개인정보보호위원회
심의ㆍ의결
제2023-013-168호
개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
의결일: 2023년 7월 26일
요지
안건번호 : 제2023-013-168호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
신청인 : (사업자등록번호 : )대표자
의결연월일 : 2023. 7. 26.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치 및 개선권고에 관한 건
신청인 : (사업자등록번호 : )대표자
의결연월일 : 2023. 7. 26.
주문
1. 피심인에 대하여 다음과 같이 시정조치를 명한다.
가. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제8항, 제6조제3항에 따른 보호조치를 취하여야 한다.
1) 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 수립하고 이를 적용ㆍ운영하여야 한다.
2) 피심인은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.
나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제6항, 같은 법 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항을 준수하도록 조치를 취하여야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제3항, 제4항제7항, 제4항제8항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하고 관리할 수 있도록 하여야 한다.
2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 수립하고 이행하여야 한다.
3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 수립하고 이를 적용하여야 한다.
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 60일 이내에 이행 결과를 개인정보보호위원회에 제출하여야 한다.
2. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 4,200,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
4. 피심인에 대하여 다음과 같이 개선권고를 명한다.
가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.
나. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제9항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션 전체에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.
라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침 변경 이력 조회 등 관리가 용이하도록 하여야 한다.
마. 피심인은 가.부터 라.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
가. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제8항, 제6조제3항에 따른 보호조치를 취하여야 한다.
1) 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 수립하고 이를 적용ㆍ운영하여야 한다.
2) 피심인은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.
나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제6항, 같은 법 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항을 준수하도록 조치를 취하여야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제3항, 제4항제7항, 제4항제8항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하고 관리할 수 있도록 하여야 한다.
2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 수립하고 이행하여야 한다.
3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 수립하고 이를 적용하여야 한다.
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 60일 이내에 이행 결과를 개인정보보호위원회에 제출하여야 한다.
2. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 4,200,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 공표한다.
4. 피심인에 대하여 다음과 같이 개선권고를 명한다.
가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.
나. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제9항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션 전체에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.
라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침 변경 이력 조회 등 관리가 용이하도록 하여야 한다.
마. 피심인은 가.부터 라.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
이유
Ⅰ. 기초 사실
피심인은 이용사업자*에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자와 리셀러**의 정보를 직접 수집하는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 제16930호, 이하 '보호법’이라 한다.)에 따른 개인정보처리자 및 정보통신서비스 제공자이고, 이용사업자가 수집한 이용자의 개인정보를 처리하는 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
* (이용사업자) 온라인으로 전용 쇼핑몰을 구축하여 상품을 판매하고자 하는 판매자로, 구매자(이하, '이용자’)의 정보를 직접 수집하는 정보통신서비스 제공자
** (리셀러) 회원으로 가입한 후 해당 쇼핑몰솔루션을 홍보하여 쇼핑몰 개설까지 이어지는 경우 수수료를 받는 자, 추천인 제도와 유사
<img src="/LSW/flDownload.do?flSeq=150215057" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 코로나19 이후 전자상거래 시장이 확대되면서 쇼핑몰 신규 개설이 쉬운 쇼핑몰솔루션을 이용한 쇼핑몰 수가 폭발적으로 증가(각주:코로나19 이후 신규 쇼핑몰 약 40만개 추정, 이중 이용 쇼핑몰 28만개(’22.3.7.)
이용 쇼핑몰은 190만개 (쇼핑몰솔루션 3사, 엇갈린 운명 속 승자는?, '21.8.17.)) 하고, 지난 2년간 쇼핑몰솔루션의 취약점을 악용한 유출사고가 10여 건 지속 발생됨에 따라 쇼핑몰 보호조치 강화 필요성이 인지되어, 보호법 위반 여부를 조사(’23. 3. 2. ～ '23. 5. 12.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 쇼핑몰솔루션 ’ ' 서비스를 제공ㆍ운영하면서 ’23. 3. 2. 기준 건의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=150215059" alt="2번째 이미지"></img>
나. 쇼핑몰솔루션 서비스 이용 흐름
피심인은 이용사업자와 리셀러의 개인정보를 회원가입의 방식으로 직접 수집하고 있으며, 피심인의 쇼핑몰솔루션 서비스 이용 절차는 ①이용사업자가 쇼핑몰솔루션 제공사업자의 홈페이지를 통해 회원가입 후, ②이용사업자는 쇼핑몰솔루션 관리자 화면에서 쇼핑몰 생성 및 상품을 등록하고 ③쇼핑몰을 오픈하면 이용자는 이용사업자의 쇼핑몰을 이용하게 된다.
피심인은 이용사업자에게 쇼핑몰을 운영ㆍ관리할 수 있는 관리자페이지를 제공하며, 이용사업자의 요청에 따라 위수탁 계약을 체결하고 있고, 쇼핑몰 운영 시 부가서비스 결제(PG)수수료, 이미지 제작 등 템플릿 제작을 통한 별도의 수익이 발생한다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실
피심인은 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 영문 대소문자, 숫자, 특수문자 조합과 비밀번호 길이 선택을 할 수 있도록 운영하였으나, 기본값을 비밀번호 4자리 이상으로만 적용한 사실이 있다.
또한, 피심인은 특정 페이지( , 등)에 로그인 후 http로 강제 변환하여 비밀번호, 주민등록번호를 전송하는 경우 전송구간이 암호화되지 않은 사실이 있다.
※ ( )에서 http로 접속하여 비밀번호를 전송하는 경우 암호화되지 않음
( )에서 http로 접속하여 주민등록번호를 전송하는 경우 암호화되지 않음
나. 주민등록번호를 회원가입 시 미리 수집한 사실
피심인은 리셀러가 정산대상 여부인지와 무관하게 리셀러 회원가입 후 마이페이지에서 주민등록번호를 입력하는 방식으로 수집ㆍ저장한 사실이 있다.
※ '22.11월경부터 정산 시 전화 수집으로 변경하였으며, 기존에 수집된 주민등록번호는 삭제 완료함
다. 쇼핑몰솔루션에 보안취약점이 존재한 사실
피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조) 등의 보안취약점이 존재한 사실이 있다.
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 피심인에게 웹 취약점을 점검받을 수 있는 기능이나 서비스는 제공하지 않으며, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션 전체에 적용하여 개선하도록 운영한 사실이 있다.
라. 쇼핑몰솔루션에 안전조치 의무를 소홀히 한 사실
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인 정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소할 수 있는 기능은 제공하고 있으나, 이용사업자의 개인정보취급자 계정에 대한 접근권한의 부여ㆍ변경ㆍ말소 기록을 5년간 보관하지 않고, 이용사업자가 확인할 수 있는 기능도 제공하지 않은 사실이 있다.
또한, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 설정할 수 있는 기능은 제공하나, 4자리 비밀번호를 입력하여도 허용되도록 한 사실이 있다.
아울러, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 설정하는 기능을 제공하지 않고, 비밀번호 4자리 이상으로만 적용한 사실이 있다.
마. 쇼핑몰솔루션에 만 14세 미만 아동의 개인정보 수집 시 법정대리인 동의 확인을 소홀히 한 사실
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 '만 14세 미만 아동의 개인정보를 수집’할 수 있도록 기능을 제공하나, 법정대리인의 동의 확인 기능이나 절차를 제공하지 않은 사실이 있다.
바. 개인정보 처리에 대해 위수탁 계약체결 방법을 미리 알리지 않은 사실
피심인은 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 사실이 있다
사. 쇼핑몰솔루션에 개인정보처리방침 변경 이력 관리를 어렵게 한 사실
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침을 작성ㆍ수정하여 공개할 수 있도록 기능을 제공하고 있으나, 이용사업자가 개인정보 처리방침 변경 이력 조회 등의 관리를 어렵게 구성하여 제공한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 2023. 6. 1. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 같은 해 6. 14. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.
나. 보호법 제22조제6항은 “개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야“하며, 같은 법 제39조의3제4항은 ”정보통신서비스 제공자는 만 14세 미만의 아동으로부터 개인정보 수집ㆍ이용ㆍ제공 등의 동의를 받으려면 그 법정대리인의 동의를 받아야 하고, 대통령령으로 정하는 바에 따라 법정대리인이 동의하였는지를 확인하여야 한다.“라고 규정하고 있다.
다. 보호법 제26조제1항은 업무위탁에 따른 개인정보의 처리 제한에 대한 규정으로 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 ’위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항(제1호)', ’개인정보의 기술적ㆍ관리적 보호조치에 관한 사항(제2호)', ’그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항(제3호)'의 내용이 포함된 문서에 의하여야”하고, 제6항은 “수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원”으로 보며, 제7항은 “수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.”라고 규정하고 있다.
보호법 시행령 제28조제1항은 ’위탁업무의 목적 및 범위(제1호)', ’재위탁 제한에 관한 사항(제2호)', ’개인정보에 대한 접근제한 등 안전성 확보조치에 관한 사항(제3호)', ’위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항(제4호)', ’법 제26조제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항(제5호)'으로 규정하고 있다.
한편, 보호법 제12조에 따라 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등에 관하여 정하고 있는 표준 개인정보 보호지침(이하 ’표준지침' 이라 한다) 제17조에는 “수탁자는 위탁받은 개인정보를 보호하기 위하여 「개인정보의 안전성 확보조치 기준 고시」에 따른 관리적ㆍ기술적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
라. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
보호법 시행령 제48조의2제1항제2호는 “개인정보에 대한 불법적인 접근을 차단하기 위해 '개인정보처리시스템에 대한 접근권한의 부여ㆍ변경ㆍ말소 등에 대한 기준의 수립ㆍ시행(가목)’, '비밀번호의 생성 방법, 변경 주기 등의 기준 설정 및 운영(라목)’, '그 밖에 개인정보에 대한 접근통제를 위하여 필요한 조치(마목)’ 등의 조치를 하여야 한다.”라고 규정하고 있고, 제4호는 “개인정보가 안전하게 저장ㆍ전송될 수 있도록 하기 위한 '정보통신망을 통하여 이용자의 개인정보 및 인증정보를 송신ㆍ수신하는 경우 보안서버 구축 등의 조치(다목)' 등의 조치를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.
한편, 보호법 시행령 제48조의2제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호, 이하 '고시’라 한다) 제4조제3항은 “개인정보처리시스템의 접근권한 부여, 변경, 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관하여야”하고, 제4조제7항은 “이용자가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성규칙을 수립하고, 이행하여야”하며, 제4조제8항은 “정보통신서비스 제공자등은 개인정보취급자를 대상으로 '영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성(제1호)’, '연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고(제2호)’, 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경(제3호)'과 같은 사항을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용ㆍ운용하여야”하고, 제4조제9항은 “처리중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템에 조치를 취하여야 한다.”라고 규정하고 있다. 또한, 제6조제3항은 “정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 하고, 보안서버는 '웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화하여 송ㆍ수신하는 기능(제1호)’, '웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송ㆍ수신하는 기능(제2호)’ 중 하나의 기능을 갖추어야 한다.”라고 규정하고 있다.
고시 해설서는 고시 제4조제3항에 대해 “개인정보처리시스템에 접근권한 부여, 변경, 말소 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 5년간 보관하여야 하며, 관리대장 등에는 신청자 정보, 신청 및 적용 일시, 승인자 및 발급자 정보, 신청 및 발급사유 등의 내용이 포함되어야 하며 공식적인 절차를 통하여 관리하여야 한다.”라고 해설하고 있고, 고시 제4조제7항에 대해 “비밀번호는 문자, 숫자의 조합, 구성에 따라 최소 8자리 또는 10자리 이상의 길이로 구성하고 추측하거나 유추하기 어렵도록 설정하며, 동일한 문자 반복, 키보드 상에서 나란히 있는 문자열, 일련번호 등은 사용하지 않도록 하여야 한다.”라고 해설하고 있으며, 고시 제4조제8항에 대해 '비밀번호는 정당한 접속 권한을 가지지 않은 자가 추측하거나 접속을 시도하기 어렵도록 문자ㆍ숫자 등으로 조합ㆍ구성하여야 하고, 개인정보처리시스템에 권한 없는 자의 접근을 방지하기 위하여 비밀번호 등으로 일정 횟수 이상 잘못 입력할 때에는 개인정보처리시스템에 접근을 제한하는 등의 보호조치를 추가적으로 적용할 수 있다'라고 해설하고 있고, 고시 제4조제9항에 대해 “인터넷 홈페이지를 통한 개인정보 유ㆍ노출 방지를 위해 정보통신서비스 제공자등은 규모, 여건 등을 고려하여 스스로의 환경에 맞는 보호조치를 하되, 보안대책 마련, 보안기술 마련, 운영 및 관리 측면에서의 개인정보 유ㆍ노출 방지 조치를 하여야 하며, 권한 설정 등의 조치를 통해 권한이 있는 자만 접근할 수 있도록 설정하여 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 등에 관한 보호조치를 하여야 한다.”라고 해설하고 있다. 또한, 제6조제3항에 대해 “이용자의 성명, 연락처 등의 개인정보와 인증정보를 정보통신망을 통해 인터넷 구간으로 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 암호화하여야 한다.“라고 해설하고 있다.
마. 보호법 제30조제2항은 ”개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.“라고 규정하고 있다.
보호법 시행령 제31조제2항은 ”개인정보처리자는 법 제30조제2항에 따라 수립하거나 변경한 개인정보 처리방침을 개인정보처리자의 인터넷 홈페이지에 지속적으로 게재하여야 한다.“라고 규정하고 있다.
표준지침 제21조는 ”개인정보처리자가 개인정보 처리방침을 변경하는 경우에는 변경 및 시행의 시기, 변경된 내용을 지속적으로 공개하여야 하며, 변경된 내용은 정보주체가 쉽게 확인할 수 있도록 변경 전ㆍ후를 비교하여 공개하여야 한다“라고 규정하고 있다.
2. 위법성 판단
가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위
{보호법 제29조(안전조치의무) 중 비밀번호 작성규칙, 전송구간 암호화}
피심인이 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙 중 기본값을 비밀번호 4자리 이상으로만 적용하여 운영한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제8항을 위반한 것이다.
또한, 피심인이 특정 페이지( , 등)에 로그인 후 http로 강제 변환하여 비밀번호, 주민등록번호를 전송하는 경우 전송구간이 암호화되지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제6조제3항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=150215061" alt="3번째 이미지"></img>
나. 주민등록번호를 회원가입 시 미리 수집한 행위
{보호법 제3조제1항(개인정보보호 원칙)}
현행법은 주민등록번호를 수집하는 시점에 대해 명문화된 규정이 없어, 피심인이 리셀러가 정산대상 여부인지와 무관하게 사유 발생 전인 회원가입 시 마이페이지에서 주민등록번호를 입력하도록 운영한 행위*에 대해 위반이라고 보기는 어려우나, 보호법 제3조제1항은 개인정보 처리목적에 필요한 범위에서 최소한의 개인정보만을 정당하게 수집하도록 하는 취지를 담고 있으며, 「알기쉬운 개인정보 처리 동의 안내서」에도 '개인정보의 이용 여부가 불확실함에도 미리 포괄적으로 수집하지 말아야 하며, 해당 개인정보의 이용이 필요한 시점에서 수집하여야 한다.'라고 안내하는 점을 볼 때 정보가 필요한 시점에 수집하도록 개선할 필요가 있다.
* 피심인은 2022년 11월경부터 정산 시 전화로 주민등록번호를 수집하는 방식으로 변경하여 운영하였으며, 기존에 수집한 주민등록번호는 DB에서 모두 삭제했다고 소명함
다. 쇼핑몰솔루션에 보안취약점이 존재한 행위
{보호법 제29조(안전조치의무) 중 접근통제}
이용사업자는 제품의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 쇼핑몰솔루션 제공사업자는 이용사업자의 수탁사이므로 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제9항을 준수할 수 있도록 조치를 취하여야 한다.
피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조) 등의 보안취약점이 존재한 사실이 있으나, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션에 적용하여 개선하도록 운영하는 업무처리 형태로 피심인이 조사과정에서 보안취약점을 인지하고 즉시 시정을 완료('23. 4. 28. ~ ’23. 5. 9.)하여 시정명령 하지 않는다.
다만, 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알릴 필요가 있다.
라. 쇼핑몰솔루션에 안전조치 의무를 소홀히 한 행위
{보호법 제29조(안전조치의무) 중 접근통제}
피심인은 이용사업자에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자의 정보 및 리셀러 회원의 정보를 직접 수집하는 ①정보통신서비스 제공자이며, 이용사업자가 수집한 이용자의 개인정보를 처리하는 ②수탁자의 지위를 동시에 가진다.
이용사업자는 쇼핑몰솔루션의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 이용사업자의 수탁사이므로 보호법을 준수할 수 있는 기능을 갖춘 쇼핑몰솔루션 서비스를 제공하여야 한다.
피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하지 않고, 관리할 수 있는 기능도 제공하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제3항을 위반한 것이다.
또한, 피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 설정할 수 있는 기능은 제공하나, 4자리 비밀번호를 입력하여도 허용되도록 한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제7항을 위반한 것이다.
아울러, 피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 설정하는 기능을 제공하지 않고, 비밀번호 4자리 이상으로만 적용한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제8항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=150215063" alt="4번째 이미지"></img>
마. 쇼핑몰솔루션에 만 14세 미만 아동의 개인정보 수집 시 법정대리인 동의 확인을 소홀히 한 사실
{보호법 제22조(동의를 받는 방법), 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 중 법정대리인 동의 확인}
피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 '만 14세 미만 아동의 개인정보를 수집’할 수 있도록 기능을 제공하나, 법정대리인의 동의 확인 기능이나 절차를 제공하지 않은 행위는 보호법 제22조제6항, 제39조의3제4항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=150215065" alt="5번째 이미지"></img>
바. 개인정보 처리에 대한 위수탁 계약체결 방법을 미리 알리지 않은 행위
{보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)}
피심인이 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 행위는 위법하지는 않으나, 이용사업자가 위탁자로서 보호법을 준수할 수 있도록 위수탁 계약을 체결하는 방법과 절차를 이용약관, 공지사항 등을 통해 알릴 필요가 있다.
사. 쇼핑몰솔루션에 개인정보처리방침 변경 이력 관리를 어렵게 한 행위
{보호법 제30조(개인정보처리방침의 수립 및 공개)}
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침을 작성ㆍ수정하여 공개할 수 있도록 기능을 제공하고 있으나, 이용사업자가 개인정보 처리방침의 변경 이력 조회 등을 관리하는 기능을 어렵게 구성한 행위는 위법하지는 않으나, 이용사업자가 보호법을 준수할 수 있도록 관리가 용이하게 기능을 변경할 필요가 있다.
Ⅳ. 처분 및 결정
1. 시정조치 명령
가. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제8항, 제6조제3항에 따른 보호조치를 취하여야 한다.
1) 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 수립하고 이를 적용ㆍ운영하여야 한다.
2) 피심인은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.
나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제6항, 같은 법 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항을 준수하도록 조치를 취하여야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제3항, 제4조제7항, 제4조제8항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하고 관리할 수 있도록 하여야 한다.
2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 수립하고 이행하여야 한다.
3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 수립하고 이를 적용하여야 한다.
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 60일 이내에 이행 결과를 개인정보보호위원회에 제출하여야 한다.
2. 과태료 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과태료는 같은 법 제75조(과태료) 제2항제6호 및 같은 법 시행령 제63조의〔별표2〕'과태료 부과기준’ 및「개인정보 보호법 위반에 대한 과태료 부과기준」(2023. 3. 8. 일부 개정, 이하 '과태료 부과지침’이라 한다)에 따라 다음과 같이 부과한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제29조(안전조치의무) 위반에 대해서는 1회 위반에 해당하는 과태료인 600만 원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=150215067" alt="6번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과지침 제8조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제29조(안전조치의무)에 대해서 ▲제3호 위반행위별 각 목의 세부기준에서 정한 행위가 2개에 해당하는 경우, ▲위반 기간이 3개월 이상인 경우로 기준금액의 20%를 가중한다.
2) (과태료의 감경) 과태료 부과지침 제7조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여, ▲일관되게 행위 사실을 인정하면서 위법성 판단에 도움 되는 자료를 제출 또는 진술하는 등 조사에 적극적으로 협력한 점, ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료한 점, ▲「중소기업기본법」제2조에 따른 중기업인 점 등을 종합적으로 고려하여 과태료 부과지침 제7조에 따라 기준금액의 50%를 감경한다.
다. 최종 과태료
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 420만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=150215069" alt="7번째 이미지"></img>
3. 결과 공표
「개인정보 보호법」 제66조제1항 및 「개인정보보호위원회 처분 결과 공표기준」 (2020. 11. 18. 개인정보보호위원회 의결) 제2조(공표요건)에 따라, 피심인의 위반행위는 위반상태가 6개월 이상 지속된 경우(제5호)에 해당하므로, 피심인이 시정조치 명령을 받은 사실과 과태료 부과에 대해 개인정보보호위원회 홈페이지에 공표한다.
<img src="/LSW/flDownload.do?flSeq=150215071" alt="8번째 이미지"></img>
4. 개선권고
가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.
나. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제9항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.
라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침 변경 이력 조회 등 관리가 용이하도록 제공하여야 한다.
마. 피심인은 가.부터 라.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제75조(과태료) 제2항제6호, 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항에 대하여 과태료 부과, 시정조치 명령, 공표하고, 이용사업자에게 제공하는 쇼핑몰솔루션에 대한 같은 법 제22조(동의를 받는 방법) 제6항 및 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항, 제29조(안전조치의무) 위반행위에 대하여 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항에 따라 시정명령, 공표를 주문과 같이 의결한다.
또한, 피심인에 대하여 같은 법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 이 시정명령 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조 제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
피심인은 이용사업자*에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자와 리셀러**의 정보를 직접 수집하는 「개인정보 보호법」(2020. 8. 5. 시행, 법률 제16930호, 이하 '보호법’이라 한다.)에 따른 개인정보처리자 및 정보통신서비스 제공자이고, 이용사업자가 수집한 이용자의 개인정보를 처리하는 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
* (이용사업자) 온라인으로 전용 쇼핑몰을 구축하여 상품을 판매하고자 하는 판매자로, 구매자(이하, '이용자’)의 정보를 직접 수집하는 정보통신서비스 제공자
** (리셀러) 회원으로 가입한 후 해당 쇼핑몰솔루션을 홍보하여 쇼핑몰 개설까지 이어지는 경우 수수료를 받는 자, 추천인 제도와 유사
<img src="/LSW/flDownload.do?flSeq=150215057" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 코로나19 이후 전자상거래 시장이 확대되면서 쇼핑몰 신규 개설이 쉬운 쇼핑몰솔루션을 이용한 쇼핑몰 수가 폭발적으로 증가(각주:코로나19 이후 신규 쇼핑몰 약 40만개 추정, 이중 이용 쇼핑몰 28만개(’22.3.7.)
이용 쇼핑몰은 190만개 (쇼핑몰솔루션 3사, 엇갈린 운명 속 승자는?, '21.8.17.)) 하고, 지난 2년간 쇼핑몰솔루션의 취약점을 악용한 유출사고가 10여 건 지속 발생됨에 따라 쇼핑몰 보호조치 강화 필요성이 인지되어, 보호법 위반 여부를 조사(’23. 3. 2. ～ '23. 5. 12.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 쇼핑몰솔루션 ’ ' 서비스를 제공ㆍ운영하면서 ’23. 3. 2. 기준 건의 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=150215059" alt="2번째 이미지"></img>
나. 쇼핑몰솔루션 서비스 이용 흐름
피심인은 이용사업자와 리셀러의 개인정보를 회원가입의 방식으로 직접 수집하고 있으며, 피심인의 쇼핑몰솔루션 서비스 이용 절차는 ①이용사업자가 쇼핑몰솔루션 제공사업자의 홈페이지를 통해 회원가입 후, ②이용사업자는 쇼핑몰솔루션 관리자 화면에서 쇼핑몰 생성 및 상품을 등록하고 ③쇼핑몰을 오픈하면 이용자는 이용사업자의 쇼핑몰을 이용하게 된다.
피심인은 이용사업자에게 쇼핑몰을 운영ㆍ관리할 수 있는 관리자페이지를 제공하며, 이용사업자의 요청에 따라 위수탁 계약을 체결하고 있고, 쇼핑몰 운영 시 부가서비스 결제(PG)수수료, 이미지 제작 등 템플릿 제작을 통한 별도의 수익이 발생한다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실
피심인은 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 영문 대소문자, 숫자, 특수문자 조합과 비밀번호 길이 선택을 할 수 있도록 운영하였으나, 기본값을 비밀번호 4자리 이상으로만 적용한 사실이 있다.
또한, 피심인은 특정 페이지( , 등)에 로그인 후 http로 강제 변환하여 비밀번호, 주민등록번호를 전송하는 경우 전송구간이 암호화되지 않은 사실이 있다.
※ ( )에서 http로 접속하여 비밀번호를 전송하는 경우 암호화되지 않음
( )에서 http로 접속하여 주민등록번호를 전송하는 경우 암호화되지 않음
나. 주민등록번호를 회원가입 시 미리 수집한 사실
피심인은 리셀러가 정산대상 여부인지와 무관하게 리셀러 회원가입 후 마이페이지에서 주민등록번호를 입력하는 방식으로 수집ㆍ저장한 사실이 있다.
※ '22.11월경부터 정산 시 전화 수집으로 변경하였으며, 기존에 수집된 주민등록번호는 삭제 완료함
다. 쇼핑몰솔루션에 보안취약점이 존재한 사실
피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조) 등의 보안취약점이 존재한 사실이 있다.
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 피심인에게 웹 취약점을 점검받을 수 있는 기능이나 서비스는 제공하지 않으며, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션 전체에 적용하여 개선하도록 운영한 사실이 있다.
라. 쇼핑몰솔루션에 안전조치 의무를 소홀히 한 사실
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인 정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소할 수 있는 기능은 제공하고 있으나, 이용사업자의 개인정보취급자 계정에 대한 접근권한의 부여ㆍ변경ㆍ말소 기록을 5년간 보관하지 않고, 이용사업자가 확인할 수 있는 기능도 제공하지 않은 사실이 있다.
또한, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 설정할 수 있는 기능은 제공하나, 4자리 비밀번호를 입력하여도 허용되도록 한 사실이 있다.
아울러, 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 설정하는 기능을 제공하지 않고, 비밀번호 4자리 이상으로만 적용한 사실이 있다.
마. 쇼핑몰솔루션에 만 14세 미만 아동의 개인정보 수집 시 법정대리인 동의 확인을 소홀히 한 사실
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 '만 14세 미만 아동의 개인정보를 수집’할 수 있도록 기능을 제공하나, 법정대리인의 동의 확인 기능이나 절차를 제공하지 않은 사실이 있다.
바. 개인정보 처리에 대해 위수탁 계약체결 방법을 미리 알리지 않은 사실
피심인은 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 사실이 있다
사. 쇼핑몰솔루션에 개인정보처리방침 변경 이력 관리를 어렵게 한 사실
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침을 작성ㆍ수정하여 공개할 수 있도록 기능을 제공하고 있으나, 이용사업자가 개인정보 처리방침 변경 이력 조회 등의 관리를 어렵게 구성하여 제공한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 2023. 6. 1. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 같은 해 6. 14. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.
나. 보호법 제22조제6항은 “개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야“하며, 같은 법 제39조의3제4항은 ”정보통신서비스 제공자는 만 14세 미만의 아동으로부터 개인정보 수집ㆍ이용ㆍ제공 등의 동의를 받으려면 그 법정대리인의 동의를 받아야 하고, 대통령령으로 정하는 바에 따라 법정대리인이 동의하였는지를 확인하여야 한다.“라고 규정하고 있다.
다. 보호법 제26조제1항은 업무위탁에 따른 개인정보의 처리 제한에 대한 규정으로 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 ’위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항(제1호)', ’개인정보의 기술적ㆍ관리적 보호조치에 관한 사항(제2호)', ’그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항(제3호)'의 내용이 포함된 문서에 의하여야”하고, 제6항은 “수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원”으로 보며, 제7항은 “수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.”라고 규정하고 있다.
보호법 시행령 제28조제1항은 ’위탁업무의 목적 및 범위(제1호)', ’재위탁 제한에 관한 사항(제2호)', ’개인정보에 대한 접근제한 등 안전성 확보조치에 관한 사항(제3호)', ’위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항(제4호)', ’법 제26조제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항(제5호)'으로 규정하고 있다.
한편, 보호법 제12조에 따라 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등에 관하여 정하고 있는 표준 개인정보 보호지침(이하 ’표준지침' 이라 한다) 제17조에는 “수탁자는 위탁받은 개인정보를 보호하기 위하여 「개인정보의 안전성 확보조치 기준 고시」에 따른 관리적ㆍ기술적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
라. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
보호법 시행령 제48조의2제1항제2호는 “개인정보에 대한 불법적인 접근을 차단하기 위해 '개인정보처리시스템에 대한 접근권한의 부여ㆍ변경ㆍ말소 등에 대한 기준의 수립ㆍ시행(가목)’, '비밀번호의 생성 방법, 변경 주기 등의 기준 설정 및 운영(라목)’, '그 밖에 개인정보에 대한 접근통제를 위하여 필요한 조치(마목)’ 등의 조치를 하여야 한다.”라고 규정하고 있고, 제4호는 “개인정보가 안전하게 저장ㆍ전송될 수 있도록 하기 위한 '정보통신망을 통하여 이용자의 개인정보 및 인증정보를 송신ㆍ수신하는 경우 보안서버 구축 등의 조치(다목)' 등의 조치를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.
한편, 보호법 시행령 제48조의2제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호, 이하 '고시’라 한다) 제4조제3항은 “개인정보처리시스템의 접근권한 부여, 변경, 말소에 대한 내역을 기록하고, 그 기록을 최소 5년간 보관하여야”하고, 제4조제7항은 “이용자가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성규칙을 수립하고, 이행하여야”하며, 제4조제8항은 “정보통신서비스 제공자등은 개인정보취급자를 대상으로 '영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성(제1호)’, '연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고(제2호)’, 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경(제3호)'과 같은 사항을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용ㆍ운용하여야”하고, 제4조제9항은 “처리중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템에 조치를 취하여야 한다.”라고 규정하고 있다. 또한, 제6조제3항은 “정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 하고, 보안서버는 '웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 전송하는 정보를 암호화하여 송ㆍ수신하는 기능(제1호)’, '웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송ㆍ수신하는 기능(제2호)’ 중 하나의 기능을 갖추어야 한다.”라고 규정하고 있다.
고시 해설서는 고시 제4조제3항에 대해 “개인정보처리시스템에 접근권한 부여, 변경, 말소 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 5년간 보관하여야 하며, 관리대장 등에는 신청자 정보, 신청 및 적용 일시, 승인자 및 발급자 정보, 신청 및 발급사유 등의 내용이 포함되어야 하며 공식적인 절차를 통하여 관리하여야 한다.”라고 해설하고 있고, 고시 제4조제7항에 대해 “비밀번호는 문자, 숫자의 조합, 구성에 따라 최소 8자리 또는 10자리 이상의 길이로 구성하고 추측하거나 유추하기 어렵도록 설정하며, 동일한 문자 반복, 키보드 상에서 나란히 있는 문자열, 일련번호 등은 사용하지 않도록 하여야 한다.”라고 해설하고 있으며, 고시 제4조제8항에 대해 '비밀번호는 정당한 접속 권한을 가지지 않은 자가 추측하거나 접속을 시도하기 어렵도록 문자ㆍ숫자 등으로 조합ㆍ구성하여야 하고, 개인정보처리시스템에 권한 없는 자의 접근을 방지하기 위하여 비밀번호 등으로 일정 횟수 이상 잘못 입력할 때에는 개인정보처리시스템에 접근을 제한하는 등의 보호조치를 추가적으로 적용할 수 있다'라고 해설하고 있고, 고시 제4조제9항에 대해 “인터넷 홈페이지를 통한 개인정보 유ㆍ노출 방지를 위해 정보통신서비스 제공자등은 규모, 여건 등을 고려하여 스스로의 환경에 맞는 보호조치를 하되, 보안대책 마련, 보안기술 마련, 운영 및 관리 측면에서의 개인정보 유ㆍ노출 방지 조치를 하여야 하며, 권한 설정 등의 조치를 통해 권한이 있는 자만 접근할 수 있도록 설정하여 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 등에 관한 보호조치를 하여야 한다.”라고 해설하고 있다. 또한, 제6조제3항에 대해 “이용자의 성명, 연락처 등의 개인정보와 인증정보를 정보통신망을 통해 인터넷 구간으로 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 암호화하여야 한다.“라고 해설하고 있다.
마. 보호법 제30조제2항은 ”개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.“라고 규정하고 있다.
보호법 시행령 제31조제2항은 ”개인정보처리자는 법 제30조제2항에 따라 수립하거나 변경한 개인정보 처리방침을 개인정보처리자의 인터넷 홈페이지에 지속적으로 게재하여야 한다.“라고 규정하고 있다.
표준지침 제21조는 ”개인정보처리자가 개인정보 처리방침을 변경하는 경우에는 변경 및 시행의 시기, 변경된 내용을 지속적으로 공개하여야 하며, 변경된 내용은 정보주체가 쉽게 확인할 수 있도록 변경 전ㆍ후를 비교하여 공개하여야 한다“라고 규정하고 있다.
2. 위법성 판단
가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위
{보호법 제29조(안전조치의무) 중 비밀번호 작성규칙, 전송구간 암호화}
피심인이 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙 중 기본값을 비밀번호 4자리 이상으로만 적용하여 운영한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제8항을 위반한 것이다.
또한, 피심인이 특정 페이지( , 등)에 로그인 후 http로 강제 변환하여 비밀번호, 주민등록번호를 전송하는 경우 전송구간이 암호화되지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제6조제3항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=150215061" alt="3번째 이미지"></img>
나. 주민등록번호를 회원가입 시 미리 수집한 행위
{보호법 제3조제1항(개인정보보호 원칙)}
현행법은 주민등록번호를 수집하는 시점에 대해 명문화된 규정이 없어, 피심인이 리셀러가 정산대상 여부인지와 무관하게 사유 발생 전인 회원가입 시 마이페이지에서 주민등록번호를 입력하도록 운영한 행위*에 대해 위반이라고 보기는 어려우나, 보호법 제3조제1항은 개인정보 처리목적에 필요한 범위에서 최소한의 개인정보만을 정당하게 수집하도록 하는 취지를 담고 있으며, 「알기쉬운 개인정보 처리 동의 안내서」에도 '개인정보의 이용 여부가 불확실함에도 미리 포괄적으로 수집하지 말아야 하며, 해당 개인정보의 이용이 필요한 시점에서 수집하여야 한다.'라고 안내하는 점을 볼 때 정보가 필요한 시점에 수집하도록 개선할 필요가 있다.
* 피심인은 2022년 11월경부터 정산 시 전화로 주민등록번호를 수집하는 방식으로 변경하여 운영하였으며, 기존에 수집한 주민등록번호는 DB에서 모두 삭제했다고 소명함
다. 쇼핑몰솔루션에 보안취약점이 존재한 행위
{보호법 제29조(안전조치의무) 중 접근통제}
이용사업자는 제품의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 쇼핑몰솔루션 제공사업자는 이용사업자의 수탁사이므로 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제9항을 준수할 수 있도록 조치를 취하여야 한다.
피심인은 이용사업자에게 쇼핑몰솔루션을 제공하면서 주기적(연1회 또는 연2회)으로 쇼핑몰솔루션의 자체 취약점을 점검하고 있으나, XSS(Cross-site script, 크로스 사이트 스크립트), CSRF(Cross-site Request Forgery, 사이트 간 요청 위조) 등의 보안취약점이 존재한 사실이 있으나, 이용사업자가 자체적으로 외부 전문업체를 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 이용사업자의 요청사항을 쇼핑몰솔루션에 적용하여 개선하도록 운영하는 업무처리 형태로 피심인이 조사과정에서 보안취약점을 인지하고 즉시 시정을 완료('23. 4. 28. ~ ’23. 5. 9.)하여 시정명령 하지 않는다.
다만, 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알릴 필요가 있다.
라. 쇼핑몰솔루션에 안전조치 의무를 소홀히 한 행위
{보호법 제29조(안전조치의무) 중 접근통제}
피심인은 이용사업자에게 회원가입의 형태로 쇼핑몰솔루션 서비스를 제공하면서 이용사업자의 정보 및 리셀러 회원의 정보를 직접 수집하는 ①정보통신서비스 제공자이며, 이용사업자가 수집한 이용자의 개인정보를 처리하는 ②수탁자의 지위를 동시에 가진다.
이용사업자는 쇼핑몰솔루션의 기능을 확인하여 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 이용사업자의 수탁사이므로 보호법을 준수할 수 있는 기능을 갖춘 쇼핑몰솔루션 서비스를 제공하여야 한다.
피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하지 않고, 관리할 수 있는 기능도 제공하지 않은 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제3항을 위반한 것이다.
또한, 피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 설정할 수 있는 기능은 제공하나, 4자리 비밀번호를 입력하여도 허용되도록 한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제7항을 위반한 것이다.
아울러, 피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 설정하는 기능을 제공하지 않고, 비밀번호 4자리 이상으로만 적용한 행위는 보호법 제29조, 같은 법 시행령 제48조의2제1항, 고시 제4조제8항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=150215063" alt="4번째 이미지"></img>
마. 쇼핑몰솔루션에 만 14세 미만 아동의 개인정보 수집 시 법정대리인 동의 확인을 소홀히 한 사실
{보호법 제22조(동의를 받는 방법), 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 중 법정대리인 동의 확인}
피심인이 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 '만 14세 미만 아동의 개인정보를 수집’할 수 있도록 기능을 제공하나, 법정대리인의 동의 확인 기능이나 절차를 제공하지 않은 행위는 보호법 제22조제6항, 제39조의3제4항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=150215065" alt="5번째 이미지"></img>
바. 개인정보 처리에 대한 위수탁 계약체결 방법을 미리 알리지 않은 행위
{보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)}
피심인이 이용사업자와 개인정보 처리에 대한 위수탁 계약을 체결할 수 있는 공식적인 절차를 마련하지 않고, 이용사업자가 피심인의 고객센터에 위수탁 계약체결을 요청하면 체결하도록 운영한 행위는 위법하지는 않으나, 이용사업자가 위탁자로서 보호법을 준수할 수 있도록 위수탁 계약을 체결하는 방법과 절차를 이용약관, 공지사항 등을 통해 알릴 필요가 있다.
사. 쇼핑몰솔루션에 개인정보처리방침 변경 이력 관리를 어렵게 한 행위
{보호법 제30조(개인정보처리방침의 수립 및 공개)}
피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침을 작성ㆍ수정하여 공개할 수 있도록 기능을 제공하고 있으나, 이용사업자가 개인정보 처리방침의 변경 이력 조회 등을 관리하는 기능을 어렵게 구성한 행위는 위법하지는 않으나, 이용사업자가 보호법을 준수할 수 있도록 관리가 용이하게 기능을 변경할 필요가 있다.
Ⅳ. 처분 및 결정
1. 시정조치 명령
가. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치에 관한 특례) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제8항, 제6조제3항에 따른 보호조치를 취하여야 한다.
1) 피심인의 개인정보취급자 계정에 대해 비밀번호 작성규칙을 수립하고 이를 적용ㆍ운영하여야 한다.
2) 피심인은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송ㆍ수신할 때는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.
나. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 「개인정보 보호법」 제22조(동의를 받는 방법) 제6항, 같은 법 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항을 준수하도록 조치를 취하여야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제3항, 제4조제7항, 제4조제8항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록을 5년간 보관하고 관리할 수 있도록 하여야 한다.
2) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용자가 안전한 비밀번호를 사용하도록 비밀번호 작성규칙을 수립하고 이행하여야 한다.
3) 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보취급자 계정의 비밀번호 작성규칙을 수립하고 이를 적용하여야 한다.
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 60일 이내에 이행 결과를 개인정보보호위원회에 제출하여야 한다.
2. 과태료 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과태료는 같은 법 제75조(과태료) 제2항제6호 및 같은 법 시행령 제63조의〔별표2〕'과태료 부과기준’ 및「개인정보 보호법 위반에 대한 과태료 부과기준」(2023. 3. 8. 일부 개정, 이하 '과태료 부과지침’이라 한다)에 따라 다음과 같이 부과한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제29조(안전조치의무) 위반에 대해서는 1회 위반에 해당하는 과태료인 600만 원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=150215067" alt="6번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과지침 제8조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 가중기준(▲조사방해, ▲위반의 정도, ▲위반기간, ▲기타 위반행위의 정도와 동기, 사업규모, 그 결과 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제29조(안전조치의무)에 대해서 ▲제3호 위반행위별 각 목의 세부기준에서 정한 행위가 2개에 해당하는 경우, ▲위반 기간이 3개월 이상인 경우로 기준금액의 20%를 가중한다.
2) (과태료의 감경) 과태료 부과지침 제7조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표1]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여, ▲일관되게 행위 사실을 인정하면서 위법성 판단에 도움 되는 자료를 제출 또는 진술하는 등 조사에 적극적으로 협력한 점, ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료한 점, ▲「중소기업기본법」제2조에 따른 중기업인 점 등을 종합적으로 고려하여 과태료 부과지침 제7조에 따라 기준금액의 50%를 감경한다.
다. 최종 과태료
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 420만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=150215069" alt="7번째 이미지"></img>
3. 결과 공표
「개인정보 보호법」 제66조제1항 및 「개인정보보호위원회 처분 결과 공표기준」 (2020. 11. 18. 개인정보보호위원회 의결) 제2조(공표요건)에 따라, 피심인의 위반행위는 위반상태가 6개월 이상 지속된 경우(제5호)에 해당하므로, 피심인이 시정조치 명령을 받은 사실과 과태료 부과에 대해 개인정보보호위원회 홈페이지에 공표한다.
<img src="/LSW/flDownload.do?flSeq=150215071" alt="8번째 이미지"></img>
4. 개선권고
가. 피심인은 수수료 정산을 위해 리셀러의 주민등록번호를 수집하더라도 실제로 필요한 시점에 수집하여야 한다.
나. 피심인은 이용사업자가 「개인정보 보호법」에서 요구하는 개인정보 처리와 관련하여 피심인과 위수탁 계약을 체결할 수 있도록 관련 사항을 이용약관, 공지사항 등을 통해 알려야 한다.
다. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 「개인정보 보호법」 제29조(안전조치의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치) 제1항, 「개인정보의 기술적ㆍ관리적 보호조치 기준」(개인정보보호위원회 고시 제2021-3호) 제4조제9항에 따른 보호조치를 취하여야 한다.
1) 피심인은 이용사업자가 자체적으로 외부 전문업체 등을 통해 웹 취약점 점검 후 조치가 필요한 경우, 피심인에게 이를 전달하면 쇼핑몰솔루션에 적용하여 개선하는 방법과 절차를 마련하여 이용약관, 공지사항 등을 통해 알려야 한다.
라. 피심인은 이용사업자에게 제공하는 쇼핑몰솔루션에 대해 이용사업자가 자신이 운영하는 쇼핑몰의 개인정보 처리방침 변경 이력 조회 등 관리가 용이하도록 제공하여야 한다.
마. 피심인은 가.부터 라.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제75조(과태료) 제2항제6호, 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항에 대하여 과태료 부과, 시정조치 명령, 공표하고, 이용사업자에게 제공하는 쇼핑몰솔루션에 대한 같은 법 제22조(동의를 받는 방법) 제6항 및 제39조의3(개인정보의 수집ㆍ이용 동의 등에 대한 특례) 제4항, 제29조(안전조치의무) 위반행위에 대하여 제64조(시정조치 등) 제1항, 제66조(결과의 공표) 제1항에 따라 시정명령, 공표를 주문과 같이 의결한다.
또한, 피심인에 대하여 같은 법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 이 시정명령 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조 제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).