제2025-015-228호

안건번호 : 제2025-015-228호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : ㈜자비스앤빌런즈 (사업자등록번호 : )대표자
의결연월일 : 2025. 7. 9.

1. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 서비스 이용시, 주민등록번호 직접 입력 최소화하는 방안 마련을 검토할 것
나. 피심인은 가.의 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅰ. 기초 사실

피심인은 개인을 대상으로 종합소득세 자가신고 및 환급서비스를 제공하면서 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=164234503" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 피심인에 대한 개인정보 관련 민원신고(’24. 5. 27.)에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24. 7. 8. ~ '25. 4. 21.)하였으며, 다음과 같은 사실을 확인하였다.


2. 행위 사실

가. 개인정보 수집현황

피심인은 세무대행서비스업(삼쩜삼)을 운영하면서 ’25. 6. 30. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=164234505" alt="2번째 이미지"></img>
나. 서비스 개요

피심인은 세급환급을 목적으로 '삼쩜삼’ 서비스를 앱으로 제공하고 있다.

피심인은 이용자로부터 주민등록번호를 입력받지 않고 홈택스를 통해 종합소득세 신고 내역 등을 조회하고 공제 여부 등을 반영하여 환급금 산정 및 종합소득세 신고 서비스를 제공하고 있다.

피심인은 이용자로부터 주민등록번호를 입력받아 정부24에 로그인하고 이를 통해 추가공제 항목에 관련된 정보를 조회하고 환급신청시 반영하는 서비스를 제공하고 있다.

3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 민감정보 처리 관련

피심인은 정부24 정보조회 전 이용자로부터 민감정보 수집 및 이용에 관한 동의를 받고 있다.

나. 주민등록번호 처리 관련

피심인은 피심인은 부양가족 정보 입력을 위해 이용자로부터 '고유식별 처리 동의’를 득한 후 주민등록번호를 입력받아 정부24에 로그인하여 주민등록등본을 발급받고 있다.

Ⅲ. 위법성 판단
1. 관련 법 규정

가. 보호법 제23조제1항은 ”개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.”라고 규정하면서 1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우, 2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우에 민감정보의 처리를 허용하고 있다.

나. 보호법 제24조의2 제1항은 “제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.”라고 규정되어 있으며, 1. 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우, 2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우, 3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우에만 주민등록번호의 처리를 허용하고 있다. 다만, 위원회 ’23년 제11회 전체회의 의결(’23.6.28.)을 통해 정보주체의 명시적 위임을 받아 주민등록번호가 포함된 신고ㆍ신청을 대행하는 경우는 주민등록번호의 처리에 해당하지 않는다고 판단하였다.

2. 위법성 판단

가. 민감정보 수집시 동의
[보호법 제23조(민감정보의 처리 제한)]

피심인은 정보주체로부터 민감정보 수집ㆍ이용에 대한 동의를 받고 있어 보호법 위반으로 보기 어렵다.

나. 주민등록번호를 입력받아 전송한 행위
[보호법 제24조의2(주민등록번호의 처리 제한)]

피심인은 이용자로부터 '고유식별정보 수집 및 이용 동의’를 통해 '주민등록번호’를 '환급액 조회 및 세무 신고 지원 서비스 제공을 위해 국세청에 전달’하는 것에 동의를 받아 명시적 위임을 받았고, 법령에 따라 주민번호 처리권한을 보유하는 정부24에 주민등록발급을 위하여 주민등록번호를 단순 전달하고 저장하지 않고 있으므로 '처리’에 해당한다고 보기 어려워 보호법 위반으로 보기 어렵다.

다만, 주민등록번호의 이용을 엄격히 제한하는 보호법의 취지를 고려할 때 피심인의 서비스를 이용하면서 공공기관 홈페이지( )에서 환급 관련 정보 조회시 주민등록번호 입력을 최소화 하는 방향으로 서비스 개선이 필요하다.

Ⅳ. 시정조치(안)

피심인에게 보호법 위반사항이 존재한다고 보기 어려우나, 보호법 제24조의2 및 제30조 입법 취지를 고려할 때 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.

가. 서비스 이용시, 주민등록번호 직접 입력 최소화하는 방안 마련을 검토할 것

나. 피심인은 가.의 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅴ. 결론

피심인의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.

이상과 같은 이유로 주문과 같이 의결한다.