개인정보보호위원회
심의ㆍ의결
제2025-026-306호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2025년 12월 10일
요지
안건번호 : 제2025-026-306호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 국립항공박물관 (사업자등록번호 : )
의결연월일 : 2025. 12. 10.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 국립항공박물관 (사업자등록번호 : )
의결연월일 : 2025. 12. 10.
주문
1. 피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 98,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.
가. 과 징 금 : 98,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.
이유
Ⅰ. 기초 사실
피심인은 「개인정보 보호법」(이하 '보호법’이라 한다) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제2호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=161658525" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 홈페이지 해킹으로 회원정보가 유출되었다고 유출 신고( )함에 따라 조사를 실시하였으며, 조사 결과 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 항공분야 교육서비스 제공을 위해 홈페이지를 운영하면서 ’24. 1. 20. 기준, 아래와 같이 개인정보를 수집ㆍ보유하고 있다.
<img src="/LSW/flDownload.do?flSeq=161658527" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
신원 미상의 자(이하 '해커’)는 미상의 방법으로 사전에 습득한 관리자 계정의 아이디와 비밀번호를 이용하여 경 의 관리자 페이지*에 접속한 후 회원들에게 악성 앱 주소가 포함된 건의 스미싱 문자를 박물관 교육 안내번호를 발신번호로 하여 발송 시도하였으며, 이 중 건은 전송에 성공하였다.
*
※ 해커는 본 건 유출사고 이전에도 사이 총 회 관리자 페이지에 접속한 이력이 있음
또한, 해커는 같은 날 15:30경 관리자 페이지 내 회원 관리 페이지에서 명의 회원정보를 엑셀 파일 형태로 다운로드하였다.
2) 유출 규모 및 항목
위 해커의 공격으로 피심인이 보유한 회원 명의 개인정보*가 유출되었다.
* 성명, 아이디, 연락처, 성별, 생년월일, 가입일, 주소, SMSㆍ이메일 수신 여부
3) 유출인지 및 대응
<img src="/LSW/flDownload.do?flSeq=161658529" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
피심인은 월부터 를 운영하면서 프로그램 개설 및 운영, 회원 관리, 문자메시지 발송 관리를 위해 관리자 페이지를 운영하였으며, 관리자 페이지는 관리자 계정으로 로그인 시 활성화되는 메인 홈페이지 상단의 '관리자’ 버튼을 통해 접근이 가능하였다.
피심인은 운영 초기부터 3개의 관리자 계정(admin, admin2, admin3)을 생성하여 소속 직원, 유지보수업체 및 교육 프로그램 운영 위탁업체의 직원 여 명이 위 개의 계정을 공유하여 사용한 사실이 있으며, 이용자별로 접근 권한을 차등 부여하지 않아 일부 교육 프로그램의 운영을 위탁받은 업체직원이 전체 회원 정보에 접근할 수 있었다.
또한, 피심인은 관리자 페이지에 접속할 수 있는 IP 주소를 제한하지 않았고, 외부에서도 아이디와 패스워드만으로 관리자 페이지 접속이 가능하도록 한 사실이 있다.
아울러, 피심인은 의 개인정보 접속기록 점검을 한 사실이 없으며, 피심인의 내부관리계획에 따르면 취급자가 1시간 내 20건 이상의 개인정보를 다운로드한 경우 그 사유를 확인하여야 하나, 본 건 유출 당시 명의 회원정보가 다운로드되었음에도 그 사유를 확인하지 않은 사실이 있다.
개인정보보호위원회는 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 개인정보보호위원회에 의견을 제출하였다. 피심인은 위반 사실을 모두 인정하였고, 신고인 및 세대원과 연락이 닿지 않고 있어 유출 통지 외 위반 사항을 모두 시정하였다며 정상참착을 요청하였다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 및 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법은 개인정보처리자의 안전조치의무에 관하여 제29조에서 “개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”라고 규정하고 있으며, 보호법 시행령 제30조제1항은 개인정보처리자는 '개인정보에 대한 접근 권한을 제한하기 위한 조치(제2호)’, '개인정보에 대한 접근을 통제하기 위한 조치(제3호)’ 및 '개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지 조치(제5호)’를 하여야 한다고 규정하고 있다.
한편, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2023-6호, 이하 '고시’) 제5조1항은 “개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 개인정보취급자에게만 업무 수행을 위해 필요한 최소한의 범위로 차등 부여하여야 한다”라고 규정하고 있으며, 같은 조 제4항은 “개인정보처리자는 개인정보처리시스템에 접근할 수 있는 계정을 발급하는 경우 정당한 사유가 없는 한 개인정보취급자 별로 계정을 발급하고 다른 개인정보취급자와 공유되지 않도록 하여야 한다”라고 규정하고 있다.
또한, 고시 제6조제1항제1호는 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP 주소 등으로 제한하여 인가받지 않은 접근을 제한하는 조치를 하여야 한다”고 규정하고 있으며, 같은 조 제2항은 “개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다”라고 규정하고 있다.
한편, 고시 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보의 안전성 확보 조치를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
피심인이 운영 초기부터 까지 관리자 계정을 소속 직원 및 수탁업체 직원들과 공유하고, 관리자 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하지 않고 일부 교육 프로그램의 운영을 위탁한 업체 직원들에게도 모든 회원정보에 접근 가능한 관리자 계정을 이용하도록 한 행위는 보호법 제29조, 같은 법 시행령 제30조제1항제2호 및 고시 제5조제1항ㆍ제4항 위반에 해당한다.
또한, 피심인이 이전까지 관리자 페이지에 접속 가능한 IP 주소를 제한하지 않은 행위와 이전까지 외부에서도 안전한 인증수단 적용 없이 아이디와 패스워드만으로 관리자 페이지 접속이 가능하도록 한 행위는 보호법 제29조, 같은 법 시행령 제30조제1항제3호 및 고시 제6조제1항ㆍ제2항 위반에 해당한다.
아울러 피심인이 이전까지 의 접속기록을 점검하지 않고, 내부관리계획에 따른 기준치를 초과하는 다운로드가 발생한 경우에도 그 사유를 확인하지 않은 행위는 보호법 제29조, 같은 법 시행령 제30조제1항제5호 및 고시 제8조제2항 위반에 해당한다.
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 개인정보 유출 및 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2제1항제9호, 시행령 제60조의2제6항 [별표 1의5] 및 「개인정보 보호법 위반에 대한 과징금 부과기준」(개인정보보호위원회고시 제2023-3호, 2023. 9. 15. 시행, 이하 '과징금 부과기준’)에 따라 다음과 같이 과징금을 부과한다.
가. 과징금 상한액
피심인은 보호법 제2조제6호나목 및 시행령 제2조제2호에 따른 공공기관(기타 공공기관)으로서 본 건 유출과 관련된 위반행위는 수익사업과 무관한 항공 교육 분야에서 발생하였으므로 매출액이 없거나 매출액의 산정이 곤란한 경우에 해당하는바, 보호법 제64조의2제1항 단서 및 같은 법 시행령 제60조의2제2항제1호 다목에 따라 20억 원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
보호법 시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
본 유출 사건은 피심인의 시스템의 접근 권한 관리 및 접근 통제 소홀에 기인한 것으로서, 피심인에게 위반의 고의가 있다고 보이지는 않으나 관리자 계정 공유, 관리자 페이지에 접속 가능한 IP 주소 제한 미조치, 접속기록 미점검 등 안전조치의무 이행에 전반적으로 소홀하였다는 점에서 업무상 중대한 과실이 있다고 봄이 타당하며, 위반행위의 부당성도 상당하다. 더욱이 이로 인해 유출 피해자 중 일부에게 악성 앱 경로가 포함된 스미싱 문자가 전송되는 등 정보주체에게 실질적인 피해가 발생하였다. 따라서 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
보호법 시행령 [별표 1의5] 제2호가목 2)에 따라 과징금 산정 시 기준금액은 위반행위의 중대성에 따라 산정하는바, '중대한 위반행위’의 기준금액은 2억 원 이상 7억 원 미만이며, 피심인의 경우 유출 사고 후 유출 원인 파악 및 개선 조치를 이행한 점, 유출된 정보 중 민감정보나 고유식별정보는 포함되지 않은 점, 그 밖에 개인정보 보호책임자를 지정하였으며 내부의 조직적 정황은 없는 점 등을 참작하여 그 기준금액을 200,000천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=161658531" alt="4번째 이미지"></img>
다. 1차 조정
피심인의 안전조치의무 위반행위의 기간은 월부터 까지로 2년을 초과하므로 과징금 부과기준 제9조제1항제1호나목에 따라 기준금액의 100분의 50에 해당하는 100,000천 원을 가산한다. 다만, 피심인은 이 사건 위반행위로 인하여 경제적 또는 비경제적 이득을 취한 사실이 없으므로 같은 조 제2항제1호에 따라 기준금액의 100분의 30에 해당하는 60,000천 원을 감경하고, 박물관 운영 및 연구ㆍ교육 업무를 수행하는 임직원 명, 연평균 매출액 약 원 수준의 공공기관으로 업무 형태 및 규모를 고려하여 기준금액의 100분의 50에 해당하는 100,000천 원을 감경한다.
라. 2차 조정
피심인은 이 사건 유출 사고 발생 이후 관리자 계정을 새롭게 생성하여 직원 간 공유를 중단하였고, 관리자 페이지에 접속할 수 있는 IP 주소 제한, 외부 접속 시 2차 인증수단 적용 등의 시정 조치를 이행하였으며, 조사기간 중 일관되게 행위사실을 인정하면서 조사에 적극 협력하였는바, 과징금 부과기준 제10조제2항제1호가목 및 나목의 감경 사유에 해당하므로 1차 조정을 거친 금액(140,000천 원)의 100분의 30에 해당하는 42,000천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제24조제3항 및 제29조 위반에 대하여 같은 법 제64조의2제1항제9호, 같은 법 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 위와 같이 1차 조정 및 2차 조정을 거쳐 산출한 금액인 98,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=161658533" alt="5번째 이미지"></img>
3. 공표
개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 그 처분 내용 및 결과에 대하여 공표할 수 있다(보호법 제66조제1항).
피심인은 보호법 제2조제5호가목에 따른 공공기관으로서 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(개인정보보호위원회 지침, 2025. 7. 1. 시행) 제3조제1항제3호에 해당하므로 피심인에 대한 처분 내용 및 결과를 개인정보보호위원회 인터넷 홈페이지(www.pipc.go.kr)에 1년 간 다음과 같이 공표한다.
<img src="/LSW/flDownload.do?flSeq=161658535" alt="6번째 이미지"></img>
Ⅴ. 결론
피심인의 보호법 제29조, 제34조제1항 위반 행위에 대하여 보호법 제66조제1항(결과의 공표), 제64조의2(과징금의 부과)제1항제9호에 따라 주문과 같이 의결한다.
피심인은 이 시정조치 권고에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조에 따라 그 처분이 있음을 알게 된 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 「개인정보 보호법」(이하 '보호법’이라 한다) 제2조제6호에 따른 공공기관으로, 같은 법 제2조제2호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=161658525" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 홈페이지 해킹으로 회원정보가 유출되었다고 유출 신고( )함에 따라 조사를 실시하였으며, 조사 결과 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 항공분야 교육서비스 제공을 위해 홈페이지를 운영하면서 ’24. 1. 20. 기준, 아래와 같이 개인정보를 수집ㆍ보유하고 있다.
<img src="/LSW/flDownload.do?flSeq=161658527" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
신원 미상의 자(이하 '해커’)는 미상의 방법으로 사전에 습득한 관리자 계정의 아이디와 비밀번호를 이용하여 경 의 관리자 페이지*에 접속한 후 회원들에게 악성 앱 주소가 포함된 건의 스미싱 문자를 박물관 교육 안내번호를 발신번호로 하여 발송 시도하였으며, 이 중 건은 전송에 성공하였다.
*
※ 해커는 본 건 유출사고 이전에도 사이 총 회 관리자 페이지에 접속한 이력이 있음
또한, 해커는 같은 날 15:30경 관리자 페이지 내 회원 관리 페이지에서 명의 회원정보를 엑셀 파일 형태로 다운로드하였다.
2) 유출 규모 및 항목
위 해커의 공격으로 피심인이 보유한 회원 명의 개인정보*가 유출되었다.
* 성명, 아이디, 연락처, 성별, 생년월일, 가입일, 주소, SMSㆍ이메일 수신 여부
3) 유출인지 및 대응
<img src="/LSW/flDownload.do?flSeq=161658529" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
피심인은 월부터 를 운영하면서 프로그램 개설 및 운영, 회원 관리, 문자메시지 발송 관리를 위해 관리자 페이지를 운영하였으며, 관리자 페이지는 관리자 계정으로 로그인 시 활성화되는 메인 홈페이지 상단의 '관리자’ 버튼을 통해 접근이 가능하였다.
피심인은 운영 초기부터 3개의 관리자 계정(admin, admin2, admin3)을 생성하여 소속 직원, 유지보수업체 및 교육 프로그램 운영 위탁업체의 직원 여 명이 위 개의 계정을 공유하여 사용한 사실이 있으며, 이용자별로 접근 권한을 차등 부여하지 않아 일부 교육 프로그램의 운영을 위탁받은 업체직원이 전체 회원 정보에 접근할 수 있었다.
또한, 피심인은 관리자 페이지에 접속할 수 있는 IP 주소를 제한하지 않았고, 외부에서도 아이디와 패스워드만으로 관리자 페이지 접속이 가능하도록 한 사실이 있다.
아울러, 피심인은 의 개인정보 접속기록 점검을 한 사실이 없으며, 피심인의 내부관리계획에 따르면 취급자가 1시간 내 20건 이상의 개인정보를 다운로드한 경우 그 사유를 확인하여야 하나, 본 건 유출 당시 명의 회원정보가 다운로드되었음에도 그 사유를 확인하지 않은 사실이 있다.
개인정보보호위원회는 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 개인정보보호위원회에 의견을 제출하였다. 피심인은 위반 사실을 모두 인정하였고, 신고인 및 세대원과 연락이 닿지 않고 있어 유출 통지 외 위반 사항을 모두 시정하였다며 정상참착을 요청하였다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 및 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법은 개인정보처리자의 안전조치의무에 관하여 제29조에서 “개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”라고 규정하고 있으며, 보호법 시행령 제30조제1항은 개인정보처리자는 '개인정보에 대한 접근 권한을 제한하기 위한 조치(제2호)’, '개인정보에 대한 접근을 통제하기 위한 조치(제3호)’ 및 '개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지 조치(제5호)’를 하여야 한다고 규정하고 있다.
한편, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2023-6호, 이하 '고시’) 제5조1항은 “개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 개인정보취급자에게만 업무 수행을 위해 필요한 최소한의 범위로 차등 부여하여야 한다”라고 규정하고 있으며, 같은 조 제4항은 “개인정보처리자는 개인정보처리시스템에 접근할 수 있는 계정을 발급하는 경우 정당한 사유가 없는 한 개인정보취급자 별로 계정을 발급하고 다른 개인정보취급자와 공유되지 않도록 하여야 한다”라고 규정하고 있다.
또한, 고시 제6조제1항제1호는 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP 주소 등으로 제한하여 인가받지 않은 접근을 제한하는 조치를 하여야 한다”고 규정하고 있으며, 같은 조 제2항은 “개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다”라고 규정하고 있다.
한편, 고시 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보의 안전성 확보 조치를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
피심인이 운영 초기부터 까지 관리자 계정을 소속 직원 및 수탁업체 직원들과 공유하고, 관리자 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하지 않고 일부 교육 프로그램의 운영을 위탁한 업체 직원들에게도 모든 회원정보에 접근 가능한 관리자 계정을 이용하도록 한 행위는 보호법 제29조, 같은 법 시행령 제30조제1항제2호 및 고시 제5조제1항ㆍ제4항 위반에 해당한다.
또한, 피심인이 이전까지 관리자 페이지에 접속 가능한 IP 주소를 제한하지 않은 행위와 이전까지 외부에서도 안전한 인증수단 적용 없이 아이디와 패스워드만으로 관리자 페이지 접속이 가능하도록 한 행위는 보호법 제29조, 같은 법 시행령 제30조제1항제3호 및 고시 제6조제1항ㆍ제2항 위반에 해당한다.
아울러 피심인이 이전까지 의 접속기록을 점검하지 않고, 내부관리계획에 따른 기준치를 초과하는 다운로드가 발생한 경우에도 그 사유를 확인하지 않은 행위는 보호법 제29조, 같은 법 시행령 제30조제1항제5호 및 고시 제8조제2항 위반에 해당한다.
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 개인정보 유출 및 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2제1항제9호, 시행령 제60조의2제6항 [별표 1의5] 및 「개인정보 보호법 위반에 대한 과징금 부과기준」(개인정보보호위원회고시 제2023-3호, 2023. 9. 15. 시행, 이하 '과징금 부과기준’)에 따라 다음과 같이 과징금을 부과한다.
가. 과징금 상한액
피심인은 보호법 제2조제6호나목 및 시행령 제2조제2호에 따른 공공기관(기타 공공기관)으로서 본 건 유출과 관련된 위반행위는 수익사업과 무관한 항공 교육 분야에서 발생하였으므로 매출액이 없거나 매출액의 산정이 곤란한 경우에 해당하는바, 보호법 제64조의2제1항 단서 및 같은 법 시행령 제60조의2제2항제1호 다목에 따라 20억 원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
보호법 시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
본 유출 사건은 피심인의 시스템의 접근 권한 관리 및 접근 통제 소홀에 기인한 것으로서, 피심인에게 위반의 고의가 있다고 보이지는 않으나 관리자 계정 공유, 관리자 페이지에 접속 가능한 IP 주소 제한 미조치, 접속기록 미점검 등 안전조치의무 이행에 전반적으로 소홀하였다는 점에서 업무상 중대한 과실이 있다고 봄이 타당하며, 위반행위의 부당성도 상당하다. 더욱이 이로 인해 유출 피해자 중 일부에게 악성 앱 경로가 포함된 스미싱 문자가 전송되는 등 정보주체에게 실질적인 피해가 발생하였다. 따라서 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
보호법 시행령 [별표 1의5] 제2호가목 2)에 따라 과징금 산정 시 기준금액은 위반행위의 중대성에 따라 산정하는바, '중대한 위반행위’의 기준금액은 2억 원 이상 7억 원 미만이며, 피심인의 경우 유출 사고 후 유출 원인 파악 및 개선 조치를 이행한 점, 유출된 정보 중 민감정보나 고유식별정보는 포함되지 않은 점, 그 밖에 개인정보 보호책임자를 지정하였으며 내부의 조직적 정황은 없는 점 등을 참작하여 그 기준금액을 200,000천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=161658531" alt="4번째 이미지"></img>
다. 1차 조정
피심인의 안전조치의무 위반행위의 기간은 월부터 까지로 2년을 초과하므로 과징금 부과기준 제9조제1항제1호나목에 따라 기준금액의 100분의 50에 해당하는 100,000천 원을 가산한다. 다만, 피심인은 이 사건 위반행위로 인하여 경제적 또는 비경제적 이득을 취한 사실이 없으므로 같은 조 제2항제1호에 따라 기준금액의 100분의 30에 해당하는 60,000천 원을 감경하고, 박물관 운영 및 연구ㆍ교육 업무를 수행하는 임직원 명, 연평균 매출액 약 원 수준의 공공기관으로 업무 형태 및 규모를 고려하여 기준금액의 100분의 50에 해당하는 100,000천 원을 감경한다.
라. 2차 조정
피심인은 이 사건 유출 사고 발생 이후 관리자 계정을 새롭게 생성하여 직원 간 공유를 중단하였고, 관리자 페이지에 접속할 수 있는 IP 주소 제한, 외부 접속 시 2차 인증수단 적용 등의 시정 조치를 이행하였으며, 조사기간 중 일관되게 행위사실을 인정하면서 조사에 적극 협력하였는바, 과징금 부과기준 제10조제2항제1호가목 및 나목의 감경 사유에 해당하므로 1차 조정을 거친 금액(140,000천 원)의 100분의 30에 해당하는 42,000천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제24조제3항 및 제29조 위반에 대하여 같은 법 제64조의2제1항제9호, 같은 법 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 위와 같이 1차 조정 및 2차 조정을 거쳐 산출한 금액인 98,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=161658533" alt="5번째 이미지"></img>
3. 공표
개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 그 처분 내용 및 결과에 대하여 공표할 수 있다(보호법 제66조제1항).
피심인은 보호법 제2조제5호가목에 따른 공공기관으로서 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(개인정보보호위원회 지침, 2025. 7. 1. 시행) 제3조제1항제3호에 해당하므로 피심인에 대한 처분 내용 및 결과를 개인정보보호위원회 인터넷 홈페이지(www.pipc.go.kr)에 1년 간 다음과 같이 공표한다.
<img src="/LSW/flDownload.do?flSeq=161658535" alt="6번째 이미지"></img>
Ⅴ. 결론
피심인의 보호법 제29조, 제34조제1항 위반 행위에 대하여 보호법 제66조제1항(결과의 공표), 제64조의2(과징금의 부과)제1항제9호에 따라 주문과 같이 의결한다.
피심인은 이 시정조치 권고에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조에 따라 그 처분이 있음을 알게 된 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).