 공무원 박○○의 개인정보 처리 범위를 업무상 필요한 한도에서 최소한으로 제한하지 않은 점, 공무원 박○○에게 부여된 사용자권한을 소관업무 외의 용도로 사용하지 않도록 점검하지 않은 점, 개인정보 유출 예방을 위한 접속기록을 점검하지 않은 점 등 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 것은 보호법 제28조 제1항을 위반한 것이다.
Ⅳ. 처분 및 결정
1. 과태료 부과
피심인 1의 보호법 제29조(안전조치의무) 위반행위에 따라 같은법 제75조제2항제6호 및 같은 법 시행령 제63조의 [별표2] 「과태료 부과기준」에 따라 360만원의 과태료를 부과한다.
가. 기준금액 산정
최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 1회 위반에 해당하는 금액 총 600만원을 적용한다.
< [별표 2] 과태료의 부과기준 >
<img src="/LSW/flDownload.do?flSeq=119536847" alt="4번째 이미지"></img>
나. 과태료의 가중
「과태료의 부과기준」 제7조 [별표1] 가중기준에 따라 기준금액의 10%인 60만 원을 가중한다.
다. 과태료의 감경
「과태료의 부과기준」 제7조 [별표1] 감경기준에 따라 기준금액의 50%인 300만 원을 감경한다.
※ 「과태료 감경률 적용 보고」('21.11.24. 위원회 보고)에 따라 감경률 상한 범위인 50%를 적용함
※ 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되 기준금액의 100분의 50을 초과할 수 없음
라. 최종 과태료
피심인 1의 개인정보 보호법 위반 사항에 대하여 총 360만원의 과태료를 부과한다.
< 최종 과태료 산출내역(안) >
<img src="/LSW/flDownload.do?flSeq=119536849" alt="5번째 이미지"></img>
☞ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부 하는 경우, 100분의 20을 감경함(질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)
2. 시정조치 권고
보호법 제64조제4항에 따라 피심인 1의 보호법 위반행위에 대해 다음과 같이 시정조치를 권고한다.
가. 수원시청은 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 자동차관리정보시스템상 개인정보를 법상 정의된 목적 외로 이용하지 않도록 할 것
나. 건설기계관리정보시스템에서 건설면허발급업무를 수행하는 자에게 발급업무 이상의 권한을 부여하지 않는 등 개인정보처리시스템을 통한 업무 수행시 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 접근권한을 부여하고, 인사발령으로 개인정보취급자가 변경되었을 경우 지체없이 접근권한을 변경하도록 할 것
다. 개인정보취급자가 이용하는 개인정보처리시스템의 접속기록을 점검할 수 있는 체계를 마련하고 접속기록을 월1회 점검할 것
라. 개인정보취급자가 개인정보 관련 교육을 이수하고, 접근권한을 소관 업무 외의 용도로 불법적으로 사용하지 않도록 하는 등 적절한 관리ㆍ감독을 수행할 것
마. 피심인 1은 가,나,다,라의 시정조치를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
3. 공표
「개인정보 보호위원회 처분결과의 공표기준」 제2조제8호(각주:「개인정보 보호위원회 처분결과의 공표기준」 제2조제8호 : 개인정보 유출 및 침해사고로 재산상 손실 등 2차적인 피해가 발생하였거나 불법적 매매를 한 경우) 에 따라, 수원시 공무원 박○○ 및 흥신소 업자가 개인정보의 불법적 매매를 하였고 이로 인해 인명 피해 등 2차적인 피해가 발생하였으므로, 피심인 1의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
4. 징계권고
피심인 1에 대하여 「개인정보 보호법」 제65조제2항에 따라 동건 위반행위에 대하여 책임이 있는 자(대표자 및 책임있는 임원을 포함한다)에 대하여 징계할 것을 권고한다. 피심인은 징계권고에 대한 검토 결과를 통지를 받은 날로부터 30일 이내에 개인정보 보호위원회에 통보하여야 한다. 다만 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경우에는 그 사유를 개인정보 보호위원회로 통보하여야 한다.
5. 개선권고
금번 유출사건은 수원시의 자치사무(불법노점단속, 건설기계면허발급)를 수행하는 과정에서 발생한 사건이므로 가 유출 관련 직접적인 위반 당사자는 아니지만, 피심인 2가 자동차시스템 및 건설기계시스템 운영 주체로서 수원시를 포함한 이용기관의 시스템 이용에 대한 총괄적 관리ㆍ감독 책임이 있음을 감안했을 때, 에 대한 개선권고의 필요성이 있으므로, 피심인 2 에 대하여 다음과 같이 개선을 권고한다.
가. 목적 외 이용 제한
1) 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 운영 중인 자동차관리정보시스템상 개인정보를 이용기관이 법상 정의된 목적 외로 이용하지 않도록 점검할 것. 이와 관련하여 지자체에서 불법노점단속 업무시 자동차관리정보시스템을 이용하는 현황을 파악하고 개선대책을 마련할 것
나. 접근권한 최소 부여
1) 자동차관리정보시스템 및 건설기계관리정보시스템에 대한 접근권한 관리체계를 점검하여 지자체 등 이용기관의 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 할 것
2) 자동차관리정보시스템 및 건설기계관리정보시스템에서 개인정보 조회시 전 국민의 개인정보가 아닌 자동차등록, 면허발급 등 해당 업무 대상자에 한해서만 개인정보 조회가 가능하도록 개선할 것
다. 접속기록 조회 기능 구현
1) 이용기관이 소속 개인정보취급자의 접속기록을 쉽게 점검할 수 있도록 이용기관의 접근권한 관리자 화면에서 소속 개인정보취급자의 접속기록을 조회할 수 있는 기능을 조속히 구현할 것
라. 피심인 2는 가,나,다의 개선권고를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
Ⅴ. 결론
피심인 1의 보호법 제18조(목적 외 이용)제1항, 제28조(관리감독의무), 제29조(안전조치의무) 위반행위에 대하여 같은 법 제75조(과태료)제2항제6호에 의한 과태료 부과, 제64조(시정조치)제4항에 따른 시정조치 권고, 제66조(결과의 공표)제1항에 따른 공표, 제65조(고발 및 징계권고)제2항에 따른 징계권고를 주문과 같이 의결한다.
피심인 2의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납입 의무를 부담한다.
피심인은 이 권고에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 개인정보 보호위원회에 행정심판청구 또는 관할법원에 행정소송을 제기할 수 있다.
피심인 1 수원시청(이하 수원시)은 「지방자치법」 제2조에 따른 지방자치단체로 자치사무(각주:자치사무 근거: 자동차관리법 제8조(등록) 제11조(변경), 제13조(말소), 건설기계관리법 제3조(등록), 5조(변경), 6조(말소) 등) 인 자동차 등록, 건설면허 발급 업무를 목적으로 자동차관리정보시스템(이하 자동차시스템) 및 건설기계관리정보시스템(이하 건설기계시스템)에서 개인정보를 조회ㆍ수집 등을 하여 자신의 개인정보파일을 생성ㆍ관리하는 「개인정보 보호법」(이하 '보호법’) 제2조 제5호에 따른 개인정보처리자이다.
<img src="/LSW/flDownload.do?flSeq=119536841" alt="1번째 이미지"></img>
피심인 2 (이하 )는중앙행정기관으로 직제, 관련 법등에 따라 자동차시스템 및 건설기계시스템의 총괄적 운영ㆍ관리를 하며 개인정보파일을 관리하는 보호법 제2조 제5호에 따른 개인정보처리자이다.
<img src="/LSW/flDownload.do?flSeq=119536843" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
개인정보보호위원회는 개인정보보호 포털에 유출신고가 접수된 건과 관련하여 현장조사 및 이와 관련된 제출자료를 토대로 조사한 결과( ), 다음과 같은 사실을 확인하였다.
1. 개인정보 유출 경위
가. 유출 관련 개인정보처리시스템 현황금번 유출사고가 발생한 시스템은 자동차시스템과 건설기계시스템이며, 자동차시스템은 자동차 등록, 검사, 차대번호 관리 등 자동차 관련 업무를 처리(각주:관련 근거: 자동차관리법 69조 및 동법 시행규칙 제150조) (각주:는 시스템 총괄 및 자동차 검사, 차대번호 관리 등 국가사무를 수행하며, 수원시는 자동차 등록, 튜닝 등 법에 따른 지자체 자치사무 수행) 하기 위해 운영되고 있으며, 건설기계시스템에서는 건설기계 등록, 변경, 말소, 건설기계조종사면허의 발급 등의 업무를 처리(각주:관련 근거: 건설기계관리법 39조의2 및 동법 시행규칙 제95조①) (각주:는 시스템 총괄 및 건설기계 검사 등 국가사무를 수행하며, 수원시는 건설기계 등록, 면허발급 등 법에 따른 지자체 자치사무 수행) 한다.
【개인정보처리시스템 현황】
<img src="/LSW/flDownload.do?flSeq=119536845" alt="3번째 이미지"></img>
자동차시스템, 건설기계시스템 모두 국토부가 전국적인 공통 업무를 위해 단일시스템을 운영하고, 지자체 등 다수의 기관이 이를 사용하여 업무를 수행한다.
는 자동차시스템과 건설기계시스템의 실질적인 구축ㆍ운영 업무를 에 위탁(각주:관련근거: 자동차관리법시행령 제19조⑨, 건설기계관리법시행령 제18조의3②) 하고 있으며, 은 관련 용역계약및 개인정보처리 위탁계약(각주:보호법 제26조(위ㆍ수탁)에 근거한 표준 개인정보처리 위탁 계약) 에 따라 지자체 개인정보취급자 계정 관리 업무 등 의 개인정보 처리 수탁자로서 개인정보 처리 업무를 수행하고 있다.
로부터 업무를 위탁받은 은 지자체 등 시스템 이용기관에 관리권한을 부여하며, 이용기관은 소속 업무담당자에게 직접 접근권한을 부여(각주:관련근거: 자동차관리전산정보처리조직의 운영에 관한 규정 제18조) 한다. 이 사건 권선구 공무원의 접근권한은 자동차시스템의 경우 수원시 자동차등록과에서 직접 부여하였으며, 건설기계시스템의 경우 수원시 자동차등록과에서 권선구 건설과에 접근부여권한을 부여한 후 권선구 건설과에서 담당자에게 부여(각주:부여방식 : → 17개 시도 접근권한 관리자(예: 경기도) → 관련 시군 구 접근권한 관리자(예: 수원시 자동차관리과) → 업무담당자(예: 권선구 공무원)) 하였다.
자동차시스템 및 건설기계시스템은 업무성격별로 대메뉴, 중메뉴, 소메뉴로 구분되며 최소 권한 부여 단위는 소메뉴 단위이다. 두 시스템 모두 주민등록시스템과 연계되어있어, 자동차시스템의 자동차관리 업무대상이 아니고, 건설기계시스템의 조종사면허 발급대상이 아니어도 성명과 주민등록번호 조합으로 모든 국민의 개인정보의 조회가 가능하다.
자동차시스템에서 이 사건 공무원은 소메뉴 18개(대메뉴 1개, 중메뉴 2개)의 접근권한을 부여받았으며, 해당 항목에서 성명ㆍ주소ㆍ전화번호ㆍ차대번호ㆍ저당건수 등에 접근가능하였고, 건설기계시스템에서 이 사건 공무원은 소메뉴 28개(대메뉴 1개, 중메뉴 6개) 항목의 접근권한을 부여받았으며 해당 항목에서 성명ㆍ주소ㆍ전화번호ㆍ면허번호 등에 접근가능하였다.
지자체 공무원은 각 시스템에서 부여된 접근권한 내에서 정보를 조회한 후 관련 정보를 직접 생성ㆍ수정ㆍ폐기(각주:관련근거: 자동차관리법 제8조(등록) 제11조(변경), 제13조(말소), 건설기계관리법 제3조(등록), 5조(변경), 6조(말소) 등) 할 수 있다.
나. 유출 경위 및 규모
수원시 권선구 건설과 공무원 박○○은 업무수행을 위해 부여된 권한을 이용하여 흥신소에 2년여간 1,101건의 개인정보를 유출하였다.첫째로, 이 사건 공무원은 불법노점단속 업무 수행을 목적으로 자동차시스템을 이용하였다. 차량등록번호(15노****)를 조회하여 차량 소유주의 개인정보를 검색하여 유출하였으며, 해당 시스템은 주민등록시스템과 연계되어있어 차량을 소유하지 않은 사람도 성명과 주민등록번호 조합으로 조회하여 개인정보 열람(각주:자동차시스템 조회가능항목 : 차량등록번호, 주소(세대주정보 등 포함), 주민번호, 전화번호, 차량 정보 등) 이 가능하였다.
둘째, 이 사건 공무원은 건설면허 발급 업무 수행을 목적으로 건설기계시스템을 이용하였다. 건설기계시스템에 접속하여 이름과 주민등록번호를 조회하여 주소 등을 유출하였으며, 주민등록시스템과 연계되어 있어 건설기계조종사가 아닌 사람도 성명과 주민등록번호 조합으로 개인정보 조회(각주:건설기계시스템 조회가능항목 : 성명, 주소(세대주, 세대주 주민번호 등 포함), 주민번호, 전화번호, 건설기계정보 등) 가 가능하였다.
2. 개인정보보호 법규 관련 행위 사실
가. 개인정보를 수집 목적 외로 이용한 사실
자동차시스템의 경우 자동차관리법에 규정된 업무*를 처리하는데 이용할 수 있고(자동차관리법 제69조제1항), 법에 규정된 업무목적 외로 시스템을 이용하기 위해서는 국토부장관의 별도 승인을 받아야 하나(동법 제69조제2항), 수원시가 수행하는 불법노점단속 업무의 경우 자동차관리법에서 허용한 시스템 이용범위에 속하지 않으며, 국토부장관의 별도 승인을 받지도 않은 사실이 있다.
나. 개인정보에 대한 안전조치의무를 소홀히 한 행위
1) 피심인 1은 건설기계면허 발급업무를 수행하는 이 사건 공무원에게, 건설기계면허 발급 업무를 위한 접근권한 부여시 필요한 최소한의 접근권한은 조종사면허등록(중메뉴)이나, 조종사면허등록 외에도 조종사교육관리, 면허적성검사 등 6개의 중메뉴가 포함된 면허관리(대메뉴) 접근권한 전체를 부여한 사실이 있다.
2) 피심인 1은 건설기계시스템의 개인정보취급자 명 중 명이 인사발령 등으로 최소 1년 이상 관련 업무를 수행하지 않았음에도 접근권한을 변경ㆍ말소하지 않은 사실이 있다.
3) 피심인 1은 기준, 최근 3년간 자동차시스템 및 건설기계시스템의 개인정보취급자에 대한 접속기록을 점검하지 않은 사실이 있다.
이와 관련하여 시스템에 개인정보취급자의 접속기록 조회 기능이 구현되어 있지 않아 점검을 위해서는 한국교통안전공단에서 접속기록을 제공받아 수동 점검할 수 밖에 없었던 사정은 있으나, 한국교통안전공단에 따르면 이용기관이 소속 개인정보취급자의 접속기록을 요청하는 경우 접속기록을 제공하고 있으므로, 접속기록 점검에 사실상의 장애가 있다고 볼 수 없다.
다. 개인정보 관리ㆍ감독을 소홀히 한 행위
피심인 1은 이 사건 공무원 박○○가 ’20년 개인정보보호 교육을 이수하도록 관리하지 않은 점, 공무원 박○○의 개인정보 처리 범위를 업무상 필요한 한도에서 최소한으로 제한하지 않은 점, 공무원 박○○에게 부여된 사용자권한을 소관업무 외의 용도로 사용하지 않도록 점검하지 않은 점, 개인정보 유출 예방을 위한 접속기록을 점검하지 않은 점 등 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 사실이 있다.
3. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 '개인정보보호법 위반 기관에 대한 행정처분 등 사전통지’ 공문을 통하여 이 사건에 대한 피심인의 의견을 요청하였으며, 피심인은 위반 사실을 인정하고 안전성 확보조치 기준 위반사항에 대해 전부 시정을 완료하였다는 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 목적 외 이용
가. 관련법 규정
보호법 제18조 제1항은 “개인정보처리자는 개인정보를 제15조제1항 및 제39조의3제1항 및 제2항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.”고 규정하고 있다.
나. 위법성 판단
피심인 1이 자동차관리법령상 부여된 자동차 시스템의 접근권한을 국토부장관의 별도 승인을 받지 않고 당초 법에 규정된 업무 목적 외로 불법노점단속 업무에 활용한 행위는 보호법 제18조 제1항을 위반한 것이다.
2. 안전성 확보에 필요한 조치를 소홀히 한 행위
가. 관련법 규정
보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”고 규정하고 있다.
같은 법 시행령 제30조제1항은 법 제29조에 따른 안전성 확보 조치로서, 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치(제2호), 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치(제4호)를 하도록 규정하고 있으며,
시행령 제30조제3항에 따른 안전성 확보 조치의 세부기준인「개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2021-2호)」에서 개인정보처리자의 안전성 확보 조치 내용을 다음과 같이 구체적으로 정하고 있다.
① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다. (제5조제1항)
② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다. (제5조제2항)
③ 개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다. (제8조제2항)
나. 위법성 판단
피심인 1이 건설기계시스템에서 접근권한 부여 시 업무 수행에 필요한 최소한의 범위로 부여하지 않은 사실(고시 제5조제1항), 인사발령 등으로 최소 1년 이상 관련 업무를 수행하지 않은 자의 접근권한을 변경ㆍ말소하지 않은 사실(고시 제5조제2항), 개인정보처리시스템의 접속기록을 점검하지 않은 사실(고시 제8조제2항)은 「개인정보 보호법」 제29조를 위반한 것이다.
3. 개인정보취급자 관리ㆍ감독을 소홀히 한 행위
가. 관련법 규정
보호법 제28조 제1항은 “개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자에 대하여 적절한 관리ㆍ감독을 행하여야 한다.”고 규정하고 있다.
나. 위법성 판단
피심인 1이 이 사건 공무원 박○○가 ’20년 개인정보보호 교육을 이수하도록 관리하지 않은 점, 공무원 박○○의 개인정보 처리 범위를 업무상 필요한 한도에서 최소한으로 제한하지 않은 점, 공무원 박○○에게 부여된 사용자권한을 소관업무 외의 용도로 사용하지 않도록 점검하지 않은 점, 개인정보 유출 예방을 위한 접속기록을 점검하지 않은 점 등 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 것은 보호법 제28조 제1항을 위반한 것이다.
Ⅳ. 처분 및 결정
1. 과태료 부과
피심인 1의 보호법 제29조(안전조치의무) 위반행위에 따라 같은법 제75조제2항제6호 및 같은 법 시행령 제63조의 [별표2] 「과태료 부과기준」에 따라 360만원의 과태료를 부과한다.
가. 기준금액 산정
최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 1회 위반에 해당하는 금액 총 600만원을 적용한다.
< [별표 2] 과태료의 부과기준 >
<img src="/LSW/flDownload.do?flSeq=119536847" alt="4번째 이미지"></img>
나. 과태료의 가중
「과태료의 부과기준」 제7조 [별표1] 가중기준에 따라 기준금액의 10%인 60만 원을 가중한다.
다. 과태료의 감경
「과태료의 부과기준」 제7조 [별표1] 감경기준에 따라 기준금액의 50%인 300만 원을 감경한다.
※ 「과태료 감경률 적용 보고」('21.11.24. 위원회 보고)에 따라 감경률 상한 범위인 50%를 적용함
※ 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되 기준금액의 100분의 50을 초과할 수 없음
라. 최종 과태료
피심인 1의 개인정보 보호법 위반 사항에 대하여 총 360만원의 과태료를 부과한다.
< 최종 과태료 산출내역(안) >
<img src="/LSW/flDownload.do?flSeq=119536849" alt="5번째 이미지"></img>
☞ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부 하는 경우, 100분의 20을 감경함(질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)
2. 시정조치 권고
보호법 제64조제4항에 따라 피심인 1의 보호법 위반행위에 대해 다음과 같이 시정조치를 권고한다.
가. 수원시청은 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 자동차관리정보시스템상 개인정보를 법상 정의된 목적 외로 이용하지 않도록 할 것
나. 건설기계관리정보시스템에서 건설면허발급업무를 수행하는 자에게 발급업무 이상의 권한을 부여하지 않는 등 개인정보처리시스템을 통한 업무 수행시 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 접근권한을 부여하고, 인사발령으로 개인정보취급자가 변경되었을 경우 지체없이 접근권한을 변경하도록 할 것
다. 개인정보취급자가 이용하는 개인정보처리시스템의 접속기록을 점검할 수 있는 체계를 마련하고 접속기록을 월1회 점검할 것
라. 개인정보취급자가 개인정보 관련 교육을 이수하고, 접근권한을 소관 업무 외의 용도로 불법적으로 사용하지 않도록 하는 등 적절한 관리ㆍ감독을 수행할 것
마. 피심인 1은 가,나,다,라의 시정조치를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
3. 공표
「개인정보 보호위원회 처분결과의 공표기준」 제2조제8호(각주:「개인정보 보호위원회 처분결과의 공표기준」 제2조제8호 : 개인정보 유출 및 침해사고로 재산상 손실 등 2차적인 피해가 발생하였거나 불법적 매매를 한 경우) 에 따라, 수원시 공무원 박○○ 및 흥신소 업자가 개인정보의 불법적 매매를 하였고 이로 인해 인명 피해 등 2차적인 피해가 발생하였으므로, 피심인 1의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
4. 징계권고
피심인 1에 대하여 「개인정보 보호법」 제65조제2항에 따라 동건 위반행위에 대하여 책임이 있는 자(대표자 및 책임있는 임원을 포함한다)에 대하여 징계할 것을 권고한다. 피심인은 징계권고에 대한 검토 결과를 통지를 받은 날로부터 30일 이내에 개인정보 보호위원회에 통보하여야 한다. 다만 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경우에는 그 사유를 개인정보 보호위원회로 통보하여야 한다.
5. 개선권고
금번 유출사건은 수원시의 자치사무(불법노점단속, 건설기계면허발급)를 수행하는 과정에서 발생한 사건이므로 가 유출 관련 직접적인 위반 당사자는 아니지만, 피심인 2가 자동차시스템 및 건설기계시스템 운영 주체로서 수원시를 포함한 이용기관의 시스템 이용에 대한 총괄적 관리ㆍ감독 책임이 있음을 감안했을 때, 에 대한 개선권고의 필요성이 있으므로, 피심인 2 에 대하여 다음과 같이 개선을 권고한다.
가. 목적 외 이용 제한
1) 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 운영 중인 자동차관리정보시스템상 개인정보를 이용기관이 법상 정의된 목적 외로 이용하지 않도록 점검할 것. 이와 관련하여 지자체에서 불법노점단속 업무시 자동차관리정보시스템을 이용하는 현황을 파악하고 개선대책을 마련할 것
나. 접근권한 최소 부여
1) 자동차관리정보시스템 및 건설기계관리정보시스템에 대한 접근권한 관리체계를 점검하여 지자체 등 이용기관의 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 할 것
2) 자동차관리정보시스템 및 건설기계관리정보시스템에서 개인정보 조회시 전 국민의 개인정보가 아닌 자동차등록, 면허발급 등 해당 업무 대상자에 한해서만 개인정보 조회가 가능하도록 개선할 것
다. 접속기록 조회 기능 구현
1) 이용기관이 소속 개인정보취급자의 접속기록을 쉽게 점검할 수 있도록 이용기관의 접근권한 관리자 화면에서 소속 개인정보취급자의 접속기록을 조회할 수 있는 기능을 조속히 구현할 것
라. 피심인 2는 가,나,다의 개선권고를 이행하고, 개인정보 보호위원회와 협의하여 재발방지대책을 수립해야 하며, 통지를 받은 날부터 60일 이내에 개인정보 보호위원회에 그 결과를 제출해야 한다.
Ⅴ. 결론
피심인 1의 보호법 제18조(목적 외 이용)제1항, 제28조(관리감독의무), 제29조(안전조치의무) 위반행위에 대하여 같은 법 제75조(과태료)제2항제6호에 의한 과태료 부과, 제64조(시정조치)제4항에 따른 시정조치 권고, 제66조(결과의 공표)제1항에 따른 공표, 제65조(고발 및 징계권고)제2항에 따른 징계권고를 주문과 같이 의결한다.
피심인 2의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납입 의무를 부담한다.
피심인은 이 권고에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 개인정보 보호위원회에 행정심판청구 또는 관할법원에 행정소송을 제기할 수 있다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).