개인정보보호위원회
심의ㆍ의결
제2024-016-234호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2024년 9월 25일
요지
안건번호 : 제2024-016-234호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 대표자
의결연월일 : 2024. 9. 25.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 대표자
의결연월일 : 2024. 9. 25.
주문
1. 피심인에 대하여 다음과 같이 개인정보 처리실태의 개선을 권고한다.
가. 피심인은 수집 시 정보주체에게 삭제절차ㆍ방법을 함께 안내하고, 처리 과정에서 최초 수집 목적( 서비스 제공) 외로 사용되지 않도록 안전조치에 만전을 기할 것
나. 피심인은 개인정보를 국외로 처리위탁ㆍ보관할 때 보호법 제28조의8제2항 각 호의 사항을 구체적으로 개인정보 처리방침에 공개하거나, 전자우편 등의 방법으로 정보주체에게 알릴 것
다. 피심인은 가.~나.의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것
2. 피심인에 대하여 다음과 같이 시정조치를 명한다.
가. 피심인은 등 민감정보 수집ㆍ이용에 대한 동의를 받을 때, 정보주체가 수집ㆍ이용 목적 등 법정 고지사항을 명확히 인지할 수 있도록 충실히 안내할 것
나. 처분통지를 받은 날로부터 90일 이내에 가.의 시정명령 이행결과를 제출할 것
3. 피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 725,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
가. 피심인은 수집 시 정보주체에게 삭제절차ㆍ방법을 함께 안내하고, 처리 과정에서 최초 수집 목적( 서비스 제공) 외로 사용되지 않도록 안전조치에 만전을 기할 것
나. 피심인은 개인정보를 국외로 처리위탁ㆍ보관할 때 보호법 제28조의8제2항 각 호의 사항을 구체적으로 개인정보 처리방침에 공개하거나, 전자우편 등의 방법으로 정보주체에게 알릴 것
다. 피심인은 가.~나.의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것
2. 피심인에 대하여 다음과 같이 시정조치를 명한다.
가. 피심인은 등 민감정보 수집ㆍ이용에 대한 동의를 받을 때, 정보주체가 수집ㆍ이용 목적 등 법정 고지사항을 명확히 인지할 수 있도록 충실히 안내할 것
나. 처분통지를 받은 날로부터 90일 이내에 가.의 시정명령 이행결과를 제출할 것
3. 피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 725,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
이유
Ⅰ. 기초 사실
피심인은 (이하 ' ’)의 발행ㆍ판매 및 수단 개발ㆍ보급 등 재화 또는 서비스를 제공하면서 등 개인정보를 처리하는 「개인정보 보호법」(각주:개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행)) (이하 '보호법’)상의 개인정보처리자로서 일반현황 및 최근 3년간 재무현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150222433" alt="1번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150222443" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 피심인이 생체정보를 무단으로 수집하고 있다는 민원 제기(각주:수집 관련 이용목적ㆍ보유기간 등에 대해 고지받지 못했으며, 삭제 절차가 없다며 조치를 요구('24.2.26., '24.3.8. 등)) 및 언론보도(각주:( , ’ . . .), ( , ' . . .)) 등에 따라 피심인의 생체정보 수집ㆍ처리 관련 사실관계 및 보호법 위반 여부를 조사하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 피심인의 업무 형태
피심인은 기기( , 이하 '기기’)를 통해 수집ㆍ생성된 '
원본 이미지’ 및 ' ’, (가상자산 지갑 앱, 이하 ' 앱’) 설치 시
생성되는 ' ID(각주:피심인이 개발ㆍ보급하는 디지털 수단으로, 이용자가 ①
② ③ 할 수 있다고 주장) ’에 대한 개인정보처리자이다.
피심인은 2023년 7월 24일 를 정식 발행하였고, 수집 논란 및
기기 오류 등으로 2024년 2월 29일 국내 수집을 일시 중단하였다가 한국어 처리방침 마련 및 ( ) 조사에 따른 조치 사항(각주:기기 인증 시 신분증 확인 등 연령 확인 절차 마련, 앱에서 및 ID를 삭제할 수 있는 기능 구현) 을 반영하여 2024년 4월 30일 국내 수집을 재개하였다.
피심인은 기기를 통해 원본 이미지를 촬영(각주:저장에 동의하지 않은 원본 이미지는 기기 내에서 삭제) 하여 를 생성하고, 이를 ' 시스템’에 전송하여 기존 와의 유사도 확인을 통해
ID의 기인증 여부를 확인하였으며, 신규 생성 여부가 확인된
및 해당 이용자의 ID(각주:해당 ID에 접근하기 위한 인증키는 이용자 기기에 저장) 를 의 별도 데이터베이스의 각각 보관하였다.
피심인의 국내 생체정보 수집과 관련한 '기기 운용’은 개 업체(각주:업체명(계약일): (’ . . .), (’ . . .), (’ . . .), (’ . . .)) 가 곳에서 수행하였으며, 현장에서 이용자 연령확인, 원본 이미지 및
수집 관련 절차 등을 안내하였다.
나. 보호법 위반 관련 사실관계
1) 생체정보 수집ㆍ이용 동의 관련
피심인은 국내 이용자에게 등을 수집ㆍ처리하면서 의 수집ㆍ이용 목적 등 법적 고지사항에 대한 동의를 받지 않았으며, 개인정보 처리방침에도 이를 '보호법상 익명정보에 해당’한다고 기재하였다.
또한 생체정보를 수집하는 현장(각주:기기를 운용하는 에 대하여 현장 조사(’24.6.5.)) 에서 기기를 통해 사진을 촬영하는 동안 사람임을 확인하고 를 산출한다고 고지할 뿐 생체정보 동의서 전문을 확인하는 등 법정 고지사항에 대해 알리는 절차는 확인되지 않았으며, 특히 담당 직원은 를 익명정보로 설명(각주:피심인이 제출한 직원 교육자료( 현장 매뉴얼)에도 '
익명데이터로 간주된다’라고 기재) 하면서 '생체정보 처리의 위험성’에 대해 안내하지 않았다.
참고로 피심인은 이용자의 '데이터 수탁(선택사항)’ 별도 동의 시,
원본 이미지도 수집(각주:국내 이용자 총 명의 원본 이미지를 수집하였으나, ’24. 3. 22. 기준 전부 삭제하였다고 소명) 하였으나, 2024년 4월 30일 국내 수집을 재개하면서 해당 기능은 비활성화하였다.
<img src="/LSW/flDownload.do?flSeq=150222445" alt="3번째 이미지"></img>
2) 개인정보의 삭제 관련
피심인은 ' ’, '계정( ID) 공개 키’ 등의 '계정 데이터’ 삭제(각주:2024년 4월 30일 국내 수집을 재개하면서 삭제 기능 도입(재가입 방지 관련 6개월 뒤 파기)) 절차를 마련하지 않았다.
3) 개인정보의 국외 이전 관련
피심인이 수집한 생체정보( 등) 및 ID 관련 데이터는
( )의 (이하 ' ’) 및 ( )의 에 이전(처리위탁ㆍ보관)되고 있으나, 피심인이 이를
개인정보 처리방침에 공개하거나 이용자에게 알린 사실은 확인되지 않았다.
<img src="/LSW/flDownload.do?flSeq=150222447" alt="4번째 이미지"></img>
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제23조제1항은 “개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.”라고 규정하면서 “정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우(제1호)”, “법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호)” 민감정보의 처리가 가능하다고 규정하고 있다.
같은 법 시행령(각주:개인정보 보호법 시행령(대통령령 제33723호, 2024. 3. 12. 일부개정, 2024. 3. 15. 시행)) (이하 '시행령’) 제18조는 “법 제23조제1항 각 호 외의 부분 본문에서 “대통령령으로 정하는 정보(민감정보)”란 다음 각 호의 어느 하나에 해당하는 정보를 말한다.”라고 규정하면서, “개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보(제3호)”를 민감정보로 규정하고 있다.
나. 보호법 제28조의8제1항은 “개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.”라고 규정하고 있으며, 제1호는 “정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우”, 제3호는 “정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우”라고 규정하면서, “제2항 각 호의 사항(각주:1. 이전되는 개인정보 항목, 2. 개인정보가 이전되는 국가, 시기 및 방법, 3. 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처를 말한다), 4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간, 5. 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과) 을 제30조에 따른 개인정보 처리방침에 공개한 경우(가목)”, “전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우(나목)” 개인정보의 국외이전이 가능하다고 규정하고 있다.
다. 보호법 제38조제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 민감정보를 처리하면서 적법 근거를 갖추지 않은 사실
[보호법 제23조(민감정보의 처리 제한)제1항]
피심인이 이용자의 생체인식정보를 수집ㆍ처리하면서 의 수집ㆍ이용 목적 및 보유ㆍ이용 기간 등 법정 고지사항을 알리지 않은 행위는 보호법 제23조제1항 위반에 해당한다.
나. 개인정보를 국외로 이전하면서 적법 근거를 갖추지 않은 사실
[보호법 제28조의8(개인정보의 국외 이전)제1항]
피심인은 ( ) 및 ( )에 이용자의 생체정보
등 개인정보를 처리위탁 및 보관하고 있으므로, 개인정보 처리방침에 국외 이전에 관한 법정 고지사항을 공개하는 등 보호법 제28조의8제1항에서 규정한 적법 근거를 갖추어야 한다.
그러나 피심인이 개인정보의 국외 이전에 관한 법정 고지사항을 개인정보 처리방침에 공개하거나, 전자우편 등의 방법에 따라 이용자에게 알리지 않고 이용자의 개인정보를 국외로 이전한 행위는 보호법 제28조의8제1항 위반에 해당한다.
다. 개인정보의 열람등요구(삭제ㆍ처리정지 등) 방법을 마련하지 않은 사실
[보호법 제38조(권리행사의 방법 및 절차)제4항]
피심인이 기기를 통해 수집한 에 대하여 이용자로 하여금 삭제ㆍ처리정지 등 요구를 할 수 있는 방법ㆍ절차를 마련하지 않은 행위는 보호법 제38조제4항 위반에 해당한다.
Ⅳ. 피심인의 주장에 대한 검토
1. 민감정보 처리의 적법 근거
피심인은 가 ( ),
( ) ( ) 등의 비식별 처리를 거친 보호법 상의 '익명정보’로서 개인정보에 해당하지 않으며,
개인정보에 해당하더라도 피심인이 를 산출ㆍ수집하는 목적은 해당 이용자의 서비스 중복 가입(산출된 의 기존재 여부)만을 확인하기 위한 것에 불과하여, 특정 개인을 인증ㆍ식별할 목적으로 생성된 생체인식정보(민감정보)가 아닌 '일반 생체정보’로서 이를 처리하기 위한 정보주체의 별도 동의가 필요하지 않고, 설령 를 민감정보로 보더라도 동의를 거쳐 적법하게 처리하고 있다고 주장한다.
그러나, 피심인이 생성ㆍ수집한 는 개인의 신체적 특징( )에 관한 정보로서 특정 개인을 알아볼 목적(기인증 여부 검증)으로 일정한 기술적 수단(알고리즘으로 변환)을 통해 생성한 보호법상 민감정보인 생체인식정보 정의에 그대로 부합하며,
피심인은 가 원본 이미지로의 복원이 어렵다고 주장하나, 보호법상 생체인식정보의 개인(민감)정보 여부는 원본 정보로의 복원 여부를 기준으로 판단하는 것이 아니라 개개인의 유일성을 표현하는지 여부 및 이를 통해 개인을 인증ㆍ식별할 목적으로 처리되는지를 기준으로 판단하여야 한다.
또한 해당 는 기술적으로 특정 개인의 유일성을 표현(각주:이를 통해 동일한 과 다른 을 확실하게 구분 가능(피심인 제출자료)) 하고, 피심인은 실제로 이를 이용하여 이용자 중복가입 여부를 확인하고 있으며, 와 이용자의
ID가 연결되어 있어 이용자가 소유인증을 통해 본인임을 식별할 수 있다.
<img src="/LSW/flDownload.do?flSeq=150222449" alt="5번째 이미지"></img>
또한, 피심인 스스로도 개인정보 처리방침을 통해 이용자 거주지 법률에 따라
가 개인정보(또는 생체정보)로 간주될 수 있다고 한 점, 형식적으로나마 (생체인식정보 동의)를 받으려 했던 점 등을 종합했을 때, 는 생체인식정보(민감정보)임이 명확하다.
아울러 피심인이 , 등 다양한 비식별화와 원본 파기 등을 했다고 주장하나, 이는 생체인식정보 등 민감정보 처리시 당연히 요구되는 암호화 등 안전조치 의무에 해당하며, 민감정보로서 정보주체에게 별도로 동의를 받아야 하는 등 생체인식정보를 수집ㆍ이용하기 위한 요건의 충족과는 관련이 없다.
특히, 유출사고 등 발생 시 변경이 불가능해 개인정보보호 관점에서 매우 위험할 수 있는 생체인식정보를 단순히 영문 ' ’ 동의란에 기입토록 한 행위를 두고 국내 정보주체의 유효한 동의를 거쳐 적법하게 처리하고 있다고 하는 주장 또한 인정할 수 없다.
2. 국외 이전의 적법 근거
피심인은 국외 사업자로서 를 국외에서 직접 수집하므로 개인정보가 국외로 이전되는 것이 아니하고 주장하며, 설령 개인정보의 국외 이전에 해당하더라도 현재는 법정 고지사항을 처리방침에 공개하는 등 개인정보( 등)를 적법하게 국외로 이전하고 있다고 주장한다.
특히, 피심인의 사업 구조상 의 생성ㆍ인증 업무는 정보주체와의 계약 체결ㆍ이행을 위하여 필수적이며, 해당 업무는 피심인의 국가 서버에서 진행되어야 하므로 피심인이 국외 사업자인 점을 고려할 때, 국외 이전이 예상 가능한 합리적인 범위를 벗어난다고 보기 어렵다고 주장한다.
그러나, 피심인은 국내 이용자의 개인정보를 다른 국외 사업자( ,
등)에게 처리위탁 및 보관하고 있으며, 이는 보호법상 명백히
개인정보의 국외 이전에 해당한다.
특히, 위원회 조사 시점에는 개인정보의 국외 이전 관련 보호법상 고지사항이 전부 누락되어 있었으며,
<img src="/LSW/flDownload.do?flSeq=150222451" alt="6번째 이미지"></img>
일부 개선된 개인정보 처리방침에도 (이전되는) 개인정보의 항목을 '
’로, (이전받는 자의) 이용 목적 및 보유ㆍ이용기간을 각각 '이용자에게 서비스를 제공하기 위하여’, '처리방침에 정의된 목적달성 시까지’ 등으로 기재하는 등 고지 내용이 미흡한바, 현재는 개인정보를 적법하게 국외로 이전하고 있다고 하는 주장 또한 인정할 수 없다.
3. 과징금 산정 관련
피심인은 자신이 영리 목적이 없고 위반행위를 통해 어떠한 이득도 취한 바 없으며, 과징금 부과 원인이 되는 2개의 위반행위(각주:적법 근거 없이 민감정보를 처리한 행위, 적법 근거 없이 개인정보를 국외로 이전한 행위) 는 ' 처리’라는 하나의 행위에 해당하므로「개인정보보호 법규 위반에 대한 과징금 부과기준(각주:개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)) 」(이하 '과징금 부과기준’) 제5조제2항(각주:하나의 행위가 2 이상의 위반행위에 해당하는 경우에는 각 위반행위 별로 산정된 과징금 중 가장 큰 금액을 기준으로 과징금을 부과한다.) 에 따라 각 위반행위 별로 산정된 과징금 중 더 높은 금액의 과징금만 부과되어야 한다고 주장한다.
피심인은 비영리법인으로 매출은 자산 성격인 를 에 따라
( , )에게 제공하는 과정등에서 발생한 것이며, 그 외 매출은 확인되지 않았다.
따라서, 외관상 피심인의 매출은 존재하나, 법인에 등을 판매한 매출은 이용자에게 제공하는 서비스 및 의 생성ㆍ수집과는 별개의 성격이며, 이는 '전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(시행령 §60의2②, 과징금 부과기준 §6③ 제2호)’ 및 '매출액이 없거나 매출액의 산정이 곤란한 경우(보호법 §64의2①)’에 해당(각주:공정거래위원회도 비영리법인인 학교법인 연세대학교에 대해 '기부금 수령’에 따라 영향을 받는 관련상품의 종류ㆍ범위를 개별적ㆍ구체적으로 판단하여야 하나, 이를 판단하기 어렵다는 이유로 정액과징금 부과(’10.5.4.)) 하므로 정액과징금을 부과한다.
<img src="/LSW/flDownload.do?flSeq=150222453" alt="7번째 이미지"></img>
한편, 보호법 제23조의 경우 민감정보를 일반 개인정보보다 엄격히 보호하고자 하는 것이 목적이고, 제28조의8의 경우 개인정보의 국외 이전 시 강화된 보호 조치를 하는 것이 목적인바, 피심인은 보호법익을 달리 하는 두 개의 의무를 위반한 것이므로,
적법 근거 없이 민감정보를 처리한 행위와 적법 근거 없이 개인정보를 국외로 이전한 행위가 ' 처리’라는 하나의 행위에 해당한다는 피심인의 주장은 인정할 수 없다.
Ⅴ. 처분 및 결정
1. 개선권고
피심인의 국내 정보주체로부터 수집한 생체인식정보(민감정보)에 대한 보호 수준을 제고하기 위해 보호법 제61조제2항에 따라 다음과 같이 개인정보 처리 실태의 개선을 권고한다.
가. 피심인은 수집 시 정보주체에게 삭제절차ㆍ방법을 함께 안내하고, 처리 과정에서 최초 수집 목적( 서비스 제공) 외로 사용되지 않도록 안전조치에 만전을 기할 것
나. 피심인은 개인정보를 국외로 처리위탁ㆍ보관할 때 보호법 제28조의8제2항 각 호의 사항을 구체적으로 개인정보 처리방침에 공개하거나, 전자우편 등의 방법으로 정보주체에게 알릴 것
다. 피심인은 가., 나.의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것
2. 시정조치 명령
개인정보 보호 및 침해 방지를 위해 피심인에 대하여 보호법 제64조제1항에 따라 다음과 같이 시정조치를 명한다.
가. 피심인은 등 민감정보 수집ㆍ이용에 대한 동의를 받을 때, 정보주체가 수집ㆍ이용 목적 등 법정 고지사항을 명확히 인지할 수 있도록 충실히 안내할 것
나. 피심인은 처분통지를 받은 날로부터 90일 이내에 가.의 시정명령 이행결과를 제출할 것
3. 과징금 부과
< 민감정보를 처리하면서 적법 근거를 갖추지 않은 사실 >
피심인의 보호법 제23조(민감정보의 처리 제한)제1항 위반행위에 대해 같은 법 제64조의2제1항제3호, 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제23조제1항 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있으며, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 과징금 산정 기준
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과 수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출 등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’매우 중대한 위반행위'로 판단한다.
2) 기준금액 산출
보호법 제64조의2제1항은 ’매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다'라고 규정하고 있고,
시행령 제60조의2제2항은 ’법 제64조의2제1항 각 호 외의 부분 단서에서 “대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다'라고 규정하고 있으며,
과징금 부과기준 제6조제3항은 '“전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(제2호)”에는 영 제60조의2제2항 각 호의 어느 하나에 해당하여 매출액이 없거나 매출액의 산정이 곤란한 경우로 본다.’라고 규정하고 있다.
피심인의 경우, 전체 매출액에서 과징금 부과기준 제7조제3항에 따라 피심인이 를 현금화하는 과정 등에서 발생한 위반행위와 관련이 없는 매출액을 제외한
결과 산정된 매출액이 없으므로, 과징금 부과기준 제6조제3항제2조에 따라 매출액의 산정이 곤란한 경우로 보고 20억원을 초과하지 않는 범위에서 과징금을 부과하며, 시행령 [별표 1의5] 2. 가. 2)에 따른 '매우 중대한 위반행위’를 적용하여 기준금액을 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=150222455" alt="8번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=150222457" alt="9번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 피심인 위반행위의 기간이 1년을 초과(’23. 4. 21. ~ )하므로 기준금액의 100분의 25에 해당하는 금액인 원을 가산한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액의 100분의 30에 해당하는 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제23조(민감정보의 처리 제한)제1항 위반행위에 대한 과징금은 같은 법 제64조의2제1항제3호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 2) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150222435" alt="10번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲한국 정보주체의 개인정보를 업무적 목적( , 기기 성능 향상 등)으로 활용하기 위해 ▲외형상 동의절차(별도 동의서, 체크박스 등)는 존재하였으나, ▲영문 처리방침 및 생체정보 수집동의서만을 활용하여 국내 정보주체가 내용을 쉽게 읽고 이해할 수 없도록 동의를 받는 등 중과실이 있음
②(부당성:중) ▲ 를 이용자 중복가입 방지 등의 목적으로만 이용하고 있다고 하나, ▲생체인식정보 처리 관련 법정 고지사항을 명확히 고지하지 않고, ▲현장에서 이용자에게 를 익명정보라고 안내하며, 처리방침에도 를 익명정보로 기재하는 등 부당성 현저
③(개인정보 유형:상) ▲민감정보( ) 건(’ . . . 기준)
④(피해규모ㆍ영향:중) ▲국내 정보주체의 건(’ . . . 기준)이 수집되었고, ▲암호화 등 생체인식정보(민감정보) 처리시 요구되는 안전조치 의무를 준수했다고 하나, ▲ 에 대한 열람ㆍ삭제 등 절차를 마련하지 않아 정보주체의 권리가 상당부분 제한됨
※ '매우 중대한 위반행위’의 경우 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침(각주:개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)) 」 제6조제1항제3호에 따라 공표명령 요건에 해당하나, 같은 조 제2항에 따라 피심인이 ▲추가피해를 방지하기 위해 조사과정에서 위반행위를 일부 시정한 점, ▲위반행위의 결과제거를 위해 노력한 점, ▲조사에 적극 협력한 점, 특히 ▲외형상 별도 동의절차가 존재하였으며, 현재는 법정 고지사항을 모두 안내하고 있는 점 등을 종합적으로 고려하여 공표명령은 하지 않음
< 개인정보를 국외로 이전하면서 적법 근거를 갖추지 않은 사실 >
피심인의 보호법 제28조의8(개인정보의 국외 이전)제1항 위반행위에 대해 같은 법 제64조의2제1항제7호, 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제28조의8제1항 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있으며, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 과징금 산정 기준
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과 수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출 등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’보통 위반행위'로 판단한다.
2) 기준금액 산출
보호법 제64조의2제1항은 ’매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다'라고 규정하고 있고,
시행령 제60조의2제2항은 ’법 제64조의2제1항 각 호 외의 부분 단서에서 “대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다'라고 규정하고 있으며,
과징금 부과기준 제6조제3항은 '“전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(제2호)”에는 영 제60조의2제2항 각 호의 어느 하나에 해당하여 매출액이 없거나 매출액의 산정이 곤란한 경우로 본다.’라고 규정하고 있다.
피심인의 경우, 전체 매출액에서 과징금 부과기준 제7조제3항에 따라 피심인이 를 현금화하는 과정 등에서 발생한 위반행위와 관련이 없는 매출액을 제외한
결과 산정된 매출액이 없으므로, 과징금 부과기준 제6조제3항제2조에 따라 매출액의 산정이 곤란한 경우로 보고 20억원을 초과하지 않는 범위에서 과징금을 부과하며, 시행령 [별표 1의5] 2. 가. 2)에 따른 '보통 위반행위’를 적용하여 기준금액을
원으로 한다.
<img src="/LSW/flDownload.do?flSeq=150222437" alt="11번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=150222439" alt="12번째 이미지"></img>
다. 1차 조정
피심인의 위반행위는 과징금 부과기준 제9조 각 호에 해당하지 않으므로, 기준금액을 가산하거나 감경하지 않는다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액의 100분의 30에 해당하는 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제28조의8(개인정보의 국외 이전)제1항 위반행위에 대한 과징금은 같은 법 제64조의2제1항제7호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 2) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인
원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150222441" alt="13번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲개인정보를 국외에 단순 보관(처리위탁)하였다고 하나, ▲한국 정보주체의 개인정보를 국외로 이전하면서 기본적인 규제를 검토ㆍ준수하지 않은 중과실이 있음
②(부당성:하) ▲서비스 특성상 이전 필요 측면이 있는 점, ▲처리위탁ㆍ보관에 관한 이전인 점 고려
③(개인정보 유형:상) ▲민감정보( ) 건
④(피해규모ㆍ영향:하) ▲국내 정보주체의 건(’ . . . 기준)이 국외로 이전되었으나, ▲별도 이용 행위 없이 국외 서버에 단순 보관
** 과징금 부과기준 제11조제5항에 따라 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버림
Ⅵ. 결론
피심인의 보호법 제23조(민감정보의 처리 제한)제1항, 제28조의8(개인정보의 국외 이전)제1항 및 제38조(권리행사의 방법 및 절차)제4항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제7호, 시행령 제60조의2(과징금의 산정기준 등), 제64조(시정조치 등)제1항, 제61조(의견제시 및 개선권고)제2항에 따라 과징금, 시정조치 명령, 개선권고를 주문과 같이 의결한다.
피심인은 이 시정명령 및 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 (이하 ' ’)의 발행ㆍ판매 및 수단 개발ㆍ보급 등 재화 또는 서비스를 제공하면서 등 개인정보를 처리하는 「개인정보 보호법」(각주:개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행)) (이하 '보호법’)상의 개인정보처리자로서 일반현황 및 최근 3년간 재무현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150222433" alt="1번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=150222443" alt="2번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회(이하 '위원회’)는 피심인이 생체정보를 무단으로 수집하고 있다는 민원 제기(각주:수집 관련 이용목적ㆍ보유기간 등에 대해 고지받지 못했으며, 삭제 절차가 없다며 조치를 요구('24.2.26., '24.3.8. 등)) 및 언론보도(각주:( , ’ . . .), ( , ' . . .)) 등에 따라 피심인의 생체정보 수집ㆍ처리 관련 사실관계 및 보호법 위반 여부를 조사하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 피심인의 업무 형태
피심인은 기기( , 이하 '기기’)를 통해 수집ㆍ생성된 '
원본 이미지’ 및 ' ’, (가상자산 지갑 앱, 이하 ' 앱’) 설치 시
생성되는 ' ID(각주:피심인이 개발ㆍ보급하는 디지털 수단으로, 이용자가 ①
② ③ 할 수 있다고 주장) ’에 대한 개인정보처리자이다.
피심인은 2023년 7월 24일 를 정식 발행하였고, 수집 논란 및
기기 오류 등으로 2024년 2월 29일 국내 수집을 일시 중단하였다가 한국어 처리방침 마련 및 ( ) 조사에 따른 조치 사항(각주:기기 인증 시 신분증 확인 등 연령 확인 절차 마련, 앱에서 및 ID를 삭제할 수 있는 기능 구현) 을 반영하여 2024년 4월 30일 국내 수집을 재개하였다.
피심인은 기기를 통해 원본 이미지를 촬영(각주:저장에 동의하지 않은 원본 이미지는 기기 내에서 삭제) 하여 를 생성하고, 이를 ' 시스템’에 전송하여 기존 와의 유사도 확인을 통해
ID의 기인증 여부를 확인하였으며, 신규 생성 여부가 확인된
및 해당 이용자의 ID(각주:해당 ID에 접근하기 위한 인증키는 이용자 기기에 저장) 를 의 별도 데이터베이스의 각각 보관하였다.
피심인의 국내 생체정보 수집과 관련한 '기기 운용’은 개 업체(각주:업체명(계약일): (’ . . .), (’ . . .), (’ . . .), (’ . . .)) 가 곳에서 수행하였으며, 현장에서 이용자 연령확인, 원본 이미지 및
수집 관련 절차 등을 안내하였다.
나. 보호법 위반 관련 사실관계
1) 생체정보 수집ㆍ이용 동의 관련
피심인은 국내 이용자에게 등을 수집ㆍ처리하면서 의 수집ㆍ이용 목적 등 법적 고지사항에 대한 동의를 받지 않았으며, 개인정보 처리방침에도 이를 '보호법상 익명정보에 해당’한다고 기재하였다.
또한 생체정보를 수집하는 현장(각주:기기를 운용하는 에 대하여 현장 조사(’24.6.5.)) 에서 기기를 통해 사진을 촬영하는 동안 사람임을 확인하고 를 산출한다고 고지할 뿐 생체정보 동의서 전문을 확인하는 등 법정 고지사항에 대해 알리는 절차는 확인되지 않았으며, 특히 담당 직원은 를 익명정보로 설명(각주:피심인이 제출한 직원 교육자료( 현장 매뉴얼)에도 '
익명데이터로 간주된다’라고 기재) 하면서 '생체정보 처리의 위험성’에 대해 안내하지 않았다.
참고로 피심인은 이용자의 '데이터 수탁(선택사항)’ 별도 동의 시,
원본 이미지도 수집(각주:국내 이용자 총 명의 원본 이미지를 수집하였으나, ’24. 3. 22. 기준 전부 삭제하였다고 소명) 하였으나, 2024년 4월 30일 국내 수집을 재개하면서 해당 기능은 비활성화하였다.
<img src="/LSW/flDownload.do?flSeq=150222445" alt="3번째 이미지"></img>
2) 개인정보의 삭제 관련
피심인은 ' ’, '계정( ID) 공개 키’ 등의 '계정 데이터’ 삭제(각주:2024년 4월 30일 국내 수집을 재개하면서 삭제 기능 도입(재가입 방지 관련 6개월 뒤 파기)) 절차를 마련하지 않았다.
3) 개인정보의 국외 이전 관련
피심인이 수집한 생체정보( 등) 및 ID 관련 데이터는
( )의 (이하 ' ’) 및 ( )의 에 이전(처리위탁ㆍ보관)되고 있으나, 피심인이 이를
개인정보 처리방침에 공개하거나 이용자에게 알린 사실은 확인되지 않았다.
<img src="/LSW/flDownload.do?flSeq=150222447" alt="4번째 이미지"></img>
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제23조제1항은 “개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.”라고 규정하면서 “정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우(제1호)”, “법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호)” 민감정보의 처리가 가능하다고 규정하고 있다.
같은 법 시행령(각주:개인정보 보호법 시행령(대통령령 제33723호, 2024. 3. 12. 일부개정, 2024. 3. 15. 시행)) (이하 '시행령’) 제18조는 “법 제23조제1항 각 호 외의 부분 본문에서 “대통령령으로 정하는 정보(민감정보)”란 다음 각 호의 어느 하나에 해당하는 정보를 말한다.”라고 규정하면서, “개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보(제3호)”를 민감정보로 규정하고 있다.
나. 보호법 제28조의8제1항은 “개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)ㆍ처리위탁ㆍ보관하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.”라고 규정하고 있으며, 제1호는 “정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우”, 제3호는 “정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우”라고 규정하면서, “제2항 각 호의 사항(각주:1. 이전되는 개인정보 항목, 2. 개인정보가 이전되는 국가, 시기 및 방법, 3. 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처를 말한다), 4. 개인정보를 이전받는 자의 개인정보 이용목적 및 보유ㆍ이용 기간, 5. 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과) 을 제30조에 따른 개인정보 처리방침에 공개한 경우(가목)”, “전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우(나목)” 개인정보의 국외이전이 가능하다고 규정하고 있다.
다. 보호법 제38조제4항은 “개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다. 이 경우 열람등요구의 방법과 절차는 해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록 하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 민감정보를 처리하면서 적법 근거를 갖추지 않은 사실
[보호법 제23조(민감정보의 처리 제한)제1항]
피심인이 이용자의 생체인식정보를 수집ㆍ처리하면서 의 수집ㆍ이용 목적 및 보유ㆍ이용 기간 등 법정 고지사항을 알리지 않은 행위는 보호법 제23조제1항 위반에 해당한다.
나. 개인정보를 국외로 이전하면서 적법 근거를 갖추지 않은 사실
[보호법 제28조의8(개인정보의 국외 이전)제1항]
피심인은 ( ) 및 ( )에 이용자의 생체정보
등 개인정보를 처리위탁 및 보관하고 있으므로, 개인정보 처리방침에 국외 이전에 관한 법정 고지사항을 공개하는 등 보호법 제28조의8제1항에서 규정한 적법 근거를 갖추어야 한다.
그러나 피심인이 개인정보의 국외 이전에 관한 법정 고지사항을 개인정보 처리방침에 공개하거나, 전자우편 등의 방법에 따라 이용자에게 알리지 않고 이용자의 개인정보를 국외로 이전한 행위는 보호법 제28조의8제1항 위반에 해당한다.
다. 개인정보의 열람등요구(삭제ㆍ처리정지 등) 방법을 마련하지 않은 사실
[보호법 제38조(권리행사의 방법 및 절차)제4항]
피심인이 기기를 통해 수집한 에 대하여 이용자로 하여금 삭제ㆍ처리정지 등 요구를 할 수 있는 방법ㆍ절차를 마련하지 않은 행위는 보호법 제38조제4항 위반에 해당한다.
Ⅳ. 피심인의 주장에 대한 검토
1. 민감정보 처리의 적법 근거
피심인은 가 ( ),
( ) ( ) 등의 비식별 처리를 거친 보호법 상의 '익명정보’로서 개인정보에 해당하지 않으며,
개인정보에 해당하더라도 피심인이 를 산출ㆍ수집하는 목적은 해당 이용자의 서비스 중복 가입(산출된 의 기존재 여부)만을 확인하기 위한 것에 불과하여, 특정 개인을 인증ㆍ식별할 목적으로 생성된 생체인식정보(민감정보)가 아닌 '일반 생체정보’로서 이를 처리하기 위한 정보주체의 별도 동의가 필요하지 않고, 설령 를 민감정보로 보더라도 동의를 거쳐 적법하게 처리하고 있다고 주장한다.
그러나, 피심인이 생성ㆍ수집한 는 개인의 신체적 특징( )에 관한 정보로서 특정 개인을 알아볼 목적(기인증 여부 검증)으로 일정한 기술적 수단(알고리즘으로 변환)을 통해 생성한 보호법상 민감정보인 생체인식정보 정의에 그대로 부합하며,
피심인은 가 원본 이미지로의 복원이 어렵다고 주장하나, 보호법상 생체인식정보의 개인(민감)정보 여부는 원본 정보로의 복원 여부를 기준으로 판단하는 것이 아니라 개개인의 유일성을 표현하는지 여부 및 이를 통해 개인을 인증ㆍ식별할 목적으로 처리되는지를 기준으로 판단하여야 한다.
또한 해당 는 기술적으로 특정 개인의 유일성을 표현(각주:이를 통해 동일한 과 다른 을 확실하게 구분 가능(피심인 제출자료)) 하고, 피심인은 실제로 이를 이용하여 이용자 중복가입 여부를 확인하고 있으며, 와 이용자의
ID가 연결되어 있어 이용자가 소유인증을 통해 본인임을 식별할 수 있다.
<img src="/LSW/flDownload.do?flSeq=150222449" alt="5번째 이미지"></img>
또한, 피심인 스스로도 개인정보 처리방침을 통해 이용자 거주지 법률에 따라
가 개인정보(또는 생체정보)로 간주될 수 있다고 한 점, 형식적으로나마 (생체인식정보 동의)를 받으려 했던 점 등을 종합했을 때, 는 생체인식정보(민감정보)임이 명확하다.
아울러 피심인이 , 등 다양한 비식별화와 원본 파기 등을 했다고 주장하나, 이는 생체인식정보 등 민감정보 처리시 당연히 요구되는 암호화 등 안전조치 의무에 해당하며, 민감정보로서 정보주체에게 별도로 동의를 받아야 하는 등 생체인식정보를 수집ㆍ이용하기 위한 요건의 충족과는 관련이 없다.
특히, 유출사고 등 발생 시 변경이 불가능해 개인정보보호 관점에서 매우 위험할 수 있는 생체인식정보를 단순히 영문 ' ’ 동의란에 기입토록 한 행위를 두고 국내 정보주체의 유효한 동의를 거쳐 적법하게 처리하고 있다고 하는 주장 또한 인정할 수 없다.
2. 국외 이전의 적법 근거
피심인은 국외 사업자로서 를 국외에서 직접 수집하므로 개인정보가 국외로 이전되는 것이 아니하고 주장하며, 설령 개인정보의 국외 이전에 해당하더라도 현재는 법정 고지사항을 처리방침에 공개하는 등 개인정보( 등)를 적법하게 국외로 이전하고 있다고 주장한다.
특히, 피심인의 사업 구조상 의 생성ㆍ인증 업무는 정보주체와의 계약 체결ㆍ이행을 위하여 필수적이며, 해당 업무는 피심인의 국가 서버에서 진행되어야 하므로 피심인이 국외 사업자인 점을 고려할 때, 국외 이전이 예상 가능한 합리적인 범위를 벗어난다고 보기 어렵다고 주장한다.
그러나, 피심인은 국내 이용자의 개인정보를 다른 국외 사업자( ,
등)에게 처리위탁 및 보관하고 있으며, 이는 보호법상 명백히
개인정보의 국외 이전에 해당한다.
특히, 위원회 조사 시점에는 개인정보의 국외 이전 관련 보호법상 고지사항이 전부 누락되어 있었으며,
<img src="/LSW/flDownload.do?flSeq=150222451" alt="6번째 이미지"></img>
일부 개선된 개인정보 처리방침에도 (이전되는) 개인정보의 항목을 '
’로, (이전받는 자의) 이용 목적 및 보유ㆍ이용기간을 각각 '이용자에게 서비스를 제공하기 위하여’, '처리방침에 정의된 목적달성 시까지’ 등으로 기재하는 등 고지 내용이 미흡한바, 현재는 개인정보를 적법하게 국외로 이전하고 있다고 하는 주장 또한 인정할 수 없다.
3. 과징금 산정 관련
피심인은 자신이 영리 목적이 없고 위반행위를 통해 어떠한 이득도 취한 바 없으며, 과징금 부과 원인이 되는 2개의 위반행위(각주:적법 근거 없이 민감정보를 처리한 행위, 적법 근거 없이 개인정보를 국외로 이전한 행위) 는 ' 처리’라는 하나의 행위에 해당하므로「개인정보보호 법규 위반에 대한 과징금 부과기준(각주:개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)) 」(이하 '과징금 부과기준’) 제5조제2항(각주:하나의 행위가 2 이상의 위반행위에 해당하는 경우에는 각 위반행위 별로 산정된 과징금 중 가장 큰 금액을 기준으로 과징금을 부과한다.) 에 따라 각 위반행위 별로 산정된 과징금 중 더 높은 금액의 과징금만 부과되어야 한다고 주장한다.
피심인은 비영리법인으로 매출은 자산 성격인 를 에 따라
( , )에게 제공하는 과정등에서 발생한 것이며, 그 외 매출은 확인되지 않았다.
따라서, 외관상 피심인의 매출은 존재하나, 법인에 등을 판매한 매출은 이용자에게 제공하는 서비스 및 의 생성ㆍ수집과는 별개의 성격이며, 이는 '전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(시행령 §60의2②, 과징금 부과기준 §6③ 제2호)’ 및 '매출액이 없거나 매출액의 산정이 곤란한 경우(보호법 §64의2①)’에 해당(각주:공정거래위원회도 비영리법인인 학교법인 연세대학교에 대해 '기부금 수령’에 따라 영향을 받는 관련상품의 종류ㆍ범위를 개별적ㆍ구체적으로 판단하여야 하나, 이를 판단하기 어렵다는 이유로 정액과징금 부과(’10.5.4.)) 하므로 정액과징금을 부과한다.
<img src="/LSW/flDownload.do?flSeq=150222453" alt="7번째 이미지"></img>
한편, 보호법 제23조의 경우 민감정보를 일반 개인정보보다 엄격히 보호하고자 하는 것이 목적이고, 제28조의8의 경우 개인정보의 국외 이전 시 강화된 보호 조치를 하는 것이 목적인바, 피심인은 보호법익을 달리 하는 두 개의 의무를 위반한 것이므로,
적법 근거 없이 민감정보를 처리한 행위와 적법 근거 없이 개인정보를 국외로 이전한 행위가 ' 처리’라는 하나의 행위에 해당한다는 피심인의 주장은 인정할 수 없다.
Ⅴ. 처분 및 결정
1. 개선권고
피심인의 국내 정보주체로부터 수집한 생체인식정보(민감정보)에 대한 보호 수준을 제고하기 위해 보호법 제61조제2항에 따라 다음과 같이 개인정보 처리 실태의 개선을 권고한다.
가. 피심인은 수집 시 정보주체에게 삭제절차ㆍ방법을 함께 안내하고, 처리 과정에서 최초 수집 목적( 서비스 제공) 외로 사용되지 않도록 안전조치에 만전을 기할 것
나. 피심인은 개인정보를 국외로 처리위탁ㆍ보관할 때 보호법 제28조의8제2항 각 호의 사항을 구체적으로 개인정보 처리방침에 공개하거나, 전자우편 등의 방법으로 정보주체에게 알릴 것
다. 피심인은 가., 나.의 조치를 개인정보보호위원회와 협의하여 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 이행 결과 및 계획을 제출할 것
2. 시정조치 명령
개인정보 보호 및 침해 방지를 위해 피심인에 대하여 보호법 제64조제1항에 따라 다음과 같이 시정조치를 명한다.
가. 피심인은 등 민감정보 수집ㆍ이용에 대한 동의를 받을 때, 정보주체가 수집ㆍ이용 목적 등 법정 고지사항을 명확히 인지할 수 있도록 충실히 안내할 것
나. 피심인은 처분통지를 받은 날로부터 90일 이내에 가.의 시정명령 이행결과를 제출할 것
3. 과징금 부과
< 민감정보를 처리하면서 적법 근거를 갖추지 않은 사실 >
피심인의 보호법 제23조(민감정보의 처리 제한)제1항 위반행위에 대해 같은 법 제64조의2제1항제3호, 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제23조제1항 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있으며, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 과징금 산정 기준
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과 수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출 등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’매우 중대한 위반행위'로 판단한다.
2) 기준금액 산출
보호법 제64조의2제1항은 ’매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다'라고 규정하고 있고,
시행령 제60조의2제2항은 ’법 제64조의2제1항 각 호 외의 부분 단서에서 “대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다'라고 규정하고 있으며,
과징금 부과기준 제6조제3항은 '“전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(제2호)”에는 영 제60조의2제2항 각 호의 어느 하나에 해당하여 매출액이 없거나 매출액의 산정이 곤란한 경우로 본다.’라고 규정하고 있다.
피심인의 경우, 전체 매출액에서 과징금 부과기준 제7조제3항에 따라 피심인이 를 현금화하는 과정 등에서 발생한 위반행위와 관련이 없는 매출액을 제외한
결과 산정된 매출액이 없으므로, 과징금 부과기준 제6조제3항제2조에 따라 매출액의 산정이 곤란한 경우로 보고 20억원을 초과하지 않는 범위에서 과징금을 부과하며, 시행령 [별표 1의5] 2. 가. 2)에 따른 '매우 중대한 위반행위’를 적용하여 기준금액을 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=150222455" alt="8번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=150222457" alt="9번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 피심인 위반행위의 기간이 1년을 초과(’23. 4. 21. ~ )하므로 기준금액의 100분의 25에 해당하는 금액인 원을 가산한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액의 100분의 30에 해당하는 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제23조(민감정보의 처리 제한)제1항 위반행위에 대한 과징금은 같은 법 제64조의2제1항제3호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 2) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150222435" alt="10번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲한국 정보주체의 개인정보를 업무적 목적( , 기기 성능 향상 등)으로 활용하기 위해 ▲외형상 동의절차(별도 동의서, 체크박스 등)는 존재하였으나, ▲영문 처리방침 및 생체정보 수집동의서만을 활용하여 국내 정보주체가 내용을 쉽게 읽고 이해할 수 없도록 동의를 받는 등 중과실이 있음
②(부당성:중) ▲ 를 이용자 중복가입 방지 등의 목적으로만 이용하고 있다고 하나, ▲생체인식정보 처리 관련 법정 고지사항을 명확히 고지하지 않고, ▲현장에서 이용자에게 를 익명정보라고 안내하며, 처리방침에도 를 익명정보로 기재하는 등 부당성 현저
③(개인정보 유형:상) ▲민감정보( ) 건(’ . . . 기준)
④(피해규모ㆍ영향:중) ▲국내 정보주체의 건(’ . . . 기준)이 수집되었고, ▲암호화 등 생체인식정보(민감정보) 처리시 요구되는 안전조치 의무를 준수했다고 하나, ▲ 에 대한 열람ㆍ삭제 등 절차를 마련하지 않아 정보주체의 권리가 상당부분 제한됨
※ '매우 중대한 위반행위’의 경우 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침(각주:개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)) 」 제6조제1항제3호에 따라 공표명령 요건에 해당하나, 같은 조 제2항에 따라 피심인이 ▲추가피해를 방지하기 위해 조사과정에서 위반행위를 일부 시정한 점, ▲위반행위의 결과제거를 위해 노력한 점, ▲조사에 적극 협력한 점, 특히 ▲외형상 별도 동의절차가 존재하였으며, 현재는 법정 고지사항을 모두 안내하고 있는 점 등을 종합적으로 고려하여 공표명령은 하지 않음
< 개인정보를 국외로 이전하면서 적법 근거를 갖추지 않은 사실 >
피심인의 보호법 제28조의8(개인정보의 국외 이전)제1항 위반행위에 대해 같은 법 제64조의2제1항제7호, 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제28조의8제1항 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있으며, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 과징금 산정 기준
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과 수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출 등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’보통 위반행위'로 판단한다.
2) 기준금액 산출
보호법 제64조의2제1항은 ’매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다'라고 규정하고 있고,
시행령 제60조의2제2항은 ’법 제64조의2제1항 각 호 외의 부분 단서에서 “대통령령으로 정하는 경우”란 다음 각 호의 어느 하나에 해당하는 경우를 말한다'라고 규정하고 있으며,
과징금 부과기준 제6조제3항은 '“전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(제2호)”에는 영 제60조의2제2항 각 호의 어느 하나에 해당하여 매출액이 없거나 매출액의 산정이 곤란한 경우로 본다.’라고 규정하고 있다.
피심인의 경우, 전체 매출액에서 과징금 부과기준 제7조제3항에 따라 피심인이 를 현금화하는 과정 등에서 발생한 위반행위와 관련이 없는 매출액을 제외한
결과 산정된 매출액이 없으므로, 과징금 부과기준 제6조제3항제2조에 따라 매출액의 산정이 곤란한 경우로 보고 20억원을 초과하지 않는 범위에서 과징금을 부과하며, 시행령 [별표 1의5] 2. 가. 2)에 따른 '보통 위반행위’를 적용하여 기준금액을
원으로 한다.
<img src="/LSW/flDownload.do?flSeq=150222437" alt="11번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=150222439" alt="12번째 이미지"></img>
다. 1차 조정
피심인의 위반행위는 과징금 부과기준 제9조 각 호에 해당하지 않으므로, 기준금액을 가산하거나 감경하지 않는다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액의 100분의 30에 해당하는 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제28조의8(개인정보의 국외 이전)제1항 위반행위에 대한 과징금은 같은 법 제64조의2제1항제7호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 2) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인
원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=150222441" alt="13번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲개인정보를 국외에 단순 보관(처리위탁)하였다고 하나, ▲한국 정보주체의 개인정보를 국외로 이전하면서 기본적인 규제를 검토ㆍ준수하지 않은 중과실이 있음
②(부당성:하) ▲서비스 특성상 이전 필요 측면이 있는 점, ▲처리위탁ㆍ보관에 관한 이전인 점 고려
③(개인정보 유형:상) ▲민감정보( ) 건
④(피해규모ㆍ영향:하) ▲국내 정보주체의 건(’ . . . 기준)이 국외로 이전되었으나, ▲별도 이용 행위 없이 국외 서버에 단순 보관
** 과징금 부과기준 제11조제5항에 따라 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버림
Ⅵ. 결론
피심인의 보호법 제23조(민감정보의 처리 제한)제1항, 제28조의8(개인정보의 국외 이전)제1항 및 제38조(권리행사의 방법 및 절차)제4항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제7호, 시행령 제60조의2(과징금의 산정기준 등), 제64조(시정조치 등)제1항, 제61조(의견제시 및 개선권고)제2항에 따라 과징금, 시정조치 명령, 개선권고를 주문과 같이 의결한다.
피심인은 이 시정명령 및 과징금 부과처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).