제2025-217-350호

안건번호 : 제2025-217-350호
안건명 : 공공기관의 개인정보 보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 신용보증재단중앙회 (사업자등록번호 : )대표자
의결연월일 : 2025. 9. 10.

피심인에 대하여 다음과 같이 개선을 권고한다.
가. 피심인은 개인정보 보호에 관한 내부 규정을 정비하고 임직원 대상 개인정보 보호 교육을 정기적으로 실시할 것
나. 피심인은 가.의 개선 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 또는 계획을 제출할 것

Ⅰ. 기초 사실

피심인은 「지역신용보증재단법」 제35조에 따라 설립된 법인으로서 「개인정보 보호법」 제2조제6호나목 및 같은 법 시행령 제2조제2호에 따른 공공기관에 해당하며, 보호법 제2조제5호에 따른 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158358133" alt="1번째 이미지"></img>
한편, 지역신용보증재단은 「지역신용보증재단법」 제9조에 따라 중소벤처기업부장관의 인가를 받아 설립된 재단법인이며, 피심인은 각 지역신용보증재단을 구성원으로 하는 중소벤처기업부 산하 공공기관이다.

Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 피심인이 보호법을 위반하였다는 공익신고를 접수(’24.6.5.)하여 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집ㆍ보유 현황

피심인은 17개 지역신용보증재단과의 비상연락체계 유지 및 업무 편의성 도모를 위해 매년 전화번호부를 제작하여 각 지역신용보증재단 및 중소벤처기업부에 배포하고 있으며, ’25. 4. 7. 기준으로 아래와 같이 개인정보를 수집ㆍ보유하고 있다.
<img src="/LSW/flDownload.do?flSeq=158358135" alt="2번째 이미지"></img>
나. 개인정보 보호법 위반 공익신고 관련 사실관계

1) 신고 내용

피심인이 당사자의 동의 없이 지역신용보증재단 직원들의 개인정보를 수집하여 전화번호부를 제작하여 타 기관에 배포하였다는 공익신고가 개인정보보호위원회에 접수되었다.

2) 사실관계 확인 결과

피심인은 기관 간 비상연락체계 유지 및 업무 편의 도모를 위해 기관 설립 초기(’00년)부터 지금까지 매년 전화번호부를 제작하여 각 지역신용보증재단 및 중소벤처기업부에 배포하여 왔다. 피심인은 ’22년까지 각 지역신용보증재단으로부터 소속 직원들의 개인정보*를 제공 받아 전화번호부를 제작ㆍ갱신하였고, 그 과정에서 개별 직원의 동의를 받은 사실은 확인되지 않는다. 그러나 ’24년에는 각 지역신용보증재단에 임직원들의 개인정보 수집ㆍ이용 동의서를 징구하도록 하면서, 개인정보 수집ㆍ이용에 동의한 임직원에 한하여 이들의 개인정보를 수집한 사실이 인정되고, 이후 전화번호부 제작 업무를 중단하면서 수집한 개인정보를 파기한 사실 또한 인정된다. 한편, 피심인은 전화번호부 제작ㆍ배포 과정에서 각 지역신용보증재단에 전화번호부를 금융회사 등 타 기관으로 유출ㆍ제공하지 말 것을 안내하였고, 잠금장치가 있는 장소에 보관하면서 주기적으로 보안 점검을 실시하는 등의 개인정보 보호 조치를 이행하여 온 사실이 확인된다.

*

Ⅲ. 위법성 판단

1. 관련 법 규정

보호법 제15조제1항은 “개인정보처리자는 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우(제3호) 개인정보를 수집할 수 있으며, 그 수집 목적 범위에서 이용할 수 있다.”라고 규정하고 있고, 같은 법 제17조제1항은 “개인정보처리자는 정보주체의 동의를 받은 경우(제1호) 제15조제1항제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우(제2호)에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.”라고 규정하고 있다.

한편, 「지역신용보증재단법」 제35조제1항은 “서민의 복리 증진에 이바지하기 위하여 개인이 부담하는 채무에 대한 신용보증 업무를 수행하고, 개별 재단의 공동이익 증진과 건전한 발전을 도모하기 위하여 재단을 구성원으로 하는 신용보증재단중앙회를 둔다.”고 규정하면서, 같은 조 제3항에서 '재단의 공동사업 및 업무 개선에 관한 사항(제3호)’을 피심인의 업무로 규정하고 있다.

2. 위법성 판단

보호법 제15조제1항제1호에 따라 개인정보처리자는 당사자의 동의 없이 개인정보를 수집ㆍ이용할 수 없다. 피심인이 ’22년까지 전화번호부 제작을 위해 각 지역신용보증재단 임직원의 개인정보를 수집하면서 당사자의 동의를 받지 않은 사실은 인정된다. 그러나 신용보증업무의 원활한 수행을 위해 피심인 및 지역신용보증재단 간 연락체계 유지가 필요할 것으로 보이고, 각 지역신용보증재단은 독립된 기관으로서 대부분의 지역신용보증재단은 재단 직원을 사칭한 금융사기피해 예방을 위해 홈페이지에 직원 정보를 비공개하거나 제한적으로 공개하고 있어 별도의 비상연락망 구축 필요성이 인정된다고 볼 수 있다. 아울러, 피심인은 「지역신용보증재단법」 제35조제3항제3호에 따라 재단의 공동사업 및 업무 개선에 관한 사항을 관장하는바, 재단 업무 개선에 관한 사항에 유관기관 간 비상연락망 구축ㆍ운영이 포함된다고 볼 여지도 있다. 그렇다면 피심인이 전화번호부 제작을 위해 지역신용보증재단 임직원의 개인정보를 수집한 것은 보호법 제15조제1항제3호에 해당한다고 봄이 타당하다.

한편, 휴대전화번호의 경우 사무실 전화번호와 달리 업무와 무관한 사적 정보로서 소관 업무 수행을 위해 필요한 정보가 아니라고 볼 여지도 있으나, 일반적으로 피심인 및 지역신용보증재단의 임직원들이 업무용 휴대전화를 별도로 개설하지 않고 개인 휴대전화를 업무용으로도 이용하고 있는 점, 출장 등으로 담당자 부재 시 신속한 업무 연락의 필요성이 인정되는 점, 연락 빈도가 낮지 않은 기관 간 특수성 등을 종합적으로 고려할 때 이를 위법한 개인정보 수집ㆍ이용으로 보기는 어렵다고 할 것이다.

나아가 피심인이 ’24년에는 개인정보 수집ㆍ이용에 동의한 임직원에 한하여 개인정보를 수집하였으며, 이후 전화번호부 제작 업무를 중단하면서 수집한 개인정보를 파기하였는바, 이 역시 보호법 위반으로 보기는 어렵다고 할 것이다.

Ⅳ. 처분 및 결정

1. 개선권고

위에서 살펴본 바와 같이 피심인이 보호법 제15조제1항을 위반하여 개인정보를 수집하였다고 볼 수 없고, 특히 ’24년부터는 정보주체의 동의를 받아 개인정보를 수집하는 등 보호법을 위반하였다고 볼 수는 없다. 다만, 향후 소속 직원의 개인정보가 명확한 처리 목적 하에 필요 최소한의 범위에서 적법하고 정당하게 처리될 수 있도록 임직원 대상으로 개인정보 보호 교육을 정기적으로 실시하고 개인정보 보호에 관한 내부 규정을 정비하는 등 개인정보 보호 체계를 개선할 필요가 있다고 판단된다. 이에 보호법 제61조제2항에 따라 주문 제1항과 같이 개선 조치할 것을 권고한다.

2. 공표 면제

개인정보보호위원회는 보호법 제66조제1항에 따라 같은 법 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있다.

피심인은 보호법 제2조제6호에 따른 공공기관으로서 보호법 제61조제2항에 따른 개선권고 처분을 받았으므로 위 규정에 따라 개인정보보호위원회가 처분의 내용 및 결과를 공표할 수 있으나, 법령 위반 사실을 공개하여 사회적 경각심을 높이고 위반행위자의 의무 이행을 강제하는 공표 제도의 취지를 고려할 때 보호법 위반에 해당하지는 않으나 개인정보 보호를 위해 처리 실태의 개선이 필요하다고 판단되어 개선권고만 하는 경우에는 공표의 필요성이 비교적 크지 않다고 할 것이고, 특히 피심인의 경우 현재 전화번호부 제작 관련 업무를 전면 중단하고 이미 수집한 개인정보를 파기하는 등 개인정보 보호를 위한 조치를 적극 이행하여 향후 법 준수의 기대가능성이 높다고 보이므로 보호법 제66조제1항에 따른 공표는 면제한다.

Ⅴ. 결론

피심인에 대하여 보호법 제61조제2항에 따라 개선권고를 주문과 같이 의결한다.

피심인은 이 행정처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분 통지를 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.