개인정보보호위원회
심의ㆍ의결
제2024-214-498호
공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
요지
안건번호 : 제2024-214-498호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : (사업자등록번호 : )
의결연월일 : 2024. 7. 10.
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : (사업자등록번호 : )
의결연월일 : 2024. 7. 10.
주문
1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 3,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 경고한다.
가. 피심인은 「개인정보 보호법」 제18조제2항제2호에 규정된 다른 법률(「공공감사에 관한 법률」 등)에 특별한 규정이 있는 경우에 대한 명확한 유권 해석을 받는 등 적극적인 노력을 통해 유사한 행위가 재발하지 않도록 노력하여야 한다.
나. 피심인은 보호법 제18조제2항제2호 등에 따라 개인정보를 목적 외 이용하거나 제3자에게 제공한 경우에는 같은 조 제4항에 따라 법적 근거 등의 사항을 피심인의 홈페이지에 게재하여야 한다.
가. 과 태 료 : 3,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 경고한다.
가. 피심인은 「개인정보 보호법」 제18조제2항제2호에 규정된 다른 법률(「공공감사에 관한 법률」 등)에 특별한 규정이 있는 경우에 대한 명확한 유권 해석을 받는 등 적극적인 노력을 통해 유사한 행위가 재발하지 않도록 노력하여야 한다.
나. 피심인은 보호법 제18조제2항제2호 등에 따라 개인정보를 목적 외 이용하거나 제3자에게 제공한 경우에는 같은 조 제4항에 따라 법적 근거 등의 사항을 피심인의 홈페이지에 게재하여야 한다.
이유
Ⅰ. 기초 사실
피심인은 「舊 개인정보 보호법」(법률 제16930호, 2020.8.5. 시행, 이하 '보호법’이라 한다) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147394903" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인에 대한 개인정보 침해신고가 접수( )되어 사실조사를 진행( )하였으며, 피심인의 보호법 위반행위와 관련된 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 기준 에서 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=147394905" alt="2번째 이미지"></img>
나. 개인정보 침해신고 관련 사실관계
1) 신고 내용
피심인이 소속 직원의 복무를 점검하면서 차량 출입 기록을 목적 외 이용하였고 영상정보처리기기 운영에 위반사항이 있다는 침해신고가 접수( )되었다.
2) 사실관계 확인 결과
피심인은 상급 감독기관의 공직기강 확립활동 강화 공문에 따라 기관장 결재를 통해 년 공직기강 확립활동 강화 계획을 수립하고 자체 점검반을 구성하여 소속 직원에 대한 복무 점검을 실시하였으며, 점검반을 「공공감사에 관한 법률」(이하 '공공감사법’)에 따른 감사기구로 판단하여 신고인의 실제 출퇴근 시간을 확인할 목적으로 차량 출입 기록을 이용하였고, 비위사실을 인정하지 않은 신고인에 대한 특별감사를 통해 차량 출입 기록 정보, 정문 CCTV 정보를 신고인의 복무 확인에 이용하였다.
피심인은 건물이 준공완료된 날( )부터 년 월까지 의 CCTV 영상정보 건을 본원의 영상정보처리기기 운영방침 상 보유기간 30일을 초과하여 개월간 보관하였으며, 년 월 일부터 보유기간을 초과한 영상정보는 파기하였으며, 자체 점검반 반원 명의 PC에 기간의 차량 출입기록 정보( 명, 건)를 현재까지 보관하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보를 목적 외 이용한 행위
피심인의 자체 점검반은 피심인이 「보안업무규정」 제34조에 따라 지정한 보호지역 출입통제 목적의 차량 출입 기록을 신고인의 실제 출퇴근 시간을 확인하는데 이용하였다.
피심인은 신고인에게 차량 출입 기록에 대한 '개인정보 수집ㆍ이용ㆍ제공 동의서’의 동의를 요청하였으나 신고인은 이에 동의하지 아니하였다.
피심인은 자체 점검반을 공공감사법에 따른 감사기구로 판단하여 「개인정보 보호법」 제18조제2항제2호에 근거하여 차량 출입 기록을 이용하였다고 소명하였으나, 개인정보보호위원회가 감사원에 유권해석을 공식 요청한 결과,
감사원은 피심인의 자체 점검반은 기관장 지휘ㆍ감독권에 근거한 임시기구로서 공공감사법에 따른 감사기구로 보기 어렵다고 해석하였다.
나. 보유기간을 경과한 개인정보를 파기하지 아니한 행위
피심인은 영상정보처리기기 운영방침 상 보유기간 30일을 초과한 의 CCTV 영상정보 건을 파기하지 아니하고 보유하였다.
피심인은 자체 점검반 반원 명의 PC에 차량 출입기록 정보를 현재까지 보관하는 사실에 대해, 신고인과 법적 쟁송절차가 진행 중으로 해고 사유 입증, 신고인 주장에 반박, 복무 점검 및 징계의 적정성 입증을 위해 필요한 자료로서, 현재 보유기간(3년), 민ㆍ형사 및 행정상 책임 또는 증명자료로서 필요한 보유기간(5년, 10년) 내 자료로 점검반원 명의 PC에 파일 암호화하여 별도 보관하고 있다고 소명하였다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였고, 피심인은 개인정보보호위원회에 아래와 같이 의견을 제출하였다.
피심인은 보유기간을 초과한 영상정보와 관련하여, 건물 시공사가 의 국가보안시설 또는 국가중요시설 지정 상황을 고려하여 영상정보의 개월 보관을 기술제안하고 조달청 주관 '실시설계 적격 심사’를 완료하였으며, 영상정보처리기기(시스템)의 하자보수기간( 년, ) 내 추가 변경작업이 곤란하였던 사유 등으로 초기 설정된 보유기간 개월을 유지하였고 당시 영상정보처리기기의 운영방침은 본원에만 적용되는 운영방침으로 에는 적용되지 않았으며 본원의 영상정보처리기기 운영방침 개정을 통해 등 신청사 건물에도 적용하였다고 소명하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법 제18조제1항는 “개인정보처리자는 개인정보를 제15조제1항 및 제39조의3제1항 및 제2항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.”라고 규정하고, 같은 조 제2항은 “제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다.”라고 규정하면서, “정보주체로부터 별도의 동의를 받은 경우(제1호)”, “다른 법률에 특별한 규정이 있는 경우(제2호)”을 규정하고 있다.
같은 법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보를 목적 외 이용한 행위
[보호법 제18조(개인정보의 목적 외 이용ㆍ제공 제한)제1항ㆍ제2항ㆍ제4항]
개인정보처리자는 개인정보의 수집 목적 범위를 초과하여 이용하여서는 아니 되고, '정보주체로부터 별도의 동의를 받은 경우(제2항제1호)’, '다른 법률에 특별한 규정이 있는 경우(제2항제2호)’ 등에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용할 수 있으나,
피심인은 보호지역의 출입통제를 목적으로 수집한 정보를 소속직원의 복무점검을 위해 두 차례 이용하였으며, 첫 번째 피심인의 자체 점검반이 정보주체의 별도 동의를 받지 아니하고 다른 법률에 근거하지 아니한 상황에서 차량 출입 기록을 복무 점검을 위해 이용한 행위는 보호법 제18조제2항에서 허용한 요건을 충족하지 아니하였다.
다만 피심인의 행위는 「舊 개인정보보호 법규 위반에 대한 고발기준」(개인정보보호위원회지침, '21.1.27. 시행)에 따른 고발기준에 해당하지 아니하여 고발하지 아니한다.
두 번째 피심인이 공공감사법에 따른 감사팀의 특별감사를 통해 차량 출입 기록 등을 이용한 행위는 보호법 제18조제2항제2호에 따라 허용된 목적 외 이용으로 판단하였다. 다만, 같은 조 제4항에 따라 목적 외 이용에 관한 법적 근거 등을 피심인의 홈페이지에 게재하지 않은 사실을 확인하였다.
나. 개인정보 파기를 소홀히 한 행위
[보호법 제21조(개인정보의 파기)제1항]
개인정보처리자는 보유기간의 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 하나, 다른 법령에 근거하지 아니하고 보유기간을 초과한 영상정보를 보유한 행위는 보호법 제21조제1항을 위반한 것이다.
피심인이 제출한 의견은, 보호법 제21조제1항 단서에 규정된 다른 법률에 따른 보존으로 인정하기 어렵고, 가 개인정보처리자인 피심인에 속하는 하나의 기관(부서)이며 피심인의 지휘ㆍ감독 하에 있다는 점 등을 고려할 때 본원의 운영방침 개정여부와 관계없이 본원의 운영방침을 따른다고 보는 것이 타당하므로 수용하기 어렵다고 판단하였다.
한편, 피심인이 자체 점검반 활동 종료 이후에도 반원 명 PC에 차량 출입기록 정보를 보관한 행위는 개인정보의 보유기간 내 보유하는 파일로 판단하였다.
Ⅳ. 처분 및 결정
1. 과태료 부과
피심인의 보호법 제21조제1항 위반행위에 대해 같은 법 제75조제2항제4호, 같은 법 시행령 제63조 및 별표2 제2호마목, 「舊 개인정보 보호법 위반에 대한 과태료 부과기준」(개인정보보호위원회지침 2021.1.27., 이하 '과태료 부과지침’)에 따라 다음과 같이 과태료를 부과한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 보호법 제21조제1항 위반행위에 대해 1회 위반에 해당하는 과태료인 600만원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=147394907" alt="3번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제8조는 “사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다”라고 규정하고 있다.
피심인의 보호법 제21조제1항 위반행위는 과태료 부과지침 제8조의 과태료 가중기준에 해당하지 않아 기준금액을 유지한다.
2) 과태료의 감경
과태료 부과지침 제7조는 “사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있다.
피심인은 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 시정 완료하고, 조사 기간 중 자료 제출 등 조사에 적극 협력하였으므로, 과태료 부과지침 제7조 [별표1] 감경기준에 따라 기준금액의 50%인 300만원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=147394909" alt="4번째 이미지"></img>
다. 최종 과태료
피심인의 보호법 제21조제1항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 300만원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=147394911" alt="5번째 이미지"></img>
2. 경고
피심인이 공식 감사기구가 아닌 점검반으로 하여금 신고인의 차량 출입기록을 동의를 받거나 다른 법률의 특별한 규정에 근거하지 않고 복무점검에 이용한 행위는 보호법 제18조제1항ㆍ제2항에 따른 목적 외 이용 요건을 충족하지 않은 것으로 평가할 수 있으나, 소속 직원의 부정한 행위 확인에 필요한 최소한의 정보만 이용하여 법 위반 정도가 낮다고 평가할 수 있는 점, 이후 공식 감사기구에 의한 특별감사를 통해 적법하게 출입기록을 확인한 점, 시정조치 명령의 실익이 없는 점 등을 종합적으로 고려하여 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회고시 제2023-9호, 2023.10.16. 시행, 이하 '조사처분규정’) 제21조에 따라 경고한다.
또한 피심인이 보호법 제18조제2항제2호에 따라 특별감사를 위하여 개인정보를 목적 외 이용하였으나 이에 관한 법적 근거 등을 홈페이지에 게재하지 아니한 행위는 같은 조 제4항을 위반한 것으로 보이나, 과태료 등 행정처분의 대상이 아닌 점 등을 고려하여 조사처분규정 제21조에 따라 경고한다.
Ⅴ. 결론
피심인의 보호법 제21조제1항 및 제18조제1항ㆍ제2항ㆍ제4항에 관한 행위에 대하여 같은 법 제75조제2항제4호 및 조사처분규정 제21조에 따라 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납부 의무를 부담한다.
피심인은 「舊 개인정보 보호법」(법률 제16930호, 2020.8.5. 시행, 이하 '보호법’이라 한다) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147394903" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인에 대한 개인정보 침해신고가 접수( )되어 사실조사를 진행( )하였으며, 피심인의 보호법 위반행위와 관련된 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 기준 에서 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=147394905" alt="2번째 이미지"></img>
나. 개인정보 침해신고 관련 사실관계
1) 신고 내용
피심인이 소속 직원의 복무를 점검하면서 차량 출입 기록을 목적 외 이용하였고 영상정보처리기기 운영에 위반사항이 있다는 침해신고가 접수( )되었다.
2) 사실관계 확인 결과
피심인은 상급 감독기관의 공직기강 확립활동 강화 공문에 따라 기관장 결재를 통해 년 공직기강 확립활동 강화 계획을 수립하고 자체 점검반을 구성하여 소속 직원에 대한 복무 점검을 실시하였으며, 점검반을 「공공감사에 관한 법률」(이하 '공공감사법’)에 따른 감사기구로 판단하여 신고인의 실제 출퇴근 시간을 확인할 목적으로 차량 출입 기록을 이용하였고, 비위사실을 인정하지 않은 신고인에 대한 특별감사를 통해 차량 출입 기록 정보, 정문 CCTV 정보를 신고인의 복무 확인에 이용하였다.
피심인은 건물이 준공완료된 날( )부터 년 월까지 의 CCTV 영상정보 건을 본원의 영상정보처리기기 운영방침 상 보유기간 30일을 초과하여 개월간 보관하였으며, 년 월 일부터 보유기간을 초과한 영상정보는 파기하였으며, 자체 점검반 반원 명의 PC에 기간의 차량 출입기록 정보( 명, 건)를 현재까지 보관하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보를 목적 외 이용한 행위
피심인의 자체 점검반은 피심인이 「보안업무규정」 제34조에 따라 지정한 보호지역 출입통제 목적의 차량 출입 기록을 신고인의 실제 출퇴근 시간을 확인하는데 이용하였다.
피심인은 신고인에게 차량 출입 기록에 대한 '개인정보 수집ㆍ이용ㆍ제공 동의서’의 동의를 요청하였으나 신고인은 이에 동의하지 아니하였다.
피심인은 자체 점검반을 공공감사법에 따른 감사기구로 판단하여 「개인정보 보호법」 제18조제2항제2호에 근거하여 차량 출입 기록을 이용하였다고 소명하였으나, 개인정보보호위원회가 감사원에 유권해석을 공식 요청한 결과,
감사원은 피심인의 자체 점검반은 기관장 지휘ㆍ감독권에 근거한 임시기구로서 공공감사법에 따른 감사기구로 보기 어렵다고 해석하였다.
나. 보유기간을 경과한 개인정보를 파기하지 아니한 행위
피심인은 영상정보처리기기 운영방침 상 보유기간 30일을 초과한 의 CCTV 영상정보 건을 파기하지 아니하고 보유하였다.
피심인은 자체 점검반 반원 명의 PC에 차량 출입기록 정보를 현재까지 보관하는 사실에 대해, 신고인과 법적 쟁송절차가 진행 중으로 해고 사유 입증, 신고인 주장에 반박, 복무 점검 및 징계의 적정성 입증을 위해 필요한 자료로서, 현재 보유기간(3년), 민ㆍ형사 및 행정상 책임 또는 증명자료로서 필요한 보유기간(5년, 10년) 내 자료로 점검반원 명의 PC에 파일 암호화하여 별도 보관하고 있다고 소명하였다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였고, 피심인은 개인정보보호위원회에 아래와 같이 의견을 제출하였다.
피심인은 보유기간을 초과한 영상정보와 관련하여, 건물 시공사가 의 국가보안시설 또는 국가중요시설 지정 상황을 고려하여 영상정보의 개월 보관을 기술제안하고 조달청 주관 '실시설계 적격 심사’를 완료하였으며, 영상정보처리기기(시스템)의 하자보수기간( 년, ) 내 추가 변경작업이 곤란하였던 사유 등으로 초기 설정된 보유기간 개월을 유지하였고 당시 영상정보처리기기의 운영방침은 본원에만 적용되는 운영방침으로 에는 적용되지 않았으며 본원의 영상정보처리기기 운영방침 개정을 통해 등 신청사 건물에도 적용하였다고 소명하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법 제18조제1항는 “개인정보처리자는 개인정보를 제15조제1항 및 제39조의3제1항 및 제2항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.”라고 규정하고, 같은 조 제2항은 “제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다.”라고 규정하면서, “정보주체로부터 별도의 동의를 받은 경우(제1호)”, “다른 법률에 특별한 규정이 있는 경우(제2호)”을 규정하고 있다.
같은 법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보를 목적 외 이용한 행위
[보호법 제18조(개인정보의 목적 외 이용ㆍ제공 제한)제1항ㆍ제2항ㆍ제4항]
개인정보처리자는 개인정보의 수집 목적 범위를 초과하여 이용하여서는 아니 되고, '정보주체로부터 별도의 동의를 받은 경우(제2항제1호)’, '다른 법률에 특별한 규정이 있는 경우(제2항제2호)’ 등에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용할 수 있으나,
피심인은 보호지역의 출입통제를 목적으로 수집한 정보를 소속직원의 복무점검을 위해 두 차례 이용하였으며, 첫 번째 피심인의 자체 점검반이 정보주체의 별도 동의를 받지 아니하고 다른 법률에 근거하지 아니한 상황에서 차량 출입 기록을 복무 점검을 위해 이용한 행위는 보호법 제18조제2항에서 허용한 요건을 충족하지 아니하였다.
다만 피심인의 행위는 「舊 개인정보보호 법규 위반에 대한 고발기준」(개인정보보호위원회지침, '21.1.27. 시행)에 따른 고발기준에 해당하지 아니하여 고발하지 아니한다.
두 번째 피심인이 공공감사법에 따른 감사팀의 특별감사를 통해 차량 출입 기록 등을 이용한 행위는 보호법 제18조제2항제2호에 따라 허용된 목적 외 이용으로 판단하였다. 다만, 같은 조 제4항에 따라 목적 외 이용에 관한 법적 근거 등을 피심인의 홈페이지에 게재하지 않은 사실을 확인하였다.
나. 개인정보 파기를 소홀히 한 행위
[보호법 제21조(개인정보의 파기)제1항]
개인정보처리자는 보유기간의 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 하나, 다른 법령에 근거하지 아니하고 보유기간을 초과한 영상정보를 보유한 행위는 보호법 제21조제1항을 위반한 것이다.
피심인이 제출한 의견은, 보호법 제21조제1항 단서에 규정된 다른 법률에 따른 보존으로 인정하기 어렵고, 가 개인정보처리자인 피심인에 속하는 하나의 기관(부서)이며 피심인의 지휘ㆍ감독 하에 있다는 점 등을 고려할 때 본원의 운영방침 개정여부와 관계없이 본원의 운영방침을 따른다고 보는 것이 타당하므로 수용하기 어렵다고 판단하였다.
한편, 피심인이 자체 점검반 활동 종료 이후에도 반원 명 PC에 차량 출입기록 정보를 보관한 행위는 개인정보의 보유기간 내 보유하는 파일로 판단하였다.
Ⅳ. 처분 및 결정
1. 과태료 부과
피심인의 보호법 제21조제1항 위반행위에 대해 같은 법 제75조제2항제4호, 같은 법 시행령 제63조 및 별표2 제2호마목, 「舊 개인정보 보호법 위반에 대한 과태료 부과기준」(개인정보보호위원회지침 2021.1.27., 이하 '과태료 부과지침’)에 따라 다음과 같이 과태료를 부과한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 보호법 제21조제1항 위반행위에 대해 1회 위반에 해당하는 과태료인 600만원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=147394907" alt="3번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제8조는 “사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다”라고 규정하고 있다.
피심인의 보호법 제21조제1항 위반행위는 과태료 부과지침 제8조의 과태료 가중기준에 해당하지 않아 기준금액을 유지한다.
2) 과태료의 감경
과태료 부과지침 제7조는 “사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있다.
피심인은 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 시정 완료하고, 조사 기간 중 자료 제출 등 조사에 적극 협력하였으므로, 과태료 부과지침 제7조 [별표1] 감경기준에 따라 기준금액의 50%인 300만원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=147394909" alt="4번째 이미지"></img>
다. 최종 과태료
피심인의 보호법 제21조제1항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 300만원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=147394911" alt="5번째 이미지"></img>
2. 경고
피심인이 공식 감사기구가 아닌 점검반으로 하여금 신고인의 차량 출입기록을 동의를 받거나 다른 법률의 특별한 규정에 근거하지 않고 복무점검에 이용한 행위는 보호법 제18조제1항ㆍ제2항에 따른 목적 외 이용 요건을 충족하지 않은 것으로 평가할 수 있으나, 소속 직원의 부정한 행위 확인에 필요한 최소한의 정보만 이용하여 법 위반 정도가 낮다고 평가할 수 있는 점, 이후 공식 감사기구에 의한 특별감사를 통해 적법하게 출입기록을 확인한 점, 시정조치 명령의 실익이 없는 점 등을 종합적으로 고려하여 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회고시 제2023-9호, 2023.10.16. 시행, 이하 '조사처분규정’) 제21조에 따라 경고한다.
또한 피심인이 보호법 제18조제2항제2호에 따라 특별감사를 위하여 개인정보를 목적 외 이용하였으나 이에 관한 법적 근거 등을 홈페이지에 게재하지 아니한 행위는 같은 조 제4항을 위반한 것으로 보이나, 과태료 등 행정처분의 대상이 아닌 점 등을 고려하여 조사처분규정 제21조에 따라 경고한다.
Ⅴ. 결론
피심인의 보호법 제21조제1항 및 제18조제1항ㆍ제2항ㆍ제4항에 관한 행위에 대하여 같은 법 제75조제2항제4호 및 조사처분규정 제21조에 따라 주문과 같이 의결한다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납부 의무를 부담한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).