Ⅰ. 기초 사실피심인은 피심인 또는 주식회사 에스씨케이컴퍼니(이하 '스타벅스코리아’) 등 피심인의 상표를 활용하는 라이선시(Licensee)에 제품 등을 납품하는 회사(이하 '납품회사’)를 대상으로 윤리구매 평가제품을 생산하는 근로자가 인권을 존중받고 안전한 근로조건 하에서 공정한 임금을 받을 수 있도록 윤리구매 프로그램(Ethical Sourcing Program)을 운영를 받도록 하고 있으며, 윤리구매 평가를 위해 피심인은 Elevate Hong Kong Holdings Limited(이하 'Elevate’)와 계약을 체결하여 Elevate가 윤리구매 평가에 참여하는 납품회사 임직원의 임금 및 시간 기록표, 인사자료 등을 처리하도록 하였다.따라서, 피심인은 윤리구매 평가에 참여하는 납품업체 임직원의 개인정보를 처리하는 舊 「개인정보 보호법」舊 개인정보 보호법(2023. 3. 14. 법률 제19234호로 개정되기 전의 것)(이하 '舊 보호법’) 제2조제5항에 따른 개인정보처리자이고, 피심인의 일반현황 및 최근 3년간 재무 현황은 아래와 같다.
Ⅱ. 사실조사 결과1. 조사 배경개인정보보호위원회(이하 '위원회’)는 '스타벅스’가 납품업체 소속 직원의 개인정보를 과도하게 요구한다는 취지의 언론보도[단독] 스타벅스 “모든 직원 개인정보 달라”…납품업체들 반발(한겨레, 2023년 2월 22일)와 함께 관련 민원이 제기개인정보 침해에 따른 조사ㆍ처분 요청(국민신문고, 2023년 2월 23일)됨에 따라 피심인에 대한 조사에 착수하였다.
2. 행위 사실가. 스타벅스 윤리구매 평가피심인은 2006년도부터 제품을 생산하고 공급하는 납품회사들과의 동반 성장을 추구하고, 윤리적이고 책임감 있는 납품회사를 통해 조달한 고품질의 제품을 시장에 제공하기 위해, 납품회사에 대한 윤리구매 평가가 포함된 글로벌 스탠다드 컴플라이언스 프로그램을 운영하고 있다.피심인은 아시아 지역 윤리구매 평가 업무를 Elevate가 수행하도록 서비스 계약(Master Professional Services Agreement)을 체결하고, 업무기술서(Statement of Work)를 통해 평가 방법과 진행, 평가 항목, 보고절차, 결과 보고서의 내용 등을 명시하였으며, 업무기술서 세부 내용에는 “임금 및 시간 기록표”, “인사자료” 등 문서를 검토일주일에 1일 이상 휴가, 법적 공휴일 등 준수 및 초과근무 관련 법률 준수 여부 및 주 60시간 초과근무 여부 등 검토하는 내용을 포함하였다.스타벅스코리아 또는 납품회사에 대한 윤리구매 평가는 스타벅스코리아 또는 납품회사의 요청에 따라 Elevate가 수행하고, 평가 결과 보고서는 평가를 요청한 주체에게 제공되며, 평가 비용도 해당 주체가 부담한다.피심인은 윤리구매 평가 과정 및 결과 보고서의 내용에 관여하지 않고, 해당 보고서를 Elevate로부터 제출받지 않으나 납품회사가 납품 과정 등에서 계약 위반이 발생하는 경우 등에는 평가 자료를 확인한다.한편, Elevate는 평가 수행 관련 개인정보를 수집 또는 저장하지 않으며, 납품회사로부터 제출받은 모든 파일을 시스템에 업로드하기 전에 평가자가 개인정보를 삭제하도록 한다고 소명하였다.
나. 피심인의 舊 보호법 위반 관련 사실관계피심인과 윤리구매 평가 계약을 체결한 Elevate는 평가 대상 납품회사 임직원의 '임금 및 시간 기록표’, '인사자료’ 등 '개인정보가 포함된 다수의 평가 파일’ 및 '4명의 주민등록번호’를 실제 수집하고 시스템에 저장하는 등 처리하였다.피심인이 Elevate와 체결한 서비스 계약서에는 관련 법률 등에 따라 개인정보를 포함한 비밀정보에 대한 물리적ㆍ기술적ㆍ관리적 보호조치를 해야 하고 Elevate의 보호조치 현황을 피심인이 점검ㆍ개선 요구할 수 있다고 서술되어 있으나, 舊 보호법 제26조제1항에 따른 '위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항’ 등의 내용이 포함되어 있지 않고, 피심인이 제출한 자료에서도 이와 관련한 내용이 확인되지 않았다.
또한, 피심인은 Elevate의 평가 자료 목록이나 제출받는 자료 양식 등을 확인하여 개인정보 침해 소지 및 보호법 위반 여부를 검토하고, 법적 근거 없이 주민등록번호를 처리하거나 불필요하게 개인정보를 과다 수집ㆍ처리하는 등 보호법을 위반하지 않도록 Elevate를 대상으로 교육 및 감독한 사실은 없다.피심인은 납품업체에 대한 평가 업무를 위해 Elevate와 제휴 계약서비스 계약 13. 1항에 따르면 Elevate는 독립계약자(Independent Contractor)에 해당하며 스타벅스 본사의 직원, 대리인에 해당하지 않는다는 점을 분명히 함을 맺었을 뿐, 개인정보 처리 업무를 위탁한 사실이 없고, 수탁자의 평가 과정에서도 개인정보를 포함한 자료를 현장에서 증적자료로 확인만 하고 납품회사 임직원의 개인정보를 처리하지 않으므로, 개인정보 처리와 관련하여 법적 의무를 준수하도록 하는 내용의 계약을 체결할 필요가 없다고 주장개인정보가 처리되었더라도 피심인의 지시ㆍ감독에 따른 것이 아니고, 피심인은 그 내용을 확인한 사실도 없다고 소명하였다.그러나, 피심인이 Elevate에 납품회사 임직원의 개인정보를 포함한 인사자료 등을 처리하도록 계약하고, 실제 그에 따라 Elevate가 그 개인정보를 처리한 사실은 명백하므로 위ㆍ수탁 관련 보호법을 준수할 의무가 있다.
3. 처분의 사전통지 및 의견 수렴위원회는 2023년 10월 6일 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 이에 대해 별다른 의견을 제출하지 아니하였다.Ⅲ. 관련 법규 및 위법성 판단1. 관련 법 규정舊 보호법 제26조제1항은 “개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우, 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항(제1호), 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항(제2호), 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항(제3호)의 내용이 포함된 문서로 하여야 한다.”고 규정하고 있고, 같은 조 제4항은 “위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.”고 규정하고 있다.같은 법 시행령 제28조제1항은 “법 제26조제1항제3호에서 “대통령령으로 정한 사항”이란 위탁업무의 목적 및 범위(제1호), 재위탁 제한에 관한 사항(제2호), 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항(제3호), 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항(제4호), 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항(제5호)을 말한다.”고 규정하고 있고, 같은 조 제6항은 “위탁자는 수탁자가 개인정보 처리 업무를 수행하는 경우에 법 또는 이 영에 따라 개인정보처리자가 준수하여야 할 사항과 법 제26조제1항 각 호의 사항을 준수하는지를 같은 조 제4항에 따라 감독하여야 한다.”고 규정하고 있다.
3. 위법성 판단피심인은 인사자료 등 개인정보의 처리가 수반되는 윤리구매 평가 업무를 위해 Elevate와 서비스 계약을 체결하고, Elevate가 윤리구매 평가를 위해 피심인과 체결한 업무기술서에 따라 “임금 및 시간 기록표”, “인사자료” 등을 납품회사로부터 제공받아 운용하도록 하는데, 이는 납품회사가 내부적으로 운용하는 개인정보파일 및 납품회사가 개인정보파일을 운용하는 목적(노무관리 등)과도 구별된다.윤리구매 평가는 피심인의 필요에 따라 목적과 방법을 정하여 이루어지는 피심인의 고유한 업무 목적하에 이루어지고, 납품회사 임직원의 개인정보 처리를 통해 피심인이 독자적 이익을 취하고 있으며, 위 평가 수행을 위해 납품회사가 임직원의 개인정보를 피심인에게 제공하는 것은 납품회사의 통상 업무를 위한 개인정보 처리로 보기 어렵다.공급업체는 피심인의 필요에 따라 피심인과 계약을 체결한 Elevate에 임직원의 개인정보를 제공함Elevate는 평가 대상 납품회사의 사업장 내에서 납품회사 임직원의 개인정보파일을 단순히 열람한 것을 넘어 Elevate가 운영하는 시스템에 '개인정보가 포함된 다수의 평가 파일’ 및 '4명의 주민등록번호’를 수집ㆍ저장하였으며, 피심인은 Elevate와의 계약에 따라 평가 자료를 요구하고 평가 이행 관련 내용을 확인할 수 있는바, 피심인 또는 Elevate가 스스로 정한 목적과 방법에 따라 평가 대상 납품회사 임직원의 개인정보가 수집ㆍ이용 등 처리되는 것으로 볼 수 있다.
따라서, 피심인은 윤리 구매 평가 업무를 목적으로 개인정보파일을 운용하기 위하여 수탁자인 Elevate를 통하여 개인정보를 처리하는 舊 보호법 제2조제5호에 따른 개인정보처리자에 해당한다.
가. 피심인의 개인정보 처리 위탁 규정(舊 보호법 §26조①ㆍ④) 위반피심인의 윤리구매 평가 업무는 “임금 및 시간 기록표”, “인사자료” 등 개인정보 문서 검토가 포함되어 있고, 실제 개인정보가 포함된 다수의 평가 파일이 수집ㆍ저장 등 처리되었으며, 주민등록번호까지 처리된 경우도 있어, 정보주체의 개인정보 처리가 수반되는 업무에 해당한다.따라서 피심인이 해당 업무를 Elevate가 수행하도록 하면서 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 등을 포함한 문서에 의하지 않은 것은 舊 보호법 제26조제1항을 위반한 것이다.또한, 피심인은 Elevate가 법적 근거 없이 주민등록번호를 처리하거나, 불필요하게 개인정보를 처리하는 등 보호법을 위반하지 않도록 교육ㆍ감독한 사실이 확인되지 않고, 이에 Elevate는 법적 근거 없이 주민등록번호를 처리하여 舊 보호법 제23조의2제1항을 위반하였는바, 이는 피심인이 舊 보호법 제26조제4항을 위반한 것이다.Ⅳ. 처분 및 결정1. 시정조치 명령피심인의 舊 보호법 제26조제1항 및 제4항 위반에 대해 같은 법 제64조제1항에 따라 다음과 같이 시정조치를 명한다.
가. 개인정보의 처리가 수반되는 윤리구매 평가 업무를 제3자에게 위탁하는 경우, 개인정보 보호법 제26조제1항을 준수하여 법정 항목이 모두 포함된 문서에 의해 계약할 것나. 수탁자가 불필요하게 개인정보를 과다 수집ㆍ처리하는 등 개인정보 보호법을 위반하지 않도록 법적 근거 없이 주민등록번호를 처리하거나 불필요하게 개인정보를 처리하는 등 보호법을 위반하지 않도록 개인정보 보호법 제26조제4항에 따라 수탁자 교육 등 관리ㆍ감독할 것다.
피심인은 가. ∼ 나.의 조치를 이행하고, 시정명령 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출할 것2. 과태료 면제피심인의 舊 보호법 제26조제1항 위반행위는 같은 법 제75조제4항제4호, 같은 법 시행령개인정보 보호법 시행령(2022. 10. 20., 대통령령 제33723호로 개정되기 전의 것)제63조, 같은 법 시행령 [별표2] '과태료의 부과기준’에 따라 과태료 부과 대상이나, 피심인 및 수탁자가 납품업체 사업장 내에서 개인정보 포함 서류를 열람토록 하였을 뿐, 서버로의 개인정보 전송을 의도하지 않은 점, 서비스 계약에 개인정보 보호조치 및 점검ㆍ개선 요구 관련 일부 사항이 포함된 점 등을 고려하였을 때, 「개인정보 보호법 위반에 대한 과태료 부과기준개인정보 보호법 위반에 대한 과태료 부과기준(2023. 9. 11. 일부개정, 2023. 9. 15. 시행)」 제3조제2항에 따른 '위반행위의 내용ㆍ정도가 경미하거나 사소한 부주의로 인한 위반행위’에 해당하여 과태료를 면제한다.
3. 개선권고개인정보 보호법(법률 제20897호, 2025. 4. 1. 일부개정, 2025. 10. 2. 시행)피심인은 한국에서 직접 재화 또는 서비스를 제공하고 있지 않으나, 스타벅스코리아 및 그 납품회사의 개인정보를 처리하므로, 보호법 제3조제1항에 따라 최소한의 개인정보만을 적법하고 정당하게 수집하도록 보호법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고한다.
가. 한국 정보주체의 개인정보를 처리하는 경우, 처리 목적에 필요한 최소한의 개인정보만을 수집ㆍ이용할 것나. 익명 또는 가명으로 처리하여도 수집 목적 달성이 가능한 경우에는 개인정보를 익명 또는 가명 처리 후 수집ㆍ이용하는 등 개인정보 보호법을 준수할 수 있도록 스타벅스코리아와 적극 협력할 것다. 피심인은 가. ∼ 나.의 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과를 제출할 것Ⅴ. 결론피심인의 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)제1항ㆍ제4항, 제3조(개인정보 보호 원칙)제1항을 위반한 행위에 대하여 같은 법 제64조(시정조치 등)제1항, 제61조(의견제시 및 개선권고)제2항에 따라 시정조치 명령 및 개선 권고를 주문과 같이 의결한다.
