개인정보위 제2소위원회의 2026년 8월 12일자 의결서(제2026-215-335호)에 따르면, 이 추진위원회는 2025년 10월 13일 임원 선출을 위한 총회 책자를 배포하는 과정에서 후보자 5명의 주민등록번호와 연락처를 삭제하지 않은 채 우편으로 배포했다.
개인정보위는 추진위원회가 2025년 10월 18일 유출 사실을 인지하고도 정당한 사유 없이 72시간이 지난 같은 달 22일에야 유출 신고를 했다고 판단했다. 이에 따라 개인정보보호법 제34조 제3항과 같은 법 시행령 제40조 제1항을 위반했다고 봤다.
시행령은 1천명 이상의 정보주체 개인정보가 유출된 경우, 민감정보 또는 고유식별정보가 유출된 경우, 외부의 불법적인 접근으로 개인정보가 유출된 경우 등에는 유출 사실을 알게 된 때부터 72시간 이내에 보호위원회 또는 전문기관에 신고하도록 규정하고 있다. 이번 사안에서 유출된 정보에는 주민등록번호가 포함됐다.
다만 개인정보위는 이번 사안을 안전조치의무 위반으로까지 보지는 않았다. 의결서는 담당자의 업무처리 과정에서 발생한 인적 실수였고, 유출 사실 인지 직후 책자를 회수해 재배포했으며, 유출 통지는 72시간 내 완료한 점 등을 종합해 기술적·관리적 조치의무 위반으로 처분할 만한 사안은 아니라고 판단했다.
개인정보위는 유출 규모가 5건에 그쳤고, 유출 인지 후 개인정보 자료 폐기 조치 요청과 책자 회수 조치가 이뤄졌으며, 유출 신고가 1일 지연된 점 등을 고려해 법 제61조에 따른 개선권고와 경고를 결정했다. 추진위원회는 개인정보 유출 신고·통지 체계를 재검토해 대책을 마련하고, 개선권고 통지를 받은 날부터 60일 이내에 이행 결과와 계획을 개인정보위에 제출해야 한다.
이번 의결은 유출 규모가 크지 않고 회수 조치가 뒤따랐더라도, 법정 신고 기한 준수 여부는 별도로 판단될 수 있음을 보여준다.
<저작권자 © 아주로앤피 (www.lawandp.com) 무단전재 및 재배포금지>
