개인정보보호위원회
심의ㆍ의결
제2026-010-068호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 5월 27일
요지
안건번호 : 제2026-010-068호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 농촌진흥청(사업자등록번호 : )대표자
의결연월일 : 2026. 5. 27.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 농촌진흥청(사업자등록번호 : )대표자
의결연월일 : 2026. 5. 27.
주문
1. 피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 168,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 권고한다.
가. 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것
나. 용역기간 중 수탁자 소속 직원이 사용할 PC 및 보조저장장치 등은 필요 최소한으로 제한하고, 장비마다 DRM, 매체제어솔루션 등을 설치ㆍ운영하며, 반ㆍ출입대장을 작성ㆍ관리할 것
다. 수시로 미리 승인한 PC 및 보조저장매체 등의 이용기록, 불필요한 개인정보의 저장 여부 및 승인하지 않은 장비를 사용하는지 여부를 점검할 것
라. 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검 하고 증빙자료를 수령하여 보관할 것
마. 가.부터 라.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것
바. 가.부터 마의 시정조치를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것
3. 피심인에 대한 과징금 부과, 시정조치 권고의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인의 홈페이지에 공표할 것을 명한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 60일 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
가. 과 징 금 : 168,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 권고한다.
가. 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것
나. 용역기간 중 수탁자 소속 직원이 사용할 PC 및 보조저장장치 등은 필요 최소한으로 제한하고, 장비마다 DRM, 매체제어솔루션 등을 설치ㆍ운영하며, 반ㆍ출입대장을 작성ㆍ관리할 것
다. 수시로 미리 승인한 PC 및 보조저장매체 등의 이용기록, 불필요한 개인정보의 저장 여부 및 승인하지 않은 장비를 사용하는지 여부를 점검할 것
라. 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검 하고 증빙자료를 수령하여 보관할 것
마. 가.부터 라.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것
바. 가.부터 마의 시정조치를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것
3. 피심인에 대한 과징금 부과, 시정조치 권고의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인의 홈페이지에 공표할 것을 명한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 60일 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
이유
Ⅰ. 기초 사실
피심인은 「정부조직법」 상 중앙행정기관으로 「개인정보 보호법법률 제19234호, 2023. 3. 14. 일부개정(이하 '보호법’)」 제2조제6조에 따른 공공기관이고 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=168337389" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인의 개인정보 유출신고(’25.4.25)가 접수됨에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24.5.16. ~ '26.4.13.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
<img src="/LSW/flDownload.do?flSeq=168337391" alt="2번째 이미지"></img>
피심인은 개인정보처리시스템 운용 등 소관 업무수행을 위해 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
나. 개인정보 유출 관련 사실관계
1) 유출 경위
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 'NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다.
해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
2) 유출내용
농촌진흥청 홈페이지 회원정보 등 6종의 개인정보파일에 포함된 성명, 연락처, 주소 등 개인정보 약 57.1만 건이 유출되었다.
* 국정원은 NAS 내 정보화사업 산출물 포함 과거 데이터 약 3TB 유출 추정
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337393" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. ㈜미소테크와 위탁계약 현황
<img src="/LSW/flDownload.do?flSeq=168337395" alt="4번째 이미지"></img>
나. 수탁자에 대한 관리ㆍ감독을 소홀히 한 행위
피심인은 수탁자인 ㈜미소테크가 ’17.6.부터 NAS를 구축ㆍ운영하고 있는 사실을 유출사고 발생시(’25.4.)까지 인지하지 못한 사실이 있다.
피심인은 ㈜미소테크로부터 자체 보안점검(월 1회) 결과를 보고 받거나 현장 보안점검(’22.~)을 실시하였음에도 ㈜미소테크의 개인정보 보유 현황 및 업무처리 환경(이용 장비ㆍ자료공유 현황)을 정확히 파악하지 못하였다.
또한, 상기 현장 보안점검은 정보보안 중심으로 실시되었고, 일평균 3.6개 사업을 점검하고 있는 바, 수탁자의 개인정보 처리 현황에 대한 실효적인 점검으로 보기 어려운 측면이 있다.
※ 자체 보안점검시 '비인가 보조기억 매체 사용여부 확인’ 항목은 “무”로 체크
<img src="/LSW/flDownload.do?flSeq=168337397" alt="5번째 이미지"></img>
특히, 피심인은 용역사업 종료 시마다 용역업체로부터 “자료미보유확약서”만 수령하고 노트북ㆍ외장하드 등에서 개인정보가 파기 여부는 점검ㆍ확인하지 않았고, 홈페이지 통합을 검토하면서 ’22.7.27. 회원정보를 ㈜미소테크에 전달한 후, 이를 회수ㆍ파기하지 않았으며, ㈜미소테크가 피심인으로부터 위탁 받은 사실이 없는 ' ’의 회원정보를 보유하게 된 경위도 파악하지 못한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보 보호위원회는 ’26.5.4. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26.5.14. 개인정보 보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
보호법 제26조제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 수탁자에 대한 관리ㆍ감독을 소홀히 한 사실
[보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항]
위탁자는 보호법 제26조 제4항 및 같은 법 시행령 제28조제6항에 따라 개인정보의 접근 또는 접속현황이나 만료된 계약 관련 개인정보의 파기ㆍ반납 등 개인정보 처리현황을 관리ㆍ감독하여야 하나, 피심인이 수탁자인 ㈜미소테크의 개인정보 보유 현황 및 업무처리 환경을 실효적으로 파악하지 못하여, ㈜미소테크가 용역기간이 종료된 개인정보를 자체 NAS에 무단 보관하다 해킹으로 유출한 것은 보호법 제26조제4항을 위반*한 것이다.
※ 위반기간: ’18.5.~’25.5.
아울러, 행정기관 및 공공기관의 정보시스템 구축ㆍ운영의 경우 ①국민은 위탁자인 행정기관 등을 신뢰하고 개인정보를 제공하는 점, ②「전자정부법」 등에 따라 정보보안 및 개인정보보호 의무가 부여되는 점, ③수탁업체가 전문인력을 지원하는 방식으로 운영되면서, ④이들이 사업기간 동안 서버나 DB 등 개발환경 등에 상시 접근하는 사업의 특성을 고려할 때, 위탁자인 행정기관 등에 수탁업체의 개인정보 처리실태를 보다 면밀히 관리ㆍ감독할 필요가 있다.
※ 위탁자의 수탁자에 대한 관리ㆍ감독의 수준은 개인정보 처리 업무 위탁의 특성, 위탁자가 수탁자를 실질적으로 관리할 수 있는 환경인지 여부 등을 종합적으로 고려하여 개별 상황의 특성에 맞게 운영될 수 있음개인정보 처리 통합 안내서(’25.7월) 175쪽 참조Ⅳ. 피심인의 주장에 대한 검토
1. 본 사건에 적용할 보호법규에 대하여
가. 피심인의 주장
피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약이 ’22.12.21.종료되었으므로 피심인의 수탁자 관리ㆍ감독 의무도 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다.
나. 검토의견 : 불수용
먼저, 피심인이 증빙자료로 제출한 새한제이소프트㈜의 '자료미보유확약서’는 ㈜미소테크에 대한 피심인의 수탁자 관리ㆍ감독 의무가 종료되었음을 입증하지 못한다.
더욱이, 작위의무를 이행하지 않은 위법은 그 이행 시까지 계속되는 것이라는 법리대법원 2016. 3. 10. 선고 2014두14129 판결에 비추어 보건대, 농진청의 ㈜미소테크에 대한 수탁자 관리ㆍ 감독 의무 위반은 적어도 “정보화 용역사업 보안 강화계획”을 수립한 ’25.5.까지 지속되고 있던 것으로 볼 수 있으므로 ’23.9.15.부터 시행된 보호법이 적용되는 것이 타당하다.
아울러, 및 관련 위탁 계약은 ’26.까지 매년 체결되고 있어 ㈜미소테크에 대한 관리ㆍ감독이 가능한 상태라는 점도 참작한다.
2. 과징금 산정에 대하여
가. 피심인의 주장
피심인은 내부관리계획 개정, 수탁자 관리ㆍ감독 체계 강화 등 자발적 시정 조치를 이행한 점, 유출 정황만으로도 관계기관 신고를 이행한 점, 적극적으로 사고 수습에 대응한 점 등을 고려하여 선처를 요청한다.
나. 검토의견 : 수용
피심인이 주장하는 내부관리계획 개정 등 관련 내용은 과징금 부과 금액 산정 절차에 반영한다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항 위반행위에 대하여 같은 법 제64조의2제1항제5호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)(이하 '과징금 부과기준’)」에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인은 보호법 제2조제6호에 따른 공공기관으로 본 건 유출과 관련된 위반행위는 수익사업과 무관한 영역에서 발생하였으므로 매출액이 없거나 매출액의 산정이 곤란한 경우에 해당하는바, 같은 법 제64조의2제1항 단서 및 법 시행령 제60조의2제2항제1호다목에 따라 20억 원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
본 사건은 수탁자인 ㈜미소테크가 별도의 보고나 승인 없이 NAS에 개인정보를 무단으로 보관하던 중 해킹으로 유출이 발생하였으므로 피심인에게 경과실이 인정되고, 유출된 개인정보 항목에 고유식별정보나 민감정보는 없었으나, 약 57.1만 건의 개인정보가 유출되어 다크웹에 게시되었고 과학기술인번호나 농업인 정보가 유출되어 피싱 등을 위험이 높아진 점을 고려하여 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
보호법 시행령 [별표 1의5] 제2호가목 2)에 따라 과징금 산정 시 기준금액은 위반행위의 중대성에 따라 산정하는바, '중대한 위반행위’의 기준금액은 2억 원 이상 7억 원 미만이며, 피심인의 경우에는 CPO 및 정보보호팀을 구성ㆍ운영중이고 정기적인 보안점검은 실시한 점, 내부의 조직적 위반 정황이 없는 점 등을 참작하여 기준금액을 200,000천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=168337399" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 ▲피심인의 보호법 위반기간이 2년을 초과하므로 기준금액의 100분의 50에 해당하는 100,000천 원을 가중하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 60,000천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액(240,000천원)의 100분의 30에 해당하는 72,000천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 168,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=168337401" alt="7번째 이미지"></img>
* 피심인이 중앙행정기관인 점을 고려하여 ’업무 형태와 규모' 감경(50% 이내) 미적용
** 보호법 제26조제4항 위반기간 : ’18.5.~’25.5.
2. 시정권고
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항 위반행위에 대하여 같은 법 제64조제3항에 따라 주문과 같이 시정조치를 권고한다.
3. 결과의 공표
개인정보 보호위원회는 보호법 제66조제1항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있다.
피심인은 보호법 제2조제6호에 따른 공공기관이므로 보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호위원회 지침, 2025. 7. 1. 시행(이하 '공표지침’)」 제3조제1항제3호에 따라 처분 결과를 개인정보 보호위원회 홈페이지에 1년간 공표한다.
4. 처분 사실의 공표명령
개인정보 보호위원회는 보호법 제66조제2항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 처분 등을 받은 자에게 해당 처분 등을 받았다는 사실을 공표할 것을 명할 수 있다.
피심인의 보호법 제26조제4항 위반기간(’18.5.~’25.5.)이 3년을 초과하므로, 보호법 제66조제2항, 공표지침 제6조제1항제7호, 제8조 및 제11조에 따라 피심인에게 처분 등에 대한 통지를 받은 날부터 30일 이내에 당해 처분을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)에 2일 이상 5일 미만의 기간 동안 게시하는 방법으로 공표할 것을 명한다.
이때 공표지침 제7조제1항 및 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅵ. 결론
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제5호, 제64조(시정조치 등)제3항, 제66조(결과의 공표)제1항ㆍ제2항에 따라 과징금 부과, 시정조치 권고, 공표 및 공표명령을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 공표 및 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 「정부조직법」 상 중앙행정기관으로 「개인정보 보호법법률 제19234호, 2023. 3. 14. 일부개정(이하 '보호법’)」 제2조제6조에 따른 공공기관이고 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=168337389" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인의 개인정보 유출신고(’25.4.25)가 접수됨에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24.5.16. ~ '26.4.13.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
<img src="/LSW/flDownload.do?flSeq=168337391" alt="2번째 이미지"></img>
피심인은 개인정보처리시스템 운용 등 소관 업무수행을 위해 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
나. 개인정보 유출 관련 사실관계
1) 유출 경위
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 'NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다.
해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
2) 유출내용
농촌진흥청 홈페이지 회원정보 등 6종의 개인정보파일에 포함된 성명, 연락처, 주소 등 개인정보 약 57.1만 건이 유출되었다.
* 국정원은 NAS 내 정보화사업 산출물 포함 과거 데이터 약 3TB 유출 추정
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337393" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. ㈜미소테크와 위탁계약 현황
<img src="/LSW/flDownload.do?flSeq=168337395" alt="4번째 이미지"></img>
나. 수탁자에 대한 관리ㆍ감독을 소홀히 한 행위
피심인은 수탁자인 ㈜미소테크가 ’17.6.부터 NAS를 구축ㆍ운영하고 있는 사실을 유출사고 발생시(’25.4.)까지 인지하지 못한 사실이 있다.
피심인은 ㈜미소테크로부터 자체 보안점검(월 1회) 결과를 보고 받거나 현장 보안점검(’22.~)을 실시하였음에도 ㈜미소테크의 개인정보 보유 현황 및 업무처리 환경(이용 장비ㆍ자료공유 현황)을 정확히 파악하지 못하였다.
또한, 상기 현장 보안점검은 정보보안 중심으로 실시되었고, 일평균 3.6개 사업을 점검하고 있는 바, 수탁자의 개인정보 처리 현황에 대한 실효적인 점검으로 보기 어려운 측면이 있다.
※ 자체 보안점검시 '비인가 보조기억 매체 사용여부 확인’ 항목은 “무”로 체크
<img src="/LSW/flDownload.do?flSeq=168337397" alt="5번째 이미지"></img>
특히, 피심인은 용역사업 종료 시마다 용역업체로부터 “자료미보유확약서”만 수령하고 노트북ㆍ외장하드 등에서 개인정보가 파기 여부는 점검ㆍ확인하지 않았고, 홈페이지 통합을 검토하면서 ’22.7.27. 회원정보를 ㈜미소테크에 전달한 후, 이를 회수ㆍ파기하지 않았으며, ㈜미소테크가 피심인으로부터 위탁 받은 사실이 없는 ' ’의 회원정보를 보유하게 된 경위도 파악하지 못한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보 보호위원회는 ’26.5.4. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26.5.14. 개인정보 보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
보호법 제26조제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 수탁자에 대한 관리ㆍ감독을 소홀히 한 사실
[보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항]
위탁자는 보호법 제26조 제4항 및 같은 법 시행령 제28조제6항에 따라 개인정보의 접근 또는 접속현황이나 만료된 계약 관련 개인정보의 파기ㆍ반납 등 개인정보 처리현황을 관리ㆍ감독하여야 하나, 피심인이 수탁자인 ㈜미소테크의 개인정보 보유 현황 및 업무처리 환경을 실효적으로 파악하지 못하여, ㈜미소테크가 용역기간이 종료된 개인정보를 자체 NAS에 무단 보관하다 해킹으로 유출한 것은 보호법 제26조제4항을 위반*한 것이다.
※ 위반기간: ’18.5.~’25.5.
아울러, 행정기관 및 공공기관의 정보시스템 구축ㆍ운영의 경우 ①국민은 위탁자인 행정기관 등을 신뢰하고 개인정보를 제공하는 점, ②「전자정부법」 등에 따라 정보보안 및 개인정보보호 의무가 부여되는 점, ③수탁업체가 전문인력을 지원하는 방식으로 운영되면서, ④이들이 사업기간 동안 서버나 DB 등 개발환경 등에 상시 접근하는 사업의 특성을 고려할 때, 위탁자인 행정기관 등에 수탁업체의 개인정보 처리실태를 보다 면밀히 관리ㆍ감독할 필요가 있다.
※ 위탁자의 수탁자에 대한 관리ㆍ감독의 수준은 개인정보 처리 업무 위탁의 특성, 위탁자가 수탁자를 실질적으로 관리할 수 있는 환경인지 여부 등을 종합적으로 고려하여 개별 상황의 특성에 맞게 운영될 수 있음개인정보 처리 통합 안내서(’25.7월) 175쪽 참조Ⅳ. 피심인의 주장에 대한 검토
1. 본 사건에 적용할 보호법규에 대하여
가. 피심인의 주장
피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약이 ’22.12.21.종료되었으므로 피심인의 수탁자 관리ㆍ감독 의무도 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다.
나. 검토의견 : 불수용
먼저, 피심인이 증빙자료로 제출한 새한제이소프트㈜의 '자료미보유확약서’는 ㈜미소테크에 대한 피심인의 수탁자 관리ㆍ감독 의무가 종료되었음을 입증하지 못한다.
더욱이, 작위의무를 이행하지 않은 위법은 그 이행 시까지 계속되는 것이라는 법리대법원 2016. 3. 10. 선고 2014두14129 판결에 비추어 보건대, 농진청의 ㈜미소테크에 대한 수탁자 관리ㆍ 감독 의무 위반은 적어도 “정보화 용역사업 보안 강화계획”을 수립한 ’25.5.까지 지속되고 있던 것으로 볼 수 있으므로 ’23.9.15.부터 시행된 보호법이 적용되는 것이 타당하다.
아울러, 및 관련 위탁 계약은 ’26.까지 매년 체결되고 있어 ㈜미소테크에 대한 관리ㆍ감독이 가능한 상태라는 점도 참작한다.
2. 과징금 산정에 대하여
가. 피심인의 주장
피심인은 내부관리계획 개정, 수탁자 관리ㆍ감독 체계 강화 등 자발적 시정 조치를 이행한 점, 유출 정황만으로도 관계기관 신고를 이행한 점, 적극적으로 사고 수습에 대응한 점 등을 고려하여 선처를 요청한다.
나. 검토의견 : 수용
피심인이 주장하는 내부관리계획 개정 등 관련 내용은 과징금 부과 금액 산정 절차에 반영한다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항 위반행위에 대하여 같은 법 제64조의2제1항제5호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)(이하 '과징금 부과기준’)」에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인은 보호법 제2조제6호에 따른 공공기관으로 본 건 유출과 관련된 위반행위는 수익사업과 무관한 영역에서 발생하였으므로 매출액이 없거나 매출액의 산정이 곤란한 경우에 해당하는바, 같은 법 제64조의2제1항 단서 및 법 시행령 제60조의2제2항제1호다목에 따라 20억 원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
본 사건은 수탁자인 ㈜미소테크가 별도의 보고나 승인 없이 NAS에 개인정보를 무단으로 보관하던 중 해킹으로 유출이 발생하였으므로 피심인에게 경과실이 인정되고, 유출된 개인정보 항목에 고유식별정보나 민감정보는 없었으나, 약 57.1만 건의 개인정보가 유출되어 다크웹에 게시되었고 과학기술인번호나 농업인 정보가 유출되어 피싱 등을 위험이 높아진 점을 고려하여 위반행위의 중대성을 '중대한 위반행위’로 판단한다.
2) 기준금액 산출
보호법 시행령 [별표 1의5] 제2호가목 2)에 따라 과징금 산정 시 기준금액은 위반행위의 중대성에 따라 산정하는바, '중대한 위반행위’의 기준금액은 2억 원 이상 7억 원 미만이며, 피심인의 경우에는 CPO 및 정보보호팀을 구성ㆍ운영중이고 정기적인 보안점검은 실시한 점, 내부의 조직적 위반 정황이 없는 점 등을 참작하여 기준금액을 200,000천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=168337399" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 ▲피심인의 보호법 위반기간이 2년을 초과하므로 기준금액의 100분의 50에 해당하는 100,000천 원을 가중하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 60,000천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액(240,000천원)의 100분의 30에 해당하는 72,000천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 168,000천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=168337401" alt="7번째 이미지"></img>
* 피심인이 중앙행정기관인 점을 고려하여 ’업무 형태와 규모' 감경(50% 이내) 미적용
** 보호법 제26조제4항 위반기간 : ’18.5.~’25.5.
2. 시정권고
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항 위반행위에 대하여 같은 법 제64조제3항에 따라 주문과 같이 시정조치를 권고한다.
3. 결과의 공표
개인정보 보호위원회는 보호법 제66조제1항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있다.
피심인은 보호법 제2조제6호에 따른 공공기관이므로 보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호위원회 지침, 2025. 7. 1. 시행(이하 '공표지침’)」 제3조제1항제3호에 따라 처분 결과를 개인정보 보호위원회 홈페이지에 1년간 공표한다.
4. 처분 사실의 공표명령
개인정보 보호위원회는 보호법 제66조제2항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 처분 등을 받은 자에게 해당 처분 등을 받았다는 사실을 공표할 것을 명할 수 있다.
피심인의 보호법 제26조제4항 위반기간(’18.5.~’25.5.)이 3년을 초과하므로, 보호법 제66조제2항, 공표지침 제6조제1항제7호, 제8조 및 제11조에 따라 피심인에게 처분 등에 대한 통지를 받은 날부터 30일 이내에 당해 처분을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)에 2일 이상 5일 미만의 기간 동안 게시하는 방법으로 공표할 것을 명한다.
이때 공표지침 제7조제1항 및 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅵ. 결론
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제5호, 제64조(시정조치 등)제3항, 제66조(결과의 공표)제1항ㆍ제2항에 따라 과징금 부과, 시정조치 권고, 공표 및 공표명령을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 공표 및 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).