※ 이 결정문은 개인정보보호위원회에서 제공하고 있습니다.
개인정보보호위원회(대표전화) 02-2100-3016
【결정요지】
【주문】
경찰청은 악성 앱을 이용한 보이스피싱 피해 예방을 위하여 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 가상자산사업자에게 제공할 수 있다. 이 경우 동 개인정보를 제공하기 위하여
가. 경찰청은 개인정보를 제공하는 가상자산사업자의 범위, 개인정보를 제공하는 목적과 방법, 개인정보의 보관 기간, 개인정보의 파기 등 개인정보의 처리방법을 구체적으로 마련한 후에 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 제공하여야 한다.
나. 가상자산사업자는 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 금융거래를 지연하거나 일시적으로 정지하는 목적으로만 이용하여야 하며, 악성 앱이 설치된 자의 이익을 부당하게 침해하여서는 안된다.
【이유】
별지와 같다.
이상과 같은 이유로 주문과 같이 의결한다.
2026년 03월 11일
【위원정보】
위 원 장 이 문 한
위 원 김 일 환
위 원 김 진 환
【별지】
1. 질의배경
○ 경찰청은 「형사소송법」제197조에 따라 범인, 범죄사실, 증거수사를 위해 법원으로부터 발부받은 영장을 바탕으로 악성앱*이 설치된 자의 성명ㆍ휴대폰번호ㆍ주소를 수집 중임
* 악성코드가 심어진 앱을 통해 개인정보 유출, 통화내역 도청, 전화 전화가로채기 등으로 피해자의 금전을 편취하는 기술적 수단
- 악성앱이 설치된 휴대전화 명의자의 주소지 관할 경찰서에 해당 정보를 하달, 소속 경찰관으로 하여금 휴대전화 명의자를 상대로 악성앱을 삭제하는 등 직접 피해구제 활동을 전개하고 있음
○ 더불어, '개인정보보호위원회’심의ㆍ의결(제2023-116-035호)에 따라 악성앱이 설치된 피해자 정보를 금융기관에 제공하고 있으며 정보를 제공받은 금융기관은 피해자 명의로 개설된 각 금융계좌로부터 피해금이 인출되는 것을 예방하는데 활용함으로써 피해자를 보호하고 있음
※ 과거 의결(2023.12.13. 제2023-116-035호)에서 경찰청은 성명, 휴대폰 번호, 주민등록번호, 주소 등 개인정보를 금융기관에 제공하였으나, 가상자산사업자는 금융회사와 달리 가입자의 주민등록번호가 아닌 생년월일 정보를 저장하므로 피해자 성명, 생년월일, 휴대폰번호를 제공하고자 함
○ 그런데, 최근 보이스피싱 등 전기통신금융사기 범죄조직은 피해자의 스마트폰에 악성앱을 설치, 원격 제어 권한을 탈취한 후, 피해자 명의로 가상자산 거래소 계정을 통해 금원을 편취하는 수법을 사용하고 있음이 확인되고 있으며 그 피해가 급증하고 있음
- 그러나, 금융기관과 달리 가상자산사업자에게는 악성앱이 설치된 피해자 정보가 공유되지 않아 범죄 피해금이 가상자산 형태로 해외에 유출되어 회복 불가능한 피해가 발생하고 있음
○ 이에, 경찰청은 영장을 통하여 적법하게 확보한 악성앱 설치 피해자 정보(성명, 생년월일, 휴대전화번호, 설치된 악성앱 종류 등)를 시중 금융기관 뿐만 아니라 5곳의 가상자산사업자에게 제공함으로써, 해당 명의자의 가상자산거래소 계정에 대한 선제적 거래 제한 및 보호 조치를 하고자 함
2. 질의내용
○ 경찰청이 악성 앱을 이용한 보이스피싱 피해 예방을 위하여 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 가상자산사업자에게 제공할 수 있는지 여부
3. 판단
가. 경찰청이 악성 앱을 이용한 보이스피싱 피해 예방을 위하여 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 가상자산사업자에게 제공할 수 있는지 여부
○ 경찰청이 보이스피싱 범죄 수사를 위한 압수영장에 의하여 수집된 본 건 개인정보를 가상자산사업자에게 제공하는 것은 개인정보의 목적 외 제공에 해당함
○ 보호법 제18조 제1항은 개인정보처리자가 개인정보를 목적 외 용도로 제3자에게 제공하는 것을 원칙적으로 금지하고 있으나, 제2항 각 호 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공할 수 있음
- 제18조 제2항 제5호는 “개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 제3자에게 제공할 수 있다”고 규정하고 있음
1) 경찰청이 악성 앱이 설치된 자의 범죄 피해를 예방하고 보호하는 것이 다른 법률에서 정하는 소관 업무에 해당하는지 여부
○ 「경찰관 직무집행법」제2조 제1호 및 제2호 및 「국가경찰관 자치경찰의 조직 및 운영에 관한 법률」제3조 제1호 및 제2호는 '국민의 생명ㆍ신체 및 재산의 보호’와 '범죄의 예방ㆍ진압 및 수사’를 경찰의 소관업무로 규정하고 있으므로
- 보이스피싱 조직에 의하여 악성 앱이 설치된 자의 범죄 피해를 예방하고 보호하는 것은 경찰청의 법률상 소관업무에 해당함
2) 경찰청이 악성 앱이 설치된 자의 성명, 생년월일 및 휴대전화번호를 가상자산사업자에게 제공하지 않으면 소관 업무 수행을 할 수 없는 경우에 해당하는지 여부
○보호법 제18조 제2항 제5호의 '소관업무를 수행할 수 없는 경우’는 개인정보를 목적 외의 용도로 이용ㆍ제공하지 아니하면 소관업무의 수행이 불가능하거나 현저히 곤란한 경우를 의미함(개인정보 보호위원회 결정 2017.1.9. 제2017-01-06호)
○경찰청은 범죄수사 과정에서 수집한 악성 앱이 설치된 모바일 경고 문자를 발송하거나 직접 대면하여 해당 악성 액을 삭제하는 조치를 하고 있으나,
-보이스피싱으로 인한 피해가 지속적으로 발생하고 있고, 최근에는 악성 앱을 이용한 휴대폰의 원격조종, 개인정보의 탈취, 악성 앱이 설치된 자가 경찰청 등에 전화하더라도 보이스피싱 콜센터에 연결되게 하는 전화ㆍ문자 가로채기 등 보이스피싱 범행 수법이 점차 진화하여 일반 국민들로서는 대처가 어려운 상황임
○ 특히 악성 앱의 설치를 인지하지 못한 자가 스스로 가상자산거래를 하거나, 악성 앱을 이용하여 타인의 금융정보를 획득한 보이스피싱 조직이 권한 없이 가상자산거래 할 경우에는 즉시 재산상 피해가 발생 할 수 있으며, 그 피해를 회복하기가 현실적으로 불가능함
- 따라서 유관기관 간 관련 정보를 신속하게 공유하지 않는다면 보이스피싱 범죄로부터 재산상 피해를 예방하거나 그 피해를 줄이는 것이 현저히 곤란할 것임
○ 경찰이 적법한 영장에 의해 확보한 악성앱 피해자의 정보를 활용, 직접 피해구체 활동을 벌이더라도 시간, 거리, 인력 등 여러 한계로 인해 피해 구제가 제때 이뤄지기 어려운 상황이며,
- 가상자산거래소가 경찰청으로부터 제공받은 악성앱 감염 피해자 명의 계정에 대해서 FDS 반영, 경보, 인출 제한 등의 사전 조치를 신속하게 취할 필요가 있음
○ 보이스피싱 조직에게 기망을 당하여 악성 앱이 설치된 피해자가 본인 명의의 계좌로 가상자산거래를 요청할 경우에 의심스러운 상황에만 근거하여 가상자산거래를 지연하거나 경찰에 신고하는데 한계가 있고, 가상자산거래의 경우 대부분 모바일로 이루어져 의심스러운 행동이나 정황을 포착하기 쉽지 않은 상황으로
- 경찰청과의 공조를 바탕으로 거래의 주의가 필요한 대상자를 명확히 하여 가상자산거래를 제한하는 것 외에는 다른 방법은 없을 것으로 판단함
3) 악성 앱이 설치된 자의 성명, 생년월일, 휴대전화번호를 제공하는 것이 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는지 여부
○ 악성 앱을 이용한 보이스피싱 범죄로부터 국민의 재산을 보호하기 위하여 정보주체인 악성 앱이 설치된 자의 성명, 생년월일, 휴대전화번호를 가상자산사업자에게 제공함으로서 이로 인한 금융거래 지연ㆍ일시 정시의 불편이 있을 수 있으나,
- 보이스피싱 조직이 금원을 편취하려는 목적으로 불특정 다수에게 악성 앱을 설치하게 하고, 경찰ㆍ금융기관 직원 등으로 사칭하는 범죄로 개인적ㆍ사회적 폐해가 심각한 점, 해당 악성 앱을 설치한 자를 보호하기 위한 경찰의 예방활동(경고문자 발송 및 앱 삭제)만으로는 보이스피싱 범죄로부터의 보호를 위한 본질적 목적을 달성하기 어려운 점, 해당 앱이 설치된 자가 범죄의 대상이 되어 회복할 수 없는 재산상 피해가 발생할 가능성이 높은 점을 고려할 때, 정보주체의 실질적 이익을 침해한다고 보기 어려우므로 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없을 것임
4. 검토결과
○ 경찰청은 악성 앱을 이용한 보이스피싱 피해 예방을 위하여 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 가상자산사업자에게 제공할 수 있다. 이 경우 동 개인정보를 제공하기 위하여
가. 경찰청은 개인정보를 제공하는 가상자산사업자의 범위, 개인정보를 제공하는 목적과 방법, 개인정보의 보관 기간, 개인정보의 파기 등 개인정보의 처리방법을 구체적으로 마련한 후에 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 제공하여야 한다.
나. 가상자산사업자는 악성 앱이 설치된 자의 성명, 생년월일, 휴대폰 번호를 금융거래를 지연하거나 일시적으로 정지하는 목적으로만 이용하여야 하며, 악성 앱이 설치된 자의 이익을 부당하게 침해하여서는 안된다.