붙임		□개인정보보호법□ 위반행위 행정처분 사례(2013년 하반기)

□ 공공 분야 위반 사례

❑ 개인정보의 수집․이용 동의 의무 위반(제15조)

① 개인정보 수집 시 정보주체의 동의 미획득(§15①)

- 홈페이지(칭찬합시다, 열린게시판)에서 성명, 메일 등을 수집하면서  ‛확인' 또는 ‛등록' 버튼만 있고 동의 여부 표시방법 미제공

- 홈페이지 지원서비스에서 (재직)증명서 발급신청 시 성명, 연락처 등을 입력하게 하면서, 동의 여부를 표시하는 방법 미제공

- 온라인교육 홈페이지의 회원가입 시 성명, 주민번호 등을 입력하게 하면서, 동의 여부를 표시하는 방법 미제공

제15조제1항 위반 : 5천만원 이하의 과태료(1회 위반 1,000만원)

② 동의 시 정보주체에게 필수 고지사항* 미고지(§15②)

* 고지항목(4개) : 수집‧이용목적, 수집항목, 보유‧이용기간, 거부권 및 불이익

- 미동의 시 거부권 및 불이익에 관한 사항 고지 누락

제15조제2항 위반 : 3천만원 이하의 과태료(1회 위반 600만원)

❑ 개인정보 수집 동의를 받는 방법 위반(제22조)

① 동의 시 필수/선택 등 구분 동의방법 위반(§22①∼③)

- 도서관 회원가입신청서를 통해 개인정보 제공(타 시‧도 도서관)에 대한 동의 획득 시 다른 개인정보와 구분하지 않고 일괄 동의

제22조제1항 위반 : 1천만원 이하 과태료(1회 200만원)

② 선택적 사항 미동의 시 서비스 거부 금지 위반(§22④)

- 서비스와 직접 관련이 없는 선택적 항목에 동의하지 않을 경우 서비스 이용이 제한됨(항목 선택방법 등 시스템 설계적인 오류)

제22조제4항 위반 : 3천만원 이하 과태료(1회 600만원)

❑ 개인정보 처리 위탁 시 준수사항 위반(제26조)

① 위탁 시 필수 반영사항*을 문서(계약서)에 미반영(§26①)

* 필수사항(7개) : 위탁 목적‧범위, 목적 외 처리 금지, 기술적‧관리적 보호조치, 재위탁 제한, 안전성 확보 조치, 관리현황 점검‧감독, 손해배상

- 위탁 시 필수 반영사항 모두 미반영(계약서 없이 서약서만 징구)

- 위탁 계약 시 필수 반영사항 일부 누락

제26조제1항 위반 : 1천만원 이하의 과태료(1회 위반 200만원)

② 개인정보처리 수탁자를 홈페이지 등에 미공개(§26②)

- 수탁자 2곳에 대해 홈페이지 등 공개 누락

제26조제2항 위반 : 1천만원 이하의 과태료(1회 위반 200만원)

③ 수탁자 교육 및 실태점검 등 수탁자 관리‧감독 소홀(§26④)

- 수탁자에 대한 교육 및 실태점검 등 미실시

제26조제4항 위반 : 과태료 조항 없음(시정조치/개선권고 대상)

❑ 개인정보취급자에 대한 감독 위반(제28조)

① 개인정보취급자에 대한 교육 미실시(§28②)

제28조제2항 위반 : 과태료 조항 없음(시정조치/개선권고 대상)

❑ 개인정보의 안전성 확보조치* 의무 위반(제29조)

* 조치사항(6개) : 내부관리계획 수립, 접근통제 및 접근권한 제한, 저장‧전송 시 암호화, 접속기록 보관, 보안 프로그램 설치, 물리적 보호조치

㉮ 접근통제 및 접근권한의 제한 미조치

- 외부에서 홈페이지 관리자사이트 접근 시 안전한 접속수단 미제공

- 안전한 비밀번호 작성규칙 수립(8∼10자 이상 구성) 및 적용 미흡

- 개인정보처리시스템에 접근하는 관리자 계정(ID)의 공유 사용

㉯ 개인정보 저장 및 송‧수신 시 암호화 미조치

- 고유식별정보(주민번호) 또는 비밀번호 저장 시 암호화 미조치

- 비밀번호 저장 시 복호화되지 않도록 일방향 암호화를 적용하지 않고, 양방향 암호화를 적용하여 저장

- 고유식별정보(주민번호) 또는 비밀번호 송‧수신 시 암호화 미조치

- 고유식별정보․비밀번호의 저장 및 송‧수신 시 암호화 미조치

- 안전하지 않은 방식으로 암호화

㉰ 접속기록 보관 및 위․변조 관리 미조치

- 접근하는 개인정보취급자의 접속기록 미생성 및 미보관

제29조 위반 : 3천만원 이하의 과태료(1회 위반 600만원)

□ 다른 분야 위반 사례 (※ 공공 분야와 중복되는 사례는 제외)

❑ 개인정보의 수집․이용 동의 의무 위반(제15조)

① 개인정보 수집 시 정보주체의 동의 미획득(§15①)

- 홈페이지 상담게시판(제품관련 문의, 고객상담)에서 개인정보(성명, 연락처, 이메일) 수집 시 동의 여부를 표시하는 방법 미제공

제15조제1항 위반 : 5천만원 이하의 과태료(1회 위반 1,000만원)

② 동의 시 정보주체에게 필수 고지사항* 미고지(§15②)

* 고지항목(4개) : 수집‧이용목적, 수집항목, 보유‧이용기간, 거부권 및 불이익

- 지문정보 수집 시 고지내용 부정확(지문 외 불필요한 수집항목 및 수집목적 혼재, 보유기간 부정확)

제15조제2항 위반 : 3천만원 이하의 과태료(1회 위반 600만원)

❑ 개인정보 과도 수집 및 서비스 거부 금지(제16조)

① 개인정보의 과도한 수집 금지(§16①)

- 민원처리, 수수료정산 명분으로 주민등록번호를 과도 수집‧보관

- 수취인 확인의 유일 정보로 보기 어려운 지문정보까지 과도 수집

- 열람 청구에 따른 정당한 정보주체 또는 대리인 여부 확인 시 신분증 복사 등 과도한 개인정보 수집

제16조제1항 위반 : 과태료 조항 없음(시정조치/개선권고 대상)

❑ 개인정보의 파기 의무 위반(제21조)

① 보유기간 경과, 처리목적 달성 후 개인정보 미파기(§21①)

- 보유기간을 경과하거나 수집목적을 달성한 개인정보를 미파기

- 보존기간이 경과된 개인정보(이름/주민번호/연락처/성별)를 미파기

- 수집목적 달성 후 다량의 개인정보 미파기

- 홈페이지 회원 탈퇴 시 개인정보 즉시 파기 미실시

- 보존기간이 지난 개인정보를 파기하지 않고 계속 보유

제21조제1항 위반 : 3천만원 이하의 과태료(1회 위반 600만원)

❑ 개인정보 수집 동의를 받는 방법 위반(제22조)

① 동의 시 필수/선택 등 구분 동의방법 위반(§22①∼③)

- 제공 동의 시 수집‧이용과 구분 동의 미실시

- 주민등록번호 수집 시 구분 동의 미실시

- 홈페이지에서 수집하는 개인정보의 목적 외 제3자 제공 동의 시 각각의 동의사항을 구분하지 않고 포괄하여 동의

제22조제1～3항 위반 : 각각 1천만원 이하의 과태료(1회 위반 200만원)

② 선택적 사항 미동의 시 서비스 거부 금지 위반(§22④)

- 마케팅 활용 목적 동의 시 구분 동의 미실시 및 회원가입 제한

제22조제4항 위반 : 3천만원 이하 과태료(1회 600만원)

❑ 영상정보처리기기(CCTV) 설치․운영 위반(제25조)

① 공개된 장소에 CCTV 설치목적 위반(§25①)

- 불법영업 단속을 회피할 목적으로 총 4대의 CCTV 설치․운영

- 노래방을 운영하며 불법영업 단속 회피 목적으로 CCTV 설치

제25조제1항 위반 : 3천만원 이하 과태료(1회 600만원)

② CCTV 설치․운영 시 안내판 설치 위반(§25④)

- 클린하우스 내부의 안내판에 필수 기재사항 누락

- 안내판에 위탁자의 정보 누락

- 총 7대의 CCTV가 안내판 없이 설치․운영

제25조제4항 위반 : 1천만원 이하 과태료(1회 200만원)

③ 개인영상정보의 안전성 확보 조치 위반(§25⑥)

㉮ 영상정보에 대한 접근 권한 및 접근 통제 미흡

- 영상정보의 보관장치(DVR)에 접근 시 ID 공유

- 영상정보의 보관장치(DVR) 접속 시 비밀번호 미적용

㉯ 안전한 저장‧전송 기술 미적용

- 수사목적 영상정보 제공 시 암호화 하지 않고 e-mail로 전송

㉰ 물리적 보호조치 미흡

- DVR 보관 장소에 별도의 잠금장치 미설치

제25조제6항 위반 : 3천만원 이하 과태료(1회 600만원)

④ 영상정보처리기기 운영‧관리 방침 수립 미흡(§25⑦)

- 영상정보처리기기 운영‧관리 방침 수립 시 필수사항* 누락

* 필수사항(7개) : 설치근거‧목적, 설치대수‧위치‧촬영범위, 책임‧접근권한자, 확인방법‧장소, 열람 등 요구 조치, 안전 조치

제25조제7항 위반 : 과태료 조항 없음(시정조치/개선권고 대상)

⑤ 영상정보처리 위탁에 따른 조치 미흡(§25⑧/§26①)

- 영상정보처리 위탁 시 필수 반영사항*을 문서(계약서)에 누락

* 필수사항(7개) : 위탁 목적‧범위, 목적 외 처리 금지, 기술적‧관리적 보호조치, 재위탁 제한, 안전성 확보 조치, 관리현황 점검‧감독, 손해배상

제25조제8항/제26조제1항 위반 : 1천만원 이하 과태료(1회 200만원)

⑥ 영상정보 관리대장 기록‧관리 미흡(표준지침 §46)

- 영상정보 제3자 제공 후 파기여부 등 확인 소홀

※ 표준지침 제46조(이용‧제3자 제공‧파기의 기록 및 관리)

❑ 개인정보 처리 위탁 시 준수사항 위반(제26조)

① 위탁 시 필수 반영사항*을 문서(계약서)에 미반영(§26①)

* 필수사항(7개) : 위탁 목적‧범위, 목적 외 처리 금지, 기술적‧관리적 보호조치, 재위탁 제한, 안전성 확보 조치, 관리현황 점검‧감독, 손해배상

- 위탁 시 필수 반영사항 전부 미반영

제26조제1항 위반 : 1천만원 이하의 과태료(1회 위반 200만원)

② 개인정보처리 수탁자를 홈페이지 등에 미공개(§26②)

제26조제2항 위반 : 1천만원 이하의 과태료(1회 위반 200만원)

③ 수탁자 교육 및 실태점검 등 수탁자 관리‧감독 소홀(§26④)

제26조제4항 위반 : 과태료 조항 없음(시정조치/개선권고 대상)

❑ 개인정보취급자에 대한 감독 위반(제28조)

① 개인정보취급자에 대한 관리‧감독 미실시(§28①)

제28조제1항 위반 : 과태료 조항 없음(시정조치/개선권고 대상)

② 개인정보취급자에 대한 교육 미실시(§28②)

제28조제2항 위반 : 과태료 조항 없음(시정조치/개선권고 대상)

❑ 개인정보의 안전성 확보조치* 의무 위반(제29조)

* 조치사항(6개) : 내부관리계획 수립, 접근통제 및 접근권한 제한, 저장‧전송 시 암호화, 접속기록 보관, 보안 프로그램 설치, 물리적 보호조치

㉮ 내부관리계획 수립‧시행 미실시

- 개인정보의 안전한 처리를 위한 내부관리계획 미수립

㉯ 접근통제 및 접근권한의 제한 조치 미조치

- 접근통제시스템 설치 운영 미흡

- 개인정보취급자의 권한 부여, 변경 또는 말소 내역 미기록

- 접근권한의 보관 및 관리 위반

- 외부에서 처리시스템 접속 시 안전한 접속수단 미제공

- 비밀번호 작성규칙 미수립 또는 미적용

- 비밀번호 작성규칙 수립 및 적용 미흡

㉰ 개인정보 저장 및 송‧수신 시 암호화 미조치

- 비밀번호 저장 시 안전하지 않는 암호알고리즘 적용

- 고유식별정보(주민번호) 저장 또는 송‧수신 시 암호화 미조치

㉱ 접속기록 보관 및 위․변조 관리 미조치

- 개인정보취급자의 시스템 접속기록을 최소 6개월 이상 미보관

- 시스템에 접근하는 개인정보취급자의 접속기록(입․출력 및 수정사항, 접근내역) 생성 미흡

㉲ 보안프로그램 설치 및 갱신 미실시

- 보안프로그램 업데이트 주기를 일 1회가 아닌 주 1회로 갱신

㉳ 보관시설 마련 및 잠금장치 설치 등 물리적 조치 위반

- 잠금장치가 없는 장소에 개인정보가 포함된 서류 무단 방치

제29조 위반 : 3천만원 이하의 과태료(1회 위반 600만원)

❑ 개인정보 처리방침의 수립 및 공개 위반(제30조)

① 개인정보 처리방침 미공개(§30②)

- 처리방침은 수립하였으나, 홈페이지 등에 미공개

제30조제2항 위반 : 1천만원 이하의 과태료(1회 위반 200만원)

❑ 개인정보의 열람 조치 위반(제35조)

① 개인정보 열람 청구에 따른 조치 미흡(§35③)

- 조합은 정보주체 본인의 영상정보 열람 요청을 허용하거나 거절 사유를 통보하는 등 별다른 조치를 취하지 않음

- 정보주체의 개인정보 열람 청구에 대하여 10일 이내에 필요한 사항을 조치하지 않음

❑ 개인정보의 정정‧삭제 조치 위반(제36조)

① 개인정보 정정‧삭제 요구에 따른 조치 미흡(§36②)

- 개인정보의 정정‧삭제 요구에 대해 정당요구 여부 확인도 없이 요구서 수령을 거부하고 그 사유도 통보하지 않음