제2023-007-068호

안건번호 : 제2023-007-068호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결연월일 : 2023. 4. 26.

피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 48,750,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점

Ⅰ. 피심인의 일반 현황

피심인은 주택건설 및 분양사업 등을 운영하는 자로「개인정보 보호법」(이하 “보호법”이라 함) 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.



Ⅱ. 사실조사 결과

개인정보보호위원회는 개인정보보호 포털에 유출 신고 가 접수된 건과 관련하여 현장조사 및 이와 관련된 제출자료를 토대로 조사한 결과, 다음과 같은 사실을 확인하였다.

1. 개인정보 수집 현황

피심인은 주택건설, 분양사업 등을 운영하면서 계약자 이름, 주민등록번호 등의 개인정보 건을 수집하여 보관하였다.

2. 개인정보 유출 경위

가. 유출 경로 및 규모

피심인 소속 영업관리부에서 주택 분양 계약 등의 업무를 담당했던 퇴사자 화성 송산 5ㆍ6차 아파트 및 인천 송도 1차 아파트ㆍ오피스텔 분양 계약자의 개인정보 공인중개사무소에 판매하였거나 판매 시도하였다.

이로 인해 송산 및 송도 분양 계약자 개인정보가 유출되었다.
※ 유출 규모 및 유출 항목은 피심인 제출자료로 산정함

나. 유출 경과 및 대응

< 1차 신고 >
피심인은 송산지역 공인중개사무소 로부터 송산 5차ㆍ6차 아파트 계약자 명단을 판매한다는 제보를 받아 그 사실을 확인하였으며, 이후 개인정보종합포털에 유출 신고 및 정보주체 유출 사실을 통지하고, 인터넷 홈페이지에도 게재하였다.

< 2차 신고 >
피심인은 송도지역 공인중개사무소 에서 송도 1차 아파트ㆍ오피스텔 계약자 명단을 구매한 사실을 확인하였으며, 이후 개인정보종합포털에 유출 신고 및 정보주체 유출 사실을 통지하고, 인터넷 홈페이지에도 게재하였다.


3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 고유식별정보를 포함한 개인정보를 유출한 행위

피심인 소속 퇴사자가 미상의 방법으로 취득한 고유식별정보( )가 포함된 송산ㆍ송도 분양 계약자의 개인정보( )를 공인중개사무소에 판매하였거나 판매 시도한 사실이 있다.

나. 안전성 확보에 필요한 조치를 소홀히 한 행위

피심인은 전보 또는 퇴직 등 인사이동으로 인해 개인정보취급자가 변경되었을 때 접근 권한 부여ㆍ변경ㆍ말소에 대한 내역을 기록ㆍ보관하지 않은 사실이 있다.

피심인은 개인정보취급자가 외부에서 개인정보처리시스템에 접속할 때 안전한 추가 인증수단을 적용하지 않고 아이디와 비밀번호만으로 접근 가능하도록 운영한 사실이 있다.

피심인은 개인정보처리시스템에서 개인정보가 포함된 자료를 다운로드한 경우 그 사유를 확인하지 않은 사실이 있다.

4. 처분의 사전통지 및 의견 수렴

개인정보보호위원회는 ’23. 1. 27. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’23. 2. 10. 개인정보보호위원회에 의견을 제출하였다.

Ⅲ. 위법성 판단

1. 관련 법령의 규정

보호법 제24조제3항은 “개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다.”라고 규정하고 있다.

같은 법 시행령 제21조제1항은 “법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제30조 또는 제48조의2를 준용한다. 이 경우 법 제29조는 법 제24조제3항으로, 개인정보는 고유식별정보로 본다.”라고 규정하고 있다.

개인정보의 안전성 확보조치 기준 고시(이하 '고시’라 함) 제5조제3항은 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 하고, 고시 제6조제2항은 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하며, 고시 제8조제2항은 개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다. 라고 규정하고 있다.

2. 위법성 판단

개인정보취급자가 변경되었을 때 접근 권한의 부여, 변경 또는 말소 내역을 기록ㆍ보관하지 않은 피심인의 행위는 보호법 제24조제3항, 같은 법 시행령 제21조제1항 및 고시 제5조제3항 위반에 해당한다.

외부에서 개인정보처리시스템 접속 시 추가 인증수단을 적용하지 않은 피심인의 행위는 보호법 제24조제3항, 같은 법 시행령 제21조제1항 및 고시 제6조제2항 위반에 해당한다.

개인정보취급자가 개인정보처리시스템에서 개인정보를 다운로드한 경우 그 사유를 확인하지 않은 행위는 보호법 제24조제3항, 같은 법 시행령 제21조제1항 및 고시 제8조제2항 위반에 해당한다.

Ⅳ. 처분 및 결정

1. 과징금 부과

주민등록번호가 유출된 경우로서 보호법 제24조제3항에 따른 안전성 확보에 필요한 조치를 다하지 않은 피심인에게 같은 법 제34조의2제1항, 같은 법 시행령 제40조의2제1항 [별표 1의3] 과징금 부과기준(이하 “과징금 부과기준”) 따라 다음과 같이 4,875만원의 과징금을 부과한다.

가. 기준금액 산정

피심인의 위반행위는 고의 또는 중과실이 없고 10만건 미만(1,208명)의 주민등록번호가 유출 등이 된 경우로 과징금의 부과기준 2. 가. 기본 산정기준에 따른 일반 위반행위에 해당하여 10,000만원으로 산정한다.

<과징금 부과기준 2. 가. 기본 산정기준>
<img src="/LSW/flDownload.do?flSeq=135157453" alt="1번째 이미지"></img>
나. 1차 조정

과징금의 부과기준 2. 나.에 따라 안전성 확보조치* 중 피해방지 후속 조치를 한 점 등을 고려하여 기준금액의 35%인 3,500만원을 감액한다.

* 개인정보에 대한 접근, 암호화, 보안 프로그램, 접속기록 보관 등, 피해 방지 후속 조치 등

< 과징금 부과기준 >
<img src="/LSW/flDownload.do?flSeq=135157455" alt="2번째 이미지"></img>
다. 2차 조정

과징금의 부과기준 2. 다.에 따라 피심인이 최근 3년 이내에 동일한 처분을 받은 적이 없는 점, 조사에 적극 협조한 점 등을 고려하여 1차 조정된 금액의 25%인 1,625만원을 감액한다.

< 과징금 부과기준 >
<img src="/LSW/flDownload.do?flSeq=135157457" alt="3번째 이미지"></img>
라. 부과과징금의 결정

피심인은 과징금의 부과기준 2. 라.에 따른 2차 조정된 과징금이 과중하다고 인정되는 사유에 해당하지 않으므로 감경 없이 2차 조정금액 유지한다. 따라서 보호법 제24조제3항을 위반한 행위에 대해 4,875만원의 과징금을 결정한다.

< 과징금 부과금액 산출내역 >
<img src="/LSW/flDownload.do?flSeq=135157459" alt="4번째 이미지"></img>
Ⅴ. 결론

피심인의 보호법 제24조(고유식별정보의 처리 제한)제3항 위반에 대해서 같은 법 제34조의2(과징금의 부과 등)제1항에 의한 과징금 부과를 주문과 같이 의결한다.

피심인은 이 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 그 처분을 받은 날부터 90일 이내에 중앙행정심판위원회에 행정심판청구 또는 관할법원에 행정소송을 제기할 수 있다.