제2025-206-131호

안건번호 : 제2025-206-131호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 광주광역시북구청 (사업자등록번호 : )
의결연월일 : 2025. 3. 26.

1. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 피심인은 개인정보취급자들이 USB 저장매체 사용 승인 목적에 맞게 이용 하고, 관련 점검을 실시할 수 있도록 「USB메모리 등 휴대용 저장매체 보안 대책」을 개정한다.
나. 피심인은 개인정보보호책임자와 개인정보취급자들을 대상으로 개인정보 보호 교육을 정기적으로 실시한다.
다. 피심인은 가.부터 나.의 개선권고를 이행하고, 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출한다.

Ⅰ. 기초 사실
피심인은 「개인정보 보호법」(법률 제19234호, ’23.9.15.시행, 이하 '보호법’) 제2조제6호의 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=156360607" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인의 개인정보 유출신고(’24.7.4.)에 따라 사실조사를 진행(’24.8.5.~’24.12.6.)하였으며, 피심인의 보호법 위반행위와 관련된 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 가로환경관리원에 대한 임용, 임금협상 및 급여지급 등의 업무를 수행하면서 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=156360609" alt="2번째 이미지"></img>
* 「고용보험법」 제110조, 「소득세법」 제127조 및 제166조 등에 따라 고유식별정보 처리 가능
나. 개인정보 유출 관련 사실관계
1) 유출 규모 및 항목
피심인이 USB를 분실함에 따라 저장되어 있던 '가로환경관리원 명단’이 유출 되었고, 유출항목은 이름, 주민등록번호, 주소, 연락처, 임용일 등이다.
* (재직자 91명) : 성명, 주민등록번호, 주소, 연락처, 계좌번호, 임용일, 소속노조
(퇴직자 23명) : 성명, 주민등록번호, 주소, 연락처, 임용일, 퇴직일
2) 유출인지 및 대응
- ('24.6.28. 19:00~24:00) 가로환경관리원 관외출장 보고서 작성(당직실)
- ('24.6.29. 06:00) 가로환경관리원 조회 참석(지하 민방위교육장)
- ('24.6.29. 09:00~09:30) 청소행정과 사무실에서 잔무처리(별관1동 3층)
- ('24.7.1. 10:00) 작성한 보고서를 공문에 첨부하기 위해 USB 분실 의심
- (’24.7.1. 10:00 ~ 7.2. 18:00) 당직실, 이동동선 및 자택 탐색
* (’24.7.1. 19:00) USB 분실 확정(개인정보 유출 인지)
- (’24.7.4. 05:40) 개인정보 유출 통지(현직 환경관리원 조회시)
- (’24.7.4. 09:00~09:30) 정보주체에게 개인정보 유출 통지(문자ㆍ유선)
피해현황 접수창구 운영*
* ’24.11.11.까지 유출로 인한 피해상황 접수 건은 없음
- (’24.7.4. 09:28) 개인정보 유출 신고
3) 유출 경위
피심인이 ’24.6.28.(금) 야간 당직근무 중 “가로환경관리원 관외 출장보고서” 작성하고 USB에 저장*하였으나, 해당 USB를 분실**함으로써 개인정보가 유출된 것으로 추정된다.
* 노면차 운전자의 GPKI를 환경관리원 쉼터 PC로 옮기기 위해 USB에 담아갔으나, 당일 오후 출장으로 GPKI는 옮기지 못한 채 USB를 소지한 상태에서 당직근무를 실시하게 되면서, 관외출장보고서 작성을 위해 추가로 파일을 담아감
(가로환경관리원 명단, 관외출장보고서, 노면차 운전자 및 본인의 GPKI)
** 6.29.~7.1. 사이에 USB를 분실한 것으로 추정함(엑셀파일은 암호화했다고 소명)
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보의 안전성 확보 조치를 소홀히 한 행위
피심인 소속 청소행정과 직원은 ’24.6.28.(당직근무일)부터 ’24.7.1. 사이 이동 중에 '가로환경관리원 명단’이 담긴 USB를 분실한 사실이 있다.
나. 해당 직원이 일반 USB를 사용할 수 있었던 이유
피심인은 인사이동 기간동안 USB 저장매체 보안정책을 일시적으로 해제해 오고 있었으며, ’24.6.24.字 하반기 정기인사 시행예고*에 따라 6.28.부터 USB 저장매체 보안정책을 임시로 일괄해제하여 본 사건과 관련한 USB 역시 관리책임자 승인없이 읽기ㆍ쓰기가 가능하였다. 다만, 분실사고 발생 후 피심인은 7.4.字로 USB 일괄해제 조치를 중단하였다.
* 5급 이상 인사발표(’24.7.1.) / 6급 이하 인사발표(’24.7.8.)
4. 처분의 사전통지 및 의견 수렴
개인정보 보호위원회는 '25.1.14. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였고, 피심인은 ’25.1.22. 아래와 같이 의견을 제출하였다.
피심인은 분실 인지 직후 유출 통지ㆍ신고 이행, 피해현황 접수창구 운영 등을 즉각 실시하였고, 재발방지를 위해 휴대용 저장매체 보안정책 강화, 직원 교육 및 사례전파 등도 실시하였을 뿐 아니라, 2차 피해 상담 및 신고사례는 발견되지 않았음 등을 들어 선처를 요청하였다.
Ⅲ. 위법성 판단
1. 개인정보의 안전성 확보 조치를 소홀히 한 행위
가. 관련 법 규정
보호법 제24조제3항 및 제29조는 “개인정보처리자는 고유식별정보ㆍ개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있으며,
같은 법 시행령(대통령령 제33723호, ’23.9.15. 시행) 제21조제1항은 “법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제30조를 준용한다. 이 경우 “법 제29조”는 “법 제24조제3항”으로, “개인정보”는 “고유식별정보”로 본다.”라고, 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 해야 한다”라고 규정하며, “개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치(제7호)”를 규정하고 있고,
「개인정보의 안전성 확보조치 기준」(위원회 고시 제2023-6호, ’23.9.22. 시행, 이하 '고시’) 제10조제2항은 “개인정보처리자는 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하여야 한다.”라고, 제3항은 “개인정보처리자는 개인정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 마련하여야 한다.” 규정하고 있다.
나. 위법성 판단
피심인의 행위로 인해 개인정보가 유출된 사실은 확인되나, ①피심인은 보호법 제29조에 따라 내부관리계획 및 「USB메모리 등 휴대용 저장매체 보안대책」을 수립ㆍ시행하고 있는 점, ②직원이 실수로 휴대용 저장매체(USB)를 분실한 것까지 처리자가 완전히 통제하는 것에 한계가 있는 점, ③북구청이 피해현황 접수창구를 운영하고 있으나 ’24.11.11.까지 접수된 피해는 없는 점, ④보호법 제34조에 따른 정보주체 대상 유출 통지 및 신고를 적법하게 수행한 점 등을 종합적으로 고려할 때 안전조치의무 위반으로 처분할 만한 사항에는 해당하지 않는 것으로 판단된다.
Ⅳ. 처분 및 결정
1. 경고
피심인 소속 직원이 실수로 휴대용 저장매체(USB)를 분실함으로서 개인정보를 유출한 피심인의 행위에 대해 경고한다.
2. 개선권고
피심인이 ’24.6.28. USB 저장매체 보안정책을 일시적으로 해제한 목적과 다르게 청소행정과 소속 직원이 당직 중 업무를 위하여 USB를 사용하다 분실한 것은 개선의 여지가 있으므로
향후 유사사례 재발방지를 위해 「USB메모리 등 휴대용 저장매체 보안대책」을 수정ㆍ보완하고 이와 관련하여 소속 직원들에 대한 개인정보보호 교육을 정기적으로 실시할 것을 보호법 제61조제2항에 따라 개선권고 한다.
<img src="/LSW/flDownload.do?flSeq=156360611" alt="3번째 이미지"></img>
Ⅴ. 결론

피심인에 대하여 보호법 제61조제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다