제2025-217-348호

안건번호 : 제2025-217-348호
안건명 : 공공기관의 개인정보 보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 마포구 (사업자등록번호 : )대표자
의결연월일 : 2025. 9. 10.

1. 개인정보가 유출된 정보주체 1명에 대하여 적법한 개인정보 유출 통지를 하지 않은 피심인의 행위에 대해 경고한다.
2. 피심인에 대하여 다음과 같은 시정조치를 권고한다.
가. 피심인은 「마포구 개인정보보호 내부관리계획」의 이행 현황을 주기적으로 점검하고, 개인정보취급자에 대한 개인정보 보호 교육을 정기적으로 실시할 것
나. 피심인은 가.의 시정 조치를 이행하고, 시정권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 또는 계획을 제출할 것
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.

Ⅰ. 기초 사실



피심인은 「개인정보 보호법」(법률 제19234호, 2023.9.15. 시행, 이하 '보호법’이라 한다) 제2조제6호가목에 따른 공공기관으로, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158358119" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과




1. 조사 배경



개인정보보호위원회는 피심인의 개인정보 유출신고(’23.6.29.)에 따라 조사를 실시하였으며, 조사 결과 다음과 같은 사실을 확인하였다.




2. 행위 사실



가. 개인정보 유출 관련 사실관계



1) 유출 경위



피심인 소속의 운영 담당자( )는 ’24. 6. 27. 18:30경 출장 중에 업무용 휴대전화를 분실하였다. 는 평소 자원봉사자의 신분 확인 및 실비 지급을 위해 현장에서 신분증을 열람하고, 신분증을 지참하지 않은 사람의 경우에는 이메일이나 문자로 주민등록번호 뒷자리가 가려진 신분증 사진을 전송 받아 확인하는 식으로 업무를 수행해 왔는데, 분실한 의 업무용 휴대전화에는 전송 받은 자원봉사자 8명의 신분증 사진이 저장되어 있었으며, 해당 휴대전화는 화면 잠금 설정이 되어 있지 않았다. 이로 인해 자원봉사자들의 개인정보가 유출되었다.

2) 유출 규모 및 항목

피심인의 업무용 휴대전화 분실로 자원봉사자 8명의 성명, 주소, 생년월일 및 2명의 자동차운전면허번호가 유출되었다.

3) 유출인지 및 대응

피심인은 ’24. 6. 28. 11:50경 휴대전화 분실 및 개인정보 유출 사실을 인지하였고, 다음 날인 ’24. 6. 29. 15:10경 개인정보 유출 신고를 하였다. 아울러, 같은 날 개인정보가 유출된 정보주체 8명에게 문자 및 유선으로 개인정보 유출 통지를 하였는데, 그 중 1명은 전화를 받지 않고 문자 전송도 실패하는 등 연락이 닿지 않아 개별 통지를 하지 못하였으며, 그 외 홈페이지 게시 등 유출 통지를 갈음하는 별도의 조치를 이행한 사실은 없다. 다만, 개인정보보호위원회가 ’25. 8. 5. 이 사건 처분에 관한 사전통지를 하자 ’25. 8. 8. 나머지 1명에 대해서도 문자 발송 및 유선으로 유출 통지를 이행하였다.
<img src="/LSW/flDownload.do?flSeq=158358121" alt="2번째 이미지"></img>
Ⅲ. 위법성 판단

1. 개인정보취급자에 대한 관리ㆍ감독 의무 및 안전조치의무
[보호법 제28조, 제24조제3항ㆍ제29조]

가. 관련 법 규정

보호법 제28조제1항은 “개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(개인정보 취급자)의 범위를 최소한으로 제한하고, 개인정보취급자에 대하여 적절한 관리ㆍ감독을 하여야 한다”라고 규정하고 있으며, 같은 조 제2항은 “개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다”라고 규정하고 있다.

한편, 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있으며, 특히 고유식별정보에 관하여는 같은 법 제24조제3항에서 “개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다”라고 규정하고 있다. 이에 따라 같은 법 시행령(대통령령 제33723호, 2023.9.15. 시행) 제30조제1항은 개인정보처리자는 '개인정보에 대한 접근을 통제하기 위하여 필요한 조치(제3호)’를 하여야 한다고 규정하면서, 같은 영 제21조에서 “법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제30조를 준용한다”라고 규정하고 있다.

또한, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호, 2023.9.22. 시행, 이하 '고시’) 제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다.”라고 규정하고 있다.

나. 위법성 판단

피심인 소속 공무원이 업무용 휴대전화를 분실하여 휴대전화에 저장된 자원봉사자들의 신분증 사진이 유출된 사실은 인정된다. 그러나 피심인은 ’17.2월부터 '마포구 개인정보보호 내부관리계획’ 제13조제5항에 업무용 모바일 기기에 비밀번호 설정 등 보호조치를 하도록 규정하고 있었으며, 인사 발령에 따른 담당자 변경에 대응하여 주기적으로 공문이나 새올 게시판 등을 통해 관련 규정 준수를 안내ㆍ독려하는 등 개인정보취급자를 관리ㆍ감독한 사실 역시 인정된다. 그럼에도 불구하고 일선 부서에서 업무용 휴대전화를 화면 잠금 설정 없이 이용하다 분실한 것은 개인정보취급자의 부주의에 의한 인적 과실로서 개인정보처리자의 완전 통제에 한계가 있는 점, 피심인은 휴대전화 분실 후 즉시 유출 신고 및 분실 신고, 위치 추적 등의 회수 노력을 기울인 점 등을 고려할 때, 개인정보처리자의 안전조치의무 위반으로 보기는 어렵다.

다만, 피심인의 내부관리계획 제13조제5항에도 불구하고 일선 부서에서 업무용 휴대전화에 비밀번호를 설정하지 않고 이용하다 분실하는 등 개인정보취급자의 이행 실태 점검 등 실질적인 관리ㆍ감독이 미흡한 측면이 있는바, 피심인은 개인정보처리자로서 개인정보가 안전하게 관리될 수 있도록 보호법 제28조제1항에 따른 취급자 관리ㆍ감독을 강화할 필요가 있다고 판단 된다.



2. 개인정보 유출 등의 통지 의무
[보호법 제34조제1항]

가. 관련 법 규정

보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 ”유출등“이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다”라고 규정하고 있으며, 같은 법 시행령 제39조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다”라고 규정하고 있고, 같은 조 제3항은 “제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항을 통지를 갈음할 수 있다”라고 규정하고 있다.

나. 위법성 판단

피심인이 개인정보 유출 사실을 인지한 후 72시간 이내에 유출 피해자 8명 중 7명에 대하여 유출 통지를 한 사실은 인정되나, 나머지 1명의 경우 유출 통지 기한 내 통지를 하지 못하였음에도 불구하고 인터넷 홈페이지에 30일 이상 유출 통지문을 게시하는 등 유출 통지를 갈음하는 조치를 이행하지 않은 것은 보호법 제34조제1항 위반에 해당한다.

Ⅳ. 처분 및 결정

1. 과태료의 면제 및 경고

피심인이 개인정보가 유출된 모든 정보주체에게 보호법 제34조제1항에 따라 72시간 이내에 이행하지 않은 것은 같은 법 제75조제2항제17호에 따라 과태료 부과 대상이나, 피심인이 유출 피해자 8명 중 7명에 대해서는 72시간 내 유출 통지를 하였고, 나머지 1명은 수차례 시도에도 불구하고 연락이 닿지 않아 통지하지 못한 점, 현재까지 유출로 인한 2차 피해가 확인되지 않은 점, 이 사건 처분의 사전통지를 받은 후 나머지 1명에 대한 유출 통지도 완료한 점 등을 고려할 때, 위반의 내용 및 정도가 경미하다고 볼 수 있으므로 같은 조 제5항에 따라 과태료를 부과하지 아니 하되, 「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제21조제3호에 따라 경고한다.

2. 시정권고

피심인이 보호법 제28조제1항을 위반하여 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 행위에 대하여 보호법 제64조제3항에 따라 주문 제2항과 같이 시정조치할 것을 권고한다.

3. 공표

개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 그 처분 내용 및 결과에 대하여 공표할 수 있다(보호법 제66조제1항).

피심인은 보호법 제2조제5호가목에 따른 공공기관으로서 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(개인정보보호위원회 지침, 2025. 7. 1. 시행) 제3조제1항제3호에 해당하므로 피심인에 대한 처분 내용 및 결과를 개인정보보호위원회의 인터넷 홈페이지(www.pipc.go.kr)에 1년 간 다음과 같이 공표한다.
<img src="/LSW/flDownload.do?flSeq=158358123" alt="3번째 이미지"></img>
Ⅴ. 결론

피심인의 보호법 제28조 및 제34조제1항 위반 행위에 대하여 같은 법 제64조제3항(시정권고), 제66조제1항(공표) 및 제75조제5항에 따라 주문과 같이 의결한다.

피심인은 이 행정처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분 통지를 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.