제2024-221-659호

안건번호 : 제2024-221-659호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : ( : )대표자
의결연월일 : 2024. 11. 4.

1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 5,400,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점

Ⅰ. 기초 사실



피심인은 「舊 개인정보 보호법」(각주:舊 개인정보 보호법(법률 제16930호, ’20.8.5. 시행)) ('이하 “舊 보호법”이라 한다.) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150221493" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과




1. 조사 배경



개인정보보호위원회는 피심인이 ’22.1월부터 ’23.10월까지
( )에 대해 접속기록 점검을 실시하지 않고 점검 서류를 보관하지 않은 등 舊 보호법 제29조를 위반한 의혹이 있다는 익명의 공익신고(접수일 ’23.11.27.)에 대해 조사하였으며, 다음과 같은 사실을 확인하였다.




2. 행위 사실



피심인은 ’22.1월부터 ’23.8월까지 약 20개월 동안 취급자의 접속기록을 매월 1회 점검하지 않은 사실이 있다. 다만, ’23.9월부터 ’24.1월까지는 매월 1회 접속기록을 점검하고 그 결과를 내부결재를 통해 보고하고 있다.


3. 처분의 사전통지 및 의견 수렴



개인정보보호위원회는 '24. 3. 6. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’24. 3. 16. 개인정보보호위원회에 의견을 제출하였다.





Ⅲ. 위법성 판단




1. 관련 법 규정



舊 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.



같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2022. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항제4호는 “개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.



한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회고시 제2021-2호, 2021. 9. 15. 시행) (이하 '舊 안전성 확보조치 기준’이라 한다) 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다.”라고 규정하고 있다.


2. 위법성 판단



피심인이 의 접속기록에 대해 매월 1회 점검하지 않은 행위는 舊 보호법 제29조, 舊 시행령 제30조제1항제4호 및 舊 안전성 확보조치 기준 제8조제2항을 위반한 것이다.






Ⅳ. 처분 및 결정



1. 과태료 부과



피심인의 舊 보호법 제29조(안전조치의무) 위반행위에 대한 과태료는 같은 법 제75조(과태료) 제2항제6호와 舊 시행령 제63조의 [별표2] '과태료 부과기준’ 및 「개인정보 보호법 위반에 대한 과태료 부과기준」(각주:개인정보보호위원회 지침, 2023. 9. 15. 시행) (이하 '과태료 부과지침’이라 한다)에 따라 다음과 같이 부과한다.




가. 기준금액

舊 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 ’22.9.14. 舊 보호법 제29조 (안전조치의무) 위반으로 과태료 처분을 받은 사실이 있으므로, 제29조(안전조치의무) 위반에 대해서는 2회 위반에 해당하는 과태료인 1,200만 원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=150221495" alt="2번째 이미지"></img>
나. 과태료의 가중 및 감경



1) 과태료의 가중



과태료 부과지침 제7조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도 등을 고려하여 가중할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.



피심인의 舊 보호법 제29조(안전조치의무) 위반행위에 대하서 법 위반상태가 1년 초과 2년 이내인 점(15% 이내)을 고려하여 기준금액의 15%인 180만 원을 가중한다.
<img src="/LSW/flDownload.do?flSeq=150221497" alt="3번째 이미지"></img>
2) 과태료의 감경



과태료 부과지침 제6조는 ’사전통지 및 의견제출 결과와 당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲조사협조 및 자진시정 등, ▲개인정보보호 노력정도, ▲사업규모, ▲기타 위반행위의 정도와 동기, 사업 규모, 그 결과 등을 고려하여 감경할 필요가 있다고 인정되는 경우)에 따라 기준금액의 100분의 90의 범위 이내에서 감경할 수 있다.'라고 규정하고 있다.



피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여, ▲위반행위의 내용ㆍ정도가 경미하다고 인정되고, 정보주체에게 피해가 발생하지 아니하였거나 경미한 경우로서 면제에 이르지 아니한 경우라는 점(30% 이내)▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료한 점(20% 이내), ▲일관되게 행위 사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출 또는 진술하는 등 조사에 적극적으로 협력한 점(20% 이내) 등을 종합적으로 고려하여 과태료 부과지침 제7조에 따라 기준금액의 70%(최대 90% 이내)인 840만 원을 감경한다.
<img src="/LSW/flDownload.do?flSeq=150221499" alt="4번째 이미지"></img>
다. 최종 과태료



피심인의 舊 보호법 제29조(안전조치의무) 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 540만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=150221501" alt="5번째 이미지"></img>
Ⅴ. 결론


피심인의 舊 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제75조제2항에 따라 주문과 같이 의결한다.