제2024-217-564호

안건번호 : 제2024-217-564호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : (사업자등록번호 : )
의결연월일 : 2024. 8. 28.

1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 3,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 온라인스토어 가입시 국외이전 및 제3자 제공(선택사항) 관련 사항을 명확하게 기재하고, 통합회원에 가입하지 않은 이용자의 바코드가 온라인스토어 회원정보와 결합되지 않도록 이용자의 개인정보 보호를 강화하는 방안을 마련ㆍ이행할 것
나. 의결서를 통지받은 날로부터 60일 이내에 위 가.의 개선계획을 마련하여 개인정보보호위원회에 제출할 것

Ⅰ. 기초 사실

피심인은 일본의 캐주얼 의류 브랜드인 의 한국 사업을 운영하는 舊 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(각주:舊 정보통신망법(법률 제16021호, 2018. 12. 24. 일부개정, 2019. 6. 25. 시행)) (이하 '舊 정보통신망법’)에 따른 정보통신서비스 제공자이고 「개인정보 보호법」(각주:개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)) (이하 '보호법’)에 따른 개인정보처리자이다.
<img src="/LSW/flDownload.do?flSeq=147396317" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 피심인의 개인정보 침해에 대한 언론보도(?19.8.28.)에 따라 舊정보통신망법 및 개인정보보호 법규 위반 여부를 조사하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 언론보도 관련 사실관계

1) 언론보도 내용

피심인이 한국 고객의 개인정보를 일본본사로 이관하면서 고지를 하지 않았고, 선택사항 미동의시 혜택을 제공하지 않았다는 언론보도(?19.8.28.)에 따라 조사에 착수하였다.
2) 사실관계 확인 결과

피심인은 온ㆍ오프라인 상담과 관련된 고객센터 운영 및 유지보수 업무를 일본본사에 위탁하여 한국 이용자의 개인정보를 처리하도록 한 사실이 있다.

피심인은 온라인스토어(각주:온라인 스토어는 한국 에 시스템 구축 및 운영을 위탁) 회원가입(웹ㆍ앱)시 개인정보 국외이전 및 제3자 제공 동의(선택사항)에 미동의할 경우 쿠폰사용 불가 및 서비스 등 혜택이 제공되지 않을 수 있음을 명시한 사실이 있다.

나. 앱 설치ㆍ운영 관련 사실관계(각주:앱 설치시 생성ㆍ수집되는 바코드 등 일본 본사로 이전되는 개인정보의 처리를 살펴보는 과정에서 확인함) 피심인은 이용자가 앱을 설치ㆍ실행하면 이용자의 휴대전화에 바코드를 생성ㆍ수집하고 오프라인 매장에서 물건 구매 후 바코드 태깅시 구매 이력을 수집하면서 이에 대한 동의는 없었다.

3. 개인정보 침해관련 사실관계

가. 국외이전 항목 미고지 관련

피심인이 일본본사에 고객상담시스템 운영 등을 위탁하여 일본본사가 한국 이용자의 이름, 메일 주소, 전화번호 등 개인정보를 처리함에도 피심인의 개인정보처리방침에 국외이전 관련 법정 고지 항목(각주:1. 이전되는 개인정보 항목, 2. 이전되는 국가, 이전일시 및 방법, 3. 개인정보를 이전받는 자의 성명(법인인 경우 그 명칭 및 정보관리책임자 연락처), 4. 개인정보를 이전받는 자의 이용목적 및 보유ㆍ이용 기간) 을 미고지(?19.8.28.~9.26.)한 사실이 있다.

나. 선택사항 미동의시 혜택 제한 관련

피심인은 개인정보 수집ㆍ이용 동의서상 국외이전 및 제3자 제공의 목적을 '고객별 구매성향 분석 및 맞춤형 서비스 제공’으로 명시하였으며, 당시 피심인의 쿠폰지급 방식상 일본 본사가 운영하는 쿠폰을 지급받기 위해서는 제3자 제공 동의를 하여야했다.

다. 바코드 생성ㆍ수집 관련

피심인이 앱의 개발 및 유지보수를 일본본사에 위탁하였고, 앱 DB가 일본에 위치하므로 바코드 정보와 오프라인 구매이력은 피심인을 거치지 않고 일본본사로 전송되며, 이용자가 의 통합회원 가입(앱과 온라인스토어 연결)에 동의하면 바코드 정보 및 구매이력은 그 시점부터 온라인스토어의 개인정보와 연결(각주:피심인은 바코드 자체는 단방향 암호화한 정보로 복원이 불가능하고, 바코드 생성ㆍ수집 목적을 바코드 정보를
기초로 발생한 오프라인 구매이력을 통한 한국사업 시장현황 통계 작성 및 할인쿠폰 제공 등을 위한(광고성
정보수신 동의 고객에 한하여) 단말기 구분 목적이라고 소명함) 된다.

4. 처분의 사전통지 및 의견 수렴

개인정보보호위원회는 '24. 7. 10. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 '24. 7. 24. 법 위반 사실을 인정하고 선처를 요청하는 의견을 제출하였다.

Ⅲ. 위법성 판단

1. 관련 법 규정

舊 정보통신망법 제63조제2항은 “정보통신서비스 제공자등은 이용자의 개인정보를 국외에 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관(이하 이 조에서 “이전”이라 한다)하려면 이용자의 동의를 받아야 한다. 다만, 정보통신서비스의 제공에 관한 계약을 이행하고 이용자 편의 증진 등을 위하여 필요한 경우로서 제3항 각 호의 사항 모두를 제27조의2제1항에 따라 공개하거나 전자우편 등 대통령령으로 정하는 방법에 따라 이용자에게 알린 경우에는 개인정보 처리위탁ㆍ보관에 따른 동의절차를 거치지 아니할 수 있다.”라고 규정하고 있다.

2. 위법성 판단

가. 이용자의 개인정보를 국외 이전하면서 처리방침을 통해 고지하지 않은 행위
[舊 정보통신망법 제63조(국외이전 개인정보의 보호)제2항]

피심인이 고객상담시스템 운영 등을 일본본사에 위탁하여 개인정보를 국외이전(처리위탁)하면서 개인정보처리방침을 통해 법에서 정한 항목을 이용자에게 알리지 않은 행위(?19.8.28.~?19.9.26.)는 舊정보통신망법 제63조제2항을 위반한 것이다.

Ⅳ. 처분 및 결정

1. 과태료 부과

피심인의 舊 정보통신망법 제63조(국외이전 개인정보의 보호)제2항 위반행위에 대해 같은 법 제76조(과태료)제2항제5호, 같은 법 시행령(각주:舊 정보통신망법 시행령(대통령령 제29852호, 2019. 6. 11. 일부개정, 2019. 6. 25. 시행)) (이하 '舊 시행령’) 제74조의 [별표 9] 및 舊 「개인정보 및 위치정보의 보호 위반행위에 대한 과태료 부과지침」(각주:舊 「개인정보 및 위치정보의 보호 위반행위에 대한 과태료 부과지침」 (방송통신위원회 의결 제2018-33-376호)) (이하 '舊 과태료 부과기준’)에 따라 총 300만 원의 과태료를 부과한다.

가. 기준금액

舊 시행령 [별표9]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 1회 위반에 해당하는 과태료인 600만원을 적용한다.
<img src="/LSW/flDownload.do?flSeq=147396319" alt="2번째 이미지"></img>
나. 과태료의 가중

舊 과태료 부과기준 제8조는 사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 가중기준(▲조사방해, ▲위반의 정도, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.’라고 규정하고 있다.

피심인의 위반행위는 舊 과태료 부과기준 제8조 및 [별표 2] 과태료의 가중기준에 따라 가중할 수 있는 사유에 해당하지 않으므로 가중하지 않고 기준을 유지한다.

다. 과태료의 감경

舊 과태료 부과기준 제7조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 1]의 감경기준(▲당사자 환경, ▲사업규모 및 자금사정, ▲개인(위치)정보보호 노력정도, ▲조사협조 및 자진시정 등, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.’라고 규정하고 있다.

피심인의 위반행위는 舊 과태료 부과기준 제7조 및 [별표 1] 과태료의 감경기준에 따라 '과태료의 사전통지 및 의견 제출 기간 내에 법규 위반 행위를 중지하는 등 시정을 완료한 경우’에 해당하여 기준금액(600만 원)의 50%(300만 원)를 감경한다.

라. 최종 과태료

피심인의 舊 정보통신망법 제63조(국외이전 개인정보의 보호)제2항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 300만 원의 과태료를 부과한다.

< 과태료 산출내역 >
<img src="/LSW/flDownload.do?flSeq=147396321" alt="3번째 이미지"></img>
※ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부 하는 경우, 100분의 20을 감경함(질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)

2. 개선권고

피심인의 당시 쿠폰 제공 방식상 일본본사에서 지급하는 쿠폰 혜택을 받기 위해서는 개인정보 국외이전 및 제3자 제공 동의가 필요하고, 동의서 및 개인정보처리방침상에도 국외이전 및 제3자 제공 목적이 할인쿠폰 등 혜택 제공임을 명시한 바, 보호법 위반이라고 보기는 어렵다. 다만, 현재는 일본본사에서 지급하는 쿠폰이 없음에도 동일한 문구를 사용하는 것은 적절하지 않으므로 온라인스토어 가입시 국외이전 및 제3자 제공(선택사항) 관련 사항을 명확하게 기재하도록 개선권고한다.

또한, 피심인의 앱을 통해 이용자의 휴대전화에 설치되는 바코드가 개인정보에 해당하는지와 해당 정보의 수집주체 및 이용목적 등은 현시점에서 명확한 확인 및 판단이 어려우나, 온라인스토어 회원정보의 처리위탁 등 과정에서 통합회원에 가입하지 않은 이용자의 바코드가 온라인스토어 회원정보와 결합되지 않도록 이용자의 개인정보 보호를 강화하는 방안을 우선적으로 마련ㆍ이행할 필요가 있으므로 이를 보호법 제61조제2항에 따라 아래와 같이 개선권고한다.
<img src="/LSW/flDownload.do?flSeq=147396323" alt="4번째 이미지"></img>
Ⅵ. 결론

피심인의 舊 정보통신망법 제63조(국외이전 개인정보의 보호)제2항을 위반한 행위에 대하여 같은 법 제76조(과태료)제2항제5호에 따라 과태료를 부과하고, 온라인스토어 가입시 국외이전 및 제3자 제공(선택사항) 관련 사항을 명확하게 기재하고 통합회원 미가입 이용자의 바코드가 온라인스토어 회원정보와 결합되지 않도록 이용자의 개인정보 보호를 강화하는 방안을 마련ㆍ이행할 것을 보호법 제61조(의견제시 및 개선권고)제2항에 따라 개선권고 할 것을 주문과 같이 의결한다.

피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조제1항에 따라 과태료 부과 통지를 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의제기를 할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.