12일 개인정보위 제2소위원회 심의·의결 제2026-215-336호 결정문에 따르면, 지에이개발은 2025년 12월 9일 분양팀 사무실을 이전하는 과정에서 분양계약서 사본을 쓰레기장에 버렸고, 제3자가 이를 수거했다.
유출된 문서는 모두 170건의 분양계약서 사본으로, 성명과 주소, 휴대전화번호가 포함돼 있었다. 위원회는 지에이개발이 같은 해 12월 13일 유출 사실을 인지한 뒤 정당한 사유 없이 72시간이 지난 2026년 1월 2일 관련 통지를 했다고 판단했다. 조사 배경에는 이 회사가 개인정보 포털에 2026년 1월 7일 유출 신고를 한 사실도 적시됐다.
개인정보위는 계약서 사본을 소각·파쇄 등으로 완전파기하지 않고 쓰레기장에 버린 행위가 개인정보보호법 제29조의 안전조치 의무와 시행령, '개인정보의 안전성 확보조치 기준'을 위반했다고 봤다. 해당 기준은 개인정보를 파기할 때 소각·파쇄 등 완전파괴, 전용 소자장비를 이용한 삭제, 복원이 불가능한 초기화·덮어쓰기 가운데 하나의 조치를 하도록 정하고 있다.
또 개인정보위는 개인정보 유출 사실을 알게 된 경우 정당한 사유가 없는 한 72시간 이내에 통지해야 한다는 점도 다시 확인했다. 결정문은 긴급한 차단 조치가 필요하거나 천재지변 등 부득이한 사유가 있는 경우를 제외하고는 72시간을 넘겨서는 안 된다고 적시했다.
과태료는 두 위반행위 각각 1회 위반 기준금액 600만원을 토대로 산정됐다. 다만 위원회는 위반 정도가 비교적 경미하고, 회사가 중기업에 해당하며, 조사에 협조했고, 사전통지 및 의견제출 기간 종료 전 시정을 마친 점 등을 고려해 기준금액의 85%를 감경했다고 밝혔다. 그 결과 최종 과태료는 총 180만원이 됐다.
이번 결정은 전산 자료뿐 아니라 종이 문서에 담긴 개인정보도 파기 기준을 엄격히 지켜야 한다는 점을 보여준다. 개인정보 처리자는 유출 사실을 인지하는 시점부터 통지·신고 절차를 지체 없이 점검해야 한다는 점에서도 실무상 참고가 되는 사례다.
<저작권자 © 아주로앤피 (www.lawandp.com) 무단전재 및 재배포금지>
