개인정보보호위원회
심의ㆍ의결
제2023-210-174호
개인정보보호 실태에 대한 개선권고에 관한 건
의결일: 2023년 5월 26일
요지
안건번호 : 제2023-210-174호
안건명 : 개인정보보호 실태에 대한 개선권고에 관한 건
의결연월일 : 2023. 5. 26.
안건명 : 개인정보보호 실태에 대한 개선권고에 관한 건
의결연월일 : 2023. 5. 26.
주문
1. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 피심인은 열람청구권 등 정보주체의 권리를 보장하여야 한다.
1) 피심인은 체계적인 개인정보 열람청구 대응절차를 마련하여야 한다.
나. 피심인은 가.의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 조치결과를 개인정보보호위원회에 제출하여야 한다.
가. 피심인은 열람청구권 등 정보주체의 권리를 보장하여야 한다.
1) 피심인은 체계적인 개인정보 열람청구 대응절차를 마련하여야 한다.
나. 피심인은 가.의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 조치결과를 개인정보보호위원회에 제출하여야 한다.
이유
Ⅰ. 기초 사실
피심인은 온라인 쇼핑몰을 운영하는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 제16930호, 이하 '보호법’이라 한다.)에 따른 정보통신서비스 제공자이며 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=135157231" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
`22. 5. 17. 개인정보 열람청구권이 침해되었다는 이유로 한국인터넷진흥원에 개인정보 침해신고가 접수되어 한국인터넷진흥원에서 조사 진행 중에 `22. 12. 22. 개인정보보호위원회로 사건이 이관되었다.
2. 개인정보 열람청구 관련 사실관계
개인정보보호위원회는 피심인의 개인정보 보호법 위반 여부에 대한 사실조사(’22. 5. 17. ~ ’23. 5. 23.)결과, 다음과 같은 사실을 확인하였다.
1) 신고인은 `22. 5. 2. 개인정보 보호법 시행령 제41조 제1항에서 규정한 5가지 사항*에 대하여 피심인에게 이메일로 열람을 요청하였는데, 특히 제5호에 해당하는 '개인정보 처리에 동의한 사실 및 내용’에 대해서는 객관적으로 확인할 수 있는 방법으로 열람할 수 있게 해줄 것을 요구하였다.
* 개인정보의 항목 및 내용, 개인정보의 수집ㆍ이용 목적, 개인정보 보유 및 이용 기간, 개인정보의 제3자 제공 현황, 개인정보 처리에 동의한 사실 및 내용
<`22. 5. 2. 신고인의 열람요구 메일 내용>
<img src="/LSW/flDownload.do?flSeq=135157233" alt="2번째 이미지"></img>
2) 피심인은 `22. 5. 11. 신고인의 5가지 열람 요청사항에 대하여 답변하였고, 특히 '개인정보 처리에 동의한 사실 및 내용’에 관해서는 신고인이 멤버십 가입페이지에서 휴대폰 번호 인증절차를 거쳐, 개인정보의 수집 및 이용, 개인정보의 제3자 제공 및 국외이전에 대해 `21. 1. 3. 동의하였다는 내용으로 답변하였다.
<`22. 5. 11. 열람요구에 대한 피심인의 답변 내용>
<img src="/LSW/flDownload.do?flSeq=135157235" alt="3번째 이미지"></img>
3) 신고인은 `22. 5. 12. 자신의 동의 절차가 개인정보 보호법 해설서, 개인정보 보호법 및 같은 법 시행령, 판례 등에 부합하는 방식으로 징구되었는지 해당 전자문서의 재현 등 객관적으로 입증할 수 있는 자료를 제시해 줄 것을 다시 요구하였다.
<`22. 5. 12. 신고인의 추가 열람청구 내용>
<img src="/LSW/flDownload.do?flSeq=135157237" alt="4번째 이미지"></img>
4) 신고인의 위 '22. 5. 12. 열람 요구와 관련하여, 피심인은 아무런 답변을 하지 않았으며, 피심인은 조사과정에서 다음과 같은 신고인의 동의화면을 한국인터넷진흥원에 제출하였고, 피심인이 제출한 화면은 피심인의 내부 관리용으로 구성된 화면으로, 신고인은 개인정보 필수항목에 대해서만 동의하였다는 사실을 확인할 수 있었다.
피심인이 제출한 <신고인의 동의화면>
<img src="/LSW/flDownload.do?flSeq=135157239" alt="5번째 이미지"></img>
※ 피심인은 본 화면은 고객 데이터 관리시스템으로, 권한이 있는 사용자만이 볼 수 있는 화면이며, 화면을 캡쳐하는 것은 금지되어 있어 CISO ㆍ CPO 승인 후 시스템 관리자에게 요청하여 받을 수 있다고 설명하면서, 요구되는 데이터에 따라 글로벌 및 리젼 승인을 받도록 되어 있다고 설명
Ⅲ. 위법성 판단
1. 정보주체의 열람청구를 부당하게 제한ㆍ거절했는지 여부
가. 관련 법령의 규정
개인정보 보호법 제35조 제1항에서 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다고 규정하고 있다.
개인정보 보호법 제35조 제3항에서 개인정보처리자가 열람을 요구받았을 때에는 대통령령으로 정하는 기간 내에 정보주체가 해당 개인정보를 열람할 수 있도록 하여야 한다고 규정하고 있다.
개인정보 보호법 시행령 제41조 제1항에서 정보주체는 개인정보의 항목 및 내용, 수집ㆍ이용의 목적, 보유 및 이용기간, 제3자 제공 현황, 개인정보 처리에 동의한 사실 및 내용 등을 열람 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다고 규정하고 있다.
나. 위법성 판단
1) 신고인의 `22. 5. 2. 열람 요구는 피심인의 `22. 5. 11. 답변으로 신고인의 열람 요구의 주된 목적이 달성된 것으로 보이며, 보호법상 열람의 형식이나 방법이 구체적으로 규정되어 있지 아니하고, 침익적 행정처분은 엄격하게 해석ㆍ적용해야 한다는 점을 고려할 때, 피심인이 보호법 제35조 제3항을 위반하여 열람을 제한하거나 거절하였다고 보기 어렵다. 구체적인 설명은 다음과 같다.
① 신고인은 피심인의 개인정보 수집ㆍ이용에 자신이 동의했는지 여부를 알기 위한 목적으로 열람을 요구한 것으로, 피심인의 `22. 5. 11. 답변내용을 통해 동의 사실을 충분히 알 수 있을 것으로 판단된다.*
* 피심인의 홈페이지는 필수항목을 동의하지 않은 경우 가입자체가 불가능하며, 신고인이 휴대전화번호 인증절차를 거쳐 동의하였다는 답변으로 실제로 동의한 것에 대해 알 수 있다고 봄이 사회통념상 타당
② 피심인은 개인정보 수집ㆍ이용 및 제공에 대한 동의를 전자서면 방식이 아닌, 개인정보 보호법 시행령 제17조 제1항 제4호에서 규정하는 '홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시(체크박스)하는 방법’으로 취득하고 있다.
③ 개인정보 보호법에는 정보주체가 열람을 요구할 경우 개인정보처리자가 제공해야 하는 열람의 형식ㆍ방법이 구체적으로 규정되어 있지 않아, 정보주체가 ’객관적으로 입증할 수 있는 자료'를 요구하였더라도, 이를 위해 고객 관리를 위한 내부용 관리시스템의 화면을 캡쳐하여 제공할 의무가 반드시 있다고 할 수 없다.
2) 또한, 신고인의 `22. 5. 12. 열람 요구의 주된 목적도 피심인이 실제로 자신의 동의를 받고 개인정보를 수집ㆍ이용한 것인지 확인하기 위한 것이므로, `22. 5. 2. 열람 요구와 비교할 때 요구의 취지나 목적이 동일하여 별도의 열람 요구에 해당한다고 볼 수 없으므로, `22. 5. 12. 열람 요구에 대해 답변하지 않은 것은 보호법 위반이 아닌 것으로 판단된다.
3) 위와 같이 피심인이 신고인의 열람청구를 부당하게 제한하거나 거절했다고 볼 수는 없으나, 개인정보 열람권을 최대한 보장하려는 개인정보 보호법의 취지를 고려하면 피심인에게 체계적인 개인정보 열람청구 대응절차 마련을 통해 정보주체의 개인정보 열람권을 더욱 충실하게 보호할 것을 보호법 제61조제2항에 따라 개선을 권고하고자 한다.
Ⅳ. 개선권고 및 결정
1. 개선권고
가. 피심인은 열람청구권 등 정보주체의 권리를 보장하여야 한다.
1) 피심인은 체계적인 개인정보 열람청구 대응절차를 마련하여야 한다.
나. 피심인은 가.의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 조치결과를 개인정보보호위원회에 제출하여야 한다.
Ⅴ. 결론
피심인의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 온라인 쇼핑몰을 운영하는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 제16930호, 이하 '보호법’이라 한다.)에 따른 정보통신서비스 제공자이며 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=135157231" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
`22. 5. 17. 개인정보 열람청구권이 침해되었다는 이유로 한국인터넷진흥원에 개인정보 침해신고가 접수되어 한국인터넷진흥원에서 조사 진행 중에 `22. 12. 22. 개인정보보호위원회로 사건이 이관되었다.
2. 개인정보 열람청구 관련 사실관계
개인정보보호위원회는 피심인의 개인정보 보호법 위반 여부에 대한 사실조사(’22. 5. 17. ~ ’23. 5. 23.)결과, 다음과 같은 사실을 확인하였다.
1) 신고인은 `22. 5. 2. 개인정보 보호법 시행령 제41조 제1항에서 규정한 5가지 사항*에 대하여 피심인에게 이메일로 열람을 요청하였는데, 특히 제5호에 해당하는 '개인정보 처리에 동의한 사실 및 내용’에 대해서는 객관적으로 확인할 수 있는 방법으로 열람할 수 있게 해줄 것을 요구하였다.
* 개인정보의 항목 및 내용, 개인정보의 수집ㆍ이용 목적, 개인정보 보유 및 이용 기간, 개인정보의 제3자 제공 현황, 개인정보 처리에 동의한 사실 및 내용
<`22. 5. 2. 신고인의 열람요구 메일 내용>
<img src="/LSW/flDownload.do?flSeq=135157233" alt="2번째 이미지"></img>
2) 피심인은 `22. 5. 11. 신고인의 5가지 열람 요청사항에 대하여 답변하였고, 특히 '개인정보 처리에 동의한 사실 및 내용’에 관해서는 신고인이 멤버십 가입페이지에서 휴대폰 번호 인증절차를 거쳐, 개인정보의 수집 및 이용, 개인정보의 제3자 제공 및 국외이전에 대해 `21. 1. 3. 동의하였다는 내용으로 답변하였다.
<`22. 5. 11. 열람요구에 대한 피심인의 답변 내용>
<img src="/LSW/flDownload.do?flSeq=135157235" alt="3번째 이미지"></img>
3) 신고인은 `22. 5. 12. 자신의 동의 절차가 개인정보 보호법 해설서, 개인정보 보호법 및 같은 법 시행령, 판례 등에 부합하는 방식으로 징구되었는지 해당 전자문서의 재현 등 객관적으로 입증할 수 있는 자료를 제시해 줄 것을 다시 요구하였다.
<`22. 5. 12. 신고인의 추가 열람청구 내용>
<img src="/LSW/flDownload.do?flSeq=135157237" alt="4번째 이미지"></img>
4) 신고인의 위 '22. 5. 12. 열람 요구와 관련하여, 피심인은 아무런 답변을 하지 않았으며, 피심인은 조사과정에서 다음과 같은 신고인의 동의화면을 한국인터넷진흥원에 제출하였고, 피심인이 제출한 화면은 피심인의 내부 관리용으로 구성된 화면으로, 신고인은 개인정보 필수항목에 대해서만 동의하였다는 사실을 확인할 수 있었다.
피심인이 제출한 <신고인의 동의화면>
<img src="/LSW/flDownload.do?flSeq=135157239" alt="5번째 이미지"></img>
※ 피심인은 본 화면은 고객 데이터 관리시스템으로, 권한이 있는 사용자만이 볼 수 있는 화면이며, 화면을 캡쳐하는 것은 금지되어 있어 CISO ㆍ CPO 승인 후 시스템 관리자에게 요청하여 받을 수 있다고 설명하면서, 요구되는 데이터에 따라 글로벌 및 리젼 승인을 받도록 되어 있다고 설명
Ⅲ. 위법성 판단
1. 정보주체의 열람청구를 부당하게 제한ㆍ거절했는지 여부
가. 관련 법령의 규정
개인정보 보호법 제35조 제1항에서 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다고 규정하고 있다.
개인정보 보호법 제35조 제3항에서 개인정보처리자가 열람을 요구받았을 때에는 대통령령으로 정하는 기간 내에 정보주체가 해당 개인정보를 열람할 수 있도록 하여야 한다고 규정하고 있다.
개인정보 보호법 시행령 제41조 제1항에서 정보주체는 개인정보의 항목 및 내용, 수집ㆍ이용의 목적, 보유 및 이용기간, 제3자 제공 현황, 개인정보 처리에 동의한 사실 및 내용 등을 열람 요구하려면 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다고 규정하고 있다.
나. 위법성 판단
1) 신고인의 `22. 5. 2. 열람 요구는 피심인의 `22. 5. 11. 답변으로 신고인의 열람 요구의 주된 목적이 달성된 것으로 보이며, 보호법상 열람의 형식이나 방법이 구체적으로 규정되어 있지 아니하고, 침익적 행정처분은 엄격하게 해석ㆍ적용해야 한다는 점을 고려할 때, 피심인이 보호법 제35조 제3항을 위반하여 열람을 제한하거나 거절하였다고 보기 어렵다. 구체적인 설명은 다음과 같다.
① 신고인은 피심인의 개인정보 수집ㆍ이용에 자신이 동의했는지 여부를 알기 위한 목적으로 열람을 요구한 것으로, 피심인의 `22. 5. 11. 답변내용을 통해 동의 사실을 충분히 알 수 있을 것으로 판단된다.*
* 피심인의 홈페이지는 필수항목을 동의하지 않은 경우 가입자체가 불가능하며, 신고인이 휴대전화번호 인증절차를 거쳐 동의하였다는 답변으로 실제로 동의한 것에 대해 알 수 있다고 봄이 사회통념상 타당
② 피심인은 개인정보 수집ㆍ이용 및 제공에 대한 동의를 전자서면 방식이 아닌, 개인정보 보호법 시행령 제17조 제1항 제4호에서 규정하는 '홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시(체크박스)하는 방법’으로 취득하고 있다.
③ 개인정보 보호법에는 정보주체가 열람을 요구할 경우 개인정보처리자가 제공해야 하는 열람의 형식ㆍ방법이 구체적으로 규정되어 있지 않아, 정보주체가 ’객관적으로 입증할 수 있는 자료'를 요구하였더라도, 이를 위해 고객 관리를 위한 내부용 관리시스템의 화면을 캡쳐하여 제공할 의무가 반드시 있다고 할 수 없다.
2) 또한, 신고인의 `22. 5. 12. 열람 요구의 주된 목적도 피심인이 실제로 자신의 동의를 받고 개인정보를 수집ㆍ이용한 것인지 확인하기 위한 것이므로, `22. 5. 2. 열람 요구와 비교할 때 요구의 취지나 목적이 동일하여 별도의 열람 요구에 해당한다고 볼 수 없으므로, `22. 5. 12. 열람 요구에 대해 답변하지 않은 것은 보호법 위반이 아닌 것으로 판단된다.
3) 위와 같이 피심인이 신고인의 열람청구를 부당하게 제한하거나 거절했다고 볼 수는 없으나, 개인정보 열람권을 최대한 보장하려는 개인정보 보호법의 취지를 고려하면 피심인에게 체계적인 개인정보 열람청구 대응절차 마련을 통해 정보주체의 개인정보 열람권을 더욱 충실하게 보호할 것을 보호법 제61조제2항에 따라 개선을 권고하고자 한다.
Ⅳ. 개선권고 및 결정
1. 개선권고
가. 피심인은 열람청구권 등 정보주체의 권리를 보장하여야 한다.
1) 피심인은 체계적인 개인정보 열람청구 대응절차를 마련하여야 한다.
나. 피심인은 가.의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 조치결과를 개인정보보호위원회에 제출하여야 한다.
Ⅴ. 결론
피심인의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).