제2025-221-429호

안건번호 : 제2025-221-429호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 신남초등학교 (사업자등록번호 : )대표자
의결연월일 : 2025. 11. 20.

1. 피심인에 대하여 다음과 같은 시정조치를 명한다.
가. 피심인은 학급편성 결과 공개 방법 및 절차에 관한 매뉴얼을 수립ㆍ시행할 것
나. 피심인은 가.의 시정조치를 이행하고, 시정명령 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 또는 계획을 제출할 것
2. 피심인의 법 위반행위에 따른 행정처분의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.

Ⅰ. 기초 사실



피심인은 「초ㆍ중등교육법」 에 따라 설립된 각급 학교로서, 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’이라 한다) 제2조제6호나목 및 같은 법 시행령 제2조제5호에 따른 공공기관에 해당하고, 보호법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=158854813" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과


1. 조사 배경

개인정보보호위원회는 피심인의 개인정보 유출신고(’25. 3. 14.)에 따라 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.



2. 행위 사실

가. 개인정보 유출 관련 사실관계

1) 유출 경위

피심인 소속 교무행정사는 '25. 2. 28. 16:50경 ’25학년도 각 학년 학급편성 계획을 출력하여 신남초 본관 1층 신발장 위에 게시하였다. 같은 날 17:15경 4학년 학생 한 명과 그 동생 한 명이 들어와 4학년 학급편성 계획을 촬영하여 부모님에게 보여주었다.


’25. 3. 1. 10:00경 자녀가 촬영한 사진을 본 학부모는 이를 학부모회장을 포함한 4명과 공유하였고, 같은 날 10:03경 학부모회장은 학부모회 담당교사에게 개인정보 유출 관련 문제를 제기하였다.

2) 유출 규모 및 항목

신남초 4학년 학생 10명의 개인정보가 유출되었다.



3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=158854815" alt="2번째 이미지"></img>
4) 후속 조치

피심인은 유출을 인지한 당일 민원대응 창구를 개설하였으며, 학급배정 알림 체계를 홈페이지를 활용한 개별 안내 방식으로 개편하였다.


Ⅲ. 위법성 판단

1. 개인정보 유출 규모 관련

'25. 2. 28. 4학년 학생은 ’25학년도 신남초 4학년으로 배정될 43명의 명단을 촬영하여 학부모에게 보여주었으나, 신남초 4학년의 경우 편성될 반이 2개( ) 뿐이고, 반 편성결과(성명, 학년, 반)은 일반적으로 공개되는 정보이며, 학부모회장도 민감정보가 포함된 학생 10명에 대해서만 문제를 제기한 점을 고려할 때, 유출 규모를 43명이 아닌 10명으로 판단하는 것이 타당하다.



2. 개인정보취급자에 대한 관리ㆍ감독 의무 및 안전성 확보조치 미흡 여부
[보호법 제28조, 제29조]

가. 관련 법 규정


보호법 제28조제1항은 “개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(개인정보 취급자)의 범위를 최소한으로 제한하고, 개인정보취급자에 대하여 적절한 관리ㆍ감독을 하여야 한다”라고 규정하고 있으며, 같은 조 제2항은 “개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다”라고 규정하고 있다.

한편, 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다. 또한 같은 법 시행령 제30조제1항제3호에서는 개인정보에 대한 접근을 통제하기 위한 조치들을 하여야 한다고 규정하고 있다.

또한, 위 법령에 따라 안전성 확보 조치에 관한 세부 기준을 정한 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호, 이하 '고시’) 제12조제2항은 “개인정보처리자는 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 개인정보의 출력ㆍ복사물을 안전하게 관리하기 위해 필요한 안전조치를 하여야 한다.”라고 규정하고 있다.

나. 위법성 판단

피심인 소속 교무행정사는 '25. 2. 28. ’25학년도 각 학년 학급편성계획을 출력하고 이를 신남초 본관 1층 신발장 위에 게시하여 개인정보가 노출되었다. 그러나 출력한 학급편성계획을 본관 1층 신발장 한 곳에만 게시한 점, 봄방학 기간 중으로 학생들이 등교하지 않는 날임에도 우연히 등교한 학생에 의해 촬영된 점, 학부모 4명에게만 노출된 점, 인지 후 학부모 및 교직원들을 대상으로 N차 유포 방지 및 개인정보보호 교육 등 후속조치를 성실히 수행한 점 등을 종합적으로 고려할 때, 안전조치의무 위반의 정도 및 정보주체에게 발생한 피해가 중대하다고 보기는 어렵다.

다만, 학급편성 결과 공개는 정기적으로 반복되는 업무라는 점을 고려하여, 피심인은 개인정보처리자로서 개인정보가 안전하게 관리될 수 있도록 보호법 제28조제1항에 따른 취급자 관리ㆍ감독을 강화할 필요가 있다고 판단된다.

Ⅳ. 처분 및 결정

1. 시정명령

피심인이 보호법 제28조제1항을 위반하여 개인정보취급자에 대한 관리ㆍ감독을 소홀히 한 행위에 대하여 보호법 제64조제1항에 따라 주문과 같이 시정조치할 것을 명한다.

2. 공표

개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 그 처분 내용 및 결과에 대하여 공표할 수 있다(보호법 제66조제1항).

피심인은 보호법 제2조제5호가목에 따른 공공기관으로서 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(개인정보보호위원회 지침, 2025. 7. 1. 시행) 제3조제1항제3호에 해당하므로 피심인에 대한 처분 내용 및 결과를 개인정보보호위원회의 인터넷 홈페이지(www.pipc.go.kr)에 1년 간 다음과 같이 공표한다.
<img src="/LSW/flDownload.do?flSeq=158854817" alt="3번째 이미지"></img>
Ⅴ. 결론

피심인의 보호법 제28조제1항 위반 행위에 대하여 같은 법 제64조제1항, 제66조제1항에 따라 주문과 같이 의결한다.

피심인은 이 행정처분에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분통지를 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.