<(주)하나투어의 유출된 개인정보 내역>

구분	종류	항 목	건수
개인 정보 파일	임직원	사번, 이름, 주민등록번호, 최종학력, 신원보증인명, 이메일, 전화번호, 주소, 병역, 장애, 취미, 종교, 신장, 체중, 혈액형, 가족정보(가족이름, 주민등록번호, 근무처)	18,511건 (2,439명)
	고객	아이디, 이름, 생년월일, 성별, 이메일, 전화번호, 주민등록번호, 주소 온라인(180,442) 오프(252,273)	574,405건 (432,715명)
운영 DB	임직원 Table	이름, 국적, 사번, 생년월일, 성별, 이메일, 전화번호, 주민등록번호, 여권번호, 주소, 병역여부, 취미, 계좌번호	69,251건 (27,222명)
개발 DB	고객 Table	이메일, 성별, 전화번호, 결혼기념일, 주소, 여권번호, CI, DI	579,492건 (34,357명)
	상품 Table	생년월일, 성별, 주소, 전화번호	44,684건 (204명)

<(주)하나투어 법 위반사항(종합)>

구 분	위 반 내 용	관련 규정	행정처분
처분사유 1 (개인정보 미파기)	⦁개인정보를 파기하지 않은 행위 - 고객의 예약 및 여행이 완료된 후 5년이 지난 2,218,257명의 개인정보를 운영 DB에 보관	법 §21①	과태료 1,800 만원
처분사유 2 (주민등록번호 미파기)	⦁주민등록번호를 파기하지 않은 행위 - 2007년 이전수집한 418,403명의 주민등록번호를 보안망 PC에 보관	법 §24의2①

구 분	위 반 내 용	관련 규정	행정처분
처분사유 3 (안전성 확보 조치 위반) (주민등록번호 유출)	⦁개인정보에 대한 접근통제 및 접근 권한의 제한 미흡 - 인터넷에 연결된 외부망 PC에서 원격접속 프로그램인 Rview를 통해 보안망에 접속할 때 아이디 및 패스워드 이외의 추가인증 없이 접속이 가능하였으며, Hi-TAM을 통해 DB서버에 접속하는 경우에도 아이디, 비밀번호만으로 접속이 가능 - 2017. 8. 1.부터 2017. 9. 30.까지의 Hi-TAM 접속기록 6,400건 중 1,076건이 12시간 이상 접속 유지됨	법 §24③, 영 §30①, 고시 §6② 고시 §6⑤	과징금 327,250 천원
	⦁개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치 위반 - 업무망에 위치한 PC에 내부 시스템 등의 아이디 및 비밀번호를 평문으로 저장, 계정정보 또한 평문으로 저장 - 보안망에 위치한 PC에 엑셀 및 텍스트 파일의 일부를 암호화 또는 비밀번호를 설정하지 않은 상태로 보관	고시 §7② 고시 §7⑥
	⦁424,757명의 주민등록번호 유출 및 안전성 확보조치 (접근통제·암호화) 위반	법§34의2①

붙임1		㈜ 하나투어 행정처분

시정조치

〇 개인정보보호법 제64조제1항에 따라 해당 위반행위의 중지 또는 시정을 위하여 필요한 시정조치를 아래와 같이 명함

(1) 법 제21조 제1항, 제24조 제3항, 제24의2 제1항 위반행위 즉시 중지

(2) ㈜하나투어 대표자(CEO) 및 책임이 있는 임원을 포함한 책임자는 2018년 행정안전부 실시하는 ‘개인정보보호 CEO 특별교육’에 참석

(3) 개인정보보호책임자 및 개인정보취급자를 대상으로 정기적인 교육실시 및 재발방지대책 수립

(4) 처분통지를 받은 날로부터 30일 이내 시정명령 이행결과 제출

과태료 부과

〇 (최종 과태료) 총 1,800만원을 부과

위반조항	기준금액	감경	가중	최종 과태료
계	1,200만원	0	600만원	1,800만원
〇 법 제21조제1항을 위반하여 개인정보를 파기하지 않음	600만원	0	300만원	900만원
〇 법 제24조의2제1항을 위반하여 주민등록번호를 처리한 경우	600만원	0	300만원	900만원

과징금

부과

〇 주민등록번호가 유출되고 안전성 확보조치를 위반하였으므로 과징금 부과대상에 해당

〇 ㈜하나투어는 주민등록번호를 암호화하여 저장하지 않고 안전성 확보조치 조항 2개를 위반하는 등 중과실에 해당하며 주민등록번호 10만건 이상이 유출되어 매우 중대한 위반에 해당함

⇒ 기본금액 3억 5천만원 적용

〇 (1차 조정) 15.0%인 52,500천원 감경 ⇒ 297,500천원 부과

〇 (2차 조정) 1차 조정금액의 10%인 29,750천원을 가중 ⇒ 327,250천원 부과

〇 (최종산정) 감경하지 않음 ⇒ 최종 327,250천원 부과

징계권고

〇 개인정보보호법 제65조제2항에 따라 개인정보 유출 및 개인정보보호법 위반과 관련하여 (주)하나투어의 대표자 및 책임이 있는 임원에 대해 처분통지 후 2개월 이내에 징계할 것을 권고

붙임2		(주) 하나투어의 개인정보 유출 경로

□ 유출단계 요약

① 해커는 알 수 없는 방법으로 넷클라이언트 서버(GDW186)를 장악하고

② 다수 업무용 PC 및 서버에 악성프로그램을 배포 및 감염시켰으며

③ 악성프로그램에 감염된 업무용 PC 등을 통해 내부정보를 수집하고  개인정보 유출을 위한 거점을 확보한 후,

- 수탁업체 직원의 인터넷망 PC에 암호화 하지 않고 평문 저장된 자택 PC의 아이디와 패스워드를 확보하여 안전성확보 조치(암호화) 위반

- 수탁업체 직원의 자택 PC에서 ㈜하나투어 보안망에 원격접속할 수 있는 프로그램(Rview)의 아이디와 비밀번호를 확보하여 추가인증 없이 보안망 PC에 접속하여 안전성확보 조치(접근통제) 위반

④ DB서버 및 개인정보취급자 PC에 보관된 개인정보를 외부로 유출

- 보안망 PC에 암호화 하지 않고 저장된 운영DB와 개발DB에 접속하는 Hi-TAM 계정정보를 확보하여 안전성확보 조치(암호화) 위반

- 원격으로 내부 보안망 PC와 운영DB·개발DB에 추가인증 없이 접속

붙임3		과징금 부과 관계법령

⦁제34조의2(과징금의 부과 등) ① 개인정보처리자가 처리하는 주민등록번호가 분실·도난·유출·위조·변조 또는 훼손된 경우 5억원 이하의 과징금을 부과·징수할 수 있다. 다만, 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.

⦁제23조(고유식별정보 처리 제한) ③ 개인정보처리자는 그 고유식별정보가 유출 등 되지 아니하도록 암호화 등 안전성 확보에 필요한 조치를 하여야 한다.

⦁제24조의2(주민등록번호 처리의 제한) ② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다.

⦁영 제30조(개인정보의 안전성 확보 조치) ① 개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다.

1. 개인정보의 안전한 처리를 위한 내부 관리계획의 수립·시행

2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치

3. 개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용

4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조·변조 방지 조치

5. 개인정보에 대한 보안프로그램의 설치 및 갱신

6. 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 조치

[별표 1의2]

과징금의 부과기준(제40조의2제1항 관련)

1. 과징금 부과 여부의 결정

과징금은 법 제34조의2제2항 각 호의 사항과 위반행위의 내용 등을 종합적으로 고려하여 그 부과 여부를 결정한다. 다만, 법 제24조제3항에 따른 안전성 확보에 필요한 조치를 다한 경우에는 과징금을 부과하지 아니한다.

2. 과징금의 산정기준

과징금은 법 제34조의2제2항 각 호의 사항과 이에 영향을 미치는 사항을 종합적으로 고려하여 산정하되, 가목의 위반 정도에 따른 산정기준액에 나목의 안전성 확보에 필요한 조치 이행 노력 정도 등에 따른 조정(이하 “1차 조정”이라 한다), 다목의 위반행위의 기간 및 횟수 등에 따른 조정(이하 “2차 조정”이라 한다)을 거쳐 라목에 따라 부과과징금을 산정한다. 다만, 산정된 과징금이 5억원을 초과하는 경우에는 5억원으로 한다.

가. 기본 산정기준

위반 정도	산정기준액	비 고
매우 중대한 위반행위	3억 5천만원	고의 또는 중과실로 인하여 10만건 이상의 주민등록번호가 분실‧도난‧유출‧변조 또는 훼손(이하 “분실등”이라 한다)된 경우를 말한다.
중대한 위반행위	2억 3천만원	고의 또는 중과실로 인하여 10만건 미만의 주민등록번호가 분실등이 된 경우 및 경과실로 인하여 10만건 이상의 주민등록번호가 분실등이 된 경우를 말한다.
일반 위반행위	1억원	경과실로 인하여 10만건 미만의 주민등록번호가 분실등이 된 경우를 말한다.

나. 1차 조정

법 제24조제3항에 따른 안전성 확보에 필요한 조치 이행 노력 정도, 피해를 최소화하기 위한 대책 마련 등 피해확산 방지를 위한 후속조치 이행 여부를 고려하여 산정기준액의 100분의 50의 범위에서 가중하거나 감경한다.

다. 2차 조정

위반행위의 기간 및 횟수, 위반 행위에 대한 조사 협조 여부, 위반행위에 따른 추가적 피해 발생 여부, 평소 개인정보 보호를 위한 노력 정도 등을 종합적으로 고려하여 1차 조정된 금액의 100분의 50의 범위에서 가중하거나 감경한다.

라. 부과과징금의 산정

개인정보처리자의 현실적 부담능력이나 그 위반행위가 미치는 효과, 위반행위로 인하여 취득한 이익의 규모 등을 고려하여 볼 때 과중하다고 인정되는 경우에는 2차 조정된 금액의 100분의 50의 범위에서 감액하여 부과과징금으로 정할 수 있다.

붙임4		과징금부과위원회 운영규정

행정안전부 훈령 제25호

과징금 부과위원회 운영규정

2018년  1월  26일

행정안전부장관

제1조(목적) 행정안전부가 개인정보보호법에 따라 부과하는 과징금의 부과·징수업무 수행에 필요한 주요 사항을 심의·의결하기 위하여 과징금 부과위원회(이하 "위원회"라 한다)를 둔다.

제2조(구성) ① 위원회는 위원장을 포함하여 5명의 위원으로 구성하되, 개인정보보호정책관과 공무원이 아닌 민간위원 4인으로 구성한다.

② 위원장은 민간위원 중 호선하고 개인정보안전과장을 간사로 한다.

③ 행정안전부장관은 개인정보보호법 및 정보보안과 관련한 전문적 식견을 가진 자를  민간위원으로 위촉한다.

④ 위원의 임기는 2년으로 하되, 연임이 가능하다. 다만, 공무원인 위원의 임기는 해당 직에 재직하는 기간으로 한다.

⑤ 민간위원의 사임 등으로 인하여 새로 위촉된 위원의 임기는 전임위원 임기의 남은 기간으로 한다.

제3조(기능) ① 위원회는 다음 각 호의 사항을 심의·의결한다.

1. 과징금 부과를 위한 기준 및 세부지표 설정에 관한 사항

2. 부과기준에 따른 부과금액 결정에 관한 사항

3. 징수되지 않는 과징금 결손처리에 관한 사항

4. 기타 위원장이 필요하다고 판단하여 심의를 요구하는 사항

② 행정안전부장관은 위원회가 심의․의결한 사항에 대하여 존중하여야 한다.

제4조(운영) ① 위원회는 위원장이 필요하다고 인정하는 때에 개최하며, 의결은 구성위원 4인 이상 참석 및 참석위원 과반수의 찬성으로 한다.

② 간사는 위원회 상정안건을 작성하고  심의․의결내용을 기록·유지하며 과징금 부과관련 실무 부서는 간사의 요청에 따라 안건작성에 필요한 자료를 제출하여야 한다.

③ 위원장은 안건 심의에 필요하다고 인정하는 때에는 현장조사자 등 참고인을 참석하게 하여 의견을 들을 수 있다.

④ 위원회의 심의·의결은 서면으로 할 수 있다.

⑤ 민간 참석위원에게는 예산 범위 내에서 관련 규정에 따라 수당을 지급할 수 있다.

제5조(심의의결서 작성) 위원회가 의결하는 경우에는 심의․의결서를 작성하여야 하며, 의결에 참여한 위원은 그 의결서에 기명날인 또는 서명하여야 한다.

부  칙

① 이 규정은  발령일부터 시행한다.