제2024-203-061호

안건번호 : 제2024-203-061호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : (사업자등록번호 : )대표자
의결연월일 : 2024. 2. 14.

피심인에 대하여 다음과 같이 개선을 권고한다.
가. 피심인은 유사 사건 재발 방지를 위해 개인정보 처리 업무 절차를 개선하고, 개인정보취급자 등을 대상으로 정기적인 개인정보 보호 교육을 실시한다.
나. 피심인은 가.의 개선권고에 따른 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.

Ⅰ. 기초 사실

피심인은 「舊 개인정보 보호법」(이하 '舊 보호법’이라 한다) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147392189" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 개인정보 유출 신고(’22.3.24.)에 따라 피심인의 개인정보 관리실태를 조사(’22.5.16. ~ ’23.8.22.)하였으며, 피심인의 舊 보호법 위반행위와 관련된 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집ㆍ이용 현황

피심인은 ’ 사회ㆍ경제 실태조사'를 위해 ’22.6.7. 기준 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=147392191" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계

1) 유출 규모 및 항목

’ 사회ㆍ경제 실태조사' 응답자 3,530명의 개인정보가 유출되었으며, 유출된 개인정보에는 성명, 생년월일, 휴대폰 번호, 주소, 주택 유형, 가구원 현황 등 인적사항을 비롯, 결혼ㆍ가족, 교육ㆍ훈련 현황, 경제ㆍ고용현황, 주거 현황, 건강 상태, 문화ㆍ가치관, 인간관계ㆍ정치참여 의향 등 설문조사 응답 내용이 포함되어 있었다.

2) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=147392193" alt="3번째 이미지"></img>
3) 유출 경위

피심인은 의 일과 삶에 대한 실태를 파악하여 정책을 수립하고 제도 개선의 기초자료로 활용하기 위해, 「통계법」 제18조 및 같은 법 시행령 제25조에 따라 통계청으로부터 승인을 받아(승인번호 ) '19. 6. 10.부터 7. 26.까지 ’ 사회ㆍ경제실태 조사 설문조사'를 진행한 사실이 있는데, 해당 내용을 데이터 아카이브 홈페이지(https:// )에 게시하면서 담당자 부주의로 설문 응답자들의 개인정보가 포함된 데이터를 '21.12.27.부터 '22.1.18.까지 게시함으로써 개인정보가 유출되었고, 해당 기간 동안 총 67회 다운로드한 사실이 확인되었다.
3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 개인정보의 안전성 확보 조치를 소홀히 한 행위

피심인은 ’ 사회ㆍ경제 실태조사' 응답자의 개인정보가 포함된 파일을 데이터 아카이브 홈페이지에 게시함으로써, 열람 권한 없는 자들이 해당 개인정보에 접근하도록 한 사실이 있다.

나. 개인정보 유출 사실을 지체없이 통지ㆍ신고하지 않은 행위

피심인은 '22. 1. 17. 유출 사실을 인지하였음에도 2개월 이상이 지난 '22. 3. 24. 정보주체에게 유출 사실을 알리고 한국인터넷진흥원에 관련 내용을 신고한 사실이 있다.

Ⅲ. 위법성 판단

1. 관련법 규정

舊 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있고, 같은 법 시행령 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다.”라고 규정하면서 “개인정보에 대한 접근 통제 및 접근 권한의 제한 조치(제2호)”를 규정하고 있으며, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2021-2호, 이하 '舊 고시’) 제6조제3항은 “개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망 이용 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 업무용 컴퓨터, 모바일 기기 및 관리용 단말기 등에 접근 통제 등에 관한 조치를 하여야 한다.”라고 규정하고 있다.

舊 보호법 제34조제1항은 “개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체없이 해당 정보주체에게 '유출된 개인정보의 항목’, '유출된 시점과 그 경위’, '유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보’, '개인정보처리자의 대응조치 및 피해구제 절차’, '정보주체에게 피해가 발생한 경우 신고 등 접수할 수 있는 담당부서 및 연락처’를 알려야 한다.”라고 규정하고 있다.

舊 보호법 제34조제3항은 “개인정보처리자는 대통령령으로 정한 규모 이상의 개인정보가 유출된 경우에는 제1항에 따른 통지 및 제2항에 따른 조치 결과를 지체없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다.”라고 규정하고 있으며, 舊 보호법 시행령 제39조제1항은 “법 제34조제3항 전단에서 '대통령령으로 정한 규모 이상의 개인정보’란 1천명 이상의 정보주체에 관한 개인정보를 말한다.”라고 규정하고 있다.

한편, 舊 보호법 제58조제1항제1호는 “공공기관이 처리하는 개인정보 중「통계법」에 따라 수집되는 개인정보에 관하여는 제3장부터 제7장까지를 적용하지 아니한다.”라고 규정하고 있다.

※ 개정된 현행 보호법(법률 제19234호, 2023. 9. 15. 시행)에서는 제58조제1항제1호가 삭제되어 통계법에 따라 수집되는 개인정보도 처분대상에 포함됨

2. 위법성 판단

가. 개인정보의 안전성 확보 조치를 소홀히 한 행위
[舊 보호법 제29조(안전조치의무) 중 접근통제]

개인정보처리자는 처리하는 개인정보가 권한이 없는 자에게 공개되거나 유출되지 않도록 조치를 하여야 하며, 일반적으로 개인정보가 포함된 파일을 웹페이지에 게시하여 권한이 없는 자에게 공개되도록 할 경우 舊 보호법 제29조, 같은 법 시행령 제30조제1항, 고시 제6조제3항 위반에 해당하나, 본건의 개인정보는 통계청에서 「통계법」에 따라 수집되는 개인정보라고 해석하고 있으므로, 피심인의 행위에 대해 舊 보호법 제58조제1항제1호에 따라 舊 보호법 제29조를 적용하지 아니한다.



나. 개인정보 유출 사실을 지체없이 통지ㆍ신고하지 않은 행위
[舊 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항ㆍ제3항]

개인정보처리자는 개인정보가 유출되었음을 알게되었을 때에는 지체없이 유출 사실을 통지ㆍ신고하여야 하며, 일반적으로 유출 사실을 인지하고도 약 2개월이 지나서야 통지ㆍ신고할 경우 舊 보호법 제34조제1항 및 제3항 위반에 해당하나, 본건의 개인정보는 통계청에서 「통계법」에 따라 수집되는 개인정보라고 해석하고 있으므로, 피심인의 행위에 대해 舊 보호법 제58조제1항제1호에 따라 舊 보호법 제34조제1항 및 제3항을 적용하지 아니한다.

Ⅳ. 처분 및 결정

1. 개선 권고

피심인의 행위에 대해 舊 보호법 제58조제1항제1호에 따라 舊 보호법 제29조, 제34조제1항 및 제3항을 적용하지 아니한다 하더라도, 개인정보 보호를 위하여 필요하다고 인정되는 경우에 해당한다고 판단되므로 피심인에게 舊 보호법 제61조제2항에 따라 아래와 같이 개인정보 처리 실태의 개선을 권고한다.

가. 피심인은 유사 사건 재발 방지를 위해 개인정보 처리 업무 절차를 개선하고, 개인정보취급자 등을 대상으로 정기적인 개인정보 보호 교육을 실시한다.

나. 피심인은 가.의 개선권고에 따른 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.

Ⅴ. 결론

피심인의 행위에 대해 舊 보호법 제61조제2항에 따라 개선 권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.