제2025-221-428호

안건번호 : 제2025-221-428호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 광주도시관리공사 (사업자등록번호 : )대표자
의결연월일 : 2025. 11. 20.

1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 600,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같은 시정조치를 명한다.
가. 피심인은 개인정보 처리업무 위탁 시 수탁업체에 대한 관리ㆍ감독 및 교육대책을 수립ㆍ시행할 것
나. 피심인은 가.의 시정조치를 이행하고, 시정명령 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 또는 계획을 제출할 것
3. 피심인의 법 위반행위에 따른 행정처분의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.

Ⅰ. 기초 사실



피심인은 「지방공기업법」 제49조와 「광주시 광주도시관리공사 설립 및 운영 조례」에 따라 설립된 지방공사로서, 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’이라 한다) 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158854775" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과



1. 조사 배경

개인정보보호위원회는 피심인의 개인정보 유출신고(’24. 3. 12.)에 따라 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.



2. 행위 사실

가. 개인정보 처리업무 위ㆍ수탁 현황

1) 위ㆍ수탁 계약

피심인은 「'24년 제1차 광주도시관리공사 직원채용」과 관련하여 (이하 ’수탁업체')과 개인정보 처리업무 위ㆍ수탁 계약을 맺었으며, 피심인과 수탁업체 간 체결한 ’위탁 약정서'에는 위탁업무의 목적 및 범위, 재위탁 제한, 안전성 확보조치, 목적 외 개인정보 처리제한, 수탁자에 대한 관리ㆍ감독 및 손해배상 등 보호법 제26조제1항이 정한 내용을 명시하고 있다.

2) 위탁 사실 공개

피심인은 직원채용과 관련한 개인정보 위탁 내용 및 수탁자를 피심인이 운영하는 대표 홈페이지의 개인정보 처리방침에 공개하지 않은 사실이 있다.

3) 수탁자 관리ㆍ감독

피심인은 위탁 약정서에 따라 ’24. 1. 18. 수탁업체로부터 보안각서 및 직원들의 보안서약서를 징구한 사실이 있다.

나. 개인정보 수집ㆍ이용 현황

수탁업체는 「'24년 제1차 광주도시관리공사 직원채용」과 관련하여 아래와 같이 개인정보를 수집ㆍ보관한 사실이 있다.
<img src="/LSW/flDownload.do?flSeq=158854777" alt="2번째 이미지"></img>
다. 개인정보 유출 관련 사실관계

1) 유출 경위

수탁업체 직원은 ’24. 3. 7. “ ” 파일을 이메일로 피심인 소속 채용 담당 직원에게 전달하였고, 채용 담당 직원이 첨부파일을 다운로드받는 과정에서 해당 파일이 트로이목마 바이러스에 감염되었다는 ’MS 엣지 브라우저'의 알림*이 발생하였다. 수탁업체 직원은 자신의 PC에 보관 중인 “ ” 파일이 트로이목마 바이러스에 감염된 것으로 의심되어 이를 치료하고자 바이러스토털**에 해당 파일을 게시하였다.

* 피심인 측에서 PC 백신 검사를 진행한 결과 악성코드는 탐지되지 않았음
** 정보보안 전문사이트(www.virustotal.com)로 안랩ㆍ하우리 등 정보보안 업체 및 언론사 등 대상 회원제로 운영됨

2) 유출 규모 및 항목

피심인이 바이러스토털에 “ ” 파일을 업로드하여 응시자 388명의 이름, 지원자번호, 인성검사결과, 합격여부 등 개인정보가 유출되었다.

3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=158854779" alt="3번째 이미지"></img>
Ⅲ. 위법성 판단

1. 개인정보 유출 여부 판단

「표준 개인정보 보호지침」(개인정보보호위원회 고시 제2024-1호, 이하 '고시’) 제25조는 개인정보 유출의 정의를 “법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것”으로 규정하고 있다.

수탁업체가 바이러스토털에 업로드 하였던 “ ” 파일은 유ㆍ노출 탐지 과정에서 KISA, 국정원, 경기도 및 광주시 등 공사 채용정보에 대한 접근권한이 없는 기관에도 공유된 점을 고려할 때, 응시자 388명의 개인정보는 유출되었다고 판단하는 것이 타당하다.

2. 개인정보 처리업무 위탁사실을 미공개한 행위
[보호법 제26조제2항]

가. 관련 법 규정

보호법 제26조제2항은 “개인정보의 처리 업무를 위탁하는 개인정보처리자는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.”라고 규정하고 있으며, 같은 법 시행령(대통령령 제33723호, 2023.9.15. 시행) 제28조제2항은 개인정보 처리업무를 위탁하는 개인정보처리자(위탁자)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하도록 규정하고 있다.

나. 위법성 판단

피심인이 인터넷 홈페이지의 개인정보 처리방침에 위탁업무내용과 수탁자를 공개하지 않은 행위는 보호법 제26조제2항 위반에 해당한다.

3. 개인정보 처리업무 위ㆍ수탁 관리ㆍ감독 미흡 여부
[보호법 제26조제4항]

가. 관련 법 규정

보호법 제26조제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”라고 규정하고 있다.

나. 위법성 판단

피심인은 수탁업체에 대하여 보안서약서를 징구하는 등의 기초적인 수탁업체 관리ㆍ감독을 한 사실은 인정되나, 수탁업체 직원에 대한 개인정보보호 교육, 개인정보 처리실태 점검 등의 분야에서 수탁자에 대한 관리ㆍ감독이 미흡한 부분이 있다. 따라서 피심인은 개인정보가 안전하게 관리될 수 있도록 보호법 제26조제4항에 따른 개인정보 처리업무 위탁 시 수탁업체에 대한 관리ㆍ감독 및 교육대책을 강화할 필요가 있다고 판단된다.

4. 개인정보의 안전성 확보조치 미흡 여부
[보호법 제29조]

가. 관련 법 규정

보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

나. 위법성 판단

수탁업체 소속 직원이 자신의 PC에 보관중인 “ ” 엑셀파일을 자료공유가 원칙인 바이러스토털에 업로드하여 개인정보가 유출된 사실이 있으나, 취급자의 경미한 부주의까지 처리자가 완전히 통제하는 것에는 한계가 있는 점, 국정원 및 공사의 상급기관에만 유출된 것으로 확인되는 점, 유출 통지 및 신고를 적법하게 수행한 점 등을 종합적으로 고려할 때, 개인정보처리자의 안전조치의무 위반으로 보기는 어렵다.

Ⅳ. 처분 및 결정

1. 과태료의 부과

피심인의 보호법 제26조제2항의 위반행위에 대하여 같은 법 제75조제4항제5호 및 같은 법 시행령 제63조 [별표] 제2호러목에 따라 과태료를 부과하되, 과태료 액수는 「개인정보 보호법 위반에 대한 과태료 부과기준」(개인정보보호위원회지침, 2023. 9. 15. 시행, 이하 ’과태료 부과지침')에 따라 다음과 같이 산정한다.

가. 기준금액

보호법 시행령 제63조의 [별표2]는 최근 3년 간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년 간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 피심인의 보호법 제26조제2항 위반행위 1회 위반으로 보아 과태료 부과 시 기준금액을 각 200만 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=158854781" alt="4번째 이미지"></img>
나. 과태료의 가중 및 감경

1) 과태료의 가중

과태료 부과지침 제7조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.

피심인은 보호법 제26조 제2항 위반행위는 과태료 부과지침 제7조제1항의 과태료 가중 기준에 해당하지 않아 기준금액을 유지한다.

2) 과태료의 감경

과태료 부과지침 제6조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.

피심인의 위반행위는 그 내용ㆍ정도가 경미하다고 인정되는 점, 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하여 시정 완료한 점, 일관되게 행위 사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 점을 고려하여 과태료 부과지침 제6조에 따라 기준금액의 70%를 감경한다.
<img src="/LSW/flDownload.do?flSeq=158854783" alt="5번째 이미지"></img>
다. 최종 과태료

피심인의 보호법 제26조제2항 위반 행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 60만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=158854785" alt="6번째 이미지"></img>
2. 시정명령

피심인이 보호법 제26조제4항을 위반하여 수탁업체에 대한 관리ㆍ감독을 소홀히 한 행위에 대하여 보호법 제64조제1항에 따라 주문과 같이 시정조치할 것을 명한다.

3. 공표

개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 그 처분 내용 및 결과에 대하여 공표할 수 있다(보호법 제66조제1항).

피심인은 보호법 제2조제6호나목 및 같은 법 시행령 제2조제2호에 따른 공공기관으로서 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(개인정보보호위원회 지침, 2025. 7. 1. 시행) 제3조제1항제3호에 해당하므로 피심인에 대한 처분 내용 및 결과를 개인정보보호위원회의 인터넷 홈페이지(www.pipc.go.kr)에 1년 간 다음과 같이 공표한다.
<img src="/LSW/flDownload.do?flSeq=158854787" alt="7번째 이미지"></img>
Ⅴ. 결론

피심인의 보호법 제26조제2항 및 제4항 위반행위에 대하여 보호법 제64조제1항, 제66조제1항, 제75조제4항제5호에 따라 주문과 같이 의결한다.

피심인은 이 행정처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분통지를 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.