개인정보 침해
더 많은 작업
개인정보 침해 : Personal Information Infringement
개인정보처리자가 개인정보를 처리하는 과정에서 법을 위반하거나 안전조치를 소홀히 하여 정보주체의 개인정보에 관한 권리나 이익을 해치는 일을 말한다.
개인정보 보호법은 '침해'를 따로 정의하지 않지만, 개인정보 보호법 제62조가 "개인정보처리자가 개인정보를 처리할 때 개인정보에 관한 권리 또는 이익을 침해받은 사람"에게 신고권을 주고 있어 이 표현이 기준이 된다. 외부 공격으로 개인정보가 빠져나가는 개인정보 유출뿐 아니라, 동의 없이 수집하거나 목적 밖으로 쓰는 행위, 보유기간이 지났는데 파기하지 않는 행위, 정보주체의 열람·정정 요구를 거절하는 행위도 모두 침해에 해당한다. CPPG 출제기준은 '개인정보보호의 이해' 과목에서 개인정보 침해 유형을 다룬다.
벌칙과 제재는 현행 조문 기준이며, 같은 행위라도 위반 내용에 따라 적용 조항이 달라질 수 있다.
| 유형 | 예 | 관련 조문 | 주요 제재 |
|---|---|---|---|
| 유출등 | 해킹, 내부자 반출, 분실·도난으로 개인정보가 빠져나감 | 개인정보 보호법 제29조(안전조치의무), 개인정보 보호법 제34조(통지·신고) | 안전조치를 다하지 않은 경우 과징금(개인정보 보호법 제64조의2), 안전조치 미이행·통지 또는 신고 미이행은 3천만원 이하 과태료(개인정보 보호법 제75조제2항) |
| 동의 없는 수집 | 법적 근거나 동의 없이 수집 | 개인정보 보호법 제15조 | 과징금(제64조의2제1항제1호) |
| 과도한 수집 | 목적에 필요한 범위를 넘는 항목 수집 | 개인정보 보호법 제16조 | 최소 수집의 입증책임은 처리자에게 있다. 필요 최소한 외의 정보 제공을 거부했다고 서비스를 거부하면 3천만원 이하 과태료(제75조제2항제1호) |
| 목적 외 이용 | 수집 목적과 다른 용도로 이용 | 개인정보 보호법 제18조 | 5년 이하 징역 또는 5천만원 이하 벌금(개인정보 보호법 제71조), 과징금 |
| 무단 제3자 제공 | 동의나 법적 근거 없이 다른 회사에 넘김 | 개인정보 보호법 제17조, 제18조 | 5년 이하 징역 또는 5천만원 이하 벌금(제71조), 과징금 |
| 민감정보·고유식별정보 무단 처리 | 별도 동의 없이 건강정보, 여권번호 등 처리 | 개인정보 보호법 제23조, 개인정보 보호법 제24조 | 5년 이하 징역 또는 5천만원 이하 벌금(제71조), 과징금 |
| 파기 미이행 | 보유기간 경과·목적 달성 후에도 보관 | 개인정보 보호법 제21조 | 3천만원 이하 과태료(제75조제2항제4호) |
| 정보주체 권리 거부 | 열람 제한·거절, 정정·삭제나 처리정지 요구 불응 | 개인정보 보호법 제35조, 개인정보 보호법 제36조, 개인정보 보호법 제37조 | 3천만원 이하 과태료(제75조제2항). 정정·삭제나 처리정지를 하지 않고 계속 이용·제공하면 2년 이하 징역 또는 2천만원 이하 벌금(개인정보 보호법 제73조) |
| 부정 취득 | 거짓이나 부정한 수단으로 개인정보 취득 또는 동의 획득 | 개인정보 보호법 제59조 | 3년 이하 징역 또는 3천만원 이하 벌금(개인정보 보호법 제72조). 부정 취득 후 영리·부정한 목적으로 제3자에게 제공하면 10년 이하 징역 또는 1억원 이하 벌금(개인정보 보호법 제70조) |
과징금은 전체 매출액의 100분의 3 이내이며, 위반행위와 관련 없는 매출액은 빼고 산정한다(제64조의2). 같은 행위에 과징금을 부과하면 과태료는 부과하지 않는다(개인정보 보호법 제76조). 벌칙 전체는 개인정보 보호법 벌칙에서 정리한다.
| 창구 | 역할 | 연락처 |
|---|---|---|
| 개인정보침해 신고센터 | 제62조에 따라 설치. 개인정보 처리 관련 신고의 접수·상담, 사실 조사·확인. 전문기관은 한국인터넷진흥원(개인정보 보호법 시행령 제59조) | 국번 없이 118, privacy.kisa.or.kr |
| 개인정보 분쟁조정위원회 | 손해배상 등 분쟁을 조정으로 해결 | 1833-6972, kopico.go.kr |
| 개인정보보호위원회 | 자료제출 요구·검사, 시정조치 명령, 과징금·과태료 부과 | 대표전화 02-2100-3025 |
개인정보처리자는 유출등을 알게 되면 지체 없이 해당 정보주체에게 유출 항목, 시점과 경위, 피해 최소화 방법, 대응조치와 구제절차, 담당부서 연락처, 손해배상과 분쟁조정 등 법적 권리 행사 방법을 알려야 한다. 피해 확산을 막기 위한 대책을 마련하고, 대통령령으로 정하는 경우에는 보호위원회 또는 전문기관에 신고해야 한다. 세부 기준과 기한은 개인정보 유출 통지와 개인정보 보호법 제34조에서 다룬다.
| 경로 | 내용 | 근거 |
|---|---|---|
| 신고 | 신고센터에 침해 사실을 신고해 조사와 시정을 구한다 | 제62조 |
| 분쟁조정 | 소송보다 빠르고 비용이 적은 조정. 피해자가 50명 이상이면 집단분쟁조정을 이용할 수 있다 | 개인정보 분쟁조정 |
| 단체소송 | 처리자가 집단분쟁조정을 거부하거나 결과를 수락하지 않으면 요건을 갖춘 단체가 권리침해 행위의 금지·중지를 청구한다. 손해배상은 구하지 않는다 | 개인정보 단체소송 |
| 손해배상 | 처리자의 법 위반으로 손해를 입으면 청구할 수 있고, 처리자가 고의·과실이 없음을 입증하지 못하면 책임을 진다. 고의 또는 중대한 과실로 유출등이 되어 손해가 생기면 법원은 손해액의 5배 이내에서 배상액을 정할 수 있다 | 개인정보 보호법 제39조 |
| 법정손해배상 | 고의 또는 과실로 유출등이 된 경우 손해액을 입증하지 않고 300만원 이하의 범위에서 상당한 금액을 청구할 수 있다 | 개인정보 보호법 제39조의2 |
일정 기준에 해당하는 처리자는 손해배상책임 이행을 위해 보험 가입 등 필요한 조치를 해야 한다(개인정보 보호법 제39조의7, 개인정보 손해배상 책임보험).
- 침해 유형별 관련 조문(제15조 수집, 제16조 최소 수집, 제17조 제공, 제18조 목적 외 이용, 제21조 파기, 제35조부터 제37조까지 정보주체 권리)을 연결할 수 있어야 한다.
- 일반 손해배상(제39조, 입증책임 전환, 5배 이내)과 법정손해배상(제39조의2, 300만원 이하)의 요건 차이를 묻는다.
- 신고(신고센터 118), 분쟁조정, 단체소송의 차이와 순서, 특히 단체소송은 집단분쟁조정 거부·불수락이 전제이고 금지·중지 청구만 가능하다는 점을 구분할 수 있어야 한다.