개인정보보호위원회
심의ㆍ의결
제2022-116-035호
제주특별자치도 행정시의 개인정보처리자 여부 법령 해석에 관한 건
의결일: 2022년 9월 28일
요지
안건번호 : 제2022-116-035호
안건명 : 제주특별자치도 행정시의 개인정보처리자 여부 법령 해석에 관한 건
신청인 : 제주특별자치도 서귀포시장
의결연월일 : 2022. 9. 28.
안건명 : 제주특별자치도 행정시의 개인정보처리자 여부 법령 해석에 관한 건
신청인 : 제주특별자치도 서귀포시장
의결연월일 : 2022. 9. 28.
주문
1. 지방자치단체인 제주특별자치도는 '개인정보처리자’에 해당하나, 제주특별자치도의 하부 행정기관인 행정시는 '개인정보처리자’에 해당하지 않는다.
2. 제주특별자치도는 '개인정보처리자’로서 '개인정보 보호책임자’를 지정해야 하며, '개인정보 보호책임자’는 제주특별자치도 내 개인정보 보호 업무를 총괄할 수 있다.
2. 제주특별자치도는 '개인정보처리자’로서 '개인정보 보호책임자’를 지정해야 하며, '개인정보 보호책임자’는 제주특별자치도 내 개인정보 보호 업무를 총괄할 수 있다.
이유
별지와 같다.
이상과 같은 이유로 주문과 같이 의결한다.
1. 질의배경
○ 신청인/신청일 : 제주특별자치도 서귀포시장/2022. 6. 29.
○ 「제주특별자치도 설치 및 국제자유도시 조성을 위한 특별법(이하 '제주특별법’)」 제10조 제2항은 제주특별자치도(이하 '제주도’)에 지방자치단체가 아닌 시(제주시ㆍ서귀포시를 의미하며 이하 '행정시*’)를 두며, 조례로서 소관 사무를 정함
○ 「개인정보 보호법(이하 '보호법’)」 제31조는 개인정보의 처리 및 보호에 관한 사항과 관련하여 '개인정보처리자’가 개인정보 처리에 관한 업무를 총괄하여 책임질 '개인정보 보호책임자 ’를 지정하고 같은 법 시행령 제32조 제2항에 해당 자격요건을 명시함
- 현재 제주도와 관할 행정시는 각 기관을 '개인정보처리자’로 판단하여 개인정보 처리방침을 수립ㆍ공개하고 별도의 '개인정보 보호책임자’를 지정ㆍ운영하고 있음
○ 개인정보보호위원회에서는 「공공기관 개인정보 관리수준 진단 추진계획」을 수립하며 '지방자치단체의 경우 하부 행정기관의 실적까지 포함하고, 행정시ㆍ구는 개인정보처리자가 아니므로 별도의 개인정보 파일 등록 및 개인정보 보호책임자 지정 등을 하지 않음’을 명시하여 전국 지자체에 관련 사항을 송부한 바 있음
○ 이에 제주도 서귀포시는 제주도와 관할 행정시가 각각 '개인정보처리자’에 해당되는지 여부와 제주도의 '개인정보 보호책임자’가 관할 행정시의 개인정보 처리에 관한 업무를 총괄하여 책임질 수 있는지에 대하여 질의함
2. 질의내용
○ 제주도와 하부 행정기관인 관할 행정시가 보호법 제2조 제5호에 따른 '개인정보처리자’에 해당되는지 여부
○ 제주도의 '개인정보 보호책임자’가 관할 행정시의 개인정보 처리에 관한 업무를 총괄할 수 있는지 여부
3. 판단
가. 제주도와 하부 행정기관인 관할 행정시가 보호법 제2조 제5호에 따른 '개인정보처리자’에 해당되는지 여부
○ 보호법 제2조 제5호의 '개인정보처리자’란 '업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등’을 말하며,
- 같은 조 제6호 가목의 '공공기관’은 '중앙행정기관 및 그 소속 기관’과 '지방자치단체’로 정의함
○ 이에 제주도와 관할 행정시가 보호법 제2조 제5호의 '개인정보처리자’에 해당하는지 여부를 확인하기 위하여 먼저 같은 법 제2조 제6호의 공공기관으로서 '지방자치단체’에 해당하는지 여부를 검토하고자 함
1) 제주도와 관할 행정시가 '지방자치단체’에 해당하는지 여부
○ 「지방자치법」 제2조 제1항은 지방자치단체의 종류에 대하여 광역자치단체인 '특별시, 광역시, 특별자치시, 도, 특별자치도’와 기초자치단체인 '시, 군, 구’로 구분하고 있음
○ 같은 법 제197조 제2항은 제주특별자치도의 지위ㆍ조직 및 행정ㆍ재정 등의 운영에 대해서는 행정체제의 특수성을 고려하여 특례를 둘 것을 규정하고,
- 같은 법 제117조 제1항은 조례나 규칙으로 정하는 바에 따라 지방자치단체장의 권한에 속하는 사무의 일부를 보조기관, 소속 행정기관 또는 하부 행정기관에 위임할 수 있음
○ 위 법률에 따라 제주특별법 제10조 제1항부터 제3항에서는 제주도의 관할구역에 시나 군 대신 지방자치단체가 아닌 행정시를 두고, 다른 법령에서 시를 인용하는 경우 해당 법령에 특별한 규정이 없으면 행정시는 포함되지 아니하며,
- 같은 조 제4항은 행정시의 폐지ㆍ설치ㆍ분리ㆍ합병, 명칭 및 구역을 도조례로 정할 수 있고, 같은 법 제11조 제5항은 도지사의 지휘ㆍ감독을 받은 행정시의 시장이 소관 국가사무와 지방자치단체의 사무를 처리하도록 정함에 따라,
- 제주도는 「제주특별자치도 행정기구 설치 및 정원 조례」 제80조에 지방자치단체가 아닌 행정시로서 제주시와 서귀포시를 설치하고 도지사의 명을 받아 소관 사무를 통할하도록 함
○ 이와 같이, 제주도는 단층제 지방자치단체로서 지위가 명확한 반면, 「지방자치법」의 특례로서 제주특별법 제10조에 따라 설치된 제주도의 관할 행정시는 지방자치단체에 해당하지 아니함
2) 제주도와 관할 행정시를 '개인정보처리자’로 판단할 수 있는지 여부
○ 제주도는 「지방자치법」에 따른 지방자치단체로서, 국가 위임사무ㆍ관할 구역의 자치사무ㆍ법령에 따른 지방자치단체에 속하는 사무 등을 수행하고자 개인정보를 처리하고 있으므로 보호법 제2조 제5호의 '개인정보처리자’에 해당됨
○ 반면, 위 가.1)에서 검토한 바와 같이 제주도의 관할 행정시는 「지방자치법」 상 기초자치단체가 아님이 명백하고 보호법 제2조 제6호의 공공기관(지방자치단체)의 어느 하나에도 속하지 않으므로 같은 법 제2조 제5호의 '개인정보처리자’에 해당하지 않을 것으로 판단됨
나. 제주도의 '개인정보 보호책임자’가 관할 행정시의 개인정보 처리에 관한 업무를 총괄하여 책임질 수 있는지 여부
○ '개인정보처리자’는 보호법 제31조에 따라 개인정보의 처리에 관한 업무를 총괄하여 책임질 '개인정보 보호책임자’를 지정하되, 공공기관의 경우 같은 법 시행령 제32조 제2항 제1호 각 목 중 어느 하나에 해당하는 공무원 등으로 정할 수 있음
○ 현재 「지방자치법」 제3조 제3항에 따른 자치구가 아닌 구인 행정구는 지방자치단체인 상위 행정기관인 시(특례시 포함)가 '개인정보처리자’로서 개인정보 처리방침을 수립ㆍ공개하고, 보호법 시행령 제32조 제2항 제1호 마목 또는 바목에 따라 시의 3ㆍ4급 이상 또는 그에 상당하는 공무원을 '개인정보 보호책임자’로 지정하여 관할 행정구를 총괄하고 있는 점을 미루어 판단해 보았을 때,
- 제주도는 '개인정보처리자’로서 '개인정보 보호책임자’를 지정해야 하며, 제주도의 '개인정보 보호책임자’는 관할 행정시를 포함하여 개인정보 보호 업무를 총괄할 수 있을 것임
이상과 같은 이유로 주문과 같이 의결한다.
1. 질의배경
○ 신청인/신청일 : 제주특별자치도 서귀포시장/2022. 6. 29.
○ 「제주특별자치도 설치 및 국제자유도시 조성을 위한 특별법(이하 '제주특별법’)」 제10조 제2항은 제주특별자치도(이하 '제주도’)에 지방자치단체가 아닌 시(제주시ㆍ서귀포시를 의미하며 이하 '행정시*’)를 두며, 조례로서 소관 사무를 정함
○ 「개인정보 보호법(이하 '보호법’)」 제31조는 개인정보의 처리 및 보호에 관한 사항과 관련하여 '개인정보처리자’가 개인정보 처리에 관한 업무를 총괄하여 책임질 '개인정보 보호책임자 ’를 지정하고 같은 법 시행령 제32조 제2항에 해당 자격요건을 명시함
- 현재 제주도와 관할 행정시는 각 기관을 '개인정보처리자’로 판단하여 개인정보 처리방침을 수립ㆍ공개하고 별도의 '개인정보 보호책임자’를 지정ㆍ운영하고 있음
○ 개인정보보호위원회에서는 「공공기관 개인정보 관리수준 진단 추진계획」을 수립하며 '지방자치단체의 경우 하부 행정기관의 실적까지 포함하고, 행정시ㆍ구는 개인정보처리자가 아니므로 별도의 개인정보 파일 등록 및 개인정보 보호책임자 지정 등을 하지 않음’을 명시하여 전국 지자체에 관련 사항을 송부한 바 있음
○ 이에 제주도 서귀포시는 제주도와 관할 행정시가 각각 '개인정보처리자’에 해당되는지 여부와 제주도의 '개인정보 보호책임자’가 관할 행정시의 개인정보 처리에 관한 업무를 총괄하여 책임질 수 있는지에 대하여 질의함
2. 질의내용
○ 제주도와 하부 행정기관인 관할 행정시가 보호법 제2조 제5호에 따른 '개인정보처리자’에 해당되는지 여부
○ 제주도의 '개인정보 보호책임자’가 관할 행정시의 개인정보 처리에 관한 업무를 총괄할 수 있는지 여부
3. 판단
가. 제주도와 하부 행정기관인 관할 행정시가 보호법 제2조 제5호에 따른 '개인정보처리자’에 해당되는지 여부
○ 보호법 제2조 제5호의 '개인정보처리자’란 '업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등’을 말하며,
- 같은 조 제6호 가목의 '공공기관’은 '중앙행정기관 및 그 소속 기관’과 '지방자치단체’로 정의함
○ 이에 제주도와 관할 행정시가 보호법 제2조 제5호의 '개인정보처리자’에 해당하는지 여부를 확인하기 위하여 먼저 같은 법 제2조 제6호의 공공기관으로서 '지방자치단체’에 해당하는지 여부를 검토하고자 함
1) 제주도와 관할 행정시가 '지방자치단체’에 해당하는지 여부
○ 「지방자치법」 제2조 제1항은 지방자치단체의 종류에 대하여 광역자치단체인 '특별시, 광역시, 특별자치시, 도, 특별자치도’와 기초자치단체인 '시, 군, 구’로 구분하고 있음
○ 같은 법 제197조 제2항은 제주특별자치도의 지위ㆍ조직 및 행정ㆍ재정 등의 운영에 대해서는 행정체제의 특수성을 고려하여 특례를 둘 것을 규정하고,
- 같은 법 제117조 제1항은 조례나 규칙으로 정하는 바에 따라 지방자치단체장의 권한에 속하는 사무의 일부를 보조기관, 소속 행정기관 또는 하부 행정기관에 위임할 수 있음
○ 위 법률에 따라 제주특별법 제10조 제1항부터 제3항에서는 제주도의 관할구역에 시나 군 대신 지방자치단체가 아닌 행정시를 두고, 다른 법령에서 시를 인용하는 경우 해당 법령에 특별한 규정이 없으면 행정시는 포함되지 아니하며,
- 같은 조 제4항은 행정시의 폐지ㆍ설치ㆍ분리ㆍ합병, 명칭 및 구역을 도조례로 정할 수 있고, 같은 법 제11조 제5항은 도지사의 지휘ㆍ감독을 받은 행정시의 시장이 소관 국가사무와 지방자치단체의 사무를 처리하도록 정함에 따라,
- 제주도는 「제주특별자치도 행정기구 설치 및 정원 조례」 제80조에 지방자치단체가 아닌 행정시로서 제주시와 서귀포시를 설치하고 도지사의 명을 받아 소관 사무를 통할하도록 함
○ 이와 같이, 제주도는 단층제 지방자치단체로서 지위가 명확한 반면, 「지방자치법」의 특례로서 제주특별법 제10조에 따라 설치된 제주도의 관할 행정시는 지방자치단체에 해당하지 아니함
2) 제주도와 관할 행정시를 '개인정보처리자’로 판단할 수 있는지 여부
○ 제주도는 「지방자치법」에 따른 지방자치단체로서, 국가 위임사무ㆍ관할 구역의 자치사무ㆍ법령에 따른 지방자치단체에 속하는 사무 등을 수행하고자 개인정보를 처리하고 있으므로 보호법 제2조 제5호의 '개인정보처리자’에 해당됨
○ 반면, 위 가.1)에서 검토한 바와 같이 제주도의 관할 행정시는 「지방자치법」 상 기초자치단체가 아님이 명백하고 보호법 제2조 제6호의 공공기관(지방자치단체)의 어느 하나에도 속하지 않으므로 같은 법 제2조 제5호의 '개인정보처리자’에 해당하지 않을 것으로 판단됨
나. 제주도의 '개인정보 보호책임자’가 관할 행정시의 개인정보 처리에 관한 업무를 총괄하여 책임질 수 있는지 여부
○ '개인정보처리자’는 보호법 제31조에 따라 개인정보의 처리에 관한 업무를 총괄하여 책임질 '개인정보 보호책임자’를 지정하되, 공공기관의 경우 같은 법 시행령 제32조 제2항 제1호 각 목 중 어느 하나에 해당하는 공무원 등으로 정할 수 있음
○ 현재 「지방자치법」 제3조 제3항에 따른 자치구가 아닌 구인 행정구는 지방자치단체인 상위 행정기관인 시(특례시 포함)가 '개인정보처리자’로서 개인정보 처리방침을 수립ㆍ공개하고, 보호법 시행령 제32조 제2항 제1호 마목 또는 바목에 따라 시의 3ㆍ4급 이상 또는 그에 상당하는 공무원을 '개인정보 보호책임자’로 지정하여 관할 행정구를 총괄하고 있는 점을 미루어 판단해 보았을 때,
- 제주도는 '개인정보처리자’로서 '개인정보 보호책임자’를 지정해야 하며, 제주도의 '개인정보 보호책임자’는 관할 행정시를 포함하여 개인정보 보호 업무를 총괄할 수 있을 것임
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).