제2023-013-167호

안건번호 : 제2023-013-167호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
신청인 : (사업자등록번호 : )대표자
의결연월일 : 2023. 7. 26.

1. 피심인에 대하여 다음과 같이 시정조치를 명한다.
가. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제8항, 제5조제1항, 제6조제2항, 제6조제3항에 따른 보호조치를 취하여야 한다.
1) 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 수립하고 이를 적용ㆍ운영하여야 한다.
2) 피심인의 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존ㆍ관리하여야 한다.
3) 피심인은 주민등록번호, 계좌번호 등에 대해서는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.
4) 피심인은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.
나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제1항 및 제2항을 준수하도록 조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자로부터 제3자 제공 동의 및 홍보ㆍ마케팅 동의를 받을 때 각각의 목적에 따라 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받도록 하여야 한다.
2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보 수집ㆍ이용 동의, 제3자 제공 동의, 홍보ㆍ마케팅 관련 동의 시 중요사항을 표시(글자 색상, 크기, 굵기, 밑줄 등)할 수 있도록 하여야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제6항, 같은 법 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항을 준수하도록 조치를 취하여야 한다.
라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제3항, 제4조제4항, 제4조제5항, 제4항제8항, 제5조제1항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하고 관리할 수 있도록 하여야 한다.
2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증 수단을 적용할 수 있도록 하여야 한다.
3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자가 외부에서 개인정보처리시스템에 접속 시 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한할 수 있도록 하여야 한다.
4) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 수립하고 이를 적용하여야 한다.
5) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존ㆍ관리할 수 있도록 하여야 한다.
마. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제30조(개인정보 처리방침의 수립 및 공개) 제2항을 준수하도록 조치를 취하여야 한다.
바. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제39조의6(개인정보 파기에 대한 특례) 제1항을 준수하도록 조치를 취하여야 한다.
사. 피심인은 가.부터 바.까지의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 60일 이내에 이행 결과를 개인정보보호위원회에 제출하여야 한다.
2. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 4,200,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
4. 피심인에 대하여 다음과 같이 개선권고를 명한다.
가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.
나. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제9항, 제4조제10항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.
2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 관리자페이지에 대한 최대 접속시간을 이용사업자가 설정하도록 기능을 제공하거나, 고정으로 제공하는 경우 개인정보 보호 법규에서 요구하는 적정시간인지 정책을 재검토하여 필요한 경우 개선하여야 한다.
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 이용사업자*에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자와 리셀러**의 정보를 직접 수집하는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 제16930호, 이하 '보호법’이라 한다.)에 따른 개인정보처리자 및 정보통신서비스 제공자이고, 이용사업자가 수집한 이용자의 개인정보를 처리하는 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.

* (이용사업자) 온라인으로 전용 쇼핑몰을 구축하여 상품을 판매하고자 하는 판매자로, 구매자(이하, '이용자’)의 정보를 직접 수집하는 정보통신서비스 제공자

** (리셀러) 회원으로 가입한 후 해당 쇼핑몰솔루션을 홍보하여 쇼핑몰 개설까지 이어지는 경우 수수료를 받는 자, 추천인 제도와 유사
<img src="/LSW/flDownload.do?flSeq=147391287" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 코로나19 이후 전자상거래 시장이 확대되면서 쇼핑몰 신규 개설이 쉬운 쇼핑몰솔루션을 이용한 쇼핑몰 수가 폭발적으로 증가(각주:코로나19 이후 신규 쇼핑몰 약 40만개 추정, 이중 이용 쇼핑몰 28만개(’22.3.7.)
이용 쇼핑몰은 190만개 (쇼핑몰솔루션 3사, 엇갈린 운명 속 승자는?, '21.8.17.)) 하고, 지난 2년간 쇼핑몰솔루션의 취약점을 악용한 유출사고가 10여 건 지속 발생됨에 따라 쇼핑몰 보호조치 강화 필요성이 인지되어, 보호법 위반 여부를 조사(’23. 3. 2. ～ '23. 5. 12.)하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집현황

피심인은 쇼핑몰솔루션 ’ '과 ’ ' 서비스를 제공ㆍ운영하면서 ’23. 3. 16. 기준 건의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=147391289" alt="2번째 이미지"></img>
나. 쇼핑몰솔루션 서비스 이용 흐름

피심인은 이용사업자와 리셀러의 개인정보를 회원가입의 방식으로 직접 수집하고 있으며, 피심인의 쇼핑몰솔루션 서비스 이용 절차는 ①이용사업자가 쇼핑몰솔루션 제공사업자의 홈페이지를 통해 회원가입 후, ②이용사업자는 쇼핑몰솔루션 관리자 화면에서 쇼핑몰 생성 및 상품을 등록하고 ③쇼핑몰을 오픈하면 이용자는 이용사업자의 쇼핑몰을 이용하게 된다.

피심인은 이용사업자에게 쇼핑몰을 운영ㆍ관리할 수 있는 관리자페이지를 제공하며, 이용사업자의 요청에 따라 위수탁 계약을 체결하고 있고, 쇼핑몰 운영 시 부가서비스 결제(PG)수수료, 이미지 제작 등 템플릿 제작을 통한 별도의 수익이 발생한다.

3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실

피심인은 ' ’ 서비스의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 적용하지 않고 운영한 사실이 있다.

또한, 피심인은 ' ’ 서비스의 리셀러 회원에 대한 개인정보취급자의 접속기록을 보관하지 않은 사실이 있다.

아울러, 피심인은 ' ’ 서비스의 회원(68명)*이 업로드한 통장사본 및 신분증 파일을 별도의 암호화 없이 서버에 저장하고, ' ’ 서비스의 특정 페이지에 로그인 후 http로 강제 변환하여 비밀번호를 전송하는 경우 전송구간이 암호화되지 않은 사실이 있다.

* 피심인에 리셀러 회원으로 가입한 이용자는 4,087명이며, 그중 통장 및 신분증 사본을 등록한 이용자는 68명 그중 정산 이력이 없는 이용자는 20명임

※ 에서 http로 접속하여 비밀번호를 전송하는 경우 암호화되지 않음

나. 주민등록번호를 회원가입 시 미리 수집한 사실

피심인은 리셀러가 정산대상 여부인지와 무관하게 리셀러 회원가입 후 주민등록번호(신분증 사본)를 수집ㆍ저장한 사실이 있다.
다. 쇼핑몰솔루션에 보안취약점이 존재한 사실

피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조), 운영체제 명령 실행 취약점 등의 보안취약점이 존재한 사실이 있다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 피심인에게 웹 취약점을 점검받을 수 있는 기능이나 서비스는 제공하지 않으며, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션에 적용하여 개선하도록 운영한 사실이 있다.

라. 쇼핑몰솔루션에 안전조치 의무를 소홀히 한 사실

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소할 수 있는 기능은 제공하고 있으나, ' ’은 이용사업자의 개인정보취급자 계정에 대한 접근권한의 부여ㆍ변경ㆍ말소한 내역을 1년간 보관하고, 이용사업자가 1년까지만 조회할 수 있도록 기능을 제공하고, ' ’는 이용사업자의 개인정보취급자 계정에 대한 접근권한의 부여ㆍ변경ㆍ말소 기록을 5년간 보관하지 않고, 이용사업자가 확인할 수 있는 기능도 제공하지 않은 사실이 있다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자가 외부에서 정보통신망을 통해 개인정보처리시스템에 접속하는 경우 개인정보 취급자의 계정, 비밀번호 외에 안전한 인증수단을 적용하는 기능을 제공하지 않은 사실이 있다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자가 외부에서 개인정보처리시스템에 접속 시 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하는 기능을 제공하지 않은 사실이 있다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자 계정 비밀번호를 '1234’로 입력이 가능하게 하고, 비밀번호 유효기간 설정 등 비밀번호 작성규칙을 설정하는 기능을 제공하지 않은 사실이 있다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 관리자페이지 최대 접속시간을 이용사업자가 설정할 수 있도록 기능을 제공하지 않고, 고정(2시간)으로 적용하여 운영한 사실이 있다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소 1년 이상 보관하지 않고, 관리할 수 있는 기능도 제공하지 않은 사실이 있다.

마. 쇼핑몰솔루션의 동의받는 방법을 각각의 목적에 따라 동의받는 기능 및 중요사항을 표시할 수 있는 기능을 제공하지 않은 사실

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자가 개인정보의 수집ㆍ이용 동의, 제3자 제공 동의, 홍보ㆍ마케팅에 대해 동의받을 때 중요사항(글자 색상, 크기, 굵기, 밑줄 등)을 표시할 수 있는 기능을 제공하나, 이용사업자가 중요사항 표시를 변경할 수 없도록 운영한 사실이 있다.

또한, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자가 개인정보 수집ㆍ이용 동의 시 중요사항(글자 색상, 크기, 굵기, 밑줄 등)을 표시할 수 있는 기능을 제공하지 않고, 개인정보의 제3자 제공 동의 및 홍보ㆍ마케팅에 대해 동의받을 때 별도로 동의받을 수 있는 기능과 중요사항(글자 색상, 크기, 굵기, 밑줄 등)을 표시할 수 있는 기능을 제공하지 않은 사실이 있다.
바. 쇼핑몰솔루션에 만 14세 미만 아동의 개인정보를 수집 시 법정대리인 동의 확인을 소홀히 한 사실

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 '만 14세 미만 아동의 개인정보를 수집’할 수 있도록 기능을 제공하나, 별도의 인증 없이도 가입할 수 있도록 운영한 사실이 있다.

또한, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 '만 14세 미만 아동의 개인정보를 수집’할 수 있도록 기능을 제공하나, 본인인증, 생년월일 입력 등의 방법으로 아동 여부를 확인하는 절차 및 법정대리인의 동의 확인 기능이나 절차를 제공하지 않은 사실이 있다.

사. 개인정보 처리에 대해 위수탁 계약체결 방법을 미리 알리지 않은 사실

피심인은 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 사실이 있다.

아. 쇼핑몰솔루션에 개인정보처리방침 변경 이력 관리 기능을 제공하지 않은 사실

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침을 작성ㆍ수정하여 공개할 수 있도록 기능을 제공하고 있으나, 이용사업자에게 개인정보 처리방침 변경 이력 조회 등 관리 기능을 제공하지 않은 사실이 있다.

자. 쇼핑몰솔루션에 개인정보 유효기간제 적용 기능을 제공하지 않은 행위

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 쇼핑몰 이용자가 1년 이상의 기간 동안 이용하지 아니하는 경우 휴면회원으로 전환되도록 기준을 설정하고 있으나, 휴면회원을 분리보관하는 기능은 제공하지 않은 사실이 있다.

4. 처분의 사전통지 및 의견수렴

개인정보보호위원회는 2023. 6. 1. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 같은 해 6. 14. 개인정보보호위원회에 의견을 제출하였다.


Ⅲ. 위법성 판단

1. 관련법 규정

가. 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.

나. 보호법 제22조제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야”하고 같은조 제2항은 ”개인정보처리자는 제1항의 동의를 서면(「전자문서 및 전자거래 기본법」 제2조제1호에 따른 전자문서를 포함한다)으로 받을 때에는 개인정보의 수집ㆍ이용 목적, 수집ㆍ이용하려는 개인정보의 항목 등 대통령령으로 정하는 중요한 내용을 보호위원회가 고시로 정하는 방법에 따라 명확히 표시하여 알아보기 쉽게 하여야 한다.“라고 규정하고 있다.

같은 법 시행령 제17조제2항은 “대통령령으로 정하는 중요한 내용”은 ’개인정보의 수집ㆍ이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정보주체에게 연락할 수 있다는 사실(제1호)', ’처리하려는 개인정보의 항목 중 민감정보, 여권번호, 운전면허번호, 외국인등록번호(제2호)', ’개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)(제3호)', ’개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적(제4호)'로 규정하고 있다.

한편, 보호법 제22조제2항에 따라 중요한 내용을 구체적으로 정하고 있는 「개인정보 처리 방법에 관한 고시」(개인정보보호위원회 고시 제2020-7호) 제4조는 “글씨의 크기는 최소한 9포인트 이상으로서 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게 할 것(제1호)”, “글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것(제2호)”, “동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖의 내용과 별도로 구분하여 표시할 것(제3호)”이라고 규정하고 있다.

다. 보호법 제22조제6항은 “개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야“ 하며, 같은 법 제39조의3제4항은 ”정보통신서비스 제공자는 만 14세 미만의 아동으로부터 개인정보 수집ㆍ이용ㆍ제공 등의 동의를 받으려면 그 법정대리인의 동의를 받아야 하고, 대통령령으로 정하는 바에 따라 법정대리인이 동의하였는지를 확인하여야 한다“라고 규정하고 있다.

라. 보호법 제26조제1항은 업무위탁에 따른 개인정보의 처리 제한에 대한 규정으로 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 ’위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항(제1호)', ’개인정보의 기술적ㆍ관리적 보호조치에 관한 사항(제2호)', ’그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항(제3호)'의 내용이 포함된 문서에 의하여야”하고, 제6항은 “수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원”으로 보며, 제7항은 “수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.”라고 규정하고 있다.

보호법 시행령 제28조제1항은 ’위탁업무의 목적 및 범위(제1호)', ’재위탁 제한에 관한 사항(제2호)', ’개인정보에 대한 접근제한 등 안전성 확보조치에 관한 사항(제3호)', ’위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항(제4호)', ’법 제26조제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항(제5호)'으로 규정하고 있다.

한편, 보호법 제12조에 따라 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등에 관하여 정하고 있는 표준 개인정보 보호지침(이하 ’표준지침' 이라 한다) 제17조에는 “수탁자는 위탁받은 개인정보를 보호하기 위하여 「개인정보의 안전성 확보조치 기준 고시」에 따른 관리적ㆍ기술적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

마. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

보호법 시행령 제48조의2제1항제2호는 “개인정보에 대한 불법적인 접근을 차단하기 위해 '개인정보처리시스템에 대한 접근권한의 부여ㆍ변경ㆍ말소 등에 대한 기준의 수립ㆍ시행(가목)’, '개인정보처리시스템에 대한 침입차단시스템 및 침입탐지시스템의 설치ㆍ운영(나목)’, '비밀번호의 생성 방법, 변경 주기 등의 기준 설정 및 운영(라목)’, '그 밖에 개인정보에 대한 접근통제를 위하여 필요한 조치(마목)’ 등의 조치를 하여야 한다.”라고 규정하고 있고, 제3호는 “접속기록의 위조ㆍ변조 방지를 위한 '개인정보취급자가 개인정보처리시스템에 접속하여 개인정보를 처리한 경우 접속일시, 처리내역 등의 저장 및 이의 확인ㆍ감독(가목)’, '개인정보처리시스템에 대한 접속기록을 별도의 저장장치에 백업 보관(나목)’의 조치를 하여야 한다.”라고 규정하고 있고, 제4호는 “개인정보가 안전하게 저장ㆍ전송될 수 있도록 하기 위한 '주민등록번호, 계좌정보 및 제18조제3호에 따른 정보 등 보호위원회가 정하여 고시하는 정보의 암호화 저장(나목)', ’정보통신망을 통하여 이용자의 개인정보 및 인증정보를 송신ㆍ수신하는 경우 보안서버 구축 등의 조치(다목)' 등의 조치를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.

한편, 보호법 시행령 제48조의2제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호, 이하 '고시’라 한다) 제4조제3항은 “개인정보처리시스템의 접근권한 부여, 변경, 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관하여야”하고, 제4조제4항은 “개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증 수단을 적용하여야” 하고, 제4조제5항은 “정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 '개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한(제1호)’, '개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지(제2호)’의 기능을 포함한 시스템을 설치ㆍ운영하여야” 하고, 제4조제8항은 “개인정보취급자를 대상으로 '영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성(제1호)’, '연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고(제2호)’, '비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경(제3호)’를 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용ㆍ운용하여야” 하고, 제4조제9항은 “처리중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템에 조치를 취하여야” 하고, 제4조제10항은 “개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 최대 접속시간 제한 등의 조치를 취하여야 한다.”라고 해설하고 있다.
제5조제1항은 “개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존ㆍ관리”하여야 하고, 제6조제2항은 “'주민등록번호(제1호)’, '계좌번호(제6호)’ 등의 정보에 대해서는 안전한 암호알고리즘으로 암호화하여 저장”하여야 하고, 제6조제3항은 “정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 하고, 보안서버는 '웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화하여 송ㆍ수신하는 기능(제1호)’, '웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송ㆍ수신하는 기능(제2호)’ 중 하나의 기능을 갖추어야 한다.”라고 규정하고 있다.

고시 해설서는 고시 제4조제3항에 대해 “개인정보처리시스템에 접근권한 부여, 변경, 말소 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 5년간 보관하여야 하며, 관리대장 등에는 신청자 정보, 신청 및 적용 일시, 승인자 및 발급자 정보, 신청 및 발급사유 등의 내용이 포함되어야 하며 공식적인 절차를 통하여 관리하여야 한다.”라고 해설하고 있고, 고시 제4조제4항에 대해 “외부에서 개인정보처리시스템에 접속 시 단순히 아이디와 비밀번호만을 이용할 경우 유출 위험이 커지기 때문에 계정(ID)과 비밀번호를 통한 개인정보취급자 식별ㆍ인증과 더불어 인증서, 보안토큰, 휴대전화 인증, 일회용 비밀번호(OTP : One Time Password), 바이오정보 등을 활용한 추가적인 인증수단의 적용이 필요하다.”라고 해설하고 있고, 고시 제4조제5항에 대해 “정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 침입차단시스템, 침입탐지시스템, 침입방지시스템, 보안 운영체제(Secure OS), 웹방화벽, 로그분석시스템, ACL(Access Control List)을 적용한 네트워크 장비, 통합보안관제시스템 등을 스스로의 환경을 고려하여 접근제한 기능 및 유출 탐지 기능이 적합하게 수행되도록 설치ㆍ운영하여야 한다.”라고 해설하고 있고, 고시 제4조제8항에 대해 “개인정보취급자가 안전한 비밀번호를 설정하여 이행할 수 있도록 연속적인 문자열이나 숫자, 생년월일, 전화번호 등 추측하기 쉬운 정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고하고, 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경 등을 포함하는 비밀번호 작성규칙을 수립하고 이를 개인정보처리시스템 등에 적용하여야 한다.”라고 해설하고 있고, 고시 제4조제9항에 대해 “인터넷 홈페이지 운영ㆍ관리 시 취약점을 점검하고 그 결과에 따른 적절한 개선 조치 등의 개인정보 유ㆍ노출 방지를 위한 보안대책 및 기술 적용에 따른 적정성을 검증하고 개선조치를 하여야 한다”라고 해설하고 있고, 고시 제4조제10항에 대해 “개인정보처리시스템에 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않을 때에는 자동으로 시스템 접속이 차단되도록 최대 접속시간 제한 등의 조치를 취하여야 하고, 최대 접속시간 제한 조치는 개인정보처리시스템에 접속하는 업무용 컴퓨터 등에서 해당 개인정보처리시스템에 대한 접속을 차단하는 것을 의미하며, 최대 접속시간이 경과하면 개인정보처리시스템과 연결이 완전히 차단되어 정보의 송ㆍ수신이 불가능한 상태가 되어야 하며, 개인정보취급자가 최대 접속시간 제한 등의 조치로 인하여 개인정보처리시스템에 대한 접속이 차단된 이후 다시 접속하고자 할 때에는 그 방법ㆍ절차 등이 최초의 접속 방법ㆍ절차 등과 동일한 수준 이상이 되어야 하고, 최대 접속시간에 대하여 최소한(통상 10분~ 30분 이내)으로 정하되, 장시간 접속이 필요할 경우 접속시간 등 그 기록을 보관ㆍ관리하여야 한다”라고 해설하고 있다.

또한, 고시 제5조제1항에 대해 “개인정보처리시스템에 불법적인 접속 및 운영, 비정상적인 행위 등 이상 유무의 확인 등을 위해 다음의 사항 등을 포함하는 접속기록을 최소 1년 이상 보존ㆍ관리하여야 한다”라고 해설하고 있고, 고시 제6조제2항에 대해 “주민등록번호, 계좌번호 등은 국내 및 미국, 일본, 유럽 등의 국외 암호 연구 관련 기관에서 사용 권고하는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다”라고 해설하고 있고, 고시 제6조제3항에 대해 “이용자의 성명, 연락처 등의 개인정보와 인증정보를 정보통신망을 통해 인터넷 구간으로 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 암호화하여야 한다“라고 해설하고 있다.

바. 보호법 제30조제2항은 개인정보 처리방침의 수립 및 공개에 대한 규정으로 ”개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야“ 한다고 규정하고 있다.

같은 법 시행령 제31조제2항은 ”개인정보처리자는 법 제30조제2항에 따라 수립하거나 변경한 개인정보 처리방침을 개인정보처리자의 인터넷 홈페이지에 지속적으로 게재하여야“ 한다고 규정하고 있다.

표준지침 제21조는 ”개인정보처리자가 개인정보 처리방침을 변경하는 경우에는 변경 및 시행의 시기, 변경된 내용을 지속적으로 공개하여야 하며, 변경된 내용은 정보주체가 쉽게 확인할 수 있도록 변경 전ㆍ후를 비교하여 공개하여야“ 한다고 규정하고 있다.

사. 보호법 제39조의6제1항은 ”정보통신서비스 제공자등은 정보통신서비스를 1년의 기간 동안 이용하지 아니하는 이용자의 개인정보를 보호하기 위하여 대통령령으로 정하는 바에 따라 개인정보의 파기 등 필요한 조치를 취하여야 한다. 다만, 그 기간에 대하여 다른 법령 또는 이용자의 요청에 따라 달리 정한 경우에는 그에 따른다“라고 규정하고 있다.

같은 법 시행령 제48조의5제1항은 ”정보통신서비스 제공자등은 이용자가 정보통신서비스를 법 제39조의6제1항의 기간 동안 이용하지 않는 경우에는 이용자의 개인정보를 해당 기간 경과 후 즉시 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장ㆍ관리해야 한다. 다만, 법 제39조의6제1항 본문에 따른 기간(법 제39조의6제1항 단서에 따라 이용자의 요청에 따라 달리 정한 경우에는 그 기간을 말한다)이 경과한 경우로서 다른 법령에 따라 이용자의 개인정보를 보존해야 하는 경우에는 다른 법령에서 정한 보존기간이 경과할 때까지 다른 이용자의 개인정보와 분리하여 별도로 저장ㆍ관리해야 한다“라고 규정하고 있다.

2. 위법성 판단

가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위
{보호법 제29조(안전조치의무) 중 접근통제, 접속기록, 암호화}

피심인이 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 적용하지 않고 운영한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제8항을 위반한 것이다.

또한, 피심인이 피심인의 리셀러 회원에 대한 개인정보취급자의 접속기록을 보관하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제5조제1항을 위반한 것이다.

아울러, 피심인이 피심인의 리셀러 회원(68명)이 업로드한 통장사본 및 신분증 파일을 별도의 암호화 없이 서버에 저장한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제6조제2항을, 특정 페이지에 로그인 후 http로 강제 변환하여 비밀번호를 전송하는 경우 전송구간이 암호화되지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제6조제3항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=147391291" alt="3번째 이미지"></img>
나. 주민등록번호를 회원가입 시 미리 수집한 행위
{보호법 제3조제1항(개인정보 보호 원칙)}

현행법은 주민등록번호를 수집하는 시점에 대해 명문화된 규정이 없어, 피심인이 리셀러가 정산대상 여부인지와 무관하게 사유 발생 전인 리셀러 회원가입 후 주민등록번호(신분증 사본)를 수집ㆍ저장한 행위에 대해 위반이라고 보기는 어려우나, 보호법 제3조제1항은 개인정보 처리목적에 필요한 범위에서 최소한의 개인정보만을 정당하게 수집하도록 하는 취지를 담고 있으며, 「알기쉬운 개인정보 처리 동의 안내서」에도 '개인정보의 이용 여부가 불확실함에도 미리 포괄적으로 수집하지 말아야 하며, 해당 개인정보의 이용이 필요한 시점에서 수집하여야 한다.'라고 안내하는 점을 볼 때 정보가 필요한 시점에 수집하도록 개선할 필요가 있다.

다. 쇼핑몰솔루션에 보안취약점이 존재한 행위
{보호법 제29조(안전조치의무) 중 접근통제}

이용사업자는 제품의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 쇼핑몰솔루션 제공사업자는 이용사업자의 수탁사이므로 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제9항을 준수할 수 있도록 조치를 취하여야 한다.

피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조), 운영체제 명령 실행 등의 보안취약점이 존재한 사실이 있으나, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션에 적용하여 개선하도록 운영하는 업무처리 형태로 피심인이 조사과정에서 보안취약점을 인지하고 즉시 시정을 완료('23. 4. 27. ~ ’23. 6. 20.)하여 시정명령 하지 않는다.

다만, 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알릴 필요가 있다.

라. 쇼핑몰솔루션에 안전조치 의무를 소홀히 한 행위
{보호법 제29조(안전조치의무) 중 접근통제, 접속기록}

피심인은 이용사업자에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자의 정보 및 리셀러 회원의 정보를 직접 수집하는 ①정보통신서비스 제공자이며, 이용사업자가 수집한 이용자의 개인정보를 처리하는 ②수탁자의 지위를 동시에 가진다.

이용사업자는 쇼핑몰솔루션의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 이용사업자의 수탁사이므로 보호법을 준수할 수 있는 기능을 갖춘 쇼핑몰솔루션 서비스를 제공하여야 한다.

피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하지 않고, 1년간의 기록에 대해서만 관리할 수 있는 기능을 제공하거나 관리할 수 있는 기능을 제공하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제3항을 위반한 것이다.

피심인이 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자가 외부에서 정보통신망을 통해 개인정보처리시스템에 접속하는 경우 안전한 인증수단을 적용하는 기능을 제공하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제4항을 위반한 것이다.

피심인이 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자가 외부에서 개인정보처리시스템에 접속 시 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하는 기능을 제공하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제5항을 위반한 것이다.

피심인이 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자 계정 비밀번호에 ' ’가 입력 가능하고, 비밀번호 유효기간 설정 등 비밀번호 작성규칙을 설정하는 기능을 제공하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제8항을 위반한 것이다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )의 관리자페이지에 대한 최대 접속시간을 이용사업자가 설정할 수 있도록 기능을 제공하지 않고, 고정(2시간)으로 적용하여 운영한 행위는 위법하다고 볼 수는 없으나, 불법적인 접근 및 침해사고 방지를 위하여 이용사업자에게 적절한 최대 접속시간을 스스로 설정할 수 있도록 기능을 제공하거나, 고정으로 제공하는 경우는 개인정보 보호 법규에서 요구하는 적정시간인지 정책을 재검토하여 개선할 필요가 있다.

피심인이 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소 1년 이상 보관하지 않고, 관리할 수 있는 기능도 제공하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제5조제1항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=147391293" alt="4번째 이미지"></img>
마. 쇼핑몰솔루션에 동의받는 방법을 각각의 목적에 따라 동의받는 기능 및 중요사항을 표시할 수 있는 기능을 제공하지 않은 행위
{보호법 제22조(동의를 받는 방법) 중 구분 동의, 중요사항 표시}

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자가 개인정보의 수집ㆍ이용 동의, 제3자 제공 동의, 홍보ㆍ마케팅에 대해 동의받을 때 중요사항(글자 색상, 크기, 굵기, 밑줄 등)을 표시할 수 있는 기능을 제공하나, 이용사업자가 중요사항 표시를 변경할 수 없도록 운영한 행위는 보호법 제22조제2항을 위반한 것이다.

또한, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자가 개인정보 수집ㆍ이용 동의 시 중요사항(글자 색상, 크기, 굵기, 밑줄 등)을 표시할 수 있는 기능을 제공하지 않고, 개인정보의 제3자 제공 동의 및 홍보ㆍ마케팅에 대해 동의받을 때 별도로 동의받을 수 있는 기능과 중요사항(글자 색상, 크기, 굵기, 밑줄 등)을 표시할 수 있는 기능을 제공하지 않은 행위는 보호법 제22조제1항 및 제2항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=147391295" alt="5번째 이미지"></img>
바. 쇼핑몰솔루션에 만 14세 미만 아동의 개인정보를 수집 시 법정대리인 동의 확인을 소홀히 한 사실
{보호법 제22조(동의를 받는 방법), 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 중 법정대리인 동의 확인}

피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 '만 14세 미만 아동의 개인정보를 수집’할 수 있도록 기능을 제공하나, 별도의 인증 없이도 가입할 수 있도록 운영하거나 본인인증, 생년월일 입력 등의 방법으로 아동 여부를 확인하는 절차 및 법정대리인의 동의 확인 기능이나 절차를 제공하지 않은 행위는 보호법 제22조제6항, 제39조의3제4항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=147391297" alt="6번째 이미지"></img>
사. 개인정보 처리에 대한 위수탁 계약체결 방법을 미리 알리지 않은 행위
{보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)}

피심인이 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 행위는 위법하지는 않으나, 이용사업자가 위탁자로서 보호법을 준수할 수 있도록 위수탁 계약을 체결하는 방법과 절차를 이용약관, 공지사항 등을 통해 알릴 필요가 있다.

아. 쇼핑몰솔루션에 개인정보처리방침 변경 이력 관리 기능을 제공하지 않은 행위
{보호법 제30조(개인정보처리방침의 수립 및 공개) 중 변경 이력 관리}

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침을 작성ㆍ수정하여 공개할 수 있도록 기능을 제공하고 있으나, 이용사업자에게 개인정보 처리방침의 변경 이력 관리 기능을 제공하지 않은 행위는 보호법 제30조제2항을 위반한 것이다.
자. 쇼핑몰솔루션에 개인정보 유효기간제 적용 기능을 제공하지 않은 행위
{보호법 제39조의6(개인정보의 파기에 대한 특례)}

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 이용사업자의 쇼핑몰 이용자가 1년 이상의 기간 동안 이용하지 아니하는 경우 휴면회원으로 전환되도록 기준을 설정하고 있으나, 실제로 이를 적용하여 운영할 수 있는 기능을 제공하지 않은 행위는 보호법 제39조의6제1항을 위반한 것이다.


Ⅳ. 처분 및 결정

1. 시정조치 명령

가. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제8항, 제5조제1항, 제6조제2항, 제6조제3항에 따른 보호조치를 취하여야 한다.

1) 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 수립하고 이를 적용ㆍ운영하여야 한다.

2) 피심인의 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존ㆍ관리하여야 한다.

3) 피심인은 주민등록번호, 계좌번호 등에 대해서는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.
4) 피심인은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.

나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제1항 및 제2항을 준수하도록 조치를 취하여야 한다.

1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자로부터 제3자 제공 동의 및 홍보ㆍ마케팅 동의를 받을 때 각각의 목적에 따라 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받도록 하여야 한다.

2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보 수집ㆍ이용 동의, 제3자 제공, 홍보ㆍ마케팅 관련 중요사항을 표시(글자 색상, 크기, 굵기, 밑줄 등)할 수 있도록 하여야 한다.

다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제6항, 같은 법 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항을 준수하도록 조치를 취하여야 한다.

라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제3항, 제4조제4항, 제4조제5항, 제4항제8항, 제5조제1항에 따른 보호조치를 취하여야 한다.

1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하고 관리할 수 있도록 하여야 한다.

2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증 수단을 적용할 수 있도록 하여야 한다.

3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자가 외부에서 개인정보처리시스템에 접속 시 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한할 수 있도록 하여야 한다.

4) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 수립하고 이를 적용하여야 한다.

5) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존ㆍ관리할 수 있도록 하여야 한다.

마. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제30조(개인정보 처리방침의 수립 및 공개) 제2항을 준수하도록 조치를 취하여야 한다.

바. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제39조의6(개인정보 파기에 대한 특례) 제1항을 준수하도록 조치를 취하여야 한다.

사. 피심인은 가.부터 바.까지의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 60일 이내에 이행 결과를 개인정보보호위원회에 제출하여야 한다.

2. 과태료 부과

피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과태료는 같은 법 제75조(과태료) 제2항제6호 및 같은 법 시행령 제63조의〔별표2〕'과태료 부과기준’ 및「개인정보 보호법 위반에 대한 과태료 부과기준」(2023. 3. 8. 일부 개정, 이하 '과태료 부과지침’이라 한다)에 따라 다음과 같이 부과한다.

가. 기준금액

보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제29조(안전조치의무) 위반에 대해서는 1회 위반에 해당하는 과태료인 600만 원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=147391299" alt="7번째 이미지"></img>
나. 과태료의 가중 및 감경

1) (과태료의 가중) 과태료 부과지침 제8조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.

피심인의 보호법 제29조(안전조치의무)에 대해서 ▲제3호 위반행위별 각 목의 세부기준에서 정한 행위가 3개 이상에 해당하는 경우, ▲위반 기간이 3개월 이상인 경우로 기준금액의 20%를 가중한다.

2) (과태료의 감경) 과태료 부과지침 제7조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.'라고 규정하고 있다.

피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여, ▲일관되게 행위 사실을 인정하면서 위법성 판단에 도움 되는 자료를 제출 또는 진술하는 등 조사에 적극적으로 협력한 점, ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료한 점 등을 종합적으로 고려하여 과태료 부과지침 제7조에 따라 기준금액의 50%를 감경한다.

다. 최종 과태료

피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 420만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=147391301" alt="8번째 이미지"></img>
3. 결과 공표

「개인정보 보호법」 제66조제1항 및 「개인정보보호위원회 처분 결과 공표기준」 (2020. 11. 18. 개인정보보호위원회 의결) 제2조(공표요건)에 따라, 피심인의 위반행위는 위반상태가 6개월 이상 지속된 경우(제5호)에 해당하므로, 피심인이 시정조치 명령을 받은 사실과 과태료 부과에 대해 개인정보보호위원회 홈페이지에 공표한다.
<img src="/LSW/flDownload.do?flSeq=147391303" alt="9번째 이미지"></img>
4. 개선권고

가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.

나. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.

다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제9항, 제4조제10항에 따른 보호조치를 취하여야 한다.

1) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.

2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 관리자페이지에 대한 최대 접속시간을 이용사업자가 설정하도록 기능을 제공하거나, 고정으로 제공하는 경우 개인정보 보호 법규에서 요구하는 적정시간인지 정책을 재검토하여 필요한 경우 개선하여야 한다.

라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.


Ⅴ. 결론

피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제75조(과태료) 제2항제6호, 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항에 대하여 과태료 부과, 시정조치 명령, 공표하고, 이용사업자에게 제공하는 쇼핑몰솔루션에 대한 같은 법 제22조(동의를 받는 방법) 제1항, 제2항, 제6항, 제29조(안전조치의무), 제30조(개인정보 처리방침의 수립 및 공개) 제2항, 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항, 제39조의6(개인정보의 파기에 대한 특례) 제1항 위반행위에 대하여 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항에 따라 시정명령, 공표를 주문과 같이 의결한다.

또한, 피심인에 대하여 같은 법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.

피심인은 이 시정명령 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조 제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.