개인정보보호위원회
심의ㆍ의결
제2026-010-066호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 5월 27일
요지
안건번호 : 제2026-010-066호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 행정안전부(사업자등록번호 : )대표자
의결연월일 : 2026. 5. 27.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 행정안전부(사업자등록번호 : )대표자
의결연월일 : 2026. 5. 27.
주문
1. 피심인에 대하여 다음과 같이 과징금, 과태료를 부과한다.
가. 과 징 금 : 273,000,000원
나. 과 태 료 : 3,000,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 권고한다.
가. 개인정보처리시스템 관련 신규 프로그램 개발 또는 기존 프로그램 개선(소스코드 개발 포함) 작업 후 운영서버 반영 전 취약점 점검, 무결성 테스트 및 부하 테스트 등 사전검토 절차를 충실히 이행할 것
나. 수탁자의 소프트웨어 개발에 대한 점검 강화 방안을 수립ㆍ시행할 것
다. 가.와 나.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것
라. 가.부터 다.까지의 시정조치를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것
3. 피심인에 대한 과징금 및 과태료 부과, 시정조치 권고의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인의 홈페이지에 공표할 것을 명한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 60일 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 10일 이상 12일 이하 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
가. 과 징 금 : 273,000,000원
나. 과 태 료 : 3,000,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 권고한다.
가. 개인정보처리시스템 관련 신규 프로그램 개발 또는 기존 프로그램 개선(소스코드 개발 포함) 작업 후 운영서버 반영 전 취약점 점검, 무결성 테스트 및 부하 테스트 등 사전검토 절차를 충실히 이행할 것
나. 수탁자의 소프트웨어 개발에 대한 점검 강화 방안을 수립ㆍ시행할 것
다. 가.와 나.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것
라. 가.부터 다.까지의 시정조치를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것
3. 피심인에 대한 과징금 및 과태료 부과, 시정조치 권고의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인의 홈페이지에 공표할 것을 명한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 60일 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 10일 이상 12일 이하 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
이유
Ⅰ. 기초 사실
피심인은 「정부조직법」 상 중앙행정기관으로 「개인정보 보호법법률 제19234호, 2023. 3. 14. 일부개정(이하 '보호법’)」 제2조제6조에 따른 공공기관이고 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=168337429" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 개인정보 유출신고(’24.4.4., ’24.4.22., ’25.6.14.)가 접수됨에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24.5.1. ~ '26.4.13.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 정부 통합민원서비스( ) 제공을 위해 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=168337431" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
? , 교육부 연계 민원서류(생활기록부, 성적증명서 등) 오발급
1) 유출 경위
수탁자구축사업단: / 계약기간: '23.9.12.~’24.5.9.중 하나인 는 교육부 연계모듈 37종의 서비스를 통합하기 위한 소스코드를 개발하고, 운영서버에 반영하기 전 테스트를 거쳐(’24.3.25.~28.) 배포(’24.3.28.)하였는데, 정부24로 다수의 민원이 동시에 접수*됨에 따라 시스템에 부하가 발생하여, 원래 민원인이 아닌 타인의 민원서류가 무작위로 발급(’24.3.28.~4.1.)되었다.
* 3.28.20:00부터 4.1. 19:00(95시간)까지 NEIS 연계 민원 434,172건(74.4건/분) 접수
2) 유출내용
생활기록부, 성적증명서 등 교육부 연계 민원서류 6종의 오발급으로 646명의 성명, 주민등록번호(37명) 또는 생년월일(609명), 주소, 사진, 학교, 성적 등 개인정보가 유출되었다.
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337433" alt="3번째 이미지"></img>
? , 국세청 연계 민원서류(국세 납세증명서) 오발급
1) 유출 경위
수탁자운영사업단: / 계약기간: '24.1.1.~12.31.
중 하나인 는 납세증명서 서식에 QR코드(진위 확인 및 위ㆍ변조 방지 등) 추가를 위한 소스코드 수정 과정에서 법인명과 사업자등록번호 표출을 담당하는 부분을 실수로 삭제하였고, 피심인은 수정된 소스코드에 대해 개인 인증서를 통한 발급 테스트만 수행(법인 발급 테스트 누락)하고, 해당 소스코드를 배포(’24.4.18.)하여 법인 납세증명서 발급시 법인명과 사업자등록번호 대신 대표자의 성명과 주민등록번호가 출력(’24.4.18.~19.)되었다.
2) 유출내용
법인 납세증명서 오발급으로 법인 대표자 587명의 성명, 주민등록번호 등 개인정보가 유출되었다.
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337435" alt="4번째 이미지"></img>
? 홈페이지 해킹
1) 유출 경위
비대면 인증 무력화 및 알뜰폰 부정개통 사건 피의자가 ’25.4.~5. 기간 중 유심을 부정개통 할 목적으로 홈페이지( )에서 사전에 수집해 놓은 이름과 주민등록번호를 활용하여,
'아이디 찾기’ 기능을 통해 일부 별표 처리된 아이디 2건*을 조회하였고, 에서 제공하는 의 인증 취약점**을 이용하여 주민등록증 발급상황 4건을 조회(망자 1명 포함)하였으며, '계좌진위여부 확인’ 페이지***에서 사전에 확보한 성명, 은행명, 계좌번호를 입력하여 1명의 계좌번호 일치 여부를 확인하였다.
* 출력 예시: “이ㅇㅇ님의 아이디는 입니다.”
** ` `
( )
*** 현재, 정부24 홈페이지에서 서비스되지 않으나 페이지 URL로 접속 가능
2) 유출내용
의 인증 취약점으로 인해 정보주체 3명의 주민등록증 발급신청 일자와 처리완료 여부 관련 정보가 유출되었다.
다만 사실조사 결과, 피심인의 유출 신고 중 주민등록번호 2건이 유출되었다는 부분은 피의자가 이미 수집한 피해자의 이름과 주민등록번호를 조회하여 아이디 일부만 조회되었고, 계좌번호 일치 여부 역시 추가 개인정보가 열람 또는 탈취된 것은 아니어서 이들 항목은 유출내용에서 제외한다.
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337437" alt="5번째 이미지"></img>
3. 위탁사실 공개 관련 사실관계
피심인은 개인정보처리방침에 개인정보 위탁 사실을 공개하면서, ’23.9.18.부터 ’24.5.1.까지 '생활맞춤형 3차 사업’의 개발 수탁사 3곳 중 하나인 를 누락하였다가, ’24.5.2.字 개인정보처리방침부터 를 추가한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보 보호위원회는 '25.3.17.과 ’26.4.29. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’25.4.11.과 ’26.5.18. 개인정보 보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위해 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)(이하 '고시’) 제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다.”라고 규정하고 있다.
나. 보호법 제26조제2항은 “제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 “위탁자”라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 “수탁자”라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.“라고 규정하고 있다.
다. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(제1호)’, '유출등이 된 시점과 그 경위(제2호)’, '정보주체가 할 수 있는 방법 등에 관한 정보(제3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(제4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(제5호)’를 정보주체에게 알려야 한다.”라고 규정하고 있다.
또한, 시행령 제39조제3항은 “제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실
[보호법 제29조(안전조치의무)]
피심인이 ①국세 납세증명서 서식 변경을 위해 개발한 소스코드에 대해 운영서버 반영 전, '개인 발급’에 대해서만 테스트하고 '법인 발급’에 대해서는 테스트하지 않은 행위(’24.4.18.)와 ② 홈페이지를 통해 '주민등록증 발급 상황' 조회 서비스를 제공하면서 본인인증 취약점을 발견ㆍ조치하지 않은 행위(’17.6.~’25.6.)는 보호법 제29조, 시행령 제30조제1항, 고시 제6조제3항을 위반한 것이다.
※ 「정보시스템 구축ㆍ운영 지침행정기관 및 공공기관 정보시스템 구축ㆍ운영 지침(행정안전부 고시 제2025-1호, ’25.1.2. 시행)」 제50조에 따라 행정기관은 프로그램 개발 및 유지관리 단계에서 보안약점이 없도록 소프트웨어를 개발ㆍ변경하여야 함
나. 위탁사실 공개를 소홀히 한 사실
[보호법 제26조(업무위탁에 따른 개인정보의 처리제한)제2항]
피심인이 개인정보처리방침에 위탁사실을 공개하면서 수탁업체 중 하나인 를 누락(’23.9.~’24.5.)한 행위는 보호법 제26조제2항을 위반한 것이다.
다. 개인정보 유출 통지ㆍ신고를 지연한 사실
[보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항]
피심인은 교육부 연계 민원서류 오발급으로 개인정보가 유출되었다는 사실을 ’24.4.1. 인지하였음에도 10일이 지난 ’24.4.11.에서야 유출 통지를 시작하였으므로 보호법 제34조제1항을 위반하였다.
Ⅳ. 피심인의 주장에 대한 검토
1. 개인정보 유출에 대하여
가. 피심인의 주장
피심인은 국세청 연계 민원서류 오발급 관련 법인 대표자 587명의 성명과 주민등록번호는 당초 대표의 개인정보를 알고 있던 자에게 개인정보가 노출된 것으로 개인정보 유출로 보기 어렵고,
정부24 홈페이지 해킹 관련 '주민등록증 발급 신청일자’는 개인정보가 아니므로 개인정보 유출로 볼 수 없다고 주장한다.
나. 검토의견 : 불수용
개인정보 유출은 “개인정보가 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것대법원 2014.5.16. 선고, 2011다24555, 24562 판결”으로, 법인 대표자 성명과 주민등록번호에 대하여 제3자가 해당 개인정보를 이미 알고 있었는지 여부와 무관하게 권한 없는 제3자에게 개인정보가 전달ㆍ공유된 시점에 개인정보가 유출된 것으로 봄이 타당하고,
주민등록증 발급 신청일자 및 처리완료 여부에 대하여 피의자가 정부24에 존재하는 본인인증 기능의 취약점을 이용하여 타인의 주민등록증 발급 신청일자와 처리완료 결과 등을 조회ㆍ유출한 바, 피심인의 의견은 수용할 수 없다.
2. 안전조치의무 위반에 대하여
가. 피심인의 주장
피심인은 타인의 인증서를 이용한 접근의 경우 이는 시스템 설계상 보완이 필요한 영역일 수는 있으나 이를 곧바로 안전조치의무 위반에 해당해 개인정보 보호법을 위반한 것으로 보기 어렵다고 주장한다.
나. 검토의견 : 불수용
주민등록증 발급상황 조회 서비스에서 제공하는 의 모듈 검증방식은 조회를 위해 입력한 개인정보와 본인인증을 위해 입력한 개인정보간 동일성 검증 절차를 누락한 취약점으로, 기존 개인정보 유출사고에 대한 선례개인정보보호위원회 심의ㆍ의결(제2024-016-232호, 한국사회복지협의회, ’24.9.25.)또한 일관되게 인증 요청자의 정보와 실제 본인인증 절차를 거친 정보 간의 동일성을 확인하지 않은 행위는 안전조치의무 위반으로 보고 있어, 피심인의 의견은 수용할 수 없다.
3. 개인정보 유출 통지 의무에 대하여
가. 피심인의 주장
피심인은 교육부 연계 민원서류 오발급 건과 관련하여 유출 기간(’24.3.28.~4.1.) 중 발급한 424,172건의 PDF 파일을 모두 검사하여 유출 통지 대상자를 특정하는데 많은 시간이 소요되었음을 감안해야 한다고 주장한다.
나. 검토의견 : 불수용
이런 경우 피심인은 시행령 제39조제3항에 따라 정부24 홈페이지에 유출 사실을 30일 이상 게시하는 방법으로 유출 통지 의무를 이행할 수 있었으므로 피심인의 의견은 수용할 수 없다.
4. 과징금 부과 횟수에 대하여
가. 피심인의 주장
피심인은 교육부 및 국세청 연계 민원서류 오발급 관련 개인정보 유출 2건은 피심인의 에서 유사한 시기에 발생한 동일 의무 위반행위라는 점에서 하나의 위반행위로 볼 수 있다고 주장한다.
나. 검토의견 : 수용
교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건과 주민등록증 발급상황 조회 서비스의 본인인증 취약점에 의한 개인정보 유출 건은 모두 피심인이 운영하고 있는 개인정보처리시스템인 에서 발생하였고, 3건 모두 동일한 안전조치의무(고시 제6조제3항에 다른 '접근통제’)를 위반한 건임을 종합 고려하여 통합 처분한다.
5. 안전조치의무 위반 및 과징금 부과 여부에 대하여
가. 피심인의 주장
피심인은 교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건은 사소한 부주의에 의해 경미한 위반행위가 발생한 것으로서 이로 인한 피해가 없고 피심인은 후속조치를 다하였으므로 과징금 면제를 주장한다.
나. 검토의견 : 일부수용
국세 납세증명서 서식변경과 관련하여 '개인 발급’ 및 '법인 발급’ 두 가지 경우 중 '개인 발급’에 대해서만 테스트한 행위는 사소한 부주의 또는 경미한 위반으로 보기 어려워 피심인의 의견은 수용할 수 없다.
다만, 교육부 연계 민원 오발급의 경우 ①피심인은 프로그램 배포 전 테스트를 실시하였고 특별한 오류가 발견되지 않은 점, ②1:1 미스매칭으로 해커의 불법침입에 활용되는 취약점은 아닌 점 등을 종합 고려할 때, 안전조치의무 위반으로 처분할 만한 사안으로 보기는 어렵다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인이 운영하는 의 경우 ’24.3.부터 ’25.5.까지 3번의 개인정보 유출이 발생한 것으로 유출사고 간 시차는 존재하나 동일한 개인정보처리시스템에서 동종의 안전조치의무 위반으로 볼 수 있는 점을 고려하여 3건을 하나로 통합 처분한다.
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인은 보호법 제2조제6호에 따른 공공기관으로 본 건 유출과 관련된 위반행위는 수익사업과 무관한 이용 지원 영역에서 발생하였으므로 매출액이 없거나 매출액의 산정이 곤란한 경우에 해당하는바, 같은 법 제64조의2제1항 단서 및 시행령 제60조의2제2항제1호다목에 따라 20억 원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
보호법 시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
국세청 연계 민원서류 오발급은 새로 개발한 소스코드에 대한 사전 테스트를 소홀히 하였고, 홈페이지 주민등록증 발급 상황정보 유출은 본인 인증 취약점을 미리 탐지ㆍ개선하지 못하여 발생한 것으로, 피심인에게 위반의 고의가 있다고 보기는 어려우나 ’17.6.부터 ’25.6.까지 본인 인증 취약점을 방치하여 중대한 과실이 있다고 봄이 타당하고, 주민등록번호가 유출되었으나 법인소속 직원에게 대표자 정보 유출 및 취약점 신고 포상금을 신청한 1명에게만 유출되는 등 현재까지 식별된 2차 피해가 없다는 점을 종합 고려, 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
보호법 시행령 [별표 1의5] 제2호가목 2)에 따라 과징금 산정 시 기준금액은 위반행위의 중대성에 따라 산정하는바, '중대한 위반행위’의 기준금액은 2억 원 이상 7억 원 미만이며, 피심인의 경우에는 CPO 및 정보보호팀을 구성ㆍ운영 중이고 영리목적이나 내부의 조직적 위반 정황이 없는 점 등을 참작하여 기준금액을 325,000천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=168337439" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 ▲피심인의 보호법 위반기간이 2년을 초과(’17.6.~’25.6.)하므로 기준금액의 100분의 50에 해당하는 162,500천 원을 가중하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 97,500천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액(390,000천원)의 100분의 30에 해당하는 117,000천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 273,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=168337441" alt="7번째 이미지"></img>
* 피심인이 공공시스템 운영기관인 점을 고려하여 ’업무 형태와 규모' 감경(50% 이내) 미적용
** 보호법 제29조 위반기간 : ’17.6.~’25.6.(주민등록증 발급상황 조회 관련 본인 인증 취약점)
2. 과태료 부과
피심인의 보호법 제29조(안전조치의무) 위반행위는 같은 법 제75조(과태료)제2항제5호에 따라 과태료 부과 대상에 해당하나, 제76조(과태료에 관한 규정 적용의 특례)에 따라 과징금을 부과한 행위와 동일하여 과태료를 부과하지 않는다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 및 제26조(업무위탁에 따른 개인정보 처리의 제한)제2항 위반행위에 대해 같은 법 제75조(과태료)제2항제17호 및 같은 조 제4항제5호, 시행령 제63조 [별표 2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준개인정보보호위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표 2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제34조제1항 및 제26조제2항 위반에 대해서는 1회 위반에 해당하는 과태료인 600만 원 및 200만 원을 기준금액으로 각각 적용한다.
<img src="/LSW/flDownload.do?flSeq=168337443" alt="8번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조는 ’당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제34조제1항 및 제26조제2항 위반행위는 가중사유에 해당하지 않아 기준금액을 유지한다.
2) 과태료의 감경
과태료 부과지침 제6조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 보호법 제34조제1항 위반행위는 ▲위반행위의 내용ㆍ정도가 경미하다고 인정(30%)되고 ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료(20%)하였으며, ▲조사에 적극적으로 협력(20%)한 점 등을 종합적으로 고려하여 과태료 부과지침제6조에 따라 기준금액의 70%를 감경하고, 제26조제2항 위반행위는 ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료(20%)하였으며, ▲조사에 적극적으로 협력(20%)한 점 등을 종합적으로 고려하여 과태료 부과지침제6조에 따라 기준금액의 40%를 감경한다.
다. 최종 과태료
피심인의 보호법 제34조제1항 및 제26조제2항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 과태료 300만 원을 부과한다.
<img src="/LSW/flDownload.do?flSeq=168337445" alt="9번째 이미지"></img>
3. 시정권고
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항 및 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조제3항에 따라 주문과 같이 시정조치를 권고한다.
4. 결과의 공표
개인정보 보호위원회는 보호법 제66조제1항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있다.
피심인은 보호법 제2조제6호에 따른 공공기관이므로 보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호위원회 지침, 2025. 7. 1. 시행(이하 '공표지침’)」 제3조제1항제3호에 따라 처분 결과를 개인정보 보호위원회 홈페이지에 1년간 공표한다.
5. 처분 사실의 공표명령
개인정보 보호위원회는 보호법 제66조제2항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 처분 등을 받은 자에게 해당 처분 등을 받았다는 사실을 공표할 것을 명할 수 있다.
피심인은 시행령 제30조의2(공공시스템 운영기관 등의 개인정보 안전성 확보 조치 등)에 따른 공공시스템 운영기관이므로 보호법 제66조제2항, 공표지침 제6조제1항제11호, 제8조 및 제11조에 따라 피심인에게 처분 등에 대한 통지를 받은 날부터 30일 이내에 당해 처분을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)에 10일 이상 12일 이하의 기간 동안 게시하는 방법으로 공표할 것을 명한다.
* (제11호) 보호위원회의 처분 등을 받은 자가 법 제2조제6호에 따른 공공기관으로서 영 제30조의2에 따른 공공시스템 운영기관인 경우
이때 공표지침 제7조제1항 및 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅵ. 결론
피심인의 보호법 제29조(안전조치의무), 제26조(업무위탁에 따른 개인정보의 처리제한)제2항, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제75조(과태료)제2항제17호 및 같은 조 제4항제5호, 제64조(시정조치 등)제3항, 제66조(결과의 공표)제1항ㆍ제2항에 따라 과징금ㆍ과태료 부과, 시정조치 권고, 결과의 공표 및 공표명령을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 공표 및 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 「정부조직법」 상 중앙행정기관으로 「개인정보 보호법법률 제19234호, 2023. 3. 14. 일부개정(이하 '보호법’)」 제2조제6조에 따른 공공기관이고 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=168337429" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 개인정보 유출신고(’24.4.4., ’24.4.22., ’25.6.14.)가 접수됨에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24.5.1. ~ '26.4.13.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 정부 통합민원서비스( ) 제공을 위해 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=168337431" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
? , 교육부 연계 민원서류(생활기록부, 성적증명서 등) 오발급
1) 유출 경위
수탁자구축사업단: / 계약기간: '23.9.12.~’24.5.9.중 하나인 는 교육부 연계모듈 37종의 서비스를 통합하기 위한 소스코드를 개발하고, 운영서버에 반영하기 전 테스트를 거쳐(’24.3.25.~28.) 배포(’24.3.28.)하였는데, 정부24로 다수의 민원이 동시에 접수*됨에 따라 시스템에 부하가 발생하여, 원래 민원인이 아닌 타인의 민원서류가 무작위로 발급(’24.3.28.~4.1.)되었다.
* 3.28.20:00부터 4.1. 19:00(95시간)까지 NEIS 연계 민원 434,172건(74.4건/분) 접수
2) 유출내용
생활기록부, 성적증명서 등 교육부 연계 민원서류 6종의 오발급으로 646명의 성명, 주민등록번호(37명) 또는 생년월일(609명), 주소, 사진, 학교, 성적 등 개인정보가 유출되었다.
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337433" alt="3번째 이미지"></img>
? , 국세청 연계 민원서류(국세 납세증명서) 오발급
1) 유출 경위
수탁자운영사업단: / 계약기간: '24.1.1.~12.31.
중 하나인 는 납세증명서 서식에 QR코드(진위 확인 및 위ㆍ변조 방지 등) 추가를 위한 소스코드 수정 과정에서 법인명과 사업자등록번호 표출을 담당하는 부분을 실수로 삭제하였고, 피심인은 수정된 소스코드에 대해 개인 인증서를 통한 발급 테스트만 수행(법인 발급 테스트 누락)하고, 해당 소스코드를 배포(’24.4.18.)하여 법인 납세증명서 발급시 법인명과 사업자등록번호 대신 대표자의 성명과 주민등록번호가 출력(’24.4.18.~19.)되었다.
2) 유출내용
법인 납세증명서 오발급으로 법인 대표자 587명의 성명, 주민등록번호 등 개인정보가 유출되었다.
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337435" alt="4번째 이미지"></img>
? 홈페이지 해킹
1) 유출 경위
비대면 인증 무력화 및 알뜰폰 부정개통 사건 피의자가 ’25.4.~5. 기간 중 유심을 부정개통 할 목적으로 홈페이지( )에서 사전에 수집해 놓은 이름과 주민등록번호를 활용하여,
'아이디 찾기’ 기능을 통해 일부 별표 처리된 아이디 2건*을 조회하였고, 에서 제공하는 의 인증 취약점**을 이용하여 주민등록증 발급상황 4건을 조회(망자 1명 포함)하였으며, '계좌진위여부 확인’ 페이지***에서 사전에 확보한 성명, 은행명, 계좌번호를 입력하여 1명의 계좌번호 일치 여부를 확인하였다.
* 출력 예시: “이ㅇㅇ님의 아이디는 입니다.”
** ` `
( )
*** 현재, 정부24 홈페이지에서 서비스되지 않으나 페이지 URL로 접속 가능
2) 유출내용
의 인증 취약점으로 인해 정보주체 3명의 주민등록증 발급신청 일자와 처리완료 여부 관련 정보가 유출되었다.
다만 사실조사 결과, 피심인의 유출 신고 중 주민등록번호 2건이 유출되었다는 부분은 피의자가 이미 수집한 피해자의 이름과 주민등록번호를 조회하여 아이디 일부만 조회되었고, 계좌번호 일치 여부 역시 추가 개인정보가 열람 또는 탈취된 것은 아니어서 이들 항목은 유출내용에서 제외한다.
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337437" alt="5번째 이미지"></img>
3. 위탁사실 공개 관련 사실관계
피심인은 개인정보처리방침에 개인정보 위탁 사실을 공개하면서, ’23.9.18.부터 ’24.5.1.까지 '생활맞춤형 3차 사업’의 개발 수탁사 3곳 중 하나인 를 누락하였다가, ’24.5.2.字 개인정보처리방침부터 를 추가한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보 보호위원회는 '25.3.17.과 ’26.4.29. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’25.4.11.과 ’26.5.18. 개인정보 보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위해 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)(이하 '고시’) 제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다.”라고 규정하고 있다.
나. 보호법 제26조제2항은 “제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 “위탁자”라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 “수탁자”라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.“라고 규정하고 있다.
다. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(제1호)’, '유출등이 된 시점과 그 경위(제2호)’, '정보주체가 할 수 있는 방법 등에 관한 정보(제3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(제4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(제5호)’를 정보주체에게 알려야 한다.”라고 규정하고 있다.
또한, 시행령 제39조제3항은 “제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.”라고 규정하고 있다.
2. 위법성 판단
가. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실
[보호법 제29조(안전조치의무)]
피심인이 ①국세 납세증명서 서식 변경을 위해 개발한 소스코드에 대해 운영서버 반영 전, '개인 발급’에 대해서만 테스트하고 '법인 발급’에 대해서는 테스트하지 않은 행위(’24.4.18.)와 ② 홈페이지를 통해 '주민등록증 발급 상황' 조회 서비스를 제공하면서 본인인증 취약점을 발견ㆍ조치하지 않은 행위(’17.6.~’25.6.)는 보호법 제29조, 시행령 제30조제1항, 고시 제6조제3항을 위반한 것이다.
※ 「정보시스템 구축ㆍ운영 지침행정기관 및 공공기관 정보시스템 구축ㆍ운영 지침(행정안전부 고시 제2025-1호, ’25.1.2. 시행)」 제50조에 따라 행정기관은 프로그램 개발 및 유지관리 단계에서 보안약점이 없도록 소프트웨어를 개발ㆍ변경하여야 함
나. 위탁사실 공개를 소홀히 한 사실
[보호법 제26조(업무위탁에 따른 개인정보의 처리제한)제2항]
피심인이 개인정보처리방침에 위탁사실을 공개하면서 수탁업체 중 하나인 를 누락(’23.9.~’24.5.)한 행위는 보호법 제26조제2항을 위반한 것이다.
다. 개인정보 유출 통지ㆍ신고를 지연한 사실
[보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항]
피심인은 교육부 연계 민원서류 오발급으로 개인정보가 유출되었다는 사실을 ’24.4.1. 인지하였음에도 10일이 지난 ’24.4.11.에서야 유출 통지를 시작하였으므로 보호법 제34조제1항을 위반하였다.
Ⅳ. 피심인의 주장에 대한 검토
1. 개인정보 유출에 대하여
가. 피심인의 주장
피심인은 국세청 연계 민원서류 오발급 관련 법인 대표자 587명의 성명과 주민등록번호는 당초 대표의 개인정보를 알고 있던 자에게 개인정보가 노출된 것으로 개인정보 유출로 보기 어렵고,
정부24 홈페이지 해킹 관련 '주민등록증 발급 신청일자’는 개인정보가 아니므로 개인정보 유출로 볼 수 없다고 주장한다.
나. 검토의견 : 불수용
개인정보 유출은 “개인정보가 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것대법원 2014.5.16. 선고, 2011다24555, 24562 판결”으로, 법인 대표자 성명과 주민등록번호에 대하여 제3자가 해당 개인정보를 이미 알고 있었는지 여부와 무관하게 권한 없는 제3자에게 개인정보가 전달ㆍ공유된 시점에 개인정보가 유출된 것으로 봄이 타당하고,
주민등록증 발급 신청일자 및 처리완료 여부에 대하여 피의자가 정부24에 존재하는 본인인증 기능의 취약점을 이용하여 타인의 주민등록증 발급 신청일자와 처리완료 결과 등을 조회ㆍ유출한 바, 피심인의 의견은 수용할 수 없다.
2. 안전조치의무 위반에 대하여
가. 피심인의 주장
피심인은 타인의 인증서를 이용한 접근의 경우 이는 시스템 설계상 보완이 필요한 영역일 수는 있으나 이를 곧바로 안전조치의무 위반에 해당해 개인정보 보호법을 위반한 것으로 보기 어렵다고 주장한다.
나. 검토의견 : 불수용
주민등록증 발급상황 조회 서비스에서 제공하는 의 모듈 검증방식은 조회를 위해 입력한 개인정보와 본인인증을 위해 입력한 개인정보간 동일성 검증 절차를 누락한 취약점으로, 기존 개인정보 유출사고에 대한 선례개인정보보호위원회 심의ㆍ의결(제2024-016-232호, 한국사회복지협의회, ’24.9.25.)또한 일관되게 인증 요청자의 정보와 실제 본인인증 절차를 거친 정보 간의 동일성을 확인하지 않은 행위는 안전조치의무 위반으로 보고 있어, 피심인의 의견은 수용할 수 없다.
3. 개인정보 유출 통지 의무에 대하여
가. 피심인의 주장
피심인은 교육부 연계 민원서류 오발급 건과 관련하여 유출 기간(’24.3.28.~4.1.) 중 발급한 424,172건의 PDF 파일을 모두 검사하여 유출 통지 대상자를 특정하는데 많은 시간이 소요되었음을 감안해야 한다고 주장한다.
나. 검토의견 : 불수용
이런 경우 피심인은 시행령 제39조제3항에 따라 정부24 홈페이지에 유출 사실을 30일 이상 게시하는 방법으로 유출 통지 의무를 이행할 수 있었으므로 피심인의 의견은 수용할 수 없다.
4. 과징금 부과 횟수에 대하여
가. 피심인의 주장
피심인은 교육부 및 국세청 연계 민원서류 오발급 관련 개인정보 유출 2건은 피심인의 에서 유사한 시기에 발생한 동일 의무 위반행위라는 점에서 하나의 위반행위로 볼 수 있다고 주장한다.
나. 검토의견 : 수용
교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건과 주민등록증 발급상황 조회 서비스의 본인인증 취약점에 의한 개인정보 유출 건은 모두 피심인이 운영하고 있는 개인정보처리시스템인 에서 발생하였고, 3건 모두 동일한 안전조치의무(고시 제6조제3항에 다른 '접근통제’)를 위반한 건임을 종합 고려하여 통합 처분한다.
5. 안전조치의무 위반 및 과징금 부과 여부에 대하여
가. 피심인의 주장
피심인은 교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건은 사소한 부주의에 의해 경미한 위반행위가 발생한 것으로서 이로 인한 피해가 없고 피심인은 후속조치를 다하였으므로 과징금 면제를 주장한다.
나. 검토의견 : 일부수용
국세 납세증명서 서식변경과 관련하여 '개인 발급’ 및 '법인 발급’ 두 가지 경우 중 '개인 발급’에 대해서만 테스트한 행위는 사소한 부주의 또는 경미한 위반으로 보기 어려워 피심인의 의견은 수용할 수 없다.
다만, 교육부 연계 민원 오발급의 경우 ①피심인은 프로그램 배포 전 테스트를 실시하였고 특별한 오류가 발견되지 않은 점, ②1:1 미스매칭으로 해커의 불법침입에 활용되는 취약점은 아닌 점 등을 종합 고려할 때, 안전조치의무 위반으로 처분할 만한 사안으로 보기는 어렵다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인이 운영하는 의 경우 ’24.3.부터 ’25.5.까지 3번의 개인정보 유출이 발생한 것으로 유출사고 간 시차는 존재하나 동일한 개인정보처리시스템에서 동종의 안전조치의무 위반으로 볼 수 있는 점을 고려하여 3건을 하나로 통합 처분한다.
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인은 보호법 제2조제6호에 따른 공공기관으로 본 건 유출과 관련된 위반행위는 수익사업과 무관한 이용 지원 영역에서 발생하였으므로 매출액이 없거나 매출액의 산정이 곤란한 경우에 해당하는바, 같은 법 제64조의2제1항 단서 및 시행령 제60조의2제2항제1호다목에 따라 20억 원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
보호법 시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
국세청 연계 민원서류 오발급은 새로 개발한 소스코드에 대한 사전 테스트를 소홀히 하였고, 홈페이지 주민등록증 발급 상황정보 유출은 본인 인증 취약점을 미리 탐지ㆍ개선하지 못하여 발생한 것으로, 피심인에게 위반의 고의가 있다고 보기는 어려우나 ’17.6.부터 ’25.6.까지 본인 인증 취약점을 방치하여 중대한 과실이 있다고 봄이 타당하고, 주민등록번호가 유출되었으나 법인소속 직원에게 대표자 정보 유출 및 취약점 신고 포상금을 신청한 1명에게만 유출되는 등 현재까지 식별된 2차 피해가 없다는 점을 종합 고려, 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
보호법 시행령 [별표 1의5] 제2호가목 2)에 따라 과징금 산정 시 기준금액은 위반행위의 중대성에 따라 산정하는바, '중대한 위반행위’의 기준금액은 2억 원 이상 7억 원 미만이며, 피심인의 경우에는 CPO 및 정보보호팀을 구성ㆍ운영 중이고 영리목적이나 내부의 조직적 위반 정황이 없는 점 등을 참작하여 기준금액을 325,000천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=168337439" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 ▲피심인의 보호법 위반기간이 2년을 초과(’17.6.~’25.6.)하므로 기준금액의 100분의 50에 해당하는 162,500천 원을 가중하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 97,500천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액(390,000천원)의 100분의 30에 해당하는 117,000천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 273,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=168337441" alt="7번째 이미지"></img>
* 피심인이 공공시스템 운영기관인 점을 고려하여 ’업무 형태와 규모' 감경(50% 이내) 미적용
** 보호법 제29조 위반기간 : ’17.6.~’25.6.(주민등록증 발급상황 조회 관련 본인 인증 취약점)
2. 과태료 부과
피심인의 보호법 제29조(안전조치의무) 위반행위는 같은 법 제75조(과태료)제2항제5호에 따라 과태료 부과 대상에 해당하나, 제76조(과태료에 관한 규정 적용의 특례)에 따라 과징금을 부과한 행위와 동일하여 과태료를 부과하지 않는다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 및 제26조(업무위탁에 따른 개인정보 처리의 제한)제2항 위반행위에 대해 같은 법 제75조(과태료)제2항제17호 및 같은 조 제4항제5호, 시행령 제63조 [별표 2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준개인정보보호위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표 2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제34조제1항 및 제26조제2항 위반에 대해서는 1회 위반에 해당하는 과태료인 600만 원 및 200만 원을 기준금액으로 각각 적용한다.
<img src="/LSW/flDownload.do?flSeq=168337443" alt="8번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조는 ’당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제34조제1항 및 제26조제2항 위반행위는 가중사유에 해당하지 않아 기준금액을 유지한다.
2) 과태료의 감경
과태료 부과지침 제6조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 보호법 제34조제1항 위반행위는 ▲위반행위의 내용ㆍ정도가 경미하다고 인정(30%)되고 ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료(20%)하였으며, ▲조사에 적극적으로 협력(20%)한 점 등을 종합적으로 고려하여 과태료 부과지침제6조에 따라 기준금액의 70%를 감경하고, 제26조제2항 위반행위는 ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료(20%)하였으며, ▲조사에 적극적으로 협력(20%)한 점 등을 종합적으로 고려하여 과태료 부과지침제6조에 따라 기준금액의 40%를 감경한다.
다. 최종 과태료
피심인의 보호법 제34조제1항 및 제26조제2항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 과태료 300만 원을 부과한다.
<img src="/LSW/flDownload.do?flSeq=168337445" alt="9번째 이미지"></img>
3. 시정권고
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항 및 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조제3항에 따라 주문과 같이 시정조치를 권고한다.
4. 결과의 공표
개인정보 보호위원회는 보호법 제66조제1항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있다.
피심인은 보호법 제2조제6호에 따른 공공기관이므로 보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호위원회 지침, 2025. 7. 1. 시행(이하 '공표지침’)」 제3조제1항제3호에 따라 처분 결과를 개인정보 보호위원회 홈페이지에 1년간 공표한다.
5. 처분 사실의 공표명령
개인정보 보호위원회는 보호법 제66조제2항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 처분 등을 받은 자에게 해당 처분 등을 받았다는 사실을 공표할 것을 명할 수 있다.
피심인은 시행령 제30조의2(공공시스템 운영기관 등의 개인정보 안전성 확보 조치 등)에 따른 공공시스템 운영기관이므로 보호법 제66조제2항, 공표지침 제6조제1항제11호, 제8조 및 제11조에 따라 피심인에게 처분 등에 대한 통지를 받은 날부터 30일 이내에 당해 처분을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)에 10일 이상 12일 이하의 기간 동안 게시하는 방법으로 공표할 것을 명한다.
* (제11호) 보호위원회의 처분 등을 받은 자가 법 제2조제6호에 따른 공공기관으로서 영 제30조의2에 따른 공공시스템 운영기관인 경우
이때 공표지침 제7조제1항 및 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅵ. 결론
피심인의 보호법 제29조(안전조치의무), 제26조(업무위탁에 따른 개인정보의 처리제한)제2항, 제34조(개인정보 유출 등의 통지ㆍ신고)제1항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제75조(과태료)제2항제17호 및 같은 조 제4항제5호, 제64조(시정조치 등)제3항, 제66조(결과의 공표)제1항ㆍ제2항에 따라 과징금ㆍ과태료 부과, 시정조치 권고, 결과의 공표 및 공표명령을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 공표 및 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).