제2024-217-565호

안건번호 : 제2024-217-565호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 대표자
의결연월일 : 2024. 8. 28.

피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 19,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점

Ⅰ. 기초 사실

피심인은 메신저, 채팅 및 화상 전화 서비스를 제공하는 사업자로, 업무를 목적으로 고객의 개인정보를 처리하는 「개인정보 보호법」(각주:법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행) (이하 '보호법’) 제2조제5호에 따른 개인정보처리자에 해당한다.
<img src="/LSW/flDownload.do?flSeq=150220101" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 피심인에 대한 개인정보 침해신고가 접수(’23.3.24.)되어 개인정보보호 법규 위반 여부를 조사하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집현황

피심인은 한국인 이용자 560만 명 이상의 아이디, 비밀번호, 생년월일, 이메일, 주소 및 전화번호와 이용자가 서비스에 업로드하는 콘텐츠 정보 등 개인정보를 수집하였다.

나. 개인정보 침해신고 관련 사실관계

1) 신고 내용

피심인이 회원 가입 방법에 비하여 회원 탈퇴(계정 삭제) 방법을 어렵게하였다는 침해신고가 접수(’23.3.24.)되었다.

2) 사실관계 확인 결과

피심인은 제공하는 어플리케이션 내에서 이용자가 직접 정상적으로 계정을 삭제할 수 있다고 답변하였으며, 실제 이용자가 계정을 직접 삭제할 수 있는 것으로 확인되었다.

3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 국내대리인을 지정하지 않은 행위

피심인은 월 평균 한국 이용자 수가 약 560만 명으로 보호법상 국내대리인 지정 대상이나 이를 지정하지 않은 사실이 있다.

나. 자료제출을 하지 않은 행위

피심인은 한국인터넷진흥원(이하 '진흥원’)의 자료제출 요구(9차례, ’23.5.∼’23.11.)에 대해 자동화된 프로그램을 통해 답변하거나, 요청한 정보를 얻으려면 “미국 법원이 에 필요한 미국 법적 절차를 발행할 수 있도록 해당 상호 법률 지원 조약 절차 또는 서신 조사 절차를 따르십시오”라고 답변하는 등 응하지 않은 사실이 있다.

4. 처분의 사전통지 및 의견 수렴

개인정보보호위원회는 2024.7.11. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2024.7.25. 법 위반 사실을 인정하고 선처를 요청하는 의견을 제출하였다.

Ⅲ. 위법성 판단

1. 관련 법 규정

보호법 제31조의2제1항은 “국내에 주소 또는 영업소가 없는 개인정보처리자로서 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 자는 다음 각 호의 사항을 대리하는 자(이하 “국내대리인”이라 한다)를 지정하여야 한다. 이 경우 국내대리인의 지정은 문서로 하여야 한다.”라고 규정하고 있고,

「개인정보 보호법 시행령」(각주:대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행) (이하 '시행령’) 제32조의3제1항은 “법 제31조의2제1항 각 호 외의 부분 전단에서 “대통령령으로 정하는 자”란 다음 각 호의 어느 하나에 해당하는 자를 말한다. (제1호)전년도(법인인 경우에는 전 사업연도를 말한다) 전체 매출액이 1조원 이상인 자, (제2호)전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 국내 정보주체의 수가 일일평균 100만명 이상인 자, (제3호)법 제63조제1항에 따라 관계 물품ㆍ서류 등 자료의 제출을 요구받은 자로서 국내대리인을 지정할 필요가 있다고 보호위원회가 심의ㆍ의결한 자“라고 규정하고 있다.

보호법 제63조제1항은 “보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다. (제1호)이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우, (제2호)이 법 위반에 대한 신고를 받거나 민원이 접수된 경우, (제3호)그 밖에 정보주체의 개인정보 보호를 위하여 필요한 경우로서 대통령령으로 정하는 경우”라고 규정하고 있다.

보호법 제68조제1항은 “이 법에 따른 보호위원회 또는 관계 중앙행정기관의 장의 권한은 그 일부를 대통령령으로 정하는 바에 따라 특별시장, 광역시장, 도지사, 특별자치도지사 또는 대통령령으로 정하는 전문기관에 위임하거나 위탁할 수 있다”라고 규정하고 있고,

같은 법 시행령 제62조제3항은 “보호위원회는 법 제68조제1항에 따라 다음 각 호의 사항에 관한 업무를 제4항에 따른 기관에 위탁할 수 있다. (제1호)법 제7조의8제5호에 따른 개인정보 보호를 위한 국제기구와 외국의 개인정보 보호기구와의 교류ㆍ협력, (제2호)법 제7조의8제6호에 따른 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구, (제3호)법 제7조의8제7호에 따른 개인정보 보호에 관한 기술개발의 지원ㆍ보급, (제4호)법 제13조제1호에 따른 개인정보 보호에 관한 교육ㆍ홍보, (제5호)법 제13조제2호에 따른 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원, (제6호)법 제33조제6항에 따른 관계 전문가의 육성 및 영향평가 기준의 개발, (제7호)법 제35조제2항에 따른 열람 요구의 접수 및 처리, (제8호)법 제63조에 따른 자료제출 요구 및 검사 중 다음 각 목의 사항과 관련된 자료제출 요구 및 검사, (가목)법 제34조제3항 전단에 따른 신고에 대한 기술지원, (나목)법 제62조에 따라 개인정보침해 신고센터에 접수된 신고의 접수ㆍ처리 및 상담, (제9호)제36조제2항에 따른 평가기관 지정신청서의 접수 및 같은 조 제6항에 따른 신고 사항의 접수”라고 규정하고 있고,

같은 조 제4항은 “보호위원회가 제3항 각 호의 사항에 관한 업무를 위탁할 수 있는 기관은 다음 각 호와 같다. (제1호)한국인터넷진흥원, (제2호)개인정보 보호 분야에 전문성을 갖춘 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관 또는 단체”라고 규정하고 있다.

2. 위법성 판단

가. 국내대리인을 지정하지 않은 행위
[보호법 제31조의2(국내대리인의 지정)제1항]

피심인이 전년도 말 기준 한국 이용자 수가 100만 명 이상임에도 국내대리인을 지정하지 아니한 행위는 보호법 제31조의2제1항을 위반한 것이다.

나. 자료제출을 하지 않은 행위
[보호법 제63조(자료제출 요구 및 검사)제1항]

피심인이 보호법 제68조 및 시행령 제62조에 따라 업무를 위탁받은 한국인터넷진흥원의 자료제출 요구에 반복 답변 및 미국 법원의 명령 필요 등으로 불응한 사실은 보호법 제63조제1항을 위반한 것이다.

Ⅳ. 처분 및 결정

1. 과태료 부과

피심인의 보호법 제31조의2제1항 및 제63조제1항 위반에 대해 같은 법 제75조제3항제2호 및 제75조제2항제25호, 시행령 제63조 [별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」(각주:개인정보보호위원회지침, 2023. 9. 11. 일부개정, 2023. 9. 15. 시행) (이하 '과태료 부과기준’)에 따라 다음과 같이 1900만 원의 과태료를 부과한다.

가. 기준금액

시행령 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 1회 위반에 해당하는 과태료인 2000만원과 300만원을 각각 적용한다.
<img src="/LSW/flDownload.do?flSeq=150220103" alt="2번째 이미지"></img>
나. 과태료의 가중

과태료 부과기준 제7조제1항은 '당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 3]의 가중기준(위반의 정도, 위반기간, 조사방해, 위반주도)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다’라고 규정하고 있다.

피심인의 보호법 제31조의2제1항 및 제63조제1항 위반행위는 과태료 부과기준 제7조의 과태료 가중기준에 해당하지 않아 기준금액을 유지한다.

다. 과태료의 감경

과태료 부과기준 제6조제1항은 '당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준(당사자 환경, 위반정도, 개인정보처리자의 업무형태 및 규모, 개인정보 보호인증, 자율규제규약 등, 개인정보 보호활동, 조사협조, 자진시정 등, 피해회복ㆍ피해확산방지, 자진신고)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다. 다만, 과태료를 체납하고 있는 경우는 제외한다’라고 규정하고 있고, 제6조제2항은 '[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다’라고 규정하고 있다.

피심인의 경우 과태료 부과기준 제6조 및 [별표 2] 과태료의 감경기준에 따라, '위반행위를 중지하는 등 시정을 완료한 경우’에 해당하여 기준금액(2000만 원)의 20%(400만 원)를 감경한다.

라. 최종 과태료

피심인의 보호법 제31조의2제1항 및 제63조제1항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 1900만 원의 과태료를 부과한다.

< 과태료 산출내역 >
<img src="/LSW/flDownload.do?flSeq=150220105" alt="3번째 이미지"></img>
※ 피심인이 과태료 고지서를 송달받은 날부터 14일 이내에 과태료를 자진납부 하는 경우, 100분의 20을 감경함(질서위반행위규제법 제18조 및 같은 법 시행령 제5조 준용)

Ⅴ. 결론

피심인의 보호법 제31조의2(국내대리인의 지정)제1항 및 제63조(자료제출 요구 및 검사)제1항 위반에 대하여 같은 법 제75조(과태료)제3항제2호 및 제2항제25호에 따라 과태료 부과를 주문과 같이 의결한다.

피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조제1항에 따라 과태료 부과 통지를 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의제기를 할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.