개인정보보호위원회 결정문

【결정요지】

신청인 : 에 대하여 다음과 같이 과징금을 부과한다.가. 과 징 금 : 248,000,000원나. 납부기한 : 고지서에 명시된 납부기한 이내다. 납부장소 : 한국은행 국고수납 대리점

【이유】

Ⅰ. 기초 사실

피심인은 쿠팡 주식회사의 자회사로, 쿠팡의 물류 공급망에서 입고ㆍ보관ㆍ출고를 담당하면서 근로자 등 임직원의 개인정보를 처리하는 「개인정보 보호법법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행」(이하 '보호법’)상 개인정보처리자로 일반현황은 다음과 같다.

Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 피심인이 근로자 취업제한을 목적으로 개인정보 수집ㆍ이용, 소송 과정에서 근로자의 검진기록 이용 등 개인정보 침해 이슈가 국회지적ㆍ언론보도'기자ㆍPD 100명도 '쿠팡’ 블랙리스트에 ‥ 탐사보도 원천 봉쇄(MBC, ’24.2.14.)', ’쿠팡, 과로사 주장 반박하려 직원들 검진 기록까지 뒤졌다(KBS, 26.2.5.)' 등 다수 언론 보도등을 통해 제기됨에 따라 조사를 진행하였으며, 다음과 같은 사실을 확인하였다.

2. 개인정보 수집ㆍ이용 현황

피심인은 채용 및 인사업무 처리 등을 목적으로 약 만 명의 근로자 개인정보를 수집ㆍ이용하며, 2026년 1월 16일을 기준으로 보유 현황은 아래와 같다.

3. 보호법 위반 관련 사실관계

가. 취업제한 목록 작성(경찰청 출입기자 명단 수집) 관련

1) 취업제한 목록 개요

피심인은 전국의 개 물류센터에서 연간 약 만 명의 계약직ㆍ일용직 현장 근로자를 상시 채용하며, 비위행위자로부터 타 근로자를 보호하고, 사업장의 안전 및 질서를 유지하기 위해 취업제한을 목적으로 근로자의 개인정보를 수집ㆍ이용한다.

이에, 채용된 근로자가 물류센터 근무 과정에서 성희롱ㆍ절도ㆍ폭행 등의 비위행위를 한 경우, 피심인은 사원 평정 절차를 거쳐 취업제한 목록에 해당 근로자를 등록함으로써 피심인이 운영하는 물류센터의 재취업을 제한하고 있었다.

세부적으로 해당 취업제한 절차의 운영 경과는 다음과 같다. 피심인이 운영하는 각 물류센터는 2017년 하순부터 개별적으로 기준을 수립하여 취업제한 목록을 작성ㆍ관리하였다. 이후, 피심인의 본사 채용팀은 2020년 중순부터 취업제한과 관련한 일관된 기준을 적용하고, 각 물류센터의 목록을 통합 관리하기 위하여 '사원 평정 제도’라 일컫는 내부 가이드라인을 마련취업제한 대상이 되는 사유 및 제한 기간이 물류센터별로 달라 특정 물류센터의 취업제한 대상이 다른 물류센터에는 취업을 할 수 있다는 한계가 있어 이를 해소하고 일관된 기준 적용을 위해 통합하였다고 소명(’26.2.24. 답변)하였다. 2025년 9월경 피심인의 본사 채용팀은 인사관리 규정을 개정하여 취업 제한 절차, 결격 사유 및 기간을 명문화하였고, 기존의 '사원 평정 제도’를 '채용 결격 제도’로 변경하여 현재까지 운영 중에 있다.

피심인이 소속 근로자를 취업제한 목록에 등록하기 위해서 다음의 절차를 거친다. 우선, 피심인이 운영하는 각 물류센터는 비위행위를 일으킨 근로자에 대해 현장 및 인사 책임자의 평가ㆍ검토를 거친 후 본사에 취업제한 목록 등록을 요청한다. 이후, 본사는 물류센터의 요청 내용을 검토하여 해당 근로자의 취업제한 여부 및 결격 기간을 결정하고 취업제한 목록에 등록한다. 참고로, 2025년 9월 이전에는 본사 채용팀에서 취업제한 목록 등록 여부에 대한 검토를 진행하였으나, 2025년 9월 이후부터 현재까지 채용ㆍ노무ㆍ법률 조직이 참여하는 '인사관리협의회’에서 검토를 진행하는 것으로 변경하여 운영하고 있다.

2) 취업제한 목록 보유 현황

피심인이 총 16,450명의 성명, 생년월일, 전화번호 등 개인정보를 취업제한 목록에 등록ㆍ보유언론에서는 전체 약 1만 6천여 명이 등록ㆍ관리되는 것으로 보도되었으나, 피심인은 경찰청 출입기자 71명, 국회의원 및 보좌관 2명을 제외하고, “2024. 2. MBC 보도 당시의 명단은 자료 기재상 2017. 9.부터 누적되어 온 것이어서 개별 등록의 구체적 사실관계를 확인하기가 쉽지 않은 상황”이라고 설명하고 있다는 2024년 2월 언론보도와 관련하여 당시 피심인은 비위행위자, 아르바이트 취재기자, 경찰청 출입기자 등을 등록한 것으로 확인된다고 답변하였다.

한편, 현재 피심인은 비위행위자 명을 포함하여 총 명의 성명, 생년월일, 전화번호 등 개인정보를 취업제한 목록에 등록ㆍ보유한다고 답변하였다.“근로 중 발생할 수 있는 안전 및 보건 사고를 사전에 방지하고 근로자 개인의 업무상 재해를 방지하기 위해 물류센터 내 동료 근로자 또는 근로자 스스로의 안전 및 보건에 관한 위해가 있거나 업무 수행이 현저히 불가능한 경우에 한하여 이후의 채용을 제한하고 있는 것“이라고 설명“근로자가 퇴사 후 다시 일용직으로 근무하게 되는 경우 퇴사일 및 계속근로기간이 불명확해지는 문제가 발생하여 당사가 퇴직금 지급 등 노동 관계 법령을 준수하는데 어려움이 발생하게 되므로 이를 방지하기 위해 재입사 유예기간을 둔 것”이라고 설명3) 취업제한 목록 등록 대상 관련 사실관계

피심인의 취업제한 등록의 대상이 된 세부행위별 내용은 다음과 같다.

첫째로, 피심인은 근로자의 비위행위가 발생하는 경우 취업제한 목록에 등록한 사실이 있다. 구체적으로, 피심인은 현재 무단결근, 폭언, 성희롱 및 근무 중 절도ㆍ방화ㆍ폭행ㆍ상해ㆍ성추행 등 비위행위에 대해 최소 3개월에서 최대 10년까지 채용 결격 기간을 적용하였다. 피심인이 취업제한을 조치한 세부 사례는 아래와 같다.

다음으로, 피심인은 근로자의 비위행위 이외에 기타행위가 발생하는 경우 취업제한 목록에 등록한 사실이 있다. 구체적으로, 피심인은 2024년 2월 언론보도 이전까지 물류센터 근무 중 취재ㆍ촬영 등을 하여 언론 등에 보도한 취재기자, 유튜버, 국회의원ㆍ보좌관을 취업제한 목록에 등록하였다. 참고로, 피심인은 취재기자 및 유튜버의 경우, 안전사고 발생할 우려 등에 따라 “허위사실 유포”, “회사내부정보 외부유출” 등을 사유로 취업제한 목록에 등록하였고, 국회의원 및 보좌관의 경우, 근무지 무단이탈로 업무에 지장이 발생함에 따라 “근무지 무단이탈”을 사유로 등록하였다고 답변하였다.

앞서 근로자의 비위행위와 기타행위에 대해 취업제한 목록을 등록한 것과 달리, 피심인은 물류센터에 근무한 이력이 없는 미채용 인력을 취업제한 목록에 등록한 사실이 있다. 구체적으로, 경찰청 출입 기자 71명을 “허위사실유포”로 취업제한 목록에 등록사원평정을 총괄하는 채용팀 담당(OOO 전무, 당시 부장)의 요청을 받은 홍보팀 소속 직원(△△△ 부장)이 친분이 있는 기자를 통해 해당 목록을 입수한 후 이룰 채용팀에 전달한 것이라고 답변하였고, 등록 과정에서 별도로 해당 정보주체의 동의를 받거나, 등록 사실을 알린 바 없었다. 참고로, 피심인은 사전에 잠입 취재, 왜곡 보도 등을 방지하기 위한 조치라고 설명하였다.

나. 민감정보(근로자 체중정보) 처리 관련

1) 민감정보 수집 현황

피심인은 산업안전보건법에 따라 근로자가 건강검진기관(이하 'A 기관’)을 통해 건강검진을 받도록 하고 있었다. 또한, A 기관은 임직원의 건강 관리를 목적으로 소속 회사에 검진결과를 제공하는 것에 대해 동의한 건강검진자에 한하여 해당 검진결과를 피심인에게 제공하였다. 이에, 피심인은 A 기관으로부터 신장, 체중, 시력, 청력, 혈압 등의 항목을 포함한 건강검진 결과를 정기적으로 제공받고 있었다.

2) 민감정보의 법원 제출 관련 사실관계

피심인은 사망한 근로자의 유족측 손해배상청구 소송 과정에서 '사망자 체중 감소’ 쟁점에 대응하기 위한 목적으로 A 기관으로부터 제공받은 건강검진 결과를 이용ㆍ제공한 사실이 있다. 구체적으로, 사망자가 근무한 물류센터에서 동일ㆍ유사 업무를 수행한 근로자 80명의 3년간 건강검진 결과상 체중 변화 분석 자료를 작성하는 과정에서 근로자의 이름을 제거하고 로그인 아이디 일부를 마스킹한 후, 2024년 3월 8일 근로자의 별도 동의 없이 '근로자 체중정보 자료’를 법원에 제출하였다. 참고로, 피심인은 이름 제거 등 비식별 처리를 하였기 때문에 해당 건강검진을 수행한 근로자의 동의를 받지 않고 이용ㆍ제출하였다고 답변하였다.

3. 처분의 사전통지 및 의견 수렴

개인정보보호위원회는 2026년 4월 7일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 2026년 5월 5일에 개인정보보호위원회에 의견을 제출하였다.

Ⅲ. 관련 법규 및 위법성 판단

1. 관련법 규정

가. 보호법 제15조제1항은 “개인정보처리자는 다음 각 호((제1호)정보주체의 동의를 받은 경우, (제2호)법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, (제3호)공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, (제4호)정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, (제5호)명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우, (제6호)개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다., (제7호)공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우)의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.”라고 규정하고 있다.

나. 보호법 제23조제1항은 “개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호((제1호)정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우, (제2호)법령에서 민감정보의 처리를 요구하거나 허용하는 경우)의 어느 하나에 해당하는 경우에는 그러하지 아니하다.”라고 규정하고 있다.

2. 위법성 판단

가. 법적 근거 없이 정보주체의 개인정보를 수집ㆍ이용한 행위본 건은 피심인의 물류센터에서 근무한 이력이 없음에도 피심인의 취업제한 목록에 등재된 자에 한하여 개인정보 보호법 적용 및 위반여부를 판단하였음[보호법 제15조(개인정보의 수집ㆍ이용)제1항]

피심인이 물류센터에 근무한 이력이 없는 경찰청 출입 기자 71명의 개인정보를 수집하여 “허위사실유포”로 취업제한 목록에 등록한 행위와 관련하여 해당 기자는 개인정보 수집에 동의한 사실이 없고, 물류센터에 근무한 이력도 없는바 계약 이행 등을 위해 필요한 경우에 해당하지 않으며, 정당한 이익을 달성하기 위해 필요한 경우로 볼 수 없는 등 보호법 제15조제1항에서 규정한 적법한 개인정보 처리 근거가 있다고 보기 어려운바 해당 정보를 수집한 행위는 보호법 제15조제1항을 위반한 것이다.

나. 법적 근거 없이 정보주체의 민감정보를 처리한 행위

[보호법 제23조(민감정보의 처리 제한)제1항]

피심인이 법원에 제출한 자료는 고용형태, 연도별 체중 등이 기록된 것으로, 근로자의 성명을 삭제하였다 해도, 피심인이 보유 중 제출한 근로자별 체중변화 분석자료는 건강검진 원본 자료와의 결합을 통해 특정 개인이 식별 가능한 보호법상 개인정보에 해당한다. 특히, 피심인은 산업재해 관련 손해배상 소송과정에서 사망자의 건강상 쟁점과 관련하여 피심인의 주장을 증명할 목적으로 제공한 타 근로자의 3년간 체중 및 그 변화는 개인의 건강상태를 유추할 수 있는 건강정보로 보호법상 민감정보에 해당한다. 이에, 피심인이 A기관으로부터 '임직원 건강 관리’를 목적으로 제공받았으나, 별도 동의나 법령의 근거없이 체중정보를 법원에 제출한 행위는 보호법 제23조제1항 위반한 것이다.

Ⅳ. 피심인의 주장에 대한 검토

1. 취업제한 목록 작성(경찰청 출입기자 명단 수집) 관련

가. 정당한 이익에 따른 수집에 대하여

1) 피심인 주장

먼저, 피심인은 불법잠입취재 대응피심인은 잠입취재가 언론의 자유에 의해 보호되는 정당한 취재활동이 아니라고 주장하며 관련 판례(서울북부지방법원 2020.5.8. 선고 2020노432판결 등)를 근거로 제시을 위한 헌법 제15조(직업의 자유)ㆍ제23조(재산권)에 따라 보호되는 정당한 인사권 행사인 점, 영업 활동 보호 및 안전사고 예방 목적인 점 등을 고려하여 '목적이 정당’하며,

기자의 직업 특성상 공개된 정보에 해당하며 최소한의 이름ㆍ전화번호만 수집한 점, 채용 환경상 개별 신원 확인이 불가능하여 불가피성ㆍ합리성 등을 고려한다면 '처리의 필요성’이 존재하고,

근로자의 생명ㆍ신체ㆍ건강은 헌법 제10조(존엄ㆍ가치ㆍ행복추구권)에 따라 보호되어야 하는 점, 수집된 정보주체(기자)의 개인정보 자기결정권 제한이 극히 경미한 점, 불법잠입취재는 진정한 직업 수행의 의사 없으므로 직업선택 자유의 제한이 없으며 정식 취재는 가능하므로 취재권 제한이 없는 점, 정보주체의 사회적ㆍ경제적 불이익이 없는 점 등 고려할 때 피심인의 '정당한 이익이 정보주체의 권리에 우선’하므로 “보호법 제15조제1항제6호에 따른 적법 처리”라고 주장한다.

2) 검토의견 : 불수용

출입기자의 경우, 근로관계에서 왜곡 보도 등을 하였다거나 근로 지원을 통해 그러한 위험성이 구체적으로 확인되지 않은 점 등을 고려할 때 목적의 정당성이 있다고 보기 어렵고피심인이 언급하는 불법잠입취재 판례는 신분 사칭 또는 출입자격 편취를 한 건으로, 본 건의 출입기자 건에 동일하게 적용될 수 없음,

소관 부처의 취재 편의, 출입 관리 등 특정 목적을 위해 작성하여 해당 기관 및 출입기자단 등 한정된 범위에서 공유되는 경찰청 출입기자 명단은 인터넷에 게시되거나 누구나 쉽게 검색할 수 있는 '공개된 개인정보’에 해당하지 않으며설령, 일정 부분 공개된 정보로 보더라도, 이를 제3자인 피심인이 취업제한 목적을 위해 사용하는 것은 취재 편의와 출입관리 등 본래의 공개 목적과 이용 범위를 벗어난 행위로, 정보주체의 동의가 있었다고 볼 수 없음(대법원 2025. 3. 13. 선고 2024두55440 판결 및 대법원 2016. 8. 17. 선고 2014다235080 판결),

채용 과정에서 제출된 이력을 검증하거나 근로 시 취재나 보도 제한 안내 등 합리적이고 덜 침해적인 방법을 통해 목적을 달성할 수 있는바, 사전에 해당 개인정보를 수집ㆍ이용하는 것이 불가피하다고 볼 수 없고,

피심인이 경찰청 출입기자 명단을 사전 등록함으로써 얻은 이익은 구체적인 위험이 발생하지 않은 상황에서 가정적이고 추상적인 것인 반면, 정보주체인 취재기자들은 예측할 수 없는 상태에서 개인정보가 수집ㆍ이용되어 취업제한 목록에 등록되는 것만으로도 개인정보자기결정권개인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 개인의 내밀한 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함하고, 그러한 개인정보를 대상으로 한 조사ㆍ수집ㆍ보관ㆍ처리ㆍ이용 등의 행위는 모두 원칙적으로 개인정보자기결정권에 대한 제한에 해당(대법원 2014다235080 판결 등), 직업 선택의 자유 등이 직접 침해될 수 있어 피심인의 이익이 정보주체의 권리에 명백히 우선한다고도 볼 수 없다.

나. 과징금 부과 및 산정에 대하여

1) 피심인 주장

피심인은 목적의 정당성, 수집의 불가피성 등 정당한 이익에 따른 처리로 인식하여 위법성이 없다고 인식할 만한 정당한 사유가 존재하고, 공개된 개인정보로써 71명의 이름ㆍ전화번호를 내부 업무용으로 활용한 것은 위반행위의 내용ㆍ정도가 경미하며, 해당 기자들의 실제 지원 사례가 없으므로 정보주체의 실질적 피해가 없으며 명단을 삭제하는 등 위반행위를 시정한 점을 근거로 「개인정보보호법 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)」(이하 '과징금 부과기준’) 제4조에 따른 과징금 면제 대상임을 주장한다.

설령, 과징금 부과시에도 수집한 경찰청 출입기자의 개인정보는 사업 매출액(물류 서비스 제공, 드라이아이스 판매 등)과 무관하므로 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외하면 산정된 매출액이 없는 경우에 해당하여 정액과징금 부과하고, 최대 감경 적용 대상임을 주장한다.

2) 검토의견 : 일부수용

앞에서 살펴본 것과 같이 정당한 이익에 따른 수집으로 보기 어려운 점, 피심인이 본건 취업제한 명단 등재에 대해 소관 행정기관에 문의하거나 적법성을 검토하는 등 자신의 위법 가능성에 대해 심사숙고하거나 자신의 지적능력을 다하여 이를 회피하기 위한 진지한 노력을 다했다고 보기 어려워 위법하지 않다고 오인할 만한 정당한 사유가 인정되기 어려운 점, 기자의 전화번호를 공개된 개인정보로 보기 어렵고 명단 작성만으로 개인정보자기결정권이 침해되고 취재가 제한되는 등의 피해가 있는 점 등을 고려 시 과징금 면제 요건에 부합한다고 보기 어려우므로 피심인의 과징금 면제 관련 주장을 수용하지 아니한다.

다만, 출입기자를 취업제한 목록에 등재한 행위로 인하여 직ㆍ간접적으로 영향을 받는 매출액이 없는 점을 인정하여 정액과징금을 부과한다.

2. 민감정보(근로자 체중정보) 처리 관련

가. 개인정보 및 민감정보 여부에 대하여

1) 피심인 주장

'본건 근로자 체중정보 자료’는 비식별화하여 더 이상 개인을 알아볼 수 없는 정보에 해당하고, 법원은 해당 자료를 통해 피심인의 근로자를 알아볼 수 없어 개인정보에 해당하지 않으며,

설령, 개인정보에 해당하더라도 체중 자료는 단순한 신체 계측치에 불과하므로 건강에 관한 정보인 민감정보로 보기 어렵다.

2) 검토의견 : 불수용

그간 개인정보보호위원회 및 관련 판례는 '처리하는 자’의 입장에서 개인정보 여부를 판단 「개인정보 보호 법령 및 지침ㆍ고시 해설(개인정보위, 2020년 12월)」에서 "'알아볼 수 있는’의 의미는 해당 정보를 '처리하는 자’의 입장에서 합리적으로 활용될 가능성이 있는 수단을 고려하여 개인을 알아볼 수 있다면 개인정보에 해당한다. … 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있으면 개인정보에 해당한다."고 설명해 왔으며, 이에 피심인이 제출한 성명 등을 삭제한 체중분석 자료는 정보 수령자인 법원이 아닌 개인정보처리자인 피심인을 기준으로 판단해야 하는 것으로, 피심인은 보유 중인 건강검진 원본 자료 간 결합을 통해 개인 식별이 가능하다.

한편, '처리하는 자’ 외에 제공받는 자 등의 입장에서도 제출된 정보의 표본은 2021년에서 2023년 사이에 동일 업장에서 동일 업무를 수행한 80명으로 소수인 점, 민감한 개별 몸무게 수치를 범주화ㆍ노이즈 등 조치없이 소수점 단위까지 이용한 점, 이에 3년간의 몸무게 값을 가진 자는 유일무이할 가능성이 높아 법원 입장에서도 3년간 체중값이 2021년에 1OO.Okg, 2022년에 1◇◇.◇kg, 2023년에 1□□.□kg 이었던 자는 칠곡 물류센터 내 워터스파이더 업무를 수행한 1명으로 비교적 쉽게 특정할 가능성이 있는 점 등을 종합적으로 고려하였을 때, 시간ㆍ비용ㆍ기술 등을 고려하여 적절한 익명화 조치를 위한 충분한 노력을 하였다고 보기 어려우므로 「개인정보 보호법 해석 사례집(개인정보위, 2024년 6월)」 p30은 “다른 정보와 결합되었을 때 개인을 알아볼 가능성이 높은 정보나 희귀성씨가 포함된 경우, 개인을 알아볼 가능성이 높은 정보(특이정보)까지 종합적으로 고려하여 개인이 식별될 위험도를 낮춰야 안전한 가명정보로 볼 수 있다”라고 설명하는바, 피심인이 제출한 일부 몸무게값의 경우 일반적인 체중 분포에서 벗어나 특정 개인을 유추ㆍ식별할 가능성이 높음에도 이를 별다른 조치 없이 제출한 것은 적절한 조치를 위한 노력이라고 보기 어려움익명정보에 해당하지 않는다.

피심인 역시 사망자와의 산업재해 관련 손해배상소송에서 건강상 쟁점과 관련하여 피심인의 주장을 증명할 목적 타 근로자의 체중정보를 처리하여 건강상태 유추의 근거로 활용하였고, 개인의 건강상태를 유추할 수 있는 건강정보는 보호법상 민감정보에 해당한다.

나. 정당행위에 따른 처리에 대하여

1) 피심인 주장

본 건 자료를 법원에 제출한 행위는 헌법이 보장하는 재판상 방어권 행사를 위한 것으로 형법 제20조에 따라 위법성이 조각되는 정당행위에 해당하여 행정상 제재처분의 원인이 되는 위법행위로 인정될 수 없다고 주장한다.

2) 검토의견 : 불수용정당행위는 형사처벌에서 적용되는 형법 제20조의 위법성 조각사유로 행정제재에서 직접 적용되지 않으나, 행정법규 위반에 대하여도 위반자의 의무해태를 탓할 수 없는 정당한 사유가 있는 경우에는 행정제재를 부과하지 않을 수 있다는 판례(대법원 98두5927 판결 등)의 취지를 고려하여 정당행위 적용에 대한 피심인의 주장을 판단함'임직원 건강 관리’ 목적으로 건강검진기관으로부터 제공받은 정보를 산업재해 관련 손해배상소송에서 '방어권 행사’ 목적으로 법원에 해당 근로자의 식별자(이름, 일부 로그인 아이디)를 마스킹하여 제출하였으나, 해당 자료를 통계화하여 제출할 수 있는 점, 사망자가 근무한 센터에서 동일한 업무를 수행한 근로자의 건강(민감)정보인 점21년 당시 사망자가 근무하던 칠곡 물류센터에는 상용직 명, 단기직(일용직) 명이 근무하였고, 사망자는 일용직으로 '워터 스파이더(제품의 집품 및 포장 등 업무를 수행하는 근로자를 지원하는 업무로 제품 보관 바구니를 쌓은 팰릿을 핸드자키로 이동하는 작업, 포장 부자재를 손수레로 운반해 선반에 올려 두는 작업 등을 수행하는 업무)’ 직무를 수행하였음, 근로자의 동의를 받아 제출하는 등 비교적 수월하게 정당행위로 인정될만한 다른 수단이나 방법이 존재하는 점본 건과 관련된 유족 측 손해배상청구 소송 과정에서 피심인은 사망자의 쿠팡 주문 내역을 수집하기 위해 을 상대로 주문 내역 사실조회를 신청하고, 및 을 상대로 사망자 관련 사항에 대한 문서제출명령을 신청한 바 있음등을 고려 시 피심인의 정당행위 관련 주장을 수용하지 아니한다.

다. 과징금 부과 및 산정에 대하여

1) 피심인 주장

소송상 방어권 행사를 위한 자료 제출의 불가피성과 비식별화 조치를 고려시 위법성이 없다고 인식할 만한 정당한 사유가 존재하고, 그 외 영리 목적이 없고 해당 재판부에 단발성으로만 제출한 점은 위반행위의 내용ㆍ정도가 경미하며, 정보주체의 실질적 피해가 없거나 경미하며 이미 위반행위가 종료된 점을 근거로 과징금 부과기준 제4조에 따른 과징금 면제 대상임을 주장한다.

설령 부과시, 문제가 된 개인정보는 사망자 유족과의 손해배상청구 소송 대응 영역이므로 체중정보의 존부 및 규모는 사업 매출액(물류 서비스 제공, 드라이아이스 판매 등)과 무관하므로 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외하면 산정된 매출액이 없는 경우에 해당하여 정액과징금 부과 및 최대 감경 적용 대상임을 주장한다.

2) 검토의견 : 일부수용

앞에서 살펴본 것과 같이 피심인의 행위를 정당행위로 인정하기 어렵고, 피심인이 자신의 위법의 가능성에 대해 심사숙고하거나 자신의 지적능력을 다하여 이를 회피하기 위한 진지한 노력을 다했다고 보기 어려워 위법하지 않다고 오인할 만한 정당한 사유가 인정되기 어려운 점피심인은 통계자료의 신빙성을 증명하기 위해 제출이 불가피하였다고 주장하나, 정당행위 인정여부에 대해서도 법원에서 사안별로 판단하고 있는 점 등을 고려할 때 법원에서 신빙성에 의심을 하는 등 석명권 행사를 했다거나, 사전에 동 자료 제출에 대한 적법성 검토, 정보주체인 근로자에 대한 동의를 구하기 위한 노력을 했다는 등의 피심인에게 특별히 정당한 사유가 있다고 보기 어려움, 민감정보를 제공받은 목적 외로 이용한 행위를 경미하거나, 부주의 또는 오류로 보기 어려운 점 등을 고려 시 과징금 면제 요건에 부합한다고 보기 어려우므로 수용하지 아니한다.

다만, 체중분석 등 임직원 개인정보 처리 관련 매출액이 없는 점을 고려하여 정액과징금을 부과한다.

Ⅴ. 처분 및 결정

1. 과징금 부과

피심인의 보호법 제15조(개인정보의 수집ㆍ이용)제1항 및 제23조(민감정보의 처리 제한)제1항 위반행위에 대해 같은 법 제64조의2제1항제1호 및 제3호, 동법 시행령대통령령 제33723호, 2023. 9. 12. 일부개정, 2024. 1. 1. 시행

(이하 '시행령’) 제60조의2 [별표 1의5] 및 과징금 부과기준에 따라 다음과 같이 부과한다.

가. 법적 근거 없이 정보주체의 개인정보를 수집ㆍ이용한 행위

1) 기준금액

시행령 제60조의2 [별표1의5] 2. 가. 2)는 제60조의2제2항 각 호의 어느 하나에 해당하는 경우 위반행위의 중대성에 따라 산정기준액을 규정하고 있다.

피심인의 위반행위는 '중대한 위반행위’에 해당하는 금액인 450,000천 원을 기준금액으로 적용하며, 관련 중대성의 판단은 다음과 같다.

2) 중대성의 판단

과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.

[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.

먼저, 근로자에 대한 취업제한 목록 운영 기준을 마련 후 비위행위자에 대한 평가ㆍ검토를 통해 취업제한을 등록하는 절차를 운영했음에도, 근무이력이 없는 자를 대상으로 잠입 취재 방지라는 목적하에 정상적인 등록 절차를 의도적으로 배제한 채 업무를 수행한 것은 단순 착오나 부주의로 보기 어려운바 고의ㆍ과실은 '상’으로 판단한다.

위반행위의 방법과 관련하여 2020년부터 피심인 소속 인사채용팀에서 취업제한 목록을 작성ㆍ관리한바 조직적인 행위에 해당하고, 특정 목적으로 작성하여 한정된 범위에서 공유되는 출입기자 명단을 무단으로 수집한 후, 비위행위를 한 근로자로 등록ㆍ관리한 것은 부당성이 현저히 큰 경우에 해당하여 '상’으로 판단한다.

위반행위자가 처리하는 개인정보의 유형은 고유식별정보, 민감정보 및 인증정보에 해당하지 않아 '하’로 판단한다.

위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향과 관련하여, 영향 받은 경찰청 등 출입기자 규모가 71명으로 적은 점, 위반행위가 1회성에 그친 점 등을 고려하여 '하’로 판단한다.

따라서, 피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 '중대한 위반행위’로 판단한다.

3) 1차 조정

과징금 부과기준 제9조에 따른 가중사유에 해당하지 않으며, 잠입취재 방지 목적이 일부 인정되더라도, 이 사건의 정보주체가 실제 취업을 시도하지 않은 점 등을 고려시 경제적ㆍ비경제적 이득을 취하지 아니한바 기준금액의 100분의 30에 해당하는 금액인 135,000천 원을 감경한다.

4) 2차 조정

과징금 부과기준 제10조에 따라 피심인이 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우 및 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 경우에 해당하여 기준금액의 100분의 30에 해당하는 금액인 94,500천 원을 감경한다.

5) 부과과징금의 결정

피심인의 보호법 제15조(개인정보의 수집ㆍ이용)제1항 위반행위에 대한 과징금은 같은 법 제64조의2제1항제1호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 과징금 부과기준에 따라 위와 같이 단계별로 산출한 금액인 2억 2,000만 원을 최종 과징금으로 결정한다.

* 과징금 부과기준 제11조제5항에 따라 부과과징금이 1억원 이상인 경우에 1백만원 단위 미만의 금액을 절사

나. 법적 근거 없이 정보주체의 민감정보를 처리한 행위

1) 기준금액

시행령 제60조의2 [별표1의5] 2. 가. 2)는 제60조의2제2항 각 호의 어느 하나에 해당하는 경우 위반행위의 중대성에 따라 산정기준액을 규정하고 있다.

피심인의 위반행위는 '보통 위반행위’에 해당하는 금액인 50,000천 원을 기준금액으로 적용하며, 관련 중대성의 판단은 다음과 같다.

2) 중대성의 판단

과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.

[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.

먼저, 임직원의 민감정보를 법적 근거 없이 제3자인 법원에 제공하였으나, 소송상 방어권 행사 목적인 점 등 참작할 사유가 있어 고의ㆍ과실은 '하’으로 판단한다.

위반행위의 방법과 관련하여 피심인은 건강검진기관으로부터 임직원의 건강 관리 목적으로 제공받은 본 건 근로자의 체중정보를 목적 외로 이용ㆍ제공하였으나, 법원에 제출할 당시 일부 항목을 마스킹한 점, 계속적ㆍ반복적 처리가 아닌 일회적 제출 행위에 한정되는 점을 고려할 때 부당성이 현저히 크거나 상당한 경우에 해당하지 않아 '하’로 판단한다.

위반행위자가 처리하는 개인정보의 유형은 건강정보로서 민감정보에 해당하여 '상’으로 판단한다.

위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향과 관련하여, 행위 대상이 된 정보주체는 사망자가 근무한 칠곡물류센터에서 근무자(1400명) 중 동일한 직군(80명)에 해당되나, 단발성 제출 행위로 위반기간을 상정할 수 없는 점, 제출 받은 자가 법원으로 외부에 공개되는 등 정보주체에게 피해를 입힐 가능성이 낮은 점 등을 종합적으로 고려하여, 이를 '하’로 판단한다.

따라서, 피심인의 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 '보통 위반행위’로 판단한다.

3) 1차 조정

과징금 부과기준 제9조에 따른 가중사유에 해당하지 않으며, 방어권 행사 범위 내 처리를 경제적ㆍ비경제적 이득 획득 행위로 평가하기 다소 어려운 점을 종합적으로 고려하여 기준금액의 100분의 30에 해당하는 금액인 15,000천 원을 감경한다.

4) 2차 조정

과징금 부과기준 제10조에 따라 법원에 민감정보가 제출된 것만으로 위법행위가 종료되어 시정완료를 인정하기 어려우나, 피심인이 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력한 경우에 해당하여 기준금액의 100분의 20에 해당하는 금액인 7,000천 원을 감경한다.

5) 부과과징금의 결정

피심인의 보호법 제23조(민감정보의 처리 제한)제1항 위반행위에 대한 과징금은 같은 법 제64조의2제1항제3호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 과징금 부과기준에 따라 위와 같이 단계별로 산출한 금액인 2,800만 원을 최종 과징금으로 결정한다.

Ⅵ. 결론

피심인의 보호법 제15조(개인정보의 수집ㆍ이용)제1항 및 제23조(민감정보의 처리 제한)제1항 위반행위에 대해 같은 법 제64조의2제1항제1호 및 제3호, 시행령 제60조의2 (과징금의 산정기준 등)에 따라 과징금 부과를 주문과 같이 의결한다.

【이의제기 방법 및 기간】

피심인은 이 과징금 부과처분에 불복이 있는 경우, 「행정심판법」제27조 및 「행정소송법」제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.

이상과 같은 이유로 주문과 같이 의결한다.

2026년 06월 10일

【위원정보】