개인정보보호위원회
심의ㆍ의결
제2023-215-284호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2023년 7월 12일
요지
안건번호 : 제2023-215-284호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : (사업자등록번호 : )대표자
의결연월일 : 2023. 7. 12.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : (사업자등록번호 : )대표자
의결연월일 : 2023. 7. 12.
주문
1. 피심인 에 대하여 다음과 같이 개선을 권고한다.
가. 피심인은 개인정보를 처리할 때는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 조치를 취하여야 한다.
1) 블로그 주소가 무작위로 자동 생성되거나, 이용자가 주소를 직접 입력하는 등의 방식을 통하여 이용자의 ID가 노출되지 않도록 블로그 서비스 주소체계를 개선하여야 한다.
나. 피심인은 가.의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.
가. 피심인은 개인정보를 처리할 때는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 조치를 취하여야 한다.
1) 블로그 주소가 무작위로 자동 생성되거나, 이용자가 주소를 직접 입력하는 등의 방식을 통하여 이용자의 ID가 노출되지 않도록 블로그 서비스 주소체계를 개선하여야 한다.
나. 피심인은 가.의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.
이유
Ⅰ. 기초 사실
인터넷 웹소설 포털사이트( )를 운영하는 (이하 '피심인’이라 한다)는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 16930호, 이하 '보호법’이라 한다)에 따른 개인정보처리자 및 정보통신서비스 제공자이며 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147391013" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 블로그 서비스 주소에 이용자 ID가 노출되고 있다는 민원이 제기됨에 따라 개인정보 취급ㆍ운영 실태 및 개인정보보호 법규 위반 여부를 조사하였으며, 다음과 같은 사실을 확인하였다.
2. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 수집 현황
피심인은 포털사이트를 운영하면서 2023. 5. 16. 기준 이용자 명의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=147391015" alt="2번째 이미지"></img>
나. 수집한 개인정보의 처리 등 행위 사실
가. 개인정보가 이용자의 의사와 무관하게 불특정 다수에 노출되도록 한 행위
피심인은 포털사이트에 회원가입 시 자동으로 블로그가 생성되도록 서비스를 운영하면서 블로그의 주소에 이용자의 아이디가 필수적으로 포함되도록 하여 이용자의 개인정보를 노출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제15조제1항은 “개인정보처리자는 정보주체의 동의를 받은 경우 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.”라고 규정하고 있다.
보호법 제39조의3제1항은 “정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우에는 개인정보의 수집ㆍ이용 목적, 수집하는 개인정보의 항목, 개인정보의 보유ㆍ이용 기간을 이용자에게 알리고 동의를 받아야 한다.”라고 규정하고 있다.
보호법 제39조의10제1항은 “정보통신서비스 제공자등은 주민등록번호, 계좌번호, 신용카드정보 등 이용자의 개인정보가 정보통신망을 통하여 공중에 노출되지 아니하도록 하여야 한다”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보 해당성
의 아이디는 회원 가입과정에서 본인 인증 과정을 거치므로 개인을 알아볼 수 있으며, 이메일 주소 등에 포함되어 개인을 식별할 수 있으므로 개인정보에 해당한다.
나. 개인정보 수집ㆍ이용 동의 위반 여부
보호법 제15조제1항 및 같은 법 제39조의3제1항에 따라 정보통신서비스 제공자 등은 이용자의 개인정보를 이용하려고 수집하는 경우 개인정보의 수집ㆍ이용 목적 등을 이용자에게 알리고 동의를 받아야 한다.
보호법 제39조의10제1항에 따라 정보통신서비스 제공자등은 주민등록번호, 계좌번호, 신용카드정보 등 이용자의 개인정보가 정보통신망을 통하여 공중에 노출되지 아니하도록 하여야 한다.
피심인은 포털사이트를 운영하면서 이용자가 회원가입 시 아이디를 수집하는 것에 대해 개인정보 수집 동의를 받고 있으며 기존 서비스 제공ㆍ개선 등을 위하여 아이디 등 개인정보를 이용한다고 동의를 받은 후 블로그 주소에 이용자의 아이디를 포함하여 개인정보를 노출하고 있지만, 노출된 아이디는 스팸메일 발송 등에 악용될 수 있으며 패스워드 대입 공격 대상이 될 수 있어 공중에 노출되지 아니하도록 할 필요성이 있다.
Ⅳ. 개선권고
가. 피심인은 개인정보를 처리할 때는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적ㆍ관리적 보호조치를 취하여야 한다.
1) 블로그 주소가 무작위로 자동 생성되거나, 이용자가 주소를 직접 입력하는 등의 방식을 통하여 이용자의 ID가 노출되지 않도록 블로그 서비스 주소체계를 개선하여야 한다.
나. 피심인은 가.의 개선권고에 따라 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치결과를 개인정보보호위원회에 제출하여야 한다.
Ⅴ. 결론
피심인의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
인터넷 웹소설 포털사이트( )를 운영하는 (이하 '피심인’이라 한다)는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 16930호, 이하 '보호법’이라 한다)에 따른 개인정보처리자 및 정보통신서비스 제공자이며 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147391013" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 블로그 서비스 주소에 이용자 ID가 노출되고 있다는 민원이 제기됨에 따라 개인정보 취급ㆍ운영 실태 및 개인정보보호 법규 위반 여부를 조사하였으며, 다음과 같은 사실을 확인하였다.
2. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 수집 현황
피심인은 포털사이트를 운영하면서 2023. 5. 16. 기준 이용자 명의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=147391015" alt="2번째 이미지"></img>
나. 수집한 개인정보의 처리 등 행위 사실
가. 개인정보가 이용자의 의사와 무관하게 불특정 다수에 노출되도록 한 행위
피심인은 포털사이트에 회원가입 시 자동으로 블로그가 생성되도록 서비스를 운영하면서 블로그의 주소에 이용자의 아이디가 필수적으로 포함되도록 하여 이용자의 개인정보를 노출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제15조제1항은 “개인정보처리자는 정보주체의 동의를 받은 경우 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.”라고 규정하고 있다.
보호법 제39조의3제1항은 “정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우에는 개인정보의 수집ㆍ이용 목적, 수집하는 개인정보의 항목, 개인정보의 보유ㆍ이용 기간을 이용자에게 알리고 동의를 받아야 한다.”라고 규정하고 있다.
보호법 제39조의10제1항은 “정보통신서비스 제공자등은 주민등록번호, 계좌번호, 신용카드정보 등 이용자의 개인정보가 정보통신망을 통하여 공중에 노출되지 아니하도록 하여야 한다”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보 해당성
의 아이디는 회원 가입과정에서 본인 인증 과정을 거치므로 개인을 알아볼 수 있으며, 이메일 주소 등에 포함되어 개인을 식별할 수 있으므로 개인정보에 해당한다.
나. 개인정보 수집ㆍ이용 동의 위반 여부
보호법 제15조제1항 및 같은 법 제39조의3제1항에 따라 정보통신서비스 제공자 등은 이용자의 개인정보를 이용하려고 수집하는 경우 개인정보의 수집ㆍ이용 목적 등을 이용자에게 알리고 동의를 받아야 한다.
보호법 제39조의10제1항에 따라 정보통신서비스 제공자등은 주민등록번호, 계좌번호, 신용카드정보 등 이용자의 개인정보가 정보통신망을 통하여 공중에 노출되지 아니하도록 하여야 한다.
피심인은 포털사이트를 운영하면서 이용자가 회원가입 시 아이디를 수집하는 것에 대해 개인정보 수집 동의를 받고 있으며 기존 서비스 제공ㆍ개선 등을 위하여 아이디 등 개인정보를 이용한다고 동의를 받은 후 블로그 주소에 이용자의 아이디를 포함하여 개인정보를 노출하고 있지만, 노출된 아이디는 스팸메일 발송 등에 악용될 수 있으며 패스워드 대입 공격 대상이 될 수 있어 공중에 노출되지 아니하도록 할 필요성이 있다.
Ⅳ. 개선권고
가. 피심인은 개인정보를 처리할 때는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적ㆍ관리적 보호조치를 취하여야 한다.
1) 블로그 주소가 무작위로 자동 생성되거나, 이용자가 주소를 직접 입력하는 등의 방식을 통하여 이용자의 ID가 노출되지 않도록 블로그 서비스 주소체계를 개선하여야 한다.
나. 피심인은 가.의 개선권고에 따라 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치결과를 개인정보보호위원회에 제출하여야 한다.
Ⅴ. 결론
피심인의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).