개인정보보호위원회
심의ㆍ의결
제2025-223-471호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2025년 12월 10일
요지
안건번호 : 제2025-223-471호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 강원특별자치도교육청 (사업자등록번호 : )강원특별자치도 춘천시 영서로 2854대표자
의결연월일 : 2025. 12. 10.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 강원특별자치도교육청 (사업자등록번호 : )강원특별자치도 춘천시 영서로 2854대표자
의결연월일 : 2025. 12. 10.
주문
1. 피심인에 대하여 다음과 같이 과태료를 부과한다.
가. 과 태 료 : 6,900,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같은 시정조치를 권고한다.
가. 피심인은 ’23.11.30.자 ’23년 일반건강진단 실시 독려 및 행정사항 안내' 공문 시행으로 개인정보가 유출된 정보주체 5,207명에게 「개인정보 보호법」제34조제1항에 따라 유출 통지를 할 것
나. 피심인은 가.의 시정조치를 이행하고, 시정권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출할 것
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.
가. 과 태 료 : 6,900,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같은 시정조치를 권고한다.
가. 피심인은 ’23.11.30.자 ’23년 일반건강진단 실시 독려 및 행정사항 안내' 공문 시행으로 개인정보가 유출된 정보주체 5,207명에게 「개인정보 보호법」제34조제1항에 따라 유출 통지를 할 것
나. 피심인은 가.의 시정조치를 이행하고, 시정권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출할 것
3. 피심인의 법 위반행위 내용 및 결과를 개인정보보호위원회 홈페이지에 1년간 공표한다.
이유
Ⅰ. 기초 사실
피심인은 「지방교육자치에관한 법률」에 따라 설치된 지방교육행정기관으로서, 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’이라 한다) 제2조제6호가목에 따른 공공기관에 해당하며, 같은 법 제2조제5호에 따른 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=162341585" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 강원춘천경찰서의 보호법 위반 관련 과태료 사안 통보( )를 받고 피심인의 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 「산업안전보건법」제129조에 따른 사업주의 일반건강진단실시 의무 이행을 위해 아래와 같이 현업종사자의 개인정보를 처리한 사실이 있다.
<img src="/LSW/flDownload.do?flSeq=162341587" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
피심인은 산업안전보건법에 따라 현업종사자를 대상으로 매년 실시하는 일반건강진단 수검 독려를 위해 직속기관 및 교육지원청에 검진 독려 및 실시 결과 취합을 위한 공문을 시행하면서 관내 개 기관 소속 현업종사자 명의 개인정보가 포함된 '일반건강진단 인원별 실시 현황’(엑셀파일) 자료를 첨부하였다. 피심인은 위 공문에서 각 교육지원처엥 관내 공립학교(단설 유ㆍ초ㆍ중ㆍ고ㆍ특) 및 소속기관에 이첩 시행하고, 취합 결과를 도교육청에 보고할 것을 요청하였다.
위 공문을 수신한 각 교육지원청은 관내 학교에 위 공문을 이첩 시행하면서 '일반건강진단 인원별 실시현황’(엘셀파일) 자료를 그대로 첨부하였으며, 공문을 수신한 기관 중 개 기관 소속 교직원 명이 위 첨부파일에 접근함으로써 현업종사자들의 개인정보가 유출되었다. 특히, 강릉 및 양구 지역의 경우 공립학교 뿐만 아니라 일부 사립학교에도 공문이 시행되었으며, 그 중 1개교가 이를 열람하였다. 이로 인해 피심인이 관할하는 기관에 근무하는 현업종사자들의 개인정보가 유출되었다.
2) 유출 규모 및 항목
피심인이 공문에 관내 교육기관에서 근무하는 현업종사자의 개인정보가 포함된 자료를 첨부하여 시행함으로써 현업종사자 명의 성명, 소속 등 개인정보*가 유출되었으며, 그 중 명은 건강검진 결과나 기왕증 등의 건강정보까지 유출되었다.
* (필수)
(선택)
3) 유출인지 및 대응
<img src="/LSW/flDownload.do?flSeq=162341589" alt="3번째 이미지"></img>
3. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 ’25.7.24. 피심인에게 예정된 처분에 대하여 사전통지를 하였으며, 피심인은 같은 해 8.7. 담당자의 행정 착오로 발생한 사안으로서 내부망을 통해 교직원 일부만 제한적으로 열람하였고, 유출 인지 후 열람 제한 설정 등 위반행위를 자진 시정한 점 및 피심인의 개인정보 보호 노력을 참작하여 선처하여 줄 것을 요청하는 내용의 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
가. 보호법 제23조제2항, 제29조(안전조치의무)
보호법은 개인정보처리자의 안전조치의무에 관하여 제29조에서 “개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 내부 관리 계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”라고 규정하고 있으며, 특히 민감정보에 관하여는 같은 법 제23조제2항에서 “개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다”라고 규정하고 있다. 이에 따라 보호법 시행령 제30조제1항제3호다목은 “개인정보처리자는 법 제29조에 따라 개인정보에 대한 접근을 통제하기 위하여 필요한 조치를 하여야 한다.”고 규정하고 있다.
또한, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2023-6호, 이하 '고시’) 제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다”라고 규정하고 있다.
나. 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)
보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다”라고 규정하고 있으며, 같은 조 제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다”라고 규정하고 있다.
이에 따라 같은 법 시행령 제40제1항은 민감정보 또는 고유식별정보가 유출등이 된 경우 개인정보처리자는 유출 인지 후 72시간 이내에 법 제34조제1항 각 호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조제3항 전단에 따른 전문기관에 신고해야 한다고 규정하면서, 단서에서 “천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 수 있다”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보의 안전성 확보 조치를 소홀히 한 행위
[보호법 제23조제2항, 제29조]
피심인은 산업안전보건법에 따른 일반건강진단 실시 업무를 위해 관내 현업종사자들의 개인정보를 처리하는 개인정보처리자로서, 보호법 제29조에 따라 자신이 처리하는 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 안전성 확보 조치를 할 의무를 부담한다. 그럼에도 불구하고 피심인이 개 기관에 소속된 현업종사자 명의 건강정보 등 개인정보가 포함된 자료를 일부 사립학교를 포함하여 관계기관에 일괄 발송함으로써 개인정보를 유출한 것은 보호법 제23조제2항 및 제29조, 같은 법 시행령 제30조제1항제3호다목 및 고시 제6조제3항 위반에 해당한다.
가. 개인정보 유출 신고 및 통지를 하지 않은 행위
[보호법 제34조]
개인정보처리자는 개인정보 유출이 있음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 유출 항목 등 보호법 제34조제1항 각 호의 사항을 통지하여야 하고, 보호위원회 또는 한국인터넷진흥원에 이를 신고하여야 한다. 피심인은 ’23.12.8. 개인정보 유출 사실을 인지하였음에도 현재까지 유출 통지 및 신고를 하지 않았는바, 유출 사실을 정보주체에게 통지하지 않은 행위는 보호법 제34조제1항 위반에 해당한다.
피심인은 소속 직원의 보호법 위반 관련 고발 사건이 경찰에서 불송치(혐의없음) 결정되었고, 해당 공문 및 첨부파일은 내부망을 통해 교직원만 접근 가능하였으므로 '유출’로 보기 어렵고, 유출로 보더라도 추후 열람 제한 조치로 정보주체의 권익 침해 가능성이 현저히 낮아졌다고 보아 유출 통지를 하지 않았다고 주장한다. 그러나 경찰의 불송치 결정은 형사처벌 대상이 아님을 의미하는 것에 불과하여 개인정보 유출이 아니라는 의미로 볼 수 없고, 보호법 제34조제1항 문언상 개인정보 유출을 알게 된 경우에는 유출 통지를 하여야 하므로 피심인의 위 주장은 받아들이지 아니한다.
다만, 유출 신고의 경우에는 보호법 시행령 제40조제1항 단서에 해당하는 경우 신고하지 않을 수 있는바, 이 사건의 경우 유출 경로가 확인되었고, 관내 기관의 문서 접수 담당자 등 일부 교직원에게만 제한적으로 열람되었으며, 유출 인지 후 열람 제한 조치 등을 통해 회수된 점 등을 고려할 때 신고하지 않을 수 있는 경우에 해당한다고 판단된다.
Ⅳ. 처분 및 결정
1. 과징금 면제
피심인이 보호법 제23조제2항 및 제29조를 위반하여 개인정보를 유출한 것은 같은 법 제64조의2제1항제9호에 따라 과징금 부과 대상이나, 문제가 된 공문은 내부망을 통해 관계기관의 업무 담당자 등 교직원 일부만 열람하여 개인정보가 공중에 널리 유출된 것은 아니고, 유출 사고 발생 사실을 인지한 후 즉시 문서 열람 제한 등 자진 시정 조치를 한 점 등을 종합적으로 고려할 때, 같은 조 제5항제3호에 따라 과징금을 부과하지 아니한다.
2. 과태료의 부과
피심인의 보호법 제23조제2항 및 제29조 위반행위에 대하여는 같은 법 제75조제2항제5호 및 같은 법 시행령 제63조 [별표2] 제2호아목에 따라, 보호법 제34조제1항 위반행위에 대하여는 같은 법 제75조제2항제17호 및 같은 법 시행령 제63조 [별표2] 제2호노목에 따라 과태료를 각 부과하되, 각 위반행위에 대한 과태료 액수는 「개인정보 보호법 위반에 대한 과태료 부과기준」(개인정보보호위원회지침, 2023. 9. 15. 시행, 이하 '과태료 부과지침’)에 따라 다음과 같이 산정한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년 간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년 간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 피심인의 보호법 제23조제2항ㆍ제29조 및 제34조제1항 위반행위 모두 1회 위반으로 보아 과태료 부과 시 기준금액을 각 600만 원으로 한다.
< 과태료 부과기준 >
<img src="/LSW/flDownload.do?flSeq=162341591" alt="4번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조제1항은 “당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 보호법 제23조제2항 및 제29조 위반행위는 과태료 부과지침 제7조제1항에 따른 가중 기준에 해당하지 않아 기준금액을 유지하되, 보호법 제34조제1항 위반행위는 유출 통지 의무 발생이로부터 72시간이 경과한 ’23.12.11.부터 1년 11개월이 경과한 현재까지 위반 상태가 계속되고 있으므로 과태료 부과지침 [별표3] 제2홍의 가중기준 중 '위반기간’ 2.(법 위반 상태의 기간이 1년 초과 2년 이내인 경우)에 따라 기준금액 600만 원의 15%를 가중한다.
<img src="/LSW/flDownload.do?flSeq=162341593" alt="5번째 이미지"></img>
2) 과태료의 감경
과태료 부과지침 제6조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
① 보호법 제23조제2항 및 제29조(안전조치의무) 위반에 대하여
피심인은 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하여 시정 완료한 점, 일관되게 행위 사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 점, 해당 공문은 내부망을 통해 관계기관 업무담당자 일부에게 제한적으로 노출되었고, 인지 후 열람 제한 등 회수 조치된 점 등을 고려하여 과태료 부과지침 제6조에 따라 기준금액의 75%를 감경한다.
<img src="/LSW/flDownload.do?flSeq=162341595" alt="6번째 이미지"></img>
② 보호법 제34조제1항(유출통지의무) 위반에 대하여
피심인은 개인정보 유출 사실을 정보주체에게 통지할 의무가 있음에도 자의적인 판단에 따라 현재까지 유출 통지를 하지 않았으므로 위반행위의 내용ㆍ정도가 경미하다고 볼 수 없으며, 위반 상태가 시정되었다고 볼 수도 없다. 다만, 피심인이 일관되게 행위사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 점, 사고 이후 개인정보 보호 관련 행사 개최, 위반 사례 및 유의사항의 주기적인 전파, 개인정보책임자 및 취급자에 대한 교육 등 개인정보 보호를 위해 상당히 노력한 점을 고려하여 과태료 부과지침 제6조에 따라 기준금액의 25%를 감경한다.
<img src="/LSW/flDownload.do?flSeq=162341597" alt="7번째 이미지"></img>
다. 최종 과태료
피심인의 보호법 제23조제2항ㆍ제29조 위반 및 제34조제1항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 690만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=162341599" alt="8번째 이미지"></img>
3. 시정권고
피심인이 이 사건 유출 이후 현재까지 정보주체에게 보호법 제34조제1항에 따른 유출 통지를 하지 않고 있는바, 피심인에게 보호법 제64조제3항에 따라 주문과 같이 시정조치할 것을 권고한다.
4. 공표
개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 그 처분 내용 및 결과에 대하여 공표할 수 있다(보호법 제66조제1항).
피심인은 보호법 제2조제5호가목에 따른 공공기관으로서 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(개인정보보호위원회 지침, 2025. 7. 1. 시행) 제3조제1항제3호에 해당하므로 피심인에 대한 처분 내용 및 결과를 개인정보보호위원회 인터넷 홈페이지(www.pipc.go.kr)에 1년 간 다음과 같이 공표한다.
<img src="/LSW/flDownload.do?flSeq=162341601" alt="9번째 이미지"></img>
Ⅴ. 결론
피심인의 보호법 제23조제2항ㆍ제29조 위반 및 제34조제1항 위반 행위에 대하여 보호법 제75조(과태료)제2항제5호 및 같은 항 제17호, 제64조제3항(시정권고) 및 제66조(결과의 공표)제1항에 따라 주문과 같이 의결한다.
피심인은 이 시정조치 권고에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조에 따라 그 처분이 있음을 알게 된 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 「지방교육자치에관한 법률」에 따라 설치된 지방교육행정기관으로서, 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’이라 한다) 제2조제6호가목에 따른 공공기관에 해당하며, 같은 법 제2조제5호에 따른 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=162341585" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 강원춘천경찰서의 보호법 위반 관련 과태료 사안 통보( )를 받고 피심인의 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집ㆍ이용 현황
피심인은 「산업안전보건법」제129조에 따른 사업주의 일반건강진단실시 의무 이행을 위해 아래와 같이 현업종사자의 개인정보를 처리한 사실이 있다.
<img src="/LSW/flDownload.do?flSeq=162341587" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
피심인은 산업안전보건법에 따라 현업종사자를 대상으로 매년 실시하는 일반건강진단 수검 독려를 위해 직속기관 및 교육지원청에 검진 독려 및 실시 결과 취합을 위한 공문을 시행하면서 관내 개 기관 소속 현업종사자 명의 개인정보가 포함된 '일반건강진단 인원별 실시 현황’(엑셀파일) 자료를 첨부하였다. 피심인은 위 공문에서 각 교육지원처엥 관내 공립학교(단설 유ㆍ초ㆍ중ㆍ고ㆍ특) 및 소속기관에 이첩 시행하고, 취합 결과를 도교육청에 보고할 것을 요청하였다.
위 공문을 수신한 각 교육지원청은 관내 학교에 위 공문을 이첩 시행하면서 '일반건강진단 인원별 실시현황’(엘셀파일) 자료를 그대로 첨부하였으며, 공문을 수신한 기관 중 개 기관 소속 교직원 명이 위 첨부파일에 접근함으로써 현업종사자들의 개인정보가 유출되었다. 특히, 강릉 및 양구 지역의 경우 공립학교 뿐만 아니라 일부 사립학교에도 공문이 시행되었으며, 그 중 1개교가 이를 열람하였다. 이로 인해 피심인이 관할하는 기관에 근무하는 현업종사자들의 개인정보가 유출되었다.
2) 유출 규모 및 항목
피심인이 공문에 관내 교육기관에서 근무하는 현업종사자의 개인정보가 포함된 자료를 첨부하여 시행함으로써 현업종사자 명의 성명, 소속 등 개인정보*가 유출되었으며, 그 중 명은 건강검진 결과나 기왕증 등의 건강정보까지 유출되었다.
* (필수)
(선택)
3) 유출인지 및 대응
<img src="/LSW/flDownload.do?flSeq=162341589" alt="3번째 이미지"></img>
3. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 ’25.7.24. 피심인에게 예정된 처분에 대하여 사전통지를 하였으며, 피심인은 같은 해 8.7. 담당자의 행정 착오로 발생한 사안으로서 내부망을 통해 교직원 일부만 제한적으로 열람하였고, 유출 인지 후 열람 제한 설정 등 위반행위를 자진 시정한 점 및 피심인의 개인정보 보호 노력을 참작하여 선처하여 줄 것을 요청하는 내용의 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
가. 보호법 제23조제2항, 제29조(안전조치의무)
보호법은 개인정보처리자의 안전조치의무에 관하여 제29조에서 “개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 내부 관리 계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”라고 규정하고 있으며, 특히 민감정보에 관하여는 같은 법 제23조제2항에서 “개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다”라고 규정하고 있다. 이에 따라 보호법 시행령 제30조제1항제3호다목은 “개인정보처리자는 법 제29조에 따라 개인정보에 대한 접근을 통제하기 위하여 필요한 조치를 하여야 한다.”고 규정하고 있다.
또한, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2023-6호, 이하 '고시’) 제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다”라고 규정하고 있다.
나. 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)
보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다”라고 규정하고 있으며, 같은 조 제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다”라고 규정하고 있다.
이에 따라 같은 법 시행령 제40제1항은 민감정보 또는 고유식별정보가 유출등이 된 경우 개인정보처리자는 유출 인지 후 72시간 이내에 법 제34조제1항 각 호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조제3항 전단에 따른 전문기관에 신고해야 한다고 규정하면서, 단서에서 “천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 수 있다”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보의 안전성 확보 조치를 소홀히 한 행위
[보호법 제23조제2항, 제29조]
피심인은 산업안전보건법에 따른 일반건강진단 실시 업무를 위해 관내 현업종사자들의 개인정보를 처리하는 개인정보처리자로서, 보호법 제29조에 따라 자신이 처리하는 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 안전성 확보 조치를 할 의무를 부담한다. 그럼에도 불구하고 피심인이 개 기관에 소속된 현업종사자 명의 건강정보 등 개인정보가 포함된 자료를 일부 사립학교를 포함하여 관계기관에 일괄 발송함으로써 개인정보를 유출한 것은 보호법 제23조제2항 및 제29조, 같은 법 시행령 제30조제1항제3호다목 및 고시 제6조제3항 위반에 해당한다.
가. 개인정보 유출 신고 및 통지를 하지 않은 행위
[보호법 제34조]
개인정보처리자는 개인정보 유출이 있음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 유출 항목 등 보호법 제34조제1항 각 호의 사항을 통지하여야 하고, 보호위원회 또는 한국인터넷진흥원에 이를 신고하여야 한다. 피심인은 ’23.12.8. 개인정보 유출 사실을 인지하였음에도 현재까지 유출 통지 및 신고를 하지 않았는바, 유출 사실을 정보주체에게 통지하지 않은 행위는 보호법 제34조제1항 위반에 해당한다.
피심인은 소속 직원의 보호법 위반 관련 고발 사건이 경찰에서 불송치(혐의없음) 결정되었고, 해당 공문 및 첨부파일은 내부망을 통해 교직원만 접근 가능하였으므로 '유출’로 보기 어렵고, 유출로 보더라도 추후 열람 제한 조치로 정보주체의 권익 침해 가능성이 현저히 낮아졌다고 보아 유출 통지를 하지 않았다고 주장한다. 그러나 경찰의 불송치 결정은 형사처벌 대상이 아님을 의미하는 것에 불과하여 개인정보 유출이 아니라는 의미로 볼 수 없고, 보호법 제34조제1항 문언상 개인정보 유출을 알게 된 경우에는 유출 통지를 하여야 하므로 피심인의 위 주장은 받아들이지 아니한다.
다만, 유출 신고의 경우에는 보호법 시행령 제40조제1항 단서에 해당하는 경우 신고하지 않을 수 있는바, 이 사건의 경우 유출 경로가 확인되었고, 관내 기관의 문서 접수 담당자 등 일부 교직원에게만 제한적으로 열람되었으며, 유출 인지 후 열람 제한 조치 등을 통해 회수된 점 등을 고려할 때 신고하지 않을 수 있는 경우에 해당한다고 판단된다.
Ⅳ. 처분 및 결정
1. 과징금 면제
피심인이 보호법 제23조제2항 및 제29조를 위반하여 개인정보를 유출한 것은 같은 법 제64조의2제1항제9호에 따라 과징금 부과 대상이나, 문제가 된 공문은 내부망을 통해 관계기관의 업무 담당자 등 교직원 일부만 열람하여 개인정보가 공중에 널리 유출된 것은 아니고, 유출 사고 발생 사실을 인지한 후 즉시 문서 열람 제한 등 자진 시정 조치를 한 점 등을 종합적으로 고려할 때, 같은 조 제5항제3호에 따라 과징금을 부과하지 아니한다.
2. 과태료의 부과
피심인의 보호법 제23조제2항 및 제29조 위반행위에 대하여는 같은 법 제75조제2항제5호 및 같은 법 시행령 제63조 [별표2] 제2호아목에 따라, 보호법 제34조제1항 위반행위에 대하여는 같은 법 제75조제2항제17호 및 같은 법 시행령 제63조 [별표2] 제2호노목에 따라 과태료를 각 부과하되, 각 위반행위에 대한 과태료 액수는 「개인정보 보호법 위반에 대한 과태료 부과기준」(개인정보보호위원회지침, 2023. 9. 15. 시행, 이하 '과태료 부과지침’)에 따라 다음과 같이 산정한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년 간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년 간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 피심인의 보호법 제23조제2항ㆍ제29조 및 제34조제1항 위반행위 모두 1회 위반으로 보아 과태료 부과 시 기준금액을 각 600만 원으로 한다.
< 과태료 부과기준 >
<img src="/LSW/flDownload.do?flSeq=162341591" alt="4번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조제1항은 “당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 보호법 제23조제2항 및 제29조 위반행위는 과태료 부과지침 제7조제1항에 따른 가중 기준에 해당하지 않아 기준금액을 유지하되, 보호법 제34조제1항 위반행위는 유출 통지 의무 발생이로부터 72시간이 경과한 ’23.12.11.부터 1년 11개월이 경과한 현재까지 위반 상태가 계속되고 있으므로 과태료 부과지침 [별표3] 제2홍의 가중기준 중 '위반기간’ 2.(법 위반 상태의 기간이 1년 초과 2년 이내인 경우)에 따라 기준금액 600만 원의 15%를 가중한다.
<img src="/LSW/flDownload.do?flSeq=162341593" alt="5번째 이미지"></img>
2) 과태료의 감경
과태료 부과지침 제6조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
① 보호법 제23조제2항 및 제29조(안전조치의무) 위반에 대하여
피심인은 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하여 시정 완료한 점, 일관되게 행위 사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 점, 해당 공문은 내부망을 통해 관계기관 업무담당자 일부에게 제한적으로 노출되었고, 인지 후 열람 제한 등 회수 조치된 점 등을 고려하여 과태료 부과지침 제6조에 따라 기준금액의 75%를 감경한다.
<img src="/LSW/flDownload.do?flSeq=162341595" alt="6번째 이미지"></img>
② 보호법 제34조제1항(유출통지의무) 위반에 대하여
피심인은 개인정보 유출 사실을 정보주체에게 통지할 의무가 있음에도 자의적인 판단에 따라 현재까지 유출 통지를 하지 않았으므로 위반행위의 내용ㆍ정도가 경미하다고 볼 수 없으며, 위반 상태가 시정되었다고 볼 수도 없다. 다만, 피심인이 일관되게 행위사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 점, 사고 이후 개인정보 보호 관련 행사 개최, 위반 사례 및 유의사항의 주기적인 전파, 개인정보책임자 및 취급자에 대한 교육 등 개인정보 보호를 위해 상당히 노력한 점을 고려하여 과태료 부과지침 제6조에 따라 기준금액의 25%를 감경한다.
<img src="/LSW/flDownload.do?flSeq=162341597" alt="7번째 이미지"></img>
다. 최종 과태료
피심인의 보호법 제23조제2항ㆍ제29조 위반 및 제34조제1항 위반행위에 대하여 기준금액에서 가중ㆍ감경을 거쳐 총 690만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=162341599" alt="8번째 이미지"></img>
3. 시정권고
피심인이 이 사건 유출 이후 현재까지 정보주체에게 보호법 제34조제1항에 따른 유출 통지를 하지 않고 있는바, 피심인에게 보호법 제64조제3항에 따라 주문과 같이 시정조치할 것을 권고한다.
4. 공표
개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 그 처분 내용 및 결과에 대하여 공표할 수 있다(보호법 제66조제1항).
피심인은 보호법 제2조제5호가목에 따른 공공기관으로서 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(개인정보보호위원회 지침, 2025. 7. 1. 시행) 제3조제1항제3호에 해당하므로 피심인에 대한 처분 내용 및 결과를 개인정보보호위원회 인터넷 홈페이지(www.pipc.go.kr)에 1년 간 다음과 같이 공표한다.
<img src="/LSW/flDownload.do?flSeq=162341601" alt="9번째 이미지"></img>
Ⅴ. 결론
피심인의 보호법 제23조제2항ㆍ제29조 위반 및 제34조제1항 위반 행위에 대하여 보호법 제75조(과태료)제2항제5호 및 같은 항 제17호, 제64조제3항(시정권고) 및 제66조(결과의 공표)제1항에 따라 주문과 같이 의결한다.
피심인은 이 시정조치 권고에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조에 따라 그 처분이 있음을 알게 된 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(피심인 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료의 납부 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).