행정자치부 국정감사

개인정보 침해 점검 및 조치 불이행

-법률상 권한 및 의무 적극 이행 필요-

❑ 현황 및 문제점

❍ 관련 법률

※개인정보보호법

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

1. "개인정보"란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

5. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

제34조(개인정보 유출 통지 등)

③ 개인정보처리자는 대통령령으로 정한 규모 이상의 개인정보가 유출된 경우에는 제1항에 따른 통지 및 제2항에 따른 조치 결과를 지체 없이 행정자치부장관 또는 대통령령으로 정하는 전문기관에 신고하여야 한다.

개인정보보호법 시행령 제39조(개인정보 유출 신고의 범위 및 기관) ① 법 제34조제3항 전단에서 "대통령령으로 정한 규모 이상의 개인정보"란 1만명 이상의 정보주체에 관한 개인정보를 말한다.

제65조(고발 및 징계권고)

① 행정자치부장관은 개인정보처리자에게 이 법 등 개인정보 보호와 관련된 법규의 위반에 따른 범죄혐의가 있다고 인정될 만한 상당한 이유가 있을 때에는 관할 수사기관에 그 내용을 고발할 수 있다.

② 행정자치부장관은 이 법 등 개인정보 보호와 관련된 법규의 위반행위가 있다고 인정될 만한 상당한 이유가 있을 때에는 책임이 있는 자(대표자 및 책임있는 임원을 포함한다)를 징계할 것을 해당 개인정보처리자에게 권고할 수 있다. 이 경우 권고를 받은 사람은 이를 존중하여야 하며 그 결과를 행정자치부장관에게 통보하여야 한다.

제66조(결과의 공표)

① 행정자치부장관은 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 보호위원회의 심의·의결을 거쳐 공표할 수 있다.

③ 제1항 및 제2항에 따른 공표의 방법, 기준 및 절차 등은 대통령령으로 정한다.

개인정보보호법 시행령 제61조(결과의 공표) 행정자치부장관 및 관계 중앙행정기관의 장은 법 제66조제1항 및 제2항에 따라 제1항 각 호의 사항을 공표하려는 경우에는 위반행위의 내용 및 정도, 위반 기간 및 횟수, 위반행위로 인하여 발생한 피해의 범위 및 결과 등을 고려하여야 한다.

❍ 현황

- 행정자치부는 개인정보보호와 관련한 주무부서로서 국민으로부터 개인정보 침해에 대한 신고를 접수하고, 공공기관/민간기업 등 개인정보처리자에 대하여 정기 기획점검 및 (신고에 따른)수시 특별점검 실시하고 있음.

- 행정자치부가 2014년 ~ 2016. 8.까지 3년 동안 818개 정보처리자(공공기관, 민간기업 등)에 대하여 정기 기획점검 및 수시 특별점검을 실시한 결과, 법위반 기관 391개/법 위반사례 648건을 각각 적발하였음.

구분	합계	2014년	2015년	2016년 8월
점검기관수	818	296	314	208
법 위반 적발 기관수	391	129	90	172
법 위반 적발건수	648	209	160	279

- 「개인정보보호법」 제66조에 따르면 행정자치부장관은 행정처분 결과를 공표할 수 있으나, 지금까지 공표된 사례는 2015년 1건/2016년 6건 등 총 7건에 불과함.

- 「개인정보보호법」 제65조에 따르면 행정자치부장관은 법규위반행위자(업무담당자 등 개인)를 수사기관에 고발할 수 있고, 개인정보처리자에게 법규위반행위자를 징계할 것을 권고할 수 있으나, 지금까지 고발 및 징계권고 사례는 0건임.

- 개인정보 유출 사건의 경우, 「개인정보보호법」 제34조 및 「동법 시행령」 제39조에 따르면 개인정보처리자는 ‘피해자 1만명 이상’의 개인정보가 유출된 때에는 반드시 신고하도록 되어 있고, 이에 따라 지난 6년간 총 67건의 신고가 이루어짐.

「개인정보보호법」 제66조에 따르면 행정자치부장관은 행정처분 결과를 공표할 수 있는데, 개인정보 유출 사건의 경우 ‘신고 규정’과는 달리 그 기준이 법령이 아닌 행정자치부 내부 지침으로 되어 있고, 그 기준도 ‘피해자 10만명 이상’으로 ‘신고 기준’의 10배임.

그 결과, 개인정보 유출 사건으로 받은 처분결과가 공표된 사례는 지금까지 5건임.

이에 대해 행정자치부는 2014. 8. 공표기준이 엄격하여 공표 실적이 없다는 점을 스스로 인정하고 공표기준을 완화하는 조치를 취했으나, 피해범위 기준인 ‘피해자 수 10만 명’은 여전히 고수하고 있음.

※공표기준 변경 내용
종전	변경
①위반 사유 및 피해 범위(피해자수 10만명 이상), ②위반 기간 및 횟수, ③개선 노력 등 3개 요건 중 2개 이상에 해당해야 함	①위반내용, ②위반정도, ③위반기간, ④위반횟수, ⑤피해범위(피해자수 10만명 이상), ⑥피해결과, ⑦시정조치 등 7개 항목 중 1개만 해당해도 됨

- 개인정보 불법 조회의 경우, 「개인정보보호법」 제2조 제5호, 제6호에 따르면 행정자치부는 중앙행정기관을 모두 포함한 ‘개인정보처리자’의 법규 위반 행위를 점검할 수 있도록 규정되어 있음.

- 그럼에도 행정자치부는 개인정보 불법 조회로 피해를 발생시키는 경찰, 검찰, 국가정보원 등 수사기관에 대해서는 정기점검을 실시하지 않음.

❍ 문제점

- 개인정보란 주로 성명, 주민등록번호, 휴대전화 번호, 계좌번호 등을 말하고, 개인정보 침해 피해는 대체적으로 ①개인정보 불법 수집, ②개인정보 불법 조회, ③개인정보 불법 유출(제3자 제공 포함) 등의 형태로 발생함.

- 이 중 특히 ②개인정보 불법 조회의 경우, 각종 민간인사찰 사건과 채동욱 검찰총장 혼외자녀 사건 등 권력기관에 의한 사생활침해가 문제됨.

- ③개인정보 불법 유출의 경우, 유출된 개인정보는 보이스피싱 등 각종 금융사기범죄의 기초자료로 악용됨.

치안정책연구소가 발간한 ‘2016 치안전망’에 따르면, 2006년 6월부터 2015년 6월까지 10년간 보이스피싱 발생 현황을 보면, 총 5만 7,251건이 발생했고 피해액은 6,418억원에 달함.

우리나라의 법률체계상 개인정보유출로 인하여 피해가 발생한 경우 손해배상을 청구하고 싶어도 ①유출 책임자, ②손해의 발생사실, ③피해금액 등을 유출피해자 본인이 입증해야 하기 때문에 이미 유출된 이후에 구제를 받기란 쉽지 않음.

- 이처럼 개인정보 침해피해는 되돌리기 어렵고, 사후적으로 구제받기도 쉽지 않다는 특성이 있기 때문에 사전 예방이 매우 중요함.

- 「개인정보보호법」이 행정자치부로 하여금 개인정보처리자에 대하여 정기점검을 실시하고 법규 위반자에 대해 고발 또는 징계권고 조치를 취하도록 하며, 그에 따른 처분 내역을 공표하도록 한 이유는 개인정보처리자에게 경각심을 일으켜 개인정보 침해사고를 사전에 예방하려는 것임.

법규위반자에 대한 형사고발 또는 징계권고 조치가 0건, 법규 위반 건수 648건에 대해 공표 건수가 7건이라는 점은 행정자치부가 주어진 의무를 이행하지 않고 있다는 점을 보여줌.

❍ 대책

- 개인정보 침해행위는 최고 10년 이하의 징역 또는 1억원 이하의 벌금에 처해지는 심각한 범죄행위니만큼 개인정보 침해행위자에 대한 형사고발 및 징계권고 조치를 적극 이행해야 함.

- 경찰, 검찰, 국정원 등 수사기관에 대해서도 정기 점검을 실시해야 함.

- 내부지침으로만 규정되어 있는 개인정보유출 피해자 수 기준을 시행령 이상 법령으로 규정하여 국민에게 공개하고, 10만명 기준을 신고 기준과 동일하게 1만명으로 낮추어 공표 기준을 강화해야 함.

❏ 질의사항

○ 질의목적

- 법률 규정에 불구하고 행자부가 개인정보 침해를 예방하기 위한 조치를 취하지 않고 있음

개인정보침해는 예방이 중요한 만큼 관리·감독을 강화해야 함

‘개인정보유출 예방 대책’에 대하여 질의하겠습니다.

❍ 장관님, 법의 근거 없이 주민등록번호를 수집하는 건 명백한 불법이지요?

제가 받은 자료에 따르면 2015년, 2016년 법에 근거 없이 주민등록번호를 수집하다가 적발된 기관이 10건이나 됩니다. 그래서 어떤 기관인지 확인하기 위해 행자부에 자료요구를 했더니 적발 기관의 개인정보라서 이를 제출할 수 없다고 합니다.

법에 근거 없이 주민등록번호 수집 건수는 2015년 3건, 2016년 7건 등 총10건임(행정자치부 제출 자료)

- 국민의 개인정보를 무단 수집한 기관은 같은 이유로 보호를 받는다니 참 아이러니합니다.

- 제가 국회의원으로서 업무를 수행하면서 행정부에 자료를 요구하면 왠만한 자료도 잘 받아보기가 어렵습니다. 자료제출 요구에 응하지 않으면서 하는 가장 흔한 얘기가 ‘개인정보’가 포함되어 있기 때문에 공개할 수 없다는 것입니다.

국회에 제출하는 것을 무작정 ‘공개’라고 단정해버리는 것은 차치하고, 그만큼 행정부가 개인정보를 소중하게 여긴다는 말이겠지요.

(개인정보 유출 책임자에 대한 형사고발 및 징계권고 강화)

- 장관님, 행정자치부는 개인정보보호의 주무 부서이지요? 매년 공공기관, 민간 기업 등을 상대로 개인정보보호 실태 점검도 하고 있지요?

전기통신사업자(정보통신망법), 금융사(금융관련 법규) 등을 제외하고는 「개인정보보호법」이 적용되고 개인정보보호법의 주관 부서는 행정자치부임.

최근 3년간 648건의 법위반 사례를 적발했는데 맞습니까?

- 그렇다면 위반사례가 한해 평균 200건이 넘는데, 그 중에서 책임자를 형사고발한 건수는 몇 건입니까. 징계권고를 한 건수는 몇 건입니까? (0건입니다)

- 「개인정보보호법」 제65조에 따르면 행정자치부장관은 법 위반 혐의가 있을 때에는 책임자를 고발할 수도 있고, 징계권고를 할 수도 있습니다.  그런데도 지금까지 고발 또는 징계권고 건수가 단 1건도 없는데 그 이유가 무엇입니까.

-행정자치부는 개인정보처리자인 공공기관/민간기업/교육기관 등 기관에 대한 행정처분만 담당하고, 형사고발 등은 수사기관의 업무라는 설명이나 그렇다면 해당 법률 규정은 의미 없는 규정이 될 뿐임.

-법률안 개정이유에도 다음과 같이 그 취지를 명백히 밝히고 있음

‘개인정보 보호와 관련된 법규의 위반행위가 있다고 인정될 만한 상당한 이유가 있을 때에는 대표자 또는 책임 있는 임원을 징계할 것을 권고할 수 있도록 명확히 하여 주민등록번호 유출사고를 방지하는 한편, 기업이 주민등록번호 등 개인정보 보호를 위한 책임을 다하도록 하려는 것임’.

- 주변에 보이스피싱 전화 한 통 안받아보신 분들은 없을 것입니다. 서민들을 피눈물 흘리게 하는 보이스피싱의 출발점이 불법 유출된 개인정보입니다.

- 개인정보는 이미 유출되어 버리면 늦습니다. 사전예방이 무엇보다 중요합니다. 그래서 개인정보처리자의 책임감을 높이자는 취지에서 고발 규정도 만들어진 것입니다. 수천만 건의 개인정보를 유출하고도 책임자가 처벌되지 않는다면 피해자들이 납득하겠습니까. 수사기관에만 미루지 말고 법률에 부여된 의무를 적극 이행해야 할 것입니다.

2. (개인정보 유출 기관 공표 기준 강화)

- 「개인정보보호법」에 따르면 개인정보 유출시 피해자가 몇 명 이상이면 의무적으로 신고를 하게 되어있습니까.

-개인정보보호법 제34조, 동법 시행령 제39조에 따라 ‘1만명’ 이상임.

- 시행령에 개인정보 유출 사고 발생시 피해자 수가 1만명 이상이면 의무적으로 신고를 하게 되어 있습니다. 그것은 피해자 수 1만명이면 결코 작은 규모는 아니라는 취지일 텐데 맞습니까.

- 개인정보 유출 사고가 발생한 기관도 공표하도록 되어 있지요? 그중 피해자 수 기준은 ‘10만명 이상’입니다. 의무 신고 기준은 피해자 수 1만명인데, 공표기준은 그 열 배인 10만명입니다. 10만명이라는 기준이 너무 높은 것은 아닙니까.

공표기준에 관해 유출 사고의 상위 60%를 기준으로 잡으면 10만명이라는 답변

- 유출 피해자 기준뿐만이 아닙니다.

지난 3년간 행정자치부가 실태점검을 통해서 법규 위반행위를 적발한 건수가 648건입니다. 그런데 그 중에서 공표된 것은 불과 7건입니다.

2014년 이전에는 아예 없었고, 행자부가 공표기준을 완화했다는 2014년 이후에도 439건 적발 건수 중 7건만 공표 대상이란 얘기입니다. 공표율이 1.6%인 셈인데, 여전히 공표기준이 너무 높은 것 아닙니까.

- 공표제도의 취지는 법규 위반자들에게 경각심을 일으켜서 개인정보 관리를 철저히 하도록 독려하고 개인정보 침해를 예방하자는 것입니다. 그런데 지금으로선 그 취지가 제대로 달성되지 못하고 있습니다.

- 행정자치부는 공표제도의 취지에 맞게 유출 피해자 수를 비롯한 공표 기준을 낮추고 국민이 모두 알 수 있도록 그 기준을 법령 이상으로 명확히 해야 할 것입니다.

3. (수사기관에 대한 정기 점검 실시)

- 장관님, 행정자치부는 중앙행정기관의 장을 대상으로 개인정보 관리 실태 조사를 실시하고 있습니다. 맞습니까?

※개인정보보호법

제11조(자료제출 요구 등)

② 행정자치부장관은 개인정보 보호 정책 추진, 성과평가 등을 위하여 필요한 경우 개인정보처리자, 관계 중앙행정기관의 장, 지방자치단체의 장 및 관계 기관·단체 등을 대상으로 개인정보관리 수준 및 실태파악 등을 위한 조사를 실시할 수 있다.

- 지금까지 행정자치부가 경찰, 검찰, 국가정보원 등에 대해 개인정보 관리 실태 조사를 실시한 사실이 있습니까. 없다면 그 이유는 무엇입니까.

- 행정자치부는 지금까지 경찰, 검찰, 국가정보원에 대하여 개인정보 관리 실태 조사를 실시한 사실이 없음.

- 그 이유에 대해 수사기관의 수사자료에 대해서는 조사를 할 수 없다고 함.

- 그러나 수사기관도 행정업무 처리자가 있고, 그 과정에서 개인정보를 처리하게 되어 있음. 특히 전과사실, 수사진행상황을 담당 수사관이 아닌 자가 조회하는 것은 수사와 무관한 위법행위일 뿐임.

- 제가 경찰로부터 받은 자료에 따르면 경찰도 개인정보 불법 조회나 불법 유출 등의 사유로 징계를 받은 경찰공무원이 많습니다. 특히 수사기관의 경우에는 전과자료, 주소, 자동차 번호 등 민감한 정보를 많이 처리하고 있기 때문에 더욱 철저히 실태 조사를 해야 한다고 생각하는데 어떻습니까.

- 수사기관이 개인정보를 더욱 철저히 관리해야 하는 이유는 우리가 불법 민간인 사찰, 채동욱 검찰총장의 자녀에 대한 불법 조회 같은 일부 몰지각한 자들의 일탈 행위를 보아서 알고 있기 때문입니다. 그리고 그 사생활침해 행위의 결과가 얼마나 무서웠는지도 알고 있기 때문입니다.

- 행정자치부 장관은 다시는 일부 몰지각한 자들의 일탈 행위가 일어나지 않도록 수사기관의 개인정보 관리 실태를 적극적으로 감시해주기 바랍니다.