개인정보위 제재 의결 심층 라벨 — 무슨 일이 있었고 무엇이 다투어졌는가

핵심 요약 개인정보보호위원회(이하 "개인정보위") 제재 의결 874건의 결정문 본문을 읽어, 사실관계 유형·쟁점·가중감경 사유·유출 규모·위반조문을 구조화한 표입니다. 수록 기간은 2012년 11월 12일부터 2026년 9월 9일까지이고, 원천은 국가법령정보센터 법령 API입니다. 874건 중 위반으로 인정된 조문은 개인정보 보호법 제29조(안전조치의무)가 483건으로 가장 많으며, 사실관계로는 설정오류·관리부실이 490건(56%), 접근권한·접근통제 미흡이 448건(51%)으로 해킹·외부침입 207건(23%)을 크게 앞섭니다. 감경 사유 1,676건 중 조사 협력(527건)과 자진 시정·시정 완료(525건)가 63%를 차지하고, 가중 사유 461건 중 321건(70%)이 장기 위반입니다.

개인정보위의 제재 사례를 찾을 때 실무에서 정작 필요한 것은 금액이 아닙니다. 우선 담당자가 알고 싶은 것은 우리 회사와 비슷한 상황에서 위원회가 어떻게 판단했는지입니다. 그런데 공개된 제재 자료는 대부분 의결일·피심인·처분·금액까지만 담고 있어, 무슨 일이 있었는지를 알려면 결정문을 한 건씩 열어 읽어야 합니다.

따라서 이 표는 결정문 본문을 읽어야만 나오는 항목을 뽑아 모은 것입니다. 사실관계가 어떤 유형이었는지, 피심인이 무엇을 다투었고 위원회가 그에 대해 어떻게 판단했는지, 가중과 감경의 사유로 결정문이 실제로 적은 문구가 무엇인지, 유출된 정보주체 수와 항목은 무엇이었는지를 의결 단위로 정리했습니다. 한편 의결의 서지 색인은 제재 추적기가, 과징금 산정 과정의 백분율 분해는 결정례 색인이 따로 담고 있으므로 함께 보시면 됩니다.

제재를 부르는 것은 해킹이 아니라 관리 공백인가

874건의 사실관계 유형을 세어 보면 설정오류·관리부실이 490건(56%), 접근권한·접근통제 미흡이 448건(51%)입니다. 반면 해킹·외부침입은 207건(23%)에 그칩니다. 위반으로 인정된 조문의 분포도 같은 방향을 가리킵니다. 개인정보 보호법 제29조(안전조치의무)가 483건으로 압도적이고, 2위인 개인정보의 기술적·관리적 보호조치 기준 제4조제9항은 103건입니다.

따라서 외부 공격을 받았다는 사정만으로 제재를 면하기는 어려운 것으로 보입니다. 다만 위원회가 위법성을 인정한 지점은 공격이 있었다는 사실이 아니라 공격을 막았어야 할 조치가 없었다는 사실입니다.

나아가 유출 통지·신고 지연도 201건(22%)으로 적지 않은데, 사고 자체와 별개로 사후 절차에서 다시 걸린 사례가 그만큼 많습니다.

과징금을 가르는 것은 무엇인가

이 표에 모인 감경 사유는 1,676건이고 가중 사유는 461건입니다. 감경에서는 조사 협력이 527건, 자진 시정·시정 완료가 525건으로 둘이 전체의 63%를 차지합니다. 그다음으로 소규모 사업자(186건)와 직접적 이득 없음(119건)이 뒤를 잇습니다. 가중에서는 장기 위반이 321건으로 전체의 70%이고, 고의·중과실(67건)과 재범·반복 위반(62건)이 그다음입니다.

한편 금액 자체는 양극단으로 갈립니다. 과징금이 기재된 의결은 99건으로 중앙값이 1억 3,300만 원인 반면, 과태료가 기재된 의결은 496건으로 중앙값이 420만 원입니다. 따라서 언론에 보도되는 수백억 원대 과징금은 예외에 가깝고, 실제로 가장 흔한 처분은 수백만 원대 과태료로 보입니다.

개별 사건의 금액은 매출 규모와 위반 기간에 따라 크게 달라질 수 있습니다. 다만 사안의 규모가 크면 금액도 따라 커져서, 2022년 9월 14일 같은 날 의결된 구글(제2022-014-104호)과 메타(제2022-014-105호)의 과징금은 각각 692억 원과 308억 원이었습니다.

피심인은 누구인가

사업자 유형을 보면 공공기관이 303건으로 가장 많고, 일반 개인정보처리자와 정보통신서비스 제공자가 각각 241건입니다. 다만 개인정보 제재를 민간 플랫폼 중심으로 이해하기 쉽지만, 건수로는 공공기관이 앞섭니다. 공공기관 담당자께서는 제재 사례를 검토하실 때 이 점을 염두에 두시는 편이 좋겠습니다.

한편 피심인의 상호는 결정문에서 비실명으로 처리된 경우가 많습니다. 874건 중 상호를 확인할 수 있는 의결은 400건이고, 나머지는 결정문이 상호를 가렸거나 해당 항목이 비어 있습니다. 비실명 처리된 건은 이 표에서도 빈 칸으로 두었으며 추정값을 넣지 않았습니다.

피심인은 얼마나 다투는가

쟁점이 기재된 의결은 192건으로 전체의 21%입니다. 따라서 나머지 79%는 결정문에 다툼이 드러나지 않습니다. 쟁점이 기재된 건에서는 피심인의 주장과 그에 대한 위원회의 판단을 한 쌍으로 묶어 별도 표에 실었습니다.

예를 들어 한 피심인은 사고에 악용된 취약점이 제로데이에 해당하여 통상적인 취약점 관리로는 사전 식별이 구조적으로 불가능했다고 주장했습니다. 다만 위원회는 해당 공격이 널리 알려진 파일 업로드 방식이고 업로드 경로 비노출이나 확장자 제한으로 차단할 수 있었다고 보아 주장을 받아들이지 않았습니다. 이처럼 어떤 항변이 받아들여지지 않았는지를 미리 확인해 두면, 의견서를 작성하실 때 승산이 낮은 주장에 분량을 쓰는 일을 줄일 수 있습니다.

유출 규모는 어느 정도인가

정보주체 수가 기재된 의결은 315건이고 중앙값은 500명입니다. 최대는 3,756만 명입니다. 한편 유출 항목으로는 이름·주소·휴대전화번호·이메일·생년월일이 자주 등장하고, 주민등록번호가 포함된 의결은 96건입니다. 주민등록번호 처리 위반 자체를 사실관계 유형으로 붙인 의결도 127건(14%)에 이릅니다.