교정시설의 수용자 개인정보 관리 미흡

1. 진정요지 진정인은 2022. 1. 현재 ○○○○교도소(이하 “피진정기관”이라 한다)의 수용자이다. 2021. 11. 22. 피진정인은 수용자들에게 지급되는 코로나19 상 생 국민지원금을 온누리상품권으로 영치할 수 있다고 안내하고, 수용자 중 에서 교도관의 업무를 보조하는 봉사원에게 지원금 수령 확인 서명을 받도 록 하였다. 그런데 봉사원이 수용자들로부터 수령 확인 서명을 받는 서류에 는 진정인의 성명, 주민등록번호 등 민감하고 중요한 개인정보가 포함되어 있었다. 이는 제3자인 봉사원에게 진정인의 개인정보가 유출된 것으로, 피 진정인이 진정인의 개인정보자기결정권을 침해한 것이다. 2. 당사자의 주장 요지 가. 진정인 진정요지와 같다. 나. 피진정인 「형의 집행 및 수용자의 처우에 관한 법률」(이하 “형집행법”이라 한다) 시행규칙 제85조에 따라, 교정시설의 장은 교정기관에 수용 중인 자 중에서 개방처우급, 완화경비처우급, 일반경비처우급 수형자로서 교정성적, 나이, 인성 등을 고려하여 다른 수형자의 모범이 된다고 인정되는 경우에는 봉사 원으로 선정하여 담당교도관의 사무처리와 그 밖의 업무를 보조하게 할 수 있다. 당시 피진정기관에서 코로나19 상생 국민지원금(이하 “지원금”이라 한다) 을 다수의 수용자들에게 신속하게 배부하기 위해서는 봉사원들의 조력이 필수불가결한 상황이었다. 그리고 지원금 수령 확인 양식에 개인정보 기재 항목이 포함되어 있었기 때문에 해당 업무를 보조한 봉사원이 수용자들의 개인정보를 접할 수 있었던 것은 사실이다. 그러나 피진정인이 고의로 수용 자들의 개인정보를 봉사원들에게 유출한 것이 아니며, 직무상 필요한 범위 안에서 최대한 수용자들의 권익을 위해 노력하는 과정 중에 발생한 일이다. 3. 관련규정 별지 기재와 같다. 4. 인정사실 가. 피진정인은 정부가 국민들에게 지원하는 지원금이 온누리상품권으로 영치됨을 수용자들에게 알리고, 지원금 수령 확인 양식에 수용자들의 서명 을 받았다. 이 업무는 실제로는 봉사원이 보조하였다. 나. 지원금 수령 확인 양식 서류의 기재 항목에는 성명, 주민등록번호, 지 원금 지급금액이 기재되어 있었다. 다. 진정인은 봉사원이 지원금 수령 확인 서명을 받는 것을 인지하고, 서 명을 거부하였다. 5. 판단 가. 판단기준 개인정보자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까 지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리이다. 개인정보자기결정권의 보호 대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 개인의 내밀한 영역이나 사사(私事)의 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함한다. 또한 그 러한 개인정보를 대상으로 한 조사, 수집, 보관, 처리, 이용 등의 행위는 모 두 원칙적으로 개인정보자기결정권에 대한 제한에 해당한다. 개인정보자기 결정권의 헌법상 근거로는 「헌법」제17조의 사생활의 비밀과 자유, 「헌법」 제10조 제1문의 인간의 존엄과 가치 및 행복추구권에 근거를 둔 일반적 인 격권 또는 위 조문들과 동시에 우리 헌법의 자유민주적 기본질서 규정 또 는 국민주권 원리와 민주주의 원리 등을 고려할 수 있으나, 개인정보자기결 정권은 이들을 이념적 기초로 하는 독자적 기본권으로서 헌법에 명시되지 아니한 기본권이다(헌법재판소 2005. 5. 26. 자 99헌마513 결정). 「개인정보 보호법」제2조 제1호는 “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 또는 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보 와 쉽게 결합하여 알아볼 수 있는 정보를 말한다고 규정하고 있다. 같은 법 제15조는 개인정보처리자는 정보주체의 동의를 받은 경우, 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우, 정보주체와 의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 등에는 개인정 보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다고 규정하 고 있다. 같은 법 제17조는 개인정보처리자는 정보주체의 동의를 받은 경우 나 또는 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불 가피한 경우 등에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공 할 수 있다고 규정하고 있다. 같은 법 제24조의2 제1항 및 같은 법 시행령 제19조는 주민등록번호, 여권번호, 운전면허의 면허번호, 외국인등록번호를 고유식별정보로 규정하고, 같은 법 제24조의2 제3항은 개인정보처리자가 고 유식별정보를 처리하는 경우에는 그 고유식별정보가 분실·도난·유출·위조· 변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 조치를 하여야 한다 고 규정하고 있다. 형집행법 시행규칙 제85조 제1항은 교정시설의 장은 개방처우급ㆍ완화경 비처우급ㆍ일반경비처우급 수형자로서 교정성적, 나이, 인성 등을 고려하여 다른 수형자의 모범이 된다고 인정되는 경우에는 봉사원으로 선정하여 담 당교도관의 사무처리와 그 밖의 업무를 보조하게 할 수 있다고 규정하고, 같은 조 제2항은 교정시설의 장은 봉사원의 활동기간을 1년 이하로 정하되, 필요한 경우에는 그 기간을 연장할 수 있다고 규정한다. 나. 피진정인이 개인정보 처리 업무를 봉사원 수용자에게 보조하도록 한 것이 개인정보자기결정권 침해에 해당하는지 여부 피진정인이 수용자들에게 지원금이 온누리상품권으로 영치됨을 고지하 고 지원금 수령 확인 양식에 수용자들의 서명을 받는 과정에서 봉사원 수 용자들이 이를 보조하였고, 해당 수령 확인 서식에는 진정인의 성명, 주민 등록번호가 포함되어 있어, 결과적으로 피진정인의 해당 업무 처리 과정에 서 진정인의 개인정보가 제3자(봉사원)에게 노출되었다는 사실관계는 당사 자가 간에 다툼 없이 인정된다. 이에 대해 피진정인은 형집행법 시행규칙 제85조 제1항에 봉사원이 담당 교도관의 사무처리와 그 밖의 업무를 보조할 수 있는 법령상의 근거가 있 는 정당한 업무수행이고, 지원금을 수용자들에게 신속하게 배부하기 위해 어쩔 수 없는 업무처리였다고 주장한다. 우리나라의 교정행정의 현실을 감안할 때, 교도관들은 다양하고 많은 양 의 업무를 수행하고 있고, 그러한 업무 부담을 다소나마 경감하기 위해서 모범적인 수형자를 봉사원으로 선정하여 교도관의 업무 중 일부를 보조하 도록 하는 제도가 필요함은 충분히 인정하고도 남음이 있다. 그러나 형집행법 시행규칙 제85조 제1항에 따른 "사무처리와 그 밖의 업 무"란 교도관의 업무 중에서 비교적 단순한 사무, 예를 들면 신청서 서식이 나 안내문의 배부, 식사 배식, 물품의 교부 등에 한정되는 것으로 보아야 할 것이며, 교도관의 본질적인 업무와 관련된 사무라든지, 수용자들의 개인 정보자기결정권 등 제반 인권과 연관된 사무까지 봉사원이 모두 담당하도 록 하는 것은 적절치 아니하다. 「개인정보 보호법」제2조 제5호 및 같은 법 제28조 제1항에 따르면, 개인 정보처리자는 개인정보를 처리하는 공공기관, 법인, 단체 및 개인을 말하고, 개인정보취급자는 개인정보처리자의 지휘·감독을 받아 개인정보를 실제로 처리하는 자를 말한다. 특히 「개인정보 보호법」같은 조항은 임직원은 물론 이고 파견근로자, 시간제근로자 등도 개인정보취급자에 포함된다고 규정하 고 있어 개인정보취급자의 범위를 상대적으로 넓게 보려는 태도를 취하고 있음을 알 수 있다. 그런데 이 사건에서, 비록 봉사원이 형집행법 시행규칙 제85조 제1항에 따라 교도관의 사무처리와 그 밖의 업무를 보조할 수 있다고는 하나, 개인 정보 처리와 관련하여서는 본질적으로 수용자의 신분인 봉사원이 피진정기 관과 같은 교정시설(개인정보처리자)에 속한 개인정보취급자에 해당한다고 보기에는 무리가 있다. 이 사건 인정사실을 살펴보면 지원금 수령확인 서식에는 수용자들의 성 명과 주민등록번호, 지급 금액이 기재되어 있어, 결과적으로는 수령 확인 서명을 받고 서식을 회수하는 봉사원이 진정인을 포함한 다수 수용자의 개 인정보와 지급 금액을 접할 수 있었으며, 이는 결국 진정인을 포함한 다수 수용자의 개인정보가 제3자인 봉사원에게 노출된 것으로 볼 수 있다. 피진정인은 지방자치단체에서 보내온 서식에 수용자의 주민등록번호 항 목 등이 포함되어 있었으므로 결과적으로 개인정보가 노출된 데 대해 고의 는 없었다고 주장하나, 비록 서식에 그러한 항목이 있었다 하더라도 수용자 들이 해당 항목에 자신의 개인정보를 기재하고 이를 수거하는 과정 등에서 는 관리 주체인 피진정인은 개인정보의 유무, 중요도 등을 확인하여 개인정 보가 제3자에게 노출되지 않도록 주의해야 할 의무가 있다. 따라서 봉사원을 피진정기관에 속한 개인정보취급자로 볼 수는 없는 점, 피진정인이 봉사원으로 하여금 수용자들에 대해 지원금 수령 확인 서명을 받는 과정에서 결과적으로 수용자들의 성명 및 주민등록번호 등 개인정보 가 봉사원에게 노출된 점을 고려할 때, 피진정인이 「개인정보 보호법」을 제 대로 준수하지 않아 주민등록번호 등 개인정보에 대한 안전성 확보 조치를 소홀히 함으로써 진정인의 개인정보자기결정권을 침해하였다고 판단된다. 이와 관련하여 최근 일부 공공기관에서 사회복무요원으로 하여금 개인정 보 처리 업무를 지원하도록 하는 관행이 공공연하게 유지되어 왔고, 결국 이로 말미암아 일부 사회복무요원이 개인정보를 유출하여 "텔레그램 n번방 사건"과 같은 범죄 행위에 악용한 사례가 실제 발생하였다. 이에 행정안전 부와 병무청은 2020. 6. 12. "민원인 개인정보 관리 개선방안"을 발표하여 사 회복무요원의 개인정보 처리 정보시스템 접근을 금지하는 조치를 취한 사 례가 있음도 참고할 필요가 있다. 이상의 내용을 종합하면 교정시설의 봉사원이 담당 교도관의 사무처리와 그 밖의 업무 중에서 개인정보 침해 우려가 있는 업무에 종사하도록 하는 것은 엄격히 제한될 필요가 있으므로, 피정인에게 향후 유사 사례가 발생하 지 않도록 개인정보를 취급하는 교도관 등 직원에 대해 개인정보 보호와 관련한 직무 교육을 실시하는 등 재발 방지 대책을 수립할 것을 권고할 필 요가 있다. 6. 결론 이상과 같은 이유로 「국가인권위원회법」제44조 제1항 제1호에 따라 주 문과 같이 결정한다.