제2025-013-039호

안건번호 : 제2025-013-039호
안건명 : 클라우드 분야 사전 실태점검 결과에 관한 건
신청인 : 네이버클라우드 주식회사대표자 김유원
의결연월일 : 2025. 6. 11.

1. 피심인에 대하여 개인정보 보호법
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 이용사업자가 피심인의 클라우드 서비스를 이용하여 개인정보 처리시스템을 구축ㆍ운영 시 안전조치의무 준수를 위해 추가설정 및 별도 솔루션을 구독(혹은 자체개발)해야만 하는 항목을 인지할 수 있도록 피심인은 개발 문서 등을 통해 이용사업자에게 안내하는 방안을 강구해야 한다.
※ 금번 점검대상 서비스 영역(콘솔, Server, 서브넷, Cloud DB 등) 內 안전조치 기능 기준
나. 피심인은 가.의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 이용사업자가 개인정보처리시스템을 구축ㆍ운영할 수 있도록 클라우드 서비스를 제공하는 사업자로서, 피심인의 일반현황은 다음과 같다.

* 서버 등 IT 자원을 직접 구축하지 않고 네트워크에 접속하여 이용케 하는 방식
<img src="/LSW/flDownload.do?flSeq=154077269" alt="1번째 이미지"></img>
Ⅱ. 실태점검 결과

1. 점검 배경

클라우드 서비스의 경우 개인정보 안전성 확보조치를 준수하기 위한 기능이 포함되지 않으면 이를 이용하는 이용사업자(개인정보처리자)가 해당 조치를 취하기 어려운 상황이 발생할 수 있다.

※ 가령 클라우드 DB에 계정관리, 접근권한 관리, 접속기록 보존 기능 미탑재 시, 이용사업자가 해당 법상 의무 준수 곤란(DB의 기본 보안기능이므로 미탑재 시 이용사업자가 자체 개발도 곤란)

개인정보보호위원회는 클라우드 서비스 중 가상서버(Virtual Machine) 및 데이터베이스(DataBase) 인프라상 이용사업자 관점에서 응용프로그램을 구축하는 방법으로 피심인의 안전조치 기능 제공 상황을 점검(’24. 6. 28. ～ '24. 12. 20.)하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 클라우드 서비스 제공 현황

피심인은 국내의 경우 1개의 리전*을 통해 클라우드 서비스를 제공하고 있으며, 이용사업자는 콘솔(www.ncloud.com)을 통해 가상서버 및 클라우드 DB 등 인프라 자원을 구독한 후 개인정보처리시스템 구축ㆍ운용할 수 있다. 이 과정에서 피심인은 보호법에서 요구하는 보안 및 암호키관리, 접속기록보관 솔루션 등을 제공하고 있다.

* 클라우드 인프라 단위로서 하나 이상의 데이터 센터를 묶은 것

나. 클라우드 서비스 개요

클라우드 서비스란 온프레미스* 환경을 가상화 기술 등을 통해 재현한 것으로, 이용사업자가 해당 서비스를 이용하면, 직접 IT 자원(서버, 디스크, 네트워크 등)을 구매ㆍ구축하지 않고도 인프라환경 구성을 통해 웹ㆍ앱 등의 서비스를 고객에게 제공할 수 있다.

* 기업이 내부 혹은 IDC센터에 물리적인 서버 등 IT 자원을 설치하여 운영하는 방식

클라우드 서비스 제공자는 이용사업자가 클라우드 서비스를 이용할 수 있도록 콘솔을 제공하며, 이용사업자는 인터넷을 통해 콘솔에 로그인하여 클라우드 서비스를 이용할 수 있다. 이때 개인정보를 처리하는 이용사업자는 개인정보 보호법 제29조에서 요구하는 안전조치의무 준수를 위해 필요한 기능을 세 가지* 중 하나의 형태로 피심인으로부터 제공받아 이용할 수 있다.

* ① (기본(자동)) 안전조치 기능이 기본으로 제공되며, 설정이 자동으로 적용되어 있음
② (기본(조작)) 기본기능으로 제공되나, 이용사업자 환경에 맞도록 추가설정 필요
③ (별도) 별도 솔루션 구독 필요

3. 안전조치의무 준수를 위한 기능 제공 관련 사실관계

가. 기본 안전조치 설정 외 추가 설정이 필요한 경우

이용사업자가 피심인이 제공하는 기본 설정 이외에 추가 설정을 해야만 보호법상 안전조치의무를 준수할 수 있는 항목으로 등이 있었다.

나. 별도 솔루션 서비스 구독 등이 필요한 경우

이용사업자가 피심인이 제공하는 별도 솔루션 등을 이용해야 보호법상 안전조치의무 사항이 준수되는 항목으로 등이 있었다.


Ⅲ. 개선 방안

1. 관련법 규정

가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

2. 개선 방안

가. 기본 안전조치 설정 외 추가 설정이 필요한 사실 관련

접근권한 차등부여, 방화벽 설정 등은 이용사업자의 관리 영역이므로 이용사업자별 환경에 맞게 추가 설정을 해야만 한다. 따라서 피심인이 기본 설정이 아닌 추가 설정으로 서비스를 제공한 것은 법 위반은 아니나, 이용사업자가 추가 설정 없이 기본 설정 그대로 사용할 경우 보호법 위반이 될 수 있어 이용사업자가 이를 명확히 인지할 수 있도록 하는 방안이 필요하다.

나. 별도 솔루션 서비스 구독 등이 필요한 관련

피심인이 제공하는 클라우드 서비스를 이용하여 구축한 시스템은 개인정보가 아닌 일반 데이터를 처리하는 서버로도 쓸 수 있어서, 피심인이 보호법 준수에 필요한 솔루션을 모두 탑재한 채로 이용사업자에게 클라우드 서비스를 제공하는 것은 현실적으로 불가능하다. 따라서 피심인은 이용사업자가 별도 솔루션을 구독해야 법 준수할 수 있도록 서비스를 제공한 것은 법 위반은 아니나, 이용사업자가 ▲CSP 별도 솔루션 도입, ▲3rd-party 솔루션 도입, 또는 ▲자체개발(中 택1)하지 않을 경우 보호법 위반이 될 수 있어 이용사업자가 이를 명확히 인지할 수 있도록 하는 방안이 필요하다.


Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대하여 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.

가. 피심인은 이용사업자가 피심인의 클라우드 서비스를 이용하여 개인정보 처리시스템을 구축ㆍ운영 시 안전조치의무 준수를 위해 추가설정 및 별도 솔루션을 구독(혹은 자체개발)해야만 하는 항목을 인지할 수 있도록 이용사업자용 개발 문서 등을 통해 안내하는 방안을 강구해야 한다.

※ 금번 점검대상 서비스 영역(콘솔, Server, 서브넷, Cloud DB 등) 內 안전조치 기능 기준

나. 피심인은 가.의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
이상과 같은 이유로 주문과 같이 의결한다.