개인정보보호위원회
심의ㆍ의결
제2025-201-24호
공공기관의 개인정보 보호 법규 위반행위에 대한 시정조치에 관한 건
요지
안건번호 : 제2025-201-24호
안건명 : 공공기관의 개인정보 보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 청주흥덕경찰서 (사업자등록번호 : ) 대표자
의결연월일 : 2025. 1. 8.
안건명 : 공공기관의 개인정보 보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 청주흥덕경찰서 (사업자등록번호 : ) 대표자
의결연월일 : 2025. 1. 8.
주문
1. 피심인에 대하여 다음과 같이 개선 권고한다.
가. 경찰청과 협의하여 경찰관 간 유선으로 수사 협조하는 경우에 대한 확인 절차를 내부관리계획에 마련한다.
나. 개인정보책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시한다.
다. 피심인은 개선 권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
가. 경찰청과 협의하여 경찰관 간 유선으로 수사 협조하는 경우에 대한 확인 절차를 내부관리계획에 마련한다.
나. 개인정보책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시한다.
다. 피심인은 개선 권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
이유
Ⅰ. 기초 사실
피심인은 「개인정보 보호법」(법률 제19234호, 2023.9.15. 시행, 이하 '보호법’이라 한다) 제2조제6호의 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150223483" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 개인정보 유출신고가 접수(’24.4.30.)되어 사실조사를 진행('24.8.16.∼10.24.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 2024년 8월 28일 기준 경찰청이 범죄예방 및 수사를 위해 수집한 ’ ' 정보를 이용하고 있다.
<img src="/LSW/flDownload.do?flSeq=150223485" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 규모 및 항목
피심인이 경찰관 사칭범에게 속아 유선으로 개인정보를 전달하여 총 7명의 개인정보가 유출되었고, 유출 항목은 성명, 주민등록번호, 주소이다.
2) 유출인지 및 대응
<img src="/LSW/flDownload.do?flSeq=150223487" alt="3번째 이미지"></img>
3) 유출 경위
경찰관 사칭범이 지구대에 전화를 걸어 긴급 상황이라며 주민 조회를 요청해 이에 속은 피심인이 특정인의 정보를 제공하였다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
피심인은 경찰관 사칭범에게 속아 유선으로 7명의 성명, 주민등록번호 등 개인정보를 전달한 사실이 있으며, 현장에서 이루어지는 경찰 수사의 특성을 감안할 때 이 사안과 같이 유선 전화를 통해 다른 경찰관에게 수사 관련 정보를 제공하는 경우가 앞으로도 발생할 것으로 보인다.
피심인은 내부관리계획에 개인정보 취급자의 역할 및 책임을 명시하고 있으나 다른 경찰관의 유선 협조 요청에 대한 구체적인 절차와 기준을 마련하지 않았다.
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있고, 같은 법 시행령(각주:대통령령 제34309호, 2024. 3. 15. 시행) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다.”라고 규정하며 “개인정보의 안전한 처리를 위한 다음 각 목의 내용을 포함하는 내부 관리계획의 수립ㆍ시행 및 점검(제1호)”을 규정하고 있다.
또한 「개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행) 」(이하 ’고시') 제4조제1항은 “개인정보처리자는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각 호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다.”라고 규정하며 “개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항(제3호)”을 규정하고 있다.
2. 위법성 판단
가. 유선으로 개인정보를 전달한 행위
피심인은 경찰관 사칭범에게 유선으로 7명의 개인정보를 알려준 사실이 있으나, ▲사칭범이 전직 경찰로서 경찰 용어 사용에 능숙해 쉽게 속여 발생한 데 따른 인적 과실 성격이 있는 점, ▲개인정보를 유출한 경찰관에 대한 내부 감사 후 징계위원회가 개최된 점, ▲현재까지 정보주체의 추가적인 피해 신고가 없는 점, ▲보호법에 따른 유출 통지 및 신고가 적법하게 이루어진 점, ▲사후적으로 개인정보 유출 예방 및 유출 시 대응에 관한 공문을 하달하고 전직원 교육을 실시한 점 등을 종합적으로 고려할 때, 안전조치 의무 위반으로 처분할만한 중대한 위반사항에는 해당하지 않는 것으로 판단되어 과징금 및 과태료는 부과하지 않는다.
나. 내부관리계획 상 취급자의 역할 및 책임에 대한 보완 필요
피심인은 보호법 제29조, 같은 법 시행령 제30조제1항, 「개인정보의 안전성 확보조치 기준」 제4조제1항에 따라 내부관리계획에 개인정보 취급자의 역할 및 책임을 명시하고 있으나, 현장에서 이루어지는 경찰 수사의 특성을 감안할 때 이 사안과 같이 유선 전화를 통해 다른 경찰관에게 수사 관련 정보를 제공하는 경우에 대한 구체적인 절차와 기준 마련이 필요해 보인다.
Ⅳ. 처분 및 결정
1. 개선 권고
향후 유사사례 재발방지를 위하여 보호법 제61조제2항에 따라 다음과 같이 개선 권고한다.
가. 경찰청과 협의하여 경찰관 간 유선으로 수사 협조하는 경우에 대한 확인 절차를 내부관리계획에 마련한다.
나. 개인정보책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시한다.
다. 피심인은 개선 권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
Ⅴ. 결론
피심인의 보호법 제29조에 관한 행위에 대하여 같은 법 제61조제2항에 따라에 따라 주문과 같이 의결한다.
피심인은 「개인정보 보호법」(법률 제19234호, 2023.9.15. 시행, 이하 '보호법’이라 한다) 제2조제6호의 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150223483" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 개인정보 유출신고가 접수(’24.4.30.)되어 사실조사를 진행('24.8.16.∼10.24.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 2024년 8월 28일 기준 경찰청이 범죄예방 및 수사를 위해 수집한 ’ ' 정보를 이용하고 있다.
<img src="/LSW/flDownload.do?flSeq=150223485" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 규모 및 항목
피심인이 경찰관 사칭범에게 속아 유선으로 개인정보를 전달하여 총 7명의 개인정보가 유출되었고, 유출 항목은 성명, 주민등록번호, 주소이다.
2) 유출인지 및 대응
<img src="/LSW/flDownload.do?flSeq=150223487" alt="3번째 이미지"></img>
3) 유출 경위
경찰관 사칭범이 지구대에 전화를 걸어 긴급 상황이라며 주민 조회를 요청해 이에 속은 피심인이 특정인의 정보를 제공하였다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
피심인은 경찰관 사칭범에게 속아 유선으로 7명의 성명, 주민등록번호 등 개인정보를 전달한 사실이 있으며, 현장에서 이루어지는 경찰 수사의 특성을 감안할 때 이 사안과 같이 유선 전화를 통해 다른 경찰관에게 수사 관련 정보를 제공하는 경우가 앞으로도 발생할 것으로 보인다.
피심인은 내부관리계획에 개인정보 취급자의 역할 및 책임을 명시하고 있으나 다른 경찰관의 유선 협조 요청에 대한 구체적인 절차와 기준을 마련하지 않았다.
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있고, 같은 법 시행령(각주:대통령령 제34309호, 2024. 3. 15. 시행) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다.”라고 규정하며 “개인정보의 안전한 처리를 위한 다음 각 목의 내용을 포함하는 내부 관리계획의 수립ㆍ시행 및 점검(제1호)”을 규정하고 있다.
또한 「개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행) 」(이하 ’고시') 제4조제1항은 “개인정보처리자는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각 호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다.”라고 규정하며 “개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항(제3호)”을 규정하고 있다.
2. 위법성 판단
가. 유선으로 개인정보를 전달한 행위
피심인은 경찰관 사칭범에게 유선으로 7명의 개인정보를 알려준 사실이 있으나, ▲사칭범이 전직 경찰로서 경찰 용어 사용에 능숙해 쉽게 속여 발생한 데 따른 인적 과실 성격이 있는 점, ▲개인정보를 유출한 경찰관에 대한 내부 감사 후 징계위원회가 개최된 점, ▲현재까지 정보주체의 추가적인 피해 신고가 없는 점, ▲보호법에 따른 유출 통지 및 신고가 적법하게 이루어진 점, ▲사후적으로 개인정보 유출 예방 및 유출 시 대응에 관한 공문을 하달하고 전직원 교육을 실시한 점 등을 종합적으로 고려할 때, 안전조치 의무 위반으로 처분할만한 중대한 위반사항에는 해당하지 않는 것으로 판단되어 과징금 및 과태료는 부과하지 않는다.
나. 내부관리계획 상 취급자의 역할 및 책임에 대한 보완 필요
피심인은 보호법 제29조, 같은 법 시행령 제30조제1항, 「개인정보의 안전성 확보조치 기준」 제4조제1항에 따라 내부관리계획에 개인정보 취급자의 역할 및 책임을 명시하고 있으나, 현장에서 이루어지는 경찰 수사의 특성을 감안할 때 이 사안과 같이 유선 전화를 통해 다른 경찰관에게 수사 관련 정보를 제공하는 경우에 대한 구체적인 절차와 기준 마련이 필요해 보인다.
Ⅳ. 처분 및 결정
1. 개선 권고
향후 유사사례 재발방지를 위하여 보호법 제61조제2항에 따라 다음과 같이 개선 권고한다.
가. 경찰청과 협의하여 경찰관 간 유선으로 수사 협조하는 경우에 대한 확인 절차를 내부관리계획에 마련한다.
나. 개인정보책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시한다.
다. 피심인은 개선 권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.
Ⅴ. 결론
피심인의 보호법 제29조에 관한 행위에 대하여 같은 법 제61조제2항에 따라에 따라 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).