개인정보보호위원회 심의ㆍ의결 2023-05-10

신청인 : 에 대하여 다음과 같이 과태료를 부과한다.가. 과 태 료 : 3,000,000원나. 납부기한 : 고지서에 명시된 납부기한 이내다. 납부장소 : 한국은행 국고수납 대리점

Ⅰ. 기초 사실

피심인은 「개인정보 보호법」('이하 “보호법”이라 한다.) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=135156359" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

개인정보보호위원회는 피심인이 개인정보를 유출한 혐의가 있다며 경찰이 사건을 위원회에 이첩(’23.3.8.)함에 따라 조사를 진행하여, 피심인의 개인정보보호 법규 위반행위와 관련된 다음과 같은 사실을 확인하였다.

1. 행위 사실

가. 개인정보 수집 현황

피심인은 관할 지역 민원 응대를 위해 ’22. 3. 31. 기준 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=135156361" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계

1) 유출 규모 및 항목

민원인 2명의 개인정보가 유출되었으며, 성명, 연락처, 주민등록번호, 주소, 민원 내용 등이 포함되어 있었다.

※ 민원인 A의 민원 관리카드(성명, 연락처, 민원내용 포함) / 민원인 B의 진정서 사본(성명, 주소, 주민등록번호, 연락처 포함)

2) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=135156363" alt="3번째 이미지"></img>
3) 유출 경위

’22. 8월경 피심인이 별건 민원인들의 제보를 통해 피민원인에게
위반 혐의 농지 처분 명령하자, 피민원인이 피심인( 실)을 방문하여 이의제기 등 민원상담을 하였고, 피민원인에게 행정소송 등 구제절차가 있음을 알려주자, 피민원인이 소송에 활용 가능한 서류를 요청하였는데, 이에 이 보유하고 있던 문서(20p 분량) 중 개인정보가 포함된 부분을 접는 방식으로 표시하여, 비서에게 이를 제외하고 복사하도록 지시하였으나 소통 착오로 비서가 전량을 복사, 이를 그대로 피민원인에게 교부함으로써 개인정보가 유출된 사실을 확인하였다.
다. 개인정보의 취급ㆍ운영 관련 사실관계

1) 개인정보 유출 통지 의무를 소홀히 한 행위

피심인은 경찰의 수사 개시 통보(22. 11. 11.)를 통해 개인정보 유출 사실을 인지하였으나, 정보주체에게 유출 사실 통지(’23. 3. 9.)를 지연한 사실이 있다.

※ 출력물 복사 착오ㆍ교부 사례로 보호법 제24조의2ㆍ제29조 관련 안전조치의무 위반은 확인되지 않음

2. 처분의 사전통지 및 의견 수렴

개인정보보호위원회는 2023. 4. 7. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2023. 4. 20. 개인정보보호위원회에 의견을 제출하였다.

Ⅲ. 위법성 판단

1. 개인정보 유출 통지 의무를 소홀히 한 행위

가. 관련 법 규정

보호법 제34조제1항은 “개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 유출된 개인정보의 항목, 유출된 시점과 그 경위, 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 개인정보처리자의 대응 조치 및 구제절차, 피해가 발생한 경우 신고 등을 접수 할 수 있는 담당부서 및 연락처 등을 알려야 한다.”고 규정하고 있다.
나. 위법성 판단

개인정보처리자는 개인정보가 유출되었음을 알게되었을 때 지체 없이 해당 정보주체에게 관련 사실을 알려야 하나, 피심인이 유출 사실을 ’22. 11. 11. 인지하고도 정보주체에게 관련 내용을 ’23. 3. 9. 통지한 행위는 보호법 제34조제1항 위반에 해당한다.

Ⅳ. 처분 및 결정

1. 과징금 미부과

개인정보처리자가 처리하는 주민등록번호가 유출된 경우로서 제24조제3항에 따른 안전성 확보에 필요한 조치를 다하지 않은 경우에는 보호법 제34조의2에 따라 5억원 이하의 과징금을 부과할 수 있으나,

피심인의 제24조제3항에 따른 안전성 확보 조치 위반을 확인할 수 없어 제34조의2 단서조항에 따라 과징금을 부과하지 아니한다.

2. 과태료 부과

피심인의 보호법 제34조제1항 위반행위에 대해 같은 법 제75조제2항제8호, 같은 법 시행령 제63조의 [별표2]「과태료 부과기준」에 따라 다음과 같이 과태료를 부과한다.

가. 기준금액

보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제34조제1항 위반에 대해서 1회 위반에 해당하는 과태료인 600만 원을 적용한다.

< 과태료 부과기준, 보호법 시행령 제63조 [별표 2] >
<img src="/LSW/flDownload.do?flSeq=135156365" alt="4번째 이미지"></img>
나. 과태료의 가중

「개인정보보호법 위반에 대한 과태료 부과기준」(개인정보위 2023. 3. 8. 이하 '과태료 부과지침’) 제8조(과태료의 가중)는 “사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다”라고 규정하고 있다.

피심인의 보호법 제34조제1항 위반행위는 과태료 부과지침 제8조 [별표2]의 가중기준에 해당하지 않아 기준금액을 유지한다.

다. 과태료의 감경

과태료 부과지침 제7조(과태료의 감경)는 “사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있다.

피심인은 의견제출 기간내 법규 위반행위를 시정 완료하고, 자료제출 등 조사에 적극 협력하였으므로, 과태료 부과지침 제7조 [별표1] 감경기준에 따라 기준금액의 50%인 300만 원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=135156367" alt="5번째 이미지"></img>
라. 최종 과태료

피심인의 보호법 제34조제1항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 300만 원의 과태료를 부과한다.

< 과태료 산출내역 >
<img src="/LSW/flDownload.do?flSeq=135156369" alt="6번째 이미지"></img>
Ⅴ. 결론

피심인의 보호법 제34조제1항 위반행위에 대하여 같은 법 제75조제2항제8호에 의한 과태료 부과를 주문과 같이 의결한다.

피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납입 의무를 부담한다.