10월 1일은 개인정보보호의 날입니다.

개인정보보호 관련 법령 및 지침에 근거하여 일상생활 속에서 개인정보보호 실천 문화를 조성하기 위해 매월 1일 운영하고 있습니다. (휴일인 경우 다음 평일)

10월의 주제는 ‘개인정보보호 실천하기’입니다.

2021년 10월 개인정보보호 이슈

개인정보보호 법규 위반, 지자체도 제재처분의 예외일 수 없다!

- 안전조치의무를 위반한 19개 공공기관 대상으로 제재 -

□ 개인정보보호위원회(이하 ‘개인정보위’)는 9월 8일(수) 제15회 전체회의를 열고, 개인정보보호 법규를 위반한 19개 공공기관에 총 9,360만원의 과태료 부과, 시정권고‧명령 및 공표 등 시정조치를 의결했다.

○ 특히 5개 지방자치단체(2개 교육청 포함)에 개인정보보호 법규 위반에 따른 과태료를 부과하였는데, 이는 보호법 제정(’11.3월) 이후 첫 사례이다.

○ 개인정보위는 민생현장에서 개인정보를 대규모로 수집·처리하는 지자체 등 공공기관의 경우, 개인정보보호 의무를 철저히 지켜 민간의 롤모델이 되어야 하며, 보호법 상 과태료 부과대상의 예외가 될 수 없다는 점을 고려했다고 밝혔다.

□ 개인정보위는 지난해 국정감사 과정에서 김영배 의원(당시 국회 행안위)의 공공누리집(웹사이트) 보안성 취약 지적 등 공공기관의 개인정보 유출 오남용 우려가 제기됨에 따라,

○ ‘공공기관 개인정보 처리실태 점검 계획(’21.1.13.)’을 수립하고, 개인정보 보호법 위반 소지가 있는 20개 공공기관을 선정하여 조사를 진행한 뒤, 19개 기관의 법규 위반사항을 확인했다.

□ 주요 법규 위반사항으로 ①개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않는 등 접속기록을 미흡하게 관리하고, ②외부에서 추가 인증절차 없이 아이디 및 비밀번호 입력만으로 개인정보처리시스템에 접근 가능하도록 하였으며, ③하나의 계정을 여러 명이 공유하며 사용하거나, ④비밀번호를 암호화하지 않고 송신한 사안이 적발됐다.

□ 박상희 개인정보위 사무처장은 “안전조치의무는 개인정보 보호에서 가장 기본에 해당하는 부분”이라고 말했다.

○ 박 사무처장은 이어 “이번 제재처분이 국민의 개인정보를 대규모로 처리하는 공공기관의 개인정보보호 수준을 높이는 계기가 될 것”이라며, “개인정보위는 공공기관의 개인정보 수준 강화를 위한 교육 강화를 포함한 다양한 방안을 담은 종합계획 수립 등 노력을 지속적으로 해 나가겠다.”라고 밝혔다.

참고 1		과태료 부과 및 시정조치 권고‧명령 대상

기 관 명 (총 19개)		처분건수	과태료 (만원)	시정조치 권고 및 명령 ( 시정권고 : 지자체 3, 교육청 2 ) ( 시정명령 : 대학교 등 공공기관 14 )		공표
				위 반 조 항
지자체 (3)	전라남도	2	480	§29	안전조치 의무	-
	천안시	2	480	§29	안전조치 의무	-
	청주시	3	960	§21①, §29	개인정보 파기, 안전조치 의무	공표
교육청 (2)	경기도 교육청	2	480	§29	안전조치 의무	-
	제주특별자치도 교육청	2	480	§29	안전조치 의무	-
대학교 (9)	강릉원주대학교	2	480	§29	안전조치 의무	-
	서울과학기술대학교	2	480	§29	안전조치 의무	-
	공주대학교	2	420	§29	안전조치 의무	-
	대구대학교	2	420	§29	안전조치 의무	-
	동의대학교	2	420	§29	안전조치 의무	-
	안동대학교	2	480	§29	안전조치 의무	-
	원광대학교	2	480	§29	안전조치 의무	-
	조선대학교	2	480	§29	안전조치 의무	-
	충남대학교	2	480	§29	안전조치 의무	-
그 외 공공 기관 (5)	구미시설공단	2	480	§29	안전조치 의무	-
	성북구도시관리공단	2	420	§29	안전조치 의무	-
	인천테크노파크	2	480	§29	안전조치 의무	-
	한국한의약진흥원	2	480	§29	안전조치 의무	-
	한국청소년상담복지개발원	2	480	§29	안전조치 의무	-
	합 계	39	9,360	과태료 19건, 시정조치 권고 5건, 명령 14건, 공표 1건

참고 2		주요 위반 사례

위 반 내 용	관련 규정
• 안전조치 의무	법 §29, 시행령 §30
< 접속기록 >
- 개인정보처리시스템 접속 기록을 보관・관리하지 않았거나, 1년이상 미보관	고시 §8①
- 개인정보처리시스템의 접속기록을 월 1회 이상 점검 미비	고시 §8②
< 접근권한 >
- 개인정보취급자 변경 시 접근권한 변경・말소하지 않음	고시 §5②
- 개인정보취급자의 권한 부여·변경·말소 기록 미보관	고시 §5③
- 개인정보취급자 간 계정 공유	고시 §5④
- 안전한 비밀번호 작성규칙 미적용	고시 §5⑤
- 비밀번호를 일정 횟수 이상 잘못 입력 시 시스템 접근 제한 미흡	고시 §5⑥
< 접근통제 >
- 외부에서 시스템 접속 시 안전한 접속수단 또는 인증수단 미적용	고시 §6②
- 고유식별정보 처리에 따른 취약점 점검 미실시	고시 §6④
- 개인정보취급자 업무휴지 시 시스템 접속차단 등 기술적 조치 미흡	고시 §6⑤
< 개인정보의 암호화 >
- 비밀번호 외부망에 송신 시 암호화 미흡	고시 §7①
- 비밀번호 저장 시 일방향 암호화 미조치	고시 §7②
- 비밀번호의 안전한 암호화 저장 미흡	고시 §7⑤
< 악성프로그램 등 방지 >
- 악성프로그램 등을 방지·치료 할 수 있는 보안프로그램 설치·운영 미흡	고시 §9