IT·개인정보·데이터 법률노트

카카오페이 사건에서 개인정보위는 동의 없는 제3자 제공에는 특별법인 신용정보법 제32조 제1항이 적용된다고 보고 국외 이전 부분만 개인정보 보호법 제28조의8 제1항으로 처분했고, 금감원은 같은 전송을 신용정보법 제32조 제1항으로 제재했습니다. 롯데카드 사건에서 개인정보위는 주민등록번호 처리(제24조의2)만, 금융위원회는 패치·백신 등 보안대책 전반을 신용정보법·여신전문금융업법으로 처분했고, 로그 속 주민등록번호 암호화 미이행은 두 처분에 모두 들어 있습니다. 두 사건만으로 일반 규칙을 단정할 수는 없지만, 사고 대응에서는 문제된 행위를 두 법의 조문에 각각 대응시켜 보고 한 기관의 처분을 사건의 종결 시점으로 잡지 않는 것이 먼저로 보입니다.

티빙 유출은 2026년 5월에 일어났지만, 9월 11일 당시 안전조치 미비가 남아 있었다면 매출 10% 징벌적 과징금을 적용하는 것이 문언과 법리에 맞는 것으로 판단됩니다. 개정법 부칙 제3조 제2항은 「고의·중과실로 1천만명 이상 피해」 유형에 한해 시행 당시 종료되지 아니한 위반행위에도 적용하도록 정했고, 개인정보위와 법원은 안전조치의무 위반의 위반행위를 유출이 아니라 안전조치 미이행으로 보아 왔습니다. 골프존(제2024-008-182호)·디지털대성(제2024-006-163호) 사건과 대법원 판례로 위반행위의 종료 시점을 확인하고, 피해 정보주체 1,953만명, 고의·중과실, 탈퇴 계정 887만 개 쟁점과 처분 전 기업이 준비할 사항을 정리했습니다.

회사가 서버가 해외에 있는 생성형 AI에 업무 문서를 넣으면 그 안의 개인정보는 국외로 이전됩니다. 흔히 근거로 적는 개인정보 보호법 제28조의8 제1항 제3호는 「정보주체와의 계약의 체결 및 이행을 위하여」 필요한 처리위탁·보관을 요건으로 합니다. 소송 상대방 회사의 대표·담당자는 회사와 계약한 개인이 아니고, 회사가 자기 영업 분석에 쓰는 고객사의 고객 정보는 연결할 계약 이행을 찾기 어렵습니다. 개인정보위 실무는 계약한 이용자가 있는 서비스에서 제3호를 적용해 왔지만, 계약 당사자가 아닌 사람의 정보에도 이 호가 서는지를 직접 다룬 공식 문서는 확인 범위에서 찾지 못했습니다. 회사가 고객사의 수탁자로서 처리하는 경우는 따로 따져야 합니다.

구글폼 설정 때문에 응답자의 개인정보가 다른 응답자에게 보인 사안에서, 개인정보위는 폼을 만들어 응답을 받은 기관에 안전조치 의무(개인정보 보호법 제29조, 2021년 1건은 구 정보통신망법 제28조) 위반으로 과태료를 부과해 왔습니다. 찾아낸 결정문 8건의 과태료는 180만 원에서 1,400만 원이었고, 노출 시간이 적힌 5건은 약 33분에서 11일이었습니다. 「구글 쪽 오류」라는 주장은 소명되지 않았고, 주민등록번호까지 받은 2건에는 제24조 제3항이 함께 적용됐습니다.

건강 상태를 입력받아 여러 후보에게 보여 준 뒤 한 명을 고르게 하는 매칭 플랫폼은 동의를 세 갈래로 설계해야 합니다. 건강 정보는 민감정보라 다른 동의와 별도로 받아야 하고(개인정보 보호법 제23조 제1항 제1호), 성인 정보주체의 동의를 가족이 대신할 수 있다는 규정은 이 법에 없어 보호자의 대리권을 따로 확인해야 하며, 선정 전 후보 열람은 제3자 제공으로 볼 여지가 커서 단계마다 제공받는 자·항목·보유기간을 나누어 알리는 편이 안전합니다.

의료법 제21조 제2항은 병원이 환자 아닌 사람에게 진료기록을 내주는 것을 금지하고, 환자가 지정한 대리인은 시행규칙 제13조의3 제2항의 서류를 갖춘 경우에만 기록을 받을 수 있습니다. 요청자 신분증 사본, 환자가 자필 서명한 동의서(별지 제9호의2서식)와 위임장(별지 제9호의3서식), 환자 신분증 사본이 그 서류이고, 14세 미만 환자라면 동의서와 위임장을 법정대리인이 작성하고 법정대리인임을 확인할 서류를 붙여야 합니다. 환자 대신 기록을 받는 서비스를 설계하는 회사가 서류 수집 단계와 받은 기록의 처리 단계에서 확인할 것, 그리고 개인정보 보호법 제35조의2 전송요구와의 관계를 정리했습니다.

병원의 업무만 병원의 지시·감독 아래 처리하는 병원 연계 데이터 사업자는 개인정보 보호법 제26조의 수탁자로 볼 여지가 큽니다. 다만 같은 앱에서 자기 회원 서비스나 자사 상품 홍보를 함께 하면, 병원 몫 정보를 그 용도로 쓰는 순간 제26조 제5항의 목적 외 이용이 되고 구조 전체가 제3자 제공으로 판단될 위험도 생깁니다. 지위를 회사 단위가 아니라 데이터 흐름 단위로 나누어야 하는 이유와, 병원(위탁자)과 사업자(수탁자)가 각각 갖출 문서·공개·동의를 정리했습니다.

AI기본법 제4조 제1항은 국외에서 이루어진 행위라도 국내 시장이나 이용자에게 영향을 미치면 법을 적용한다는 확장 규정입니다. 이 조문을 거꾸로 읽어 국내 이용자가 없으면 적용되지 않는다고 결론 내리는 것은 문언이 뒷받침하지 않는 것으로 보입니다. 한국 법인이 국내에서 개발·운영하는 행위는 처음부터 국내 행위이고, 의무 조문의 이용자에도 소재지 제한이 없습니다. 해외 투자자 실사에는 적용 없음 한 줄보다 조문별 판단으로 답하는 편이 안전합니다.

앱이 운영체제의 위치 권한 팝업으로 받은 허용은 정보통신망법 제22조의2의 접근권한 동의이고, 위치정보법 제19조 제1항이 요구하는 위치기반서비스 이용약관 동의와는 근거와 내용이 다릅니다. 방송통신위원회 의결에서 제19조 제1항 위반은 약관 내용이 부족했던 사건과 동의 주체를 빠뜨린 사건으로 나뉘었고, 현행법은 앞의 것을 과태료로, 동의 없는 이용을 과징금과 형벌로 정합니다. 약관 동의가 아예 없는 앱은 무거운 쪽에 가깝다고 보입니다.

고객사 수백 곳의 개인정보를 처리하는 B2B SaaS가 고객사마다 위수탁 계약서를 따로 맺지 않아도 되는지 정리했습니다. 개인정보위 안내서는 수탁자 서비스를 이용하는 형태의 위탁이면 약관으로 계약할 수 있다고 보지만, 법 제26조 제1항과 시행령 제28조 제1항의 기재 사항이 모두 들어가야 합니다. 재위탁 동의는 범위와 절차를 미리 정해 약관에 둘 수 있고, 재수탁자 목록은 수탁자 처리방침 링크로 공개하는 방식이 안내돼 있습니다. 고객사가 위탁 사실을 공개하지 않은 데 따른 과태료는 위탁자 몫입니다.