개인정보보호위원회
심의ㆍ의결
제2026-017-107호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 8월 26일
요지
안건번호 : 제2026-017-107호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : ㈜지에스리테일 (사업자등록번호 : )대표자
의결연월일 : 2026. 8. 26.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : ㈜지에스리테일 (사업자등록번호 : )대표자
의결연월일 : 2026. 8. 26.
주문
1. 피심인에 대하여 다음과 같이 시정조치를 명한다.
가. 피심인은 시스템 특성, 평상시 서비스 접속량, 패턴 등을 주기적으로 분석하여 비정상 접속을 식별할 수 있는 적절한 보안정책을 마련하고, 이를 정기적으로 재검토ㆍ개선하는 등 구체적인 재발방지 대책을 수립ㆍ시행할 것
나. 개인정보 유출 예방 및 신속한 사고대응을 위해 개인정보 보호ㆍ정보보안 전담인력을 실질적으로 배치하고, 개인정보 보호를 위한 CPO의 권한 및 책임을 명확히 하는 등 거버넌스 체계 전반을 점검ㆍ개선할 것
다. 피심인은 가.와 나.의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 가.와 나.의 이행 결과를 제출할 것
2. 피심인에 대하여 다음과 같이 과징금, 과태료를 부과한다.
가. 과 징 금 : 12,836,000,000원
나. 과 태 료 : 3,000,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
3. 피심인의 법 위반 내용 및 시정조치 명령, 과징금 및 과태료 부과 등 처분 결과를 피심인의 홈페이지에 공표할 것을 명한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 1개월 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
가. 피심인은 시스템 특성, 평상시 서비스 접속량, 패턴 등을 주기적으로 분석하여 비정상 접속을 식별할 수 있는 적절한 보안정책을 마련하고, 이를 정기적으로 재검토ㆍ개선하는 등 구체적인 재발방지 대책을 수립ㆍ시행할 것
나. 개인정보 유출 예방 및 신속한 사고대응을 위해 개인정보 보호ㆍ정보보안 전담인력을 실질적으로 배치하고, 개인정보 보호를 위한 CPO의 권한 및 책임을 명확히 하는 등 거버넌스 체계 전반을 점검ㆍ개선할 것
다. 피심인은 가.와 나.의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 가.와 나.의 이행 결과를 제출할 것
2. 피심인에 대하여 다음과 같이 과징금, 과태료를 부과한다.
가. 과 징 금 : 12,836,000,000원
나. 과 태 료 : 3,000,000원
다. 납부기한 : 고지서에 명시된 납부기한 이내
라. 납부장소 : 한국은행 국고수납 대리점
3. 피심인의 법 위반 내용 및 시정조치 명령, 과징금 및 과태료 부과 등 처분 결과를 피심인의 홈페이지에 공표할 것을 명한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 1개월 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보호위원회와 협의하여 정할 것
이유
Ⅰ. 기초 사실
피심인은 GS25(편의점), GS SHOP(홈쇼핑), GS THE FRESH(슈퍼마켓) 등의 서비스를 운영하는 「개인정보 보호법」법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행(이하 '보호법’)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169596635" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 개인정보 유출신고(’25. 1. 6., '25. 2. 26.)함에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('25. 1. 9. ~ '26. 4. 22.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 ’25. 1. 20. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169596637" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
해커는 GS25 홈페이지('24.12.26.~’25.1.4.)와 GS SHOP 홈페이지('24.6.21.~’25.2.13., '25.10.3.)에 크리덴셜 스터핑 공격을 시도하였고, 로그인 성공한 계정의 회원정보 수정 페이지에 접속 및 개인정보를 유출하였다.
GS25의 경우, 해커는 '24.12.26.~’25.1.4.(10일) 동안 5,940개 공격 IP로 총 6,263,630회 로그인 시도하여 377,161회 성공(성공률 6%)하였고, 회원정보 수정 페이지에 접근하여 79,128명의 개인정보를 유출하였다.
확인결과, 사고 발생 전 평상시본건 공격 발생 직전인 '24.12.16. ~ 12.25. 동안 일평균 발생건수를 기준으로 함
(일평균)와 비교하여 로그인 시도는 최대 배, 로그인 실패는 최대 배 증가하였고, 캡차(동일 ID 기준 회 이상 또는 동일 IP 기준 회 이상 로그인 실패 시) 발생건수 또한 평상시 대비 최대 배 이상 증가하였다전체 로그인 시도건수 : 건(평시) → 건('25.1.1., 최대), 약 배
전체 로그인 실패건수 : 건(평시) → 건(’25.1.1., 최대), 약 배
전체 캡차 발생건수 : 건(평시) → 건('25.1.3., 최대), 약 배. 또한, 전체 공격 IP는 20개 IP 대역에서만 발생한 것으로 단일 IP 기준으로 일 최대 760회, 총 3,139회 로그인 시도 등 이상행위가 발생하였다.
GS SHOP의 경우, 해커는 ’24.6.21. ~ '25.2.13.(약 8개월) 동안 1,155,659개의 공격 IP로 총 41,236,151회 로그인 시도하여 1,820,520회 성공(성공률 4%)하였고, 회원정보 수정 페이지에 접근하여 1,581,025명의 개인정보를 유출하였다.
확인결과, 해커의 로그인 시도는 사고 발생 전 평상시본건 공격 발생 직전 3개월(’24.3월~5월) 동안 일평균 발생건수를 기준으로 함
(일평균) 전체 로그인 시도보다 최대 배(’24.8월), 로그인 실패는 최대 배(’24.7월) 증가하는 등 이상행위가 발생하였다전체 로그인 시도건수 : 건(평시) → 건('24.8월, 최대), 약 배
전체 로그인 실패건수 : 건(평시) → 건(’24.7월, 최대), 약 배.
또한, 최초로 유출을 인지한 GS25 대응 과정에서 식별한 공격 IP 5,940개에 대해 공격여부를 확인하지 않아 327개 IP가 GS SHOP 공격에도 동일하게 사용되었음에도 불구하고 인지하지 못하여 GS25 유출신고('25.1.6.) 이후에도 유출이 지속적으로 발생(~’25.2.13.)하였다.
※ 사업자는 ’25.1.3. 측에 GS25 사고과정에서 최초 인지한 IP 2,000개 대상 공격여부 확인을 요청하여 이상 없다는 답변을 받았다고 소명하였으나, 이후 분석과정에서 추가 식별된 공격 IP 3,940개에 대해서는 별도 공격여부 확인 요청을 하지 않음
'25. 10. 3. 크리덴셜 스터핑 공격이 재발생하였으나, 사고 이후 적용한 보호조치*로 6분만에 자체 탐지ㆍ차단하여 1명의 개인정보만 유출되었다.
* 모니터링 시스템을 통한 전주 대비 로그인 추이 확인ㆍ알람, 웹방화벽을 통한 로그인 페이지ㆍ개인정보 수정 페이지 탐지정책 적용 등
2) 유출내용
GS25 회원 79,128명, GS SHOP 회원 1,581,025명의 개인정보*(GS25와 GS SHOP 간 중복 유출 회원 18,664명 포함)
* (GS25) 이름, 성별, 생년월일, 연락처, 아이디, 주소(자택, 직장), 이메일
(GS SHOP) 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일, 결혼여부, 결혼기념일, 개인통관고유부호
3) 유출 인지 및 대응
GS25와 관련하여, 개인정보 유출신고는 72시간 내 완료하였으나, 조사과정에서 추가 식별된 GS25 회원(1,599명) 대상 유출통지는 지연한 사실이 있다.
<img src="/LSW/flDownload.do?flSeq=169596639" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
피심인은 GS SHOP의 경우, 21.2월경 클라우드 환경으로 이전하면서 현재의 웹방화벽을 운영하였으나, '25.2.15.까지 반복된 대량 로그인 시도에 대한 탐지정책은 운영하지 않았고, ’23.7월부터 웹서비스 접속량 및 트래픽 모니터링 시스템을 운영하였으나 이상행위를 인지하지 못하였으며, GS25의 경우, '15. 10월부터 웹방화벽을 통한 차단정책동일 IP 기준 분당 회 이상 로그인 시도 시 차단
, ’22. 2월부터 고객관리시스템을 통한 차단정책동일 IP 기준 분간 회, 1시간 회, 1일 번 이상 로그인 시도 시 차단을 운영였으나, 사고 당시까지 차단정책의 임계치에 대한 검토 또는 정책 개선 등이 이루어진 사실이 없으며, 별도의 접속량 및 트래픽을 모니터링할 수 있는 시스템을 운영하지 않은 사실이 있다.
또한, 피심인은 불법적인 접근을 통한 개인정보 유출 등을 방어하기 위한 모니터링 업무, 침입 탐지ㆍ차단 정책 운용 및 타 서비스(GS SHOP 등) 피해 확인 등 보안 운영 전반을 외부업체에 위탁하였다. 특히 GS SHOP의 경우, 정보보안팀이 아닌 인프라팀에서 보안운영을 담당하여 크리덴셜 스터핑과 같이 대량의 개인정보 유출을 탐지ㆍ차단할 수 있는 정책이 미흡하였고, 안전한 개인정보 처리 및 관리를 위한 별도의 개인정보 전담 부서는 존재하지 않았다.
나. 개인정보 유출통지를 지연한 행위
피심인은 '25. 1. 3. 자체 모니터링 과정에서 유출을 최초 인지하였고, 조사과정에서 ’25. 7. 8. 1,599명의 추가 유출 대상자를 식별하였으나, '25. 10. 22. 유출통지를 완료한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 30. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26. 5. 22. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위한 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평균 100만명 이상인 개인정보처리자만 해당한다.의 조치를 해야 한다(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’”라고 규정하고 있다. 또한, 제30조제1항제1호는 “개인정보의 안전한 처리를 위해 '법 제28조제1항에 따른 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항(가목)’, '법 제31조에 따른 개인정보 보호책임자의 지정 등 개인정보 보호 조직의 구성ㆍ운영에 관한 사항(나목)’, '제2호부터 제8호까지의 규저에 따른 조치를 이행하기 위하여 필요한 세부사항(다목’)에 대한 내용을 포함하는 내부 관리계획의 수립ㆍ시행 및 점검하여 한다”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)」(이하 '안전성 확보조치 기준’) 제6조제1항은 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 '개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한(1호)’, '개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응(2호)’의 안전조치를 하여야 한다.”라고 규정하고 있다. 또한 제4조제1항은 “개인정보처리자는 개인정보의 도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다.”라고 규정하고 있다.
나. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 ”유출등“이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(1호)’, '유출등이 된 시점과 그 경위(2호)’, '유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보(3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(5호)’의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.”라고 규정하고 있고, 제34조제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 보호위원회 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.”라고 규정하고 있고, 제34조제4항은 “제1항에 따른 유출등의 통지 및 제3항에 따른 유출등의 신고의 시기, 방법, 절차 등에 필요한 사항은 대통령령으로 정한다.”라고 규정하고 있다.
시행령 제39조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조 및 제40조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, '유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우(1호)’, '천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우(2호)’의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있다.“라고 규정하고 있고, 제39조제2항은 ”제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다.“라고 규정하고 있고, 제39조제3항은 ”제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.“라고 규정하고 있다.
시행령 제40조제1항은 ”개인정보처리자는 '1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우(1호)’, '민감정보 또는 고유식별정보가 유출등이 된 경우(2호)’, '개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우(3호)’의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조 제3항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다.“라고 규정하고 있고, 제40조제2항은 ”제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.“라고 규정하고 있고, 제40조제3항은 ”법 제34조제3항 전단 및 후단에서 “대통령령으로 정하는 전문기관”이란 각각 한국인터넷진흥원을 말한다.“라고 규정하고 있다.
2. 위법성 판단
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
안전성 확보조치 기준은 개인정보가 유출되지 않도록 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적(제1조)으로 하고 있고, 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려해, 스스로의 환경에 맞는 개인정보의 안전성 확보에 필요한 조치를 적용하도록 원칙(제3조)으로 정하고 있다.
GS SHOP의 경우, ’21. 2월부터 웹방화벽 등 보안장비를 설치ㆍ운영하면서 크리덴셜 스터핑 공격과 같이 대량의 로그인 시도를 통한 개인정보 유출을 탐지ㆍ차단할 수 있는 정책(임계치 설정 등)을 미운영하였고, 웹서비스 접속량 및 트래픽 모니터링 시스템을 운영하였으나, '24. 6월부터 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생하였음에도 이를 인지하지 못하여 장기간(약 8개월) 유출이 지속되었다.
아울러, GS25 공격 IP 일부(327개)가 GS SHOP 공격에서도 동일하게 사용되었으나 ’25. 1월 GS25 최초 유출 인지 이후 대응을 소홀히 하여 GS SHOP 유출을 '25. 2월이 되어서야 인지하였고, 인지당일(’25.2.13.)까지 유출이 발생하는 등 이상행위 대응 조치를 소홀히 하였다.
GS 25의 경우, '15. 10월부터 웹방화벽을 통한 차단정책, ’22. 2월부터 고객관리시스템을 통한 차단정책을 운영하였으나, 차단 임계치 검토 또는 정책 개선 등이 이루어진 사실이 없고, 단순 상품 안내 기능만 제공하는 GS25 홈페이지 특성상 접속량 및 로그인 자체가 많지 않아 과도한 로그인 시도ㆍ실패, 캡차 발생 등 다수의 비정상적인 행위를 확인하기 어렵지 않음에도 불구하고, 이를 모니터링할 수 있는 시스템이 존재하지 않아 10일 동안 이상징후를 인지하지 못하는 등 이상행위에 대한 대응조치를 소홀히 하였다.
이러한 피심인의 행위는 불법적인 접근 및 침해사고 방지를 위해 안전조치를 하였다고 보기 어려운 바, 보호법 제29조, 시행령 제30조제1항제3호, 안전성 확보조치 기준 제6조제1항을 위반한 것이다.
또한, 피심인은 만 명 이상의 대규모 회원 개인정보를 처리하고, 통합회원 방식을 통해 GS25, GS SHOP 등 운영 중인 서비스 간 개인정보가 연동되도록 운영함에도 불구하고, 개인정보 전담 조직의 부재 및 이원화된 보안 운영 등으로 인해 적절한 유출 예방 및 사고 대응이 이루어지지 않았다. 또한, 불법적인 접근을 통한 개인정보 유출 등을 방어하기 위한 모니터링 업무, 침입 탐지ㆍ차단 정책 운용 및 타 서비스 피해 확인 등 보안 운영 전반을 외부 업체에 전적으로 위탁하였다. 그 결과, 전사 차원의 보안정책 운영 및 유출 예방에 미흡하였으며, 유출 사고 발생 이후에도 사고 분석, 피해 범위 확인 등 대응이 원활히 이루어지지 않아 GS25에서 유출을 최초로 인지한 이후에도 GS SHOP에서 1개월 이상 유출이 지속되는 등 피해가 확산된 결과를 초래하였다.
이는 피심인의 개인정보 보호 조직 및 체계가 서비스 구조 및 대규모 개인정보 처리환경에 상응하는 수준으로 구축ㆍ운영되지 못한 것으로, 내부 관리계획을 실효적으로 수립ㆍ시행하였다고 볼 수 없어 보호법 제29조, 같은 법 시행령 제30조제1항제1호, 고시 제4조제1항을 위반한 것이다.
나. 개인정보 유출 통지를 지연한 행위
[보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항]
피심인이 '25. 1. 3. 자체 모니터링 과정에서 유출을 최초 인지하였고, 조사과정에서 ’25. 7. 8. 1,599명의 추가 유출 대상자를 식별하였으나, 정당한 사유 없이 72시간을 경과한 '25. 10. 22. 유출통지를 완료한 행위는 보호법 제34조제1항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=169596641" alt="4번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 '중대한 위반행위'로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 위반행위와 관련이 없는 매출액은 홈쇼핑(GS SHOP) 매출 중 입점몰과 기타 매출, 편의점(GS25) 매출 중 개인정보 처리와 관련이 없는 매출 및 기타 매출, 슈퍼마켓(GS THE FRESH) 매출, 기타(개발사업, 지원/기금) 매출 등으로 하고, 직전 3개 사업년도의 연평균 전체 매출액에서 관련 없는 매출액을 제외한 천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1천분의 을 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169596643" alt="5번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=169596645" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 피심인이 ▲위반기간이 2년을 초과하므로 기준금액의 100분의 50에 해당하는 천 원을 가중하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 천 원을 감경한다.
라. 2차 조정조정
과징금 부과기준 제10조에 따라 피심인이 ▲조사에 적극 협력한 경우, ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하고 시정을 완료한 경우, ▲개인정보 보호에 노력(ISMS-P 인증, 자율규약 이행, 개인정보 영향평가)한 경우에 해당하여 1차 조정을 거친 금액의 100분의 40에 해당하는 천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 2) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 128억 3,600만 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=169596647" alt="7번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲고의성 없음, ▲중과실, ▲침입탐지ㆍ차단시스템을 운영하고, 관제업체를 통한 모니터링을 수행하고 있었던 점(일부 참작)
②(부당성:중) ▲접근제한, 이상행위 탐지ㆍ대응 등 접근통제 소홀이 안전조치의무 위반이 유출과 직접적 관련이 있고, ▲GS25 유출 인지 이후 사고 분석ㆍ대응이 원활히 이루어지지 않아 최초 GS25 유출 인지 이후에도 GS SHOP에서 1개월 간 유출이 계속해서 발생한 점, ▲다만, 위반행위가 조직적으로 이루어지지 않고 대표자ㆍ임원 관여 미해당 등 고려
③(개인정보 유형:하) ▲고유식별번호, 인증정보 등에 해당 없음
④(피해규모:중) ▲위반기간(4년), ▲장기간(8개월) 유출시도로 약 160만명의 개인정보가 유출되었으나, ▲현재까지 공중에 노출된 사실이 확인되지 않은 점 등을 고려
** 위반기간 : '21. 2월(접근통제 정책 미적용) ~ '25. 2월(접근통제 등 보안조치 완료)
*** 과징금 부과기준 제11조제5항에 따라 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버림
2. 과태료 부과
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대한 과태료는 같은 법 제75조(과태료)제2항제17호 시행령 제63조 [별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)(이하 '과태료 부과기준’)에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없어 1회 위반에 해당하는 600만원을 기준금액을 적용한다.
<img src="/LSW/flDownload.do?flSeq=169596649" alt="8번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과기준 제7조는 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도 등을 고려하여 가중사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 과태료 부과기준 제7조 및 [별표3]의 가중기준에 따른 별도의 가중사유에 해당하지 않는다.
2) (과태료의 감경) 과태료 부과기준 제6조제1항은 “당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲개인정보보호 노력정도, ▲조사협조 및 자진시정 등을 고려하여 감경사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있고, 제6조제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 과태료 부과기준 제6조 및 [별표2]의 감경기준에 따라, ▲행위사실을 인정하면서 조사에 협력하고, 시정을 완료한 경우, ▲개인정보 보호 노력(ISMS-P, 자율규약 이행 등)에 해당하여 기준금액의 50%를 감경한다.
다. 최종 과태료
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 300만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=169596651" alt="9번째 이미지"></img>
3. 시정조치 명령
가. 피심인은 시스템 특성, 평상시 서비스 접속량, 패턴 등을 주기적으로 분석하여 비정상 접속을 식별할 수 있는 적절한 보안정책을 마련하고, 이를 정기적으로 재검토ㆍ개선하는 등 구체적인 재발방지 대책을 수립ㆍ시행할 것
나. 개인정보 유출 예방 및 신속한 사고대응을 위해 개인정보 보호ㆍ정보보안 전담인력을 실질적으로 배치하고, 개인정보 보호를 위한 CPO의 권한 및 책임을 명확히 하는 등 거버넌스 체계 전반을 점검ㆍ개선할 것
다. 처분통지를 받은 날로부터 90일 이내에 가.와 나.의 이행 결과를 제출할 것
4. 처분 결과 공표명령
피심인의 위반행위는 보호법 제66조제2항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)(이하 ’공표 및 공표명령 지침') 제6조제1항제8호*에 해당하고 위반행위가 인터넷을 통하여 이루어졌으므로, 제8조 및 제11조에 따라 처분등에 대한 통지를 받은 날부터 1개월 이내에 당해 처분등을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만의 기간 동안(휴업일 포함) 공표하도록 명한다.
8호 : 위반행위로 인하여 피해를 입은 정보주체의 수가 10만 명 이상인 경우
이때 제7조제1항, 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅴ. 결론
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2(과징금)제1항제9호에 따라 과징금을 부과하고, 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해 같은 법 제75조(과태료)제2항제17호에 따라 과태료를 부과하고, 같은 법 제64조(시정조치 등)제1항에 따라 시정명령, 제66조(결과의 공표)제2항에 따라 공표명령 처분을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정조치 명령, 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 GS25(편의점), GS SHOP(홈쇼핑), GS THE FRESH(슈퍼마켓) 등의 서비스를 운영하는 「개인정보 보호법」법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행(이하 '보호법’)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169596635" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 개인정보 유출신고(’25. 1. 6., '25. 2. 26.)함에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('25. 1. 9. ~ '26. 4. 22.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 ’25. 1. 20. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169596637" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 유출 경위
해커는 GS25 홈페이지('24.12.26.~’25.1.4.)와 GS SHOP 홈페이지('24.6.21.~’25.2.13., '25.10.3.)에 크리덴셜 스터핑 공격을 시도하였고, 로그인 성공한 계정의 회원정보 수정 페이지에 접속 및 개인정보를 유출하였다.
GS25의 경우, 해커는 '24.12.26.~’25.1.4.(10일) 동안 5,940개 공격 IP로 총 6,263,630회 로그인 시도하여 377,161회 성공(성공률 6%)하였고, 회원정보 수정 페이지에 접근하여 79,128명의 개인정보를 유출하였다.
확인결과, 사고 발생 전 평상시본건 공격 발생 직전인 '24.12.16. ~ 12.25. 동안 일평균 발생건수를 기준으로 함
(일평균)와 비교하여 로그인 시도는 최대 배, 로그인 실패는 최대 배 증가하였고, 캡차(동일 ID 기준 회 이상 또는 동일 IP 기준 회 이상 로그인 실패 시) 발생건수 또한 평상시 대비 최대 배 이상 증가하였다전체 로그인 시도건수 : 건(평시) → 건('25.1.1., 최대), 약 배
전체 로그인 실패건수 : 건(평시) → 건(’25.1.1., 최대), 약 배
전체 캡차 발생건수 : 건(평시) → 건('25.1.3., 최대), 약 배. 또한, 전체 공격 IP는 20개 IP 대역에서만 발생한 것으로 단일 IP 기준으로 일 최대 760회, 총 3,139회 로그인 시도 등 이상행위가 발생하였다.
GS SHOP의 경우, 해커는 ’24.6.21. ~ '25.2.13.(약 8개월) 동안 1,155,659개의 공격 IP로 총 41,236,151회 로그인 시도하여 1,820,520회 성공(성공률 4%)하였고, 회원정보 수정 페이지에 접근하여 1,581,025명의 개인정보를 유출하였다.
확인결과, 해커의 로그인 시도는 사고 발생 전 평상시본건 공격 발생 직전 3개월(’24.3월~5월) 동안 일평균 발생건수를 기준으로 함
(일평균) 전체 로그인 시도보다 최대 배(’24.8월), 로그인 실패는 최대 배(’24.7월) 증가하는 등 이상행위가 발생하였다전체 로그인 시도건수 : 건(평시) → 건('24.8월, 최대), 약 배
전체 로그인 실패건수 : 건(평시) → 건(’24.7월, 최대), 약 배.
또한, 최초로 유출을 인지한 GS25 대응 과정에서 식별한 공격 IP 5,940개에 대해 공격여부를 확인하지 않아 327개 IP가 GS SHOP 공격에도 동일하게 사용되었음에도 불구하고 인지하지 못하여 GS25 유출신고('25.1.6.) 이후에도 유출이 지속적으로 발생(~’25.2.13.)하였다.
※ 사업자는 ’25.1.3. 측에 GS25 사고과정에서 최초 인지한 IP 2,000개 대상 공격여부 확인을 요청하여 이상 없다는 답변을 받았다고 소명하였으나, 이후 분석과정에서 추가 식별된 공격 IP 3,940개에 대해서는 별도 공격여부 확인 요청을 하지 않음
'25. 10. 3. 크리덴셜 스터핑 공격이 재발생하였으나, 사고 이후 적용한 보호조치*로 6분만에 자체 탐지ㆍ차단하여 1명의 개인정보만 유출되었다.
* 모니터링 시스템을 통한 전주 대비 로그인 추이 확인ㆍ알람, 웹방화벽을 통한 로그인 페이지ㆍ개인정보 수정 페이지 탐지정책 적용 등
2) 유출내용
GS25 회원 79,128명, GS SHOP 회원 1,581,025명의 개인정보*(GS25와 GS SHOP 간 중복 유출 회원 18,664명 포함)
* (GS25) 이름, 성별, 생년월일, 연락처, 아이디, 주소(자택, 직장), 이메일
(GS SHOP) 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일, 결혼여부, 결혼기념일, 개인통관고유부호
3) 유출 인지 및 대응
GS25와 관련하여, 개인정보 유출신고는 72시간 내 완료하였으나, 조사과정에서 추가 식별된 GS25 회원(1,599명) 대상 유출통지는 지연한 사실이 있다.
<img src="/LSW/flDownload.do?flSeq=169596639" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
피심인은 GS SHOP의 경우, 21.2월경 클라우드 환경으로 이전하면서 현재의 웹방화벽을 운영하였으나, '25.2.15.까지 반복된 대량 로그인 시도에 대한 탐지정책은 운영하지 않았고, ’23.7월부터 웹서비스 접속량 및 트래픽 모니터링 시스템을 운영하였으나 이상행위를 인지하지 못하였으며, GS25의 경우, '15. 10월부터 웹방화벽을 통한 차단정책동일 IP 기준 분당 회 이상 로그인 시도 시 차단
, ’22. 2월부터 고객관리시스템을 통한 차단정책동일 IP 기준 분간 회, 1시간 회, 1일 번 이상 로그인 시도 시 차단을 운영였으나, 사고 당시까지 차단정책의 임계치에 대한 검토 또는 정책 개선 등이 이루어진 사실이 없으며, 별도의 접속량 및 트래픽을 모니터링할 수 있는 시스템을 운영하지 않은 사실이 있다.
또한, 피심인은 불법적인 접근을 통한 개인정보 유출 등을 방어하기 위한 모니터링 업무, 침입 탐지ㆍ차단 정책 운용 및 타 서비스(GS SHOP 등) 피해 확인 등 보안 운영 전반을 외부업체에 위탁하였다. 특히 GS SHOP의 경우, 정보보안팀이 아닌 인프라팀에서 보안운영을 담당하여 크리덴셜 스터핑과 같이 대량의 개인정보 유출을 탐지ㆍ차단할 수 있는 정책이 미흡하였고, 안전한 개인정보 처리 및 관리를 위한 별도의 개인정보 전담 부서는 존재하지 않았다.
나. 개인정보 유출통지를 지연한 행위
피심인은 '25. 1. 3. 자체 모니터링 과정에서 유출을 최초 인지하였고, 조사과정에서 ’25. 7. 8. 1,599명의 추가 유출 대상자를 식별하였으나, '25. 10. 22. 유출통지를 완료한 사실이 있다.
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 30. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26. 5. 22. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위한 '개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평균 100만명 이상인 개인정보처리자만 해당한다.의 조치를 해야 한다(나목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’”라고 규정하고 있다. 또한, 제30조제1항제1호는 “개인정보의 안전한 처리를 위해 '법 제28조제1항에 따른 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항(가목)’, '법 제31조에 따른 개인정보 보호책임자의 지정 등 개인정보 보호 조직의 구성ㆍ운영에 관한 사항(나목)’, '제2호부터 제8호까지의 규저에 따른 조치를 이행하기 위하여 필요한 세부사항(다목’)에 대한 내용을 포함하는 내부 관리계획의 수립ㆍ시행 및 점검하여 한다”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 「개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)」(이하 '안전성 확보조치 기준’) 제6조제1항은 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 '개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한(1호)’, '개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응(2호)’의 안전조치를 하여야 한다.”라고 규정하고 있다. 또한 제4조제1항은 “개인정보처리자는 개인정보의 도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다.”라고 규정하고 있다.
나. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 ”유출등“이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(1호)’, '유출등이 된 시점과 그 경위(2호)’, '유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보(3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(5호)’의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.”라고 규정하고 있고, 제34조제3항은 “개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 보호위원회 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.”라고 규정하고 있고, 제34조제4항은 “제1항에 따른 유출등의 통지 및 제3항에 따른 유출등의 신고의 시기, 방법, 절차 등에 필요한 사항은 대통령령으로 정한다.”라고 규정하고 있다.
시행령 제39조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조 및 제40조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, '유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우(1호)’, '천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우(2호)’의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있다.“라고 규정하고 있고, 제39조제2항은 ”제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다.“라고 규정하고 있고, 제39조제3항은 ”제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.“라고 규정하고 있다.
시행령 제40조제1항은 ”개인정보처리자는 '1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우(1호)’, '민감정보 또는 고유식별정보가 유출등이 된 경우(2호)’, '개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우(3호)’의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조 제3항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 지체 없이 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다.“라고 규정하고 있고, 제40조제2항은 ”제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.“라고 규정하고 있고, 제40조제3항은 ”법 제34조제3항 전단 및 후단에서 “대통령령으로 정하는 전문기관”이란 각각 한국인터넷진흥원을 말한다.“라고 규정하고 있다.
2. 위법성 판단
가. 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
안전성 확보조치 기준은 개인정보가 유출되지 않도록 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적(제1조)으로 하고 있고, 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려해, 스스로의 환경에 맞는 개인정보의 안전성 확보에 필요한 조치를 적용하도록 원칙(제3조)으로 정하고 있다.
GS SHOP의 경우, ’21. 2월부터 웹방화벽 등 보안장비를 설치ㆍ운영하면서 크리덴셜 스터핑 공격과 같이 대량의 로그인 시도를 통한 개인정보 유출을 탐지ㆍ차단할 수 있는 정책(임계치 설정 등)을 미운영하였고, 웹서비스 접속량 및 트래픽 모니터링 시스템을 운영하였으나, '24. 6월부터 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생하였음에도 이를 인지하지 못하여 장기간(약 8개월) 유출이 지속되었다.
아울러, GS25 공격 IP 일부(327개)가 GS SHOP 공격에서도 동일하게 사용되었으나 ’25. 1월 GS25 최초 유출 인지 이후 대응을 소홀히 하여 GS SHOP 유출을 '25. 2월이 되어서야 인지하였고, 인지당일(’25.2.13.)까지 유출이 발생하는 등 이상행위 대응 조치를 소홀히 하였다.
GS 25의 경우, '15. 10월부터 웹방화벽을 통한 차단정책, ’22. 2월부터 고객관리시스템을 통한 차단정책을 운영하였으나, 차단 임계치 검토 또는 정책 개선 등이 이루어진 사실이 없고, 단순 상품 안내 기능만 제공하는 GS25 홈페이지 특성상 접속량 및 로그인 자체가 많지 않아 과도한 로그인 시도ㆍ실패, 캡차 발생 등 다수의 비정상적인 행위를 확인하기 어렵지 않음에도 불구하고, 이를 모니터링할 수 있는 시스템이 존재하지 않아 10일 동안 이상징후를 인지하지 못하는 등 이상행위에 대한 대응조치를 소홀히 하였다.
이러한 피심인의 행위는 불법적인 접근 및 침해사고 방지를 위해 안전조치를 하였다고 보기 어려운 바, 보호법 제29조, 시행령 제30조제1항제3호, 안전성 확보조치 기준 제6조제1항을 위반한 것이다.
또한, 피심인은 만 명 이상의 대규모 회원 개인정보를 처리하고, 통합회원 방식을 통해 GS25, GS SHOP 등 운영 중인 서비스 간 개인정보가 연동되도록 운영함에도 불구하고, 개인정보 전담 조직의 부재 및 이원화된 보안 운영 등으로 인해 적절한 유출 예방 및 사고 대응이 이루어지지 않았다. 또한, 불법적인 접근을 통한 개인정보 유출 등을 방어하기 위한 모니터링 업무, 침입 탐지ㆍ차단 정책 운용 및 타 서비스 피해 확인 등 보안 운영 전반을 외부 업체에 전적으로 위탁하였다. 그 결과, 전사 차원의 보안정책 운영 및 유출 예방에 미흡하였으며, 유출 사고 발생 이후에도 사고 분석, 피해 범위 확인 등 대응이 원활히 이루어지지 않아 GS25에서 유출을 최초로 인지한 이후에도 GS SHOP에서 1개월 이상 유출이 지속되는 등 피해가 확산된 결과를 초래하였다.
이는 피심인의 개인정보 보호 조직 및 체계가 서비스 구조 및 대규모 개인정보 처리환경에 상응하는 수준으로 구축ㆍ운영되지 못한 것으로, 내부 관리계획을 실효적으로 수립ㆍ시행하였다고 볼 수 없어 보호법 제29조, 같은 법 시행령 제30조제1항제1호, 고시 제4조제1항을 위반한 것이다.
나. 개인정보 유출 통지를 지연한 행위
[보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항]
피심인이 '25. 1. 3. 자체 모니터링 과정에서 유출을 최초 인지하였고, 조사과정에서 ’25. 7. 8. 1,599명의 추가 유출 대상자를 식별하였으나, 정당한 사유 없이 72시간을 경과한 '25. 10. 22. 유출통지를 완료한 행위는 보호법 제34조제1항을 위반한 것이다.
<img src="/LSW/flDownload.do?flSeq=169596641" alt="4번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 '중대한 위반행위'로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 위반행위와 관련이 없는 매출액은 홈쇼핑(GS SHOP) 매출 중 입점몰과 기타 매출, 편의점(GS25) 매출 중 개인정보 처리와 관련이 없는 매출 및 기타 매출, 슈퍼마켓(GS THE FRESH) 매출, 기타(개발사업, 지원/기금) 매출 등으로 하고, 직전 3개 사업년도의 연평균 전체 매출액에서 관련 없는 매출액을 제외한 천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1천분의 을 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169596643" alt="5번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=169596645" alt="6번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 피심인이 ▲위반기간이 2년을 초과하므로 기준금액의 100분의 50에 해당하는 천 원을 가중하고, ▲위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 천 원을 감경한다.
라. 2차 조정조정
과징금 부과기준 제10조에 따라 피심인이 ▲조사에 적극 협력한 경우, ▲사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하고 시정을 완료한 경우, ▲개인정보 보호에 노력(ISMS-P 인증, 자율규약 이행, 개인정보 영향평가)한 경우에 해당하여 1차 조정을 거친 금액의 100분의 40에 해당하는 천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 2) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 128억 3,600만 원을 최종 과징금으로 결정한다.
<img src="/LSW/flDownload.do?flSeq=169596647" alt="7번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲고의성 없음, ▲중과실, ▲침입탐지ㆍ차단시스템을 운영하고, 관제업체를 통한 모니터링을 수행하고 있었던 점(일부 참작)
②(부당성:중) ▲접근제한, 이상행위 탐지ㆍ대응 등 접근통제 소홀이 안전조치의무 위반이 유출과 직접적 관련이 있고, ▲GS25 유출 인지 이후 사고 분석ㆍ대응이 원활히 이루어지지 않아 최초 GS25 유출 인지 이후에도 GS SHOP에서 1개월 간 유출이 계속해서 발생한 점, ▲다만, 위반행위가 조직적으로 이루어지지 않고 대표자ㆍ임원 관여 미해당 등 고려
③(개인정보 유형:하) ▲고유식별번호, 인증정보 등에 해당 없음
④(피해규모:중) ▲위반기간(4년), ▲장기간(8개월) 유출시도로 약 160만명의 개인정보가 유출되었으나, ▲현재까지 공중에 노출된 사실이 확인되지 않은 점 등을 고려
** 위반기간 : '21. 2월(접근통제 정책 미적용) ~ '25. 2월(접근통제 등 보안조치 완료)
*** 과징금 부과기준 제11조제5항에 따라 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버림
2. 과태료 부과
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대한 과태료는 같은 법 제75조(과태료)제2항제17호 시행령 제63조 [별표2] 및 「개인정보 보호법 위반에 대한 과태료 부과기준」개인정보 보호법 위반에 대한 과태료 부과기준(개인정보보호위원회 지침, 2023. 9. 15. 시행)(이하 '과태료 부과기준’)에 따라 다음과 같이 부과한다.
가. 기준금액
시행령 제63조 [별표2]는 최근 3년간 같은 위반행위를 한 경우 위반 횟수에 따라 기준금액을 규정하고 있고, 피심인은 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없어 1회 위반에 해당하는 600만원을 기준금액을 적용한다.
<img src="/LSW/flDownload.do?flSeq=169596649" alt="8번째 이미지"></img>
나. 과태료의 가중 및 감경
1) (과태료의 가중) 과태료 부과기준 제7조는 “당사자의 위반행위의 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표3]의 가중기준(▲위반의 정도, ▲위반기간, ▲조사방해, ▲위반주도 등을 고려하여 가중사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 가중할 수 있다.”라고 규정하고 있다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 과태료 부과기준 제7조 및 [별표3]의 가중기준에 따른 별도의 가중사유에 해당하지 않는다.
2) (과태료의 감경) 과태료 부과기준 제6조제1항은 “당사자의 위반행위 정도, 위반행위의 동기와 그 결과 등을 고려하여 [별표2]의 감경기준(▲당사자 환경, ▲위반정도, ▲개인정보보호 노력정도, ▲조사협조 및 자진시정 등을 고려하여 감경사유가 인정되는 경우)에 따라 기준금액의 100분의 50의 범위 이내에서 감경할 수 있다.”라고 규정하고 있고, 제6조제2항은 “[별표2]의 각 기준에 따른 과태료 감경 시 그 사유가 2개 이상 해당되는 경우에는 합산하여 감경하되, 제2호 1) 및 2)에 해당하는 사유가 각 2개 이상 해당되는 경우에는 기준금액의 100분의 50을 초과할 수 없고, 최종 합산 결과 기준금액의 100분의 90을 초과할 수 없다.”라고 규정하고 있다.
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위는 과태료 부과기준 제6조 및 [별표2]의 감경기준에 따라, ▲행위사실을 인정하면서 조사에 협력하고, 시정을 완료한 경우, ▲개인정보 보호 노력(ISMS-P, 자율규약 이행 등)에 해당하여 기준금액의 50%를 감경한다.
다. 최종 과태료
피심인의 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해 기준금액에서 가중ㆍ감경을 거쳐 300만 원의 과태료를 부과한다.
<img src="/LSW/flDownload.do?flSeq=169596651" alt="9번째 이미지"></img>
3. 시정조치 명령
가. 피심인은 시스템 특성, 평상시 서비스 접속량, 패턴 등을 주기적으로 분석하여 비정상 접속을 식별할 수 있는 적절한 보안정책을 마련하고, 이를 정기적으로 재검토ㆍ개선하는 등 구체적인 재발방지 대책을 수립ㆍ시행할 것
나. 개인정보 유출 예방 및 신속한 사고대응을 위해 개인정보 보호ㆍ정보보안 전담인력을 실질적으로 배치하고, 개인정보 보호를 위한 CPO의 권한 및 책임을 명확히 하는 등 거버넌스 체계 전반을 점검ㆍ개선할 것
다. 처분통지를 받은 날로부터 90일 이내에 가.와 나.의 이행 결과를 제출할 것
4. 처분 결과 공표명령
피심인의 위반행위는 보호법 제66조제2항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)(이하 ’공표 및 공표명령 지침') 제6조제1항제8호*에 해당하고 위반행위가 인터넷을 통하여 이루어졌으므로, 제8조 및 제11조에 따라 처분등에 대한 통지를 받은 날부터 1개월 이내에 당해 처분등을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만의 기간 동안(휴업일 포함) 공표하도록 명한다.
8호 : 위반행위로 인하여 피해를 입은 정보주체의 수가 10만 명 이상인 경우
이때 제7조제1항, 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅴ. 결론
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2(과징금)제1항제9호에 따라 과징금을 부과하고, 보호법 제34조(개인정보 유출 등의 통지ㆍ신고)제1항 위반행위에 대해 같은 법 제75조(과태료)제2항제17호에 따라 과태료를 부과하고, 같은 법 제64조(시정조치 등)제1항에 따라 시정명령, 제66조(결과의 공표)제2항에 따라 공표명령 처분을 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정조치 명령, 공표명령에 불복이 있는 경우, 「행정심판법」 제27조 및 「행정소송법」 제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
피심인은 이 과태료 부과처분에 불복이 있는 경우, 「질서위반행위규제법」 제20조의 규정에 따라 처분을 받은 날로부터 60일 이내에 개인정보보호위원회에 서면으로 이의를 제기할 수 있다.
과태료 부과처분에 대한 피심인의 이의제기가 있는 경우, 개인정보보호위원회의 과태료 부과처분은 「질서위반행위규제법」 제20조제2항의 규정에 따라 그 효력을 상실하고 관할법원(당사자 주소지의 지방법원 또는 그 지원)이 과태료 재판 절차에 따라 결정한다. 이 경우 피심인은 관할법원의 과태료 재판이 확정된 이후 재판 결과에 따라 과태료 납입 의무를 부담한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).