개인정보보호위원회
심의ㆍ의결
제2023-019-241호 (사건번호 : 202306조일0058)
개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
의결일: 2023년 11월 22일
요지
안건번호 : 제2023-019-241호 (사건번호 : 202306조일0058)
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
신청인 : (사업자등록번호 : ) 대표자
의결연월일 : 2023. 11. 22.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 등에 관한 건
신청인 : (사업자등록번호 : ) 대표자
의결연월일 : 2023. 11. 22.
주문
1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 3,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대한 과태료 부과의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.
3. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 이용자(고객)의 개인정보를 수집할 때 필요한 최소한의 정보만 수집하고,
필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로
재화 또는 서비스의 제공을 거부하지 말 것
나. 피심인은 통지를 받은 날로부터 60일 이내에 개선계획을 개인정보보호위원회에 제출할 것
가. 과 태 료 : 3,600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대한 과태료 부과의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.
3. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 이용자(고객)의 개인정보를 수집할 때 필요한 최소한의 정보만 수집하고,
필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로
재화 또는 서비스의 제공을 거부하지 말 것
나. 피심인은 통지를 받은 날로부터 60일 이내에 개선계획을 개인정보보호위원회에 제출할 것
이유
Ⅰ. 조사 개요
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 (이하 '피심인’)가 자사 매장에서 입장 대기 순번을 받으려는 대기고객과 동행인(이하 '대기고객 등’)에게 생년월일을 포함한 개인정보를 요구하고, 미입력시 매장 입장을 불가능하게 하였다는 언론보도(각주:이 뭐기에...“구경만 해도 개인정보 내라”(KBS, ?23.6.15.)) 에 따라 사실관계 확인 및 조사에 착수하였다.
2. 피심인 현황
피심인은 화장품, 악세사리, 잡화 등을 판매하면서 자사 매장을 방문한 대기 고객 등의 개인정보를 처리하는 「舊개인정보 보호법」(각주:법률 제16930호, 2020,2.4., 일부개정, 2020.8.5. 시행) (이하 '舊 보호법’) 제2조제5호에 따른 개인정보처리자에 해당하며, 사업자 일반현황 및 최근 3년간 재무현황은 아래와 같다.
< 일 반 현 황 >
<img src="/LSW/flDownload.do?flSeq=147396883" alt="1번째 이미지"></img>
< 최근 3년간 재무현황 >
(천원)
<img src="/LSW/flDownload.do?flSeq=147396885" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 개인정보 수집현황
피심인은 ?18. 12월부터 ?23. 6. 30. 까지 명의 대기고객 등의 개인정보를 수집하였고, ?23. 6. 30. 기준 명의 개인정보를 보유하고 있다.
<img src="/LSW/flDownload.do?flSeq=147396887" alt="3번째 이미지"></img>
2. 개인정보 침해 관련 사실관계
가. 대기고객 등 개인정보 수집 관련
피심인은 자체 개발한 대기고객 관리시스템을 통해 자사 매장 입장을 위해 대기하는 대기고객 등의 생년월일을 포함한 개인정보(성명, 휴대전화번호, 거주지역(국가))를 2022년 5월부터 2023년 6월 21일까지 필수적으로 수집하였고, 해당 정보의 수집 목적을 매장의 대기고객 관리 및 입장순서 관련 안내, 대기고객 애프터서비스 개선, 코로나19 확산방지 및 방역조치, 감염병 예방 및 전파의 차단 및 역학조사라고 명시하였다.
그러나 피심인은 대기고객이 없는 경우에는 매장에 입장하는 고객 등으로부터 별도의 개인정보를 수집하지 않았다.
나. 매장입장 제한 관련
피심인은 자사 매장 입장을 위해 대기하는 대기고객 등이 필수적으로 수집되는 개인정보의 제공을 거부한 경우, 매장 입장을 제한한 사실이 있다.
Ⅲ. 위법성 판단
1. 관련법 규정
舊 보호법 제16조제1항은 “개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.”라고 규정하고 있다.
舊 보호법 제16조제3항은 “개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니된다.”라고 규정하고 있다.
2. 위법성 판단
가. 필요한 최소한의 정보 외의 개인정보
피심인은 자사 매장 입장을 위해 대기하는 대기고객 등의 성명, 휴대전화번호, 생년월일, 거주지역(국가)) 등 개인정보를 舊 보호법 제15조제1항에 따라 해당 대기고객 등의 동의를 받아 필수적으로 수집하였다.
피심인은 대기고객 등의 동의를 받으면서, 그 개인정보의 수집목적을 매장의 대기고객 관리 및 입장순서 관련 안내, 대기고객 애프터서비스 개선, 코로나19 확산방지 및 방역조치, 감염병 예방 및 전파의 차단 및 역학조사로 명시하였다.
그러나 대기고객 관리 등의 목적은 대기고객을 관리하고 입장순서가 되었을 때 안내하기 위함이므로 이를 위해서는 대기고객 중 1인의 이름, 휴대전화번호 및 동행인 수만 있어도 충분하고, 서비스 개선 등의 목적은 개인정보가 필요한 것이 아닌 관련 통계만 보유해도 가능하므로 생년월일 및 거주지역, 동행인의 모든 개인정보를 수집하는 것은 과도한 개인정보 수집으로 볼 수 있다.
실제 피심인은 언론보도로 논란이 된 이후 대기고객의 생년월일과 거주지역 정보, 동행인에 대한 개인정보 수집을 중단하고도 대기고객의 매장 입장을 안내하고 있는 것으로 확인된다.
또한, 코로나19 확산방지 등을 위한 수집 목적과 관련하여 대기고객이 없는 경우에는 매장 이용 고객을 대상으로 개인정보를 수집하지 않은 점, 정부의 출입명부 및 방역패스 의무화가 종료된 상황에서 피심인이 수집한 정보로는 코로나 감염자의 출입을 막을 수도 없고 감염자의 출입 동선을 추적할 수 있는 방법도 없었던 점 등을 볼 때, 이를 위해 개인정보를 필수적으로 수집한 것은 인정될 수 없다.
나. 서비스 제공 거부
고객 등이 피심인으로부터 재화 또는 서비스를 제공받기 위해서는 피심인의 매장에 입장이 가능하여야 한다.
피심인은 대기고객 및 동행인의 성명, 휴대전화번호, 생년월일, 거주지역 등의 개인정보를 필수로 수집하면서 이에 동의하지 아니한 대기고객 등의 매장 입장을 제한하였다.
따라서 이는 필요한 최소한의 정보 외의 개인정보를 제공하지 않는다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부해서는 안 된다고 규정한 舊 보호법 제16조제3항 위반에 해당한다.
Ⅳ. 피심인 주장에 대한 검토
1. 필요한 최소한의 개인정보 관련
가. 피심인 주장
피심인은 14세 이상 여부의 확인 및 외국인 고객 응대를 위해 생년월일과 거주지역(국가) 정보가 필요하며, 동시 입장 고객 수를 효율적으로 관리하고 코로나19 방역을 위해 동행인의 개인정보가 필요하다고 주장하였다.
나. 검토의견 : 불수용
만14세 이상 여부 확인을 위해 모든 대기고객의 생년월일을 수집하고 저장할 필요는 없고, 외국인 고객 응대는 거주지역 또는 사용언어를 선택정보로 수집하여도 목적을 달성할 수 있으므로 피심인이 생년월일과 거주지역을 필수적으로 수집하는 합리적 사유로 인정하기 어렵다.
매장에 입장하는 고객의 수를 예측하고 관리하는 목적은 동행인의 수를 수집하는 방법으로도 달성할 수 있고, 방역 패스 의무화 방침의 종료로 코로나19 관련 주장도 수용하기 어렵다.
2. 과태료 감경 관련
가. 피심인 주장
법 위반상태로 지적된 사항들을 신속하게 자진시정(각주:(거주지역 정보 및 동행인 정보) 수집중단, (생년월일) 14세 이상 여부 체크로 대체, (보유 및 이용기간) 1년에서 2주로 단축) 완료한 점, 위원회의 사실조사에 성실히 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 사실이 있는 점을 감안하여 감경을 요청하였다.
나. 검토의견 : 수용
피심인이 자진시정 완료한 점, 조사에 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 점 등에 대해서는 감경을 인정한다.
3. 공표 관련
가. 피심인 주장
피심인이 과도한 개인정보 수집을 통해 이익을 취하려 한 사안이 아닌 점, 정보주체의 사생활과 관련되거나 민감한 정보는 포함되지 않은 점, 정보주체에게 특별한 피해가 발생되지 않은 점 등을 고려했을 때, 위반 사실 공표 시 피심인의 이미지나 평판에 심대한 손상 등 가혹한 결과를 초래하므로 공표 처분 재고를 요청하였다.
나. 검토의견 : 불수용
피심인의 위반행위는 舊 개인정보보호위원회 처분결과 공표기준(각주:개인정보보호위원회지침, 2020. 11. 18. 시행) (이하 '舊 공표 기준’) 제2조(공표요건)에 해당(각주:제5호(위반행위 시점을 기준으로 위반상태가 6개월 이상 지속된 경우)) 하여 피심인의 주장을 불수용한다.
Ⅴ. 처분 및 결정
1. 과태료 부과
피심인의 舊 보호법 제16조(개인정보의 수집제한)제3항 위반행위에 대해 같은 법 제75조제2항제2호, 같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2022. 10. 20.시행) (이하 '舊 시행령’) 제63조, 舊 시행령 [별표2] '과태료의 부과기준’ 및 舊 개인정보 보호법 위반에 대한 과태료 부과기준(각주:개인정보보호위원회지침, 2023. 3. 8. 시행) (이하 '舊 과태료 부과기준’)에 따라 360만 원의 과태료를 부과한다.
가. 기준금액
舊 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 위반행위에 대한 기준금액을 600만 원으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=147396889" alt="4번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
舊 과태료 부과기준 제8조는 '사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다’라고 규정하고 있다.
피심인의 경우, 舊 과태료 부과기준 제8조 및 [별표2]의 가중기준에 따라 舊 보호법 제16조제3항에 대한 '법 위반상태의 기간이 3개월 이상’이므로 기준금액의 100분의 10에 해당하는 60만 원을 가중한다.
2) 과태료의 감경
舊 과태료 부과기준 제7조는 '사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다’라고 규정하고 있다.
피심인의 경우, 舊 과태료 부과기준 제7조 및 [별표1] 과태료의 감경기준에 따라 '위반행위에 대해 시정을 완료한 경우’, '조사에 적극 협력한 경우’, '정보보호 관리체계 인증(ISMS)을 받은 경우'에 해당하여 위반사항에 대해 기준금액의 100분의 50에 해당하는 300만 원을 감경한다.
다. 최종 과태료
피심인의 舊 보호법 제16조제3항을 위반한 행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 360만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=147396891" alt="5번째 이미지"></img>
2. 결과 공표
舊 보호법 제66조제1항 및 舊 공표기준 제2조(공표요건)에 따르면 피심인의 위반행위는 위반행위가 6개월 이상 지속된 경우(제5호)에 해당하므로 피심인이 과태료 부과를 받은 사실에 대해 개인정보보호위원회 홈페이지에 공표한다. 다만, 개정된 「개인정보 보호위원회 처분결과 공표기준」에 따라 공표 기간은 1년으로 한다.
<img src="/LSW/flDownload.do?flSeq=147396893" alt="6번째 이미지"></img>
3. 개선권고
피심인이 정보주체의 개인정보를 처리하는 목적에 필요한 범위에서 최소한의 개인정보만을 수집하고, 舊 보호법 제16조제3항을 위반하는 행위가 다시 발생하지 않도록 舊 보호법 제61조제2항에 따라 아래와 같이 개선을 권고한다.
<img src="/LSW/flDownload.do?flSeq=147396895" alt="7번째 이미지"></img>
Ⅵ. 결론
피심인의 舊 보호법 제16조(개인정보의 수집 제한)제3항을 위반한 행위에 대하여 같은 법 제75조(과태료)제2항제2호, 제66조(결과의 공표)제1항, 제61조(의견제시 및 개선권고)제2항에 따라 과태료 부과, 결과 공표 및 개선권고를 주문과 같이 의결한다.
피심인은 이 공표에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조에 따라 그 처분을 받은 날부터 90일 이내에 중앙행정심판위원회에 행정심판을 청구하거나 관할법원에 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조제1항에 따라 과태료 부과 통지를 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의제기를 할 수 있다
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항에 따라 그 효력을 상실하고, 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납부 의무를 부담한다.
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 (이하 '피심인’)가 자사 매장에서 입장 대기 순번을 받으려는 대기고객과 동행인(이하 '대기고객 등’)에게 생년월일을 포함한 개인정보를 요구하고, 미입력시 매장 입장을 불가능하게 하였다는 언론보도(각주:이 뭐기에...“구경만 해도 개인정보 내라”(KBS, ?23.6.15.)) 에 따라 사실관계 확인 및 조사에 착수하였다.
2. 피심인 현황
피심인은 화장품, 악세사리, 잡화 등을 판매하면서 자사 매장을 방문한 대기 고객 등의 개인정보를 처리하는 「舊개인정보 보호법」(각주:법률 제16930호, 2020,2.4., 일부개정, 2020.8.5. 시행) (이하 '舊 보호법’) 제2조제5호에 따른 개인정보처리자에 해당하며, 사업자 일반현황 및 최근 3년간 재무현황은 아래와 같다.
< 일 반 현 황 >
<img src="/LSW/flDownload.do?flSeq=147396883" alt="1번째 이미지"></img>
< 최근 3년간 재무현황 >
(천원)
<img src="/LSW/flDownload.do?flSeq=147396885" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 개인정보 수집현황
피심인은 ?18. 12월부터 ?23. 6. 30. 까지 명의 대기고객 등의 개인정보를 수집하였고, ?23. 6. 30. 기준 명의 개인정보를 보유하고 있다.
<img src="/LSW/flDownload.do?flSeq=147396887" alt="3번째 이미지"></img>
2. 개인정보 침해 관련 사실관계
가. 대기고객 등 개인정보 수집 관련
피심인은 자체 개발한 대기고객 관리시스템을 통해 자사 매장 입장을 위해 대기하는 대기고객 등의 생년월일을 포함한 개인정보(성명, 휴대전화번호, 거주지역(국가))를 2022년 5월부터 2023년 6월 21일까지 필수적으로 수집하였고, 해당 정보의 수집 목적을 매장의 대기고객 관리 및 입장순서 관련 안내, 대기고객 애프터서비스 개선, 코로나19 확산방지 및 방역조치, 감염병 예방 및 전파의 차단 및 역학조사라고 명시하였다.
그러나 피심인은 대기고객이 없는 경우에는 매장에 입장하는 고객 등으로부터 별도의 개인정보를 수집하지 않았다.
나. 매장입장 제한 관련
피심인은 자사 매장 입장을 위해 대기하는 대기고객 등이 필수적으로 수집되는 개인정보의 제공을 거부한 경우, 매장 입장을 제한한 사실이 있다.
Ⅲ. 위법성 판단
1. 관련법 규정
舊 보호법 제16조제1항은 “개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.”라고 규정하고 있다.
舊 보호법 제16조제3항은 “개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니된다.”라고 규정하고 있다.
2. 위법성 판단
가. 필요한 최소한의 정보 외의 개인정보
피심인은 자사 매장 입장을 위해 대기하는 대기고객 등의 성명, 휴대전화번호, 생년월일, 거주지역(국가)) 등 개인정보를 舊 보호법 제15조제1항에 따라 해당 대기고객 등의 동의를 받아 필수적으로 수집하였다.
피심인은 대기고객 등의 동의를 받으면서, 그 개인정보의 수집목적을 매장의 대기고객 관리 및 입장순서 관련 안내, 대기고객 애프터서비스 개선, 코로나19 확산방지 및 방역조치, 감염병 예방 및 전파의 차단 및 역학조사로 명시하였다.
그러나 대기고객 관리 등의 목적은 대기고객을 관리하고 입장순서가 되었을 때 안내하기 위함이므로 이를 위해서는 대기고객 중 1인의 이름, 휴대전화번호 및 동행인 수만 있어도 충분하고, 서비스 개선 등의 목적은 개인정보가 필요한 것이 아닌 관련 통계만 보유해도 가능하므로 생년월일 및 거주지역, 동행인의 모든 개인정보를 수집하는 것은 과도한 개인정보 수집으로 볼 수 있다.
실제 피심인은 언론보도로 논란이 된 이후 대기고객의 생년월일과 거주지역 정보, 동행인에 대한 개인정보 수집을 중단하고도 대기고객의 매장 입장을 안내하고 있는 것으로 확인된다.
또한, 코로나19 확산방지 등을 위한 수집 목적과 관련하여 대기고객이 없는 경우에는 매장 이용 고객을 대상으로 개인정보를 수집하지 않은 점, 정부의 출입명부 및 방역패스 의무화가 종료된 상황에서 피심인이 수집한 정보로는 코로나 감염자의 출입을 막을 수도 없고 감염자의 출입 동선을 추적할 수 있는 방법도 없었던 점 등을 볼 때, 이를 위해 개인정보를 필수적으로 수집한 것은 인정될 수 없다.
나. 서비스 제공 거부
고객 등이 피심인으로부터 재화 또는 서비스를 제공받기 위해서는 피심인의 매장에 입장이 가능하여야 한다.
피심인은 대기고객 및 동행인의 성명, 휴대전화번호, 생년월일, 거주지역 등의 개인정보를 필수로 수집하면서 이에 동의하지 아니한 대기고객 등의 매장 입장을 제한하였다.
따라서 이는 필요한 최소한의 정보 외의 개인정보를 제공하지 않는다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부해서는 안 된다고 규정한 舊 보호법 제16조제3항 위반에 해당한다.
Ⅳ. 피심인 주장에 대한 검토
1. 필요한 최소한의 개인정보 관련
가. 피심인 주장
피심인은 14세 이상 여부의 확인 및 외국인 고객 응대를 위해 생년월일과 거주지역(국가) 정보가 필요하며, 동시 입장 고객 수를 효율적으로 관리하고 코로나19 방역을 위해 동행인의 개인정보가 필요하다고 주장하였다.
나. 검토의견 : 불수용
만14세 이상 여부 확인을 위해 모든 대기고객의 생년월일을 수집하고 저장할 필요는 없고, 외국인 고객 응대는 거주지역 또는 사용언어를 선택정보로 수집하여도 목적을 달성할 수 있으므로 피심인이 생년월일과 거주지역을 필수적으로 수집하는 합리적 사유로 인정하기 어렵다.
매장에 입장하는 고객의 수를 예측하고 관리하는 목적은 동행인의 수를 수집하는 방법으로도 달성할 수 있고, 방역 패스 의무화 방침의 종료로 코로나19 관련 주장도 수용하기 어렵다.
2. 과태료 감경 관련
가. 피심인 주장
법 위반상태로 지적된 사항들을 신속하게 자진시정(각주:(거주지역 정보 및 동행인 정보) 수집중단, (생년월일) 14세 이상 여부 체크로 대체, (보유 및 이용기간) 1년에서 2주로 단축) 완료한 점, 위원회의 사실조사에 성실히 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 사실이 있는 점을 감안하여 감경을 요청하였다.
나. 검토의견 : 수용
피심인이 자진시정 완료한 점, 조사에 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 점 등에 대해서는 감경을 인정한다.
3. 공표 관련
가. 피심인 주장
피심인이 과도한 개인정보 수집을 통해 이익을 취하려 한 사안이 아닌 점, 정보주체의 사생활과 관련되거나 민감한 정보는 포함되지 않은 점, 정보주체에게 특별한 피해가 발생되지 않은 점 등을 고려했을 때, 위반 사실 공표 시 피심인의 이미지나 평판에 심대한 손상 등 가혹한 결과를 초래하므로 공표 처분 재고를 요청하였다.
나. 검토의견 : 불수용
피심인의 위반행위는 舊 개인정보보호위원회 처분결과 공표기준(각주:개인정보보호위원회지침, 2020. 11. 18. 시행) (이하 '舊 공표 기준’) 제2조(공표요건)에 해당(각주:제5호(위반행위 시점을 기준으로 위반상태가 6개월 이상 지속된 경우)) 하여 피심인의 주장을 불수용한다.
Ⅴ. 처분 및 결정
1. 과태료 부과
피심인의 舊 보호법 제16조(개인정보의 수집제한)제3항 위반행위에 대해 같은 법 제75조제2항제2호, 같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2022. 10. 20.시행) (이하 '舊 시행령’) 제63조, 舊 시행령 [별표2] '과태료의 부과기준’ 및 舊 개인정보 보호법 위반에 대한 과태료 부과기준(각주:개인정보보호위원회지침, 2023. 3. 8. 시행) (이하 '舊 과태료 부과기준’)에 따라 360만 원의 과태료를 부과한다.
가. 기준금액
舊 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 위반행위에 대한 기준금액을 600만 원으로 산정한다.
<img src="/LSW/flDownload.do?flSeq=147396889" alt="4번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
舊 과태료 부과기준 제8조는 '사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다’라고 규정하고 있다.
피심인의 경우, 舊 과태료 부과기준 제8조 및 [별표2]의 가중기준에 따라 舊 보호법 제16조제3항에 대한 '법 위반상태의 기간이 3개월 이상’이므로 기준금액의 100분의 10에 해당하는 60만 원을 가중한다.
2) 과태료의 감경
舊 과태료 부과기준 제7조는 '사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다’라고 규정하고 있다.
피심인의 경우, 舊 과태료 부과기준 제7조 및 [별표1] 과태료의 감경기준에 따라 '위반행위에 대해 시정을 완료한 경우’, '조사에 적극 협력한 경우’, '정보보호 관리체계 인증(ISMS)을 받은 경우'에 해당하여 위반사항에 대해 기준금액의 100분의 50에 해당하는 300만 원을 감경한다.
다. 최종 과태료
피심인의 舊 보호법 제16조제3항을 위반한 행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 360만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=147396891" alt="5번째 이미지"></img>
2. 결과 공표
舊 보호법 제66조제1항 및 舊 공표기준 제2조(공표요건)에 따르면 피심인의 위반행위는 위반행위가 6개월 이상 지속된 경우(제5호)에 해당하므로 피심인이 과태료 부과를 받은 사실에 대해 개인정보보호위원회 홈페이지에 공표한다. 다만, 개정된 「개인정보 보호위원회 처분결과 공표기준」에 따라 공표 기간은 1년으로 한다.
<img src="/LSW/flDownload.do?flSeq=147396893" alt="6번째 이미지"></img>
3. 개선권고
피심인이 정보주체의 개인정보를 처리하는 목적에 필요한 범위에서 최소한의 개인정보만을 수집하고, 舊 보호법 제16조제3항을 위반하는 행위가 다시 발생하지 않도록 舊 보호법 제61조제2항에 따라 아래와 같이 개선을 권고한다.
<img src="/LSW/flDownload.do?flSeq=147396895" alt="7번째 이미지"></img>
Ⅵ. 결론
피심인의 舊 보호법 제16조(개인정보의 수집 제한)제3항을 위반한 행위에 대하여 같은 법 제75조(과태료)제2항제2호, 제66조(결과의 공표)제1항, 제61조(의견제시 및 개선권고)제2항에 따라 과태료 부과, 결과 공표 및 개선권고를 주문과 같이 의결한다.
피심인은 이 공표에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조에 따라 그 처분을 받은 날부터 90일 이내에 중앙행정심판위원회에 행정심판을 청구하거나 관할법원에 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조제1항에 따라 과태료 부과 통지를 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의제기를 할 수 있다
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항에 따라 그 효력을 상실하고, 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납부 의무를 부담한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).