개인정보보호위원회 결정문

【결정요지】

【주문】

한국마사회는 감사원의 자료 제출 요구에 따라 감사 대상자의 경마공원 및 장외발매소 출입기록, 마권 구매 등 베팅내역, 제세환급금 등 거래내역 정보를 「개인정보 보호법」제18조 제2항 제2호 및 감사원법 제27조에 따라 감사원에 제공할 수 있다. 이 경우, 한국마사회는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없고 감사 목적의 달성을 위하여 필요한 최소한의 범위 내에서 제공하여야 한다.

【이유】

별지와 같다.

이상과 같은 이유로 주문과 같이 의결한다.

2024년 05월 08일

【위원정보】

【별지】

1. 질의배경

○ 한국마사회는 한국마사회법에 의하여 경마의 공정한 시행과 말산업의 육성에 관한 사업 수행을 목적으로 설립된 비영리특수법인으로, 「공공기관의 운영에 관한 법률」제4조 및 제5조에 정한 공기업이자 감사원법에서 규정한 감사 대상 공공기관임

○ 한국마사회는 경마를 개최하면서 경마공원(본장(서울, 부경, 제주)) 및 장외발매소(지사 사업장(26개소)) 입장자로부터 입장료를 징수하고, 마권(승마(勝馬)투표권)을 발매하며, 승마투표 적중자에게 제세환급금을 지급하는데,

- 감사원에서 감사 수행을 목적으로 한국마사회에 감사 사항과 관련하여 특정인 또는 특정 공공기관 종사자의 경마공원 및 장외발매소 출입기록, 베팅내역, 제세환급금 등 개인정보가 포함된 자료의 제출을 요구하는 경우가 있음

○ 참고로, 한국마사회의 경마공원 및 장외발매소에 입장하기 위해서는 '입장권’을 구매해야 하고, 경주마에 베팅하기 위해서는 '마권’을 구매해야 하며, 입장권 및 마권 구매 방식은 크게 '전자카드 서비스(모바일 앱ㆍ계좌)를 통한 구매’와 '현장(현금) 구매’ 2가지로 구분됨

- '전자카드 서비스를 통한 구매’는 모바일 '전자카드 서비스’ 앱에서 본인 명의로 회원 가입 및 계좌 개설하여 구매하는 것을 말하고, '현장 구매’는 경마공원 및 장외발매소에 설치된 유ㆍ무인발매기를 이용하여 비실명으로 현금 구매하는 것을 말하며, 현장 구매 시에는 결제 수단이 현금으로 제한(카드 결제 불가)됨

○ 또한, '경마공원’의 경우 입장권을 전자카드 서비스를 통해 구매하는 자는 좌석 예매 여부를 선택할 수 있고 좌석을 별도로 예매하지 않더라도 입석으로 입장할 수 있으며, 입장권을 현장 구매하는 자는 좌석 예매 여부를 선택할 수 없고 입석으로만 입장할 수 있음

- 반면, '장외발매소’의 경우 입석을 운영하지 않으므로 반드시 좌석을 예매해야 하고, 입장권을 현장 구매하는 자에 대하여는 문자 메시지로 지정좌석 위치가 포함된 모바일 입장권을 전송함

- 이에 따라, 한국마사회는 경마공원 및 장외발매소에서 입장권 또는 마권을 전자카드 서비스를 통해 구매한 자의 출입내역, 마권 구매 등 베팅내역, 제세환급금 등 거래내역과 같은 개인정보를 수집할 수 있으나, 경마공원에서 입장권을 현장 구매하고 입석으로 입장한 자의 개인정보는 수집할 수 없음

○ 즉, 한국마사회는 고객 관리(부정이용 방지와 비인가사용 방지, 민원처리, 고지사항 전달, 회원등급 관련 업무 처리를 위한 서비스 제공 및 관리, 고객관계관리 등)를 위하여 '입장권을 전자카드 서비스를 통해 구매한 자의 경마공원 및 장외발매소 출입 내역’, '입장권을 장외발매소에서 현장 구매하고 좌석을 예매한 자의 장외발매소 출입 내역’, '마권을 전자카드 서비스를 통해 구매한 자의 마권 구매 등 베팅내역과 제세환급금 등 거래내역’을 수집ㆍ이용하며,

- '입장권을 경마공원에서 현장 구매하고 입석으로 입장한 자의 경마공원 출입내역’, '마권을 현장 구매한 자의 마권 구매 등 베팅내역과 제세환급금 등 거래내역’은 수집하지 않음

* 다만, 마권을 현장 구매하였더라도 제세환급금이 200만원을 초과하여 지급조서를 작성하고 이를 지급받기로 하는 경우에는 거래내역을 수집함

2. 질의내용

○ 한국마사회가 감사원의 자료 요구에 따라 특정인 또는 특정 공공기관 종사자의 경마공원 및 장외발매소 출입기록, 마권 구매 등 베팅내역, 제세환급금 등 거래내역 정보를 「개인정보 보호법」(이하 '보호법’) 제18조 제2항 제2호 또는 제5호에 따라 감사원에 제공할 수 있는지 여부

○ (한국마사회가 감사원에 개인정보를 제공할 수 있다면,) 특정인 또는 특정 공공기관 종사자가 소속 기관의 휴무일(토ㆍ일요일)에 경마공원 및 장외발매소 출입 및 베팅한 정보와 감사원법에서 규정한 감사 대상기관 종사자(공무원, 공공기관 종사자 등)가 아닌 일반인(민간인)의 경마공원 및 장외발매소 출입기록, 마권 구매 등 베팅내역, 제세환급금 등 거래내역 정보까지 제공할 수 있는지 여부

※ 경마 시행일은 주 3일(금ㆍ토ㆍ일요일)이며 1일 최대 17개 경주 개최. 1개 경주당 최대 10만원 베팅 가능

3. 판단

가. 한국마사회가 감사원의 감사 대상에 해당하는 자의 개인정보를 보호법 제18조 제2항 제2호 또는 제5호에 따라 감사원에 제공할 수 있는지 여부

○ 한국마사회가 고객 관리 등을 위하여 수집ㆍ보유 중인 '입장권을 전자카드 서비스를 통해 구매한 자의 경마공원 및 장외발매소 출입 내역, 입장권을 장외발매소에서 현장 구매하고 좌석을 예매한 자의 장외발매소 출입 내역, 마권을 전자카드 서비스를 통해 구매한 자의 마권 구매 등 베팅내역과 제세환급금 등 거래내역’ 중,

- 감사원의 감사 대상에 해당하는 자의 '경마공원 및 장외발매소 출입기록, 마권 구매 등 베팅내역, 제세환급금 등 거래내역 정보’(이하 통칭하여 '본 건 개인정보’)를 감사원의 감사를 위하여 제공하는 것은 개인정보의 당초 수집 목적 외 제3자 제공에 해당함

○ 「개인정보 보호법」(이하 '보호법’) 제18조 제2항에 따르면, 개인정보처리자는 '다른 법률에 특별한 규정이 있는 경우’(제2호), '개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우’(제5호) 등에는 '정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외’하고는 개인정보를 당초 수집한 목적 외의 용도로 제3자에게 제공할 수 있음

1) 보호법 제18조 제2항 제2호의 '다른 법률에 특별한 규정이 있는 경우’에 해당하는지

○ 보호법 제18조 제2항 제2호의 '다른 법률에 특별한 규정이 있는 경우’란 법률에서 개인정보의 목적 외 제공을 구체적으로 허용하고 있는 경우를 말하고, 그 다른 법률에 목적 외 제공되는 개인정보 항목이 구체적으로 열거되어 있지 않더라도, 해당 업무의 목적ㆍ성격 등을 고려하였을 때 목적 외 제공 대상에 개인정보가 포함될 것이 합리적으로 예견된다면 이에 포함됨(개인정보보호위원회 2018. 7. 23. 제2018-14-133호 결정 등 참고)

○ 감사원법은 제27조 제1항 제2호에서, 감사원은 감사에 필요하면 '증명서, 변명서, 그 밖의 관계 문서 및 장부, 물품 등의 제출 요구’ 조치를 할 수 있다고 규정하고 있음

○ 위 규정은 감사원이 제공 요청할 수 있는 개별 개인정보 항목에 대하여 구체적으로 열거하고 있지는 않으나,

- 감사원이 회계 및 결산의 검사ㆍ감독, 직무감찰 등 감사원법에 따른 감사 업무를 수행하기 위해서는 감사 대상기관의 임직원 등 개인에 관한 정보가 필요할 수 있으므로 감사원이 제출을 요구하는 문서, 장부 등에는 개인정보가 포함됨이 합리적으로 예견되는 점,

- 우리 위원회는 감사원법 제27조 제1항과 규정 형식 및 내용이 사실상 동일한 같은 법 제50조가 보호법 제18조 제2항 제2호의 '다른 법률의 특별한 규정’에 해당하는 것으로 판단한 바 있고(개인정보보호위원회 2022. 4. 27. 2022-107-016호 결정 등 참고), 감사원법 제27조에 따른 감사원의 자료요구를 보호법 제18조 제2항 제2호의 '다른 법률의 특별한 규정’에 관한 사례 중 하나로 안내해온 점(개인정보보호 법령 및 지침ㆍ고시 해설, 121면 참고),

- 법제처에서도 “감사원법에 따른 자료제공요청 규정은 감사 목적 달성을 위해 필수적인 규정이고, 업무협조 차원의 일반적인 자료제공요청 규정과는 다른 특별한 규정으로 보아야 한다”고 해석하고 있는 점(법제처 법령해석 사례 2019. 4. 18. 제18-0798호 참고) 등을 종합적으로 고려하여 보면, 감사원법 제27조 제1항 제2호는 보호법 제18조 제2항 제2호의 '다른 법률에 특별한 규정이 있는 경우’에 해당한다고 판단됨

2) '정보주체 또는 제3자의 이익을 부당하게 침해할 우려’가 있는지

○ 개인정보처리자가 보호법 제18조 제2항 제2호에 따라 개인정보를 목적 외 제공하기 위해서는 '정보주체 또는 제3자의 이익을 부당하게 침해할 우려’가 없어야 함

○ '정보주체 또는 제3자의 이익을 부당하게 침해할 우려’란 정보주체 또는 제3자의 이익이 실질적으로 침해될 우려가 있고 그 침해가 부당한 경우를 의미하는데, 이는 개인정보의 제공을 통하여 달성되는 공익과 이로 인해 제한되는 정보주체 또는 제3자의 이익을 비교 형량하여 개인정보처리자가 1차적으로 판단할 사항임

3) 소결

○ 한국마사회는 감사원의 자료 제출 요구에 따라 감사 대상자의 본 건 개인정보를 보호법 제18조 제2항 제2호 및 감사원법 제27조에 따라 감사원에 제공할 수 있는바,

- 보호법 제18조 제2항 제5호에 따라 제공할 수 있는지 여부에 대하여는 판단할 실익이 없으므로 별도로 검토하지 아니함

나. 한국마사회가 감사원에 제공할 수 있는 개인정보의 범위

○ 한국마사회가 감사원에 특정인 또는 특정 공공기관 종사자가 '소속 기관의 휴무일(토ㆍ일요일)’에 경마공원 및 장외발매소 출입ㆍ베팅한 정보, '감사원법에서 규정한 감사대상기관 종사자(공무원, 공공기관 종사자 등)가 아닌 일반인(민간인)’의 본 건 개인정보까지 제공할 수 있는지 여부는 제공하는 개인정보의 '범위’에 관한 사항으로서,

- 이는 개인정보의 처리 목적이 명확한지, 개별법의 입법 목적에 부합하는지, 해당 개인정보가 목적 달성에 필요한 최소한의 범위 내에 있는지 등을 고려하고, 관련 사실관계, 해당 개인정보 처리로 인하여 예상되는 결과 등에 비추어 개인정보처리자가 1차적으로 판단할 사항임

○ 따라서 한국마사회는 본 건 개인정보를 수집하여 현재까지 보유하고 있는 개인정보처리자로서, 해당 개인정보의 제공을 요청한 감사원과의 긴밀한 소통 등을 거쳐 감사원이 각 정보항목을 처리함으로써 달성하고자 하는 구체적인 목적과 이로 인한 영향 등을 구체적으로 파악ㆍ예측하고,

- 이와 같은 개인정보 처리가 감사원법 등 개별법의 입법 목적ㆍ취지에 부합하는지 등을 고려하여 자료 제출의 타당성 및 그 자료에 포함할 개인정보(항목)의 범위를 개별ㆍ구체적으로 판단하여야 할 것임