개인정보보호법 주요 위반사례

* 법적 의무사항 중 위반, 미조치가 빈번한 사례 중심으로 정리

Ⅰ		개인정보처리(수집ㆍ이용ㆍ제공 등) 위반 사례

① 제3자 제공, 선택항목 등에 대해 구분 없이 한번에 동의 받는 사례

⇒ 각각의 동의 사항을 구분하여 동의 받아야함(제22조 제1항)

위반시 1천만원 이하 과태료에 해당(제75조 제3항 제2호)

② 회원가입시 선택항목, 제3자 제공에 동의하지 않는다는 이유로 회원가입 또는 서비스 거부 사례

⇒ 서비스와 직접 관련되지 않은 선택항목 및 제3자 제공에 동의하지 않는다는 이유로 서비스를 거부해서는 안됨(제22조 제4항)

위반시 3천만원 이하 과태료에 해당(제75조 제2항 제2호)

③ 주민등록번호 수집에 대한 별도 미고지·미동의 사례

⇒ 고유식별정보의 처리 동의를 받을 경우에는 별도 고지 및 동의를 받아야 함(제24조 제1항).

위반시 5년이하 징역 또는 5천만원 이하 벌금에 해당(제71조 제4호)

④ 개인정보처리방침을 홈페이지 등에 미공개 사례

⇒ 모든 개인정보처리자는 개인정보 처리방침을 홈페이지에 공개하여야 함(제30조 제2항).

위반시 1천만원 이하 과태료에 해당(제75조 제3항 제7호)

Ⅱ		안전성 확보조치 위반 사례

① 개인정보보호책임자 및 개인정보취급자외 자에게 개인정보처리시스템에 대한 접근 권한 부여 사례

⇒ 개인정보보호책임자 및 개인정보취급자에 한하여 시스템접근권한을 부여하여야 함(제29조, 시행령 제30조제1항2호)

안전조치를 위반하여 개인정보를 분실․도난․유출․변조 또는 훼손당한 경우에는 2년 이하의 징역 또는 1천만 원 이하의 벌금에 해당(제73조제1호)

* 감사원 감사시 인사이동 등에 의한 **시스템 접근권한 만료자의 접근권한 삭제 미조치 지적

② 개인정보취급자의 비밀번호 생성 방법 및 변경 주기 등의 기준 미수립 사례

⇒ 개인정보처리자는 비밀번호 생성규칙을 수립하여 운영하여야 함(제29조, 시행령 제30조제1항2호)

③ 외부망에서 개인정보처리시스템에 접속이 필요한 경우에 안전한 인증수단 미적용 및 방화벽, IDS, IPS, WAF 등 개인정보에 대한 불법적인 접근을 차단하기 위한 접근통제시스템 미설치 사례

⇒ 개인정보처리자는 침해사고 방지를 위한 접근통제 등을 시행하고, 보안프로그램(백신) 등을 설치하여야 함(제29조, 시행령 제30조제1항2호)

④ 개인정보 및 인증정보 송․수신 시 보안서버 미구축 사례

⇒ 개인정보처리자는 침해사고 방지를 위해 개인정보 및 인증정보 송ㆍ수신시 보안서버를 구축(암호화 전송)하여야 함(제29조, 시행령 제30조제1항3호)

* 암호화 대상 정보 : 고유식별정보, 바이오정보, 비밀번호

⑤ DB 접근 내역을 확인 할 수 있는 로그 기록의 6개월 이상 보관ㆍ관리 기준 미충족 사례

⇒ 개인정보처리자는 개인정보처리시스템 접속 기록 6개월 이상 보관․관리하여야 함(제29조, 시행령 제30조제1항4호6호)

Ⅲ		CCTV의 설치․운영 제한 등 위반 사례

① 안내판 미설치, 고지항목 일부 누락 사례

⇒ 영상정보처리자는 CCTV의 설치목적, 설치장소, 촬영범위, 촬영시간, 관리책임자의 성명 및 연락처 등을 포함하는 안내판을 쉽게 인식할 수 있도록 안내판을 설치하여야 함(제25조 제4항)

위반시 1천만원 이하 과태료에 해당(제75조 제3항 제3호)

② CCTV 접근권한을 제한하지 않은 사례

⇒ 영상정보처리자는 CCTV에 대한 접근권한을 차등 부여하고 담당자 변경시 그 권한을 변경하는 한편, 권한의 변경사항을 3년간 기록하며 아이디와 패스워드를 공유하지 말아야함(제25조제6항, 지침 제51조 2호)

위반시 3천만원 이하 과태료에 해당(제75조 제2항 제6호)

③ CCTV의 영상정보에 대한 접근통제가 이루어지지 않고 있는 사례

⇒ 영상정보처리자는 영상정보를 잠금 장치 등 접근통제가 가능한 시설에 보관하여야 함(제25조제6항, 지침 제51조 5호)

위반시 3천만원 이하 과태료에 해당(제75조 제2항 제6호)