제2023-013-166호

안건번호 : 제2023-013-166호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
신청인 : (사업자등록번호 : )대표자
의결연월일 : 2023. 7. 26.

1. 피심인에 대하여 다음과 같이 개선권고를 명한다.
가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.
나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제1항을 준수하도록 조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 2개 이상의 목적으로 이용자의 제3자 제공 동의 및 홍보ㆍ마케팅 동의를 받을 때 각각의 목적에 따라 별도로 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받도록 하여야 한다.
다. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.
라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 조회할 수 있도록 기능을 제공하거나, 기록을 요청하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.
2) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.
3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 관리자페이지의 최대 접속시간을 이용사업자가 설정하도록 기능을 제공하거나, 고정으로 제공하는 경우는 개인정보 보호 법규에서 요구하는 적정시간인지 정책을 재검토하여 필요한 경우 개선하여야 한다.
마. 피심인은 가.부터 라.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 이용사업자*에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자와 리셀러**의 정보를 직접 수집하는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 제16930호, 이하 '보호법’이라 한다.)에 따른 개인정보처리자 및 정보통신서비스 제공자이고, 이용사업자가 수집한 이용자의 개인정보를 처리하는 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.

* (이용사업자) 온라인으로 전용 쇼핑몰을 구축하여 상품을 판매하고자 하는 판매자로, 구매자(이하, '이용자’)의 정보를 직접 수집하는 정보통신서비스 제공자

** (리셀러) 회원으로 가입한 후 해당 쇼핑몰솔루션을 홍보하여 쇼핑몰 개설까지 이어지는 경우 수수료를 받는 자, 추천인 제도와 유사
<img src="/LSW/flDownload.do?flSeq=150215021" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 코로나19 이후 전자상거래 시장이 확대되면서 쇼핑몰 신규 개설이 쉬운 쇼핑몰솔루션을 이용한 쇼핑몰 수가 폭발적으로 증가(각주:코로나19 이후 신규 쇼핑몰 약 40만개 추정, 이중 이용 쇼핑몰 28만개(’22.3.7.)
이용 쇼핑몰은 190만개 (쇼핑몰솔루션 3사, 엇갈린 운명 속 승자는?, '21.8.17.)) 하고, 지난 2년간 쇼핑몰솔루션의 취약점을 악용한 유출사고가 10여 건 지속 발생됨에 따라 쇼핑몰 보호조치 강화 필요성이 인지되어, 보호법 위반 여부를 조사(’23. 3. 2. ～ '23. 5. 12.)하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집현황

피심인은 쇼핑몰솔루션 ’ '과 ’ ' 서비스를 제공ㆍ운영하면서 ’23. 3. 3. 기준 건의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=150215023" alt="2번째 이미지"></img>
* 는 2019. 3. 27.부터 서비스를 제공함
※ '23. 2. 27.부터 신규 리셀러 회원가입 불가, ’23.6월 서비스 종료 예정

나. 쇼핑몰솔루션 서비스 이용 흐름

피심인은 이용사업자와 리셀러의 개인정보를 회원가입의 방식으로 직접 수집하고 있으며, 피심인의 쇼핑몰솔루션 서비스 이용 절차는 ①이용사업자가 쇼핑몰솔루션 제공사업자의 홈페이지를 통해 회원가입 후, ②이용사업자는 쇼핑몰솔루션 관리자 화면에서 쇼핑몰 생성 및 상품을 등록하고 ③쇼핑몰을 오픈하면 이용자는 이용사업자의 쇼핑몰을 이용하게 된다.

피심인은 이용사업자에게 쇼핑몰을 운영ㆍ관리할 수 있는 관리자페이지를 제공하며, 이용사업자의 요청에 따라 위수탁 계약을 체결하고 있고, 쇼핑몰 운영 시 부가서비스 결제(PG)수수료, 이미지 제작 등 템플릿 제작을 통한 별도의 수익이 발생한다.

3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 주민등록번호를 회원가입 시 미리 수집한 사실

피심인은 리셀러가 정산대상 여부인지와 무관하게 리셀러 회원가입 단계에서 주민등록번호가 포함된 신분증 사본을 수집ㆍ저장한 사실이 있다.

※ '23.2.27.부터 신규 리셀러 회원가입 불가, ’23.6월 서비스 종료 예정이며, 신분증 사본은 확인하면 자동으로 삭제됨

나. 쇼핑몰솔루션에 보안취약점이 존재한 사실

피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조), 불충분한 인증, 운영체제 명령 실행 등의 보안취약점이 존재한 사실이 있다.

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 피심인에게 웹 취약점을 점검받을 수 있는 기능이나 서비스는 제공하지 않으며, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션에 적용하여 개선하도록 운영한 사실이 있다.

다. 쇼핑몰솔루션에 안전조치 의무를 미흡하게 제공한 사실

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인 정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소한 내역을 5년간 보관하나 2년까지만 조회할 수 있도록 기능을 제공한 사실이 있다.

또한, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )의 관리자페이지에 대한 최대 접속시간을 이용사업자가 설정할 수 있도록 기능을 제공하지 않고, 고정(1시간)으로 적용하여 운영한 사실이 있다.

라. 쇼핑몰솔루션에 대해 동의받는 방법을 각각의 목적에 따라 동의받을 수 있도록 기능을 제공하지 않은 사실

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 2개 이상의 목적으로 제3자 제공 및 홍보ㆍ마케팅에 대해 동의받을 때 각각의 목적에 따라 동의를 받을 수 있는 기능을 제공하지 않은 사실이 있다.

마. 개인정보 처리에 대한 위수탁 계약체결 방법을 미리 알리지 않은 사실

피심인은 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 사실이 있다.

4. 처분의 사전통지 및 의견수렴

개인정보보호위원회는 2023. 6. 1. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 같은 해 6. 15. 개인정보보호위원회에 의견을 제출하였다.


Ⅲ. 위법성 판단

1. 관련법 규정

가. 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.

나. 보호법 제22조제1항은 “개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다.“라고 규정하고 있다.

다. 보호법 제26조제1항은 업무위탁에 따른 개인정보의 처리 제한에 대한 규정으로 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 ’위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항(제1호)', ’개인정보의 기술적ㆍ관리적 보호조치에 관한 사항(제2호)', ’그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항(제3호)'의 내용이 포함된 문서에 의하여야”하고, 제6항은 “수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원”으로 보며, 제7항은 “수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.”라고 규정하고 있다.

보호법 시행령 제28조제1항은 보호법 제26조제1항제3호에서 “대통령령으로 정한 사항”이란 ’위탁업무의 목적 및 범위(제1호)', ’재위탁 제한에 관한 사항(제2호)', ’개인정보에 대한 접근제한 등 안전성 확보조치에 관한 사항(제3호)', ’위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항(제4호)', ’법 제26조제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항(제5호)'으로 규정하고 있다.

한편, 보호법 제12조에 따라 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등에 관하여 정하고 있는 표준 개인정보 보호지침(이하 ’표준지침' 이라 한다) 제17조에는 “수탁자는 위탁받은 개인정보를 보호하기 위하여 「개인정보의 안전성 확보조치 기준 고시」에 따른 관리적ㆍ기술적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

라. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

보호법 시행령 제48조의2제1항제2호는 “개인정보에 대한 불법적인 접근을 차단하기 위해 '개인정보처리시스템에 대한 접근권한의 부여ㆍ변경ㆍ말소 등에 대한 기준의 수립ㆍ시행(가목)’, '그 밖에 개인정보에 대한 접근통제를 위하여 필요한 조치(마목)’ 등의 조치를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.

한편, 보호법 시행령 제48조의2제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호, 이하 '고시’라 한다) 제4조제3항은 “개인정보처리시스템의 접근권한 부여, 변경, 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관하여야”하고, 제4조제9항은 “처리중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템에 조치를 취하여야”하며, 제4조제10항은 “개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 최대 접속시간 제한 등의 조치를 취하여야 한다.”라고 규정하고 있다.

고시 해설서는 고시 제4조제3항에 대해 “개인정보처리시스템에 접근권한 부여, 변경, 말소 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 5년간 보관하여야 하며, 관리대장 등에는 신청자 정보, 신청 및 적용 일시, 승인자 및 발급자 정보, 신청 및 발급사유 등의 내용이 포함되어야 하며 공식적인 절차를 통하여 관리하여야 한다.”라고 해설하고 있고, 제4조제9항에 대해 “인터넷 홈페이지를 통한 개인정보 유ㆍ노출 방지를 위해 정보통신서비스 제공자등은 규모, 여건 등을 고려하여 스스로의 환경에 맞는 보호조치를 하되, 보안대책 마련, 보안기술 마련, 운영 및 관리 측면에서의 개인정보 유ㆍ노출 방지 조치를 하여야 하며, 권한 설정 등의 조치를 통해 권한이 있는 자만 접근할 수 있도록 설정하여 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 등에 관한 보호조치를 하여야 한다.”라고 해설하고 있으며, 제4조제10항에 대해 “개인정보처리시스템에 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않을 때에는 자동으로 시스템 접속이 차단되도록 최대 접속시간 제한 등의 조치를 취하여야 하고, 최대 접속시간 제한 조치는 개인정보처리시스템에 접속하는 업무용 컴퓨터 등에서 해당 개인정보처리시스템에 대한 접속을 차단하는 것을 의미하며, 최대 접속시간이 경과하면 개인정보처리시스템과 연결이 완전히 차단되어 정보의 송ㆍ수신이 불가능한 상태가 되어야 하며, 개인정보취급자가 최대 접속시간 제한 등의 조치로 인하여 개인정보처리시스템에 대한 접속이 차단된 이후 다시 접속하고자 할 때에는 그 방법ㆍ절차 등이 최초의 접속 방법ㆍ절차 등과 동일한 수준 이상이 되어야 하고, 최대 접속시간에 대하여 최소한(통상 10분~ 30분 이내)으로 정하되, 장시간 접속이 필요할 경우 접속시간 등 그 기록을 보관ㆍ관리하여야 한다.”라고 해설하고 있다.

2. 위법성 판단

가. 주민등록번호를 회원가입 시 미리 수집한 행위
{보호법 제3조제1항(개인정보 보호 원칙)}

현행법은 주민등록번호를 수집하는 시점에 대해 명문화된 규정이 없어, 피심인이 리셀러가 정산대상 여부인지와 무관하게 사유 발생 전인 리셀러 회원가입 단계에서 주민등록번호가 포함된 신분증 사본을 수집ㆍ저장한 행위에 대해 위반이라고 보기는 어려우나, 보호법 제3조제1항은 개인정보 처리목적에 필요한 범위에서 최소한의 개인정보만을 정당하게 수집하도록 하는 취지를 담고 있으며, 「알기쉬운 개인정보 처리 동의 안내서」에도 '개인정보의 이용 여부가 불확실함에도 미리 포괄적으로 수집하지 말아야 하며, 해당 개인정보의 이용이 필요한 시점에서 수집하여야 한다.'라고 안내하는 점을 볼 때 정보가 필요한 시점에 수집하도록 개선할 필요가 있다.

나. 쇼핑몰솔루션에 보안취약점이 존재한 행위
{보호법 제29조(안전조치의무) 중 접근통제}

이용사업자는 제품의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 쇼핑몰솔루션 제공사업자는 이용사업자의 수탁사이므로 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제9항을 준수할 수 있도록 조치를 취하여야 한다.

피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조), 불충분한 인증, 운영체제 명령 실행 등의 보안취약점이 존재한 사실이 있으나, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션에 적용하여 개선하도록 운영하는 업무처리 형태로 피심인이 조사과정에서 보안취약점을 인지하고 즉시 시정을 완료(’23. 5. 31.)하여 시정명령 하지 않는다.

다만, 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알릴 필요가 있다.

다. 쇼핑몰솔루션에 안전조치 의무를 소홀히 한 행위
{보호법 제29조(안전조치의무) 중 접근권한, 접속시간}

피심인은 이용사업자에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자의 정보 및 리셀러 회원의 정보를 직접 수집하는 ①정보통신서비스 제공자이며, 이용사업자가 수집한 이용자의 개인정보를 처리하는 ②수탁자의 지위를 동시에 가진다.

이용사업자는 쇼핑몰솔루션의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 이용사업자의 수탁사이므로 보호법을 준수할 수 있는 기능을 갖춘 쇼핑몰솔루션 서비스를 제공하여야 한다.

피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기능을 제공하여 5년간 보관하고 조회 가능 기간은 2년으로 정한 행위는 위법하다고 볼 수는 없으나, 이용사업자가 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 관리할 수 있도록 기능을 제공하거나, 기록을 요청하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알릴 필요가 있다.

또한, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )의 관리자페이지에 대한 최대 접속시간을 이용사업자가 설정할 수 있도록 기능을 제공하지 않고, 고정(1시간)으로 적용하여 운영한 행위는 위법하다고 볼 수는 없으나, 불법적인 접근 및 침해사고 방지를 위하여 이용사업자에게 적절한 최대 접속시간을 스스로 설정할 수 있도록 기능을 제공하거나, 고정으로 제공하는 경우는 개인정보 보호 법규에서 요구하는 적정시간인지 정책을 재검토하여 개선할 필요가 있다.

라. 쇼핑몰솔루션에 동의받는 방법을 각각의 목적에 따라 별도로 동의받는 기능을 제공하지 않은 행위
{보호법 제22조(동의를 받는 방법) 중 구분 동의}

피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 개인정보 수집ㆍ이용 동의, 제3자 제공, 홍보ㆍ마케팅 등 각각의 동의 사항을 구분하여 동의를 받을 수 있는 기능을 제공하고 있으나, 추가로 이용사업자가 2개 이상의 목적으로 이용자의 제3자 제공 동의 및 홍보ㆍ마케팅 동의를 받을 때에도 각각의 목적에 따라 동의받을 수 있는 기능을 제공할 필요가 있다.

마. 개인정보 처리에 대한 위수탁 계약체결 방법을 미리 알리지 않은 행위
{보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)}

피심인이 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 행위는 위법하지는 않으나, 이용사업자가 위탁자로서 보호법을 준수할 수 있도록 위수탁 계약을 체결하는 방법과 절차를 이용약관, 공지사항 등을 통해 알릴 필요가 있다.


Ⅳ. 처분 및 결정

1. 개선권고

가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.

나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제1항을 준수하도록 조치를 취하여야 한다.

1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션( )에 대해 2개 이상의 목적으로 이용자의 제3자 제공 동의 및 홍보ㆍ마케팅 동의를 받을 때 각각의 목적에 따라 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받도록 하여야 한다.

다. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.

라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제3항, 제4조제9항, 제4조제10항에 따른 보호조치를 취하여야 한다.

1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 조회할 수 있도록 기능을 제공하거나, 관련 기록을 요청하는 방법과 절차를 마련하여 이용사업자가 이를 인지할 수 있도록 이용약관, 공지사항 등을 통해 알려야 한다.

2) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.

3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 관리자페이지의 최대 접속시간을 이용사업자가 설정하도록 기능을 제공하거나, 고정으로 제공하는 경우는 개인정보 보호 법규에서 요구하는 적정시간인지 정책을 재검토하여 필요한 경우 개선하여야 한다.

마. 피심인은 가.부터 라.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.


Ⅴ. 결론

피심인에 대하여 같은 법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.