제2026-010-070호

안건번호 : 제2026-010-070호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 국립축산과학원(사업자등록번호 : )대표자
의결연월일 : 2026. 5. 27.

1. 피심인에 대하여 다음과 같이 시정조치를 명한다.
가. 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것
나. 용역기간 중 수탁자 소속 직원이 사용할 PC 및 보조저장장치 등은 필요 최소한으로 제한하고, 장비마다 DRM, 매체제어솔루션 등을 설치ㆍ운영하며, 반ㆍ출입대장을 작성ㆍ관리할 것
다. 수시로 미리 승인한 PC 및 보조저장매체 등의 이용기록, 불필요한 개인정보의 저장 여부 및 승인하지 않은 장비를 사용하는지 여부를 점검할 것
라. 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검 하고 증빙자료를 수령하여 보관할 것
마. 가.부터 라.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것
바. 가.부터 마의 시정조치를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것

Ⅰ. 기초 사실
피심인은 「정부조직법」 상 중앙행정기관의 소속기관으로 「개인정보 보호법법률 제16930호, 2020. 2. 4. 일부개정, 2020.8.5. 시행(이하 '보호법’)」 제2조제6조에 따른 공공기관이고 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
※ 피심인의 보호법 제26조제4항 위반기간이 ’20.3.부터 9.까지인 점을 감안, 舊 보호법 적용
<img src="/LSW/flDownload.do?flSeq=168337479" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인의 개인정보 유출신고(’25.4.28)가 접수됨에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24.5.16. ~ '26.4.13.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 개인정보처리시스템 운용 등 소관 업무수행을 위해 아래와 같이 개인정보를 수집ㆍ보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=168337481" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 'NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다.
해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
2) 유출내용
시스템 회원정보에 포함된 성명, 연락처, 주소 등 3,132명의 개인정보가 유출되었다.
* 국정원은 NAS 내 정보화사업 산출물 포함 과거 데이터 약 3TB 유출 추정
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337483" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. ㈜미소테크와 위탁계약 현황
<img src="/LSW/flDownload.do?flSeq=168337485" alt="4번째 이미지"></img>
나. 수탁자에 대한 관리ㆍ감독을 소홀히 한 행위
피심인은 수탁자인 ㈜미소테크가 ’17.6.부터 NAS를 구축ㆍ운영하고 있는 사실을 유출사고 발생시(’25.4.)까지 인지하지 못한 사실이 있다.
피심인은 위탁 기간 중 코로나 팬데믹의 여파로 자체 보안점검(월 1회) 결과를 보고 받았지만 현장점검은 실시하지 않아 ㈜미소테크의 개인정보 보유 현황 및 업무처리 환경(이용 장비ㆍ자료공유 현황)을 정확히 파악하지 못하였다.
특히, 피심인은 용역사업 종료 시마다 용역업체로부터 “자료미보유확약서”만 수령하고 노트북ㆍ외장하드 등에서 개인정보가 파기 여부는 점검ㆍ확인하지 않은 사실이 있다.

4. 처분의 사전통지 및 의견수렴
개인정보 보호위원회는 ’26.5.4. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26.5.14. 개인정보 보호위원회에 의견을 제출하였다.

Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
보호법 제26조제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 수탁자에 대한 관리ㆍ감독을 소홀히 한 사실
[보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항]
위탁자는 보호법 제26조 제4항 및 같은 법 시행령 제28조제6항에 따라 개인정보의 접근 또는 접속현황이나 만료된 계약 관련 개인정보의 파기ㆍ반납 등 개인정보 처리현황을 관리ㆍ감독하여야 하나, 피심인이 수탁자인 ㈜미소테크의 개인정보 보유 현황 및 업무처리 환경을 실효적으로 파악하지 못하여, ㈜미소테크가 용역기간이 종료된 개인정보를 자체 NAS에 무단 보관하다 해킹으로 유출한 것은 보호법 제26조제4항을 위반*한 것이다.
※ 위반기간: ’20.3.~9.
아울러, 행정기관 및 공공기관의 정보시스템 구축ㆍ운영의 경우 ①국민은 위탁자인 행정기관 등을 신뢰하고 개인정보를 제공하는 점, ②「전자정부법」 등에 따라 정보보안 및 개인정보보호 의무가 부여되는 점, ③수탁업체가 전문인력을 지원하는 방식으로 운영되면서, ④이들이 사업기간 동안 서버나 DB 등 개발환경 등에 상시 접근하는 사업의 특성을 고려할 때, 위탁자인 행정기관 등에 수탁업체의 개인정보 처리실태를 보다 면밀히 관리ㆍ감독할 필요가 있다.
※ 위탁자의 수탁자에 대한 관리ㆍ감독의 수준은 개인정보 처리 업무 위탁의 특성, 위탁자가 수탁자를 실질적으로 관리할 수 있는 환경인지 여부 등을 종합적으로 고려하여 개별 상황의 특성에 맞게 운영될 수 있음개인정보 처리 통합 안내서(’25.7월) 175쪽 참조Ⅳ. 피심인의 주장에 대한 검토
1. 피심인의 주장
피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약 기간은 ’20.3.~9.로 피심인의 수탁자 관리ㆍ감독 의무도 위탁계약 종료와 함께 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다.
2. 검토의견 : 수용
피심인이 ㈜미소테크와 체결한 축사로시스템 관련 위탁계약은 ’20.9월 종료되었고, 이후에는 ㈜엠엠소프트와 체결되었으므로 ’20.9월에 피심인의 수탁자 관리ㆍ감독 의무도 위탁계약 종료로 소멸된 것으로 봄이 타당하므로, 본 유출 사고에 舊 보호법 (법률 제16930호)을 적용한다.
Ⅴ. 처분 및 결정
1. 시정명령
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항 위반행위에 대하여 같은 법 제64조제1항에 따라 주문과 같이 시정조치를 명령한다.
Ⅵ. 결론
피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 위반한 행위에 대하여 같은 법 제64조(시정조치 등)제1항에 따라 시정조치 명령을 주문과 같이 의결한다.

피심인은 이 시정조치 명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.