개인정보위, 전체회의 열고 케이티와 이스트소프트에게 총 1억 4,800만원 과징금 부과
유비케어, 한화생명보험 등에 총 1,450만원 과태료 처분
[보안뉴스 원병철 기자] 개인정보보호위원회(위원장 윤종인, 이하 ‘개인정보위’)는 11월 24일 제19회 전체회의를 열고 법령에 정한 안전조치 의무를 다하지 않아 개인정보가 유출되는 등 개인정보보호 법규를 위반한 케이티와 이스트소프트에게 총 1억 4,800만원의 과징금을 부과하는 재처분을 내렸다. 또한 개인정보 열람 또는 파기 의무를 위반한 5개 사업자에게 총 1,450만원의 과태료 부과를 의결했다.
개인정보위는 대법원 확정판결로 과징금 부과 처분이 취소된 2개 사업자에게 법원 판결로 인정된 법 위반사항에 대하여 다시 과징금을 부과하는 재처분을 의결했다. 방통위가 지난 2016년 6월 26일 케이티에 부과한 과징금 7,000만원과 2018년 3월 28일 이스트소프트에 부과한 1억 1,200만원은 각각 올해 8월(8.19)과 9월(9.30) 대법원 확정판결로 취소됐다.
대법원은 케이티 사건에 대해, 방통위가 당초 처분사유로 삼은 4가지 중 3가지는 ‘당시 사회 통념상 합리적으로 기대 가능한 정도의 기술적 보호조치를 했다’는 이유로 법 위반을 인정하지 않았고, 이스트소프트 사건은 처분사유 중 침입차단·탐지 시스템 ‘설치의무’와 ‘운영의무’를 나누어 판단하면서, ‘공개소프트웨어로 개인정보보호시스템을 구축하더라도 객관적으로 품질이 인정된 경우라면 적법하다’는 이유로 설치의무 부분은 법 위반을 인정하지 않았다.
대법원은 법 위반이 인정되지 않는 부분이 당초 과징금 산정에 영향을 미쳤을 것으로 보고, 과징금 부과 처분을 전부 취소했다. 개인정보위는 판결로 인정된 법 위반사항에 대해, 케이티에는 원처분보다 2,000만원 감액된 5,000만원, 이스트소프트에는 1,400만원 감액된 9,800만원의 과징금을 다시 부과했다.
이번 대법원 판결은 ‘부분적인 안전조치나 불완전한 시스템 운영은 법 위반에 해당한다’는 점을 확인한 데 의미가 있다. 케이티 판결을 통해 퇴직자의 단순한 계정 말소만으로 충분한 안전조치를 했다고 볼 수 없고, 해당 URL 정보 등 접근권한의 말단까지 완전히 삭제해야 적법한 조치라는 점을 명확히 했고, 이스트소프트 판결에서는 ‘개인정보보호시스템을 설치했더라도 해커로부터 부적절한 접근을 탐지․차단할 수 있도록 제대로 운영되지 않는다면 법 위반에 해당한다’고 판시했다.
송상훈 개인정보위 조사조정국장은 “이번 재처분은 법원과 개인정보위가 개인정보의 안전조치의무에 대한 견해를 일부 달리한 데 따른 것으로, 판결의 취지와 현 시점의 기술 수준 등에 대해 산업계 의견수렴을 거쳐 개인정보 안전조치 의무사항을 지속적으로 보완해 나가겠다”라고 밝혔다.
한편, 개인정보위는 한국인터넷진흥원(원장 이원태)에 신고되거나 타 기관에서 이첩 받은 사건에 대해 개인정보 보호법 위반 사실을 확인하였다. 유비케어는 정보주체의 개인정보 열람 요구에 응하지 않다가 조사가 시작된 이후 열람토록 했으며, ○○○안과는 개인영상정보 열람 요구를 거절하면서 거절 사유 등을 정보주체에게 알리지 않았다. 또한, ○○○학원은 학원 블로그에 수강생의 성명, 학교, 입시결과 등이 포함된 게시물을 삭제하지 않고 약 8년간 게시하고 있었으며, 한신은 퇴직 직원 165명의 개인정보를 보유기간(근로기준법 상 3년)이 지났음에도 파기하지 않았고, 한화생명보험은 보험상품 설계만 진행하고 실제 가입하지 않은 고객들의 개인정보를 보유기간(동의일로부터 1년)이 지났음에도 파기하지 않았다.
송상훈 개인정보위 조사조정국장은 “이번 사례가 사업자 등이 법령 등에 따른 절차에 따라 열람 청구 등에 대응해야 하며, 보유기간이 지난 개인정보는 지체 없이 파기해야 함을 명확하게 인식하는 계기가 되길 바란다”라고 밝혔다.
[원병철 기자(boanone@boannews.com)]
유비케어, 한화생명보험 등에 총 1,450만원 과태료 처분
[보안뉴스 원병철 기자] 개인정보보호위원회(위원장 윤종인, 이하 ‘개인정보위’)는 11월 24일 제19회 전체회의를 열고 법령에 정한 안전조치 의무를 다하지 않아 개인정보가 유출되는 등 개인정보보호 법규를 위반한 케이티와 이스트소프트에게 총 1억 4,800만원의 과징금을 부과하는 재처분을 내렸다. 또한 개인정보 열람 또는 파기 의무를 위반한 5개 사업자에게 총 1,450만원의 과태료 부과를 의결했다.
[이미지=utoimage]
개인정보위는 대법원 확정판결로 과징금 부과 처분이 취소된 2개 사업자에게 법원 판결로 인정된 법 위반사항에 대하여 다시 과징금을 부과하는 재처분을 의결했다. 방통위가 지난 2016년 6월 26일 케이티에 부과한 과징금 7,000만원과 2018년 3월 28일 이스트소프트에 부과한 1억 1,200만원은 각각 올해 8월(8.19)과 9월(9.30) 대법원 확정판결로 취소됐다.
대법원은 케이티 사건에 대해, 방통위가 당초 처분사유로 삼은 4가지 중 3가지는 ‘당시 사회 통념상 합리적으로 기대 가능한 정도의 기술적 보호조치를 했다’는 이유로 법 위반을 인정하지 않았고, 이스트소프트 사건은 처분사유 중 침입차단·탐지 시스템 ‘설치의무’와 ‘운영의무’를 나누어 판단하면서, ‘공개소프트웨어로 개인정보보호시스템을 구축하더라도 객관적으로 품질이 인정된 경우라면 적법하다’는 이유로 설치의무 부분은 법 위반을 인정하지 않았다.
대법원은 법 위반이 인정되지 않는 부분이 당초 과징금 산정에 영향을 미쳤을 것으로 보고, 과징금 부과 처분을 전부 취소했다. 개인정보위는 판결로 인정된 법 위반사항에 대해, 케이티에는 원처분보다 2,000만원 감액된 5,000만원, 이스트소프트에는 1,400만원 감액된 9,800만원의 과징금을 다시 부과했다.
이번 대법원 판결은 ‘부분적인 안전조치나 불완전한 시스템 운영은 법 위반에 해당한다’는 점을 확인한 데 의미가 있다. 케이티 판결을 통해 퇴직자의 단순한 계정 말소만으로 충분한 안전조치를 했다고 볼 수 없고, 해당 URL 정보 등 접근권한의 말단까지 완전히 삭제해야 적법한 조치라는 점을 명확히 했고, 이스트소프트 판결에서는 ‘개인정보보호시스템을 설치했더라도 해커로부터 부적절한 접근을 탐지․차단할 수 있도록 제대로 운영되지 않는다면 법 위반에 해당한다’고 판시했다.
송상훈 개인정보위 조사조정국장은 “이번 재처분은 법원과 개인정보위가 개인정보의 안전조치의무에 대한 견해를 일부 달리한 데 따른 것으로, 판결의 취지와 현 시점의 기술 수준 등에 대해 산업계 의견수렴을 거쳐 개인정보 안전조치 의무사항을 지속적으로 보완해 나가겠다”라고 밝혔다.
▲사업자별 위반내용 및 시정조치[자료=개인정보위]
한편, 개인정보위는 한국인터넷진흥원(원장 이원태)에 신고되거나 타 기관에서 이첩 받은 사건에 대해 개인정보 보호법 위반 사실을 확인하였다. 유비케어는 정보주체의 개인정보 열람 요구에 응하지 않다가 조사가 시작된 이후 열람토록 했으며, ○○○안과는 개인영상정보 열람 요구를 거절하면서 거절 사유 등을 정보주체에게 알리지 않았다. 또한, ○○○학원은 학원 블로그에 수강생의 성명, 학교, 입시결과 등이 포함된 게시물을 삭제하지 않고 약 8년간 게시하고 있었으며, 한신은 퇴직 직원 165명의 개인정보를 보유기간(근로기준법 상 3년)이 지났음에도 파기하지 않았고, 한화생명보험은 보험상품 설계만 진행하고 실제 가입하지 않은 고객들의 개인정보를 보유기간(동의일로부터 1년)이 지났음에도 파기하지 않았다.
송상훈 개인정보위 조사조정국장은 “이번 사례가 사업자 등이 법령 등에 따른 절차에 따라 열람 청구 등에 대응해야 하며, 보유기간이 지난 개인정보는 지체 없이 파기해야 함을 명확하게 인식하는 계기가 되길 바란다”라고 밝혔다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-17] 
.jpg)
.jpg)
