개인정보보호위원회
심의ㆍ의결
제2023-013-183호
공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
요지
안건번호 : 제2023-013-183호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결연월일 : 2024. 4. 24.
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결연월일 : 2024. 4. 24.
주문
1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 1,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 명령한다.
가. 향후 유사한 사례가 재발되지 않도록 개인정보취급자가 개인정보를 처리 하는 과정 전반에 대해 관리ㆍ감독(정상적인 결재 절차 이행 등)을 강화하고, 개인 정보 보호 관련 교육을 실시한다.
나. 피심인은 가.의 시정조치 명령에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
3. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 피심인은 가명정보 처리시 「가명정보 처리 가이드라인(’24.2월)」에 따른 가명처리 단계별 절차
(사전준비→위험성 검토→가명처리→적정성 검토→안전한 관리 등 5단계)를 준수한다.
나. 피심인은 가.의 개선권고에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보 보호위원회에 이행 결과를 제출한다.
가. 과 태 료 : 1,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 명령한다.
가. 향후 유사한 사례가 재발되지 않도록 개인정보취급자가 개인정보를 처리 하는 과정 전반에 대해 관리ㆍ감독(정상적인 결재 절차 이행 등)을 강화하고, 개인 정보 보호 관련 교육을 실시한다.
나. 피심인은 가.의 시정조치 명령에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
3. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 피심인은 가명정보 처리시 「가명정보 처리 가이드라인(’24.2월)」에 따른 가명처리 단계별 절차
(사전준비→위험성 검토→가명처리→적정성 검토→안전한 관리 등 5단계)를 준수한다.
나. 피심인은 가.의 개선권고에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보 보호위원회에 이행 결과를 제출한다.
이유
Ⅰ. 기초 사실
피심인은 「舊 개인정보 보호법」(법률 제16930호, 이하 “舊 보호법”이라 한다.) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147395165" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
피심인의 보호법 위반에 대해 감사원에서 개인정보보호위원회(이하 '보호위’)에 조사를 요청('21. . .)하여 조사를 실시(’21.11.4.~’23.5.25.)하였으며, 다음과 같은 사실을 확인하였다.
2. 개인정보 수집ㆍ이용 현황
피심인은 관리 및 안전한 공급을 위해 시스템
( )*을 운영하면서 아래와 같이 정보 개인정보파일을 처리하고 있다.
* : 의 약자로 2002년에 구축
<img src="/LSW/flDownload.do?flSeq=147395167" alt="2번째 이미지"></img>
* 주민등록번호 처리근거 : 관리법 시행령
** 『공공기록물관리법』시행령 제26조 제1항, 별표1의 제4호
3. 사실조사 결과
<img src="/LSW/flDownload.do?flSeq=147395169" alt="3번째 이미지"></img>
가. 기초 사실
○ 피심인은 시스템에서 2019년도 데이터 1,763,214건(이하 '이 사건 정보’)을 에 전송하였고, 는 해당 데이터를 에 전송한 사실이 있다.
- (제공목적) 피심인은 ㆍ 와 빅데이터를 활용한 모집 연구 관련 MOU(각주:협약 계획상 는 기존 행동데이터 분석을 통한 동기요소 발굴, 신규 의 참여 확산을 위한 연구분석 지원, 는 다회 의 서비스 이용요금 추가감면 등 할인구조 설계 및 사회가치 확산을 위한 홍보 협조업무를 수행토록 할 예정이었음) 를 추진하였으며, 해당 MOU 설명회를 위한 자료 제작을 위해 정보를 에 전송함
- (제공항목) 명, 명, 성별, 직업, 종류, 나이, 나이그룹, 구분(초회, 다회), 형, 종료시각, 기념품 등 11개 항목*
* (NUR_MASTER), 검사관리(LAB_MASTER), 종료정보(NUR_ _END_TIME), 기념품정보(NUR_SOUVENIR_OFFER_INFO) 등 4개 DB 테이블에서 11개 항목만을 추출
○ 피심인은 정보시스템( ) 내 4개의 DB테이블에서 11개 정보를 추출하는 방식으로 이 사건 정보를 생성하였다.
< 시스템의 4개 DB테이블 설명 >
<img src="/LSW/flDownload.do?flSeq=147395171" alt="4번째 이미지"></img>
< 피심인이 에 제공한 이 사건 정보* 데이터 예시 >
<img src="/LSW/flDownload.do?flSeq=147395173" alt="5번째 이미지"></img>
* 해당 정보만으로 특정 개인을 식별하는 것은 어려우나, 대부분의 데이터들이 중복없이 고유값(약 99%)을 지니고 있어 DB원본( 정보시스템)으로 개인을 식별할 가능성이 높음
나. 주요 경과
<img src="/LSW/flDownload.do?flSeq=147395175" alt="6번째 이미지"></img>
Ⅲ. 위법성 판단
1. 관련 쟁점
가. 이 사건 정보의 개인정보 유형 판단
① 이 사건 정보가 익명정보에 해당하는지 여부(보호법 미적용 여부)
○ 익명정보는 '시간ㆍ비용ㆍ기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보’로서 보호법 적용이 제외된다(§58의2)
○ 피심인은 이 사건 정보를 익명정보라고 주장하였으나,
- ①원본정보가 존재하는 점, ②'21년 3월~4월 감사원 담당관이 이 사건 정보 중 12건을 선별한 후 피심인의 내부 DB를 활용하여 특정인을 식별할 수 있는 상태로 복원에 성공한 점을 고려할 때, 이 사건 정보는 익명처리된 정보라고 볼 수 없다.
< 감사원의 이 사건 정보 복원 과정 도식화 과정 >
(그림삭제)
② 이 사건 정보의 '가명정보’ 해당 여부
○ 가명처리는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 '추가정보’ 없이는 특정 개인을 알아볼 수 없도록 처리하는 행위이며, 가명정보는 원래의 상태로 복원하기 위한 '추가정보’의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보를 말한다.(법 제2조)
○ 한편, '추가정보’란 가명처리과정에서 생성 또는 사용된 정보로서 특정 개인을 알아보기 위해 사용ㆍ결합될 수 있는 정보이며,
* 가명정보처리가이드라인
- 가명처리에 사용된 개인정보, 즉 원본정보도 추가정보에 포함되며, 이 사건 정보의 경우 DB원본을 이용하여 복원이 가능하므로 해당 DB원본은 추가정보에 해당한다.
* 추가정보는 파기가 원칙이며, 원본정보처럼 파기가 어려운 경우 법 제28조의4제1항에 따라 별도 분리보관, 관리하여야 함 (가명정보처리가이드라인 63p)
- 이 사건 정보의 경우 해당 정보만으로는 개인을 식별할 수 없으나, DB원본정보(추가정보)를 이용하면 개인을 식별할 수 있었던 것으로 확인됨에 따라 이 사건 정보는 가명정보에 해당한다고 판단된다.
○ 舊 보호법 제28조의2제1항은 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 개인정보처리자가 정보주체의 동의 없이 가명정보를 처리할 수 있다고 규정하고 있으며, 제2항은 제3자 제공시 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함하여서는 아니된다고 규정하고 있다.
- 이 사건 피심인이 정보시스템 DB에서 특정 개인을 식별할 수 없는 11개 정보를 추출하여 정보를 생성하고, 이를 에 전달한 것은 법 제28조의2의 '통계작성’ 및 '과학적 연구’ 목적으로 가명정보를 처리한 것에 해당한다고 판단된다.
나. 정보 전달행위의 유출 여부 판단
○ (감사원 의견) 개인정보처리자인 피심인의 관리범위에서 벗어나 처리권한이 없는 제3자( , )에게 정보가 전달된 것은 유출이며, 유출신고를 하지 않은 행위는 舊 보호법 제34조 위반으로 처분이 필요하다고 판단했으나,
< 감사원의 피심인 감사보고서( ) 페이지 >
(그림삭제)
○ (검토의견) 표준개인정보보호지침은 ’유출'이란 ’법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대해 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것'으로 규정하고 있다.
○ 본 건의 경우, ① 정보 전달에 대해 내부 보고*가 있었던 점을 고려할 때, 정보 전달이 개인정보처리자인 피심인의 자유로운 의사에 의한 것이 아니라고 보기 어려우며, 감사원 지적처럼 '제3자 무단 제공’에 해당한다고 보기 어렵다.
* 피심인은 '21.11월 개인정보위에 제출한 ’ 의견서'에서 정보 제공에 관해 기관장인 관리본부장에게 구두로 보고하였으며, 제공한 정보는 피심인의 위임전결권에 따라 의사결정된 정보 전달이었다고 진술함(각주:다만, 문서에 의한 결재절차를 생략한 채 해당 정보를 전달하였다는 점에 대해 내부징계하였음을 소명함) - 또한 피심인과 ㆍ 사이에 MOU 체결 계획이 있었던 점, 피심인의 개인정보처리자가 이 사건 정보 파기를 요청하자 데이터를 파기하고 파기 확약서를 송부한 점, 피심인이 ②해당 정보에 대해 통제를 상실하였다고 보기 어려운 점 등을 고려할 때,
○ 이 사건 정보의 전달은 “개인정보처리자의 자유로운 의사에 의하지 않고 통제를 상실하거나 권한 없는 자의 접근을 허용한 경우”에 해당되지 않으므로 유출이라 보기 어려우며, 유출신고 의무가 발생하지 않은 것으로 판단된다.
○ 한편, 대법원은 개인정보의 유출이란 해당 서비스제공자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다고 판시(대법원 2014. 5.16. 선고 2011다24555, 24562판결)한 바 있으며,
- 본 건의 경우 '추가정보’가 분리ㆍ차단된 가명정보가 외부에 제공된 것으로, 그 수령자로서는 데이터에 포함된 개인이 누구인지 알아볼 수 없다는 점에서 '개인정보의 내용을 알 수 있는 상태’에 이르렀다고 보기 어렵다.
다. 이 사건 정보에 대한 안전조치의무 등 적용여부
① 가명정보 처리에 관한 인식이 없었는데, 처분할 수 있는지
○ 舊 보호법 제28조의4에 ①개인정보처리자가 가명정보를 '처리하는’ 경우에는 안전성 확보에 필요한 조치를 해야 한다고 규정하고 있는 점, ②추가정보에 대한 분리ㆍ보관, 접근권한 관리, 기록 보관 등 보호법상 의무들은 개인정보처리자의 가명정보 처리에 관한 인식 없이는 준수하기 어려운 조항이므로 의무 위반에 대한 책임을 묻기 어렵다는 의견도 있으나,
○ 피심인이 이 사건 정보 제공(2020. 9월) 당시 해당 정보가 가명정보에 해당함을 인지하지 못하여 제28조의4* 적용대상임을 알지 못하였다 하더라도, 그러한 착오에 정당한 이유가 있다고 보기 어렵다는 의견이 다수이며,
* 舊 보호법은 2020.2.4일 공포되고 약 6개월의 계도기간을 거쳐 2020.8.5일부터 시행됨
- 판례에 따르면, 형법 제16조에서 '자기의 행위가 죄가 되지 아니하는 것으로 오인한 행위는 그 오인에 정당한 이유가 있는 때에 한하여 벌하지 아니한다’고 규정하고 있는데,
그러한 '정당한 이유’가 인정되려면 단순히 법률을 오인하는 것으로는 부족하고 행위 당시 법률전문가, 담당 공무원 등에 진지한 자문을 구하고 이를 근거로 그 행위가 적법하다고 믿은 데 귀책이 없어야 한다고 판시하고 있다. (대법원 2000. 8.18. 선고 2000도 2943 판결, 대법원 2005. 6. 10. 선고 2005도835 판결)
○ 이에 따라, 피심인이 정보 제공 당시 해당 정보가 가명정보에 해당하고, 舊 보호법 제28조의4 등의 적용대상임을 인지하지 못한 것은 그 착오에 정당한 이유가 있다고 보기 어려우므로 처분이 가능하다고 판단된다.
② 이 사건 처분시 적용조항
○ 이 사건 정보에 대하여는 가명정보 안전성 확보에 관한 절차의무 규정인 舊 보호법 제28조의4가 적용된다.
- 피심인은 이 사건 정보를 원 개인정보로 환원하기 위해 필요한 '추가정보’를 별도로 분리하여 보관하고, 접근권한을 통제하였으나,
- 가명정보의 처리목적, 제3자 제공시 제공받는 자 등 가명정보의 처리내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 기록을 작성하고 보관하지 않았으므로, 이는 보호법 제28조의4제2항 위반에 해당한다.
○ 또한, 피심인이 개인정보취급자에 대한 관리ㆍ감독을 소홀히 하여 이 사건 정보가 정당한 결재절차를 거치지 않은 채 제3자에게 전달되도록 하였으므로, 이는 보호법 제28조제1항 위반에 해당한다.
라. 외부기관( , )의 법 위반여부
○ 이 사건 정보의 수령자인 외부기관은 데이터에 포함된 개인을 알아볼 수 없었으므로, 데이터 처리과정에서 개인 식별이 가능한 정보가 생성되었는데 그 처리를 중지하지 아니하였다거나(舊 보호법 §28조의5②), 또는 일부러 재식별을 위한 시도를 했다는(舊 보호법 §28조의5①) 등의 특별한 사정이 없었으므로 舊 보호법 위반은 없었다고 판단된다.
2. 개인정보의 취급ㆍ운영 관련 사실관계
가. 가명정보 처리관련 기록을 작성ㆍ보관하지 않은 행위
○ 피심인은 가명정보를 처리하면서 그 처리목적, 처리한 개인정보의 항목, 가명정보의 이용내역, 제공받는 자 등에 관한 기록을 작성, 보관하지 않은 사실이 있다.
나. 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 행위
○ 피심인은 개인정보가 안전하게 관리될 수 있도록 개인정보취급자에 대한 적절한 관리ㆍ감독을 하여야 하나, 이를 소홀히 하여 정당한 결재절차를 거치지 않은 채 정보가 제3자에게 전달되도록 한 사실이 있다.
다. 개인정보의 가명처리 단계별 절차를 이행하지 않은 행위
○ 피심인은 개인정보를 가명처리하면서 「가명정보 처리 가이드라인」에 따른 '개인정보의 가명처리 단계별 절차’를 준수하지 않은 사실이 있다.
< 개인정보의 가명처리 단계별 절차도(가명정보 처리가이드라인) >
<img src="/LSW/flDownload.do?flSeq=147395163" alt="7번째 이미지"></img>
3. 위법성 판단
가. 가명정보 처리관련 기록을 작성ㆍ보관하지 않은 행위
1) 관련 법 규정
舊 보호법 제28조의4제2항은 “개인정보처리자는 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 한다.”라고 규정하고 있다.
또한, 舊 시행령(대통령령 제32813호) 제29조의5제2항은 “법 제28조의4제2항에서 “대통령령으로 정하는 사항”이란 가명정보 처리의 목적(1호), 가명처리한 개인정보의 항목(2호), 가명정보의 이용내역(3호), 제3자 제공 시 제공받는 자(4호), 그 밖에 가명정보의 처리 내용을 관리하기 위하여 보호위원회가 필요하다고 인정하여 고시하는 사항(5호)을 말한다.“라고 규정하고 있다.
2) 위법성 판단
개인정보처리자가 가명정보를 처리하고자 하는 경우에는 관련 기록을 작성하여 보관하여야 하나, 피심인이 관련 기록을 작성하여 보관하지 않은 행위는 舊 보호법 제28조의4제2항, 舊 시행령 제29조의5제2항 위반에 해당한다.
나. 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 행위
1) 관련 법 규정
舊 보호법 제28조제1항은 ”개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 '개인정보처리자’라 한다)의 범위를 최소한으로 제한하고, 개인정보 취급자에 대하여 적절한 관리ㆍ감독을 행하여야 한다.“고 규정하고 있다.
2) 위법성 판단
개인정보처리자는 개인정보가 안전하게 관리될 수 있도록 개인정보취급자에 대하여 적절한 관리ㆍ감독을 하여야 하나, 피심인이 이를 소홀히 하여 정당한 결재절차를 거치지 않은 채 정보가 제3자에게 전달되도록 한 행위는 舊 보호법 제28조제1항 위반에 해당한다.
다. 개인정보의 가명처리 단계별 절차를 이행하지 않은 행위
1) 관련 규정
「가명정보 처리 가이드라인」은 개인정보처리자가 개인정보를 가명처리하고자 하는 경우에는 ①가명처리 목적 설정 등 사전준비, ②위험성 검토 ③가명처리 수행 , ④적정성 검토 및 추가 가명처리, ⑤가명정보의 안전한 관리 등 '개인 정보의 가명처리 단계별 절차’를 준수 하여야 한다고 규정하고 있다.
2) 위법성 판단
개인정보처리자가 개인정보를 가명처리하고자 하는 경우에는 '가명처리 단계별 절차’를 준수하여야 하나, 피심인이 이러한 절차를 이행하지 않는 것은 특정 개인의 재식별 등 위험 소지가 있으므로 가명정보 처리 실태의 개선이 필요하다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 ’23. 11. 1. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 '23. 11. 15. 개인정보보호위원회에 법 위반사실을 인정하고 시정을 완료하였다는 의견을 제출하였다.
Ⅳ. 처분 및 결정
1. 과태료 부과
피심인의 舊 보호법 제28조의4제2항 위반행위에 대해 같은 법 제75조제4항제6의2호, 舊 시행령 제63조의 [별표2]에 따라 다음과 같이 과태료를 부과한다.
가. 기준금액
舊 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 舊 보호법 제28조의4 제2항 위반행위에 대해 1회 위반에 해당하는 과태료인 200만 원을 적용한다.
< 舊 보호법 시행령 제63조 [별표 2] - 과태료 부과기준 >
<img src="/LSW/flDownload.do?flSeq=147395177" alt="8번째 이미지"></img>
나. 과태료의 가중
「舊 개인정보보호법 위반에 대한 과태료 부과기준」(개인정보위 2023. 3. 8. 이하 '舊 과태료 부과지침’) 제8조(과태료의 가중)는 “사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다”라고 규정하고 있다.
피심인의 舊 보호법 제28조의4제2항 위반행위는 舊 과태료 부과지침 제8조[별표2]의 과태료 가중기준에 해당하지 않으므로 기준금액을 유지한다.
다. 과태료의 감경
舊 과태료 부과지침 제7조(과태료의 감경)는 “사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있다.
피심인은 조사 기간 중 일관되게 행위 사실을 인정하면서 자료 제출 등 조사에 적극 협력하였고, 위반행위를 시정 완료하였으므로, 舊 과태료 부과지침 제7조 [별표1] 감경기준에 따라 기준금액의 50%인 100만 원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=147395179" alt="9번째 이미지"></img>
라. 최종 과태료
피심인의 舊 보호법 제28조의4 제2항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 100만 원의 과태료를 부과한다.
< 과태료 산출내역 >
<img src="/LSW/flDownload.do?flSeq=147395181" alt="10번째 이미지"></img>
2. 시정조치 명령
피심인에 대하여 법 제64조제1항에 따라 다음과 같이 시정조치 명령을 부과한다.
가. 향후 유사한 사례가 재발되지 않도록 개인정보취급자가 개인정보를 처리 하는 과정 전반에 대해 관리ㆍ감독(정상적인 결재 절차 이행 등)을 강화하고, 개인정보 보호 관련 교육을 실시한다.
나. 피심인은 가.의 시정조치 명령에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
3. 개선권고
피심인에 대하여 법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 가명정보 처리시 「가명정보 처리 가이드라인('24.2월)」에 따른 가명처리 단계별 절차(각주:가명정보 처리 가이드라인(’24.2월) 10~38쪽) (사전준비→위험성 검토→가명처리→적정성 검토→안전한 관리 등 5단계)를 준수한다.
나. 피심인은 가.의 개선권고에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
피심인은 「舊 개인정보 보호법」(법률 제16930호, 이하 “舊 보호법”이라 한다.) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147395165" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
피심인의 보호법 위반에 대해 감사원에서 개인정보보호위원회(이하 '보호위’)에 조사를 요청('21. . .)하여 조사를 실시(’21.11.4.~’23.5.25.)하였으며, 다음과 같은 사실을 확인하였다.
2. 개인정보 수집ㆍ이용 현황
피심인은 관리 및 안전한 공급을 위해 시스템
( )*을 운영하면서 아래와 같이 정보 개인정보파일을 처리하고 있다.
* : 의 약자로 2002년에 구축
<img src="/LSW/flDownload.do?flSeq=147395167" alt="2번째 이미지"></img>
* 주민등록번호 처리근거 : 관리법 시행령
** 『공공기록물관리법』시행령 제26조 제1항, 별표1의 제4호
3. 사실조사 결과
<img src="/LSW/flDownload.do?flSeq=147395169" alt="3번째 이미지"></img>
가. 기초 사실
○ 피심인은 시스템에서 2019년도 데이터 1,763,214건(이하 '이 사건 정보’)을 에 전송하였고, 는 해당 데이터를 에 전송한 사실이 있다.
- (제공목적) 피심인은 ㆍ 와 빅데이터를 활용한 모집 연구 관련 MOU(각주:협약 계획상 는 기존 행동데이터 분석을 통한 동기요소 발굴, 신규 의 참여 확산을 위한 연구분석 지원, 는 다회 의 서비스 이용요금 추가감면 등 할인구조 설계 및 사회가치 확산을 위한 홍보 협조업무를 수행토록 할 예정이었음) 를 추진하였으며, 해당 MOU 설명회를 위한 자료 제작을 위해 정보를 에 전송함
- (제공항목) 명, 명, 성별, 직업, 종류, 나이, 나이그룹, 구분(초회, 다회), 형, 종료시각, 기념품 등 11개 항목*
* (NUR_MASTER), 검사관리(LAB_MASTER), 종료정보(NUR_ _END_TIME), 기념품정보(NUR_SOUVENIR_OFFER_INFO) 등 4개 DB 테이블에서 11개 항목만을 추출
○ 피심인은 정보시스템( ) 내 4개의 DB테이블에서 11개 정보를 추출하는 방식으로 이 사건 정보를 생성하였다.
< 시스템의 4개 DB테이블 설명 >
<img src="/LSW/flDownload.do?flSeq=147395171" alt="4번째 이미지"></img>
< 피심인이 에 제공한 이 사건 정보* 데이터 예시 >
<img src="/LSW/flDownload.do?flSeq=147395173" alt="5번째 이미지"></img>
* 해당 정보만으로 특정 개인을 식별하는 것은 어려우나, 대부분의 데이터들이 중복없이 고유값(약 99%)을 지니고 있어 DB원본( 정보시스템)으로 개인을 식별할 가능성이 높음
나. 주요 경과
<img src="/LSW/flDownload.do?flSeq=147395175" alt="6번째 이미지"></img>
Ⅲ. 위법성 판단
1. 관련 쟁점
가. 이 사건 정보의 개인정보 유형 판단
① 이 사건 정보가 익명정보에 해당하는지 여부(보호법 미적용 여부)
○ 익명정보는 '시간ㆍ비용ㆍ기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보’로서 보호법 적용이 제외된다(§58의2)
○ 피심인은 이 사건 정보를 익명정보라고 주장하였으나,
- ①원본정보가 존재하는 점, ②'21년 3월~4월 감사원 담당관이 이 사건 정보 중 12건을 선별한 후 피심인의 내부 DB를 활용하여 특정인을 식별할 수 있는 상태로 복원에 성공한 점을 고려할 때, 이 사건 정보는 익명처리된 정보라고 볼 수 없다.
< 감사원의 이 사건 정보 복원 과정 도식화 과정 >
(그림삭제)
② 이 사건 정보의 '가명정보’ 해당 여부
○ 가명처리는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 '추가정보’ 없이는 특정 개인을 알아볼 수 없도록 처리하는 행위이며, 가명정보는 원래의 상태로 복원하기 위한 '추가정보’의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보를 말한다.(법 제2조)
○ 한편, '추가정보’란 가명처리과정에서 생성 또는 사용된 정보로서 특정 개인을 알아보기 위해 사용ㆍ결합될 수 있는 정보이며,
* 가명정보처리가이드라인
- 가명처리에 사용된 개인정보, 즉 원본정보도 추가정보에 포함되며, 이 사건 정보의 경우 DB원본을 이용하여 복원이 가능하므로 해당 DB원본은 추가정보에 해당한다.
* 추가정보는 파기가 원칙이며, 원본정보처럼 파기가 어려운 경우 법 제28조의4제1항에 따라 별도 분리보관, 관리하여야 함 (가명정보처리가이드라인 63p)
- 이 사건 정보의 경우 해당 정보만으로는 개인을 식별할 수 없으나, DB원본정보(추가정보)를 이용하면 개인을 식별할 수 있었던 것으로 확인됨에 따라 이 사건 정보는 가명정보에 해당한다고 판단된다.
○ 舊 보호법 제28조의2제1항은 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 개인정보처리자가 정보주체의 동의 없이 가명정보를 처리할 수 있다고 규정하고 있으며, 제2항은 제3자 제공시 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함하여서는 아니된다고 규정하고 있다.
- 이 사건 피심인이 정보시스템 DB에서 특정 개인을 식별할 수 없는 11개 정보를 추출하여 정보를 생성하고, 이를 에 전달한 것은 법 제28조의2의 '통계작성’ 및 '과학적 연구’ 목적으로 가명정보를 처리한 것에 해당한다고 판단된다.
나. 정보 전달행위의 유출 여부 판단
○ (감사원 의견) 개인정보처리자인 피심인의 관리범위에서 벗어나 처리권한이 없는 제3자( , )에게 정보가 전달된 것은 유출이며, 유출신고를 하지 않은 행위는 舊 보호법 제34조 위반으로 처분이 필요하다고 판단했으나,
< 감사원의 피심인 감사보고서( ) 페이지 >
(그림삭제)
○ (검토의견) 표준개인정보보호지침은 ’유출'이란 ’법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대해 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것'으로 규정하고 있다.
○ 본 건의 경우, ① 정보 전달에 대해 내부 보고*가 있었던 점을 고려할 때, 정보 전달이 개인정보처리자인 피심인의 자유로운 의사에 의한 것이 아니라고 보기 어려우며, 감사원 지적처럼 '제3자 무단 제공’에 해당한다고 보기 어렵다.
* 피심인은 '21.11월 개인정보위에 제출한 ’ 의견서'에서 정보 제공에 관해 기관장인 관리본부장에게 구두로 보고하였으며, 제공한 정보는 피심인의 위임전결권에 따라 의사결정된 정보 전달이었다고 진술함(각주:다만, 문서에 의한 결재절차를 생략한 채 해당 정보를 전달하였다는 점에 대해 내부징계하였음을 소명함) - 또한 피심인과 ㆍ 사이에 MOU 체결 계획이 있었던 점, 피심인의 개인정보처리자가 이 사건 정보 파기를 요청하자 데이터를 파기하고 파기 확약서를 송부한 점, 피심인이 ②해당 정보에 대해 통제를 상실하였다고 보기 어려운 점 등을 고려할 때,
○ 이 사건 정보의 전달은 “개인정보처리자의 자유로운 의사에 의하지 않고 통제를 상실하거나 권한 없는 자의 접근을 허용한 경우”에 해당되지 않으므로 유출이라 보기 어려우며, 유출신고 의무가 발생하지 않은 것으로 판단된다.
○ 한편, 대법원은 개인정보의 유출이란 해당 서비스제공자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다고 판시(대법원 2014. 5.16. 선고 2011다24555, 24562판결)한 바 있으며,
- 본 건의 경우 '추가정보’가 분리ㆍ차단된 가명정보가 외부에 제공된 것으로, 그 수령자로서는 데이터에 포함된 개인이 누구인지 알아볼 수 없다는 점에서 '개인정보의 내용을 알 수 있는 상태’에 이르렀다고 보기 어렵다.
다. 이 사건 정보에 대한 안전조치의무 등 적용여부
① 가명정보 처리에 관한 인식이 없었는데, 처분할 수 있는지
○ 舊 보호법 제28조의4에 ①개인정보처리자가 가명정보를 '처리하는’ 경우에는 안전성 확보에 필요한 조치를 해야 한다고 규정하고 있는 점, ②추가정보에 대한 분리ㆍ보관, 접근권한 관리, 기록 보관 등 보호법상 의무들은 개인정보처리자의 가명정보 처리에 관한 인식 없이는 준수하기 어려운 조항이므로 의무 위반에 대한 책임을 묻기 어렵다는 의견도 있으나,
○ 피심인이 이 사건 정보 제공(2020. 9월) 당시 해당 정보가 가명정보에 해당함을 인지하지 못하여 제28조의4* 적용대상임을 알지 못하였다 하더라도, 그러한 착오에 정당한 이유가 있다고 보기 어렵다는 의견이 다수이며,
* 舊 보호법은 2020.2.4일 공포되고 약 6개월의 계도기간을 거쳐 2020.8.5일부터 시행됨
- 판례에 따르면, 형법 제16조에서 '자기의 행위가 죄가 되지 아니하는 것으로 오인한 행위는 그 오인에 정당한 이유가 있는 때에 한하여 벌하지 아니한다’고 규정하고 있는데,
그러한 '정당한 이유’가 인정되려면 단순히 법률을 오인하는 것으로는 부족하고 행위 당시 법률전문가, 담당 공무원 등에 진지한 자문을 구하고 이를 근거로 그 행위가 적법하다고 믿은 데 귀책이 없어야 한다고 판시하고 있다. (대법원 2000. 8.18. 선고 2000도 2943 판결, 대법원 2005. 6. 10. 선고 2005도835 판결)
○ 이에 따라, 피심인이 정보 제공 당시 해당 정보가 가명정보에 해당하고, 舊 보호법 제28조의4 등의 적용대상임을 인지하지 못한 것은 그 착오에 정당한 이유가 있다고 보기 어려우므로 처분이 가능하다고 판단된다.
② 이 사건 처분시 적용조항
○ 이 사건 정보에 대하여는 가명정보 안전성 확보에 관한 절차의무 규정인 舊 보호법 제28조의4가 적용된다.
- 피심인은 이 사건 정보를 원 개인정보로 환원하기 위해 필요한 '추가정보’를 별도로 분리하여 보관하고, 접근권한을 통제하였으나,
- 가명정보의 처리목적, 제3자 제공시 제공받는 자 등 가명정보의 처리내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 기록을 작성하고 보관하지 않았으므로, 이는 보호법 제28조의4제2항 위반에 해당한다.
○ 또한, 피심인이 개인정보취급자에 대한 관리ㆍ감독을 소홀히 하여 이 사건 정보가 정당한 결재절차를 거치지 않은 채 제3자에게 전달되도록 하였으므로, 이는 보호법 제28조제1항 위반에 해당한다.
라. 외부기관( , )의 법 위반여부
○ 이 사건 정보의 수령자인 외부기관은 데이터에 포함된 개인을 알아볼 수 없었으므로, 데이터 처리과정에서 개인 식별이 가능한 정보가 생성되었는데 그 처리를 중지하지 아니하였다거나(舊 보호법 §28조의5②), 또는 일부러 재식별을 위한 시도를 했다는(舊 보호법 §28조의5①) 등의 특별한 사정이 없었으므로 舊 보호법 위반은 없었다고 판단된다.
2. 개인정보의 취급ㆍ운영 관련 사실관계
가. 가명정보 처리관련 기록을 작성ㆍ보관하지 않은 행위
○ 피심인은 가명정보를 처리하면서 그 처리목적, 처리한 개인정보의 항목, 가명정보의 이용내역, 제공받는 자 등에 관한 기록을 작성, 보관하지 않은 사실이 있다.
나. 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 행위
○ 피심인은 개인정보가 안전하게 관리될 수 있도록 개인정보취급자에 대한 적절한 관리ㆍ감독을 하여야 하나, 이를 소홀히 하여 정당한 결재절차를 거치지 않은 채 정보가 제3자에게 전달되도록 한 사실이 있다.
다. 개인정보의 가명처리 단계별 절차를 이행하지 않은 행위
○ 피심인은 개인정보를 가명처리하면서 「가명정보 처리 가이드라인」에 따른 '개인정보의 가명처리 단계별 절차’를 준수하지 않은 사실이 있다.
< 개인정보의 가명처리 단계별 절차도(가명정보 처리가이드라인) >
<img src="/LSW/flDownload.do?flSeq=147395163" alt="7번째 이미지"></img>
3. 위법성 판단
가. 가명정보 처리관련 기록을 작성ㆍ보관하지 않은 행위
1) 관련 법 규정
舊 보호법 제28조의4제2항은 “개인정보처리자는 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 한다.”라고 규정하고 있다.
또한, 舊 시행령(대통령령 제32813호) 제29조의5제2항은 “법 제28조의4제2항에서 “대통령령으로 정하는 사항”이란 가명정보 처리의 목적(1호), 가명처리한 개인정보의 항목(2호), 가명정보의 이용내역(3호), 제3자 제공 시 제공받는 자(4호), 그 밖에 가명정보의 처리 내용을 관리하기 위하여 보호위원회가 필요하다고 인정하여 고시하는 사항(5호)을 말한다.“라고 규정하고 있다.
2) 위법성 판단
개인정보처리자가 가명정보를 처리하고자 하는 경우에는 관련 기록을 작성하여 보관하여야 하나, 피심인이 관련 기록을 작성하여 보관하지 않은 행위는 舊 보호법 제28조의4제2항, 舊 시행령 제29조의5제2항 위반에 해당한다.
나. 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 행위
1) 관련 법 규정
舊 보호법 제28조제1항은 ”개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 '개인정보처리자’라 한다)의 범위를 최소한으로 제한하고, 개인정보 취급자에 대하여 적절한 관리ㆍ감독을 행하여야 한다.“고 규정하고 있다.
2) 위법성 판단
개인정보처리자는 개인정보가 안전하게 관리될 수 있도록 개인정보취급자에 대하여 적절한 관리ㆍ감독을 하여야 하나, 피심인이 이를 소홀히 하여 정당한 결재절차를 거치지 않은 채 정보가 제3자에게 전달되도록 한 행위는 舊 보호법 제28조제1항 위반에 해당한다.
다. 개인정보의 가명처리 단계별 절차를 이행하지 않은 행위
1) 관련 규정
「가명정보 처리 가이드라인」은 개인정보처리자가 개인정보를 가명처리하고자 하는 경우에는 ①가명처리 목적 설정 등 사전준비, ②위험성 검토 ③가명처리 수행 , ④적정성 검토 및 추가 가명처리, ⑤가명정보의 안전한 관리 등 '개인 정보의 가명처리 단계별 절차’를 준수 하여야 한다고 규정하고 있다.
2) 위법성 판단
개인정보처리자가 개인정보를 가명처리하고자 하는 경우에는 '가명처리 단계별 절차’를 준수하여야 하나, 피심인이 이러한 절차를 이행하지 않는 것은 특정 개인의 재식별 등 위험 소지가 있으므로 가명정보 처리 실태의 개선이 필요하다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 ’23. 11. 1. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 '23. 11. 15. 개인정보보호위원회에 법 위반사실을 인정하고 시정을 완료하였다는 의견을 제출하였다.
Ⅳ. 처분 및 결정
1. 과태료 부과
피심인의 舊 보호법 제28조의4제2항 위반행위에 대해 같은 법 제75조제4항제6의2호, 舊 시행령 제63조의 [별표2]에 따라 다음과 같이 과태료를 부과한다.
가. 기준금액
舊 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 舊 보호법 제28조의4 제2항 위반행위에 대해 1회 위반에 해당하는 과태료인 200만 원을 적용한다.
< 舊 보호법 시행령 제63조 [별표 2] - 과태료 부과기준 >
<img src="/LSW/flDownload.do?flSeq=147395177" alt="8번째 이미지"></img>
나. 과태료의 가중
「舊 개인정보보호법 위반에 대한 과태료 부과기준」(개인정보위 2023. 3. 8. 이하 '舊 과태료 부과지침’) 제8조(과태료의 가중)는 “사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다”라고 규정하고 있다.
피심인의 舊 보호법 제28조의4제2항 위반행위는 舊 과태료 부과지침 제8조[별표2]의 과태료 가중기준에 해당하지 않으므로 기준금액을 유지한다.
다. 과태료의 감경
舊 과태료 부과지침 제7조(과태료의 감경)는 “사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있다.
피심인은 조사 기간 중 일관되게 행위 사실을 인정하면서 자료 제출 등 조사에 적극 협력하였고, 위반행위를 시정 완료하였으므로, 舊 과태료 부과지침 제7조 [별표1] 감경기준에 따라 기준금액의 50%인 100만 원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=147395179" alt="9번째 이미지"></img>
라. 최종 과태료
피심인의 舊 보호법 제28조의4 제2항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 100만 원의 과태료를 부과한다.
< 과태료 산출내역 >
<img src="/LSW/flDownload.do?flSeq=147395181" alt="10번째 이미지"></img>
2. 시정조치 명령
피심인에 대하여 법 제64조제1항에 따라 다음과 같이 시정조치 명령을 부과한다.
가. 향후 유사한 사례가 재발되지 않도록 개인정보취급자가 개인정보를 처리 하는 과정 전반에 대해 관리ㆍ감독(정상적인 결재 절차 이행 등)을 강화하고, 개인정보 보호 관련 교육을 실시한다.
나. 피심인은 가.의 시정조치 명령에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
3. 개선권고
피심인에 대하여 법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 가명정보 처리시 「가명정보 처리 가이드라인('24.2월)」에 따른 가명처리 단계별 절차(각주:가명정보 처리 가이드라인(’24.2월) 10~38쪽) (사전준비→위험성 검토→가명처리→적정성 검토→안전한 관리 등 5단계)를 준수한다.
나. 피심인은 가.의 개선권고에 따른 조치를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).