제2026-017-110호

안건번호 : 제2026-017-110호
안건명 : 공공기관의 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 국가아동권리보장원(사업자등록번호 : )대표자
의결연월일 : 2026. 8. 26.

1. 피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 52,500,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
2. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 개인정보보호책임자에 의한 실질적 관리ㆍ감독이 이뤄지도록 그 권한을 강화하고 책임을 명확히 할 것.
나. 수탁자에 대한 관리ㆍ감독 강화, 보조저장매체에 대한 보안대책 수립ㆍ시행, 주요 개인정보 암호화 등 개인정보보호 수준 향상을 위한 개선대책을 마련ㆍ시행할 것.
다. 대표자를 포함하여 임ㆍ직원 전원을 대상으로 하는 실질적인 개인정보보호 교육이 정기적으로 시행될 수 있도록 방안을 수립ㆍ시행할 것.
라. 가.부터 다의 개선사항를 이행하고, 심의의결서를 통지 받은 날로부터 90일 이내에 이행결과 또는 계획을 개인정보보호위원회에 제출할 것.
3. 피심인에 대한 과징금 부과 및 개선권고의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
Ⅰ. 조사 개요
1. 조사 배경
개인정보 보호위원회(이하 '위원회’)는 국가아동권리보장원(이하 '피심인’)의 유출 신고(’26.5.4.)에 따라 보호법 위반 여부를 조사하였으며, 그 결과 다음과 같은 사실을 확인하였다.
2. 피심인 현황
피심인은 「아동복지법」 제10조의2에 따라 설립된 보건복지부 산하 '기타 공공기관’으로 「개인정보 보호법
」(이하 '보호법’이라 한다) 제2조제6호에 따른 공공기관이고, 같은 법 제2조제5호에 따른 개인정보처리자이며 일반현황은 다음과 같다.
Ⅱ. 사실조사 결과
1. 개인정보 수집ㆍ이용 현황
피심인은 입양통합지원 서비스 제공을 위해 ’26.6월 기준으로 아래와 같이 개인정보를 수집ㆍ보유하고 있다.
2. 개인정보 유출 관련 사실관계
가. 유출 경위
피심인이 입양인 등의 알 권리 보장 및 입양 절차 편의성 향상을 위해 개발ㆍ운영하는 ( , ’26.3.16.~)에 접속하여 '내 정보 모아보기’ 메뉴를 선택하면, 신청 일련번호를 동일하게 부여받은 입양인과 예비양부모가 제출한 개인정보가 포함된 자료가 상호 열람되었다.(’26.4.30.~5.2.)
나. 유출 규모 및 항목
예비양부모 및 결연아동, 입양인 등 47명의 성명, 생년월일, 고유식별정보*, 성별, 주소, 병역사항 등 개인정보가 유출되었다.
* 주민등록번호 명, 여권번호 명, 운전면허번호 명, 외국인등록번호 명 등 명의
고유식별정보 포함
다. 유출인지 및 대응
3. 개인정보 취급ㆍ운영 관련 사실관계
피심인은 ’25. 11월부터 을 개발ㆍ구축하면서 입양사실확인서 발급 신청 등 3개 기능을 ’26. 3. 16.부터 개통ㆍ제공하였고, 예비양부모 신청 기능을 추가로 개발하여 ’26. 4. 30.부터 서비스 제공하였다.
'입양사실확인서 신청’과 '예비양부모 신청’은 신청인 및 발급 서류 등이 상이한 별도 서비스임에도 피심인은 두 기능과 관련하여 신청인이 제출한 파일 등을 모두 같은 DB 테이블에 저장하고, 신청 일련번호를 기능간 구별없이 1부터 순차적으로 부여하는 방식으로 설계하였다. 이로 인해 두 서비스의 신청 일련번호가 중복될 가능성이 존재하였으나 후속으로 제공한 '예비양부모 신청’ 기능을 개통하기 전에 이미 운영 중인 입양인 신청메뉴와 상호영향 및 개인정보 처리의 정상 작동 여부 및 시스템의 안전성을 확인할 수 있는 통합 테스트를 시행하지 않아 오류 가능성을 선제적으로 탐지ㆍ해결하지 못한 사실이 있다.
4. 처분의 사전통지 및 의견 수렴
개인정보보호위원회는 ’26. 7. 29. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26. 8. 14. 위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련 법 규정
보호법은 개인정보처리자의 안전조치의무에 관하여 제29조에서 “개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다”라고 규정하고 있다. 이에 따라 같은 법 시행령 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위해 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’를 하여야 한다.”라고 규정하고 있다.
한편, 위 법령에 따른 안전성 확보 조치에 관한 세부 기준을 정한 「개인정보의 안전성 확보조치 기준
(이하 '고시’)」제6조제3항은 “개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다”라고 규정하고 있다.
2. 위법성 판단
피심인이 입양인을 위한 3종의 메뉴가 탑재되어 있는 에 '예비양부모 신청 메뉴’를 추가하기 전에 메뉴간 상호영향 및 개인정보 처리의 정상 작동 여부 및 시스템의 안전성을 확인하기 위한 통합 테스트를 사전에 실시하지 않은 행위는 보호법 제29조, 시행령 제30조제1항제3호 및 고시 제6조제3항을 위반한 것이다.
Ⅳ. 피심인 주장에 대한 검토
1. 통합 테스트를 사전에 실시하지 않은 행위에 대하여
가. 피심인의 주장
피심인은 고시 제6조제3항의 문언에는 두 기능이 동시에 운영될 경우 발생할 수 있는 오류를 사전에 발견하기 위한 통합ㆍ상호작용 테스트에 대한 의무는 없고, 피심인은 각 기능에 대한 사전 검증과 오류 개선 등 통상적인 안전조치를 이행하였다고 주장한다.
나. 검토 의견 : 불수용
보호법 제29조와 고시 제6조제3항은 개인정보처리자에게 개인정보의 비인가 공개ㆍ유출을 방지하기 위한 필요한 조치를 요구하고 있으며, 본 사고는 공공기관인 피심인이 에 새로운 기능을 추가하는 과정에서 발생한 것으로 「정보시스템 구축ㆍ운영 지침
」 제8조에서도 정보시스템을 신ㆍ증설하는 경우 보안성 검토 의무를 부여하고 있다.
①입양인과 예비양부모를 위한 각각의 신청 메뉴가 동일 시스템에서 작동하고, ②동일한 DB를 통해 개인정보를 조회하는 기능을 공유하는 본 사고의 특성을 고려할 때, 피심인은 예비양부모 신청메뉴를 추가하면서 이미 운영 중인 입양인 신청메뉴와 상호영향 및 개인정보 처리의 정상 작동 여부 및 시스템의 안전성을 확인할 필요가 인정되므로 피심인의 주장은 수용하기 어렵다.
2. 과징금 면제 사유에 대하여
가. 피심인의 주장
피심인은 이번 유출 사고는 과징금 부과기준 제4조제2항은 '위반행위의 내용ㆍ정도가 경미하거나 사소한 부주의나 오류로 인한 위반행위인 경우’(제1호) 또는 '정보주체에게 피해가 발생하지 아니하였거나 경미한 경우로서 위반행위자가 위반행위를 시정하고 법 제34조에 따른 개인정보 유출 등의 통지ㆍ신고를 위반하지 않은 경우’ (제2호)에 해당하므로 과징금 면제도 가능하다고 주장한다.
나. 검토 의견 : 불수용
이번 사고는 입양과 관련한 입양인 및 예비양부모의 매우 민감한 개인정보가 유출된 건으로 ①유출로 인한 피해가 경미하다고 판단하기 어려운 점, ②유출사고 예방을 위해 시스템 구축에 관한 충분한 검증ㆍ통제 절차를 갖추지 못한 것을 사소한 부주의로 보기 어려운 점, ③피심인은 선행 2건의 유출에 대한 후속조치 중에도 추가적인 유출이 발생했다는 점 등을 종합 고려할 때, 이번 유출 건은 과징금 부과 면제 대상이라고 판단할 수 없다.
3. 공표 면제 요청에 대하여
가. 피심인의 주장
피심인은 입양인과 예비양부모 47명의 개인정보가 상호 노출된 점, 위반행위가 경미하고 자진 시정을 완료한 점 등을 고려하여 공표의 면제를 요청하고 있다.
나. 검토 의견 : 불수용
피심인은 이번 사고로 입양과 관련한 입양인 및 예비양부모의 개인정보가 상호 노출된 점을 강조하나, 상호간에 친분 등이 있는 사이라는 점은 확인된 바 없고, 결국 입양이라는 민감한 개인정보가 유출등이 된 건이므로 유출 규모가 적다는 이유만으로 공표를 면제하기는 어렵다.
Ⅴ. 처분 및 결정
1. 과징금 부과
이번 유출은 유출규모가 47명으로 크지 않고 피심인에게 위반의 고의나 영리 목적성이 있다고 보기 어려우나, 이미 실종아동과 입양인 등의 개인정보가 담긴 보조저장매체 유출등 사고 2건에 대해 조사중인 상황에서 3번째 개인정보 유출이 발생하였다는 점을 고려할 때, 과징금을 면제하기는 어렵다.
피심인의 보호법 제29조 위반행위에 대하여 같은 법 제64조의2제1항제9호, 시행령 제60조의2제6항 [별표 1의5] 및 「개인정보 보호법 위반에 대한 과징금 부과기준
」(이하 '과징금 부과기준’)에 따라 다음과 같이 과징금을 부과한다.
가. 과징금 상한액
피심인은 보호법 제2조제6호나목 및 시행령 제2조제2호에 따른 공공기관(기금관리형 준정부기관)으로서 본 건 유출과 관련된 위반행위는 수익사업과 무관한 입양인 등의 정보공개 청구 업무 영역에서 발생하였으므로 매출액이 없거나 매출액의 산정이 곤란한 경우에 해당하는바, 보호법 제64조의2제1항 단서 및 같은 법 시행령 제60조의2제2항제1호 다목에 따라 20억 원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
보호법 시행령 제60조의2제6항 [별표 1의5] 제2호가목에 따라 과징금 산정 시 기준금액은 위반행위의 내용 및 정도, 암호화 등 안전성 확보 조치 이행 노력, 유출 규모 및 위반행위와의 관련성 등을 종합적으로 고려하여 판단한 위반행위의 중대성에 따라 산정된다. 과징금 부과기준 제8조제1항은 보호법 시행령 [별표 1의5] 제2호가목 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준에 따른다고 규정하고 있다.
위 [별표]에 따르면 위반행위의 중대성의 정도는 ① 고의ㆍ과실, ② 위반행위의 방법, ③ 위반행위자가 처리하는 개인정보의 유형 및 ④ 위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등 총 네 가지 고려사항별 부과기준을 종합적으로 고려하여 판단하되, 고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과 수준을 적용하여야 한다. 고려사항별로 보면, ① 고의ㆍ과실은 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려하여 판단하여야 하고, ② 위반행위의 방법은 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주ㆍ대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출과 안전성 확보조치 위반행위와의 관련성을 포함하여 판단하여야 하며, ③ 개인정보의 유형은 민감정보 또는 고유식별정보인지, 인증정보인지 여부에 따라 판단하고, ④ 정보주체의 피해 규모 및 정보주체에게 미치는 영향은 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하여 판단하되, 개인정보가 유출된 경우에는 유출 규모 및 공중에 노출되었는지 여부를 포함하여 판단하여야 한다.
공공기관인 피심인이 에 입양인 신청메뉴 3종 및 예비양부모 신청메뉴 1종을 탑재하면서 각 메뉴별 사전 테스트 및 오류ㆍ결함관리는 시행하였으나 입양인 신청 메뉴 탑재 후 예비양부모 신청 메뉴를 추가하면서 기능간 상호영향 및 개인정보 처리의 정상 작동 여부 및 시스템의 안전성을 확인하지 않은 것은 피심인이 개인정보처리시스템 개발과 관련하여 개인정보 유출을 초래할 수 있는 오류를 발견하고 차단할 수 있도록 합리적인 검증ㆍ통제 절차를 운영하기 않았다는 과실이 있다고 봄이 타당하다. 이와 함께 입양인과 예비양부모의 입양과 관련한 민감한 정보가 유출되었다는 점을 감안하여 위반행위의 중대성을 '보통 위반행위’로 판단한다.
2) 기준금액 산출
보호법 시행령 [별표 1의3] 제2호 가목 2)에 따라 과징금 산정 시 기준금액은 위반행위의 중대성에 따라 산정하는바, '보통 위반행위’의 기준금액은 5천만 원 이상 2억 원 미만이며, 피심인의 경우 기관에서 다수의 개인정보 관련 사고가 발생하고 있는 상황에서도 입양인 등의 민감ㆍ중요 정보를 처리하는 온라인 서비스를 개발하면서 개인정보 유출 및 침해를 사전에 방지하기 위한 검증 및 통제 절차가 없었다는 점과 유출 정황을 인지한 후 유출 원인을 파악하고 취약점을 시정한 점 등을 종합 고려하여 그 기준금액을 천 원으로 한다.
다. 1차 조정
피심인은 이 사건 위반행위로 인하여 경제적 또는 비경제적 이득을 취한 사실이 없으므로 과징금 부과기준 제9조제2항제1호에 따라 기준금액의 100분의 30에 해당하는 천 원을 감경하고, 약 200명의 임직원이 실종아동ㆍ입양인 등 약 100만 명의 고유식별정보 등 개인정보를 처리하고 있는 피심인의 업무 형태와 규모를 감안하여 같은 조 같은 항 제2호에 따라 100분의 10에 해당하는 천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 피심인이 사전통지 및 의견제출 기한이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 점, 조사기간 중에 일관되게 행위사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 협력한 점 등을 종합 고려하여 1차 조정을 거친 금액의 100분의 30에 해당하는 천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조 위반에 대한 과징금은 같은 법 제64조의2제1항제9호, 같은 법 시행령 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 위와 같이 1차 조정 및 2차 조정을 거쳐 산출한 금액인 52,500천 원을 최종 과징금으로 결정한다.
2. 개선권고
개인정보 보호위원회는 개인정보 보호를 위하여 필요하다고 인정하면 개인정보처리자에게 보호법 제61조제2항에 따라 개인정보 처리실태의 개선을 권고할 수 있다.
피심인은 아동복지 및 정책 관련 민감한 개인정보를 대량으로 처리하는 공공기관으로서 비교적 가까운 시기('26.2.~3.)에 유출 사고가 연속적으로 신고된 이후임에도 또다시 개인정보 유출이 발생한 사실에 비추어 볼 때, 개인정보보호책임자의 역할 및 책임의 재정립과 사고 이후 보호 체계의 점검ㆍ정비 등 재발방지 대책의 마련과 이행이 필요하다고 인정되는 바, 주문과 같이 개선을 권고한다.
3. 공표
개인정보 보호위원회는 보호법 제66조제1항에 따라 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있다.
피심인은 보호법 제2조제6호에 따른 공공기관이므로 보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침
」 제3조제1항제3호에 따라 피심인의 보호법 위반에 대한 처분 결과를 위원회 홈페이지에 1년간 공표한다.
Ⅵ. 결론
피심인의 보호법 제29조 위반행위에 대하여 같은 법 제64조의2제1항, 제61조제2항 및 제66조제1항에 따라 과징금 부과 및 개선권고와 공표를 주문과 같이 의결한다.

피심인은 이 과징금 부과처분 및 공표에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.