개인정보보호위원회
심의ㆍ의결
제2026-017-109호
공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 8월 26일
요지
안건번호 : 제2026-017-109호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 국가아동권리보장원(사업자등록번호 : )대표자
의결연월일 : 2026. 8. 26.
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 국가아동권리보장원(사업자등록번호 : )대표자
의결연월일 : 2026. 8. 26.
주문
1. 피심인에 대하여 다음과 같이 과징금, 과태료를 부과한다.
가. 과 징 금 : 310,500,000원
나. 과 태 료 : 10,200,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 명령한다.
가. 보호법 상 암호화 해야 할 주민등록번호 등 개인정보의 처리실태에 대한 정기적 점검 및 개선에 관한 내부 관리절차를 마련ㆍ시행할 것.
나. 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것.
다. 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검하고 증빙자료를 수령하여 보관할 것
라. 가.부터 다.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것
마. 가.부터 라의 시정조치를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것
3. 피심인에 대하여 다음과 같이 보호법 위반행위에 상응하는 징계를 권고한다.
가. 피심인은 본 건 개인정보 유출등 및 안전조치의무 위반에 책임이 있는 자
(책임 있는 임ㆍ직원 포함)를 징계할 것.
나. 피심인은 가.의 징계 조치를 이행하고, 징계권고 통보를 받은 날로부터 90일 이내에 그 결과를 개인정보보호위원회에 통보할 것. 다만, 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경우에는 그 사유를 반드시 포함하여 통보할 것.
4. 피심인에 대한 과징금 및 과태료 부과, 시정명령 및 징계권고의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
가. 과 징 금 : 310,500,000원
나. 과 태 료 : 10,200,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 시정조치를 명령한다.
가. 보호법 상 암호화 해야 할 주민등록번호 등 개인정보의 처리실태에 대한 정기적 점검 및 개선에 관한 내부 관리절차를 마련ㆍ시행할 것.
나. 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것.
다. 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검하고 증빙자료를 수령하여 보관할 것
라. 가.부터 다.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것
마. 가.부터 라의 시정조치를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것
3. 피심인에 대하여 다음과 같이 보호법 위반행위에 상응하는 징계를 권고한다.
가. 피심인은 본 건 개인정보 유출등 및 안전조치의무 위반에 책임이 있는 자
(책임 있는 임ㆍ직원 포함)를 징계할 것.
나. 피심인은 가.의 징계 조치를 이행하고, 징계권고 통보를 받은 날로부터 90일 이내에 그 결과를 개인정보보호위원회에 통보할 것. 다만, 권고 내용대로 조치하기 곤란하다고 판단되는 특별한 사정이 있는 경우에는 그 사유를 반드시 포함하여 통보할 것.
4. 피심인에 대한 과징금 및 과태료 부과, 시정명령 및 징계권고의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
이유
Ⅰ. 조사 개요
1. 조사 배경
개인정보 보호위원회(이하 '위원회’)는 국가아동권리보장원(이하 '피심인’)이 실종아동 등의 개인정보를 보관하는 외장하드 관련 민원(’25.8.18.)과 피심인의 유출 신고(’26.2.12.)에 따라 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.
2. 피심인 현황
피심인은 「아동복지법」 제10조의2에 따라 설립된 보건복지부 산하 '기타 공공기관’으로 「개인정보 보호법법률 제19234호, 2023. 9. 15. 시행」(이하 '보호법’이라 한다) 제2조제6호에 따른 공공기관이고, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169435775" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 개인정보 수집ㆍ이용 현황
피심인은 실종아동 찾기 지원 등을 위해 ’26.6.10. 기준으로 아래와 같이 개인정보를 수집ㆍ보유하고 있다.
<img src="/LSW/flDownload.do?flSeq=169435955" alt="2번째 이미지"></img>
2. 개인정보 유출 관련 사실관계
가. 유출 경위
피심인은 ’24년에 언론 등에서 제기된 '전산화 용역 부실 의혹’ 관련 '실종아동 입소카드' 전산화 용역에 대한 자체 감사 중 ’20년도 용역 결과물이 담긴 외장하드 1개에 대한 관리ㆍ통제권을 상실한 사실을 인지하였다.(’24.8.)
감사 과정에서 ’20년도 전산화 용역 검수확인서(’20.12.14.)와 ’19~’21년도 감리보고서(’21.12.20.)에 외장하드 4개가 적시되어 있으나, ’22.6월 작성된 업무 인계인수서에 해당 외장하드 관련 언급이 없는 점, 이후 담당자들은 외장하드의 존재를 인지하지 못했다고 주장하는 등의 정황을 종합 고려할 때, 감리 확인 후 ’21.12.~’22.6. 기간 중 유출등도난이나 유출의 가능성도 배제할 수 없어 분실ㆍ도난ㆍ유출을 통칭하는 '유출등’으로 표기(「표준 개인정보 보호지침」 제25조)이 된 것으로 추정된다.
다만, 피심인은 실종아동 등의 개인정보를 보관한 외장하드에 대해 물리적 안전조치를 하지 않아 구체적인 유출등의 시기나 경로 등은 파악할 수 없었으며, 해당 외장하드가 도난 등으로 인해 유출되었을 가능성도 배제할 수 없다.
나. 유출 규모 및 항목
’20년도 외장하드에는 실종아동 및 보호자 등 31,771명의 성명, 성별, 주민등록번호(14,882명), 가족관계, 신체정보 등의 개인정보가 저장되어 있었다.
다. 사고 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=169435957" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 고유식별정보 처리 제한 관련
해당 외장하드 4개에는 실종아동과 보호자의 주민등록번호 등 민감한 개인정보가 저장되어 있으며, DB의 원본 자료임에도 피심인은 이를 안전하게 보관ㆍ관리하기 위해 담당 관리자 지정, 반출ㆍ입 대장 작성 등의 물리적 안전조치 없이, 업무 담당자의 캐비닛이나 이동식 서랍에 방치하였고,(’19.12.~’26.3.) 외장하드 4개에 실종아동의 주민등록번호를 안전한 알고리즘으로 암호화하지 않고 평문으로 저장한 사실이 있다.(’19.12.~’26.8.)
나. 개인정보 처리 업무 위탁 관련
피심인은 '실종아동 입소카드' 전산화 용역 관련 개인정보 처리 업무를 에 위탁하면서 舊 보호법舊 개인정보 보호법(법률 제16930호, 2020. 8. 5. 시행)제26조제1항 각 호의 내용이 담긴 문서로하지 않은 사실이 있고,(’19.11.~’21.12., 약 5개월) 제26조제2항에 따라 위탁업무의 내용과 수탁자를 피심인의 개인정보 처리방침에 공개하지 않았다.(’19.11.~’21.12., 약 5개월)
또한, 제26조제4항에 따라 피심인은 수탁자가 위탁받은 개인정보를 안전하게 처리하는지 관리ㆍ감독한 실적이 없고,(’19.11.~’20.12., 약 3개월) '실종아동 입소카드' 전산화 용역에 참여한 직원 11명에 대해 개인정보보호 교육을 실시하거나 관련 교육의 수료 여부를 확인하지 않았으며,(’19.11.~’21.12., 약 5개월) ’19년도와 ’20년도 전산화 용역 종료 시 수탁자가 용역 과정에서 취득ㆍ생성한 개인정보를 파기 또는 반납하였는지 여부를 확인하지 않았다.
파기 또는 반납과 관련하여 피심인은 보건복지부 특정감사(’25.6.~8.) 관련 처분요청에 따라 ’19ㆍ’20년도 파기확약서를 로부터 ’25.9.5.에서야 뒤늦게 수령하였다.
다. 개인정보 유출등 통지ㆍ신고 관련
또한, 피심인은 ’20년도 실종아동 입소카드 전산화 용역 관련 외장하드 1개의 유출등 사실을 ’24.8월 인지하고도, 이로부터 1년 6개월이 지나 그 사실을 정보주체에게 통지(’26.2.13.)하고 위원회에 신고(’26.2.12.)하였다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 ’26.7.29., ’26.8.7. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26.8.21. 위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
가. 주민등록번호 등 고유식별정보의 안전성 확보 조치에 관하여 舊 보호법법률 제16930호, 2020. 8. 5. 시행은 제24조제3항에서 “개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다”라고 규정하고 있다. 이에 따라 舊 보호법 시행령대통령령 제32528호, 2022. 3. 8. 시행제30조제1항은 개인정보처리자는 '개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치(제3호)’와 '개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치(제6호)’를 하여야 한다고 규정하면서, 같은 영 제21조에서 “법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제30조를 준용한다. 이 경우 '법 제29조”는 “법 제24조제3항”으로, “개인정보”는 “고유식별정보”로 본다.”라고 규정하고 있다.
한편, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 舊「개인정보의 안전성 확보조치 기준개인정보보호위원회 고시 제2021-2호, 2021. 9. 15. 시행(이하 '舊 고시’)」 제7조제1항은 “개인정보처리자는 고유식별정보, 비밀번호, 생체인식정보를 정보통신망을 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 한다”라고 규정하고 있으며, 제11조제3항은 “개인정보처리자는 개인정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 마련하여야 한다”라고 규정하고 있다.
나. 舊 보호법 제26조제1항은 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다.”고 규정하고 있고, 제2항은 “제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.”고 규정하고 있으며, 제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”고 규정하고 있다.
다. 한편, 보호법법률 제19234호, 2023. 9. 15. 시행제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다.”고 규정하고 있고, 제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다.”고 규정하고 있다.
2. 위법성 판단
가. 고유식별정보의 안전성 확보 조치를 소홀히 한 행위
[舊 보호법 제24조제3항]
피심인은 아동학대 예방 및 보호, 실종아동 등의 보호ㆍ지원, 입양 활성화 및 사후관리 등의 업무와 관련하여 아동 및 보호자 등의 민감한 개인정보를 대량으로 처리하고 있어 체계적인 개인정보 보호 수준이 요구됨에도 DB의 원본이며, 중요한 공공기록물인 실종아동 입소카드 전산화 자료가 저장된 외장하드 4개를 문서고가 아닌 부서내 캐비닛이나 이동식 서랍에 보관(’19.12.~’25.12.)하면서 담당 관리자 지정, 반출ㆍ입 대장 작성 등 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 수립ㆍ시행하지 않아(’19.12.~’26.3.) 외장하드 4개 중 하나의 유출등 시점조차 인지하지 못한 행위는 舊 보호법舊 개인정보 보호법(법률 제16930호, 2020. 8. 5. 시행)제24조제3항, 舊 시행령舊 개인정보 보호법 시행령(대통령령 제32528호, 2022. 3. 8. 시행)제21조제1항 및 제30조제1항제6호, 舊 고시舊 개인정보의 안전성 확보조치 기준(보호위원회 고시 제2021-2호, 2021. 9. 15. 시행)제11조제3항을 위반한 것이고,
피심인은 실종 및 입양아동 등을 위한 업무를 수행하면서 고유식별정보를 대량으로 처리하고 있어, 암호화 등에 대한 높은 수준의 주의가 요구되나, 실종아동의 주민등록번호를 외장하드 4개에 저장하면서, 안전한 알고리즘으로 암호화하지 않은 행위(’19.12.~’26.8.)는 舊 보호법 제24조제3항, 舊 시행령 제21조제1항 및 제30조제1항제3호, 舊 고시 제7조제1항을 위반한 것이다.
나. 개인정보 처리업무 위탁 관련 위반 행위
[舊 보호법 제26조제1항ㆍ제2항ㆍ제4항]
피심인이 ’19.10.부터 ’21.12.까지 실종아동 입소카드 전산화 용역을 위해 수탁업체에 개인정보 처리 업무를 위탁하면서 舊 보호법 제26조제1항 각 호와 같은 법 시행령 제28조제1항 각 호의 내용을 포함한 문서로 하지 않은 행위는 舊 보호법 제26조제1항을 위반한 것이고, 위탁하는 개인정보 처리 업무의 내용과 수탁자를 피심인의 개인정보 처리방침에 공개하지 않은 행위는 舊 보호법 제26조제2항을 위반한 것이며, 수탁자에 대해 개인정보보호 교육 및 개인정보 처리실태에 대한 관리ㆍ감독을 하지 않은 행위(’19.11.~’20.12.)는 舊 보호법 제26조제4항을 위반한 것이다.
다. 개인정보 유출등 통지ㆍ신고 의무 위반 행위
[보호법 제34조제1항ㆍ제3항]
피심인이 ’24.8. 실종아동 등의 개인정보가 포함된 외장하드 1개의 유출등 사실을 인지하고도 약 18개월이 지나 정보주체에게 유출등 사실을 통지(’26.2.13.)하고, 보호위원회에 신고(’26.2.12.)한 행위는 보호법 제34조제1항 및 제3항을 위반한 것이다.
Ⅳ. 피심인의 주장에 대한 검토
1. 외장하드 분실에 대한 유출등 과징금 부과에 대하여
가. 피심인의 주장
피심인은 외장하드를 분실한 행위로 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르렀다는 점이 구체적으로 입증되지 않아 유출등에 해당하지 않는다라고 주장한다.
나. 검토 의견 : 불수용
「표준 개인정보 보호지침」 제25조에서 '유출등’이라 함은 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것이라고 규정하고 있다.
피심인은 공공기록물로 보존해야 하는 '실종아동 입소카드 전산화 결과물’에 대해 반출ㆍ입 대장 작성 등 안전성 확보조치를 소홀히 하여 외장하드 1개에 대한 관리ㆍ통제권을 상실하였고, 외장하드 또는 주민등록번호에 대한 암호화를 하지 않아 누구라도 습득 시 저장된 실종아동 등의 개인정보를 열람할 수 있는 상태에 놓여 있으므로 유출등에 해당한다고 봄이 타당하다.
2. 안전조치의무 위반에 대한 과징금 부과 등 시정조치에 대하여
가. 피심인의 주장
피심인은 안전조치의무 위반으로 판단되더라도 100% 국고보조금으로 운영되고 별도 수익사업이 없는 열악한 재정 상황 등을 감안하여 과징금 면제 또는 감경과 징계권고ㆍ공표 등의 처분을 면제하여 줄 것을 요청한다.
나. 검토 의견 : 불수용
피심인이 현재 공공기록물로 관리하고 있는 보조저장매체에 대한 체계적인 안전조치가 미흡하여 실종아동 등 약 3만 명의 개인정보가 저장된 외장하드가 유출등이 되게 한 것을 '사소한 부주의’나 '경미한 피해’로 볼 수 없어, 과징금 등 시정조치의 면제는 어렵다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 舊 보호법 제24조제3항 위반행위에 대하여 같은 법 제34조의2제1항, 시행령 제40조의2제1항 [별표 1의3] 및 「주민등록번호 유출 등에 대한 과징금 부과기준위원회 고시 제2022-4호, ’22. 10. 20. 시행(이하 '과징금 부과기준’)」에 따라 다음과 같이 과징금을 부과한다.
과징금을 부과하려는 경우에는 舊 보호법 제34조의2제2항 각 호의 사항과 이에 영향을 미치는 사항을 종합적으로 고려하여 과징금 부과기준 제4조에 따른 산정기준액에 제5조에 따른 1차 조정, 제6조에 따른 2차 조정, 제8조에 따른 최종조정을 순차적으로 거쳐 산정한다.
가. 과징금 상한액
피심인은 ’20년도 전산화 용역 관련 외장하드 1개에 대한 기술적ㆍ물리적 안전조치를 소홀히 하여 피심인이 처리하는 실종아동의 주민등록번호가 유출등이 된 경우로 舊 보호법 제34조의2제1항에 따라 5억 원 이하의 과징금을 부과할 수 있다.
나. 산정 기준액
산정 기준액은 舊 시행령 [별표 1의3] 2호 가목에 따르며, 위반행위의 고의 또는 중과실 여부는 과징금 부과기준 제4조제2항에 따라 위반행위의 목적, 동기, 당해 행위에 이른 경위 등을 종합적으로 고려하여 판단한다.
본 사건은 실종아동 약 1만 5천 명의 주민등록번호가 저장된 외장하드가 유출등이 된 건으로 해당 외장하드는 DB의 원본 자료이자 중요한 기록물에 해당한다. 그럼에도 피심인은 실종아동 입소카드 전산화 용역 단계부터 수탁자에 대한 관리ㆍ감독이 미흡하였고, 전산화 용역 결과물인 외장하드를 납품 받은 후에도 물리적 잠금장치 등이 마련된 피심인의 문서고가 아닌 캐비닛 등에 방치하였을 뿐 아니라 담당 관리자 지정, 반출ㆍ입 대장 작성 등 관리대책을 마련ㆍ시행하지 않았다. 그 결과 피심인은 ’24.8. '입양기록물 전산화 용역 부실 의혹’에 대한 자체감사를 개시한 후에야 상기 외장하드의 유출등 사실을 인지한 정황 등을 종합 고려할 때, 피심인에게 업무상 중대한 과실이 있다고 봄이 타당하다.
피심인의 중과실로 인하여 실종아동의 주민등록번호 10만 건 미만이 유출등이 된 경우로 위반 정도가 '중대한 위반행위’에 해당하여 산정 기준액 을 적용한다.
<img src="/LSW/flDownload.do?flSeq=169435959" alt="4번째 이미지"></img>
다. 1차 조정
피심인은 외장하드 4개에 실종아동의 주민등록번호 등 개인정보를 저장ㆍ보관하면서 보조저장매체에 대한 접근통제나 접근권한 관리를 소홀히 하였고, 주민등록번호를 암호화하지 않았으며, 물리적 보관장소를 별도로 두지 아니하였고, 유출 등이 되었음을 인지한 때로부터 5일 이내에 정보주체 통지, 피해 최소화를 위한 대책 마련 및 조치, 조치결과 신고 등 피해 방지를 위한 후속 조치를 모두 이행하지 않았으므로 과징금 부과기준 제5조 세부평가 기준표에 따른 산정점수는 2.4으로 1차 조정비율 기준금액의 100분의 35에 해당하는 을 가산한다.
< 1차 조정 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435963" alt="5번째 이미지"></img>
< 세부평가 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435965" alt="6번째 이미지"></img>
라. 2차 조정
피심인의 舊 보호법 제24조제3항 위반기간(’19.12.~’26.8.)이 6개월을 초과하고, 최근 3년 내 주민등록번호 유출로 과징금 부과 처분을 받은 적이 없으며, 위반행위 조사 시 기간내 자료 미제출 및 자료 은폐 등 조사방해 행위는 없었으나, 이번 유출등으로 실종아동 등에게 2차 피해가 발생할 우려가 상당히 크고 개인정보보호와 관련한 ISMS-P 인증이나 직원 교육, 관련 표창 등 특별한 참작 사유가 없으므로 과징금 부과기준 제6조 세부평가 기준표에 따른 산정점수는 2.0으로 1차 조정을 거친 금액을 유지한다.
< 2차 조정 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435967" alt="7번째 이미지"></img>
< 세부평가 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435969" alt="8번째 이미지"></img>
마. 과징금의 결정
피심인은 과징금 부과기준 제8조에 따른 감경 또는 면제 기준에 해당하지 않아 2차 조정금액인 을 유지한다.
<img src="/LSW/flDownload.do?flSeq=169435971" alt="9번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169435777" alt="10번째 이미지"></img>
2. 과태료 부과: 총 1,020만 원
? 안전조치의무 및 위ㆍ수탁 위반에 대한 과태료: 120만 원
피심인의 舊 보호법 제26조제1항 및 제2항 위반행위에 대해 같은 법 제75조제4항제4호 및 제5호, 같은 법 시행령 제63조 [별표2] 제2호 너목 및 더목, 「개인정보 보호법 위반에 대한 과태료 부과기준위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 산정한다.
※ 「질서위반행위규제법」 제3조제2항에 따라 과태료 부과기준 개정 전ㆍ후 위반 행위별 합산 과태료를 비교하여 피심인에게 유리한 방향으로 적용
가. 기준금액
舊 보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 피심인의 舊 보호법 제26조제1항 및 제2항 위반행위를 각 1회 위반으로 보아 과태료 부과 시 기준금액을 각 200만 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169435939" alt="11번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 舊 보호법 제26조제1항 및 제2항 위반행위는 가중사유에 해당하지 않아 기준금액을 유지한다.
2) 과태료의 감경
과태료 부과지침 제6조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인은 일관되게 행위사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력(20%)하였고, 의견 제출 기간 내 위반행위를 자진 시정(20%)하였고, 위반행위의 결과가 경미하다고 인정(30%)되는 바, 피심인의 舊 보호법 제26조제1항 및 제2항 위반에 대해서는 기준금액의 100분의 70을 감경한다.
<img src="/LSW/flDownload.do?flSeq=169435941" alt="12번째 이미지"></img>
다. 최종 과태료
피심인의 舊 보호법 제24조제3항, 제26조제1항 및 제2항 위반에 대해 기준금액에서 가중ㆍ감경을 거쳐 과태료 120만 원을 부과한다.
<img src="/LSW/flDownload.do?flSeq=169435943" alt="13번째 이미지"></img>
? 유출등 통지ㆍ신고 위반에 대한 과태료: 900만 원
피심인의 보호법 제34조제1항 및 제3항 위반행위에 대해 같은 법 제75조제2항제17호 및 제18호 및 같은 법 시행령 제63조 [별표2] 제2호 모목 및 보목에 따라 과태료를 부과하되, 각 위반행위에 대한 과태료 액수는 「개인정보 보호법 위반에 대한 과태료 부과기준위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 산정한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 피심인의 보호법 제34조제1항 및 제3항 위반행위를 각 1회 위반으로 보아 과태료 부과 시 기준금액을 600만 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169435945" alt="14번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 보호법 제34조제1항 및 제3항 위반기간이 1년을 초과하여 과태료 부과지침 제7조제1항 및 [별표3]에 따라 기준금액의 15%를 가중한다.
<img src="/LSW/flDownload.do?flSeq=169435947" alt="15번째 이미지"></img>
2) 과태료의 감경
과태료 부과지침 제6조는제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인은 일관되게 행위사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 점, 과태료 등의 사전통지 및 의견제출 기간 종료 이전에 정보주체에 대한 통지와 개인정보 유출등 신고를 이행한 점 등을 고려하여 과태료 부과지침 제6조에 따라 보호법 제34조제1항 및 제3항 위반행위에 대하여는 기준금액의 40%를 각각 감경한다.
<img src="/LSW/flDownload.do?flSeq=169435951" alt="16번째 이미지"></img>
다. 최종 과태료
피심인의 보호법 제34조제1항 및 제3항 위반에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 900만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=169435953" alt="17번째 이미지"></img>
3. 시정명령
개인정보보호위원회는 舊 보호법 제64조제1항에 따라 같은 법 제24조제3항 및 제26조제4항 위반행위에 대하여 주문과 같이 시정조치를 명한다.
4. 징계권고
개인정보보호위원회는 舊 보호법 제65조제2항에 따라 개인정보 보호와 관련된 법규의 위반행위가 있는 경우 대표자 및 책임있는 임원을 포함하여 그 위반행위에 책임이 있는 자를 징계할 것을 해당 개인정보처리자에게 권고할 수 있다.
피심인은 실종아동의 주민등록번호 등 민감한 개인정보에 대한 안전조치를 소홀히 하여 외장하드가 유출등 되었는 바, 실종아동 등의 권리ㆍ이익이나 사생활 침해 우려가 뚜렷하고, 유출등 인지시점부터 1년 6개월이 지나 그 사실을 정보주체에게 통지하여 피해 실종아동 등 정보주체게 2차 피해 예방을 위해 대응할 기회를 주지 않아 그 피해 역시 작다고 할 수 없다.
따라서, 피심인에게 舊 보호법 제65조제2항 및 「개인정보보호 법규 위반에 대한 징계권고 기준보호위원회 지침(2023. 10. 11. 시행)」 제3조제1항제4호 및 제8호에 따라 외장하드 유출등과 안전조치 의무 위반에 책임 있는 자*에 대한 징계를 권고한다.
* 보조저장매체(외장하드 4개)에 대해 안전조치(접근통제, 암호화) 등 기관 차원의 개인정보 관리체계 미흡에 책임이 있는 임ㆍ직원
5. 공표
개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 보호법 제66조제1항에 따라 그 처분 내용 및 결과에 대하여 공표할 수 있다.
피심인의 舊 보호법 제24조제3항(’19.12.~’26.8.) 위반상태의 기간이 6개월 이상 지속되므로 같은 법 제66조제1항 및 「개인정보 보호위원회 처분결과 공표기준보호위원회 지침, 2020. 11. 18. 제정ㆍ시행」 제2조제1항제5호에 따라 처분결과를 공표하고,
피심인은 보호법 제2조제6호에 따른 공공기관이므로, 보호법 제34조제1항 및 제3항 위반에 대한 처분결과를 같은 법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침보호위원회 지침, 2025. 7. 1. 시행」 제3조제1항제3호에 따라 공표한다.
다만, 피심인의 舊 보호법 제24조제3항 및 보호법 제34조제1항, 제3항 위반에 대한 처분결과는 같은 지침 제5조에 따라 위원회 홈페이지에 1년간 공표한다.
Ⅵ. 결론
피심인의 보호법 위반행위에 대하여 과징금ㆍ과태료 부과, 시정명령, 징계권고 및 공표를 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정명령 및 공표에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
1. 조사 배경
개인정보 보호위원회(이하 '위원회’)는 국가아동권리보장원(이하 '피심인’)이 실종아동 등의 개인정보를 보관하는 외장하드 관련 민원(’25.8.18.)과 피심인의 유출 신고(’26.2.12.)에 따라 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.
2. 피심인 현황
피심인은 「아동복지법」 제10조의2에 따라 설립된 보건복지부 산하 '기타 공공기관’으로 「개인정보 보호법법률 제19234호, 2023. 9. 15. 시행」(이하 '보호법’이라 한다) 제2조제6호에 따른 공공기관이고, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169435775" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 개인정보 수집ㆍ이용 현황
피심인은 실종아동 찾기 지원 등을 위해 ’26.6.10. 기준으로 아래와 같이 개인정보를 수집ㆍ보유하고 있다.
<img src="/LSW/flDownload.do?flSeq=169435955" alt="2번째 이미지"></img>
2. 개인정보 유출 관련 사실관계
가. 유출 경위
피심인은 ’24년에 언론 등에서 제기된 '전산화 용역 부실 의혹’ 관련 '실종아동 입소카드' 전산화 용역에 대한 자체 감사 중 ’20년도 용역 결과물이 담긴 외장하드 1개에 대한 관리ㆍ통제권을 상실한 사실을 인지하였다.(’24.8.)
감사 과정에서 ’20년도 전산화 용역 검수확인서(’20.12.14.)와 ’19~’21년도 감리보고서(’21.12.20.)에 외장하드 4개가 적시되어 있으나, ’22.6월 작성된 업무 인계인수서에 해당 외장하드 관련 언급이 없는 점, 이후 담당자들은 외장하드의 존재를 인지하지 못했다고 주장하는 등의 정황을 종합 고려할 때, 감리 확인 후 ’21.12.~’22.6. 기간 중 유출등도난이나 유출의 가능성도 배제할 수 없어 분실ㆍ도난ㆍ유출을 통칭하는 '유출등’으로 표기(「표준 개인정보 보호지침」 제25조)이 된 것으로 추정된다.
다만, 피심인은 실종아동 등의 개인정보를 보관한 외장하드에 대해 물리적 안전조치를 하지 않아 구체적인 유출등의 시기나 경로 등은 파악할 수 없었으며, 해당 외장하드가 도난 등으로 인해 유출되었을 가능성도 배제할 수 없다.
나. 유출 규모 및 항목
’20년도 외장하드에는 실종아동 및 보호자 등 31,771명의 성명, 성별, 주민등록번호(14,882명), 가족관계, 신체정보 등의 개인정보가 저장되어 있었다.
다. 사고 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=169435957" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 고유식별정보 처리 제한 관련
해당 외장하드 4개에는 실종아동과 보호자의 주민등록번호 등 민감한 개인정보가 저장되어 있으며, DB의 원본 자료임에도 피심인은 이를 안전하게 보관ㆍ관리하기 위해 담당 관리자 지정, 반출ㆍ입 대장 작성 등의 물리적 안전조치 없이, 업무 담당자의 캐비닛이나 이동식 서랍에 방치하였고,(’19.12.~’26.3.) 외장하드 4개에 실종아동의 주민등록번호를 안전한 알고리즘으로 암호화하지 않고 평문으로 저장한 사실이 있다.(’19.12.~’26.8.)
나. 개인정보 처리 업무 위탁 관련
피심인은 '실종아동 입소카드' 전산화 용역 관련 개인정보 처리 업무를 에 위탁하면서 舊 보호법舊 개인정보 보호법(법률 제16930호, 2020. 8. 5. 시행)제26조제1항 각 호의 내용이 담긴 문서로하지 않은 사실이 있고,(’19.11.~’21.12., 약 5개월) 제26조제2항에 따라 위탁업무의 내용과 수탁자를 피심인의 개인정보 처리방침에 공개하지 않았다.(’19.11.~’21.12., 약 5개월)
또한, 제26조제4항에 따라 피심인은 수탁자가 위탁받은 개인정보를 안전하게 처리하는지 관리ㆍ감독한 실적이 없고,(’19.11.~’20.12., 약 3개월) '실종아동 입소카드' 전산화 용역에 참여한 직원 11명에 대해 개인정보보호 교육을 실시하거나 관련 교육의 수료 여부를 확인하지 않았으며,(’19.11.~’21.12., 약 5개월) ’19년도와 ’20년도 전산화 용역 종료 시 수탁자가 용역 과정에서 취득ㆍ생성한 개인정보를 파기 또는 반납하였는지 여부를 확인하지 않았다.
파기 또는 반납과 관련하여 피심인은 보건복지부 특정감사(’25.6.~8.) 관련 처분요청에 따라 ’19ㆍ’20년도 파기확약서를 로부터 ’25.9.5.에서야 뒤늦게 수령하였다.
다. 개인정보 유출등 통지ㆍ신고 관련
또한, 피심인은 ’20년도 실종아동 입소카드 전산화 용역 관련 외장하드 1개의 유출등 사실을 ’24.8월 인지하고도, 이로부터 1년 6개월이 지나 그 사실을 정보주체에게 통지(’26.2.13.)하고 위원회에 신고(’26.2.12.)하였다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 ’26.7.29., ’26.8.7. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26.8.21. 위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
가. 주민등록번호 등 고유식별정보의 안전성 확보 조치에 관하여 舊 보호법법률 제16930호, 2020. 8. 5. 시행은 제24조제3항에서 “개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다”라고 규정하고 있다. 이에 따라 舊 보호법 시행령대통령령 제32528호, 2022. 3. 8. 시행제30조제1항은 개인정보처리자는 '개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치(제3호)’와 '개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치(제6호)’를 하여야 한다고 규정하면서, 같은 영 제21조에서 “법 제24조제3항에 따른 고유식별정보의 안전성 확보 조치에 관하여는 제30조를 준용한다. 이 경우 '법 제29조”는 “법 제24조제3항”으로, “개인정보”는 “고유식별정보”로 본다.”라고 규정하고 있다.
한편, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 舊「개인정보의 안전성 확보조치 기준개인정보보호위원회 고시 제2021-2호, 2021. 9. 15. 시행(이하 '舊 고시’)」 제7조제1항은 “개인정보처리자는 고유식별정보, 비밀번호, 생체인식정보를 정보통신망을 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 한다”라고 규정하고 있으며, 제11조제3항은 “개인정보처리자는 개인정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 마련하여야 한다”라고 규정하고 있다.
나. 舊 보호법 제26조제1항은 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다.”고 규정하고 있고, 제2항은 “제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.”고 규정하고 있으며, 제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”고 규정하고 있다.
다. 한편, 보호법법률 제19234호, 2023. 9. 15. 시행제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다.”고 규정하고 있고, 제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다.”고 규정하고 있다.
2. 위법성 판단
가. 고유식별정보의 안전성 확보 조치를 소홀히 한 행위
[舊 보호법 제24조제3항]
피심인은 아동학대 예방 및 보호, 실종아동 등의 보호ㆍ지원, 입양 활성화 및 사후관리 등의 업무와 관련하여 아동 및 보호자 등의 민감한 개인정보를 대량으로 처리하고 있어 체계적인 개인정보 보호 수준이 요구됨에도 DB의 원본이며, 중요한 공공기록물인 실종아동 입소카드 전산화 자료가 저장된 외장하드 4개를 문서고가 아닌 부서내 캐비닛이나 이동식 서랍에 보관(’19.12.~’25.12.)하면서 담당 관리자 지정, 반출ㆍ입 대장 작성 등 보조저장매체의 반출ㆍ입 통제를 위한 보안대책을 수립ㆍ시행하지 않아(’19.12.~’26.3.) 외장하드 4개 중 하나의 유출등 시점조차 인지하지 못한 행위는 舊 보호법舊 개인정보 보호법(법률 제16930호, 2020. 8. 5. 시행)제24조제3항, 舊 시행령舊 개인정보 보호법 시행령(대통령령 제32528호, 2022. 3. 8. 시행)제21조제1항 및 제30조제1항제6호, 舊 고시舊 개인정보의 안전성 확보조치 기준(보호위원회 고시 제2021-2호, 2021. 9. 15. 시행)제11조제3항을 위반한 것이고,
피심인은 실종 및 입양아동 등을 위한 업무를 수행하면서 고유식별정보를 대량으로 처리하고 있어, 암호화 등에 대한 높은 수준의 주의가 요구되나, 실종아동의 주민등록번호를 외장하드 4개에 저장하면서, 안전한 알고리즘으로 암호화하지 않은 행위(’19.12.~’26.8.)는 舊 보호법 제24조제3항, 舊 시행령 제21조제1항 및 제30조제1항제3호, 舊 고시 제7조제1항을 위반한 것이다.
나. 개인정보 처리업무 위탁 관련 위반 행위
[舊 보호법 제26조제1항ㆍ제2항ㆍ제4항]
피심인이 ’19.10.부터 ’21.12.까지 실종아동 입소카드 전산화 용역을 위해 수탁업체에 개인정보 처리 업무를 위탁하면서 舊 보호법 제26조제1항 각 호와 같은 법 시행령 제28조제1항 각 호의 내용을 포함한 문서로 하지 않은 행위는 舊 보호법 제26조제1항을 위반한 것이고, 위탁하는 개인정보 처리 업무의 내용과 수탁자를 피심인의 개인정보 처리방침에 공개하지 않은 행위는 舊 보호법 제26조제2항을 위반한 것이며, 수탁자에 대해 개인정보보호 교육 및 개인정보 처리실태에 대한 관리ㆍ감독을 하지 않은 행위(’19.11.~’20.12.)는 舊 보호법 제26조제4항을 위반한 것이다.
다. 개인정보 유출등 통지ㆍ신고 의무 위반 행위
[보호법 제34조제1항ㆍ제3항]
피심인이 ’24.8. 실종아동 등의 개인정보가 포함된 외장하드 1개의 유출등 사실을 인지하고도 약 18개월이 지나 정보주체에게 유출등 사실을 통지(’26.2.13.)하고, 보호위원회에 신고(’26.2.12.)한 행위는 보호법 제34조제1항 및 제3항을 위반한 것이다.
Ⅳ. 피심인의 주장에 대한 검토
1. 외장하드 분실에 대한 유출등 과징금 부과에 대하여
가. 피심인의 주장
피심인은 외장하드를 분실한 행위로 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르렀다는 점이 구체적으로 입증되지 않아 유출등에 해당하지 않는다라고 주장한다.
나. 검토 의견 : 불수용
「표준 개인정보 보호지침」 제25조에서 '유출등’이라 함은 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것이라고 규정하고 있다.
피심인은 공공기록물로 보존해야 하는 '실종아동 입소카드 전산화 결과물’에 대해 반출ㆍ입 대장 작성 등 안전성 확보조치를 소홀히 하여 외장하드 1개에 대한 관리ㆍ통제권을 상실하였고, 외장하드 또는 주민등록번호에 대한 암호화를 하지 않아 누구라도 습득 시 저장된 실종아동 등의 개인정보를 열람할 수 있는 상태에 놓여 있으므로 유출등에 해당한다고 봄이 타당하다.
2. 안전조치의무 위반에 대한 과징금 부과 등 시정조치에 대하여
가. 피심인의 주장
피심인은 안전조치의무 위반으로 판단되더라도 100% 국고보조금으로 운영되고 별도 수익사업이 없는 열악한 재정 상황 등을 감안하여 과징금 면제 또는 감경과 징계권고ㆍ공표 등의 처분을 면제하여 줄 것을 요청한다.
나. 검토 의견 : 불수용
피심인이 현재 공공기록물로 관리하고 있는 보조저장매체에 대한 체계적인 안전조치가 미흡하여 실종아동 등 약 3만 명의 개인정보가 저장된 외장하드가 유출등이 되게 한 것을 '사소한 부주의’나 '경미한 피해’로 볼 수 없어, 과징금 등 시정조치의 면제는 어렵다.
Ⅴ. 처분 및 결정
1. 과징금 부과
피심인의 舊 보호법 제24조제3항 위반행위에 대하여 같은 법 제34조의2제1항, 시행령 제40조의2제1항 [별표 1의3] 및 「주민등록번호 유출 등에 대한 과징금 부과기준위원회 고시 제2022-4호, ’22. 10. 20. 시행(이하 '과징금 부과기준’)」에 따라 다음과 같이 과징금을 부과한다.
과징금을 부과하려는 경우에는 舊 보호법 제34조의2제2항 각 호의 사항과 이에 영향을 미치는 사항을 종합적으로 고려하여 과징금 부과기준 제4조에 따른 산정기준액에 제5조에 따른 1차 조정, 제6조에 따른 2차 조정, 제8조에 따른 최종조정을 순차적으로 거쳐 산정한다.
가. 과징금 상한액
피심인은 ’20년도 전산화 용역 관련 외장하드 1개에 대한 기술적ㆍ물리적 안전조치를 소홀히 하여 피심인이 처리하는 실종아동의 주민등록번호가 유출등이 된 경우로 舊 보호법 제34조의2제1항에 따라 5억 원 이하의 과징금을 부과할 수 있다.
나. 산정 기준액
산정 기준액은 舊 시행령 [별표 1의3] 2호 가목에 따르며, 위반행위의 고의 또는 중과실 여부는 과징금 부과기준 제4조제2항에 따라 위반행위의 목적, 동기, 당해 행위에 이른 경위 등을 종합적으로 고려하여 판단한다.
본 사건은 실종아동 약 1만 5천 명의 주민등록번호가 저장된 외장하드가 유출등이 된 건으로 해당 외장하드는 DB의 원본 자료이자 중요한 기록물에 해당한다. 그럼에도 피심인은 실종아동 입소카드 전산화 용역 단계부터 수탁자에 대한 관리ㆍ감독이 미흡하였고, 전산화 용역 결과물인 외장하드를 납품 받은 후에도 물리적 잠금장치 등이 마련된 피심인의 문서고가 아닌 캐비닛 등에 방치하였을 뿐 아니라 담당 관리자 지정, 반출ㆍ입 대장 작성 등 관리대책을 마련ㆍ시행하지 않았다. 그 결과 피심인은 ’24.8. '입양기록물 전산화 용역 부실 의혹’에 대한 자체감사를 개시한 후에야 상기 외장하드의 유출등 사실을 인지한 정황 등을 종합 고려할 때, 피심인에게 업무상 중대한 과실이 있다고 봄이 타당하다.
피심인의 중과실로 인하여 실종아동의 주민등록번호 10만 건 미만이 유출등이 된 경우로 위반 정도가 '중대한 위반행위’에 해당하여 산정 기준액 을 적용한다.
<img src="/LSW/flDownload.do?flSeq=169435959" alt="4번째 이미지"></img>
다. 1차 조정
피심인은 외장하드 4개에 실종아동의 주민등록번호 등 개인정보를 저장ㆍ보관하면서 보조저장매체에 대한 접근통제나 접근권한 관리를 소홀히 하였고, 주민등록번호를 암호화하지 않았으며, 물리적 보관장소를 별도로 두지 아니하였고, 유출 등이 되었음을 인지한 때로부터 5일 이내에 정보주체 통지, 피해 최소화를 위한 대책 마련 및 조치, 조치결과 신고 등 피해 방지를 위한 후속 조치를 모두 이행하지 않았으므로 과징금 부과기준 제5조 세부평가 기준표에 따른 산정점수는 2.4으로 1차 조정비율 기준금액의 100분의 35에 해당하는 을 가산한다.
< 1차 조정 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435963" alt="5번째 이미지"></img>
< 세부평가 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435965" alt="6번째 이미지"></img>
라. 2차 조정
피심인의 舊 보호법 제24조제3항 위반기간(’19.12.~’26.8.)이 6개월을 초과하고, 최근 3년 내 주민등록번호 유출로 과징금 부과 처분을 받은 적이 없으며, 위반행위 조사 시 기간내 자료 미제출 및 자료 은폐 등 조사방해 행위는 없었으나, 이번 유출등으로 실종아동 등에게 2차 피해가 발생할 우려가 상당히 크고 개인정보보호와 관련한 ISMS-P 인증이나 직원 교육, 관련 표창 등 특별한 참작 사유가 없으므로 과징금 부과기준 제6조 세부평가 기준표에 따른 산정점수는 2.0으로 1차 조정을 거친 금액을 유지한다.
< 2차 조정 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435967" alt="7번째 이미지"></img>
< 세부평가 기준표 >
<img src="/LSW/flDownload.do?flSeq=169435969" alt="8번째 이미지"></img>
마. 과징금의 결정
피심인은 과징금 부과기준 제8조에 따른 감경 또는 면제 기준에 해당하지 않아 2차 조정금액인 을 유지한다.
<img src="/LSW/flDownload.do?flSeq=169435971" alt="9번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169435777" alt="10번째 이미지"></img>
2. 과태료 부과: 총 1,020만 원
? 안전조치의무 및 위ㆍ수탁 위반에 대한 과태료: 120만 원
피심인의 舊 보호법 제26조제1항 및 제2항 위반행위에 대해 같은 법 제75조제4항제4호 및 제5호, 같은 법 시행령 제63조 [별표2] 제2호 너목 및 더목, 「개인정보 보호법 위반에 대한 과태료 부과기준위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 산정한다.
※ 「질서위반행위규제법」 제3조제2항에 따라 과태료 부과기준 개정 전ㆍ후 위반 행위별 합산 과태료를 비교하여 피심인에게 유리한 방향으로 적용
가. 기준금액
舊 보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 피심인의 舊 보호법 제26조제1항 및 제2항 위반행위를 각 1회 위반으로 보아 과태료 부과 시 기준금액을 각 200만 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169435939" alt="11번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 舊 보호법 제26조제1항 및 제2항 위반행위는 가중사유에 해당하지 않아 기준금액을 유지한다.
2) 과태료의 감경
과태료 부과지침 제6조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인은 일관되게 행위사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력(20%)하였고, 의견 제출 기간 내 위반행위를 자진 시정(20%)하였고, 위반행위의 결과가 경미하다고 인정(30%)되는 바, 피심인의 舊 보호법 제26조제1항 및 제2항 위반에 대해서는 기준금액의 100분의 70을 감경한다.
<img src="/LSW/flDownload.do?flSeq=169435941" alt="12번째 이미지"></img>
다. 최종 과태료
피심인의 舊 보호법 제24조제3항, 제26조제1항 및 제2항 위반에 대해 기준금액에서 가중ㆍ감경을 거쳐 과태료 120만 원을 부과한다.
<img src="/LSW/flDownload.do?flSeq=169435943" alt="13번째 이미지"></img>
? 유출등 통지ㆍ신고 위반에 대한 과태료: 900만 원
피심인의 보호법 제34조제1항 및 제3항 위반행위에 대해 같은 법 제75조제2항제17호 및 제18호 및 같은 법 시행령 제63조 [별표2] 제2호 모목 및 보목에 따라 과태료를 부과하되, 각 위반행위에 대한 과태료 액수는 「개인정보 보호법 위반에 대한 과태료 부과기준위원회 지침, 2023. 9. 15. 시행(이하 '과태료 부과지침’)」에 따라 다음과 같이 산정한다.
가. 기준금액
보호법 시행령 제63조의 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없으므로 피심인의 보호법 제34조제1항 및 제3항 위반행위를 각 1회 위반으로 보아 과태료 부과 시 기준금액을 600만 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169435945" alt="14번째 이미지"></img>
나. 과태료의 가중 및 감경
1) 과태료의 가중
과태료 부과지침 제7조제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 3]의 가중기준에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 보호법 제34조제1항 및 제3항 위반기간이 1년을 초과하여 과태료 부과지침 제7조제1항 및 [별표3]에 따라 기준금액의 15%를 가중한다.
<img src="/LSW/flDownload.do?flSeq=169435947" alt="15번째 이미지"></img>
2) 과태료의 감경
과태료 부과지침 제6조는제1항은 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표 2]의 감경기준에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고, 같은 조 제2항은 “[별표 2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인은 일관되게 행위사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 점, 과태료 등의 사전통지 및 의견제출 기간 종료 이전에 정보주체에 대한 통지와 개인정보 유출등 신고를 이행한 점 등을 고려하여 과태료 부과지침 제6조에 따라 보호법 제34조제1항 및 제3항 위반행위에 대하여는 기준금액의 40%를 각각 감경한다.
<img src="/LSW/flDownload.do?flSeq=169435951" alt="16번째 이미지"></img>
다. 최종 과태료
피심인의 보호법 제34조제1항 및 제3항 위반에 대해 기준금액에서 가중ㆍ감경을 거쳐 총 900만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=169435953" alt="17번째 이미지"></img>
3. 시정명령
개인정보보호위원회는 舊 보호법 제64조제1항에 따라 같은 법 제24조제3항 및 제26조제4항 위반행위에 대하여 주문과 같이 시정조치를 명한다.
4. 징계권고
개인정보보호위원회는 舊 보호법 제65조제2항에 따라 개인정보 보호와 관련된 법규의 위반행위가 있는 경우 대표자 및 책임있는 임원을 포함하여 그 위반행위에 책임이 있는 자를 징계할 것을 해당 개인정보처리자에게 권고할 수 있다.
피심인은 실종아동의 주민등록번호 등 민감한 개인정보에 대한 안전조치를 소홀히 하여 외장하드가 유출등 되었는 바, 실종아동 등의 권리ㆍ이익이나 사생활 침해 우려가 뚜렷하고, 유출등 인지시점부터 1년 6개월이 지나 그 사실을 정보주체에게 통지하여 피해 실종아동 등 정보주체게 2차 피해 예방을 위해 대응할 기회를 주지 않아 그 피해 역시 작다고 할 수 없다.
따라서, 피심인에게 舊 보호법 제65조제2항 및 「개인정보보호 법규 위반에 대한 징계권고 기준보호위원회 지침(2023. 10. 11. 시행)」 제3조제1항제4호 및 제8호에 따라 외장하드 유출등과 안전조치 의무 위반에 책임 있는 자*에 대한 징계를 권고한다.
* 보조저장매체(외장하드 4개)에 대해 안전조치(접근통제, 암호화) 등 기관 차원의 개인정보 관리체계 미흡에 책임이 있는 임ㆍ직원
5. 공표
개인정보보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과처분 등을 한 경우 보호법 제66조제1항에 따라 그 처분 내용 및 결과에 대하여 공표할 수 있다.
피심인의 舊 보호법 제24조제3항(’19.12.~’26.8.) 위반상태의 기간이 6개월 이상 지속되므로 같은 법 제66조제1항 및 「개인정보 보호위원회 처분결과 공표기준보호위원회 지침, 2020. 11. 18. 제정ㆍ시행」 제2조제1항제5호에 따라 처분결과를 공표하고,
피심인은 보호법 제2조제6호에 따른 공공기관이므로, 보호법 제34조제1항 및 제3항 위반에 대한 처분결과를 같은 법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침보호위원회 지침, 2025. 7. 1. 시행」 제3조제1항제3호에 따라 공표한다.
다만, 피심인의 舊 보호법 제24조제3항 및 보호법 제34조제1항, 제3항 위반에 대한 처분결과는 같은 지침 제5조에 따라 위원회 홈페이지에 1년간 공표한다.
Ⅵ. 결론
피심인의 보호법 위반행위에 대하여 과징금ㆍ과태료 부과, 시정명령, 징계권고 및 공표를 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정명령 및 공표에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).