한국철도공사가 직원들의 개인정보를 코비스시스템에 집적하여 관리함

• 채무자인 한국철도공사는 전국에 흩어진 영업시설과 설비를 효율적으로 관리하기 위해 2007년부터 코비스시스템이라는 전사적 자원관리시스템(ERP)을 도입해 직원들의 인사정보 등 개인정보를 집적하고 관리했다.
• 채권자인 전국철도노동조합과 일부 근로자들은 개인정보 유출 방지 조치가 미흡하다며 코비스시스템 운영 중단과 개인정보 삭제를 요구하는 신청을 냈다.
• 노사합의서에는 ERP 구축 시 개인정보 유출 차단을 약속한 내용이 있었으나, 채권자들이 제출한 증거만으로는 개인정보 보호가 전혀 이루어지지 않았다고 보기 어려웠다.
• 채권자들은 코비스시스템에 불필요한 개인정보가 포함되어 있고, 보안이 취약해 해킹이나 내부자의 부적절한 접근 위험이 크다고 주장했다.
• 법원은 코비스시스템에 집적된 정보가 경영과 인사관리, 급여 지급, 복지 업무 등에 필요한 정보로 보이며, 보안 조치도 금융기관 수준으로 이루어지고 있다고 판단했다.
• 결국 법원은 채권자들의 주장을 받아들이지 않고 신청을 모두 기각했다.

한국철도공사가 직원들의 개인정보를 코비스시스템에 모아 관리한 행위가 개인정보 보호 의무를 위반했는지 여부가 쟁점이었다. 법원은 근로계약에 따른 협조 의무와 시스템의 보안 상태 등을 고려해 개인정보 관리가 적법하다고 판단하여, 개인정보 보호 신청을 모두 받아들이지 않았다.

• 개인정보 자기결정권은 기본권이지만, 근로자의 경우 근로계약상 의무와 사용자 권한 행사로 인해 일반 국민보다 제한적일 수밖에 없다.
• 코비스시스템에 집적된 정보는 경영과 인사, 급여 등 업무 수행에 필요한 범위 내에 있으며, 불필요한 정보가 포함되었다고 보기 어렵다.
• 보안 조치는 금융기관 수준의 방화벽, 바이러스 차단 프로그램, 공인인증서 로그인 등으로 엄격히 관리되고 있다.
• 초기 비밀번호는 주민등록번호 뒷자리와 영문 조합으로 설정됐으나, 변경이 가능하며 변경 방법도 안내되었다.
• 공용 컴퓨터 사용으로 인한 보안 우려가 있으나, 이는 회사의 업무 환경 특성에 따른 것으로 보안 관리에 최선을 다하고 있다.
• 제출된 증거만으로 개인정보 유출 위험이 크거나 보호 조치가 미흡하다고 인정하기 부족하다.

한국철도공사가 운영하는 코비스시스템에 직원들의 개인정보가 집적되어 있었으나, 법원은 개인정보 관리가 업무상 필요 범위 내에서 적법하게 이루어졌고, 보안 조치도 충분하다고 판단했다. 이에 개인정보 보호 신청은 모두 기각되었다.