개인정보보호위원회
심의ㆍ의결
개인정보보호위원회 심의ㆍ의결 2026-09-09
의결일: 2026년 9월 9일
주문
국회사무처는 국회의원실 보안해제 기능의 사용자 및 사용일시 등 해당 기능의 구체적인 사용 내역에 대한 확인을 위해 국회의원에 해당 국회의원실 소속 직원의 사무실 출입기록 및 카드리더기 보안 해제 정보를 제공할 수 있다.
다만, 국회사무처는 카드리더기의 보안이 해제된 시점 전후 일정 시간 동안의 출입기록 등 관련 경위 파악에 직접 필요한 정보에 한정하여 해당 국회의원에 본 건 개인정보를 제공해야 하며, 본 건 개인정보를 제공받는 국회의원도 관련 업무 담당자에 한하여 해당 정보에 접근하도록 하고 보안 문제의 경위 확인 및 대응 목적 외로 이용하지 않도록 하며 목적 달성 후에는 본 건 개인정보를 신속히 파기하도록 하는 등의 조치를 마련하여야 한다.
다만, 국회사무처는 카드리더기의 보안이 해제된 시점 전후 일정 시간 동안의 출입기록 등 관련 경위 파악에 직접 필요한 정보에 한정하여 해당 국회의원에 본 건 개인정보를 제공해야 하며, 본 건 개인정보를 제공받는 국회의원도 관련 업무 담당자에 한하여 해당 정보에 접근하도록 하고 보안 문제의 경위 확인 및 대응 목적 외로 이용하지 않도록 하며 목적 달성 후에는 본 건 개인정보를 신속히 파기하도록 하는 등의 조치를 마련하여야 한다.
이유
별지와 같다.
이상과 같은 이유로 주문과 같이 의결한다.
1. 질의요지
가. 질의배경
○국회사무처는 「국회사무처법」 제2조 제8호에 따라 국회 및 국회의원의 입법활동과 국회의 행정업무에 관련된 국회 청사 관리ㆍ경비 업무를 수행하고 있고
- 「국회전자출입시스템 설치 및 운영에 관한 내규」에 따라 전자출입시스템을 설치ㆍ운영하면서 공무원증 등 전자식 출입증표 소지자의 전자출입시스템 출입기록 관리 및 보안관리를 하고 있음
○국회사무처는 전자출입시스템을 통해 각 사무실 소속 직원이 출입증을 카드리더기에 태그하여 해당 사무실에 출입할 수 있도록 운영하면서
- 소속 직원이 업무상 사무실을 빈번하게 출입하는 경우 매번 출입증을 태그해야 하는 불편이 있어, 최초 출입 후 별도의 출입증 태그 없이도 사무실을 출입할 수 있도록 하는 보안해제 기능을 소속 직원에게 제공하고 있음
○한편, 일부 국회의원은 보안해제 기능을 사용할 경우 출입증을 태그하지 않은 사람도 사무실에 출입할 수 있어 보안상 문제가 발생할 우려가 있다고 보고 소속 직원들에게 해당 기능을 사용하지 않도록 안내하였으나, 일부 소속 직원은 이러한 안내에도 불구하고 보안해제 기능을 계속 사용하였음
○이에 해당 국회의원은 보안해제 기능의 사용자 및 사용일시 등 해당 기능의 구체적인 사용 내역에 대한 확인을 위해 국회사무처에 해당 국회의원실 소속 직원의 사무실 출입기록 및 카드리더기 보안 해제 정보를 요청하였음
나. 질의내용
○국회사무처가 국회의원실 보안해제 기능의 사용자 및 사용일시 등 해당 기능의 구체적인 사용내역 확인을 위해 「개인정보 보호법」(이하 '보호법’이라 한다) 제17조 제4항에 따라 국회의원에 해당 국회의원실 소속 직원의 사무실 출입기록 및 카드리더기 보안 해제 정보(이하 '본 건 개인정보’라 함)를 제공할 수 있는지 여부
2. 이유
가. 국회사무처와 국회의원이 별개의 개인정보처리자에 해당하는지 여부
○ 보호법 제2조 제5호에 따르면 개인정보처리자란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다고 규정하고 있음
○ 국회사무처는 「국회법」 제21조 및 「국회사무처법」 제2조에 따라 국회 전체의 입법ㆍ예산 결산 심사활동 지원, 청사 보안 관리 등 '국회 행정 및 입법 지원’을 고유 업무로 하고 있음
○ 한편, 국회의원은 헌법과 법률에 따라 법률안 제출권, 법률안 심의ㆍ표결권 등 독자적인 권한을 부여받은 헌법상의 국가기관으로(헌법재판소 1997. 7. 16. 선고96헌라2 참조)
- 국회의원이 입법활동 및 의정활동을 수행하는 과정에서 개인정보를 처리하는 경우, 이는 국회사무처의 업무를 위하여 개인정보를 처리하는 것이라기보다는 해당 국회의원의 독자적인 업무를 위하여 개인정보를 처리하는 것으로 볼 수 있음
○ 이러한 점을 고려하면, 국회사무처와 국회의원은 각각 서로 다른 업무와 목적에 따라 개인정보를 처리하는 주체로서, 보호법상 서로 별개의 개인정보처리자에 해당한다고 보는 것이 타당하다고 판단됨
나. 국회의원이 본 건 개인정보를 보호법 제17조 제4항에 따라 국회사무처로부터 제공받을 수 있는지 여부
○ 보호법 제17조 제4항은 개인정보처리자가 당초 수집 목적과 합리적 으로 관련된 범위 내에서 정보주체에게 불이익이 발생하는지 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있다고 규정하고 있고
- 같은 법 시행령 제14조의2 제1항에서 이 경우 고려해야 할 사항으로 '당초 수집 목적과 관련성이 있는지 여부, 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부, 정보주체의 이익을 부당하게 침해하는지 여부, 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부’를 규정하고 있음
1) 당초 수집 목적과 관련성이 있는지 여부
○ 개인정보처리자가 개인정보를 추가적으로 이용 및 제공할 수 있는지 여부를 판단하기 위해서는 개인정보의 당초 수집 목적과 추가적 이용 및 제공의 목적이 관련성이 있는지를 고려하여야 하는데
- 이 때 '관련성’이 있다는 것은 당초 수집 목적과 추가적 제공의 목적이 서로 그 성질이나 경향 등에 있어서 연관이 있다는 것을 의미함(개인정보보호위원회, 개인정보 처리 통합 안내서 p.77. 참조)
○ 본 건에서 국회사무처가 본 건 개인정보를 수집한 목적은 국회 청사의 보안 유지 및 보안사고 발생 시 경위 파악 등으로
- 개별 국회의원의 자체적인 보안 업무가 국회사무처의 청사 보안 업무와 동일한 업무라고 보기는 어렵더라도, 국회의원실은 국회 청사의 일부이고 국회의원실의 출입 및 보안 역시 국회 청사의 전반적인 보안과 밀접하게 관련되어 있음
○ 따라서 국회의원이 해당 국회의원실의 보안 문제의 확인 및 대응을 위하여 본 건 개인정보를 제공받는 것은 당초 수집 목적과 그 성질 및 경향에 있어 연관성이 있다고 판단됨
2) 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부
○ 본 건 개인정보는 국회의원실의 출입 및 출입문의 보안 상태를 해제하는 기능을 사용하는 과정에서 생성된 정보로서 해당 국회의원실의 출입 및 보안관리에 활용될 가능성이 내재되어 있다고 볼 수 있음
○ 따라서 국회의원실 소속 직원으로서는 본 건 개인정보가 국회사무처의 시설관리뿐만 아니라 자신이 소속된 국회의원실의 보안관리 목적으로 활용될 수 있다는 점도 본 건 개인정보를 수집한 정황 및 처리 관행에 비추어 예측 가능한 범위에 있다고 볼 수 있음
3) 정보주체의 이익을 부당하게 침해하는지 여부
○ 정보주체의 이익을 부당하게 침해하는지 여부는 정보주체의 이익을 실질적으로 침해하는지와 해당 이익 침해가 부당한지를 고려하여야 하며, 이는 추가적인 이용 또는 제공의 목적이나 의도와의 관계에서 판단되어야 함(개인정보보호위원회, 개인정보 처리 통합 안내서 p.78. 참조)
○ 본 건 개인정보는 사적인 목적이나 직원의 일반적인 동향 파악 등을 위하여 이용되는 것이 아니라 해당 국회의원실의 보안 문제의 확인 및 대응이라는 업무 수행 목적으로 이용될 예정이고
- 해당 국회의원이 보안상의 이유로 소속 직원에게 보안해제 기능을 사용하지 않도록 사전에 안내하였음에도 일부 직원이 이를 계속 사용함에 따라 그 사용 여부를 확인하기 위한 것임을 고려하면, 해당 국회의원실의 보안관리 필요성과 비교하여 정보주체의 이익을 부당하게 침해한다고 보기 어려움
4) 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부
○ 국회사무처는 카드리더기의 보안이 해제된 시점 전후 일정 시간 동안의 출입기록 등 관련 경위 파악에 직접 필요한 정보에 한정하여 해당 국회의원에 본 건 개인정보를 제공할 예정인 점,
- 본 건 개인정보를 제공받는 국회의원도 관련 업무 담당자에 한하여 해당 정보에 접근하도록 하고, 보안 문제의 경위 확인 및 대응 목적 외로 이용하지 않도록 하며, 목적 달성 후에는 본 건 개인정보를 신속히 파기하도록 하는 등의 조치를 마련할 예정인 점 등을 고려하면 안전성 확보에 필요한 조치를 한 것으로 볼 수 있음
3. 검토결과
○국회사무처는 국회의원실 보안해제 기능의 사용자 및 사용일시 등 해당 기능의 구체적인 사용내역 확인을 위해 해당 국회의원에 본 건 개인정보를 제공할 수 있음
○ 다만, 국회사무처는 카드리더기의 보안이 해제된 시점 전후 일정 시간 동안의 출입기록 등 관련 경위 파악에 직접 필요한 정보에 한정하여 해당 국회의원실에 본 건 개인정보를 제공해야 하며
- 본 건 개인정보를 제공받는 국회의원실에서도 관련 업무 담당자에 한하여 해당 정보에 접근하도록 하고, 보안 문제의 경위 확인 및 대응 목적 외로 이용하지 않도록 하며, 목적 달성 후에는 본 건 개인정보를 신속히 파기하도록 하는 등의 조치를 마련하여야 함
이상과 같은 이유로 주문과 같이 의결한다.
1. 질의요지
가. 질의배경
○국회사무처는 「국회사무처법」 제2조 제8호에 따라 국회 및 국회의원의 입법활동과 국회의 행정업무에 관련된 국회 청사 관리ㆍ경비 업무를 수행하고 있고
- 「국회전자출입시스템 설치 및 운영에 관한 내규」에 따라 전자출입시스템을 설치ㆍ운영하면서 공무원증 등 전자식 출입증표 소지자의 전자출입시스템 출입기록 관리 및 보안관리를 하고 있음
○국회사무처는 전자출입시스템을 통해 각 사무실 소속 직원이 출입증을 카드리더기에 태그하여 해당 사무실에 출입할 수 있도록 운영하면서
- 소속 직원이 업무상 사무실을 빈번하게 출입하는 경우 매번 출입증을 태그해야 하는 불편이 있어, 최초 출입 후 별도의 출입증 태그 없이도 사무실을 출입할 수 있도록 하는 보안해제 기능을 소속 직원에게 제공하고 있음
○한편, 일부 국회의원은 보안해제 기능을 사용할 경우 출입증을 태그하지 않은 사람도 사무실에 출입할 수 있어 보안상 문제가 발생할 우려가 있다고 보고 소속 직원들에게 해당 기능을 사용하지 않도록 안내하였으나, 일부 소속 직원은 이러한 안내에도 불구하고 보안해제 기능을 계속 사용하였음
○이에 해당 국회의원은 보안해제 기능의 사용자 및 사용일시 등 해당 기능의 구체적인 사용 내역에 대한 확인을 위해 국회사무처에 해당 국회의원실 소속 직원의 사무실 출입기록 및 카드리더기 보안 해제 정보를 요청하였음
나. 질의내용
○국회사무처가 국회의원실 보안해제 기능의 사용자 및 사용일시 등 해당 기능의 구체적인 사용내역 확인을 위해 「개인정보 보호법」(이하 '보호법’이라 한다) 제17조 제4항에 따라 국회의원에 해당 국회의원실 소속 직원의 사무실 출입기록 및 카드리더기 보안 해제 정보(이하 '본 건 개인정보’라 함)를 제공할 수 있는지 여부
2. 이유
가. 국회사무처와 국회의원이 별개의 개인정보처리자에 해당하는지 여부
○ 보호법 제2조 제5호에 따르면 개인정보처리자란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다고 규정하고 있음
○ 국회사무처는 「국회법」 제21조 및 「국회사무처법」 제2조에 따라 국회 전체의 입법ㆍ예산 결산 심사활동 지원, 청사 보안 관리 등 '국회 행정 및 입법 지원’을 고유 업무로 하고 있음
○ 한편, 국회의원은 헌법과 법률에 따라 법률안 제출권, 법률안 심의ㆍ표결권 등 독자적인 권한을 부여받은 헌법상의 국가기관으로(헌법재판소 1997. 7. 16. 선고96헌라2 참조)
- 국회의원이 입법활동 및 의정활동을 수행하는 과정에서 개인정보를 처리하는 경우, 이는 국회사무처의 업무를 위하여 개인정보를 처리하는 것이라기보다는 해당 국회의원의 독자적인 업무를 위하여 개인정보를 처리하는 것으로 볼 수 있음
○ 이러한 점을 고려하면, 국회사무처와 국회의원은 각각 서로 다른 업무와 목적에 따라 개인정보를 처리하는 주체로서, 보호법상 서로 별개의 개인정보처리자에 해당한다고 보는 것이 타당하다고 판단됨
나. 국회의원이 본 건 개인정보를 보호법 제17조 제4항에 따라 국회사무처로부터 제공받을 수 있는지 여부
○ 보호법 제17조 제4항은 개인정보처리자가 당초 수집 목적과 합리적 으로 관련된 범위 내에서 정보주체에게 불이익이 발생하는지 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있다고 규정하고 있고
- 같은 법 시행령 제14조의2 제1항에서 이 경우 고려해야 할 사항으로 '당초 수집 목적과 관련성이 있는지 여부, 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부, 정보주체의 이익을 부당하게 침해하는지 여부, 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부’를 규정하고 있음
1) 당초 수집 목적과 관련성이 있는지 여부
○ 개인정보처리자가 개인정보를 추가적으로 이용 및 제공할 수 있는지 여부를 판단하기 위해서는 개인정보의 당초 수집 목적과 추가적 이용 및 제공의 목적이 관련성이 있는지를 고려하여야 하는데
- 이 때 '관련성’이 있다는 것은 당초 수집 목적과 추가적 제공의 목적이 서로 그 성질이나 경향 등에 있어서 연관이 있다는 것을 의미함(개인정보보호위원회, 개인정보 처리 통합 안내서 p.77. 참조)
○ 본 건에서 국회사무처가 본 건 개인정보를 수집한 목적은 국회 청사의 보안 유지 및 보안사고 발생 시 경위 파악 등으로
- 개별 국회의원의 자체적인 보안 업무가 국회사무처의 청사 보안 업무와 동일한 업무라고 보기는 어렵더라도, 국회의원실은 국회 청사의 일부이고 국회의원실의 출입 및 보안 역시 국회 청사의 전반적인 보안과 밀접하게 관련되어 있음
○ 따라서 국회의원이 해당 국회의원실의 보안 문제의 확인 및 대응을 위하여 본 건 개인정보를 제공받는 것은 당초 수집 목적과 그 성질 및 경향에 있어 연관성이 있다고 판단됨
2) 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부
○ 본 건 개인정보는 국회의원실의 출입 및 출입문의 보안 상태를 해제하는 기능을 사용하는 과정에서 생성된 정보로서 해당 국회의원실의 출입 및 보안관리에 활용될 가능성이 내재되어 있다고 볼 수 있음
○ 따라서 국회의원실 소속 직원으로서는 본 건 개인정보가 국회사무처의 시설관리뿐만 아니라 자신이 소속된 국회의원실의 보안관리 목적으로 활용될 수 있다는 점도 본 건 개인정보를 수집한 정황 및 처리 관행에 비추어 예측 가능한 범위에 있다고 볼 수 있음
3) 정보주체의 이익을 부당하게 침해하는지 여부
○ 정보주체의 이익을 부당하게 침해하는지 여부는 정보주체의 이익을 실질적으로 침해하는지와 해당 이익 침해가 부당한지를 고려하여야 하며, 이는 추가적인 이용 또는 제공의 목적이나 의도와의 관계에서 판단되어야 함(개인정보보호위원회, 개인정보 처리 통합 안내서 p.78. 참조)
○ 본 건 개인정보는 사적인 목적이나 직원의 일반적인 동향 파악 등을 위하여 이용되는 것이 아니라 해당 국회의원실의 보안 문제의 확인 및 대응이라는 업무 수행 목적으로 이용될 예정이고
- 해당 국회의원이 보안상의 이유로 소속 직원에게 보안해제 기능을 사용하지 않도록 사전에 안내하였음에도 일부 직원이 이를 계속 사용함에 따라 그 사용 여부를 확인하기 위한 것임을 고려하면, 해당 국회의원실의 보안관리 필요성과 비교하여 정보주체의 이익을 부당하게 침해한다고 보기 어려움
4) 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부
○ 국회사무처는 카드리더기의 보안이 해제된 시점 전후 일정 시간 동안의 출입기록 등 관련 경위 파악에 직접 필요한 정보에 한정하여 해당 국회의원에 본 건 개인정보를 제공할 예정인 점,
- 본 건 개인정보를 제공받는 국회의원도 관련 업무 담당자에 한하여 해당 정보에 접근하도록 하고, 보안 문제의 경위 확인 및 대응 목적 외로 이용하지 않도록 하며, 목적 달성 후에는 본 건 개인정보를 신속히 파기하도록 하는 등의 조치를 마련할 예정인 점 등을 고려하면 안전성 확보에 필요한 조치를 한 것으로 볼 수 있음
3. 검토결과
○국회사무처는 국회의원실 보안해제 기능의 사용자 및 사용일시 등 해당 기능의 구체적인 사용내역 확인을 위해 해당 국회의원에 본 건 개인정보를 제공할 수 있음
○ 다만, 국회사무처는 카드리더기의 보안이 해제된 시점 전후 일정 시간 동안의 출입기록 등 관련 경위 파악에 직접 필요한 정보에 한정하여 해당 국회의원실에 본 건 개인정보를 제공해야 하며
- 본 건 개인정보를 제공받는 국회의원실에서도 관련 업무 담당자에 한하여 해당 정보에 접근하도록 하고, 보안 문제의 경위 확인 및 대응 목적 외로 이용하지 않도록 하며, 목적 달성 후에는 본 건 개인정보를 신속히 파기하도록 하는 등의 조치를 마련하여야 함
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).