제2025-218-373호

안건번호 : 제2025-218-373호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : (사)전국재해구호협회 (사업자등록번호 : )대표자
의결연월일 : 2025. 9. 24.

1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 1,200,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점

Ⅰ. 기초 사실

피심인은 재해구호활동 등을 수행하는 비영리법인으로 기부자의 개인정보를 처리하는 「개인정보 보호법」법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행(이하 '보호법’)에 따른 개인정보처리자에 해당한다.
<img src="/LSW/flDownload.do?flSeq=160008721" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 기부금 관리 프로그램에서 기부금 영수증을 발송하면서 프로그램 오류로 인해 중복 발송된 사실을 인지한 피심인이 유출신고('24.7.24.)해옴에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집현황

피심인은 ’25. 2. 28.(자료제출일) 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=160008723" alt="2번째 이미지"></img>
나. 개인정보 처리 위ㆍ수탁 현황

피심인은 기부자 관리를 위한 개인정보 처리를 ㈜스마트레이저에 위탁하고 있으며, 라는 시스템*을 이용하여 기부금 영수증 발급 등을 처리하고 있다.

* (주요 기능) 기부자 및 기부금 관리, 메일링 서비스, 기부금 영수증 발행 등
(운영 방식)
<img src="/LSW/flDownload.do?flSeq=160008725" alt="3번째 이미지"></img>
다. 개인정보 유출 관련 사실관계

피심인이 기부금 관리 프로그램( )에서 ’24.7.24. 기부금 영수증 전송 시, 발송이 모두 완료되기 전에 재전송하는 경우 시스템 충돌로 메일 전송 기능이 오작동*하였고 중복 발송으로 인하여 기부자의 개인정보가 유출**되었다.

*
**

※

1) (유출 내용) 기부자 25명의 개인정보*

*

2) (유출 인지 및 대응) 피심인은 시스템 오류로 인한 기부금 영수증 오발송 및 유출 사실을 인지('24.7.24.)한 후, 개인정보 포털을 통해 유출신고하고('24.7.25.) 정보주체에게 통지 및 자신의 홈페이지에 유출 사실을 게시하였다.('24.7.25.)

3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 개인정보 처리 위ㆍ수탁 계약 의무를 소홀히 한 행위

피심인은 기부금 영수증 발행 등 개인정보 처리 업무를 위탁하면서 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 등 법적 의무사항이 전부 포함된 문서로 하지 않은 사실이 있다.

4. 처분의 사전통지 및 의견수렴

개인정보보호위원회는 ’25. 5. 21. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’25. 6. 4. 법 위반사실을 인정하고 법정 의무사항이 모두 포함된 개인정보 처리 위ㆍ수탁 계약서를 작성하여 선처를 요청하는 의견과 함께 제출하였다.

Ⅲ. 위법성 판단

1. 관련법 규정

보호법 제26조제1항 및 같은 법 시행령대통령령 제34309호, 2024. 3. 12. 일부개정, 2024. 3. 15. 시행제28조제1항은 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 개인정보 처리 위ㆍ수탁에 대해 다음의 내용이 포함된 문서에 의하여야 한다고 규정하고 있다.

※ 위ㆍ수탁 문서에 필수적으로 포함되어야 하는 내용
① 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
② 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항
③ 위탁업무의 목적 및 범위
④ 재위탁 제한에 관한 사항
⑤ 개인정보에 대한 접근 제한 등 안전성 확보조치에 관한 사항
⑥ 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
⑦ 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

2. 위법성 판단

가. 개인정보 처리 위ㆍ수탁 계약 의무를 소홀히 한 행위
[보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제1항]

피심인이 기부금 영수증 발행 등 개인정보 처리 업무를 위탁하면서 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 등 법적 의무사항이 전부 포함된 문서로 하지 않은 행위는 보호법 제26조제1항, 같은 법 시행령 제28조제1항 위반에 해당한다.

*

Ⅳ. 처분 및 결정

1. 과태료 부과

피심인의 보호법 제26조제1항 위반행위에 대한 과태료는 같은 법 제75조제4항제4호, 시행령 제63조 [별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」개인정보보호위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과기준’)에 따라 다음과 같이 부과한다.

가. 기준금액

시행령 제63조 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제26조제1항 위반에 대해서는 1회 위반에 해당하는 과태료인 200만 원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=160008727" alt="4번째 이미지"></img>
나. 과태료의 가중 및 감경

1) (과태료의 가중) 과태료 부과기준 제7조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 과태료 부과기준 [별표3] 과태료의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있고, 제7조2항은 “[별표3]의 각 기준에 따른 과태료 가중 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 가중하되, 기준금액의 100분의 50을 초과할 수 없다.”라고 규정하고 있다.

피심인의 보호법 제26조제1항 위반행위는 과태료 부과지침 제7조 및 [별표3] 과태료의 가중 기준에 따라 '위반기간 2년 초과(30%이내)’에 해당하여, 기준금액의 30%을 가중한다.

2) (과태료의 감경) 과태료 부과기준 제6조제1항은 “당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 과태료 부과기준 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲개인정보처리자의 업무형태 및 규모, ▲개인정보 보호인증, ▲자율규제규약 등, ▲개인정보 보호활동, ▲조사협조, ▲자진시정 등, ▲피해회복ㆍ피해확산방지, ▲자진신고)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다. 다만, 과태료를 체납하고 있는 경우는 제외한다.”라고 규정하고 있고, 제6조제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.

피심인의 경우, 과태료 부과기준 제6조 및 [별표2] 과태료의 감경기준에 따라보호법 제26조제1항 위반행위에 대하여 '비영리법인인 점(30%이내)’, '사전통지 및 의견제출 기간 내에 위반행위를 시정 완료한 경우(20%이내)’, '일관되게 행위 사실을 인정하면서 위법성 판단에 도움 되는 자료를 제출 또는 진술하는 등 조사에 적극적으로 협력한 경우(20%이내)’에 해당하여 과태료 부과기준 제6조에 따라 기준금액의 70%를 감경한다.

다. 최종 과태료

피심인의 보호법 제26조제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 120만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=160008729" alt="5번째 이미지"></img>
Ⅴ. 결론

피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제1항 위반에 대하여 같은 법 제75조(과태료)제4항제4호에 따라 과태료 부과를 의결한다.

피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조제1항에 따라 과태료 부과 통지를 받은 날부터 60일 이내에 개인정보보호위원회에 서면으로 이의제기를 할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.