개인정보보호위원회
심의ㆍ의결
제2026-010-071호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 5월 27일
요지
안건번호 : 제2026-010-071호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : ㈜미소테크(사업자등록번호 : )대표자
의결연월일 : 2026. 5. 27.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : ㈜미소테크(사업자등록번호 : )대표자
의결연월일 : 2026. 5. 27.
주문
1. 피심인에 대하여 다음과 같이 과징금, 과태료를 부과한다.
가. 과 징 금 : 82,500,000원
나. 과 태 료 : 4,500,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인의 법 위반 내용 및 처분 결과를 피심인 홈페이지에 공표명령한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 60일 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 5일 이상 7일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
가. 과 징 금 : 82,500,000원
나. 과 태 료 : 4,500,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인의 법 위반 내용 및 처분 결과를 피심인 홈페이지에 공표명령한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 60일 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 5일 이상 7일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
이유
Ⅰ. 기초 사실
피심인은 공공기관인 농촌진흥청, 국립농업과학원 및 국립축산과학원으로부터 개인정보 처리 업무를 위탁받은 「개인정보 보호법법률 제19234호, 2023. 3. 14. 일부개정(이하 '보호법’)」 상 수탁자이고, 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=168337495" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인의 개인정보 유출신고(’25.4.25)가 접수됨에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24.5.27. ~ '26.4.13.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 공공기관인 농촌진흥청, 국립농업과학원 및 국립축산과학원으로부터 개인정보 처리 업무를 위탁받아 아래와 같이 개인정보를 처리하였다.
<img src="/LSW/flDownload.do?flSeq=168337497" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 'NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다.
해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
2) 유출내용
농촌진흥청 홈페이지 회원정보 등 9종의 개인정보파일에 포함된 성명, 연락처, 주소 등 개인정보 약 57.5만 건이 유출되었다.
* 국정원은 NAS 내 정보화사업 산출물 포함 과거 데이터 약 3TB 유출 추정
<img src="/LSW/flDownload.do?flSeq=168337539" alt="3번째 이미지"></img>
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337541" alt="4번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보를 지체 없이 파기하지 않은 행위
피심인은 유지보수 업무에 사용할 목적으로 ’17.6.부터 정보화사업 용역 관련개발소스 및 개인정보 등 데이터를 자체 NAS에 ’17.6.부터 ’25.4.7.까지 보관하였다.
이와 관련하여 피심인은 정보화사업 용역의 종료로 처리 목적이 달성된 개인정보를 지체 없이 파기하지 않은 사실(’20.5.~’25.4.)이 있다.
나. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
피심인은 NAS를 외부 IP( )를 통해 접근이 가능한 상태로 운영(’17.6.~’25.4.)하면서 ①관리자 계정의 아이디( )와 비밀번호( )만으로 접근이 가능하도록 설정하였고, ②NAS 상단에 보안장비 부재(접근 가능한 IP 주소 제한 등 접근통제 정책 미설정 포함), ③취약한 비밀번호 사용 및 ④비밀번호 입력제한 미설정 등 NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치를 미흡하게 한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보 보호위원회는 ’26.5.4. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26.5.15. 개인정보 보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다.”라고 규정하고 있다.
나. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위해 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)(이하 '고시’) 제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 처리 목적을 달성한 개인정보를 지체 없이 파기하지 않은 사실
[보호법 제21조(개인정보의 파기)제1항]
피심인이 정보화사업 용역 종료로 처리 목적을 달성한 개인정보를 지체 없이 파기하지 않고 자체 NAS에 무단으로 보관(’20.5.~’25.4.)한 행위는 보호법 제21조제1항을 위반한 것이다.
나. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실
[보호법 제29조(안전조치의무)]
피심인이 NAS를 인터넷으로 접속할 수 있도록 운영(’17.6.~’25.4.)하면서, NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치를 미흡하게 한행위는 보호법 제29조, 시행령 제30조제1항 및 고시 제6조제3항을 위반한 것이다.
Ⅳ. 피심인의 주장에 대한 검토
1. 안전조치의무 위반에 대하여
가. 피심인의 주장
피심인은 본 사고와 관련된 NAS를 외부 IP를 통해 접근 가능하도록 운영한 것은 보수 작업을 위해 한시적으로 허용하였다가 담당자의 과실로 일부 기간 유지된 것이고 관리자 계정과 인가된 사용자 계정의 아이디와 비밀번호를 통해 접근통제 조치하였다고 주장한다.
나. 검토의견 : 불수용
농촌진흥청의 제출자료 중 국가정보원 강평 내용에 따르면, ①NAS 상단에 보안장비 부재, ②NAS에 대한 접근제한 부실(IDㆍPW만 입력하면 접속 가능), ③취약한 비밀번호( ) 사용, ④비밀번호 입력제한 미설정 등 안전조치 미흡사항이 지적되고 있어 피심인이 NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치가 충분히 이뤄졌다고 보기 어렵다. 또한, 피심인은 외부 접근을 한시적으로 허용한 것이라고 하나 이와 관련하여 제출된 증빙자료가 없으므로 피심인의 의견은 수용할 수 없다.
2. 개인정보 파기 의무 위반에 대하여
가. 피심인의 주장
피심인은 용역계약이 형식적으로 종료되었다는 사실만으로 모든 처리 목적이 즉시 소멸했다고 단정하기 어렵고, 하자 보수, 최종 검수 및 분쟁 대비 등 부수적인 목적이 남아있는 한 파기 의무의 이행 시점은 유예될 수 있다고 주장한다.
나. 검토의견 : 일부수용
피심인이 농촌진흥청, 국립농업과학원 및 국립축산과학원 등과 체결한 위탁 계약서에는 계약 해지, 계약기간 만료 시 위탁업무 관련 개인정보를 즉시 파기ㆍ반납이 규정되어 있고 별도의 예외 규정은 없으나, 조달청 일반용역계약에 하자담보책임기간 1년 특약이 규정된 점을 고려하여 개인정보 파기 의무 위반의 시점을 당초 17.6.부터에서 ’20.5.부터로 정정한다.
3. 보호법 제29조 위반행위 기간에 대하여
가. 피심인의 주장
피심인은 보호위원회가 피심인의 보호법 제29조 위반기간을 ’17.6.부터 ’25.4.까지 장기간으로 판단하는 것은 부당하고, 안전조치의무 위반이 실제로 발생한 시점부터 종료 시점까지로 보아야 한다고 주장한다.
나. 검토의견 : 불수용
보호위원회는 피심인의 보호법 제29조 위반기간을 피심인이 NAS를 이용했다고 제출한 ’17.6.부터 ’25.4.까지로 판단하였으며, 이에 대해 피심인은 구체적인 반박을 하지 못하고 있다. 또한, 보호법 제64조의2제1항제9호는 안전조치의무를 다한 경우 과징금을 부과하지 않도록 규정하고, 기존 개인정보 유출사고에 대한 선례개인정보보호위원회 심의ㆍ의결(제2024-006-163호, ㈜디지털대성, ’24.3.27.)또한 일관되게 안전조치의무 위반행위의 기간을 위반행위의 기간으로 산정하고 있어 피심인의 의견은 수용할 수 없다.
4. 기준금액에 대하여
가. 피심인의 주장
피심인은 ’22.~’24. 3년 동안 다수의 거래처와 총 114건의 계약을 체결하여 용역을 수행하는 과정에서, 각 발주처의 사업마다 별도의 담당자를 두었고, 개인정보 또한 각 계약건별로 구분하여 관리하였으므로 이 사건에서 문제되는 위반행위 관련 3개의 거래처(농촌진흥청, 국립농업과학원, 국립축산과학원)와 계약건에 한하여 관련 매출액으로 산정하여야 한다고 주장한다.
나. 검토의견 : 수용
이번 유출사고는 농촌진흥청, 국립농업과학원 및 국립축산과학원 등 3개 기관의 정보화사업을 위탁받아 수행하는 과정에서 발생하였으므로 전체 매출액 중 상기 3개 기관이 아닌 발주처와 거래에서 발생한 매출액은 시행령 제60조의2제3항제2호에 따른 '위반행위로 인하여 직접 또는 간접적으로 영향을 받는 재화 또는 서비스의 매출액’이 아닌 것으로 보고 관련 매출액에서 제외한다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)(이하 '과징금 부과기준’)」에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반행위에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
보호법 시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
이번 유출사고는 수탁자인 ㈜미소테크가 '자료미보유확약서’를 제출하였음에도 종료된 위탁계약으로 취득한 개인정보를 파기 또는 반납하지 않고 NAS에 무단 보관하다 안전조치 미흡으로 발생하였으므로 참작 사유가 없는 중과실로 봄이 타당하고, 유출된 개인정보 항목에 고유식별정보나 민감정보는 없었으나, 약 57.5만 건의 개인정보가 유출되어 다크웹에 게시되었고 과학기술인번호나 농업인 정보가 유출되어 피싱 등을 위험이 높아진 점을 고려하여 위반행위의 중대성을 '매우 중대한 위반행위’로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 피심인의 직전 3개 사업년도의 연평균 전체 매출액에서 위반행위 관련성이 확인되지 않은 관련 매출액을 제외한 3,909,423천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '매우 중대한 위반행위'의 부과기준율 1만분의 240을 적용하여 기준금액을 93,826천 원으로 한다
<img src="/LSW/flDownload.do?flSeq=168337543" alt="5번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=168337545" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 ▲피심인의 보호법 위반기간이 2년을 초과하므로 기준금액의 100분의 50에 해당하는 46,913천 원을 가중하고, ▲위반행위자가 공공기관, 비영리법인, 비영리단체 또는 「중소기업기본법」제2조에 따른 중기업자인 경우 등 위반행위자의 업무 형태 및 규모에 비해 과중하다고 인정되는 경우에 해당하므로 기준금액의 100분의 10에 해당하는 9,383천 원을 감경하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 28,148천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액(103,209천원)의 100분의 20에 해당하는 20,642천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 82,567천 원에서 과징금 부과기준 제11조제5항에 따라 1십만원 미만의 금액을 버린 82,500천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=168337547" alt="7번째 이미지"></img>
* 보호법 제29조 위반기간 : ’17.6. ~ ’25.4.
** 피심인이 중기업인 점을 고려하여 ’업무 형태와 규모' 감경 10% 적용
2. 과태료 부과
피심인의 제29조(안전조치의무) 위반행위는 같은 법 제75조(과태료)제2항제5호에 따라 과태료 부과 대상에 해당하나, 제76조(과태료에 관한 규정 적용의 특례)에 따라 과징금을 부과한 행위와 동일하여 과태료를 부과하지 않고,
피심인의 보호법 제21조(개인정보의 파기)제1항 위반행위에 대해 같은 법 제75조(과태료)제2항제4호, 시행령 제63조 [별표 2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준개인정보보호위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표 2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제21조제1항 위반에 대해서는 1회 위반에 해당하는 과태료인 600만 원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=168337549" alt="8번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조는 ’당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제21조제1항 위반행위는 법 위반상태의 기간이 ’17.6.부터 ’25.4.까지로 2년을 초과(30%)하는 점을 고려하여, 과태료 부과지침 제7조에 따라 기준금액에 30%를 가중한다.
2) 과태료의 감경
과태료 부과지침 제6조는제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 보호법 제21조제1항 위반행위는 ▲피심인의 업무형태 및 규모가 중기업으로 인정(15%)되고 ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료(20%)하였으며, ▲조사에 적극적으로 협력(20%)한 점 등을 종합적으로 고려하여 과태료 부과지침 제6조에 따라 기준금액의 55%를 감경한다.
다. 최종 과태료
피심인의 보호법 제21조제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 과태료 450만 원을 부과한다.
<img src="/LSW/flDownload.do?flSeq=168337551" alt="9번째 이미지"></img>
3. 처분 사실의 공표명령
개인정보 보호위원회는 보호법 제66조제2항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 처분 등을 받은 자에게 해당 처분 등을 받았다는 사실을 공표할 것을 명할 수 있다.
피심인의 보호법 제21조제1항 및 제29조 위반기간(’17.6.~’25.4.)이 3년을 초과하므로, 보호법 제66조제2항, 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호위원회 지침, 2025. 7. 1. 시행(이하 '공표지침’)」 제6조제1항제7호, 제8조 및 제11조에 따라 피심인에게 처분 등에 대한 통지를 받은 날부터 30일 이내에 당해 처분을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)에 2일 이상 5일 미만의 기간 동안 게시하는 방법으로 공표할 것을 명한다.
* (제7호) 위반행위 시점을 기준으로 위반상태가 3년을 초과하여 지속된 경우
이때 공표지침 제7조제1항 및 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅵ. 결론
피심인의 보호법 제29조(안전조치의무), 제21조(개인정보의 파기)제1항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제75조(과태료)제2항제4호 및 제66조(결과의 공표)제2항에 따라 과징금ㆍ과태료 부과, 및 공표명령을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분 및 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 공공기관인 농촌진흥청, 국립농업과학원 및 국립축산과학원으로부터 개인정보 처리 업무를 위탁받은 「개인정보 보호법법률 제19234호, 2023. 3. 14. 일부개정(이하 '보호법’)」 상 수탁자이고, 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=168337495" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보 보호위원회는 피심인의 개인정보 유출신고(’25.4.25)가 접수됨에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24.5.27. ~ '26.4.13.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 공공기관인 농촌진흥청, 국립농업과학원 및 국립축산과학원으로부터 개인정보 처리 업무를 위탁받아 아래와 같이 개인정보를 처리하였다.
<img src="/LSW/flDownload.do?flSeq=168337497" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 'NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다.
해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
2) 유출내용
농촌진흥청 홈페이지 회원정보 등 9종의 개인정보파일에 포함된 성명, 연락처, 주소 등 개인정보 약 57.5만 건이 유출되었다.
* 국정원은 NAS 내 정보화사업 산출물 포함 과거 데이터 약 3TB 유출 추정
<img src="/LSW/flDownload.do?flSeq=168337539" alt="3번째 이미지"></img>
3) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=168337541" alt="4번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보를 지체 없이 파기하지 않은 행위
피심인은 유지보수 업무에 사용할 목적으로 ’17.6.부터 정보화사업 용역 관련개발소스 및 개인정보 등 데이터를 자체 NAS에 ’17.6.부터 ’25.4.7.까지 보관하였다.
이와 관련하여 피심인은 정보화사업 용역의 종료로 처리 목적이 달성된 개인정보를 지체 없이 파기하지 않은 사실(’20.5.~’25.4.)이 있다.
나. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
피심인은 NAS를 외부 IP( )를 통해 접근이 가능한 상태로 운영(’17.6.~’25.4.)하면서 ①관리자 계정의 아이디( )와 비밀번호( )만으로 접근이 가능하도록 설정하였고, ②NAS 상단에 보안장비 부재(접근 가능한 IP 주소 제한 등 접근통제 정책 미설정 포함), ③취약한 비밀번호 사용 및 ④비밀번호 입력제한 미설정 등 NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치를 미흡하게 한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보 보호위원회는 ’26.5.4. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26.5.15. 개인정보 보호위원회에 의견을 제출하였다.
Ⅲ. 관련 법규 및 위법성 판단
1. 관련법 규정
가. 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다.”라고 규정하고 있다.
나. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위해 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’를 하여야 한다.”라고 규정하고 있다. 또한, 같은 조 제3항은 “제1항에 따른 안전성 확보조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)(이하 '고시’) 제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 처리 목적을 달성한 개인정보를 지체 없이 파기하지 않은 사실
[보호법 제21조(개인정보의 파기)제1항]
피심인이 정보화사업 용역 종료로 처리 목적을 달성한 개인정보를 지체 없이 파기하지 않고 자체 NAS에 무단으로 보관(’20.5.~’25.4.)한 행위는 보호법 제21조제1항을 위반한 것이다.
나. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실
[보호법 제29조(안전조치의무)]
피심인이 NAS를 인터넷으로 접속할 수 있도록 운영(’17.6.~’25.4.)하면서, NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치를 미흡하게 한행위는 보호법 제29조, 시행령 제30조제1항 및 고시 제6조제3항을 위반한 것이다.
Ⅳ. 피심인의 주장에 대한 검토
1. 안전조치의무 위반에 대하여
가. 피심인의 주장
피심인은 본 사고와 관련된 NAS를 외부 IP를 통해 접근 가능하도록 운영한 것은 보수 작업을 위해 한시적으로 허용하였다가 담당자의 과실로 일부 기간 유지된 것이고 관리자 계정과 인가된 사용자 계정의 아이디와 비밀번호를 통해 접근통제 조치하였다고 주장한다.
나. 검토의견 : 불수용
농촌진흥청의 제출자료 중 국가정보원 강평 내용에 따르면, ①NAS 상단에 보안장비 부재, ②NAS에 대한 접근제한 부실(IDㆍPW만 입력하면 접속 가능), ③취약한 비밀번호( ) 사용, ④비밀번호 입력제한 미설정 등 안전조치 미흡사항이 지적되고 있어 피심인이 NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치가 충분히 이뤄졌다고 보기 어렵다. 또한, 피심인은 외부 접근을 한시적으로 허용한 것이라고 하나 이와 관련하여 제출된 증빙자료가 없으므로 피심인의 의견은 수용할 수 없다.
2. 개인정보 파기 의무 위반에 대하여
가. 피심인의 주장
피심인은 용역계약이 형식적으로 종료되었다는 사실만으로 모든 처리 목적이 즉시 소멸했다고 단정하기 어렵고, 하자 보수, 최종 검수 및 분쟁 대비 등 부수적인 목적이 남아있는 한 파기 의무의 이행 시점은 유예될 수 있다고 주장한다.
나. 검토의견 : 일부수용
피심인이 농촌진흥청, 국립농업과학원 및 국립축산과학원 등과 체결한 위탁 계약서에는 계약 해지, 계약기간 만료 시 위탁업무 관련 개인정보를 즉시 파기ㆍ반납이 규정되어 있고 별도의 예외 규정은 없으나, 조달청 일반용역계약에 하자담보책임기간 1년 특약이 규정된 점을 고려하여 개인정보 파기 의무 위반의 시점을 당초 17.6.부터에서 ’20.5.부터로 정정한다.
3. 보호법 제29조 위반행위 기간에 대하여
가. 피심인의 주장
피심인은 보호위원회가 피심인의 보호법 제29조 위반기간을 ’17.6.부터 ’25.4.까지 장기간으로 판단하는 것은 부당하고, 안전조치의무 위반이 실제로 발생한 시점부터 종료 시점까지로 보아야 한다고 주장한다.
나. 검토의견 : 불수용
보호위원회는 피심인의 보호법 제29조 위반기간을 피심인이 NAS를 이용했다고 제출한 ’17.6.부터 ’25.4.까지로 판단하였으며, 이에 대해 피심인은 구체적인 반박을 하지 못하고 있다. 또한, 보호법 제64조의2제1항제9호는 안전조치의무를 다한 경우 과징금을 부과하지 않도록 규정하고, 기존 개인정보 유출사고에 대한 선례개인정보보호위원회 심의ㆍ의결(제2024-006-163호, ㈜디지털대성, ’24.3.27.)또한 일관되게 안전조치의무 위반행위의 기간을 위반행위의 기간으로 산정하고 있어 피심인의 의견은 수용할 수 없다.
4. 기준금액에 대하여
가. 피심인의 주장
피심인은 ’22.~’24. 3년 동안 다수의 거래처와 총 114건의 계약을 체결하여 용역을 수행하는 과정에서, 각 발주처의 사업마다 별도의 담당자를 두었고, 개인정보 또한 각 계약건별로 구분하여 관리하였으므로 이 사건에서 문제되는 위반행위 관련 3개의 거래처(농촌진흥청, 국립농업과학원, 국립축산과학원)와 계약건에 한하여 관련 매출액으로 산정하여야 한다고 주장한다.
나. 검토의견 : 수용
이번 유출사고는 농촌진흥청, 국립농업과학원 및 국립축산과학원 등 3개 기관의 정보화사업을 위탁받아 수행하는 과정에서 발생하였으므로 전체 매출액 중 상기 3개 기관이 아닌 발주처와 거래에서 발생한 매출액은 시행령 제60조의2제3항제2호에 따른 '위반행위로 인하여 직접 또는 간접적으로 영향을 받는 재화 또는 서비스의 매출액’이 아닌 것으로 보고 관련 매출액에서 제외한다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)(이하 '과징금 부과기준’)」에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반행위에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
보호법 시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
이번 유출사고는 수탁자인 ㈜미소테크가 '자료미보유확약서’를 제출하였음에도 종료된 위탁계약으로 취득한 개인정보를 파기 또는 반납하지 않고 NAS에 무단 보관하다 안전조치 미흡으로 발생하였으므로 참작 사유가 없는 중과실로 봄이 타당하고, 유출된 개인정보 항목에 고유식별정보나 민감정보는 없었으나, 약 57.5만 건의 개인정보가 유출되어 다크웹에 게시되었고 과학기술인번호나 농업인 정보가 유출되어 피싱 등을 위험이 높아진 점을 고려하여 위반행위의 중대성을 '매우 중대한 위반행위’로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 피심인의 직전 3개 사업년도의 연평균 전체 매출액에서 위반행위 관련성이 확인되지 않은 관련 매출액을 제외한 3,909,423천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '매우 중대한 위반행위'의 부과기준율 1만분의 240을 적용하여 기준금액을 93,826천 원으로 한다
<img src="/LSW/flDownload.do?flSeq=168337543" alt="5번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=168337545" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 ▲피심인의 보호법 위반기간이 2년을 초과하므로 기준금액의 100분의 50에 해당하는 46,913천 원을 가중하고, ▲위반행위자가 공공기관, 비영리법인, 비영리단체 또는 「중소기업기본법」제2조에 따른 중기업자인 경우 등 위반행위자의 업무 형태 및 규모에 비해 과중하다고 인정되는 경우에 해당하므로 기준금액의 100분의 10에 해당하는 9,383천 원을 감경하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 28,148천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲조사에 적극 협력한 경우에 해당하여 1차 조정을 거친 금액(103,209천원)의 100분의 20에 해당하는 20,642천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 82,567천 원에서 과징금 부과기준 제11조제5항에 따라 1십만원 미만의 금액을 버린 82,500천 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=168337547" alt="7번째 이미지"></img>
* 보호법 제29조 위반기간 : ’17.6. ~ ’25.4.
** 피심인이 중기업인 점을 고려하여 ’업무 형태와 규모' 감경 10% 적용
2. 과태료 부과
피심인의 제29조(안전조치의무) 위반행위는 같은 법 제75조(과태료)제2항제5호에 따라 과태료 부과 대상에 해당하나, 제76조(과태료에 관한 규정 적용의 특례)에 따라 과징금을 부과한 행위와 동일하여 과태료를 부과하지 않고,
피심인의 보호법 제21조(개인정보의 파기)제1항 위반행위에 대해 같은 법 제75조(과태료)제2항제4호, 시행령 제63조 [별표 2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준개인정보보호위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표 2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 제21조제1항 위반에 대해서는 1회 위반에 해당하는 과태료인 600만 원을 기준금액으로 적용한다.
<img src="/LSW/flDownload.do?flSeq=168337549" alt="8번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조는 ’당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.'라고 규정하고 있다.
피심인의 보호법 제21조제1항 위반행위는 법 위반상태의 기간이 ’17.6.부터 ’25.4.까지로 2년을 초과(30%)하는 점을 고려하여, 과태료 부과지침 제7조에 따라 기준금액에 30%를 가중한다.
2) 과태료의 감경
과태료 부과지침 제6조는제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 보호법 제21조제1항 위반행위는 ▲피심인의 업무형태 및 규모가 중기업으로 인정(15%)되고 ▲사전통지 및 의견제출 기간 내에 위반행위를 시정 완료(20%)하였으며, ▲조사에 적극적으로 협력(20%)한 점 등을 종합적으로 고려하여 과태료 부과지침 제6조에 따라 기준금액의 55%를 감경한다.
다. 최종 과태료
피심인의 보호법 제21조제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 과태료 450만 원을 부과한다.
<img src="/LSW/flDownload.do?flSeq=168337551" alt="9번째 이미지"></img>
3. 처분 사실의 공표명령
개인정보 보호위원회는 보호법 제66조제2항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 처분 등을 받은 자에게 해당 처분 등을 받았다는 사실을 공표할 것을 명할 수 있다.
피심인의 보호법 제21조제1항 및 제29조 위반기간(’17.6.~’25.4.)이 3년을 초과하므로, 보호법 제66조제2항, 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호위원회 지침, 2025. 7. 1. 시행(이하 '공표지침’)」 제6조제1항제7호, 제8조 및 제11조에 따라 피심인에게 처분 등에 대한 통지를 받은 날부터 30일 이내에 당해 처분을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)에 2일 이상 5일 미만의 기간 동안 게시하는 방법으로 공표할 것을 명한다.
* (제7호) 위반행위 시점을 기준으로 위반상태가 3년을 초과하여 지속된 경우
이때 공표지침 제7조제1항 및 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅵ. 결론
피심인의 보호법 제29조(안전조치의무), 제21조(개인정보의 파기)제1항을 위반한 행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제75조(과태료)제2항제4호 및 제66조(결과의 공표)제2항에 따라 과징금ㆍ과태료 부과, 및 공표명령을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분 및 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).