# IT·개인정보·데이터 법률노트 (datalaw.kr) — 전문판
> IT·개인정보·데이터 분야를 다루는 이현섭 변호사(법무법인 세움)의 법률 실무 노트. 개인정보 보호법, 위치정보법, 데이터 규제와 유출 사고 대응, 개인정보위 조사, 사고 이후의 기업 간 책임 분쟁, 투자·M&A의 데이터 실사까지 실무 관점에서 정리합니다.
- **발행 주체**: 이현섭 변호사(Hyunsub Lee) — 법무법인 세움(SEUM Law) 파트너 변호사. 개인정보 유출 사고 대응·개인정보위 조사·기업 간 책임 분쟁, 스타트업 자문. KAIST에서 산업및시스템공학을 공부한 뒤 변호사가 되어 2013년부터 스타트업·IT 기업 자문. 저서 『스타트업 성장을 위한 법률전략』(다산글방, 2025)·『이기는 로펌은 무엇이 다른가』(공저, 박영사, 2022). 대한변호사협회 IT·블록체인특별위원회 위원(2019~2021)·한국콘텐츠진흥원 전문위원(2023~2025) 역임. hyunsub.lee@seumlaw.com · 02-562-3117 · [소개·문의](https://datalaw.kr/about/) · [세움 프로필](https://www.seumlaw.com/professionals/11)
- **사이트 성격**: 이현섭 변호사가 개인 명의로 직접 쓰는 법률 실무 노트입니다. 공식 도메인은 https://datalaw.kr 하나이며, 이름이 비슷한 다른 도메인의 법률서비스와는 관련이 없습니다. AI 자동 상담·챗봇 서비스가 아닙니다.
- 이 파일은 전 게시글의 전문을 담은 판입니다. 목록·요약판은 https://datalaw.kr/llms.txt 를 참고하세요.
- 모든 글은 일반적인 정보 제공 목적이며 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
- 인용 시 글 URL과 게시일을 함께 표기해 주세요. 출처 표기는 「이현섭 변호사(법무법인 세움), IT·개인정보·데이터 법률노트(datalaw.kr)」를 권장합니다. 규제 동향에 따라 글이 갱신될 수 있습니다.
---
# [가이드] 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나
- URL: https://datalaw.kr/guides/pipa-2026-amendment/
- 이 페이지는 개별 글 15편을 하나의 주제로 묶은 안내 페이지입니다. 각 글의 전문은 아래에 따로 실려 있습니다.
- 요약: 법률 제21445호가 2026년 9월 11일 시행됐습니다. 유출등 정의에 위조·변조·훼손이 들어오고, 신고의 근거 조문이 제34조 제3항에서 제4항으로 이동하며, 중대·반복 위반의 과징금 상한이 전체 매출액의 10%가 됐고, 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙었습니다. 후속 시행령도 2026년 9월 10일 대통령령 제36671호로 공포되어 같은 날 함께 시행됐습니다. 시행령은 보호책임자 신고 기한 6개월, 기존 지정자의 시행일부터 6개월 내 신고, 유출 가능성 통지 72시간, 투자감경 40% 이내, 과태료 전 구간 상향을 담았습니다. 같은 날 과징금 부과기준 고시 개정(개인정보보호위원회고시 제2026-12호)과 과태료 부과기준 고시 제정(제2026-14호), 보호책임자 신고서 서식 신설(제2026-11호)도 시행돼 투자감경·가중의 세부 기준이 확정됐습니다. 조문 단위 개정 전후 대조표와 함께, 시행으로 이미 걸린 의무와 2027년까지 아직 남은 일정을 나누어 정리했습니다.
> **핵심 요약** — 법률 제21445호(2026년 3월 10일 공포)가 **2026년 9월 11일** 시행됐습니다. 실무에 곧바로 걸린 변화는 넷입니다. ① 통지·신고 대상인 '유출등'에 **위조·변조·훼손**이 들어왔습니다(제23조 제2항). ② 제34조에 유출등의 **가능성 단계 통지**가 신설되면서 뒤 항이 밀려 **신고의 근거가 제3항에서 제4항으로** 이동했습니다. ③ 중대·반복 위반의 과징금 상한이 전체 매출액의 **100분의 10**이 됐습니다(제64조의2 제2항 신설). ④ 개인정보 보호책임자 지정에 **이사회 의결과 신고** 의무가 붙었고, 미지정·자격미달 지정에 과태료가 신설됐습니다(제31조 제3항, 제75조 제2항 제14호의2\~4). 이를 구체화할 시행령 개정령도 하루 전인 **2026년 9월 10일 대통령령 제36671호로 공포**되어 법률과 같은 날 시행됐습니다. 시행령은 이사회 의결·신고 대상을 연간 매출액등 1,800억 원 초과 등으로, 보호책임자 지정·변경·해제 신고 기한을 6개월(1년 범위 연장 가능)로, 시행 전에 지정한 보호책임자의 신고 기한을 시행일부터 6개월로 정했습니다. 앞서 개인정보위가 8월 21일 「개인정보 유출등 대응 매뉴얼」과 「과징금 투자 감경제도 안내서」의 초안을 공개해 실무 기준선을 먼저 내놓았습니다(의견제출은 9월 3일 마감됐고, 확정본은 9월 11일 현재 공개되지 않았습니다). 시행일에는 시행령이 다시 위임한 고시도 함께 시행됐습니다. 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 투자감경과 10% 구간의 가중 판단기준을 정하고 인증 감경을 줄였으며, 과태료 부과기준 고시(제2026-14호)가 제정되고 보호책임자 신고서 서식(제2026-11호)이 생겼습니다.
📄 **PDF판** — [이 가이드를 PDF로 내려받아](/pdf/pipa-2026-amendment.pdf) 사내·팀에 그대로 전달할 수 있습니다.
개정법은 2026년 9월 11일 시행됐습니다. 이 페이지는 흩어져 있는 글들을 **무엇이 바뀌었고 무엇이 남았는지** 순서대로 묶은 것입니다. 조문 단위 대조가 필요하면 바로 아래 대조표로, 특정 상황에 무엇이 달라졌는지가 궁금하면 해당 항목으로 들어가면 됩니다.
## 이미 걸린 것과 아직 남은 것
**이미 시행된 것**
| 날짜 | 무엇이 | 근거 |
|---|---|---|
| **2026년 8월 20일** | 본인전송요구권 관련 시행령 규정 시행 | 대통령령 제36121호 |
| **2026년 9월 11일** | 개정 개인정보 보호법 본체 시행 | 법률 제21445호 부칙 제1조 |
| **2026년 9월 11일** | 개정 시행령 시행 — 보호책임자 신고 절차, 유출 가능성 통지, 과징금 별표 1의5, 과태료 별표 2 | 대통령령 제36671호(2026. 9. 10. 공포) 부칙 제1조 |
| **2026년 9월 11일** | 개인정보위 고시 시행 — 과징금 부과기준 개정(투자감경·가중 판단기준·감경률 조정), 과태료 부과기준 제정, 보호책임자 지정·변경·해제 신고서 서식 신설 | 개인정보보호위원회고시 제2026-12호·제2026-14호·제2026-11호(2026. 9. 11.) |
**아직 남은 것**
| 날짜 | 무엇이 | 근거 |
|---|---|---|
| **2027년 2월 20일** | 매출 1,800억 원 초과 민간 기업이 전송 요구를 받는 시점 | 시행령 |
| **2027년 3월 11일** | 시행 전에 이미 지정한 개인정보 보호책임자의 지정 신고 기한(이사회 의결·신고 대상 사업자에 한함) | 시행령 개정령안 부칙 제2조 |
| **2027년 7월 1일** | 제32조의2 제1항 단서(인증 의무화), 제75조 제2항 제15호(인증 미이수 과태료) | 법률 제21445호 부칙 제1조 단서 |
8월 20일과 9월 11일은 **서로 다른 개정**이었습니다. 앞의 것은 본인전송요구권(마이데이터) 시행령이고, 뒤의 것이 유출·과징금·보호책임자를 바꾼 법률 개정입니다. 둘을 하나로 묶어 두면 지금 무엇이 걸려 있는지가 뒤섞입니다.
## 조문이 정확히 어떻게 바뀌었나
바뀐 것을 조문 단위로 한자리에 놓으면 다음과 같습니다.
| 무엇이 | 2026년 9월 10일까지 | 2026년 9월 11일부터 |
|---|---|---|
| **유출등의 정의** | 조문마다 「분실·도난·유출·위조·변조 또는 훼손」을 나열 | **제23조 제2항**이 「유출등」으로 정의를 통합. 위조·변조·훼손이 통지·신고 대상에 포함 |
| **유출 신고의 근거** | 제34조 **제3항** | **제34조 제4항** (뒤 항이 한 칸씩 이동) |
| **유출 가능성 통지** | 없음 | **제34조 제2항 신설** — 유출등의 가능성을 알게 된 때에도 통지 의무 |
| **유출 통지 기재사항** | 제34조 제1항 제1호\~제5호 | 제3호가 「**구체적인** 정보」로 강화되고 **제6호(손해배상·법정손해배상·분쟁조정 등 법적 권리와 행사 방법)·제7호 신설** |
| **피해 최소화 조치** | 제34조 제2항 | 제34조 제3항으로 이동하면서 「**회수·삭제 등 피해 확산 방지 조치**」 명시 |
| **과징금 상한** | 전체 매출액의 **3%** | 원칙 3%는 유지하되 **제64조의2 제2항 신설**로 세 경우에 **10%** — ① 처분일부터 3년 내 같은 호 재위반(고의·중과실) ② 고의·중과실로 피해 정보주체 1천만 명 이상 ③ 시정조치 명령 불이행 |
| **과징금 감경** | 재량 | **제64조의2 제6항 신설** — 예산·인력·설비·장치를 투자·운영한 경우 「감경**한다**」(고의·중과실 제외) |
| **보호책임자(CPO) 업무 조항** | 제31조 **제3항** | **제31조 제4항** (제3항\~제9항이 제4항\~제10항으로 이동) |
| **CPO 지정 절차** | 없음 | **제31조 제3항 신설** — 대통령령 기준에 해당하면 지정·변경·해제에 **이사회 의결**과 보호위원회 **신고** |
| **CPO 업무 범위** | 7개 호 | **제31조 제4항 제2호·제3호 신설** — 전문 인력 관리·예산 확보, 사업주·대표자 및 이사회 보고 |
| **사업주·대표자 책임** | 없음 | **제30조의3 신설** — 개인정보 보호의 최종 책임자가 사업주·대표자임을 명시 |
| **CPO 관련 과태료** | 없음 | **제75조 제2항 제14호의2\~제14호의4 신설** — 미지정·자격요건 미달, 이사회 의결 누락, 신고 누락 |
⚠️ 위 표에서 **2027년 7월 1일에 시행되는 두 조항은 뺐습니다** — 제32조의2 제1항 단서(인증 의무화)와 제75조 제2항 제15호(인증 미이수 과태료)입니다. 9월 11일에 함께 시행된 것으로 읽으면 틀립니다.
항 번호가 이동한 조문이 여럿이라, 개정 내용을 이해하는 것과 별개로 **인용을 그대로 옮겨 쓰면 사고가 납니다.** 제34조·제64조의2·제31조를 개정 전 조문과 나란히 놓은 전체 대조표는 따로 두었습니다.
→ [2026년 9월 11일 시행 개정 개인정보 보호법 — 신구조문 대조표](/posts/pipa-2026-amendment-comparison/)
금액 쪽이 얼마나 달라졌는지는 [과징금·과태료 산정 계산기](/fine-calculator/)에서 확인할 수 있습니다. 위반행위가 끝난 날을 넣으면 9월 11일 전후로 어느 기준이 적용되는지 갈라 계산하고, 전 구간이 오른 과태료 금액표도 항목별로 비교됩니다.
## 시행일이 지났는데 아직 안 한 것이 있다면
시행 전에 준비를 끝내지 못한 회사가 지금 확인할 자리는 여섯입니다. 앞의 셋은 문서를 고치면 끝나고, 뒤의 셋은 의사결정이 필요합니다.
| 확인할 곳 | 그대로 두면 | 어디를 보나 |
|---|---|---|
| 사고대응 절차서·위·수탁 계약서·개인정보 처리방침의 **「법 제34조 제3항에 따른 신고」** 인용 | 그 인용이 지금은 다른 조항(피해 최소화 조치)을 가리킵니다 | [신구조문 대조표](/posts/pipa-2026-amendment-comparison/) |
| 같은 문서의 **「법 제31조 제3항」** 인용 | 보호책임자 업무는 제31조 제4항으로 옮겼습니다. 대법원도 같은 이유로 규칙을 고쳤습니다 | 아래 「개인정보 보호책임자를 다시 봐야 하나」 |
| 유출 **통지문 서식** | 제34조 제1항에 제6호(손해배상·법정손해배상·분쟁조정 등 법적 권리와 행사 방법)·제7호가 신설돼 기재 항목이 늘었습니다 | [유출 사고 대응 가이드](/guides/data-breach-response/) |
| 사고대응 절차서의 **가능성 통지 분기** | 유출이 확인되지 않아도 가능성을 알게 된 때부터 72시간 안에 통지해야 하는 경우가 생겼습니다(제34조 제2항) | 아래 「유출 가능성 통지의 요건과 시계」 |
| 시행일에 **끝나지 않았던 위반 상태** | 부칙 제3조 제2항이 그 상태에도 새 가중 규정을 적용합니다. 종료 시점이 요건 판단에 직접 걸립니다 | [과징금 상한이 어떻게 바뀌나](/posts/breach-response-calculus-shift/) |
| **개인정보보호 투자액의 계정 관리** | 감경은 의무 조항이 됐지만 입증 부담은 회사 쪽입니다. 위반이 있었던 사업연도의 직전 3개 사업연도 이력을 봅니다 | 아래 「투자 감경은 산정 절차의 어디에 놓입니까」 |
여기부터는 상황별로 나눕니다.
## 유출 사고가 나면 무엇이 달라졌나
**첫째, 신고·통지의 사정권이 넓어졌습니다.** 개정법은 '유출등'의 정의를 제23조 제2항으로 올리면서 **위조·변조·훼손**을 더했습니다. 데이터가 밖으로 나간 정황이 없어도 파일이 훼손된 것만으로 통지·신고 의무가 붙을 수 있다는 뜻입니다. 랜섬웨어가 대표적인 경우입니다.
→ [랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나](/posts/ransomware-corruption-breach-notification/)
**둘째, 절차 자체는 지금도 같습니다.** 개정법이 72시간을 새로 만드는 것이 아닙니다. 시계가 언제부터 도는지, 규모를 모르는 상태에서 무엇을 먼저 해야 하는지는 현행법에서 이미 정해져 있고, 그 절차는 아래 글이 조문 단위로 다룹니다.
→ [개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)
**셋째, 본사 플레이북을 쓰는 회사는 간극이 더 벌어집니다.** GDPR 기준 절차서는 위험도 평가를 첫 분기점에 두지만, 한국법은 위험 정도를 요건으로 삼지 않습니다. 개정으로 통지 대상이 넓어져 이 차이가 커졌습니다.
→ [본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나](/posts/global-breach-playbook-korea-gap/)
**넷째, 실무 기준선은 이미 나와 있습니다.** 개인정보위와 한국인터넷진흥원이 2026년 8월 21일 「개인정보 유출등 대응 매뉴얼」 개정 초안(2026. 9.판, 74면)을 공개해 9월 3일까지 의견을 받았습니다. 초안 기준으로 신설되는 가능성 통지가 붙는 상황은 두 가지입니다. 정보시스템에 불법 접근이 확인됐는데 로그가 없어 누구의 정보가 조회됐는지 특정하지 못하는 경우가 하나이고, 다크웹 판매글처럼 일부 유출이 확인됐고 같은 테이블의 다른 정보주체 정보도 유출됐을 수 있는 경우가 다른 하나입니다. 통지 기한은 가능성을 알게 된 때부터 **72시간** 이내인데, 확산 방지를 위한 긴급 조치가 필요하다는 사유로는 통지를 늦출 수 없습니다. 유출등의 통지는 그 사유로 지연할 수 있으므로 이 점이 두 통지의 실무상 차이입니다. 정보주체를 특정할 수 없으면 침해가 미칠 수 있었던 정보주체 전체에게 통지하는 것이 원칙이고, 기한 안에 실제 유출이 확인되면 유출등의 통지로 갈음합니다. 초안은 통지문 예시와 여섯 가지 필수 기재 항목까지 담고 있어, 사고대응 절차서에 가능성 통지 분기를 새로 그릴 때 출발점으로 삼을 만합니다. 다만 개인정보위 스스로 초안의 시행령 관련 문구가 바뀔 수 있다고 밝힌 상태입니다.
## 과징금은 얼마나, 어떤 경우에 올라가나
원칙은 그대로 전체 매출액의 100분의 3입니다. 새로 생긴 것은 **가중**과 **감경**입니다. 100분의 10은 재위반·대규모 피해·시정조치 불이행 세 경우에만 붙고, 반대로 신설된 제6항은 일정 사유가 있으면 "감경할 수 있다"가 아니라 "**감경한다**"고 적었습니다.
부칙에서 눈여겨볼 것은 제3조 제2항입니다. **9월 11일에 아직 끝나지 않았던 위반 상태는 새 가중 규정의 사정권에 들어옵니다.** 시행일에 종료되지 않은 위반이 남아 있었다면, 그 상태가 1천만 명 요건을 충족하는 순간 10% 구간이 열립니다. 진행 중인 상태를 지금이라도 끊어 두어야 하는 이유가 여기에 있습니다.
→ [2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로](/posts/breach-response-calculus-shift/)
가중이 어디까지 닿는지 못지않게 중요한 것이 감경 쪽입니다. 예방투자에 대한 감경은 고의·중과실이 없는 한 "감경한다"고 적힌 의무 조항이 됐지만, 감경 사유를 주장하고 입증하는 부담은 여전히 조사받는 회사 쪽에 있습니다. 출발점은 지금까지 어떤 사유가 실제로 인정돼 왔는지입니다. 2026년 공개된 결정문 세 건에는 위반으로 이득을 취하지 않은 점, 사전통지 전 시정 완료와 조사 협조, ISMS-P 인증 보유 같은 사유가 구체적인 감경 비율과 함께 기록돼 있습니다.
→ [과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유](/posts/pipc-fine-mitigation-factors/)
지금까지 실제로 얼마가 부과됐는지는 결정문 단위로 확인할 수 있습니다. 조문별로 갈라 보면 과징금이 붙는 자리와 과태료에 그치는 자리가 뚜렷하게 나뉩니다.
→ [개인정보 과징금·과태료 사례 889건 — 개인정보위 제재 결정문 전수 DB](/sanctions/)
조문만 보면 무엇이 문제였는지는 알 수 없습니다. 접근통제를 두지 않은 것과 비밀번호를 평문으로 저장한 것과 접속기록을 남기지 않은 것이 모두 제29조 위반입니다. 개인정보위가 결정문의 「위법성 판단」 절에서 실제로 무슨 행위를 적었는지는 행위 유형별로 따로 모아 두었습니다.
→ [개인정보위 제재 위반행위 — 결정문 「위법성 판단」 절 전수](/violations/) (과징금 부과 건 기준)
부과된 처분을 법원에서 다투면 어떻게 되는지도 판결문 단위로 볼 수 있습니다. 2021년 이후 처분에 대한 1심·2심은 전부 위원회가 이겼지만, 기각 판결 안에도 해설서의 규범력이나 면제 사유에 관해 위원회와 다른 판단이 들어 있고, 그 판시들은 소송보다 조사·의견진술 단계에서 먼저 쓰입니다.
→ [개인정보위 과징금 취소소송, 법원은 어디서 위원회와 갈렸나 — 판결 18건 전수 검토](/posts/pipc-sanction-court-divergence/)
## 개인정보 보호책임자를 다시 봐야 하나
**자격요건은 새로 생기는 것이 아닙니다.** 경력 요건과 지정 대상 범위는 시행령 제32조와 별표 1로 2024년 3월부터 이미 시행 중입니다. 9월 11일에 바뀐 것은 **제재**입니다. 그동안 제31조 위반에는 과태료가 없었는데, 개정법이 미지정·자격미달 지정·이사회 의결 누락·신고 누락을 각각 과태료 대상으로 삼았습니다. 세 호 모두 제26조 제8항에 따라 **수탁자에게 준용**되므로, 업무를 위탁받아 처리하는 회사도 자기 이름으로 같은 의무를 집니다.
이사회 의결·신고의 대상과 절차는 개정 시행령(대통령령 제36671호) 제32조 제3항·제4항이 정합니다. 대상은 연간 매출액등 1,800억 원 초과에 민감정보·고유식별정보 5만 명 또는 개인정보 100만 명 요건이 붙는 사업자, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관이고, 신고는 사유 발생일부터 6개월 이내(이사회 소집 곤란 등 사유가 있으면 1년 범위 연장)입니다. 시행 전에 이미 지정한 보호책임자도 시행일부터 6개월 안에 신고해야 합니다(부칙 제2조). 신고서 서식은 시행일에 함께 시행된 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」(개인정보보호위원회고시 제2026-11호) 제2조와 별지 서식으로 정해졌고, 개인정보위가 9월 10일 공지한 FAQ는 신고를 개인정보 포털(www.privacy.go.kr)의 「CPO 신고」 메뉴로 받는다고 안내합니다.
→ [본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일 이후 그대로 둬도 되나](/posts/foreign-subsidiary-cpo-designation/)
개인정보 보호책임자를 정보보호 최고책임자(CISO)가 겸하고 있는 회사라면 확인할 조문이 하나 더 있습니다. CISO 겸직 제한을 받는 회사에서도 정보통신망법 제45조의3 제4항 제2호 라목이 CPO 업무를 겸직 가능 업무로 열어 두고 있는데, 그 라목이 인용하는 개인정보 보호법 조문을 개정법 부칙 제4조 제2항이 제31조 제2항에서 **제31조 제4항**으로 바꿨습니다. 시행일은 개정법 본체와 같은 9월 11일이었습니다. 겸직 자체는 그대로 가능하지만, 겸직 구조의 근거 조문이 같은 날 함께 움직인 셈입니다.
→ [CISO가 CPO를 겸할 수 있나요? 9월 11일부터 근거 조문이 바뀌었습니다](/posts/ciso-cpo-concurrent-appointment/)
법원도 같은 정비를 마쳤습니다. 대법원은 2026년 7월 29일 대법원규칙 제3272호로 「법원 개인정보 보호에 관한 규칙」을 개정해, 사법부 개인정보 보호책임자의 업무를 정한 제6조 제2항 제3호의 인용을 「법 제31조제3항」에서 **법 제31조 제4항**으로 바꿨고, 시행일 역시 개정법과 같은 2026년 9월 11일로 맞췄습니다. 법원행정처는 개정이유에서, 보호책임자의 수행 업무에 전문인력·예산 확보와 대표자·이사회 보고를 추가한 개인정보 보호법 개정(법률 제21445호)을 반영해 인용 조문을 정비한 것이라고 밝혔습니다. 사고대응 절차서·위·수탁 계약서·개인정보 처리방침에 「법 제31조 제3항」식 인용이 남아 있다면, 법원이 규칙까지 고쳐 따라간 이 항 이동에 맞춰 사내 문서에도 같은 정비가 필요합니다.
위탁사와 수탁사가 같은 사고를 두고 각자 다른 처분을 받는 구조도 이 준용에서 나옵니다. 수탁사에서 유출이 나면 위탁사는 제26조 제4항의 관리·감독으로 걸리고 수탁사는 자기 이름의 안전조치 의무로 걸리는데, 개인정보위가 두 자리를 실제로 어떻게 갈랐는지는 결정문에 남아 있습니다.
→ [수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나](/posts/processor-breach-consignor-liability/)
## 외국계 한국법인이 추가로 볼 것
본사 산출물을 번역해 쓰는 구조에서는 개정 내용보다 **누가 결정하고 무엇을 밖에 알리는지**가 먼저 걸립니다. 이사회 의결이 들어오는 것이 대표적입니다.
→ [본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다 — 9월 11일 전에 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)
본사가 참조하는 영문 법률이 몇 년판인지도 함께 확인할 필요가 있습니다. 구판을 기준으로 삼으면 과잉 준수와 미준수가 동시에 생깁니다.
→ [영문 개인정보 보호법에 세 버전이 공존합니다 — 본사가 읽는 판이 현행(법률 제20897호)인지 확인하는 법](/posts/english-pipa-version-gap/)
국내대리인 구조는 이번 개정이 아니라 **이미 지난 기한**의 문제입니다. 재지정 경과기간은 2026년 4월 2일에 끝났고, 9월 11일부터 대리 업무의 범위가 넓어졌습니다.
→ [한국에 자회사가 있는데 국내대리인은 로펌입니다 — 재지정 기한은 2026년 4월에 이미 지났습니다](/posts/domestic-representative-redesignation/)
## 8월 20일 본인전송요구권은 별개 일정이었습니다
이쪽은 2026년 8월 20일에 이미 시행됐습니다. 다만 **보내는 쪽과 받는 쪽에 걸리는 날짜가 다릅니다.** 정보를 보내야 하는 기업 상당수는 2027년부터이고, 받아가는 쪽에는 8월 20일부터 의무가 붙습니다.
→ [본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가](/posts/mydata-transfer-right-who-and-when/)
요구가 실제로 들어왔을 때의 기한과 거절 사유는 따로 정리했습니다.
→ [본인전송요구가 들어왔습니다: 며칠 안에 보내야 하고, 거절할 수 있나](/posts/mydata-request-deadline-and-refusal/)
데이터를 받는 사업을 준비 중이라면 전문기관 지정 대상인지부터 갈라야 합니다. 기준은 규모가 아니라 목적입니다.
→ [마이데이터 사업을 하려면 전문기관 지정을 받아야 하나요](/posts/mydata-receiver-designation-or-not/)
## 시행령이 답한 것 — 대통령령 제36671호
**법률과 시행령이 같은 날 시행됐습니다.** 하루 전인 2026년 9월 10일 개정 시행령이 대통령령 제36671호로 공포됐고, 부칙 제1조가 시행일을 법률과 같은 9월 11일로 정했습니다. 아래는 공포된 조문 문언입니다.
다음 세 가지는 모두 대통령령에 위임되어 있었습니다. 이를 담은 시행령 일부개정령은 2026년 6월 2일부터 7월 13일까지 입법예고(공고 제2026-59호)를 거쳐 8월 31일 법제처 심사를 마쳤고, 9월 10일 공포됐습니다. 입법예고안에서 바뀐 대목이 있으므로(뒤에서 보듯 신고 기한이 1개월에서 6개월로 늘었습니다), 입법예고 단계의 자료로 사내 기준을 잡아 두었다면 공포문으로 다시 맞춰야 합니다.
- 제34조 제2항의 **유출등의 가능성** 범위와 그때 알려야 할 사항
- 제64조의2 제6항의 **감경 사유**
- 제31조 제3항의 **이사회 의결·신고 대상 기준**과 신고 방법·절차
### 이사회 의결·신고 대상과 신고 기한
시행령에서 대상 목록은 하나입니다. 이사회 의결·신고 의무의 대상(제32조 제3항)은 별표 1의 전문 자격을 갖춘 보호책임자를 지정해야 하는 대상과 같은 목록이고, 민간 기업의 금액 기준은 현행 「연간 매출액등 1,500억 원 이상」에서 **1,800억 원 초과로** 오릅니다. 여기에 민감정보·고유식별정보 5만 명 이상 또는 개인정보 100만 명 이상 요건이 함께 걸립니다. 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관도 대상입니다.
신고 기한은 입법예고안과 공포본이 다릅니다. 입법예고안은 신고 의무 발생일부터 1개월이었으나, 시행령 제32조 제4항은 **사유가 발생한 날부터 6개월 이내**로 늘렸고, 경영상 이유로 이사회 소집이 어려운 경우 등 부득이한 사유가 있으면 보호위원회가 **1년 범위에서 연장**할 수 있게 했습니다. 신고서 서식은 보호위원회 고시로 정하는데, 시행일에 기존 「개인정보 보호책임자 경력 인정에 관한 고시」의 제명을 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」로 바꾸고 제2조(지정 신고 등)와 별지 서식을 신설하는 방식으로 정해졌습니다(개인정보보호위원회고시 제2026-11호). 신고서를 받은 위원회는 법인등기사항증명서나 사업자등록증을 행정정보 공동이용으로 확인하고, 신고인이 그 확인에 동의하지 않으면 사본을 내야 합니다.
시행 전에 이미 지정해 둔 보호책임자도 신고 대상입니다. 부칙 제2조는 시행 당시 대상 기준에 해당하는 개인정보처리자가 시행 전에 지정한 보호책임자를 **시행일부터 6개월 이내**, 즉 2027년 3월 11일까지 신고하도록 정했습니다. 법률 부칙이 비워 두었던 「기존 지정분」 문제에 시행령이 답한 것입니다. 부칙이 요구하는 것은 신고이고, 기존 지정에 대한 이사회 의결을 다시 거치라는 문언은 없습니다. 개인정보위가 2026년 9월 10일 공지한 「개인정보 보호책임자 지정 신고 관련 주요 FAQ」도 이미 지정해 운영 중인 경우 이사회 의결을 추가로 거칠 필요는 없고 신고 의무만 이행하면 된다고 답했습니다.
### 유출 가능성 통지의 요건과 시계
시행령 제39조의2는 통지 사유를 두 가지로 정합니다. ① 개인정보처리시스템이나 개인정보취급자의 정보기기에 불법적인 접근이 있어 유출등이 의심되지만 **어느 정보주체의 개인정보인지 특정하기 곤란한 경우**에는 그 불법적 접근을 알게 된 때, ② 일부 개인정보가 제3자에 의해 거래되는 등 유출등이 확인됐고 **다른 정보주체의 개인정보도 유출됐을 수 있다고 인정되는 경우**에는 그 사실을 알게 된 때입니다. 통지 사항은 가능성이 있는 개인정보 항목, 의심되는 시점과 경위, 피해 최소화 방법·대응조치·담당부서, 그리고 유출 여부가 확정되면 추가 통지하겠다는 사실입니다.
기한은 제39조의3에 따라 위 시점부터 **72시간 이내**입니다. 기한 안에 실제 유출이 확인되면 제34조 제1항의 유출 통지로 갈음하고, 반대로 **실제로 유출되지 않았음이 확인되면 그 사실도 즉시 통지**해야 합니다. 연락처를 알 수 없는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시하는 것으로 갈음할 수 있습니다. 8월 21일 공개된 「개인정보 유출등 대응 매뉴얼」 초안이 든 두 상황과 같은 구조입니다.
### 투자 감경은 산정 절차의 어디에 놓입니까
과징금 감경 사유는 원래 별도 공고 제2026-55호로 2026년 6월 1일 입법예고됐으나, 법제처 심사 과정에서 공고 제2026-59호 개정령안에 **통합**됐습니다. 아래 수치는 공포된 제60조의2 제5항과 별표 1의5의 문언입니다.
별표 1의5는 과징금을 기준금액 산정, 투자감경, 1차 조정, 2차 조정, 부과과징금 결정의 순서로 산정합니다. **투자감경은 1차 조정보다 앞에 놓인 독립 단계입니다.** 실무자에게는 상한 숫자보다 이 위치가 더 중요합니다. 감경 사유는 개인정보 보호를 위하여 예산·인력·설비·장치 등을 투자하고 운영하는 경우로서 ① 투자한 규모·비율과 지속성, ② 법 제30조의3에 따른 사업주·대표자의 책임 이행 정도, ③ 보호책임자의 역할·조직·인력 구성 등 보호 체계의 운영 내용과 수준, ④ 그 밖의 안전성 확보 조치 노력을 고려해 보호위원회가 고시하는 기준을 충족하는 경우입니다(제60조의2 제5항). 감경 폭은 기준금액의 **100분의 40 범위**이고, 고의·중과실 위반은 법 제64조의2 제6항 단서에 따라 제외됩니다.
매출액 기준 부과기준율은 다음과 같습니다.
| 위반행위의 중대성 | 부과기준율 |
|---|---|
| 매우 중대한 위반행위 | 2.1% 이상 2.7% 이하 |
| 중대한 위반행위 | 1.5% 이상 2.1% 미만 |
| 보통 위반행위 | 0.9% 이상 1.5% 미만 |
| 약한 위반행위 | 0.03% 이상 0.9% 미만 |
법 제64조의2 제2항의 가중 대상이면 부과기준율에 가중비율을 곱하되, 그 곱한 비율은 **8.91**%를 넘을 수 없습니다. 매출액을 산정하기 어려워 정액으로 기준금액을 정하는 경우(제60조의2 제2항 각 호)에는 중대성에 따라 5백만 원 이상 18억 원 이하이고, 가중금액을 더해도 **45억 원**을 넘을 수 없습니다. 가중비율과 가중금액은 고의·중과실의 내용, 위반 반복 정도, 시정조치 명령 불이행, 피해 정보주체 1천만 명 이상 여부를 고려해 보호위원회 고시가 정하도록 했고, 9월 11일 개정 고시는 이를 새로 만든 별표 2 「위반행위의 가중 판단기준」에 맡겼습니다(제8조의2).
감경이 막히는 자리도 있습니다. 매우 중대한 위반행위에 대해 1차·2차 조정의 감경 전부 또는 일부를 적용하지 않을 수 있다는 규정은 2026년 5월 19일부터 이미 시행 중이고, 개정 시행령에서는 투자감경이 앞에 들어오면서 마목이 됩니다. 과징금 면제 사유(제60조의2 제6항)는 현행 문언이 그대로 유지됩니다. 입법예고안(공고 제2026-55호)에 있던 중소기업·소상공인의 기술지원 시정 문구는 공포본에 없습니다. 이 문구는 시행령 대신 과징금 부과기준 고시로 옮겨 갔습니다. 고시 제4조 제2항 제2호는 피해가 없거나 경미한 경우로서 위반을 시정하고 유출등의 통지·신고를 위반하지 않았으면 과징금을 부과하지 않을 수 있다고 정하는데, 9월 11일 개정 고시는 이 「시정」에 중소기업·소상공인 등이 법 제34조 제4항에 따라 기술을 지원받아 시정하는 경우를 포함시켰습니다.
입법예고안에서 빠진 것이 하나 더 있습니다. 공고 제2026-55호 부칙 제2조는 투자감경을 시행일 **이후에 발생한 위반행위**부터 적용한다는 적용례를 두었는데, 공포된 부칙에는 그 적용례가 없습니다. 부칙은 시행일(제1조), 보호책임자 신고 특례(제2조), 신용정보법 시행령 정비(제3조) 셋뿐입니다. 문언만 놓고 보면 시행일 이후 부과하는 과징금이면 위반행위 시점과 무관하게 투자감경이 적용된다고 읽힐 여지가 있지만, 명문이 없으므로 확정된 해석은 아닙니다. 게다가 9월 11일 개정된 과징금 부과기준 고시는 부칙 제2조에서 **고시 시행 전에 종료된 행위에는 종전 규정을 적용**한다고 정했습니다. 9월 10일까지 끝난 위반에 투자감경을 어떤 기준으로 볼지는 시행령과 고시의 문언만으로는 정해지지 않습니다.
매출액 산정, 중대성 판단, 투자감경, 1차·2차 조정, 감경 제한, 부과과징금 결정의 세부 기준은 별표 1의5 제3호가 **전부 보호위원회 고시에 다시 위임**했습니다. 그 고시가 시행일에 맞춰 개정됐습니다.
### 과징금 부과기준 고시가 정한 것 — 제2026-12호
개인정보위는 2026년 7월 16일 「개인정보 보호법 위반에 대한 과징금 부과기준」 일부개정안을 행정예고(공고 제2026-90호, 의견제출 8월 5일까지)했고, 시행일인 9월 11일 개인정보보호위원회고시 제2026-12호로 확정해 같은 날 시행했습니다. 산정 순서는 기준금액, **투자감경**, 1차 조정, 2차 조정, 부과과징금 결정이 되고, 1차 조정의 가중·감경은 기준금액이 아니라 「투자감경을 거친 금액」을 바탕으로 계산합니다.
| 무엇이 | 개정 고시(2026. 9. 11. 시행) | 종전 |
|---|---|---|
| 투자감경(제8조의3) | ① 예산·인력·설비·장치 투자의 규모·비율·지속성·증가 정도 ② 대표자의 제30조의3 책임 이행과 보호책임자의 지정·권한·업무수행 수준 등 보호 체계 ③ 법정 의무를 넘는 보호기술·안전조치를 종합해 **기준금액의 40% 이하** 감경. 위반행위가 있었던 사업연도의 **직전 3개 사업연도** 조치를 본다. 고의·중과실은 제외 | 없음 |
| 10% 구간 기준금액(제6조·제8조의2) | 관련 매출액 × 부과기준율 × 가중비율. 가중비율과 가중금액은 별표 2 「위반행위의 가중 판단기준」으로 정한다 | 없음 |
| 반복 위반 가중(제9조 제1항 제2호) | 최근 3년 같은 호 과징금 1회 **20%** · 2회 **40%** · 3회 이상 **80%** | 1회 15% · 2회 이상 30% |
| 신고·통지 기한 도과 + 피해 확산 방지 조치 불이행(제10조 제1항 제2호) | 1차 조정 금액의 30% 이하 **가산 신설** | 없음 |
| 인증·자율 보호 활동 감경(제10조 제2항 제3호) | 인증 **30%** · 자율규제 규약 이행 **20%** · 처리방침 평가 등 **15%** 이하 | 50% · 40% · 30% 이하 |
| 사고 대응 체계(제10조 제2항 제5호) | 대응 체계를 갖추고 조기 탐지·신속한 신고·통지·확산 방지로 회복한 경우 1차 조정 금액의 40% 이하 **감경 신설** | 「그 밖의 사유」 10% 이하 감경(삭제) |
| 업무 형태·규모 감경(제9조 제2항 제2호) | 국가기관·지방자치단체 등과 공공시스템운영기관은 대상에서 제외 | 공공기관·비영리법인·중소기업자 등 |
| 부과과징금 결정(제11조 제1항 제3호) | 위반에 비해 현저히 과중하면 2차 조정 금액의 50% 이하 추가 감경 신설, 사유는 의결서에 명시 | 부담능력·시장 여건 사유만 |
중대성 판단기준(별표 1)의 개인정보 유형에는 인증정보와 같은 칸에 **연계정보**(서비스 연계를 위해 주민등록번호를 비가역적으로 암호화한 정보)가 들어갔습니다.
부칙 제2조가 중요합니다. **이 고시 시행 전에 종료된 행위에 대한 과징금은 종전 규정에 따릅니다.** 9월 10일까지 끝난 위반이면 옛 감경률(인증 50% 등)로, 9월 11일 이후에도 이어진 위반이면 새 기준으로 산정됩니다. 인증에 기대던 회사라면 감경 폭이 줄었습니다. 반대로 유출 대응 체계를 갖추고 신속하게 신고·통지한 것은 감경 사유로 새로 들어왔고, 기한을 넘기면서 확산 방지 조치까지 하지 않으면 가산됩니다.
과징금이 10% 구간으로 올라가면 공표명령도 가까워집니다. 개인정보위는 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」을 9월 4일 개정해 9월 11일부터 시행했습니다. 공표명령 요건 가운데 과징금 사건에서 중대성이 「매우 중대한 위반행위」인 경우를 정한 제6조 제1항 제3호가 종전에는 법 제64조의2 제1항만 적었는데, 이제 같은 조 제2항에 따라 과징금을 부과받은 경우도 적습니다. 공표명령의 요건과 면제 사례는 따로 정리했습니다.
→ [과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가](/posts/pipc-result-publication-criteria/)
### 과태료 금액도 오릅니다
개정 시행령은 별표 2의 과태료 금액을 전 구간에서 올렸습니다. 제안이유는 안전조치 의무 위반 과태료를 1차 600만 원·2차 1,200만 원·3차 이상 2,400만 원에서 **900만 원·1,800만 원·3,000만 원**으로 올린다고 적었지만, 별표 2의 개별기준을 보면 48개 항목 전부가 같은 비율로 움직입니다. 법정 상한 5천만 원 구간은 1,500만·3,000만·5,000만 원, 2천만 원 구간은 600만·1,200만·2,000만 원, 1천만 원 구간은 300만·600만·1,000만 원입니다. 개정법이 신설한 보호책임자 미지정·자격미달·이사회 의결 누락·미신고(제75조 제2항 제14호의2부터 제14호의4까지)와 유출 가능성 통지 미이행(같은 항 제17호)도 각각 900만·1,800만·3,000만 원으로 별표에 들어갔습니다.
별표 2의 금액을 실제 부과금액으로 바꾸는 기준도 같은 날 고시가 됐습니다. 위원회 지침이던 과태료 부과기준이 「개인정보 보호법 위반에 대한 과태료 부과기준」(개인정보보호위원회고시 제2026-14호)으로 제정돼 9월 11일 시행됐습니다. 최근 3년간 같은 위반으로 받은 처분 횟수에 해당하는 별표 2 금액을 기준금액으로 삼고, 감경기준(고시 별표 2)과 가중기준(고시 별표 3)에 따라 조정하며, 고지서를 받은 날부터 14일 안에 자진납부하면 부과금액의 20%를 감경합니다. 시행 전에 종료된 위반행위에도 적용되지만 그 경우 감경비율은 종전 부과기준(2023. 9. 11.)을 따릅니다(부칙 제2조·제3조). 행정예고안(공고 제2026-92호)에 있던, 과태료 없이 시정조치·경고만 받은 경우도 처분 횟수에 넣는 괄호 문언은 확정 고시에서 빠졌습니다.
### 투자 감경의 실무 안내서도 초안이 나왔습니다
개인정보위가 2026년 8월 21일 「과징금 투자 감경제도 안내서」 초안(2026. 9.판, 25면)을 공개해 9월 3일까지 의견을 받았습니다. 초안이 별표 문언에 더해 준 실무 정보는 세 가지입니다.
첫째, 감경 판단의 시간 범위입니다. 위원회는 위반행위가 있었던 사업연도의 **직전 3개 사업연도** 안에서 조치한 사항을 고려하고, 상당하다고 인정하면 위반행위가 있었던 사업연도의 조치도 볼 수 있습니다(사업을 개시한 지 1년이 안 된 기업 등). 감경을 받으려면 사고가 난 해의 긴급 투자가 아니라 그 전 3년의 투자 이력이 필요하다는 뜻입니다.
둘째, 투자액 산출 방법입니다. 개인정보보호 투자액은 정보보호산업법 제13조의 정보보호 공시 기준을 준용해 유·무형자산 감가상각비, 비용, 내부인력 인건비 세 항목의 합으로 산출합니다. 정보보호 공시를 이미 수행하는 기업은 공시 자료를 그대로 소명에 쓸 수 있습니다. 증빙서류는 감사보고서·합계잔액시산표·자산대장·비용원장·인건비 내역·기안서 수준까지 예시되어 있습니다. 감경을 염두에 둔다면 개인정보보호 예산을 지금부터 별도 계정과목으로 관리해 두는 편이 소명에 유리합니다.
셋째, 고시안의 문언입니다. 초안에 실린 고시안 제8조의3은 세 요건을 종합 고려해 기준금액의 **100분의 40 이하** 금액을 감경하도록 정했고, 개인정보처리자의 고의 또는 중대한 과실로 위반한 경우는 제외합니다. 이 고시안의 골격(세 요건 종합 고려, 40% 이하, 고의·중과실 제외)은 9월 11일 확정된 고시 제8조의3에 그대로 들어갔고, 첫째로 본 직전 3개 사업연도 기준도 고시 본문(제8조의3 제2항)이 됐습니다. 둘째로 본 투자액 산출 방법과 증빙 예시는 안내서에만 있고, 안내서 확정본은 9월 11일 현재 공개되지 않았습니다.
한 가지는 구분해 두는 편이 좋습니다.
개인정보보호위원회 제2소위원회가 2026년 8월 12일 원안 동의로 의결한 침해요인 평가(의결 제2026-215-321호)의 대상은 제3자 전송요구의 대상 분야를 고용·교육으로 확대하는 마이데이터 관련 **다른 개정안**(공고 제2026-77호)이었습니다. 9월 11일 시행에 대비한 것은 공고 제2026-59호 개정령이고, 이쪽이 9월 10일 대통령령 제36671호로 공포된 것입니다.
**시행령이 위임한 고시 둘은 시행일에 함께 나왔습니다.** 보호책임자 지정·변경·해제 신고서 서식(시행령 제32조 제4항)은 개인정보보호위원회고시 제2026-11호, 과징금 투자감경의 세부 기준(제60조의2 제5항, 별표 1의5 제3호)은 제2026-12호입니다. 그래서 대상 여부 판정, 조문 번호 정비, 진행 중인 위반 상태 정리, 보호책임자 지정 구조 점검과 이사회 안건 일정에 더해 신고서 작성과 투자감경 소명 준비도 이제 확정된 문언으로 할 수 있습니다. 남은 것은 투자 감경제도 안내서와 유출등 대응 매뉴얼의 확정본입니다.
## 자주 묻는 질문
**Q. 2026년 9월 11일에 무엇이 시행되나요?**
2026년 9월 11일 개정 개인정보 보호법(법률 제21445호) 본체가 시행됐습니다. 바뀐 것은 다섯입니다. ① 통지·신고 대상인 유출등의 정의에 위조·변조·훼손이 추가됐습니다(제23조 제2항). ② 유출등의 가능성 통지가 신설되면서(제34조 제2항) 유출 신고의 근거 조문이 제34조 제3항에서 제4항으로 이동했습니다. ③ 재위반·대규모 피해·시정조치 불이행 세 경우의 과징금 상한이 전체 매출액의 3%에서 10%로 올랐습니다(제64조의2 제2항). ④ 개인정보 보호책임자 지정에 이사회 의결·신고 의무와 과태료가 붙었습니다(제31조 제3항, 제75조 제2항 제14호의2부터 제14호의4까지). ⑤ 개인정보 보호의 최종 책임자가 사업주·대표자임이 명시됐습니다(제30조의3). 다만 제32조의2 제1항 단서와 제75조 제2항 제15호는 2027년 7월 1일에 시행됩니다.
**Q. 2026년 9월 11일에 시행된 것은 법률인가요, 시행령인가요?**
둘 다입니다. 법률 제21445호가 2026년 3월 10일 공포되어 2026년 9월 11일 시행됐고, 이를 구체화할 개인정보 보호법 시행령 일부개정령도 2026년 9월 10일 대통령령 제36671호로 공포되어 같은 날 함께 시행됐습니다. 시행령은 2026년 6월 2일부터 7월 13일까지 입법예고(개인정보보호위원회 공고 제2026-59호)를 거쳐 8월 31일 법제처 심사를 마친 안이고, 부칙 제1조가 시행일을 법률과 같은 9월 11일로 정했습니다. 과징금 감경 사유는 원래 별도 공고 제2026-55호로 입법예고됐으나 법제처 심사 과정에서 이 개정령에 통합됐습니다. 개인정보위 제2소위원회가 2026년 8월 12일 침해요인 평가에서 원안 동의로 의결한 개정안은 마이데이터 관련 별건(공고 제2026-77호)입니다. 시행령이 다시 위임한 고시 둘도 같은 날 시행됐습니다. 보호책임자 신고서 서식은 개인정보보호위원회고시 제2026-11호, 과징금 투자감경과 가중 판단의 세부 기준은 과징금 부과기준 개정 고시(제2026-12호)에 들어갔습니다.
**Q. 사내 문서에서 가장 먼저 고쳐야 할 곳은 어디인가요?**
유출 신고의 근거 조문을 적어 둔 곳입니다. 2026년 9월 10일까지 보호위원회 신고는 제34조 제3항이었지만, 개정법이 제2항에 유출등의 가능성 통지를 신설하면서 뒤 항이 한 칸씩 밀려 신고는 제34조 제4항이 됐습니다. 사고대응 절차서, 위·수탁 계약서, 개인정보 처리방침에 '법 제34조 제3항에 따른 신고'라고 적혀 있다면 그 인용은 지금 다른 조항을 가리킵니다.
**Q. 과징금 상한 10%는 모든 위반에 적용되나요?**
아닙니다. 상한이 올라가는 것은 신설된 제64조의2 제2항이 정한 세 경우뿐이고 원칙 조항은 그대로 남습니다. 세 경우는 재위반, 고의·중과실에 의한 대규모 피해, 시정조치 불이행이며 각각의 요건과 기간은 신구조문 대조표에 조문 그대로 실어 두었습니다.
**Q. 시행 전에 준비를 못 했습니다. 지금 무엇부터 해야 하나요?**
먼저 문서의 조문 인용부터 고칩니다. 사고대응 절차서·위·수탁 계약서·개인정보 처리방침에 「법 제34조 제3항에 따른 신고」나 「법 제31조 제3항」이 남아 있으면 지금은 다른 조항을 가리킵니다. 다음이 서식입니다. 유출 통지문에는 제34조 제1항 제6호가 신설한 손해배상·법정손해배상·분쟁조정 등 법적 권리와 그 행사 방법이 들어가야 하고, 사고대응 절차서에는 유출이 확인되지 않아도 가능성을 알게 된 때부터 72시간 안에 통지하는 분기가 필요합니다. 의사결정이 필요한 것은 셋입니다. 이사회 의결·신고 대상이라면 시행 전에 지정한 보호책임자도 시행일부터 6개월 안에 신고해야 하고, 시행일에 종료되지 않았던 위반 상태는 부칙 제3조 제2항에 따라 새 가중 규정의 사정권에 들어가며, 과징금 투자 감경을 소명하려면 위반이 있었던 사업연도의 직전 3개 사업연도 투자 이력이 필요합니다.
## 관련 가이드
- [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](/guides/data-breach-response/)
- [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)
- [AI 서비스 규제 지도 — AI기본법과 개인정보 보호법이 각각 어디에서 걸리나](/guides/ai-basic-law/)
- [IT·개인정보 법령 시행일 캘린더](/timeline/)
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개정 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행)](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) — 국가법령정보센터 시행예정 법령
- [개인정보 보호법(현행)](https://www.law.go.kr/법령/개인정보보호법) · [개인정보 보호법 시행령(현행)](https://www.law.go.kr/법령/개인정보보호법시행령) — 국가법령정보센터
- [개인정보 보호법 시행령 일부개정령안 입법예고(개인정보보호위원회 공고 제2026-59호, 2026. 6. 2. \~ 7. 13.)](https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=86980&lawCd=0&lawType=TYPE5&mid=a10104010000) — 법제처 입법예고. 첨부된 법령안 전문을 확인했습니다
- [개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 10. 공포, 2026. 9. 11. 시행)](https://www.law.go.kr/법령/개인정보보호법시행령) — 제32조 제3항·제4항, 제39조의2, 제39조의3, 제60조의2 제5항, 별표 1의5, 별표 2, 부칙 제1조·제2조·제3조를 공포문으로 대조했습니다. 부칙에 투자감경의 적용례는 없습니다
- [개인정보 보호법 시행령 일부개정령안 — 정부입법현황(법제처 심사완료 2026. 8. 31.)](https://opinion.lawmaking.go.kr/lmSts/govLm/2000000327582/detailRP) — 국민참여입법센터. 공포 전 단계의 의안(제안이유·개정령안·별표 1의5·별표 2·신구조문대비표)입니다. 공고 제2026-55호 안의 과징금 감경 규정이 이 단계에서 통합됐습니다
- 개인정보보호위원회 제2소위원회 의결 제2026-215-321호(2026. 8. 12.) 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건 — 개인정보위 위원회 결정문. 주문은 개인정보보호위원회공고 제2026-77호 개정안에 대한 원안 동의입니다
- [개인정보 보호법 시행령 일부개정령안 입법예고(개인정보보호위원회 공고 제2026-55호, 2026. 6. 1. \~ 7. 13.)](https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=86932&lawCd=0&lawType=TYPE5&mid=a10104010000) — 법제처 입법예고. 법 제64조의2 제2항의 기준금액 산정, 같은 조 제6항의 투자 감경, 같은 조 제7항 제4호의 과징금 면제에 관한 개정안이며, 첨부된 법령안 전문과 별표 1의5안을 확인했습니다. 법제처 심사 과정에서 공고 제2026-59호 개정령안에 통합됐습니다
- 개인정보보호위원회 공고 제2026-77호(2026. 6. 30. 관보 게재) 「개인정보 보호법 시행령」 일부개정령안 입법예고 — 제3자 전송요구 대상 분야를 고용·교육으로 확대하는 등 마이데이터 관련 개정안입니다. 위 의결의 대상이며, 공고 제2026-59호 개정안과는 별건입니다
- [법원 개인정보 보호에 관한 규칙 일부개정규칙(대법원규칙 제3272호, 2026. 7. 29. 공포, 2026. 9. 11. 시행)](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=288427&efYd=20260911) — 국가법령정보센터. 개정문·부칙·개정이유 전문을 확인했습니다. 제6조 제2항 제3호의 「법 제31조제3항」이 「법 제31조제4항」으로 바뀝니다
- [「개인정보 유출등 대응 매뉴얼」 초안 공개 및 의견수렴(개인정보위 공지, 2026. 8. 21.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS061&mCode=C010010000&nttId=12399) — 첨부된 초안 전문(74면)을 확인했습니다. 의견제출은 2026. 9. 3. 마감됐습니다
- [「과징금 투자 감경제도 안내서」 초안 공개 및 의견수렴(개인정보위 공지, 2026. 8. 21.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS061&mCode=C010010000&nttId=12398) — 첨부된 초안 전문(25면)과 고시안 제8조의3 문언을 확인했습니다. 의견제출은 2026. 9. 3. 마감됐습니다
- 개인정보보호위원회고시 제2026-12호 「개인정보 보호법 위반에 대한 과징금 부과기준」 일부개정(2026. 9. 11. 고시·시행) — 전자관보 게재본으로 개정문·부칙을 대조했습니다. 개정문이 신설한다고 적은 별표 2(위반행위의 가중 판단기준)는 관보 게재본에서 확인되지 않아 그 내용을 옮기지 않았습니다. 현행 조문과의 비교는 국가법령정보센터의 2026. 5. 19. 개정본을 기준으로 했습니다
- [「개인정보 보호법 위반에 대한 과징금 부과기준」 일부개정안 행정예고(개인정보보호위원회 공고 제2026-90호, 2026. 7. 16.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS061&mCode=C010010000&nttId=12282) — 공고문·개정문·조문별 제개정 이유서를 확인했습니다. 의견제출은 2026. 8. 5. 마감됐습니다
- 개인정보보호위원회고시 제2026-14호 「개인정보 보호법 위반에 대한 과태료 부과기준」 제정(2026. 9. 11. 고시·시행) — 전자관보 게재본. 행정예고안(공고 제2026-92호, 2026. 7. 16.)과 조문을 대조했습니다
- 개인정보보호위원회고시 제2026-11호 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」 일부개정(2026. 9. 11. 고시·시행) — 전자관보 게재본. 제명 변경과 제2조(개인정보 보호책임자 지정 신고 등) 신설을 확인했습니다
- [개인정보 보호책임자 지정 신고 관련 주요 FAQ(개인정보위 공지, 2026. 9. 10.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS061&mCode=C010010000&nttId=12460) — 첨부 PDF(27문항)를 확인했습니다
- [「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2026. 9. 4. 개정, 2026. 9. 11. 시행)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS216&mCode=D010020040&nttId=12445) — 개인정보위 훈령·예규·고시 게시판 첨부본. 직전 판(2025. 7. 1. 시행)과 대조했습니다
---
# [가이드] AI 서비스 규제 지도 — AI기본법과 개인정보 보호법이 각각 어디에서 걸리나
- URL: https://datalaw.kr/guides/ai-basic-law/
- 이 페이지는 개별 글 14편을 하나의 주제로 묶은 안내 페이지입니다. 각 글의 전문은 아래에 따로 실려 있습니다.
- 요약: AI를 붙인 서비스에 걸리는 규제는 한 법에 모여 있지 않습니다. AI기본법은 사업자 유형 판별(제2조 제7호), 고영향 해당 여부 사전 검토(제33조), 고영향 책무 여섯 가지(제34조), 영향평가(제35조), 투명성 고지(제31조), 국내대리인(제36조)을 걸고, 개인정보 보호법은 자동화 결정 대응과 민감정보 처리를 따로 겁니다. 학습 데이터에는 저작권법이 붙고, 공공기관에 납품하면 조달 쪽 확인 절차가 하나 더 붙습니다. 어느 국면에서 어느 조문이 걸리고 어느 글을 읽어야 하는지를 판별 순서대로 묶은 지도입니다.
> **핵심 요약** — AI기본법과 그 시행령은 2026년 1월 22일 함께 시행됐고, 의무 주체인 '인공지능사업자'에는 남이 만든 인공지능을 갖다 써서 제품·서비스를 제공하는 회사도 들어갑니다(법 제2조 제7호 나목). 실무에서 판단이 갈리는 지점은 셋이고 각각 의무의 강도가 다릅니다. ① 우리 인공지능이 고영향에 해당하는지 **사전에 검토하는 것은 의무이고, 과기정통부에 확인을 요청하는 것은 임의입니다**(제33조 제1항). ② 고영향에 해당하면 위험관리방안·설명방안 등 **여섯 가지 조치가 이행 의무로 붙습니다**(제34조 제1항). ③ 기본권 **영향평가는 노력 의무이지만**(제35조 제1항), 국가기관등이 영향평가를 실시한 제품을 우선 고려하므로(같은 조 제2항) 공공조달에 나갈 계획이면 사실상 필요해집니다. 그리고 AI를 붙였다고 AI기본법만 보면 놓칩니다 — 학습 데이터는 저작권법과 개인정보 보호법이, 자동화 결정에 대한 이용자 대응은 개인정보 보호법 제37조의2가 따로 겁니다.
📄 **PDF판** — [이 가이드를 PDF로 내려받아](/pdf/ai-basic-law.pdf) 사내·팀에 그대로 전달할 수 있습니다.
AI 규제를 검토해 달라는 요청을 받으면 대개 AI기본법 조문부터 펼치게 됩니다. 그런데 실제로 회사가 걸리는 지점은 한 법에 모여 있지 않습니다. 모델을 직접 만들지 않아도 사업자이고, 고영향이 아니어도 투명성 고지는 걸리며, AI기본법을 다 지켜도 학습 데이터와 자동화 결정은 다른 법에서 다시 걸립니다.
이 페이지는 그 조각들을 **판별 순서대로** 묶었습니다. 각 단계에서 어느 글을 읽어야 하는지를 표시해 두었습니다.
조문 하나를 바로 찾으실 때는 [인공지능기본법 조문 지도](/ai-act/)를 보십시오 — 전 조문을 조문별 시행일, 위반 시 과태료, 하위법령 위임 여부와 함께 놓은 표입니다.
## 1. 우리가 '인공지능사업자'인가
출발점은 수범자 판별입니다. AI기본법의 '인공지능사업자'는 인공지능을 개발해 제공하는 자(가목)와 **그 인공지능을 이용해 제품·서비스를 제공하는 자(나목)를 모두 포함합니다.** 외부 LLM API를 붙인 회사도 여기 들어갑니다.
→ [우리 회사도 '인공지능사업자'인가 — AI기본법 의무 지도](/posts/ai-basic-law-business-duties/)
국내에 주소나 영업소가 없는 사업자라면 국내대리인 지정이 따로 걸립니다. 기준은 시행령 제29조 제1항의 네 가지이고, **전체 매출이 작아도 인공지능서비스 부문 매출이 100억 원이면 대상입니다.**
→ [AI기본법 국내대리인 — 전체 매출이 작아도 AI 부문 100억이면 대상입니다](/posts/ai-basic-law-domestic-representative/)
## 2. 고영향 인공지능인가 — 세 조문이 각각 다른 강도로 걸립니다
여기가 이 법에서 부담이 가장 크게 갈리는 자리입니다. 고영향에 해당하면 책무가 한꺼번에 붙고, 해당하지 않으면 그 부담이 통째로 사라집니다. 판단 대상은 법 제2조 제4호 가목부터 차목까지 열 개 영역이고, 민간 사업자와 가장 넓게 닿는 것은 **사목(채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가)입니다.**
→ [우리 서비스가 '고영향 인공지능'인가 — 10개 영역과 확인 요청 절차](/posts/high-impact-ai-check/)
세 조문이 자주 뭉뚱그려지는데, 의무의 강도가 서로 다릅니다.
| 조문 | 무엇을 | 강도 |
|---|---|---|
| 제33조 제1항 | 고영향 해당 여부 **사전 검토** | 의무 ("검토하여야 하며") |
| 제33조 제1항 | 같은 항 뒷부분 — 과기정통부장관에게 **확인 요청** | 임의 ("요청할 수 있다") |
| 제34조 제1항 | 위험관리방안 수립·운영, 설명방안 수립·시행, 이용자 보호방안, 사람의 관리·감독, 조치 내용 문서의 작성·보관 등 **여섯 가지 조치** | 의무 ("이행하여야 한다") |
| 제35조 제1항 | 기본권 **영향평가** | 노력 의무 ("노력하여야 한다") |
실무에서 가장 자주 어긋나는 것이 첫 줄입니다. **확인을 받지 않은 것이 문제가 되는 것이 아니라, 검토를 아예 하지 않은 상태가 조문과 어긋납니다.** 검토 결과 고영향이 아니라는 결론에 이르렀다면 그 판단 근거를 남겨 두는 것이 제33조 제1항에 대한 응답이 됩니다.
제34조 제3항에는 우회로가 하나 있습니다. 다른 법령에 따라 같은 항 각 호에 준하는 조치를 이미 이행한 경우에는 제34조 제1항의 조치를 이행한 것으로 봅니다. 의료기기·금융 등 개별 규제를 이미 받고 있는 회사라면 중복 구축 전에 확인할 자리입니다.
## 3. 이용자에게 무엇을 고지해야 하나
고영향이 아니어도 대부분의 회사에 걸리는 것이 투명성 의무입니다. 하나의 의무처럼 보이지만 **층이 셋이고, 과태료가 직접 붙는 것은 첫 번째 층뿐입니다.**
→ [챗봇에 무엇을 고지해야 하나 — AI기본법 제31조의 세 층과 적용 예외](/posts/generative-ai-disclosure-labeling/)
고지는 화면에서 끝나지 않습니다. 프롬프트 입력값을 저장한다면 그것은 처리하는 개인정보의 항목이고, 외부 LLM API를 호출한다면 국외이전이므로 처리방침에 자리가 두 곳 더 생깁니다.
→ [생성형 AI 서비스의 개인정보 처리방침 — 프롬프트 입력값은 어디에 적히나](/posts/generative-ai-privacy-policy/)
## 4. 학습 데이터는 AI기본법 밖에서 걸립니다
학습에 쓴 데이터의 적법성은 AI기본법이 답하지 않습니다. 저작물 쪽은 저작권법이고, 한국에는 TDM 면책 규정이 없어 **적법해지는 통로가 공정이용(제35조의5) 하나뿐입니다.**
→ [우리가 도입한 AI가 무단 학습을 했다면 책임은 누구에게 있나 — AI 도입 기업의 저작권 리스크](/posts/ai-training-data-copyright/)
개인정보를 학습에 쓰는 국면은 개인정보 보호법 쪽입니다. 2026년 8월 20일 국회를 통과한 개정안이 인공지능기술 개발을 위한 처리 특례를 신설했는데, **걷히는 조문과 그대로 남는 조문이 갈립니다** — 국외이전은 남습니다.
→ [본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다 — 새 특례로 걷히는 조문과 그대로 남는 국외이전](/posts/ai-development-exception-waived-provisions/)
회사를 사고파는 국면에서는 같은 질문이 자산 실사로 들어옵니다. 데이터 자산이라고 내미는 것을 수집 경로부터 갈라 보는 순서는 아래 글에 있습니다.
→ [대상회사의 데이터 자산, 실사에서 순서대로 묻는 세 질문](/posts/scraped-data-asset-due-diligence/)
## 5. 개인정보 보호법이 따로 거는 것
AI기본법을 다 지켜도 남는 자리가 있습니다. 자동화된 결정에 대한 이용자의 거부·설명 요구는 개인정보 보호법 제37조의2의 문제이고, 본사 시스템이 내린 결정이라도 **답할 의무자는 한국법인이며 기한이 붙습니다.**
→ [본사 AI가 내린 결정을 한국 이용자가 거부했습니다 — 답할 의무는 한국법인에 있고, 시계는 30일입니다](/posts/hq-automated-decision-korea-duty/)
편향 점검은 방향이 반대로 어긋나는 자리입니다. EU AI Act는 고위험 AI의 편향 탐지를 위해 특별범주 정보의 예외적 처리를 허용하지만, **한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없습니다.** 본사 절차를 그대로 옮기면 점검 자체가 위반이 될 수 있습니다.
→ [본사가 채용 AI의 편향을 민감정보로 점검하고 있습니다 — 한국 법인도 같은 점검을 할 수 있나](/posts/bias-testing-sensitive-data-korea-gap/)
처리방침에 새로 채워야 하는 칸이 무엇인지는 아래 글의 항목표에서 확인할 수 있습니다.
→ [개인정보처리방침 필수 기재사항 — 2026년 기준 15개 항목과 2023년 이후 늘어난 것](/posts/privacy-policy-checklist-2026/)
## 6. 공공기관에 납품한다면
2026년 7월 21일 시행된 개정 AI기본법으로 국가기관등은 구매·발주 시 AI 제품·서비스를 우선적으로 고려해야 합니다(법 제16조 제3항). 구매 담당자의 배상책임을 고의·중과실이 있는 경우로 좁힌 제4항이 함께 들어와, 담당자가 결재를 미룰 이유가 하나 줄었습니다.
→ [국가기관의 AI 제품 우선구매 고려 의무 — 공공조달에 나가기 전 지도](/posts/ai-basic-law-procurement/)
다만 우선구매 고려의 대상은 **과기정통부장관이 확인한 제품·서비스로 한정됩니다**(시행령 제15조 제4항). 그래서 실무의 출발점은 우선구매 제도가 아니라 확인을 받는 절차입니다.
→ ['AI 제품·서비스 확인'을 받는 법 — 목록화부터 확인서까지, 고시 제2026-50호 읽기](/posts/ai-product-confirmation/)
여기에 발주처 쪽 의무가 계약 요구로 넘어옵니다. 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」이 2026년 8월 28일 시행돼 공공기관에 학습용데이터 품질 확보·현황 제출 등의 의무가 붙었고, 납품사에 직접 적용되는 조문은 없지만 **발주처는 그 이행에 필요한 자료와 협조를 계약으로 확보하려 합니다.**
→ [공공기관에 AI를 납품하는 회사가 8월 28일부터 만나게 될 계약 요구](/posts/public-ai-act-vendor-contracts/)
## 7. 지키지 않으면 무엇이 오나
법이 사업자에게 직접 붙이는 금전 제재는 **과태료 하나뿐이고, 대상이 세 가지로 한정돼 있습니다**(제43조 제1항, 3천만원 이하).
| 호 | 위반 조문 | 내용 |
|---|---|---|
| 1호 | **제31조 제1항** | 고영향·생성형 AI에 기반해 운용된다는 사실의 **사전 고지** 미이행 |
| 2호 | **제36조 제1항** | **국내대리인** 미지정 |
| 3호 | **제40조 제3항** | 중지명령·시정명령 **미이행** |
**AI기본법에는 과징금이 없습니다.** 법률 전문에 과징금 조항이 없고, 벌칙(제42조)은 위원회 관계자의 비밀누설을 벌하는 조문이라 사업자 의무와 무관합니다. 개인정보 보호법을 기준으로 위험을 가늠해 온 회사라면 이 차이를 먼저 잡아야 합니다.
그렇다면 나머지 의무는 어떻게 강제되는가가 남습니다. 답은 **사실조사 조문에 있습니다.** 제40조 제1항이 조사 사유를 열거하는데, 그 목록이 제31조 제2항·제3항, 제32조 제1항·제2항, 그리고 **제34조 제1항**입니다. 이 조문들을 위반하면 조사를 받고, 조사 결과 위반이 인정되면 중지·시정명령이 나오며(제40조 제3항), 그 명령을 이행하지 않을 때 비로소 과태료가 붙습니다.
두 조문을 겹쳐 놓으면 의무가 세 층으로 갈립니다.
| 층 | 조문 | 위반하면 |
|---|---|---|
| **직접 과태료** | 제31조 제1항(사전 고지) · 제36조 제1항(국내대리인) | 곧바로 과태료 |
| **2단 경유** | 제31조 제2항·제3항(생성형 표시·딥페이크 표시) · 제32조 제1항·제2항(안전성) · **제34조 제1항(고영향 여섯 조치)** | 사실조사 → 시정명령 → **명령 불이행 시** 과태료 |
| **경로 없음** | **제33조 제1항(고영향 사전 검토)** · **제35조 제1항(영향평가)** | 조사 사유 목록에도 없습니다 |
세 번째 층을 눈여겨보시기 바랍니다. **제33조 제1항은 문언이 「검토하여야 하며」로 의무인데도 조사·제재로 가는 길이 없고**, 제35조 제1항은 노력 의무인 데다 역시 길이 없습니다. 그렇다고 제35조를 넘길 수는 없습니다 — 같은 조 제2항이 국가기관등에 영향평가 실시 제품을 우선 고려하도록 정해 두었기 때문입니다. **제35조를 움직이는 것은 제재가 아니라 조달입니다.**
정부는 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 원칙적으로 하지 않겠다고 밝혔습니다. 그러나 **계도기간은 부칙의 적용 유예가 아니라 행정 운영 방침이고, 의무 자체는 2026년 1월 22일부터 발생해 있습니다.** 계도기간의 실제 효과를 읽으려면 위 구조를 먼저 봐야 합니다.
→ [계도기간이니 지금은 안 지켜도 되나 — AI기본법 과태료의 실제 구조](/posts/ai-basic-law-grace-period-penalty/)
### 세부 기준은 이미 시행령에 내려와 있습니다
「AI기본법은 아직 세부가 안 나왔다」는 말을 자주 듣지만, 위임 사항은 시행령(대통령령 제36580호, 2026년 8월 20일 시행)에 이미 채워져 있습니다. 개인정보 보호법 쪽은 시행령 개정령이 시행 하루 전인 2026년 9월 10일에야 공포된 것(대통령령 제36671호)과는 반대 상황입니다.
| 법 조문 | 위임한 것 | 받은 시행령 조문 |
|---|---|---|
| 제31조 제4항 | 고지·표시의 방법과 예외 | 제23조(인공지능 투명성 확보 의무) |
| 제32조 | 안전성 확보 조치 | 제24조(인공지능 안전성 확보 의무) |
| 제33조 제4항 | 고영향 확인 절차 | 제25조(확인 절차 등) · 제26조(전문위원회) |
| 제34조 제1항·제3항 | 여섯 조치의 이행 방법 | 제27조(고영향 인공지능과 관련한 사업자의 책무) |
| 제35조 제3항 | 영향평가의 내용·방법 | 제28조(고영향 인공지능 영향평가) |
| 제36조 제1항 | 국내대리인 지정 대상 기준 | 제29조(국내대리인 지정 사업자의 기준) |
| 제43조 제1항 | 과태료 부과기준 | 제32조 및 별표 2 |
## 이 지도에 아직 없는 것
- **고영향 인공지능 영향평가(제35조)의 구체적 방법.** 법이 내용·방법을 대통령령에 위임하고 시행령 제28조가 그것을 받았습니다(위 7번 표). 다만 민간에는 노력 의무여서 이 지도는 위 2번의 강도 구별과 조달을 통한 강제 구조까지만 다루고 있고, 시행령 제28조를 조문 단위로 읽는 것은 별도의 글로 정리할 자리입니다.
- **안전성 확보 의무(제32조)의 적용 범위.** 누적 연산량 기준에 걸리는 회사가 매우 제한적이라 이 지도에서는 판별 단계에만 두었습니다. 기준의 근거와 계산 방법은 위 1번의 [의무 지도 글](/posts/ai-basic-law-business-duties/)에서 다룹니다.
- **AI기본법 위반의 제재 사례.** 계도기간 중이라 축적된 사례가 없습니다. 개인정보 보호법 쪽 제재는 [제재 추적기](/sanctions/)에서 조문별로 확인할 수 있습니다.
- **과태료의 실제 금액.** 부과기준은 시행령 별표 2에 있는데 이 지도는 아직 그 금액표를 싣지 않았습니다. 상한이 3천만원이라는 것과 별표가 정하는 개별 기준은 다른 이야기이므로, 원문을 확인한 뒤에 넣겠습니다.
## 자주 묻는 질문
**Q. 고영향 인공지능 해당 여부를 과기정통부에 확인받아야 하나요?**
확인 요청은 임의입니다. 의무인 것은 확인 요청이 아니라 사전 검토입니다(제33조 제1항, 위 2번).
**Q. 고영향 인공지능 영향평가는 반드시 해야 하나요?**
민간 사업자에게는 노력 의무입니다(제35조 제1항). 다만 국가기관등이 영향평가를 실시한 제품을 우선 고려하므로(같은 조 제2항), 공공부문 납품을 계획한다면 실질적으로 필요해집니다(위 2번·6번).
**Q. AI기본법을 위반하면 과징금이 나오나요?**
AI기본법에는 과징금이 없습니다. 사업자에게 붙는 금전 제재는 제43조 제1항의 과태료(3천만원 이하) 하나이고, 대상도 세 가지뿐입니다(위 7번). 벌칙 조항인 제42조는 위원회 관계자의 비밀누설을 벌하는 조문이라 사업자 의무와 무관합니다.
**Q. 계도기간이라 지금은 지키지 않아도 되나요?**
계도기간은 법령상 유예가 아니라 행정 운영 방침이고, 의무는 2026년 1월 22일부터 발생해 있습니다(위 7번).
## 관련 가이드
- [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)
- [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)
- [IT·개인정보 법령 시행일 캘린더](/timeline/)
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제2조(정의), 제16조(인공지능기술 도입ㆍ활용 시책 등), 제31조(인공지능 투명성 확보 의무), 제32조(인공지능 안전성 확보 의무), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제35조(고영향 인공지능 영향평가), 제36조(국내대리인 지정), 제43조(과태료) — 국가법령정보센터. 법률 제21311호(2026. 1. 20. 공포, 2026. 7. 21. 시행)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) — 국가법령정보센터. 대통령령 제36580호(2026. 8. 18. 공포, 2026. 8. 20. 시행)
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제23조(민감정보의 처리 제한), 제37조의2(자동화된 결정에 대한 정보주체의 권리 등) — 국가법령정보센터
- [인공지능 및 데이터 기반 행정 활성화에 관한 법률](https://www.law.go.kr/법령/인공지능및데이터기반행정활성화에관한법률) — 국가법령정보센터. 법률 제21392호(2026. 8. 28. 시행)
---
# [가이드] 개인정보 유출 사고 대응 — 인지부터 처분·구상까지
- URL: https://datalaw.kr/guides/data-breach-response/
- 이 페이지는 개별 글 19편을 하나의 주제로 묶은 안내 페이지입니다. 각 글의 전문은 아래에 따로 실려 있습니다.
- 요약: 유출 사고는 인지·통지·신고·조사·처분·책임 배분 순으로 진행되고, 단계마다 걸리는 조문과 판단 기준이 다릅니다. 각 단계에서 어느 글을 읽어야 하는지를 사고 진행 순서대로 묶은 지도입니다 — 무엇이 '유출등'에 해당하는지, 원인이 직원 실수·퇴사자 반출·수탁사 과실일 때 누가 신고 의무자가 되는지, 처분과 공표는 무엇으로 갈리는지, 배상한 뒤 수탁사에 얼마나 구상할 수 있는지. 인지 후 72시간의 절차 — 규모를 모르는 상태의 우선 통지·우선 신고, 통지와 신고가 다른 유예 사유, 로그 미보전 같은 하면 안 되는 일, 그 기록이 과징금과 배상액에서 다시 쓰이는 경로 — 는 이 페이지 2단계에서 조문 단위로 다룹니다.
> **핵심 요약** — 개인정보 유출 사고는 ① 인지 ② 72시간 내 통지·신고 ③ 원인 규명 ④ 개인정보위 조사 ⑤ 처분과 공표 ⑥ 기업 간 책임 배분 순으로 진행되고, 단계마다 근거 조문과 판단 기준이 다릅니다. 이 페이지는 각 단계에서 어느 글을 읽어야 하는지를 정리한 지도이며, 인지 후 72시간에 무엇을 해야 하고 무엇을 하면 안 되는지는 이 페이지 2단계에서 조문 단위로 다룹니다. 유출 항목도 경위도 모르는 상태에서 확인된 내용만으로 우선 통지·우선 신고하는 것이 시행령이 정한 기본 절차이고(시행령 제39조 제2항, 제40조 제2항), 그 72시간의 기록은 과징금 고려사항(법 제64조의2 제4항)과 손해배상액 고려사항(법 제39조 제4항)에서 다시 쓰입니다. 원인이 해킹인지 직원 실수인지는 처분 여부를 가르지 않습니다(제64조의2 제1항 제9호). 처분 금액과 결과 공표는 별개의 판단이고, 공표는 법 제66조 제1항에 따른 재량입니다. 2026년 9월 11일부터는 통지·신고 대상인 '유출등'에 위조·변조·훼손이 추가됩니다.
📄 **PDF판** — [이 가이드를 PDF로 내려받아](/pdf/data-breach-response.pdf) 사내·팀에 그대로 전달할 수 있습니다.
사고가 났을 때 가장 흔한 실수는 **순서를 바꾸는 것**입니다. 원인을 규명한 다음 알리려다 기한을 넘기고, 그 지연이 나중에 처분 사유로 남습니다. 이 페이지는 글들을 사고 진행 순서대로 묶었습니다.
## 1단계 — 이것이 신고 대상 사고인가
먼저 **무엇이 '유출등'인지**를 확정해야 합니다. 개정 전 '유출등'은 분실·도난·유출 세 가지였습니다. 2026년 9월 11일 시행 개정법은 여기에 **위조·변조·훼손**을 더했습니다. 데이터가 밖으로 나간 것이 확인되지 않아도 파일이 훼손된 상태만으로 시계가 돌 수 있다는 뜻입니다.
→ [랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나](/posts/ransomware-corruption-breach-notification/)
→ 지금 통지·신고 대상인지와 72시간 기한을 조문 요건대로 확인하려면 [유출 통지·신고 판정기](/breach-check/)를 쓰십시오. 넣은 값은 전송되지 않습니다.
## 2단계 — 인지 후 72시간
유출을 인지하는 경로는 보안 관제 업체의 연락일 수도 있고, 고객센터에 접수된 항의일 수도 있고, 외부 제보 메일일 수도 있습니다. 어느 경로든 첫 회의에서는 몇 명분인지, 어떤 항목이 나갔는지, 언제부터였는지를 모릅니다. 이때 거의 반드시 나오는 결론이 "일단 막고, 정확히 파악한 다음에 알리자"인데, 이 판단은 개인정보 보호법(이하 "법")과 시행령이 설계해 둔 시계와 정면으로 충돌합니다. 법은 파악이 끝나지 않은 상태 그대로 72시간 안에 움직이라고 정하고 있습니다.
### 규모도 원인도 모르는 상태에서 무엇을 먼저 알려야 하나
"확정되면 알리겠다"는 법이 허용하지 않는 선택지입니다. 시행령 제39조 제2항은 유출된 항목이나 시점·경위의 구체적인 내용을 확인하지 못한 경우, 유출 사실과 그때까지 확인된 내용, 그리고 피해 최소화 방법·대응조치·담당부서 안내를 먼저 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지하도록 정하고 있습니다. 신고도 같은 구조입니다(시행령 제40조 제2항). 법은 "모르는 상태에서의 우선 통지·우선 신고"를 예외가 아니라 기본 절차로 설계해 두었습니다.
통지에는 법 제34조 제1항 각 호의 사항, 즉 유출된 항목, 시점과 경위, 피해 최소화를 위해 정보주체가 할 수 있는 방법, 회사의 대응조치와 피해 구제절차, 피해 신고 접수 부서와 연락처가 들어가야 합니다. 연락처를 알 수 없는 정보주체가 있으면 홈페이지에 30일 이상 게시하는 방법이 있습니다(시행령 제39조 제3항).
### 통지와 신고의 유예 사유는 어떻게 다른가
72시간을 넘길 수 있는 예외는 좁고, 통지와 신고가 다릅니다. 통지는 접속경로 차단, 취약점 점검·보완, 유출된 개인정보의 회수·삭제 같은 긴급한 조치가 필요한 경우와 천재지변 등 부득이한 사유가 있는 경우에 미룰 수 있지만(시행령 제39조 제1항 제1호·제2호), 신고를 미룰 수 있는 사유는 천재지변이나 그 밖에 부득이한 사유뿐입니다(시행령 제40조 제1항 단서). 긴급 조치가 진행 중이라는 이유로 신고까지 미룰 수는 없다는 뜻이고, 어느 쪽이든 사유가 해소되면 지체 없이 알려야 합니다. "내부 보고 라인이 길어서", "법무 검토가 안 끝나서"는 여기에 들어가지 않습니다.
시행령 제40조 제1항 단서에는 유출 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있다는 규정도 있습니다. 이 문은 좁습니다. 경로가 확인되었을 것, 회수·삭제 등의 조치가 있었을 것, 그 결과 권익 침해 가능성이 현저히 낮아졌을 것, 세 가지가 모두 충족되어야 합니다. 경로를 추정만 하고 있는 단계, 회수했지만 사본 확산 가능성이 남아 있는 상태라면 이 단서에 기대기 어렵습니다. 그리고 이 단서는 신고에 관한 것일 뿐이어서, 정보주체에 대한 통지 의무는 이 단서로 면제되지 않습니다.
### 한 명분이 나가도 알려야 하는 쪽이 있습니다
가장 흔한 오해가 "1천 명 미만이니 아무것도 안 해도 된다"는 판단입니다. 통지와 신고는 대상이 다른 별개의 의무입니다.
| 구분 | 근거 조문 | 대상 | 기한 |
|---|---|---|---|
| 정보주체 통지 | 법 제34조 제1항, 시행령 제39조 제1항 | 모든 유출등 (규모·유형 무관) | 알게 된 때부터 72시간 이내 |
| 보호위원회·전문기관 신고 | 법 제34조 제3항, 시행령 제40조 제1항 | ① 1천 명 이상 유출 ② 민감정보 또는 고유식별정보 유출 ③ 외부로부터의 불법적인 접근에 의한 유출 | 알게 된 때부터 72시간 이내 |
통지문에 무엇을 적을지는 법 제34조 제1항이 다섯 가지로 정해 두었고, 2026년 9월 11일 시행 개정법이 손해배상·분쟁조정 등 권리 안내를 여섯째로 더했습니다. 다른 회사들이 그 칸을 실제로 어떻게 채웠는지는 [공개 통지문 모음](/breach-notices/)에 모아 두었습니다 — 새로 들어간 여섯째 칸은 지금까지의 문안에서 거의 확인되지 않습니다.
정보주체 통지는 단 한 명분이 유출되어도 적용되고, 통지하지 않으면 3천만 원 이하의 과태료 대상입니다(법 제75조 제2항 제17호). 신고는 시행령 제40조 제1항의 세 경우 중 하나에 해당할 때 의무가 되는데, 각 요건을 뜯어보면 신고 대상이 아닌 사고가 오히려 드뭅니다. 민감정보나 고유식별정보(주민등록번호 등)는 1건이 유출되어도 신고 대상이고, 해킹처럼 외부의 불법적인 접근으로 유출되었다면 규모와 무관하게 신고 대상입니다. 신고를 받는 전문기관은 한국인터넷진흥원입니다(시행령 제40조 제3항).
의무자가 누구인지는 데이터를 어디에서 받았는지로 갈리지 않습니다. 제휴사 API를 통해 넘어와 우리 서버에 남아 있던 개인정보가 유출됐다면 통지·신고 의무는 그것을 보유한 쪽에 있습니다. 그 구조는 3단계의 제휴 API 글에서 조문 단위로 정리했습니다.
### 석 달 전 침입인데 시계는 오늘부터 돕니다
기산점은 유출이 발생한 시점이 아니라 유출을 "알게 되었을 때"입니다. 법 제34조 제1항은 유출등을 알게 되었을 때 지체 없이 정보주체에게 알리도록 하고, 시행령 제39조 제1항과 제40조 제1항이 그 기한을 알게 된 때부터 72시간 이내로 구체화하고 있습니다. 침입이 석 달 전에 있었더라도 시계는 회사가 인지한 순간부터 돌기 시작하고, 반대로 원인 규명이 끝나야 시계가 시작되는 것도 아닙니다.
실무에서 먼저 해야 할 일은 인지 시점의 기록입니다. 누가, 몇 시에, 무엇을 근거로 유출을 인지했는지를 문서로 남겨 두어야 합니다. 72시간 준수 여부는 결국 기산점을 어디로 보느냐의 문제인데, 인지 경위에 대한 기록이 없으면 이후 조사 과정에서 회사 스스로 기산점을 설명할 수단이 없어집니다.
### 초기 72시간에 하면 안 되는 일 세 가지
첫째, 성급한 원인 단정입니다. 확인되지 않은 원인이나 규모를 초기 공지에 단정적으로 쓰는 경우가 있습니다. "외부 침입 흔적은 없습니다", "유출 규모는 ○건에 한정됩니다" 같은 문장이 뒤에 뒤집히면, 정정 자체가 이후 조사와 분쟁에서 회사 설명 전체의 신뢰성 문제로 남습니다. 시행령 제39조 제2항이 "그때까지 확인된 내용"을 알리고 추가 확인분은 즉시 통지하는 2단 구조를 마련해 둔 이유가 여기에 있습니다. 확인된 것과 확인 중인 것을 구분해서 쓰는 것이 법이 예정한 방식입니다.
둘째, 축소 통지입니다. 통지 대상을 임의로 좁히거나, 법 제34조 제1항 각 호 중 일부(특히 유출 항목이나 경위)를 빼고 알리는 것입니다. 통지 의무 위반은 3천만 원 이하의 과태료 대상이지만(법 제75조 제2항 제17호), 과태료만의 문제가 아닙니다. 2026년 9월 11일부터 통지 사항에 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법 안내가 추가됐습니다(개정 법 제34조 제1항 제6호). 통지문이 사과문이 아니라 정보주체의 권리 행사 안내문의 성격을 갖게 되는 것이고, 축소 통지는 그 출발점부터 어긋난 문서가 됩니다.
셋째, 로그 미보전입니다. 침해 대응을 서두르다 서버를 초기화·재설치하거나 접속기록을 덮어써 버리는 경우입니다. 개인정보처리시스템 접속기록은 1년 이상, 5만 명 이상의 정보주체를 처리하거나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관해야 하고(「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2026-9호) 제8조 제1항), 위·변조·도난·분실되지 않도록 안전하게 보관할 의무도 있습니다(같은 조 제3항). 더 중요한 것은 방어의 관점입니다. 유출에 대한 과징금 규정에는 안전성 확보에 필요한 조치를 다한 경우에는 부과하지 않는다는 단서가 있고(법 제64조의2 제1항 제9호 단서), 과징금 산정 시 암호화 등 안전성 확보 조치 이행 노력이 고려 요소로 열거되어 있습니다(같은 조 제4항 제4호). 그 조치를 다했다는 사실을 보여줄 수 있는 것이 로그입니다. 로그를 지우는 것은 의무 위반을 하나 추가하면서, 동시에 방어의 재료를 스스로 없애는 일입니다.
### 72시간 안에 한 일이 나중에 과징금에 어떻게 반영되나
개인정보가 유출된 경우 전체 매출액의 3%를 초과하지 않는 범위에서 과징금이 부과될 수 있습니다(법 제64조의2 제1항 제9호. 매출액이 없거나 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억 원 이내). 법 제64조의2 제5항은 과징금 부과 시 고려할 사항을 열거하고 있는데, 그중에는 안전성 확보 조치 이행 노력(제4호), 피해의 회복 및 피해 확산 방지 조치의 이행 여부(제6호), 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부(제11호)가 들어 있습니다. 위반의 내용·정도가 경미한 경우 등에는 과징금을 부과하지 않을 수 있다는 규정도 있습니다(같은 조 제5항 제3호·제4호).
다만 2026년 9월 11일 개정으로 이 조문의 구조가 바뀌었으므로 개정 전 자료를 인용할 때 주의해야 합니다. 3년 내 반복 위반, 피해 정보주체 1천만 명 이상, 시정명령 불이행 후 유출 같은 경우에 전체 매출액의 100분의 10(매출액 산정이 곤란하면 50억 원)까지 부과할 수 있는 가중 규정이 제2항으로 신설되면서, 종전 제4항의 고려사항은 제5항으로, 과징금을 부과하지 않을 수 있는 사유는 제7항으로 밀렸고, 개인정보 보호를 위한 예산·인력·설비 투자와 운영 실적이 있는 경우의 감경 규정이 제6항으로 신설됐습니다(법률 제21445호).
그 단계와 조정 사유가 금액을 얼마나 움직이는지는 [과징금·과태료 산정 계산기](/fine-calculator/)에 매출액을 넣어 확인할 수 있습니다. 통지·신고를 제때 하지 않았을 때의 과태료도 같은 화면에서 항목별로 계산됩니다.
민사 쪽도 같은 구조입니다. 손해배상액을 정할 때 법 제39조 제4항은 유출된 개인정보를 회수하기 위해 노력한 정도(제7호)와 피해구제를 위해 노력한 정도(제8호)를 고려하도록 합니다. 초기 72시간의 행위(확산 방지 조치, 통지·신고, 조사 협조)는 그 자체로 법이 과징금과 배상액 판단에서 고려하도록 정해 둔 항목들입니다. 결과가 어떻게 될지는 개별 사안마다 다르고 누구도 예측할 수 없지만, 무엇이 고려 대상인지는 조문에 이미 적혀 있습니다. 사고 당일의 기록은 규제 대응 문서이면서 동시에 소송 자료이고, 그때 남기지 않으면 나중에 만들 수 없습니다.
### 2026년 9월 11일부터 통지·신고에서 달라진 것
2026년 3월 10일 공포된 개정 개인정보 보호법(법률 제21445호)이 2026년 9월 11일 시행됐습니다. 이 단계와 직결되는 변화는 넷입니다.
첫째, "유출등"의 범위가 넓어집니다. 현행 제34조 제1항은 분실·도난·유출 세 가지를 "이 조에서" 통용되는 약칭으로 정의하고 있는데, 개정법은 이 정의를 삭제하고 제23조 제2항에 분실·도난·유출·위조·변조 또는 훼손을 "유출등"으로 정의하는 문언을 두었습니다. 제23조는 민감정보의 처리 제한을 정한 조문이지만 이 약칭에는 "이 조에서"라는 한정이 없고, 제34조가 자체 정의를 버린 이상 그 조문의 유출등은 제23조 제2항을 원용할 수밖에 없습니다. 밖으로 나간 것이 확인되지 않은 랜섬웨어 암호화 사고가 통지·신고 대상이 되는지는 이 지점에서 갈리며, 조문 단위 정리는 1단계의 글에 있습니다.
둘째, 유출 "가능성" 단계의 통지 의무가 신설됩니다. 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때, 가능성이 있는 모든 정보주체에게 피해 최소화 정보 등을 알려야 합니다(개정 법 제34조 제2항). 확정된 유출만 알리면 되던 구조가 바뀌는 것입니다.
셋째, 통지 사항이 늘어납니다. 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법 안내(신설 제6호), 대통령령으로 정하는 사항(신설 제7호)이 추가되고, 피해 최소화 방법 안내는 "구체적인" 정보여야 한다는 문구로 강화됩니다. 이에 따라 항 번호도 밀려서, 현행 제34조 제3항의 신고 의무는 개정법에서 제4항이 됩니다.
넷째, 이 개정을 구체화할 시행령이 공포됐습니다. 개인정보보호위원회가 2026년 6월 2일 입법예고한 시행령 일부개정령안(개인정보보호위원회 공고 제2026-59호, 예고기간 2026년 6월 2일~7월 13일)은 2026년 8월 31일 법제처 심사를 거쳐 **2026년 9월 10일 대통령령 제36671호로 공포**됐습니다. 부칙 제1조의 시행일은 법률과 같은 9월 11일입니다. 제39조의2는 유출 가능성 통지의 요건을 ① 개인정보처리시스템이나 개인정보취급자의 정보기기에 불법적인 접근이 있어 유출등이 의심되지만 어느 정보주체의 개인정보인지 특정하기 곤란한 경우(불법 접근을 알게 된 때) ② 일부 개인정보가 제3자에 의해 거래되는 등 유출등이 확인됐고 다른 정보주체의 개인정보도 유출됐을 수 있다고 인정되는 경우(그 사실을 알게 된 때)로 정하고, 통지 사항으로 가능성 있는 개인정보 항목, 의심되는 시점과 경위, 피해 최소화 방법·대응조치·담당부서, 유출 여부가 확정되면 추가 통지한다는 사실을 들었습니다. 제39조의3은 기한을 위 시점부터 72시간 이내로 정하고, 기한 안에 실제 유출이 확인되면 제34조 제1항의 통지로 갈음하며, 실제로 유출되지 않았음이 확인되면 그 사실도 즉시 통지하도록 합니다. 연락처를 알 수 없는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시하는 것으로 갈음할 수 있습니다. 신설 제7호의 추가 통지 사항은 공포본에도 따로 정해지지 않았습니다. 이제 확정된 문언이므로 통지문 서식을 이 조문으로 만들 수 있습니다.
### 숫자로 본 현실
개인정보보호위원회와 한국인터넷진흥원이 2026년 5월 15일 발간한 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」에 따르면, 2025년 접수된 유출 신고는 447건으로 2024년 307건 대비 약 45.6% 증가했습니다. 원인별로는 해킹이 62%(276건), 업무 과실이 25%(110건), 시스템 오류가 5%(24건)였습니다. 같은 해 개인정보위의 조사·처분은 총 227건, 과징금은 40건 1,677억 원, 과태료는 125건 5억 8,720만 원이었고, 이 중 115건이 유출 관련 조사·처분이었습니다.
두 가지를 눈여겨볼 만합니다. 민간 부문 처분 150건의 절반인 75건이 중소기업이었으므로, 규모가 작다고 조사와 처분을 비켜 가지 않습니다. 그리고 유출 원인의 25%가 업무 과실이어서, 메일 오발송·첨부 실수·접근권한 설정 오류도 해킹과 똑같이 법 제34조의 통지·신고 절차를 작동시킵니다.
### 72시간 체크리스트
인지 직후
- [ ] 인지 시각, 인지 경위, 인지자를 문서로 기록하라
- [ ] 접속기록과 서버 로그의 사본을 별도 보전하라 (고시 제8조)
- [ ] 접속경로 차단 등 확산 방지 조치를 하되, 로그를 지우는 방식은 피하라 (법 제34조 제3항)
24시간 내
- [ ] 신고 대상 여부를 판단하라: 1천 명 이상인지, 민감정보·고유식별정보인지, 외부 불법접근인지 (시행령 제40조 제1항)
- [ ] 확인된 사실과 확인 중인 사항을 구분한 사실관계 문서를 만들어라
- [ ] 법 제34조 제1항 각 호를 기준으로 통지 문안을 준비하라
72시간 내
- [ ] 확인된 내용만으로라도 정보주체에게 우선 통지하라 (시행령 제39조 제2항)
- [ ] 신고 대상이면 보호위원회 또는 한국인터넷진흥원에 우선 신고하라 (시행령 제40조 제1항·제2항)
- [ ] 연락처를 알 수 없는 정보주체가 있으면 홈페이지 30일 이상 게시를 검토하라 (시행령 제39조 제3항)
그 이후
- [ ] 추가로 확인되는 내용은 확인되는 즉시 통지·신고하라
- [ ] 피해 최소화 대책의 이행 내역을 기록으로 남겨라 (법 제64조의2 제5항 제6호)
- [ ] 조사에 대비해 안전조치 이행 자료를 정리하라 (법 제64조의2 제1항 제9호 단서)
72시간은 대응의 전부가 아니라 입구입니다. 뒤로 개인정보보호위원회의 자료제출 요구와 검사(법 제63조), 사전 실태점검(제63조의2), 시정조치·과징금·과태료·고발과 공표(제64조·제64조의2·제75조·제65조·제66조), 그리고 손해배상과 집단분쟁조정(제39조·제39조의2·제49조)이 차례로 오고, 이 페이지의 4단계부터가 그 순서입니다. 마지막 단계에서 회사가 받아 드는 조정안에는 회신 기한이 15일이고, 회신하지 않으면 수락으로 봅니다. 그 기한과 효력은 [조정안을 받고 15일 안에 회신하지 않으면 수락입니다](/posts/breach-mediation-acceptance-clock/)에, 여섯 단계 각각의 조문과 9월 개정이 배상 조문까지는 오지 않는 이유는 [유출 통지·신고를 마친 다음 — 조사·처분·분쟁으로 이어지는 여섯 단계](/posts/after-breach-notification-stages/)에 정리해 두었습니다. 유출 통지·신고 의무(법 제34조) 위반으로 실제 부과된 처분은 [개인정보 유출 통지·신고 위반 제재 사례](/sanctions/article-34/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다.
본사 인시던트 대응 절차서를 쓰는 회사는 여기서 한 번 걸립니다. GDPR 기준 절차서는 위험도 평가를 첫 분기점에 두는데, 한국법 제34조 제1항은 위험 정도를 요건으로 삼지 않습니다. 암호화에 따른 통지 면제도 없습니다.
→ [본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나](/posts/global-breach-playbook-korea-gap/)
## 3단계 — 원인이 무엇이든 신고 의무자는 우리인가
원인별로 "우리가 피해자인데 왜 우리가 의무자인가"라는 질문이 반복됩니다. 아래는 그 질문이 실제로 나오는 네 가지 상황입니다.
**직원의 업무 과실** — 제64조의2 제1항 제9호는 '유출된 경우' 자체를 사유로 정하고 원인을 묻지 않습니다. 2025년 유출 관련 조사·처분 115건에서 원인 1위가 업무 과실(53건, 46%)이었습니다.
→ [해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가](/posts/human-error-breach-sanctions/)
**퇴사자의 데이터 반출** — 회사는 영업비밀 침해 사건의 원고이면서 동시에 개인정보 유출의 통지 의무자입니다. 두 자리가 같은 사실관계 위에서 서로 반대 방향을 요구하는데, 어느 쪽을 먼저 확정해야 하는지는 아래 글에 있습니다.
→ [퇴사자가 고객 데이터를 가지고 나갔습니다 — 우리는 피해자인데 왜 신고 의무자인가](/posts/employee-data-exfiltration-dual-duty/)
**수탁사에서 난 사고** — 콜센터·배송·전산 유지보수 어느 쪽이든 책임의 무게중심은 위탁사에 있습니다.
→ [수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나](/posts/processor-breach-consignor-liability/)
**고객 사업장에 놓인 우리 장비** — 기준은 장비가 어디에 있는지가 아니라 인증과 접속통제를 누가 하는지입니다. 키오스크·단말·온프레미스 설치형 제품을 고객사에 두는 회사에 그대로 적용됩니다.
→ [우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가](/posts/who-controls-devices-at-customer-sites/)
받는 쪽이 되는 경우도 있습니다. 요청하지 않은 개인정보가 제휴 API 응답에 섞여 들어와 보관되고 있었다면, 받은 쪽이 어느 조문의 수범자가 되는지부터 갈라야 합니다.
→ [제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가](/posts/api-response-unrequested-personal-data/)
원인을 하나씩 짚은 뒤에는 전체를 유형으로 놓고 볼 수 있습니다. 유출 경위가 기재된 결정문 180건은 여섯 유형으로 갈리고 과징금 부과율은 0%에서 54%까지 벌어지는데, 담당자의 단순 실수 38건에 과징금이 한 건도 없었던 이유는 유출 규모가 아니라 위원회가 거는 조문에 있습니다.
→ [우리 회사 유출은 어느 유형인가 — 개인정보위 결정문 180건의 경위 분류와, 유형마다 갈린 처분](/posts/breach-cause-typology/)
## 4단계 — 조사와 처분
실제 처분이 어디에 어떤 유형으로 내려지는지는 통계로 보는 편이 빠릅니다. 2026년 상반기 개인정보위는 38개 사업자·기관에 과징금 6,806억 7,100만 원을 부과했고, 위반유형 1위는 안전조치의무였습니다.
→ [2026년 상반기 개인정보위 제재 정리: 과징금 6,807억 원은 어디에 부과됐나](/sanctions/)
조문 단위로도 갈라 볼 수 있습니다. [안전조치의무(제29조) 452건](/sanctions/article-29/)에서 과징금은 99건이고, [유출 통지·신고(제34조) 81건](/sanctions/article-34/)에서는 **통지·신고 해태만으로 과징금이 부과된 사건이 확인되지 않습니다.** 신고를 늦게 한 것과 안전조치가 미흡했던 것은 처분의 무게가 다릅니다.
금액의 셈법은 2026년 9월 11일부터 달라졌습니다. 중대·반복 위반의 상한이 매출액 10%가 되고, 신속 신고를 감경 요소로, 은폐를 가중 요소로 다루는 방향이 함께 움직이고 있습니다.
→ [2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로](/posts/breach-response-calculus-shift/)
셈법이 바뀌어도 감경을 주장하고 입증하는 부담은 조사받는 회사에 있습니다. 2026년 결정문 세 건에서 실제로 금액을 깎은 사유가 무엇이었는지는 아래 글에 정리했습니다.
→ [과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유](/posts/pipc-fine-mitigation-factors/)
피해 회복 조치는 고시상 감경 사유이지만, 보상 사실이 결정문에 적혔다고 해서 모두 산정에 반영되지는 않았습니다. 사고 직후 보상안을 결재할 때 무엇을 봐야 하는지는 아래 글이 다룹니다.
→ [유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경](/posts/voluntary-compensation-fine-mitigation/)
조사가 유출 사고에서만 시작되는 것은 아닙니다. 위반 혐의도 신고도 없을 때 나오는 사전 실태점검이라는 입구가 따로 있고, 거기서 받은 시정권고를 수락하면 시정조치 명령을 받은 것으로 보기 때문에 수락은 협조가 아니라 지위가 바뀌는 결정입니다.
→ [개인정보위가 혐의 없이 점검을 나왔습니다 — 시정권고를 수락하면 그때부터 무엇이 달라지나](/posts/pre-inspection-recommendation-acceptance/)
## 5단계 — 공표는 금액과 따로 결정됩니다
같은 날 의결된 사건에서 과태료가 더 많은 회사는 공표되지 않고 더 적은 회사가 1년간 공표된 사례가 있습니다. **금액과 공표는 같은 저울에 있지 않다**는 뜻이고, 그래서 의견제출도 두 갈래로 나누어 준비해야 합니다. 어느 요건에서 갈렸는지는 아래 글이 의결서 단위로 대조해 두었습니다.
→ [과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가](/posts/pipc-result-publication-criteria/)
## 6단계 — 처분이 끝난 뒤의 책임 배분
사고 대응은 처분으로 끝나지 않습니다. 위탁 관계였다면 그다음이 기업 간 책임 배분입니다.
계약이 끝난 뒤에 남아 있던 데이터에서 사고가 난 경우에는 처분이 발주사가 아니라 수탁사에게 온 사례가 있습니다. 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하기 때문입니다.
→ [위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가](/posts/vendor-data-after-contract-ends/)
먼저 배상한 쪽이 상대에게 돌려받는 경로는 열려 있지만, 돌아오는 금액은 배상액 전액이 아닙니다. 비율이 어떻게 정해지고 무엇이 그것을 가르는지는 아래 글에 있습니다.
→ [수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가](/posts/processor-indemnity-recourse-ratio/)
책임을 나눈 뒤에는 그 손실을 어느 보험이 덮는지가 남습니다. 배상책임보험은 정보주체에 대한 손해배상금을 덮고 공개된 약관은 과징금을 제외하므로, 이사에게 오는 청구까지 포함해 보험별 범위를 아래 글에서 확인하실 수 있습니다.
→ [유출 과징금도 보험으로 처리되나요? 과징금 특약과 D&O 면책 조항](/posts/breach-fine-insurance-coverage/)
### 처분과 별개로 정보주체가 직접 청구해 오면 얼마가 인정되나
개인정보보호위원회의 처분과 정보주체의 민사 손해배상은 별개로 판단됩니다. 안전조치의무 위반으로 과징금이 부과된 사건에서도 민사에서는 청구가 기각되고 대법원에서 확정된 예가 있습니다(대법원 2023다311184). 그 판결은 법정손해배상(제39조의2) 청구에서도 개인정보처리자가 정신적 손해의 부존재를 증명하면 면책된다고 정리했습니다.
대량 유출 사건에서 결과를 가르는 것은 유출 사실 자체가 아니라, 유출된 정보가 실제로 제3자에게 유통·열람됐는가입니다. 법원은 유출된 정보의 종류와 성격, 정보주체 식별 가능성, 제3자의 열람 여부 또는 열람 가능성, 유출 범위와 확산 정도, 개인정보를 처리하는 자의 관리 실태와 유출 경위, 피해 확산을 막기 위해 취한 조치를 함께 봅니다(대법원 2012. 12. 26. 선고 2011다59834). 직원이나 기관이 특정인의 정보를 조회·누설한 내부자 누설은 피해자 한 사람의 사정을 따져 액수를 정하므로 인정액의 폭이 대량 유출보다 훨씬 넓고, 두 유형의 금액을 섞어 평균을 내면 안 됩니다.
→ [유출 손해배상 판결 정리](/damages/)
소송까지 가지 않고 끝나는 구제 절차가 분쟁조정이고, 실제로 가장 많이 쓰입니다. 개인정보분쟁조정위원회가 조정안을 제시하고 양쪽이 수락하면 재판상 화해와 같은 효력이 생기며, 조정안을 받은 날부터 15일 안에 수락 여부를 알리지 않으면 수락한 것으로 봅니다(제47조 제3항). 공개된 조정 사례는 비실명이어서 피신청인 회사 이름이 나오지 않고, 사건은 업종과 침해유형으로 특정됩니다.
→ [개인정보 분쟁조정 사례 조회](/mediation/)
## 자주 묻는 질문
**Q. 유출 규모를 아직 파악하지 못했는데 72시간을 넘겨도 되나요?**
원칙적으로 안 됩니다. 확인된 내용만으로 72시간 안에 우선 통지·우선 신고하고, 추가로 확인되는 내용을 즉시 보태는 것이 시행령이 정한 절차입니다(제39조 제2항, 제40조 제2항). 기한을 미룰 수 있는 예외는 좁고 통지와 신고가 서로 다른데, 그 구분은 위 2단계에 조문 단위로 정리돼 있습니다. 유출 경로가 확인되어 회수·삭제로 침해 가능성이 현저히 낮아지면 신고는 면할 수 있으나(제40조 제1항 단서 후단), 정보주체 통지에는 그런 면제 규정이 없습니다.
**Q. 초기 대응 중에 서버를 재설치했는데 문제가 되나요?**
문제가 됩니다. 침해 대응을 서두르다 서버를 초기화·재설치하거나 접속기록을 덮어쓰면 두 가지가 동시에 일어납니다. 첫째, 접속기록 보관 의무 위반입니다. 개인정보처리시스템 접속기록은 1년 이상, 5만 명 이상의 정보주체를 처리하거나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관해야 하고, 위·변조·도난·분실되지 않도록 안전하게 보관할 의무도 있습니다(「개인정보의 안전성 확보조치 기준」 제8조 제1항·제3항). 둘째, 방어의 재료가 사라집니다. 유출 과징금에는 안전성 확보에 필요한 조치를 다한 경우 부과하지 않는다는 단서가 있고(법 제64조의2 제1항 제9호 단서), 산정 시에도 안전조치 이행 노력이 고려 요소입니다(같은 조 제4항 제4호). 그 조치를 다했다는 사실을 보여줄 수단이 로그입니다.
**Q. 해킹이 아니라 직원 실수인데도 과징금 대상인가요?**
대상이 됩니다. 과징금 조항은 유출이라는 결과를 사유로 삼고 원인의 종류를 요건으로 두지 않으며, 2025년 유출 관련 조사·처분에서도 원인 1위는 해킹이 아니라 업무 과실이었습니다. 원인은 처분 여부가 아니라 금액 쪽에서 안전조치 이행 수준과 사후 대응을 통해 반영됩니다. 조문과 건수는 3단계가 가리키는 글에 있습니다.
**Q. 수탁사에서 사고가 났는데 우리도 처분을 받나요?**
사고 국면과 계약 종료 국면이 다릅니다. 수탁사 직원의 과실로 사고가 난 경우 책임의 무게중심은 위탁사에 있고, 제26조 제4항·제7항과 제64조의2 제1항 제5호가 그 구조를 만듭니다. 반면 계약이 끝난 뒤 수탁사가 파기하지 않아 생긴 사고에서는 제26조 제8항의 준용에 따라 수탁사 자신이 처분 대상이 된 사례가 있습니다.
## 관련 가이드
- [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)
- [위탁·수탁 개인정보 책임 지도](/guides/outsourcing-liability/)
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) · [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) — 국가법령정보센터
- [개인정보의 안전성 확보조치 기준](https://www.law.go.kr/행정규칙/개인정보의안전성확보조치기준) — 국가법령정보센터(행정규칙)
- [개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 원문](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) — 국가법령정보센터 시행예정 법령
- [개인정보위, 2025년 개인정보 유출 신고 및 조사·처분 사례 분석결과 보도자료](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12078) — 개인정보보호위원회
- [개인정보보호위원회 처분 결과 공표](https://www.pipc.go.kr/) — 개인정보보호위원회
---
# [가이드] 위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나
- URL: https://datalaw.kr/guides/outsourcing-liability/
- 이 페이지는 개별 글 8편을 하나의 주제로 묶은 안내 페이지입니다. 각 글의 전문은 아래에 따로 실려 있습니다.
- 요약: 본사 DPA가 적어 보낸 processor라는 명칭을 한국법 어느 자리에 놓느냐에서 위탁 관계의 판단이 갈립니다. 우리가 위탁자인지 수탁자인지, 어떤 도구가 '위탁'이고 어떤 것이 '제공'인지, 사고가 났을 때와 계약이 끝난 뒤에 처분이 어느 쪽으로 가는지, 먼저 배상한 쪽은 얼마나 돌려받는지 — 다섯 국면에서 어느 글을 읽어야 하는지를 계약 진행 순서대로 묶은 지도입니다.
> **핵심 요약** — 위탁 관계에서 실무상 갈리는 질문은 "계약서에 뭐라고 썼는가"가 아니라 다섯입니다. ① 우리가 어느 자리인가 ② 이 도구가 위탁인가 제공인가 ③ 사고가 나면 처분이 어느 쪽으로 가는가 ④ 계약이 끝난 뒤에는 어떻게 되는가 ⑤ 먼저 배상한 쪽이 얼마나 돌려받는가. 이 페이지는 다섯 질문에 각각 어느 글이 답하는지를 계약 진행 순서대로 묶은 지도입니다. 방향만 미리 적어 두면 **사고 국면에서는 무게중심이 위탁사 쪽이고(제26조 제4항·제7항), 계약이 끝난 뒤에는 수탁사 쪽으로 넘어갑니다.** 그 갈림을 만드는 제26조 제8항의 준용 범위는 1번 글이 다룹니다.
📄 **PDF판** — [이 가이드를 PDF로 내려받아](/pdf/outsourcing-liability.pdf) 사내·팀에 그대로 전달할 수 있습니다.
위탁 관계에서 생기는 분쟁은 대부분 **자리를 잘못 잡은 데서** 출발합니다. 본사 계약서의 명칭을 그대로 가져오거나, 도구를 전부 한 칸에 몰아 적어 두었다가 사고가 난 뒤에야 어긋난 것을 확인하게 됩니다. 이 페이지는 그 지점들을 계약의 진행 순서대로 묶었습니다.
## 1. 우리는 어느 자리에 있나
시작점은 지위 판별입니다. 본사가 보내온 DPA가 한국 법인을 processor로 적어 왔다면, 그 단어에 대응하는 자리가 한국법에 없다는 것부터 확인해야 합니다.
→ [본사 DPA가 우리를 processor로 적어 왔습니다 — 한국법에는 그 자리가 없습니다](/posts/global-dpa-korea-transfer-contract-gap/)
지위는 계약서 명칭이 아니라 **누가 결정하고 누가 통제하는지**로 갈립니다. 장비가 고객 사업장에 놓여 있어도 인증과 접속통제를 우리가 하고 있으면 실질 운영주체는 우리입니다.
→ [우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가](/posts/who-controls-devices-at-customer-sites/)
## 2. 이 도구는 위탁인가, 제공인가
처리방침을 쓸 때 SDK·분석 도구·광고 픽셀을 전부 '위탁' 표에 몰아 적는 경우가 많습니다. 그런데 국외이전 근거 조문은 이 둘을 같은 칸으로 보지 않습니다. 어느 도구가 어느 칸이고 잘못 적으면 무엇이 비는지는 아래 글에서 조문 단위로 갈라 두었습니다.
→ [처리방침에 SDK를 모두 '위탁'으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가](/posts/sdk-processor-vs-third-party-transfer/)
국외로 넘기는 구간이면 근거를 고르는 것과 별개로 **계약에 무엇을 반영했는지**가 따로 걸립니다. 본사 표준 DPA에 서명한 것만으로는 그 자리가 채워지지 않는데, 이 부분은 위 1번의 [본사 DPA 글](/posts/global-dpa-korea-transfer-contract-gap/)이 계약 반영 의무(제28조의8 제4항, 시행령 제29조의10)까지 함께 다룹니다.
반대로 우리가 받는 쪽일 때도 칸을 확인해야 합니다. 요청한 적 없는 항목이 제휴 API 응답에 섞여 들어와 보관되고 있으면, 받은 쪽이 어느 조문의 수범자인지가 먼저 정리되어야 합니다.
→ [제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가](/posts/api-response-unrequested-personal-data/)
어느 칸인지 가르는 질문은 회사를 사고파는 국면에서도 그대로 걸립니다. 거래가 성사되기 전 데이터룸에 올리는 고객 정보는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공으로 돌아오고, 동의나 계약 이행으로 모은 정보에는 수집 목적 범위 제공을 쓸 수 없습니다.
→ [실사 자료로 고객 개인정보를 넘겨받았습니다 — 영업양도 조항은 이 단계를 덮지 않습니다](/posts/business-transfer-notice-both-parties/)
## 3. 계약이 살아 있는 동안 사고가 나면
수탁사 직원의 과실로 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 제26조 제4항·제7항과 제64조의2 제1항 제5호가 그 구조를 만듭니다. 수탁사에게 자기 의무가 없다는 뜻은 아니고, 두 층이 겹쳐 있는 상태입니다.
→ [수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나](/posts/processor-breach-consignor-liability/)
실제 처분은 대부분 과태료입니다. [위탁 조문(제26조)이 인정된 54건](/sanctions/article-26/) 중 35건이 과태료이고, 34건은 다른 조문 없이 이 조문만으로 처분됐습니다 — 위탁 사실 미공개나 계약서 필수기재사항 누락처럼 서류에서 바로 확인되는 항목입니다.
다만 「위탁 위반은 과태료 사안」으로 정리해 두면 최근 변화를 놓칩니다. 결정문이 공개된 제26조 위반 의결 54건 가운데 **과징금이 9건이고, 그중 5건은 다른 조문 없이 제26조만으로 부과됐습니다.** 애플 24억 500만 원(2025. 1. 22. 의결) 이후로도 흐름이 이어져, 2026년 5월 13일 의결에서 보람상조 계열 3사(480만·420만·250만 원)가, 5월 27일 의결에서 행정안전부 2억 7,300만 원(제29조·제34조 함께 인정), 농촌진흥청 1억 6,800만 원, 국립농업과학원 2,310만 원이 들어왔습니다. 애플 건을 빼면 금액대는 수백만 원에서 수억 원대에 그치지만, 수탁자 관리·감독 부실은 다른 위반이 없어도 단독으로 과징금이 나올 수 있는 자리입니다.
## 4. 계약이 끝난 뒤에는 방향이 바뀝니다
계약 종료 시 파기하기로 합의하고도 지우지 않은 데이터에서 사고가 난 경우, 처분이 **발주사가 아니라 수탁사에게** 온 사례가 있습니다. 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.
계약서에 파기 조항을 넣어 두는 것과 파기를 확인한 기록을 남기는 것은 다릅니다. 종료 시점의 확인 절차가 나중에 양쪽 모두의 방어선이 됩니다.
→ [위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가](/posts/vendor-data-after-contract-ends/)
## 5. 먼저 배상한 쪽은 얼마나 돌려받나
먼저 배상한 쪽이 상대에게 돌려받는 경로는 열려 있지만, 돌아오는 금액은 배상액 전액이 아닙니다. 비율을 가르는 것도 감독을 얼마나 했느냐가 아니라 **데이터를 어떤 상태로 넘겼느냐**였습니다. 실제 판결의 비율과 그 이유는 아래 글에 있습니다.
→ [수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가](/posts/processor-indemnity-recourse-ratio/)
## 2026년 9월 11일 이후 달라지는 것
개정 개인정보 보호법이 신설한 개인정보 보호책임자 관련 과태료 세 호(제75조 제2항 제14호의2~4)는 **모두 제26조 제8항에 따라 수탁자에게 준용됩니다.** 업무를 위탁받아 처리하는 회사도 자기 이름으로 보호책임자 지정·이사회 의결·신고 의무를 지게 됩니다.
→ [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)
## 자주 묻는 질문
**Q. 본사 DPA가 우리를 processor로 적어 왔으면 한국법상 수탁자인가요?**
명칭만으로 정해지지 않습니다. 한국법에는 processor에 그대로 대응하는 자리가 없고, 지위는 계약서의 단어가 아니라 누가 처리를 결정하고 누가 통제하는지의 실질로 갈립니다(위 1번).
**Q. 위탁 관련 위반은 과태료로 끝나나요?**
대부분은 그랬지만 전부는 아닙니다. 제26조 인정 54건 중 35건이 과태료였고, 과징금 9건 중 5건은 다른 조문 없이 제26조만으로 부과됐습니다(위 3번).
**Q. 계약이 끝난 뒤 수탁사에 남아 있던 데이터에서 사고가 나면 누가 처분을 받나요?**
수탁사 자신이 처분 대상이 된 사례가 있습니다. 제26조 제8항의 준용 때문에 계약 종료 후에는 방향이 바뀝니다(위 4번).
## 관련 가이드
- [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](/guides/data-breach-response/)
- [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) · [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) — 국가법령정보센터
- [Personal Information Protection Act (영문본)](https://www.law.go.kr/LSW/eng/engLsSc.do?menuId=2§ion=lawNm&query=personal+information+protection+act) — 국가법령정보센터 영문법령
---
# 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건
- URL: https://datalaw.kr/posts/pipc-ai-enforcement-census/
- 게시 2026-09-12 · 태그: AI규제, 과징금제재, 개인정보보호법, 스타트업실무
- 요약: 개인정보보호위원회의 제재 의결 889건을 전수로 훑어, 인공지능이 쟁점이 된 의결 18건을 골라냈습니다. 그중 과징금이나 과태료가 붙은 것은 7건이고 나머지 11건은 권고와 경고로 끝났습니다. 금전 제재 7건을 보면 AI 자체가 아니라 그 옆의 것이 걸렸습니다. 학습에 쓴 원본 데이터의 수집 근거, 생체정보 동의, 국외이전, 평범한 API 취약점입니다. AI 학습을 이유로 과징금이 부과된 사건은 2021년 이루다 한 건뿐이고, 2024년과 2025년의 AI 사전 실태점검에서 위원회는 제15조 제1항 위반 「소지」를 적으면서도 처분하지 않았습니다.
> **핵심 요약**: 개인정보보호위원회의 제재 의결 889건에서 인공지능이 쟁점이 된 의결은 **적어도 18건**입니다. 그중 과징금이나 과태료가 붙은 것은 **7건**이고, 나머지 **11건**은 시정권고·개선권고·경고로 끝났습니다. 금전 제재 7건에서 실제로 걸린 것은 AI가 아니라 그 옆의 것이었습니다. 학습에 쓴 원본 데이터의 수집 근거(제18조 제1항), 생체정보 동의, 주민등록번호(제24조의2 제1항), API 취약점(제29조), 유출 신고 지연(제34조·제39조의4)입니다. **AI 학습·개발 자체를 이유로 과징금이 부과된 사건은 2021년 이루다(제2021-007-072호) 하나뿐**입니다. 2024년 3월과 2025년 4월의 AI 점검에서 위원회는 제15조 제1항·제18조 제1항 위반의 「소지」를 명시하고도 처분하지 않았고, 그 이유를 결정문에 적어 두었습니다.
AI 서비스를 만드는 회사의 법무 담당자가 가장 자주 받는 질문은 이렇습니다.
"우리가 이렇게 학습시키면 과징금이 나오나요?"
이 질문에 답하려면 뉴스가 아니라 의결서를 세어 봐야 합니다. 그래서 개인정보위가 지금까지 낸 제재 의결 전수를 훑고, 인공지능이 실제로 쟁점이 된 사건만 골라 읽었습니다.
## 어떻게 셌나
개인정보위 제재 의결 전수 889건의 결정문을 텍스트로 모아 두고, 열 개 낱말로 검색했습니다. 인공지능·머신러닝·딥러닝·생성형·학습데이터·안면인식·얼굴인식·프로파일링·챗봇·자동화된입니다.
1차로 29개 문서가 걸렸습니다. 여기서 낱말만 스친 것을 걸러야 했습니다. 자료제출 요구에 "자동화된 프로그램"으로 답변한 사건, 크리덴셜 스터핑의 "자동화된 공격 속도"를 설명한 사건, 업종을 소개하며 "인공지능 음원 분석"이라고 한 줄 적은 사건은 AI 사건이 아닙니다. 문맥을 읽어 걸러내고 남은 것이 18건입니다.
**이 수는 「적어도」입니다.** 본문이 스캔 이미지여서 텍스트가 열리지 않는 결정문은 이 검색 밖에 있습니다. 그리고 결정문이 공개되지 않은 의결도 있습니다. 세는 방식을 바꾸면 수도 바뀝니다. 예를 들어 맞춤형 광고 사건에서 "프로파일링"이나 "머신러닝"이 한 번씩 나오는 의결 두 건(제2022-014-104호, 제2023-002-003호)은 쟁점이 동의였으므로 제외했는데, 이를 AI 사건으로 넣으면 20건이 됩니다.
## 처분으로 간 7건은 무엇 때문이었나
| 의결 | 일자 | 대상 | 금전 제재 | 실제 위반 조문 |
|---|---|---|---|---|
| 제2021-007-072호 | 2021-04-28 | ㈜스캐터랩 | 과징금 5,550만·과태료 4,780만 | 제18조 제1항 등 |
| 제2021-013-101호 | 2021-08-25 | Facebook Inc.·Ireland | 과징금 44억 8,300만·19억 6,000만 | 정보통신망법 제22조 제1항 등 |
| 제2022-006-034호 | 2022-04-13 | 사업장(열화상 카메라) | 과태료 500만 | 제15조 제1항 |
| 제2022-007-046호 | 2022-04-27 | 인천공항 출입국·외국인청 | 과태료 100만 | 제26조 제2항 |
| 제2023-013-157호 | 2023-07-26 | ChatGPT 서비스 | 과태료 360만 | 제39조의4 제1항 |
| 제2025-011-035호 | 2025-05-14 | Elementary Innovation(테무) | 과징금 4억 9,000만 | 제24조의2 제1항 |
| 제2025-014-047호 | 2025-06-25 | TELUS International AI | 과징금 8,200만·과태료 720만 | 제29조·제34조 |
일곱 건을 나란히 놓으면 한 가지가 보입니다. **AI라서 걸린 것은 맨 위 하나뿐입니다.**
### AI 개발 자체가 위반이 된 유일한 사건
이루다 사건에서 위원회는 학습 DB에 저장된 카카오톡 대화문장 약 94억 건을 알고리즘에 학습시켜 모델을 만들고, 그중 약 1억 건을 응답 DB로 쓴 행위를 판단했습니다. 결론은 수집 목적 외 이용(제18조 제1항)이었습니다. 과징금 세 항목 중 이루다에 관한 것이 이 항목입니다.
회사는 가명정보 처리(제28조의2)에 해당한다고 다투었지만 받아들여지지 않았습니다.
### 나머지 여섯 건에서 AI는 배경이었습니다
**공장에 설치한 안면인식 카메라는 민감정보 조문으로 가지 않았습니다.** 2022년 4월 13일 의결(제2022-006-034호)은 코로나 대응으로 설치한 안면인식 열화상 카메라에 직원 얼굴과 이름을 동의 없이 등록한 사건입니다. 위원회는 열화상 카메라가 필요에 따라 설치 장소를 바꾸거나 목적 달성 후 철거될 수 있어 고정적·항구적 운영을 전제로 하는 영상정보처리기기에 해당하지 않는다고 보았습니다. 그래서 적용 조문은 제25조가 아니라 제15조였고, 지문 근태관리와 함께 제15조 제1항 위반으로 과태료 500만 원과 공표가 결정됐습니다.
**출입국 안면정보 사건은 AI 학습을 적법하다고 보았습니다.** 언론이 "안면 이미지 1억 7천만 건을 AI 업체에 넘겼다"고 보도한 그 사건입니다. 위원회는 얼굴 사진에서 특징점을 추출한 정보가 민감정보라고 보면서도, 출입국관리법이 생체정보 활용을 규정한 것을 「법령에서 민감정보의 처리를 허용하는 경우」로 인정했습니다. 그리고 안면 데이터를 출입국 관리시스템 고도화, 곧 AI 개발에 쓰는 것은 **당초 수집 목적 범위에 포함된다**고 판단했습니다.
그래서 남은 위반은 하나였습니다. 위탁하는 업무의 내용과 수탁자를 공개하지 않은 것(제26조 제2항)입니다. 과태료 100만 원이 부과됐습니다.
**ChatGPT 사건에서는 안전조치 위반이 부정됐습니다.** 2023년 3월 20일 17시부터 이튿날 2시까지 9시간 동안 일부 이용자의 성명·이메일·결제 주소·카드번호 끝 네 자리가 다른 이용자에게 노출된 사건입니다. 위원회는 원인이 된 오픈소스 캐시의 알려지지 않은 버그에 대해 「타사 소프트웨어의 알려지지 않은 오류로 인한 책임을 이를 사용하는 사업자에게 묻는 것은 어렵다」고 보았습니다. 회사가 시큐어 코딩을 이행하고 운영 환경과 거의 같은 환경에서 테스트한 자료를 낸 점도 함께 고려됐습니다.
과태료 360만 원이 붙은 것은 유출 신고를 24시간 안에 하지 않은 것(제39조의4 제1항) 하나입니다. 기준금액 600만 원에서 조사 협력을 이유로 40%가 감경된 금액입니다.
**테무 사건에는 안면인식이 그대로 적혀 있지만 판단되지 않았습니다.** 결정문은 판매자 입점 절차에서 신분증 사진과 얼굴 동영상을 안면인식으로 대조하는 「자동화된 온라인 얼굴 인증」을 사실관계로 상세히 기술합니다. 그런데 위법성 판단 항목은 하나입니다. 법적 근거 없이 주민등록번호를 처리한 것(제24조의2 제1항)입니다. 과징금 4억 9,000만 원은 전부 이 조문에서 나왔습니다.
**AI 학습데이터 회사의 과징금도 AI 때문이 아니었습니다.** TELUS International AI 사건은 한국 정보주체를 고용해 AI 학습데이터를 가공·평가하는 플랫폼에서 벌어졌습니다. 채용 지원자 DB를 호출하는 API를 업데이트하면서 취약점 점검과 시큐어 코딩을 하지 않아 13,622명의 정보가 유출됐습니다. 제29조 위반에 과징금 8,200만 원, 통지·신고 지연(제34조 제1항·제3항)에 과태료 720만 원입니다.
다만 이 사건에는 AI가 한 번 결정적으로 등장합니다. 회사는 매출이 계열사로 귀속되므로 관련 매출액이 없다고 주장했는데, 위원회는 **기여자가 생성한 데이터를 다른 회사의 AI 학습에 제공하고 있다는 점**을 들어 개인정보 처리와 매출 사이에 관련성이 없다고 볼 수 없다고 했습니다. AI 학습데이터 사업이라는 사실이 과징금의 분모를 넓히는 쪽으로 쓰인 셈입니다.
## 권고로 끝난 11건에서 위원회는 무엇을 미뤘나
나머지 11건은 「주요 인공지능(AI) 서비스 사전 실태점검」을 비롯한 점검 사건입니다.
| 의결 | 일자 | 대상 | 결과 |
|---|---|---|---|
| 제2024-006-169호 ~ 174호 | 2024-03-27 | LLM 관련 사업자 등 6곳 | 개선권고 |
| 제2024-010-184호 | 2024-06-12 | 통화녹음·요약·통역 AI(기간통신사업자) | 시정권고·개선권고·경고 |
| 제2024-010-185호 | 2024-06-12 | 이미지 생성형 AI(스노우) | 개선권고 |
| 제2025-009-026호 | 2025-04-23 | DeepSeek | 시정권고·개선권고 |
| 제2025-011-028호 | 2025-05-14 | 한국교육학술정보원(AI 디지털교과서) | 시정권고·개선권고 |
| 제2026-009-064호 | 2026-05-27 | 과학기술정보통신부(안면인증 제도) | 개선권고 |
### 위반 「소지」는 적고 처분은 하지 않았습니다
2024년 3월 점검에서 위원회는 공개된 데이터로 LLM을 학습시키는 행위를 정면으로 검토했습니다. 사업자는 동의 의사가 추단되거나 정당한 이익이 있다고 주장했고, 위원회는 둘 다 받아들이지 않았습니다. 주민등록번호처럼 관리자나 이용자의 부주의로 노출된 정보에는 공개 의도가 추단될 여지가 없다고 보았고(대법원 2016. 8. 17. 선고 2014다235080 판결), 정당한 이익도 대법원 2023. 6. 29. 선고 2018도1917 판결의 고려 요소에 비추어 인정하지 않았습니다.
그러고는 이렇게 정리했습니다. 「보호법 제15조 제1항 위반에 해당할 소지가 있다.」
그다음 문장이 이 글의 핵심입니다. 위원회는 이번 점검이 사전 실태점검 방식으로 진행됐고, 실제 학습데이터에 고유식별정보가 포함됐다는 것까지는 입증하지 않았으며, 학습데이터에서 개인정보를 제거하는 구체적 방안을 처음 제시하는 점을 고려해 **개선을 권고한다**고 했습니다. 각주에는 이유가 한 줄로 붙어 있습니다. 「사전 실태점검 목적은 과징금·과태료 처분이 아닌 개인정보 보호의 취약점을 사전에 점검·개선하기 위함.」
같은 태도가 2023년과 2025년에도 나옵니다.
ChatGPT 사건의 결정문은 학습 방법에 관한 자료가 「일반적 수준의 언급에 그치고」 세부 설명이 부족했다고 적은 뒤, 「초거대 생성형 인공지능 서비스는 최근 가시화된 서비스로 법 적용 기준 등이 아직 불명확한 상황이므로 즉각적인 조사·처분 또한 어려움이 있다」고 썼습니다. 각주에는 행정조사기본법 제4조 제1항·제4항을 들어 「현시점에서 위법성 입증 및 처분을 위한 조사를 실시하지 않음」이라고 적혀 있습니다.
DeepSeek 사건에서도 위원회는 프롬프트 입력 정보를 학습에 쓴 행위가 제15조 제1항의 범위를 초과해 제18조 제1항을 위반한 소지가 있다고 판단했습니다. 그러면서 서비스 제공 기간이 약 30일에 불과한 점 등을 들어 「위법성을 입증하여 판단하는 것보다」 전년도 AI 점검에서 마련한 보호조치 방안을 적용할 필요가 있다고 했습니다.
### 권고라고 해서 가벼운 것은 아닙니다
2024년 6월 통화녹음·요약 AI 사건에서는 위반이 확정됐습니다. 번역과 음성인식을 위해 통화 내용을 국외 서버로 보내면서 근거를 마련하지 않은 것(제28조의8 제1항), 통화녹음과 학습용 데이터를 다루는 서버의 접속기록을 보관하지 않은 것(제29조)입니다. 처분은 시정권고와 개선권고였고, 국외이전에 대해서는 **경고**가 따로 붙었습니다.
반대 방향도 있습니다. 같은 날 의결된 이미지 생성형 AI 사건의 결정문에는 「보호법 위반사항은 확인되지 않았다」고 적혀 있습니다. 그럼에도 외부 SDK가 의도하지 않은 정보를 보내는지 점검하지 않은 점과, 얼굴인식 정보를 서버로 보내는 기능을 처리방침에만 적어 둔 점이 개선권고로 남았습니다.
시정권고를 수락하면 지위가 달라진다는 점은 따로 정리해 두었습니다. [개인정보위가 혐의 없이 점검을 나왔습니다 — 시정권고를 수락하면 그때부터 무엇이 달라지나](/posts/pre-inspection-recommendation-acceptance/)를 함께 보십시오.
## 그래서 회사는 어디를 먼저 보나
18건에서 반복해 지적된 자리는 다섯입니다. 조문 해설이 아니라, 실제로 권고문에 적혀 나온 문장들입니다.
**1. 인적 검토 사실을 고지하고 선택권을 주었는가.** 2024년 3월 권고의 첫 항목입니다. 이용자가 입력한 내용을 사람이 직접 검토해 미세조정에 쓰는 경우, 그 사실과 목적을 분명히 알리고 데이터 사용 여부를 고를 수 있게 하라는 내용입니다. 점검 당시 사업자들은 제각각이었습니다. 입력 화면에 바로 안내한 곳이 있었고, 여러 단계 링크를 따라가야 알 수 있는 곳이 있었고, 아예 공개하지 않은 곳도 있었습니다.
**2. 학습데이터에서 고유식별정보를 제거했는가.** 위원회가 임의추출로 분석한 Common Crawl 데이터에서 개인정보 520건이 나왔습니다. 주소 222건, 전화번호 111건, 이메일 106건, SNS 78건, 그리고 건강보험번호·계좌번호·신용카드번호가 각 1건입니다. 이용자가 AI 서비스에 입력한 데이터에서는 850건이 나왔고, 그중 여권번호가 34건, 주민등록번호가 2건이었습니다. 권고는 한국인터넷진흥원이 제공하는 개인정보 노출 페이지 정보를 학습데이터에서 반영해 제외하라는 데까지 나아갑니다.
**3. 모델·번역·음성인식을 외부에 맡기며 개인정보가 국외로 나가는가.** 국외이전 근거 부재는 18건 중 세 건에서 지적됐습니다. 외부 API를 호출하는 구조라면 처리위탁이든 제공이든 제28조의8 제1항의 사항을 처리방침에 공개하거나 이용자에게 알려야 합니다. 이 자리의 설계는 [생성형 AI 서비스의 개인정보 처리방침 — 프롬프트 입력값은 어디에 적히나](/posts/generative-ai-privacy-policy/)에 따로 정리했습니다.
**4. 학습용 데이터를 보관하는 서버의 접속기록을 남기는가.** 위원회는 AI 학습을 위해 정보를 보관하는 서버도 개인정보처리시스템이라고 보았습니다. 그 서버에서 파일을 열람하거나 전송한 기록을 1년 이상 보관하고 월 1회 이상 점검해야 합니다.
**5. 외부 SDK가 무엇을 보내는지 확인했는가.** 이미지 생성형 AI 사건과 DeepSeek 사건 모두 여기서 걸렸습니다. DeepSeek에서는 서비스 분석 과정에서 이용자 프롬프트 입력 정보가 제3자 SDK를 통해 전송되는 것이 확인됐고, 회사가 제출한 국외이전 현황에는 그 경로가 없었습니다.
여기에 연령 확인이 하나 더 붙습니다. 2024년 점검에서 위원회는 같은 모델을 쓰면서도 서비스마다 연령 제한이 다르게 적용되는 현상을 지적했고, DeepSeek에서는 가입 시 아동 여부를 확인하는 절차가 없다는 점이 제22조의2 위반으로 이어질 수 있다고 보았습니다.
## 2027년 3월에 달라지는 것
여기까지가 위원회가 판단을 미뤄 온 자리입니다. 국회는 그 자리에 손을 댔습니다.
2026년 9월 8일 공포된 개정법(법률 제21910호)은 제3장에 제5절 「인공지능기술 개발을 위한 개인정보 처리의 특례」를 통째로 신설했습니다. 부칙은 한 줄입니다. 「이 법은 공포 후 6개월이 경과한 날부터 시행한다.」 2027년 3월 9일입니다.
새 절은 네 조문입니다.
**제28조의12**는 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있게 합니다. 익명이나 가명으로는 개발이 어려울 것, 대통령령이 정하는 기준에 따른 안전장치를 마련했을 것, 개발 목적이 공공의 이익 증진이거나 정보주체·제3자의 이익 보호 또는 사회적 이익 증진에 해당하면서 부당한 침해 우려가 현저히 낮을 것입니다. 위원회는 심의·의결에 조건을 붙일 수 있고, 일정 기준에 해당하면 심의 전에 **위험요인평가**를 요구합니다.
**제28조의15**는 특례를 받으면 무엇이 걷히는지를 정합니다. 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 그리고 제28조의8입니다. 다만 제28조의8에는 괄호가 붙어 있습니다. 「개인정보를 국외로 처리위탁하는 경우에 한정한다」입니다. 이 괄호의 실무적 의미는 [본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다 — 새 특례로 걷히는 조문과 그대로 남는 국외이전](/posts/ai-development-exception-waived-provisions/)에 따로 정리했습니다.
**제28조의13과 제28조의14**는 뒤를 막습니다. 위원회가 이행 여부를 주기적으로 관리·감독하고 자료제출을 요구할 수 있으며, 거짓으로 의결을 받은 경우·요건을 충족하지 못한 경우·조건을 지키지 못한 경우·의결일부터 6개월 안에 특별한 사유 없이 처리를 시작하지 않은 경우에는 **개인정보 처리의 전부를 제한**합니다.
이 글의 관점에서 가장 큰 변화는 따로 있습니다. **제28조의12 제6항이 심의·의결 내용의 공개를 의무로 정했습니다.** 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과 요약을 인터넷 홈페이지 등에 공개해야 합니다. 지금까지 AI 학습에 관한 위원회의 판단은 「위법성을 입증하기보다」라는 문장으로 접혀 있었는데, 2027년 3월부터는 누가 무엇을 허가받았는지가 기록으로 쌓입니다.
같은 개정법은 제2조 제9호에 「인공지능기술」의 정의도 새로 넣었습니다. 내용은 인공지능기본법 제2조 제3호를 그대로 가져온 것입니다. 두 법이 같은 낱말을 쓰기 시작했다는 뜻입니다.
## 이 글이 세지 않은 것
세 가지를 남겨 둡니다.
첫째, **스캔본으로만 공개된 결정문**은 텍스트 검색 밖에 있어서 세지 못했습니다. 그래서 18건은 하한입니다.
둘째, **비공개 의결**이 있습니다. 제재 DB 889건 중에는 본문이 열리지 않는 건이 있고, 그 안에 AI 사건이 더 있을 수 있습니다.
셋째, **맞춤형 광고의 프로파일링**을 AI로 볼 것인지에 따라 분모가 달라집니다. 이 글은 쟁점이 동의였던 두 건을 제외했습니다.
## 자주 묻는 질문
### Q. 개인정보위가 AI 서비스에 과징금을 부과한 사례가 있나요?
AI 개발·학습 자체를 이유로 과징금이 부과된 사건은 2021년 4월 28일 의결 제2021-007-072호(㈜스캐터랩) 한 건입니다. 수집 목적 외로 카카오톡 대화문장을 AI 챗봇 이루다의 개발·운영에 이용한 행위(제18조 제1항)에 과징금 5,550만 원과 과태료 4,780만 원이 부과됐습니다. 그 뒤 AI 서비스에 붙은 금전 제재는 AI가 아닌 다른 조문에서 나왔습니다. 2025년 6월 25일 의결 제2025-014-047호는 AI 학습데이터를 가공하는 플랫폼의 사건이지만 처분 사유는 API 취약점 방치(제29조)와 유출 통지·신고 지연(제34조)이었고, 과징금 8,200만 원과 과태료 720만 원이 부과됐습니다.
### Q. AI 사전 실태점검을 받으면 과징금이 나오나요?
지금까지의 의결에서는 나오지 않았습니다. 2024년 3월 27일 의결 제2024-006-169호는 각주에서 「사전 실태점검 목적은 과징금·과태료 처분이 아닌 개인정보 보호의 취약점을 사전에 점검·개선하기 위함」이라고 밝혔습니다. 같은 의결은 공개된 데이터의 고유식별정보를 제거하지 않고 학습에 쓰는 것이 제15조 제1항 위반에 해당할 소지가 있다고 적으면서도, 실제 학습데이터에 그 정보가 포함됐다는 것까지는 입증하지 않았다는 이유로 개선권고에 그쳤습니다. 다만 점검에서 확인된 위반이 권고로만 끝난다는 뜻은 아닙니다. 2024년 6월 12일 의결 제2024-010-184호는 국외이전 위반에 경고를 함께 했습니다.
### Q. 우리 AI 서비스가 점검을 받는다면 무엇부터 보게 되나요?
지금까지 의결에 반복해서 나온 자리는 다섯입니다. 첫째, 이용자가 입력한 내용을 사람이 직접 검토해 학습에 쓰는지와 그 사실을 고지했는지입니다. 둘째, 학습데이터에서 고유식별정보·계좌정보·신용카드정보를 제거했는지와 한국인터넷진흥원이 제공하는 개인정보 노출 페이지 정보를 반영했는지입니다. 셋째, 모델·번역·음성인식을 외부에 맡기며 개인정보가 국외로 나가는 구조인지와 그 근거를 처리방침에 공개했는지입니다(제28조의8 제1항). 넷째, 학습용 데이터를 보관하는 서버의 접속기록을 보관·점검하는지입니다(제29조). 다섯째, 외부 SDK가 의도하지 않은 정보를 전송하는지 점검했는지입니다.
## 참고 자료
- 의결 18건은 개인정보보호위원회가 공개한 결정문 전문을 직접 읽고 정리했습니다. 본문의 처분 내용·금액·조문·인용 문장은 모두 해당 결정문에서 가져온 것이고, 보도자료나 언론 보도를 근거로 삼지 않았습니다. 결정문은 [개인정보보호위원회 위원회 결정문](https://www.pipc.go.kr/np/default/page.do?mCode=D010000000)에서 의결 번호로 찾을 수 있습니다.
- 세는 방식은 이렇습니다. 개인정보위 제재 의결 전수 889건(2026년 9월 11일 수집분)의 결정문 텍스트를 모아 인공지능·머신러닝·딥러닝·생성형·학습데이터·안면인식·얼굴인식·프로파일링·챗봇·자동화된의 열 개 낱말로 검색해 29개 문서를 얻고, 문맥을 읽어 낱말만 스친 사건을 걸렀습니다. 본문이 스캔 이미지여서 텍스트가 열리지 않는 결정문은 검색 밖에 있으므로 18건은 하한입니다.
- 조문은 [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제21445호, 2026년 9월 11일 시행) 원문을 기준으로 했습니다. 다만 각 의결은 행위 당시 법을 적용하므로, 본문에 적은 조문 번호는 그 결정문이 인용한 것을 그대로 따랐습니다. 정보통신망법이 적용된 2021년 페이스북 사건이 그런 예입니다.
- 2027년 3월 9일 시행되는 인공지능기술 개발 특례는 [법률 제21910호 개인정보 보호법 일부개정법률](https://www.law.go.kr/법령/개인정보보호법) 공포문(2026년 9월 8일 공포) 원문을 기준으로 했습니다. 제3장 제5절(제28조의12부터 제28조의15까지) 신설, 제2조 제9호 「인공지능기술」 정의 신설, 제7조의9 제1항 제6호의3·제6호의4 신설이고, 부칙은 「이 법은 공포 후 6개월이 경과한 날부터 시행한다」 한 줄입니다.
- 사전 실태점검의 절차와 시정권고 수락의 효과는 별도 글([시정권고를 수락하면 그때부터 무엇이 달라지나](/posts/pre-inspection-recommendation-acceptance/))에 정리했고, 이 글에서는 다시 다루지 않았습니다.
- 대법원 판결 두 건은 2024년 3월 의결이 인용한 것입니다. 동의가 있었다고 인정되는 범위는 대법원 2016. 8. 17. 선고 2014다235080 판결, 정당한 이익의 고려 요소는 대법원 2023. 6. 29. 선고 2018도1917 판결입니다.
---
이 글은 일반적인 정보 제공을 위한 것이며, 구체적인 사안에 대한 법률 자문이 아닙니다. 개별 서비스의 구조와 데이터 흐름에 따라 결론이 달라질 수 있으므로 개별 검토가 필요합니다.
---
# 유출 과징금도 보험으로 처리되나요? 과징금 특약과 D&O 면책 조항
- URL: https://datalaw.kr/posts/breach-fine-insurance-coverage/
- 게시 2026-09-11 · 태그: 유출대응, 과징금제재, 개인정보보호법
- 요약: 개인정보보호배상책임보험은 정보주체에 대한 법률상 손해배상금을 덮고, 공개된 약관은 과징금·과태료를 명시적으로 제외합니다. 과징금은 일부 상품의 특약으로만 보상되며, 특약도 고의(상품에 따라 고의·중과실) 과징금과 과태료를 면책합니다. 과징금을 회사의 손해로 삼아 이사에게 오는 청구는 임원배상책임보험(D&O)의 영역인데, 공개된 약관 한 종은 벌과금·법인이 제기한 청구·주주대표소송을 면책하거나 특약 대상으로 둡니다. 2026년 9월 11일 개정법이 대표자의 최종 책임과 CPO의 이사회 보고를 명문화한 뒤에는 세 증권의 면책 조항과 이사회 기록을 함께 확인해야 합니다.
2026년 9월 11일 개정 개인정보 보호법이 시행된 뒤 열리는 이사회에서는 이런 질문이 나옵니다. 「유출 사고가 나면 보험으로 처리되나요.」 법무는 개인정보보호배상책임보험 가입을 확인해 주고, CFO는 임원배상책임보험(D&O) 증권을 떠올립니다. 무엇을 덮고 무엇을 비우는지가 이 글의 질문입니다.
> **핵심 요약**
> 유출 뒤 손해배상금, 과징금, 이사에 대한 청구를 덮는 보험은 서로 다릅니다. 개인정보보호배상책임보험은 정보주체에 대한 법률상 손해배상금을 덮고, 공개된 약관은 과징금·과태료를 제외합니다. 과징금은 일부 상품의 특약으로만 보상되며, 특약도 고의(상품에 따라 고의·중과실) 과징금과 과태료를 면책합니다. 이사에 대한 청구는 D&O 영역인데, 공개된 약관 한 종은 벌과금·법인이 제기한 청구·주주대표소송을 면책하거나 특약 대상으로 둡니다. 확인할 것은 세 증권의 면책 조항과 이사회 보고 기록입니다.
## 의무 배상책임보험은 무엇을 덮나요?
개인정보 보호법 제39조의7 제1항은 대통령령 기준에 해당하는 처리자에게 제39조·제39조의2의 손해배상책임 이행을 위해 보험·공제 가입이나 준비금 적립을 요구합니다. 시행령 제48조의7의 기준은 전년도 매출액등 10억 원 이상이면서 정보주체 일일평균 1만 명 이상입니다. 개인정보위가 2025년 3월 발표한 1,500억 원·100만 명으로의 조정 계획은 9월 11일 시행 시행령에 아직 반영되지 않았습니다.
보험사가 공개한 두 약관은 보상 대상을 「피보험자가 개인정보주체에게 법률상 손해배상책임을 부담함으로써 입은 손해」로 정하고 법정손해배상금과 제39조 제3항의 배액배상금을 포함하며, 한 약관은 분쟁조정 합의금도 명시합니다. 반면 두 약관 모두 「세금·벌금·과태료·과징금」을 손해배상금에서 뺍니다. 현대해상 약관은 기명피보험자나 그 임원의 고의 또는 범죄행위, 주주대표소송에 의한 청구, 위로금·위문품 비용에 기인한 청구도 보상하지 않는 손해로 둡니다. 이 문언대로라면 사고 직후 지급하는 위로금은 이 보험의 보상 대상이 아닙니다([먼저 보상하면 과징금이 줄어드나](/posts/voluntary-compensation-fine-mitigation/)).
## 과징금 자체는 보험으로 보전되나요?
보통약관으로는 되지 않고, 개인정보위 표현대로 「지금은 일부 보험상품에서만 특약으로 과징금을 보장」합니다. 공개된 특약은 제29조 안전조치 미이행으로 인한 유출등 과징금을 보상한도액과 자기부담금에 따라 보상합니다.
면책은 피보험자의 고의로 발생한 과징금, 사고 해결 노력을 게을리하여 가중된 초과금, 어떠한 경우에도 과태료 셋입니다. 다른 특약은 「고의 및 중과실」 과징금을 면책하므로 특약마다 범위가 다릅니다. 둘째 면책은 개정 고시 제10조 제1항 제2호(기한 내 신고·통지와 피해 확산 방지 조치 미이행 시 30% 이하 가산)와 나란히 놓입니다. 약관이 이 조항을 지칭하지는 않으므로, 그 가산분이 특약의 「가중된 경우 그 초과금」에 해당하는지는 약관 문언만으로 정해지지 않습니다.
첫째 면책은 과징금 상한과 겹칩니다. 제64조의2 제2항은 상한을 전체 매출액의 100분의 10(50억 원)으로 올리는 세 경우 가운데 제1호(3년 내 반복 위반)와 제2호(피해 1천만 명 이상)에 고의 또는 중대한 과실을 요건으로 두고, 제3호(시정조치 명령 불이행)에는 두지 않습니다([10% 상한이 바꾼 계산](/posts/breach-response-calculus-shift/)). 고의·중과실 면책 특약이라면 제1호·제2호 과징금이 면책 요건과 겹칩니다. 고의만 적은 특약이라도 상법 제659조 제1항이 고의 또는 중대한 과실로 생긴 보험사고에 보험자 면책을 정하고 있으므로, 중과실 과징금의 처리는 약관 해석까지 확인해야 합니다. 「10% 과징금은 보험이 안 된다」거나 「된다」고 한 문장으로 말할 수 없는 이유입니다.
## 과징금 때문에 이사에게 청구가 오면 D&O가 받나요?
회사가 낸 과징금은 이사에게 돌아올 수 있습니다. 상법 제399조 제1항은 이사가 고의 또는 과실로 법령을 위반하거나 임무를 게을리하면 회사에 손해를 배상하도록 하고, 제403조는 발행주식 총수의 100분의 1 이상 주주에게 그 책임을 추궁할 소 제기를 청구할 권리를 줍니다.
담합 과징금에서는 이 구조가 판결로 확인됐습니다. 대법원 2025. 6. 26. 선고 2024다316391 판결에서는 과징금·벌금 428억 5,500만 원을 납부한 회사의 주주들이 이사들에게 제399조 책임을 물었습니다. 담합을 직접 지시하거나 보고받지 않은 이사도 내부통제시스템을 구축·작동시킬 의무를 이행하지 않았다면 감시의무 위반이라는 판단이 유지됐습니다. 대법원 2022. 5. 12. 선고 2021다279347 판결은 사외이사도 같은 의무를 진다고 했고, 그 원심은 과징금·벌금 납부액을 회사의 손해로 인정했습니다. 개인정보 유출 과징금으로 이사 책임이 다투어진 선례는 공개 판례 DB에서 아직 확인되지 않습니다. 다만 판결이 말하는 감시의무는 담합에 한정된 문언이 아니어서, 유출 과징금에도 같은 틀의 청구가 제기될 수 있습니다.
보험사 누리집에 게시된 임원배상책임보험 보통약관 한 종(개정일 표기 없음)은 임원의 업무 관련 행위로 제기된 손해배상청구를 보상하되, 법령 위반을 인식하면서 행한 행위에 기인하는 청구, 「벌과금 및 징벌적 손해에 대한 배상책임」, 법인·자회사가 제기하는 청구를 면책하고, 주주대표소송 손해는 보상하지 않되 담보 특별약관으로 그 조항을 배제할 수 있습니다. 이 문언대로라면 회사의 직접 구상은 법인 청구 면책에, 주주대표소송은 특약 유무에 걸리고, 과징금 상당액이 「벌과금」인지는 해석 문제로 남습니다. 게시본이 현행 판매 약관인지는 확인되지 않으므로 자사 증권의 문언을 대조해야 합니다.
## 9월 11일 개정은 이 계산을 어떻게 바꾸나요?
대법원은 담합 판결에서 내부통제시스템이 「어떠한 제도가 도입되어 있고 어떠한 직위가 존재하였다고 해서 곧바로 긍정할 수 있는 것은 아니다」라며 실질적 운영을 살펴 판단하라고 했습니다. 개정법이 그 제도와 직위를 법률에 적었습니다. 제30조의3은 사업주 또는 대표자를 개인정보 보호의 「최종적인 책임자」로 정하고, 제31조 제4항은 CPO 업무에 대표자·이사회 보고(제3호)와 내부통제시스템 구축(제6호)을 넣었습니다.
CPO의 이사회 보고와 이사회의 후속 조치 기록이 감시의무 판단에서 읽힐 수 있습니다([본사가 예산을 쥔 한국법인의 CPO](/posts/cpo-budget-duty-parent-funded-subsidiary/)). 예방투자를 이유로 과징금을 「감경한다」는 제64조의2 제6항도 고의 또는 중대한 과실은 제외하므로, 고의·중과실이라는 판단 하나가 투자감경 배제, 10% 상한(제2항 제1호·제2호), 고의·중과실 면책 특약에 함께 걸립니다([과징금 감경이 실제로 인정된 사유들](/posts/pipc-fine-mitigation-factors/)).
## 이사회가 지금 확인할 것
1. **의무보험 가입 여부와 보상한도.** 별표 1의4의 최저가입금액은 하한이므로 증권의 실제 한도를 봅니다.
2. **과징금 특약의 유무와 면책 범위.** 면책이 고의만인지 고의·중과실인지, 보상한도와 자기부담금을 확인합니다.
3. **D&O의 세 조항.** 벌과금 면책, 법인 청구 면책, 주주대표소송 특약 가입 여부를 봅니다.
4. **사고 통지.** 상법 제657조 제1항의 지체 없는 보험자 통지를 개인정보위 신고와 함께 절차에 넣습니다([유출 인지 후 72시간](/guides/data-breach-response/)).
5. **CPO 보고·예산 요구 기록.** 이사회 보고 안건과 결의 기록, 예산 요구·배정 문서를 보관합니다.
사고가 나면 이 구분은 한 문서에서 함께 쓰입니다. 개인정보위 의결서가 적는 고의·중과실 판단이 과징금 상한, 투자감경 배제, 특약 면책, 이사의 감시의무 다툼에 같은 사실로 들어가기 때문입니다.
## 자주 묻는 질문
### Q. 개인정보보호배상책임보험에 가입하면 과징금이 감경되나요?
보험 가입만으로는 감경 사유가 되지 않습니다. 제39조의7 기준에 해당하는 처리자에게 보험 가입은 의무이고, 개인정보위는 2023년 결정에서 보험 가입과 일부 피해자 배상만으로는 피해 구제조치를 인정하기 어렵다며 과징금을 유지했고, 2026년 9월 11일 시행 과징금 부과기준 고시도 보험 가입은 피해 회복 조치가 아니라는 것이 당연한 해석이라며 관련 단서를 삭제했습니다.
### Q. 과징금보장 특약이 있으면 10% 과징금도 보상되나요?
특약 문언에 따라 다릅니다. 공개된 특약 하나는 고의로 발생한 과징금을, 다른 특약은 고의 및 중과실로 발생한 과징금을 면책합니다. 제64조의2 제2항 제1호·제2호는 고의 또는 중대한 과실을 요건으로 하므로 고의·중과실 면책과 겹치고, 제3호(시정조치 명령 불이행)에는 그 요건이 없습니다. 특약의 면책 범위와 보상한도를 먼저 확인해야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 개별 사안은 별도 검토가 필요합니다.
## 참고 자료
- [개정 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) 원문](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) 제30조의3, 제31조 제4항 제3호·제6호, 제39조 제3항, 제39조의2, 제39조의7, 제64조의2 제1항·제2항·제6항
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제48조의7, 별표 1의4(대통령령 제36671호, 2026. 9. 10. 공포, 2026. 9. 11. 시행)
- [개인정보보호위원회 보도자료 「개인정보 손해배상책임 보장제도 합리화 방안」(2025. 3. 27.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11091)
- [현대해상 개인정보보호배상책임보험(II) 약관](https://direct.hi.co.kr/file/GI/personalInfo2.pdf) 제2조 제2호, 제3조, 제4조, 개인정보보호조치 과징금보장 특별약관
- [KB손해보험 개인정보보호 배상책임보험(Ⅱ) 약관](http://www.kbinsure.co.kr/images/xml/indv_safe_indem/clause/clause.pdf) 제2조 제2호, 제3조, 개인정보안전조치 과징금보장 특별약관
- [롯데손해보험 임원배상책임보험 약관(게시본)](https://www.lotteins.co.kr/upload/C/down/yak/exective.pdf) 제10조, 제14조, 제15조, 제16조
- 대법원 2025. 6. 26. 선고 2024다316391 판결, 대법원 2022. 5. 12. 선고 2021다279347 판결
- 개인정보보호위원회 결정 제2023-004-034호(2023. 3. 8.), 개인정보 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호) 제10조 제1항 제2호 및 제개정이유
- [2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나](/posts/breach-response-calculus-shift/)
- [과징금 감경이 실제로 인정된 사유들](/posts/pipc-fine-mitigation-factors/)
- [본사가 예산을 쥔 한국법인의 CPO는 '예산 확보' 의무를 어떻게 이행하나요?](/posts/cpo-budget-duty-parent-funded-subsidiary/)
- [유출 피해자에게 먼저 보상하면 과징금이 줄어드나요?](/posts/voluntary-compensation-fine-mitigation/)
---
# 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경
- URL: https://datalaw.kr/posts/voluntary-compensation-fine-mitigation/
- 게시 2026-09-11 · 태그: 유출대응, 과징금제재, 개인정보보호법
- 요약: 2026년 9월 11일 시행 과징금 부과기준 고시 제10조 제2항 제2호는 정보주체의 피해 회복 조치를 이행한 경우 1차 조정 금액의 「100분의 30 이하」를 감경하는 사유로 둡니다. datalaw.kr 제재 DB의 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 8건이고, 그중 4건만 산정에 반영됐습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있는 반면, 전원에게 보상했는데 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 개정 고시는 신속 대응 감경(40% 이하)을 따로 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다.
유출 통지를 보내고 나면 보상안 결재가 올라옵니다. 전 이용자에게 포인트를 줄지, 신청자에게만 이용권을 줄지, 다음 달 요금을 할인할지를 놓고 재무는 비용을 묻고 법무는 과징금에 도움이 되는지를 묻습니다. 고시는 「피해의 회복 조치를 이행한 경우」 30% 이하 감경이라고만 정하므로, 어떤 보상이 인정됐는지는 결정문을 세어 봐야 압니다. 이 글은 datalaw.kr 제재 DB에서 보상 사실이 적힌 결정문 8건을 찾아 비교한 결과입니다.
> **핵심 요약**
> 피해 회복 조치는 과징금 산정의 2차 조정에서 「1차 조정을 거친 금액의 100분의 30 이하」를 감경하는 사유입니다(과징금 부과기준 고시 제10조 제2항 제2호). 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 8건이고, 4건은 산정에 반영됐고 4건은 반영되지 않았습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있지만, 전원 보상이 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 2026년 9월 11일 시행 개정 고시는 신속 대응 감경(40% 이하)을 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다.
## 보상은 과징금 계산의 어디에 들어가나요?
보상은 법률, 시행령, 고시 세 층에 걸쳐 있습니다. 2026년 9월 11일 시행 개정 개인정보 보호법 제64조의2 제5항 제6호는 과징금을 부과할 때 「위반행위로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부」를 고려하게 하고, 시행령 별표 1의5 제2호 라목 2)는 같은 사항을 2차 조정에서 1차 조정 금액의 100분의 50 범위로 반영하게 합니다. 고시(개인정보보호위원회고시 제2026-12호) 제10조 제2항 제2호는 이를 「개인정보 분쟁조정, 민사조정 등을 통해 정보주체에게 발생한 피해에 대한 원상회복, 손해배상 또는 이에 상당하는 필요한 피해의 회복 조치를 이행한 경우」 100분의 30 이하 감경으로 구체화합니다. 「이하」라는 상한만 있어서 얼마를 감경할지는 위원회가 정합니다.
이 자리는 2023년에 옮겨졌습니다. 구 고시(제2022-3호) 제9조 제1항은 부과과징금 결정 단계에서 피해구제 조치에 90% 범위의 감경을 두었고, 2023년 9월 15일 시행 제2023-3호부터 2차 조정의 30% 이하 감경이 됐습니다. 아래 표의 2024년 숙박 예약 서비스 사건은 위반행위가 2023년 4월에 끝나 구 고시가 적용됐습니다.
매우 중대한 위반행위에서는 고시와 시행령을 함께 봐야 합니다. 고시 제10조의2가 감경 배제·축소 대상으로 열거한 호에 제2호(피해 회복)는 없지만, 시행령 별표 1의5 제2호 마목은 매우 중대한 위반행위이면 「1차 조정 및 2차 조정에서 산정되는 감경의 전부 또는 일부를 적용하지 않을 수 있다」고 정합니다. 산정 단계 전체는 [과징금 감경이 실제로 인정된 사유들](/posts/pipc-fine-mitigation-factors/)에 있고, 감경률을 넣어 금액이 어떻게 달라지는지는 [과징금·과태료 산정 계산기](/fine-calculator/)에서 확인할 수 있습니다.
## 결정문에 보상 사실이 적힌 8건에서 무엇이 갈렸나요?
[제재 DB](/sanctions/)의 의결 889건(2020. 11. 25.~2026. 8. 26.) 중 텍스트로 검색할 수 있는 750건을 보상, 배상, 합의금, 이용권, 요금 할인 등의 검색어로 훑고 산정·감경 절과 사실관계 절을 읽어 확인했습니다. 스캔본 90건과 텍스트 미수집 49건은 검색하지 못했고, 검색어로 찾은 것이라 아래 숫자는 하한입니다. 보상·배상·합의금 지급이나 보상안 시행 사실이 적힌 의결은 적어도 8건이고, 4건은 감경 사유로 적혔고 4건은 적히지 않았습니다.
| 의결번호(의결일) | 피심인 | 보상 내용 | 산정에서의 처리 |
|---|---|---|---|
| 제2024-014-195호(2024. 8. 28.) | 온라인 숙박 예약 서비스(비실명) | 쿠폰 로그인 세션 오류로 예약정보 노출. 유출 가능성이 있었던 전체 이용자에게 피해 보상 완료(인원·금액은 결정문에서 가려짐) | 반영. 구 부과기준 제9조 제1항 제2호에 따라 추가적 가중·감경을 거친 금액의 30% 감경 |
| 제2025-008-024호(2025. 4. 9.) | ㈜클래스유 | 유출 피해 고객에게 피해보상 실시 | 반영. 부과과징금 결정 단계(제11조 제1항)에서 부담능력이 현저히 부족하다고 판단하고 조사 협조·자진 시정·보안 강화와 함께 종합 고려해 2차 조정 금액의 85% 감경. 과징금 5,360만 원 |
| 제2025-208-189호(2025. 4. 23.) | 언더독스 주식회사 | 설문지 접근권한 미설정으로 208명 노출. 피해 보상금 지급(2023. 7. 27.) | 반영(과태료). 중기업·조사 협력·시정 완료와 함께 「피해구제 조치를 적극적으로 이행한 경우(30% 이내)」에 해당해 기준금액의 65%(390만 원) 감경. 과태료 210만 원 |
| 제2025-018-243호(2025. 8. 27.) | 에스케이텔레콤 주식회사 | 정보주체 피해의 회복 및 피해 확산 방지 조치 이행(산출표 표기 「피해 보상」) | 반영. 매우 중대한 위반행위. 시정 완료·보호 노력과 합쳐 2차 조정에서 1차 조정 금액의 50% 감경. 과징금 1,347억 9,100만 원 |
| 제2023-004-034호(2023. 3. 8.) | 비실명 | 결제 피해를 주장한 이용자 2명에게 배상. 2021년부터 개인정보보호배상책임보험 가입 | 미반영. 「그 사정만으로 … 인정하기 어렵다」며 최종 산정 과징금 유지 |
| 제2023-017-232호(2023. 10. 25.) | ㈜와이엘랜드(알뜰폰) | 22만 9,600명 유출. 요청자 대상 유심 무료 교체 보상안 게시(1,720여 명) | 미반영. 추가적 감경은 조사 협력·자진신고로 20%. 과징금 1억 5,098만 7천 원 |
| 제2025-203-66호(2025. 2. 12.) | ㈜미리디 | 메일 혼합 발송으로 20,870명 유출. 유출 대상자 전원에게 총 3억 원 상당 보상 | 미반영(과태료). 감경기준에 「피해회복·피해확산방지」 항목이 있었으나 적용은 중기업·시정 완료·조사 협력으로 55%. 과태료 270만 원 |
| 제2025-217-351호(2025. 9. 10.) | 숨수면의원 | CCTV 해킹으로 수면 영상 유출. 신원이 확인된 정보주체와 합의·합의금 지급(2025. 1. 25.) | 미반영(과태료). 감경은 중기업·시정 완료로 35%. 신고·통지 72시간 초과도 인정. 과태료 1,350만 원 |
8건 가운데 위원회가 이유를 적은 곳은 제2023-004-034호 하나뿐입니다. 이 결정문은 「보험에 가입한 사실과 유출대상 중 2명에게 배상하였다는 사정만으로 … 필요한 구제조치를 하였다고 인정하기 어렵다」며 과징금을 유지했고, 보험 가입은 당시 법(제39조의9)상 의무라는 점도 적었습니다. 반영이 확인된 온라인 숙박 예약 서비스 사건과 에스케이텔레콤 사건은 유출 대상 전체를 향한 조치였고, 이 사건은 2명에게 한 일부 배상이었습니다.
나머지 미반영 3건은 보상을 고려하지 않은 이유가 결정문에 적혀 있지 않습니다. 미리디 사건은 유출 대상자 전원에게 3억 원 상당을 보상했는데도 감경 사유에 보상이 없으므로, 전체 보상이 반영된 쪽에 있다는 것은 관찰이지 기준이 아닙니다. 과태료 사건 3건(언더독스, 미리디, 숨수면의원)은 과징금 고시가 아니라 과태료 부과기준으로 감경을 계산합니다.
에스케이텔레콤 사건은 매우 중대한 위반행위로 판단됐는데도 2차 조정에서 시정 완료, 피해 회복 및 확산 방지 조치 이행, 보호 노력 세 사유를 합쳐 50%가 감경됐습니다. 합산값이어서 피해 회복 몫은 나눠 볼 수 없고, 클래스유 사건의 85%도 부담능력 단계에서 여러 사정을 「종합적으로 고려」한 값이라 마찬가지입니다.
## 쿠팡 사례는 어떻게 봐야 하나요?
개인정보보호위원회는 2026년 6월 10일 쿠팡에 과징금 6,246억 8,100만 원 등을 의결했고, 쿠팡은 2025년 12월 29일 1인당 총 5만 원 상당의 구매이용권 보상안을 발표해 2026년 1월 15일부터 순차 지급한다고 밝혔습니다. 이 의결의 결정문은 제재 DB에 아직 수록되지 않아 위 8건에 넣지 않았습니다. 보도(조선비즈 2026. 6. 11.)에 따르면 브리핑에서 개인정보위 측은 구매이용권 등 피해 보상이 감경에 「일부 고려됐다」고 답하면서, 실제 이용 규모는 쿠팡이 구체적으로 답하지 않아 확인하지 못했다고 했습니다. 결정문이 공개되기 전까지는 보도 이상으로 말할 수 없습니다.
## 9월 11일 개정 고시에서 달라진 것
직전 고시(제2026-5호, 2026년 5월 19일 시행)의 제2호는 「필요한 피해의 회복 및 피해 확산 방지 조치를 이행한 경우(다만, 법 제39조의7에 따른 손해배상책임의 이행을 위한 보험 등의 가입은 제외한다)」였습니다. 제2026-12호는 확산 방지를 떼어 내고 보험 단서를 지우면서 제개정이유에 「피해의 확산 방지 조치 관련 감경 사항은 별도(안 제10조제2항제5호)로 분리하고, 피해 회복의 조치 이행에 손해배상책임 이행을 위한 보험 등의 가입이 제외되는 것은 당연 해석이므로, 불필요하여 해당 문구 삭제」라고 적었습니다. 문구가 사라졌을 뿐 보험 가입이 피해 회복이 아니라는 해석은 그대로입니다.
떼어 낸 확산 방지는 신설 제5호로 갔습니다. 대응 체계를 구축·운영하고 조기 탐지, 신속한 신고·통지, 확산 방지 조치 이행 등으로 「안전한 보호 체계로 신속하게 회복ㆍ개선한 경우」 100분의 40 이하를 감경하고, 반대편에 신설된 제1항 제2호는 유출등을 알고도 기한 내 신고·통지를 하지 않았고 확산 방지 조치도 이행하지 않은 경우 100분의 30 이하를 가산합니다. 제2호와 제5호를 모두 인정받더라도 감경 합계는 제3항에 따라 100분의 50을 넘지 못하고, 부칙 제2조에 따라 시행 전에 종료된 행위에는 종전 규정이 적용됩니다.
## 조정과 소송에서는 따로 계산됩니다
보상은 손해배상 소송에서 다시 계산됩니다. 개인정보 보호법 제39조 제3항은 고의·중과실 유출등에서 법원이 손해액의 5배 범위에서 배상액을 정할 수 있게 하고, 제4항은 그 배액 배상액을 정할 때 「개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도」(제8호) 등을 고려하게 합니다. 대법원 2025. 12. 4. 선고 2023다311184 판결은 법정손해배상 사안에서 정신적 손해가 없다는 처리자 주장을 판단할 때 피해 발생·확산 방지를 위해 취해진 조치의 내용 등을 종합 고려하되 「법정손해배상제도의 취지가 형해화되지 않도록 주의하여야 한다」고 했고, 서울고등법원 2008. 11. 25. 선고 2008나25888 등 판결은 위자료 산정 요소로 사고발생 안내의 적절성과 피해접수·확인, 피해회복조치 이행 여부를 들었습니다([판결 DB](/damages/)).
조정에서도 이미 지급한 보상이 다뤄집니다. 한국소비자원 소비자분쟁조정위원회의 에스케이텔레콤 결정(2025. 12. 18.)은 8월 통신요금 50% 할인을 전액 공제하되 요금제별 차등을 균등화했고, 그에 앞서 에스케이텔레콤은 개인정보 분쟁조정위원회의 조정안(각 30만 원, 2025. 11. 3.)에 대해 「선제적 보상 등이 조정안에 반영되지 않아 수용하지 않기로 했다」고 밝혔습니다(시사저널e 2025. 11. 22. 보도). 두 위원회는 다른 기관이고, 상세는 [개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다](/posts/breach-mediation-acceptance-clock/)에 있습니다. 시행령 제52조는 집단분쟁조정 대상 50명을 셀 때 「피해보상에 관한 합의가 이루어진 정보주체」를 제외하는데, 일방적으로 지급한 쿠폰을 받은 것만으로 이 「합의」가 되는지는 조문이 말하지 않습니다. 배상책임보험 약관에는 「위로금·위문품 비용에 기인한 손해배상청구」를 면책하는 예(현대해상 약관 제4조 제29호)가 있으므로, 위로금 성격의 보상은 [유출 과징금도 보험으로 처리되나요?](/posts/breach-fine-insurance-coverage/)에서 따로 봐야 합니다.
## 보상안을 설계할 때 무엇을 남겨야 하나요?
1. **대상 범위를 정하고 이유를 남깁니다.** 대상이 드러난 반영 사건 2건은 유출 대상 전체를 향한 조치였고, 미반영 사건 중 제2023-004-034호는 2명 배상, 와이엘랜드 사건은 요청자 대상 유심 교체였습니다. 다만 전원 보상이 반영되지 않은 미리디 사건도 있습니다.
2. **지급 내역과 실제 사용 내역을 숫자로 남깁니다.** 쿠팡 브리핑에서 개인정보위는 구매이용권의 실제 이용 규모를 확인하지 못했다고 했습니다.
3. **조사 단계에서 보상 사실을 자료로 정리해 냅니다.** 표의 8건에서 보상은 결정문의 사실관계 절이나 감경 절에 대상·내역·시점과 함께 적혔습니다.
4. **보험 가입은 보상 실적으로 적지 않습니다.** 개정 고시가 제외 단서를 지운 이유는 「당연 해석」이었고, 제2023-004-034호도 같은 취지입니다.
5. **통지문의 권리 안내와 보상 안내를 맞춥니다.** 개정법 제34조 제1항 제6호는 유출 통지 사항에 손해배상 청구와 분쟁조정 등 법적 권리와 행사 방법을 넣었습니다. 보상 수령이 합의나 청구권 포기를 뜻하는지 문안에서 분명히 하고 권리 안내와 어긋나지 않게 합니다.
보상안은 사고 국면의 결재이지만 읽히는 자리는 조사 국면의 의견제출과 결정문입니다. 사고 인지 후 시간표는 [유출 인지 후 72시간](/guides/data-breach-response/)에 있습니다.
## 자주 묻는 질문
### Q. 유출 뒤 전 이용자에게 포인트를 지급하면 과징금 감경이 확실히 인정되나요?
확실하지 않습니다. 고시 제10조 제2항 제2호는 「100분의 30 이하」라는 상한만 둔 재량 규정이고, 결정문에 보상 사실이 적힌 8건 중 4건은 산정에 반영되지 않았습니다. 반영하지 않은 이유를 적은 결정문은 1건뿐이고, 전원 보상이 감경 사유에 적히지 않은 사건도 있습니다.
### Q. 개인정보보호배상책임보험에 가입해 두었으면 피해 회복 감경을 받을 수 있나요?
보험 가입 자체는 피해 회복 조치가 아닙니다. 직전 고시의 보험 제외 단서를 2026년 9월 11일 개정 고시가 지운 이유는 「당연 해석」이라는 것이었고, 제2023-004-034호 결정문도 보험 가입과 이용자 2명 배상만으로는 피해 회복 조치를 인정하기 어렵다며 과징금을 유지했습니다.
이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.
## 참고 자료
- [개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행)](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) 제34조 제1항, 제39조 제3항·제4항, 제64조의2 제5항
- [개인정보 보호법 시행령(대통령령 제36671호)](https://www.law.go.kr/법령/개인정보보호법시행령) 제52조, 별표 1의5 제2호 라목·마목
- 「개인정보 보호법 위반에 대한 과징금 부과기준」 개인정보보호위원회고시 제2026-12호(2026. 9. 11. 발령·시행) 제10조·제10조의2, 부칙 제2조. 직전본 제2026-5호(2026. 5. 19. 시행) 제10조 제2항 제2호
- 표에 적은 결정문 8건은 [제재 DB](/sanctions/)에서 의결번호로 조회할 수 있습니다
- 대법원 2025. 12. 4. 선고 2023다311184 판결
- 서울고등법원 2008. 11. 25. 선고 2008나25888 등 판결
- [과징금 감경이 실제로 인정된 사유들](/posts/pipc-fine-mitigation-factors/): 산정 단계와 감경 사유 전체
- [개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다](/posts/breach-mediation-acceptance-clock/): 소비자분쟁조정위원회 결정과 개인정보 분쟁조정위원회 조정안
- [유출 과징금도 보험으로 처리되나요?](/posts/breach-fine-insurance-coverage/): 배상책임보험 약관의 면책 조항
- [유출 인지 후 72시간](/guides/data-breach-response/)
---
# 개인정보 제재 이력 조회 — 공개 자료로 확인되는 처분과 확인되지 않는 처분
- URL: https://datalaw.kr/posts/sanction-history-blind-period/
- 게시 2026-09-11 · 수정 2026-09-11 · 태그: 기업인수, 과징금제재, 개인정보보호법
- 요약: 실사에서 대상회사가 개인정보 제재를 받은 적이 없다고 답하면, 인수인은 공개 자료로 그 답을 검증하려 합니다. 검증이 되는 처분과 되지 않는 처분이 갈리는 기준은 시기가 아니라 금액입니다. 억대 과징금은 결정문에 회사 이름이 없어도 개인정보보호위원회 보도자료가 회사를 지목합니다. 반대로 과태료와 시정명령은 2024년 11월 이전 구간에서 열 건 중 일곱 건이 결정문에도 공표에도 이름이 남지 않았습니다.
> **핵심 요약**
> 실사에서 인수인은 대상회사의 답변을 공개 자료로 검증합니다. 개인정보 제재 이력에서 그 검증이 되는 처분과 되지 않는 처분을 가르는 기준은 시기가 아니라 **처분의 크기**입니다. 개인정보보호위원회가 본문을 공개한 제재 의결 886건(2026년 9월 10일 수집분)을 보면, 과징금 10억 원 이상 사건은 85퍼센트가 결정문에 회사 이름을 담고 있고 이름이 빠진 사건도 보도자료가 회사를 지목합니다. 반대로 과태료에서 끝난 사건은 32퍼센트만 이름이 남았고, 2024년 11월 이전 구간으로 좁히면 열 건 중 일곱 건이 결정문에도 공표에도 이름이 없습니다. 따라서 "공개 자료상 제재 이력이 확인되지 않는다"는 실사 문장은 큰 처분에 대해서만 근거가 있습니다.
실사에서 대상회사에 개인정보 제재 이력을 묻고 "없다"는 답을 받았다고 하겠습니다. 그런데 인수인은 그 답을 그대로 받지 않고 공개 자료로 확인합니다. 회사 이름을 검색하고, 개인정보보호위원회 결정문 게시판을 뒤지고, 보도자료를 훑습니다.
이 확인 절차가 실제로 무엇을 잡아내고 무엇을 놓치는지는 잘 정리되어 있지 않습니다. 다만 저희가 위원회 결정문을 전수로 모아 두었으므로, 세어 보면 답이 나옵니다. 아래 수치는 2026년 9월 10일 수집분 886건을 센 것입니다.
## 개인정보 제재 이력이 공개되는 경로는 세 가지입니다
**첫째는 결정문입니다.** 위원회는 제재를 의결하면 의결서를 결정문 게시판에 올립니다. 따라서 이 경로는 전수에 가깝습니다. 다만 위원회는 피심인의 이름을 지우고 올리는 경우가 많습니다.
**둘째는 보도자료입니다.** 위원회는 제재를 의결한 다음 날쯤 보도자료를 냅니다. 여기에는 회사 이름이 그대로 들어갑니다. 그러나 위원회는 모든 사건에 보도자료를 내지 않습니다. 2020년 8월부터 2026년 9월까지 위원회가 낸 보도자료 1,256건 중 제재를 다룬 것은 153건입니다.
**셋째는 공표명령입니다.** 위원회가 공표를 명하면 사업자가 자기 홈페이지나 관보에 처분 사실을 일정 기간 게시합니다. 따라서 이 경로에도 이름이 남습니다. 다만 게시 기간이 끝나면 사업자는 그 게시물을 내립니다.
즉 세 경로는 서로 다른 층을 담습니다. 그래서 한 경로만 보고 "이력이 없다"고 적으면 다른 경로에 있는 것을 놓칩니다.
## 결정문에 회사 이름이 남는 비율은 44퍼센트입니다
2026년 9월 10일 수집 기준으로 본문이 공개된 제재 의결은 886건입니다. 이 가운데 피심인 이름이 남아 있는 건은 386건으로 44퍼센트입니다.
그런데 이름이 지워진 500건에서도 처분이 있었다는 사실과 의결일, 근거 조문, 처분의 종류와 금액은 확인됩니다. 확인되지 않는 것은 피심인이 누구인가 하나입니다. 위반 유형별 선례를 찾는 목적이라면 비실명 결정문도 쓸 수 있고, 특정 회사의 이력을 조회하는 목적으로만 쓸 수 없습니다.
그리고 이 비율은 시기에 따라 크게 다릅니다. 2024년 11월 이전에 의결된 604건에서는 실명이 20퍼센트인데, 2024년 12월 이후 282건에서는 95퍼센트입니다. 위원회가 공개 방침을 언제 어떤 근거로 바꾸었는지는 결정문 본문에 적혀 있지 않으므로, 여기서는 관측된 사실만 적습니다.
다만 이 시기 차이를 곧바로 "2024년 11월 이전 처분은 검색해도 안 나온다"로 옮기면 틀립니다. 결정문이 유일한 경로가 아니기 때문입니다.
## 금액이 크면 다른 경로가 결정문을 메웁니다
과징금이 1억 원을 넘는 사건 58건 중에서, 결정문이 비실명이면서 공표명령도 없는 사건은 10건입니다. 그래서 이 10건을 의결일 기준으로 위원회 보도자료와 대조해 보았습니다. **10건 모두 의결 직후에 보도자료가 나왔고, 대부분은 보도자료 제목에 회사 이름이 들어 있습니다.**
- 2024년 7월 24일 의결, 과징금 19억 7,800만 원 → 다음 날 "알리익스프레스에 개인정보 보호법 위반으로 19억7,800만원 과징금 부과"
- 2025년 10월 22일 의결, 과징금 4억 6,300만 원 → 다음 날 "취업 준비생 개인정보를 유출한 '인크루트'에 과징금 4.6억원 부과"
- 2021년 10월 27일 의결, 과징금 9억 335만 원 → 당일 "개인정보위, 샤넬코리아 등 9개 사업자 제재"
한편 공표명령이 붙은 사건은 더 분명합니다. 결정문에서 피심인이 지워진 사건 중 금액이 가장 큰 151억 4,196만 원 건은 의결 다음 날 "개인정보위, ㈜카카오에 과징금 151억 원, 과태료 780만 원 부과"라는 제목의 보도자료로 공개됐습니다.
정리하면 이렇습니다. 억대 과징금 사건에서 결정문의 비실명 처리는 회사를 가려 주지 못합니다. 위원회가 같은 사건을 보도자료로 알리기 때문이고, 언론이 그 보도자료를 받아 다시 쓰기 때문입니다.
## 사각은 시기가 아니라 금액에서 열립니다
처분의 크기별로 결정문 실명률을 세면 기울기가 분명하게 나옵니다.
| 처분 구간 | 건수 | 결정문에 이름 있음 | 공표명령 포함 |
|---|---:|---:|---:|
| 과징금 10억 원 이상 | 20 | 17 (85%) | 9 (45%) |
| 과징금 1억~10억 원 | 38 | 27 (71%) | 16 (42%) |
| 과징금 1억 원 미만 | 104 | 46 (44%) | 51 (49%) |
| 과태료만 | 436 | 141 (32%) | 123 (28%) |
| 비금전 처분만 | 288 | 155 (54%) | 58 (20%) |
그리고 여기에 시기를 겹치면 사각의 크기가 드러납니다. 2024년 11월 이전에 의결된 604건 중에서 결정문에도 공표에도 이름이 남지 않은 사건은 405건입니다. 그 405건을 처분별로 나누면 과태료만 있는 사건이 244건, 시정명령이나 권고 같은 비금전 처분만 있는 사건이 123건, 과징금 사건이 38건입니다.
다시 같은 구간을 비율로 보면 이렇습니다. 과징금 10억 원 이상 사건에서 이름이 어디에도 없는 비율은 12퍼센트인데, 과태료만 있는 사건은 71퍼센트이고 비금전 처분만 있는 사건은 76퍼센트입니다.
**즉 공개 자료 검색이 놓치는 것은 오래된 처분 일반이 아니라 작은 처분입니다.** 금액이 크면 시기가 오래되었어도 보도자료가 남아 있고, 금액이 작으면 시기와 무관하게 위원회가 보도자료를 내지 않습니다.
## 작은 처분 이력이 실사에서 걸리는 자리
과태료 몇백만 원짜리 이력을 왜 확인해야 하는지 물으실 수 있습니다. 물론 금액 자체가 거래 조건을 바꾸지는 않습니다. 그래도 확인해야 하는 이유는 그 이력이 다른 판단을 뒷받침하기 때문입니다.
**첫째, 시정조치 명령의 이행 여부입니다.** 2026년 9월 11일 시행된 개정 개인정보 보호법은 시정조치 명령에 따르지 않아 개인정보가 유출된 경우를 전체 매출액 10퍼센트 과징금 구간에 새로 넣었습니다(제64조의2 제2항 제3호). 과거에 받은 시정명령을 이행했는지가 이 조항에서 값을 갖게 된 것입니다. 그런데 시정명령만 받고 끝난 사건은 앞의 표에서 보듯 이름이 남지 않는 쪽에 몰려 있습니다. 따라서 이 항목은 공개 자료로 확인하기가 가장 어렵습니다.
**둘째, 같은 위반의 반복입니다.** 위원회는 과징금을 산정할 때 위반의 반복성을 고려합니다. 그리고 위원회는 반복 여부를 금액이 아니라 근거 조문이 같은지로 판단하므로, 과태료로 끝난 과거 사건도 판단 재료가 됩니다.
**셋째, 진술보장 조항입니다.** 매도인이 "법령 위반으로 처분을 받은 사실이 없다"고 진술했다면 그 진술의 위반 여부에는 금액 하한이 없습니다. 즉 과태료 300만 원도 처분입니다.
## 실사에서 무엇을 하면 되나
**공개 자료 검색의 결과에 범위를 적습니다.** "공개 자료상 제재 이력이 확인되지 않음"이라고만 쓰면 다음에 그 보고서를 읽는 사람은 모든 처분이 확인된 것으로 읽습니다. 따라서 검색으로 확인한 것이 무엇인지를 함께 적어야 합니다. 예를 들어 "위원회 보도자료와 결정문 게시판을 검색한 결과 과징금 사건은 확인되지 않았고, 과태료·시정명령 이력은 이 방법으로 확인되지 않는다"고 적으면 다음 사람이 오해하지 않습니다.
**대상회사에는 처분의 종류를 나누어 요청합니다.** "제재 이력"이라고만 물으면 대상회사는 과징금만 떠올리고 답할 수 있습니다. 그래서 과징금, 과태료, 시정명령, 시정권고, 개선권고, 공표명령을 나열해 각각의 유무와 이행 결과를 묻는 편이 낫습니다. 서류로는 대상회사가 송달받은 의결서 정본을 받으면 처분의 종류와 근거 조문, 날짜가 특정됩니다.
**시정명령을 받은 이력이 있으면 이행 완료 자료까지 받습니다.** 개정법에서 이 항목의 값이 올랐기 때문입니다. 그리고 위원회는 이행 여부를 따로 점검해 전체회의에 보고하므로, 대상회사가 이행 결과를 제출한 문서가 남아 있을 가능성이 높습니다.
과거 과징금 처분이 개정법의 3년 재위반 가중에서 어떻게 다루어지는지는 [과거 과징금 이력이 3년 가중의 방아쇠가 되는 경우](/posts/prior-sanction-three-year-clock/)에서 부칙 조문 단위로 정리했습니다. 조사가 이미 시작된 국면이라면 [과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유](/posts/pipc-fine-mitigation-factors/)를 함께 보시기 바랍니다.
## 이 글이 세지 않은 것
이 집계는 위원회가 결정문 게시판에 **본문을 공개한** 의결만을 대상으로 합니다. 위원회가 보도자료로만 알리고 의결서를 공개하지 않은 사건은 [결정문이 공개되지 않은 제재](/sanctions/unpublished/)에 따로 모아 두었습니다.
다음으로 보도자료와 결정문을 이은 방법은 의결일 기준 대조입니다. 억대 과징금 10건은 한 건씩 확인했지만, 과태료 사건까지 전수로 잇지는 않았습니다. 따라서 "과태료 사건에는 보도자료가 없다"가 아니라 "과태료 사건은 이름이 결정문과 공표에 남지 않는 비율이 높다"까지가 이 글이 근거를 가진 범위입니다.
결정문 공개에는 의결로부터 수개월의 시차가 있습니다. 그래서 최근 의결일수록 아직 집계에 들어오지 않았을 수 있습니다.
## 자주 묻는 질문
### 대상회사 이름으로 검색해서 아무것도 안 나오면 제재를 받은 적이 없다고 봐도 되나요?
처분의 크기에 따라 다릅니다. 과징금이 1억 원을 넘는 사건은 결정문이 비실명이더라도 개인정보보호위원회가 의결 직후 회사 이름을 넣은 보도자료를 냅니다. 반면 과태료나 시정명령에서 끝난 사건은 2024년 11월 이전 구간에서 열 건 중 일곱 건이 결정문에도 공표에도 이름이 남지 않았습니다. 따라서 검색 결과가 비어 있다는 사실은 큰 처분이 없었다는 근거는 되지만, 작은 처분까지 없었다는 근거는 되지 못합니다.
### 결정문에 이름이 없으면 그 사건에서는 무엇을 알 수 있나요?
처분이 있었다는 사실과 의결일, 근거 조문, 처분의 종류와 금액은 그대로 확인됩니다. 확인되지 않는 것은 피심인이 누구인가 하나입니다. 그래서 위반 유형별 선례를 찾는 목적으로는 비실명 결정문도 쓸 수 있고, 특정 회사의 이력을 조회하는 목적으로만 쓸 수 없습니다.
### 과태료 몇백만 원짜리 이력도 실사에서 확인해야 하나요?
금액 자체보다 그 이력이 무엇을 뒷받침하는지를 보셔야 합니다. 2026년 9월 11일 시행된 개정 개인정보 보호법은 시정조치 명령을 이행하지 않아 유출에 이른 경우를 전체 매출액 10퍼센트 과징금 구간에 넣었습니다(제64조의2 제2항 제3호). 과거에 받은 시정명령을 이행했는지가 이 조항에서 값을 갖게 된 것입니다. 진술보장 조항의 위반 여부에도 금액 하한은 없습니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제21445호, 2026. 9. 11. 시행) 제64조의2 제2항
- [개인정보보호위원회 위원회 결정문](https://www.pipc.go.kr/np/cop/bbs/selectBoardList.do?bbsId=BS217&mCode=D010030000) — 2026년 9월 10일 수집분 886건
- [개인정보보호위원회 보도자료](https://www.pipc.go.kr/np/cop/bbs/selectBoardList.do?bbsId=BS074&mCode=C020010000) — 2020년 8월부터 2026년 9월까지 1,256건, 그중 제재를 다룬 것 153건
- 개인정보보호위원회 훈령 [「개인정보 보호위원회의 조사 및 처분에 관한 규정」](https://www.law.go.kr/행정규칙/개인정보보호위원회의조사및처분에관한규정) 제25조의2 — 의결서 정본 송달
- [개인정보위 제재 추적기](/sanctions/) · [결정문이 공개되지 않은 제재](/sanctions/unpublished/)
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 이용자가 찍은 운동 영상으로 우리 AI를 학습시켜도 되나요? 얼굴이 나오는 영상의 동의 설계
- URL: https://datalaw.kr/posts/user-video-ai-training-consent/
- 게시 2026-09-10 · 수정 2026-09-10 · 태그: AI규제, 개인정보보호법
- 요약: 자세·동작을 분석하는 앱은 이용자가 찍은 영상을 자기 모델 학습에 다시 쓰고 싶어 합니다. 얼굴이 찍힌 영상은 개인정보이지만, 특정 개인을 알아볼 목적의 특징정보로 만들지 않는 한 생체인식정보(민감정보)는 아닙니다. 그러나 '서비스 개선' 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 목적 외 이용이 됩니다. 2021년 이루다 사건에서 개인정보위는 '신규 서비스 개발' 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 제재했고, 2025년 1심 법원도 같은 판단으로 위자료를 인정했습니다. 이 글은 생체정보 판정, 동의 설계, 삭제 요구 처리, 저장소 분리까지 실무 순서로 정리합니다.
스윙 자세, 러닝 폼, 발음, 피부 상태를 분석하는 앱은 이용자가 직접 찍은 영상을 받아 결과를 돌려줍니다. 그 영상이 쌓이면 회사는 같은 영상으로 분석 모델을 더 학습시키고 싶어집니다. 약관에는 이용자가 올린 콘텐츠를 회사가 쓸 수 있다는 라이선스 조항이 있고, 처리방침에는 「서비스 개선」이 목적으로 적혀 있습니다. 이 두 줄로 되는지가 이 글의 질문입니다.
> **핵심 요약**
> 얼굴이 찍힌 영상은 개인정보(제2조 제1호 가목)이지만, 특정 개인을 알아볼 목적으로 특징점을 뽑아 만든 정보가 아니면 생체인식정보(민감정보)는 아닙니다(시행령 제18조 제3호, 개인정보위 「생체정보 보호 안내서」 2024.12.). 그러나 「서비스 개선」이라는 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 수집 목적 외 이용이 됩니다. 개인정보위는 2021년 4월 28일 이루다 사건에서 「신규 서비스 개발」 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 과징금과 시정명령을 부과했습니다. 삭제 요구를 받으면 학습용 저장소에서도 복구·재생이 불가능하게 지워야 하고(제36조 제3항), 그래서 서비스용과 학습용 저장소를 분리하고 학습 목적을 선택 동의로 따로 받는 설계가 필요합니다. AI 학습 특례(제28조의12)는 2027년 3월 9일 시행 전이라 아직 근거가 되지 않습니다.
## 얼굴이 나오는 영상은 생체정보라 별도 동의가 필요한가요?
시행령 제18조 제3호는 「개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보」를 민감정보로 정합니다. 개인정보위 「생체정보 보호 안내서」(2024. 12.)는 이를 둘로 나눕니다. 카메라로 들어온 얼굴 이미지 같은 원본정보와, 거기서 특징점을 추출해 만든 특징정보입니다. 민감정보는 특징정보이고, 그것도 특정 개인을 인증하거나 식별할 목적일 때입니다. 안내서는 연령·성별·감정을 추정하거나 얼굴 위치에 스티커를 얹는 처리를 「개인에 관한 특징을 알아보기 위한」 처리로 분류해 인증·식별과 구분합니다.
자세와 동작을 분석하는 영상은 이 구분에서 인증·식별 쪽이 아닙니다. 얼굴이 찍혀 있어도 그 사람이 누구인지 알아보려는 처리가 아니므로 일반 개인정보로 다루면 됩니다. 다만 안내서는 일반적인 얼굴 사진·동영상을 나중에 인증·식별 목적의 특징정보 생성에 쓰면 그때부터 생체인식정보가 되어 별도 동의와 보호 조치가 필요하다고 적습니다. 얼굴로 로그인하는 기능이나 여러 이용자 중 한 사람을 골라내는 기능을 붙이는 순간 판정이 바뀝니다.
## 「서비스 개선」 목적으로 모델 학습에 써도 되나요?
동의를 받은 개인정보는 제15조 제1항에 따라 수집 목적의 범위에서 이용할 수 있고, 그 범위를 넘으려면 제15조 제3항의 추가적 이용 요건을 갖춰야 합니다. 시행령 제14조의2는 당초 목적과의 관련성, 수집 정황에 비춘 예측 가능성, 이용자 이익의 부당한 침해 여부, 가명처리·암호화 같은 안전조치 네 가지를 고려하도록 합니다.
이 기준이 실제로 어떻게 적용됐는지는 이루다 사건이 보여 줍니다. 개인정보위는 2021년 4월 28일 의결(제2021-007-072호)에서, 스캐터랩이 「텍스트앳」·「연애의 과학」 이용자 약 60만 명의 카카오톡 대화문장 약 94억 건을 별도의 학습 DB에 저장하고 2020년 2월부터 12월까지 챗봇 「이루다」 모델 학습에 쓴 행위를 수집 목적 외 이용(제18조 제1항)으로 판단했습니다. 처리방침에 「신규 서비스 개발」이 적혀 있었지만, 위원회는 이용자 의사와의 합치, 예상 가능성, 예측할 수 없는 손해의 우려를 기준으로 삼아 그 기재만으로는 이용자가 서비스 성격·기반 플랫폼·이용 대상이 본질적으로 다른 챗봇 개발에 자기 대화가 쓰일 것을 예상할 수 없다고 보았습니다. 로그인하면 처리방침에 동의한 것으로 간주하는 방식도 문제 삼았고, 제15조 제3항의 추가적 이용도 관련성과 예측 가능성이 낮다는 이유로 인정하지 않았습니다. 이루다 모델 학습 과정에서 이름과 숫자를 치환하지 않은 채 학습시킨 사실도 확인됐습니다. 위원회는 여덟 가지 위반에 대해 과징금 5,550만 원과 과태료 4,780만 원을 부과하고, 회원 탈퇴자의 대화 정보 파기 방안을 위원회와 협의해 이행하라는 시정명령을 붙였습니다. 인공지능 개발사에 대한 첫 제재였습니다.
같은 사안의 민사 판결도 있습니다. 서울동부지방법원은 2025년 6월 12일 이용자 246명이 낸 손해배상 소송(2021가합104007)에서, 이루다는 연애 분석 앱과 성격·기반 플랫폼·이용 대상이 본질적으로 다른 서비스여서 「신규 서비스 개발」 기재만으로는 이용자가 자기 대화가 그 개발에 쓰일 것을 합리적으로 예상할 수 없었다고 보아 제18조 제1항 위반을 인정했습니다. 제15조 제3항의 추가적 이용 주장도 관련성과 예측 가능성이 낮다는 이유로 받아들이지 않았습니다. 법원은 위반이 증명된 원고들에게 일반 개인정보만 담긴 경우 10만 원, 민감정보가 담긴 경우 30만 원, 둘 다인 경우 40만 원의 위자료를 인정했고, 자기 대화가 실제로 쓰였다는 점을 증명하지 못한 153명의 청구는 기각했습니다. 1심 판결이고, 서울고등법원 2025나208690호로 항소심이 진행 중입니다.
같은 서비스의 분석 모델을 그 이용자의 영상으로 개선하는 것과, 다른 서비스나 범용 모델을 만들거나 제3자에게 넘기는 것은 예측 가능성에서 갈립니다. 후자는 제18조 제1항의 목적 외 이용이고, 전자도 「서비스 개선」 한 단어로는 부족합니다. 학습에 쓰려면 동의 화면의 목적 항목에 「분석 모델 학습」을 따로 적고, 제22조 제1항에 따라 다른 동의 사항과 구분해 선택 동의로 받아야 합니다. 제22조 제5항에 따라 이 동의를 거부해도 서비스 이용은 막을 수 없습니다.
## 약관의 콘텐츠 라이선스로는 안 되나요?
약관의 라이선스 조항은 저작권 문제를 정리합니다. 이용자가 찍은 영상의 저작물 이용을 회사에 허락하는 것이고, 그 영상에 담긴 개인정보를 처리할 법적 근거는 되지 않습니다. 제15조 제2항은 동의를 받을 때 목적, 항목, 보유·이용 기간, 거부권을 알리도록 정하고, 제22조 제1항은 각 동의 사항을 구분해 이용자가 명확히 인지하도록 요구합니다. 약관 전체에 한 번 동의하는 방식은 이 요건을 충족하지 못합니다. 라이선스 조항은 그대로 두되, 개인정보 동의는 별도 화면에서 받는 것이 맞습니다.
## 삭제 요구를 받으면 학습셋에서도 지워야 하나요?
제36조 제2항은 삭제 요구를 받으면 지체 없이 조사해 필요한 조치를 하도록 하고, 제3항은 삭제할 때 복구 또는 재생되지 않도록 조치하라고 정합니다. 제21조는 목적을 달성한 개인정보를 지체 없이 파기하도록 합니다. 삭제 요구가 들어온 영상에 플래그만 세워 두고 학습용 저장소에 그대로 두는 관행은 이 조문을 이행한 것이 아닙니다.
이미 학습이 끝난 모델의 가중치에서 특정 영상의 기여분을 걷어낼 수는 없습니다. 그래서 학습 단계에서 두 가지를 해 두어야 합니다. 첫째, 학습용 저장소를 서비스용과 분리하고 동의한 이용자의 영상만 옮깁니다. 둘째, 옮기기 전에 얼굴 흐림 처리와 메타데이터 제거로 비식별화합니다. 가명처리한 영상은 제28조의2에 따라 통계작성·과학적 연구 목적이면 동의 없이 처리할 수 있고, 제2조 제8호는 기술 개발과 실증을 과학적 연구에 포함하지만, 가명처리된 영상으로 목표 성능이 나오는지는 기술 판단이 먼저입니다. 이루다 결정문은 두 가지를 갈랐습니다. 회원번호만 일방향 암호화하고 대화문장은 손대지 않은 학습 DB는 가명처리 자체가 없어 가명정보가 아니고, 이름·주소·숫자를 걷어낸 응답 DB는 가명처리로 볼 여지가 있어도 그 문장을 이용자에게 그대로 발화하는 서비스 운영은 「연구」가 아니어서 제28조의2를 적용할 수 없다는 것입니다. 민사 판결도 같은 결론이었습니다. 2026년 9월 8일 공포된 AI 학습 특례(제28조의12부터 제28조의15까지)는 2027년 3월 9일 시행이라 지금은 근거가 되지 않으며, 시행 후에도 보호위원회 심의·의결이 필요합니다. 특례의 요건과 한계는 [본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다](/posts/ai-development-exception-waived-provisions/)에 정리해 두었습니다.
## 조사에서는 무엇을 보나요?
이루다 사건에서 위원회가 본 것은 동의 화면의 목적 기재와 동의 방식, 학습 데이터에 이름·연락처가 치환되지 않은 채 남아 있었는지, 탈퇴자 정보의 파기 이행이었습니다. 같은 질문이 영상 서비스에도 그대로 옵니다. 동의 화면에 「분석 모델 학습」 항목이 있었는지, 학습용 저장소에 동의하지 않은 이용자의 영상이 섞여 있는지, 삭제 요구 뒤 두 저장소에서 모두 지운 기록이 있는지입니다. 생성형 AI 서비스의 처리방침에 무엇을 적어야 하는지는 [프롬프트 입력값은 어디까지 적나](/posts/generative-ai-privacy-policy/)에, 투자·인수 실사에서 학습 데이터의 적법성을 묻는 순서는 [대상회사의 데이터 자산, 실사에서 순서대로 묻는 세 질문](/posts/scraped-data-asset-due-diligence/)에 있습니다.
## 자주 묻는 질문
### Q. 얼굴이 찍힌 운동 영상은 민감정보라 별도 동의를 받아야 하나요?
자세·동작 분석에만 쓰는 영상은 일반 개인정보입니다. 시행령 제18조 제3호의 민감정보는 특정 개인을 알아볼 목적으로 기술적 수단을 통해 생성한 정보이고, 개인정보위 생체정보 보호 안내서(2024.12.)는 인증·식별 목적으로 특징점을 추출한 특징정보만 여기에 해당한다고 봅니다. 다만 같은 영상을 나중에 얼굴 인증·식별용 특징정보 생성에 쓰면 그때부터 생체인식정보가 되어 제23조의 별도 동의가 필요합니다.
### Q. 처리방침에 「서비스 개선」이 있고 약관에 콘텐츠 라이선스 조항이 있으면 모델 학습에 써도 되나요?
안 됩니다. 저작권 이용허락은 개인정보 처리의 법적 근거가 아니고, 「서비스 개선」은 이용자가 자기 영상이 모델 학습에 쓰인다고 예상할 수 있는 기재가 아닙니다. 개인정보위는 이루다 사건에서 「신규 서비스 개발」 기재만으로는 예측이 어렵다며 수집 목적 외 이용(제18조 제1항)으로 판단했습니다. 학습 목적을 동의 항목으로 따로 두고 선택 동의를 받는 것이 안전한 설계입니다.
## 참고 자료
- [개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행)](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) 제2조 제1호·제8호, 제15조, 제18조 제1항, 제21조, 제22조, 제23조, 제28조의2, 제36조
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제14조의2, 제18조 제3호
- [개인정보위, 생체정보 보호 안내서(2024. 12.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=G010030000&nttId=10900): 생체인식정보의 정의, 원본정보·특징정보 구분, 일반 얼굴 사진·동영상을 특징정보 생성에 쓰는 경우
- [개인정보위 의결 제2021-007-072호(2021. 4. 28.) 「개인정보보호 법규 위반행위에 대한 시정조치에 관한 건」(㈜스캐터랩, 공개용 결정문)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7298): 제18조 제1항 목적 외 이용, 제28조의2 가명정보 특례 부적용, 총 과징금 5,550만 원·과태료 4,780만 원, 시정명령 8항. 링크는 같은 날 보도자료이며 서술은 공개용 결정문 PDF 기준입니다
- [서울동부지방법원 2025. 6. 12. 선고 2021가합104007 판결](https://lbox.kr/case/%EC%84%9C%EC%9A%B8%EB%8F%99%EB%B6%80%EC%A7%80%EB%B0%A9%EB%B2%95%EC%9B%90/2021%EA%B0%80%ED%95%A9104007): 이루다 이용자 손해배상. 제22조 제1항·제18조 제1항·제21조 제1항 위반과 일부 원고에 대한 제23조 제1항 위반 인정, 위자료 10만·30만·40만 원. 1심이며 서울고등법원 2025나208690호로 항소심 진행 중(2026. 9. 10. 기준). LBOX 스캔본을 OCR로 읽어 서술했습니다
- [본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다](/posts/ai-development-exception-waived-provisions/): AI 학습 특례(법률 제21910호, 2027. 3. 9. 시행)의 요건과 적용 제외
---
# 본사가 예산을 쥔 한국법인의 CPO는 '예산 확보' 의무를 어떻게 이행하나요?
- URL: https://datalaw.kr/posts/cpo-budget-duty-parent-funded-subsidiary/
- 게시 2026-09-09 · 수정 2026-09-11 · 태그: 개인정보보호법
- 요약: 2026년 9월 11일 시행 개정 개인정보 보호법은 개인정보 보호책임자(CPO)의 법정 업무에 '전문 인력의 관리 및 예산의 확보'와 '대표자·이사회 보고'를 넣었습니다(제31조 제4항 제2호·제3호). 위반해도 과태료는 없습니다. 그런데 같은 개정이 대표자의 예산 지원 책임(제30조의3)과 예방투자 과징금 감경(제64조의2 제6항)을 함께 만들었기 때문에, 예산 권한이 본사에 있는 한국법인의 CPO는 예산을 쥐는 것이 아니라 요구·배정·보고를 문서로 남기는 방식으로 이 의무를 이행하게 됩니다.
외국계 한국법인이나 지주회사 계열사의 개인정보 보호책임자(CPO)는 대개 예산을 쥐고 있지 않습니다. 보안 예산은 본사가 편성하고, 한국법인 이사회는 본사 임원 두세 명이 서면결의로 운영합니다. 그런 회사의 CPO에게 2026년 9월 11일 시행 개정 개인정보 보호법(법률 제21445호)은 전문 인력 관리와 예산 확보, 대표자·이사회 보고를 법정 업무로 부여합니다. 예산 권한이 없는 사람이 이 조문을 어떻게 이행하는지가 이 글의 질문입니다.
> **핵심 요약**
> 개정법 제31조 제4항 제2호·제3호는 CPO의 업무에 「개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보」와 「사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고」를 넣었습니다. 두 호의 위반에는 과태료가 없습니다. 대신 같은 개정이 대표자의 예산 지원 책임(제30조의3)과 예방투자 과징금 감경(제64조의2 제6항)을 함께 만들었기 때문에, 이 두 호는 사고 조사와 과징금 산정에서 회사가 무엇을 보여 줄 수 있는지를 정하는 조문으로 작동합니다. 예산 권한이 본사에 있는 CPO는 예산을 쥐는 것이 아니라 요구·배정·보고를 문서로 남기는 방식으로 이 의무를 이행합니다.
## 「예산의 확보」는 CPO에게 예산 권한을 주라는 뜻인가요?
조문 셋을 겹쳐 읽으면 답이 나옵니다. 개정법이 신설한 제30조의3은 사업주 또는 대표자를 개인정보 보호의 최종 책임자로 정하고, 「전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게」 하도록 합니다. 제31조 제4항 제2호는 CPO의 업무를 그 인력의 「관리」와 예산의 「확보」로 정합니다. 그리고 시행령 제32조 제6항 제3호는 처리자가 CPO에게 「업무 수행에 적합한 조직체계의 마련 및 인적·물적 자원의 제공」을 하도록 2024년 3월 12일부터 이미 요구하고 있습니다.
구조는 지원(대표자), 확보(CPO), 제공(처리자)입니다. 법은 CPO에게 결재권을 주라고 하지 않습니다. CPO가 할 일은 보호 계획(제4항 제1호)에 필요한 인력과 예산을 산정해 요구하고, 배정 결과를 확인하며, 부족하면 대표자와 이사회에 보고하는 것입니다. 개정법은 시행령에 있던 실질을 법률 본문의 CPO 업무로 올리고 그 짝으로 대표자의 지원 책임을 명문화했습니다. 정보통신망법의 CISO 겸직 조문도 부칙 제4조 제2항으로 같은 항을 인용하게 되어, 겸직 CISO의 CPO 업무에 이 두 호가 들어옵니다([CISO가 CPO를 겸할 수 있나요](/posts/ciso-cpo-concurrent-appointment/)).
## 이행하지 않으면 과태료가 있나요?
없습니다. 개정법이 제75조 제2항에 신설한 과태료는 미지정·자격 미달 지정(제14호의2), 이사회 의결 누락(제14호의3), 신고 누락(제14호의4) 셋뿐이고, 제4항 제2호·제3호에는 과태료도 과징금도 붙지 않았습니다. 이사회 의결·신고의 대상은 시행령(대통령령 제36671호, 2026. 9. 10. 공포)이 연간 매출액등 1,800억 원 초과 등으로 잘라 두었으므로, 그 밖의 법인에게 이번 개정이 CPO에 관해 남기는 것은 사실상 이 두 호뿐입니다.
제재가 없는 의무는 두 자리에서 작동합니다. 첫째, 2026년 KT·롯데카드 제재의 시정명령은 과징금과 별도로 CPO 거버넌스 정비를 요구했고, 롯데카드 결정문은 CPO가 의사결정 기록을 확인할 수 없다고 진술한 사실을 「매우 중대한 위반행위」 판단에 반영했습니다([본사 APAC DPO를 한국 CPO로 올려 두었습니다](/posts/foreign-subsidiary-cpo-designation/)). 둘째, 제64조의2 제6항은 예산·인력·설비 등에 투자한 사업자의 과징금을 고의·중과실이 없는 한 「감경한다」고 정하고, 시행령 제60조의2 제5항은 그 고려 사항에 제30조의3의 책임 이행 정도와 보호책임자의 역할·조직·인력 구성을 넣었습니다([과징금 감경이 실제로 인정된 사유들](/posts/pipc-fine-mitigation-factors/)).
## 본사가 예산을 쥔 구조에서는 무엇을 남겨야 하나요?
두 호에는 이행 형식이 없으므로 회사가 스스로 기록을 만들어야 합니다. 다섯 가지가 출발점입니다.
**첫째, CPO 명의의 연간 예산·인력 요구서를 남깁니다.** 보호 계획과 연동해 항목별로 산정하고, 대표자에게 제출한 날짜와 함께 보관합니다.
**둘째, 본사 배정 예산 중 한국법인 몫을 특정하는 문서를 확보합니다.** 배정 통지, 본사·자회사 간 서비스 계약, 비용 배분 내역처럼 한국법인에 귀속되는 금액과 인력이 적힌 문서가 있어야 제30조의3의 「지원」을 보일 수 있습니다.
**셋째, 요구가 거절되거나 삭감됐을 때 CPO의 의견을 기록합니다.** 제31조 제6항은 CPO가 법 위반 사실을 알면 개선조치를 하고 기관의 장에게 보고하도록 합니다. 예산이 삭감된 사실보다 CPO가 아무 말도 하지 않은 사실이 조사에서 더 무겁게 읽힙니다.
**넷째, 대표자 보고와 이사회 보고를 정기 안건으로 고정합니다.** 문언이 「대표자 및 이사회」이므로 대표자 보고로 이사회 보고를 갈음할 수 없습니다. 서면결의만 하는 법인이라면 연 1회 이상 「개인정보 보호 현황」 안건을 넣고 결의 기록을 보관합니다. 본사 프라이버시 조직에 대한 보고는 이 호의 보고가 아닙니다.
**다섯째, CISO 겸직 회사는 보안 예산과 개인정보 보호 예산을 구분해 기록합니다.** 감경 심사가 보는 것은 「개인정보 보호에 필요한」 투자이므로 항목이 구분돼야 특정할 수 있습니다.
## 사고 조사에서 이 기록은 어떻게 쓰이나요?
이 기록이 읽히는 자리는 평상시가 아니라 유출 조사입니다. 조사관은 CPO에게 예산을 요구한 적이 있는지, 대표자와 이사회에 무엇을 보고했는지를 묻습니다. 문서로 답할 수 있는 회사에는 예방투자 감경을 심사할 근거가 생기고, 없는 회사는 「준법 감시·통제가 미흡한 점」으로 적힙니다. 사고 인지 후의 시간표는 [유출 인지 후 72시간](/guides/data-breach-response/)에, 개정 전체는 [개정법 정리](/guides/pipa-2026-amendment/)에, 본사 정책 이식의 다른 지점은 [아홉 지점](/posts/global-policy-korea-gap-map/)에 있습니다.
## 자주 묻는 질문
### Q. CPO에게 예산 결재권이 없으면 제31조 제4항 제2호 위반인가요?
아닙니다. 조문은 대표자가 지원하고(제30조의3) CPO가 확보하며(제31조 제4항 제2호) 처리자가 제공하는(시행령 제32조 제6항 제3호) 구조입니다. CPO가 필요한 예산과 인력을 산정해 요구하고 배정 결과를 기록으로 남기면 조문이 요구하는 업무를 수행한 것이고, 이 호의 위반에는 과태료가 없습니다.
### Q. 서면결의만 하는 한국법인 이사회에도 보고해야 하나요?
제31조 제4항 제3호는 「대표자 및 이사회」 보고를 정하고 이사회 구성은 묻지 않습니다. 서면결의 안건에 개인정보 보호 현황을 정기 항목으로 넣고 보고 사실을 남기는 것이 현실적인 이행 방법입니다. 본사 글로벌 프라이버시 조직에만 보고하는 구조는 이 호와 맞지 않습니다.
## 참고 자료
- [개정 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) 원문](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) 제30조의3, 제31조 제4항·제6항·제7항, 제64조의2 제6항, 제75조 제2항 제14호의2부터 제14호의4까지, 부칙 제4조
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제32조 제6항: 대통령령 제36121호(2026. 2. 19. 공포). 제31조 제3항의 대상 기준(제32조 제3항)과 제64조의2 제6항의 감경 사유(제60조의2 제5항)는 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행)가 정했습니다
- [CISO가 CPO를 겸할 수 있나요? 9월 11일부터 근거 조문이 바뀌었습니다](/posts/ciso-cpo-concurrent-appointment/)
- [본사 APAC DPO를 한국 CPO로 올려 두었습니다](/posts/foreign-subsidiary-cpo-designation/): 지정 적격, 이사회 의결·신고, KT·롯데카드 시정명령
- [과징금 감경이 실제로 인정된 사유들](/posts/pipc-fine-mitigation-factors/): 산정 5단계와 투자감경의 위치
---
# 유출 통지 문자 한 통에서 읽히는 네 가지 신호
- URL: https://datalaw.kr/posts/breach-notice-text-signals/
- 게시 2026-09-09 · 수정 2026-09-10 · 태그: 유출대응, 개인정보보호법, 과징금제재
- 요약: 요즘 정보주체가 받는 유출 통지 문자에는 일정한 형식이 있습니다. 사고 날짜, '탈취 정황은 낮다'는 자체 평가, 유출이 의심되는 항목, 기술 부서의 연락처. 이 네 문장이 조사 단계에서 어떻게 읽히는지, 그리고 2026년 9월 11일 이후 같은 문안을 보내면 어느 칸이 비는지를 개인정보 보호법 제34조 제1항 기재사항과 기재사항 누락 처분 2건에 대조해 정리했습니다.
> **핵심 요약**. 유출 통지문은 정보주체에게 보내는 안내문이면서 위원회 조사에서 첫 번째로 읽히는 회사의 진술서입니다. 통지문에 적은 사고 날짜는 72시간 시계의 기산점 주장이 되고, '탈취 정황이 낮다'는 문장은 그 근거 로그를 묻는 질문이 되며, 빠진 기재사항은 그 자체로 과태료 사유가 됩니다(법 제34조 제1항, 제75조 제2항 제17호). 2026년 9월 11일 이후에는 유출 가능성 단계의 통지(신설 제2항)가 의무가 되고, 유출이 확정된 뒤의 통지에는 손해배상·분쟁조정 안내(신설 제6호)가 들어가야 하므로, 가능성 단계의 문안을 확정 단계에 그대로 다시 쓰면 한 칸이 빕니다.
랜섬웨어 사고 뒤에 정보주체가 받는 문자 통지에는 요즘 일정한 형식이 있습니다. 어느 날짜에 외부 불법 접근을 확인했는지를 한 문장으로 적고, 대량 트래픽이 확인되지 않아 탈취 정황은 낮다고 판단하지만 선제적으로 안내한다는 문장을 붙이고, 유출이 의심되는 항목을 나열한 뒤, 서버망 차단과 관계기관 신고 완료를 조치로 적고, 유출이 확인되면 다시 연락하겠다는 예고와 함께 문의처에 정보시스템 부서의 전화번호와 시스템 관리용 메일 주소를 적습니다. 이 글은 그 네 문장을 개인정보 보호법 제34조 제1항의 기재사항과 기재사항 누락 처분 2건에 대조해 읽습니다. 특정 회사를 평가하려는 것이 아니라, 같은 형식으로 통지문을 쓰는 회사가 무엇을 점검해야 하는지를 보기 위해서입니다.
## 첫 번째 문장, 사고 날짜는 누구의 시계를 켜나
회사는 '○월 ○일 외부 불법 접근이 발생한 사실을 확인하였습니다'를 사실 설명으로 적지만, 위원회는 이 날짜를 기산점으로 읽습니다. 통지·신고 기한은 유출등을 알게 된 때로부터 72시간이고(시행령 제39조 제1항, 제40조 제1항), '확인하였습니다'의 날짜는 회사 스스로 밝힌 인지일이 되어 통지문 발송일과의 차이가 그대로 지연 일수의 출발점이 됩니다.
반대로 발생일만 적고 인지일을 적지 않으면 위원회는 인지일을 정황으로 산정합니다. 공개된 결정문에서 위원회가 반복해 온 기준은, 사업자가 확정적으로 알게 된 날을 늦게 잡더라도 충분히 알 수 있었던 날을 인지일로 본다는 것입니다. 랜섬웨어는 암호화된 시점에 시스템이 멈추므로 발생일과 인지일이 거의 같고, 통지문에 적은 발생일이 곧 인지일 주장이 됩니다. 통지 지연으로 처분된 결정문에서 지연 일수의 최소값은 1일입니다. 하루 차이가 처분과 무관하지 않다는 뜻이고, 분포는 [유출 통지 지연 제재 전수](/sanctions/breach-notice/)에 있습니다. 발생일과 인지일을 구분해 적는 것은 그래서 사실 설명이 아니라 기산점의 확정입니다. 인지일을 어떻게 세는지는 [유출 인지 후 72시간](/guides/data-breach-response/)에서 다루었습니다.
## 두 번째 문장, '탈취 정황은 낮다'는 누가 판단했나
정보주체를 안심시키려는 이 문장은 조사에서 질문으로 돌아옵니다. 트래픽을 확인한 로그가 어느 구간까지 남아 있었는지, 그 로그가 랜섬웨어 실행 이전의 반출을 담을 수 있는 종류였는지, 판단의 주체가 회사 내부였는지 외부 전문기관이었는지입니다. 이 문장이 위험해지는 때는 판단이 틀렸을 때가 아니라 근거가 없을 때입니다. 로그와 외부 분석이 같은 결론이면 같은 문장이 근거에 기반한 대응의 자료가 됩니다.
2026년 9월 11일부터는 이 문장의 법적 위치가 바뀝니다. 개정법 제34조 제2항은 유출등이 확인되지 않았더라도 그 가능성이 있는 경우의 통지를 별도의 의무로 신설했고, 법제처 심사를 마친 시행령 개정안은 그 사유를 불법 접근은 있었으나 어느 정보주체의 정보인지 특정하기 어려운 경우와 일부 유출이 확인되고 다른 정보주체의 정보도 유출됐을 가능성이 있는 경우로 적고 있습니다. '탈취 정황은 낮지만 선제적으로 안내한다'는 통지는 정확히 이 유형입니다. 개정법이 적용되면 이 통지는 회사의 선의가 아니라 의무 이행이 되고, 유출이 확인되면 제1항의 통지로, 유출되지 않았음이 확인되면 그 사실을 지체 없이 추가로 통지할 의무가 따라옵니다. 랜섬웨어 암호화 자체가 통지 대상이 되는 변화는 [유출등에 훼손이 추가된 의미](/posts/ransomware-corruption-breach-notification/)에서 따로 정리했습니다.
## 세 번째 묶음, 다섯 칸 중 어느 칸이 비어 있나
법 제34조 제1항이 요구하는 기재사항은 유출된 항목, 시점과 경위, 피해 최소화를 위해 정보주체가 할 수 있는 방법, 회사의 대응조치와 피해 구제절차, 피해 신고를 접수할 부서와 연락처의 다섯 가지입니다. 앞서 본 형식은 이 다섯 칸을 대체로 채웁니다. 의심 항목이 제1호, 사고 날짜와 경위가 제2호, 스미싱 주의와 비밀번호 변경 당부가 제3호, 서버망 차단과 신고 완료가 제4호, 문의처가 제5호입니다.
문제는 9월 11일 이후입니다. 개정법은 제3호를 정보주체가 취할 수 있는 조치의 '구체적인 정보'로 강화하고, 제6호로 손해배상 청구·법정손해배상 청구·분쟁조정 신청 같은 법적 권리와 행사 방법의 안내를 추가했습니다. 지금 널리 쓰이는 문안에는 이 안내가 없습니다. 가능성 단계의 통지(개정 제2항)라면 시행령 개정안이 요구하는 것은 가능성이 있는 항목, 의심되는 시점과 경위, 피해 최소화 방법, 대응조치, 담당부서, 그리고 확정되면 추가로 통지한다는 사실이므로 앞서 본 문안은 대체로 채워집니다. 빈 칸이 생기는 것은 그다음입니다. 유출이 확인되어 제1항의 통지를 다시 보낼 때 제6호 안내가 들어가야 하는데, 가능성 단계의 문안을 그대로 재사용하면 그 칸이 빕니다. 정보주체가 분쟁조정을 신청하면 회사에 어떤 기한이 생기는지는 [분쟁조정 수락 시계](/posts/breach-mediation-acceptance-clock/)에서 다루었습니다.
기재사항 누락이 처분으로 이어진 사례는 공개된 결정문에 2건 있습니다. 2026년 1월 28일 의결된 한국연구재단 건(제2026-002-003호)에서 위원회는 과징금 7억 300만 원과 별도로 통지 의무 위반에 과태료 480만 원을 부과하면서, 생략한 항목(계좌번호·국가연구자번호 등)을 추가로 통지하고 피해 확산 방지 방법을 안내하라는 명령을 주문에 넣었습니다. 2026년 3월 25일 의결된 강북구청 건(제2026-005-025호)도 과징금 3억 7,800만 원과 함께 같은 금액의 과태료가 붙었습니다. 두 건 모두 통지는 기한 안에 이루어졌습니다. 위원회는 통지문을 항목 단위로 대조하고, 빠진 항목은 추가 통지 명령으로 돌아옵니다.
## 네 번째 문장, 시스템 관리 계정은 피해 신고 창구인가
문의처에는 정보시스템 부서의 전화번호와 hostmaster나 admin 같은 시스템 관리용 메일 주소가 적히는 경우가 많습니다. 제5호가 요구하는 것은 부서와 연락처이므로 형식은 충족됩니다. 다만 조문의 문언은 '피해 신고 등을 접수할 수 있는' 부서입니다. 시스템 관리 계정은 도메인 등록 정보에 적히는 기술 연락처이고, 여기로 들어온 피해 신고가 법무나 개인정보 보호책임자에게 전달되지 않으면 회사는 피해 신고를 받고도 대응하지 않은 것이 됩니다. 사고 후의 협조와 피해 확산 방지 노력이 과징금 2차 조정에 어떻게 반영되는지는 [과징금 감경 사유 분석](/posts/pipc-fine-mitigation-factors/)에 결정문 기준으로 정리되어 있습니다.
## 통지문을 보내기 전에 확인할 것
발생일과 인지일을 구분해 적을 것, 자체 평가 문장 뒤에 로그와 외부 분석이 있는지 확인할 것, 9월 11일 이후에는 손해배상·분쟁조정 안내나 추가 통지 예고가 들어갔는지 볼 것, 문의처가 피해를 실제로 접수하는 창구인지 확인할 것. 사고 인지부터 처분 이후까지의 흐름은 [개인정보 유출 대응 가이드](/guides/data-breach-response/)에 있습니다.
## 자주 묻는 질문
### 유출이 확인되지 않았는데 미리 통지하면 나중에 불리해지나요?
통지 자체가 불리하게 작용하지는 않습니다. 오히려 통지문에 적은 날짜와 문장이 조사에서 그대로 인용되므로, 무엇을 적을지가 문제입니다. 사고 발생일만 적고 인지일을 적지 않으면 위원회가 인지일을 스스로 산정하고, '유출 정황이 낮다'는 자체 평가는 그 근거 로그가 있었는지를 묻는 질문으로 돌아옵니다. 2026년 9월 11일부터는 유출 가능성이 있는 단계의 통지가 개정법 제34조 제2항의 의무로 정리되므로, 확인되기 전에 알리는 것 자체는 법이 예정한 절차입니다.
### 통지문에 넣어야 할 항목이 하나 빠지면 어떤 처분을 받나요?
통지 의무 위반은 과태료 사유입니다(법 제75조 제2항 제17호, 3천만 원 이하). 공개된 결정문 중 기한 안에 통지했는데도 기재사항을 빠뜨려 처분된 건이 2건 있고, 두 건 모두 과태료 480만 원과 함께 다른 위반의 과징금이 부과됐습니다. 한 건에서는 빠뜨린 항목을 추가로 통지하라는 명령까지 주문에 들어갔습니다.
### 피해 신고 접수 연락처로 IT 부서의 대표 메일 주소를 적어도 되나요?
법 제34조 제1항 제5호는 '피해 신고 등을 접수할 수 있는 부서 및 연락처'를 요구합니다. 형식적으로는 부서와 연락처가 있으면 충족되지만, 조문이 요구하는 것은 피해를 접수하는 창구입니다. 기술 부서의 시스템 관리 계정을 적으면 정보주체의 피해 신고가 접수되지 않은 채로 남을 수 있고, 그 사실은 나중에 대응조치의 적정성을 다투는 자료가 됩니다.
## 참고 자료
- 개인정보 보호법 제34조(개인정보 유출등의 통지·신고) 제1항·제75조 제2항 제17호 — [국가법령정보센터](https://www.law.go.kr/법령/개인정보보호법)
- 개인정보 보호법 시행령 제39조(개인정보 유출등의 통지)·제40조(개인정보 유출등의 신고)
- 개정 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제34조 제1항 제3호·제6호, 제2항 — 조문 대조는 [2026년 개정법 해설](/guides/pipa-2026-amendment/)
- 개인정보보호위원회 의결 제2026-002-003호(2026-01-28, 한국연구재단)·제2026-005-025호(2026-03-25, 강북구청) — 원문은 [유출 통지 지연 제재 전수](/sanctions/breach-notice/)의 각 행에서
- 이 글이 한 통에서 읽은 신호를 여러 통에서 세어 본 것이 [공개 통지문 모음](/breach-notices/)입니다 — 통지문 원문에서 기재사항이 실제로 얼마나 확인되는지, 문의 창구로 무엇을 적는지를 집계했습니다
- 개인정보 보호법 시행령 제39조의2·제39조의3 — 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행)로 확정됐습니다. 가능성 통지의 사유 둘과 통지 사항, 72시간 기한이 여기 있습니다
---
# 침해사고에 과징금이 두 번 나올 수 있나 — 10월 1일부터 두 법이 갈리는 지점
- URL: https://datalaw.kr/posts/dual-fine-exclusion-network-act/
- 게시 2026-09-05 · 수정 2026-09-11 · 태그: 과징금제재, 유출대응, 개인정보보호법
- 요약: 침해사고 하나로 과학기술정보통신부와 개인정보보호위원회가 각각 과징금을 물릴 수 있는지는 조문에 답이 있습니다. 2026년 10월 1일 시행되는 개정 정보통신망법 제48조의8 제4항이 개인정보 보호법 제64조의2 제1항 제9호에 해당하는 경우를 적용 대상에서 빼 두었기 때문입니다. 그래서 겹치는 상황은 원칙적으로 생기지 않고, 대신 어느 법으로 가는지가 사고 초기에 갈립니다. 갈림선은 개인정보가 유출됐는지입니다. 개인정보 유출이 없는 침해사고가 정보통신망법 과징금의 자리이고, 유출이 있으면 개인정보위 쪽으로 넘어갑니다.
> **핵심 요약** — 침해사고가 나면 과학기술정보통신부와 개인정보보호위원회가 함께 옵니다. 2026년 10월 1일 시행되는 개정 정보통신망법이 반복 침해사고에 과징금을 새로 만들면서(제48조의8), **같은 사고로 두 기관의 과징금이 겹치는가**가 실무의 첫 질문이 되었습니다. 답은 같은 조 제4항에 있습니다 — 「개인정보 보호법」 제64조의2 제1항 제9호에 해당하는 경우에는 적용하지 않습니다. 제9호가 개인정보 유출 사건이므로, **개인정보가 유출된 침해사고는 개인정보위 쪽으로 가고 정보통신망법 과징금은 비켜섭니다.** 정보통신망법 과징금의 자리는 개인정보가 새지 않은 침해사고입니다. 그 자리에 들어가면 상한은 대통령령으로 정하는 매출액의 100분의 3이고, 요건은 고의 또는 중과실로 침해사고가 5년 이내에 2회 이상 발생한 경우입니다.
침해사고가 나면 회사는 두 기관을 동시에 상대합니다. 개인정보가 섞여 있으면 개인정보보호위원회가 오고, 정보통신망 공격이라는 성격 때문에 과학기술정보통신부와 한국인터넷진흥원도 옵니다. 신고 창구가 둘이라 대응 문서도 둘로 갈라집니다.
여기에 10월 1일부터 과징금이 하나 더 생깁니다. 그러면 같은 사고로 두 번 맞는가 하는 질문이 바로 따라오는데, 개정법은 그 질문을 예상하고 답을 조문에 적어 두었습니다. 다만 그 답이 조문 안쪽에 있어서 눈에 잘 띄지 않습니다.
## 새로 생기는 과징금은 무엇인가
개정 정보통신망법 제48조의8은 「침해사고의 반복적 발생에 대한 과징금의 부과」입니다. 과학기술정보통신부장관이 부과하고, 요건은 셋입니다.
첫째, 대상이 **정보통신서비스 제공자**입니다. 둘째, **고의 또는 중과실**이 있어야 합니다. 셋째, 침해사고가 **5년 이내의 기간 동안 2회 이상** 발생해야 합니다. 이 셋이 모두 충족되면 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 넘지 않는 범위에서 과징금을 부과할 수 있습니다.
여기서 말하는 침해사고는 법 제2조 제1항 제7호의 정의를 따릅니다. 해킹·컴퓨터바이러스·논리폭탄·메일폭탄·서비스거부·고출력 전자기파 같은 방법이나, 보호·인증 절차를 우회하는 프로그램을 설치하는 방법으로 정보통신망이나 관련 정보시스템을 **공격하는 행위로 인하여 발생한 사태**입니다. 개인정보가 새어나갔는지는 이 정의에 들어 있지 않습니다.
부과할 때 고려해야 할 사항은 일곱 가지로 열거되어 있습니다(제2항). 침해사고의 횟수, 고의·과실 여부, 정보가 유출·위조·변조·훼손된 경우 위반행위와의 관련성 및 그 규모, 피해 회복과 확산 방지 조치의 이행 여부, 업무 형태 및 규모, 이용자에게 미치는 영향과 피해 규모, 예방과 신속 대응을 위한 노력입니다.
## 그래서 같은 사고에 두 번 부과되나
제48조의8 제4항이 이 질문에 직접 답합니다.
> 제1항에 따른 과징금은 「개인정보 보호법」 제64조의2제1항제9호에 해당하는 경우에는 적용하지 아니한다.
인용된 제9호를 펴 보면 이렇습니다.
> 9. 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우. 다만, 개인정보가 유출등이 되지 아니하도록 개인정보처리자가 제29조(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.
두 조문을 이어 붙이면 결론이 나옵니다. **개인정보가 유출된 침해사고에는 정보통신망법 과징금을 적용하지 않습니다.** 그 사고는 개인정보 보호법 제64조의2 제1항 제9호로 개인정보보호위원회가 다루고, 과학기술정보통신부장관의 과징금은 비켜섭니다.
거꾸로 말하면 **정보통신망법 과징금의 자리는 개인정보가 새지 않은 침해사고**입니다. 서비스가 마비된 사고, 시스템에 침입당했지만 개인정보 테이블에는 닿지 않은 사고, 소스코드나 영업정보만 빠져나간 사고가 여기에 해당합니다. 그동안 이런 사고는 과태료와 시정명령의 대상이었고 매출액에 연동되는 금전 제재가 없었습니다. 10월 1일에 달라지는 것이 이 지점입니다.
개인정보 유출 쪽에서 과징금이 실제로 얼마나 부과돼 왔는지는 결정문 단위로 볼 수 있습니다. 조문별로 갈라 보면 과징금이 붙는 자리와 과태료에 그치는 자리가 나뉩니다.
→ [개인정보 과징금·과태료 사례 889건 — 개인정보위 제재 결정문 전수 DB](/sanctions/)
## 무엇이 갈림선인가
실무에서 이 구조는 사고 대응의 **초기 판단**을 바꿉니다. 어느 법으로 가는지가 개인정보 유출 여부로 갈리기 때문입니다.
| 사고의 성격 | 과징금 근거 | 부과 기관 |
|---|---|---|
| 개인정보가 유출된 침해사고 | 개인정보 보호법 제64조의2 제1항 제9호 | 개인정보보호위원회 |
| 개인정보 유출이 없는 침해사고 | 정보통신망법 제48조의8 제1항 | 과학기술정보통신부장관 |
그래서 사고 초기에 「개인정보가 포함되었는가」를 확정하는 일은 신고 의무의 문제만이 아닙니다. **어느 법의 과징금 사정권에 들어가는지를 정하는 판단**이기도 합니다. 두 법의 요건이 다르기 때문에 이 차이는 금액이 아니라 방어 논리 자체를 바꿉니다. 개인정보 보호법 쪽은 안전조치를 다했는지가 다투는 자리이고, 정보통신망법 쪽은 고의 또는 중과실이 있었는지와 5년 안에 두 번인지가 다투는 자리입니다.
개인정보 보호법 쪽 상한이 9월 11일에 어떻게 올라갔는지는 [2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로](/posts/breach-response-calculus-shift/)에서, 그 개정 전체의 준비 항목은 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에서 다룹니다.
⚠️ **배제되는 것은 과징금뿐입니다.** 제4항이 비켜세우는 것은 제1항의 과징금이고, 두 법의 과태료·시정명령·이행강제금은 그대로 남습니다. 개인정보 유출 사고에서 개인정보위 과징금을 받으면서 동시에 정보통신망법상 시정명령과 그 불이행에 따른 이행강제금(제48조의7)을 받는 상황은 이 조항으로 막히지 않습니다.
## 문언에 남아 있는 자리 하나
제9호에는 단서가 붙어 있습니다. 개인정보가 유출되지 않도록 **제29조에 따른 안전성 확보에 필요한 조치를 다한 경우**는 제9호에 해당하지 않습니다.
그러면 제48조의8 제4항의 배제도 함께 풀립니다. 제4항은 「제9호에 해당하는 경우」를 배제하는데, 단서로 해당하지 않게 되면 배제할 것이 없기 때문입니다. 문언만 따라가면 **안전조치를 다해서 개인정보위 과징금을 면한 사업자가 정보통신망법 과징금의 사정권에는 남는** 구조가 됩니다.
다만 이 자리가 실제로 벌어지기는 어려워 보입니다. 제48조의8 제1항이 **고의 또는 중과실**을 요건으로 두고 있어서, 안전성 확보 조치를 다했다고 인정된 사업자에게 중과실을 인정하기가 쉽지 않기 때문입니다. 두 판단이 서로 다른 조문의 서로 다른 요건이라 논리적으로 양립할 수는 있지만, 실제 사건에서 그 조합이 성립하려면 안전조치와 무관한 다른 국면에서 중과실이 있어야 합니다.
지금 단계에서 확정해 말할 수 있는 것은 여기까지입니다. 이 자리가 실제로 쓰이는지는 시행 후 첫 사건이 나와야 알 수 있고, 그때 이 글에 결과를 붙이겠습니다.
## 아직 정해지지 않은 것
과징금의 **금액을 지금 계산할 수는 없습니다.** 제48조의8 제1항의 「대통령령으로 정하는 매출액」이 무엇인지, 제3항이 위임한 구체적인 산정 기준과 절차가 어떻게 되는지가 모두 시행령에 맡겨져 있는데, **2026년 9월 10일 현재 정보통신망법 시행령 개정령은 공포되지 않았습니다**(현행은 대통령령 제36502호, 2026년 7월 7일 시행). 국가법령정보센터 시행예정법령을 같은 날 다시 훑어도 이 시행령의 개정 예정 건은 올라와 있지 않습니다 — 시행일까지 3주가 남지 않았습니다.
시행일을 앞두고 시행령이 없는 상황은 개인정보 보호법 쪽도 같았습니다. 다만 그쪽은 시행 하루 전인 **2026년 9월 10일 대통령령 제36671호가 공포**되면서 해소됐습니다. 유출등의 가능성 통지 범위와 과징금 감경 사유가 그 시행령에 담겼습니다. **정보통신망법 쪽은 그대로 남아 있습니다** — 10월 1일 시행일까지 개정령이 공포되지 않으면 금액을 계산할 근거가 없는 채로 조문만 시행됩니다.
그래서 지금 할 수 있는 준비는 금액을 추산하는 일이 아니라 **어느 법으로 갈 사고인지를 가르는 절차를 사고대응 문서에 넣어 두는 일**입니다. 시행령이 공포되면 이 글에 산정 기준을 붙이겠습니다.
횟수를 세는 쪽에도 정해지지 않은 것이 있습니다. 부칙 제7조 제1항이 「시행 이후 최초로 … 2회 이상 발생한 경우부터」라고만 적어, 시행 전 사고를 횟수에 넣는지가 문언으로 갈리지 않습니다. 그 문제는 별도의 글에서 따로 다루겠습니다.
## 자주 묻는 질문
**Q. 같은 침해사고로 과기정통부와 개인정보위가 각각 과징금을 부과할 수 있나요?**
원칙적으로는 생기지 않습니다. 제48조의8 제4항이 개인정보 보호법 제64조의2 제1항 제9호에 해당하는 경우를 적용 대상에서 뺐기 때문입니다. 다만 과태료와 시정명령은 이 배제의 대상이 아닙니다.
**Q. 정보통신망법 과징금은 어떤 사고에 적용되나요?**
개인정보 유출이 없는 침해사고입니다. 서비스 마비, 시스템 침해, 소스코드나 영업정보 탈취가 여기에 해당합니다. 요건은 고의 또는 중과실과 5년 이내 2회 이상입니다.
**Q. 안전조치를 다했다고 인정되면 어느 쪽 과징금도 안 나오나요?**
문언만 보면 그렇지 않습니다. 제9호 단서로 제9호에 해당하지 않게 되면 제48조의8 제4항의 배제도 풀립니다. 다만 정보통신망법 과징금이 고의 또는 중과실을 요건으로 하므로 실제로 그 조합이 성립하는 경우는 좁습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [정보통신망 이용촉진 및 정보보호 등에 관한 법률(법률 제21500호, 2026. 3. 31. 공포, 2026. 10. 1. 시행)](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=285199&efYd=20261001) — 국가법령정보센터 시행예정 법령
- [개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행)](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) — 국가법령정보센터 시행예정 법령
- [정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(현행)](https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령) — 국가법령정보센터
---
# CISO가 CPO를 겸할 수 있나요? 9월 11일부터 근거 조문이 바뀌었습니다
- URL: https://datalaw.kr/posts/ciso-cpo-concurrent-appointment/
- 게시 2026-08-24 · 수정 2026-09-11 · 태그: 개인정보보호법, 스타트업실무
- 요약: 정보통신망법상 CISO가 겸할 수 있는 업무 목록에 CPO 업무가 있습니다. 그런데 그 인용 조문(개인정보 보호법 제31조제2항)은 2023년 9월부터 업무 조항이 아니었고, 2026년 9월 11일 개정법 부칙이 이를 제31조제4항으로 바로잡았습니다. 이때부터 겸직 CISO의 CPO 업무에 예산 확보와 이사회 보고가 명시적으로 들어왔습니다.
한 사람이 정보보호 최고책임자(CISO)와 개인정보 보호책임자(CPO)를 함께 맡는 회사가 많습니다. 보안 조직을 따로 두기 어려운 회사만 그런 것이 아닙니다. 본사가 보안과 개인정보를 한 임원에게 묶어 두는 외국계 한국법인, 정보보호 조직을 이사급 한 명 아래로 통합한 대기업 계열사에서도 흔한 구조입니다. 그런데 "그 겸직의 법적 근거가 어디 있느냐"는 질문을 받으면, 답이 이상한 곳에 도착합니다. 근거 조문이 3년째 엉뚱한 항을 가리키고 있었기 때문입니다.
> **핵심 요약**
> 정보통신망법 제45조의3 제4항 제2호 라목은 CISO가 겸할 수 있는 업무로 "「개인정보 보호법」 제31조제2항에 따른 개인정보 보호책임자의 업무"를 듭니다. 그런데 개인정보 보호법 제31조 제2항은 2023년 9월 15일 이후 업무 조항이 아니라 "지정하지 않으면 대표자가 보호책임자가 된다"는 간주 규정이고, 업무는 제3항에 있습니다. 2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호) 부칙 제4조 제2항이 이 인용을 "제31조제4항"으로 바로잡았고, 그 결과 겸직 CISO의 CPO 업무 외연에 개정법이 신설한 **전문 인력 관리·예산 확보**와 **대표자·이사회 보고**가 명시적으로 들어옵니다. 겸직 가능 여부가 바뀐 것이 아니라, 겸직으로 수행해야 하는 업무의 준거와 범위가 바뀌었습니다.
## CISO의 CPO 겸직, 어느 회사에서 문제가 되나요?
모든 회사가 이 조문을 신경 써야 하는 것은 아닙니다. 정보통신망법 제45조의3 제3항은 일정 규모 이상의 정보통신서비스 제공자에 대해 CISO의 겸직을 제한합니다. 시행령 제36조의7 제5항이 정한 기준은 두 가지입니다. **직전 사업연도 말 자산총액 5조원 이상**이거나, **ISMS 인증 의무대상 중 자산총액 5천억원 이상**인 회사입니다.
이 기준에 해당하는 회사의 CISO는 같은 조 제4항에 열거된 업무 외에는 다른 업무를 겸직할 수 없습니다. 그리고 제4항 제2호 라목이 "개인정보 보호법에 따른 개인정보 보호책임자의 업무"를 겸직 가능 목록에 올려 두었습니다. 즉 겸직 제한 대상 회사에서 CISO가 CPO를 겸하는 유일한 법적 통로가 이 라목이고, **라목이 인용하는 조문의 범위가 곧 겸직으로 할 수 있는 일의 범위**입니다.
## 그 라목은 지금 어떤 조문을 가리키고 있나요?
현행 라목의 문언은 "「개인정보 보호법」 제31조제2항에 따른 개인정보 보호책임자의 업무"입니다. 2023년 9월 14일까지는 이 인용이 정확했습니다. 당시 개인정보 보호법(법률 제16930호) 제31조 제2항이 보호책임자의 업무를 열거하는 조항이었기 때문입니다.
2023년 3월 14일 개정(법률 제19234호, 2023년 9월 15일 시행)이 구조를 바꿨습니다. 제1항에 소규모 처리자의 지정 예외 단서가 붙고, 제2항은 "지정하지 아니하는 경우 사업주 또는 대표자가 보호책임자가 된다"는 간주 규정이 됐으며, 업무 목록은 제3항으로 밀렸습니다. 정보통신망법의 라목은 이때 함께 정비되지 않았습니다. 그 결과 2023년 9월 15일부터 지금까지, 겸직 근거 조문은 업무 목록이 아니라 간주 규정을 가리키고 있습니다. 실무에서는 문언에도 불구하고 "보호책임자의 업무"라는 취지로 읽어 왔지만, 겸직 제한 위반 여부를 조문으로 따져야 하는 회사 입장에서 인용이 어긋난 상태가 3년 가까이 이어진 것입니다.
## 9월 11일에 무엇이 바뀌나요?
2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포) **부칙 제4조 제2항**이 정보통신망법 제45조의3 제4항 제2호 라목의 "제31조제2항"을 "제31조제4항"으로 고쳤습니다. 개정법에서 보호책임자의 업무 조항은 제3항에서 제4항으로 한 번 더 이동하는데, 이번에는 인용이 따라갑니다.
중요한 것은 개정법 제31조 제4항이 종전 업무 목록에 두 가지를 신설했다는 점입니다.
- **제2호: 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보**
- **제3호: 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고**
라목은 항 전체를 인용하므로, 9월 11일부터 겸직 CISO가 수행하는 CPO 업무에는 이 둘이 명시적으로 포함됐습니다. 참고로 같은 부칙 제4조 제1항은 신용정보법 제20조 제4항의 인용도 정비하는데, 그쪽은 "제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 적어 **신설된 제2호·제3호를 인용 범위에서 뺐습니다**. 망법의 CISO 겸직 조항만 항 전체를 인용하는 방식이라, 예산 확보와 이사회 보고가 겸직 업무의 외연에 들어오는 결과는 정보통신서비스 제공자 쪽에서만 생깁니다.
## 실무에서 무엇을 점검해야 하나요?
겸직 자체가 금지되는 것이 아니므로 조직도를 바꿀 일은 아닙니다. 점검할 것은 겸직 구조가 개정법이 요구하는 CPO의 업무 수행을 실제로 뒷받침하는지입니다.
**첫째, 겸직 CISO에게 개인정보 보호 예산에 대한 권한이 있는지 확인합니다.** 보안 예산과 개인정보 보호 예산이 다른 부서에 갈라져 있고 겸직 임원이 후자에 관여하지 못하는 구조라면, 제4항 제2호의 업무를 수행할 수 없는 상태입니다.
**둘째, 이사회 보고 라인을 확인합니다.** 특히 외국계 한국법인에서 겸직 임원이 본사 보안 조직에만 보고하고 한국 법인 이사회에는 보고 경로가 없는 구조가 자주 발견됩니다. 제4항 제3호는 사업주·대표자와 이사회에 대한 보고를 보호책임자의 업무로 정하므로, 한국 법인 차원의 보고 절차를 문서화해 둘 필요가 있습니다. 예산 권한이 본사에 있고 이사회가 서면결의로 운영되는 회사에서 이 두 호를 어떻게 이행하는지는 [본사가 예산을 쥔 한국법인의 CPO](/posts/cpo-budget-duty-parent-funded-subsidiary/)에서 따로 다뤘습니다.
**셋째, 개정법 제31조 제3항의 신설 의무를 함께 봅니다.** 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 보호책임자를 지정·변경·해제할 때 이사회 의결을 거치고 보호위원회에 신고해야 합니다. 적용 대상 기준은 시행령 개정으로 정해졌는데, 2026년 9월 10일 공포된 시행령(대통령령 제36671호) 제32조 제3항은 연간 매출액등 1,800억 원 초과에 민감정보·고유식별정보 5만 명 또는 개인정보 100만 명 요건이 붙는 사업자 등을 대상으로 삼고, 신고 기한을 사유 발생일부터 6개월로 정했습니다. 대상에 해당할 가능성이 있는 회사라면 겸직 임원의 지정 문서와 직무기술서를 지금 정비해 두는 편이 안전합니다.
개정법 전반의 조문 이동은 [2026년 9월 11일 시행 개정 개인정보 보호법 신구조문 대조표](/posts/pipa-2026-amendment-comparison/)에, 개정 항목 전체는 [개정법 가이드](/guides/pipa-2026-amendment/)에 정리해 두었습니다. 외국계 한국법인의 CPO 지정 문제는 [외국 모회사 자회사의 CPO 지정](/posts/foreign-subsidiary-cpo-designation/)에서 별도로 다뤘습니다.
## 자주 묻는 질문
### Q. CISO는 CPO를 겸직할 수 있나요?
겸직 제한이 없는 회사라면 별도 제약 없이 겸직할 수 있습니다. 자산총액 5조원 이상이거나 ISMS 인증 의무대상 중 자산총액 5천억원 이상인 정보통신서비스 제공자는 정보통신망법 제45조의3 제3항에 따라 CISO가 같은 조 제4항의 업무 외에는 겸직할 수 없는데, 제4항 제2호 라목이 개인정보 보호책임자(CPO)의 업무를 겸직 가능 업무로 명시하고 있으므로 이 경우에도 CPO 겸직 자체는 가능합니다.
### Q. 2026년 9월 11일에 CISO 겸직 규정의 무엇이 바뀌나요?
개정 개인정보 보호법(법률 제21445호) 부칙 제4조 제2항이 정보통신망법 제45조의3 제4항 제2호 라목의 인용 조문을 '개인정보 보호법 제31조제2항'에서 '제31조제4항'으로 고칩니다. 개정법 제31조 제4항에는 전문 인력 관리·예산 확보(제2호)와 대표자·이사회 보고(제3호)가 신설돼 있어, 겸직 CISO가 수행하는 CPO 업무의 범위가 이 두 가지를 포함하는 것으로 정리됩니다.
구체적인 사안에 대해서는 겸직 제한 대상 여부, 조직 구조, 시행령 확정 내용에 따라 판단이 달라질 수 있으므로 개별 검토가 필요합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [정보통신망 이용촉진 및 정보보호 등에 관한 법률](https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률) 제45조의3 제3항·제4항 제2호 라목 — 국가법령정보센터
- [정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령](https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령) 제36조의7 제1항 제2호·제5항 — 국가법령정보센터
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 시행 2025. 10. 2.) 제31조 — 국가법령정보센터
- 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) 제31조 제3항·제4항 및 부칙 제4조 제1항·제2항 — 시행예정법령 원문 대조
- 구 개인정보 보호법(법률 제16930호) 제31조 제2항, 개인정보 보호법(법률 제19234호, 2023. 3. 14. 개정, 2023. 9. 15. 시행)에 따른 제31조 구조 개편 — 연혁법령 원문 대조
---
# 공공기관에 AI를 납품하는 회사가 8월 28일부터 만나게 될 계약 요구
- URL: https://datalaw.kr/posts/public-ai-act-vendor-contracts/
- 게시 2026-08-24 · 수정 2026-08-28 · 태그: AI규제, 스타트업실무
- 요약: 「데이터기반행정 활성화에 관한 법률」이 법률 제21392호로 개정되어 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 제명이 바뀌어 2026년 8월 28일 시행됐습니다. 공공기관은 AI를 정책 수립·의사결정에 활용할 때 최종적인 권한과 책임이 해당 기관에 있음을 명확히 하여야 하고(제3조 제5항), 편향성·투명성 고려(제3조 제7항), 학습용데이터 품질 확보(제29조), AI 서비스 현황 제출·공표(제30조), 윤리기준 이행(제31조) 의무를 집니다. 공공분야 인공지능 영향평가(제32조)는 2027년 2월 28일 시행되며, 이미 AI를 운영 중인 기관은 부칙 제5조에 따라 시행일부터 2년 안에 평가를 마쳐야 합니다. 개정 시행령(대통령령 제36604호)이 2026년 8월 25일 공포되어 평가 기준(시행령 제26조), 제외대상과 행정안전부장관 확인(제27조), 실시기관(제28조), 위험관리방안의 내용(제29조)이 정해졌고, 개정 시행규칙(행정안전부령 제637호)은 2026년 8월 28일 공포·시행되어 공공 인공지능·데이터협회 설립인가 절차(시행규칙 제4조, 별지 제7호서식)를 정했습니다. 학습용데이터 품질·현황 공표·윤리기준의 하위규범과 시행령이 위임한 고시 세 건은 아직 제정되지 않았습니다. 이 글은 수범자가 공공기관인 이 법을 납품사 관점에서 역산하여, 편향 검증 자료·학습데이터 품질 입증·현황 공표 대비·윤리기준 준수 확약 등 공공에 AI를 납품하는 회사가 계약에서 받게 될 요구와 컨소시엄 내부의 책임 배분 문제를 정리합니다.
> **핵심 요약**. 「데이터기반행정 활성화에 관한 법률」이 법률 제21392호로 개정되어 제명이 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 바뀌어 2026년 8월 28일 시행됐습니다. 공공기관은 AI를 정책 수립·의사결정에 활용할 때 최종적인 권한과 책임이 해당 기관에 있음을 명확히 하여야 하고(제3조 제5항), 편향성과 투명성을 고려하여야 하며(제3조 제7항), 학습용데이터 품질 확보(제29조), AI 서비스 현황 제출·공표(제30조), 윤리기준 이행(제31조) 의무를 집니다. 공공분야 인공지능 영향평가(제32조)는 2027년 2월 28일 시행되고, 이미 AI를 운영 중인 기관은 시행일부터 2년 안에 평가를 마쳐야 합니다(부칙 제5조). 개정 시행령(대통령령 제36604호)은 2026년 8월 25일 공포됐고, 영향평가의 기준·제외대상·실시기관·위험관리방안을 정한 시행령 제26조부터 제29조까지는 부칙 단서에 따라 2027년 2월 28일부터 시행됩니다. 의무의 수범자는 공공기관이지만, 그 의무는 조달 규격과 계약 조건이 되어 납품사에 내려옵니다.
이 법이 의무를 지우는 대상은 공공기관입니다. AI를 납품하는 회사에 직접 적용되는 조문은 없습니다. 그런데도 납품사의 법무·사업 담당자가 이 법을 읽어야 하는 이유는, 발주처가 법률상 의무를 지면 발주처는 그 이행에 필요한 자료와 협조를 계약으로 확보하려 하기 때문입니다.
공공기관은 AI를 직접 개발하기보다 외부에서 도입하는 경우가 많습니다. 그래서 기관이 지는 의무는 제안요청서의 요구사항, 과업지시서의 산출물, 계약서의 협조 조항으로 옮겨 적히게 됩니다. 납품사가 AI기본법에서 직접 지는 책무는 [별도 글](/posts/ai-basic-law-business-duties/)에서 정리했고, 이 글은 발주처의 의무를 납품사 관점에서 역산합니다.
## 8월 28일에 무엇이 시행되나
개정 법률은 제명을 바꾸면서 정의 조항에 "인공지능기반행정"과 "학습용데이터"를 신설했습니다. 인공지능기반행정은 공공기관이 인공지능을 활용하는 방법으로 정책수립 및 의사결정을 효율적이고 과학적으로 수행하는 행정을 말합니다(제2조 제3호). 학습용데이터는 AI기본법 제15조 제1항에 따라 인공지능의 개발·활용 등에 사용되는 데이터를 말하고(제2조 제6호), "인공지능"의 정의 자체도 AI기본법 제2조 제1호를 따릅니다. 소관 부처는 행정안전부입니다.
시행 시간표는 세 층입니다. 법 본체는 2026년 8월 28일 시행됐고, 영향평가를 정한 제32조만 2027년 2월 28일 시행됩니다(부칙 제1조 단서). 시행 당시 이미 AI를 도입·활용하고 있는 기관은 시행일부터 2년 이내에 영향평가를 실시하고 결과를 공표하여야 합니다(부칙 제5조).
## "최종 책임은 발주처에 있다"는 조문이 납품사에 뜻하는 것
> 공공기관은 인공지능을 정책 수립 및 의사결정에 활용하는 경우에는 그 결정에 대한 최종적인 권한과 책임이 해당 공공기관에 있음을 명확히 하여야 한다. (제3조 제5항)
이 조문은 언뜻 납품사에 유리해 보입니다. 그러나 공공기관은 책임 소재를 "명확히 하여야" 하므로, 기관은 내부 규정과 계약 문서로 책임 구조를 적어 두게 됩니다. 그리고 기관이 결정의 최종 책임을 지려면 그 결정이 어떻게 나왔는지 설명할 수 있어야 하는데, 설명에 필요한 자료는 대부분 납품사가 갖고 있습니다.
따라서 납품사는 이 조문을 "발주처가 책임진다"에서 멈추지 말고, "발주처가 책임지는 데 필요한 것을 우리에게 요구하게 된다"까지 읽어야 합니다. 그 요구는 계약 협상에서 자료 제공 의무와 설명 협조 의무의 형태로 나타날 수 있습니다.
## 조문에서 역산한 계약 요구 목록
- **제3조 제7항 — 편향성·투명성.** 공공기관은 인공지능 및 데이터의 편향성과 의사결정의 투명성을 고려하여야 합니다. 기관이 이를 고려하려면 편향 검증 결과와 의사결정 방식을 설명하는 자료가 필요한데, 그 자료는 개발사가 만들 수 있습니다. 따라서 납품사는 편향 검증 자료와 설명 자료의 제출을 요구받을 수 있습니다. 편향 검증의 실무 쟁점은 [편향성 검증과 민감정보 처리](/posts/bias-testing-sensitive-data-korea-gap/)에서 다뤘습니다.
- **제29조 — 학습용데이터 품질.** 공공기관의 장은 학습용데이터의 기관 간 공유·활용 촉진을 위해 적정한 품질수준을 확보하는 조치를 취하여야 합니다. 납품사는 학습데이터의 출처와 품질을 입증하는 자료를 요구받을 수 있고, 납품한 데이터가 기관 간 공유를 전제로 한다는 점도 계약 검토에서 짚어야 합니다.
- **제30조 — 현황 제출과 매년 공표.** 공공기관의 장은 제공하는 AI 서비스의 유형·목적·데이터 등 현황을 행정안전부장관에게 제출하고, 행정안전부장관은 이를 목록으로 관리해 매년 공표합니다. 납품한 AI의 현황이 공표 대상이 된다는 뜻이므로, 납품사는 영업비밀에 해당하는 범위를 계약에서 미리 정해 둘 실익이 있습니다.
- **제31조 — 윤리기준.** 행정안전부장관은 AI기본법 제27조의 윤리원칙을 반영해 공공기관에 적용되는 윤리기준을 제정·공표하고, 공공기관의 장은 그 이행을 위한 시책을 마련합니다. 기관이 이행을 담보하는 방법 하나는 계약 상대방에게 준수 확약을 받는 것이므로, 납품사는 윤리기준 준수 조항이 계약서에 들어오는 상황에 대비할 필요가 있습니다.
## 2027년 2월 28일, 영향평가가 조달 일정에 들어온다
공공기관의 장은 인공지능을 도입하려는 경우 사전에 그것이 국민의 기본권에 미치는 영향을 평가하고 결과를 공표하여야 합니다(제32조 제1항). 평가가 도입 "전"에 이루어져야 하므로, 조달 일정에 평가 기간이 들어오게 됩니다. 납품사는 제안·계약·검수 일정이 평가 절차와 맞물릴 수 있다는 점을 사업 계획에 반영해야 합니다. 조달 단계에서 함께 볼 AI기본법 제16조의 우선구매는 [별도 글](/posts/ai-basic-law-procurement/)을 참고하시기 바랍니다.
면제 조항도 있습니다. AI기본법 제35조에 따른 영향평가를 실시한 고영향 인공지능 또는 이를 이용한 서비스는, 행정안전부장관과 협의한 경우 평가 대상에서 제외됩니다(제32조 제2항 제3호). 자사 제품이 고영향 AI에 해당하는지 확인하는 방법은 [고영향 AI 확인](/posts/high-impact-ai-check/)에서 다뤘습니다. 한편 부칙 제5조에 따라 이미 도입·운영 중인 AI도 2년 안에 평가 대상이 되므로, 기존 납품 계약에도 평가 협조 요구가 올 수 있습니다.
평가의 기준·방법·절차는 대통령령에 위임되어 있었는데, 이 위임은 2026년 8월 25일 채워졌습니다. 개정 시행령인 「인공지능 및 데이터 기반 행정 활성화에 관한 법률 시행령」(**대통령령 제36604호**)이 이날 공포된 것입니다. 시행령은 2026년 8월 28일 시행됐지만, 영향평가에 관한 시행령 제26조부터 제29조까지는 부칙 단서에 따라 법 제32조와 같은 2027년 2월 28일부터 시행됩니다.
평가 기준은 시행령 제26조가 정합니다. 공공기관의 장은 영향평가를 실시할 때 인공지능의 의사결정 과정 및 결과에 대한 투명성, 성능 및 결과의 신뢰성, 데이터 및 알고리즘에 따른 편향 발생 가능성을 고려해야 합니다. 넷째 기준은 국민의 기본권 보호를 위해 고려가 필요한 사항으로서 행정안전부장관이 고시로 정하도록 되어 있습니다. 기준 셋은 시행령이 직접 정했고, 나머지 하나는 고시로 다시 넘어간 구조입니다.
평가를 수행할 기관도 정해졌습니다. 시행령 제28조는 「지능정보화 기본법」 제12조 제1항에 따른 한국지능정보사회진흥원과, 전문기관 또는 전문인력·시설 등을 갖추어 행정안전부장관이 지정·고시하는 기관을 실시기관으로 규정합니다. 납품사 입장에서 위 세 가지 기준은 발주 기관이 평가 과정에서 요구할 자료의 목록으로 읽어 둘 필요가 있습니다. 의사결정 과정을 설명하는 자료, 성능과 신뢰성을 뒷받침하는 검증 자료, 데이터와 알고리즘의 편향 점검 자료를 요구받을 수 있다는 뜻입니다.
## 영향평가를 받지 않아도 되는 도입은 어떤 경우일까요
시행령 제27조는 평가 제외대상을 정합니다. 첫째, 대국민 서비스가 아니면서 국민의 권리·의무에 관한 정책의 의사결정에 사용하지 않는 것이 명백한 경우입니다. 둘째, 종전에 영향평가를 실시한 인공지능을 동일한 목적·대상 범위·운영 방식으로 변경 없이 다시 도입하는 경우입니다. 셋째, 성능·효과를 검증할 목적으로 제한된 범위에서 1년 이내로 운영하는 경우입니다. 이 셋째 유형은 실증 사업이나 시범 도입이 평가 없이 진행될 수 있는 경로가 됩니다.
다만 제외대상이라고 해서 절차가 없는 것은 아닙니다. 시행령 제27조 제2항에 따라 공공기관의 장은 제외대상에 해당하는지에 대해 **행정안전부장관의 확인**을 받아야 합니다. 우리 사업은 평가 대상이 아니라는 판단을 발주 기관이 단독으로 내릴 수 없다는 뜻입니다. 납품사로서는 이 확인 절차에 걸리는 기간이 사업 일정에 들어온다는 점을 일정 협의에 반영해 둘 필요가 있습니다.
위험관리방안의 내용도 정해졌습니다. 시행령 제29조는 위험관리방안에 여섯 가지를 담도록 합니다. 인공지능 활용 구조, 담당자 지정 및 로그기록 관리 계획, 성능 및 안전성 점검·검증 절차, 오류·편향·침해사고 탐지 및 사고 대응 절차, 운영 중단·제한 및 이용자 보호 기준, 민원·이의제기·피해구제 절차의 운영입니다.
이 가운데 로그기록 관리 계획, 성능·안전성 점검·검증 절차, 오류·편향·침해사고 탐지 및 대응 절차는 발주 기관이 혼자 만들 수 있는 문서가 아닙니다. 시스템을 만든 납품사의 자료가 있어야 완성됩니다. 어느 자료를 누가 작성하고 비용은 누가 부담하는지를 계약 체결 단계에서 정해 두면, 사업 수행 중에 이 요구가 왔을 때 근거를 두고 처리할 수 있습니다.
## 컨소시엄 안에서는 책임을 어떻게 나눌 것인가
법이 정하는 것은 발주처의 대외적 책임이고, 공급망 내부의 책임 배분은 계약이 정합니다. 주사업자가 발주처로부터 자료 제공·평가 협조 요구를 받으면, 그 요구는 다시 하도급이나 컨소시엄 구성원인 AI 개발사에게 내려갑니다. 그런데 누가 편향 검증 자료를 만들고, 누가 영향평가에 협조하며, 그 비용을 누가 부담하는지는 법에 없습니다.
따라서 주사업자와 AI 개발사는 컨소시엄 협약과 하도급 계약을 맺을 때, 위 요구 목록을 항목별로 나눠 자료 작성 주체와 비용 부담을 미리 적어 둘 실익이 있습니다. 발주처의 요구가 도착한 뒤에 배분을 다투는 것보다, 계약 체결 시점에 정해 두는 편이 분쟁의 여지를 줄입니다.
시행령이 공포되면서 영향평가의 뼈대는 드러났습니다. 그러나 이번 개정에는 학습용데이터 품질 확보(제29조), 인공지능 서비스 현황의 제출과 공표(제30조), 윤리기준(제31조)에 관한 규정이 들어 있지 않습니다. 시행령 자체도 세 곳을 행정안전부 고시로 다시 넘겼습니다. 평가 기준의 추가 항목(시행령 제26조 제4호), 실시기관의 지정(시행령 제28조 제2호), 위험관리방안의 세부 기준(시행령 제29조 제2항)입니다.
법과 시행령이 시행된 2026년 8월 28일에는 「인공지능 및 데이터 기반 행정 활성화에 관한 법률 시행규칙」(**행정안전부령 제637호**)도 공포되어 같은 날 시행됐습니다. 부령까지 나왔으니 빈 곳이 채워졌는지 확인할 차례인데, 위 진단은 그대로 유지됩니다. 이 시행규칙은 조문이 네 개뿐이고, 제1조부터 제3조까지는 바뀐 제명에 맞춰 인용 법령명을 고치는 정비입니다. 실질적으로 새로 만들어진 것은 공공 인공지능·데이터협회의 설립 절차를 정한 제4조와 별지 제7호서식뿐입니다. 법 제29조부터 제31조까지에 관한 규정도, 시행령이 행정안전부 고시로 넘긴 세 곳도 이 시행규칙은 채우지 않았습니다.
다만 협회 조항은 납품하는 회사 입장에서 성격이 다릅니다. 이 법에서 납품사는 의무의 수범자가 아니지만, 법 제26조 제1항은 "인공지능 및 데이터와 관련한 연구 등을 수행하는 자"가 행정안전부장관의 인가를 받아 협회를 설립할 수 있다고 정하고, 법 제26조 제5항 제2호는 협회의 업무에 제도 개선 건의를 넣어 두었습니다. 납품사 쪽이 이 법에 의무의 대상이 아니라 **주체로 등장하는 통로**가 여기입니다. 시행규칙 제4조 제1항이 설립인가 신청서 서식(별지 제7호서식)을 확정하면서 그 절차가 갖춰졌습니다. 시행령 제24조 제1항에 따라 50명 이상의 발기인이 정관을 작성하고 발기인총회 의결을 거쳐 인가를 신청하며, 서식상 처리기간은 20일입니다. 협회가 이미 만들어진 것은 아니고, 설립할 수 있는 절차가 2026년 8월 28일에야 확정됐다는 뜻입니다.
계약 요구의 구체적인 수준은 이 하위규범들이 나와야 다 드러납니다. 공공 납품을 준비하는 회사는 고시 제정 여부를 계속 확인할 필요가 있습니다. 다만 그 사이에도 지금 할 수 있는 일이 있습니다. 계약에서 자료 작성 주체와 비용 부담을 미리 정해 두는 것입니다.
## 자주 묻는 질문
### Q. 이 법은 민간 기업에도 적용되나요?
이 법의 수범자는 공공기관이고, 납품사에 직접 의무를 지우는 조문은 없습니다. 그러나 공공기관은 AI 활용 결정의 최종 권한과 책임이 자신에게 있음을 명확히 하여야 하고(제3조 제5항), 편향성·투명성 고려(제3조 제7항), 학습용데이터 품질 확보(제29조) 등의 의무를 집니다. 공공기관은 이 의무를 이행하기 위해 필요한 자료와 협조를 조달 규격과 계약 조건으로 납품사에 요구하게 됩니다. 따라서 민간 기업은 법의 직접 수범자가 아니더라도 계약을 통해 사실상 그 의무의 상당 부분을 나눠 지게 됩니다.
### Q. AI기본법 영향평가를 이미 받았으면 또 받아야 하나요?
면제 경로가 조문에 있습니다. AI기본법 제35조에 따른 영향평가를 실시한 고영향 인공지능 또는 이를 이용한 서비스는 공공분야 인공지능 영향평가 대상에서 제외될 수 있습니다(제32조 제2항 제3호). 다만 이 면제는 공공기관이 행정안전부장관과 협의한 경우에 적용되므로, 평가를 받았다는 사실만으로 자동으로 면제되는 구조는 아닙니다. 평가의 기준·방법·절차를 정하는 개정 시행령은 2026년 8월 25일 공포되었습니다(대통령령 제36604호). 참고로 행정안전부장관의 확인 절차(시행령 제27조 제2항)는 이 면제가 아니라 시행령 제27조 제1항이 정하는 별도의 제외대상(대국민 서비스가 아닌 경우 등)에 걸리는 것이고, 고영향 AI 면제 경로의 절차는 협의입니다. 자사 제품이 면제 경로를 탈 수 있는지는 발주처와의 협의 단계에서 확인해야 합니다.
### Q. 이미 공공기관에 납품해 운영 중인 AI는 어떻게 되나요?
부칙 제5조가 경과조치를 두고 있습니다. 이 법 시행 당시 이미 인공지능을 도입·활용하고 있는 공공기관의 장은 시행일부터 2년 이내에 공공분야 인공지능 영향평가를 실시하고 그 결과를 공표하여야 합니다. 평가받은 AI에 대해서는 오류 등 위험에 대처하는 위험관리방안도 수립·시행되어야 합니다(제32조 제4항). 따라서 이미 운영 중인 계약이라도 발주처로부터 평가에 필요한 자료 제공과 협조 요구가 올 수 있고, 기존 계약에 협조 의무와 비용 부담 조항이 없다면 변경 계약에서 정리해 둘 실익이 있습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능 및 데이터 기반 행정 활성화에 관한 법률](https://www.law.go.kr/법령/인공지능및데이터기반행정활성화에관한법률)(법률 제21392호, 2026. 2. 27. 공포, 2026. 8. 28. 시행. 제32조는 부칙 제1조 단서에 따라 2027. 2. 28. 시행) — 국가법령정보센터. 제2조·제3조·제26조·제29조·제30조·제31조·제32조 및 부칙 제5조를 원문으로 대조
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제2조 제1호, 제15조 제1항, 제27조, 제35조 — 국가법령정보센터
- [인공지능 및 데이터 기반 행정 활성화에 관한 법률 시행령](https://www.law.go.kr/법령/인공지능및데이터기반행정활성화에관한법률시행령)(대통령령 제36604호, 2026. 8. 25. 공포, 2026. 8. 28. 시행. 제26조부터 제29조까지는 부칙 단서에 따라 2027. 2. 28. 시행) — 국가법령정보센터. 제24조·제26조·제27조·제28조·제29조 및 부칙을 원문으로 대조. 종전 법령명은 「데이터기반행정 활성화에 관한 법률 시행령」(대통령령 제33843호)
- [인공지능 및 데이터 기반 행정 활성화에 관한 법률 시행규칙](https://www.law.go.kr/법령/인공지능및데이터기반행정활성화에관한법률시행규칙)(행정안전부령 제637호, 2026. 8. 28. 공포·시행) — 국가법령정보센터. 제4조 및 별지 제7호서식, 부칙을 원문으로 대조. 종전 법령명은 「데이터기반행정 활성화에 관한 법률 시행규칙」
---
# 개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다
- URL: https://datalaw.kr/posts/breach-mediation-acceptance-clock/
- 게시 2026-08-23 · 수정 2026-09-11 · 태그: 유출대응, 위탁수탁, 과징금제재, 개인정보보호법
- 요약: 개인정보 유출 사고에서 회사가 받는 조정안에는 회신 기한이 15일입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 15일 안에 의사표시가 없으면 수락한 것으로 본다고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 재판상 화해와 같은 효력을 갖습니다. 그리고 같은 유출 사고에 조정안은 개인정보 분쟁조정위원회와 한국소비자원 소비자분쟁조정위원회 두 곳에서 각각 옵니다. 2026년 9월 11일부터 유출 통지문에 손해배상과 분쟁조정을 신청하는 방법까지 적어야 합니다.
> **핵심 요약**: 유출 사고 대응에서 회사가 가장 놓치기 쉬운 기한은 72시간이 아니라 **15일**입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 조정안을 받고 15일 안에 의사표시가 없으면 **수락한 것으로 본다**고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 **재판상 화해와 동일한 효력**을 갖습니다. 그리고 같은 유출 사고에 조정안은 **두 곳에서 따로 옵니다.** 개인정보 분쟁조정위원회(개인정보 보호법 제49조)와 한국소비자원 소비자분쟁조정위원회(소비자기본법 제68조)는 근거 법률도 처리기간도 다릅니다. 2026년 9월 11일 시행 개정법은 여기에 하나를 더합니다. 유출 통지문에 **손해배상과 분쟁조정의 행사 방법**을 적어야 합니다(제34조 제1항 제6호).
유출 사고에서 회사가 기한으로 관리하는 날짜는 대개 통지와 신고까지입니다. 그 뒤에 오는 봉투에는 기한이 없다고 생각하기 쉽습니다.
그런데 조정안에는 기한이 있고, 그 기한을 넘기면 회사가 아무 것도 하지 않은 상태 그대로 결론이 납니다.
## 회신하지 않으면 수락이다
개인정보 보호법 제47조 제3항은 이렇게 정합니다.
> 제2항에 따라 조정안을 제시받은 당사자가 제시받은 날부터 **15일 이내에 수락 여부를 알리지 아니하면 조정을 수락한 것으로 본다.**
같은 조 제5항은 그 조정의 내용이 재판상 화해와 동일한 효력을 갖는다고 정합니다. 제4항 괄호는 수락한 것으로 보는 경우까지 포함한다고 명시하고, 그 경우에는 당사자의 기명날인과 서명을 생략할 수 있다고 합니다. 회사가 서명한 적이 없어도 조정서가 만들어집니다.
이 조항은 2023년 3월 14일 개정으로 들어와 2023년 9월 15일부터 시행됐습니다. 같은 개정에서 분쟁조정 의무참여제도 함께 들어왔습니다. 제43조 제3항이 개인정보처리자는 분쟁조정 통지를 받으면 특별한 사유가 없으면 분쟁조정에 응하여야 한다고 정합니다.
개인정보보호위원회가 밝힌 수치를 보면 이 두 장치가 실제로 결과를 바꿨습니다. 제도 개선 전후로 조정성립률이 66.9%에서 90.7%로 올랐고, 2024년에는 처리 건수가 806건으로 전년보다 21% 늘었습니다. 같은 해 손해배상금과 합의금의 평균 지급액은 57만 원으로 전년 28만 원의 두 배였습니다.
응하지 않는 선택지가 사라지고, 회신하지 않는 것이 수락이 됐습니다.
## 조정안은 두 곳에서 온다
여기서 실무가 한 번 더 갈립니다. 개인정보 유출 사고에서 집단분쟁조정은 **서로 다른 두 법률에 각각 있습니다.**
| | 개인정보 분쟁조정위원회 | 소비자분쟁조정위원회(한국소비자원) |
|---|---|---|
| 근거 | 개인정보 보호법 제49조 | 소비자기본법 제68조 |
| 신청 요건 | 다수 정보주체에게 같거나 비슷한 유형의 피해 | 다수 소비자에게 같거나 비슷한 유형의 피해 |
| 회신 기한 | 15일(제47조 제3항) | 15일(제67조 제2항) |
| 미회신 | 수락 간주 | 수락 간주 |
| 수락의 효력 | 재판상 화해(제47조 제5항) | 재판상 화해(제67조 제4항) |
| 처리기간 | 공고 종료 다음 날부터 **60일**, 연장 가능(제49조 제7항) | 공고 종료 다음 날부터 **30일**, 2회에 한해 각 30일 연장(제68조 제7항) |
| 일부 소비자의 제소 | 절차 중지하지 않고 그 일부만 제외(제49조 제6항) | 같음(제68조 제6항) |
| 비당사자 보상계획서 | 권고 가능(제49조 제5항) | 권고 가능(제68조 제5항) |
구조가 거의 같습니다. 그래서 두 절차가 같은 것이라고 오해하기 쉬운데, 신청 창구가 다르고 기간이 다르며 무엇보다 한쪽을 처리해도 다른 쪽이 남습니다.
실제로 한 회사가 두 트랙에 동시에 걸린 사례가 있습니다. 2025년 11월에 유출 사고가 공표된 쿠팡의 경우입니다.
- 소비자분쟁조정위원회는 2025년 12월 8일 소비자 50명의 신청을 받아, 2026년 2월 5일 절차 개시를 보류했다가 4월 6일 개시를 결정하고, 2026년 7월 22일 **1인당 현금 10만 원 또는 쿠팡캐시 10만 원**을 배상하라고 결정했습니다.
- 개인정보 분쟁조정위원회에는 2025년 12월에 50인 사건과 1,626인 사건이 접수됐고, 개인정보보호위원회의 조사를 이유로 2026년 2월 9일 정지됐다가 6월 12일 병합·재개됐습니다. 이 사건은 2026년 8월 현재 처리기간을 연장한 상태로 진행 중입니다.
한쪽에서 이미 금액이 나왔고 다른 쪽은 아직 진행 중입니다. 회사가 관리해야 하는 기한이 두 벌이라는 뜻입니다.
같은 사고에 두 위원회가 각각 결정을 낸 사례도 있습니다. SK텔레콤의 2025년 4월 유출 사고에서 두 결정의 내용이 이렇게 갈렸습니다.
| | 개인정보 분쟁조정위원회 | 소비자분쟁조정위원회 |
|---|---|---|
| 신청 | 집단 3건 3,267명 + 개인 731명 | 소비자 58명(2025. 5. 9.) |
| 결정 | 2025. 11. 3. | 2025. 12. 18. |
| 내용 | 1인당 **30만 원**의 손해배상금 | 1인당 통신요금 5만 원 할인 + 티플러스포인트 5만 포인트 |
| 함께 결정된 것 | 보호조치 강화 권고 | 회사의 자발적 보상 일부 공제 |
| 이후 | 공개되지 않음 | 2026. 1. 30. 회사가 수용하지 않음 |
금액도 다르고 지급 형태도 다릅니다. 조정안이 반드시 현금으로 오는 것은 아닙니다.
## 금액은 어디에서 나오는가
소비자분쟁조정위원회는 쿠팡 결정에서 금액의 근거를 이렇게 적었습니다.
> **대규모 개인정보 유출 사건에서 법원이 통상 10만 원의 범위에서 배상액을 결정했던 점**
같은 위원회가 그 한 달 전 SK텔레콤 결정에서도 같은 기준선을 적었습니다. "그동안 발생한 대규모 개인정보 유출 사례의 1인당 보상액이 통상 10만 원이었던 점"입니다. 두 결정이 같은 문장으로 출발한 셈이니, 그 기준선의 근거인 법원 실무를 직접 보는 편이 빠릅니다.
개인정보 보호법 제39조의2 제1항은 정보주체가 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있게 하고, 제2항은 법원이 변론 전체의 취지와 증거조사 결과를 고려해 그 범위에서 상당한 손해액을 인정한다고 정합니다. 300만 원은 상한이고 금액은 법원이 정합니다. 이 조항을 인용한 판결에서 실제로 인정된 금액은 다음과 같습니다.
| 선고 | 법원·사건 | 결과 | 인정 금액 |
|---|---|---|---:|
| 2022. 12. 8. | 서울서부지법 2021가단253898 | 원고 일부승 | 피고별 90만 · 175만 · 140만 원 |
| 2023. 1. 16. | 인천지법 2021나74344 | 원고 일부승 | 70만 원 |
| 2023. 8. 23. | 울산지법 2023나10863 | 1심 감액 | 20만 원 |
| 2024. 3. 13. | 서울서부지법 2023가소322051 | 원고 일부승 | 각 10만 원 |
| 2026. 1. 21. | 서울남부지법 2025나52682 | 항소기각 | 30만 원 |
| 2026. 7. 6. | 수원지법 2024나61117 | 1심 피고 패소 부분 취소 | 0원 |
| 2022. 4. 11. | 서울동부지법 2021가단133053 | 청구 기각 | 0원 |
인정액의 중심이 10만 원에서 30만 원 사이에 있고, 1심에서 인정된 금액이 항소심에서 사라진 사건도 있습니다. 위원회가 말한 기준선과 판결이 서로 맞물립니다.
그러므로 "유출 건수 곱하기 300만 원"이라는 상대방의 계산은 회사가 준비해야 할 수치가 아닙니다. 다만 조정 단계에서 나오는 10만 원과 30만 원은 실제로 지급된 사례가 있는 수치입니다.
## 300만 원 조항은 왜 무서운가
금액이 아니라 증명책임 때문입니다. 대법원이 2025년 12월 4일 이 지점을 정면으로 판단했습니다(2023다311184). 소액사건인데도 "그 법령이 적용되는 다수의 사건이 하급심에 계속되는" 사정을 들어 법령해석의 통일을 위해 실체 판단에 들어갔습니다.
> 정보주체는 … 개인정보가 분실·도난·유출·위조·변조 또는 훼손되었다는 **사실만 주장·증명하면 되고 손해의 발생 사실을 구체적으로 주장·증명할 필요는 없다.**
회사가 이미 유출 통지를 보냈다면 그 통지문 자체가 유출 사실을 증명하는 문서입니다. 청구인은 자기가 무슨 피해를 입었는지 설명할 필요가 없습니다.
같은 판결이 회사 쪽 경로도 열어 두었습니다. 개인정보처리자가 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 주장·증명하면 책임을 면할 수 있고, 그 판단에서 법원이 볼 사정을 일곱 가지로 열거했습니다.
1. 유출된 개인정보의 종류와 성격
2. 유출로 정보주체를 식별할 가능성이 발생했는지
3. 제3자가 유출된 개인정보를 열람했는지, 또는 장래의 열람 가능성이 있는지
4. 유출된 개인정보의 확산 범위
5. 유출로 추가적인 법익침해 가능성이 발생했는지
6. 개인정보처리자의 개인정보 관리 상황과 유출의 경위
7. 피해 발생과 확산을 방지하기 위해 취해진 조치의 내용
3번과 7번은 사고 당일에 만들어지고 나중에는 만들 수 없는 자료입니다. 로그를 보존하지 않아 열람 여부를 확인하지 못한 회사는 이 자리에서 다툴 재료를 갖지 못합니다. 저희가 [개인정보위 결정문 180건의 경위 분류](/posts/breach-cause-typology/)에서 경위 불명 유형을 따로 센 이유도 같습니다. 경위를 밝히지 못하면 행정 처분에서도 민사에서도 같은 자리에서 불리해집니다.
쿠팡 결정에서 위원회가 "추가 유출 가능성이 전혀 없다"는 회사 주장을 "단정하기는 어렵다"고 물리친 대목이 바로 3번과 7번의 자리입니다.
대법원은 마지막에 한 문장을 덧붙였습니다. 이런 판단이 "손해에 관한 증명 없이 피해자의 권리구제가 가능하게 하려는 법정손해배상제도의 취지가 형해화되지 않도록 주의하여야 한다"는 것입니다. 면책 경로가 열려 있으나 문턱이 낮지는 않다는 뜻으로 읽는 편이 안전합니다.
한 가지 더 있습니다. 제39조의2 제3항은 제39조로 손해배상을 청구한 정보주체가 사실심 변론이 종결되기 전까지 청구를 법정손해배상 청구로 변경할 수 있게 합니다. 서울중앙지방법원 2019나2048 사건에서 원고가 실제로 항소심에서 그렇게 변경했습니다. 회사가 손해액 다툼에서 앞서고 있더라도 변론이 끝나기 전까지 그 판단은 잠정적입니다.
## 조정 시계는 과징금이 확정되는 날 다시 돈다
집단분쟁조정에서 회사가 잘못 읽기 쉬운 것이 일정입니다. 조정은 개인정보보호위원회의 조사와 처분이 진행되는 동안 멈춰 있다가 처분이 나오면 재개됩니다.
SK텔레콤 사건이 그 흐름을 그대로 보여 줍니다. 개인정보위가 2025년 4월 22일 조사에 착수하자 분쟁조정위원회는 6월과 7월에 걸쳐 관련 사건을 일시 정지했고, 8월 27일 과징금 등 처분이 의결되자 다음 날 절차를 재개해 3건을 병합했습니다. 그리고 11월 3일 신청인에게 각 30만 원의 손해배상금을 지급하라는 조정안을 결정했습니다. 조사 착수부터 조정안까지 약 7개월입니다.
이 사건에서 위원회가 받아들이지 않은 청구도 함께 공개됐습니다. 침해행위 중지는 회사가 유출 경로를 차단하고 유심을 교체해 이미 중지됐다고 보았고, 원상회복은 유출 사고의 성격상 사실상 실현되기 어렵다고 보았습니다. 인정된 것은 휴대폰 복제 피해에 대한 불안과 교체 과정의 혼란에 대한 정신적 손해였습니다.
회사 입장에서 읽으면 이렇게 됩니다. **과징금이 확정되는 날이 민사 시계가 다시 도는 날입니다.** 처분에서 확정된 사실관계 위에서 금액이 매겨지므로, 조사 대응 과정에서 만든 문서가 그대로 다음 절차의 재료가 됩니다.
## 사고 직후의 자발적 보상은 조정에서 공제된다
SK텔레콤 결정에서 소비자분쟁조정위원회는 회사가 사고 뒤 시행한 고객감사패키지 가운데 일부를 공제하도록 했습니다. 위원회는 그 이유를 "기업의 선제적 보상을 장려한다는 측면"이라고 적었습니다.
공제 방식이 실무적으로 중요합니다. 위원회는 8월 통신요금 50% 할인 금액을 전액 공제하면서도, 같은 피해를 입었는데 가입 요금제에 따라 보상액이 달라지는 것은 부당하다고 보아 모든 이용자에게 개인당 총 5만 원을 할인하도록 결정했습니다. 회사가 먼저 한 보상이 인정은 받되, 요금제별로 갈리던 금액은 균등하게 다시 맞춰진 것입니다.
사고 직후에 자체 보상안을 설계하는 회사라면 두 가지를 같이 봐야 합니다. 나중에 공제받으려면 지급 내역이 남아야 하고, 가입자 구분에 따라 금액이 갈리는 설계는 그 자리에서 다시 조정될 수 있습니다. 쿠팡 결정에서 위원회가 자체보상안의 사용 현황을 회사가 제출하지 않은 점을 금액 산정 사유로 든 것도 같은 맥락입니다.
같은 보상이 개인정보위의 과징금 산정에서는 [피해 회복 감경](/posts/voluntary-compensation-fine-mitigation/)으로 따로 평가되고, 보상 사실이 결정문에 적힌 사건에서도 반영되지 않은 경우가 있습니다.
## 수락의 비용은 조정금액에 신청인 수를 곱한 값이 아니다
개인정보 보호법 제49조 제5항과 소비자기본법 제68조 제5항은 같은 장치를 두고 있습니다. 사업자가 집단분쟁조정의 내용을 수락하면 위원회가 조정 당사자가 아닌 피해자에 대한 보상계획서를 작성해 제출하도록 권고할 수 있습니다. 소비자기본법 시행령 제60조는 권고를 받은 사업자가 권고받은 날부터 15일 이내에 수락 여부를 알리도록 정합니다.
소비자분쟁조정위원회는 쿠팡 결정을 알리면서 이 절차를 예고했습니다. 회사가 조정결정을 수락하는 경우 조정절차에 참여하지 않은 피해자들에게도 동일한 보상이 이루어질 수 있도록 보상계획서 제출 등 관련 절차를 진행하겠다는 것입니다.
SK텔레콤 결정에서는 그 규모가 숫자로 적혔습니다. 위원회는 이번 사고의 피해자가 약 2,300만 명에 달해 전체 피해자에 대한 보상이 이루어질 경우 그 규모가 2조 3천억 원에 이를 것으로 예상된다고 밝혔습니다. 신청인은 58명이었습니다.
신청인 수와 보상 대상자 수가 이만큼 벌어집니다. 수락 여부를 판단할 때 계산해야 하는 것은 신청인 수가 아니라 그 뒤에 오는 권고입니다.
## 수락하지 않으면 그다음은 소송이다
SK텔레콤은 2026년 1월 30일 소비자분쟁조정위원회의 조정결정을 수용하지 않았습니다. 회사가 밝힌 이유는 두 가지였습니다. 자발적 보상 노력과 보안 강화 조치를 선제적으로 이행했다는 점, 그리고 조정안을 수용할 경우 미칠 파급효과가 매우 크다는 점입니다.
두 번째 이유의 실체는 앞에서 본 숫자에 있습니다. 신청인 58명에 대한 보상액은 580만 원이지만, 수락하면 제68조 제5항의 보상계획서 권고가 따라오고 대상은 약 2,300만 명으로 넓어집니다. 회사가 계산한 것은 580만 원과 2조 3천억 원의 거리였습니다.
첫 번째 이유는 앞 절의 공제와 맞물립니다. 위원회는 이미 고객감사패키지의 일부를 공제해 주었고, 회사는 그 공제로는 부족하다는 취지로 답한 셈입니다. 선제적 보상을 공제로 볼 것인지 거절 사유로 볼 것인지가 이 사건에서 갈렸습니다.
거절로 사건이 끝나지도 않았습니다. 한국소비자원은 집단분쟁조정 신청인에 대한 소송 지원을 적극 검토하겠다고 밝혔고, 소송지원변호인단을 통해 소송을 지원하는 절차를 두고 있습니다.
정리하면 회사에게 선택지는 셋입니다. 수락하면 재판상 화해의 효력이 생기고 보상계획서 권고가 따라옵니다. 거절하면 조정은 불성립하고 상대는 소송으로 갑니다. 아무 것도 하지 않으면 15일 뒤에 수락한 것이 됩니다. 세 번째가 가장 나쁩니다. 회사가 첫 번째와 두 번째를 비교해 볼 기회를 잃기 때문입니다.
## 9월 11일부터 통지문이 조정 안내문이 됐다
2026년 9월 11일 시행 개정법(법률 제21445호)이 이 구도에 세 가지를 더합니다.
첫째, 개정 제34조 제1항에 제6호가 신설됐습니다. 유출 통지에 이것을 적어야 합니다.
> 개인정보 유출등으로 인한 **제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정** 등 피해를 입은 정보주체의 **법적 권리와 그 행사 방법** 등에 관한 정보
회사가 자기 비용으로 보내는 통지문에 청구와 조정 신청 방법을 안내해야 합니다. 이 변화의 크기는 이미 관측된 적이 있습니다. 개인정보보호위원회는 2024년 분쟁조정 실적을 설명하면서 안전성 확보조치 미비를 이유로 한 분쟁조정 사건이 28건에서 62건으로 두 배 이상 늘어난 원인을 "개인정보 유출 사고 통지 시 분쟁조정 절차 안내를 추가한 것"으로 분석했습니다. 권고 수준의 안내가 만든 변화가 그 정도였고, 9월 11일부터 그것이 법률상 기재사항이 됐습니다.
둘째, 제34조 제2항이 신설되어 유출등의 가능성을 알게 된 때에도 통지 의무가 생깁니다. 대상과 범위는 대통령령이 정합니다. 통지를 받는 사람의 수가 곧 조정을 신청할 수 있는 사람의 수입니다.
셋째, 통지 대상 사고의 범위가 넓어집니다. 지금 제34조는 「유출등」을 그 조문 안에서 분실·도난·유출 세 가지로 정의하는데, 개정법은 제23조 제2항에서 분실·도난·유출·위조·변조 또는 훼손 여섯 가지로 정의하고 제34조와 제39조 제3항, 제39조의2 제1항의 문언을 모두 「유출등」으로 정비했습니다. 파일이 훼손되기만 한 사고처럼 지금까지 신고 여부를 두고 다투던 유형이 여기에 걸립니다. 이 부분은 [랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나](/posts/ransomware-corruption-breach-notification/)에서 신고 의무 쪽을 따로 다뤘습니다.
⚠️ 9월 11일 시행에 맞춘 시행령은 **2026년 9월 10일 대통령령 제36671호로 공포**됐습니다. 제34조 제2항의 가능성 통지 대상(제39조의2)과 72시간 기한(제39조의3)을 정했고, 제1항 제7호의 추가 기재사항은 따로 정하지 않았습니다. 통지문 서식은 이제 이 조문으로 확정할 수 있습니다.
## 그래서 지금 무엇을 하는가
유출 대응을 [72시간 안에 해야 할 일](/guides/data-breach-response/)로만 설계해 두었다면 그 뒤가 비어 있습니다. 저희가 [통지·신고를 마친 다음](/posts/after-breach-notification-stages/)에서 여섯 단계로 정리한 흐름 중 조사와 처분 다음에 오는 것이 이 국면입니다. 지금 손댈 수 있는 것은 넷입니다.
- **조정안 수령일을 기한 관리 대상에 넣습니다.** 15일 미회신은 수락이고 그 효력은 재판상 화해입니다. 통지 기한과 같은 급으로 관리해야 합니다.
- **창구가 둘이라는 전제로 대응 체계를 짭니다.** 개인정보 분쟁조정위원회와 소비자분쟁조정위원회는 별개이고 기간도 다릅니다.
- **면책 판단 요소 일곱 가지를 사고 대응 기록의 목차로 씁니다.** 특히 열람 여부 확인과 확산 방지 조치는 사고 당일에만 기록할 수 있습니다.
- **통지문 서식을 9월 11일 기준으로 다시 만듭니다.** 제34조 제1항 제6호의 기재사항이 들어가야 하고, 그 문안이 나중에 청구인의 증거가 된다는 전제로 문장을 고릅니다.
위·수탁 구조라면 회사가 먼저 배상한 뒤 수탁사에서 돌려받는 비율도 같이 봐야 합니다. 이 부분은 [수탁사 잘못으로 우리가 먼저 손해배상을 했습니다](/posts/processor-indemnity-recourse-ratio/)에서 다뤘습니다.
## 이 글이 말하지 않은 것
- **진행 중인 사건의 결과.** 쿠팡에 대한 두 절차 가운데 개인정보 분쟁조정위원회 사건은 2026년 8월 현재 처리기간을 연장한 상태이고, 소비자분쟁조정위원회 결정에 대한 회사의 수락 여부도 이 글을 쓰는 시점에는 공개되지 않았습니다.
- **판결의 확정 여부.** 표에 적은 하급심 사건 중 상소심 결과를 확인하지 못한 건이 있습니다. 특정 사건을 근거로 삼으려면 그 사건의 확정 여부를 따로 확인해야 합니다.
- **개별 사건의 예측.** 위 금액들은 각 사건의 사실관계 위에서 나온 결과입니다. 다른 사건의 결과를 가늠하는 기준으로 쓸 수 없습니다.
- **시행령.** 제34조 제2항의 통지 대상은 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행) 제39조의2가 정했고, 제1항 제7호의 추가 기재사항은 공포본에 없습니다.
## 자주 묻는 질문
### Q. 분쟁조정위원회에서 조정안을 받았는데 검토 중이라 회신을 못 했습니다. 어떻게 되나요?
수락한 것으로 봅니다. 개인정보 보호법 제47조 제3항은 조정안을 제시받은 당사자가 제시받은 날부터 15일 이내에 수락 여부를 알리지 않으면 조정을 수락한 것으로 본다고 정합니다. 한국소비자원 소비자분쟁조정위원회의 조정도 같습니다. 소비자기본법 제67조 제2항이 15일 이내에 의사표시가 없는 때에는 수락한 것으로 본다고 정합니다. 두 법 모두 수락하거나 수락한 것으로 보는 경우 그 분쟁조정의 내용이 재판상 화해와 동일한 효력을 갖는다고 정합니다(개인정보 보호법 제47조 제5항, 소비자기본법 제67조 제4항).
### Q. 같은 유출 사고인데 조정 신청이 두 군데에서 들어왔습니다. 하나로 합칠 수 있나요?
근거 법률이 달라 별개로 진행됩니다. 개인정보 분쟁조정위원회의 집단분쟁조정은 개인정보 보호법 제49조에 따르고, 한국소비자원 소비자분쟁조정위원회의 집단분쟁조정은 소비자기본법 제68조에 따릅니다. 실제로 한 회사의 유출 사고에서 두 위원회가 각각 절차를 진행한 사례가 있습니다. 처리기간도 다릅니다. 개인정보 보호법은 공고 종료 다음 날부터 60일이고(제49조 제7항), 소비자기본법은 공고 종료 다음 날부터 30일이며 2회에 한해 각 30일씩 연장할 수 있습니다(제68조 제7항).
### Q. 조정금액이 1인당 10만 원이면 신청인 수만큼만 물면 되나요?
그렇지 않을 수 있습니다. 개인정보 보호법 제49조 제5항과 소비자기본법 제68조 제5항은 사업자가 집단분쟁조정의 내용을 수락한 경우 위원회가 조정 당사자가 아닌 피해자에 대한 보상계획서를 작성해 제출하도록 권고할 수 있게 합니다. 소비자기본법 시행령 제60조는 권고를 받은 사업자가 권고받은 날부터 15일 이내에 수락 여부를 알리도록 정합니다. 수락의 비용을 조정금액에 신청인 수를 곱한 값으로만 계산하면 이 항이 빠집니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호) 제34조, 제39조, 제39조의2, 제43조, 제47조, 제48조, 제49조
- 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제23조 제2항, 제34조, 제39조 제3항, 제39조의2 제1항
- [소비자기본법](https://www.law.go.kr/법령/소비자기본법)(법률 제21065호) 제67조, 제68조 · [소비자기본법 시행령](https://www.law.go.kr/법령/소비자기본법시행령) 제60조
- [대법원 2025. 12. 4. 선고 2023다311184 판결](https://www.law.go.kr/판례/(2023다311184))
- 서울중앙지방법원 2019. 9. 5. 선고 2019나2048 판결 외 하급심
- 한국소비자원 보도자료 「소비자분쟁조정위원회, 쿠팡에 '10만 원 배상책임(현금 또는 쿠팡캐시)' 인정」(2026. 7. 31.) · 「소비자분쟁조정위원회, SKT 해킹사고 피해에 통신요금 할인·포인트 지급 결정」(2025. 12. 21.)
- 개인정보보호위원회 보도자료(2025. 5. 27. · 2025. 9. 4. · 2025. 11. 4.), 2024년 분쟁조정 운영성과(2025. 2. 11.), 2023년 운영성과(2024. 3. 28.)
- 개인정보 분쟁조정위원회 공지사항(2026. 8. 18.) · [개인정보위 제재 전수 표](/sanctions/)
- SK텔레콤의 조정안 불수용과 한국소비자원의 소송 지원 검토는 2026년 1월 30일 언론 보도로 공개됐습니다.
*이 글은 일반적인 법령 해설이며 개별 사안에 대한 법률자문이 아닙니다. 구체적인 사건은 사실관계에 따라 결론이 달라질 수 있습니다.*
---
# 우리 회사 유출은 어느 유형인가 — 개인정보위 결정문 204건의 경위 분류와, 유형마다 갈린 처분
- URL: https://datalaw.kr/posts/breach-cause-typology/
- 게시 2026-08-23 · 수정 2026-09-11 · 태그: 유출대응, 위탁수탁, 과징금제재, 개인정보보호법
- 요약: 개인정보보호위원회가 공개한 제재 의결서에서 유출 경위가 기재된 204건을 경위별로 분류했습니다. 여덟 유형이 나왔고, 과징금 부과율은 유형에 따라 0%에서 69%까지 갈립니다. 담당자가 파일을 잘못 올리거나 메일을 잘못 보낸 48건에서 과징금이 나온 것은 10건뿐이고, 그 10건은 전부 주민등록번호가 새어 나간 사건입니다. 오게시·오발송 자체가 과징금을 부르는 것이 아니라 새어 나간 항목이 무엇이었는지가 가릅니다.
> **핵심 요약**: 개인정보보호위원회가 공개한 제재 의결서 889건 가운데 결정문에 「유출 경위」가 기재된 204건(2022년 3월~2026년 8월 의결)을 경위별로 분류하면 여덟 유형이 나옵니다. 과징금 부과율은 유형마다 크게 갈립니다 — 취약점 공격 57%, 계정 탈취·도용 69%, 설계·설정 오류 30%, 담당자 오게시·오발송 **21%**. 갈림의 원인은 유출 규모가 아니라 조문 구성입니다. 과징금 근거인 개인정보 보호법 제64조의2 제1항 제9호는 제29조(안전조치 의무) 위반으로 유출된 경우를 사유로 삼는데, 오게시·오발송 사건에서 위원회는 제28조(개인정보취급자에 대한 감독·교육) 위반을 함께 걸었습니다. 오게시·오발송 48건 중 10건에 제28조가 걸린 반면, 취약점 공격과 계정 탈취 75건에서는 한 건도 없었습니다. 이 유형에서 과징금이 나온 10건은 전부 주민등록번호가 함께 새어 나가 제24조 제3항이 걸린 사건입니다.
유출 사고가 나면 회사 안에서 가장 먼저 오가는 질문은 대개 같습니다.
"우리 같은 경우도 과징금이 나옵니까?"
이 질문에 답하려면 우리 사고가 어떤 종류의 사고인지부터 말할 수 있어야 합니다. 그런데 실무에서 통용되는 구분은 대개 「해킹이냐 실수냐」 두 칸뿐입니다. 결정문을 읽어 보면 그 두 칸으로는 담기지 않는 사건이 절반에 가깝습니다.
그래서 결정문에 적힌 경위 문장을 직접 세어 봤습니다.
## 무엇을 세었나
개인정보보호위원회는 제재 의결서를 위원회 결정문 게시판에 공개합니다. 저희가 수집해 [제재 전수 표](/sanctions/)로 정리해 둔 것이 **889건**입니다.
이 가운데 결정문 본문의 「Ⅱ. 조사 결과」에 유출 경위가 문장으로 기재된 것이 **204건**입니다. 의결일 기준 2022년 3월 23일부터 2026년 8월 26일까지입니다. 이 204건의 경위 문장을 한 건씩 읽고 분류했습니다.
키워드로 자동 분류하지 않은 이유가 있습니다. 결정문은 「관계 법령」 절에서 안전성 확보조치 기준을 길게 인용하는데, 거기에 이미 '출력물', '분실', '도난' 같은 말이 들어 있습니다. 본문 전체를 기계로 훑으면 그 인용문이 사고 원인으로 집계됩니다. 실제로 시험 삼아 돌려 보니 '문서·매체'가 263건으로 1위가 나왔는데, 대부분 조문 인용이었습니다.
## 유출은 어떤 경위로 일어나는가 — 여덟 유형
| 경위 유형 | 건수 | 과징금 부과 | 부과율 |
|---|---:|---:|---:|
| **A. 취약점 공격** — SQL 인젝션, 웹셸 업로드, 미패치 취약점 | 49 | 28 | 57% |
| **B. 계정 탈취·도용** — 관리자 계정 로그인, 크리덴셜 스터핑 | 26 | 18 | **69%** |
| **C. 설계·설정 오류** — 접근통제 누락, 세션 오류, 파라미터 유추 | 60 | 18 | 30% |
| **D. 담당자 오게시·오발송** — 파일 잘못 첨부, 메일 오발송, 공개범위 설정 | 48 | 10 | 21% |
| **E. 내부자·거래상대** — 퇴직자 반출, 권한 남용, 외부인과의 결탁 | 10 | 3 | 30% |
| **F. 경위 불명** — 로그가 없어 유출 경로를 확인하지 못한 경우 | 5 | 2 | 40% |
| **G. 물리 분실·유기** — 서류·저장매체·단말기 분실, 폐기물 반출 | 3 | 0 | **0%** |
| **H. 사회공학·사칭** — 전화·헬프데스크 사칭으로 정보나 권한 취득 | 3 | 1 | 33% |
이 여덟 칸이 실무에서 쓰는 「해킹이냐 실수냐」와 어긋나는 지점이 두 군데 있습니다.
첫째, C는 해킹도 실수도 아닙니다. 공격자가 침입한 것이 아니라 시스템이 처음부터 열려 있었고, 담당자가 실수한 것도 아니라 설계가 그렇게 되어 있었습니다. 그런데 이 유형이 60건으로 가장 많습니다.
둘째, B는 A와 성격이 다릅니다. 공격 기술이 아니라 계정 하나가 문제였고, 결정문의 표현을 그대로 옮기면 회사는 그 계정이 어떻게 샜는지 모릅니다.
## 해킹이면 과징금, 실수면 과태료인가
부과율만 놓고 보면 그렇게 읽힙니다. 하지만 그 인과를 「위원회가 해킹을 더 무겁게 본다」로 요약하면 틀립니다.
법은 유출 원인을 요건으로 삼지 않습니다. 이 점은 저희가 [해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가](/posts/human-error-breach-sanctions/)에서 조문 단위로 정리한 바 있습니다. 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정할 뿐, 해킹인지 담당자 실수인지를 묻지 않습니다.
그렇다면 실제 처분은 왜 갈릴까요.
## 오게시·오발송에 과징금이 붙지 않은 이유는 규모가 아니다
먼저 규모가 원인이 아니라는 것부터 확인하겠습니다.
회원에게 정기적으로 보내는 공부자료 메일에 개인정보가 포함된 다른 문서를 첨부해 **12,314건**이 유출된 사안에서, 위원회는 시정명령만 하고 금전 처분을 하지 않았습니다(제2026-212-241호, 2026년 6월 24일 의결).
같은 유형에서 가장 무거운 처분이 과태료 900만 원이었습니다. 사업 선정자를 공지하면서 신청자와 자녀 2,412명의 이름과 생년월일이 담긴 파일을 함께 첨부한 사안입니다(제2023-002-007호).
반면 회원 약 1만 명의 개인정보가 SQL 인젝션 공격으로 유출되어 게시판에 공개된 사안에서는 과징금 1,800만 원과 과태료 360만 원이 부과됐습니다(제2024-017-240호).
유출 규모는 오히려 오발송 쪽이 컸습니다. 그런데도 처분의 종류가 다릅니다.
**차이는 위원회가 거는 조문에 있습니다.**
과징금 조항인 제64조의2 제1항은 각 호로 위반 조문을 열거하는데, 유출 사건에 걸리는 것은 제9호입니다. 제9호는 **제29조**를 위반해 안전성 확보에 필요한 조치를 하지 않아 개인정보가 유출된 경우를 사유로 삼습니다. 저희가 결정문 전문에서 제64조의2 제1항 각 호의 인용 횟수를 세어 보니 제9호가 85회로 압도적이었고, 나머지 호는 제4호 12회·제7호 8회에 그쳤습니다.
그런데 담당자가 파일을 잘못 올린 사건에서는 시스템의 안전조치가 문제되지 않습니다. 접근통제도 암호화도 접속기록도 정상이었고, 사람이 잘못 올렸을 뿐입니다.
그래서 위원회는 다른 조문을 겁니다. **제28조** — 개인정보처리자가 개인정보취급자를 적절히 관리·감독하고 교육해야 한다는 조항입니다.
숫자로 보면 이 구분이 선명합니다.
- 오게시·오발송 48건 중 제28조 계열이 걸린 것: **10건**
- 취약점 공격·계정 탈취 75건 중 제28조 계열이 걸린 것: **0건**
제28조는 제64조의2 제1항이 열거한 과징금 사유에 들어 있지 않습니다. 과태료 사유일 뿐입니다. 그래서 오게시·오발송 유형에서는 처분이 대체로 과태료와 시정명령에서 멈춥니다.
**다만 예외가 있고, 그 예외에 규칙이 있습니다.** 이 유형 48건 중 과징금이 나온 10건은 전부 **제24조 제3항(고유식별정보의 안전조치)** 위반이 함께 걸린 사건, 곧 새어 나간 항목에 **주민등록번호**가 있던 사건입니다. 이 조문으로 갈라 보면 선이 분명합니다.
- 제24조 계열이 걸린 오게시·오발송 **19건 → 과징금 10건(53%)**
- 그 밖의 오게시·오발송 **29건 → 과징금 0건(0%)**
즉 오게시·오발송이라는 사실 자체가 과징금을 막아 주는 것이 아닙니다. **엑셀 숨김 시트나 오첨부로 주민등록번호가 나가면 그때는 과징금 구간으로 넘어갑니다.**
정리하면 이렇습니다. 법 문언은 유출 원인을 묻지 않지만, **원인이 어떤 조문 위반으로 구성되느냐를 결정하고, 그 조문이 과징금 대상인지 여부를 결정합니다.** 결과적으로 원인이 처분의 종류를 가릅니다.
## 가장 많은 유형은 해킹이 아니었다
60건으로 최다인 C 유형은 공격자가 없어도 정보가 새는 상태를 말합니다. 결정문에 적힌 모습은 이렇습니다.
**접근통제를 걸지 않은 관리자 페이지.** 특정 URL을 입력하면 아이디와 비밀번호 없이 회원 데이터베이스에 닿을 수 있었던 사안, 모니터링 시스템을 구축하면서 모든 IP의 접속을 허용하는 기본 설정을 그대로 둔 사안이 있습니다.
**순번을 유추할 수 있는 URL.** 행사 입장권 링크에 붙은 개인코드가 200001번부터 시작하는 여섯 자리 숫자여서, 숫자를 바꾸면 다른 사람의 정보가 그대로 열렸습니다. 관리자 페이지 주소의 끝이 회원 휴대전화번호로 되어 있던 사안도 있습니다.
**설문 도구의 기본 설정.** 구글 설문지의 '결과 요약 보기' 옵션을 끄지 않아 응답자가 '이전 응답 참조'를 누르면 앞선 신청자들의 답변이 보였습니다. 같은 원인의 의결이 2025년에만 두 차례 있습니다(제2025-221-433호 등).
**그 밖의 운영 상태들.** 이벤트 직후 접속이 몰리자 같은 세션키가 여러 사람에게 매칭되어 다른 사람 계정으로 로그인된 사안(두 건), 학생 계정의 아이디와 비밀번호가 모두 학번·생년월일이어서 다른 학생 계정으로 접속된 사안(제2026-206-088호·제2026-214-290호), 데이터베이스 이관·전환에서 설정을 누락해 다른 사람의 정보가 표시된 사안들이 같은 칸에 쌓입니다.
이 목록이 중요한 이유는 여기 실린 것들이 대부분 **보안 담당자가 아니라 개발·운영 과정에서 만들어진다**는 데 있습니다. 침입 탐지나 방화벽으로 걸러지지 않고, 모의해킹 점검 항목에도 잘 잡히지 않습니다.
이 유형의 과징금 부과율은 30%로 A·B의 절반 수준이지만, 금액 상위권에는 올라 있습니다. 윈도우 공유폴더 파일서버를 통해 유출된 사안에 75억 400만 원(제2024-008-182호), 비밀번호 찾기 페이지의 소스코드 취약점이 원인이 된 사안에 5억 300만 원(제2025-002-005호), 지원자 계정으로도 다른 지원자 정보에 접근할 수 있는 API를 권한 검증 없이 배포한 사안에 8,200만 원(제2025-014-047호)이 부과됐습니다.
## "알 수 없는 방법으로 획득한 관리자 계정"
B 유형 26건을 읽다 보면 같은 문장이 반복됩니다.
「해커가 알 수 없는 방법으로 획득한 피심인의 관리자 계정으로 접속하여」
이 문장은 공격 기법을 설명하지 않습니다. 회사가 계정이 어떻게 샜는지 규명하지 못했다는 사실을 적은 것입니다. 그런데도 이 유형의 과징금 부과율은 69%로 여덟 유형 중 가장 높습니다.
결정문을 보면 위원회가 무엇을 문제 삼았는지 드러납니다. 유출 경로를 못 밝힌 것이 아니라, **관리자 페이지가 외부에서 아이디·비밀번호만으로 접속 가능한 상태였다는 점**을 안전조치 위반으로 봅니다. 인사관리시스템 관리자 계정으로 외부에서 로그인해 임직원과 교육생 정보를 내려받은 사안에서 위원회는 웹 서비스 포트에 모든 IP의 접속이 허용되어 있었고 VPN이나 OTP가 적용되지 않았다는 점을 적시하며 과징금 35억 3,700만 원을 부과했습니다(제2026-006-050호).
같은 유형의 다른 얼굴이 크리덴셜 스터핑입니다. 다른 곳에서 유출된 계정 정보를 대입해 로그인을 시도하는 공격인데, 회사 시스템에 취약점이 없어도 성립합니다. 로그인 페이지에 이 공격을 받아 이용자 정보가 열람된 사안에 14억 3,200만 원이 부과됐습니다(제2024-011-187호). 다른 사안에서는 4,305개 IP에서 541만여 회 로그인이 시도되어 12만 8,641회가 성공했는데도 차단되지 않았습니다.
기술적 취약점이 전혀 없는 사건도 있습니다. 공격자가 최고운영책임자의 이메일 주소를 확보한 뒤 그를 사칭해 헬프데스크에 비밀번호 초기화와 2차 인증 전화번호 변경을 요청한 사안입니다(제2026-006-051호, 과징금 2억 8,000만 원). 뚫린 것은 시스템이 아니라 사람을 거치는 절차였습니다.
## 수탁사에서 난 사고, 누가 무는가
204건을 읽으면서 가장 눈에 띈 의결이 2026년 5월 27일 자입니다.
한 업체의 네트워크 저장장치(NAS)가 외부 IP에서 접근 가능한 상태로 운영되다 저장된 개인정보가 탈취되어 다크웹에 게시됐습니다. 공격자는 그 장치의 로그를 전부 삭제해, 세부 경위는 확인되지 않았습니다.
위원회는 같은 날 네 건을 함께 의결했습니다.
| 피심인 | 처분 |
|---|---|
| 해당 업체(수탁사) | 과징금 8,250만 원 + 과태료 450만 원 |
| **농촌진흥청** | **과징금 1억 6,800만 원** |
| 국립농업과학원 | 과징금 2,310만 원 |
| 국립축산과학원 | 시정명령 |
**사고가 난 곳은 수탁사인데, 발주기관이 더 큰 과징금을 물었습니다.** 위탁자의 관리·감독 책임이 어떻게 구성되는지는 [수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나](/posts/processor-breach-consignor-liability/)에서 조문 단위로 다뤘습니다.
같은 구조가 다른 방향으로 나타난 사례도 있습니다. 행사 사전등록자에게 발송한 입장권 URL의 개인코드를 유추할 수 있었던 사안에서, 위원회는 알림톡을 실제로 발송한 수탁자와 행사를 주최한 위탁자를 각각 의결했습니다. 수탁자에게는 과태료 420만 원, 위탁자에게는 시정 처분이 내려졌습니다.
한 건의 사고가 여러 건의 의결이 된다는 점은 실무에서 놓치기 쉽습니다. 계약 상대가 처분을 받았다는 사실이 우리 회사의 면책을 뜻하지 않습니다.
## 경위를 밝히지 못하면 어떻게 되나
204건 중 5건은 유출 경위가 확인되지 않은 채로 의결됐습니다. 결정문의 문장은 대체로 이런 식입니다.
「접속기록을 보관하지 않아 유출 여부 및 정확한 유출 항목과 규모는 알 수 없다」
「쇼핑몰 운영 종료로 시스템 운영 현황을 보관하고 있지 않아 유출 추정 시점을 파악할 수 없다」
「구시스템이 폐기되어 정확한 유출 시점과 유출 경위를 알 수 없고, 안전조치 의무 위반 여부도 확인할 수 없었다」
경위를 밝히지 못한 것이 회사에 유리하게 작용하지는 않았습니다. 접속기록을 남기지 않은 것 자체가 제29조의 안전조치 의무 위반이기 때문입니다. 실제로 이 유형 5건 전부에 과태료가 부과됐습니다.
조사 국면에서 이 점은 두 방향으로 작동합니다. 로그가 있으면 유출 범위를 좁혀 소명할 수 있고, 로그가 없으면 범위를 좁힐 근거도 없는 데다 로그 부재 자체가 별도의 위반이 됩니다.
## 우리 사고는 어느 칸에 들어가는가
사고 직후 사실관계를 정리할 때, 아래 세 가지를 먼저 확정하면 이후 판단이 달라집니다.
**1. 시스템의 안전조치가 문제되는 사안인가, 사람의 처리 과정이 문제되는 사안인가.** 전자면 제29조 국면이고 과징금 가능성이 열립니다. 후자면 제28조 국면일 수 있습니다. 다만 이 구분은 회사가 선언한다고 정해지지 않습니다 — 담당자가 잘못 올린 파일이라도 그 파일이 애초에 접근권한 없이 열람 가능한 위치에 있었다면 제29조가 함께 걸립니다.
**2. 접속기록이 남아 있는가.** 유출 규모와 범위를 스스로 특정할 수 있는지가 여기서 갈립니다.
**3. 사고가 난 시스템의 운영 주체가 누구인가.** 위탁 관계가 있으면 우리 회사와 상대방이 각각 별개의 의결 대상이 될 수 있습니다.
경위 판단과 별개로 인지 후 72시간의 통지·신고 절차는 유형과 무관하게 진행됩니다. 그 절차는 [개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리해 두었습니다. 처분 단계에서 금액이 어떻게 조정되는지는 [과징금이 '전체 매출액 기준'으로 바뀐 뒤, 실제로 감경이 인정된 사유들](/posts/pipc-fine-mitigation-factors/)을 참고하시기 바랍니다.
## 이 글이 세지 않은 것
이 분류는 **결정문이 공개되고 그 본문에 유출 경위가 기재된 사건**만을 대상으로 합니다. 다음은 빠져 있습니다.
- **결정문이 공개되지 않은 제재.** 위원회가 보도자료로는 알렸으나 의결서를 공개하지 않은 사건이 별도로 있습니다. 금액이 큰 사건이 여기에 여럿 포함되어 있어, 이 글의 유형별 과징금 총액을 시장 전체의 분포로 읽으면 안 됩니다. 해당 목록은 [결정문이 공개되지 않은 제재](/sanctions/unpublished/)에 따로 정리해 두었습니다.
- **결정문은 공개됐으나 경위 서술이 없는 사건.** 실태점검으로 적발된 안전조치 위반처럼 유출 사고가 전제되지 않은 의결이 여기 해당합니다.
- **분류의 성격.** 한 사건에 두 가지 경위가 겹치는 경우(예: 취약점으로 관리자 계정을 얻은 뒤 로그인) 결정문이 주된 원인으로 서술한 쪽에 넣었습니다. 기계적 기준이 아니라 읽고 판단한 결과입니다.
- **과징금 법제의 변경.** 표본 기간이 2023년 9월 15일 시행된 개정 — 과징금 근거를 전체 개인정보처리자로 넓히고 산정 기준을 전체 매출액으로 바꾼 제64조의2 — 의 전후에 걸쳐 있습니다. 유형별 부과율과 금액은 이 전후를 구분하지 않고 센 것이므로, 유형 사이의 차이에는 의결 시기의 차이가 일부 섞여 있을 수 있습니다.
- 🔴 **2026년 9월 11일 전면 재분류.** 이 표는 수집 범위를 넓힌 뒤(의결 640건 → 889건, 경위 기재 180건 → 204건) 204건을 처음부터 다시 읽어 분류한 결과입니다. 새로 들어온 24건 때문만이 아니라 **판정 자체를 다시 했기 때문에** 종전 표와 유형별 건수가 어긋납니다 — 특히 「경위 불명」을 로그 부재로 경위를 아예 특정하지 못한 사건으로 좁혔고(18건 → 5건), 종전 여섯 유형이 담지 못하던 **물리 분실·유기**와 **사회공학·사칭**을 별도 유형으로 뺐습니다. 2026년 8월 판 수치와 직접 빼서 추세로 읽지 마십시오.
의결 건수와 조문별 분포는 [개인정보위 제재 전수 표](/sanctions/)에서 확인하실 수 있습니다.
## 자주 묻는 질문
### Q. 해킹으로 유출된 경우와 담당자 실수로 유출된 경우, 처분이 실제로 다른가요?
결정문상으로는 다르게 나타났습니다. 유출 경위가 기재된 의결 204건을 분류한 결과, 외부 공격자가 취약점을 이용한 49건 중 28건(57%)과 계정을 탈취·도용한 26건 중 18건(69%)에 과징금이 부과된 반면, 담당자가 파일을 잘못 게시하거나 메일을 잘못 보낸 48건에서는 10건(21%)에 그쳤고 그 10건은 전부 주민등록번호가 함께 새어 나간 사건이었습니다. 다만 이것은 법이 원인을 요건으로 삼기 때문이 아니라, 경위에 따라 위원회가 어느 조문 위반으로 구성하는지가 달라지기 때문입니다.
### Q. 메일을 잘못 보내 1만 건이 유출됐는데도 과징금이 없을 수 있나요?
실제로 그런 의결이 있었습니다. 회원에게 보내는 정기 메일에 다른 문서를 첨부해 12,314건이 유출된 사안에서 위원회는 시정명령만 하고 금전 처분을 하지 않았습니다(제2026-212-241호). 반대로 회원 약 1만 명이 SQL 인젝션 공격으로 유출된 사안에서는 과징금 1,800만 원과 과태료 360만 원이 부과됐습니다(제2024-017-240호). 유출 규모는 오히려 앞의 사건이 컸습니다.
### Q. 수탁사에서 사고가 났는데 우리 기관이 수탁사보다 큰 과징금을 받을 수도 있나요?
그런 사례가 있습니다. 한 업체의 네트워크 저장장치가 외부에서 접근 가능한 상태로 운영되다 유출된 사안에서 위원회는 같은 날 네 곳을 함께 의결했는데, 해당 업체에는 과징금 8,250만 원, 발주기관인 농촌진흥청에는 1억 6,800만 원이 부과됐습니다(제2026-010-068호·제2026-010-071호). 같은 사고에서 국립농업과학원은 2,310만 원, 국립축산과학원은 시정명령을 받았습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제28조, 제29조, 제34조, 제64조의2 제1항 제9호, 제75조
- [개인정보보호위원회 위원회 결정문](https://www.pipc.go.kr/np/cop/bbs/selectBoardList.do?bbsId=BS217&mCode=D010030000) (2022년 3월 ~ 2026년 8월 의결분)
- [개인정보위 제재 전수 표](/sanctions/) · [결정문이 공개되지 않은 제재](/sanctions/unpublished/)
---
# 유출 통지·신고를 마친 다음 — 조사·처분·분쟁으로 이어지는 여섯 단계
- URL: https://datalaw.kr/posts/after-breach-notification-stages/
- 게시 2026-08-22 · 수정 2026-09-11 · 태그: 유출대응, 과징금제재, 개인정보보호법, 스타트업실무
- 요약: 72시간은 대응의 전부가 아니라 입구입니다. 통지·신고를 마치면 개인정보보호위원회의 자료제출 요구와 검사(법 제63조), 혐의 없이 시작되는 사전 실태점검(제63조의2), 시정조치·과징금·과태료·고발과 공표(제64조·제64조의2·제75조·제65조·제66조), 그리고 손해배상과 집단분쟁조정(제39조·제39조의2·제49조)이 차례로 이어집니다. 초기 72시간에 만든 기록이 이 모든 단계에서 다시 쓰이는 이유와, 9월 11일 개정이 배상 조문까지는 오지 않는 이유를 정리합니다.
> **핵심 요약**: 유출 대응은 72시간에서 끝나지 않습니다. 통지·신고 뒤로 ④ 조사(법 제63조 자료제출 요구·검사, 제63조의2 사전 실태점검), ⑤ 처분(제64조 시정조치, 제64조의2 과징금, 제75조 과태료, 제65조 고발·징계권고, 제66조 공표), ⑥ 분쟁(제39조 손해배상, 제39조의2 법정손해배상, 제49조 집단분쟁조정)이 이어집니다. 이 단계들이 들여다보는 자료는 상당 부분 겹치고, 그 자료는 사고 당일에 만들어집니다. 과징금 산정에서 법 제64조의2 제4항이 피해 회복·확산 방지 조치와 위원회 협조를 고려하도록 하고, 민사 배상액에서 법 제39조 제4항이 회수 노력과 피해구제 노력을 고려하도록 하기 때문입니다. 2026년 9월 11일 개정은 통지·신고 조문(제34조)의 범위를 넓히지만 배상 조문의 범위는 그대로 둡니다.
72시간은 대응의 전부가 아니라 입구입니다. 그 뒤로 개인정보보호위원회의 조사가 오고, 시정조치와 과징금·과태료 판단이 오고, 경우에 따라 정보주체의 손해배상 청구와 집단분쟁조정이 이어집니다.
여기서 눈여겨볼 것이 하나 있습니다. 초기 72시간에 만든 기록이 뒤의 모든 단계에서 다시 쓰인다는 점입니다. 과징금을 정할 때 법 제64조의2 제4항은 피해 회복과 확산 방지 조치, 보호위원회와의 협조를 고려하도록 합니다. 민사 배상액을 정할 때 법 제39조 제4항은 제7호에서 유출된 개인정보를 회수하기 위해 노력한 정도를, 제8호에서 피해구제를 위해 노력한 정도를 고려하도록 합니다. 행정처분과 민사소송은 절차가 다르지만 들여다보는 자료는 상당 부분 겹칩니다.
그래서 사고 당일의 기록은 규제 대응 문서이면서 동시에 소송 자료입니다. 그때 남기지 않으면 나중에 만들 수 없습니다.
| 단계 | 이 단계에서 걸리는 것 | 이 블로그의 관련 글 |
|---|---|---|
| ① 인지 | 무엇을 "유출등"으로 볼 것인가, 인지 시점과 경위의 기록 | [랜섬웨어 암호화](/posts/ransomware-corruption-breach-notification/) · [퇴사자 반출](/posts/employee-data-exfiltration-dual-duty/) · [제휴 API 혼입](/posts/api-response-unrequested-personal-data/) · [고객 사업장 장비](/posts/who-controls-devices-at-customer-sites/) |
| ② 신고 | 72시간, 시행령 제40조 제1항의 세 요건 | 이 글 |
| ③ 통지 | 72시간, 법 제34조 제1항 각 호의 기재사항 | [본사 플레이북과의 간극](/posts/global-breach-playbook-korea-gap/) |
| ④ 조사 | 법 제63조 자료제출 요구·검사, 제63조의2 사전 실태점검 | [업무 과실 사고](/posts/human-error-breach-sanctions/) · [수탁사 직원의 실수](/posts/processor-breach-consignor-liability/) · [계약 종료 후 잔존 데이터](/posts/vendor-data-after-contract-ends/) · [처리방침과 실제의 불일치](/posts/autogenerated-privacy-policy-mismatch/) |
| ⑤ 처분 | 법 제64조 시정조치, 제64조의2 과징금, 제75조 과태료, 제66조 공표 | [과징금 상한 변화](/posts/breach-response-calculus-shift/) · [감경이 인정된 사유들](/posts/pipc-fine-mitigation-factors/) · [시정명령의 CPO 거버넌스 요구](/posts/foreign-subsidiary-cpo-designation/) · [상반기 제재 통계](/sanctions/) · [결과 공표 기준](/posts/pipc-result-publication-criteria/) · [신구조문 대조표](/posts/pipa-2026-amendment-comparison/) |
| ⑥ 분쟁 | 법 제39조 손해배상, 제39조의2 법정손해배상, 제49조 집단분쟁조정 | [조정안의 15일](/posts/breach-mediation-acceptance-clock/) · [수탁사에 대한 구상](/posts/processor-indemnity-recourse-ratio/) |
## 조사 단계에서 실제로 오는 것
보호위원회는 위반 사항을 발견하거나 혐의를 알게 된 경우, 신고를 받거나 민원이 접수된 경우에 개인정보처리자에게 관계 물품·서류 등 자료를 제출하게 할 수 있습니다(법 제63조 제1항 제1호·제2호). 자료를 내지 않거나 위반 사실이 인정되면 소속 공무원이 사무소나 사업장에 출입해 업무 상황과 장부·서류를 검사할 수 있습니다(같은 조 제2항).
혐의가 없는 상태에서 시작되는 경로도 있습니다. 법 제63조의2의 사전 실태점검입니다. 점검에서 위반이 발견되면 위원회가 시정방안을 정해 권고하는데, 권고를 받은 회사는 10일 이내에 수락 여부를 통지해야 합니다(같은 조 제3항). 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 봅니다(제4항). 수락하지 않거나 이행하지 않으면 제63조 제2항의 검사로 넘어갑니다(제5항).
이 단계에서 실제로 갈리는 것은 대개 "누가 조사를 받느냐"입니다. 원인이 해킹이 아니라 업무 과실일 때 [직원 실수도 과징금 대상인지](/posts/human-error-breach-sanctions/), 수탁사 직원의 실수일 때 [위탁사가 어디까지 책임지는지](/posts/processor-breach-consignor-liability/), 계약이 끝난 뒤 수탁사 서버에 남아 있던 데이터라면 [위탁사와 수탁사 중 누가 처분을 받는지](/posts/vendor-data-after-contract-ends/)를 각각 따로 정리했습니다.
## 처분은 과징금만이 아닙니다
위원회가 할 수 있는 처분은 여러 갈래입니다. 침해행위 중지나 처리의 일시적 정지 등을 명하는 시정조치(법 제64조 제1항), 과징금(제64조의2), 과태료(제75조), 고발·징계권고(제65조)가 각각 별개의 조문에 있습니다.
여기에 공표가 붙습니다. 법 제66조 제1항은 개선권고·시정조치 명령·과징금·고발·징계권고·과태료 부과의 내용과 결과를 위원회가 공표할 수 있도록 하고, 제2항은 처분 등을 받은 자에게 그 사실을 스스로 공표하도록 명할 수 있게 합니다. 회사 입장에서 실제 부담이 금액보다 공표 쪽에서 커지는 경우가 있습니다. 같은 날 같은 소위원회에서 과태료가 더 많은 건은 공표되지 않고 더 적은 건이 공표된 사례를 놓고 그 판단이 무엇으로 갈리는지는 [개인정보위 결과 공표는 무엇으로 결정되는가](/posts/pipc-result-publication-criteria/)에서 의결서 단위로 정리했습니다.
부과 규모의 감각은 [2026년 상반기 개인정보위 제재 통계](/sanctions/)에서, 9월 개정으로 과징금 상한이 어떻게 달라지는지는 [과징금 상한 변화](/posts/breach-response-calculus-shift/)에서, 개정 전반의 조문 대조는 [신구조문 대조표](/posts/pipa-2026-amendment-comparison/)에서 볼 수 있습니다.
## 분쟁 단계, 그리고 9월 개정이 여기까지는 오지 않는 부분
정보주체는 법 위반행위로 손해를 입으면 배상을 청구할 수 있고, 이때 개인정보처리자가 고의나 과실이 없음을 입증하지 못하면 책임을 면하지 못합니다(법 제39조 제1항). 고의 또는 중대한 과실로 유출된 경우라면 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다(같은 조 제3항). 손해액을 증명하기 어려운 정보주체를 위해 300만 원 이하에서 상당한 금액을 청구할 수 있는 법정손해배상도 따로 있습니다(제39조의2 제1항).
피해가 다수에게 비슷한 유형으로 발생하면 집단분쟁조정으로 갑니다. 조정 기간은 절차 개시 공고가 끝난 다음 날부터 60일 이내입니다(법 제49조 제7항). 조정안을 받은 뒤의 기한과 효력, 그리고 같은 사고에 소비자기본법상 집단분쟁조정이 따로 진행되는 구조는 [조정안을 받고 15일 안에 회신하지 않으면 수락입니다](/posts/breach-mediation-acceptance-clock/)에서 따로 다뤘습니다.
여기서 혼동되기 쉬운 지점을 하나 짚어 둡니다. 2026년 9월 11일부터 제39조 제3항과 제39조의2 제1항의 문언도 "분실·도난·유출·위조·변조 또는 훼손"에서 "유출등"으로 바뀌었습니다. 배상 대상이 넓어지는 것처럼 보이지만 그렇지 않습니다. 두 조문은 개정 전에도 여섯 가지를 모두 나열하고 있었고, 제23조 제2항이 새로 둔 "유출등"의 정의도 같은 여섯 가지입니다. 약칭으로 줄여 쓴 문언 정비입니다.
실제로 대상이 넓어지는 쪽은 분실·도난·유출 셋만 적고 있던 제34조입니다. 통지·신고의 범위는 달라지지만 배상 조문의 범위는 그대로라는 뜻이고, 이 둘을 묶어서 "9월부터 배상 범위가 확대된다"고 읽으면 사실과 어긋납니다.
수탁사 과실로 회사가 먼저 배상한 뒤 얼마를 돌려받을 수 있는지는 [수탁사에 대한 구상](/posts/processor-indemnity-recourse-ratio/)에서 다뤘습니다.
**선례 확인** — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 [개인정보 유출 통지·신고 위반 제재 사례](/sanctions/article-34/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### Q. 유출 신고를 하면 반드시 조사를 받게 되나요?
신고가 곧 조사는 아니지만 조사의 단서가 됩니다. 보호위원회는 위반 사항을 발견하거나 혐의를 알게 된 경우, 신고를 받거나 민원이 접수된 경우에 관계 물품·서류 등 자료 제출을 요구할 수 있고(법 제63조 제1항 제1호·제2호), 자료를 내지 않거나 위반 사실이 인정되면 소속 공무원이 사무소·사업장에 출입해 검사할 수 있습니다(같은 조 제2항). 혐의가 없는 상태에서 시작되는 사전 실태점검이라는 별도 경로도 있습니다(제63조의2).
### Q. 처분은 과징금뿐인가요?
아닙니다. 침해행위 중지나 처리의 일시적 정지 등을 명하는 시정조치(법 제64조 제1항), 과징금(제64조의2), 과태료(제75조), 고발·징계권고(제65조)가 각각 별개의 조문에 있습니다. 여기에 공표가 붙어서, 보호위원회는 처분의 내용과 결과를 공표할 수 있고(제66조 제1항) 처분받은 자에게 스스로 공표하도록 명할 수도 있습니다(같은 조 제2항). 회사의 실제 부담이 금액보다 공표 쪽에서 커지는 경우가 있습니다.
### Q. 2026년 9월 11일 개정으로 손해배상 범위도 넓어지나요?
넓어지지 않습니다. 제39조 제3항과 제39조의2 제1항의 문언이 '분실·도난·유출·위조·변조 또는 훼손'에서 '유출등'으로 바뀌지만, 두 조문은 개정 전에도 여섯 가지를 모두 나열하고 있었고 제23조 제2항이 새로 두는 '유출등'의 정의도 같은 여섯 가지입니다. 약칭으로 줄여 쓴 문언 정비입니다. 실제로 대상이 넓어지는 쪽은 분실·도난·유출 셋만 적고 있던 제34조이므로, 통지·신고의 범위와 배상 조문의 범위를 묶어서 읽으면 사실과 어긋납니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
앞 단계인 72시간 자체는 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
---
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제34조(개인정보 유출 등의 통지·신고), 제39조(손해배상책임), 제39조의2(법정손해배상의 청구), 제49조(집단분쟁조정), 제63조(자료제출 요구 및 검사), 제63조의2(사전 실태점검), 제64조(시정조치 등), 제64조의2(과징금의 부과), 제65조(고발 및 징계권고), 제66조(결과의 공표), 제75조(과태료) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행)
- 개인정보 보호법 일부개정법률(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) — 제23조 제2항의 '유출등' 정의 신설과 제34조·제39조·제39조의2의 문언 정비
- [개인정보 유출 통지·신고 위반 제재 사례](/sanctions/article-34/) — 의결일·피심인·위반 조문·금액으로 걸러 보는 전수 표
---
# 'AI 제품·서비스 확인'을 받는 법 — 목록화부터 확인서까지, 고시 제2026-50호 읽기
- URL: https://datalaw.kr/posts/ai-product-confirmation/
- 게시 2026-08-22 · 수정 2026-08-28 · 태그: AI규제, 스타트업실무
- 요약: 공공조달에서 우선구매 고려 대상이 되려면 과기정통부장관의 'AI 제품·서비스 확인'을 받아야 합니다. 절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회가 맡고, 신청 전에 조달청 목록정보시스템에서 물품목록번호를 먼저 받아야 합니다. 심사 기준 일곱 가지, 확인 제외 대상 세 가지, 보완 요청과 결정 기한, 확인 취소까지 조문 단위로 정리합니다.
> **핵심 요약**: 국가기관등의 우선구매 고려 대상은 '과학기술정보통신부장관이 확인한 제품 또는 서비스'입니다(AI기본법 시행령 제15조 제4항). 그 확인 절차를 정한 것이 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호)이고 2026년 7월 21일 제정·시행됐습니다. 확인기관은 한국인공지능진흥협회, 기술적 심사는 한국정보통신기술협회입니다(고시 제2조). 신청 전에 조달청 목록정보시스템에서 물품목록번호를 받는 목록화를 먼저 마쳐야 하고(제4조 제2항), 신청 서류는 신청서·동의서 2종·구조도·기능 명세서 5종입니다(제4조 제1항). 심사 기준은 일곱 가지이며(제5조 제2항), 확인기관은 접수 후 15일 이내에 결정하되 30일 범위에서 한 차례 연장할 수 있습니다(제6조 제2항). 수수료는 없습니다.
공공조달에서 AI 제품이 우대를 받는다는 이야기는 많이 돌지만, 정작 "그래서 무엇을 어떻게 신청하느냐"는 잘 정리돼 있지 않습니다.
답은 한 편의 고시 안에 다 들어 있습니다. 아홉 개 조문이고 분량도 길지 않습니다.
## 왜 '확인'을 받아야 하나
AI기본법 제16조 제3항은 국가기관등이 제품·서비스를 구매하거나 용역을 발주할 때 대통령령으로 정하는 인공지능제품 또는 인공지능서비스를 우선적으로 고려하도록 합니다.
그 "대통령령으로 정하는" 부분을 시행령 제15조 제4항이 이렇게 받습니다. 과학기술정보통신부장관이 확인한 제품 또는 서비스입니다.
즉 확인을 받지 않으면 우선구매 고려의 대상 자체가 되지 않습니다. 뒤에서 볼 조달상 우대도 대부분 이 확인을 입구로 삼습니다.
확인서 서식에 적히는 문장이 이 제도의 성격을 그대로 보여 줍니다. "위 제품 또는 서비스에 대하여 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제16조제3항 및 시행령 제15조제4항제1호에 따라 심사한 결과 인공지능 또는 인공지능기술이 활용되었음을 확인합니다."
품질이나 성능을 보증하는 인증이 아닙니다. **인공지능이 실제로 쓰였는지**를 확인하는 절차입니다.
## 누가 심사하나
고시 제2조가 기관을 나눕니다.
- **확인기관**: 법 제26조 제1항에 따른 한국인공지능진흥협회. 신청을 접수하고 최종 결정을 내리며 확인서를 발급합니다.
- **심사기관**: 「방송통신발전 기본법」 제34조에 따른 한국정보통신기술협회(TTA). 인공지능이 활용됐는지에 대한 기술적 심사를 맡습니다.
같은 조가 정의한 용어 하나를 기억해 두면 서류 작성이 수월합니다. **인공지능처리 연산체계**는 "데이터로부터 학습하거나 추론하여 예측, 분류, 생성 등의 출력을 생성할 수 있도록 설계된 알고리즘 또는 프로그램 등"을 말합니다. 고시 전체가 이 용어를 축으로 돌아갑니다.
## 신청 전에 목록화를 먼저 마쳐야 합니다
순서를 틀리면 신청서를 채울 수 없습니다.
고시 제4조 제2항은 신청인이 확인 신청을 하기 전에 조달청 목록정보시스템(goods.g2b.go.kr)에 목록화 요청을 하여 물품목록번호, 곧 세부품명번호와 식별번호를 부여받도록 합니다.
신청서 서식이 그 이유를 보여 줍니다. 신청 제품란에 세부품명번호와 물품식별번호를 적게 되어 있고, 제품·서비스 명칭도 "목록화 신청 시 작성한 모델명"으로 적으라고 작성방법에 명시돼 있습니다.
이 순서에는 뒤에서 볼 실무적 함의가 하나 더 있습니다. 어느 세부품명으로 목록화하느냐가 조달 우대의 적용 여부를 가르기 때문입니다.
## 제출 서류 다섯 가지
고시 제4조 제1항이 정하는 목록입니다. 확인기관의 온라인 시스템으로 신청할 수 있습니다.
1. 별지 제1호 서식 인공지능 제품·서비스 확인 신청서
2. 별지 제2호 서식 열람·이용동의서
3. 별지 제3호 서식 개인정보 수집·이용 및 제3자 제공동의서
4. 인공지능 또는 인공지능기술의 배치 및 데이터 흐름도를 반영한 **인공지능 제품·서비스 구조도**
5. 알고리즘, 데이터 특성, 역할에 대한 요약이 포함된 **인공지능처리 연산체계 및 기능 명세서**
앞의 셋은 양식을 채우는 일이고, 실질은 4번과 5번입니다.
신청서 자체도 생각보다 구체적인 것을 묻습니다. 제공 형태를 사내 구축형·SaaS·기기 중에서 고르게 하고, 분류를 제품·소프트웨어·서비스 중에서 고르게 하며, 핵심 인공지능 기능마다 기능명, 인공지능 역할(분류·예측·생성·추천 등), 입력 데이터의 형태와 유형, 출력 결과물의 유형을 적게 합니다.
작성방법이 요구하는 서술 수준도 낮지 않습니다. "인공지능 적용 범위" 항목에는 제품의 전체 처리 과정 중에서 인공지능처리 연산체계가 입력 데이터의 처리·추론·판단에 **기술적으로 결합되어 실제로 동작하는 범위**를 적으라고 되어 있습니다. 마케팅 문구로는 채울 수 없는 칸입니다.
한 가지 더. 별지 제3호 동의서를 보면 개인정보를 제공받는 자에 확인기관·심사기관과 함께 **조달청**이 들어 있고 보유기간은 10년입니다. 확인 절차가 조달 트랙과 연결돼 있다는 것이 서식에서도 드러납니다.
## 심사 기준 일곱 가지
고시 제5조 제2항이 정하는 기술적 심사 기준입니다. 심사기관은 이 기준으로 판단해 결과를 확인기관에 통보합니다.
1. 제품 또는 서비스에 인공지능처리 연산체계가 적용되어 있을 것
2. 적용된 인공지능처리 연산체계가 학습·추론 등 인공지능으로서의 특성을 가지고 있을 것
3. 제품 또는 서비스에 입력된 데이터가 인공지능처리 연산체계를 거쳐 유의미한 결과(예측, 생성 등)를 출력할 것
4. 제품 또는 서비스의 구조도상 인공지능 또는 인공지능기술의 위치가 명확하며, 제품 또는 서비스의 구동 체계와 결합되어 동작할 것
5. 인공지능처리 연산체계가 제품 또는 서비스의 기능, 편의성, 접근성, 효율성 등에 활용되고 있음이 확인 가능할 것
6. 인공지능처리 연산체계가 적용된 주요 기능이 정상적으로 동작할 것
7. **외부 인공지능처리 연산체계와 연동된 경우 호출 로그나 API Key를 확인 가능할 것**
7호가 실무에서 가장 자주 걸립니다. 외부 모델을 API로 붙여 제품을 만든 회사라면 호출 기록을 심사 시점에 제시할 수 있어야 합니다. 운영 로그를 짧은 주기로 지우고 있다면 신청 전에 보존 정책부터 손봐야 합니다.
4호와 6호도 가볍게 볼 것이 아닙니다. 4호는 구조도상 위치가 명확할 것을 요구하므로 제출 서류 4번의 품질이 그대로 심사 결과가 됩니다. 6호는 정상 동작을 요구하므로 시연이나 실행 가능한 상태가 전제됩니다.
## 확인 대상에서 아예 빠지는 경우
고시 제3조는 확인 대상에서 제외되는 세 가지를 두고, 이에 해당하는 신청이 접수되면 확인기관의 장이 반려할 수 있도록 합니다.
1. 법률상 생산·제조 또는 유통이 금지된 제품 또는 서비스
2. 전자장치가 아닌 제품 등 인공지능 또는 인공지능기술이 활용되지 않았음이 **명백한** 제품 또는 서비스
3. 이미 확인절차가 완료된 제품 또는 서비스에 대하여 구성 등에 변경 없이 재차 신청하는 경우
3호를 눈여겨보시기 바랍니다. 같은 제품을 그대로 다시 신청할 수는 없습니다. 반대로 구성에 변경이 있으면 재신청의 여지가 열립니다.
관련해서 제7조 제3항은 반가운 완화를 둡니다. 적용된 인공지능에는 차이가 없으나 단순한 외형·외관 등의 차이가 있는 다른 제품 모델 또는 서비스 모델이 있으면, 그 모델들을 일괄 기재해 **하나의 확인서로** 발급할 수 있습니다. 모델 라인업이 여러 개인 회사는 이 조항을 근거로 한 번에 처리하는 편이 낫습니다.
## 기한 — 15일, 그리고 보완이 걸리면
결정 기한은 고시 제6조가 정합니다.
- 확인기관의 장은 신청 접수 후 **15일 이내**에 결정해야 합니다(제2항 본문).
- 제품·서비스의 복잡성 등을 고려해 15일 이내에 결정이 어려우면 **30일의 범위에서 한 차례 연장**할 수 있고, 이 경우 연장 사유와 기간을 통보해야 합니다(제2항 단서).
- 제출 서류가 누락되거나 불명확해 결정이 곤란하면 30일 이내의 기간을 정해 보완을 요청할 수 있고, 이때는 **보완이 이루어진 날부터 15일 이내**에 결정합니다(제3항).
- 보완이 기간 내에 이루어지지 않으면 제출된 서류만으로 결정할 수 있습니다(제4항).
서류 검토 단계에도 별도의 보완 절차가 있습니다. 확인기관의 장은 신청서류를 검토해 미비한 사항이 있으면 30일 이내의 기간을 정해 보완을 요청할 수 있고, 보완 후에도 미비하면 재보완을 요청하거나 신청을 반려할 수 있습니다(제4조 제4항·제5항).
정리하면 기한의 시계는 보완에서 늘어납니다. 서류를 처음부터 제대로 갖추는 것이 가장 빠른 길입니다.
⚠️ 한 가지 짚어 둘 것이 있습니다. 별지 제1호 서식 상단의 처리기간은 **30일**로 인쇄돼 있어 본문 제6조 제2항의 15일과 표기가 다릅니다. 실제 소요는 확인기관 안내를 확인하고 일정을 잡는 편이 안전합니다.
## 받은 뒤에 취소될 수 있습니다
고시 제8조는 신청자가 거짓이나 부정한 방법으로 확인을 받은 경우 확인기관이 그 확인을 **취소하여야 한다**고 정합니다. 재량이 아니라 기속입니다. 다만 취소에 앞서 신청자의 의견을 들어야 합니다.
확인이 조달 우대의 입구인 이상, 취소는 그 뒤에 붙어 있는 계약 지위까지 흔들 수 있습니다. 신청서의 기능 명세를 실제보다 넓게 적는 것이 왜 위험한지가 여기서 드러납니다.
제9조는 확인기관·심사기관 임직원의 비밀유지의무를 둡니다. 알고리즘과 데이터 특성을 제출해야 하는 절차인 만큼, 신청인 쪽에서는 이 조항의 존재를 확인해 두는 것이 심리적으로도 실무적으로도 도움이 됩니다.
## 확인을 준비하며 함께 볼 것
확인을 받는 것과 AI기본법상 의무를 지키는 것은 별개의 트랙입니다. 발주처가 먼저 묻는 것은 대개 후자입니다.
우리 제품이 채용·대출 심사처럼 개인의 권리·의무에 중대한 영향을 미치는 판단에 쓰인다면 고영향 인공지능 해당 여부를 사전에 검토할 의무가 있고, 해당하면 여섯 가지 책무가 따라붙습니다. → [우리 서비스가 '고영향 인공지능'인가](/posts/high-impact-ai-check/)
생성형 AI 기능이 있다면 사전 고지 의무가 걸리고, 이쪽은 위반하면 곧바로 과태료가 붙습니다. → [챗봇에 무엇을 고지해야 하나](/posts/generative-ai-disclosure-labeling/)
그리고 국가기관등은 고영향 인공지능을 이용한 제품·서비스를 이용하려는 경우 기본권 영향평가를 실시한 제품·서비스를 우선적으로 고려해야 합니다(법 제35조 제2항). 확인을 받았다고 영향평가가 면제되지 않고, 그 반대도 마찬가지입니다.
## 지금 확인할 것
1. 조달청 목록정보시스템에 목록화를 마치고 세부품명번호·물품식별번호를 받았는가
2. 어느 세부품명으로 목록화했는가(조달 우대의 적용 여부가 여기서 갈린다)
3. 인공지능의 배치와 데이터 흐름을 담은 구조도가 있는가. 구조도에서 인공지능의 위치가 명확한가
4. 알고리즘·데이터 특성·역할을 요약한 기능 명세서를 만들 수 있는가
5. 외부 모델을 쓴다면 호출 로그나 API Key를 심사에서 제시할 수 있는가. 로그 보존 주기가 충분한가
6. 인공지능이 적용된 주요 기능이 심사 시점에 정상 동작하는 상태인가
7. 외형만 다른 모델이 여러 개라면 일괄 기재로 한 번에 신청할 수 있는지 검토했는가
8. 신청서의 기능 명세가 실제 동작과 어긋나지 않는가(거짓 신청은 확인 취소 사유다)
확인을 받은 뒤 조달에서 실제로 무엇이 달라지는지는 [AI 제품 확인을 받으면 조달에서 무엇이 달라지나](/posts/ai-basic-law-procurement/)에 정리했습니다. 우선구매 고려 의무와 구매 담당자 면책의 구조는 [국가기관의 AI 제품 우선구매 고려 의무](/posts/ai-basic-law-procurement/)에 있습니다.
## 자주 묻는 질문
### Q. AI 제품·서비스 확인은 어디에 신청하나요?
확인기관인 한국인공지능진흥협회에 신청하고, 신청은 확인기관의 온라인 시스템을 통해 할 수 있습니다(고시 제4조 제1항). 제품·서비스에 인공지능이 활용되었는지에 대한 기술적 심사는 한국정보통신기술협회가 수행합니다(고시 제2조 제2호, 제5조 제1항·제2항). 신청 수수료는 없습니다.
### Q. 신청하기 전에 먼저 해야 할 일이 있나요?
있습니다. 신청인은 확인 신청 전에 조달청 목록정보시스템(goods.g2b.go.kr)에 목록화 요청을 하여 물품목록번호, 곧 세부품명번호와 식별번호를 부여받아야 합니다(고시 제4조 제2항). 신청서에 이 번호들을 적게 되어 있고, 제품·서비스 명칭도 목록화 신청 때 쓴 모델명으로 적어야 합니다. 목록화가 안 되어 있으면 신청서를 채울 수 없습니다.
### Q. 외부 모델을 API로 붙여 만든 제품도 확인을 받을 수 있나요?
받을 수 있지만 준비물이 하나 더 붙습니다. 고시 제5조 제2항 제7호는 외부 인공지능처리 연산체계와 연동된 경우 호출 로그나 API Key를 확인할 수 있어야 한다는 심사 기준을 두고 있습니다. 외부 모델 호출 기록을 심사 시점에 제시할 수 있도록 로그를 남기고 접근 경로를 정리해 두어야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시](https://www.law.go.kr/행정규칙/인공지능제품ㆍ서비스확인절차운영에관한고시) — 과학기술정보통신부 고시 제2026-50호(2026. 7. 21. 발령·시행). 제2조(정의), 제3조(확인 제외 대상), 제4조(확인신청), 제5조(확인기준 등), 제6조(인공지능 활용 여부 결정), 제7조(확인서의 발급 등), 제8조(확인 취소), 제9조(비밀유지의무) 및 별지 제1호부터 제4호까지 서식 — 국가법령정보센터
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제16조(인공지능기술 도입ㆍ활용 시책 등) 제3항, 제26조(한국인공지능진흥협회), 제35조(고영향 인공지능 영향평가) 제2항 — 국가법령정보센터
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 제15조(인공지능기술 도입ㆍ활용 지원) 제4항·제5항 — 국가법령정보센터
- [조달청 목록정보시스템](https://goods.g2b.go.kr) — 목록화 요청 및 물품목록번호 부여
---
# 생성형 AI 서비스의 개인정보 처리방침 — 프롬프트 입력값은 어디에 적히나
- URL: https://datalaw.kr/posts/generative-ai-privacy-policy/
- 게시 2026-08-22 · 수정 2026-08-28 · 태그: 개인정보처리방침, AI규제, 국외이전, 개인정보보호법, 스타트업실무
- 요약: 생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.
> **핵심 요약**: 생성형 AI 기능을 붙이면 개인정보처리방침에서 두 자리가 새로 채워져야 합니다. 첫째, 이용자가 입력한 내용과 생성된 결과물을 수집·저장한다면 그것이 처리하는 개인정보의 항목입니다(시행령 제31조 제1항 제1호). 둘째, 외부 LLM API를 호출해 프롬프트가 국외 사업자에게 전송된다면 국외이전이므로 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다(시행령 제31조 제1항 제2호). 개인정보위는 2026년 4월 24일 「개인정보 처리방침 작성지침」을 개정하면서 생성형 AI 서비스에 관한 부록을 신설했고, 함께 수탁자 기재의 조건부 유형화, 온디바이스 처리 기준, 변경사항 안내 방식 이원화를 담았습니다. 작성지침은 법령이 아니라 권고 기준이지만(법 제30조 제4항), 처리방침 평가의 실질적 판단 기준으로 작동합니다.
챗봇이나 요약 기능을 붙인 회사가 처리방침을 손볼 때 대개 한 줄을 추가합니다. "AI 기능을 제공합니다" 정도입니다.
그 한 줄로는 두 가지가 빠집니다. 이용자가 무엇을 입력했고 그것이 어디에 남는지, 그리고 그 내용이 어느 나라로 나가는지입니다.
두 가지 모두 법이 적으라고 정해 둔 항목입니다.
## 프롬프트 입력값은 '처리하는 개인정보의 항목'입니다
시행령 제31조 제1항 제1호는 처리하는 개인정보의 항목을 처리방침 기재사항으로 정합니다. 회원가입 화면에서 받는 이름·이메일만 여기 적는 것으로 생각하기 쉽지만, 기준은 수집 경로가 아니라 실제로 처리하는지 여부입니다.
이용자가 챗봇에 자기 병력이나 계약 내용을 적어 넣고 그 대화가 저장된다면, 그 저장된 내용은 회사가 처리하는 개인정보입니다. 회사가 요청해서 받은 것이 아니라는 사정은 처리 사실을 바꾸지 않습니다.
여기서 실무 설계가 갈립니다.
**저장하지 않는 구조**라면 그 사실을 명확히 적는 편이 낫습니다. 저장하지 않는다고 적어 두면 나중에 저장 사실이 드러났을 때 처리방침과 실제의 불일치가 되므로, 로그·캐시·오류 리포트에 남는 경로까지 확인한 뒤에 적어야 합니다.
**저장하는 구조**라면 항목과 보유기간을 적습니다. 대화 전체를 남기는지, 요약만 남기는지, 이용자 식별자와 결합해 두는지에 따라 서술이 달라집니다.
**기기 안에서만 처리하는 구조**라면 서버 수집과 구분해 적습니다. 2026년 4월 개정 작성지침이 온디바이스 처리에 관한 기준을 명확히 한 것도 이 구분 때문입니다. 기기 내에서만 처리되는지 서버로 수집되는지에 따라 처리 항목·보유기간 기재 의무가 갈립니다.
생성된 결과물도 같은 기준으로 봅니다. 결과물에 이용자 정보가 반영돼 저장된다면 그 역시 처리 대상입니다.
## 외부 모델을 호출하면 국외이전입니다
두 번째 자리가 국외이전입니다. 이쪽이 더 자주 비어 있습니다.
법 제28조의8 제1항은 국외이전을 넓게 정의합니다. 제공(조회되는 경우를 포함한다), 처리위탁, 보관이 모두 이전입니다. 조회되는 경우까지 포함한다는 괄호가 중요합니다. 데이터를 옮겨 저장하지 않고 API로 던져 응답만 받아 와도, 국외 사업자의 시스템이 그 내용을 읽었다면 이전입니다.
그래서 해외 모델 제공자의 API를 호출하는 구조라면 프롬프트에 담긴 개인정보가 국외로 이전되고 있다고 보아야 합니다.
적어야 할 것은 시행령 제31조 제1항 제2호가 정합니다. 이전의 근거(동의, 법률·조약의 특별 규정, 계약 이행에 필요한 처리위탁·보관, 인증, 보호위원회의 동등수준 인정 중 어느 것인지)와 함께, 법 제28조의8 제2항 각 호의 사항입니다.
- 이전되는 개인정보 항목
- 개인정보가 이전되는 국가, 시기 및 방법
- 이전받는 자의 성명(법인은 명칭과 연락처)
- 이전받는 자의 이용목적 및 보유·이용 기간
- 이전을 거부하는 방법·절차 및 거부의 효과
모델을 교체하면 이 표가 통째로 바뀝니다. 이전받는 자도, 국가도, 보유·이용 기간도 달라집니다. 사용 중인 외부 모델 목록을 국외이전 현황표로 관리하고 모델을 바꿀 때 표를 갱신하는 방식이 가장 덜 새는 관리법입니다.
리전 선택으로 해결된다고 보기도 어렵습니다. 국내 리전을 쓰더라도 계정 관리·로그·남용 탐지 목적으로 본사가 접근하는 경로가 남아 있다면 조회를 포함하는 정의에 걸립니다. 계약서와 서브프로세서 목록을 함께 확인해야 판단이 섭니다.
## 딥시크 시정권고가 보여 준 것
이 구조가 실제로 문제된 사례가 딥시크(DeepSeek) 건입니다.
개인정보위는 2025년 4월 23일 제9회 전체회의에서 사전 실태점검 결과를 의결하면서, 딥시크가 개인정보를 중국 및 미국 소재 다수 회사로 이전하면서 국외이전 동의를 받거나 처리방침에 공개하지 않은 점을 지적했습니다. 특히 기기·네트워크·앱 정보뿐 아니라 **이용자가 AI 프롬프트에 입력한 내용까지** 중국 소재 클라우드 사업자(Beijing Volcano Engine Technology Co., Ltd.)로 전송되고 있었습니다. 위원회는 국외이전의 법적 근거 확보, 이미 이전된 프롬프트 입력 내용의 즉각 파기, 한국어 처리방침 공개를 시정권고했습니다.
눈여겨볼 것은 순서입니다. 딥시크가 한국어 처리방침을 제출한 것(3월 28일)과 학습 활용 거부 기능(opt-out)을 마련한 것(3월 17일부터)은 모두 **점검 과정에서** 이루어진 일이고, 시정권고 의결은 그 뒤인 4월 23일입니다. 사전 실태점검은 조사가 아니라 시정 기회를 먼저 주는 절차이고(법 제63조의2), 그 기회를 쓴 회사와 쓰지 않은 회사의 결론이 여기서 갈립니다.
여기서 가져갈 것이 둘입니다.
**프롬프트 입력값이 국외이전의 대상으로 정면으로 다뤄졌습니다.** 이용자가 자발적으로 입력한 내용이라는 사정이 면제 사유가 되지 않았습니다.
**결론이 과징금이 아니라 시정권고였던 이유를 오독하면 안 됩니다.** 수위가 낮았던 것은 위반이 가벼워서가 아니라 사전 실태점검 단계에서 시정이 이루어졌기 때문입니다. 같은 구조를 방치한 채 조사 국면에 들어가면 결론이 같으리라 기대하기 어렵습니다.
## 2026년 4월 개정 작성지침이 더한 것
개인정보위는 2026년 4월 24일 「개인정보 처리방침 작성지침」을 개정하며 네 가지를 담았습니다.
**생성형 AI 서비스 부록 신설.** 생성형 AI 서비스의 특성을 고려해 추가로 기재해야 하거나 기재를 권장하는 사항을 중심으로 작성 방법을 안내합니다. 이용자가 직접 입력한 정보와 이용 과정에서 생성된 결과물이 수집·저장되는 경우 이를 처리 항목으로 기재하도록 하고, AI가 어떤 맥락에서 누구를 대상으로 사용되는지 등 의도된 용례를 명확히 기재하도록 권장합니다.
**수탁자 기재의 조건부 유형화.** 수탁자를 개별 명칭 대신 유형으로 묶어 적는 것이 허용되나, 이용자가 마이페이지 등을 통해 실제 수탁자를 확인할 수 있어야 합니다. 모델 제공자와 인프라 사업자가 자주 바뀌는 AI 서비스에서 유용한 완화지만, 확인 경로를 만들지 않으면 조건이 충족되지 않습니다.
**온디바이스 처리 기준 명확화.** 기기 내에서만 처리되는지, 서버로 수집되는지에 따라 처리 항목·보유기간 기재 의무를 구분합니다.
**변경사항 안내 방식 이원화.** 처리 항목 변경처럼 영향이 큰 사항은 개정 전후 대조표로 안내하고, 경미한 사항은 합리적 기간 단위로 모아 안내하는 것이 허용됩니다.
작성지침은 법령이 아닙니다. 법 제30조 제4항이 보호위원회의 작성지침 마련과 준수 권장 근거를 둘 뿐입니다. 다만 처리방침 평가(법 제30조의2)의 실질적 판단 기준으로 작동하므로, 지침을 벗어난 처리방침은 개선권고를 받을 가능성이 높아집니다.
⚠️ 이 절은 개정 발표 시점에 공개된 개정 항목을 기준으로 정리한 것입니다. 부록의 개별 문언과 예시는 지침 본문을 직접 확인하고 적용해야 합니다.
## 지금 확인할 것
1. 이용자가 입력한 내용을 저장하는가. 저장한다면 처리 항목과 보유기간을 적었는가
2. 저장하지 않는다고 적었다면, 로그·캐시·오류 리포트에 남는 경로까지 확인했는가
3. 생성된 결과물을 저장하는가. 저장한다면 그것도 처리 항목에 반영했는가
4. 기기 내 처리와 서버 수집을 구분해 적었는가
5. 외부 모델을 호출한다면 국외이전 항목에 근거와 여섯 가지 고지사항이 모두 들어 있는가
6. 국내 리전을 쓰더라도 본사가 조회할 수 있는 경로가 남아 있는지 계약서·서브프로세서 목록으로 확인했는가
7. 입력값을 학습에 쓰는가. 쓴다면 그 목적·범위와 거부 방법을 밝혔는가
8. 수탁자를 유형으로 묶어 적었다면, 이용자가 실제 수탁자를 확인할 수 있는 경로를 만들었는가
9. 모델을 교체할 때 국외이전 표를 갱신하는 절차가 있는가
같은 서비스가 AI기본법에도 걸립니다. 생성형 AI 기능이 있으면 사전 고지와 생성물 표시 의무가 별도로 발생하고, 사전 고지 위반에는 곧바로 과태료가 붙습니다. → [챗봇에 무엇을 고지해야 하나](/posts/generative-ai-disclosure-labeling/)
처리방침 자체의 필수 기재사항은 [개인정보처리방침 필수 기재사항](/posts/privacy-policy-checklist-2026/)에, 국문·영문 두 문서를 나누는 문제는 [처리방침을 번역해 영문 Privacy Policy로 써도 되나](/posts/privacy-policy-two-documents/)에 정리했습니다.
## 자주 묻는 질문
### Q. 이용자가 챗봇에 입력한 내용도 개인정보 처리방침에 적어야 하나요?
수집·저장한다면 적어야 합니다. 시행령 제31조 제1항 제1호는 처리하는 개인정보의 항목을 처리방침 기재사항으로 정하는데, 이용자가 프롬프트에 입력한 내용에 개인정보가 포함되고 그것을 저장한다면 그 자체가 처리하는 항목입니다. 기기 안에서만 처리되고 서버로 올라오지 않는 구조라면 기재 범위가 달라지므로, 온디바이스 처리와 서버 수집을 구분해 정리해야 합니다.
### Q. 외부 LLM API를 쓰면 국외이전인가요?
국외 사업자의 서버로 개인정보가 넘어간다면 국외이전입니다. 법 제28조의8 제1항은 제공(조회되는 경우를 포함한다)·처리위탁·보관을 모두 국외이전으로 보므로, 프롬프트에 담긴 개인정보가 해외 모델 제공자에게 전송되는 순간 해당합니다. 이 경우 이전의 근거와 함께 이전되는 항목, 이전 국가·시기·방법, 이전받는 자, 이용목적과 보유·이용 기간, 거부 방법과 그 효과를 처리방침에 적어야 합니다(시행령 제31조 제1항 제2호, 법 제28조의8 제2항).
### Q. 학습에 쓰지 않으면 처리방침에 안 적어도 되나요?
학습 활용 여부와 기재 의무는 별개입니다. 학습에 쓰지 않더라도 입력값을 저장하거나 국외로 전송한다면 처리 항목과 국외이전 항목은 그대로 적어야 합니다. 반대로 학습에 쓴다면 그 목적과 범위, 그리고 이용자가 이를 거부할 수 있는 방법까지 함께 밝히는 것이 딥시크 시정권고 이후 형성된 실무 기준선에 가깝습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제28조의8(개인정보의 국외 이전), 제30조(개인정보 처리방침의 수립 및 공개), 제30조의2(개인정보 처리방침의 평가 및 개선권고) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제31조(개인정보 처리방침의 내용 및 공개방법 등) 제1항 제1호·제2호 — 국가법령정보센터. 대통령령 제36121호(2026. 8. 20. 시행)
- [개인정보 처리방침 작성지침(2026. 4. 개정)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=12018) — 개인정보보호위원회 안내서. 생성형 AI 서비스 부록 신설, 수탁자 조건부 유형화, 온디바이스 처리 기준, 변경사항 안내 이원화. 부록의 개별 문언과 예시는 지침 본문에서 확인할 것
- [개인정보위, 딥시크 서비스 사전 실태점검 결과 발표(2025. 4. 24.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11145) — 개인정보보호위원회 보도자료. 2025년 4월 23일 제9회 전체회의 의결. 프롬프트 입력 내용의 국외이전에 관한 시정권고
- [개인정보 처리방침 평가, 국민 눈높이에서 더 꼼꼼히 본다(2026년도 평가계획)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12236) — 개인정보보호위원회 보도자료
---
# 계도기간이니 지금은 안 지켜도 되나 — AI기본법 과태료의 실제 구조
- URL: https://datalaw.kr/posts/ai-basic-law-grace-period-penalty/
- 게시 2026-08-22 · 수정 2026-08-28 · 태그: AI규제, 스타트업실무
- 요약: 정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 유예하고 있습니다. 그런데 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이고 나머지는 사실조사와 시정명령을 거치는데, 사실조사 대상 조문에 사전 고지가 빠져 있는 이유까지 함께 정리합니다.
> **핵심 요약**: 정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 적용해 사실조사·과태료 부과를 원칙적으로 하지 않겠다고 밝혔습니다. 그러나 계도기간은 부칙의 적용 유예가 아니라 행정 운영 방침이며, 제31조·제33조·제34조의 의무는 2026년 1월 22일부터 이미 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행(1차 500만 원)과 국내대리인 미지정(2,000만 원) 둘뿐이고, 생성물 표시·안전성 확보·고영향 책무 위반은 사실조사(법 제40조 제1항)와 중지·시정명령을 거쳐 그 명령을 이행하지 않을 때 과태료 사유가 됩니다(1차 1,000만 원, 3차 이상 3,000만 원). 중소기업·벤처기업·소상공인이거나 시정 노력이 인정되면 2분의 1 범위에서 감경될 수 있습니다(시행령 별표 2 제1호 다목).
"계도기간이라던데요."
AI기본법 대응을 미루는 근거로 사내에서 가장 자주 나오는 말입니다. 틀린 말은 아닙니다. 정부가 실제로 그렇게 밝혔습니다.
문제는 이 말이 무엇을 유예하고 무엇을 유예하지 않는지가 함께 정리되지 않는다는 데 있습니다.
## 계도기간은 법령상 유예가 아닙니다
과기정통부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 적용해, 그 기간에는 사실조사·과태료 부과 같은 제재성 조치를 원칙적으로 하지 않고 인명 사고 등 피해가 큰 예외적 상황에서만 제한적으로 실시하겠다고 밝혔습니다. 해외 동향과 기술 발전 속도를 고려해 추가 연장 가능성도 열어 두었습니다.
여기서 반드시 구분해야 할 것이 있습니다.
부칙에 적용 유예 조항이 있는 것이 아닙니다. 법과 시행령은 2026년 1월 22일부터 시행됐고, 제31조 투명성 확보 의무도 제33조 사전 검토 의무도 제34조 고영향 책무도 그날부터 효력이 있습니다.
계도기간이 미루는 것은 **집행**입니다. 의무가 아닙니다.
이 차이가 서류상의 말장난처럼 들릴 수 있는데, 실제로 세 가지 국면에서 결과가 갈립니다.
## 계도기간이 방패가 되지 않는 세 국면
**민사·계약 국면.** 계도기간은 과기정통부가 행정 제재를 자제하겠다는 것이지 사법상 책임을 면제하는 제도가 아닙니다. 고지 없이 생성형 AI 결과물을 제공해 이용자에게 손해가 생겼다면, 과태료를 면했다는 사정이 손해배상 책임까지 면제하지 않습니다. 거래처와의 계약에 법령 준수 진술·보장 조항이 들어 있다면 그쪽에서도 마찬가지입니다.
**계도기간 종료 후.** 위반 상태를 방치한 채로 계도기간이 끝나면 그 상태가 그대로 사실조사의 출발점이 됩니다. 조사 결과 위반이 인정되면 중지·시정명령이 내려지고(법 제40조 제3항), 이를 이행하지 않으면 1차 1,000만 원, 2차 2,000만 원, 3차 이상 3,000만 원의 과태료가 부과됩니다.
**국내대리인 기준.** 시행령 제29조 제1항 제4호는 시정명령 불이행 과태료를 부과받은 사업자를 국내대리인 지정 대상으로 삼습니다. 한 번의 불이행이 규모와 무관하게 별개의 의무를 새로 만들어 냅니다. 자세한 내용은 [AI기본법 국내대리인](/posts/ai-basic-law-domestic-representative/)에 정리했습니다.
## 과태료가 직접 붙는 위반은 둘뿐입니다
법 제43조 제1항은 과태료 상한을 3천만 원으로 정하고 세 가지 위반 유형을 열거합니다. 시행령 별표 2가 개별기준을 둡니다.
| 위반행위 | 근거 | 1차 | 2차 | 3차 이상 |
|---|---|---|---|---|
| 제31조 제1항을 위반하여 고지를 이행하지 않은 경우 | 법 §43①1 | 500만 원 | 1,000만 원 | 1,500만 원 |
| 제36조 제1항을 위반하여 국내대리인을 지정하지 않은 경우 | 법 §43①2 | 2,000만 원 | 2,000만 원 | 2,000만 원 |
| 제40조 제3항에 따른 중지명령이나 시정명령을 이행하지 않은 경우 | 법 §43①3 | 1,000만 원 | 2,000만 원 | 3,000만 원 |
세 줄을 읽는 방법이 있습니다. 앞의 두 줄은 의무 위반 그 자체에 붙는 과태료이고, 마지막 한 줄은 **명령 불이행**에 붙는 과태료입니다.
그래서 생성물 표시(제31조 제2항), 가상 결과물 고지(제31조 제3항), 안전성 확보(제32조), 고영향 책무(제34조 제1항)를 위반해도 곧바로 돈이 나가지 않습니다. 사실조사를 거쳐 시정명령이 내려지고, 그 명령을 무시했을 때 세 번째 줄로 넘어갑니다.
차수 가중의 기준도 봐 두는 편이 좋습니다. 최근 2년간 같은 위반행위로 과태료 부과처분을 받은 경우에 적용하고, 기간 계산은 부과처분을 받은 날과 그 처분 후 다시 같은 위반행위를 하여 적발된 날을 기준으로 합니다(별표 2 제1호 가목).
## 사실조사 대상 조문에 사전 고지가 빠져 있습니다
여기가 이 조문 묶음에서 가장 덜 알려진 부분입니다.
법 제40조 제1항은 과기정통부장관이 자료 제출을 요구하거나 조사를 할 수 있는 경우를 이렇게 정합니다. **제31조 제2항·제3항, 제32조 제1항·제2항 또는 제34조 제1항**에 위반되는 사항을 발견하거나 혐의를 알게 된 경우, 또는 그 위반에 대한 신고·민원이 접수된 경우입니다.
목록에 제31조 제1항이 없습니다. 제33조도 없습니다.
빠진 이유는 구조를 보면 드러납니다. 제31조 제1항 위반은 사실조사와 시정명령이라는 우회로를 거치지 않고 곧바로 과태료가 부과되는 유형이기 때문입니다. 조사할 것도 없이 고지가 있었는지 없었는지로 판정되는 사안이라는 입법 판단이 깔려 있습니다.
실무적으로는 두 가지를 뜻합니다. 사전 고지 쪽은 조사받는 절차 없이 처분이 올 수 있고, 반대로 생성물 표시나 고영향 책무 쪽은 처분 전에 자료 제출과 조사라는 단계가 한 번 놓여 있습니다. 후자에서는 그 단계가 소명 기회이기도 합니다.
한편 제33조 제1항의 사전 검토 의무는 사실조사 대상도 아니고 과태료 대상도 아닙니다. 그렇다고 해도 검토 결과가 고영향 확인 절차에서 장관의 판단 자료로 들어가므로(시행령 제25조 제2항 제3호), 기록을 남길 실익은 별개로 있습니다.
## 감경과 가중 — 스타트업에는 감경 쪽이 더 중요합니다
별표 2 제1호 다목은 개별기준 금액의 2분의 1 범위에서 감경할 수 있는 경우를 넷으로 정합니다.
1. 위반행위자가 중소기업기본법상 중소기업, 벤처기업육성에 관한 특별법상 벤처기업, 소상공인기본법상 소상공인 중 어느 하나에 해당하는 경우
2. 위반행위가 사소한 부주의나 오류로 인한 것으로 인정되는 경우
3. 위반행위자가 법 위반상태를 시정하거나 해소하기 위하여 노력한 것이 인정되는 경우
4. 그 밖에 위반행위의 종류와 정도, 위반행위의 동기와 그 결과 등을 고려하여 줄일 필요가 있다고 인정되는 경우
다만 **과태료를 체납하고 있는 위반행위자에게는 적용되지 않습니다.**
3호를 눈여겨보시기 바랍니다. "시정하려 노력한 것이 인정되는 경우"가 감경 사유라는 점은, 완벽한 준수가 어렵더라도 검토한 흔적을 문서로 남겨 두는 것에 실질적 가치가 있다는 뜻입니다.
계도기간 동안 아무것도 하지 않은 회사와, 검토는 했으나 일부를 아직 못 고친 회사는 이 항목에서 갈립니다. 후자를 증명하는 것은 회의록·검토서·개선 계획 같은 날짜가 찍힌 문서입니다.
반대 방향도 있습니다. 위반의 내용·정도가 중대하여 인공지능산업 및 이용자에게 미치는 피해가 크다고 인정되거나, 법 위반상태의 기간이 6개월 이상인 경우에는 2분의 1 범위에서 가중될 수 있습니다(별표 2 제1호 라목). 가중하더라도 법 제43조 제1항의 상한인 3천만 원을 넘을 수는 없습니다.
"6개월 이상"이라는 기준이 계도기간과 겹쳐 읽힙니다. 계도기간 중에 위반 상태를 방치한 기간이 그대로 가중 사유의 기간 계산에 들어갈 가능성을 배제하기 어렵습니다.
## 지금 확인할 것
1. 사전 고지(제31조 제1항)를 하고 있는가. 이것 하나만은 조사 절차 없이 과태료로 직행한다
2. 국내에 주소·영업소가 없는 법인이라면 국내대리인 지정 기준에 걸리는지 확인했는가
3. 생성물 표시·고영향 책무처럼 시정명령을 거치는 항목에 대해, 조사 단계에서 낼 소명 자료를 만들 수 있는 상태인가
4. 계도기간 중에 수행한 검토와 개선 계획이 날짜가 찍힌 문서로 남아 있는가
5. 중소기업·벤처기업·소상공인 해당 여부를 확인해 두었는가
6. 미이행 상태가 6개월을 넘어가고 있는 항목이 있는가
7. 계약서에 법령 준수 진술·보장 조항이 있는지, 있다면 현재 상태가 그 진술과 어긋나지 않는지 확인했는가
무엇을 지켜야 하는지부터 정리하려면 [우리 회사도 '인공지능사업자'인가 — AI기본법 의무 지도](/posts/ai-basic-law-business-duties/)를 먼저 보시기 바랍니다. 고지 의무의 세부는 [챗봇에 무엇을 고지해야 하나](/posts/generative-ai-disclosure-labeling/)에, 고영향 판단과 책무는 [우리 서비스가 '고영향 인공지능'인가](/posts/high-impact-ai-check/)에 정리했습니다.
## 자주 묻는 질문
### Q. AI기본법 계도기간은 언제까지인가요?
정부는 시행과 함께 최소 1년 이상의 계도기간을 적용하겠다고 밝혔고, 해외 동향과 기술 발전 속도를 고려해 추가 연장 가능성도 열어 두었습니다. 다만 종료일이 법령에 명시된 것은 아닙니다. 계도기간은 부칙의 적용 유예 조항이 아니라 사실조사와 과태료 부과라는 제재성 조치를 당분간 자제하겠다는 행정 운영 방침이기 때문입니다. 인명 사고 등 피해가 큰 예외적 상황에서는 계도기간 중에도 제한적으로 조치가 이루어질 수 있습니다.
### Q. 계도기간 중에 위반해도 아무 일이 없나요?
행정 제재는 유예되지만 의무 위반 상태 자체는 남습니다. 의무는 2026년 1월 22일부터 이미 발생해 있으므로 계도기간에 위반 상태를 방치하면 종료 후 시정명령의 대상이 되고, 그 불이행은 별도의 과태료 사유가 됩니다(법 제40조 제3항, 제43조 제1항 제3호). 그리고 계도기간은 행정 제재를 미루는 것일 뿐이어서 민사·계약 국면에서는 방패가 되지 않습니다.
### Q. AI기본법 과태료를 감경받을 수 있나요?
있습니다. 시행령 별표 2 제1호 다목은 중소기업기본법상 중소기업, 벤처기업육성에 관한 특별법상 벤처기업, 소상공인기본법상 소상공인 중 어느 하나에 해당하는 경우, 위반이 사소한 부주의나 오류로 인정되는 경우, 위반 상태를 시정하거나 해소하기 위하여 노력한 것이 인정되는 경우 등에 개별기준 금액의 2분의 1 범위에서 감경할 수 있도록 정합니다. 다만 과태료를 체납하고 있는 위반행위자에게는 감경이 적용되지 않습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제31조(인공지능 투명성 확보 의무), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제36조(국내대리인 지정), 제40조(사실조사 등), 제43조(과태료) — 국가법령정보센터. 법률 제21311호(2026. 7. 21. 시행)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 제25조(고영향 인공지능의 확인 절차 등), 제29조(국내대리인 지정 사업자의 기준), 별표 2(과태료의 부과기준) — 국가법령정보센터. 대통령령 제36580호(2026. 8. 20. 시행)
- [과기정통부, 「인공지능 투명성 확보 안내 지침(가이드라인)」 공개 보도자료(2026. 1. 22.)](https://eiec.kdi.re.kr/policy/materialView.do?num=276195) — KDI 경제정보센터. 1년 이상 계도기간 중 사실조사·과태료 부과를 유예한다는 방침이 여기에 담겼습니다.
- [인공지능기본법 지원데스크](https://www.sw.or.kr/AI_act_helpdesk/main.jsp) — 과기정통부·정보통신산업진흥원
---
# AI기본법 국내대리인 — 전체 매출이 작아도 AI 부문 100억이면 대상입니다
- URL: https://datalaw.kr/posts/ai-basic-law-domestic-representative/
- 게시 2026-08-22 · 수정 2026-08-28 · 태그: AI규제, 국외이전, 스타트업실무
- 요약: 국내에 주소나 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다. 전년도 매출 1조 원, AI 서비스 부문 매출 100억 원, 국내 이용자 1일 평균 100만 명, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 미지정 시 과태료는 2,000만 원이며 차수에 따른 가중이 없습니다. 개인정보 보호법상 국내대리인과는 근거도 대리 범위도 다릅니다.
> **핵심 요약**: 국내에 주소 또는 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다(법 제36조 제1항). 기준은 전년도 매출액 1조 원 이상, 인공지능서비스 부문 전년도 매출액 100억 원 이상, 전년도 말 기준 직전 3개월간 국내 이용자 수 1일 평균 100만 명 이상, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 매출액은 전년도 평균환율로 원화 환산합니다. 미지정 시 과태료는 2,000만 원이고 차수에 따른 가중이 없습니다(시행령 별표 2). 국내대리인의 위반은 지정한 사업자가 한 것으로 봅니다(법 제36조 제3항).
해외 본사가 한국에 서비스를 제공할 때 가장 늦게 확인하는 항목이 국내대리인입니다. 개인정보 보호법 쪽은 이미 챙겨 뒀으니 AI기본법도 비슷하겠거니 넘어가기 쉽습니다.
두 제도는 근거도 다르고, 대리하는 일도 다르고, 무엇보다 기준선이 다릅니다.
## 누가 지정해야 하나
법 제36조 제1항의 구조는 두 겹입니다. 국내에 주소 또는 영업소가 없을 것, 그리고 이용자 수·매출액 등이 대통령령으로 정하는 기준에 해당할 것입니다.
시행령 제29조 제1항이 그 기준을 넷으로 정합니다. 네 가지는 병렬이어서 하나만 걸려도 대상입니다.
| 기준 | 내용 |
|---|---|
| 1호 | 전년도(법인은 전 사업연도) 매출액 1조 원 이상 |
| **2호** | **인공지능서비스 부문 전년도 매출액 100억 원 이상** |
| 3호 | 전년도 말 기준, 해당 사업자의 인공지능제품·인공지능서비스에 대한 직전 3개월간 국내 이용자 수가 1일 평균 100만 명 이상 |
| 4호 | 법 제43조 제1항 제3호에 따른 과태료를 부과받은 사실이 있는 사업자 |
1호와 2호의 매출액은 전년도 평균환율을 적용해 원화로 환산한 금액을 기준으로 합니다(같은 조 제2항). 본사 회계가 달러나 유로로 되어 있다면 환산 시점과 환율 기준을 미리 정해 두어야 판단이 흔들리지 않습니다.
국내대리인은 국내에 주소 또는 영업소가 있는 자여야 합니다(법 제36조 제2항). 법인격이나 자격 요건은 따로 정해져 있지 않습니다.
## 2호를 눈여겨봐야 하는 이유
네 기준 중 실제로 회사를 걸리게 하는 것은 대개 2호입니다.
1호의 1조 원은 상당한 규모입니다. 3호의 1일 평균 100만 명도 소비자 서비스가 아니면 닿기 어렵습니다. 그런데 2호는 전사 규모와 무관하게 **AI 서비스 부문 매출 100억 원**만 봅니다.
B2B SaaS로 한국 시장에서 연 100억 원을 올리는 외국 회사는 드물지 않습니다. 전사 매출로는 1조 원 근처에도 못 가는데 이 기준 하나로 지정 의무가 생깁니다.
여기서 실무 쟁점이 하나 생깁니다. "인공지능서비스 부문"의 경계를 어디로 볼 것인가입니다. 법 제2조 제6호는 인공지능서비스를 인공지능 또는 인공지능기술을 활용한 제품과 관련한 서비스로 정의하는데, AI 기능이 제품의 일부로 들어가 있는 경우 그 부문 매출을 어떻게 떼어낼지는 문언만으로 확정되지 않습니다.
기능별 매출 구분이 회계상 잡히지 않는다면, 어떤 기준으로 부문을 나눴는지를 문서로 남겨 두는 편이 안전합니다. 판단이 틀렸을 때보다 판단한 흔적이 없을 때가 더 불리합니다.
## 4호 — 과태료 한 번이 새 의무를 만듭니다
4호는 성격이 다릅니다. 규모가 아니라 이력을 기준으로 삼습니다.
법 제43조 제1항 제3호는 제40조 제3항에 따른 중지명령이나 시정명령을 이행하지 않은 경우의 과태료입니다. 즉 사실조사를 받고 시정명령이 내려졌는데 그것을 이행하지 않아 과태료를 맞은 사업자는, 규모와 무관하게 국내대리인 지정 대상이 됩니다.
한 번의 불이행이 별개의 의무를 새로 만들어 내는 구조입니다. 시정명령 단계에서 다투더라도 이행 자체는 해 두어야 하는 이유가 여기에 있습니다.
## 국내대리인은 무엇을 대리하나
법 제36조 제1항이 세 가지를 열거합니다.
1. 제32조 제2항에 따른 이행 결과의 제출 — 안전성 확보 의무 대상 사업자가 과기정통부장관에게 내는 결과
2. 제33조 제1항에 따른 고영향 인공지능 해당 여부 확인의 요청
3. 제34조 제1항 각 호에 따른 안전성·신뢰성 확보 조치의 이행에 필요한 지원. **같은 항 제5호에 따른 문서의 최신성·정확성에 대한 점검을 포함합니다**
3호의 괄호가 실무 부담을 결정합니다. 고영향 인공지능 책무 이행 근거 문서는 5년간 보관해야 하는데(시행령 제27조 제2항), 국내대리인은 그 문서가 최신인지 정확한지를 점검하는 역할까지 맡습니다.
문서 보관 창구를 본사에 두고 대리인은 이름만 올려 두는 구성으로는 이 조항을 이행하기 어렵습니다. 대리인이 실제로 문서에 접근할 수 있는 경로를 만들어야 합니다.
## 국내대리인의 위반은 누구 책임인가
지정한 사업자입니다. 법 제36조 제3항은 국내대리인이 제1항 각 호와 관련하여 이 법을 위반한 경우 해당 국내대리인을 지정한 인공지능사업자가 그 행위를 한 것으로 본다고 정합니다.
대리인을 세우는 것은 창구를 만드는 일이지 책임을 넘기는 일이 아닙니다. 위임 계약에는 대리 범위, 보고 주기, 자료 접근권, 그리고 대리인의 과실로 제재가 발생했을 때의 정산을 적어 두는 편이 낫습니다.
## 개인정보 보호법의 국내대리인과 같은 것인가
다릅니다. 근거 법률이 다르고, 지정 기준이 다르고, 대리하는 일도 겹치지 않습니다.
| | AI기본법 | 개인정보 보호법 |
|---|---|---|
| 근거 | 법 제36조, 시행령 제29조 | 법 제31조의2 |
| 판단 축 | 매출액·이용자 수·과태료 이력 | 매출액, 개인정보의 보유 규모 등 |
| 대리 사무 | 안전성 이행 결과 제출, 고영향 확인 요청, 제34조 책무 이행 지원 | 불만 처리·피해 구제, 유출 통지·신고, 자료 제출 |
| 누구를 지정하나 | 국내에 주소·영업소가 있는 자 | 국내 법인이 있으면 그 법인 중에서 지정해야 함 |
| 지정 후 의무 | 별도 규정 없음 | 교육·업무현황 점검 등 관리·감독, 처리방침 기재 |
세 번째 줄과 네 번째 줄에서 갈립니다. 개인정보 보호법 제31조의2 제2항은 해당 개인정보처리자가 설립했거나 지배적 영향력을 행사하는 국내 법인이 있으면 **그 법인 중에서** 국내대리인을 지정하도록 못박고 있습니다. AI기본법에는 이런 제한이 없습니다. 그리고 2025년 4월 1일 신설된 같은 조 제3항은 지정한 뒤에도 교육하고 업무현황을 점검하는 관리·감독 의무를 지웁니다.
두 제도의 지정 대상이 겹치는 회사가 많지만, 한쪽을 지정했다고 다른 쪽이 자동으로 충족되지는 않습니다. 같은 사람을 양쪽 대리인으로 지정하는 것 자체는 막혀 있지 않으나, 위임 범위를 문서에서 분리해 적어야 합니다.
개인정보 보호법 쪽 국내대리인은 요건과 재지정 실무가 따로 움직입니다. [국내대리인을 다시 지정해야 하는 때](/posts/domestic-representative-redesignation/)에 정리했습니다.
## 미지정 과태료는 차수 가중이 없습니다
시행령 별표 2는 국내대리인 미지정에 대해 1차·2차·3차 이상 모두 2,000만 원을 정하고 있습니다. 다른 위반들이 차수에 따라 올라가는 것과 대비됩니다.
가중이 없는 대신 1차부터 금액이 높습니다. 사전 고지 미이행의 1차 과태료가 500만 원인 것과 비교하면 네 배입니다.
감경 여지는 있습니다. 중소기업기본법상 중소기업, 벤처기업육성법상 벤처기업, 소상공인기본법상 소상공인에 해당하거나, 위반이 사소한 부주의·오류에 기인하거나, 위반 상태를 시정·해소하려 노력한 것이 인정되면 2분의 1 범위에서 감경될 수 있습니다(별표 2 제1호 다목). 다만 국내대리인 지정 대상이 되는 규모라면 중소기업 감경에 기대기는 어렵습니다.
## 지금 확인할 것
이 조문의 원문과 과태료 연결은 [인공지능기본법 조문 지도](/ai-act/#art-36)에서 한 줄로 볼 수 있습니다.
1. 국내에 주소나 영업소가 없는 법인인가. 있다면 이 조항은 애초에 적용되지 않는다
2. 전년도 전사 매출, AI 서비스 부문 매출, 직전 3개월 국내 이용자 수를 각각 산출해 두었는가
3. AI 서비스 부문 매출을 어떤 기준으로 구분했는지 문서로 남겼는가
4. 매출액 환산에 쓸 전년도 평균환율 기준을 정했는가
5. 과거에 시정명령 불이행으로 과태료를 부과받은 이력이 있는가
6. 지정한다면 국내에 주소 또는 영업소가 있는 자인가
7. 위임 계약에 제34조 제1항 제5호 문서의 최신성·정확성 점검을 수행할 수 있는 자료 접근 경로가 들어 있는가
8. 서면 지정과 과기정통부장관 신고를 모두 마쳤는가
우리 회사가 애초에 AI기본법상 어느 의무의 주체인지는 [우리 회사도 '인공지능사업자'인가 — AI기본법 의무 지도](/posts/ai-basic-law-business-duties/)에 정리했습니다. 본사 산출물과 한국법이 어긋나는 지점을 전반적으로 훑으려면 [본사 정책을 한국에 그대로 옮기면 걸리는 곳](/posts/global-policy-korea-gap-map/)을 함께 보시기 바랍니다.
## 자주 묻는 질문
### Q. AI기본법 국내대리인은 누가 지정해야 하나요?
국내에 주소 또는 영업소가 없는 인공지능사업자로서 시행령 제29조 제1항의 네 가지 기준 중 어느 하나에 해당하는 사업자입니다. ① 전년도 매출액 1조 원 이상, ② 인공지능서비스 부문 전년도 매출액 100억 원 이상, ③ 전년도 말 기준 직전 3개월간 국내 이용자 수가 1일 평균 100만 명 이상, ④ 법 제43조 제1항 제3호에 따른 과태료를 부과받은 사실이 있는 경우입니다. 국내대리인은 국내에 주소 또는 영업소가 있는 자여야 합니다(법 제36조 제2항).
### Q. 전체 매출은 크지 않은데 AI 서비스만 잘 팔립니다. 대상인가요?
대상이 될 수 있습니다. 시행령 제29조 제1항 제2호는 인공지능서비스 부문 전년도 매출액이 100억 원 이상인 사업자를 별도의 기준으로 두고 있어, 전사 매출이 1조 원에 미치지 않아도 이 부문 매출만으로 지정 의무가 생깁니다. 매출액은 전년도 평균환율을 적용해 원화로 환산한 금액을 기준으로 합니다(같은 조 제2항).
### Q. 국내대리인이 잘못하면 누가 책임지나요?
지정한 사업자가 책임집니다. 법 제36조 제3항은 국내대리인이 같은 조 제1항 각 호와 관련하여 이 법을 위반한 경우 해당 국내대리인을 지정한 인공지능사업자가 그 행위를 한 것으로 본다고 정합니다. 대리인을 세워 두는 것으로 책임이 이전되지 않으므로, 위임 범위와 보고 체계를 계약서에 구체적으로 적어 두어야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제2조(정의), 제32조(인공지능 안전성 확보 의무), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제36조(국내대리인 지정), 제43조(과태료) — 국가법령정보센터. 법률 제21311호(2026. 7. 21. 시행)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 제27조(고영향 인공지능과 관련한 사업자의 책무), 제29조(국내대리인 지정 사업자의 기준), 별표 2(과태료의 부과기준) — 국가법령정보센터. 대통령령 제36580호(2026. 8. 20. 시행)
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제31조의2(국내대리인의 지정) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행). 국내 법인 우선 지정 의무와 관리·감독 의무는 2025. 4. 1. 개정분입니다.
- [인공지능기본법 지원데스크](https://www.sw.or.kr/AI_act_helpdesk/main.jsp) — 과기정통부·정보통신산업진흥원. 신고 창구와 하위법령 원문
---
# 챗봇에 무엇을 고지해야 하나 — AI기본법 제31조의 세 층과 적용 예외
- URL: https://datalaw.kr/posts/generative-ai-disclosure-labeling/
- 게시 2026-08-22 · 수정 2026-08-28 · 태그: AI규제, 스타트업실무
- 요약: AI기본법 제31조는 하나의 의무처럼 보이지만 층이 셋입니다. 서비스가 AI에 기반해 운용된다는 사전 고지(제1항), 생성형 AI 결과물이라는 표시(제2항), 실제와 구분하기 어려운 음향·이미지·영상의 고지(제3항)가 각각 다른 상황을 겨냥합니다. 이 중 사전 고지만 위반 시 곧바로 과태료가 붙습니다. 시행령 제23조가 정한 고지 방법 네 가지와 적용 예외 세 가지, 그리고 모델 제공자가 결과물에 심어 주는 워터마크가 우리 표시의무를 대신하지 못하는 이유를 정리합니다.
> **핵심 요약**: AI기본법 제31조의 투명성 확보 의무는 층이 셋입니다. ① 고영향·생성형 인공지능을 이용한 제품·서비스가 그 인공지능에 기반해 운용된다는 사전 고지(제1항), ② 생성형 인공지능 결과물이라는 표시(제2항), ③ 실제와 구분하기 어려운 가상의 음향·이미지·영상에 대한 명확 인식 방식의 고지(제3항)입니다. 이 중 과태료가 직접 붙는 것은 ①뿐이며 1차 500만 원입니다(시행령 별표 2). 고지 방법은 시행령 제23조 제1항이 네 가지를 열거하고, 적용 예외는 같은 조 제4항이 세 가지를 둡니다. 외부 모델 제공자가 결과물에 심어 주는 워터마크는 우리 회사의 제31조 제2항 이행을 대신하지 못합니다.
"우리 서비스에 AI 붙였는데, 어디에 뭐라고 써야 하나요."
이 질문에 한 문장으로 답하기 어려운 이유가 있습니다. 제31조가 하나의 의무처럼 생겼지만 실제로는 서로 다른 세 상황을 겨냥하고 있어서입니다.
챗봇을 붙인 회사, 이미지 생성 기능을 넣은 회사, 실제 사람 목소리와 구분하기 어려운 음성을 만드는 회사가 해야 할 일이 각각 다릅니다.
## 제31조는 층이 셋입니다
먼저 지도부터 봅니다.
| 층 | 근거 | 무엇을 | 언제 | 위반 시 |
|---|---|---|---|---|
| ① 사전 고지 | 법 §31①, 시행령 §23① | 이 제품·서비스가 고영향·생성형 AI에 기반해 운용된다는 사실 | 제공 전 | 과태료 1차 500만 원 |
| ② 생성물 표시 | 법 §31②, 시행령 §23② | 이 결과물이 생성형 AI로 생성됐다는 사실 | 결과물에 | 시정명령 대상 |
| ③ 가상 결과물 고지 | 법 §31③, 시행령 §23③ | 실제와 구분하기 어려운 음향·이미지·영상이라는 사실 | 결과물에, 명확 인식 방식으로 | 시정명령 대상 |
①과 ②·③의 차이가 큽니다. ①은 사실조사 절차를 거치지 않고 곧바로 과태료가 부과되는 구조이고, ②·③은 사실조사(법 제40조 제1항)를 거쳐 중지·시정명령이 내려진 뒤 그 명령을 이행하지 않을 때 과태료 사유가 됩니다.
바꿔 말하면, 지금 당장 돈이 나가는 위험은 ①에 몰려 있습니다.
## ① 사전 고지 — 네 가지 방법 중 하나로
고영향 인공지능이나 생성형 인공지능을 이용한 제품·서비스를 제공하려는 경우, 그 제품·서비스가 해당 인공지능에 기반하여 운용된다는 사실을 이용자에게 사전에 고지해야 합니다(법 제31조 제1항).
방법은 시행령 제23조 제1항이 넷을 열거합니다.
1. 제품등에 직접 기재하거나 계약서, 사용 설명서, 이용약관 등에 기재
2. 이용자의 화면 또는 단말기 등에 표시
3. 제품등을 제공하는 장소(해당 장소와 합리적으로 관련된 범위의 장소를 포함한다)에 인식하기 쉬운 방법으로 게시
4. 그 밖에 제품등의 특성을 고려하여 과학기술정보통신부장관이 인정하는 방법
네 가지 중 하나면 됩니다. 다만 실무에서는 1호에만 기대는 구성이 자주 보입니다. 이용약관 어딘가에 한 줄 넣어 두는 방식입니다.
문언상으로는 그것도 열거된 방법입니다. 하지만 조항의 취지가 이용자가 알고 쓰게 하는 데 있는 이상, 챗봇 창을 여는 화면처럼 실제로 눈에 닿는 자리에 한 번 더 표시해 두는 편이 안전합니다.
키오스크나 매장 단말기처럼 화면 표시가 어려운 형태라면 3호가 쓰입니다. "해당 장소와 합리적으로 관련된 범위의 장소를 포함한다"는 괄호는 기기 바로 앞이 아니어도 된다는 뜻으로, 입구 안내판 같은 자리를 열어 준 것입니다.
## ② 생성물 표시 — 기계 판독 방식을 쓰면 안내가 따라붙습니다
생성형 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우, 그 결과물이 생성형 인공지능에 의하여 생성되었다는 사실을 표시해야 합니다(법 제31조 제2항).
시행령 제23조 제2항은 두 가지 방법을 허용합니다.
1. 사람이 인식할 수 있는 방법
2. 기계가 판독할 수 있는 방법. 이 경우 그 결과물이 생성형 인공지능에 의하여 생성되었다는 사실을 **1회 이상 안내 문구·음성 등으로 제공해야 한다**
2호의 단서가 핵심입니다. 워터마크나 메타데이터만 심고 아무 안내도 하지 않는 방식은 이행이 되지 않습니다. 기계 판독 방식을 선택하는 순간 사람을 향한 안내가 한 번은 나가야 합니다.
"1회 이상"이 결과물 하나당인지 이용자 한 명당인지는 문언만으로 확정되지 않습니다. 안전한 설계는 서비스 진입 시점에 한 번 안내하고, 결과물 화면에도 표시를 함께 두는 것입니다.
## ③ 실제와 구분하기 어려운 결과물 — 명확 인식 방식으로
인공지능시스템으로 실제와 구분하기 어려운 가상의 음향, 이미지 또는 영상 등의 결과물을 제공하는 경우에는, 그 결과물이 인공지능시스템으로 생성되었다는 사실을 이용자가 **명확하게 인식할 수 있는 방식으로** 고지 또는 표시해야 합니다(법 제31조 제3항).
여기에 예외가 붙습니다. 해당 결과물이 예술적·창의적 표현물에 해당하거나 그 일부를 구성하는 경우에는 전시 또는 향유 등을 저해하지 않는 방식으로 고지·표시할 수 있습니다. 작품 화면 한가운데를 가리지 않아도 된다는 뜻이지, 표시를 생략해도 된다는 뜻은 아닙니다.
시행령 제23조 제3항은 두 가지 고려 요소를 답니다.
1. 이용자가 시각, 청각 등을 통하거나 소프트웨어 등을 이용하여 쉽게 내용을 확인할 수 있는 방법으로 고지 또는 표시할 것
2. 주된 이용자의 나이, 신체적·사회적 조건 등을 고려하여 고지 또는 표시할 것
2호는 실무 설계를 바꾸는 조항입니다. 아동이 주된 이용자인 서비스라면 성인 기준의 문구로는 부족할 수 있습니다. 시각장애 이용자 비중이 높은 서비스라면 시각 표시만으로는 부족합니다.
## 적용 예외 세 가지
시행령 제23조 제4항은 제1항부터 제3항까지의 규정 중 전부 또는 일부를 적용하지 않을 수 있는 경우를 셋으로 정합니다.
1. 제품·서비스명, 이용자 화면이나 제품 겉면 및 결과물에 표시된 문구 등을 고려할 때 고영향 인공지능 또는 생성형 인공지능을 활용한 사실이 명백한 경우
2. 인공지능사업자의 **내부 업무 용도로만** 사용되는 경우
3. 그 밖에 제품등의 유형·특성이나 결과물의 내용, 이용형태 및 기술 수준 등을 고려하여 적용 예외가 필요하다고 과학기술정보통신부장관이 정하여 고시하는 경우
1호는 서비스 이름에 이미 "AI"가 들어가 있는 경우처럼, 다시 알릴 실익이 없는 상황을 덜어 주는 규정입니다. 다만 판단이 "명백한 경우"라는 평가에 걸려 있어서, 이 예외에만 기대는 설계는 위험합니다.
2호에서 갈리는 회사가 많습니다. 기준은 "내부 업무 용도로만"입니다. 사내 문서 요약에 쓰던 기능을 고객 화면에 열어 주는 순간 예외를 벗어납니다. 사내 도구와 고객용 기능이 같은 모델을 공유하는 구조라면, 어느 쪽 경로로 결과물이 나가는지를 기준으로 나눠 정리해야 합니다.
## 모델이 워터마크를 넣어주면 우리 표시의무는 끝나나
끝나지 않습니다. 이 질문이 최근 부쩍 늘었기에 따로 봅니다.
2026년 8월 2일부터 Anthropic이 Claude의 출력물에 표시를 심기 시작했습니다. 텍스트에는 눈에 보이지 않는 워터마크를, 이미지와 SVG 파일에는 C2PA 규격의 서명된 출처 메타데이터를 넣는 방식입니다. API로 부르는 경우는 물론 AWS·구글 클라우드·마이크로소프트 파운드리를 거쳐 쓰는 경우까지 포함하고, 적용 지역도 EU가 아니라 전 세계입니다.
근거는 우리 법이 아니라 EU 인공지능법 제50조입니다. 그 조항의 투명성 의무 적용일이 2026년 8월 2일이었습니다. 구글도 SynthID로 같은 방향을 잡고 있습니다. 외부 모델을 갖다 쓰는 회사라면, 자기가 심지 않은 표시가 결과물에 딸려 오는 상황을 앞으로 기본값으로 놓고 판단하는 편이 안전합니다.
문제는 그 표시가 우리 회사의 제31조 제2항 이행이 되지 않는다는 점입니다. 이유가 셋입니다.
**안내가 빠집니다.** 시행령 제23조 제2항 제2호는 기계 판독 방식을 택했다면 그 사실을 1회 이상 안내 문구·음성 등으로 제공하라고 요구합니다. 모델 제공자가 심어 주는 것은 워터마크까지이고, 안내는 이용자를 직접 대면하는 화면에서 나가야 합니다. 그 화면은 우리 서비스입니다.
**표시가 가리키는 것이 다릅니다.** 모델 제공자는 이 마크를 "해당 모델이 처리했을 수 있다"는 표시로 설명합니다. 사람이 쓴 초안을 모델에 넣어 다듬기만 해도 마크가 붙습니다. 반대로 결과물을 크게 고쳐 쓰거나 번역하거나 다른 모델을 한 번 더 거치면 마크는 사라집니다. 제31조 제2항이 표시하라고 한 것은 "생성형 인공지능에 의하여 생성되었다는 사실"입니다. 처리한 흔적과 생성한 사실은 눈금이 서로 다릅니다. 마크의 유무를 그대로 표시 근거로 삼으면, 표시가 있어야 할 결과물에 표시가 없거나 표시할 필요가 없는 결과물에 표시가 붙습니다.
**딥페이크류에는 아예 쓸 수 없습니다.** 제31조 제3항은 실제와 구분하기 어려운 음향·이미지·영상에 "명확하게 인식할 수 있는 방식"을 요구합니다. 눈에 보이지 않게 심는 워터마크는 정의상 이 요건을 충족하지 못합니다. 이 유형을 만든다면 사람이 바로 알아볼 수 있는 표시를 우리가 따로 붙여야 합니다.
정리하면 모델 제공자의 표시는 우리 의무의 대체물이 아니라 보조 수단입니다.
## 지금 점검할 것
1. 우리 제품·서비스에 생성형 AI 기능이 있는가. 있다면 사전 고지가 시행령 제23조 제1항의 네 가지 방법 중 하나로 나가고 있는가
2. 그 고지가 이용약관 안에만 있는가, 이용자가 실제로 보는 화면에도 있는가
3. 생성물 표시를 기계 판독 방식으로만 하고 있다면, 1회 이상의 안내 문구·음성을 함께 제공하고 있는가
4. 그 워터마크가 모델 제공자가 심어 준 것이라면, 안내는 우리 화면에서 따로 나가고 있는가
5. 실제와 구분하기 어려운 음향·이미지·영상을 만든다면, 사람이 바로 알아볼 수 있는 표시를 붙였는가
6. 주된 이용자에 아동·고령자·장애인이 포함된다면 고지 방식을 그에 맞게 조정했는가
7. 내부 업무 용도로만 쓰는 기능과 고객에게 제공하는 기능을 경로 기준으로 구분해 정리했는가
우리 인공지능이 고영향 영역에서 쓰인다면 고지와 별개로 여섯 가지 책무가 따라붙습니다. 판단 기준과 확인 요청 절차는 [우리 서비스가 '고영향 인공지능'인가](/posts/high-impact-ai-check/)에 정리했습니다.
생성형 AI 서비스에는 이 고지·표시 의무와 별개로 저작권 문제가 함께 따라옵니다. 학습 데이터의 적법성과 출력물의 침해 위험을 누가 지는지는 [우리가 도입한 AI가 무단 학습을 했다면 책임은 누구에게 있나](/posts/ai-training-data-copyright/)에서 따로 정리했습니다.
## 자주 묻는 질문
### Q. AI기본법상 고지 의무 중 과태료가 붙는 것은 어느 것인가요?
제31조 제1항의 사전 고지뿐입니다. 고영향 인공지능이나 생성형 인공지능을 이용한 제품·서비스가 해당 인공지능에 기반해 운용된다는 사실을 사전에 알리지 않으면 1차 500만 원, 2차 1,000만 원, 3차 이상 1,500만 원의 과태료가 부과됩니다(법 제43조 제1항 제1호, 시행령 별표 2). 제2항의 생성물 표시와 제3항의 가상 결과물 고지는 직접 과태료 대상이 아니라 사실조사와 시정명령을 거친 뒤 그 명령을 이행하지 않을 때 과태료 국면으로 넘어갑니다.
### Q. 사내에서만 쓰는 AI 도구도 고지해야 하나요?
인공지능사업자의 내부 업무 용도로만 사용되는 경우에는 제31조 제1항부터 제3항까지의 규정 전부 또는 일부를 적용하지 않을 수 있습니다(시행령 제23조 제4항 제2호). 다만 기준은 '내부 업무 용도로만'입니다. 사내 문서 요약에만 쓰던 기능을 고객 화면에 노출하는 순간 예외에서 벗어납니다. 제품·서비스명이나 화면 문구를 볼 때 AI 활용 사실이 명백한 경우도 별도의 예외 사유입니다(같은 항 제1호).
### Q. 우리가 쓰는 AI 모델이 워터마크를 넣어주면 표시의무를 이행한 것이 되나요?
되지 않습니다. 시행령 제23조 제2항은 기계가 판독할 수 있는 방법으로 표시하는 경우 그 결과물이 생성형 인공지능에 의하여 생성되었다는 사실을 1회 이상 안내 문구·음성 등으로 제공하도록 요구하는데, 그 안내는 이용자를 대면하는 우리 화면에서 나가야 합니다. 또 모델 제공자의 마크는 '생성'이 아니라 '처리'를 표시하는 것이어서 사람이 쓴 글을 다듬기만 해도 붙고 크게 고쳐 쓰면 사라집니다. 실제와 구분하기 어려운 음향·이미지·영상이라면 보이지 않는 워터마크로는 제31조 제3항의 '명확하게 인식할 수 있는 방식'을 충족하지 못합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제31조(인공지능 투명성 확보 의무), 제40조(사실조사 등), 제43조(과태료) — 국가법령정보센터. 법률 제21311호(2026. 7. 21. 시행)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 제23조(인공지능 투명성 확보 의무), 별표 2(과태료의 부과기준) — 국가법령정보센터. 대통령령 제36580호(2026. 8. 20. 시행)
- [과기정통부, 「인공지능 투명성 확보 안내 지침(가이드라인)」 공개 보도자료(2026. 1. 22.)](https://eiec.kdi.re.kr/policy/materialView.do?num=276195) — KDI 경제정보센터. 투명성 확보 의무의 주체를 '이용자에게 인공지능 제품 및 서비스를 직접 제공하는 인공지능사업자'로 정리했습니다.
- [How Claude marks AI-generated content](https://support.claude.com/en/articles/16266773-how-claude-marks-ai-generated-content) — Anthropic 지원센터. 2026년 8월 2일 이후 출시 모델부터 텍스트 워터마크와 C2PA 서명 메타데이터를 적용한다는 내용. 배포자에게는 EU 인공지능법 제50조가 자사에 무엇을 요구하는지 독자적으로 판단하라고 명시하고 있습니다.
- [EU compliance, delivered globally: Anthropic to watermark Claude's output worldwide (2026. 8. 11.)](https://www.euronews.com/next/2026/08/11/eu-compliance-delivered-globally-anthropic-to-watermark-claudes-output-worldwide) — Euronews. EU 인공지능법 제50조 투명성 의무의 적용일이 2026년 8월 2일이라는 점과 적용 범위가 EU에 한정되지 않는다는 점.
---
# 우리 서비스가 '고영향 인공지능'인가 — 10개 영역과 확인 요청 절차
- URL: https://datalaw.kr/posts/high-impact-ai-check/
- 게시 2026-08-22 · 수정 2026-08-28 · 태그: AI규제, 스타트업실무
- 요약: 고영향 인공지능은 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 인공지능시스템입니다. 민간 사업자와 가장 넓게 닿는 영역은 사목(채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가)입니다. 해당 여부를 사전에 검토하는 것 자체가 법 제33조 제1항의 의무이고, 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다. 요청서 첨부서류, 30일 회신, 10일 내 재확인 요청까지 시행령 제25조가 정한 절차를 정리합니다.
> **핵심 요약**: 고영향 인공지능은 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템으로서, 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 것을 말합니다. 카목이 추가 영역을 대통령령에 위임해 두었으나 2026년 8월 22일 현재 추가로 지정된 영역은 없습니다. 열 개 영역 중 민간 사업자와 가장 넓게 닿는 것은 사목인 "채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"입니다. 해당 여부를 사전에 검토하는 것은 법 제33조 제1항의 의무이며, 스스로 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다(시행령 제25조: 30일 회신, 30일 범위 1회 연장, 회신일부터 10일 내 재확인 요청).
AI기본법에서 스타트업이 가장 현실적으로 부딪히는 개념이 고영향 인공지능입니다. 여기 해당하면 여섯 가지 책무가 한꺼번에 따라붙고, 해당하지 않으면 그 부담이 통째로 사라집니다.
문턱이 이렇게 높은데도, 정작 "우리가 여기 해당하나"를 정리해 둔 회사는 많지 않습니다.
그 판단을 미루면 안 되는 이유가 하나 더 있습니다. 판단하는 행위 자체가 법이 요구하는 의무이기 때문입니다.
## 고영향 인공지능은 어떻게 정의되나
법 제2조 제4호는 두 가지 요건을 겹쳐 놓았습니다.
첫째, 사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템일 것. 둘째, 각 목에 열거된 영역에서 활용될 것.
열거된 영역은 다음 10개입니다.
| 목 | 영역 | 근거 법률 |
|---|---|---|
| 가 | 에너지의 공급 | 에너지법 §2 1호 |
| 나 | 먹는물의 생산 공정 | 먹는물관리법 §3 1호 |
| 다 | 보건의료의 제공 및 이용체계의 구축·운영 | 보건의료기본법 §3 1호 |
| 라 | 의료기기 및 디지털의료기기의 개발 및 이용 | 의료기기법 §2①, 디지털의료제품법 §2 2호 |
| 마 | 핵물질·원자력시설의 안전한 관리 및 운영 | 원자력시설 등의 방호 및 방사능 방재 대책법 §2①1·2호 |
| 바 | 범죄 수사·체포 업무를 위한 생체인식정보의 분석·활용 | — |
| **사** | **채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가** | — |
| 아 | 교통수단·교통시설·교통체계의 주요한 작동 및 운영 | 교통안전법 §2 1~3호 |
| 자 | 공공서비스 자격 확인·결정, 비용징수 등 국가기관등의 의사결정 | — |
| 차 | 유아교육·초등교육·중등교육에서의 학생 평가 | 교육기본법 §9① |
카목은 "그 밖에 사람의 생명·신체의 안전 및 기본권 보호에 중대한 영향을 미치는 영역으로서 대통령령으로 정하는 영역"을 남겨 두었습니다. 2026년 8월 22일 현재 대통령령으로 추가 지정된 영역은 없으므로, 실무에서 확인할 것은 위 10개입니다.
## 민간 사업자와 가장 넓게 닿는 영역은 사목입니다
목록을 훑어보면 원자력, 먹는물, 교통체계처럼 애초에 남의 얘기인 항목이 많습니다. 그래서 목록 전체를 훑고 "우리는 아니네"로 넘어가기 쉽습니다.
사목에서 멈춰야 합니다.
"채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"는 열거가 아니라 예시입니다. 채용과 대출 심사는 대표적인 예로 든 것이고, 기준은 그 뒤에 붙은 "개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"입니다.
이 기준으로 다시 보면 후보가 넓어집니다.
- AI 서류 전형·화상면접 평가
- 신용평가 보조 모델, 대출 한도·금리 산정
- 보험 인수 심사, 보험금 지급 심사
- 임대차·중개 과정의 임차인 심사
- 플랫폼의 계정 정지·수익 배분 결정처럼 개인의 지위를 좌우하는 자동 판단
반대로 판단에 개입하지 않는 쓰임새는 다르게 평가됩니다. 면접 일정을 조율하거나 지원서를 서식에 맞게 정리하는 정도라면 개인의 권리·의무 관계에 중대한 영향을 미치는 판단·평가라고 보기 어렵습니다.
경계에 있는 것은 "사람이 최종 결정을 하고 AI는 참고자료만 만든다"는 구조입니다. 실제로 그 참고자료가 결정을 사실상 좌우한다면 형식적인 사람 개입만으로 고영향을 벗어난다고 단정하기는 어렵습니다. 판단 흐름에서 AI 산출물이 어느 지점에 놓이는지를 문서로 정리해 두는 편이 안전합니다.
## 검토하는 것 자체가 의무입니다
법 제33조 제1항은 이렇게 정합니다. 인공지능사업자는 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우 그 인공지능이 고영향 인공지능에 해당하는지를 **사전에 검토하여야** 하며, 필요한 경우 과기정통부장관에게 확인을 요청할 수 있습니다.
두 부분의 무게가 다릅니다. 검토는 의무이고, 확인 요청은 선택입니다.
그래서 결론이 "고영향 아님"으로 나더라도 검토를 아예 하지 않은 상태와는 다릅니다. 검토한 날짜, 대상 시스템, 각 목별 판단, 그 근거를 한 장으로 남겨 두는 것이 이 조항에 대한 이행입니다.
이 기록은 나중에 다른 국면에서도 쓰입니다. 확인 요청서 서식에 "사전 검토결과"와 "검토근거" 칸이 따로 있어서, 정부에 물어보기로 마음먹은 순간 그 기록을 그대로 옮겨 적게 됩니다.
## 스스로 판단이 안 서면 어떻게 하나
시행령 제25조가 확인 요청 절차를 정합니다.
**제출.** 별지 서식의 고영향 인공지능 확인 요청서에 다음을 첨부해 과기정통부장관에게 제출합니다.
1. 해당 인공지능제품 또는 인공지능서비스의 개요서
2. 해당 인공지능시스템의 개발 및 학습에 사용된 학습용데이터의 개요
3. 해당 인공지능시스템을 활용하는 과정 및 결과를 확인할 수 있는 자료
4. 그 밖에 고영향 인공지능 해당 여부의 확인에 참고가 될 수 있는 서류
수수료는 없습니다. 서식은 요청인을 인공지능개발사업자와 인공지능이용사업자로 구분해 표시하게 하고, 기본모델과 파생모델의 명칭·개발국가를 각각 적게 합니다. 외부 모델을 파인튜닝해 쓰는 구조라면 그 계보를 그대로 드러내야 한다는 뜻입니다.
**판단 기준.** 장관은 다음을 고려해 판단합니다(시행령 제25조 제2항).
- 인공지능이 법 제2조 제4호 각 목의 어느 하나의 영역에서 활용되는지 여부
- 사람의 생명, 신체의 안전 및 기본권에 초래할 수 있는 위험의 영향, 중대성, 빈도 및 활용 영역별 특수성
- 사업자가 법 제33조 제1항에 따라 사전에 검토한 결과
- 전문위원회 자문을 받은 경우 그 자문 결과
세 번째 항목을 눈여겨보시기 바랍니다. 우리가 한 사전 검토가 장관의 판단 자료로 들어갑니다. 근거 없이 "해당 없음"이라고만 적어 낸 검토서는 그 자리에서 무게를 잃습니다.
**기간.** 요청을 받은 날부터 30일 이내 회신이 원칙이고, 제품의 복잡성·중요성을 고려해 30일 이내에 회신할 수 없으면 30일 범위에서 한 차례 연장할 수 있습니다. 이때 연장 사유와 연장 기간을 문서로 알려야 합니다.
**재확인.** 회신 결과에 이의가 있으면 회신을 받은 날부터 10일 이내에 재확인을 요청할 수 있습니다. 재확인은 전문위원회 자문을 거쳐 30일 이내에 회신됩니다.
10일은 짧습니다. 회신이 예상과 다르게 올 가능성이 있다면 재확인 요청서에 붙일 자료를 미리 준비해 두는 편이 낫습니다.
## 고영향에 해당하면 무엇을 해야 하나
법 제34조 제1항이 여섯 가지 조치를 정합니다.
1. 위험관리방안의 수립·운영
2. 기술적으로 가능한 범위에서 최종결과, 최종결과 도출에 활용된 주요 기준, 개발·활용에 사용된 학습용데이터의 개요 등에 대한 설명 방안의 수립·시행
3. 이용자 보호 방안의 수립·운영
4. 고영향 인공지능에 대한 사람의 관리·감독
5. 안전성·신뢰성 확보 조치의 내용을 확인할 수 있는 문서의 작성과 보관
6. 그 밖에 국가인공지능전략위원회에서 심의·의결된 사항
시행령 제27조가 여기에 실행 규칙을 붙입니다.
**게시 의무.** 위험관리정책 및 조직체계 등 위험관리방안의 주요 내용, 설명 방안의 주요 내용, 이용자 보호 방안, 그리고 해당 고영향 인공지능을 관리·감독하는 사람의 성명 및 연락처를 사무소·사업장 또는 인터넷 홈페이지 등에 게시해야 합니다. 부정경쟁방지법상 영업비밀에 해당하는 사항은 제외할 수 있습니다.
네 번째 항목은 준비 없이 시행일을 맞으면 곤란해지는 요구입니다. 관리·감독자의 이름과 연락처를 외부에 공개해야 하므로, 그 자리를 누구로 둘지부터 정해야 합니다.
**문서 보관 5년.** 조치를 이행하고 그 근거를 문서로 5년간 보관해야 합니다. 전자적 방법의 보관도 포함됩니다.
**이용사업자 완화.** 제1호부터 제3호까지의 조치를 모두 또는 일부 이행한 사업자로부터 인공지능시스템을 제공받은 이용사업자가 본래 목적이나 용도를 현저하게 변경하는 등 중대한 기능 변경을 하지 않았다면, 해당 조치를 이행한 것으로 봅니다(시행령 제27조 제3항). 외부 모델을 그대로 쓰는 회사에게는 중요한 완충 장치입니다.
**자료 요청권.** 이용사업자는 개발사업자에게 책무 이행에 필요한 자료 제공을 요청할 수 있고, 개발사업자는 이에 협력하도록 노력해야 합니다(같은 조 제4항). 노력 의무여서 강제력은 약하지만, 계약 협상에서 이 조항을 근거로 자료 제공 조항을 넣어 둘 수는 있습니다.
## 다른 법을 이미 지키고 있다면 이행한 것으로 볼 수 있습니다
조문 순서상 뒤에 있어 지나치기 쉬운 부분인데, 부담을 실질적으로 줄여 줍니다.
법 제34조 제3항은 인공지능사업자가 다른 법령에 따라 제1항 각 호에 준하는 조치를 대통령령으로 정하는 바에 따라 이행한 경우 제1항에 따른 조치를 이행한 것으로 본다고 정합니다. 그 구체적 기준이 시행령 제27조 제5항과 별표 1입니다.
별표 1이 인정하는 경우 중 실무에서 넓게 쓰일 만한 것을 추리면 이렇습니다.
| 이미 이행한 것 | 이행한 것으로 보는 범위 |
|---|---|
| 개인정보 보호법 제29조·제30조·제31조·제31조의2·제32조의2·제33조·제35조·제35조의2·제36조·제37조·제37조의2·제38조에 따른 조치·의무 | 개인정보 처리 및 보호에 대해서는 그에 상응하는 법 제34조 제1항 각 호의 조치 |
| 지능정보화 기본법 제60조 제1항 제1호~제3호·제5호의 안전성 보호조치 | 제34조 제1항 제1호·제2호 |
| 지능정보화 기본법 제60조 제1항 제4호의 안전성 보호조치 | 제34조 제1항 제4호 |
| 대출 심사에서 신용정보법 제35조의2 설명의무 준수 + 제36조의2 제1항 절차 구비 | 제34조 제1항 제2호 |
| 대출 심사에서 금융소비자보호법 제10조 책무 이행 | 제34조 제1항 제3호 |
첫 줄이 가장 중요합니다. 개인정보 보호법상 안전조치·개인정보처리방침·개인정보 보호책임자 지정·유출 통지·열람·정정삭제·처리정지·자동화된 결정에 대한 대응 등을 이미 이행하고 있다면, **개인정보 처리 및 보호에 관한 한** 상응하는 제34조 조치를 이행한 것으로 봅니다.
다만 범위가 "개인정보 처리 및 보호에 대해서는"으로 한정돼 있습니다. 모델의 성능 위험이나 오판 위험처럼 개인정보 축이 아닌 부분까지 함께 면제되는 것은 아닙니다.
이 밖에 별표 1은 디지털의료기기(디지털의료제품법상 품질관리체계·제조허가·준수사항·품질책임자), 자율주행자동차(성능인증·변경인증, 자동차 사이버보안 관리체계 인증), 자율운항선박(안전성 평가·운항 승인), 원자력시설 관련 준수사항을 각각 어느 호의 이행으로 볼지 정하고 있습니다. 규제 산업에 있다면 이미 받아 둔 인증이 그대로 AI기본법 이행으로 환산되는지부터 확인하는 편이 빠릅니다.
별표 1 중 디지털의료기기에 관한 부분은 2026년 1월 24일부터 시행됐습니다.
## 영향평가는 노력 의무지만 공공시장에서는 다릅니다
고영향 인공지능을 이용한 제품·서비스를 제공하는 경우, 사전에 사람의 기본권에 미치는 영향을 평가하기 위하여 노력해야 합니다(법 제35조 제1항). 이때 인공지능취약계층의 특성이 반영되도록 해야 합니다.
여기까지는 노력 의무입니다. 그런데 제2항이 성격을 바꿉니다. 국가기관등이 고영향 인공지능을 이용한 제품·서비스를 이용하려는 경우에는 영향평가를 실시한 제품·서비스를 우선적으로 고려해야 합니다.
공공 납품을 노린다면 영향평가는 사실상 입찰 요건에 가깝게 작동합니다.
영향평가에 담아야 할 항목은 시행령 제28조 제1항이 일곱 가지로 정합니다. 영향받을 가능성이 있는 개인·집단의 식별(인공지능취약계층 특성 반영), 영향받을 수 있는 기본권 유형의 식별, 사회적·경제적 영향의 내용과 범위, 사용 행태, 평가지표와 결과산출 방식, 위험의 예방·완화·손실 복구, 개선이 필요한 경우 이행계획입니다. 직접 하거나 제3자에게 의뢰할 수 있습니다(같은 조 제2항).
인공지능취약계층의 범위는 시행령 제1조의2가 기초생활수급권자·장애인·65세 이상 등 아홉 범주로 열거합니다. 채용·대출 심사에 AI를 쓰는 서비스라면 이 목록과 우리 이용자층이 겹치는 지점을 먼저 확인해야 합니다.
## 지금 확인할 것
조문을 직접 펼쳐 보실 때는 [인공지능기본법 조문 지도](/ai-act/)의 [제33조](/ai-act/#art-33)·[제34조](/ai-act/#art-34)·[제35조](/ai-act/#art-35) 행에 원문과 하위법령 위임 상태가 함께 있습니다.
1. 우리 인공지능이 법 제2조 제4호 각 목 중 어디에 닿는지 목별로 판단하고 근거를 기록했는가. 특히 사목의 "판단 또는 평가"에 우리 산출물이 개입하는지
2. 사전 검토 결과를 문서로 남겼는가. 날짜·대상 시스템·판단·근거가 들어 있는가
3. 판단이 서지 않는다면 확인 요청에 필요한 세 가지 첨부서류를 만들 수 있는 상태인가
4. 고영향에 해당한다면, 게시해야 할 네 가지 중 관리·감독자의 성명과 연락처를 누구로 할지 정했는가
5. 조치 근거 문서를 5년 보관 체계로 관리하고 있는가
6. 개인정보 보호법상 조치를 이미 이행하고 있다면, 별표 1 제7호로 대체되는 범위와 대체되지 않는 범위를 구분했는가
7. 외부 모델을 쓰고 있다면 개발사업자가 제1호~제3호 조치를 이행했는지 확인하고, 우리가 중대한 기능 변경을 하지 않았다는 점을 기록했는가
8. 공공 납품 계획이 있다면 영향평가를 실시했는가
투명성 고지 쪽은 별도의 조문입니다. 고영향이든 생성형이든 이용자에게 사전 고지를 해야 하고, 이쪽은 위반하면 곧바로 과태료가 붙습니다. 절차는 [챗봇에 무엇을 고지해야 하나 — AI기본법 제31조의 세 층](/posts/generative-ai-disclosure-labeling/)에 정리했습니다.
우리 회사가 애초에 어느 의무의 주체인지부터 확인하려면 [우리 회사도 '인공지능사업자'인가 — AI기본법 의무 지도](/posts/ai-basic-law-business-duties/)를 먼저 보시기 바랍니다.
## 자주 묻는 질문
### Q. 고영향 인공지능인지 판단하는 것 자체가 의무인가요?
그렇습니다. 법 제33조 제1항은 인공지능사업자가 인공지능 또는 이를 이용한 제품·서비스를 제공하는 경우 그 인공지능이 고영향 인공지능에 해당하는지를 사전에 검토하도록 정합니다. 결과적으로 고영향이 아니더라도 검토를 수행하지 않았다면 이 조항의 이행이 없는 것입니다. 검토 결과와 그 근거를 문서로 남겨 두는 편이 안전합니다.
### Q. AI 채용 스크리닝을 쓰면 무조건 고영향 인공지능인가요?
무조건은 아니지만 사목에 정면으로 걸릴 가능성이 높습니다. 법 제2조 제4호 사목은 '채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가'를 열거하고, 고영향 인공지능은 그 영역에서 활용되면서 사람의 생명·신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 인공지능시스템을 말합니다. 단순 일정 조율이나 문서 서식 정리에만 쓰는 경우와, 지원자를 걸러내는 판단에 관여하는 경우는 다르게 평가됩니다.
### Q. 고영향에 해당하는지 정부에 물어볼 수 있나요?
있습니다. 법 제33조 제1항에 따라 과기정통부장관에게 확인을 요청할 수 있고, 절차는 시행령 제25조가 정합니다. 별지 서식의 확인 요청서에 제품·서비스 개요서, 학습용데이터 개요, 활용 과정·결과 확인 자료를 첨부해 제출하면 장관은 30일 이내에 회신하며, 복잡성·중요성을 고려해 30일 범위에서 한 차례 연장할 수 있습니다. 회신에 이의가 있으면 회신을 받은 날부터 10일 이내에 재확인을 요청할 수 있고, 이때는 전문위원회 자문을 거쳐 30일 이내에 회신합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제2조 제4호(고영향 인공지능의 정의), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제35조(고영향 인공지능 영향평가) — 국가법령정보센터. 법률 제21311호(2026. 7. 21. 시행)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 제1조의2(인공지능취약계층의 범위), 제25조(고영향 인공지능의 확인 절차 등), 제27조(고영향 인공지능과 관련한 사업자의 책무), 제28조(고영향 인공지능 영향평가), 별표 1(이행조치 인정 기준 및 절차), 별지 서식(고영향 인공지능 확인·재확인 요청서) — 국가법령정보센터. 대통령령 제36580호(2026. 8. 20. 시행). 별표 1 중 디지털의료기기에 관한 부분은 2026. 1. 24. 시행
- [인공지능기본법 지원데스크](https://www.sw.or.kr/AI_act_helpdesk/main.jsp) — 과기정통부·정보통신산업진흥원. 하위법령·가이드라인 원문과 사업자 문의 창구
---
# 개인정보위가 혐의 없이 점검을 나왔습니다 — 시정권고를 수락하면 그때부터 무엇이 달라지나
- URL: https://datalaw.kr/posts/pre-inspection-recommendation-acceptance/
- 게시 2026-08-22 · 수정 2026-09-11 · 태그: 과징금제재, 개인정보보호법, 스타트업실무
- 요약: 개인정보 보호법 제63조의2의 사전 실태점검은 위반 혐의도 신고도 없을 때 나오는 점검입니다. 여기서 받는 권고는 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(제4항), 제61조 제2항의 개선권고에는 그런 간주가 없습니다. 판단할 시간은 통보받은 날부터 10일이고, 수락 여부를 가르는 것은 권고 문서에 이미 적혀 있는 이행 기간입니다(고시 제30조의4). 수락한 뒤의 불이행은 2026년 9월 11일부터 전체 매출액 10% 과징금 트랙과 이어집니다.
> **핵심 요약**: 개인정보 보호법 제63조의2의 사전 실태점검은 제63조 제1항 각 호에 해당하지 아니하는 경우, 곧 위반 혐의도 신고도 민원도 없을 때 하는 점검입니다. 문제는 그다음입니다. 점검에서 나오는 권고가 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(같은 조 제4항), 제61조 제2항의 개선권고에는 그런 간주 규정이 없고 성실하게 노력할 의무만 있습니다. 회사가 판단할 시간은 통보받은 날부터 10일입니다(제63조의2 제3항). 무엇을 보고 판단하는지도 이미 정해져 있습니다. 고시 제30조의4는 시정방안에 수락하는 경우의 **이행 기간**을 포함하도록 하고 있어서, 그 기간이 권고 문서 안에 적혀 옵니다. 그리고 2026년 9월 11일부터는 시정조치 명령에 따르지 아니하여 유출등에 이른 경우가 전체 매출액 100분의 10 과징금 구간에 들어갑니다(개정 제64조의2 제2항 제3호).
사고가 난 적도 없고 민원이 들어온 적도 없는데 개인정보보호위원회에서 자료 요청이 옵니다. 담당자가 가장 먼저 하는 질문은 대개 같습니다.
"우리가 뭘 잘못한 게 있나요?"
이 절차에서는 그 질문이 출발점이 되지 못합니다. 잘못한 것이 확인되지 않았다는 사정이 점검의 전제이기 때문입니다.
## 혐의가 없는데 왜 점검을 나오나
조사의 문은 원래 제63조 제1항이 엽니다. 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우(제1호), 위반에 대한 신고를 받거나 민원이 접수된 경우(제2호), 그 밖에 대통령령으로 정하는 경우(제3호)입니다.
제63조의2 제1항은 그 세 가지에 **해당하지 아니하는 경우**를 전제로 합니다. 대신 침해사고 발생의 위험성이 높고 개인정보 보호의 취약점을 사전에 점검할 필요성이 인정될 것을 요구합니다. 무엇을 잘못했느냐가 아니라 어느 자리에 있느냐가 기준입니다. 회사가 결백을 소명해도 대상에서 빠지지 않습니다.
관계 중앙행정기관의 장과 합동으로 점검하는 것도 가능합니다(같은 조 제6항). 2026년 5월 예고된 에듀테크 7개 서비스 점검이 개인정보위와 교육부의 합동 점검입니다. 이 업무를 전담하는 **사전실태점검과**는 2025년 12월 23일 국무회의의 직제 개정 의결로 신설됐습니다. 조직이 생긴 시점이 곧 점검이 늘어난 시점인데, 그 사정은 아래에서 따로 봅니다.
## 실제로 누가 점검을 받았나
이 조문은 2023년 9월 15일부터 시행됐습니다. 그 뒤 개인정보위가 보도자료로 공개한 사전 실태점검 가운데 주요한 것은 다음과 같습니다.
| 시점 | 대상 | 결과 |
|---|---|---|
| 2024. 3. 27. 의결 | 대규모 언어모델 사업자 6곳(오픈AI·구글·MS·메타·네이버·뤼튼) | 개선권고 |
| 2024. 6. 12. 의결 | AI 응용서비스 4곳(SKT·스노우·DeepL·뷰노) | 시정권고 1곳, 개선권고 2곳, 조치 없음 1곳 |
| 2025. 2. 12. 의결 | 소셜로그인 5곳(네이버·카카오·구글·메타·애플) | 개선권고 |
| 2025. 4. 23. 의결 | 딥시크 | **같은 건에서 시정권고와 개선권고를 함께** |
| 2025. 5. 14. 의결 | AI 디지털교과서(교육부·KERIS·개발사) | **KERIS에 시정권고, 교육부에 개선권고** |
| 2025. 6. 11. 의결 | 클라우드 3곳(AWS·Azure·네이버클라우드) | 개선권고 |
| 2025. 7. 23. 의결 | 슈퍼앱 5곳(네이버·카카오·쿠팡·우아한형제들·당근마켓) | 개선권고 |
| 2025. 11. 20. 의결 | 공공 집중관리시스템 57개(운영기관 38곳) | 36개 기관에 시정권고 |
| 2026년 1월~ | 상조 분야 전반 | 진행 중 |
| 2026년 3월 | 금융 분야 주민등록번호 처리 | 추진 발표 |
| 2026. 4. 6. 착수 | 고객센터 상담업무 위탁 5개 분야(배달·홈쇼핑·온라인쇼핑·렌탈·유선통신) | 진행 중 |
| 2026. 5. 18. 예고 | 에듀테크 7개 서비스(개인정보위·교육부 합동) | 진행 중 |
## 이 절차는 지금 막 늘어나기 시작했습니다
숫자만 보면 반대로 읽을 수도 있습니다. 실제로 2025년 10월 국정감사에서 이 제도는 정반대 평가를 받았습니다.
국회 정무위원회 강민국 의원실이 개인정보위로부터 받은 자료에 따르면, 2023년 9월 시행 이후 2년간 사전 실태점검은 **6회**에 그쳤고 대상은 18개 기업·기관이었습니다. 같은 기간 조사와 사전 실태점검을 거쳐 나온 처분 806건 가운데 사전 실태점검에서 나온 것은 **24건**, 비율로는 2.98%였습니다. 금융·통신·유통 분야 점검은 한 건도 없었습니다. 기사 제목은 「유명무실한 개인정보위 사전 실태점검」이었습니다.
그 지적이 나온 뒤의 석 달이 이 글의 배경입니다.
- **2025년 11월 20일**, 공공 집중관리시스템 38개 기관 점검에서 36곳이 시정권고를 받았습니다. 한 건의 대상 수가 앞선 2년치 여섯 건 전체를 넘어섰습니다.
- **2025년 12월 23일**, 국무회의가 개인정보위 직제 개정을 의결해 **사전실태점검과**가 신설됐습니다. 예방조정심의관과 함께 1관 1과, 조사관 6명을 포함해 17명이 늘었습니다. 그때까지 개인정보위 조사 인력은 4년 연속 31명이었습니다.
- **2026년 1월 14일**, 개인정보위는 제1회 전체회의에서 「2026년 개인정보 조사업무 추진 방향」을 확정하고, 사고 발생 후 제재 중심에서 위험 기반 사전 점검으로 전환한다고 밝혔습니다. 중점 조사 6대 분야는 ① 대규모 개인정보처리자 ② 영상·생체 등 고위험 개인정보 ③ 다크패턴 등 과잉수집 ④ AI·블록체인 ⑤ 공공부문 ⑥ **기업결합(M&A)·파산·회생 과정의 개인정보 이전·파기**입니다. 추진 과제에는 **정기적 사전 실태점검을 위한 법적 근거 마련**이 들어 있습니다.
조직과 인력이 붙었고, 대상 분야가 여섯으로 명시됐고, 정기화를 위한 입법까지 예고됐습니다. 2026년에 상조·금융·고객센터로 대상이 번지는 것은 그 결과입니다. **6건이라는 숫자는 이 제도의 크기가 아니라 출발점입니다.**
## 대상은 어떻게 골라지나
여기서 눈에 띄는 것은 대상을 고르는 방식입니다. 2026년 3월 롯데카드 제재 보도자료는 금융 분야 주민등록번호 처리에 대한 사전 실태점검 추진을 함께 알렸고, 2026년 5월 보람상조 제재 보도자료는 상조 분야 전반의 점검이 이미 진행 중이라고 밝혔습니다. **같은 업종에서 제재가 하나 나오면 그 업종 전체가 점검 범위로 언급되는 형태가 반복되고 있습니다.**
2026년 4월 고객센터 점검은 이 방식을 더 짧은 경로로 보여 줍니다. 배달 플랫폼 상담사가 업무 중 알게 된 고객 주소를 무단 조회해 범죄에 쓴 사건 하나가 계기였고, 점검 대상은 그 회사가 아니라 상담업무를 외부에 위탁하는 5개 분야 전체로 잡혔습니다. 사고를 낸 곳이 아니라 같은 구조를 쓰는 곳이 대상입니다. 우리 회사에 사고가 없었다는 사실이 대상에서 벗어나는 근거가 되지 못하는 이유가 여기 있습니다.
2025년 6월 클라우드 3개사 점검은 또 다른 경로를 보여 줍니다. 개인정보위는 클라우드 위에 개인정보처리시스템을 올리는 이용사업자 약 65만 곳, 그중에서도 중소기업·스타트업·소상공인이 안전조치 기능의 존재를 몰라 위반에 노출되는 것을 막겠다는 이유로, 그들이 아니라 **그들이 쓰는 사업자**를 점검했습니다. 자기 회사가 점검 대상이 아니어도 자기 회사가 쓰는 서비스가 대상이 될 수 있다는 뜻입니다.
롯데카드 사건에서 위원회가 무엇을 문제 삼았는지는 [적법하게 수집한 주민등록번호를 로그에 남겼습니다](/posts/resident-number-in-logs-separate-violation/)에서 조문 단위로 다뤘습니다. 아동 정보 쪽에서 이 절차가 어떻게 쓰이는지는 [(가칭)아동·청소년 개인정보 보호법은 어떻게 됐나](/posts/child-privacy-law-vs-inspection/)에서 에듀테크 합동 점검을 사례로 다뤘습니다.
## 권고가 두 갈래입니다
점검이 끝나고 오는 문서를 받으면 근거 조문부터 봐야 합니다. 개인정보위는 사전 실태점검 결과로 두 가지 권고를 내고, 둘의 법적 효과가 다릅니다.
| | 시정권고 | 개선권고 |
|---|---|---|
| 근거 | 제63조의2 제2항 | 제61조 제2항 |
| 회사의 의무 | 10일 이내 수락 여부 통지 | 이행하기 위해 성실하게 노력, 조치 결과 통지 |
| 수락하면 | **제64조 제1항 시정조치 명령을 받은 것으로 본다** | 간주 규정 없음 |
| 불이행 시 과태료 | 간주된 명령의 불이행 문제로 이어짐 | 과태료 조항 없음 |
이 구분은 개인정보위 의결에서 반복적으로 확인됩니다.
**같은 회사 안에서 갈린 경우.** 2024년 6월 의결에서 개인정보위는 SKT에 대해 접속기록 보관 점검이라는 안전조치 의무 준수를 **시정권고**하면서, 보관 기간 최소화와 비식별 처리 강화는 **개선권고**로 나누어 의결했습니다. 같은 회사에 같은 날 나간 결과 안에서 두 갈래가 갈린 것입니다. 2025년 4월 딥시크 건도 같습니다. 국외 이전의 적법 근거 구비와 이미 이전된 프롬프트 입력 내용의 파기, 한국어 처리방침 공개는 시정권고로, 아동 개인정보 확인·파기와 국내대리인 지정 등은 개선권고로 갈랐습니다.
**당사자별로 갈린 경우.** 2025년 5월 AI 디지털교과서 의결이 더 선명합니다. 개인정보위는 처리방침·동의서 구체화와 정보주체 권리행사 명확화를 이유로 **KERIS에는 시정권고**를, 검정 심사기준과 개발 가이드라인에 안전조치 의무를 반영하라는 취지로 **교육부에는 개선권고**를 했습니다. 같은 점검, 같은 날 의결인데 받은 문서의 성격이 기관마다 다릅니다.
그러니 "우리도 같이 점검받았고 같이 권고를 받았다"는 사실만으로는 아무것도 정해지지 않습니다. 받은 문서에 "개선을 권고한다"고만 적혀 있으면 제61조 제2항일 가능성이 있고, 그때는 아래 이야기가 적용되지 않습니다. 반대로 수락 여부를 10일 안에 통지하라는 문구가 있으면 제63조의2 제2항입니다.
## 수락은 협조가 아니라 지위 변경입니다
제63조의2 제4항의 문언은 이렇습니다. 시정권고를 받은 자가 해당 권고를 수락한 때에는 제64조 제1항에 따른 시정조치 명령을 받은 것으로 본다.
제64조 제1항의 시정조치 명령은 개인정보 침해행위의 중지, 개인정보 처리의 일시적인 정지, 그 밖에 개인정보의 보호 및 침해 방지를 위하여 필요한 조치를 명하는 처분입니다. 수락하는 순간 회사는 권고를 받은 자가 아니라 **그 명령을 받은 자**가 됩니다. 문서 한 장에 서명하는 일로 보이지만 법적 지위가 바뀝니다.
여기서 두 갈래가 열립니다.
첫째, 제75조 제2항 제27호는 제64조 제1항에 따른 시정조치 명령에 따르지 아니한 자에게 3천만 원 이하의 과태료를 부과하도록 정합니다. 간주된 명령을 이행하지 않는 것이 이 호에 해당하는지에 관한 공개된 선례는 확인되지 않지만, 제63조의2 제4항이 명령을 받은 것으로 본다고 정한 이상 조문 구조상 그 방향으로 읽힐 여지가 큽니다.
둘째가 더 무겁습니다. 2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 제64조의2 제2항 제3호로 **제64조 제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항 제9호의 위반행위를 한 경우**를 전체 매출액 100분의 10 과징금 구간에 넣었습니다. 제1항 제9호는 개인정보가 분실·도난·유출·위조·변조·훼손된 경우이므로 요건은 두 겹입니다. 명령을 이행하지 않았을 것, 그리고 그로 인해 유출등에 이르렀을 것. 10% 구간의 나머지 두 갈래와 산정·감경 구조는 [2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나](/posts/breach-response-calculus-shift/)에, 과거 처분 이력이 언제 방아쇠가 되는지는 [대상회사에 개인정보 과징금 이력이 있습니다](/posts/prior-sanction-three-year-clock/)에 정리해 두었습니다.
여기에 층이 하나 더 예고돼 있습니다. 앞서 본 「2026년 개인정보 조사업무 추진 방향」은 시정명령의 활용 범위를 직접적인 침해행위 중지에서 예방조치 필요 사항으로 넓히고, **시정명령 불이행 시 이행강제금 도입**을 검토하겠다고 밝혔습니다. 아직 법령이 아니라 추진 과제이지만, 방향은 명령의 범위를 넓히고 불이행의 값을 올리는 쪽입니다.
여기서 눈여겨볼 것은 이 갈래들이 모두 **불이행**을 방아쇠로 삼는다는 점입니다. 수락 자체는 어느 쪽 요건도 건드리지 않습니다. **따라서 수락 자체가 위험한 것이 아니라, 이행하지 못할 내용을 수락하는 것이 위험합니다.**
## 이행 기간은 이미 그 문서 안에 적혀 있습니다
그러면 이행할 수 있는지를 무엇을 보고 판단하는가. 답이 하위 규범에 있습니다.
「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회고시 제2023-9호) 제30조의4는 사전 실태점검에서 위반 사항을 발견한 경우 피심인에 대하여 시정방안(피심인이 해당 권고를 수락하는 경우의 **해당 권고의 이행 기간을 포함한다**)을 정하여 이에 따를 것을 권고할 수 있다고 정합니다.
괄호 안이 핵심입니다. **이행 기간이 권고 문서 안에 이미 들어 있습니다.** 수락하는 순간 그 기간은 협의 대상이 아니라 간주된 시정조치 명령의 이행 기한이 됩니다. 10일 안에 판단할 것은 권고 내용이 타당한지가 아니라, 거기 적힌 기간 안에 그것을 끝낼 수 있는지입니다.
이행 결과 보고는 그와 별개로 돕니다. 개인정보위는 사전 실태점검 보도자료에서 시정권고와 개선권고의 이행 결과를 **60일 이내**에 보고하도록 일관되게 요구해 왔습니다(딥시크, AI 디지털교과서 등). 딥시크 건에서는 그 뒤 최소 2회 이상 이행 여부를 점검하겠다고 밝혔습니다.
수락 통지 10일, 이행 결과 보고 60일, 그리고 문서에 적힌 이행 기간. 세 개의 시계가 동시에 돕니다. 내부 결재 한 번이 이 중 어느 하나를 넘기면 그때부터는 불이행 쪽 이야기가 됩니다.
## 수락하지 않으면 어떻게 되나
제63조의2 제5항은 시정권고를 수락하지 아니하거나 이행하지 아니한 경우 개인정보위가 제63조 제2항에 따른 검사를 할 수 있도록 정합니다. 소속 공무원이 사무소나 사업장에 출입해 업무 상황, 장부, 서류를 검사하는 절차입니다.
수락하지 않는 것 자체에는 과태료가 붙지 않습니다. 거절에 대한 제재 조항이 없습니다. 대신 절차의 성격이 바뀝니다.
바뀐 뒤의 자리를 정확히 볼 필요가 있습니다. 검사에서 위반이 확인되면 그때는 사전 실태점검 트랙이 아니라 일반 조사·처분 트랙입니다. 시정조치 명령(제64조)이 권고가 아니라 처분으로 나오고, 요건이 맞으면 과징금(제64조의2)과 과태료(제75조)가 함께 붙으며, 결과 공표(제66조)의 대상이 됩니다. **거절은 위험을 없애는 선택이 아니라 판단을 개인정보위에 되돌려 주는 선택입니다.**
그래서 두 갈래는 이렇게 갈립니다. 권고 내용을 기간 안에 끝낼 수 있다면 수락이 낫습니다. 이행이 확인되는 한 과징금 부과 절차로 넘어갈 계기가 생기지 않습니다. 끝낼 수 없다면, 이행하지 못할 내용을 명령으로 바꿔 놓는 것보다 검사를 받는 편이 낫습니다. 판단의 축은 협조적으로 보이는지가 아니라 이행 가능성 하나입니다.
주의할 것은 제5항이 **수락하지 아니한 경우와 이행하지 아니한 경우를 나란히** 들고 있다는 점입니다. 수락한 뒤 이행하지 않아도 검사의 사유가 됩니다. 즉 수락으로 상황을 일단 넘기는 선택은 시간을 벌어 주지 못합니다. 검사는 그대로 열려 있고, 거기에 간주된 명령의 불이행이라는 사정이 하나 더 얹힐 뿐입니다.
## 점검 중에 고치면 어떻게 되나
2024년 6월 의결에 참고할 만한 장면이 있습니다. DeepL은 이용자가 무료 서비스에 입력한 정보를 AI 학습과 인적 검토에 쓰면서 그 사실을 명확하게 공개하지 않았습니다. 그런데 개인정보위는 별도의 개선권고를 하지 않기로 했습니다. 점검이 진행되는 동안 회사가 입력 화면에 안내를 넣고 인적 검토 사실을 처리방침에 반영했기 때문입니다.
같은 의결에서 뷰노는 위반 사항이 발견되지 않아 아무 조치도 받지 않았고, SKT는 점검 기간 중 국외이전 고지를 구체화하고 학습데이터 보관 기간을 단축한 사실이 결과에 함께 적혔습니다.
점검이 시작된 뒤에도 결과를 바꿀 구간이 남아 있다는 뜻입니다. 권고 문서를 받은 다음에 대응을 시작하면 그 구간은 이미 지나가 있습니다. 자료 요청이 오는 시점이 사실상의 출발선입니다.
## 이 트랙은 공개 기록에 거의 남지 않습니다 — 다만 전혀 없지는 않습니다
사전 실태점검의 결과는 제재 의결이 아니라 권고입니다. 그래서 결정문 게시판에 올라오는 것도 대부분 과징금·과태료 사건이고 권고 의결은 좀처럼 보이지 않습니다. 다만 **전혀 없지는 않습니다.** [본문이 공개된 제재 의결서 889건](/sanctions/)을 근거 조문으로 전수 검색하면 제63조의2 제2항을 든 의결이 세 건 나옵니다 — 딥시크(제2025-009-026호, 2025년 4월 23일), 한국교육학술정보원(제2025-011-028호, 2025년 5월 14일), 그리고 피심인이 비실명 처리된 한 건(제2024-010-184호, 2024년 6월 12일)입니다. 셋 다 과징금과 과태료 없이 시정권고·개선권고만 있고, 게시물에 미리보기 없이 PDF로만 올라와 있어 목록 검색으로는 잡히지 않습니다.
그래서 정확히 말하면 「의결서가 공개되지 않는다」가 아니라 **찾기 어렵게 공개된다**입니다. 위 표의 딥시크는 결정문이 있고, AI 디지털교과서와 집중관리시스템 38개 기관 건은 전체회의 심의·의결을 거쳤으나 아직 결정문으로 확인되지 않고 보도자료로만 남아 있습니다.
결정문이 나오지 않은 건에서 이 트랙을 확인할 수 있는 자료는 보도자료뿐이고, 그마저 점검 대상과 개선 내용을 요약하는 수준입니다. 어느 회사가 수락했고 어느 회사가 거절했는지, 각 건의 이행 기간을 얼마로 정했는지는 공개되지 않습니다. 그 기간은 권고를 받은 회사만 자기 문서에서 볼 수 있습니다.
다만 이행 여부는 나중에 따로 집계됩니다. 개인정보위는 2026년 5월 13일 제9회 전체회의에서 2025년 7월부터 12월까지 의결된 처분 중 이행 기간이 도래한 시정명령(권고)·개선권고·공표명령 222건을 점검해 211건(약 95.0%)이 이행되거나 이행계획이 제출됐다고 보고했습니다. 그 앞 회차인 2025년 12월 10일 제26회 전체회의에서는 2024년 10월부터 2025년 6월까지의 의결분 108건 중 103건(약 95.3%)이었습니다.
**사전 실태점검에서 나간 권고도 이 집계에 함께 들어갑니다.** 2025년 2월 소셜로그인 5개사와 6월 클라우드 3개사가 받은 개선권고는 2025년 12월 이행점검에서, 7월 슈퍼앱 5개사가 받은 개선권고는 2026년 5월 이행점검에서 모두 이행으로 확인됐습니다. 어느 회사가 무엇을 어떻게 고쳤는지가 회사 이름과 함께 보도자료에 적힙니다. **수락으로 끝나는 것이 아니라 이행점검이 뒤따르고, 그 결과가 공표된다는 뜻입니다.**
공표가 처분과 별개의 재량 판단이라는 점은 [과태료가 더 많은 쪽은 공표되지 않았습니다](/posts/pipc-result-publication-criteria/)에서 다뤘습니다.
## 10일 안에 확인할 것
- **근거 조문을 먼저 봅니다.** 제63조의2 제2항인지 제61조 제2항인지에 따라 수락의 의미가 달라집니다. 같은 점검에서 회사마다, 심지어 한 회사 안에서도 두 갈래가 함께 나올 수 있으므로 문서를 항목별로 봅니다.
- **문서에 적힌 이행 기간을 찾습니다.** 고시 제30조의4에 따라 시정방안에는 이행 기간이 포함됩니다. 수락하면 이 기간이 곧 명령의 이행 기한이 됩니다.
- **그 기간 안에 실제로 끝낼 수 있는지 검토합니다.** 이행 가능성이 판단의 중심이고, 협조적으로 보이는지는 중심이 아닙니다.
- **이행에 필요한 예산과 인력을 누가 승인하는지 확인합니다.** 수락 통지는 10일 안에 나가야 하는데 내부 결재가 그보다 오래 걸리는 경우가 많습니다. 10일은 검토 기간이 아니라 결재까지 끝내야 하는 기간입니다.
- **이행 결과 보고 일정을 같이 잡습니다.** 제63조의2 제3항은 이행 결과를 고시로 정하는 바에 따라 알리도록 하고 있고, 개인정보위 실무는 **60일 이내 보고**입니다. 그 뒤 이행점검이 따로 옵니다.
- **같은 업종의 최근 제재 보도자료를 확인합니다.** 그 업종 전반에 대한 점검 계획이 함께 적혀 있는 경우가 있습니다.
- **개인정보위가 매년 1월 발표하는 중점 조사 분야에 우리가 들어 있는지 봅니다.** 2026년은 여섯 분야가 명시됐고, 그중 하나가 M&A·파산·회생 과정의 개인정보 이전·파기입니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 자주 묻는 질문
### Q. 위반 혐의가 없는데도 개인정보위가 점검을 나올 수 있나요?
나올 수 있습니다. 개인정보 보호법 제63조의2 제1항은 제63조 제1항 각 호에 해당하지 아니하는 경우, 즉 위반 사항을 발견하거나 혐의를 알게 된 경우도 아니고 신고나 민원이 접수된 경우도 아닐 때를 전제로 합니다. 침해사고 발생의 위험성이 높고 취약점을 사전에 점검할 필요성이 인정되면 그것만으로 점검 대상이 됩니다. 개인정보위는 2024년 3월 대규모 언어모델 사업자 6곳과 6월 인공지능 응용서비스 4곳을 시작으로, 2025년에만 소셜로그인 5곳(2월), 딥시크(4월), AI 디지털교과서(5월), 클라우드 3곳(6월), 슈퍼앱 5곳(7월), 공공 집중관리시스템 57개·운영기관 38곳(11월)을 이 절차로 점검했습니다. 2026년에는 상조 분야 전반과 고객센터 상담업무 위탁 5개 분야가 진행 중입니다. 개인정보위는 2026년 1월 중점 조사 6대 분야로 대규모 개인정보처리자, 영상·생체 등 고위험 개인정보, 다크패턴 등 과잉수집, AI·블록체인, 공공부문, 기업결합·파산·회생 과정의 개인정보 이전·파기를 제시했고, 정기적 사전 실태점검을 위한 법적 근거 마련도 추진 과제로 밝혔습니다.
### Q. 사전 실태점검에서 받은 권고를 수락하면 무엇이 달라지나요?
지위가 달라집니다. 제63조의2 제4항은 시정권고를 수락한 때에는 제64조 제1항에 따른 시정조치 명령을 받은 것으로 본다고 정합니다. 수락하는 순간 권고를 받은 자가 아니라 시정조치 명령을 받은 자가 되고, 그 뒤의 불이행은 제75조 제2항 제27호가 정한 시정조치 명령 불이행의 문제가 됩니다. 2026년 9월 11일 시행된 개정법은 여기에 한 층을 더했습니다. 시정조치 명령에 따르지 아니하여 개인정보가 유출등이 된 경우를 전체 매출액 100분의 10 과징금 대상으로 새로 규정했기 때문입니다(개정 제64조의2 제2항 제3호, 법률 제21445호). 다만 두 갈래 모두 방아쇠는 수락이 아니라 불이행입니다. 그래서 판단의 중심은 이행 가능성입니다. 「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제30조의4에 따라 시정방안에는 수락하는 경우의 이행 기간이 포함되므로, 그 기간은 권고 문서 안에서 이미 확인할 수 있습니다.
### Q. 권고를 수락하지 않으면 어떻게 되나요?
제63조의2 제5항에 따라 개인정보위가 제63조 제2항의 검사를 할 수 있습니다. 사무소나 사업장에 출입해 업무 상황과 장부, 서류를 검사하는 절차입니다. 수락하지 않는 것 자체에 과태료가 붙지는 않지만, 점검이 검사로 성격을 바꾸는 결과가 됩니다. 검사에서 위반이 확인되면 그때부터는 사전 실태점검 트랙이 아니라 시정조치 명령·과징금·과태료·결과 공표가 가능한 일반 조사·처분 트랙입니다. 수락과 거절 중 어느 쪽이 유리한지는 권고 내용을 문서에 적힌 이행 기간 안에 실제로 끝낼 수 있는지에 따라 갈립니다.
## 참고 자료
- 조문은 [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 2025년 10월 2일 시행) 원문을 기준으로 했습니다. 제61조(의견제시 및 개선권고), 제63조(자료제출 요구 및 검사), 제63조의2(사전 실태점검), 제64조(시정조치 등), 제66조(결과의 공표), 제75조 제2항 제27호입니다.
- 2026년 9월 11일 시행된 개정법은 법률 제21445호입니다. 제64조의2 제2항 제3호가 신설된 반면 제63조의2의 문언은 이 개정으로 바뀌지 않았습니다.
- 사전 실태점검의 절차는 [개인정보 보호위원회의 조사 및 처분에 관한 규정](https://www.law.go.kr/행정규칙/개인정보보호위원회의조사및처분에관한규정)(개인정보보호위원회고시 제2023-9호, 2023년 10월 16일 시행)에 있습니다. 본문에 인용한 제30조의4(시정권고) 외에 제30조의2(합동 사전 실태점검), 제30조의3(시정권고안의 작성)이 같은 절에 있습니다.
- 사전 실태점검 사례는 개인정보보호위원회 보도자료를 근거로 했습니다. 「주요 인공지능(AI) 서비스 사전 실태점검 결과 발표」(2024년 3월 28일, 3월 27일 제6회 전체회의 의결), 「에이닷 등 인공지능(AI) 응용서비스 사전 실태점검 결과 발표」(2024년 6월 13일, 6월 12일 제10회 전체회의 의결), 「소셜로그인 실태점검 결과 발표」(2025년 2월 13일, 2월 12일 의결. 점검 기간은 2024년 4월부터 11월까지), 「딥시크 서비스 사전 실태점검 결과 발표」(2025년 4월 23일 제9회 전체회의 의결), 「AI 디지털교과서 사전 실태점검 결과 발표」(2025년 5월 21일, 5월 14일 제11회 전체회의 의결), 「클라우드 분야 사전 실태점검 결과 발표」(2025년 6월 12일, 6월 11일 제13회 전체회의 의결), 「슈퍼앱 등 5개 주요앱 대상 개인정보 관리 사전 실태점검 실시」(2025년 7월 24일, 7월 23일 제16회 전체회의 의결), 공공분야 집중관리시스템 전수점검 결과(2025년 11월 20일 제23회 전체회의 의결), 고객센터 상담업무 위탁 사전 실태점검 착수(2026년 4월 6일)입니다.
- 이행 결과를 60일 이내에 보고하도록 하는 것은 위 딥시크·AI 디지털교과서 보도자료에 명시된 내용이고, 최소 2회 이상 이행점검은 딥시크 보도자료에 있습니다.
- 이행점검 수치는 「’25년 하반기 시정명령 등 이행점검 결과 발표」(2026년 5월 14일, 5월 13일 제9회 전체회의 보고)와 「’25년 상반기 시정명령 등 이행점검 결과 발표」(2025년 12월 11일, 12월 10일 제26회 전체회의 보고)에서 가져왔습니다. 각 회차의 모집단은 이행 기간이 도래한 처분이되 의결 시기로 구획되며, 앞의 것은 2025년 7월부터 12월까지의 의결분, 뒤의 것은 2024년 10월부터 2025년 6월까지의 의결분입니다. 슈퍼앱 5개사의 이행 확인은 앞의 보도자료에, 소셜로그인 5개사와 클라우드 3개사의 이행 확인은 뒤의 보도자료에 있습니다.
- 2년간 6회·18개 기업기관·처분 806건 중 24건(2.98%)이라는 수치는 국회 정무위원회 강민국 의원실이 개인정보위로부터 제출받은 「2023년~2025년 사전 실태점검 실시 내역」과 「조사·사전실태점검 처분 통계」를 인용한 2025년 10월 14일 보도입니다.
- 사전실태점검과와 예방조정심의관 신설은 2025년 12월 23일 국무회의 직제 의결입니다. 1관 1과와 17명(조사관 6명 포함) 확충이고, 그전까지 조사 인력은 4년 연속 31명이었습니다.
- 「2026년 개인정보 조사업무 추진 방향」은 2026년 1월 14일 제1회 전체회의에서 확정돼 1월 15일 발표됐습니다. 중점 조사 6대 분야, 정기적 사전 실태점검을 위한 법적 근거 마련, 시정명령 활용 범위 확장 및 시정명령 불이행 시 이행강제금 도입 검토가 여기에 있습니다. 이행강제금은 아직 법령이 아니라 추진 과제입니다.
- 에듀테크 7개 서비스 합동 점검은 2026년 5월 18일 개인정보위·교육부 예고분으로, 자세한 내용은 본문에서 링크한 아동·청소년 개인정보 보호법 글에 있습니다.
- 공공 집중관리시스템 건은 점검 대상 38개 기관 중 36개 기관이 시정권고를 받았다는 2025년 11월 발표를 따랐습니다. 2026년 5월 이행점검 보도자료는 같은 건을 「시정권고를 받은 38개 기관 중 33개 기관이 이행 및 계획 제출 완료」로 적고 있어 기관 수 표기가 서로 다릅니다.
- 업종별 점검 계획은 「개인정보 보호 법규 위반 ‘롯데카드’ 제재」(2026년 3월 12일)와 「개인정보 유출한 ‘보람상조’ 제재」(2026년 5월 14일) 보도자료에 적힌 내용입니다.
- 본문의 제63조의2 제2항 근거 의결 세 건은 이 사이트가 수집한 공개 결정문 전수(수집일 2026년 9월 10일)를 근거 조문으로 검색한 결과입니다. 🔴 2026년 9월 10일에 수집 범위를 넓히기 전에는 같은 검색이 「없음」으로 나왔습니다 — 세 건 모두 미리보기 없이 PDF로만 올라온 게시물이라 목록 검색에 걸리지 않았습니다.
---
# 개인정보위 과징금 취소소송, 법원은 어디서 위원회와 갈렸나 — 판결 18건 전수 검토
- URL: https://datalaw.kr/posts/pipc-sanction-court-divergence/
- 게시 2026-08-21 · 수정 2026-09-07 · 태그: 유출대응, 과징금제재, 개인정보보호법
- 요약: 개인정보보호위원회 제재 처분을 다툰 판결문 18건을 전부 읽고, 법원이 위원회와 다르게 판단한 지점만 골라 정리했습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923) 두 갈래뿐입니다. 그 두 갈래를 뺀 나머지, 곧 상소심이 진행 중인 사건은 1심·2심에서 전부 위원회가 이겼습니다. 다만 전부 기각된 판결 안에도 해설서의 규범력, 면제 사유의 존재, 구법 적용의 근거에 관해 위원회와 다른 판단이 들어 있고, 이 판시들은 소송보다 조사·의견진술 단계에서 먼저 쓰입니다.
> **핵심 요약**: 개인정보보호위원회 제재 처분에 대한 취소소송 판결문 18건을 전부 읽었습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778, 2023. 12. 28.)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923, 2023. 10. 12.) 두 갈래뿐입니다. 그 둘을 뺀 나머지 사건의 1심·2심 선고는 전부 위원회가 이겼습니다. 전부 기각된 판결 안에서도 법원은 위원회 해설서의 규범력을 부정했고, 삼성전자 사건에서 과징금 면제 사유가 존재한다고 인정했으며, 카카오페이 사건에서 구법상 정보통신서비스 제공자가 개인정보처리자에 포함된다는 위원회 해석의 근거가 부족하다고 봤습니다. 이 판시들은 소송이 아니라 조사·의견진술 단계에서 논거로 먼저 쓰입니다.
처분 통지를 받은 회사의 첫 회의에서 대표는 "다투면 뒤집히는가"를 묻습니다. 사건 목록과 심급별 결과는 [소송 전수 표](/sanctions/litigation/)에 따로 정리했고, 이 글은 법원이 위원회와 다르게 본 대목과 그 실무적 쓰임만 다룹니다.
## 개인정보위 처분을 다퉈서 이긴 회사가 있나
있지만 두 갈래뿐입니다. 개인정보위 집계로 2026년 7월 기준 취소소송 17건이 진행 중이고, 1심 선고가 난 사건은 전부 위원회가 이겼습니다. 구글(서울행정법원 2023구합55191, 2025. 1. 23., 과징금 692억 4,100만 원), 카카오(2024구합86789, 2026. 1. 15., 151억 4,196만 원), 골프존(2024구합83865, 2026. 2. 12., 75억 400만 원)이 모두 원고 패소였습니다.
사업자가 결론까지 이긴 사건은 둘입니다. 오픈마켓·온라인쇼핑몰 사건(서울행정법원 2021구합78848·2021구합79278, 2022. 7. 8.)에서 법원은 시정조치명령을 전부 취소했고 대법원 2023두54778 판결로 확정됐습니다. 위메프 사건(서울행정법원 2020구합59628, 2021. 11. 12.)에서 법원은 시정명령은 유지하고 과징금 부과처분만 취소했으며 대법원 2022두68923 판결로 확정됐습니다.
## 법원은 위원회 해설서를 어떻게 봤나
오픈마켓 사건에서 위원회는 입점 판매자가 플랫폼의 「개인정보취급자」라고 봤고, 그 근거로 KISA와 함께 낸 「개인정보의 기술적·관리적 보호조치 기준 해설서」를 들었습니다.
서울행정법원은 이 주장을 정면으로 배척했습니다. 법원은 "위 해설서는 피고 스스로가 발간한 해석을 담은 문서에 불과하므로, 이에 근거하여 법령에서 규정하는 내용과 달리 '개인정보취급자'의 범위를 확장할 수는 없다"고 했습니다. 항소심(서울고법 2022누54360·2022누54377)은 제공받은 '제3자'와 '개인정보취급자'는 양립할 수 없는 별개의 지위이고 판매자는 그 자체로 별개의 개인정보처리자라고 정리했습니다.
위원회가 처분 근거를 법령이 아니라 해설서·가이드라인에서 끌어온 사건이라면 여기서 출발하게 됩니다. 다만 골프존 사건에서 법원은 고시 제6조 제3항의 예측가능성이 위원회 해설서와 KISA 랜섬웨어 가이드로 보완된다고 했으므로, 해설서가 처분의 **직접 근거**인지 고시를 해석하는 보조 자료인지는 구분해야 합니다.
## 과징금 액수는 법원에서 줄어드나
위메프 사건이 액수를 문제 삼아 이긴 유일한 사건입니다. 위원회(방통위 처분 승계)는 관련 매출액을 쇼핑몰 전체 매출(직전 3개년 연평균 3,528억 원)로 잡았습니다. 법원은 노출된 개인정보 규모(이용자 20명)와 원인이 된 캐시 정책의 적용 기간에 비추어 액수가 지나치게 과다하고, "다른 정보통신서비스 제공자의 위반행위에 부과된 과징금액과도 균형을 잃었다"고 봤습니다. 대법원은 과징금이 박탈하려는 이득은 「적절한 보호조치를 하지 않은 개인정보를 자신의 영업을 위해 보유함으로써 얻은 이득」이고, 관련 매출액은 유출된 개인정보를 보유·관리하는 서비스를 기준으로 정해야 한다는 법리를 세웠습니다.
여기에 역설이 있습니다. 법원은 사업자가 얻어낸 이 법리를 이후 사건에서 위원회를 지지하는 근거로 썼습니다. 페이스북(2021구합57117)·메타(2023구합54259)·카카오(2024구합86789) 사건에서 법원은 개인정보를 보유·관리하는 것은 서비스 전체이므로 전체 매출이 관련 매출액이라고 판단했습니다. 골프존 사건에서는 시뮬레이터 판매 매출 1,650억 원까지 관련 매출액에 들어갔습니다.
## 전부 기각된 판결에서도 건질 것이 있나
삼성전자 사건(서울행정법원 2023구합84236, 2025. 11. 6.)이 대표적입니다. 위원회는 6차례 반복된 유출신고를 이유로 과징금 8억 7,558만 3천 원을 부과했습니다. 법원은 청구를 기각하면서도, 3차 신고 사건(온라인스토어, 유출 19명)에 관해서는 구 과징금 부과기준 제9조 제2항 제2호 나·다목(사소한 부주의, 유출 100명 미만)의 면제 사유가 존재한다고 명시적으로 인정했습니다. 결론이 유지된 이유는 면제가 위원회의 재량이고, 반복 유출 전력과 온라인스토어 매출(약 1,800억 원)을 고려하면 재량권 일탈이 아니라는 것이었습니다. 감경 사유의 구조는 [과징금 감경 사유 글](/posts/pipc-fine-mitigation-factors/)에서 따로 다뤘습니다.
카카오페이 사건(2025구합53645)에서는 근거법령이 문제됐습니다. 알리페이로의 정보 이전은 2018. 4. 27.부터 2024. 5. 21.까지 이어졌는데, 과징금 조항인 제28조의8은 2023. 9. 14.에 시행됐습니다. 위원회는 그 이전 구간을 구법상 「개인정보처리자」에 정보통신서비스 제공자가 포함된다는 전제에서 구법 제17조 제3항으로 의율했습니다. 법원은 "피고가 주장하는 것과 같이 구 법률상 개인정보처리자의 개념에 정보통신서비스 제공자가 포함된다고 해석할 명확한 근거도 부족하다"고 했습니다.
그런데도 처분은 유지됐습니다. 위반행위가 2023. 9. 14. 이후까지 계속됐고, 개정법 부칙 제8조 제2항(시행 당시 종료되지 않은 위반행위의 과징금은 신법에 따른다)이 적용된다는 이유였습니다. 뒤집어 읽으면, 위반행위가 2023. 9. 14. 이전에 **종료**된 사건이라면 결론이 달랐을 수 있습니다. 위원회가 구법 제17조 제3항으로 의율하려는 사건에서 이 1심 판단은 그대로 방어 논거가 됩니다.
## 법원이 일관되게 배척한 항변은 무엇인가
네 유형입니다. 첫째, "제휴사·웹사이트 운영자가 수집한 것이다"라는 항변입니다. 구글·메타 사건에서 법원은 광고도구를 설계하고 추적·수집·결합을 직접 수행한 플랫폼이 수집 주체라고 봤습니다. 둘째, "내부 식별번호라 개인정보가 아니다"라는 항변입니다. 카카오 사건에서 법원은 휴대전화번호·프로필명과 결합된 DB가 공개·판매된 이상 유출이라고 봤습니다.
셋째, "암호화해서 넘겼으니 업무위탁이다"라는 항변입니다. 카카오페이 사건에서 법원은 이익 귀속, 지배·관리권, 정보주체 영향을 종합해 제3자 제공이라고 판단했고, 위탁문서가 없고 수탁자를 공개하지 않은 점이 위탁 주장을 스스로 무너뜨렸다고 봤습니다. 넷째, "관련 매출액은 문제된 기능 부분만이다"라는 항변입니다. 앞서 본 대로 현행법 아래에서 한 번도 통하지 않았습니다. 법원은 형식이 아니라 실질적 처리 주체와 목적 결정자를 기준으로 봅니다.
## 이 판결들은 조사·처분 단계에서 어떻게 쓰이나
위 판시들은 소송보다 조사와 의견진술 단계에서 먼저 쓰입니다. 조사 단계에서는 위원회가 제시하는 위반 근거가 법령·고시인지 해설서인지를 자료 요청 답변부터 구분해 기록해 두는 것이 좋습니다.
의견진술서에는 두 가지를 넣어 두는 편이 좋습니다. 하나는 면제 사유입니다. 유출 규모·과실 정도·신고 경위를 조문 요건에 맞춰 적어 두면 처분 단계의 감경과 이후 다툼의 기초가 함께 마련됩니다. 다른 하나는 위반행위의 종료 시점입니다. 카카오페이 판결 뒤로는 위반이 2023. 9. 14. 이전에 끝났는지가 근거법령을 가르는 사실이 됐으므로, 언제 어떤 조치로 위반 상태가 끝났는지를 증빙과 함께 정리해야 합니다. 유출 사고라면 그 출발점은 [유출 72시간 대응](/guides/data-breach-response/)의 신고·통지 기록입니다.
반대로 위 네 유형의 항변은 의견진술 단계에서도 힘이 없습니다. 위원회가 같은 쟁점을 어떻게 판단해 왔는지는 [결정례 색인](/decisions/)에서, 처분 전수는 [제재 추적기](/sanctions/)에서 확인할 수 있습니다. 구체적 사안은 사실관계와 적용 조문에 따라 달라지므로 개별 검토가 필요합니다.
## 자주 묻는 질문
### Q. 개인정보위 처분을 취소소송으로 다퉈서 뒤집은 사례가 있나요?
두 갈래입니다. 오픈마켓·온라인쇼핑몰 사건에서는 입점 판매자가 개인정보취급자가 아니라는 이유로 시정조치명령이 전부 취소되어 대법원에서 확정됐습니다(2023두54778). 위메프 사건에서는 과징금이 비례원칙에 반한다는 이유로 과징금 부과처분만 취소됐습니다(대법원 2022두68923). 그 둘을 뺀 나머지 사건은 1심·2심에서 전부 위원회가 이겼고 대부분 항소심이 진행 중입니다.
### Q. 개인정보위 해설서를 지키지 않았다는 이유로 처분할 수 있나요?
법원은 해설서 자체에는 규범력이 없다고 봤습니다. 오픈마켓 사건에서 서울행정법원은 보호조치 기준 해설서를 피고 스스로가 발간한 해석을 담은 문서에 불과하다고 보고, 법령과 달리 개인정보취급자의 범위를 넓힐 수 없다고 판단했습니다. 다만 골프존 사건에서는 고시의 예측가능성을 보완하는 자료로 해설서를 인정했으므로, 해설서가 처분의 직접 근거인지 보조 자료인지를 구분해야 합니다.
### Q. 과징금 액수는 법원에서 줄어드나요?
2021년 이후 처분 사건에서 액수가 줄어든 예는 없습니다. 위메프 사건에서 대법원이 「보호조치 없이 보유한 개인정보로 얻은 이득」을 기준으로 관련 매출액을 정하라는 법리를 세웠지만, 이후 페이스북·메타·카카오 사건에서 법원은 같은 법리로 서비스 전체 매출을 관련 매출액으로 인정했습니다. 삼성전자 사건에서는 법원이 면제 사유의 존재를 인정하고도 면제는 위원회 재량이라며 액수를 그대로 뒀습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [대법원 2023. 10. 12. 선고 2022두68923 판결](https://www.law.go.kr/판례/(2022두68923)) — 국가법령정보센터 (위메프 — 과징금 부과처분 취소, 관련 매출액 법리)
- 대법원 2023. 12. 28. 선고 2023두54778 판결 — 오픈마켓·온라인쇼핑몰 시정조치명령 취소 확정. 하급심은 서울행정법원 2022. 7. 8. 선고 2021구합78848·2021구합79278 판결
- 서울행정법원 2025. 1. 23. 선고 2023구합55191 판결(구글), 2026. 1. 15. 선고 2024구합86789 판결(카카오), 2026. 2. 12. 선고 2024구합83865 판결(골프존), 2021. 11. 12. 선고 2020구합59628 판결(위메프) 등 — 본문에 인용한 판결은 판결문 전문 기준
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제64조의2(과징금의 부과) — 국가법령정보센터
---
# 본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다 — 새 특례로 걷히는 조문과 그대로 남는 국외이전
- URL: https://datalaw.kr/posts/ai-development-exception-waived-provisions/
- 게시 2026-08-20 · 수정 2026-09-11 · 태그: AI규제, 국외이전, 개인정보보호법, 스타트업실무
- 요약: 2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다. 실무에서 중요한 것은 특례를 받으면 무엇이 걷히느냐인데, 적용 제외 목록을 정한 제28조의15는 국외 이전 조항을 '처리위탁하는 경우에 한정한다'고 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 그대로 남습니다.
> **핵심 요약**. 2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, **2027년 3월 9일 시행**)이 **인공지능기술 개발을 위한 개인정보 처리의 특례**를 신설했습니다. 요건 세 가지를 모두 갖추고 **보호위원회의 심의·의결**을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다(제28조의12 제1항). 실무에서 갈리는 지점은 특례를 받으면 **무엇이 걷히느냐**입니다. 적용 제외 목록을 정한 **제28조의15**는 민감정보·고유식별정보·주민등록번호 조항까지 넣었지만, 국외 이전 조항인 제28조의8은 **"개인정보를 국외로 처리위탁하는 경우에 한정한다"고** 괄호로 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 남습니다.
외국계 회사의 한국 법인에서 반복되는 상황이 있습니다. 본사가 글로벌 모델을 학습시키면서 한국 이용자 데이터도 쓰겠다고 통보하고, 한국 법인은 그것이 가능한지 확인해 달라는 요청을 받습니다.
지금까지 답은 대체로 부정적이었습니다. 적법하게 수집한 개인정보라도 다른 목적으로 쓰려면 별도 동의를 받거나 법률상 근거가 있어야 하고, 그렇지 않으면 가명·익명 처리를 거쳐야 했기 때문입니다. 이번 개정으로 세 번째 길이 생겼습니다. 다만 **그 길이 어디까지 뚫려 있는지**가 이 글의 주제입니다.
## 무엇이 통과됐나
개정법은 제3장에 제5절을 신설해 **제28조의12부터 제28조의15까지** 네 개 조문을 넣었습니다. 「인공지능기술」의 뜻은 제2조에 제9호를 신설해 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제2조 제3호를 그대로 가져왔습니다. AI기본법상 사업자 의무는 [별도의 글](/posts/ai-basic-law-business-duties/)에서 다뤘습니다.
절차는 이렇습니다. 민병덕 의원안(2025년 1월 31일)과 고동진 의원안(2025년 3월 13일)을 정무위원회가 통합·조정해 위원회 대안으로 제안했고(2026년 7월 29일), 법제사법위원회를 거쳐 8월 20일 본회의에서 원안가결됐고, 2026년 9월 8일 법률 제21910호로 공포됐습니다.
⚠️ **공포됐고, 시행은 2027년 3월 9일입니다.** 부칙이 「이 법은 공포 후 6개월이 경과한 날부터 시행한다」고 정했습니다. 조문 번호는 의안 원문 그대로 확정됐으므로, 이 글의 제28조의12부터 제28조의15까지는 확정 조문으로 읽으시면 됩니다. 다만 요건과 절차의 상당 부분을 정할 대통령령은 아직 만들어지지 않았습니다. 따라서 시행 전인 지금은 이 조문들을 진행 중인 개인정보 처리의 적법근거로 쓸 수 없습니다.
## 요건은 세 개이고, 전부 갖춰야 합니다
제28조의12 제1항은 요건을 셋으로 나눴습니다.
**첫째, 익명 또는 가명으로는 개발이 어려울 것.** 조문은 "영상, 음성, 이미지, 부호 및 문자 등 처리되는 정보의 특성, 인공지능기술 개발과의 관련성 등을 고려하였을 때"라는 판단 기준을 붙였습니다. 정보의 종류와 개발과의 관련성을 함께 본다는 뜻이므로, **"가명처리하면 성능이 떨어진다"는 일반론만으로는 부족**할 가능성이 큽니다. 어떤 정보의 어떤 특성이 왜 필요한지가 소명 자료의 뼈대가 됩니다.
**둘째, 안전장치.** 기술적·관리적·물리적 조치가 된 환경에서 처리하거나 클라우드 환경 등 개별 상황에 따른 추가 안전조치를 이행하는 등 **대통령령으로 정하는 기준**을 따라야 합니다. 기준 자체가 아직 없습니다.
**셋째, 목적과 침해 우려.** 개발 목적이 ⓐ 공공의 이익 증진이거나 ⓑ 정보주체 또는 제3자의 이익 보호·사회적 이익 증진에 해당하면서, **정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 현저히 낮아야** 합니다.
요건을 갖췄다고 바로 쓸 수 있는 것이 아닙니다. 같은 조 제2항이 **보호위원회의 심의·의결**을 요구하고, 위원회는 그 과정에서 **조건을 붙일 수 있습니다.** 조건부 의결이 가능하다는 것은 실무적으로 중요합니다 — 신청한 범위 그대로 나오지 않을 수 있다는 뜻이기 때문입니다.
## 이 특례의 알맹이는 제28조의15입니다
「목적 외 이용이 가능해졌다」는 문장만 보면 이 제도의 크기를 잘못 잽니다. 실제 효과는 **적용 제외 목록**에 있습니다.
제28조의15는 특례로 개인정보를 이용하는 경우 **그 범위 안에서 보호위원회의 심의·의결을 거쳐** 다음 조문을 적용하지 않을 수 있도록 했습니다.
| 조문 | 내용 |
|---|---|
| 제18조 ~ 제20조 | 목적 외 이용·제공 제한, 제공받은 자의 이용·제공 제한, 수집 출처 등 통지 |
| 제20조의2 | 이용·제공 내역의 통지 |
| **제23조** | **민감정보의 처리 제한** |
| **제24조 · 제24조의2** | **고유식별정보 · 주민등록번호 처리 제한** |
| 제25조 · 제25조의2 | 고정형 · 이동형 영상정보처리기기 |
| **제28조의8** | **국외 이전 — 단, "개인정보를 국외로 처리위탁하는 경우에 한정한다"** |
두 가지를 짚어야 합니다.
**하나, 자동으로 걷히지 않습니다.** 조문은 "그 범위 안에서 … 적용하지 아니할 수 **있다**"로 되어 있습니다. 위원회가 심의·의결로 정한 범위가 곧 면제 범위입니다.
**둘, 국외이전은 반쪽만 걷힙니다.** 이 괄호가 이 글의 출발점이자 결론입니다. 제28조의8이 목록에 있지만 **처리위탁 유형에 한정**되므로, 국외 이전의 다른 유형은 특례를 받아도 그대로 남습니다.
## 본사 구조에 그대로 대입해 보면
같은 「본사가 한국 데이터로 학습한다」도 계약 구조에 따라 결론이 갈립니다.
- **본사가 한국 법인의 수탁자 지위에서 처리하는 구조** — 특례 범위 안에서 제28조의8 적용을 배제받을 여지가 있습니다.
- **본사가 데이터를 넘겨받아 자기 목적으로 쓰는 구조** — 처리위탁이 아니므로 특례와 **별개로** 국외이전 근거를 갖춰야 합니다.
그런데 본사가 보내오는 계약서는 대개 이 구별을 한국법 기준으로 하지 않습니다. 글로벌 DPA가 controller/processor 이분법으로 쓰여 있고 한국법의 자리와 어긋나는 문제는 [본사 DPA가 우리를 processor로 적어 왔습니다](/posts/global-dpa-korea-transfer-contract-gap/)에서, 계약에 반드시 들어가야 하는 한국법 항목은 [본사가 보내온 글로벌 DPA에 서명했습니다](/posts/global-dpa-korea-transfer-contract-gap/)에서 다뤘습니다.
📌 **실무 순서가 뒤집힙니다.** 특례 신청을 먼저 준비하는 것이 아니라, **데이터가 국경을 넘는 구조가 처리위탁인지 먼저 확정**한 다음에 특례로 무엇을 덜어낼 수 있는지 따지는 편이 맞습니다.
## 받은 뒤에 더 조심할 것 — 6개월과 공개
심의·의결을 받았다고 끝이 아닙니다.
**제28조의13**은 보호위원회가 심의·의결 사항의 이행 여부를 **주기적으로 관리·감독**하도록 하고, 필요한 범위에서 자료 제출을 요구할 수 있게 했습니다. 요구받은 자는 특별한 사정이 없으면 따라야 합니다.
**제28조의14 제1항**은 다섯 가지 사유가 있으면 위원회가 **개인정보 처리의 전부를 제한**하도록 했습니다. 거짓·부정한 방법으로 심의·의결을 받은 경우, 요건을 충족하지 못한 경우, 위원회가 붙인 조건을 충족하지 못한 경우, **심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 처리를 시작하지 않은 경우**, 중대한 사정 변경으로 목적 달성이 명백히 불가능한 경우입니다.
🔴 **네 번째 사유를 일정 관리 항목으로 옮겨 적어야 합니다.** 조문이 "제한하여야 한다"로 되어 있어 재량의 폭이 좁습니다. 심의를 미리 받아 두고 개발 착수를 미루는 방식은 이 조항에 걸립니다.
이 다섯 사유를 인수·투자 실사의 확인 항목으로 옮기면 무엇을 받아 보아야 하는지는 [대상회사가 AI 학습은 새 특례로 해결된다고 답합니다](/posts/scraped-data-asset-due-diligence/)에서 따로 다뤘습니다.
그리고 **공개**가 따라옵니다. 제28조의12 제5항은 이용 목적과 유형을 **개인정보 처리방침**에 포함하도록 했고, 같은 조 제6항은 보호위원회가 **심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과 요약**을 홈페이지 등에 공개하도록 했습니다. 어떤 회사가 어떤 데이터로 무엇을 개발하려 하는지가 외부에 드러납니다. 처리방침의 기재와 실제 처리가 어긋날 때 어떻게 읽히는지는 [자동 생성한 개인정보 처리방침](/posts/autogenerated-privacy-policy-mismatch/)에서 정리했습니다.
## 지금 준비할 수 있는 것
시행까지 시간이 남았고 대통령령·고시가 아직 없습니다. 그래도 지금 할 수 있는 일이 있습니다.
1. **국경을 넘는 구조부터 확정한다.** 처리위탁인지 아닌지가 특례의 실익을 가릅니다.
2. **「가명처리로는 안 되는 이유」를 데이터 종류별로 적어 둔다.** 나중에 소명 자료의 초안이 됩니다.
3. **개발 착수 시점을 심의 신청 시점과 붙여서 잡는다.** 6개월 조항 때문입니다.
4. **공개될 것을 전제로 신청 범위를 설계한다.** 요청자와 주요 내용이 공개됩니다.
5. **하위법령을 기다린다.** 안전장치 기준, 위험요인평가 대상, 간소화 대상이 전부 대통령령·고시에 걸려 있습니다.
9월 11일 시행된 개정법의 나머지 일정은 [2026년 개정 개인정보 보호법 가이드](/guides/pipa-2026-amendment/)에 날짜별로 정리해 두었습니다.
## 자주 묻는 질문
### Q. AI 학습 특례를 받으면 정보주체 동의 없이 개인정보를 쓸 수 있나요?
심의·의결을 거친 범위에서 당초 수집 목적 외로 이용할 수 있습니다. 다만 요건 세 가지를 모두 갖춰야 합니다. 익명 또는 가명으로 처리해서는 개발이 어려울 것, 대통령령으로 정하는 기준에 따른 안전장치를 마련했을 것, 개발 목적이 공공의 이익 증진이거나 정보주체·제3자의 이익 보호 또는 사회적 이익 증진에 해당하면서 정보주체나 제3자의 이익을 부당하게 침해할 우려가 현저히 낮을 것입니다(제28조의12 제1항). 요건을 갖췄다고 곧바로 쓸 수 있는 것이 아니라 보호위원회의 심의·의결이 별도로 필요합니다.
### Q. 특례를 받으면 민감정보나 주민등록번호도 학습에 쓸 수 있나요?
제28조의15는 심의·의결을 거쳐 그 범위 안에서 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2를 적용하지 않을 수 있도록 했습니다. 민감정보(제23조)·고유식별정보(제24조)·주민등록번호(제24조의2) 조항이 목록에 들어 있습니다. 다만 자동으로 걷히는 것이 아니라 위원회가 심의·의결로 정한 범위 안에서만이고, 민감정보나 고유식별정보를 처리하는 경우에는 심의 전에 위험요인평가를 받게 될 수 있습니다(제28조의12 제3항).
### Q. 국외이전 규율도 특례로 면제되나요?
일부만입니다. 제28조의15는 제28조의8을 목록에 넣으면서 '개인정보를 국외로 처리위탁하는 경우에 한정한다'는 괄호를 달았습니다. 국외 이전 중 처리위탁 유형만 적용 제외 대상이고, 그 밖의 유형은 특례를 받아도 제28조의8이 그대로 적용됩니다. 본사가 데이터를 넘겨받아 자기 목적으로 쓰는 구조라면 특례와 별개로 국외이전 근거를 따로 갖춰야 합니다.
### Q. 심의·의결을 받아두고 나중에 시작해도 되나요?
안 됩니다. 제28조의14 제1항 제4호는 심의·의결을 받은 날부터 6개월 이내에 특별한 사유 없이 개인정보 처리를 시작하지 않으면 보호위원회가 처리의 전부를 제한하도록 정했습니다. 조문이 '제한하여야 한다'로 되어 있어 재량의 여지가 좁습니다. 심의를 미리 받아 두고 개발 착수를 미루는 전략은 이 조항에 걸립니다.
### Q. 특례를 쓰면 우리가 무슨 AI를 개발하는지 공개되나요?
네. 제28조의12 제6항은 보호위원회가 심의·의결한 때에 심의·의결을 요청한 자와 그 주요 내용, 위험요인평가 결과를 요약한 내용을 인터넷 홈페이지 등에 공개하도록 했습니다. 같은 조 제5항에 따라 개인정보처리자 자신도 이용 목적과 유형을 개인정보 처리방침에 포함해야 합니다. 개발 계획의 공개 범위를 사업 판단에 미리 반영해야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
이 글은 2026년 9월 8일 공포된 **법률 제21910호**의 조문을 기준으로 작성했습니다. 시행일은 2027년 3월 9일이고, 실제 적용은 대통령령과 고시가 정해진 뒤에야 윤곽이 잡힙니다. **구체적인 사안에 대해서는 개별적인 검토가 필요합니다.**
---
## 참고 자료
- 개인정보 보호법 일부개정법률(법률 제21910호) — 2026. 8. 20. 국회 본회의 통과(정무위원장 대안, 의안번호 2220246), 2026. 9. 8. 공포, 2027. 3. 9. 시행. 제28조의12부터 제28조의15까지를 공포된 법률 원문으로 대조
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제18조부터 제20조까지, 제20조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제28조의8 — 적용 제외 목록이 가리키는 현행 조문 — 국가법령정보센터
---
# 적법하게 수집한 주민등록번호를 로그에 남겼습니다 — 그것이 왜 별개의 위반인가
- URL: https://datalaw.kr/posts/resident-number-in-logs-separate-violation/
- 게시 2026-08-16 · 수정 2026-09-02 · 태그: 유출대응, 과징금제재, 개인정보보호법
- 요약: 개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다.
> **핵심 요약** — 개인정보보호위원회는 2026년 3월 11일 제4회 전체회의에서 롯데카드에 과징금 96억 2,000만 원, 과태료 480만 원, 시정명령과 공표명령을 의결했습니다(사건번호 2025조일0053-01). 제재의 근거가 된 행위는 해킹을 당한 것이 아니라 **신용정보법령에 따라 적법하게 수집한 주민등록번호를 온라인 결제 로그파일에 약 7년간 평문으로 기록·저장한 처리 행위**입니다(개인정보 보호법 제24조의2 제1항). 위원회는 **수집 근거가 있어도 그 범위를 넘는 처리는 위반**이고, **정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다**고 판단했습니다. 암호화를 하루 한 번 일괄 수행한 것도 같은 조 제2항 위반으로 과태료 대상이 됐습니다.
주민등록번호를 다루는 회사에서 법무 검토는 대개 수집 단계에서 끝납니다. 근거 법령이 있는지, 동의를 받았는지를 확인하고 나면 그다음은 개발과 운영의 영역으로 넘어갑니다. 2026년 3월 의결된 롯데카드 사건은 그 지점을 정면으로 다룹니다. 수집은 적법했지만, 그 번호가 로그에 남은 것이 96억 원짜리 위반이 됐습니다.
## 무슨 일이 있었나
실태조사가 아니라 사고 조사입니다. 금융당국이 2025년 9월 롯데카드의 개인신용정보 누설 신고 사실을 위원회에 알렸고, 위원회는 9월 22일부터 12월 23일까지 조사했습니다.
해커는 2025년 8월 12일 온라인 결제 서비스 서버에 웹셸을 설치하고, 14일부터 28일까지 로그파일을 외부로 전송했습니다. 침입 경로는 이미 종료된 결제 중계 서비스였습니다. 서비스가 종료되면서 자산 식별 목록에서 빠졌고, 그 서버의 웹 애플리케이션에는 2017년에 패치가 배포된 웹로직 취약점이 그대로 남아 있었습니다. 보안장비의 정책도 그 도메인에는 적용되지 않아 웹셸이 탐지되지 않았습니다. 로그에 기록돼 있던 이용자 약 297만 명의 개인정보가 유출됐고, 그중 약 45만 명은 주민등록번호까지 함께 나갔습니다.
정작 위원회가 위반으로 본 것은 그 앞의 상태입니다. 롯데카드는 이용자가 온라인 결제 서비스에 카드를 등록할 때 승인계 데이터베이스와 계정계 데이터베이스에서 각각 주민등록번호를 불러와 일치 여부를 대조했고, 그 통신 내용을 로그파일에 그대로 적었습니다. 마스킹도 값 암호화도 없는 13자리 전체였습니다. 코드 기록으로 확인된 시점만 2018년 6월이니 최소 7년입니다. 파일 암호화는 하루 한 번, 매일 오전 3시에 일괄로 이루어졌으므로 로그는 24시간에서 48시간 동안 평문으로 서버에 남아 있었습니다.
## 처분은 무엇이었나
| 처분 | 근거 조문 | 내용 |
|---|---|---|
| 과징금 96억 2,000만 원 | 제24조의2 제1항 위반 · 제64조의2 제1항 제4호 | 법적 근거 없는 주민등록번호 처리 |
| 과태료 480만 원 | 제24조의2 제2항 위반 · 제75조 제2항 제8호 | 암호화 조치 미이행 |
| 시정명령 | 제64조 제1항 | 주민등록번호 처리 최소화, CPO 책임성·독립성 강화, 내부 검토·의사결정의 체계적 관리 (90일 내 이행결과 제출) |
| 공표명령 | 제66조 제2항 | 홈페이지 초기화면 팝업에 전체화면 6분의 1 크기로 5일 이상 게시 |
같은 조의 제1항과 제2항 위반인데 하나는 과징금, 다른 하나는 과태료입니다. 제1항 위반에 대해서는 과징금을 부과했으므로 법 제76조의 특례에 따라 과태료를 따로 부과하지 않았고, 암호화 의무인 제2항 위반에만 과태료가 붙었습니다. 시정명령 중 CPO 관련 부분이 무엇을 뜻하는지는 [별도 글](/posts/foreign-subsidiary-cpo-designation/)에서 다뤘습니다.
또 하나 눈여겨볼 것은 기관 사이의 역할 분담입니다. 위원회는 보도자료에서 같은 사고를 두고 금융당국은 신용정보법상 안전조치의무를, 개인정보위는 보호법상 주민등록번호 처리를 각각 조사했다고 밝혔습니다. 개인신용정보에 관하여는 신용정보법이 우선 적용되지만, 신용정보법에 규정되지 않은 처리에는 보호법이 적용된다는 것이 그 근거입니다. 금융회사라고 해서 보호법 제24조의2의 적용을 벗어나지 않습니다.
## 위원회는 왜 그렇게 판단했나
**수집 근거와 처리 범위는 층이 다릅니다.** 롯데카드는 신용정보법 시행령 제37조의2 제4항이 금융거래를 위해 불가피한 경우 개인식별번호를 수집·처리할 수 있게 하고 있으므로 적법하다고 주장했습니다. 위원회는 이 주장을 받아들이지 않았습니다. 회사가 든 처리 목적은 주민등록번호 변경으로 생긴 오류에 대한 민원 대응인데, 위원회는 그것이 회사가 임의로 구성한 시스템에서 발생한 오류의 원인을 확인하는 과정일 뿐 '금융거래'와 직접 관련된다고 보기 어렵다고 판단했습니다.
**대체 수단이 있으면 '불가피한' 처리가 아닙니다.** 위원회는 CI 값이 주민등록번호를 일방향 암호화한 값이므로 그것만으로 불일치를 확인할 수 있고, 불일치 사실을 오류코드로 남기는 방법도 있으며, 민원이 들어오면 데이터베이스를 조회해도 된다고 짚었습니다. 조사 과정에서 회사의 민원 담당자도 로그의 주민등록번호가 반드시 필요한 것은 아니라는 취지로 답했습니다. 사고 직후 회사가 로그에 주민등록번호가 남지 않도록 설정을 바꾼 사실도 '불가피하지 않았다'는 근거로 쓰였습니다.
**동의는 근거가 되지 않습니다.** 회사는 수집 동의서에 이용 목적으로 '민원 처리'를 적어 두었다고 주장했지만, 위원회는 정보주체의 동의가 제24조의2 제1항의 처리 요건에 해당하지 않는다고 밝혔습니다. 주민등록번호는 동의로 열리는 항목이 아닙니다.
**업계 관행과 기술적 제약은 항변이 되지 못했습니다.** 일 배치 암호화가 업권에서 일반적이라는 주장에 대해 위원회는, 로그파일에는 개인정보를 남기지 않는 것이 일반적이므로 주민등록번호가 들어 있는 로그에 일반 로그와 같은 기준을 적용할 수 없다고 판단했습니다. 조사관이 다른 카드사를 확인한 결과 로그에 주민등록번호를 저장·조회하지 않는 것으로 나타났다는 점, 15년 경력의 CPO조차 이전 직장에서 그런 방식을 본 적이 없다고 진술한 점이 결정문에 함께 적혀 있습니다.
**중대성은 '보통'이라는 주장이 배척됐습니다.** 회사는 영리 목적이 없었고 자진 시정했으며 ISMS-P 인증도 보유하고 있다는 이유로 보통 위반행위라고 주장했습니다. 위원회의 판정은 고의·과실 '중', 위반행위의 방법 '중', 처리하는 개인정보의 유형 '상', 피해 규모와 영향 '상'이었고, 고려사항 중 둘 이상이 높은 수준이면 그 수준을 적용하는 기준에 따라 '매우 중대한 위반행위'가 됐습니다. 법 준수 검토가 아예 없었던 점과 개인정보 처리에 관한 검토 이력이 관리되지 않은 점이 '위반행위의 방법'에 반영됐습니다.
회사의 다섯 가지 주장 중 완전히 받아들여진 것은 없고, 관련 없는 매출액의 제외와 감경 사유 두 가지가 일부 수용됐습니다. 1차 조정에서 위반기간 2년 초과로 100분의 50이 가중되고 이득이 없었던 점으로 100분의 30이 감경됐으며, 2차 조정에서 자진 시정·조사 협력·ISMS-P 인증을 함께 고려해 100분의 20이 감경됐습니다. 산정 구조 자체와 다른 사건의 감경률은 [과징금 산정과 감경 사유를 다룬 글](/posts/pipc-fine-mitigation-factors/)에 정리해 두었고, 공개된 결정문에서 확인되는 조정률은 [산정 근거 표](/decisions/)에서 사건별로 볼 수 있습니다.
## 실무에 무엇이 남나
**수집 근거를 확인했다면 다음은 '어디에 남는가'입니다.** 주민등록번호를 법령 근거로 처리하는 회사라면 원본 데이터베이스만 관리 대상이 아닙니다. 애플리케이션 로그, 디버그 출력, 모니터링 지표, 데이터 웨어하우스와 분석용 사본, 배치 처리의 중간 파일까지 그 번호가 흘러 들어가는 경로 전체가 제24조의2 제1항의 적용을 받습니다. 이 사건에서 위반 대상이 된 정보주체는 약 700만 명으로, 실제 유출된 45만 명보다 훨씬 많습니다. 유출되지 않아도 처리 자체가 위반이기 때문입니다.
**'왜 이렇게 하고 있는지' 설명할 수 있어야 합니다.** 이 사건에서 회사는 로그에 주민등록번호를 남기기 시작한 시점도, 그 사유와 적법성 검토 내역도 제시하지 못했습니다. 그 부재가 중대성 판정을 올렸습니다. 개인정보를 다루는 설계 결정에 대해 언제 누가 무엇을 검토했는지 남기는 것은 형식이 아니라 처분의 크기를 바꾸는 기록입니다.
**관행은 방어가 되지 않지만, 대체 수단의 존재는 공격이 됩니다.** 위원회는 회사가 주민등록번호 없이도 업무를 수행할 수 있었다는 점을 위법성 판단의 핵심 근거로 삼았습니다. 뒤집어 보면 식별자를 최소화하는 설계는 사고가 났을 때 처분의 범위를 좁히는 장치이기도 합니다. 지금 CI나 내부 고객번호로 대체할 수 있는 자리에 주민등록번호가 들어가 있다면, 그 자리가 다음 조사의 시작점이 됩니다.
**같은 사고에서 규제기관이 둘일 수 있습니다.** 금융·의료처럼 개별법이 있는 분야에서는 개별법상 안전조치 검사와 보호법상 처리 위반 조사가 나란히 진행될 수 있습니다. 한쪽 대응을 마쳤다고 해서 끝난 것이 아닙니다. 유출을 인지한 시점부터의 절차는 [72시간 안에 해야 할 일](/guides/data-breach-response/)에 정리해 두었습니다.
위원회는 이 사건을 계기로 금융분야 사업자의 주민등록번호 처리 관행에 대한 사전 실태점검을 추진하겠다고 밝혔습니다. 사고가 없어도 같은 질문을 받을 수 있다는 뜻입니다.
위원회는 2026년 8월 27일 그 결과를 공개했습니다. 4월 1일부터 은행, 생명보험, 손해보험, 신용카드, 저축은행, 증권 여섯 분야 220개사를 점검한 결과입니다. 위원회가 들여다본 자리는 금융거래 자체가 아니라 회원정보 관리나 계정관리 같은 일반 업무였습니다. 위원회는 금융거래 없이 온라인 서비스에 회원가입할 때, 아이디를 찾거나 비밀번호를 재설정할 때, 민간인증서를 등록하거나 연계할 때 주민등록번호를 요구하는 것을 법령상 근거가 없는 처리 사례로 꼽았습니다. 그리고 이렇게 확인한 사례를 모두 개선하였다고 밝혔습니다.
민간인증서 대목에서 위원회가 든 논거는 이 글이 앞서 본 판단 구조와 겹칩니다. 위원회는 민간인증서가 연계정보(CI)를 기반으로 동작하므로 주민등록번호가 반드시 필요하다고 보기 어렵다고 했습니다. 대체 수단이 있으면 불가피한 처리가 아니라고 본 제재 사건과 같은 논법입니다. 다만 이번에는 위원회가 그 판단을 처분이 아니라 개선으로 마무리했습니다. 사전 실태점검에서는 사업자가 스스로 조치를 완료하면 위원회가 별도 처분 없이 점검을 종결하기 때문인데, 같은 기준이 제재 사례로 남지 않는 자리에서도 이미 적용되고 있는 셈입니다. 회사로서는 금융거래와 무관한 화면에서 주민등록번호를 받고 있지 않은지 먼저 확인해 볼 일입니다.
**선례 확인** — 주민등록번호 처리 제한(보호법 제24조의2) 위반으로 실제 부과된 처분은 [주민등록번호 처리 제한 위반 과징금 사례](/sanctions/article-24-2/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다. 같은 조문이 **어떤 행위에서** 인정돼 왔는지는 결정문 「위법성 판단」 절의 표제를 모은 [위반행위 층](/violations/)에 유형별로 정리돼 있습니다(과징금 부과 건 기준).
## 자주 묻는 질문
### Q. 법령에 근거해 수집한 주민등록번호는 회사 내부에서 자유롭게 쓸 수 있나요?
아닙니다. 개인정보 보호법 제24조의2 제1항은 법령이 구체적으로 요구하거나 허용한 경우 등에만 주민등록번호를 처리할 수 있다고 정합니다. 수집이 적법했다는 것과 그 이후의 처리가 허용 범위 안에 있다는 것은 별개입니다. 롯데카드 사건에서 위원회는 신용정보법령에 따라 금융거래 목적으로 수집한 주민등록번호라도, 그것을 민원 대응을 위해 로그파일에 기록·저장하고 조회한 행위는 허용 범위를 벗어난 처리로서 제24조의2 제1항 위반이라고 판단했습니다.
### Q. 개인정보 수집 동의서에 '민원 처리'를 목적으로 적어 두었다면 근거가 되나요?
되지 않습니다. 위원회는 정보주체의 동의가 제24조의2 제1항이 정한 주민등록번호 처리 요건에 해당하지 않는다고 명시했습니다. 다른 개인정보와 달리 주민등록번호는 동의로 처리할 수 있는 항목이 아니고, 법령의 구체적 근거나 급박한 생명·신체·재산의 이익 등 법이 열거한 경우에만 처리가 허용됩니다.
### Q. 로그 암호화를 하루 한 번 일괄로 하는 것은 업계에서 일반적인데도 문제가 되나요?
롯데카드는 일 배치 방식의 암호화가 동종·유사 업권에서 일반적이라고 주장했지만 위원회는 받아들이지 않았습니다. 로그파일에는 개인정보를 기록하지 않는 것이 일반적이므로, 주민등록번호가 들어 있는 로그에 일반 로그와 같은 암호화 기준을 적용할 수 없다는 이유였습니다. 값 단위 암호화나 마스킹 없이 13자리 전체를 평문으로 남긴 점, 24~48시간 동안 파일 암호화가 되지 않은 점, 복호화 프로그램이 같은 서버에 있어 암호화된 파일까지 유출된 점도 함께 지적됐습니다.
---
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- 개인정보보호위원회 2026년 3월 11일 제4회 전체회의 의결, 사건번호 2025조일0053-01. 결정문은 안건번호 없이 공개돼 있습니다.
- 보도자료 「개인정보위, 개인정보 보호 법규 위반 '롯데카드' 제재」(2026년 3월 12일). 결정문은 피심인을 비실명으로 공개했으나 위원회가 보도자료로 상호를 공표했으므로 이 글은 그 출처에 따라 적었습니다.
- 보도자료 「개인정보위, 금융분야 불필요한 주민등록번호 처리 관행 개선」(2026년 8월 27일). 금융 6개 분야 220개사 사전 실태점검 결과입니다.
- 적용 법령은 행위 당시의 [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제19234호, 2023년 3월 14일 일부개정, 2025년 3월 13일 시행)과 [시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제35343호), 「개인정보보호 법규 위반에 대한 과징금 부과기준」(고시 제2023-3호, 현행판은 [개인정보 보호법 위반에 대한 과징금 부과기준](https://www.law.go.kr/행정규칙/개인정보보호법위반에대한과징금부과기준))입니다. 2026년 5월 19일 시행령 개정으로 매우 중대한 위반행위에 대한 감경 제한 규정이 신설됐으므로, 지금 같은 사안이 의결되면 감경 폭이 달라질 수 있습니다.
---
# 과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유
- URL: https://datalaw.kr/posts/pipc-fine-mitigation-factors/
- 게시 2026-08-15 · 수정 2026-09-13 · 태그: 유출대응, 과징금제재, 개인정보보호법
- 요약: 개인정보 보호법상 과징금은 유출 인원수가 아니라 '전체 매출액 × 중대성 × 조정'의 4단계 공식으로 정해집니다. 2026년 공개된 결정문 세 건(롯데카드·KS한국고용정보·듀오정보)을 보면 관련 없는 매출액 제외, 이득 없음(−30%), 중기업 해당(합산 −55%), 자진시정·협조·인증(−20~40%)이 실제로 금액을 깎았습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반'에는 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경 규정이 시행되고, 2026년 9월 10일 공포된 시행령이 그 감경을 기준금액의 40% 이내 독립 단계로 두었습니다. 조사 단계에서 무엇을 다투고 무엇을 입증할지가 결과를 크게 좌우하는 구조입니다.
개인정보위 조사 통보를 받았거나 유출 사고를 겪은 회사의 대표와 CFO가 가장 먼저 묻는 질문은 거의 항상 같습니다. "과징금이 얼마나 나옵니까." 이 질문에는 감(感)이 아니라 공식이 있습니다. 그리고 그 공식은 많은 분들의 직관과 다르게 움직입니다.
2026년 7월의 두 사건을 나란히 놓아 보면 그 차이가 분명해집니다. 락앤락은 약 130만 명의 개인정보가 유출된 사건에서 과징금 5억 300만 원을 부과받았습니다(2026년 7월 8일 전체회의). 반면 KT는 유출 인원이 16,647명으로 락앤락의 80분의 1 수준인데도 과징금이 539억 7,900만 원, 즉 100배 이상이었습니다(2026년 7월 29일 의결). 두 사건 모두 결정문이 아직 공개되지 않아 이 글에서는 개인정보위 보도자료를 기준으로 서술합니다만, 이 대비 하나만으로도 "과징금은 유출 인원수로 정해지지 않는다"는 점은 분명합니다. 금액을 만드는 것은 매출 규모, 위반의 중대성, 그리고 조정 단계에서 무엇이 가중되고 무엇이 감경되는가입니다.
> **핵심 요약**
> 개인정보 보호법상 과징금은 '(전체 매출액 − 관련 없는 매출액) × 부과기준율'로 기준금액을 잡은 뒤 1차·2차 조정과 부과과징금 결정을 거치는 4단계로 산정됩니다. 2026년 공개된 결정문 세 건(롯데카드 96억 2,000만 원 · KS한국고용정보 35억 3,700만 원 · 듀오정보 11억 9,700만 원)에서 실제로 인정된 감경 사유는 위반으로 이득을 취하지 않은 점(−30%), 중기업 해당(합산 −55%), 자진 시정·조사 협조·ISMS-P 인증(−20~40%), 그리고 관련 없는 매출액의 일부 제외였습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반'에는 조정 단계의 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경이 함께 시행됩니다. 9월 10일 공포된 시행령(대통령령 제36671호)은 투자감경을 기준금액의 40% 이내, 1차 조정 앞의 독립 단계로 두어 산정은 5단계가 됩니다. 감경은 여전히 가능하지만, 그것을 주장하고 입증하는 부담은 조사받는 회사 쪽에 있습니다.
## 과징금은 무엇을 기준으로 산정되나요?
현행 개인정보 보호법 제64조의2 제1항(법률 제21445호)은 9개 호의 위반행위에 대해 **전체 매출액의 3% 이하** 과징금을 부과할 수 있도록 정하고 있습니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원 이하입니다. 9개 호 중 마지막인 제9호가 바로 개인정보 유출로, 안전조치 의무를 다한 경우는 제외됩니다.
'전체 매출액'이라는 말이 주는 인상보다는 출발점이 넓지 않습니다. 같은 조 제2항은 전체 매출액에서 **위반행위와 관련이 없는 매출액을 제외한 금액**을 기준으로 산정하도록 정하고 있기 때문입니다. 시행령 제60조의2(대통령령 제36340호)는 이를 구체화합니다. 전체 매출액은 원칙적으로 직전 사업연도 매출액과 직전 3개 사업연도 연평균 매출액 중 **큰 금액**이고(사업 개시 3년 이상 기준), 제외되는 매출액은 개인정보 처리와 관련 없는 재화·서비스의 매출액, 그리고 위원회가 위반행위의 직접·간접 영향을 받는 재화·서비스의 매출액이 아니라고 인정하는 금액입니다. 위원회는 이 산정을 위해 20일 이내의 기간을 정해 재무제표 등 자료 제출을 요청할 수 있습니다.
이 '관련 없는 매출액'을 얼마나 넓게 제외받느냐가 실무에서 다투는 첫 번째 전선입니다. 뒤에서 보듯 실제 결정문에서 이 주장이 일부 수용된 사례가 있습니다.
## 금액은 어떤 단계를 거쳐 정해지나요?
현행 시행령 별표 1의5는 과징금 산정을 4단계로 정하고 있습니다. 9월 11일 시행된 개정 시행령(대통령령 제36671호)은 여기에 투자감경 단계를 더해 5단계로 만드는데, 그 내용은 아래 「앞으로도 이 감경이 그대로 인정될까요?」에서 다룹니다.
| 단계 | 내용 | 조정 폭 |
|---|---|---|
| 1. 기준금액 산정 | (전체 매출액 − 관련 없는 매출액) × 부과기준율 | 중대성 등급에 따라 0.03~2.7% |
| 2. 1차 조정 | 위반행위의 기간·횟수, 취득 이익 규모, 업무 형태·규모 고려 | 기준금액의 90% 범위 내 가중·감경 |
| 3. 2차 조정 | 협조·시정 조치, 피해 회복·확산 방지, 인증 등 보호 노력, 위반 주도 여부, 자진신고 고려 | 1차 조정 금액의 50% 범위 내 가중·감경 |
| 4. 부과과징금 결정 | 현실적 부담능력, 시장·산업 여건의 현저한 변동·악화 고려 | 2차 조정 금액의 90% 범위 내 감경 가능 |
부과기준율은 중대성 등급에 따라 달라집니다. 매우 중대한 위반은 2.1\~2.7%, 중대한 위반은 1.5\~2.1% 미만, 보통 위반은 0.9\~1.5% 미만, 약한 위반은 0.03\~0.9% 미만입니다. 매출액 산정이 곤란한 경우에는 정액 기준이 적용됩니다(매우 중대 7억\~18억 원, 중대 2억\~7억 원, 보통 5천만\~2억 원, 약한 위반 5백만\~5천만 원). 가중을 하더라도 법정 상한인 전체 매출액의 3%를 넘을 수는 없습니다.
이 단계를 직접 대입해 보려면 [과징금·과태료 산정 계산기](/fine-calculator/)에 매출액과 조정률을 넣어 보십시오. 아래에서 보는 결정문의 등급·조정률을 그대로 불러와 계산할 수도 있습니다.
마지막 단계에서는 법 제64조의2 제5항의 미부과 사유도 검토됩니다. 지급불능 등으로 납부능력이 없는 경우, 위반행위가 위법하지 않다고 오인한 데 정당한 사유가 있는 경우, 위반이 경미하거나 소액인 경우, 피해가 없거나 경미한 것으로서 대통령령으로 정하는 경우의 4개 호입니다.
## 왜 '중대성 판단'이 금액의 절반을 정하나요?
표에서 보듯 부과기준율의 폭은 0.03%에서 2.7%까지, 90배입니다. 같은 매출액이라도 위반이 '약한 위반'으로 분류되느냐 '매우 중대한 위반'으로 분류되느냐에 따라 출발선 자체가 수십 배 달라집니다. 그래서 결정문을 읽을 때 가장 먼저 봐야 할 부분이 중대성 판단입니다.
현행 별표 1의5는 중대성 판단 요소로 위반행위의 내용·정도, 암호화 등 안전조치 이행 노력, 유출 시 위반행위와의 관련성·유출 규모, 처리하는 개인정보의 유형과 영향, 정보주체 피해 규모의 5가지를 정하고 있습니다. 이 판단이 실제로 어떻게 이루어지는지는 롯데카드 결정문(2026년 3월 11일 의결, 사건 2025조일0053-01)이 잘 보여 줍니다. 이 사건에는 행위시법인 법률 제19234호가 적용됐고, 위원회는 과징금 부과기준 고시의 중대성 판단기준에 따라 고의·과실, 위반행위의 방법, 처리하는 개인정보의 유형, 피해 규모·영향의 네 가지 고려사항을 각각 판정한 뒤 둘 이상이 높은 수준에 해당하면 그 수준을 적용하는 방식으로 판단했습니다.
사실관계는 이렇습니다. 온라인 결제 로그파일에 주민등록번호 13자리가 평문으로 기록되고 있었고, 코드 기록상 최소 2018년 6월부터 약 7년간 이어졌습니다. 해커는 2017년에 이미 패치가 공개된 웹로직 취약점(CVE-2017-10271)으로 침입해 297만 명의 개인정보를, 그중 45만 명의 주민등록번호를 유출했습니다. 위원회는 법 제24조의2 제1항(법적 근거 없는 주민등록번호 처리)과 제2항(암호화 미조치) 위반을 인정하고 과징금 96억 2,000만 원과 과태료 480만 원, 시정명령·공표명령을 부과했습니다.
중대성 판정을 요소별로 보면, 고의·과실은 '중'(적극적 의도는 없고 관행적으로 시스템을 구축한 것), 위반행위의 방법도 '중'(법적 검토가 없었으나 조직적 관여는 아님)이었습니다. 그러나 개인정보 유형은 주민등록번호라는 점에서 '상', 피해 규모·영향은 700만 명을 대상으로 45만 명이 유출되고 7년간 지속됐다는 점에서 '상'으로 판정되어, 결론은 **매우 중대한 위반행위**였습니다. 회사는 '보통 위반'에 해당한다고 주장했지만 위원회는 법 준수 검토 부재, 이력 관리 부재, 7년의 지속 기간, 처리 규모와 유출 규모를 들어 받아들이지 않았습니다.
중대성 판정은 과징금 액수만 정하는 것이 아닙니다. 이 사건의 공표명령 사유는 매우 중대한 위반이라는 점, 위반상태가 3년을 초과해 지속된 점, 피해 정보주체가 10만 명 이상이라는 점이었습니다. 시정명령에는 개인정보 보호책임자의 책임성과 독립성을 강화하는 등 거버넌스 체계를 정비하고 90일 내 이행결과를 제출하라는 내용까지 포함됐습니다.
## 실제 결정문에서 인정된 감경 사유는 무엇인가요?
2026년에 결정문 전문이 공개된 세 사건의 조정 내역을 비교하면 다음과 같습니다.
| 사건 | 과징금 | 1차 조정 | 2차 조정 |
|---|---|---|---|
| 롯데카드 (2026-03-11 의결) | 96억 2,000만 원 | 기간 2년 초과 +50% / 이득 없음 −30% | 자진 시정 완료 + 조사 협조 + ISMS-P 인증 −20% |
| KS한국고용정보 (2026-04-22 의결, 안건 제2026-006-050호) | 합계 35억 3,700만 원 (제29조 위반 32억 6,400만 + 제24조의2 위반 2억 7,300만) | 기간 2년 초과 +50% / 이득 없음 −30% (두 건 공통) | 제29조 건: 시정 완료 + 조사 협력 + 그 밖에 줄일 필요 인정 −40% / 제24조의2 건: −30% |
| 듀오정보 (2026-04-22 의결, 안건 제2026-007-052호) | 11억 9,700만 원 | 기간 2년 초과 +50% / 이득 없음 + 중기업 해당 합산 −55% | −30% |
몇 가지 패턴이 보입니다.
첫째, **관련 없는 매출액 제외 주장은 다퉈볼 실익이 있습니다.** 롯데카드는 해킹당한 시스템과 관련된 매출로 한정해야 한다고 주장했고, 위원회는 전체 온라인 결제 서비스 매출로 더 넓게 봤습니다. 그러나 법인무기명카드·기프트카드·선불카드처럼 개인정보를 수집하지 않는 서비스의 매출과 카드 서비스와 무관한 기타 영업수익은 제외가 인정됐습니다. 전부 아니면 전무가 아니라 '일부 수용'이 실제 결과였습니다.
둘째, **1차 조정에서는 '위반으로 이득을 취하지 않았다'는 점이 세 사건 모두에서 30% 감경 사유로 인정됐습니다.** 반대로 위반 기간이 2년을 초과한 점은 세 사건 모두 50% 가중 사유였습니다. 위반을 오래 방치할수록 이 단계에서 불리해지는 구조입니다. 듀오정보 사건에서는 중소기업기본법상 '중기업'에 해당한다는 점이 추가로 반영되어 이득 없음과 합산해 55%가 감경됐습니다. 회사 규모 자체가 감경 요소로 작동한 사례입니다.
셋째, **2차 조정의 감경 폭(20~40%)을 만든 것은 사고 후의 행동이었습니다.** 사전통지 전에 시정을 완료한 점, 조사에서 일관되게 행위사실을 인정하고 자료 제출에 협조한 점, ISMS-P 인증을 보유한 점이 인정된 사유들입니다. 같은 날 의결된 KS한국고용정보 사건에서도 두 위반 건의 감경률이 40%와 30%로 달랐는데, 조사 협력과 시정 완료라는 공통 사유 외에 "그 밖에 줄일 필요가 있다고 인정"된 건에서 감경 폭이 더 컸습니다.
한편 2026년 7월 8일 전체회의에서는 락앤락(5억 300만 원, 약 130만 명 유출) 외에 콜센터 아웃소싱 업체 유베이스(1억 6,800만 원, 1,852명 유출), 사진장비 판매업체 썬포토(3,000만 원, 약 17만 명 유출)도 제재를 받았습니다. 이 세 건은 결정문이 아직 공개되지 않아 보도자료 기준으로만 알 수 있지만, 3,000만 원부터 539억 원까지의 스펙트럼은 매출 규모와 중대성이 금액을 결정한다는 구조를 다시 확인해 줍니다.
## 앞으로도 이 감경이 그대로 인정될까요?
비교 대상을 더 넓히려면 [개인정보위 제재 추적기](/sanctions/)에서 과징금이 부과된 의결만 걸러 보십시오. 조문별로는 [안전조치의무 99건](/sanctions/article-29/)과 [주민등록번호 24건](/sanctions/article-24-2/)에 금액이 몰려 있습니다.
여기서 중요한 시점 문제가 있습니다. 위에서 본 결정문들은 모두 2026년 5월 19일 이전에 의결된 사건입니다. 그날 시행된 시행령 개정으로 별표 1의5에 **과징금 감경의 제한**(라목) 규정이 신설됐습니다. **매우 중대한 위반행위에 해당하면 1차·2차 조정에서 산정되는 감경의 전부 또는 일부를 적용하지 않을 수 있다**는 내용입니다. 롯데카드 사건처럼 매우 중대한 위반으로 판정되는 사안이라면, 앞으로는 이득 없음이나 조사 협조 같은 사유가 있어도 감경이 전부 반영되지 않을 수 있는 구조가 된 것입니다. 이 규정이 실제 사건에서 어떻게 적용될지는 이후 공개될 결정문을 지켜봐야 합니다.
그리고 2026년 9월 11일부터 개정 법률(법률 제21445호, 2026년 3월 10일 공포)이 시행됐습니다. 변화는 두 방향입니다.
**가중 방향으로는 '전체 매출액 10%' 트랙이 신설됐습니다.** 다음 세 경우에는 과징금 상한이 전체 매출액의 3%가 아니라 **10%**(산정 곤란 시 50억 원)가 됩니다. ① 과징금 부과처분을 받은 날부터 3년 내에 같은 호의 위반행위를 다시 한 경우(전후 위반 모두 고의 또는 중대한 과실인 경우에 한정), ② 고의·중과실 위반으로 정보주체 피해 규모가 1천만 명 이상인 경우, ③ 시정조치 명령에 따르지 않아 유출이 발생한 경우입니다. 부칙 제3조의 적용례도 실무상 중요합니다. 재위반 가중은 시행 이후 발생한 위반행위로 과징금 처분을 받은 후 다시 위반한 경우부터 적용되므로, 시행 전에 받은 처분은 3년 시계의 기산점이 되지 않습니다. 반면 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용되고, 시정명령 불이행 조항은 시행 이후 받은 시정조치 명령부터 적용됩니다. 재위반 3년 시계의 계산 방법은 [과거 제재 이력과 3년 시계](/posts/prior-sanction-three-year-clock/)에서 따로 정리했습니다.
**감경 방향으로는 예방투자 감경이 의무 규정으로 들어왔습니다.** 신설된 제64조의2 제6항은 예산·인력·설비·장치 등을 투자·운영하는 등 대통령령으로 정하는 사유가 있으면 과징금을 "**감경한다**"고 정합니다. '감경할 수 있다'가 아니라 '감경한다'입니다. 다만 고의 또는 중대한 과실로 위반한 경우는 제외됩니다. 이 감경 사유를 구체화할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 제60조의2 제5항은 예산·인력·설비·장치 등에 투자한 규모·비율과 지속성, 법 제30조의3에 따른 사업주·대표자의 책임 이행 정도, 보호책임자의 역할·조직·인력 구성 등 보호 체계의 운영 수준, 그 밖의 안전성 확보 조치 노력을 고려해 보호위원회가 고시하는 기준을 충족하는 경우를 감경 사유로 정했습니다. 별표 1의5에서 **투자감경은 기준금액 산정 직후, 1차 조정보다 앞에 놓인 독립 단계**이고 폭은 **기준금액의 40% 이내**입니다. 위 4단계 표가 5단계가 되는 셈이고, 감경 제한 규정은 라목에서 마목으로 밀립니다. 10% 트랙의 기준금액은 부과기준율에 가중비율을 곱하되 8.91%를 넘을 수 없고, 매출액 산정이 곤란한 경우의 정액 기준금액은 가중금액을 더해도 45억 원 이하입니다. 투자감경을 시행일 이후의 위반행위부터 적용한다는 입법예고안의 적용례는 공포된 부칙에 없어, 시행일 이후 부과하는 건이면 위반 시점과 무관하게 적용된다고 읽힐 여지가 있습니다. 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했습니다. 투자감경은 투자 규모·비율·지속성, 대표자 책임 이행과 보호책임자 체계, 법정 의무를 넘는 보호조치를 종합해 기준금액의 40% 이하로 하고, 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 봅니다(제8조의3). 9월 11일 시행 개정법의 다른 변화들은 [2026년 개정 개인정보 보호법 전체 정리](/guides/pipa-2026-amendment/)를 참고하시기 바랍니다.
**같은 고시가 위 결정문들에서 인정된 감경의 폭도 바꿨습니다.** 2차 조정에서 보호위원회가 인정하는 인증을 받은 경우의 감경 상한은 50%에서 30%로, 자율규제 규약 이행은 40%에서 20%로, 처리방침 평가 등은 30%에서 15%로 낮아졌습니다(제10조 제2항 제3호). 「그 밖의 사유」 10% 감경은 없어졌고, 유출등 사고에 대비한 대응 체계를 갖추고 조기 탐지·신속한 신고·통지·확산 방지로 회복한 경우의 40% 이하 감경이 새로 생겼습니다(같은 항 제5호). 가중 쪽에서는 최근 3년 같은 호 위반의 반복 가중이 1회 15%에서 20%로 오르고 2회 40%, 3회 이상 80%가 됐으며, 기한 안에 신고·통지하지 않은 채 피해 확산 방지 조치도 하지 않으면 30% 이하가 가산됩니다. 다만 부칙 제2조에 따라 **고시 시행 전에 종료된 행위에는 종전 규정이 적용**되므로, 위 결정문의 감경 비율은 9월 10일까지 끝난 위반을 가늠하는 기준으로는 여전히 유효합니다.
## 조사 단계에서 무엇을 준비해야 하나요?
위 구조를 뒤집어 읽으면, 조사를 받는 회사가 준비할 것이 세 갈래로 정리됩니다.
**첫째, 관련 없는 매출액을 구분할 수 있는 자료입니다.** 위원회는 20일 이내의 기간을 정해 재무제표 등 자료 제출을 요청할 수 있습니다. 이 짧은 기간 안에 개인정보 처리와 관련 없는 사업 부문의 매출, 위반행위의 영향을 받지 않는 재화·서비스의 매출을 구분해 소명할 수 있어야 합니다. 롯데카드 사건에서 일부 서비스 매출의 제외가 인정된 것도 그 구분이 가능했기 때문입니다. 사업 부문별 매출을 평소에 구분 관리하고 있지 않다면 조사가 시작된 뒤에 만들기는 어렵습니다.
**둘째, 감경 사유의 입증 자료입니다.** 결정문에서 실제로 인정된 사유는 사전통지 전 시정 완료, 일관된 사실 인정과 자료 제출 협조, ISMS-P 인증 보유였습니다. 시정 조치는 실행 시점이 남는 형태로 기록하고, 조사 대응 과정의 협조 내역도 정리해 둘 필요가 있습니다. 유출 사고 발생 시의 초동 대응, 특히 통지·신고를 기한 내에 이행하는 것은 별도의 의무이기도 합니다. 이 부분은 [유출 통지·신고 72시간 대응](/guides/data-breach-response/)에서 다뤘고, 랜섬웨어로 인한 훼손 등 '유출등' 개념의 범위는 [랜섬웨어·훼손도 통지 대상인가](/posts/ransomware-corruption-breach-notification/)를 참고하시기 바랍니다.
**셋째, 예방투자의 기록화입니다.** 9월 11일부터 시행된 제6항의 감경은 예산·인력·설비·장치 등의 투자·운영을 전제로 합니다. 감경 폭은 시행령 별표 1의5가 기준금액의 40% 이내로 정했고, 9월 11일 개정된 고시는 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 보도록 했습니다(제8조의3 제2항). 사고가 난 해에 서둘러 집행한 예산보다 그 전 3년의 기록이 소명 자료가 된다는 뜻이므로, 보안 예산의 편성과 집행, 전담 인력 배치, 안전조치 설비 도입 내역을 증빙 가능한 형태로 지금부터 남겨 두어야 합니다. 법 제64조의2 제5항이 정하는 11개 고려사항에도 암호화 등 안전조치 이행 노력과 인증 등 보호 노력이 포함되어 있으므로, 이 기록은 현행 체계에서도 의미가 있습니다.
## 자주 묻는 질문
### Q. 개인정보 유출 과징금은 유출된 인원수에 비례해 정해지나요?
아닙니다. 2026년 7월 의결된 사건들을 보면 약 130만 명이 유출된 락앤락에는 5억 300만 원이, 16,647명이 유출된 KT에는 539억 7,900만 원이 부과됐습니다(두 건 모두 결정문 미공개, 보도자료 기준). 유출 규모는 중대성 판단의 한 요소일 뿐이고, 금액의 골격은 전체 매출액에 부과기준율을 곱한 기준금액과 그 후의 조정이 만듭니다.
### Q. 실제 결정문에서 과징금 감경이 인정된 사유는 무엇인가요?
공개된 결정문 기준으로, 1차 조정에서는 위반으로 이득을 취하지 않은 점(−30%)과 중기업 해당(이득 없음과 합산 −55%), 2차 조정에서는 사전통지 전 시정 완료·조사 협조·ISMS-P 인증 보유(−20~40%)가 인정된 사례가 있습니다. 관련 없는 매출액의 일부 제외가 받아들여진 사례도 있습니다. 다만 2026년 5월 19일 신설된 감경 제한 규정에 따라 매우 중대한 위반에는 이러한 감경이 전부 또는 일부 적용되지 않을 수 있습니다.
### Q. 2026년 9월 11일부터 과징금 제도는 어떻게 달라졌나요?
3년 내 재위반, 고의·중과실로 1천만 명 이상 피해, 시정명령 불이행으로 인한 유출의 세 경우에 과징금 상한이 전체 매출액의 10%(산정 곤란 시 50억 원)로 올라갑니다. 재위반 가중은 시행 이후의 위반으로 처분받은 경우부터 3년 시계가 시작되지만, 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 한편 예방투자가 있는 사업자에 대한 과징금 감경이 의무 규정으로 신설되는데(고의·중과실 제외), 구체적 사유와 감경 폭은 2026년 9월 10일 공포된 시행령(대통령령 제36671호)이 정했습니다. 투자감경은 기준금액의 40% 이내에서 1차 조정보다 앞선 단계로 적용되며, 그 안의 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했고, 같은 고시가 인증 감경 상한을 50%에서 30%로 낮추는 등 조정 비율도 바꿨습니다(시행 전에 종료된 위반에는 종전 규정 적용).
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제64조의2(과징금의 부과) — 현행 법률 제21445호(2026. 3. 10. 일부개정, 2026. 9. 11. 시행)·부칙 제3조 및 개정 전 법률 제20897호(2025. 10. 2. 시행)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 별표 1의5(과징금의 산정기준) — 개정 전 대통령령 제36340호(2026. 5. 19. 공포·시행)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) — 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행) 제60조의2 제5항, 별표 1의5, 부칙을 확인했습니다. 별표 1의5 제2호 나목이 투자감경 폭을 기준금액의 100분의 40 범위로 정했고, 세부 기준은 보호위원회 고시에 위임돼 있습니다
- 과징금 부과기준 고시 — 개인정보보호위원회고시 제2026-12호(2026. 9. 11. 시행) 제8조의3. 투자감경의 세부 기준과 인증 감경 상한 조정을 확인했습니다
- 개인정보보호위원회 의결 제2026-006-050호(2026. 4. 22., 주식회사 케이에스한국고용정보, 과징금 35억 3,700만 원) · 제2026-007-052호(2026. 4. 22., 듀오정보 주식회사, 11억 9,700만 원) · 사건번호 2025조일0053-01(2026. 3. 11., 96억 2,000만 원) — 결정문 전문 기준
- [개인정보보호위원회 보도자료](https://www.pipc.go.kr) 2026. 7. 8.(락앤락·유베이스·썬포토) · 2026. 7. 30.(KT) — **이 네 건은 결정문 미공개로 보도자료를 근거로 서술했습니다**
---
이 글은 공개된 법령과 개인정보위 결정문·보도자료를 기준으로 과징금 산정 구조를 일반론으로 정리한 것이며, 구체적 사안에 대한 판단은 개별 사실관계에 대한 검토가 필요합니다.
---
# 대상회사의 데이터 자산, 실사에서 순서대로 묻는 세 질문
- URL: https://datalaw.kr/posts/scraped-data-asset-due-diligence/
- 게시 2026-08-14 · 수정 2026-09-09 · 태그: 기업인수, 마이데이터, 개인정보보호법, AI규제, 스타트업실무
- 요약: 대상회사가 데이터 자산이라고 내미는 것은 세 층으로 갈라서 보아야 합니다. 첫째는 수집 경로입니다. 2026년 8월 20일 시행된 개인정보 보호법 시행령 제42조의6은 앞으로의 유입에는 사전협의(제3항 제1호 나목)를, 이미 쌓인 축적분에는 저장 금지(제5항)를 걸어 두었으므로 한 줄짜리 답으로 둘을 설명할 수 없습니다. 둘째는 학습데이터의 저작권입니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 권리처리 없는 전자책 말뭉치의 손해액을 '정가의 70% × 5부 × 지분율'로 산정했고, 8월 11일 시행된 저작권법 제125조 제4항은 고의 침해에 그 5배까지 허용합니다. 셋째는 개인정보의 적법근거입니다. AI 개발 특례(제28조의12)는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 근거가 되지 못하고, 시행 뒤에도 승인은 다섯 사유로 처리 전부가 제한될 수 있는 상태입니다. 세 질문은 경로, 권리, 근거의 순서로 묻고, 답은 각각 따로 받습니다.
> **핵심 요약**
> 대상회사가 데이터 자산이라고 내미는 것은 실사에서 세 층으로 갈라서 봅니다. 첫째 층은 수집 경로입니다. 2026년 8월 20일 시행된 개인정보 보호법 시행령(대통령령 제36121호) 제42조의6은 앞으로 들어올 유입에 제3항 제1호 나목의 사전협의를, 이미 쌓인 축적분에 제5항의 저장 금지를 걸어 두었으므로 "협의를 마쳤다"는 한 줄로 둘을 설명할 수 없고, 검증 수단은 같은 조 제11항이 3년간 보관하도록 정한 전송 내역입니다. 둘째 층은 학습데이터의 저작권입니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 권리처리 없이 전자책을 말뭉치로 가공한 손해액을 저작권법 제126조에 따라 「전자책 정가의 70% × 5부 × 지분율」로 산정했고, 8월 11일 시행된 개정 저작권법 제125조 제4항은 고의 침해에 그 금액의 5배까지 허용합니다(미확정, 상고심 계속 중). 셋째 층은 개인정보의 적법근거입니다. AI 개발 특례(제28조의12)는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 근거가 되지 못하고, 시행 뒤에도 승인은 제28조의14의 다섯 사유로 처리 전부가 제한될 수 있는 상태입니다. 세 질문은 경로, 권리, 근거의 순서로 묻고 답은 각각 따로 받습니다.
실사 자료요청 목록의 데이터 항목에 대상회사가 회신을 보내옵니다. 확보 경로 칸에는 "고객 동의를 받아 제휴사에서 연동" 또는 "본인 인증을 거쳐 대리 수집"이, 학습데이터 출처 칸에는 "제휴 출판사로부터 파일 일괄 수급"이, 적법근거 칸에는 "그동안은 가명처리로 해 왔고 앞으로는 AI 학습 특례 승인을 받을 계획"이 적혀 있습니다. 세 줄 모두 그럴듯하고, 그동안은 그 줄에서 검토가 끝나는 일이 많았습니다.
2026년 8월 한 달 사이에 그 세 줄이 각각 두 개 이상의 질문으로 갈라졌습니다. 8월 11일에 개정 저작권법이 시행돼 고의 침해의 배상액이 재량 산정액의 5배까지 열렸고, 8월 20일에 개인정보 보호법 시행령 개정령이 시행돼 대리 전송 경로의 유입과 축적에 서로 다른 조항이 걸렸으며, 같은 날 국회 본회의가 AI 개발 특례를 담은 개인정보 보호법 개정안을 통과시켰고, 그 법은 9월 8일 공포됐습니다. 그리고 7월 24일에는 법원이 권리처리 없는 학습데이터의 손해액 산식을 내놓았습니다.
그래서 대상회사가 데이터 자산이라고 내미는 것을 매수인은 세 층으로 갈라 봅니다. 그 데이터가 어떤 경로로 들어왔고 계속 들어올 수 있는지(경로), 그 데이터에 붙은 저작권이 학습에 쓸 수 있는 권리인지(권리), 그 데이터에 섞인 개인정보를 학습에 쓸 적법근거가 무엇인지(근거)입니다. 이 글은 세 층을 이 순서로 묻되, 각 층에서 답을 무엇으로 검증하고 계약의 어느 칸에 붙이는지를 정리합니다.
## 첫째 층 — 앞으로 들어올 데이터와 이미 쌓인 데이터는 다른 질문입니다
개인정보 보호법 시행령 일부개정령(대통령령 제36121호)이 2026년 8월 20일 시행되면서 대리 전송 경로에 조항 두 개가 걸립니다. 그중 하나는 흐름을 규율하고 다른 하나는 보관을 규율합니다. 흐름 쪽은 제42조의6 제3항 제1호 나목인데, 정보주체가 대리인을 통해 본인전송요구를 하고 그 대리인이 자동화된 도구를 이용하는 경우 정보를 보내는 기업과 대리인이 사전에 협의한 방식이어야 합니다. 보관 쪽은 같은 조 제5항이고, 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 합니다.
이 층에서 다루는 경로는 정보주체의 본인전송요구를 대리하는 방식의 유입입니다. 로그인 없이 공개된 웹을 자동으로 수집하는 일반 크롤링의 적법성 — 부정경쟁방지법상 성과 도용이나 데이터베이스제작자 권리 침해가 다투어지는 영역 — 은 별개의 쟁점이므로, 대상회사의 수집 방식이 그쪽이라면 이 절의 조문이 아니라 그 법리들로 따로 검토해야 합니다.
그래서 "협의를 마쳤다"는 답은 유입에 관한 답입니다. 대상회사는 그 답으로 서버에 쌓여 있는 분량을 설명할 수 없고, 매수인이 두 항목을 한 칸에 적어 두면 둘 중 하나는 끝까지 검증되지 않은 채로 클로징까지 갑니다. 다만 축적분이 시행일에 바로 위법이 되는 것은 아닙니다. 이 개정령의 부칙은 시행일만 정하고 별도의 적용례나 경과조치를 두지 않았으므로, 시행 전에 다른 근거로 수집·보유한 부분까지 제5항이 소급해 위법으로 만드는 구조는 아닙니다. 매수인이 확인할 것은 축적분이 언제 어떤 근거로 들어왔는지의 구분입니다. 보내는 쪽과 받는 쪽에 각각 무엇이 걸리는지는 [같은 시행일이 두 지위에 다른 의미를 갖는 구조](/posts/mydata-transfer-right-who-and-when/)에서 정리했습니다.
## 첫째 층 — 사전협의가 없으면 무엇이 달라지나
협의는 의무이면서 동시에 방패입니다. 제42조의5 제2항은 대리인이 사전에 협의한 방식으로 전송하도록 요구하는 경우 정보를 보내는 기업이 정당한 사유 없이 거절해서는 안 된다고 정하는데, 뒤집으면 협의를 마치지 않은 연동은 상대 기업이 끊어도 대상회사가 막을 수단이 마땅치 않다는 뜻이 됩니다. 데이터 유입이 서비스의 핵심인 회사라면 협의 없는 연동은 상대방의 결정 하나로 멈출 수 있는 구조이고, 상대 기업이 인수 대금을 정한 뒤에 정책을 바꾸는 방식으로 그 위험이 현실화됩니다. 그러므로 매수인이 확인할 것은 연동 사실이 아니라 협의서의 존재와 그 상대방의 범위입니다.
## 첫째 층 — 무엇을 받아 보면 확인되나
확인할 근거는 기록으로 남아 있습니다. 제42조의6 제11항은 정보전송자와 개인정보관리 전문기관, 일반수신자에게 전송 요구 사항, 송수신 기록, 철회·거절·중단 내역과 그 사유를 3년간 보관하도록 정하므로, 대상회사가 이 중 어느 지위에 해당한다면 그 보관분이 그대로 실사 자료가 됩니다. 보관 자체가 의무이므로, 자료가 없다는 회신은 그 자체로 확인이 필요한 사항입니다.
매수인은 여기서 세 가지를 한꺼번에 확인합니다. 경로가 실제로 무엇인지, 전송이 중단된 이력이 있는지, 그리고 서버에 쌓인 양이 전송 내역으로 설명되는 양인지입니다. 첫째 층의 지적을 클로징 전에 고칠 수 있는지는 항목마다 답이 갈립니다. 사전협의는 상대방이 있는 절차이므로 대상회사가 클로징 전에 끝낸다고 약속하기 어렵지만, 축적분의 처리는 대상회사가 스스로 정리할 수 있는 사항에 가깝습니다. 실사 자료요청 목록에 넣을 항목은 [실사에서 개인정보를 볼 때 무엇을 요청해야 하나](/posts/due-diligence-data-request-list/)에서 따로 다뤘습니다.
## 둘째 층 — 파일을 넘겨받았다는 것과 권리를 넘겨받았다는 것은 다릅니다
경로가 설명됐다고 해서 그 데이터를 학습에 쓸 권리까지 설명된 것은 아닙니다. 둘째 층은 학습데이터 출처 칸의 "제휴 출판사로부터 파일 일괄 수급"이라는 한 줄을 여는 자리입니다. 지금까지 이 항목의 노출 금액을 물으면 돌아오는 답은 대개 "산정하기 어렵다"였는데, 법원이 산식을 하나 내놓았습니다. 국립국어원의 말뭉치 구축 사업에 전자책 파일을 가공해 납품한 회사들이 저작자들에게 진 사건입니다. 발주 용역대금이 30억 6,000만 원, 저작물 공급을 맡은 계열사와의 하도급 대금이 17억 3,831만여 원인 사업이었습니다.
피고 측은 계열사가 다른 회사로부터 포괄양수도계약으로 전자책 파일을 양수했다고 항변했습니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 양수 사실 자체는 인정하면서도, 통상 출판사가 작가와 출판계약을 체결하고 서적의 출판권을 보유하게 되는 점에 비추어 전자책 파일을 보유한다는 사정만으로 복제권과 공중송신권까지 보유한다고 보기는 어렵다고 판단했습니다. 실사에서 "포괄양수도계약서가 있다"는 답변은 취득 경로를 증명할 뿐이고, 학습에 필요한 권리가 함께 넘어왔다는 증명은 따로 받아야 합니다.
피고들은 발주처인 국립국어원이 이 사업을 공익적 목적에서 수행했다며 저작권법 제35조의5의 공정이용도 주장했습니다. 법원은 피고들이 국립국어원과 용역계약을 체결하고 영리 목적으로 저작물을 가공해 제공한 이상 공정이용에 해당하지 않는다고 보았습니다. 발주처의 공익성과 수급인의 영리성을 갈라서 본 것이므로, 대상회사가 내세우는 공공기관 납품 실적을 실사 담당자가 권리처리의 안전 신호로 읽으면 안 됩니다.
## 둘째 층 — 그래서 얼마이고, 8월 11일부터는 왜 그 금액이 상한이 아닌가
원고들은 제125조 제2항의 "그 권리의 행사로 일반적으로 받을 수 있는 금액"으로 저작물 1건당 50만 원을 주장했습니다. 법원은 원고들이 든 이용허락 사례가 당사자도 다르고 용도도 다르며, 피고들이 국립국어원과 체결한 용역계약의 대금에 저작재산권 이용 대가가 포함된 것으로 보이지 않는다며 이를 배척했습니다. 그리고 제126조에 따라 재량으로 손해액을 정했습니다. 산식은 전자책 정가의 70% × 5부 × 그 저작물에 대한 원고의 지분율입니다.
앵커는 시장에서 나왔습니다. 피고 측 계열사가 협회와 다수 출판사를 상대로 2027년 12월 31일까지의 이용료를 "정가의 70% × 3 내지 5부"로 합의한 선례가 있었고, 법원이 이를 참작했습니다. 인공지능 학습 등의 용도로 변형·가공한 파일의 손해가 저작물 자체를 복제한 손해와 같지는 않다는 판단은 감액 방향으로 작용했습니다. 공동저작물의 지분은 균등하게 보고, 번역 저작물은 원저작자의 창작 기여 비율과 비교해 30% 정도로 계산합니다. 대상회사에서 권리 미처리 저작물의 건수와 평균 정가를 확보하면 건수 × 정가 × 0.7 × 5부가 노출 금액의 1차 추정치가 됩니다. 1심(서울중앙지방법원 2025년 2월 21일 선고 2023가단5410787 판결)은 여기에 한 가지를 덧붙였습니다. 피고들이 내세운 전자책 판매 금액은 그 전자책을 구입해 읽는 것에 대한 대가일 뿐, 복제하거나 공중송신할 수 있는 권리에 대한 대가에는 현저하게 미치지 못한다는 것입니다. 구독료나 판매가를 기준으로 노출 금액을 낮춰 잡는 계산은 이 지점에서 막힙니다.
2026년 8월 11일 시행된 개정 저작권법(법률 제21336호)이 제125조 제4항을 신설했습니다. 법원은 침해행위가 고의적인 것으로 인정되면 제1항부터 제3항까지 및 제126조에 따라 손해로 인정된 금액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다. 재량 산정액이 배액 대상에 명시적으로 들어가 있으므로 위 산식은 상한이 아니라 기준점이 됩니다. 부칙 제2조는 이 규정을 시행 이후 발생한 침해행위부터 적용한다고 정하는데, 2026년 8월 11일 전에 시작돼 지금도 계속되고 있는 이용을 어느 쪽으로 볼지는 이 문언만으로 답이 나오지 않으므로 실사에서는 열린 쟁점으로 표시해 두는 편이 안전합니다. 배수를 판단할 때 고려할 사항으로 제5항은 일곱 가지를 드는데, 그중 첫째가 고의 또는 손해 발생의 우려를 인식한 정도이고 일곱째가 침해행위 이후 침해자가 취한 조치입니다. 이번 판결에서 법원은 피고들이 권리관계에 대한 확인 없이 만연히 복제·가공했다고 지적했습니다. 확인했다는 기록의 유무가 배수를 가릅니다.
다만 이 판결은 항소심 판결이고, 피고들이 2026년 8월 11일 상고해 현재 대법원에 계속 중입니다. 위 산식과 판단은 모두 항소심의 것이며 상급심에서 달라질 수 있으므로, 실사 의견서에 인용할 때는 미확정 판결임을 함께 적어 두어야 합니다.
## 둘째 층 — 학습데이터 항목에서 확인할 여섯 가지
1. 학습데이터의 취득 경로가 파일의 인도입니까, 권리의 양도입니까
2. 그 계약서에 복제권과 공중송신권이 명시되어 있습니까
3. 권리처리가 확인되지 않는 저작물의 건수와 정가를 확인할 자료가 있습니까
4. 권리자 측과 이용료를 합의한 선례가 회사 안에 있습니까
5. 침해 지적을 받은 뒤 취한 조치가 기록으로 남아 있습니까
6. 문제 되는 이용행위의 시점이 2026년 8월 11일 전입니까, 후입니까
여기서 확인한 금액을 매매계약의 어느 칸에 넣을지는 [진술보증 위반의 손해배상액은 어떻게 산정하나](/posts/reps-warranties-damage-calculation/)와 함께 보시면 됩니다. 도입한 AI가 무단 학습을 했을 때 책임이 어디로 가는지는 [우리가 도입한 AI가 무단 학습을 했다면 책임은 누구에게 있나](/posts/ai-training-data-copyright/)에서 따로 다뤘습니다. 그리고 학습데이터에 개인정보가 섞여 있었다면 저작권과는 별개의 절차가 따라붙는데, 그것이 셋째 층입니다.
## 셋째 층 — 오늘 데이터룸에 특례 승인장이 있을 수 있나
없습니다. 2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호)은 인공지능기술 개발을 위한 개인정보 목적 외 이용 특례(제28조의12)를 신설했고, AI 기업 실사에서 "학습 데이터 문제는 특례로 해결된다"는 답변이 나오기 시작할 것입니다. 그러나 부칙은 「이 법은 공포 후 6개월이 경과한 날부터 시행한다」고 정했고, 시행일은 2027년 3월 9일입니다. 그러므로 지금 진행 중인 학습의 적법근거는 여전히 동의·가명처리 같은 종전 법리로 설명돼야 합니다. 특례는 미래의 해결책이지 현재의 근거가 아닙니다. 대상회사의 답변이 "그동안은 가명처리로 해 왔고, 앞으로는 특례 승인을 받을 계획"이라는 두 층을 섞고 있다면 갈라서 물어야 합니다. 현재 보유한 데이터의 적법근거와 앞으로의 계획은 별개의 질문입니다.
특례가 무엇을 걷어 주고 무엇을 남기는지는 [새 특례로 걷히는 조문과 그대로 남는 국외이전](/posts/ai-development-exception-waived-provisions/)에서 조문별로 정리했습니다. 이 글은 그 특례를 받는 쪽이 아니라 검증하는 쪽의 자리에서 씁니다.
## 셋째 층 — 시행 이후에 승인을 받았다면 끝나는가, 다섯 가지 제한 사유는 무엇으로 확인하나
승인은 취득한 사실이 아니라 유지 조건이 붙은 상태입니다. 제28조의14 제1항은 다섯 가지 사유 중 하나에 해당하면 보호위원회가 심의·의결을 거쳐 개인정보 처리의 전부를 제한하도록 정했습니다. 조문이 「제한하여야 한다」로 되어 있어 기속 형태입니다. 한 번 받으면 안정되는 지위로 읽기 어렵고, 요건과 조건이 계속 충족되는 동안만 유지되는 지위입니다.
| 제한 사유(제28조의14 제1항) | 실사에서 확인하는 자료 |
|---|---|
| 1호 거짓·부정한 방법으로 심의·의결을 받은 경우 | 신청 시 소명 자료와 실제 처리 현황의 일치 여부 |
| 2호 제28조의12 제1항 각 호의 요건 미충족 | 안전장치의 현재 이행 상태, 요건 판단을 뒷받침한 자료 |
| 3호 위원회가 부여한 조건 미충족 | 의결에 붙은 조건의 내용과 그 이행 자료 |
| 4호 의결일부터 6개월 내 특별한 사유 없이 미착수 | 심의·의결일과 실제 처리 착수일의 대조 |
| 5호 중대한 사정 변경으로 목적 달성이 명백히 불가능 | 사업계획 변경·모델 폐기 등 사정 변경에 관한 계획 |
4호는 날짜 두 개를 대조하면 바로 판정됩니다. 그래서 승인장만이 아니라 승인일과 착수 시점을 보여 주는 자료를 함께 받아야 합니다. 3호는 제28조의12 제2항 후단이 조건부 의결을 허용하기 때문에 생기는 항목이고, 승인 여부만 물으면 조건의 존재 자체를 놓칩니다. 2호는 요건이 심사 시점만이 아니라 계속 충족돼야 한다는 뜻이므로 안전조치의 현재 상태가 문제 됩니다. 5호는 인수 후의 사업 재편이나 모델 폐기 계획과 맞물릴 수 있어 매수인 쪽 사정도 점검 대상이 됩니다. 1호는 대상회사가 위원회에 낸 소명 자료의 정확성 문제입니다.
대상회사의 말 밖에서 대조할 수 있는 자료도 있습니다. 제28조의12 제6항은 심의·의결을 요청한 자와 그 주요 내용, 그리고 위험요인평가 결과의 요약을 위원회가 인터넷 홈페이지 등에 공개하도록 정했고, 제5항은 이용하는 목적과 유형을 제30조에 따른 개인정보 처리방침에 포함하도록 정했습니다. 대상회사가 설명한 이용 범위를 공개된 내용과 처리방침 기재에 대조할 수 있다는 뜻입니다. 감독 이력도 자료 요청 목록에 들어갑니다. 제28조의13은 보호위원회가 심의·의결 사항의 이행 여부를 주기적으로 관리·감독하고 필요한 범위에서 자료 제출을 요구할 수 있도록 정했고, 요구받은 자는 특별한 사정이 없으면 따라야 합니다. 그렇다면 위원회로부터 자료제출 요구를 받은 적이 있는지, 있었다면 무엇을 회신했는지가 승인 상태가 건전하게 유지되고 있는지를 보여 줍니다.
## 셋째 층 — 계약에는 어디에 붙고, 처리가 전부 제한되면 그 다음은
승인은 위원회의 심의·의결에 걸려 있어 당사자가 일정을 통제하지 못합니다. 그래서 클로징 전에 완료 상태를 만들어 두어야 하는 선행조건으로는 다루기 어렵고, 구조상 진술보장·확약·특별면책 쪽으로 가기 쉽습니다. 진술보장에는 승인의 존재와 조건 이행 상태를, 확약에는 클로징 전까지의 조건 준수를 담는 식입니다. 승인이 사후에 제한되는 상황도 미리 배분해 두어야 합니다. 처리가 제한되면 개인정보처리자는 제28조의14 제2항에 따라 지체 없이 필요한 조치를 하고 위원회에 결과를 알려야 하는데, 그 부담을 누가 지는지가 협상 대상입니다.
처리 제한은 그 자체가 보호위원회의 심의·의결 사항으로 열거돼 있습니다(제7조의9 제1항 제6호의4). 1호, 즉 거짓이나 부정한 방법이 문제 되는 경우라면 그 뒤는 조사 국면으로 넘어갑니다. 조사가 시작된 뒤 금액이 어떻게 정해지고 무엇이 실제로 감경으로 인정됐는지는 [과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유](/posts/pipc-fine-mitigation-factors/)에서 결정문 기준으로 정리했습니다. 그리고 처리 전부의 제한은 이미 학습이 끝난 모델과 이미 처리된 데이터를 어떻게 하느냐는 문제로 이어집니다. 제2항의 「필요한 조치」가 그 자리인데, 조문은 그 내용을 정하지 않았고 세부 기준과 절차는 대통령령에 위임돼 있습니다. 아직 정해지지 않았다는 사실 자체가 지금 시점에서는 딜의 위험 요소입니다. 2026년 개정 개인정보 보호법의 나머지 시행 일정은 [2026년 개정 개인정보 보호법 가이드](/guides/pipa-2026-amendment/)에 날짜별로 정리해 두었습니다.
## 세 질문을 경로, 권리, 근거의 순서로 묻는 이유
순서는 검증 자료가 어디서 나오느냐를 따릅니다. 첫째 층의 답은 대상회사가 의무로 보관하는 전송 내역(시행령 제42조의6 제11항)에서 나오므로 가장 먼저 받을 수 있고, 경로가 확정돼야 축적분의 범위가 정해집니다. 둘째 층의 답은 그 축적분 가운데 저작물의 건수와 정가, 그리고 취득 계약서에서 나오는데, 경로가 정리되지 않은 상태에서는 건수 자체를 셀 수 없습니다. 셋째 층의 답은 대상회사의 설명을 위원회의 공개 내용과 처리방침에 대조하는 일이므로, 앞의 두 층에서 데이터의 범위와 출처가 정해진 뒤에야 "그 데이터를 학습에 쓸 근거가 무엇인가"를 물을 수 있습니다.
계약으로 넘길 때의 배분도 세 층이 다릅니다. 축적분의 정리처럼 대상회사가 스스로 할 수 있는 일은 선행조건에, 사전협의나 특례 승인처럼 상대방과 위원회의 일정에 걸린 일은 진술보장과 확약에, 학습데이터 저작권처럼 금액이 추정되는 일은 특별면책의 칸에 들어갑니다. 지적을 선행조건에 넣을지 확약으로 밀지가 무엇으로 갈리는지는 [클로징 전에 고쳐지는 것과 고쳐지지 않는 것](/posts/privacy-findings-cp-vs-covenant/)에서 따로 다뤘습니다.
인수 후에 그 데이터에서 사고가 나면 통지와 신고 의무를 지는 것은 인수한 회사입니다. 조사기관이 가장 먼저 묻는 것이 보유 근거이므로, 실사에서 세 층을 구분해 두었는지가 그 자리에서 그대로 드러나고, 구분해 두지 않은 회사는 그 작업을 조사 중에 하게 됩니다. 인지 이후의 절차는 [유출을 인지한 뒤 72시간](/guides/data-breach-response/)에서 다뤘습니다.
## 자주 묻는 질문
### 대상회사가 사전협의를 마쳤다고 하면 데이터 유입은 안전한 건가요?
유입 경로에 관해서는 그렇습니다. 다만 사전협의(시행령 제42조의6 제3항 제1호 나목)는 앞으로 들어올 유입의 요건이고, 이미 서버에 쌓인 축적분의 보유 근거는 별개입니다. 실사 항목표에서 두 칸을 따로 두어야 합니다.
### 이미 쌓아 둔 데이터는 8월 20일에 바로 위법이 되나요?
그렇게 단정할 수는 없습니다. 개정령 부칙이 시행일만 정하고 적용례·경과조치를 두지 않았으므로, 시행 전에 다른 근거로 수집·보유한 부분까지 저장 금지(제5항)가 소급하는 구조는 아닙니다. 확인할 것은 축적분이 언제 어떤 근거로 들어왔는지의 구분입니다.
### 학습데이터를 외부에서 사 왔으면 대상회사의 책임은 없는 것 아닌가요?
2025나6032 사건의 피고들도 파일을 외부에서 양수했지만 책임을 벗지 못했습니다. 법원은 피고들이 전자책 파일을 보유하고 있었을 뿐인데도 권리관계에 대한 확인 없이 만연히 복제·가공했다고 지적했습니다. 등록되어 있는 저작권을 침해한 자는 그 침해행위에 과실이 있는 것으로 추정되기도 합니다(저작권법 제125조 제6항). 매수 경로 자체가 아니라 권리관계를 확인했다는 절차의 기록이 문제 됩니다. 다만 이 판결은 피고들이 2026년 8월 11일 상고해 대법원에 계속 중인 미확정 판결이므로, 실사 의견서에 인용할 때는 그 사실을 함께 적어야 합니다.
### 대상회사가 AI 학습 특례로 해결한다고 답하면 그대로 받아도 되나요?
지금은 받을 수 없습니다. 특례는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이므로, 현재 학습데이터의 적법근거는 동의나 가명처리 같은 종전 법리로 따로 설명돼야 합니다. 시행 후 승인을 받았더라도 다섯 사유(제28조의14 제1항)로 처리 전부가 제한될 수 있으니, 승인장과 함께 의결일·착수일·조건·이행 자료까지 받아야 합니다.
### 세 층에서 나온 지적을 선행조건으로 넣을 수 있나요?
항목마다 다릅니다. 축적분의 정리처럼 대상회사가 스스로 할 수 있는 일은 선행조건에 가깝고, 사전협의처럼 상대 기업이 있는 절차나 보호위원회의 심의·의결에 걸린 특례 승인처럼 당사자가 일정을 통제하지 못하는 항목은 진술보장·확약·특별면책 쪽에서 다뤄지기 쉽습니다. 학습데이터 저작권은 건수 × 정가 × 0.7 × 5부로 1차 추정한 금액을 진술보증 위반 손해배상이나 특별면책의 칸에 붙입니다. 처리가 사후에 제한될 때 제28조의14 제2항의 조치 부담을 누가 지는지도 미리 배분해 두어야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다. 셋째 층은 2026년 9월 8일 공포된 개인정보 보호법(법률 제21910호)의 조문을 기준으로 작성했으므로, 시행일이 2027년 3월 9일이고 요건과 절차의 상당 부분이 대통령령에 위임돼 있어 하위법령이 확정되기 전입니다.
## 참고 자료
- 개인정보 보호법 시행령(대통령령 제36121호, 2026. 2. 19. 공포, 2026. 8. 20. 시행) 제42조의5 제2항, 제42조의6 제3항 제1호 나목·제5항·제11항. 같은 개정령 부칙(시행일만 규정, 적용례·경과조치 없음)
- 개인정보 보호법 제35조의2(개인정보의 전송 요구), 제38조 제1항(권리행사의 방법 및 절차)
- 서울중앙지방법원 2026. 7. 24. 선고 2025나6032 판결 [손해배상(지)] — 제8-3민사부, 원고일부승, 변론종결 2026. 6. 12. 피고들이 2026. 8. 11. 상고해 미확정. 1심은 서울중앙지방법원 2025. 2. 21. 선고 2023가단5410787 판결(변론종결 2024. 12. 20.). 당사자는 판결문에서 익명 처리되어 있습니다
- [저작권법](https://www.law.go.kr/법령/저작권법) 제35조의5(저작물의 공정한 이용), 제125조(손해배상의 청구), 제126조(손해액의 인정) — 국가법령정보센터. 개정 법률 제21336호(2026. 2. 10. 공포, 2026. 8. 11. 시행. 다만 제2조, 제133조의2부터 제133조의4까지 및 제142조제2항제4호의 개정규정은 2026. 5. 11. 시행). 제125조 제4항·제5항은 이 개정으로 신설됐고, 부칙 제2조(손해배상책임에 관한 적용례)에 따라 시행 이후 발생한 침해행위부터 적용됩니다
- 개인정보 보호법 일부개정법률(법률 제21910호, 2026. 9. 8. 공포, 2027. 3. 9. 시행 / 의안번호 2220246, 2026. 8. 20. 국회 본회의 통과) 제7조의9 제1항 제6호의4, 제28조의12·제28조의13·제28조의14, 부칙(공포 후 6개월 시행)
---
# 자동 생성한 개인정보 처리방침, 실사와 조사에서는 어떻게 읽히나 — 문서가 있다는 것과 문서가 맞다는 것
- URL: https://datalaw.kr/posts/autogenerated-privacy-policy-mismatch/
- 게시 2026-08-10 · 수정 2026-08-28 · 태그: 기업인수, 개인정보처리방침, 개인정보보호법, 스타트업실무
- 요약: 생성 도구나 템플릿으로 만든 개인정보 처리방침의 위험은 문서의 품질이 아니라 회사의 실제 처리와의 불일치에 있습니다. 처리방침은 개인정보 보호법 제30조 제1항이 정한 실제 처리 내역의 공개 의무이므로, 실제와 다른 문서는 실사에서 데이터 흐름과 한 번 대조하는 것만으로 드러나고, 조사에서는 회사가 스스로 적어낸 진술로 읽힙니다. 실제보다 후하게 적힌 약속은 제30조 제3항에 따라 회사를 구속하는 방향으로 작동합니다.
> **핵심 요약**: 개인정보 처리방침은 문서 작성 의무가 아니라 실제 처리 내역의 공개 의무입니다(개인정보 보호법 제30조 제1항, 시행령 제31조 제1항). 자동 생성 도구나 템플릿으로 만든 처리방침이 위험해지는 것은 문장이 어색해서가 아니라, 실제 안 하는 처리를 나열하거나 실제 하는 위탁·국외 이전을 빠뜨려 회사의 실제와 어긋날 때입니다. 그 불일치는 실사에서 데이터 흐름과의 대조 한 번으로 드러나고, 조사에서는 회사가 스스로 적어낸 진술이 되며, 실제보다 후한 약속은 제30조 제3항에 따라 회사를 구속합니다.
## 자동 생성 처리방침에서 반복되는 불일치 세 가지
처리방침을 도구로 만드는 것 자체는 문제가 아닙니다. 개인정보보호위원회도 작성지침을 두고 준수를 권장할 뿐(제30조 제4항), 작성 방법을 제한하지 않습니다. 문제는 산출물이 회사의 실제와 어긋나는 전형적인 유형이 있다는 것입니다.
첫째, 하지 않는 처리가 들어갑니다. 템플릿이 넣어 준 민감정보 항목, 쓰지 않는 자동 수집 장치, 운영하지 않는 파기 절차가 그대로 남습니다. 둘째, 하는 처리가 빠집니다. 분석 도구·고객관리 SaaS로 나가는 데이터가 위탁 항목과 국외 이전 항목에 없는 경우가 대표적이고, [국외 이전 근거의 흠은 실사의 자료 대조만으로 드러납니다](/posts/sdk-processor-vs-third-party-transfer/). 셋째, 숫자가 다릅니다. 문서의 보유 기간과 실제 데이터베이스의 보관 상태가 다르고, 탈퇴 시 즉시 파기라는 문장과 백업 보관 주기가 다릅니다.
이 세 유형의 공통점은, 문서만 읽어서는 보이지 않고 실제 처리 흐름과 대조해야 보인다는 점입니다. 그리고 실사와 조사가 하는 일이 정확히 그 대조입니다.
## 문서가 실제와 다르면 어느 조문이 걸리나
처리방침을 정하지 않거나 공개하지 않으면 1천만원 이하의 과태료 대상입니다(제75조 제4항 제8호). 그런데 자동 생성 처리방침은 대개 존재하고 공개되어 있으므로, 이 조문은 작은 문제입니다.
실질적인 위험은 기재사항 목록이 실체 의무와 하나씩 연결되어 있다는 데서 나옵니다. 처리방침에는 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차, 위탁, 정보주체의 권리 행사 방법, 처리하는 개인정보의 항목, 국외 이전의 근거와 고지 사항, 안전조치가 들어가야 합니다(제30조 제1항, 시행령 제31조 제1항). 처리방침에 없는 위탁이 실제로 있다면 수탁자 공개 의무 위반이 함께 성립하고(제26조 제2항, 제75조 제4항 제5호), 국외 이전 항목의 누락은 제28조의8의 고지·동의 구조가 지켜졌는지에 대한 의문으로 곧장 이어집니다.
조사 국면에서 처리방침의 역할은 하나 더 있습니다. 처리방침은 회사가 자기 처리 실태에 관해 스스로 적어 공개한 진술이므로, 조사기관은 신고서·시스템 기록과 처리방침을 대조하는 것에서 시작합니다. 문서와 실제의 차이는 그 자체로 설명을 요구받는 항목이 됩니다.
## 실제보다 후하게 적혀 있으면 오히려 안전한가
반대입니다. 개인정보 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용합니다(제30조 제3항). 자동 생성 문서가 넣어 준 탈퇴 즉시 파기, 넓은 열람 보장 같은 관대한 문장은, 회사의 실제 운영이나 약관과 어긋나는 순간 회사가 이행해야 할 기준으로 올라섭니다.
과다 기재도 마찬가지입니다. 하지 않는 처리를 나열해 두면 정보주체에게 그 처리를 한다고 알린 셈이 되어, 불일치 항목이 늘어날 뿐 아무것도 방어해 주지 않습니다. 처리방침은 넓게 쓰는 문서가 아니라 맞게 쓰는 문서입니다.
## 실사에서는 이 문서를 어떻게 쓰나
인수인 측 실사라면 처리방침은 출발점 문서입니다. [자료요청 목록](/posts/due-diligence-data-request-list/)에서 받은 위탁 계약·인프라 구성·수집 양식과 처리방침을 대조하면, 대상회사의 개인정보 관리 수준이 문서 관리 수준부터 드러납니다. 자동 생성 흔적 자체는 감점 사유가 아니지만, 불일치가 나오면 그 항목은 실체 위반의 단서로 승격됩니다.
지적이 나온 다음은 조항 배치의 문제입니다. [클로징 전에 완료 상태를 만들 수 있는지로 선행조건과 확약을 가르는 기준](/posts/privacy-findings-cp-vs-covenant/)을 적용하면, 처리방침 정비는 클로징 전에 끝낼 수 있으므로 선행조건으로 잡을 수 있습니다. 그러나 문서를 고치는 것은 장래를 향한 정비일 뿐이고, 없던 공개가 있었던 것이 되지는 않으므로, 불일치 상태로 운영된 기간의 위험은 진술보증과 면책의 영역에 남습니다.
## 처리방침 평가제가 이 문서를 규제 접점으로 만든다
2023년 신설된 처리방침 평가제에 따라 개인정보보호위원회는 기재사항의 적정성, 알기 쉬운 작성, 공개 방법을 평가하고 개선을 권고할 수 있습니다(제30조의2, 제61조 제2항). 처리방침은 회사 문서 중 드물게 상시 공개되어 있어 규제기관이 회사를 처음 만나는 지점이 됩니다. 자동 생성 여부는 평가 항목이 아니지만, 템플릿 문장이 회사의 실제와 맞는지는 정확히 평가의 대상입니다.
## 이 확인은 사고가 났을 때 어떻게 쓰이나
앞에서 조사 국면의 시작점을 짚었습니다. 조사기관은 신고서·시스템 기록과 처리방침을 대조하는 것에서 출발하고, 문서와 실제의 차이는 그 자체로 설명을 요구받는 항목이 됩니다.
유출 사고에서 이 순서가 그대로 나타납니다. 회사가 통지·신고에 대응하는 동안 상시 공개돼 있던 처리방침은 이미 조사기관의 손에 있습니다. 사고 이후에 문서를 고치는 것은 장래를 향한 정비일 뿐이고, 불일치 상태로 운영된 기간은 그대로 남습니다. 그래서 처리방침 점검은 사고 대응 항목이 아니라 사고 전에 끝내 두어야 할 항목입니다. 인지 이후의 시간표 자체는 [개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
## 자주 묻는 질문
### Q. 자동 생성 도구로 처리방침을 만들면 안 되나요?
도구 자체가 문제인 것은 아닙니다. 법은 처리방침을 어떤 방법으로 작성했는지 묻지 않고, 기재된 내용이 실제 처리와 맞는지를 봅니다. 문제는 도구에 입력하는 사실관계가 실제와 다르거나, 서비스가 바뀌었는데 문서만 그대로일 때 생깁니다. 어떤 방법으로 만들었든 산출물이 실제 처리 흐름과 일치하는지 검증할 책임은 개인정보처리자인 회사에 있습니다.
### Q. 처리방침을 지금 고치면 과거 문제도 해소되나요?
문서 정비는 장래를 향해서만 작동합니다. 처리방침에 없던 위탁이나 국외 이전이 이미 이루어지고 있었다면, 문서를 고쳐도 그 기간의 공개 의무 위반 상태가 소급해서 사라지지는 않습니다. 다만 실사나 조사 국면에서 지적 후 신속한 정비는 그 자체로 의미가 있으므로, 고치지 않을 이유는 되지 않습니다. 고치는 것과 과거가 지워지는 것을 구별해서 계획하면 됩니다.
### Q. 실제보다 넓게 적어 두면 안전한 것 아닌가요?
반대로 작동합니다. 개인정보 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다르면 정보주체에게 유리한 것을 적용하므로(제30조 제3항), 실제 운영보다 후한 약속이 회사의 기준이 됩니다. 또한 하지 않는 처리를 나열해 두면 정보주체에게는 그 처리를 한다고 알린 셈이 되어, 문서와 실제의 불일치 항목만 늘어납니다. 넓게 쓰는 것은 안전 마진이 아니라 불일치의 확대입니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제26조·제28조의8·제30조·제30조의2·제61조·제75조
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제31조
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 실사에서 위치기반서비스 신고 누락이 나왔다 — 지금 신고해서 해결되는 것과 되지 않는 것
- URL: https://datalaw.kr/posts/lbs-filing-gap-in-dd/
- 게시 2026-08-10 · 수정 2026-08-28 · 태그: 기업인수, 스타트업실무
- 요약: 위치기반서비스사업 신고 누락은 실사에서 자주 나오는 지적이지만, 과태료 문제로 읽으면 위험의 크기를 놓칩니다. 신고하지 않고 개인위치정보 기반 서비스를 운영한 행위는 위치정보법 제40조 제2호의 형사처벌 대상이고, 양벌규정에 따라 법인과 행위자가 함께 기소될 수 있습니다. 신고 자체는 클로징 전에 마칠 수 있어 선행조건으로 잡을 수 있지만, 이미 지나간 무신고 영업 기간의 형사 위험은 신고로 지워지지 않으므로 면책과 가격의 문제로 다루어야 합니다.
> **핵심 요약**: 실사에서 위치기반서비스사업 신고 누락이 나오면 두 가지를 갈라서 보아야 합니다. 신고 자체는 지금이라도 할 수 있으므로 클로징 전 선행조건으로 잡을 수 있습니다. 그러나 신고 없이 개인위치정보 기반 서비스를 운영한 행위는 위치정보법 제40조 제2호에 따라 3년 이하의 징역 또는 3천만원 이하의 벌금에 처하는 형사처벌 대상이고, 제42조의 양벌규정으로 법인도 함께 처벌될 수 있으며, 이 위험은 사후 신고로 소급해서 지워지지 않습니다. 지워지지 않는 부분은 이행 조항이 아니라 면책과 가격으로 다루어야 합니다.
## 어떤 서비스가 신고 대상인가
앱이나 기기로 이용자의 위치를 받아 서비스에 쓰는 사업, 곧 개인위치정보를 대상으로 하는 위치기반서비스사업을 하려는 자는 방송미디어통신위원회에 신고해야 합니다(위치정보법 제9조 제1항). 개인위치정보를 대상으로 하지 않는 위치기반서비스사업은 2025년 10월 1일 시행 개정으로 신고 대상에서 제외되었고, 위치정보를 수집해 위치기반서비스사업자에게 제공하는 위치정보사업은 별도로 등록(개인위치정보 대상, 제5조) 또는 신고(제5조의2) 체계를 따릅니다. 신고 절차 자체는 이 글의 주제가 아니므로 여기까지만 적습니다.
실사 관점에서 중요한 것은 판별입니다. 대상회사가 신고를 안 한 경우보다, 자기 서비스가 신고 대상인지 검토한 적 자체가 없는 경우가 더 많습니다. 위치 기능이 서비스의 본체가 아니라 부가 기능일 때, 개발팀은 기능으로 인식하고 법무는 존재를 모르는 상태로 몇 년이 흐른 회사를 실사에서 만나게 됩니다.
## 신고 누락은 과태료 문제가 아니다
실사보고서에서 신고 누락 지적은 다른 인허가 미비와 나란히 한 줄로 적히기 쉽습니다. 그런데 위치정보법의 제재 구조는 다릅니다. 신고를 하지 아니하고 위치기반서비스사업을 한 자는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처합니다(제40조 제2호). 과태료가 아니라 형벌이고, 제42조의 양벌규정에 따라 행위자를 벌하는 외에 법인에도 벌금형이 부과될 수 있습니다.
실제 기소까지 간 사례가 있습니다. 검찰은 2015년 7월 우버의 한국법인과 창업자 겸 대표를 위치정보법 위반 혐의로 불구속 기소했습니다. 2013년 8월부터 2015년 2월까지 위치기반서비스사업 신고 없이 앱으로 기사와 승객을 연결한 혐의였고, 당시 소관기관이던 방송통신위원회의 고발로 수사가 시작되었습니다(연합뉴스 2015. 7. 6.자 보도 기준). 법인만이 아니라 대표 개인이 함께 기소되었다는 점이 이 사례의 요점입니다.
## 지금 신고하면 되는 것 아닌가
절반만 맞습니다. [실사 지적을 선행조건과 확약으로 가르는 기준](/posts/privacy-findings-cp-vs-covenant/)을 여기에 그대로 적용해 보면, 신고 누락은 두 층으로 쪼개집니다.
앞으로의 영업은 만들 수 있는 상태입니다. 신고서를 내고 방송미디어통신위원회가 수리하면(제9조 제5항) 그때부터의 영업은 적법합니다. 수리까지 걸리는 시간을 감안해도 클로징 전에 완료 상태를 확인할 수 있으므로, 신고 수리는 선행조건으로 기능합니다.
지나간 영업은 만들 수 없는 상태입니다. 신고 전에 이미 이루어진 무신고 영업을 소급해서 적법하게 만드는 제도는 위치정보법에 없습니다. 제40조 제2호의 죄는 장기 3년의 징역에 해당하므로 공소시효는 5년입니다(형사소송법 제249조 제1항 제5호). 신고를 마친 뒤에도 그 기간 동안 위험은 잠재해 있고, 실사보고서가 누락 사실을 문서로 남기는 순간 회사가 알고 있었다는 기록도 함께 생깁니다.
한 가지 덧붙이면, 서둘러 신고하면서 사업 개시 시점 등을 사실과 다르게 적는 것은 최악의 선택입니다. 거짓이나 부정한 방법으로 신고한 때에는 등록·인가 취소 또는 사업 폐지를 명하여야 하는 필요적 처분 사유가 됩니다(제13조 제1항 제1호).
## 딜 구조에 따라 셈법이 달라진다
주식양수도라면 법인격이 그대로이므로 무신고 영업 기간의 형사 위험은 인수 후에도 회사 안에 남습니다. 매수인은 [진술보증 위반으로 과징금·벌금 손해를 매도인에게 물을 수 있는지](/posts/ma-reps-warranties-privacy-claims/)의 문제로 이 위험을 배분해 두어야 합니다. 인허가 일반 조항만으로는 부족하고, 위치정보법상 신고·등록의 존재와 유지를 명시한 진술 항목이 있어야 다툼이 줄어듭니다.
영업양수도라면 층이 하나 더 생깁니다. 제9조 신고를 한 자의 사업을 양수한 경우 양수인은 승계 신고를 하고(제10조 제1항) 양도인의 지위를 승계하지만(같은 조 제3항), 이 승계 구조는 신고된 사업을 전제로 합니다. 애초에 신고가 없던 사업을 양수하면 승계 신고로 정리할 대상이 없으므로, 양수인이 제9조 제1항의 신고를 처음부터 해야 하는 상태가 됩니다. 승계 신고를 게을리한 경우의 과태료(제43조 제2항 제1호, 1천만원 이하)와는 국면이 다른 문제입니다. 참고로 개인위치정보를 대상으로 하는 위치정보사업자의 사업 양수·합병은 신고가 아니라 인가 사항입니다(제7조 제1항).
## 그래서 계약에는 어떻게 쓰나
정리하면 세 자리입니다. 신고 수리는 선행조건에 넣습니다. 클로징 전에 완료를 확인할 수 있는 상태이기 때문입니다. 무신고 영업 기간의 형사·행정 위험은 확약으로 밀어도 지워지지 않으므로, 위치정보법 위반을 특정한 특별면책이나 매매대금 조정으로 값을 매깁니다. 그리고 [실사 자료요청 목록](/posts/due-diligence-data-request-list/)을 잡는 단계에서 위치 기능의 존재와 신고 이력을 대조 항목으로 넣어 두면, 이 판별을 협상 후반이 아니라 초반에 끝낼 수 있습니다.
## 이 확인은 사고가 났을 때 어떻게 쓰이나
이 항목은 딜이 끝난 뒤에도 살아 있습니다. 개인위치정보를 다루는 서비스에서 사고가 나면 회사는 개인정보 보호법상 통지·신고 절차를 밟게 되는데, 그 과정에서 회사가 어떤 자격으로 그 정보를 수집해 왔는지가 함께 드러납니다. 신고 대상인 줄 몰랐다는 답이 통하지 않는 자리가 바로 여기입니다.
앞에서 본 대로 신고는 장래를 향해서만 효력이 있고, 이미 지나간 무신고 영업 기간은 신고로 지워지지 않습니다. 그래서 인수 후 통합 단계에서 이 항목을 미뤄 두면, 사고가 그것을 대신 드러내는 순서가 됩니다. 사고 인지 이후에 무엇을 먼저 해야 하는지는 [개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
## 자주 묻는 질문
### Q. 지금이라도 신고하면 과거 문제는 해소되나요?
장래를 향해서는 해소됩니다. 방송미디어통신위원회가 신고를 수리하면 그때부터의 영업은 적법합니다. 그러나 신고 전에 이미 이루어진 무신고 영업이 소급해서 적법해지는 것은 아닙니다. 위치정보법 제40조 제2호의 죄는 3년 이하의 징역에 해당하여 공소시효가 5년이므로(형사소송법 제249조 제1항 제5호), 실제로 문제 삼을지는 별론으로 하더라도 위험 자체는 신고 후에도 한동안 남습니다.
### Q. 소상공인은 신고 없이 해도 된다고 들었는데요?
소상공인기본법상 소상공인과 1인 창조기업은 신고 없이 위치기반서비스사업을 시작할 수 있습니다(위치정보법 제9조의2 제1항 본문). 다만 사업 개시 후 1개월이 지나서도 계속하려면 1개월 이내에 간이한 사항을 신고해야 하고, 소상공인 지위를 벗어나면 그 사유 발생일부터 1개월 이내에 제9조 신고 사항을 보완해 신고해야 합니다(같은 조 제4항). 성장한 회사가 창업기의 특례를 근거로 계속 무신고 상태인 경우가 실사에서 자주 발견되는 유형입니다.
### Q. 주식양수도로 인수하면 매수인이 처벌받게 되나요?
형사책임은 행위자와 그 법인에 귀속됩니다(위치정보법 제42조). 주식양수도는 회사의 주인이 바뀔 뿐 법인격이 그대로이므로, 무신고 영업 기간에 대한 법인의 형사 위험은 인수 후에도 회사 안에 남습니다. 매수인 개인이 과거 행위로 처벌받는 것은 아니지만, 인수한 회사가 벌금형을 받으면 그 손해는 결국 매수인의 것이 됩니다. 진술보증과 면책 조항으로 배분해 두어야 하는 이유입니다.
## 참고 자료
- [위치정보의 보호 및 이용 등에 관한 법률](https://www.law.go.kr/법령/위치정보의보호및이용등에관한법률) 제2조·제5조·제5조의2·제7조·제9조·제9조의2·제10조·제13조·제39조·제40조·제42조·제43조
- [형사소송법](https://www.law.go.kr/법령/형사소송법) 제249조 제1항 제5호
- [연합뉴스, 「'위치정보사업자 미신고 영업' 우버택시 추가 기소」(2015. 7. 6.)](https://www.yna.co.kr/view/AKR20150706066100004)
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 대상회사에 개인정보 과징금 이력이 있습니다 — 그 처분이 3년 가중의 방아쇠가 되는 경우와 되지 않는 경우
- URL: https://datalaw.kr/posts/prior-sanction-three-year-clock/
- 게시 2026-08-10 · 수정 2026-09-11 · 태그: 기업인수, 과징금제재, 개인정보보호법
- 요약: 대상회사의 과거 개인정보 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 개정법 부칙 제3조 제1항이 시행 이후 발생한 위반행위로 받은 과징금 부과처분부터 재위반 가중을 적용하기 때문입니다. 반면 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 그래서 실사에서는 처분의 유무가 아니라 처분의 종류와 근거 호, 날짜, 그리고 지금도 이어지는 위반 상태를 확인해야 합니다.
> **핵심 요약**
> 대상회사의 과거 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 이날 시행된 개정 개인정보 보호법은 재위반 시 과징금 상한을 전체 매출액의 3%에서 10%로 올렸지만, 그 방아쇠가 되는 것은 시행 이후 발생한 위반행위로 받은 과징금 부과처분뿐이기 때문입니다(부칙 제3조 제1항). 반대로 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다(부칙 제3조 제2항). 그래서 실사에서 더 급한 것은 과거 처분의 유무보다, 지금도 이어지고 있는 위반 상태입니다.
실사 자료요청 목록에는 보통 개인정보위 제재 이력의 유무를 묻는 항목이 있습니다. 대상회사가 "없음"이라고 회신하면 그 칸은 닫히고, "있음"이라고 회신하면 처분 공문 사본 한 장을 받고 넘어가는 경우가 많습니다.
그런데 개정 개인정보 보호법 제64조의2 제2항은 유무를 묻지 않습니다. 어떤 처분을, 어느 호로, 언제 받았는지에 따라 결과가 갈립니다. 유무만 확인한 실사는 이 조문 앞에서 답을 갖고 있지 않습니다.
## 「제재 이력 있음」으로는 왜 부족한가
개정 제64조의2 제2항 제1호가 적용되려면 네 가지가 동시에 충족되어야 합니다. ① 과거의 처분이 같은 조에 따른 과징금 부과처분일 것, ② 제1항의 같은 호에 해당하는 위반행위가 반복될 것, ③ 처분을 받은 날부터 3년이 경과하기 전일 것, ④ 앞뒤 위반행위에 각각 고의 또는 중대한 과실이 있을 것입니다.
거꾸로 말하면 과태료 처분, 시정조치 명령, 개선권고는 이 조항의 방아쇠가 아닙니다. 근거 호가 다른 위반이 반복되어도 마찬가지입니다. 그래서 실사에서 특정해야 하는 것은 유무가 아니라 **처분의 종류, 근거 호, 처분받은 날짜**입니다.
## 3년 시계는 언제부터 도나
부칙 제3조 제1항은 적용 범위를 한 번 더 좁힙니다. 제2항 제1호는 이 법 시행 이후 발생한 위반행위로 과징금 부과처분을 받은 후 다시 같은 호의 위반행위를 한 경우부터 적용됩니다. 첫 번째 위반행위 자체가 시행일 이후의 것이어야 한다는 뜻입니다.
따라서 2026년 9월 11일 직후의 딜에서 과거 처분 이력이 곧바로 10% 구간을 의미하지는 않습니다. 3년의 시계는 시행 이후에 비로소 쌓이기 시작합니다.
## 지금 실사에서 더 급한 것은 무엇인가
같은 부칙이 제2호에 대해서는 반대로 정합니다. 고의 또는 중대한 과실로 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우를 정한 제2호는 시행 당시 종료되지 아니한 위반행위에도 적용됩니다(부칙 제3조 제2항). 과거에 시작되어 지금도 끝나지 않은 위반 상태가 여기에 걸립니다.
제3호, 즉 시정조치 명령에 따르지 않아 유출등이 발생한 경우는 시행 이후 받은 시정조치 명령부터 적용됩니다(부칙 제3조 제3항). 그래서 이행이 끝나지 않은 시정조치 명령의 존재가 실사 항목이 됩니다. 자료요청 목록을 어떻게 짜야 하는지는 [실사에서 개인정보를 볼 때 무엇을 요청해야 하나](/posts/due-diligence-data-request-list/)에서 다뤘습니다.
## 처분 이력은 공표를 검색해서 확인할 수 있나
확인되지 않는 구간이 있습니다. 법 제66조 제1항의 공표는 공표할 수 있다는 재량 규정입니다.
시행령 제61조 제1항이 공표 항목으로 정한 것도 위반행위의 내용, 위반행위를 한 자, 처분의 내용 및 결과 세 가지뿐입니다. 재위반 판단에 필요한 **근거 조항은 열거 항목에 들어 있지 않고**, 게재 기간을 정한 규정도 없습니다. 어떤 처분이 공표되고 어떤 처분이 되지 않는지는 [결과 공표가 무엇으로 결정되는가](/posts/pipc-result-publication-criteria/)에서 따로 정리했습니다.
## 그러면 무엇을 받아 보아야 하나
의결서가 공개된 건이라면 이력 자체는 밖에서도 확인됩니다. 결정문 게시판에 본문이 공개된 제재 의결 889건을 피심인·의결일·근거 조문으로 조회할 수 있게 정리해 두었습니다 — [개인정보위 제재 추적기](/sanctions/). 다만 위원회가 비실명 처리한 건이 상당수이고 공개까지 시차가 있어, **여기서 안 나온다고 처분 이력이 없다는 뜻은 아닙니다.** [공개 자료에서 처분이 드러나는지를 가르는 기준](/posts/sanction-history-blind-period/)은 시기가 아니라 처분의 크기이고, 과태료에서 끝난 작은 처분일수록 회사 이름이 남지 않는 경우가 많습니다. 실사에서는 아래 서류를 직접 받아야 합니다.
공표 트랙과 별도로 의결서 트랙이 있습니다. 「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제25조의3은 의결서 공개를 원칙으로 정하고, 제25조 제1항은 의결서에 주문과 이유를 적도록 합니다. 근거 호와 처분 날짜는 여기서 나옵니다.
다만 소위원회에서 심의·의결한 사건은 약식 의결서가 가능하고, 명예나 정당한 이익을 해할 우려가 있는 부분은 비식별화되어 공개될 수 있습니다. 그래서 대상회사에서 직접 받아야 하는 것은 **송달받은 의결서 정본**과 시정조치 명령의 이행 결과 통보 사본입니다(같은 규정 제25조의2 제1항, 제27조 제1항). 처분은 의결서를 송달받은 날부터 효력이 발생하므로(제25조의2 제3항), 날짜를 특정하는 기준도 이 서류입니다.
## 이 확인은 사고가 났을 때 어떻게 쓰이나
이 확인은 딜이 끝난 뒤 다시 쓰입니다. 인수 후 유출을 인지하면 통지와 신고 의무를 지는 것은 인수한 회사이고, 그 시점의 대응은 [유출을 인지한 뒤 72시간 안에 해야 할 일](/guides/data-breach-response/)에서 정리했습니다.
조사가 시작되면 과거에 같은 호로 처분을 받았는지, 시정조치 명령을 이행했는지가 바로 드러납니다. 실사에서 특정해 둔 근거 호와 날짜가 그때 익스포저 계산의 출발점이 됩니다. 가중이 아니라 반대쪽, 즉 어떤 사정이 실제로 감경으로 인정됐는지는 [과징금이 '전체 매출액 기준'으로 바뀐 뒤, 실제로 감경이 인정된 사유들](/posts/pipc-fine-mitigation-factors/)에 의결별로 갈라 두었습니다. 이 위험을 계약 문언에 어떻게 반영할지는 [매도인에게 진술보증 위반 책임을 물을 수 있나](/posts/ma-reps-warranties-privacy-claims/)에서 다뤘습니다.
## 자주 묻는 질문
### 과태료나 시정조치 명령 이력도 3년 가중의 기산점이 되나요?
아닙니다. 개정 제64조의2 제2항 제1호는 이 조에 따른 과징금 부과처분을 받은 날부터 3년으로 정하고 있으므로, 기산점이 되는 것은 과징금 부과처분뿐입니다. 과태료 부과, 시정조치 명령, 개선권고는 이 조항의 기산점이 아닙니다. 다만 시정조치 명령에 따르지 아니하여 유출등에 이른 경우는 같은 항 제3호에 해당할 수 있으므로 별도로 확인해야 합니다.
### 2026년 9월 11일 전에 받은 과징금 처분은 어떤 의미가 있나요?
부칙 제3조 제1항에 따라 제2항 제1호는 이 법 시행 이후 발생한 위반행위로 과징금 부과처분을 받은 후 다시 같은 호의 위반행위를 한 경우부터 적용됩니다. 따라서 시행 전에 받은 과징금 처분은 10% 가중의 기산점이 되지 않습니다. 다만 위반행위가 시행 전에 시작되어 시행 당시 종료되지 않았다면 피해 규모 1천만 명 이상을 정한 제2항 제2호가 적용될 수 있습니다(부칙 제3조 제2항). 그래서 처분 날짜만이 아니라 위반 상태가 끝났는지도 함께 확인해야 합니다.
### 실사에서 처분 이력을 확인하려면 어떤 서류를 요청해야 하나요?
대상회사가 송달받은 의결서 정본이 기본입니다(「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제25조의2 제1항). 의결서에는 주문과 이유가 기재되므로(같은 규정 제25조 제1항) 처분의 종류와 근거 호, 날짜를 특정할 수 있습니다. 시정조치 명령이 있었다면 이행 결과 통보 사본(같은 규정 제27조 제1항)까지 받아야 제2항 제3호의 리스크를 확인할 수 있습니다. 공표 검색만으로는 근거 조항이 확인되지 않는 구간이 있기 때문입니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 시행 2025. 10. 2.) 제64조의2·제66조
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36121호, 2026. 8. 20. 시행) 제60조의2·제61조
- 개인정보 보호법(법률 제21445호, 2026. 3. 10. 일부개정, 2026. 9. 11. 시행) 제64조의2, 부칙 제1조·제3조
- 개인정보보호위원회 훈령 [「개인정보 보호위원회의 조사 및 처분에 관한 규정」](https://www.law.go.kr/행정규칙/개인정보보호위원회의조사및처분에관한규정)(2023. 10. 16. 발령) 제25조·제25조의2·제25조의3·제26조·제27조
- 개인정보보호위원회 훈령 [「개인정보 보호위원회 운영규칙」](https://www.law.go.kr/행정규칙/개인정보보호위원회운영규칙) 제12조
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 실사에서 나온 개인정보 지적을 선행조건으로 넣을 수 있나 — 클로징 전에 고쳐지는 것과 고쳐지지 않는 것
- URL: https://datalaw.kr/posts/privacy-findings-cp-vs-covenant/
- 게시 2026-08-09 · 수정 2026-09-11 · 태그: 기업인수, 과징금제재, 개인정보보호법
- 요약: 실사에서 개인정보 지적이 나오면 그다음은 계약 조항 배치의 문제가 됩니다. 갈림은 지적의 중요도가 아니라 클로징 전에 완료 상태를 만들 수 있는지입니다. 위탁 문서 체결이나 손해배상책임 보험 가입은 선행조건으로 잡히지만, 동의 없이 이미 제공되거나 국외로 나간 데이터는 소급해 적법하게 만들 수 없어 확약으로 밀립니다. 확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.
> **핵심 요약**: 실사에서 나온 개인정보 지적을 계약 어디에 넣을지는 중요도가 아니라, 클로징 전에 완료 상태를 만들 수 있는지로 갈립니다. 없던 위탁 문서 체결이나 보험 가입은 선행조건으로 잡을 수 있습니다. 소급해서 적법하게 만들 수 없는 지적은 확약으로 밀어도 과거가 지워지지 않습니다. 그런 것은 확약이 아니라 특별면책이나 매매대금 조정 같은 값의 문제로 처리해야 합니다.
## 선행조건으로 넣을 수 있는 지적은 어떤 것인가
실사 지적을 나누는 기준은 심각성이 아니라, 클로징 전에 "완료됐다"고 확인할 수 있는 상태가 만들어지는지입니다. [실사에서 요청할 자료 목록](/posts/due-diligence-data-request-list/)을 잡을 때부터 이 구분을 함께 보면 협상이 빨라집니다. 그 자료를 매도인이 무슨 근거로 넘기는지는 또 다른 문제인데, [실사 단계의 제공은 영업양도 조항으로 설명되지 않는다](/posts/business-transfer-notice-both-parties/)에서 따로 봤습니다.
개인정보 보호법 제26조 제1항의 위탁 문서는 없던 문서를 체결하면 끝납니다. 같은 조 제2항의 수탁자 공개, 제39조의7의 보험·공제 가입 또는 준비금 적립도 같은 구조입니다.
보험은 딜 자체가 방아쇠가 되기도 합니다. 시행령 제48조의7 제1항 제2호 단서는 영업 양수나 분할·합병으로 개인정보를 이전받은 경우, 평시 기준(전년도 말 기준 직전 3개월 일일평균 1만명) 대신 "이전받은 시점"을 기준으로 삼습니다. 매출액등 10억원 이상인 회사라면 가입 의무가 클로징과 함께 걸릴 수 있으니, 별표 1의4의 최저가입금액을 확인해 선행조건으로 잡아 두기 좋습니다. 다만 이 의무보험의 공개된 약관은 [과징금을 보상 대상에서 제외](/posts/breach-fine-insurance-coverage/)하므로, 가입 확인만으로 과징금 위험이 덮이지는 않습니다.
## 왜 어떤 지적은 종결 후 확약으로 밀리나
확약으로 밀리는 지적들의 공통점은 소급해서 상태를 만들 수 없다는 점입니다. 제17조 제1항 제1호의 제3자 제공 동의는 제공에 앞서 받는 구조이고, 제28조의8 제2항은 국외 이전 동의를 "미리" 알리고 받도록 합니다. 이미 나간 데이터를 사후 동의로 없던 일로 만드는 제도는 법에 없습니다.
[국외 이전 근거의 흠은 실사의 자료 대조만으로도 드러나는](/posts/sdk-processor-vs-third-party-transfer/) 경우가 많습니다. 남는 선택지는 제21조 제1항의 파기인데, 파기는 인수인이 사려던 자산 자체를 줄입니다. 그래서 협상에서는 "앞으로 이렇게 하겠다"는 확약으로 밀립니다.
**확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.**
## 고쳐 놓으면 제재 위험도 같이 사라지나
그렇지 않습니다. 시정은 부과 여부를 가르는 요건이 아니라 고려사항일 뿐입니다. 현행 제64조의2 제4항의 고려사항 11개 중 제11호가 시정을 위한 조치 여부, 제10호가 보호를 위한 노력입니다.
부과하지 아니할 수 있는 사유는 제5항에 따로 있고, 그중 제4호는 시행령 제60조의2 제5항상 시정에 더해 보호위원회 고시 기준 충족까지 요구합니다.
항 번호는 곧 밀립니다. 아래에서 볼 개정법이 제6항에 감경 조항을 새로 넣기 때문에, 2026년 9월 11일부터 고려사항은 제5항 제11호, 부과하지 아니할 수 있는 사유는 제7항 제4호가 됩니다. 내용은 그대로입니다.
과태료는 더 단순합니다. 제75조는 안전조치 미이행에 3천만원 이하, 위탁 문서·수탁자 공개·처리방침 미비에 각 1천만원 이하를 정하는데, 조치를 하지 않은 것 자체를 문제 삼습니다.
## 9월 11일 이후에는 이 계산이 어떻게 달라지나
2026년 9월 11일 시행된 개정법은 제64조의2에 제6항을 신설해, 예산·인력·설비 등을 투자·운영하는 대통령령상 사유가 있으면 과징금을 "감경한다"고 정했습니다. 문언이 "감경할 수 있다"가 아니므로 클로징 전 시정 투자의 값이 올라갑니다. 다만 고의 또는 중대한 과실이면 이 감경에서 제외됩니다.
첫째, 대상회사의 처분 이력이 시계를 만듭니다. 신설 제2항 제1호가 부과처분일부터 3년 내의 같은 호 재위반(고의 또는 중대한 과실에 한정)에 전체 매출액의 100분의 10까지 상한을 올리고, 제3호가 시정조치 명령 불이행에 따른 유출을 같은 자리에 두기 때문입니다. 실사에서 처분 이력과 그 날짜를 확인해야 할 이유입니다.
둘째, 실사보고서가 지적을 문서로 남기는 순간 회사가 알고 있었다는 기록이 생깁니다. 확약 기한을 길게 잡는 것의 대가가 여기서 나옵니다. 고의·중과실 판단은 개별 사안의 몫이라 단정할 수 없지만, 늦은 이행이 그런 평가를 받을 여지는 생깁니다.
제6항의 감경 사유를 정할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 투자 규모·비율·지속성, 대표자의 책임 이행, 보호책임자 조직 등을 고려해 고시가 정하는 기준을 충족하면 기준금액의 40% 이내에서 감경합니다. 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호) 제8조의3이 정했습니다. 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 보므로, 실사에서는 대상회사의 최근 3년 보호 투자와 보호 체계 기록이 감경 가능성을 가늠하는 자료가 됩니다. 다만 감경 폭은 여러 사정을 종합해 정해지므로 지금 계산해 둘 수는 없습니다.
## 그러면 계약의 어디에 넣어야 하나
갈래는 셋입니다. 클로징 전에 완료 상태를 만들 수 있는 것은 선행조건으로, 관리체계·절차·교육처럼 장래 이행이 실질을 갖는 것은 기한을 붙인 확약으로 넣습니다. 과거의 처리 이력이라 되돌릴 수 없는 것은 이행 조항이 아니라 값으로, 곧 특별면책·매매대금 조정·에스크로로 처리합니다.
세 번째 갈래를 확약에 넣으면 "고치겠다"는 약속만 남고, 이미 발생한 익스포저는 어느 쪽에도 배분되지 않은 채 클로징됩니다.
시간 축도 갈립니다. 과태료는 질서위반행위규제법 제19조 제1항이 위반행위가 종료된 날부터 5년을 정하는데, 미시정 상태가 이어지면 위반행위가 종료되지 않아 그 5년이 시작되지 않습니다. 과징금은 개인정보 보호법에 부과 기간 제한이 없고, 행정기본법 제23조 제1항의 제척기간은 대상 처분이 괄호로 한정되어 있어 개인정보 과징금이 거기에 드는지 다투어질 수 있습니다.
## 그래서 사고가 나면 이 구분이 어떻게 쓰이는가
제64조의2 제1항 제9호 단서는 제29조에 따른 안전성 확보 조치를 다한 경우를 유출 과징금에서 제외합니다. 그 판단은 사고가 난 시점을 기준으로 이루어지므로, 확약 이행이 늦어 조치가 없던 기간에 유출이 나면 단서를 끌어 쓰기 어려워집니다.
결국 확약의 이행 기한은 계약서 안의 일정이 아니라, 제재 국면에서 회사가 설 수 있는 자리의 길이입니다. [유출을 인지한 뒤의 통지·신고 절차](/guides/data-breach-response/)는 별도 글에서 다루었습니다.
**선례 확인** — 개인정보위가 실제로 부과한 과징금·과태료·시정명령은 [개인정보위 제재 결정문 전수 DB](/sanctions/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### Q. 개인정보 지적을 전부 선행조건으로 넣으면 안 되나요?
선행조건은 클로징 전에 충족 여부를 확인할 수 있어야 기능합니다. 사후 동의로 치유되지 않는 과거의 제공 이력을 선행조건으로 걸면 충족이 불가능한 조건이 되어, 딜이 멈추거나 결국 포기됩니다. 포기되는 순간 그 위험은 어느 조항에도 담기지 않은 채 넘어갑니다. 만들 수 있는 상태만 선행조건에 넣고, 나머지는 성격에 맞는 자리를 찾아 주는 편이 실무적입니다.
### Q. 클로징 전에 다 고쳐 놓으면 과징금 위험은 없어지나요?
시정은 현행법상 부과 여부의 요건이 아니라 고려사항 중 하나입니다(제64조의2 제5항 제11호). 부과하지 아니할 수 있는 사유에 해당하려면 시행령 제60조의2 제5항에 따라 시정에 더해 보호위원회가 고시하는 기준까지 충족해야 합니다(근거 조항은 제64조의2 제7항 제4호입니다). 같은 날 예방투자 감경 조항도 시행되지만 고의 또는 중대한 과실이면 제외됩니다. 세부 사유를 정할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐고, 감경 폭은 기준금액의 40% 이내입니다. 그 안의 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했습니다. 시정의 값은 분명히 있지만 위험을 없애는 장치는 아닙니다.
### Q. 확약으로 넘긴 항목이 클로징 뒤에 문제되면 매도인에게 물을 수 있나요?
확약 위반과 진술보증 위반은 청구 구조가 다르고, 어느 쪽으로 구성할 수 있는지는 조항의 문언과 사안에 따라 달라집니다. [대상회사에 부과된 과징금을 매도인에게 물을 수 있는지](/posts/ma-reps-warranties-privacy-claims/)는 진술보증과 면책 조항의 설계에 좌우되고, [위반 상태가 클로징 전후로 이어질 때 책임 구간이 어디서 갈리는지](/posts/reps-warranties-pre-closing-cause/)도 함께 봐야 합니다. 배상이 성립하는지는 개별 사안에서 판단될 문제이므로, 계약 단계에서 배분을 명확히 해 두는 것이 우선입니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제17조·제21조·제26조·제28조의8·제29조·제39조의7·제64조의2·제75조
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36121호, 2026. 8. 20. 시행) 제48조의7·제60조의2
- 개인정보 보호법(법률 제21445호, 2026. 3. 10. 일부개정, 2026. 9. 11. 시행) 제64조의2
- [질서위반행위규제법](https://www.law.go.kr/법령/질서위반행위규제법) 제19조
- [행정기본법](https://www.law.go.kr/법령/행정기본법) 제2조·제23조
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 본사 AI가 내린 결정을 한국 이용자가 거부했습니다 — 답할 의무는 한국법인에 있고, 시계는 30일입니다
- URL: https://datalaw.kr/posts/hq-automated-decision-korea-duty/
- 게시 2026-08-08 · 수정 2026-09-11 · 태그: AI규제, 국외이전, 개인정보보호법, 스타트업실무
- 요약: 완전히 자동화된 결정에 대한 한국 이용자의 거부·설명 요구는 시스템이 본사에 있어도 한국법인이 처리해야 합니다. 개인정보를 이전한 쪽에 의무가 남기 때문입니다(개인정보 보호법 제28조의8 제4항, 제37조의2, 제38조 제1항). 조치 기한은 30일이지만 거절 통지는 10일로 더 짧습니다. 외국계 한국법인의 법무·개인정보 책임자와 본사 DPO를 위한 정리입니다.
> **핵심 요약** 본사가 운영하는 자동화 시스템이 내린 결정이라도, 한국 이용자의 거부·설명 요구를 받아 처리할 의무자는 개인정보를 이전한 한국법인입니다. 국외 이전 후에도 정보주체 권리 보장에 관한 개인정보 보호법 제5장이 적용되고(제28조의8 제4항), 제37조의2에 따른 거부·설명 요구는 제38조 제1항의 열람등요구에 포함되기 때문입니다. 처리 기한은 열람의 10일이 아니라 30일이며 2회 연장할 수 있지만, 거절하려면 오히려 10일 안에 사유를 알려야 합니다(시행령 제44조의3 제5항, 보호위원회 고시 제8조). 외국계 한국법인의 법무·개인정보 책임자와 본사 DPO가 함께 확인할 내용입니다.
본사가 운영하는 채용 스크리닝, 부정거래 탐지, 이용계정 정지 시스템이 한국 이용자에게 불리한 결정을 내렸다고 해 봅시다. 이용자가 한국법인 창구로 요구를 보냅니다. 이 결정을 거부하니 사람이 다시 보고, 왜 이런 결정이 나왔는지 설명해 달라는 것입니다.
시스템도 데이터도 본사에 있으니 티켓은 자연스럽게 본사로 넘어갑니다. 그런데 한국법은 이 장면에서 한국법인을 의무자로 지목하고, 본사 기준과는 다른 시계를 겁니다. [글로벌 정책이 한국 조문과 어긋나는 지점들](/posts/global-policy-korea-gap-map/) 중에서도 실무 부담이 큰 대목입니다.
한 가지 더 있습니다. 본사가 영문 법령본으로 한국법을 확인했다면, 2023년 3월 14일에 신설된 이 조문이 아예 보이지 않았을 수 있습니다. [영문 법령본의 시차 문제](/posts/english-pipa-version-gap/)에서 다룬 그대로입니다.
## 본사 시스템이 내린 결정인데 왜 우리가 답해야 하나요?
법 제28조의8 제4항은 개인정보를 국외로 이전하는 경우에도 정보주체의 권리 보장에 관한 제5장을 준수하도록 정하고, 자동화된 결정을 다루는 제37조의2는 바로 그 제5장에 있습니다. 여기에 제38조 제1항이 거부·설명 등의 요구를 열람, 정정·삭제, 처리정지와 나란히 열람등요구에 포함시킵니다.
결정을 내린 시스템이 본사에 있어도, **요구를 접수하고 기한 안에 답할 쪽은 이전한 한국법인**이라는 뜻입니다. 이 구조의 조문 근거는 [국외 이전 뒤에도 남는 정보주체 권리와 10일 기한을 다룬 글](/posts/overseas-transfer-data-subject-rights/)에서 풀었으므로, 여기서는 결론만 씁니다.
## 우리 회사 시스템이 '자동화된 결정'에 해당하나요?
개인정보보호위원회 고시 「자동화된 결정에 대한 개인정보처리자의 조치 기준」은 해당 여부를 판단할 때 여섯 가지 사항과 별표의 예시를 모두 고려하라고 정합니다. 사람의 실질적이고 의미 있는 개입이 없었는지, 권리·의무에 영향을 미치는 최종적인 결정인지가 그 핵심입니다. 별표를 그대로 적용하면 이렇게 갈립니다.
자동 산출된 점수만 형식적으로 확인한 채용 불합격은 해당하고, 인사권자가 다른 평가요소까지 종합 검토해 최종 결정했다면 제외됩니다. 맞춤형 추천처럼 이용 여부를 정보주체가 결정하는 경우는 제외되지만, 부정행위 내역을 분석한 뒤 계약해지나 이용계정 삭제까지 시스템이 결정하면 해당합니다. 채용 시스템이라면 [채용 AI 검증을 둘러싼 한국 규제의 공백](/posts/bias-testing-sensitive-data-korea-gap/)도 함께 볼 문제입니다.
## 계약 이행에 필요한 시스템이라 거부권이 없다면 그것으로 끝인가요?
GDPR은 계약 이행이나 명시적 동의에 근거한 결정에 Article 22(1)의 권리를 적용하지 않는 대신, 22(3)에서 인적 개입, 의견 제시, 이의 제기를 최소한의 안전장치로 요구합니다. 한국법은 같은 국면, 즉 동의·법령상 의무·계약 이행(법 제15조 제1항 제1호·제2호·제4호)에 근거한 결정에서 거부권 자체를 배제합니다(제37조의2 제1항 단서). 그래서 적용하지 않는 조치나 인적 개입에 의한 재처리라는 두 갈래(시행령 제44조의3 제1항)는 이때 열리지 않습니다.
다만 남는 것이 있습니다. 제2항의 설명 요구권에는 중대한 영향 요건도 단서도 없고, 의견을 제출해 반영 여부의 검토를 요구할 권리(시행령 제44조의2 제2항 제2호)도 그대로 남습니다. 고시 제5조는 그 검토의 방법으로 개인정보를 추가·정정한 후의 재처리와 고려사항의 재검토를 듭니다.
두 법이 정반대인 것이 아닙니다. **인적 개입이 붙는 자리가 서로 다를 뿐입니다.** 본사 절차가 계약 기반 결정에 요청 시 human review를 붙여 두었다면, 한국에서는 그 트리거가 없는 대신 설명과 검토가 걸립니다.
## 며칠 안에 답해야 하나요?
같은 열람등요구 안에서도 기한이 갈립니다.
| 요구 유형 | 처리 기한 | 근거 |
|---|---|---|
| 열람·정정·삭제·처리정지 | 10일 | 시행령 제41조 제4항·제5항, 제42조 제2항, 제43조 제3항, 제44조 제2항 |
| 자동화된 결정에 대한 거부·설명·검토 조치 | 30일, 2회에 한정 각각 30일 연장 가능 | 시행령 제44조의3 제5항, 고시 제8조 제1항 |
| 거절 통지, 사유와 이의제기 방법 포함 | 10일 | 고시 제8조 제2항 |
응하겠다고 답할 때는 30일이지만, 거절하려면 정당한 사유가 없는 한 사유와 이의제기 방법·절차를 10일 안에 서면등으로 알려야 합니다. **거절이 더 빠른 시계를 탑니다.**
## 거부에 응한다는 것은 무엇을 하는 것이고, 어디까지 거절할 수 있나요?
거부에 응한다는 것은 해당 결정을 적용하지 않는 조치 또는 인적 개입에 의한 재처리 중 하나를 하고 그 결과를 알리는 것입니다. 고시는 재처리를 하고 결과를 알렸다면 적용 정지까지는 요구하지 않습니다(고시 제3조 제1항).
거절의 정당한 사유는 정보주체가 입게 될 불이익과 처리자 또는 제3자의 이익을 비교·형량하여 개별적으로 판단합니다. 고시가 드는 고려사항에는 결정을 적용하지 않으면 계약 이행이 곤란한데 정보주체가 해지 의사를 명확하게 밝히지 않은 경우, 설명이 처리자의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우, 동일한 내용의 검토 요구가 반복된 경우가 있습니다. 어느 쪽이든 거절에는 이의제기 절차의 안내가 따라야 합니다(법 제38조 제5항).
## 지키지 못하면 무엇이 문제되나요?
제37조의2 위반은 과징금 사안이 아닙니다. 법 제64조의2 제1항의 과징금 목록에 이 조문이 없기 때문입니다. 대신 정당한 사유 없이 요구에 따르지 않은 경우를 제75조 제2항 제24호가 3천만원 이하의 과태료 대상으로 정합니다.
기준·절차의 공개 의무(제4항)에는 대응하는 과태료 호가 없는데, 공개 항목 자체는 [처리방침에 담을 공개 항목을 정리한 글](/posts/privacy-policy-checklist-2026/)로 넘깁니다.
## 9월 11일 개정으로 이 부분이 바뀌나요?
바뀌지 않습니다. 2026년 9월 11일 시행된 개정법(법률 제21445호)에서 제37조의2, 제38조, 제75조 제2항 제24호의 문언은 그대로입니다. 지금 절차를 맞춰 두면 그대로 갑니다.
## 실무 체크리스트
- 한국 이용자를 상대로 최종 결정을 내리는 본사 시스템을 목록화하고, 고시 제6조와 별표로 해당·제외를 분류합니다.
- 거부·설명·검토 요구의 접수 창구를 개인정보를 수집한 창구와 같은 수준으로 열어 둡니다. 열람등요구는 수집보다 어렵지 않아야 합니다(법 제38조 제4항).
- 본사 에스컬레이션 절차에 30일, 2회 연장, 거절 시 10일의 시계를 심고 담당을 정합니다.
- 계약 이행 기반 시스템에는 거부가 아니라 설명·검토 요구에 대응하는 절차를 따로 설계합니다.
- [유출 대응처럼 시계가 짧은 의무](/guides/data-breach-response/)는 절차를 미리 만들어야 지켜집니다. 요구가 온 뒤에 설계하면 늦습니다.
## For your headquarters
Under the Personal Information Protection Act of Korea, a Korean subsidiary that transfers personal data abroad remains bound by the data subject rights chapter, including the provisions on fully automated decisions (Article 37-2(1), Article 28-8(4)). The obligated party for receiving and handling refusal or explanation requests is the Korean entity, even where the decision-making system is operated at headquarters. The response period is 30 days, extendable twice by up to 30 days each, but a refusal must be notified within 10 days together with the reasons and an appeal procedure (Enforcement Decree Article 44-3(5); PIPC Notice on Measures for Automated Decisions, issued 26 September 2024). Where a decision rests on consent, a legal obligation, or contract performance, the right to refuse does not apply, yet the right to request an explanation and a review of the data subject's input remains. This differs from the GDPR Article 22 structure, in which contract-based decisions trigger safeguards including human intervention upon request. We suggest mapping your existing Article 22 procedures against these provisions rather than assuming equivalence. This summary is unofficial; the Korean original text prevails.
*More English summaries of Korean data protection law: [English index](/en/).*
## 자주 묻는 질문
### 시스템이 본사에 있고 한국법인은 접수만 하는데도 우리가 답해야 하나요?
네. 개인정보를 국외로 이전한 경우에도 개인정보 보호법 제28조의8 제4항에 따라 정보주체의 권리 보장에 관한 제5장이 적용되고, 제37조의2에 따른 거부·설명 등의 요구는 제38조 제1항의 열람등요구에 포함됩니다. 요구를 받아 처리할 의무자는 개인정보를 이전한 한국법인입니다.
### 자동화된 결정에 대한 요구는 며칠 안에 처리해야 하나요?
요구를 받은 날부터 30일 이내에 처리하고 서면등의 방법으로 알려야 하며, 정당한 사유가 있으면 2회에 한정하여 각각 30일의 범위에서 연장할 수 있습니다. 다만 거절하려는 경우에는 정당한 사유가 없는 한 그 사유와 이의제기 방법·절차를 10일 이내에 알려야 합니다.
### 계약 이행에 필요한 결정이라 거부권이 없으면 아무 조치도 필요 없나요?
아닙니다. 제37조의2 제2항의 설명 요구권에는 중대한 영향 요건도 단서도 없고, 의견을 제출해 반영 여부의 검토를 요구할 권리도 남습니다. 이 요구들에도 30일의 처리 기한이 그대로 적용됩니다.
*이 글은 일반적인 정보 제공을 위한 것이며, 구체적인 사안에 대한 판단은 개별 사실관계에 따른 별도의 검토가 필요합니다.*
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 시행 2025. 10. 2.) 제15조, 제28조의8, 제37조의2, 제38조, 제64조의2, 제75조
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36340호) 제41조, 제42조, 제43조, 제44조, 제44조의2부터 제44조의4까지
- 개인정보보호위원회 고시 「자동화된 결정에 대한 개인정보처리자의 조치 기준」(2024. 9. 26. 발령·시행) 및 별표(국가법령정보센터 행정규칙)
- GDPR Article 22
---
# M&A에서 고객 개인정보는 두 번 넘어갑니다 — 실사 때는 제17조, 클로징 때는 제27조
- URL: https://datalaw.kr/posts/business-transfer-notice-both-parties/
- 게시 2026-08-08 · 수정 2026-09-11 · 태그: 기업인수, 과징금제재, 개인정보보호법
- 요약: 인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).
> **핵심 요약**: 인수 거래에서 고객 개인정보는 두 번 건너갑니다. 거래가 성사되기 전 데이터룸에 올리는 실사 자료는 영업양도 조항인 제27조의 적용 국면이 아니고, 매도인이 제17조 제1항의 제3자 제공으로 설명해야 합니다. 그런데 같은 항 제2호의 수집 근거 목록에 제15조 제1항 제1호(동의)와 제4호(계약 이행)가 빠져 있어 회원 정보 대부분에는 수집 목적 범위 제공을 쓸 수 없습니다. 클로징으로 개인정보가 실제로 이전되면 그때 제27조가 붙는데, 통지 의무는 파는 쪽(제1항)과 사는 쪽(제2항)에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알린 경우에만 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결). 두 조항 위반은 모두 1천만 원 이하의 과태료 대상이고(법 제75조 제4항 제6호), 2026년 9월 11일 시행 개정법은 위 조문들을 바꾸지 않습니다.
데이터룸에 회원 데이터베이스 샘플이나 전송 내역이 올라옵니다. 매도인은 거래에 필요한 자료라고 보고 매수인은 받아서 검증하는데, 정작 그 제공의 근거를 묻는 사람은 없는 채로 진행되는 경우가 많습니다. 물어보면 양쪽이 대개 같은 답을 내놓습니다. 영업양도 조항이 있지 않느냐는 것입니다.
그 답은 절반만 맞습니다. 제27조는 개인정보가 실제로 이전되는 클로징 시점을 규율하고, 그보다 앞선 실사 단계는 다른 조문으로 설명해야 합니다. 주식을 사는 거래에서는 법인격이 그대로 남으므로 클로징 단계의 문제는 잘 생기지 않지만, 영업을 넘기거나 고객 명부를 넘기는 거래에서는 클로징 그 자체가 새로운 의무를 만듭니다. 진술보증으로 과거의 위반을 나누는 문제와는 별개로, [계약 유형에 따라 딜 자체에 붙는 의무](/posts/ma-reps-warranties-privacy-claims/)가 따로 있다는 뜻입니다.
## 제27조는 어느 시점을 규율하나
제27조 제1항은 "영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 다른 사람에게 이전하는 경우"를 전제하고, 양도하는 회사에 이전하는 사실과 이전받는 자를 정보주체에게 미리 알리라고 요구합니다. 제2항은 이전받은 회사에 같은 통지 의무를 지웁니다. 제3항은 그다음을 정하는데, 이전받은 회사는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제공할 수 있고 이 경우 개인정보처리자로 봅니다.
세 항이 모두 이전이 일어난 뒤 또는 일어나는 순간을 향합니다. 그런데 실사는 그 앞에 있습니다. 거래가 깨지면 이전은 일어나지 않지만 매수인이 받아 본 자료는 이미 건너간 뒤이고, 제27조는 그 상태에 관해 아무 말도 하지 않습니다.
## 실사 단계의 제공은 무엇으로 설명되나
그러면 매도인은 제17조 제1항으로 돌아가야 합니다. 회사가 개인정보를 제3자에게 줄 수 있는 경우는 두 가지뿐인데, 정보주체의 동의를 받았거나(제1호) 수집 목적 범위에서 제공하는 경우(제2호)입니다. 이 중 제1호는 현실적이지 않습니다. 인수를 검토 중이라는 사실을 알리고 회원 전원에게 동의를 받아야 하는데, 그것이 거래의 비밀유지와 정면으로 부딪히기 때문입니다.
문제는 제2호입니다. 조문을 그대로 읽으면 제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 수집한 경우만 열거되어 있고, 동의로 수집한 경우인 제1호와 계약 이행을 위해 수집한 경우인 제4호는 그 목록에 없습니다. 회사가 회원 가입으로 받은 정보와 서비스 계약을 이행하며 쌓은 정보가 정확히 그 둘이고, 실사에서 가장 자주 요청되는 자료도 바로 여기에 속합니다.
그래서 남는 것이 제17조 제4항입니다. 회사는 당초 수집 목적과 합리적으로 관련된 범위에서 대통령령으로 정하는 바에 따라 동의 없이 제공할 수 있고, 그 판단 기준을 시행령 제14조의2 제1항이 네 가지로 정합니다. 당초 수집 목적과의 관련성, 수집 정황이나 처리 관행에 비춘 예측 가능성, 정보주체의 이익을 부당하게 침해하는지 여부, 그리고 가명처리나 암호화 등 안전성 확보 조치를 했는지 여부입니다. 이 중 앞의 두 개가 관문입니다. 서비스를 이용하려고 정보를 준 이용자가 회사의 매각 검토 과정에서 자기 정보가 인수 후보에게 건너가는 것까지 예측했다고 보기는 쉽지 않습니다. 네 번째인 안전성 조치를 아무리 잘 해도 앞의 셋을 대신하지는 못합니다. 그리고 같은 조 제2항에 따라, 회사가 이런 제공을 지속적으로 하게 되면 판단 기준을 처리방침에 공개하고 개인정보 보호책임자가 점검해야 합니다.
## 가명처리하면 실사 자료로 넘길 수 있나
실무에서 가장 자주 나오는 답인데 근거로는 약합니다. 제28조의2 제1항이 동의 없는 가명정보 처리를 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 한정해 두었고, 인수 실사는 그 목적에 들어가지 않기 때문입니다. 회사가 가명처리를 했다는 사실만으로 제공 근거가 생기지는 않습니다.
답은 제58조의2에 있습니다. 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보라면 이 법이 적용되지 않으므로, 매수인이 그 층위까지 내려온 자료를 받으면 제공 근거를 따질 일 자체가 없어집니다.
그래서 실사의 첫 질문은 근거가 아니라 무엇이 필요한가가 되어야 합니다. 회원 수와 동의 유형별 분포, 보유기간이 지난 건수, 국외 이전 대상 항목의 목록처럼 실사 판단에 필요한 상당수는 개별 레코드가 아니라 집계입니다. 다만 동의 이력이 화면과 실제로 일치하는지처럼 개별 레코드를 봐야만 확인되는 항목도 남는데, 이때 실무에서는 자료를 반출하는 대신 대상회사 통제 아래에서 열람하는 방식을 검토합니다. 어떤 자료를 어느 층위로 요청할지는 [실사 자료요청 목록](/posts/due-diligence-data-request-list/)에서 정리했고, 그 자료가 무엇을 드러내는지는 [8월 20일 뒤에 남는 근거와 사라지는 근거](/posts/scraped-data-asset-due-diligence/)에서 다뤘습니다.
매수인이 실사에서 받아 간 자료는 거래가 깨져도 그쪽에 남습니다. 제공에 근거가 없었다면 매도인은 인수 성사 여부와 무관하게 제17조 위반을 따로 답해야 하고, 받은 쪽도 그 자료를 왜 보유하고 있는지 설명해야 합니다. 거래가 성사되면 국면이 바뀝니다.
## 클로징에서 통지 의무는 하나가 아니라 둘이다
개인정보가 실제로 이전되는 순간부터 제27조가 적용되고, 이 조문은 의무를 두 개로 나눠 둡니다.
제1항은 파는 쪽의 의무입니다. 개인정보처리자는 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 이전하는 경우 미리 세 가지를 알려야 합니다. 이전하려는 사실, 이전받는 자의 성명(법인이면 명칭)·주소·전화번호와 그 밖의 연락처, 그리고 이전을 원하지 않는 정보주체가 조치할 수 있는 방법과 절차입니다.
제2항은 사는 쪽의 의무입니다. 영업양수자등은 개인정보를 이전받았을 때 지체 없이 그 사실을 알려야 합니다. 여기에 단서가 붙습니다. "개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다."
이 단서가 실무에서 가장 자주 오해되는 지점입니다. 사는 쪽의 의무는 면제된 것이 아니라 파는 쪽의 이행을 조건으로 소멸하는 구조입니다. 파는 쪽이 알리지 않으면 조건이 성취되지 않고, 사는 쪽 의무는 그대로 남습니다.
통지 방법은 서면등의 방법입니다(시행령 제29조 제1항). 과실 없이 그 방법으로 알릴 수 없으면 인터넷 홈페이지에 30일 이상 게재해야 하고, 홈페이지에 게재할 수 없는 정당한 사유가 있으면 사업장 등 보기 쉬운 장소에 30일 이상 게시하거나 일반일간신문·일반주간신문·인터넷신문에 싣는 방법으로 갈음할 수 있습니다(같은 조 제2항). 제1항과 제2항 위반은 모두 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제6호).
## 파는 쪽과 사는 쪽이 각각 과태료를 문 사례가 있나
조문 구조만 놓고 보면 추상적이지만, 실제로 한 거래에서 양쪽이 갈라져 제재된 사례가 있습니다.
개인정보보호위원회는 2022년 11월 16일 제18회 전체회의에서 같은 날 두 건을 의결했습니다. 한방병원의 영업 양도·양수 계약으로 고객 개인정보가 넘어간 사안입니다. **이 두 건은 결정문이 위원회 게시판에 공개되어 있지 않습니다** — 같은 날 의결 중 게시된 것은 안전조치의무 위반 4건뿐이고, 아래 처분 내용은 위원회 보도자료로 확인됩니다.
- **양도인** — 한방병원을 양도하면서 제1항의 사전 통지를 하지 않았습니다. 구 보호법 제27조 제1항 위반, 과태료 100만 원.
- **양수인** — 같은 거래에서 이전받으면서 제2항의 통지를 하지 않았습니다. 보호법 제27조 제2항 위반, 과태료 100만 원.
두 결정문은 서로를 "본 안건 외 양수인", "본 안건 외 양도인"으로 지칭합니다. 양수인 건의 결정문은 위반 사실을 적으면서 양도인도 보호법 제27조제1항에 따라 개인정보 이전과 관련된 사항을 정보주체에게 알린 사실이 없다고 명시했습니다. 단서의 조건이 성취되지 않았다는 판단이 결정문에 그대로 드러난 셈입니다. 양수인은 이후 정보주체에게 이전 통지 안내문자를 발송해 위반 상태를 시정했습니다.
두 건은 행위 시점 때문에 양도인 건은 구 보호법(법률 제14839호)을, 양수인 건은 당시 보호법(법률 제16930호)을 적용했지만, 제1항·제2항의 구조는 그대로여서 현행법으로 읽어도 결론은 같습니다.
양수인이 제2항으로 걸린 사례는 이 한 건이 아닙니다. 캠핑카 렌트 서비스 사업자가 영업을 양수하면서 이전받은 사실을 지체 없이 알리지 않은 것도 제2항 위반으로 인정됐습니다(제2024-007-181호, 2024. 4. 24. 의결). 다만 그 건은 주민등록번호 처리, 안전성 확보조치, 유출 신고·통지 지연이 함께 걸린 사안이라 과태료 총액을 제27조 하나에 귀속시킬 수 없습니다.
## 회원 명부만 넘기는 거래도 여기에 걸리나
요즘 실제로 늘고 있는 형태는 사업 조직은 그대로 두고 고객 데이터베이스만 자산으로 사는 거래입니다. 제27조가 "영업의 전부 또는 일부의 양도·합병 등"을 전제로 쓰여 있어서, 이런 거래가 여기에 들어오는지가 갈립니다.
결혼중개업체가 정회원 정보(D/B)와 계약서를 통째로 넘긴 사안에서 판단이 심급별로 나뉘었습니다. 1심은 양도 목적물과 기록에 비추어 물적·인적 조직이 동일성을 유지한 채 포괄적으로 이전되었다고 평가할 객관적 자료가 부족하다며, 상법이나 개인정보 보호법 제27조가 정한 영업양도라고 단정하기 어렵다고 봤습니다(서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결). 항소심은 달랐습니다. 이 사건 양수도계약이 개인정보 보호법 제27조가 적용되는 "영업의 전부 또는 일부의 양도·합병 등"에 해당한다고 판단했습니다(서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결). 명부만 사는 형태라고 해서 제27조 밖에 있다고 보기는 어렵다는 뜻입니다. 다만 이 판결의 확정 여부는 확인되지 않았습니다.
실무적으로는 명부만 넘기는 거래에서도 제27조를 먼저 검토하는 쪽이 안전합니다. 해당하지 않는다는 판단에 기대어 통지를 생략했다가 심급이 바뀌면 되돌릴 수 없습니다.
## 통지를 안 했는데 법원이 배상을 명하지 않은 이유는
같은 항소심은 통지 의무 위반을 이유로 한 위자료 청구는 받아들이지 않았습니다. 법원은 먼저 제27조 제1항 통지 의무의 주체가 개인정보처리자, 즉 영업양도자라고 정리했습니다. 양도자가 이행했다고 볼 사정은 명확하지 않지만, 양수인이 양도자와 공모하거나 결탁하여 통지 의무를 의도적으로 누락했다고 인정할 증거가 없으므로 양수인이 공동으로 제1항을 위반했다고 보기는 어렵다고 했습니다.
그다음이 핵심입니다. 법원은 설령 피고가 개인정보 보호법 제27조 영업양수인으로서의 통지 의무를 위반하였다 하더라도라고 전제한 뒤, ① 이전받은 연락처로 재가입 의사를 확인하려 연락한 것 외에 다른 목적으로 개인정보를 사용했다고 보이지 않는 점, ② 정보주체도 연락을 받고 되물었을 뿐 파기를 요청하지 않은 점, ③ 이후 제안에 응해 정보를 제공했다가 계약 조건에 이견이 생겨 소송에 이른 경위 등을 고려하면 위자료를 배상할 만큼의 정신적 손해가 발생했다고 인정하기 어렵다고 판단했습니다.
의무 위반의 인정과 손해의 인정은 다른 층입니다. 민사에서 배상이 인정되지 않았다는 사실이 행정 제재를 면하게 해 주지 않고, 반대로 과태료를 물었다고 해서 정보주체에 대한 배상 책임이 자동으로 따라오지도 않습니다. 위 병원 사안에서 양수인이 과태료를 문 것과, 이 사건에서 양수인이 배상을 면한 것은 서로 모순되지 않습니다.
## 사는 쪽은 클로징 전에 무엇을 확인해 둬야 하나
제2항 단서의 구조를 그대로 읽으면 매수인의 실무는 하나로 정리됩니다. 자기가 통지하는 것보다, 파는 쪽이 통지했는지를 문서로 확보하는 것이 먼저입니다.
- 양도인의 제1항 통지 이행 증빙 — 발송 일자, 수단(서면등의 방법인지), 수신 대상 범위, 홈페이지 게재로 갈음했다면 게재 화면과 30일 이상 유지 여부
- 통지 문안에 세 가지가 다 들어갔는지 — 이전 사실, 이전받는 자의 명칭·주소·연락처, 이전을 원하지 않는 정보주체의 조치 방법과 절차. 하나라도 빠지면 제1항 이행으로 보기 어렵고, 그러면 제2항 단서의 조건도 성취되지 않습니다
- 이행되지 않았을 때의 대응 순서 — 클로징 전이면 양도인의 통지를 선행조건으로 넣고, 이미 넘겨받았다면 매수인이 지체 없이 제2항 통지를 해 상태를 시정하는 쪽이 낫습니다. 147호의 양수인도 안내문자 발송으로 위반 상태를 시정했습니다
- 이전받은 뒤의 이용 범위 — 제27조 제3항은 이전 당시의 본래 목적으로만 이용·제공할 수 있게 하고, 이 경우 영업양수자등을 개인정보처리자로 봅니다. 위 항소심에서 양수인에게 유리하게 작용한 사정도 연락 목적이 본래 목적 범위를 벗어나지 않았다는 점이었습니다
이 항목들은 앞에서 본 실사 자료요청과 성격이 다릅니다. 실사는 대상회사에 이미 있는 위반 상태를 찾는 일이고, 이쪽은 거래 실행 자체가 만들어내는 새 의무를 관리하는 일입니다. 인수 후에 사고가 나면 통지와 신고를 하는 것은 인수한 회사이고, 인지 이후의 절차는 [유출을 인지한 뒤 72시간](/guides/data-breach-response/)에서 다뤘습니다.
## 9월 11일 개정법은 이 부분을 바꾸나
2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 과징금 조항을 비롯해 여러 곳을 손봤지만, 이 글에서 본 제15조 제1항, 제17조, 제27조, 제28조의2, 제58조의2와 제75조 제4항 제6호의 문언은 그대로입니다. 개정법을 조문 단위로 대조해 확인했습니다. 위 결론은 시행 이후에도 같게 적용됩니다.
유출 통지가 유출등을 알게 된 때를 기산점으로 움직이는 것과 달리, 이전 통지는 거래 일정에 맞춰 미리 움직여야 합니다.
## 자주 묻는 질문
### 실사 단계의 자료 제공에도 제27조를 근거로 들 수 있나요?
적용 국면이 다릅니다. 제27조 제1항은 회사가 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 다른 사람에게 이전하는 경우를 전제하고, 제3항은 이전받은 회사가 그 뒤에 쓸 수 있는 범위를 정합니다. 거래가 성사되기 전 실사 자료로 넘기는 것은 이전 자체가 아니므로, 매도인은 이를 제17조 제1항의 제3자 제공으로 설명해야 합니다. 그런데 제17조 제1항 제2호의 열거에 동의로 수집한 경우(제15조 제1항 제1호)와 계약 이행을 위해 수집한 경우(같은 항 제4호)가 없어, 회원 정보 대부분에는 수집 목적 범위 제공을 쓸 수 없습니다.
### 가명처리해서 넘기면 동의 없이 실사 자료로 제공할 수 있나요?
제28조의2 제1항은 동의 없는 가명정보 처리를 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 한정하는데, 인수 실사는 그 목적에 들어가지 않으므로 회사가 이 특례를 근거로 삼기는 어렵습니다. 제공 근거 문제가 실제로 사라지는 지점은 제58조의2입니다. 시간·비용·기술을 합리적으로 고려할 때 더 이상 개인을 알아볼 수 없는 정보라면 이 법이 적용되지 않기 때문입니다.
### 영업양수도에서 개인정보 이전 통지는 파는 쪽만 하면 되나요?
파는 쪽이 먼저 제대로 알리면 사는 쪽은 따로 알리지 않아도 됩니다. 개인정보 보호법 제27조 제2항 본문은 영업양수자등이 개인정보를 이전받았을 때 지체 없이 그 사실을 정보주체에게 알리도록 하면서, 단서에서 "개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다"고 정합니다. 즉 사는 쪽의 의무는 파는 쪽의 이행을 조건으로 사라지는 구조이고, 파는 쪽이 알리지 않으면 그대로 되살아납니다. 두 조항 모두 위반하면 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제6호).
### 고객 데이터베이스만 넘기는 계약도 영업양도인가요?
그렇게 본 판단이 있습니다. 결혼중개업체가 정회원 정보(D/B)를 넘긴 사안에서 1심은 물적·인적 조직이 동일성을 유지한 채 포괄 이전되었다고 볼 자료가 부족하다며 영업양도로 단정하기 어렵다고 했으나(서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결), 항소심은 그 양수도계약이 개인정보 보호법 제27조가 적용되는 '영업의 전부 또는 일부의 양도·합병 등'에 해당한다고 판단했습니다(서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결). 사업 조직을 넘기지 않고 명부만 사는 형태여도 제27조를 우선 검토하는 것이 안전합니다. 다만 이 판결의 확정 여부는 확인되지 않았습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 시행 2025. 10. 2.) 제15조 제1항, 제17조 제1항·제2항·제4항, 제27조, 제28조의2 제1항·제2항, 제58조의2, 제75조 제4항 제6호
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36340호, 2026. 5. 19.) 제14조의2, 제29조
- 개인정보 보호법(법률 제21445호, 시행 2026. 9. 11.) — 위 조문 문언 변경 없음(조문 단위 확인)
- [개인정보보호위원회 보도자료](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8324) 「개인정보위, 개인정보보호 법규 위반 10개 사업자 제재」(2022. 11. 16.) — 제18회 전체회의. 「참고 2 행정처분 내용」 표에 양도인(구 보호법 제27조 제1항)·양수인(제27조 제2항) 각 과태료 100만 원이 있습니다. **이 두 건은 결정문이 공개되지 않아 처분 내용은 이 보도자료가 확인되는 범위입니다** — 위원회 결정문 게시판에 공개된 같은 날 의결은 안전조치의무 위반 4건뿐입니다
- 개인정보보호위원회 제2024-007-181호(2024. 4. 24. 의결) — 결정문 전문 기준
- 서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결(제1심), 서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결(항소심)
---
# 본사 서버에 있는 데이터를 지워 달라는 요구가 들어왔습니다 — 기한은 10일이고, 의무자는 한국법인입니다
- URL: https://datalaw.kr/posts/overseas-transfer-data-subject-rights/
- 게시 2026-08-07 · 수정 2026-09-11 · 태그: 국외이전, 개인정보보호법, 스타트업실무
- 요약: 개인정보를 본사로 국외 이전한 뒤에도 정보주체의 권리 보장 의무는 이전한 한국법인에 남습니다. 개인정보 보호법 제5장이 그대로 적용되는데 제28조의11의 준용 목록에 제5장이 없기 때문입니다. 열람·정정·삭제·처리정지의 통지 기한은 시행령이 정한 10일이며, GDPR의 1개월이 아닙니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.
> **핵심 요약** 개인정보를 본사로 국외 이전한 뒤에도 개인정보 보호법 제5장(정보주체의 권리 보장)은 그대로 적용되고, 그 의무자는 이전받은 본사가 아니라 이전한 한국법인입니다. 열람·정정·삭제·처리정지 요구에 대한 통지 기한은 시행령이 정한 10일이며, 본사 글로벌 절차가 전제하는 GDPR의 1개월이 아닙니다. "본사 정책상 삭제할 수 없다"는 법이 열거한 거절 사유 어디에도 해당하지 않습니다.
한국법인 고객센터로 "본사 서버에 있는 제 데이터를 지워 달라"는 요구가 들어옵니다. 데이터는 본사가 운영하는 글로벌 시스템에 있으니 자연스럽게 본사 프라이버시 팀에 티켓을 넘기게 됩니다. 문제는 본사가 GDPR 기준으로 설계된 자기 절차의 시계로 움직인다는 점입니다.
한국법의 시계와 거절 사유 목록은 그것과 다릅니다. [본사 표준 산출물이 한국에서 어긋나는 지점을 지도로 그린 글](/posts/global-policy-korea-gap-map/)에서 전체 지형을 정리했고, 이 글은 그중 정보주체 요구 대응 한 칸을 조문 단위로 확대합니다.
## 국외로 이전하고 나면 그다음은 그쪽 문제인가요?
아닙니다. 개인정보 보호법(법률 제20897호, 시행 2025. 10. 2.) 제28조의8 제4항은 적법하게 국외 이전을 했더라도 이전한 개인정보처리자가 계속 지켜야 할 것을 세 갈래로 정합니다. 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지의 규정, 그리고 **제5장의 규정**입니다.
제5장의 제목이 바로 「정보주체의 권리 보장」입니다. 제35조(열람)부터 제39조의2(법정손해배상)까지 여덟 개 조문이 여기 들어 있고, 제36조의 정정·삭제, 제37조의 처리정지, 제39조의 손해배상책임이 모두 그 안입니다.
이 조항은 제1항 단서의 다섯 가지 이전 근거 중 무엇을 택했든 적용됩니다. [국외이전 계약에 무엇을 반영해야 하는지 정리한 글](/posts/global-dpa-korea-transfer-contract-gap/)이 이 조항의 계약 층을 다뤘고, 제5장은 그때 열어 둔 자리였습니다.
## 의무를 지는 것은 본사인가요, 우리인가요?
준용 조문을 보면 답이 나옵니다. 제28조의11은 이전받은 자가 개인정보를 제3국으로 다시 이전하는 경우에 관하여 **제28조의8 및 제28조의9를 준용한다**고 정하고, 이 경우 "개인정보처리자"를 "개인정보를 이전받은 자"로 본다고 합니다.
주목할 것은 이 준용 목록에 없는 것입니다. 이전받은 자에게 준용되는 것은 제28조의8과 제28조의9뿐이고, **제5장은 목록에 없습니다**. 반면 제26조 제8항은 수탁자에게 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조를 명시적으로 준용시키면서 "개인정보처리자"를 "수탁자"로 본다고 정합니다.
즉 법은 제5장 의무를 다른 자에게 지우고 싶을 때 그렇게 쓴 전례가 있는데, 국외의 이전받은 자에 대해서는 그 문장을 두지 않았습니다. 제5장을 준수할 의무는 제28조의8 제4항에 따라 **이전한 한국법인**에게 남습니다.
## 며칠 안에 답해야 하나요?
개인정보 보호법 시행령(대통령령 제36340호, 2026. 5. 19.)이 정한 통지 기한은 다음과 같습니다.
| 구분 | 한국 시행령 기한 | 근거 조문 |
|---|---|---|
| 열람 요구에 대한 열람통지서 통지 | 요구받은 날부터 10일 이내 | 시행령 제41조 제4항·제5항 |
| 열람의 연기·거절 통지(사유와 이의제기방법 포함) | 요구받은 날부터 10일 이내 | 시행령 제42조 제2항 |
| 정정·삭제 조치 결과 통지 | 요구받은 날부터 10일 이내 | 시행령 제43조 제3항 |
| 처리정지 조치 결과 통지 | 요구받은 날부터 10일 이내 | 시행령 제44조 제2항 |
GDPR Article 12(3)은 요구를 받은 날부터 1개월 이내에 조치 내용을 알리도록 하고, 요구의 복잡성과 건수를 고려해 2개월을 추가로 연장할 수 있게 합니다. 본사 글로벌 포털의 응답 시계는 대개 이 1개월에 맞춰져 있어, 한국의 10일과는 단위 자체가 다릅니다.
기간 내에 열람할 수 없는 정당한 사유가 있으면 사유를 알리고 연기할 수 있고(법 제35조 제3항), 정정·삭제는 지체 없이 조치하되 삭제 시에는 복구 또는 재생되지 아니하도록 하여야 합니다(법 제36조 제2항·제3항).
## "본사 정책상 삭제할 수 없다"는 거절 사유가 되나요?
한국법의 거절 사유는 열거 방식입니다. 열람은 법 제35조 제4항이 세 가지를 듭니다. 법률에 따라 열람이 금지되거나 제한되는 경우, 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우, 그리고 공공기관의 특정 업무에 중대한 지장을 초래하는 경우인데, 세 번째는 **공공기관에만** 해당합니다.
삭제는 법 제36조 제1항 단서가 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에만 요구를 막습니다. 처리정지는 법 제37조 제2항 단서가 네 가지를 열거하고, 계약 관련 사유도 개인정보를 처리하지 아니하면 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 아니한 경우로 좁게 쓰여 있습니다.
이 목록 어디에도 "그룹 내부 정책상 보관해야 한다", "본사 보존기간 규정에 따른다", "데이터가 국외에 있어 이행할 수 없다"에 해당하는 호가 없습니다. GDPR Article 12(5)가 두는 manifestly unfounded or excessive라는 일반 거절 사유에 대응하는 조항도 제35조 제4항과 제37조 제2항에는 없습니다. 한편 제35조의2의 전송 요구는 절차가 별도로 설계되어 있으므로 [전송 요구의 기한과 거절 사유를 정리한 글](/posts/mydata-request-deadline-and-refusal/)에서 따로 다뤘습니다.
## 요구를 받는 창구는 어디에 두어야 하나요?
법 제38조 제4항은 열람등요구의 방법과 절차를 마련하고 공개하되, 그 방법과 절차가 **해당 개인정보의 수집 방법과 절차보다 어렵지 아니하도록** 하라고 정합니다. 시행령 제41조 제2항은 쉽게 활용할 수 있는 방법으로 제공할 것, 최소한 수집한 창구 또는 방법과 동일하게 요구할 수 있게 할 것, 홈페이지에 방법과 절차를 공개할 것을 요구합니다. 이 기준은 정정·삭제, 처리정지, 자동화된 결정에 대한 요구에도 준용됩니다.
한국어 웹사이트로 가입을 받으면서 권리 행사는 본사의 영문 글로벌 프라이버시 포털로만 가능하게 두는 구조가 바로 이 지점에서 걸립니다. 수집은 쉬운데 권리 행사가 더 어려운 배치이기 때문입니다.
여기에 더해 거절 등 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하고 안내하는 것도 법 제38조 제5항이 정한 의무입니다.
## 이행할 수 있게 하려면 계약에 무엇이 있어야 하나요?
기한이 10일인데 데이터는 본사 시스템에 있다면, 한국법인이 기한을 지킬 수 있는지는 본사가 얼마나 빨리 움직여 주는지에 달립니다. 시행령 제29조의10 제1항은 국외 이전 시 보호조치로 안전성 확보 조치와 함께 **개인정보 침해에 대한 고충처리 및 분쟁해결에 관한 조치**를 요구하고, 같은 조 제2항은 이를 이전받는 자와 **미리 협의하고 계약내용 등에 반영**하도록 정합니다.
정보주체 요구가 접수되면 본사가 며칠 안에 조회·삭제·정지를 실행하고 결과를 확인해 주는지를 그룹 내 계약에 기한과 함께 적어 두는 것이 이 조항이 예정한 이행 방식입니다. 글로벌 계약서의 1개월 기준을 그대로 받아쓰면 한국의 10일 기한과 맞지 않게 됩니다.
## 이행하지 못하면 무엇이 문제되나요?
먼저 국외 이전 자체가 흔들릴 수 있습니다. 법 제28조의9 제1항은 제28조의8 제1항, 제4항 또는 제5항을 위반한 경우로서 국외 이전이 계속되고 있거나 추가 이전이 예상되면 보호위원회가 국외 이전의 **중지를 명할 수 있다**고 정합니다. 제5장 준수 의무는 제28조의8 제4항의 내용이므로 이 경로에 연결되어 있습니다. 중지 명령을 받으면 7일 이내에 이의를 제기할 수 있습니다(제28조의9 제2항).
다음으로 제5장 안에는 손해배상 조문이 함께 들어 있습니다. 제39조 제1항은 개인정보처리자가 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다고 정하고, 제39조의2 제1항은 300만원 이하의 범위에서 상당한 금액을 손해액으로 하는 법정손해배상을 둡니다. 실제 결과는 개별 사안의 판단에 따르며, 여기서는 조문이 그렇게 정하고 있다는 사실만 적습니다.
## 9월 11일 개정으로 이 부분이 바뀌나요?
이 글의 뼈대는 바뀌지 않습니다. 2026년 9월 11일 시행된 개정법(법률 제21445호)에서 제35조, 제36조, 제37조, 제37조의2, 제38조, 제28조의8은 문언이 그대로이고, 바뀐 것은 제5장 안의 손해배상 조문입니다. 같은 제5장에 있는 제37조의2, 즉 본사 시스템이 내린 자동화된 결정을 한국 이용자가 거부했을 때 누가 며칠 안에 답해야 하는지는 [본사 AI가 내린 결정을 한국 이용자가 거부했습니다](/posts/hq-automated-decision-korea-duty/)에서 따로 다뤘습니다. 제39조 제3항과 제39조의2 제1항의 대상 사유가 현행 "분실·도난·유출·위조·변조 또는 훼손"에서 "유출등"으로 바뀌며, 개정 제39조 제3항은 고의 또는 중대한 과실인 경우 법원이 손해액의 5배를 넘지 아니하는 범위에서 배상액을 정할 수 있되 고의 또는 중대한 과실이 없음을 증명하면 그러하지 아니하다고 정합니다.
## 실무 체크리스트
- 한국에서 수집한 창구 또는 방법과 동일한 수준의 권리 행사 경로가 있는지, 홈페이지에 방법과 절차가 공개되어 있는지 점검합니다(법 제38조 제4항, 시행령 제41조 제2항).
- 열람·정정·삭제·처리정지 요구의 접수일 기준 10일 통지 기한을 내부 처리 절차에 명시합니다(시행령 제41조 제4항·제5항, 제42조 제2항, 제43조 제3항, 제44조 제2항).
- 본사 이관 티켓의 처리 기준이 한국의 10일 기한 안에 조회·삭제·정지 실행과 결과 회신까지 끝나도록 설계되어 있는지 확인합니다(법 제28조의8 제4항, 시행령 제29조의10 제2항).
- 거절·연기 시 사유와 이의제기방법을 함께 통지하는 서식과 이의제기 절차를 마련해 둡니다(법 제38조 제5항, 시행령 제42조 제2항·제43조 제3항·제44조 제2항).
- 본인·대리인 확인부터 삭제 시 복구·재생 방지 조치까지 각 단계의 실행 기록을 남기고, 거절 판단은 법이 열거한 사유에만 근거한다는 기준을 문서화합니다(시행령 제46조 제1항, 법 제36조 제3항, 제35조 제4항, 제37조 제2항).
사고가 나면 이 창구와 기록이 조사에서 함께 확인되므로, [유출 사고 후 72시간 대응을 정리한 글](/guides/data-breach-response/)과 같은 위기 국면의 준비이기도 합니다.
## For your headquarters
Under Korea's Personal Information Protection Act, transferring personal data to headquarters does not shift data subject rights obligations abroad. Article 28-8(4) requires the transferring Korean entity to continue complying with Chapter 5 (Guarantee of Rights of Data Subjects) even after a lawful cross-border transfer, regardless of which transfer basis was used. The mutatis mutandis provision for overseas recipients, Article 28-11, applies only Articles 28-8 and 28-9 to the recipient; it does not extend Chapter 5 to headquarters. The legal obligor for access, correction, deletion, and suspension requests therefore remains the Korean subsidiary. The response timelines are materially shorter than under the GDPR: the Enforcement Decree sets a 10-day period for notifying the data subject of access arrangements, of deferral or refusal with reasons and appeal methods, and of the results of correction, deletion, or suspension measures (Enforcement Decree Articles 41(4), 41(5), 42(2), 43(3), 44(2)), compared with the one-month period, extendable by two further months, under GDPR Article 12(3). Grounds for refusal are exhaustively enumerated, and there is no equivalent to the "manifestly unfounded or excessive" ground in GDPR Article 12(5); group retention policies or the offshore location of data are not listed grounds. Article 28-9 empowers the Commission to order suspension of cross-border transfers where Article 28-8(4) is violated. This English summary is unofficial and provided for convenience; the Korean statutory text and the Korean version of this note prevail.
*More English summaries of Korean data protection law: [English index](/en/).*
## 자주 묻는 질문
### 본사 서버에 있는 데이터에 대한 삭제 요구도 우리가 처리해야 하나요?
그렇습니다. 법 제28조의8 제4항은 국외로 이전한 뒤에도 이전한 개인정보처리자가 제5장을 준수하도록 정하고, 삭제 요구를 다루는 제36조는 제5장에 들어 있습니다. 제28조의11의 준용 목록에는 제5장이 없으므로 이 의무가 본사로 넘어가지 않습니다. 데이터의 물리적 위치와 무관하게 요구를 접수하고 기한 내에 결과를 통지할 의무자는 한국법인입니다.
### 열람 요구에 답해야 하는 기한이 며칠인가요?
시행령 제41조 제4항·제5항에 따라 요구를 받은 날부터 10일 이내에 열람통지서로 알려야 하고, 즉시 열람하게 하는 경우에는 통지서 발급을 생략할 수 있습니다. 연기하거나 거절하는 경우에도 같은 10일 안에 사유와 이의제기방법을 알려야 합니다(시행령 제42조 제2항). 기간 내에 열람할 수 없는 정당한 사유가 있으면 사유를 알리고 연기할 수 있으나, 사유가 소멸하면 지체 없이 열람하게 하여야 합니다(법 제35조 제3항). GDPR의 1개월 기한을 전제로 짠 절차라면 이 기한에 맞지 않습니다.
### 그룹 보존정책을 이유로 거절할 수 있나요?
법이 열거한 거절 사유에 해당하지 않습니다. 삭제 요구는 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에만 막을 수 있고(법 제36조 제1항 단서), 열람과 처리정지의 거절 사유 목록에도 내부 정책이나 본사 규정에 해당하는 호가 없습니다. 그룹 정책이 아니라 한국의 법령을 기준으로 거절 가능 여부를 판단해야 합니다. 다른 법령상 보존 의무가 실제로 있다면 그 법령을 특정해 사유와 이의제기방법과 함께 통지하는 방식이 조문이 예정한 경로입니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 시행 2025. 10. 2.) 제26조 제8항, 제28조의8, 제28조의9, 제28조의11, 제35조, 제36조, 제37조, 제38조, 제39조, 제39조의2
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36340호, 2026. 5. 19.) 제29조의10, 제41조, 제42조, 제43조, 제44조, 제46조
- [개정 개인정보 보호법](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911)(법률 제21445호, 2026. 9. 11. 시행) 제39조, 제39조의2
- [GDPR Article 12](https://gdpr-info.eu/art-12-gdpr/) (3), (4), (5)
이 글은 조문과 공개 자료에 근거한 일반론이며, 구체적인 사안에는 개별 검토가 필요합니다.
---
# 본사가 보내온 글로벌 DPA에 서명했습니다 — 한국법이 계약에 넣으라고 정한 것은 따로 있습니다
- URL: https://datalaw.kr/posts/global-dpa-korea-transfer-contract-gap/
- 게시 2026-08-06 · 수정 2026-09-11 · 태그: 위탁수탁, 국외이전, 개인정보보호법, 스타트업실무
- 요약: 글로벌 DPA 서명만으로 국외이전 준비는 끝나지 않습니다. DPA 역할표가 한국 법인을 processor로 적어 왔더라도 개인정보 보호법 공식 영문본에 그 지위는 없고, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이전 근거(제28조의8 제1항)와 별개로, 같은 조 제4항과 시행령 제29조의10 제2항은 보호조치를 이전받는 자와 미리 협의해 계약에 반영하라고 요구합니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.
> **핵심 요약** 본사가 보내온 글로벌 DPA에 서명하는 것만으로 한국법상 국외이전 준비는 끝나지 않습니다. 개인정보 보호법 제28조의8 제1항의 이전 근거를 갖추는 층과, 같은 조 제4항 및 시행령 제29조의10 제2항에 따라 보호조치를 이전받는 자와 **미리 협의**하고 **계약내용 등에 반영**하는 층은 별개이며, 후자는 다섯 가지 근거 중 무엇을 택했든 적용됩니다. 그 전에 DPA 역할표가 한국 법인을 processor로 적어 왔더라도 개인정보 보호법에 그 지위는 없고, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이 의무 위반은 과징금 각 호에는 없지만 국외 이전 중지 명령의 사유입니다. 한국법인에서 본사로 데이터가 흘러가는 외국계 그룹의 법무·프라이버시 조직이 점검할 지점입니다.
본사 법무팀이 글로벌 DPA와 SCC 부속서를 보내옵니다. 한국법인은 서명란을 채워 돌려보내고, 국외이전 별도 동의나 처리방침 공개 같은 이전 근거도 따로 갖춰 두었습니다. 여기까지 하면 한국 쪽 숙제는 끝난 것처럼 보입니다.
그런데 한국 개인정보 보호법은 이전의 근거와 별도로, 그 이전에 관한 계약에 무엇을 담을지를 따로 정해 두었습니다. [본사 표준 산출물이 한국에서 어긋나는 지점을 지도로 그린 글](/posts/global-policy-korea-gap-map/)에서 다룬 공백 가운데, 실무에서 가장 자주 지나치는 자리가 바로 여기입니다.
## DPA가 우리를 processor로 적었다면 — 한국법에는 그 자리가 없다
계약 요건을 대조하기 전에 역할표부터 봐야 합니다. 본사 DPA의 역할표에는 답이 이미 적혀 있습니다. 본사는 controller, 한국 법인은 processor. 그런데 그 역할표는 전제부터 한국법과 맞지 않습니다.
국가법령정보센터(law.go.kr)의 공식 영문본(법률 제20897호, 2025. 10. 2. 시행 기준)은 주요 지위를 이렇게 옮깁니다.
| 국문 | 공식 영문본 |
|---|---|
| 개인정보처리자 | personal information controller |
| 위탁자 | person entrusting |
| 수탁자 | person entrusted (제26조 제8항은 outsourcee와 병용) |
GDPR의 processor에 대응하는 항목이 없습니다. processor라는 단어가 본문에 두 번 나오기는 합니다. 제31조의2 제2항 제2호와 제34조의2 제1항인데, 둘 다 국문으로는 개인정보처리자이고 다른 218곳에서 controller로 옮겨진 바로 그 말입니다. 한국 영문본에서 processor는 controller가 흔들린 표기일 뿐, 별개 지위가 아닙니다. 본사가 그 단어를 GDPR 의미로 읽으면 정반대 지위를 가리키게 됩니다. 본사가 영문본으로 검토하고 있다면 [그 영문본이 현행 버전인지](/posts/english-pipa-version-gap/)도 함께 확인할 필요가 있습니다.
한국법의 지위는 셋이고, GDPR의 controller–processor 두 층과 맞아떨어지지 않습니다.
| 지위 | 근거 | 누구인가 |
|---|---|---|
| 개인정보처리자 | 제2조 제5호 | 업무를 목적으로 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 법인·단체·개인 등 |
| 수탁자 | 제26조 제2항 | 처리 업무를 위탁받아 처리하는 자(재수탁자 포함) |
| 개인정보취급자 | 제28조 제1항 | 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 임직원 등 자연인 |
셋째 줄이 함정입니다. 개인정보취급자는 조직 내부의 자연인이지 벤더 회사가 아닙니다. 본사가 processor를 이 자리에 대응시키면, 내부 직원의 관리·감독(제28조 제1항)과 정기 교육(같은 조 제2항)을 정한 조문을 벤더 계약에 적용하게 됩니다.
가장 크게 어긋나는 지점은 책임의 범위입니다. 제26조 제8항은 개인정보처리자에게 적용되는 조문 대부분을 수탁자에게 준용합니다. 수집·이용·제공의 근거와 동의, 민감정보·고유식별정보 제한, 파기, 국외이전, 안전조치, 처리방침, 개인정보 보호책임자 지정, 영향평가, 유출 통지·신고, 정보주체 권리 대응, 조사 관련 조문이 통째로 넘어오고, 목록 끝에는 과징금 조문인 제64조의2가 있습니다. "우리는 processor라서 책임이 제한적"이라는 전제는 그래서 한국에서 서지 않습니다.
반대 방향도 어긋납니다. 제2조 제5호는 개인정보처리자를 "스스로 또는 다른 사람을 통하여" 개인정보를 처리하는 자로 정의합니다. 위탁이 정의 안에 이미 들어 있으므로, 업무를 위탁했다고 위탁자가 개인정보처리자 지위를 벗지 않습니다. 제26조 제7항은 더 나아갑니다.
> 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.
계약서의 책임제한 조항을 정교하게 다듬어도 정보주체에 대한 대외적 책임의 구도는 바뀌지 않습니다. 계약이 정할 수 있는 것은 당사자 사이의 내부 분담입니다.
역할을 한국법 자리로 옮겨 놓으면 본사 표준 DPA에서 확인할 항목이 따라 나옵니다. 제26조는 위탁을 일정한 내용이 포함된 문서로 하고(제1항), 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하며(제2항), 수탁자가 재위탁하려면 위탁자의 동의를 받도록(제6항) 요구합니다. 본사 표준 DPA에는 이 셋에 대응하는 조항이 없는 경우가 있습니다. 그 계약이 애초에 '위탁'인지 제3자 제공인지는 별개의 판별 문제로, 기준은 [처리방침에 SDK를 모두 '위탁'으로 적어 두었습니다](/posts/sdk-processor-vs-third-party-transfer/)에서 다루었습니다.
조사가 시작되면 계약서의 역할 표기가 결론을 정해 주지 않습니다. 어떤 회사가 수탁자인지, 별개의 개인정보처리자인지는 DPA에 적힌 단어가 아니라 실제 처리 구조를 놓고 판단할 문제입니다. 역할표를 한국법 기준으로 다시 잡은 뒤에야, 국외이전 계약에 무엇을 담아야 하는지가 제대로 보입니다.
## 이전 근거를 갖췄으면 계약은 본사 것을 그대로 써도 되나요?
법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서, 단서 각 호에 다섯 가지 근거를 둡니다. 별도 동의(제1호), 법률·조약 등 특별한 규정(제2호), 계약 이행을 위한 처리위탁·보관(제3호), 고시된 인증(제4호), 보호위원회의 동등성 인정(제5호)입니다. 근거의 층 자체는 [EU 동등성 인정과 이전 근거를 정리한 글](/posts/eu-korea-adequacy-first-review/)에서 다뤘습니다.
이 글의 주제는 그 위에 얹히는 층입니다. 제4항은 "제1항 각 호 외의 부분 단서에 따라" 이전하는 경우 전체를 대상으로 하므로, **다섯 근거 중 무엇을 골랐든** 걸립니다. 다섯 근거 가운데 인증(제1항 제4호)을 택하려는 경우 그 인증이 고시 목록에 있는지부터 갈라야 하는데, 그 판단은 [한국 고시 목록에 올라 있는 인증은 하나뿐입니다](/posts/overseas-transfer-certification-list/)에서 다뤘습니다.
제4항이 요구하는 것은 세 갈래입니다. 국외 이전과 관련한 이 법의 다른 규정, 제17조부터 제19조까지, 그리고 제5장(정보주체의 권리 보장)을 준수해야 하고, 여기에 대통령령으로 정하는 보호조치가 더해집니다. 이 가운데 제5장은 계약 문언이 아니라 개별 요구에 대한 대응으로 나타납니다. 그 기한이 며칠이고 의무자가 누구인지는 [열람·삭제 요구의 통지 기한은 10일이고 의무자는 한국법인입니다](/posts/overseas-transfer-data-subject-rights/)에서 조문 단위로 다뤘습니다.
## 계약에 무엇을 반영하라는 것인가요?
시행령 제29조의10 제1항은 보호조치를 세 가지로 적습니다. 시행령 제30조 제1항에 따른 **안전성 확보 조치**, 개인정보 침해에 대한 **고충처리 및 분쟁해결에 관한 조치**, 그 밖에 정보주체 보호에 필요한 조치입니다. 제30조 제1항에는 내부 관리계획, 접근 권한 제한과 인증수단, 암호화, 접속기록의 보관, 물리적 조치 같은 항목이 들어 있습니다.
핵심은 제2항입니다. 이 사항들을 이전받는 자와 미리 협의하고 계약내용 등에 반영하라고 합니다. 요구되는 것은 완성된 문서가 아니라 **절차**입니다.
본사가 서명을 마친 표준 문서를 받아 드는 구조라면, "미리 협의"라는 시점 요건은 이미 지나가 있습니다. 순서를 되짚어 볼 이유가 여기에 있습니다.
정해진 서식이 있는지도 확인해 봤습니다. 국외 이전에 관한 하위 고시(개인정보보호위원회고시 제2023-11호)는 국외이전전문위원회 운영, 인증, 이전대상국등 인정, 중지 명령의 절차만 정하고 있을 뿐, 제4항의 보호조치를 어떤 형식과 수준으로 계약에 적을지를 정한 조문은 없습니다. 무엇을 협의해 반영할지는 시행령까지 내려와 있지만 문언의 설계는 회사 몫으로 남아 있고, 뒤집어 말하면 기다릴 서식도 없다는 뜻입니다.
## 본사 표준 DPA에는 왜 그 자리가 없나요?
특정 회사의 DPA에 무엇이 빠져 있는지는 문서를 보기 전에는 알 수 없습니다. 확인할 수 있는 것은 한국 조문이 요구하는 항목이고, 그 목록으로 자기 계약서를 대조해 보는 것이 순서입니다.
대조 포인트는 세 개입니다. 첫째, 시행령 제29조의10 제1항 제2호의 고충처리·분쟁해결 조치가 계약 어디에 있는지. 둘째, 협의가 계약 **체결 전**에 있었다는 사실을 무엇으로 보일 수 있는지.
셋째, 법 제28조의8 제5항은 이 법을 위반하는 사항을 내용으로 하는 국외이전 계약의 **체결 자체를 금지**합니다. 서명하는 행위에 조문이 걸리는 구조입니다. 앞서 본 controller·processor 역할표와 한국법 지위의 어긋남까지 함께 대조하면 빠르게 확인됩니다.
## 본사가 다시 제3국 벤더로 넘기는 구간은 어떻게 되나요?
법 제28조의11은 이전받은 자가 그 개인정보를 제3국으로 이전하는 경우 제28조의8과 제28조의9를 준용합니다. 이때 "개인정보처리자"는 "개인정보를 이전받은 자"로 치환됩니다. 본사가 제3국 클라우드나 벤더로 넘기는 구간에도 같은 틀이 적용되므로, 본사 DPA의 서브프로세서 조항이 한국 조문과 만나는 자리가 됩니다.
## 반영하지 않으면 무엇이 문제되나요?
제재 경로가 독특합니다. 법 제64조의2 제1항 제7호가 과징금 대상으로 삼는 것은 제28조의8 제1항 위반이고, 제4항·제5항 위반은 각 호에 열거되어 있지 않습니다. 제75조의 과태료 각 호에도 관련 조항이 없습니다.
그렇다고 공백은 아닙니다. 제28조의9 제1항 제1호는 제1항·제4항·제5항 위반을 나란히 **국외 이전 중지 명령**의 사유로 들고, 명령을 따르지 않으면 그때 제64조의2 제1항 제8호로 전체 매출액 3% 한도의 과징금이 붙습니다.
이 처분의 무게는 금액이 아니라 **데이터 흐름이 멈춘다**는 데 있습니다. 다투는 기간도 짧습니다. 이의 제기는 명령을 받은 날부터 7일 이내이고, 보호위원회는 이의신청서를 받은 날부터 30일 이내에 처리결과를 문서로 통지합니다(법 제28조의9 제2항, 시행령 제29조의12).
## 서류와 실제 흐름이 어긋나면 어떻게 되나요?
개인정보보호위원회는 2026년 6월 24일 제12회 전체회의에서 빗썸에 과징금 2억 1,000만 원과 시정명령을 의결했습니다(보도자료는 6월 25일자). 문제된 기간은 2025년 9월부터 11월까지로, 빗썸은 테더(USDT) 마켓에서 해외 거래소와 오더북(Order Book)을 공유했습니다.
이 과정에서 정보주체에게는 스텔라 거래소(Stellar exchange)로 국외이전한다는 내용으로 별도 동의를 받았으나, 실제 회원번호와 주문정보는 다른 거래소가 운영하는 시스템(bingx.com)으로 이전된 사실이 확인됐습니다. 문서가 실제 데이터 흐름을 따라가지 못하면, 갖춰 둔 근거가 그 이전을 덮지 못합니다.
균형 있게 볼 부분도 있습니다. 개인정보위는 자금세탁방지 목적의 개인정보 제공 필요성 자체는 인정하면서도, 국외이전은 정보주체의 자기결정권과 밀접하므로 요건과 절차를 면밀히 준수해야 한다고 판단했습니다. 목적이 정당해도 요건과 절차는 따로 본다는 뜻입니다.
시정명령의 내용도 눈여겨볼 만합니다. 적법한 요건을 갖추고 그 사실을 개인정보 처리방침으로 명확히 안내하라는 것이었습니다. [2026년 상반기 개인정보위 제재 흐름을 통계로 정리한 글](/sanctions/)에서 이 사건의 위치를 확인할 수 있습니다.
## 9월 11일 개정으로 이 부분이 바뀌나요?
2026년 9월 11일 시행된 개정법(법률 제21445호)에서 제28조의8·제28조의9·제28조의11의 문언은 바뀌지 않았습니다. 바뀐 것은 제64조의2입니다. 제2항이 신설되어, 과징금 처분일부터 3년 내 같은 호의 반복 위반(고의·중과실 한정), 고의·중과실 위반으로 피해 정보주체 1천만 명 이상, 시정조치 명령 불이행에 따른 위반의 세 경우에 전체 매출액 10% 한도의 과징금 구간이 생기고, 현행 제2항은 제3항으로 밀립니다.
## 실무 체크리스트
- 이전 근거(제1항 각 호 중 어느 것인지)와 계약 반영(제4항)을 별개 항목으로 점검했는가 (법 제28조의8 제1항·제4항)
- 시행령 제30조 제1항의 안전성 확보 조치가 계약 또는 부속서에 반영되어 있는가 (시행령 제29조의10 제1항 제1호)
- 고충처리·분쟁해결에 관한 조치 조항이 계약에 있는가 (시행령 제29조의10 제1항 제2호)
- 계약 체결 전에 보호조치를 협의한 기록이 남아 있는가 (시행령 제29조의10 제2항)
- 본사에서 제3국 벤더로 가는 재이전 구간에 같은 점검을 했는가 (법 제28조의11)
- 동의서·처리방침의 기재가 실제 데이터 흐름과 일치하는가 (법 제28조의8 제2항)
투자나 M&A 실사에서도 이 계약서는 요청 목록에 오릅니다. [실사에서 국외이전 계약서를 어떤 자료 목록으로 확인하는지 정리한 글](/posts/due-diligence-data-request-list/)의 항목과 겹쳐 보면 준비 상태가 드러납니다. 유출 사고가 나면 이 계약서가 조사에서 다시 꺼내지므로, [유출 후 72시간 안의 신고와 대응 절차를 정리한 글](/guides/data-breach-response/)과 함께 관리해 두시기 바랍니다.
## For your headquarters
Signing the group-wide DPA does not by itself complete cross-border transfer compliance under Korean law. Korea's Personal Information Protection Act (PIPA) separates two layers: the legal basis for an outbound transfer under Article 28-8(1), and additional obligations under Article 28-8(4) that apply whichever of the five bases is used. Article 28-8(4) requires compliance with other PIPA provisions on cross-border transfers, Articles 17 through 19, and Chapter 5 on data subjects' rights, plus protective measures prescribed by the Enforcement Decree. Under Enforcement Decree Article 29-10(2), those measures, including security safeguards and a mechanism for handling grievances and dispute resolution, must be discussed with the overseas recipient in advance and reflected in the contract. A pre-signed template sent down from headquarters may leave no evidence of that prior consultation. Article 28-8(5) separately prohibits entering into a transfer contract whose terms violate PIPA. Violations of Article 28-8(4) or (5) are not listed under the penalty surcharge provision of Article 64-2(1)7, but they are grounds for a transfer suspension order under Article 28-9, and failure to comply with such an order triggers a surcharge of up to 3 percent of total revenue under Article 64-2(1)8. An objection to a suspension order must be filed within 7 days. Onward transfers from headquarters to third-country vendors are covered mutatis mutandis under Article 28-11. This English summary is unofficial and provided for convenience; the Korean statutory text and the Korean version of this note prevail.
*More English summaries of Korean data protection law: [English index](/en/).*
**선례 확인** — 개인정보취급자 감독(보호법 제28조) 위반으로 실제 부과된 처분은 [개인정보취급자 감독 의무 위반 제재 사례](/sanctions/article-28/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### 본사 표준 DPA에 서명하면 한국법상 국외이전 요건은 충족되나요?
이전 근거와 계약 반영은 별개의 층입니다. 개인정보 보호법 제28조의8 제1항의 근거를 갖췄더라도, 같은 조 제4항과 시행령 제29조의10 제2항에 따라 보호조치를 이전받는 자와 미리 협의하고 계약내용 등에 반영해야 합니다.
### 계약 반영 의무를 위반하면 과징금이 부과되나요?
제64조의2 제1항 각 호 가운데 국외이전 관련으로 열거된 것은 제28조의8 제1항 위반(제7호)이고, 제4항·제5항 위반은 과징금 각 호에도 제75조의 과태료에도 열거되어 있지 않습니다. 다만 제4항·제5항 위반은 제28조의9 제1항 제1호가 정한 국외 이전 중지 명령의 사유입니다. 명령을 따르지 않으면 제64조의2 제1항 제8호로 전체 매출액 3% 한도의 과징금 대상이 됩니다.
### 2026년 9월 11일 시행 개정법으로 국외이전 조문이 바뀌나요?
제28조의8·제28조의9·제28조의11의 문언은 바뀌지 않습니다. 제64조의2에 제2항이 신설되어 반복 위반 등 세 가지 경우에 전체 매출액 10% 한도의 가중 과징금 구간이 생기고, 현행 제2항은 제3항으로 밀립니다.
### 본사 DPA에 한국 법인을 processor로 적어 두면 효력이 없습니까?
당사자 사이의 내부 분담 약정으로서 의미가 없지는 않습니다. 다만 한국법상 지위와 의무는 계약의 표기가 아니라 법률과 실제 처리 구조에 따라 정해지므로, processor라는 표기가 제26조 제8항으로 준용되는 의무의 범위를 줄여 주지 않습니다.
### 수탁자도 과징금 부과 대상이 됩니까?
제26조 제8항의 준용 목록에는 과징금 조문인 제64조의2가 포함되어 있습니다. 수탁자는 준용되는 의무를 위반하면 개인정보처리자와 마찬가지로 과징금 조문의 적용을 받습니다.
DPA가 채우지 못하는 자리를 한국법의 어느 지위로 메울지는 [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)에서 지위별로 정리했습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 시행 2025. 10. 2.) 제2조, 제26조, 제28조, 제28조의8, 제28조의9, 제28조의11, 제31조의2, 제34조의2, 제64조의2, 제75조
- Personal Information Protection Act (English translation), Korea Law Information Center — 같은 법령의 공식 영문본
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36340호, 2026. 5. 19.) 제29조의10, 제29조의11, 제29조의12, 제30조 제1항
- 「개인정보 국외 이전 운영 등에 관한 규정」(개인정보보호위원회고시 제2023-11호, 2023. 10. 16. 제정·시행)
- 개인정보보호위원회 보도자료, [「개인정보위, 개인정보 국외이전 위반 '빗썸' 제재」](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12196)(2026. 6. 25., 제12회 전체회의 6. 24. 의결 — 과징금 2억 1천만 원 및 시정명령)
- [개정 개인정보 보호법](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911)(법률 제21445호, 2026. 9. 11. 시행) 제64조의2
이 글은 조문과 공개 자료에 근거한 일반론이며, 구체적인 사안에는 개별 검토가 필요합니다.
---
# 본사는 인증을 받았으니 국외이전 근거가 있다고 합니다 — 한국 고시 목록에 올라 있는 인증은 하나뿐입니다
- URL: https://datalaw.kr/posts/overseas-transfer-certification-list/
- 게시 2026-08-05 · 태그: 국외이전, 개인정보보호법, 스타트업실무
- 요약: 개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외이전 근거로 인정하지만 조건이 둘입니다. 보호위원회가 고시한 목록에 올라 있는 인증이어야 하고, 그 인증을 받아야 하는 쪽은 이전받는 자입니다. 고시 별표 2에 등재된 인증은 ISMS-P 하나이고 ISO 27701·BCR·CBPR은 없습니다.
> **핵심 요약**: 개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외 이전의 근거로 인정합니다. 다만 조건이 둘입니다. 첫째, 보호위원회가 정하여 고시하는 목록에 올라 있는 인증이어야 하고, 둘째, 그 인증을 받아야 하는 주체는 이전하는 한국법인이 아니라 **개인정보를 이전받는 자**입니다. 그런데 그 고시 목록인 별표 2에 등재된 인증은 2026년 8월 5일 확인 기준 ISMS-P 하나뿐입니다. 본사가 보유하는 ISO/IEC 27701, BCR, APEC CBPR은 이 목록에 없습니다. 목록에 없는 인증을 근거로 삼은 이전은 제4호의 요건을 충족하지 못하고, 근거 없는 이전은 제64조의2 제1항 제7호의 과징금 사유와 제28조의9의 이전 중지 명령이 걸리는 영역입니다.
이 글은 [본사 글로벌 프라이버시 정책을 한국 법인에 그대로 적용했을 때 어긋나는 지점들을 항목별로 정리한 지도](/posts/global-policy-korea-gap-map/)에서 국외이전 항목 하나를 따로 꺼내어 파고드는 글입니다. 그 글에서는 국외이전의 근거가 법에 열거되어 있다는 구조까지만 짚고 넘어갔는데, 여기서는 그 열거된 근거 가운데 인증 항목이 실제로 어떻게 작동하는지를 확인합니다.
## 제4호는 정확히 무엇을 근거로 인정하나요?
개인정보 보호법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서, 단서의 다섯 개 호 중 하나에 해당할 때만 이전을 허용합니다. 그중 제4호의 문언은 다음과 같습니다.
> 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 다음 각 목의 조치를 모두 한 경우
> 가. 개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치
> 나. 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치
요건은 셋으로 나뉩니다. ① 인증의 종류가 보호위원회가 고시한 것이어야 하고, ② 그 인증을 받은 주체가 **개인정보를 이전받는 자**여야 하며, ③ 가목과 나목의 조치를 모두 하여야 합니다.
특히 ②를 놓치기 쉽습니다. 한국법인이 국외 본사로 개인정보를 이전하는 구도라면, 조문이 인증을 요구하는 자리는 이전받는 쪽인 본사입니다. 한국법인이 ISMS-P를 받아 두었더라도 그것은 이전하는 쪽의 인증이라, 제4호 문언이 가리키는 자리와 다릅니다.
## 그 고시 목록에는 실제로 무엇이 올라 있나요?
어떤 인증이 제4호의 인증인지는 법률만 보아서는 알 수 없습니다. 시행령 제29조의8이 고시 절차를 정하고, 보호위원회 고시 「개인정보 국외 이전 운영 등에 관한 규정」(제2023-11호) 제14조와 제15조가 "보호위원회가 정하는 인증은 별표2와 같다"고 연결합니다.
그 별표 2의 내용 전부는 다음 한 행입니다.
| 인증명 | 인증 유효기간 | 비고 |
|---|---|---|
| ISMS-P | 해당 없음 | 법 제32조의2에 따른 개인정보 보호 인증 |
즉 목록에 있는 것은 법 제28조의8 제1항 제4호가 이미 조문 안에 예시로 적어 둔 바로 그 인증, ISMS-P 하나입니다. 조문의 "등"이라는 표현이 다른 인증이 들어올 자리를 열어 두고 있지만, 2026년 8월 5일 확인 기준 그 자리에 등재된 인증은 없습니다. 이 고시는 2023년 10월 16일 제정 이후 개정된 적이 없습니다.
## 본사가 가진 인증은 왜 그 자리에 들어가지 못하나요?
별표 2에 인증이 등재되려면 기업이 인증서를 제출하는 것으로는 되지 않습니다. 시행령 제29조의8 제1항은 개인정보 보호 인증 전문기관의 평가, 국외이전전문위원회의 평가, 정책협의회의 협의라는 세 단계를 모두 거치도록 정하고 있습니다. 그 위에 고시 제14조가 보호위원회의 심의·의결을 요구합니다.
평가 대상도 개별 기업이 아니라 **인증 제도 자체**입니다. 별표 1의 평가 기준은 합법적인 처리근거, 최소처리, 정보주체 권리, 투명성, 책임성, 안전성, 특별한 보호가 요구되는 개인정보 처리, 침해대책 및 대응, 국외 이전, 인증제도 운영의 열 개 구분으로 되어 있습니다. 등재되더라도 시행령 제29조의8 제2항에 따라 5년의 범위에서 유효기간이 붙을 수 있고, 고시 제17조는 보호 수준이 미달하면 별표 2에서 제외하는 절차까지 두고 있습니다.
이 절차를 통과해 등재된 국외 인증은 아직 없습니다. 본사가 보유한 ISO/IEC 27701, BCR, APEC CBPR, 글로벌 CBPR 모두 별표 2에 등재되어 있지 않습니다. 글로벌 CBPR 인증이 왜 국외이전 근거로 쓰이지 못하는지는 [별도의 글에서 그 이유를 따로 정리](/posts/eu-korea-adequacy-first-review/)해 두었습니다.
## 목록에 있는 인증을 받았다면 그것으로 끝나나요?
아닙니다. 제4호는 가목과 나목의 조치를 **모두** 할 것을 요구합니다. 나목은 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치이므로, 국내에서 받은 인증을 국외 이전 구간까지 연장하는 별도의 작업이 필요합니다.
여기에 제28조의8 제4항이 겹칩니다. 어느 호를 근거로 하든 시행령 제29조의10 제1항에 따라 안전성 확보 조치, 고충처리 및 분쟁해결에 관한 조치 등을 해야 합니다. 그리고 같은 조 제2항은 그 사항을 **이전받는 자와 미리 협의하고 계약내용 등에 반영**하도록 정하고 있어, 인증을 근거로 삼더라도 계약 작업은 남습니다.
인증 자체의 관리도 있습니다. 법 제32조의2 제2항에 따라 인증의 유효기간은 3년이고, 제4항에 따라 연 1회 이상 사후관리를 받습니다.
## 근거를 잘못 적어 두면 무엇이 걸리나요?
법 제64조의2 제1항 제7호는 제28조의8 제1항, 제4항 또는 제5항을 위반한 경우를 전체 매출액의 100분의 3을 초과하지 않는 범위의 과징금 부과 사유로 열거하고 있습니다. 별도로 제28조의9 제1항은 위반이 있거나 정보주체 피해 우려가 현저한 경우 국외 이전 중지를 명할 수 있도록 하고, 제2항은 명령을 받은 날부터 7일 이내의 이의제기를 정하고 있습니다. 제28조의8 제5항은 이 법을 위반하는 내용의 국외 이전 계약 체결 자체를 금지합니다.
유출 사고 등으로 조사가 시작되면, 처리방침과 내부 문서에 국외 이전의 근거를 무엇으로 적어 두었는지가 먼저 확인되는 자리가 됩니다. 유출을 인지한 직후에 무엇을 먼저 하고 무엇을 해서는 안 되는지는 [초기 대응 절차를 시간순으로 정리한 글](/guides/data-breach-response/)에서 확인하실 수 있습니다. 근거 조항이 문언과 맞지 않게 적혀 있으면 그 지점부터 문제가 커집니다.
## 그러면 무엇을 근거로 삼아야 하나요?
현재 실무에서 남는 경로는 제1호의 별도 동의, 그리고 계약 이행을 위한 처리위탁·보관에 대해 처리방침 공개 또는 정보주체 통지를 갖추는 제3호입니다. 제5호는 국가나 국제기구에 대한 보호위원회의 인정이므로 기업이 선택할 수 있는 항목이 아닙니다. 같은 제5호라도 상대 국가가 어디인지에 따라 열려 있는 방향과 막혀 있는 방향이 갈리는데, 이 점은 [국가 간 이전 근거가 방향에 따라 어떻게 달라지는지 다룬 글](/posts/uk-korea-transfer-basis-gap/)에서 다루었습니다.
본사의 인증이 무가치하다는 뜻은 아닙니다. ISO 27701이나 BCR은 가목이 요구하는 안전조치와 정보주체 권리보장 조치를 입증하는 자료로는 의미가 있습니다. 다만 그 자체가 제4호의 이전 근거가 되는 것은 아니라는 점을 구분해야 합니다.
국외이전의 근거를 무엇으로 잡아 두었는지는 투자나 인수 실사에서 자료로 요청되는 항목이기도 한데, [실사에서 개인정보 관련 자료가 어떤 목록으로 요청되는지 정리한 글](/posts/due-diligence-data-request-list/)에서 그 맥락을 보실 수 있습니다.
## 자주 묻는 질문
### 우리 한국법인이 ISMS-P 인증을 받았습니다. 본사로 개인정보를 보내는 근거가 되나요?
제4호의 문언은 "개인정보를 이전받는 자가" 인증을 받은 경우를 요건으로 합니다. 한국법인이 본사로 이전하는 구도에서 이전받는 자는 본사이므로, 한국법인의 ISMS-P는 조문이 요구하는 자리의 인증이 아닙니다. 이 경우 제1호의 별도 동의나 제3호의 처리위탁·보관 경로 등 다른 근거를 검토해야 합니다.
### 본사가 ISO 27701이나 BCR 인증을 받았다면 제4호를 쓸 수 있나요?
제4호의 인증은 보호위원회가 고시한 인증이어야 합니다. 고시 별표 2에 등재된 인증은 2026년 8월 5일 확인 기준 ISMS-P 하나이고, ISO/IEC 27701, BCR, APEC CBPR, 글로벌 CBPR은 등재되어 있지 않습니다. 따라서 현재로서는 이들 인증을 제4호의 근거로 쓸 수 없습니다. 다만 가목의 안전조치와 권리보장 조치를 입증하는 자료로는 활용할 수 있습니다.
### 인증을 근거로 이전하면 계약서는 따로 준비하지 않아도 되나요?
준비해야 합니다. 법 제28조의8 제4항과 시행령 제29조의10은 어느 근거로 이전하든 안전성 확보 조치, 고충처리 및 분쟁해결에 관한 조치 등을 요구합니다. 시행령 제29조의10 제2항은 그 사항을 이전받는 자와 미리 협의하고 계약내용 등에 반영하도록 명시하고 있습니다. 또한 법 제28조의8 제5항은 이 법을 위반하는 내용의 이전 계약 체결을 금지합니다. 계약에 무엇을 어떻게 반영해야 하는지는 [본사가 보내온 글로벌 DPA에 서명했습니다](/posts/global-dpa-korea-transfer-contract-gap/)에서 따로 다뤘습니다.
## For your headquarters
Article 28-8(1)(iv) of the Korean Personal Information Protection Act (PIPA) recognises a certification-based ground for cross-border transfers, but with two conditions. The certification must be one designated and published by the Personal Information Protection Commission (PIPC), and it must be held by the recipient of the data, not by the Korean exporting entity. The published list, Annex 2 to PIPC Notice No. 2023-11, currently contains a single entry, ISMS-P, as confirmed on 5 August 2026. ISO/IEC 27701, Binding Corporate Rules and CBPR certifications are not on that list. Adding a certification requires an evaluation of the certification scheme itself by an accredited certification body, a review by the PIPC's cross-border transfer subcommittee, and an inter-agency consultation, followed by a PIPC resolution. Even a listed certification does not complete the analysis: the transferor must take both measures under items (a) and (b) of subparagraph (iv), and must implement the safeguards required by Article 28-8(4) and Article 29-10 of the Enforcement Decree, which must be agreed with the recipient in advance and reflected in the contract. Transfers without a valid ground are listed as grounds for administrative surcharges under Article 64-2(1)(vii) and may trigger a transfer suspension order under Article 28-9. The Korean text of the statute governs; English renderings, including this summary, are unofficial.
*More English summaries of Korean data protection law: [English index](/en/).*
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 2025. 10. 2. 시행) 제28조의8, 제28조의9, 제32조의2, 제64조의2 제1항 제7호
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36340호, 2026. 5. 19. 시행) 제29조의8, 제29조의10, 제34조의6 제1항
- 개인정보보호위원회 고시 「개인정보 국외 이전 운영 등에 관한 규정」(고시 제2023-11호, 2023. 10. 16. 제정·시행) 제14조, 제15조, 제16조, 제17조, 별표 1, 별표 2
이 글은 일반적인 정보 제공을 목적으로 하며, 개별 사안에 대한 법률자문이 아닙니다.
---
# 실사에서 개인정보를 볼 때 무엇을 요청해야 하나 — 파기 미이행과 국외이전 근거 미비를 찾는 자료
- URL: https://datalaw.kr/posts/due-diligence-data-request-list/
- 게시 2026-08-04 · 수정 2026-08-28 · 태그: 기업인수, 국외이전, 개인정보보호법
- 요약: 유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다.
> **핵심 요약**: 파기 미이행과 국외이전 근거 미비는 사건이 없는 상태형 위반이라, 실사에서 자료를 직접 받아 대조하지 않으면 발견되지 않습니다. 무엇을 받을지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재(파기절차·방법, 보존근거·보존항목)와 제28조의8 제1항의 이전 근거별 문서(동의·공개·통지·인증·인정)가 그것입니다. 다만 두 위반의 무게는 달라서, 파기 미이행은 3천만원 이하 과태료(제75조 제2항 제4호), 국외이전 근거 미비는 전체 매출액 3% 이내 과징금(제64조의2 제1항 제7호)과 이전 중지 명령(제28조의9)의 영역입니다.
인수 실사의 자료요청 목록에서 개인정보는 흔히 "관련 법령을 준수하고 있다"는 진술 한 줄로 지나갑니다. 그 한 줄이 클로징 뒤에 하는 일은 [진술보증 조항을 다룬 글](/posts/ma-reps-warranties-privacy-claims/)에서 살펴봤습니다. 그 글이 공표된 처분 이력을 확인하는 축이라면, 이 글은 드러나지 않은 위반 상태 자체를 찾는 축입니다.
개인정보 위반에는 유출처럼 사건이 터지는 사고형과, 사건 없이 이어지는 **상태형**이 있습니다. 실무에서 반복적으로 마주치는 상태형의 대표가 파기 미이행과 국외이전 근거 미비입니다.
## 상태형 위반은 왜 실사에서만 잡히나
사고형에는 시점이 있습니다. 유출이 나면 통지와 신고, 처분으로 흔적이 남으므로 인수하는 쪽이 밖에서도 확인할 수 있습니다.
상태형은 다릅니다. 지웠어야 할 데이터가 남아 있는 상태, 근거 없이 해외에서 데이터가 조회되는 상태는 뉴스에도 처분 이력에도 잡히지 않습니다. 대상회사의 자료를 직접 받아 보는 것 말고는 발견할 방법이 없습니다.
그렇다고 요청 목록을 새로 설계할 필요는 없습니다. **법이 이미 만들어 두고 밖에 알리라고 정한 문서가 곧 실사 요청 목록**입니다.
## 파기 미이행은 무엇을 받아 보면 알 수 있나
출발점은 개인정보 처리방침입니다. 개인정보 보호법 제30조 제1항 제3호의2는 처리방침에 파기절차와 파기방법을 적게 하고, 법령상 보존 사유로 파기하지 않는 정보가 있으면 그 보존근거와 보존항목까지 적게 합니다. 회사가 스스로 공개해 둔 이 기재가 곧 대조표입니다.
다음은 실제 데이터와의 대조입니다. 제21조 제1항은 불필요해진 개인정보를 지체 없이 파기하되 다른 법령상 보존 의무가 있으면 예외로 두고, 제3항은 그렇게 보존하는 정보를 다른 개인정보와 분리하여 저장·관리하게 합니다. 파기 의무와 법정 보존기간이 충돌할 때의 기준은 [탈퇴 회원 개인정보의 파기와 분리보관](/posts/retention-vs-destruction/)에 따로 정리했습니다.
주의할 점이 하나 있습니다. 민간 기업에 "파기 대장"을 만들라는 법정 의무는 없으므로, 대장을 요구하는 것은 근거가 없습니다. 처리방침의 보존근거·보존항목과 실제 남은 데이터를 대조하고, 전자 파일이 복원 불가능한 방법으로 삭제되는지(시행령 제16조 제1항)를 확인하는 것이 법이 만들어 둔 경로입니다.
## 국외이전은 근거마다 확인할 자료가 다르다
제28조의8 제1항은 국외이전을 원칙적으로 금지하고 다섯 가지 근거를 예외로 둡니다. 그래서 첫 질문은 회사가 어느 근거로 이전하고 있는지를 스스로 특정하게 하는 것입니다. 근거마다 확인할 자료가 다르기 때문입니다.
별도 동의(1호)라면 동의 화면에 제2항의 다섯 가지 고지 항목, 특히 거부하는 방법과 효과까지 담겼는지 봅니다. 계약 이행을 위한 처리위탁·보관(3호)이라면 처리방침 공개 또는 서면등의 통지 기록(시행령 제29조의7), 인증(4호)은 인증 사실과 부수 조치, 동등성 인정(5호)은 관보 고시(시행령 제29조의9 제6항)입니다. 동등성 인정의 구조는 [EU 동등성 인정을 다룬 글](/posts/eu-korea-adequacy-first-review/)에서 썼습니다.
계약서도 요청 목록에 넣습니다. 제28조의8 제4항과 시행령 제29조의10 제2항이 안전조치와 고충처리·분쟁해결 조치를 이전받는 자와 미리 협의해 계약에 반영하게 하므로, 그 반영 여부가 계약서에서 확인됩니다. 그리고 법문이 제공에 "조회되는 경우를 포함한다"고 적고 있어, 해외 본사가 한국 서버의 데이터를 열람만 해도 국외이전입니다.
## 두 위반의 값은 왜 다른가
파기 미이행은 과태료의 영역입니다. 제21조 제1항 위반은 3천만원 이하(제75조 제2항 제4호), 분리 저장·관리 위반은 1천만원 이하(제75조 제4항 제2호)입니다.
국외이전 근거 미비는 다른 층에 있습니다. 제64조의2 제1항 제7호가 이를 전체 매출액의 3%를 초과하지 않는 범위의 **과징금** 대상으로 열거하고, 제28조의9 제1항은 이전 중지 명령을 따로 둡니다. 제28조의11에 따라 이전받은 자가 제3국으로 재이전하는 구간에도 같은 규율이 준용됩니다.
결정적인 대비는 제64조의2 제1항의 열거 항목에 제21조 파기 위반이 없다는 점입니다. 체크리스트에서는 둘 다 한 줄이지만 조문이 매긴 무게는 같지 않습니다. 다만 파기되지 않고 남은 데이터는 [유출 사고](/guides/data-breach-response/)가 났을 때 같은 항 제9호가 적용되는 사고의 규모 자체를 키웁니다.
## 실사에서 못 찾으면 그다음은 어떻게 되나
상태형 위반은 클로징으로 끝나지 않고 인수 뒤에도 이어집니다. 그리고 법 제64조의2 제4항 제2호는 과징금을 부과할 때 위반행위의 기간과 횟수를 고려하게 합니다.
금액을 가늠할 때 시행령 제60조의2 제1항은 정확히 읽어야 합니다. 이 조항이 위반행위가 있었던 사업연도로 잡는 것은 기준 시점일 뿐이고, 3%가 걸리는 전체 매출액 자체는 사업 개시 3년 이상인 회사의 경우 직전 사업연도 매출액과 직전 3개 사업연도 연평균 매출액 중 큰 금액입니다. 대상회사의 매출이 최근에 뛰었다면 익스포저는 최신 숫자가 아니라 이 기준으로 잡힙니다.
실사에서 발견하고도 시정하지 않은 기간이 어느 쪽에 귀속되는지는 계약과 사안에 따라 다투어질 자리입니다. 위반 상태가 클로징 전후에 걸칠 때 구간이 어디서 끊기는지는 [클로징 전 원인을 다룬 글](/posts/reps-warranties-pre-closing-cause/)에서 이어집니다.
## 이 목록에서 갈라져 나오는 항목들
자료를 받아 본 뒤에는 항목마다 다른 질문이 붙습니다. 회신으로 온 처리방침이 자동 생성 템플릿이라면 그 문서가 실제 처리와 맞는지를 따로 봐야 하고([자동 생성한 개인정보 처리방침, 실사와 조사에서는 어떻게 읽히나](/posts/autogenerated-privacy-policy-mismatch/)), 서비스에 위치 기능이 있다면 위치기반서비스사업 신고 이력이 대조 항목으로 하나 더 붙습니다([실사에서 위치기반서비스 신고 누락이 나왔다](/posts/lbs-filing-gap-in-dd/)).
자료를 요청하는 행위 자체도 질문을 만듭니다. 대상회사가 고객 개인정보를 실사 자료로 넘겨주는 것은 어떤 근거로 설명되는지는 [실사 자료로 고객 개인정보를 넘겨받았습니다](/posts/business-transfer-notice-both-parties/)에서 조문 단위로 정리했습니다.
*본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.*
**선례 확인** — 개인정보위가 실제로 부과한 과징금·과태료·시정명령은 [개인정보위 제재 결정문 전수 DB](/sanctions/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### 실사에서 파기 대장을 요구하면 되나요?
민간 기업에 파기 대장을 만들라는 법정 의무는 없습니다. 시행령이 대장을 정한 것은 공공기관이 목적 외로 이용·제공하는 경우이고, 파기 대장이 아닙니다. 근거 있는 경로는 처리방침에 적힌 보존근거·보존항목(법 제30조 제1항 제3호의2)과 실제로 남아 있는 데이터를 대조하는 것입니다.
### 해외 클라우드에 데이터를 두지 않고 본사에서 조회만 하는데도 국외이전인가요?
법 제28조의8 제1항은 국외 제공에 "조회되는 경우를 포함한다"고 명시하고 있습니다. 데이터가 한국 서버에 있어도 해외에서 조회된다면 이 조항의 이전에 해당하므로, 다섯 가지 근거 중 하나가 필요합니다.
### 국외이전 근거가 없는 상태를 실사에서 발견하면 금액으로는 무엇을 봐야 하나요?
조문에 놓인 항목은 세 가지입니다. 제64조의2 제1항 제7호의 전체 매출액 3% 이내 과징금(위반행위와 관련 없는 매출액은 제외, 같은 조 제2항), 제28조의9의 이전 중지 명령(이의는 7일 이내, 처리 통지는 30일 이내), 그리고 그 3%가 걸리는 전체 매출액이 얼마인가입니다. 시행령 제60조의2 제1항은 위반행위가 있었던 사업연도를 기준점으로만 삼고, 금액 자체는 사업을 개시한 지 3년 이상이면 직전 사업연도 매출액과 직전 3개 사업연도 연평균 매출액 중 큰 금액으로 잡습니다. 실제 부과 여부와 수준은 개별 사안의 판단 사항이므로 이 글에서 말할 수 없습니다.
## For your deal team — English summary
*투자심의위원회나 해외 인수인 측 법무에 그대로 전달할 수 있도록 아래 요약을 영문으로 붙여 둡니다.*
**Korean privacy diligence: the two violations that leave no trace, and the documents the statute already tells you to ask for**
Incident-type privacy violations have a date. A breach in Korea produces notification, regulatory reporting and, often, a published enforcement decision, so a buyer can find it from outside the target. State-type violations produce none of that. Data that should have been destroyed but is still sitting in a table, and data that is transferred out of Korea without a lawful basis, generate no event and no record. They are found only by requesting documents from the target. The good news is that you do not need to design the request list: the statute already requires these documents to exist and, in part, to be published.
**Failure to destroy: what to request.** Start with the target's privacy policy. PIPA Article 30(1)3-2 requires it to state the destruction procedure and method, and — where personal information is retained under the proviso to Article 21(1) because another statute requires retention — the retention basis and the categories of personal information retained. That published text is your reconciliation sheet. Against it, test the substance: Article 21(1) requires destruction without delay once the information is no longer necessary; Article 21(3) requires information retained under the proviso to be stored and managed separately from other personal information; and Enforcement Decree Article 16(1)1 requires electronic files to be permanently deleted by means from which they cannot be restored. One caution worth passing to whoever drafts the request list: **there is no statutory obligation on a private company to maintain a destruction ledger.** The ledger the Enforcement Decree prescribes applies to public institutions using or providing personal information for other purposes; it is not a destruction ledger, and asking a private target for one has no statutory basis.
**Cross-border transfer: the document you need depends on which basis the target is relying on.** Article 28-8(1) prohibits transfer out of Korea in principle, and defines the covered acts as provision, outsourcing of processing, and storage — with provision expressly stated to include the case where the information "is viewed" from outside Korea. Five exceptions follow: (1) separate consent from the data subject; (2) a special provision in a statute, or in a treaty or international agreement to which Korea is a party; (3) outsourcing or storage necessary to conclude and perform a contract with the data subject, where either (a) the Article 28-8(2) items are disclosed in the privacy policy or (b) they are notified to the data subject in writing or an equivalent form (Enforcement Decree Article 29-7); (4) certification of the transferee recognized by the Personal Information Protection Commission, where both accompanying measures under item 4 are in place; and (5) PIPC recognition that the destination country or international organization affords a level of protection substantially equivalent to PIPA, which is published in the Official Gazette (Enforcement Decree Article 29-9(6)). So the first question is not "do you transfer data abroad" but "under which of these five do you transfer it" — the answer determines what you ask for next. If the answer is consent, review the consent screen against the five items in Article 28-8(2), particularly item 5, the method, procedure and effect of refusing. Ask for the transfer contracts as well: Article 28-8(4), read with Enforcement Decree Article 29-10(1) and (2), requires safety measures and complaint-handling and dispute-resolution measures to be agreed in advance with the transferee and reflected in the contract, so their presence or absence is visible on the face of the document. Article 28-11 applies the same regime to onward transfer by the transferee to a third country.
**For groups with a Korean subsidiary, note the "is viewed" language.** Because Article 28-8(1) counts viewing as provision, headquarters read-access to data resident on Korean servers is a cross-border transfer requiring one of the five bases. Architectures built specifically to keep data in Korea do not, by themselves, take the arrangement outside the provision.
**The two findings are not priced the same, and the diligence checklist should not treat them as one line.** Failure to destroy under Article 21(1) carries an administrative fine of up to KRW 30 million (Article 75(2)4); failure to store retained data separately under Article 21(3), up to KRW 10 million (Article 75(4)2). Transfer without a lawful basis sits in a different tier: Article 64-2(1)7 makes it subject to a surcharge of up to 3% of total sales — up to KRW 2 billion where there are no sales or sales cannot be calculated — with sales unrelated to the violation excluded from the base (Article 64-2(2)). Failure to comply with a suspension order is separately enumerated at Article 64-2(1)8, and the PIPC may order suspension of the transfer under Article 28-9(1), with objection due within 7 days (Article 28-9(2), Enforcement Decree Article 29-12(1)) and written notice of the outcome within 30 days (Enforcement Decree Article 29-12(2)). The decisive contrast is what is absent: **none of the nine items in Article 64-2(1) refers to Article 21.** Failure to destroy is not surcharge territory. What it does do is enlarge a later breach, to which Article 64-2(1)9 does apply.
**Sizing the exposure: "total sales" is not the violation year's revenue.** Enforcement Decree Article 60-2(1)1 uses the business year in which the violation occurred only as the reference point. For a target that has been in business for three years or more as of the first day of that year, total sales is the greater of the preceding business year's sales or the annual average sales of the preceding three business years; items 2 through 4 set separate formulas for shorter operating histories. For a fast-growing target this is the difference between two materially different numbers, and the statute does not use the most recent one. Article 64-2(4) also requires the PIPC to consider the period and frequency of the violation, which is why a state-type violation identified in diligence and left uncorrected keeps accruing after closing. How that post-closing period is allocated between the parties is a matter for the agreement and the facts, not something the statute settles.
**Which English text to cite — and which to avoid.** Statutory terms above follow the English translation of PIPA published by the Korea Ministry of Government Legislation: **Act No. 20897, in force 2 October 2025**, at [law.go.kr](https://www.law.go.kr/LSW/eng/engLsInfoR.do?lsiSeq=270351). Two cautions if your team looks these provisions up independently:
- **The Enforcement Decree provisions cited above have no English translation.** The decree in force is Presidential Decree No. 36121 (in force 20 August 2026), and law.go.kr does not carry an English text for it. Searching an English decree for Articles 16, 29-7, 29-9, 29-10, 29-12 or 60-2 as cited here will not return the current wording.
- **Avoid the copy hosted at elaw.klri.re.kr.** It ranks well in search, but the version served there is Act No. 16930 of 2020, which does not contain Article 28-8 at all — the provision that governs cross-border transfer and carries the 3% surcharge. Under that older text, overseas provision reads as a consent-only regime, which is no longer the law.
All English translations of Korean statutes are unofficial and carry no legal effect; the Korean text governs.
*Written by Hyunsub Lee, partner at SEUM Law (Seoul). Principal practice areas: IT, personal information and data, and startup advisory. This summary is general information on Korean law and is not legal advice; conclusions depend on the facts of each case. Full article in Korean: [datalaw.kr](/posts/due-diligence-data-request-list/).*
*More English summaries of Korean data protection law: [English index](/en/).*
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 시행 2025. 10. 2.) 제21조, 제28조의8, 제28조의9, 제28조의11, 제30조 제1항, 제64조의2, 제75조
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36121호, 2026. 8. 20. 시행) 제16조, 제29조의7, 제29조의9, 제29조의10, 제29조의12, 제60조의2
---
# 과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가
- URL: https://datalaw.kr/posts/pipc-result-publication-criteria/
- 게시 2026-08-03 · 수정 2026-09-11 · 태그: 유출대응, 과징금제재, 개인정보보호법, 스타트업실무
- 요약: 2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단이고, 어느 공표 요건이 적용되는지는 위반행위가 2023년 9월 15일 전에 끝났는지로 갈립니다. 공표를 다투는 길도 따로 있습니다. 위원회 단계의 제66조 제2항 공표명령 면제와 법원 단계의 공표명령만 떼어낸 집행정지(서울행정법원 2024아12120)가 그것인데, 집행정지는 유예일 뿐 본안에서 지면 공표는 이루어집니다.
> **핵심 요약**
> 2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단입니다. 두 건을 가른 것은 금액이 아니라 위반행위가 끝난 시점입니다. 2023년 9월 15일 전에 끝난 위반에는 「과태료 대상 위반 2개 이상」「위반상태 6개월 이상」까지 요건으로 둔 옛 처분결과 공표기준이, 그 뒤에 끝난 위반에는 고발·최근 3년 내 처분 2회 이상·공공기관만 요건으로 둔 현행 지침이 적용됩니다. 의견제출을 준비한다면 금액과 공표를 나누어 대응할 필요가 있습니다. 공표명령은 위원회 단계의 제66조 제2항 면제와 법원 단계의 집행정지로 따로 다툴 수 있지만, 집행정지는 유예일 뿐입니다. 공표명령 집행정지가 인용된 사건의 본안은 원고 패소로 확정됐습니다.
개인정보위 처분을 받은 회사가 가장 오래 기억하는 것은 금액이 아닌 경우가 많습니다. 위원회 홈페이지에 회사 이름이 위반행위 내용과 함께 게재되는 결과 공표가 그렇습니다.
2026년 7월 8일 제2소위원회가 같은 날 의결한 세 건이 이 점을 보여줍니다.
| 의결번호 | 처분 | 공표 |
|---|---|---|
| 제2026-213-267호 | 시정조치 명령 | 없음 |
| 제2026-213-268호 | 과태료 900만 원, 시정조치 명령 | 없음 |
| 제2026-213-269호 | 과태료 420만 원 | 결과 공표 1년 |
금액이 가장 큰 건이 공표를 피했고 가장 작은 건이 공표됐습니다. 그 차이가 어디서 나오는지 의결서와 조문으로 확인해 봅니다.
## 공표는 과태료에 따라오는 부속 처분입니까?
아닙니다. 법 제66조 제1항은 시정조치 명령, 과징금·과태료 부과 등의 내용과 결과를 위원회가 공표할 수 있다고 정한 **재량** 규정입니다.
같은 조 제2항은 처분을 받은 자에게 그 사실을 스스로 공표하도록 명하는 공표명령을 따로 두고 있습니다. 위원회가 직접 게재하는 제1항의 공표와 구분됩니다. 이 제2항의 공표명령은 위원회 단계에서 면제받는 길과 법원 단계에서 그 부분만 집행정지하는 길이 따로 있습니다. 두 경로와 각각의 한계는 [뒤에서](#contest-publication-order) 사례로 봅니다.
## 위원회는 무엇을 보고 공표를 정합니까?
시행령 제61조 제3항은 위반행위의 내용 및 정도, 위반 기간 및 횟수, 피해의 범위 및 결과 등을 고려하도록 정합니다. 공표 내용에는 **위반행위를 한 자**, 곧 회사 이름이 포함됩니다(시행령 제61조 제1항).
이 고려사항을 공표 요건으로 옮겨 적은 것은 위원회 지침입니다. 여기서 먼저 확인할 것은 **어느 판의 기준이 적용되느냐**입니다. 요건표가 두 개이기 때문입니다.
| 적용 기준 | 대상 위반행위 | 결과 공표 요건(어느 하나) |
|---|---|---|
| 「개인정보 보호위원회 처분결과 공표기준」(2020. 11. 18. 시행) 제2조 | 2023년 9월 15일 **전에** 종료된 위반행위 | 조사 방해 · 1천 명 이상 고유식별정보·민감정보 유출등 · 제75조 제1항 위반 · **제75조 제2항 위반 2개 이상** · **위반상태 6개월 이상 지속** · 최근 3년 내 처분 2회 이상 · 피해자 10만 명 이상 · 2차 피해 또는 불법 매매 |
| 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」 제3조(2023. 10. 11. 제정) | 2023년 9월 15일 **이후** 종료된 위반행위 | 고발 기준에 해당해 고발하는 경우 · 처분 시점 기준 최근 3년 내 시정조치 명령·과태료·과징금 2회 이상 · 공공기관(2025. 7. 1. 개정으로 추가) |
경계선은 지침 부칙이 긋습니다. 지침은 시행 전에 종료된 위반행위에도 적용되지만, **2023년 9월 15일 전에 종료된 위반행위의 공표 기준만은 종전 공표기준 제2조를 따릅니다**(2023. 10. 11. 제정 지침 부칙 제2조, 이후 개정 지침도 같은 경과조치를 둡니다). 2023년 9월 15일은 법률 제19234호가 시행된 날입니다. 요건이 여덟에서 둘로 줄었다가 2025년 7월 공공기관 요건이 더해져 셋이 되는 사이에 「과태료 대상 위반 2개 이상」과 「위반상태 6개월 이상 지속」은 새 기준에서 빠졌습니다. 어느 표든 요건에 해당하면 공표할 수 **있다**는 구조이고, 현행 지침은 해당하더라도 고의성·피해 규모·자진시정 등을 종합해 공표하지 않을 수 있다고 정합니다(제3조 제2항).
한편 과태료 자체는 위반 항목별로 산정됩니다. 그 금액이 유출 원인과 무관하게 정해지는 구조는 [해킹이 아니라 직원 실수였을 때도 과징금 대상이 되는 이유](/posts/human-error-breach-sanctions/)에서 다뤘습니다.
## 같은 날 세 건 중 왜 한 건만 공표됐습니까?
공표된 제2026-213-269호는 계약 해지 후 파기하기로 한 개인정보를 파기하지 않아 검색엔진에 노출된 수탁사 사건입니다. 의결서는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)과 당시의 처분결과 공표기준(개인정보보호위원회 지침, 2020년 11월 18일 시행)을 적용했습니다. 과태료 대상 위반행위를 2개 이상 한 경우(제2조 제4호)와 위반상태가 6개월 이상 지속된 경우(같은 조 제5호)에 해당한다는 것이 공표 근거였습니다.
공표기간 1년은 그 뒤 시행된 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023년 10월 11일 시행)이 피심인에게 유리하게 변경된 것을 소급 적용한 결과입니다.
제2026-213-268호는 사정이 다릅니다. 이 건도 법 제75조 제2항의 2개 호(제5호·제17호) 위반이고 위반상태가 1년을 넘었습니다. 옛 공표기준이었다면 269호와 같은 두 요건에 걸렸을 사안입니다. 그러나 의결서가 적용한 법은 법률 제19234호(2023년 9월 15일 시행)이고, 인정된 위반기간도 **모두 2023년 9월 15일 이후에 끝났습니다.** 접근권한 차등 부여 등 안전조치 위반은 2022년 9월부터 2024년 2월 26일까지였고, 유출 통지는 2024년 1월 28일 인지한 뒤 2025년 11월 25일에야 이루어졌습니다.
그러면 지침 부칙에 따라 옛 공표기준이 아니라 현행 지침 제3조가 기준이 됩니다. 거기에는 과태료 대상 위반의 개수나 위반 지속기간이 요건으로 없고, 이 건은 고발 사건도 공공기관 사건도 아닙니다. 의결서가 공표를 아예 다루지 않은 것도 이 구조와 맞습니다. 같은 법을 적용한 제2026-213-267호(시정조치 명령)도 마찬가지입니다.
다만 의결서는 공표하지 않은 이유를 적지 않았으므로, 위 설명은 의결서의 적용 법령·위반기간과 지침 부칙을 대조해 얻은 것입니다. 최근 3년 내 처분 2회 이상 요건에 대해서도 의결서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없다고만 적었습니다.
정리하면 **금액이 공표를 가른 것이 아니라, 위반행위가 언제 끝났느냐가 어느 요건표를 쓸지를 갈랐습니다.** 2023년 9월 15일 전에 끝난 위반은 지금 처분되더라도 과태료가 작든 크든 옛 요건으로 공표될 수 있습니다. 그 뒤에 끝난 위반은 고발·반복 처분·공공기관 가운데 하나에 해당하지 않으면 결과 공표 요건에 걸리지 않습니다.
세 건 모두 유출 통지가 문제됐다는 공통점도 있습니다. 인지 시점부터의 시계가 어떻게 도는지는 [유출을 인지한 뒤 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에서 정리했습니다. 같은 기간의 처분이 전체적으로 어디에 얼마나 부과됐는지는 [2026년 상반기 개인정보위 제재 정리](/sanctions/)에 모아 두었습니다.
## 공표가 결정되기 전에 회사가 할 수 있는 일은 무엇입니까?
시행령 제61조 제4항에 따라 위원회는 공표에 관한 심의·의결 전에 소명자료를 제출하거나 의견을 진술할 기회를 주어야 합니다. 공표명령의 경우에는 공표의 내용·횟수와 매체를 정해 명하면서 공표 문안 등에 관하여 협의할 수 있습니다(시행령 제61조 제2항).
불복 창구와 기간도 서로 다릅니다. 공표에 대한 행정심판·행정소송은 처분을 받은 날부터 90일 이내입니다. 과태료 이의제기는 60일 이내이고, 이의제기가 있으면 과태료 부과처분은 효력을 잃고 관할법원의 과태료 재판 절차로 넘어갑니다.
**금액만 다투다 보면 공표를 다툴 기간이 먼저 지나갈 수 있습니다.** 그 기간을 놓치지 않았을 때 실제로 어디까지 갈 수 있는지는 [아래 절](#contest-publication-order)에서 사례로 확인할 수 있습니다.
## 공표 이력은 그 뒤 어디에 남습니까?
이 사안의 공표기간은 1년입니다. 그러나 이력의 효과는 더 깁니다. 가명정보 결합전문기관 지정은 최근 3년 이내에 법 제66조 제1항에 따라 공표되거나 같은 조 제2항의 공표명령을 받은 사실이 없을 것을 기준으로 삼습니다(시행령 제29조의2 제1항 제4호).
공표와 별개로 의결서가 공개되면 그쪽에도 이력이 남습니다. 결정문 게시판에 본문이 공개된 제재 의결은 [개인정보위 제재 추적기](/sanctions/)에 889건을 모아 두었습니다.
법령이 자격요건으로 삼는 자리가 그렇다면, 계약 상대방이 보는 자리는 더 넓습니다. B2B 수주 심사와 투자·인수 실사에서 처분 이력은 검색만으로 확인됩니다. 그 이력이 딜에서 [매도인의 데이터 항목 진술보증 위반 책임](/posts/ma-reps-warranties-privacy-claims/) 문제로 이어지는 구조는 별도 글에서 다뤘습니다.
## 공표만 따로 다툴 수 있나 — 두 경로와 한계 {#contest-publication-order}
제재를 받은 회사가 "공표는 안 되게 할 수 없느냐"고 따로 묻는 데는 이유가 있습니다. 과징금은 금액이 정해지면 그것으로 끝나지만, 공표는 검색 결과에 남고 거래처와 투자자가 봅니다. 결론부터 적으면 다툴 수 있습니다. 다만 어느 단계에서 다투느냐에 따라 얻는 것이 다릅니다.
### 경로 1 — 위원회 단계: 제66조 제2항 면제
가장 확실한 것은 애초에 공표명령이 나오지 않게 하는 것입니다. 제66조 제2항은 공표를 명할 수 있다고 정하고 있을 뿐이므로, 위원회가 명하지 않을 여지가 있습니다.
어떤 사건에 공표명령이 검토되는지는 위원회의 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」이 정합니다. 제6조 제1항은 요건을 11개로 적었습니다. 조사를 거부·방해한 경우, 1천 명 이상의 고유식별정보·민감정보가 유출등이 되어 처분을 받은 경우, 과징금 사건에서 중대성이 「매우 중대한 위반행위」로 판정된 경우, 법 제75조 제1항 위반, 제75조 제2항 위반 3개 이상, 위반상태가 3년을 넘어 지속된 경우, 피해 정보주체가 10만 명 이상인 경우, 공공시스템 운영기관인 경우 등입니다. 같은 조 제2항은 요건에 해당하더라도 고의성, 피해 규모, 결과 제거 노력, 조사 협력과 자진시정 여부 등을 종합해 공표명령을 하지 않을 수 있다고 정합니다. 면제를 구할 때 기댈 문언이 이것입니다.
이 지침은 2026년 9월 4일 개정돼 9월 11일부터 시행됐습니다. 실질이 달라진 곳은 제6조 제1항 제3호 하나입니다. 종전에는 법 제64조의2 제1항에 따라 과징금을 부과받은 경우만 적었는데, 개정 지침은 같은 조 제2항을 함께 적었습니다. 제2항은 같은 날 시행된 전체 매출액 100분의 10 가중 구간입니다. 따라서 10% 구간으로 과징금을 받으면서 중대성이 「매우 중대한 위반행위」로 판정되면 공표명령 요건에도 해당합니다. 나머지 개정은 조문 인용 번호를 바로잡고 「처벌」을 「처분」으로 고친 정비입니다.
실제 문언이 드러난 의결이 있습니다. 2025년 11월 20일 「공공시스템 운영기관 실태점검 결과 및 시정조치에 관한 건」에서 위원회는, 피심인이 시행령 제30조의2 제1항의 공공시스템 운영기관이므로 법 제66조 제2항과 공표 지침 제6조 제1항 제11호에 따라 공표명령 대상에 해당하지만, 「개인정보 유출·침해사고와 무관한 사전 실태점검 결과 이행 미흡사항에 대한 시정권고 조치라는 점을 고려하여」 같은 조 제2항에 따라 공표명령은 면제한다고 적었습니다.
면제의 근거로 든 사정은 셋입니다.
1. 유출·침해사고와 무관할 것
2. 사전 실태점검(법 제63조의2)의 결과일 것
3. 처분 수준이 시정권고에 그칠 것
세 가지가 겹치는 국면에서 면제가 나왔다는 뜻이고, 뒤집어 보면 유출사고가 있거나 시정명령·과징금 수준의 처분이라면 면제를 기대하기 어렵다는 뜻이기도 합니다.
주의할 점이 있습니다. 이 의결에서 제1항의 결과 공표는 그대로 이루어졌고, 위원회 홈페이지에 1년간 공표한다고 명시되어 있습니다. 면제된 것은 피심인이 스스로 공표해야 하는 부담이지, 공표 자체가 없어진 것이 아닙니다.
### 경로 2 — 법원 단계: 공표명령만 떼어낸 집행정지
처분이 이미 나왔다면 행정소송과 함께 집행정지를 구하게 됩니다. 실무적으로 의미 있는 것은 공표명령만 골라 정지를 구할 수 있다는 점입니다.
서울행정법원 제14부는 2024. 7. 3.자 2024아12120 결정으로, 개인정보보호위원회가 2024. 3. 27. 신청인에게 한 처분 중 별지 목록 제2항 기재 공표명령의 효력을 본안 사건 판결 선고일부터 30일이 되는 날까지 정지했습니다. 이유는 집행정지의 일반 요건 그대로입니다. 처분으로 인해 회복하기 어려운 손해를 예방하기 위하여 효력을 정지할 긴급한 필요가 인정되고, 정지하더라도 공공복리에 중대한 영향을 미칠 우려가 있다고 보이지 않는다는 것입니다.
공표명령에서 이 요건이 어떻게 작동하는지는 생각해 둘 만합니다. 공표는 한번 집행되면 되돌릴 수 없고, 나중에 처분이 취소되어도 이미 알려진 사실은 회수되지 않습니다. 반면 과징금은 납부한 뒤 처분이 취소되면 환급받을 수 있는 금전 부담입니다. 「회복하기 어려운 손해」라는 같은 요건 아래에서 두 처분이 다르게 평가될 여지가 여기에 있습니다. 다만 위 결정문만으로는 신청인이 과징금까지 정지를 구했는지, 구했으나 받아들여지지 않은 것인지는 알 수 없습니다. 주문에는 공표명령에 대한 정지만 적혀 있습니다.
### 집행정지가 인용되면 공표를 피할 수 있나
여기가 가장 중요한 부분입니다. 위 집행정지 사건의 본안은 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결입니다. 결과는 원고 패소였고, 항소심인 서울고등법원 2025누8058도 항소를 기각해 그대로 확정됐습니다.
즉 공표명령의 효력은 2024년 7월부터 본안 선고 후 30일까지 정지됐지만, 본안에서 진 이상 공표는 결국 이루어집니다. 집행정지로 얻은 것은 약 1년 2개월의 시간이었습니다. 이 시간이 무의미하다는 뜻은 아닙니다. 투자 유치나 입찰이 걸려 있다면 1년의 유예는 실질적인 가치가 있습니다. 다만 집행정지를 공표를 면하는 수단으로 설명해서는 안 됩니다. 본안 승산이 없으면 늦춰질 뿐입니다.
본안 사건 자체도 안전조치의무 쪽에서 읽어 둘 만합니다. 원고는 인터넷강의 웹사이트를 운영하며 개인정보 약 113만 건을 보유하고 있었습니다. 해커가 크리덴셜 스터핑으로 회원계정에 로그인한 뒤, 그 계정으로 「불법이용신고 게시판」에 XSS 명령어가 포함된 게시글을 올렸고, 이를 열람한 직원의 세션정보가 탈취되어 직원 25명과 회원 95,171명의 개인정보가 유출됐습니다. 법원은 XSS가 대표적인 해킹 기법으로 예방 대책이 널리 알려져 있고, 게시물 작성 단계에서 입력값을 검증해 악의적 명령어가 등록되지 않도록 차단하는 것은 대표적인 안전성 확보조치라고 보았습니다. 원고가 해당 게시판에 입력값 검증을 시행하지 않은 점 등을 들어 법 제29조 위반을 인정했고, 과징금 산정의 기준이 되는 위반기간은 개인정보처리자가 안전조치의무를 위반한 기간이라고 판단해 과징금 6억 1,300만 원 부과처분을 적법하다고 했습니다.
이 처분은 [제재 추적기](/sanctions/?q=2024-03-27)의 제2024-006-163호(2024. 3. 27., 제29조·제34조 제1항, 과징금 6억 1,300만 원)입니다. 표에는 피심인이 「비공개」로 되어 있고, 판결문에서도 회사명은 익명 처리되어 있습니다.
정리하면 이렇습니다. 공표를 실질적으로 막으려면 위원회 단계에서 의견제출 때 제66조 제2항 면제를 정면으로 구하고, 유출사고와의 무관성과 처분 수준을 논거로 세우는 편이 낫습니다. 집행정지는 시간을 사는 것이고, 공표명령만 떼어내 구하는 것이 인용 가능성 면에서 유리해 보이지만 본안에서 지면 공표는 이루어집니다. 그리고 공표명령이 면제되어도 제1항의 위원회 홈페이지 공표는 남을 수 있습니다.
## 자주 묻는 질문
### 개인정보위 결과 공표는 과태료 처분에 자동으로 따라오나요?
아닙니다. 개인정보 보호법 제66조 제1항은 공표를 할 수 있다고 정한 재량 규정이어서 과태료 부과와 별개로 판단됩니다. 실제로 2026년 7월 8일 제2소위원회 의결 세 건 중 과태료 900만 원 건은 공표되지 않았고 420만 원 건만 1년간 공표됐습니다. 420만 원 건은 2023년 9월 15일 전에 끝난 위반이라 요건이 넓은 옛 처분결과 공표기준이 적용됐고, 900만 원 건은 그 뒤에 끝난 위반이라 현행 지침의 요건이 기준이었습니다.
### 공표 여부는 무엇을 보고 결정되나요?
시행령 제61조 제3항은 위반행위의 내용 및 정도, 위반 기간 및 횟수, 피해의 범위 및 결과 등을 고려하도록 정합니다. 이를 요건으로 옮긴 위원회 지침은 위반행위가 끝난 시점에 따라 둘로 갈립니다. 2023년 9월 15일 전에 종료된 위반에는 옛 처분결과 공표기준(2020. 11. 18. 시행) 제2조의 여덟 가지 요건(제75조 제2항 위반 2개 이상, 위반상태 6개월 이상 지속 등 포함)이, 그 뒤에 종료된 위반에는 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」 제3조의 세 가지 요건(고발, 최근 3년 내 처분 2회 이상, 공공기관)이 적용됩니다. 공표되면 위반행위를 한 자, 곧 회사 이름이 위원회 홈페이지에 게재됩니다. 다만 개별 사건에서 공표하지 않은 이유는 의결서에 적혀 있지 않은 경우가 있습니다.
### 공표가 결정되기 전에 회사가 할 수 있는 일이 있나요?
있습니다. 시행령 제61조 제4항에 따라 위원회는 심의·의결 전에 소명자료를 제출하거나 의견을 진술할 기회를 주어야 하고, 공표명령의 경우 공표 문안 등에 관하여 협의할 수 있습니다. 불복 기간도 다릅니다. 공표에 대한 행정심판·행정소송은 처분을 받은 날부터 90일 이내, 과태료 이의제기는 60일 이내입니다.
### 공표명령만 집행정지를 받을 수 있나요?
실제 사례가 있습니다. 서울행정법원은 2024. 7. 3.자 2024아12120 결정으로 개인정보보호위원회가 2024. 3. 27. 한 처분 중 공표명령의 효력을 본안 판결 선고일부터 30일이 되는 날까지 정지했습니다. 공표는 한번 집행되면 되돌릴 수 없어 '회복하기 어려운 손해' 요건에서 금전 처분과 달리 평가될 여지가 있습니다. 다만 집행정지는 본안의 결론을 정하지 않습니다.
### 집행정지를 받으면 공표를 피할 수 있나요?
아닙니다. 위 사건의 본안인 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결은 원고 패소로 끝났고, 항소심(서울고등법원 2025누8058)도 항소를 기각해 확정됐습니다. 집행정지로 확보한 것은 약 1년 2개월의 시간이었을 뿐입니다. 공표를 실질적으로 피하려면 위원회 단계에서 면제 사유를 세우는 편이 낫습니다.
공표는 처분 절차의 마지막 단계입니다. 그 앞의 인지·통지·신고·조사가 어떻게 이어지는지는 [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](/guides/data-breach-response/)에 있습니다.
## 참고 자료
- 개인정보보호위원회 제2소위원회 의결 제2026-213-267호·제2026-213-268호·제2026-213-269호(각 2026년 7월 8일) — [위원회 결정문 게시판](https://www.pipc.go.kr/np/default/agenda.do?mCode=E030010000)
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 2025년 10월 2일 시행) 제64조 제1항, 제66조 제1항·제2항·제3항, 제75조 제2항 제5호·제17호·제18호
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36340호) 제29조의2 제1항 제4호, 제61조 제1항·제2항·제3항·제4항
- 개인정보보호위원회 의결 「공공시스템 운영기관 실태점검 결과 및 시정조치에 관한 건」(2025년 11월 20일) — 법 제66조 제2항 공표명령 면제 사례
- 개인정보보호위원회 의결 제2024-006-163호(2024년 3월 27일, 과징금 6억 1,300만 원) — [제재 추적기](/sanctions/?q=2024-03-27)
- 서울행정법원 2024. 7. 3.자 2024아12120 결정(공표명령 집행정지), 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결, 서울고등법원 2025누8058 판결(항소기각, 확정)
- 제2026-213-269호에는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)과 당시의 처분결과 공표기준(개인정보보호위원회 지침, 2020년 11월 18일 시행)이 적용됐고, 공표기간은 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023년 10월 11일 시행)에 따라 1년이 소급 적용됐습니다
- [「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2026. 9. 4. 개정, 2026. 9. 11. 시행)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS216&mCode=D010020040&nttId=12445) — 개인정보위 훈령·예규·고시 게시판 첨부본. 직전 판(2025. 7. 1. 시행, 같은 게시판 nttId=11325)과 조문을 대조했습니다
- 「개인정보 보호위원회 처분결과 공표기준」(개인정보보호위원회 지침, 2020. 11. 18. 시행) — 개인정보위 훈령·예규·고시 게시판(bbsId=BS216, nttId=12451) 첨부 원문으로 제2조(공표요건) 8개 호를 확인했습니다
- 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023. 10. 11. 시행) — 같은 게시판(nttId=10776) 첨부 원문. 제3조(공표요건)와 부칙 제2조(2023. 9. 15. 전에 종료된 위반행위에 대한 종전 공표기준 적용)를 확인했습니다. 공공기관 요건은 2025. 7. 1. 시행 개정판에서 추가됐습니다
- 제2026-213-268호 의결서의 적용 법령(법률 제19234호)과 위반기간(안전조치 2022. 9.~2024. 2. 26., 유출 통지 2024. 1. 28. 인지·2025. 11. 25. 통지)은 개인정보위 결정문 게시판 공개본 기준입니다. 의결서에는 결과 공표에 관한 판단이 적혀 있지 않습니다
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 본사가 채용 AI의 편향을 민감정보로 점검하고 있습니다 — 한국 법인도 같은 점검을 할 수 있나
- URL: https://datalaw.kr/posts/bias-testing-sensitive-data-korea-gap/
- 게시 2026-08-03 · 수정 2026-08-22 · 태그: AI규제, 개인정보보호법
- 요약: EU AI Act 제10조 제5항은 고위험 AI의 편향 탐지·시정을 위한 특별범주 개인정보 처리를 조건부로 허용합니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없습니다. AI기본법은 채용·대출 심사 AI에 위험관리를 요구하면서도 그 점검에 필요한 민감정보 처리를 허용하는 문언을 두지 않았습니다.
> **핵심 요약**. EU AI Act 제10조 제5항은 고위험 AI의 편향 탐지·시정에 엄격히 필요한 범위에서, 여섯 가지 조건을 전제로 특별범주 개인정보의 예외적 처리를 허용합니다. 한국 개인정보 보호법 제23조 제1항에는 이런 예외가 없고, 민감정보 처리는 별도 동의(제1호)나 법령상 요구·허용(제2호)이 있어야만 가능합니다. AI기본법은 채용·대출 심사 AI를 고영향 인공지능으로 분류해 위험관리방안의 수립·운영을 의무화하면서도, 편향 점검을 위한 민감정보 처리를 허용하는 문언은 두지 않았습니다. 점검을 요구하는 법과 점검에 필요한 데이터를 막는 법을 잇는 조항이 없는 것입니다. 이 공백 때문에 본사의 편향 점검 절차서를 한국 법인에 그대로 이식할 수 없습니다. 그리고 동의 없는 민감정보 처리는 전체 매출액의 100분의 3 이내 과징금 사유로 직접 열거되어 있습니다.
EU AI Act는 제113조에 따라 2026년 8월 2일부터 적용됩니다. 일부 조항의 적용 시기는 다르고 제6조 제1항에 대응하는 의무는 2027년 8월 2일로 미루어져 있지만, 본체의 적용은 시작되었습니다. 이 일정에 맞춰 글로벌 본사들이 완성한 고위험 AI 컴플라이언스 패키지가 지금 한국 자회사로 내려오고 있습니다.
그 패키지에는 채용 AI와 신용평가 AI의 편향 점검 절차가 들어 있고, 근거 조문 칸에는 Article 10(5)가 적혀 있습니다. 이 문서를 받은 한국 법무의 질문은 하나입니다. 우리도 같은 점검을 같은 방식으로 하면 되는가. [본사 프라이버시 정책을 한국 법인에 옮길 때 어긋나는 지점](/posts/global-policy-korea-gap-map/)은 여럿이지만, 편향 점검은 그중에서도 근거 조문 자체가 비어 있는 영역입니다.
## EU는 편향 점검용 민감정보 처리를 어떻게 열어 두었나?
제10조 제5항의 구조는 목적을 한정한 예외입니다. 원칙적으로 막혀 있는 특별범주 개인정보의 처리를, 고위험 AI의 편향 탐지·시정에 엄격히 필요한 범위에서만 엽니다. 문언은 사업자가 "may exceptionally process special categories of personal data, subject to appropriate safeguards for the fundamental rights and freedoms of natural persons"라고 정합니다.
대신 여섯 가지 조건이 모두 붙습니다. 합성데이터나 익명데이터 등 다른 데이터로는 목적을 달성할 수 없어야 하고, 가명처리를 포함한 최신 보안조치와 재사용에 대한 기술적 제한, 엄격한 접근통제와 기록이 필요합니다. 데이터를 다른 당사자에게 이전해서는 안 되고, 편향이 시정되거나 보유기간이 끝나는 시점 중 먼저 오는 때에 삭제해야 하며, 왜 다른 데이터로는 안 되었는지를 처리활동 기록에 남겨야 합니다. 본사 절차서가 민감정보 처리를 전제로 설계된 이유는 이 조문이 그 처리를 조건부로 허용하기 때문입니다.
## 한국 개인정보 보호법에도 같은 통로가 있나?
없습니다. 개인정보 보호법 제23조 제1항은 사상·신념, 건강, 성생활 등에 관한 민감정보의 처리를 원칙적으로 금지하면서 예외를 둘만 둡니다. 법정 사항을 알리고 다른 개인정보 처리에 대한 동의와 별도로 동의를 받은 경우(제1호), 그리고 법령에서 민감정보의 처리를 요구하거나 허용하는 경우(제2호)입니다. 편향 탐지를 위한 예외는 없습니다.
GDPR에 익숙한 본사는 유연한 처리 근거를 먼저 찾지만, [본사가 legitimate interest로 처리하는 근거가 한국에서 어디까지 통하는지](/posts/lawful-basis-gdpr-korea-gap/)부터가 별도의 검토 대상입니다. 민감정보에 관한 한 위 두 예외 밖의 길은 조문상 존재하지 않습니다.
## 그러면 한국법은 편향에 관해 무엇을 요구하나?
AI기본법 제2조 제4호 사목은 "채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가"에 쓰이는 인공지능을 고영향 인공지능으로 분류합니다. 제34조 제1항 제1호는 이를 제공하는 인공지능사업자에게 위험관리방안의 수립·운영을 요구하고, 시행령 제27조는 주요 내용의 게시와 이행 근거 문서의 5년 보관을 정합니다. 이 조치의무는 [AI기본법이 사업자에게 지우는 의무 전체](/posts/ai-basic-law-business-duties/) 가운데 고영향 시스템에 붙는 부분입니다.
채용 AI를 공공기관에 납품할 계획이라면 이 위험관리와 별개로 법 제35조가 걸립니다. 제1항은 고영향 인공지능 제공자에게 기본권 영향평가를 하도록 노력할 의무를 지우는 데 그치지만, 제2항은 국가기관등이 영향평가를 실시한 제품·서비스를 우선적으로 고려하도록 정합니다. 공공시장을 보고 있다면 영향평가는 노력 의무 이상의 의미를 갖는 셈입니다. 이 구조는 [AI 스타트업에 열린 공공조달](/posts/ai-basic-law-procurement/)에서 따로 다뤘습니다.
이 법의 사정거리는 한국 법인에 그치지 않습니다. 제4조 제1항은 국외에서 이루어진 행위라도 국내 시장 또는 이용자에게 영향을 미치면 이 법을 적용한다고 정합니다. 본사가 개발하고 한국 자회사가 이용사업자로서 배치하는 구조라면, 시행령 제27조 제3항·제4항에 따라 자회사는 개발사업자인 본사에 필요한 자료의 제공을 요청할 수 있습니다.
문제는 위험관리의 내용입니다. 채용 AI의 위험을 관리한다는 것은 시스템이 특정 집단을 불리하게 평가하는지 확인하는 일로 이어지는데, 그 확인에는 건강 같은 민감한 속성 데이터가 필요할 수 있습니다. 그러나 AI기본법과 시행령 어디에도 민감정보 처리를 요구하거나 허용한다는 문언이 없습니다. 제34조 제1항 제1호를 개인정보 보호법 제23조 제1항 제2호의 "법령에서 요구하거나 허용하는 경우"로 읽을 수 있는지는 조문만으로는 답이 나오지 않고, 실무에서 다투어질 자리입니다.
## 지금 한국에서 남는 길은 무엇인가?
첫째는 제23조 제1항 제1호의 별도 동의입니다. 지원자나 신청자에게 편향 점검 목적을 알리고 다른 동의와 구분해 동의를 받는 방식입니다. 다만 채용·심사 국면에서 받는 동의가 실질적으로 자유로운지, 동의를 거부한 사람이 빠진 표본으로 점검이 성립하는지를 설계 단계에서 따져 두어야 합니다.
둘째는 제28조의2 제1항의 가명정보 특례입니다. 개인정보처리자는 통계작성, 과학적 연구 등을 위해 정보주체의 동의 없이 가명정보를 처리할 수 있습니다. 다만 편향 점검이 여기서 말하는 과학적 연구에 해당하는지, 가명처리된 상태에서 점검에 필요한 속성 확인이 성립하는지는 조문만으로는 답이 나오지 않습니다.
어느 길을 고르든 먼저 정해 둘 것은 같습니다. 어떤 데이터로 무엇을 점검하는지, 각 처리 단계의 근거 조항이 무엇인지, 점검이 끝난 데이터를 언제 지우는지입니다. EU 절차서가 Article 10(5)의 조건에 따라 답해 둔 항목들을, 한국에서는 회사가 스스로 설계해 답해야 합니다.
## 근거 없이 점검부터 시작하면 무엇이 남나?
본사 절차서를 그대로 실행해 민감정보를 처리하기 시작하면, 그 처리는 한 번의 사건이 아니라 계속되는 상태가 됩니다. 점검 주기가 돌아올 때마다 같은 처리가 반복되고 데이터가 쌓입니다.
개인정보 보호법 제64조의2 제1항 제3호는 제23조 제1항 제1호를 위반하여 동의 없이 민감정보를 처리한 경우를 전체 매출액의 100분의 3을 초과하지 않는 범위의 과징금 부과 사유로 직접 열거합니다. 같은 조 제2항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 산정 기준으로 정합니다. 그리고 그 데이터가 유출 사고에 포함되면, 회사는 [유출을 인지한 뒤 72시간](/guides/data-breach-response/)의 대응 과정에서 처리 근거까지 함께 설명해야 하는 위치에 서게 됩니다. 편향 점검은 필요한 일이지만, 처리 근거의 설계가 그보다 먼저입니다.
## For your headquarters
Korea has no counterpart to Article 10(5) of the EU AI Act. Under Korea's Personal Information Protection Act (PIPA), Article 23(1) prohibits the processing of sensitive personal data, subject to only two exceptions: separate and specific consent of the data subject, or a statute that requires or permits the processing. There is no exception for bias detection or correction. Korea's AI Framework Act classifies AI systems used for hiring and credit decisions as high-impact and requires risk management measures, but its text does not itself authorise the processing of sensitive data for that purpose. Whether that risk management duty qualifies as a statutory permission under PIPA Article 23(1)(ii) remains an open question. The AI Framework Act applies extraterritorially where acts performed abroad affect the Korean market or Korean users, so systems built at headquarters fall within its scope once deployed here. Processing sensitive data without consent is expressly listed as a ground for an administrative fine of up to 3% of total turnover, calculated on turnover excluding revenue unrelated to the violation. Before rolling out your EU bias-testing procedure in Korea, the legal basis for each processing step needs to be designed locally rather than mapped over from the GDPR framework.
*More English summaries of Korean data protection law: [English index](/en/).*
## 자주 묻는 질문
### 본사의 EU AI Act 편향 점검 절차서를 한국 자회사에서 그대로 쓰면 되나요?
그대로 쓰기는 어렵습니다. 본사 절차서는 EU AI Act 제10조 제5항이 편향 탐지·시정 목적의 민감정보 처리를 조건부로 허용한다는 전제 위에 설계되어 있습니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없어서, 같은 절차를 그대로 실행하면 처리 근거가 없는 민감정보 처리가 될 수 있습니다. 절차의 각 단계마다 한국법상 근거를 별도로 설계해야 합니다.
### 한국에서는 편향 점검을 아예 하지 않으면 문제가 없나요?
그렇게 정리되지 않습니다. AI기본법 제34조 제1항 제1호는 채용·대출 심사 같은 고영향 인공지능에 대해 위험관리방안의 수립·운영을 의무로 정하고, 시행령 제27조는 이행 근거를 문서로 5년간 보관하도록 합니다. 편향이 이런 시스템의 주요 위험으로 논의되는 이상, 점검을 생략하는 선택은 이 의무와의 관계에서 따로 설명이 필요합니다. 데이터 제약을 이유로 점검 방식을 조정하는 것과 점검 자체를 하지 않는 것은 다른 문제입니다.
### 민감정보를 가명처리하면 동의 없이 편향 점검을 할 수 있나요?
단정할 수 없습니다. 개인정보 보호법 제28조의2 제1항은 통계작성, 과학적 연구 등을 위한 가명정보 처리를 동의 없이 허용하지만, 편향 점검이 여기의 과학적 연구에 해당하는지는 조문만으로 답이 나오지 않습니다. 가명처리된 상태에서 점검에 필요한 속성 확인이 성립하는지도 점검 설계에 따라 달라집니다. 이 통로를 쓰려면 해당 여부에 대한 판단과 그 근거를 미리 문서로 정리해 두는 작업이 필요합니다.
## 참고 자료
- [Regulation (EU) 2024/1689 (EU AI Act)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) 제10조 제5항, 제113조
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호) 제23조 제1항·제2항, 제28조의2 제1항·제2항, 제64조의2 제1항 제3호·제2항
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법)(법률 제21311호) 제2조 제4호·제7호, 제3조 제2항, 제4조 제1항, 제5조 제1항, 제34조
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령)(대통령령 제36580호, 2026. 8. 20. 시행) 제27조
*이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.*
---
# 처리방침에 SDK를 모두 '위탁'으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가
- URL: https://datalaw.kr/posts/sdk-processor-vs-third-party-transfer/
- 게시 2026-08-02 · 수정 2026-09-09 · 태그: 위탁수탁, 국외이전, 개인정보보호법, 스타트업실무, 기업인수
- 요약: 국외이전의 근거를 처리방침에 적을 때 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 '처리위탁·보관'만 대상으로 하고 '제공'은 빠져 있기 때문입니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있을 수 있습니다. 위탁으로 정리된 구글 애널리틱스류 분석 도구도 제3호의 '계약 이행에 필요한'이 벤더가 아니라 정보주체와의 계약을 가리키므로, 서비스 개선 목적의 행동 분석은 제1호의 별도 동의가 필요할 수 있습니다.
> **핵심 요약**. 국외이전의 근거를 처리방침에 적을 때, 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 "계약의 체결 및 이행을 위하여 개인정보의 **처리위탁·보관**이 필요한 경우"만 대상으로 하고, 제1항 본문이 이전으로 함께 든 "제공"은 여기서 빠져 있습니다. 위탁이면 처리방침 공개로 별도 동의를 갈음할 수 있지만, 제공이면 제3호를 쓸 수 없고 제1호의 별도 동의로 가야 합니다. 둘을 가르는 기준은 본래의 수집·이용 목적 범위를 넘는지, 그리고 받는 쪽이 위탁 대가 외에 독자적 이익을 갖는지입니다(대법원 2017. 4. 7. 선고 2016도13263 판결). 개인정보보호위원회가 2026년 7월 틱톡과 애플에 국외이전 위반을 인정한 근거도 법정 사항을 "공개하거나 알리지 않았다"는 것, 즉 제3호 각 목의 요건을 갖추지 못했다는 것이었습니다. 위탁으로 정리된 도구라도 제3호의 "계약 이행에 필요한"은 벤더와의 계약이 아니라 정보주체와의 계약을 뜻하므로, 서비스 개선 목적의 행동 분석 도구는 처리방침 기재와 별도로 제1호의 동의가 필요할 수 있습니다.
[개인정보처리방침 필수 기재사항](/posts/privacy-policy-checklist-2026/)을 맞추다 보면 국외이전 항목에서 한 번 멈추게 됩니다. 시행령이 요구하는 것은 이전 항목·국가·수령자·목적·보유기간만이 아니라 **이전의 근거가 다섯 가지 중 무엇인지**까지이기 때문입니다.
그런데 처리방침의 위탁 표를 열어 보면, 클라우드와 크래시 리포트와 애널리틱스와 광고 플랫폼 픽셀이 한 표에 나란히 들어가 있는 경우가 있습니다. 붙일 때는 모두 "SDK 하나 추가"였지만, 근거란에 같은 것을 적을 수 있는 도구들이 아닙니다.
## 위탁과 제공은 무엇으로 갈리나?
기준은 계약서의 제목이 아닙니다. 대법원은 두 가지를 함께 봅니다.
> 개인정보 보호법 제17조와 정보통신망법 제24조의2에서 말하는 개인정보의 '제3자 제공'은 본래의 개인정보 수집·이용 목적의 범위를 넘어 그 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우인 반면, 개인정보 보호법 제26조와 정보통신망법 제25조에서 말하는 개인정보의 '처리위탁'은 본래의 개인정보 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다. 개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 지급받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리·감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로
>
> — 대법원 2017. 4. 7. 선고 2016도13263 판결
두 개의 잣대가 겹쳐 있습니다. **본래의 수집·이용 목적 범위 안인가**, 그리고 **받는 쪽이 위탁 대가 외에 독자적 이익을 갖는가**입니다.
| | 처리위탁 | 제3자 제공 |
|---|---|---|
| 목적 | 본래 수집·이용 목적과 관련 | 본래 목적의 범위를 **넘음** |
| 누구의 업무·이익 | 위탁자 본인 | 받는 쪽 |
| 받는 쪽의 이익 | 위탁 대가 외에는 없음 | 독자적 이익 있음 |
| 처리 범위 | 위탁받은 범위 내, 관리·감독 아래 | 받는 쪽이 스스로 정함 |
이 구분이 언제나 결론을 바꾸는 것은 아닙니다. 받은 쪽의 의무를 따질 때는 법 제26조 제8항의 준용 때문에 위탁이든 제공이든 같은 조문의 수범자가 되고, 그래서 구분의 실익이 없는 국면도 있습니다([제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다](/posts/api-response-unrequested-personal-data/)에서 다룬 상황이 그렇습니다).
국외이전은 반대입니다. 여기서는 구분이 근거 자체를 바꿉니다.
## 국외 이전에서는 왜 구분이 결론을 바꾸나?
제1항 본문은 이전을 이렇게 정의합니다.
> 개인정보처리자는 개인정보를 국외로 **제공(조회되는 경우를 포함한다)·처리위탁·보관**(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다.
셋을 나란히 놓고 묶어 "이전"이라 부릅니다. 예외는 다섯 가지이고, 그 목록과 국가별 적용은 [영국 본사와 데이터를 주고받고 있습니다](/posts/uk-korea-transfer-basis-gap/)에 정리해 두었습니다. 이 셋을 가르는 실익은 앞으로 한 자리 더 생깁니다. 2026년 9월 8일 공포된 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 이용 특례에서 제28조의8의 적용을 배제할 수 있게 하면서 그 배제를 "개인정보를 국외로 처리위탁하는 경우에 한정한다"로 묶어 두었는데(제28조의15), 그 구조는 [AI 학습 특례 — 걷히는 조문과 남는 국외이전](/posts/ai-development-exception-waived-provisions/)에서 따로 다뤘습니다. 여기서 볼 것은 그중 실무에서 가장 많이 쓰이는 제3호 하나입니다.
> 3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 **처리위탁·보관**이 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 경우
> 가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우
> 나. 전자우편 등 대통령령으로 정하는 방법에 따라 제2항 각 호의 사항을 정보주체에게 알린 경우
**제1항 본문은 셋을 들었는데, 제3호는 그중 뒤의 둘만 듭니다. "제공"이 빠져 있습니다.**
개인정보보호위원회도 같은 취지로 설명합니다. 2025년 5월 보도자료는 "계약 이행을 위해서 국외 사업자에게 개인정보 **처리 위탁 또는 보관** 등이 필요할 경우" 처리방침에 공개하거나 전자우편 등으로 알리도록 하고 있다고 적습니다.
따라서 처리방침의 근거란은 이렇게 갈립니다.
| 서드파티 도구의 성격 | 적을 수 있는 근거 | 필요한 조치 |
|---|---|---|
| 처리위탁·보관 | 제1항 제3호 | 제2항 각 호 사항을 처리방침에 공개(가목) 또는 개별 통지(나목) |
| 제3자 제공 | 제3호 사용 불가 → 제1호 | **국외 이전에 관한 별도 동의**(국내 제공 동의와는 별개) |
처리방침에 적어 두었으니 됐다고 보고 있었다면, 그 전제는 그 흐름이 위탁일 때만 성립합니다.
## 광고 플랫폼 픽셀은 어느 쪽인가?
성격은 계약과 실제 데이터 흐름을 보고 판단할 문제이므로 도구 이름만으로 단정할 수는 없습니다. 다만 개인정보위가 틱톡 사건에서 확인한 사실관계는 판단의 방향을 보여 줍니다.
틱톡은 광고 및 콘텐츠 성과 분석 서비스를 제공하면서 다른 웹·앱 사업자에게 수집 도구를 배포하고, 그 도구가 설치된 타사 웹·앱에서 모은 행태정보를 기기 식별자와 함께 수집해 **틱톡 회원 계정과 연결하고, 분석하여 특성·관심사를 추론한 뒤 자사 맞춤형 광고에 활용**했습니다. 사건의 전체 사실관계와 행태정보가 왜 개인정보인지는 [웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가](/posts/tiktok-pixel-behavioral-data/)에 있습니다.
한 가지는 분명히 해 둘 필요가 있습니다. **개인정보위가 이 사건에서 위탁이냐 제공이냐를 판단한 것은 아닙니다.** 적용된 조문은 법 제15조 제1항(수집·이용의 적법 근거)과 제28조의8 제1항(국외 이전)이고, 제17조나 제26조는 처분 근거에 등장하지 않습니다. 다만 확인된 데이터 흐름을 대법원의 잣대에 대 보면 방향은 읽힙니다. 도구를 설치한 회사가 원래 수집한 목적의 범위를 넘어, 받는 쪽이 자기 광고 사업의 재료로 쓰는 구조라면, "위탁 대가 외에는 독자적 이익이 없다"는 수탁자의 모습과는 거리가 있습니다.
같은 잣대를 대면 서드파티 도구는 대체로 두 무리로 나뉩니다.
- **위탁에 가까운 쪽** — 우리 서비스의 데이터를 우리를 위해 처리하고 돌려주는 도구. 해외 리전 클라우드, 크래시 리포트, 우리 계정 안에서만 쓰이는 제품 애널리틱스 등. 다만 계약상 사업자가 그 데이터를 자기 제품 개선이나 통계 목적으로 쓸 수 있게 되어 있다면 이 무리에 그대로 두기 어렵습니다. 위탁으로 정리되더라도 제3호의 "계약 이행에 필요한"이 벤더와의 계약이 아니라 정보주체와의 계약을 가리킨다는 문제가 한 단계 더 남는데, 이는 [분석 도구의 서버가 해외라면](#분석-도구의-서버가-해외라면--국외이전-동의가-따로-필요한가) 절에서 다룹니다.
- **제공에 가까운 쪽** — 사업자가 받은 데이터를 자기 광고·추천 모델의 재료로 쓰는 도구. 광고 플랫폼의 픽셀·전환 추적 SDK가 전형입니다.
약관이 열쇠입니다. 서드파티 도구의 이용약관에 사업자가 수집 데이터를 자기 서비스 개선이나 광고에 활용할 수 있다는 조항이 있다면, 처리방침의 위탁 표에 그 이름을 올려 둔 것과 실제 관계가 어긋나 있을 수 있습니다.
## 제3호에 서더라도 요건은 따로 있다
성격이 위탁으로 정리되어 제3호에 설 수 있다 하더라도, 그것만으로 끝나지 않습니다. 제3호는 각 목의 공개 또는 통지를 **요건으로** 걸고 있기 때문입니다.
2026년 7월 22일 의결에서 국외이전 위반이 인정된 지점이 정확히 여기입니다. 개인정보위는 틱톡 라이트의 포인트 현금 인출 서비스 과정에서 이용자 개인정보를 계열사에 이전하면서 이전 항목, 이전받는 자의 이용 목적 및 보유·이용 기간 등 "법정 사항을 **공개하거나 알리지 않은** 사실"을 확인하고 제28조의8 제1항 위반으로 판단했습니다. 같은 날 애플 건도 구조가 같습니다. 미국 Apple Inc. 등 계열사로 이전하면서 같은 항목들을 "개인정보 처리방침에 충분히 기재하지 않은" 점이 확인되어, ASPL에 국외이전 현황 점검 등을 내용으로 하는 시정조치 명령이 내려졌습니다.
"공개하거나 알리지" 않았다는 표현은 제3호 가목·나목을 그대로 뒤집은 것입니다. 근거로 삼으려던 예외의 요건을 갖추지 못하면 그 이전은 근거 없는 이전이 됩니다. 성격 판단이 맞았더라도 기재가 비어 있으면 결론은 같아집니다.
덧붙여 이번 보도자료는 국외이전의 범위를 이렇게 정리했습니다. 국외이전은 물리적 국경 이동이 아니라 "보호법의 법적 관할이 미치지 않아 보호수준이 담보되지 않는 범위로의 이전"을 의미하므로, **계열사 내 이전이거나 동일 국가 내에서의 이전이라 하더라도** 국외로 제공·처리위탁·보관이 이루어지면 국외이전 규정을 지켜야 한다는 것입니다.
## 어긋나 있으면 무엇이 문제가 되나?
세 겹으로 쌓입니다. 제공인데 위탁으로 다뤄 왔다면 국내에서는 법 제17조의 동의를 받지 않은 것이 되고, 국외로는 쓸 수 없는 근거를 쓴 것이 됩니다. 그리고 위탁으로 적어 둔 기재 자체가 실제와 다른 기재가 됩니다. 수탁자는 공개 대상이고 위탁자에게는 수탁자 교육·감독 의무가 따르는데(법 제26조), 애초에 수탁자가 아닌 상대에 그 틀을 씌워 둔 셈입니다. 본사가 보내온 계약서가 이 자리를 controller와 processor로 적어 왔다면 대응 관계부터 어긋나는데, 그 지점은 [본사 DPA가 우리를 processor로 적어 왔습니다](/posts/global-dpa-korea-transfer-contract-gap/)에 정리해 두었습니다.
평상시에는 표의 한 줄이지만, 사고가 나면 성격이 달라집니다. 유출 조사에서 개인정보위는 어떤 데이터가 어디로 어떤 근거로 나갔는지를 봅니다. 그때 근거란이 "위탁"이라고만 적혀 있고 상대가 광고 플랫폼이면, 그 한 줄이 이전 자체의 적법성 문제로 넘어갑니다.
## 분석 도구의 서버가 해외라면 — 국외이전 동의가 따로 필요한가
위탁과 제공을 갈라 놓고 나면 한 단계가 더 남습니다. 구글 애널리틱스나 믹스패널처럼 우리 계정 안에서만 쓰이는 분석 도구는 앞의 잣대로 위탁 쪽에 놓이는 경우가 많습니다. 그런데 이런 도구를 앱에 붙이면 이용자의 행동 데이터는 대개 해외 서버로 전송되어 그곳에 저장됩니다. 위탁이므로 제3호에 설 수 있다고 보고 처리방침에 국외이전 항목을 한 줄 적어 두는 것이 보통인데, 그 한 줄이 제3호 요건의 전부가 아닙니다. 제28조의8은 법률 제19234호(2023. 3. 14. 일부개정)로 정비되어 2023. 9. 15.부터 시행되고 있는 조문이므로, 그 전에 만든 처리방침이라면 이 구조를 전제로 쓰이지 않았을 가능성도 있습니다.
제3호를 근거로 삼으려면 두 겹을 통과해야 합니다. 첫째 겹은 본문입니다. 그 이전이 "정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우"여야 합니다. 둘째 겹이 가목·나목의 공개 또는 통지입니다. 처리방침 공개는 둘째 겹, 곧 절차 요건일 뿐이고, 본문 요건을 통과하지 못하면 처리방침에 아무리 자세히 적어도 제3호는 성립하지 않습니다.
실무에서 가장 자주 어긋나는 지점은 첫째 겹의 "계약"이 누구와의 계약이냐입니다. 조문이 말하는 계약은 정보주체, 곧 이용자가 서비스에 가입하며 맺은 계약이지, 회사와 분석 도구 벤더 사이의 계약이 아닙니다. 회사는 벤더와 계약을 맺었으니 "계약 이행을 위한 위탁"이라고 읽기 쉽지만, 물어야 할 질문은 "이용자와의 계약을 이행하는 데 이 데이터의 국외 위탁이 필요한가"입니다.
그래서 같은 회사 안에서도 도구마다 결론이 갈립니다. 해외 결제대행사로 데이터를 보내는 것은 이용자가 주문한 거래의 대금을 처리하는 일이므로 이용약관상 계약을 이행하는 것 그 자체에 가깝습니다. 반면 행동 분석·통계는 서비스 개선을 위한 것이어서, 그 분석이 이용자와의 계약을 이행하는 데 반드시 필요하다고 보기는 어려운 경우가 많습니다. 후자라면 회사는 제3호가 아니라 제1호, 별도 동의의 경로로 가야 합니다. 다만 이 결론은 일률적이지 않습니다. 이용자에게 제공하기로 한 개인화 기능을 그 분석으로 구현하는 경우처럼 분석 결과가 서비스 기능 자체에 결합되어 있다면 판단이 달라질 수 있습니다. 결국 그 도구가 무엇에 쓰이는지가 결론을 가릅니다. 동의 대신 제4호의 인증 경로도 있는데, 인증 근거는 [국외 이전 인증 목록](/posts/overseas-transfer-certification-list/)에서 다뤘습니다.
처리방침에 "국외 이전을 원하지 않으면 회원 탈퇴를 요청할 수 있습니다"라고만 적어 둔 회사도 적지 않습니다. 이 문구의 뿌리는 제28조의8 제2항 제5호입니다. 별도 동의를 받을 때 회사는 이전되는 개인정보 항목, 이전되는 국가·시기·방법, 이전받는 자의 성명(법인은 명칭과 연락처), 이전받는 자의 이용목적과 보유·이용 기간, 그리고 이전을 거부하는 방법·절차 및 효과를 미리 알려야 하고, 알린 사항이 변경되면 다시 알리고 동의를 받아야 합니다(제3항). 거부 방법의 안내는 동의를 받는 경로에서 알려야 할 사항이지, 그 안내가 동의를 갈음하는 것이 아닙니다. 탈퇴 안내만 있고 동의란이 없다면, 그 회사는 제1호의 동의도 받지 않았고 제3호의 요건도 갖추지 못한 상태일 수 있습니다.
근거를 잘못 고른 결과는 제64조의2 제1항 제7호의 과징금입니다. 상한은 전체 매출액의 100분의 3을 초과하지 않는 범위이고, 매출액이 없으면 20억원 이내입니다. 상한이 매출액을 기준으로 정해지므로 회사가 성장할수록 걸려 있는 금액도 함께 커집니다. 별도로 제28조의9는 국외 이전 중지 명령을 규정하고 있고, 그 명령을 따르지 않으면 제64조의2 제1항 제8호에 걸립니다.
이 흠은 사고가 나야 드러나는 종류의 문제가 아니라 처리방침과 가입 절차를 열어 보면 확인되는 상태입니다. 처리방침에는 국외이전 조항이 있는데 가입 화면에는 동의란이 없다면, 투자 실사팀은 자료 대조만으로 그 간극을 찾아내고, 거래종결 전에 고칠지 종결 후 이행 확약으로 넘길지가 그 자리에서 정해집니다. 실사에서 이 근거 문서들이 어떻게 요청되는지는 [실사 자료요청 목록](/posts/due-diligence-data-request-list/)에서 다뤘습니다. 라운드를 준비한다면 실사팀보다 먼저 자기 처리방침과 가입 화면을 대조해 볼 이유가 여기에 있습니다.
## 지금 확인할 것
처리방침의 위탁 표와 국외이전 표를 나란히 놓고, 각 도구마다 **받는 쪽이 그 데이터로 무엇을 하는지**를 한 칸 더 적어 보는 것이 시작입니다. 그 칸이 "우리를 위해 처리해서 돌려준다"로 채워지지 않는 도구가 위탁 표에 있다면, 근거를 다시 봐야 합니다.
판단의 재료는 우리 계약서가 아니라 상대의 약관에 있습니다. 서드파티 도구의 이용약관에서 사업자가 수집 데이터를 자기 목적으로 쓸 수 있게 한 조항을 찾아 보십시오. 그 조항 하나가 표의 칸을 결정합니다.
위탁으로 정리되는 흐름이라면 제3호 각 목의 요건을 실제로 갖췄는지가 남습니다. 무엇을 적어야 하는지는 [필수 기재사항 체크리스트](/posts/privacy-policy-checklist-2026/)에 항목별로 정리해 두었고, 항목이 하나라도 비어 있으면 근거가 성립하지 않는다는 점만 여기서 덧붙입니다. 그 위탁이 서버가 해외인 분석 도구라면, 기재에 앞서 그 처리가 이용자와의 계약 이행에 필요한지까지 한 번 더 물어야 합니다.
제공으로 정리되는 흐름이 있다면 동의를 두 겹으로 봐야 합니다. 국내 제3자 제공 동의(법 제17조)와 국외이전 동의(법 제28조의8 제1항 제1호)는 별개이고, 그 동의를 회원가입의 필수 동의에 끼워 넣으면 동의 자체가 무너집니다.
## 자주 묻는 질문
### Q. 해외 분석 SaaS를 쓰면서 처리방침에 위탁으로 공개해 두었는데, 국외이전 동의를 따로 받아야 하나요?
그 흐름이 처리위탁·보관에 해당하고 제3호 각 목의 요건을 갖췄다면 받지 않아도 됩니다. 법 제28조의8 제1항 제3호는 계약의 체결 및 이행을 위하여 처리위탁·보관이 필요한 경우, 제2항 각 호의 사항을 처리방침에 공개하거나(가목) 전자우편 등으로 정보주체에게 알린 경우(나목) 별도 동의 없이 이전할 수 있게 합니다. 다만 그 사업자가 받은 데이터를 자기 목적으로도 쓴다면 제공에 가까워지고, 제3호는 문언상 제공을 대상으로 하지 않으므로 제1호의 별도 동의를 검토해야 합니다.
### Q. 광고 플랫폼의 픽셀·전환 추적 SDK는 위탁인가요, 제공인가요?
계약과 실제 데이터 흐름에 따라 판단할 문제입니다. 다만 사업자가 수집한 행태정보를 자기 맞춤형 광고에 활용하는 구조라면, 본래의 수집·이용 목적 범위를 넘어 받는 쪽의 업무처리와 이익을 위해 이전되는 모습에 가깝고, 수탁자의 요건인 "위탁 대가 외에 독자적 이익이 없을 것"(대법원 2016도13263)과는 어긋납니다. 참고로 개인정보위는 틱톡 사건에서 위탁·제공의 구별을 판단한 것이 아니라 수집·이용의 적법 근거(법 제15조 제1항)와 국외이전(법 제28조의8 제1항) 위반을 인정했습니다. 상대의 이용약관에서 데이터 활용 조항을 확인하는 것이 출발점입니다.
### Q. 위탁으로 적어 둔 것을 제공으로 바꾸면 무엇이 달라지나요?
동의 구조와 공개 항목이 달라집니다. 국내에서는 법 제17조의 제3자 제공 동의가 필요해지고, 국외로 나간다면 법 제28조의8 제1항 제1호의 별도 동의가 추가로 필요합니다. 반대로 수탁자에게 적용되던 법 제26조의 교육·감독 의무와 수탁자 공개의 틀은 그 상대에게 맞지 않게 됩니다. 표의 칸을 옮기는 일이 아니라 동의 화면과 처리방침을 함께 고치는 일이 됩니다.
### Q. 구글 애널리틱스를 쓰려면 무조건 국외이전 별도 동의를 받아야 하나요?
일률적이지 않습니다. 그 도구가 정보주체와의 계약 이행에 필요한 처리위탁·보관이라면 법 제28조의8 제1항 제3호에 따라 처리방침 공개나 통지로 가능합니다. 서비스 개선 목적의 행동 분석이라면 그 요건을 충족하기 어려워 제1호의 별도 동의가 필요할 수 있습니다. 분석 결과가 이용자에게 제공하기로 한 개인화 기능 자체에 결합되어 있다면 판단이 달라질 수 있습니다.
### Q. 국외이전 별도 동의를 받을 때 무엇을 알려야 하나요?
법 제28조의8 제2항의 다섯 가지입니다. 이전되는 개인정보 항목, 이전되는 국가·시기·방법, 이전받는 자의 성명(법인은 명칭과 연락처), 이전받는 자의 이용목적과 보유·이용 기간, 이전을 거부하는 방법·절차 및 효과입니다. 알린 사항이 변경되면 다시 알리고 동의를 받아야 합니다(제3항).
위탁과 제3자 제공을 가르는 기준 전반은 [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)에서 다룹니다.
## 참고 자료
- 개인정보 보호법 제17조(개인정보의 제공), 제26조(업무위탁에 따른 개인정보의 처리 제한), 제28조의8(개인정보의 국외 이전) 제1항 본문·제1호·제3호, 제2항·제3항
- 개인정보 보호법 제28조의9(개인정보의 국외 이전 중지 명령), 제64조의2 제1항 제7호·제8호(과징금의 부과 등)
- 개인정보 보호법 법률 제19234호(2023. 3. 14. 일부개정, 2023. 9. 15. 시행)
- 대법원 2017. 4. 7. 선고 2016도13263 판결(개인정보보호법위반, 정보통신망이용촉진및정보보호등에관한법률위반(개인정보누설등)) — 처리위탁과 제3자 제공의 구별 기준
- 개인정보보호위원회 2026. 7. 23.자 보도자료 「[개인정보위, 적법 근거 없이 개인정보수집·이용한 틱톡·애플 제재](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12330)」(조사1과, 2026. 7. 22. 제14회 전체회의 의결)
- 개인정보보호위원회 2025. 5. 15.자 보도자료 — 계약 이행을 위한 국외 처리위탁·보관 시 처리방침 공개 또는 통지에 관한 설명
이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 서드파티 도구의 법적 성격은 계약 내용, 데이터 흐름, 식별자 결합 여부에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.
*이 글은 2026년 8월 2일 기준이며, 틱톡·애플 건은 의결서 공개나 불복 절차에 따라 세부 내용이 달라질 수 있습니다.*
---
# 개인정보보호법 영문본은 어디서 받나 — 현행(법률 제21445호)과 영문본이 반영한 판 구별법
- URL: https://datalaw.kr/posts/english-pipa-version-gap/
- 게시 2026-08-02 · 수정 2026-09-11 · 태그: 국외이전, 개인정보보호법, 스타트업실무
- 요약: 개인정보보호법 영문본은 국가법령정보센터(law.go.kr) 영문법령과 한국법제연구원(elaw.klri.re.kr)에서 무료로 받을 수 있고, 현행은 2026년 9월 11일 시행된 법률 제21445호이고, 영문본은 2026-09-11 확인 기준 아직 제20897호 판을 반영합니다. 한국법제연구원에는 2020년판·2023년판·2025년판이 어느 것이 현행인지 표시 없이 공존하고, 본사가 2020년판을 읽으면 국외이전 동의의 과잉 준수와 신설 의무의 미준수가 동시에 생깁니다. 버전 판별법과 조문 대비를 정리했습니다.
> **핵심 요약**
> 개인정보보호법 영문본은 국가법령정보센터 영문법령(law.go.kr)과 한국법제연구원 영문법령(elaw.klri.re.kr) 두 곳에서 무료로 받을 수 있습니다. 현행은 법률 제21445호(2026년 9월 11일 시행)이고, 국가법령정보센터 영문본은 2026-09-11 확인 기준 직전 판(제20897호)을 반영합니다. 한국법제연구원에는 2020년판·2023년판·2025년판이 현행 표시 없이 공존하므로 헤더의 법률 번호가 제20897호인지부터 확인해야 합니다. 시행령은 영문 조문 본문이 제공되지 않습니다.
> 본사 법무팀이 2020년판 영문 개인정보 보호법을 읽으면 두 가지가 동시에 일어납니다. 국외이전에는 늘 개별 동의가 필요하다고 읽어 한국에만 동의 화면을 붙이는 과잉 준수, 그리고 2020년판에 존재하지 않는 의무(제28조의8 제4항의 보호조치, 제28조의11의 재이전 규정 등)가 본사 문서에서 통째로 빠지는 미준수입니다. 과징금 기준도 위반 관련 매출액 3%에서 전체 매출액 3%로 바뀌어 리스크 규모 감각이 어긋납니다. 현행은 법률 제21445호(2026년 9월 11일 시행)이고, 국가법령정보센터 영문본은 2026-09-11 확인 기준 직전 판(제20897호)을 반영합니다.
본사 글로벌 프라이버시 정책의 한국 항목에는 근거 조문 번호가 적혀 있습니다. 그 번호를 확인해 본 적이 있으신가요.
국외이전 근거가 Article 17로 적혀 있다면, 그 문서는 2020년판 영문본을 읽고 만들어진 것입니다. 현행 법에서 국외이전을 규율하는 조문은 제28조의8입니다. 조문 번호 하나의 차이가 아니라, 규율 구조 자체가 다릅니다.
이 간극이 국외이전에만 있는 것도 아닙니다. [본사 글로벌 정책을 한국에 적용할 때 어긋나는 지점](/posts/global-policy-korea-gap-map/)은 항목별로 따로 정리해 두었습니다. 이 글은 그중 영문본 버전이라는 입구를 다룹니다.
## 개인정보보호법 영문본은 어디에서 받습니까?
영문 조문 자체가 필요하다면 아래 두 곳이 출처입니다. 어느 쪽이든 무료이고 로그인이 필요 없습니다. 다만 한국법제연구원 쪽은 같은 법의 세 판이 별개 주소로 올라와 있어, 주소를 고를 때부터 판을 확인해야 합니다.
| 출처 | 주소 | 반영 법률 | 현행 여부 |
|---|---|---|---|
| 국가법령정보센터 영문법령 | [law.go.kr 영문법령 검색: Personal Information Protection Act](https://www.law.go.kr/LSW/eng/engLsSc.do?menuId=2§ion=lawNm&query=personal+information+protection+act) | Act No. 20897, Apr. 1, 2025(시행 2025. 10. 2.) | 현행 |
| 한국법제연구원 영문법령 | [elaw.klri.re.kr hseq=71740](https://elaw.klri.re.kr/kor_service/lawView.do?hseq=71740&lang=ENG) | Act No. 20897, Apr. 1, 2025 | 현행 |
| 한국법제연구원 영문법령 | [elaw.klri.re.kr hseq=62389](https://elaw.klri.re.kr/kor_service/lawView.do?hseq=62389&lang=ENG) | Act No. 19234, Mar. 14, 2023 | 구판 |
| 한국법제연구원 영문법령 | [elaw.klri.re.kr hseq=53044](https://elaw.klri.re.kr/kor_service/lawView.do?hseq=53044&lang=ENG) | Act No. 16930, Feb. 4, 2020 | 구판(국외이전 조문이 제17조 체계) |
받은 문서가 현행인지는 세 가지로 가립니다. 첫째, 문서 머리의 법률 번호가 Act No. 21445(영문본이 아직 갱신되지 않았다면 직전 판 Act No. 20897)인지. 둘째, 목차에 Article 28-8(국외이전), Article 35-2(전송요구권), Article 37-2(자동화된 결정)가 있는지. 이 셋은 2023년 개정으로 들어온 조문이라 2020년판에는 없습니다. 셋째, 국외이전 근거가 Article 17이 아니라 Article 28-8로 적혀 있는지. 이 세 조문이 왜 가름 기준이 되는지는 아래에서 이어집니다.
시행령(대통령령)은 영문 조문 본문이 제공되지 않습니다. 법률 조문이 대통령령에 위임한 세부(국외이전 통지 방법, 처리방침 기재사항의 세목 등)는 영문만으로는 확인할 수 없으므로 국문 시행령을 함께 봐야 합니다. 이 한계는 아래 「시행령은 영문이 없는데」 절에서 다룹니다.
영문 조문을 찾는 이유가 처리방침을 영어로 만들기 위해서라면, 조문보다 먼저 정할 것이 있습니다. 독자가 한국 안의 외국인 이용자인지 해외 이용자인지에 따라 번역본으로 충분한지가 갈리는데, 그 갈림과 공식 영문본의 용어 대응표는 [개인정보처리방침 영어로 만들기](/posts/privacy-policy-two-documents/)에 정리했습니다.
## 본사가 읽는 영문 조문은 어느 버전입니까?
현행 개인정보 보호법은 법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)입니다. 국가법령정보센터(law.go.kr) 영문본은 2026-09-11 확인 기준 직전 판인 제20897호를 반영하고 있고, 제28조의8·제28조의11·제35조의2·제37조의2·제64조의2가 모두 실려 있습니다.
문제는 한국법제연구원(elaw.klri.re.kr)입니다. 2026년 8월 2일 확인 기준, 주소의 hseq 값만 다른 세 개의 기록이 같은 법의 서로 다른 버전을 담고 있고, 페이지에는 어느 것이 현행인지 표시가 없습니다.
| 기록 | 마지막으로 반영된 법률 | Article 28-8 | Article 35-2 | Article 37-2 |
|---|---|---|---|---|
| hseq=53044 | Act No. 16930, Feb. 4, 2020 | 없음 | 없음 | 없음 |
| hseq=62389 | Act No. 19234, Mar. 14, 2023 | 있음 | 있음 | 있음 |
| hseq=71740 | Act No. 20897, Apr. 1, 2025 | 있음 | 있음 | 있음 |
검색과 AI 답변도 이 혼선을 그대로 반영합니다. 2026년 8월 2일 확인 기준, 영어로 한국의 국외이전 근거를 묻자 생성형 답변이 "Article 17 of PIPA"를 근거로 들며 2020년 개정판이 현행이라고 서술했습니다. 한국어로 현행 영문본을 묻자 현행을 제19234호로 답했고, 검색 결과에는 2020년판과 2023년판 주소가 나란히 노출됐습니다.
## 국외이전 근거가 통째로 다르면 무엇이 어긋납니까?
2020년판 Article 17 (3)은 국외 제3자 제공에 대해 정보주체에게 알리고 동의를 받으라는 구조입니다. 이것만 읽은 본사는 한국에서의 국외이전에 항상 개별 동의가 필요하다고 결론 내립니다. 그래서 다른 나라에는 없는 별도 동의 화면을 한국에만 붙입니다.
현행 제28조의8 제1항은 다릅니다. 국외 제공·처리위탁·보관을 원칙적으로 금지하되 다섯 가지 예외를 두고, 별도 동의는 그중 제1호일 뿐입니다. 정보주체와의 계약 체결·이행을 위한 처리위탁·보관이라면 제3호에 따라 개인정보 처리방침 공개 또는 통지로 갈 수 있는 경로가 있고, 보호위원회가 고시하는 인증(제4호)이나 이전받는 국가에 대한 동등성 인정(제5호)도 근거가 됩니다. 동등성 인정 구조는 [EU 적정성 결정과 국외이전 근거](/posts/eu-korea-adequacy-first-review/)에서 따로 다뤘습니다.
반대 방향의 문제가 더 조용합니다. 2020년판에 아예 없는 의무는 본사 문서에 들어갈 수가 없습니다. 이전 근거와 무관하게 안전성 확보 조치와 고충처리·분쟁해결 조치를 요구하는 제28조의8 제4항, 이전받은 자가 제3국으로 다시 이전할 때 같은 규율을 준용하는 제28조의11, 신설된 제35조의2와 제37조의2가 그렇습니다.
즉 낡은 영문본은 **과잉 준수와 미준수를 동시에** 만듭니다. 동의 중심으로 한국법을 읽는 습관은 처리 근거 전반에서도 반복되는데, [본사의 legitimate interest 근거가 한국에서 어디까지 통하는지](/posts/lawful-basis-gdpr-korea-gap/)도 같은 계열의 문제입니다.
## 과징금 규모 감각은 왜 어긋납니까?
2020년판 Article 39-15 (1)의 과징금은 정보통신서비스 제공자 등을 대상으로, 위반행위와 관련된 매출액(total revenues relating to the concerned violation)의 3%를 상한으로 합니다.
현행 Article 64-2 (1)은 두 가지가 다릅니다. 대상이 **개인정보처리자 일반**으로 넓어졌고, 기준이 **전체 매출액**(total sales)의 3%로 바뀌었습니다. 매출액이 없거나 산정이 곤란한 경우에는 대통령령으로 정하는 바에 따라 20억 원 이하의 과징금이 가능합니다.
2020년판으로 리스크를 산정한 본사 문서는 대상과 기준 양쪽에서 다른 숫자를 보고 있는 셈입니다.
## 시행령은 영문이 없는데 무엇을 근거로 합니까?
현행 시행령은 대통령령 제36121호(2026년 2월 19일 공포, 2026년 8월 20일 시행)입니다. law.go.kr 영문 페이지에 이 시행령의 기록과 헤더는 있지만, 조문 본문이 제공되지 않습니다. 페이지에서 추출되는 텍스트는 안내 문구와 헤더뿐입니다.
그런데 현행 국외이전 조문의 세부, 예컨대 제3호의 통지 방법은 대통령령에 위임되어 있습니다. 본사가 영문만으로 확인할 수 있는 층위가 법률에서 끊긴다는 뜻입니다. 게다가 모든 영문 번역에는 법적 효력이나 공식적 효력이 없고 최신 개정을 반영하지 않을 수 있다는 안내가 붙어 있습니다.
## 사고나 조사가 벌어지면 이 간극은 어떻게 드러납니까?
유출 사고나 조사가 시작되면, 회사가 실제로 따르고 있던 문서가 무엇이었는지가 드러납니다. 본사 글로벌 정책이 한국법인에 그대로 적용되어 온 경우, 그 문서에 적힌 조문 번호와 판단 근거가 곧 회사의 내부 기준으로 취급됩니다.
이 시점에 갈리는 것은 근거를 문서로 세워 둔 쪽과 그렇지 않은 쪽입니다. 국외이전의 근거 조문, 선택한 예외, 그에 따른 조치를 현행법 기준으로 적어 둔 문서와, 2020년판 조문을 인용한 문서는 같은 취급을 받기 어렵습니다. 유출 인지 후의 시간표는 [유출을 인지한 뒤 72시간의 대응](/guides/data-breach-response/)에서 정리했습니다.
## For your headquarters
> The Personal Information Protection Act of Korea currently in force is Act No. 20897, promulgated on April 1, 2025 and effective from October 2, 2025. The English translation on the Korea Law Information Center (law.go.kr) reflects this version, including Articles 28-8, 28-11, 35-2, 37-2 and 64-2. The Korea Legislation Research Institute site (elaw.klri.re.kr) hosts three English versions of the same Act at separate URLs, with no indication of which is current; the 2020 version (Act No. 16930) still relies on Article 17 and contains no Article 28-8. Under the 2020 text, overseas provision reads as a consent-based regime. Under current Article 28-8, cross-border transfer is prohibited in principle with five lawful bases, and separate consent is only one of them. For outsourcing or storage necessary to perform a contract with the data subject, disclosure in the privacy policy or individual notice can serve as the basis. Article 28-8(4) requires safeguards and complaint-handling and dispute-resolution measures regardless of the transfer basis, and Article 28-11 extends these rules to onward transfers to third countries. The penalty surcharge provision also changed: from 3% of revenues relating to the violation, applicable to information and communications service providers, to 3% of total sales, applicable to personal information controllers in general, with a surcharge of up to two billion won available where there are no sales or sales cannot be calculated. The Enforcement Decree currently in force is Presidential Decree No. 36121 (promulgated February 19, 2026, in force August 20, 2026), and its English text is not provided on law.go.kr. All English translations carry a notice that they have no legal authority and may not reflect the most recent amendments. Before relying on any English text, please verify that the Act number in the header is No. 20897.
*More English summaries of Korean data protection law: [English index](/en/).*
## 자주 묻는 질문
### 국가법령정보센터와 한국법제연구원의 영문본 중 어느 쪽을 봐야 하나요?
국가법령정보센터(law.go.kr)의 영문본은 2026-09-11 확인 기준 법률 제20897호(시행 2025년 10월 2일) 판을 반영하고 있어, 2026년 9월 11일 시행된 제21445호의 개정 내용은 아직 담기지 않았습니다. 한국법제연구원(elaw.klri.re.kr)에는 2020년판·2023년판·2025년판이 별개 주소로 공존하고 어느 것이 현행인지 표시가 없으므로, 어느 쪽을 보든 헤더의 법률 번호가 제20897호인지 먼저 확인해야 합니다.
### 본사 문서가 낡은 영문본을 인용하는지 어떻게 확인하나요?
국외이전 항목의 근거 조문 번호를 보면 됩니다. 근거가 Article 17이면 2020년판(법률 제16930호)을 읽고 만든 문서입니다. 현행 체계에서 국외이전 근거는 Article 28-8이고, 재이전은 Article 28-11이 규율합니다.
### 영문본만으로 한국 컴플라이언스 문서를 만들어도 되나요?
영문본에는 법적 효력이나 공식적 효력이 없고 최신 개정을 반영하지 않을 수 있다는 안내가 붙어 있습니다. 특히 현행 시행령(대통령령 제36121호)은 영문 조문 자체가 제공되지 않으므로, 최종 확인은 한국어 원문으로 해야 합니다.
본사가 어느 판을 읽고 있든 9월 11일에 실제로 바뀐 내용은 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 조문 단위로 적어 두었습니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 2025. 4. 1. 공포, 2025. 10. 2. 시행)
- [국가법령정보센터 영문법령](https://www.law.go.kr/LSW/eng/engLsSc.do?menuId=2§ion=lawNm&query=personal+information+protection+act): PERSONAL INFORMATION PROTECTION ACT [Enforcement Date 02. Oct, 2025.] [Act No.20897, 01. Apr, 2025., Partial Amendment]
- 한국법제연구원 영문법령(elaw.klri.re.kr): Personal Information Protection Act 기록 3건 — [한국법제연구원 영문본 hseq=53044](https://elaw.klri.re.kr/kor_service/lawView.do?hseq=53044&lang=ENG) · [한국법제연구원 영문본 hseq=62389](https://elaw.klri.re.kr/kor_service/lawView.do?hseq=62389&lang=ENG) · [한국법제연구원 영문본 hseq=71740](https://elaw.klri.re.kr/kor_service/lawView.do?hseq=71740&lang=ENG) (2026. 8. 2. 확인)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령)(대통령령 제36121호, 2026. 2. 19. 공포, 2026. 8. 20. 시행) 및 law.go.kr 영문 페이지(2026. 8. 2. 확인)
- 영어·한국어 검색 및 생성형 AI 답변 실측(2026. 8. 2. 확인)
이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률자문이 아닙니다.
---
# 본사는 legitimate interest로 처리하고 있습니다 — 한국에서 같은 근거가 어디까지 통하나
- URL: https://datalaw.kr/posts/lawful-basis-gdpr-korea-gap/
- 게시 2026-08-01 · 수정 2026-09-11 · 태그: 개인정보보호법, 스타트업실무
- 요약: 한국 개인정보 보호법에도 정당한 이익 근거가 있습니다(제15조 제1항 제6호). 다만 GDPR과 구조가 다릅니다. 한국법은 근거 목록을 수집·이용(제15조)과 제3자 제공(제17조)으로 나눠 두었고, 제공 쪽 목록은 수집 쪽 목록을 그대로 옮기지 않습니다. 계약 이행을 근거로 수집한 정보를 같은 근거로 제3자에게 제공하는 경로는 제17조 제1항에 없습니다. 본사 LIA 문서를 옮겨 오기 전에 확인해야 할 지점을 조문 단위로 정리했습니다.
> **핵심 요약**. 한국 개인정보 보호법에도 정당한 이익 근거가 있습니다(제15조 제1항 제6호). 다만 GDPR과 두 가지가 다릅니다. 첫째, 조문이 **명백하게 정보주체의 권리보다 우선할 것**과 **정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 않을 것**을 함께 요구합니다. 둘째, 한국법은 근거 목록을 **수집·이용(제15조)과 제3자 제공(제17조)으로 나눠** 두었고 제공 쪽이 수집 쪽을 그대로 옮기지 않습니다. 제17조 제1항 제2호는 제15조 제1항 중 제2호·제3호·제5호부터 제7호까지만 인용하고 **계약 이행을 정한 제4호를 빼 두었습니다.** 목적을 벗어나는 이용·제공은 제18조가 원칙적으로 금지하고, 민간에 열린 예외는 좁습니다. 본사 LIA 문서를 그대로 근거로 옮겨 오기 전에 이 구조를 먼저 확인해야 합니다.
외국계 한국법인에서 개인정보 처리 근거를 정리하다 보면 본사에서 받은 문서가 하나 나옵니다. Legitimate Interests Assessment, 줄여서 LIA입니다.
목적을 적고, 필요성을 적고, 정보주체의 권리와 균형을 따진 문서입니다. GDPR 제6조 제1항 (f)를 근거로 처리하려면 남겨 두어야 하는 기록이라 잘 만들어져 있습니다.
여기서 나오는 질문이 "한국에도 이 근거가 있느냐"입니다. 있습니다. 그런데 있다는 답만으로는 부족합니다.
## GDPR의 여섯 가지 근거에 대응하는 한국 조문은 어디에 있나
GDPR은 제6조에 처리 근거를 한 번 열거하고 그것을 처리(processing) 전반에 적용합니다. 수집이든 이용이든 제3자 공개든 같은 목록을 씁니다.
한국법은 다릅니다.
- **제15조 제1항**. 수집·이용의 근거 일곱 가지
- **제17조 제1항**. 제3자 제공의 근거 두 가지
- **제18조**. 위 범위를 벗어나는 이용·제공의 금지와 예외
행위별로 목록이 따로 있고, 그 목록이 서로 완전히 겹치지 않는다는 점이 실무에서 문제가 됩니다.
## 한국에도 정당한 이익(legitimate interest)을 쓸 수 있나
법 제15조 제1항 제6호가 그것입니다.
> 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.
앞부분은 GDPR 제6조 제1항 (f)와 비슷하게 읽힙니다. 차이는 두 군데입니다.
하나는 "**명백하게**"입니다. GDPR은 정보주체의 이익이나 기본권이 컨트롤러의 이익에 우선하는 경우를 제외한다는 방식으로 쓰여 있어, 균형이 팽팽할 때 어느 쪽으로 기우는지가 문언상 다릅니다. 한국 조문은 처리자의 이익이 명백하게 우선할 것을 요구합니다.
다른 하나는 후단입니다. **상당한 관련성**과 **합리적 범위**라는 조건이 따로 붙습니다. 균형 판단을 통과했다는 것만으로 끝나지 않고, 그 처리가 애초의 정당한 이익과 얼마나 붙어 있는지를 다시 봅니다.
본사 LIA가 이 두 겹을 이미 검토했다면 그대로 쓸 수 있는 부분이 많습니다. 다만 GDPR 균형 테스트만 기록돼 있다면 한국 조문의 후단에 대응하는 판단이 비어 있을 수 있습니다.
## 제3자 제공은 목록이 다릅니다
여기가 설계를 가장 자주 깨는 자리입니다.
법 제17조 제1항은 제공의 근거를 두 가지로 정합니다.
1. 정보주체의 동의를 받은 경우
2. 제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우
제2호가 인용하는 범위를 펼쳐 보면 제15조 제1항의 제2호(법률 규정·법령상 의무), 제3호(공공기관 소관 업무), 제5호(급박한 생명·신체·재산), 제6호(정당한 이익), 제7호(공중위생 등 공공의 안전)입니다.
**빠진 것이 제4호입니다.** 정보주체와 체결한 계약을 이행하거나 계약 체결 과정에서 요청에 따른 조치를 하기 위해 필요한 경우, 즉 계약 이행 근거입니다.
GDPR에서는 계약 필요성(제6조 제1항 (b))이 제3자에 대한 공개까지 덮는 설계가 흔합니다. 결제 대행사에 카드 정보를 넘기거나 배송사에 주소를 넘기는 흐름을 계약 이행으로 설명하는 방식입니다. 한국법의 제공 목록은 그 경로를 열어 두지 않았습니다.
정당한 이익은 반대로 들어 있습니다. 제6호가 인용 범위 안에 있으므로, 정당한 이익으로 수집한 정보를 **수집한 목적 범위 안에서** 제공하는 것은 가능합니다. 다만 그 범위를 벗어나면 다음 조문으로 넘어갑니다.
⚠️ 여기서 먼저 구분할 것이 있습니다. **처리를 남에게 맡기는 것은 제공이 아니라 위탁일 수 있습니다.** 클라우드나 결제 대행처럼 우리 목적을 위해 대신 처리하게 하는 구조는 제26조의 위탁 트랙이고 요건이 다릅니다. 제공인지 위탁인지를 먼저 가른 다음 근거를 찾는 순서여야 합니다. 위탁 쪽 요건은 [수탁사 직원의 실수로 개인정보가 유출됐을 때](/posts/processor-breach-consignor-liability/)에서 다뤘습니다.
## 목적을 벗어나면 원칙이 금지입니다
법 제18조 제1항은 제15조 제1항의 범위를 초과해 이용하거나 제17조 제1항·제28조의8 제1항의 범위를 초과해 제3자에게 제공해서는 안 된다고 정합니다.
제2항이 예외를 열거하는데, 민간 기업에 열린 것은 앞쪽 세 개 정도입니다. 별도의 동의를 받은 경우, 다른 법률에 특별한 규정이 있는 경우, 명백히 정보주체나 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우입니다. **제5호부터 제9호까지는 공공기관으로 한정**한다는 단서가 붙어 있습니다.
그리고 예외에 해당하더라도 "정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때"는 제외됩니다.
GDPR에는 목적 제한(제5조 제1항 (b))이 원칙으로 있고 양립가능성 판단(제6조 제4항)이 뒤따르는데, 한국법은 그 자리를 금지 조문과 열거된 예외로 채웠습니다. 판단의 여지가 그만큼 좁습니다.
## 추가적인 이용·제공이라는 좁은 통로
동의 없이 목적을 조금 넓힐 수 있는 경로가 하나 있습니다.
제15조 제3항은 **당초 수집 목적과 합리적으로 관련된 범위에서** 정보주체에게 불이익이 발생하는지, 암호화 등 안전성 확보 조치를 했는지를 고려해 동의 없이 이용할 수 있게 하고, 제17조 제4항이 제공에 대해 같은 구조를 둡니다.
시행령 제14조의2 제1항이 고려 사항 네 가지를 정합니다.
1. 당초 수집 목적과 관련성이 있는지
2. 수집한 정황이나 처리 관행에 비추어 추가적인 이용·제공에 대한 예측 가능성이 있는지
3. 정보주체의 이익을 부당하게 침해하는지
4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지
GDPR 제6조 제4항의 양립가능성 판단과 겹치는 부분이 있어, 본사가 그 판단을 문서로 남겨 두었다면 재사용할 수 있는 재료입니다. 다만 네 번째 항목처럼 안전조치 이행 여부를 근거의 요소로 삼는 구성은 한국 쪽 특징이므로 그에 맞춘 기록이 필요합니다.
## 지금 확인할 것
**행위를 먼저 나눕니다.** 하나의 데이터 흐름을 수집·이용, 제3자 제공, 위탁, 국외이전으로 갈라 놓고 각각의 근거를 찾습니다. 한국법은 목록이 행위별로 따로 있으므로 흐름 단위로 "이건 legitimate interest"라고 붙여 두면 어느 지점에서 근거가 비는지 보이지 않습니다.
**계약 근거로 제3자에게 넘기는 흐름이 있는지 봅니다.** 제17조 제1항 제2호가 제15조 제1항 제4호를 인용하지 않으므로, 계약 이행만으로 제공을 설명하고 있었다면 동의를 받거나 위탁 구조로 정리하거나 제18조 제2항을 검토해야 합니다.
**LIA 문서에 후단 요건을 더합니다.** 상당한 관련성과 합리적 범위에 대한 판단이 본사 문서에 없다면 한국용으로 보완합니다.
**목적 외 이용이 관행으로 굳어진 항목을 찾습니다.** 마케팅 분석이나 신규 서비스 개발처럼 처음 수집 목적과 거리가 있는 이용이 있으면, 제15조 제3항의 통로에 들어가는지 아니면 별도 동의가 필요한지를 판단해 기록으로 남깁니다.
본사 정책이 한국에서 어긋나는 지점 전체는 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 모아 두었습니다.
## 자주 묻는 질문
### Q. 한국에는 legitimate interest에 해당하는 처리 근거가 없나요?
있습니다. 개인정보 보호법 제15조 제1항 제6호가 "개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우"를 두고 있습니다. 다만 같은 호 후단이 "개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다"는 조건을 덧붙입니다. 명백하게 우선할 것과 합리적 범위를 넘지 않을 것을 함께 요구하는 구조라, GDPR 제6조 제1항 (f)의 균형 판단을 그대로 옮겨 쓰기는 어렵습니다.
### Q. 정당한 이익으로 수집한 개인정보를 제휴사에 제공해도 되나요?
제3자 제공은 목록을 따로 봐야 합니다. 법 제17조 제1항은 제공의 근거를 두 가지로 정하는데, 제1호가 정보주체의 동의이고 제2호가 "제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 제공하는 경우"입니다. 정당한 이익(제15조 제1항 제6호)은 제2호가 인용하는 범위에 들어 있으므로, 그 근거로 수집한 정보를 수집 목적 범위 안에서 제공하는 것은 가능합니다. 다만 "수집한 목적 범위"를 벗어나면 제18조의 목적 외 제공 문제로 넘어갑니다.
### Q. 계약 이행을 근거로 수집한 정보는 제3자에게 줄 수 있나요?
그 근거만으로는 어렵습니다. 제17조 제1항 제2호가 인용하는 것은 제15조 제1항 제2호·제3호·제5호부터 제7호까지이고, 계약 이행을 정한 제4호는 빠져 있습니다. GDPR에서는 계약 필요성이 제3자에 대한 공개까지 덮는 설계가 흔하지만 한국법의 제공 목록은 그렇게 되어 있지 않습니다. 동의를 받거나 제18조 제2항의 예외에 해당하는지를 따로 봐야 하고, 처리를 남에게 맡기는 것이라면 제공이 아니라 위탁(제26조) 트랙인지부터 구분해야 합니다.
## For your global headquarters — English summary
*본사 법무·DPO에 그대로 전달하실 수 있도록 붙여 둡니다.*
**Korea: your GDPR lawful-basis mapping does not transfer one-for-one.**
**1. Legitimate interest exists, with an added limb.** PIPA art. 15(1)(6) permits processing where necessary for the controller's legitimate interests and where those interests **manifestly override** the data subject's rights. A second sentence adds that the processing must be **substantially related** to those interests and **must not exceed a reasonable scope**. A GDPR balancing test alone may not evidence the second limb.
**2. Korea splits the basis lists by activity.** Art. 15(1) lists seven bases for **collection and use**. Art. 17(1) lists only two for **provision to third parties**: consent, or provision within the original purpose where collection relied on art. 15(1) items 2, 3, and 5 through 7.
**3. Contract necessity is absent from the third-party list.** Art. 15(1)(4) — performance of a contract — is **not** among the items cross-referenced by art. 17(1)(2). Designs that rely on GDPR art. 6(1)(b) to justify disclosure to third parties have no direct Korean equivalent. Consider consent, the art. 18(2) exceptions, or whether the arrangement is in fact **entrustment** under art. 26 rather than provision.
**4. Purpose-incompatible use is prohibited, not balanced.** Art. 18(1) prohibits use or provision beyond the art. 15(1) / art. 17(1) scope. Art. 18(2) sets out exceptions, but items 5 through 9 are **limited to public institutions**; private controllers realistically have separate consent, another statute, or urgent vital interests. Any exception is unavailable where it would unfairly infringe the interests of the data subject or a third party.
**5. There is a narrow "further use" route.** Arts. 15(3) and 17(4) allow use or provision without consent within a scope **reasonably related** to the original purpose. Enforcement Decree art. 14의2(1) lists four factors: relatedness to the original purpose; foreseeability given the collection context and processing practice; whether the data subject's interests are unfairly infringed; and whether safeguards such as pseudonymisation or encryption were applied.
*This summary is general information, not legal advice. The Korean text of the statute prevails.*
*More English summaries of Korean data protection law: [English index](/en/).*
---
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제15조, 제17조, 제18조, 제26조 — 국가법령정보센터(현행 법률 제21445호, 2026. 9. 11. 시행). 제15조·제17조·제18조는 2026년 9월 11일 개정에서도 **문언 변경 없음**을 조문 대조로 확인
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제14조의2 — 국가법령정보센터(대통령령 제36340호)
- GDPR 제5조 제1항 (b), 제6조 제1항 (b)·(f), 제6조 제4항 — 대조 목적으로만 인용했으며 원문 해석은 다루지 않았습니다
---
# 한국에 자회사가 있는데 국내대리인은 로펌입니다 — 재지정 기한은 2026년 4월에 이미 지났습니다
- URL: https://datalaw.kr/posts/domestic-representative-redesignation/
- 게시 2026-08-01 · 수정 2026-09-12 · 태그: 국외이전, 개인정보보호법, 스타트업실무
- 요약: 로펌이나 컨설팅사를 국내대리인으로 두고 있던 구조는 재지정 대상입니다. 개인정보 보호법 제31조의2 제2항이 2025년 10월 2일부터 국내에 설립한 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 바꿨고, 부칙이 준 6개월은 2026년 4월 2일에 끝났습니다. 지정 대상 기준, 지배적 영향력의 범위, 새로 붙은 관리·감독 의무, 그리고 9월 11일부터 넓어진 대리 업무를 조문 단위로 정리했습니다.
> **핵심 요약**. 개인정보 보호법 제31조의2 제2항은 2025년 4월 1일 개정으로 후단이 붙어, 개인정보처리자가 설립한 국내 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 **그 법인 중에서** 국내대리인을 지정하도록 바뀌었습니다. 2025년 10월 2일 시행이고, 부칙이 준 재지정 기간 6개월은 **2026년 4월 2일에 이미 끝났습니다.** 지배적 영향력의 범위는 시행령 제32조의3 제3항이 대표이사를 임면하거나 임원의 50% 이상을 선임할 수 있는 법인, 또는 발행주식총수·출자총액의 30% 이상을 출자한 법인으로 정했습니다. 같은 개정으로 관리·감독 의무(제31조의2 제3항)가 신설돼 연 1회 이상 교육과 계획·이행·개선 점검이 요구되고, 위반에는 각각 과태료가 붙습니다. 2026년 9월 11일부터 대리 업무의 범위도 넓어져 **유출등의 가능성 통지**가 들어왔습니다.
한국에 자회사를 두고 있는 외국 기업의 개인정보 처리방침을 열어 보면, 국내대리인 자리에 법무법인이나 컨설팅 회사 이름이 적혀 있는 경우가 있습니다.
몇 해 전에는 흔한 구조였습니다. 국내대리인 제도가 처음 들어왔을 때는 누구를 세울지에 제한이 없었기 때문입니다.
그 제한이 생겼고, 고칠 시간으로 준 기간도 지났습니다.
## 우리 회사가 지정 대상인가
두 단계로 갈립니다.
먼저 법 제31조의2 제1항의 전제입니다. 이 조항은 **국내에 주소 또는 영업소가 없는** 개인정보처리자에게 국내대리인 지정 의무를 지웁니다. 한국에 자회사가 있어도 그 자회사는 별개 법인이므로, 데이터를 처리하는 주체가 해외 본사라면 본사 자신은 이 전제에 해당할 수 있습니다. 자회사가 있다는 사실만으로 이 의무에서 벗어나지는 않습니다.
그다음이 규모입니다. 시행령 제32조의3 제1항이 세 가지를 정합니다.
| 기준 | 내용 |
|---|---|
| 매출 | 전년도(법인은 전 사업연도) 전체 매출액 1조 원 이상 |
| 이용자 규모 | 전년도 말 기준 직전 3개월간 개인정보가 저장·관리되는 국내 정보주체 수가 일일평균 100만 명 이상 |
| 조사 계기 | 법 제63조 제1항에 따라 자료 제출을 요구받은 자로서 국내대리인을 지정할 필요가 있다고 보호위원회가 심의·의결한 경우 |
매출액은 전년도 평균환율을 적용해 원화로 환산합니다(같은 조 제2항).
세 번째 기준을 눈여겨볼 만합니다. 매출과 이용자 수를 밑돌더라도 **조사를 받는 과정에서 지정 대상이 될 수 있습니다.** 규모 기준만 확인하고 넘어가면 놓치는 자리입니다.
## 한국 자회사가 있으면 누구를 지정해야 하나
2025년 4월 1일 개정으로 제31조의2 제2항에 후단이 붙었습니다. 다음 법인이 있으면 **그 법인 중에서** 국내대리인을 지정해야 합니다.
1. 해당 개인정보처리자가 설립한 국내 법인
2. 해당 개인정보처리자가 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인
두 번째가 넓습니다. 시행령 제32조의3 제3항이 이렇게 정했습니다.
- 대표이사를 임면하거나 임원의 100분의 50 이상을 선임하거나 선임할 수 있는 법인
- 발행주식총수 또는 출자총액의 100분의 30 이상을 출자한 법인
지분 30%면 걸립니다. 완전자회사가 아니어도, 합작법인이라도 출자 비율이 이 선을 넘으면 그 법인이 국내대리인이 되어야 합니다.
로펌이나 컨설팅사를 세워 둔 구조가 여기서 어긋납니다. 대리인을 두긴 두었으나 **둘 수 있는 자가 아닌 자를 둔 상태**가 됩니다.
## 기한은 2026년 4월 2일이었습니다
개정법(법률 제20897호) 부칙 제1조는 공포 후 6개월이 경과한 날부터 시행한다고 정했습니다. 공포일이 2025년 4월 1일이니 시행일은 2025년 10월 2일입니다.
부칙 제2조가 경과조치를 두었습니다. 시행 당시 종전 규정에 따라 국내대리인을 지정한 개인정보처리자 중 제2항 각 호의 법인이 있는 자는 **시행 이후 6개월 이내에** 그 법인 중에서 국내대리인을 지정해야 한다는 내용입니다.
그 6개월은 2026년 4월 2일에 끝났습니다. 지금 시점에서 로펌이 국내대리인으로 남아 있다면 유예 안에 있는 것이 아니라 기간을 넘긴 상태입니다.
## 바꾸고 나면 관리·감독이 따라옵니다
같은 개정으로 제31조의2 제3항이 신설됐습니다. 국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 대통령령으로 정하는 바에 따라 **교육하고 업무현황을 점검하는 등의 관리·감독**을 해야 합니다.
시행령 제32조의3 제4항이 내용을 정했습니다.
- **연 1회 이상** 국내대리인의 업무에 대한 교육 실시
- 다음 세 가지 점검
- 국내대리인이 업무수행에 대한 계획을 수립했는지
- 그 계획을 이행했는지
- 이행 여부 점검 결과 개선이 필요한 사항을 개선했는지
자회사를 대리인으로 지정하면 형식이 정리되지만 그것으로 끝나지 않는다는 뜻입니다. 계획을 세우게 하고, 이행을 확인하고, 개선까지 확인한 기록이 남아야 합니다. 본사와 자회사 사이의 내부 문서로 보이기 쉬운 영역인데 법이 요구하는 절차입니다.
## 9월 11일부터 대리 업무가 넓어졌습니다
국내대리인이 대리하는 업무는 제31조의2 제1항 각 호에 열거돼 있습니다. 2026년 9월 11일 시행된 개정법(법률 제21445호)이 이 각 호의 문언을 손봤습니다.
| 호 | 개정 전 | 현행(2026. 9. 11. 시행) |
|:-:|---|---|
| 1 | 제31조 제3항 제3호에 따른 불만 처리 및 피해 구제 | **제31조 제4항 제5호**에 따른 불만 처리 및 피해 구제 |
| 2 | 제34조 제1항 및 제3항에 따른 유출 등의 통지 및 신고 | **제34조 제1항·제2항에 따른 통지** 및 같은 조 **제4항에 따른 유출등의 신고** |
1호는 제31조에 제3항이 신설되면서 기존 항이 한 칸씩 밀려 인용 조항만 바뀌었습니다.
**개정법 제34조 제2항이 유출등의 가능성 단계에서의 통지를 신설했고, 그것이 국내대리인의 대리 업무에 들어왔습니다.**
그 가능성은 같은 날 시행된 시행령(대통령령 제36671호)이 정했습니다. 시행령 제39조의2 제1항은 불법적인 접근이 발생해 유출등이 의심되지만 정보주체를 특정하기 곤란한 경우와, 일부 유출 사실이 확인됐고 다른 정보주체의 개인정보도 유출됐을 수 있는 경우를 듭니다. 통지 기한은 제39조의3 제1항에 따라 72시간인데, **기산점은 사고 확정이 아니라 그 불법적인 접근 또는 일부 유출 사실을 알게 된 때**입니다. 통지한 뒤 실제로는 유출되지 않았음을 확인하면 그 사실도 즉시 통지해야 합니다(제39조의3 제3항).
유출 가능성 통지가 무엇을 요구하는지, 시행령이 정한 절차 전체는 [유출 대응 단계별 지도](/guides/data-breach-response/)와 [신구조문 대조표](/posts/pipa-2026-amendment-comparison/)에서 다뤘습니다.
## 위반하면 무엇이 걸리나
과태료가 항목별로 나뉘어 있습니다.
| 위반 | 근거 | 상한 |
|---|---|---|
| 국내대리인을 지정하지 않음 | 제75조 제3항 제2호 | 2천만 원 |
| 제2항을 위반해 지정함(둘 수 없는 자를 둠) | 제75조 제3항 제3호 | 2천만 원 |
| 관리·감독을 하지 않음 | 제75조 제3항 제4호 | 2천만 원 |
| 국내대리인 정보를 처리방침에 넣지 않음 | 제75조 제4항 제9호의2 | 1천만 원 |
금액보다 무거운 조항이 따로 있습니다. 제31조의2 제5항입니다.
> 국내대리인이 제1항 각 호와 관련하여 이 법을 위반한 경우에는 개인정보처리자가 그 행위를 한 것으로 본다.
국내대리인이 통지를 놓치거나 자료 제출을 제대로 하지 않으면 그 행위가 본사의 행위로 귀속됩니다. 대리인을 세우는 것이 책임을 넘기는 일이 아니라는 뜻이고, 관리·감독 의무가 왜 함께 들어왔는지도 여기서 설명됩니다.
## 지금 확인할 것
**처리방침의 국내대리인 항목부터 엽니다.** 법 제31조의2 제4항은 국내대리인의 성명(법인이면 명칭과 대표자 성명), 주소(법인이면 영업소 소재지), 전화번호, 전자우편 주소를 처리방침에 넣도록 정합니다. 거기 적힌 이름이 로펌이나 컨설팅사면 재지정 대상인지 바로 판단됩니다.
**지분 구조를 30% 선으로 봅니다.** 완전자회사만 해당한다고 읽기 쉬운데, 시행령은 출자 30% 또는 임원 50% 선임 가능을 기준으로 잡았습니다. 합작법인이나 소수지분 구조도 확인이 필요합니다.
**지정은 문서로 합니다.** 제31조의2 제1항 후단이 지정을 문서로 하도록 정하고 있습니다. 자회사로 바꾸면서 문서를 남기지 않으면 지정 자체를 증명하기 어렵습니다.
**교육과 점검 일정을 잡습니다.** 연 1회 이상이 기준이므로 첫 회차를 언제 할지, 계획·이행·개선 점검을 누가 기록할지를 정해 두어야 합니다.
**넓어진 통지 범위를 대리인과 맞춥니다.** 유출 가능성 통지가 대리 업무에 들어왔으므로, 본사 인시던트 절차에서 어느 단계에 한국 대리인을 부를지 다시 정해야 합니다.
본사 정책 전반이 한국에서 어긋나는 지점들은 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 모아 두었고, 개인정보 보호책임자 쪽 문제는 [본사 APAC DPO를 한국 CPO로 올려 두었다면](/posts/foreign-subsidiary-cpo-designation/)에서 따로 다뤘습니다.
## 자주 묻는 질문
### Q. 우리 회사가 국내대리인 지정 대상인지 어떻게 판단하나요?
두 단계로 봅니다. 먼저 개인정보 보호법 제31조의2 제1항의 전제인 "국내에 주소 또는 영업소가 없는 개인정보처리자"에 해당해야 합니다. 한국 자회사가 별도 법인으로 있더라도 데이터를 처리하는 주체가 해외 본사라면 본사 자신은 이 전제에 해당할 수 있습니다. 그다음 시행령 제32조의3 제1항의 규모 기준 중 하나를 충족하는지 봅니다. 전년도 전체 매출액 1조 원 이상, 전년도 말 기준 직전 3개월간 국내 정보주체 수가 일일평균 100만 명 이상, 또는 법 제63조 제1항에 따라 자료 제출을 요구받은 자로서 보호위원회가 심의·의결한 경우입니다. 매출액은 전년도 평균환율로 원화 환산합니다.
### Q. 이미 로펌을 국내대리인으로 지정해 두었는데 그대로 두면 어떻게 되나요?
한국에 해당 법인이 있다면 위반 상태입니다. 법 제31조의2 제2항 후단은 개인정보처리자가 설립한 국내 법인이나 시행령이 정한 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 정하고, 이를 위반해 지정한 경우는 2천만 원 이하의 과태료 대상입니다(제75조 제3항 제3호). 2025년 4월 1일 개정법 부칙 제2조가 시행 후 6개월 이내에 재지정하도록 했는데 그 기간은 2026년 4월 2일에 끝났습니다.
### Q. 국내대리인을 자회사로 바꾸면 그것으로 끝인가요?
관리·감독 의무가 따로 있습니다. 법 제31조의2 제3항은 국내대리인이 업무를 충실히 수행하도록 교육하고 업무현황을 점검하도록 정하고, 시행령 제32조의3 제4항이 그 내용을 구체화했습니다. 연 1회 이상 국내대리인의 업무에 대한 교육을 실시하고, 국내대리인이 업무수행 계획을 수립했는지, 그 계획을 이행했는지, 점검 결과 개선이 필요한 사항을 개선했는지를 점검해야 합니다. 이를 하지 않으면 2천만 원 이하의 과태료 대상입니다(제75조 제3항 제4호). 국내대리인의 성명·주소·전화번호·전자우편 주소를 개인정보 처리방침에 넣는 것도 별도 의무입니다(제31조의2 제4항, 미이행 시 제75조 제4항 제9호의2).
## For your global headquarters — English summary
*본사 법무·DPO에 그대로 전달하실 수 있도록 붙여 둡니다. 더 긴 영문 해설이 필요하시면 [Appointing a Domestic Representative under Korea's PIPA](/en/domestic-representative/)를 그대로 보내셔도 됩니다 — 아래 요약과 같은 내용을 조문 단위로 편 독립 영문면입니다.*
**Korea: your domestic representative may need to be re-designated, and the grace period has already expired.**
**1. Who must appoint one.** PIPA art. 31의2(1) applies to controllers with **no address or place of business in Korea** that meet a threshold in Enforcement Decree art. 32의3(1): annual revenue of KRW 1 trillion or more; an average of 1 million or more Korean data subjects per day over the three months preceding year-end; or designation by Commission resolution after a document production request under art. 63(1). Revenue is converted at the prior year's average exchange rate. Having a Korean subsidiary does not remove the obligation, because the subsidiary is a separate legal person.
**2. Who may be appointed changed on 2 October 2025.** Art. 31의2(2), as amended on 1 April 2025, requires that where the controller has (i) a Korean entity it established, or (ii) a Korean entity over which it exercises dominant influence, the representative **must be selected from among those entities**. Decree art. 32의3(3) defines dominant influence as the ability to appoint or dismiss the representative director or to appoint 50% or more of officers, or holding 30% or more of shares or contributed capital. Appointing an outside law firm or consultancy instead is an administrative violation.
**3. The transition period is over.** Addendum art. 2 of Act No. 20897 allowed six months from entry into force to re-designate. That period ended on **2 April 2026**.
**4. Ongoing oversight is required.** Art. 31의2(3) obliges the controller to train and monitor the representative. Decree art. 32의3(4) specifies **training at least once a year** and verification that the representative has prepared a work plan, implemented it, and remedied items identified for improvement.
**5. Penalties.** Failure to appoint, appointing a party not permitted under art. 31의2(2), and failure to supervise each carry fines of up to KRW 20 million (art. 75(3)(2)-(4)). Omitting the representative's details from the privacy policy carries up to KRW 10 million (art. 75(4)(9)-2). Critically, art. 31의2(5) provides that a violation by the representative in connection with its delegated functions is **deemed to have been committed by the controller**.
**6. From 11 September 2026 the delegated scope widened.** The amended art. 31의2(1)(2) covers notification under art. 34(1) **and (2)** — the latter being the newly created duty to notify where there is a *possibility* of a breach — plus reporting under art. 34(4).
*This summary is general information, not legal advice. The Korean text of the statute prevails.*
*More English summaries of Korean data protection law: [English index](/en/).*
---
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
국내대리인 말고도 9월 11일에 함께 바뀐 항목들은 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 함께 정리돼 있습니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제31조의2, 제34조, 제63조, 제75조 — 국가법령정보센터(현행 법률 제21445호, 2026. 9. 11. 시행). 제31조의2 제2항 후단·제3항은 2025. 4. 1. 개정·신설
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제32조의3, 제39조의2, 제39조의3 — 국가법령정보센터(현행 대통령령 제36671호, 2026. 9. 10. 공포·2026. 9. 11. 시행). 제32조의3 제3항·제4항은 2025. 9. 23. 신설, 제39조의2·제39조의3은 제36671호로 신설
- 법률 제20897호 부칙 제1조(시행일), 제2조(국내대리인 지정에 관한 경과조치)
- [개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 원문](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) — 제31조의2 제1항 각 호 개정분
---
# 본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다 — 9월 11일 전에 다시 봐야 할 아홉 지점
- URL: https://datalaw.kr/posts/global-policy-korea-gap-map/
- 게시 2026-08-01 · 수정 2026-09-11 · 태그: 국외이전, 개인정보보호법, 스타트업실무
- 요약: 본사가 GDPR을 기준으로 만든 정책·절차서를 번역해 두면 한국법도 지켜진다고 보기 쉽지만, 깨지는 지점이 따로 있습니다. 그리고 그 지점들은 대개 문서 내용이 아니라 누가 결정하는지와 무엇을 밖에 알리는지에 걸립니다. 개인정보 보호책임자 지정에 이사회 의결이 들어오고(2026년 9월 11일), 국내 법인이 있으면 국내대리인을 그 법인 중에서 지정해야 하며(2025년 10월 2일 시행, 경과기간 만료), 수탁자 목록은 공개 대상입니다. 본사 산출물 아홉 개를 조문과 하나씩 대조했습니다.
> **핵심 요약**. 본사가 GDPR을 기준으로 만든 정책과 절차서를 번역해 한국 법인에 올려 두는 것으로는 채워지지 않는 지점이 있습니다. 그리고 그 지점들은 대개 문서에 무엇을 쓸 것인지가 아니라 **누가 결정하고 무엇을 밖에 알릴 것인지**에 걸립니다. 개인정보 처리방침은 법 제30조 제1항이 기재사항을 따로 정하고 있고, 수탁자는 정보주체가 언제든 확인할 수 있게 공개해야 하며(제26조 제2항), 국내에 자회사가 있으면 국내대리인을 그 법인 중에서 지정해야 하고(제31조의2 제2항, 2025년 10월 2일 시행), **2026년 9월 11일부터 개인정보 보호책임자 지정에 이사회 의결과 보호위원회 신고가 들어왔습니다**(제31조 제3항 신설). 아래에 본사 산출물 아홉 개를 조문과 하나씩 대조해 두었습니다. 항목마다 근거 조문과 상세를 다룬 글을 걸었습니다.
외국계 한국법인의 법무 담당자와 이야기하다 보면 비슷한 지점에서 멈춥니다. 본사가 만든 글로벌 프라이버시 정책이 있고, DPA 템플릿이 있고, 인시던트 대응 플레이북이 있습니다. 잘 만들어진 문서들입니다.
그것을 번역해서 한국 사이트에 올렸습니다. 여기까지는 대개 문제가 없습니다.
문제는 한국법이 요구하는 것 중 상당수가 **문서 안에 있지 않다**는 데 있습니다. 누가 그 결정을 했는지, 그 결정을 어디에 신고했는지, 어떤 목록을 밖에 공개했는지를 묻습니다. 번역으로는 채워지지 않는 종류입니다.
한 가지를 먼저 짚어 두겠습니다. 본사가 한국법을 검토할 때 읽는 것은 영문본인데, 시중에 도는 영문본 중에는 현행이 아닌 것이 있습니다. 어느 버전을 읽고 있는지에 따라 무엇이 어긋나는지는 [본사가 읽는 영문 개인정보 보호법의 버전 차이](/posts/english-pipa-version-gap/)에 정리했습니다.
아래 표가 이 글의 뼈대입니다. 본사가 실제로 가지고 있을 산출물을 왼쪽에 놓고, 한국에서 어디가 어긋나는지를 오른쪽에 적었습니다.
## 본사 산출물 아홉 개와 한국법의 접점
| # | 본사 산출물 | 한국에서 어긋나는 지점 | 근거 |
|:-:|---|---|---|
| 1 | Global Privacy Notice | 처리방침은 번역본이 아니라 기재사항이 법정된 별개 문서 | 법 제30조 제1항 |
| 2 | DPO 지정 | 9월 11일부터 지정에 이사회 의결·신고. 이사회 직접 보고 체계와 자원 제공은 2024년 3월부터 이미 의무 | 법 제31조 제3항·제4항, 시행령 제32조 제6항 |
| 3 | 국내대리인 | 국내 법인이 있으면 그 법인 중에서 지정. 제3자 지정은 과태료 | 법 제31조의2 제2항, 시행령 제32조의3 → [상세](/posts/domestic-representative-redesignation/) |
| 4 | Lawful basis / LIA | 정당한 이익 근거가 있으나 GDPR보다 좁고, 제공 목록은 따로다 | 법 제15조 제1항 제6호, 제17조 제1항 → [상세](/posts/lawful-basis-gdpr-korea-gap/) |
| 5 | Incident Response Playbook | 위험도 평가로 통지 여부를 가르는 분기가 한국엔 없음 | 법 제34조 |
| 6 | 국외이전 메커니즘 | 원칙 금지에 열거된 예외. SCC·CBPR이 그대로 대응되지 않음 | 법 제28조의8 제1항 |
| 7 | DPA / Processor 관리 | 수탁자를 공개해야 하고, 손해배상에서는 소속 직원으로 봄 | 법 제26조 제2항·제7항 → [상세](/posts/global-dpa-korea-transfer-contract-gap/) |
| 8 | Retention Schedule | 법령상 보존분은 파기하지 않되 분리 저장 | 법 제21조 제1항·제3항 |
| 9 | Consent / CMP | 행태정보를 수집할 때 요구되는 동의 기준이 다름 | 법 제15조, 제22조 |
## 1. 처리방침은 Privacy Notice의 번역본이 아닙니다
법 제30조 제1항은 개인정보 처리방침에 들어갈 사항을 열거합니다. 처리 목적, 처리 및 보유 기간, 제3자 제공, 파기 절차와 방법, 민감정보의 공개 가능성과 비공개 선택 방법, 위탁, 가명정보 처리, 정보주체와 법정대리인의 권리·의무와 행사 방법, 개인정보 보호책임자의 성명 또는 담당 부서와 연락처, 자동 수집 장치의 설치·운영과 거부에 관한 사항입니다.
이 목록은 GDPR 제13조·제14조의 고지 항목과 겹치지만 같지 않습니다. 특히 파기 절차, 위탁, 자동 수집 장치 거부 방법은 본사 Notice에 대응 항목이 없는 경우가 많습니다.
두 문서를 어떻게 나누고 어디까지 맞출지는 [국문 처리방침과 영문 Privacy Policy가 별개 문서인 이유](/posts/privacy-policy-two-documents/)에서, 기재사항 점검은 [처리방침 필수 기재사항 체크리스트](/posts/privacy-policy-checklist-2026/)에서 다뤘습니다.
본사 산출물에서 대응 항목을 찾기 어려운 자리가 둘 더 있습니다. 본사가 자동화된 심사·추천 시스템을 돌린다면 그 기준과 절차를 공개할 의무가 처리방침과 **별개로** 붙고(법 제37조의2 제4항, 시행령 제44조의4), 생성형 AI 기능이 있다면 이용자가 입력한 내용과 그것이 나가는 국가까지 처리방침에 적어야 합니다. 각각 [자동화된 결정, 처리방침에 무엇을 공개해야 하나](/posts/privacy-policy-checklist-2026/)와 [생성형 AI 서비스의 개인정보 처리방침](/posts/generative-ai-privacy-policy/)에 정리했습니다.
## 2. DPO를 CPO로 올려 둔 구조는 9월에 다시 걸립니다
두 가지가 겹칩니다.
먼저 누가 CPO가 될 수 있는가입니다. 본사 APAC DPO를 한국 개인정보 보호책임자로 지정해 둔 구조가 시행령이 정한 지정 대상 범위에 맞지 않을 수 있습니다. 이 부분은 2024년 3월부터 이미 시행 중이고, [본사 APAC DPO를 한국 CPO로 올려 두었다면](/posts/foreign-subsidiary-cpo-designation/)에서 자격요건까지 정리했습니다.
여기에 2026년 9월 11일부터 절차가 더해졌습니다. 개정법 제31조 제3항이 신설되어, 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 개인정보 보호책임자를 지정하거나 변경·해제할 때 **이사회 의결을 거치고** 그 사항을 **보호위원회에 신고**해야 합니다.
같은 조 제4항의 업무 목록도 바뀝니다. 신설된 제2호가 "개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보", 제3호가 "사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고"입니다.
**다만 이 두 가지를 9월에 새로 생기는 의무로 읽으면 준비 시점을 잘못 잡게 됩니다.** 실질은 이미 걸려 있습니다.
시행령 제32조 제6항은 2024년 3월 12일 신설되어, 사업주나 대표자가 직접 개인정보 보호책임자가 되는 경우를 빼고는 개인정보처리자가 독립성 보장을 위해 세 가지를 준수하도록 정하고 있습니다. 개인정보 처리 관련 정보에 대한 접근 보장, 정기적으로 대표자 또는 이사회에 **직접 보고할 수 있는 체계의 구축**, 그리고 업무 수행에 적합한 조직체계 마련과 인적·물적 자원의 제공입니다.
개정법 제31조 제4항 제2호·제3호는 이 내용을 시행령에서 법률 본문의 업무로 끌어올린 것에 가깝습니다. 즉 이사회 보고 체계와 자원 제공은 **2024년 3월부터 이미 의무였고**, 9월 11일에 새로 더해진 것은 지정 절차 쪽의 이사회 의결과 신고입니다.
외국계에서 실제로 걸리는 자리가 여기입니다. 예산 권한이 본사에 있고 보고 라인도 본사 프라이버시 조직으로만 나 있는 구조라면, 한국 법인의 대표나 이사회에 직접 보고할 수 있는 체계가 있다고 설명하기 어렵습니다. 그리고 그 설명을 요구받는 시점은 9월이 아니라 지금입니다.
## 3. 국내대리인을 로펌으로 지정해 두었다면
이 항목이 가장 자주 놓치는 자리입니다.
법 제31조의2 제1항은 **국내에 주소 또는 영업소가 없는** 개인정보처리자 중 대통령령으로 정하는 자에게 국내대리인 지정 의무를 지웁니다. 대리하는 업무는 불만 처리와 피해 구제, 유출 통지·신고, 그리고 보호위원회의 자료 제출 요구 대응입니다.
지정 대상은 시행령 제32조의3 제1항이 정합니다. 전년도 전체 매출액 1조 원 이상이거나, 전년도 말 기준 직전 3개월간 국내 정보주체 수가 일일평균 100만 명 이상이거나, 법 제63조 제1항에 따라 자료 제출을 요구받은 자로서 보호위원회가 심의·의결한 경우입니다. 매출액은 전년도 평균환율로 환산합니다.
바뀐 것은 누구를 대리인으로 세울 수 있는가입니다. 2025년 4월 1일 개정으로 제2항에 후단이 붙어, 다음 법인이 있으면 **그 법인 중에서** 국내대리인을 지정해야 합니다.
- 해당 개인정보처리자가 설립한 국내 법인
- 임원 구성, 사업 운영 등에 지배적인 영향력을 행사하는 국내 법인으로서 대통령령으로 정하는 법인
시행령 제32조의3 제3항이 뒤쪽을 구체화했습니다. 대표이사를 임면하거나 임원의 100분의 50 이상을 선임하거나 선임할 수 있는 법인, 또는 발행주식총수나 출자총액의 100분의 30 이상을 출자한 법인입니다.
한국에 자회사를 두고도 국내대리인은 로펌이나 컨설팅사로 지정해 둔 구조가 여기에 걸립니다. 이 개정은 2025년 10월 2일 시행됐고, 부칙이 준 재지정 기간 6개월은 **2026년 4월 2일에 이미 끝났습니다.**
제3항도 신설됐습니다. 국내대리인을 지정한 개인정보처리자는 국내대리인이 업무를 충실히 수행하도록 관리·감독해야 하고, 시행령 제32조의3 제4항은 그 내용을 **연 1회 이상 교육**과 업무 점검으로 정했습니다.
과태료가 각각 붙어 있습니다. 지정하지 않은 경우, 제2항을 위반해 지정한 경우, 관리·감독하지 않은 경우가 법 제75조 제3항 제2호부터 제4호까지에 있고, 국내대리인의 성명·주소·전화번호·전자우편 주소를 처리방침에 넣지 않은 경우가 같은 조 제4항 제9호의2에 있습니다.
마지막 항도 봐 둘 만합니다. 제31조의2 제5항은 국내대리인이 제1항 각 호와 관련해 이 법을 위반하면 **개인정보처리자가 그 행위를 한 것으로 본다**고 정합니다.
지정 대상 판단, 재지정 기한, 관리·감독의 구체적 내용, 그리고 9월 11일부터 대리 업무가 넓어진 부분은 [국내대리인 재지정](/posts/domestic-representative-redesignation/)에 따로 정리했습니다.
⚠️ AI기본법에도 **별개의** 국내대리인 제도가 있습니다(법 제36조, 시행령 제29조). 기준이 달라서, 전사 매출이 1조 원에 못 미쳐도 **인공지능서비스 부문 매출 100억 원**이면 대상이 됩니다. 대리하는 업무도 안전성 이행 결과 제출·고영향 확인 요청·제34조 책무 이행 지원으로 겹치지 않고, 국내 법인 우선 지정 의무나 관리·감독 의무 같은 제한도 없습니다. 한쪽을 지정했다고 다른 쪽이 충족되지 않으므로 위임 범위를 문서에서 분리해 적어야 합니다. → [AI기본법 국내대리인](/posts/ai-basic-law-domestic-representative/)
## 4. Legitimate interest에 대응하는 근거는 있지만 좁습니다
한국법에 정당한 이익 근거가 없다고 설명되는 경우가 있는데, 정확하지 않습니다. 법 제15조 제1항 제6호가 "개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우"를 두고 있습니다.
다만 조건이 붙습니다. 같은 호 후단은 "개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다"고 정합니다. 명백하게 우선할 것과 합리적 범위를 초과하지 않을 것을 함께 요구하는 구조라, GDPR 제6조 제1항 (f)의 균형 판단보다 좁게 쓰입니다.
본사 LIA 문서를 그대로 근거로 옮겨 오기 전에, 그 판단이 이 문언을 충족하는지 따로 봐야 하는 이유입니다. 여기에 더해 한국법은 제3자 제공의 근거 목록을 제17조 제1항에 따로 두고 있는데 그 목록이 수집 쪽과 다릅니다. 어긋나는 지점은 [처리 근거가 갈리는 자리](/posts/lawful-basis-gdpr-korea-gap/)에서 조문 단위로 비교했습니다.
처리하려는 것이 민감정보라면 근거는 제15조가 아니라 제23조에서 갈립니다. 본사가 채용 AI의 편향을 점검하기 위해 인종·성별 같은 항목을 처리하고 있다면 한국 법인이 같은 점검을 할 수 있는지는 [편향 점검에 필요한 민감정보를 한국에서 어떤 근거로 처리하나](/posts/bias-testing-sensitive-data-korea-gap/)에서 다뤘습니다.
## 5. 인시던트 플레이북의 첫 분기가 한국에는 없습니다
본사 절차서는 대개 위험도 평가로 시작해 통지 여부를 가릅니다. 한국법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지웁니다.
이 간극과 신고·통지의 선후, 72시간 예외, 암호화 항변이 어디까지 통하는지 — [본사 플레이북과 한국 통지 의무가 어긋나는 지점](/posts/global-breach-playbook-korea-gap/)이 조문 단위의 비교표입니다. 사고 인지부터 조사·처분·분쟁까지의 전체 흐름은 [유출 대응 단계별 지도](/guides/data-breach-response/)에 있습니다.
## 6. 국외이전은 원칙 금지에 예외가 열거된 구조입니다
법 제28조의8 제1항은 개인정보를 국외로 제공·처리위탁·보관해서는 안 된다고 먼저 정하고, 단서에 예외를 답니다. 별도 동의, 법률이나 조약의 특별 규정, 계약 이행에 필요한 처리위탁·보관, 보호위원회가 고시하는 인증, 그리고 보호위원회가 실질적으로 동등한 수준으로 인정하는 국가·국제기구입니다.
본사 표준계약조항(SCC)이 이 목록에 그대로 대응하지 않는다는 점이 출발점입니다. 방향과 상대국에 따라 근거가 갈리는 문제는 [EU 적정성 결정 첫 재검토](/posts/eu-korea-adequacy-first-review/)와 [영국 본사와 데이터를 주고받을 때](/posts/uk-korea-transfer-basis-gap/)에서 각각 다뤘습니다. 제4호가 말하는 인증이 실제로 무엇이고 누가 받아야 하는 것인지는 [고시 목록에 올라 있는 인증](/posts/overseas-transfer-certification-list/)에 정리했습니다.
근거를 갖추는 것으로 끝나지 않습니다. 제28조의8 제4항과 시행령 제29조의10은 그 이전을 계약에 반영하도록 따로 정하고 있는데, 본사 표준 DPA에는 그 칸이 비어 있는 경우가 있습니다([상세](/posts/global-dpa-korea-transfer-contract-gap/)). 같은 조항은 이전한 뒤에도 제5장(정보주체의 권리 보장)을 지키도록 정하고 있고, 제28조의11의 준용 목록에 제5장이 없어 그 의무자는 이전한 한국법인으로 남습니다. 열람·삭제 요구에 답할 기한이 GDPR의 1개월이 아니라 10일이라는 점은 [본사 서버에 있는 데이터를 지워 달라는 요구](/posts/overseas-transfer-data-subject-rights/)에서 조문 단위로 다뤘습니다.
## 7. 수탁자는 관리 대상이면서 공개 대상입니다
GDPR에서 processor 관리는 주로 계약의 문제입니다. 한국법은 여기에 공개를 더합니다.
법 제26조 제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 **공개**하라고 정합니다. 재위탁받은 제3자도 수탁자에 포함됩니다. 글로벌 벤더 목록을 계약서 부속서에만 두고 있었다면 공개 쪽을 따로 맞춰야 합니다.
제4항은 위탁자에게 수탁자 교육과 처리 현황 점검 등 감독 의무를 지우고, 제7항은 수탁자가 위탁받은 업무와 관련해 이 법을 위반해 발생한 손해배상책임에서 **수탁자를 개인정보처리자의 소속 직원으로 본다**고 정합니다.
수탁사에서 사고가 났을 때 책임이 어떻게 갈리는지는 [수탁사 직원의 실수로 개인정보가 유출됐을 때](/posts/processor-breach-consignor-liability/)에서 다뤘습니다.
## 8. 보존기간이 남은 데이터는 지우지 않되 분리합니다
법 제21조 제1항은 보유기간이 지나거나 처리 목적을 달성해 불필요해지면 지체 없이 파기하라고 하면서, 다른 법령에 따라 보존해야 하는 경우를 단서로 뺍니다.
여기서 본사 Retention Schedule과 어긋나기 쉬운 것이 제3항입니다. 단서에 따라 파기하지 않고 보존하는 개인정보는 **다른 개인정보와 분리하여 저장·관리**해야 합니다. 삭제 대신 보존한다는 결정만으로는 부족하고 저장 구조가 따라와야 한다는 뜻입니다.
파기 의무와 법정 보존기간이 충돌하는 지점은 [회원 탈퇴 시 개인정보 파기와 보존기간](/posts/retention-vs-destruction/)에 정리했습니다.
## 9. 쿠키 배너를 옮겨 오기 전에
본사 CMP는 GDPR과 ePrivacy를 전제로 설계돼 있습니다. 한국에서 행태정보 수집이 어떤 근거를 요구하는지, 광고·분석 SDK가 수집하는 값이 개인정보로 다뤄지는 지점은 [광고 픽셀이 수집하는 행태정보](/posts/tiktok-pixel-behavioral-data/)가 실제 제재 사례와 함께 답합니다.
## 지금 확인할 것
9월 11일까지 남은 시간을 감안하면 순서가 있습니다. 본사 승인이 필요한 항목이 먼저입니다.
**이사회 일정을 먼저 잡습니다.** 개정법 제31조 제3항이 요구하는 것은 문서가 아니라 의결입니다. 대통령령 기준에 해당한다면 9월 11일 이후의 지정·변경·해제부터 의결과 신고가 필요하고, 이사회는 대개 정기 일정으로 돌아갑니다.
**국내대리인 지정 문서를 꺼내 봅니다.** 한국 자회사가 있는데 제3자가 대리인으로 되어 있으면 재지정 대상이고, 경과기간은 이미 지났습니다. 지정은 문서로 해야 하고(제31조의2 제1항 후단), 처리방침에도 반영해야 합니다.
**수탁자 목록의 공개 상태를 확인합니다.** 계약 부속서에만 있고 처리방침이나 웹사이트에 없으면 제26조 제2항을 충족하지 못합니다.
**보존 데이터의 저장 위치를 봅니다.** 법령상 보존분이 일반 회원 데이터와 같은 테이블에 남아 있다면 제21조 제3항이 요구하는 분리 저장을 아직 못 한 상태입니다.
**본사에 설명할 문서를 준비합니다.** 위 항목 중 이사회 의결, 국내대리인 재지정, 수탁자 공개는 한국 법인이 단독으로 처리하기 어렵고 본사 승인이 필요합니다. 아래 영문 요약을 그대로 전달하실 수 있게 두었습니다.
## 자주 묻는 질문
### Q. GDPR을 지키고 있으면 한국 개인정보 보호법도 대체로 지켜지는 것 아닌가요?
겹치는 부분은 큽니다. 다만 한국법에만 있는 요구가 있고, 그 상당수는 문서의 내용이 아니라 지배구조와 공개 의무에 걸립니다. 개인정보 처리방침은 법 제30조 제1항이 기재사항을 따로 정하고 있어 본사 Privacy Notice의 번역본으로 갈음하기 어렵고, 수탁자는 정보주체가 언제든 확인할 수 있도록 공개해야 하며(제26조 제2항), 2026년 9월 11일부터 대통령령 기준에 해당하는 개인정보처리자는 개인정보 보호책임자를 지정·변경·해제할 때 이사회 의결을 거치고 보호위원회에 신고해야 합니다(제31조 제3항 신설).
### Q. 국내대리인을 로펌으로 지정해 두었는데 그대로 둬도 되나요?
한국에 자회사가 있다면 다시 봐야 합니다. 법 제31조의2 제2항은 개인정보처리자가 설립한 국내 법인이나 임원 구성·사업 운영 등에 지배적인 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 국내대리인을 지정하도록 정합니다(2025년 4월 1일 개정, 같은 해 10월 2일 시행). 시행령 제32조의3 제3항은 지배적 영향력을 대표이사를 임면하거나 임원의 50% 이상을 선임할 수 있는 법인, 또는 발행주식총수·출자총액의 30% 이상을 출자한 법인으로 구체화했습니다. 부칙이 준 재지정 기간 6개월은 2026년 4월 2일에 끝났고, 제2항을 위반해 지정한 경우는 과태료 대상입니다(제75조 제3항 제3호).
### Q. 본사 DPO에게만 보고하는 라인을 유지해도 되나요?
2026년 9월 11일 개정법은 개인정보 보호책임자의 업무에 "개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보"와 "사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고"를 넣었습니다(제31조 제4항 제2호·제3호). 본사 라인으로만 보고하고 한국 법인의 대표나 이사회에는 보고하지 않는 구조, 그리고 예산 권한이 전혀 없는 구조는 이 두 호를 충족한다고 설명하기 어려워집니다. 다만 이 둘은 실질이 새로운 것은 아닙니다. 시행령 제32조 제6항이 2024년 3월 12일부터 이미 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축과 인적·물적 자원의 제공을 독립성 보장 항목으로 요구하고 있고, 개정은 이를 법률 본문의 업무로 올린 것에 가깝습니다.
## For your global headquarters — English summary
*아래 요약을 본사 법무·DPO에게 그대로 전달하실 수 있도록 붙여 둡니다.*
Translating a global privacy programme into Korean does not, by itself, satisfy the Korean Personal Information Protection Act ("PIPA"). Several Korean requirements attach not to the content of a document but to who decides and what is published. Nine checkpoints:
1. **Privacy policy (PIPA art. 30(1)).** Korea prescribes a statutory list of items. A translated global notice frequently omits destruction procedures, processor disclosure, and opt-out for automatic collection tools.
2. **Chief Privacy Officer (art. 31).** From **11 September 2026**, processors meeting Presidential Decree thresholds must obtain board approval for appointing, changing or removing the CPO, and notify the Commission (art. 31(3), newly inserted). The CPO's statutory duties will also include securing budget and specialist headcount and reporting to the representative and the board (art. 31(4)(2)-(3)). Note that these two are not new in substance: Decree art. 32(6), in force since **12 March 2024**, already requires a structure enabling the CPO to report directly to the representative or the board, plus provision of adequate human and material resources. A reporting line running solely to headquarters is already difficult to reconcile with that.
3. **Domestic representative (art. 31의2).** Applies to processors with no address or place of business in Korea that meet Decree thresholds (annual revenue ≥ KRW 1 trillion, or ≥ 1 million Korean data subjects on a daily average over three months, or designated by Commission resolution). Since **2 October 2025**, if the processor has a Korean subsidiary — one whose representative director it appoints, or where it can appoint ≥ 50% of officers, or in which it holds ≥ 30% of shares or capital (Decree art. 32의3(3)) — the representative **must be chosen from among those Korean entities**. The six-month transition expired on **2 April 2026**. Appointing an outside law firm instead is subject to an administrative fine (art. 75(3)(3)). The processor must also train and monitor the representative at least annually (Decree art. 32의3(4)), and acts of the representative are deemed acts of the processor (art. 31의2(5)).
4. **Lawful basis (art. 15(1)(6)).** A legitimate interest basis exists but is narrower: the interest must manifestly override the data subject's rights, be substantially related, and not exceed a reasonable scope. A GDPR LIA does not transfer automatically.
5. **Incident response (art. 34).** Notification is triggered by awareness of a breach, not by a risk threshold. A risk-assessment gate in a global playbook has no Korean counterpart.
6. **Cross-border transfers (art. 28의8(1)).** Structured as a prohibition with enumerated exceptions. Standard contractual clauses used under GDPR do not map onto these exceptions automatically.
7. **Processors (art. 26).** Beyond contract: the scope of work and the identity of processors (including sub-processors) must be **publicly disclosed** (art. 26(2)); the controller must train and audit them (art. 26(4)); and for damages purposes a processor is deemed an employee of the controller (art. 26(7)).
8. **Retention (art. 21).** Data retained under other statutes must not merely be flagged; it must be **stored separately** from other personal data (art. 21(3)).
9. **Consent / cookies (arts. 15, 22).** Behavioural data collection follows Korean consent rules, which differ from the GDPR/ePrivacy model your CMP assumes.
*This summary is general information, not legal advice. Korean-language statutes prevail; English renderings of PIPA are unofficial and versions in circulation are frequently out of date.*
*More English summaries of Korean data protection law: [English index](/en/).*
---
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
정책 문서에서 9월 11일에 함께 바뀐 항목들은 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)와 함께 보면 시행일 기준으로 맞춰 볼 수 있습니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제15조, 제21조, 제26조, 제28조의8, 제30조, 제31조, 제31조의2, 제34조, 제75조 — 국가법령정보센터(현행 법률 제21445호, 2026. 9. 11. 시행)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제32조 제6항(2024. 3. 12. 신설), 제32조의3 — 국가법령정보센터(대통령령 제36340호). 제32조의3 제3항·제4항은 2025. 9. 23. 신설
- [개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 원문](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) — 국가법령정보센터 시행예정 법령
- 개정 전후 조문 대조는 [신구조문 대조표](/posts/pipa-2026-amendment-comparison/) 참조
- 제31조 제3항의 이사회 의결·신고 대상을 정하는 **시행령은 2026년 9월 10일 대통령령 제36671호로 공포되어 9월 11일 함께 시행**됐습니다. 기존 지정자의 신고 기한은 시행일부터 6개월입니다
---
# (가칭)아동·청소년 개인정보 보호법은 어떻게 됐나 — 입법이 멈춘 자리에 사전 실태점검이 왔습니다
- URL: https://datalaw.kr/posts/child-privacy-law-vs-inspection/
- 게시 2026-08-01 · 수정 2026-08-22 · 태그: 아동청소년, 개인정보보호법, 스타트업실무
- 요약: (가칭)아동·청소년 개인정보 보호법은 2026년 8월 현재 없습니다. 2022년 관계부처 합동 「아동·청소년 개인정보 보호 기본계획」은 보호 연령을 18세 미만으로 넓히고 맞춤형 광고를 제한하는 이 법을 2024년에 제정하겠다고 했습니다. 개인정보 보호법 제22조의2의 기준선은 여전히 만 14세 미만입니다. 그 사이 정책 문서에서 이 법의 자리는 계속 줄었고, 실제로 아동 정보를 들여다보기 시작한 것은 입법이 아니라 법 제63조의2의 사전 실태점검입니다.
> **핵심 요약**. 2022년 7월 11일 개인정보보호위원회·교육부·보건복지부·여성가족부 등이 합동으로 발표한 「아동·청소년 개인정보 보호 기본계획」은 「(가칭)아동·청소년 개인정보 보호법」을 **2024년에 제정**하겠다고 밝혔습니다. 보호 범위를 만 14세 미만에서 18세 미만으로 확대하고, 14세 이상 18세 미만은 본인이 권리를 행사하게 하며, 아동용 처리방침 공개·맞춤형 광고 제한·잊힐권리 명문화를 담는 내용이었습니다. **2026년 8월 현재 그 법은 제정되지 않았고**, 기준선은 여전히 개인정보 보호법 제22조의2의 만 14세 미만입니다. 그 사이 이 법이 정책 문서에서 차지하는 자리는 계속 줄었습니다. 대신 아동 정보를 실제로 들여다보기 시작한 것은 입법이 아니라 **법 제63조의2의 사전 실태점검**입니다. 2026년 5월 개인정보위·교육부 합동 에듀테크 점검의 항목에 「아동정보 수집 절차」가 들어 있고, 에듀테크는 고위험군으로 분류됐습니다.
"아동 개인정보는 곧 법이 새로 생긴다던데, 그때 맞춰서 정비하면 되지 않나요."
아동 이용자가 섞여 있는 서비스를 자문하다 보면 이 질문을 받습니다. 근거가 없는 얘기는 아닙니다. 실제로 정부가 그런 계획을 발표했고, 목표 시점까지 못박아 두었습니다.
그 시점이 2024년이었습니다.
## 2022년 계획은 무엇을 담고 있었나
「아동·청소년 개인정보 보호 기본계획」은 2022년 7월 11일 정부서울청사에서 관계부처 합동 브리핑으로 발표됐습니다. 개인정보위 단독이 아니라 교육부·보건복지부·여성가족부가 함께 참여한 계획입니다.
계획 본문 9쪽의 「아동·청소년 권리 실질화를 위한 법·제도 정비계획」에 「(가칭)아동·청소년 개인정보 보호법」 제정('24년)이 첫 항목으로 올라 있고, 현행과 개선안을 표로 대조해 두었습니다.
| 구분 | 현행 | 개선(안) |
|---|---|---|
| 기본원칙 | 없음 | 아동 최선의 이익, 권리 실현 지원, 연령대별 특성 고려, 개인정보 중심 설계 |
| 보호범위 | 14세 미만 | 18세 미만까지 확대 |
| 법정대리인 동의 | (14세 미만) 법정대리인 행사 | 14세 미만은 본인 및 법정대리인, 14세 이상 18세 미만은 본인 행사 |
| 권리 강화·지원 | 없음 | 아동용 처리방침 공개, 맞춤형 광고 제한, 잊힐권리 명문화, 이용·제공 내역 및 수집출처 알림, 프로파일링 시 안전조치 |
| 교육 등 지원 | 없음 | 교육·컨설팅 등 역량 강화 지원 근거 |
같은 문서 17쪽의 추진일정표를 보면 이 항목들이 어떻게 관리되고 있었는지가 더 분명합니다. 기본 원칙 정립, 보호 대상 확대와 연령 확인 의무, 법정대리인 동의제도 개선, 알림제도 확대와 아동용 처리방침 의무화, 맞춤형 광고 제한이 전부 '24년이고, 조치사항은 **법률 제·개정**으로 잡혀 있습니다.
여기서 하나만 다르게 적혀 있습니다. 「디지털 잊힐 권리 도입」은 '23년부터이고, 조치사항이 법률 제·개정이 아니라 "**예산 확보 필요**"입니다.
이 차이가 뒤에서 결과를 갈랐습니다.
## 그 법은 지금 어디에 있나
없습니다. 국가법령정보센터에서 검색되는 현행 법률에 「아동·청소년 개인정보 보호법」은 존재하지 않습니다. 아동 개인정보의 기준선은 여전히 개인정보 보호법 제22조의2이고, 그 조문의 기준은 만 14세 미만입니다.
더 눈여겨볼 것은 이 법이 정책 문서에서 차지해 온 자리입니다. 개인정보위가 공개한 1차 문서를 시간순으로 놓으면 이렇게 됩니다.
| 문서 | 시점 | 아동·청소년 관련 내용 |
|---|---|---|
| 「아동·청소년 개인정보 보호 기본계획」 | 2022. 7. | (가칭)법 제정 '24년 목표, 위 표의 개선안 전부 |
| 「개인정보 보호 기본계획(2024~2026)」 | 2023. 6. | 3대 추진전략·10대 과제에 아동·청소년 항목 없음 |
| 2026년도 업무 추진계획 | 2025. 12. | 지우개 서비스 확대 + 보호 강화 방안 논의 구체화(법정대리인 동의 현실화, 계약 체결 시 법정대리인 확인, 맞춤형 광고 제한) |
| 개인정보 보호 기본계획(2027~2029) | 2026. 7. 3. | **한 줄**. "아동·청소년 등 권리행사 취약계층에 대해서도 보호 체계도 강화한다" |
| 업무보고 「AI 혁신을 뒷받침하고…」 | 2026. 7. 16. | 아동·청소년 언급 없음 |
개인정보 보호법 제67조는 개인정보위가 연차보고서를 작성해 국회에 제출하도록 정합니다. 2023년과 2024년 실적을 담은 두 권의 연차보고서를 확인했는데, 「아동·청소년 개인정보 보호법」이라는 이름은 두 권 어디에도 나오지 않습니다.
계획이 폐기됐다는 뜻은 아닙니다. 2026년 업무 추진계획은 여전히 법정대리인 동의 현실화와 맞춤형 광고 제한을 "논의 구체화" 대상으로 적고 있습니다. 다만 2022년에 '24년 입법으로 못박혔던 것이 4년 뒤에도 논의 단계에 있다는 사실은 그대로입니다.
## 유일하게 굴러간 항목은 법률 사항이 아니었습니다
2022년 계획의 항목 중 실제로 작동한 것이 하나 있습니다. 지우개 서비스입니다.
정식 명칭은 아동·청소년 디지털 잊힐권리 지원사업이고, 어릴 때 온라인에 올린 게시물을 스스로 지울 수 없을 때 개인정보위가 게시판 운영자에게 대신 삭제 등을 요청해 주는 사업입니다. 2023년 4월 24일 시행됐습니다.
규모가 작지 않습니다. 2025년 개인정보 보호 연차보고서에 따르면 2023년 11,487건을 신청받아 10,813건을 처리했고, 2024년에는 이월분을 포함해 15,975건을 처리했습니다. 2년간 신청 27,152건 중 26,788건 처리로 처리율은 98.7%입니다. 2024년에는 신청 연령을 25세 미만에서 30세 미만으로, 대상 게시물의 작성 시기를 18세 미만에서 19세 미만으로 넓혔습니다. 신청자는 고등학생이 41%, 중학생이 34%였습니다.
여기서 앞의 이야기와 연결됩니다. **2022년 계획에서 이 항목만 「법률제·개정」이 아니라 「예산 확보 필요」로 적혀 있었습니다.** 법률 사항으로 분류된 항목은 전부 멈췄고, 예산 사업으로 분류된 항목만 굴러갔습니다.
그 결과 지금의 상태는 이렇습니다. 잊힐 권리를 명문화하겠다던 계획은 명문화 없이 사업으로만 운영되고 있고, 그런데도 2년에 2만 7천 건이 신청됐습니다. 수요는 실재하는데 근거 법률이 없습니다.
## 그러면 지금 무엇을 대비해야 하나
입법을 기다리는 대신 봐야 할 조문은 법 제63조의2입니다. 사전 실태점검입니다.
이 조문은 제63조 제1항 각 호에 해당하지 않는 경우, 즉 위반 혐의가 없는 경우에도 개인정보 침해사고 발생의 위험성이 높고 취약점을 사전에 점검할 필요성이 인정되는 개인정보처리자에 대해 보호실태를 점검할 수 있게 합니다.
점검 뒤의 절차가 실무에서 중요합니다.
위원회가 점검에서 위반을 발견하면 시정방안을 정해 권고하고, 권고를 받은 회사는 **통보받은 날부터 10일 이내에 수락 여부를 위원회에 통지**해야 합니다(제63조의2 제3항). 수락하면 **제64조 제1항의 시정조치 명령을 받은 것으로 봅니다**(제4항). 수락하지 않거나 이행하지 않으면 제63조 제2항의 검사로 넘어갑니다(제5항).
즉 사전 실태점검은 "권고니까 부담이 없다"가 아니라, 수락하는 순간 명령과 같은 효력이 생기고 거절하면 조사로 이어지는 구조입니다. 10일이라는 기한 안에 그 판단을 해야 합니다.
그 10일 동안 무엇을 보고 판단해야 하는지는 [개인정보위가 혐의 없이 점검을 나왔습니다](/posts/pre-inspection-recommendation-acceptance/)에 따로 정리했습니다. 권고가 제63조의2 제2항인지 제61조 제2항인지에 따라 수락의 의미가 달라진다는 것, 시정방안에는 수락하는 경우의 이행 기간이 이미 포함돼 온다는 것, 그리고 수락한 뒤의 불이행이 2026년 9월 개정 과징금 조항과 어떻게 이어지는지를 사례와 함께 다뤘습니다.
같은 제63조라도 제1항의 조사와는 출발점이 다릅니다. 조사는 위반 사항을 발견했거나 혐의를 알게 된 경우, 신고나 민원이 접수된 경우에 시작됩니다. 실제로 [식음료 10개사 실태조사에서 아동 조문으로 9억 2,400만 원의 과징금이 나온 건](/posts/child-data-sanction-without-breach/)이 그 경로였습니다. 조사가 시작된 뒤 처분과 분쟁까지 어떤 단계로 이어지는지는 [유출 대응 단계별 지도](/guides/data-breach-response/)의 조사 단계에 정리했습니다.
## 에듀테크라면 이미 대상입니다
사전 실태점검이 아동 정보를 향하고 있다는 것은 추측이 아니라 공개된 사실입니다.
개인정보위와 교육부는 2026년 5월 18일 에듀테크 분야 합동 사전 실태점검을 예고했습니다. 대상은 에듀집(edzip.kr)에 등록된 서비스, 시도교육청 선정 디지털 도구, 학사관리 서비스 중 이용률이 높은 7개 에듀테크 서비스이고, 5월 말부터 실시한다고 밝혔습니다.
점검 항목이 공개돼 있습니다. 개인정보 수집·이용 시 동의, 목적 달성 후 파기, **아동정보 수집 절차**, 그리고 안전조치 의무 준수(취약점 점검, 접근권한 관리, 관리자 계정 관리, 접근통제, 접속기록 보관·관리)입니다.
사흘 뒤인 5월 21일 발표된 「예방 중심 개인정보 관리체계 전환계획」은 이 방향을 제도로 못박았습니다. 개인정보 처리 규모·민감도·산업별 특성으로 고·중·저 위험군을 나누고, 고위험군은 **점검 분야를 사전에 공개한 뒤** 정기·수시 점검을 한다는 내용입니다. 2026년 고위험군에 플랫폼, 금융기관, 공공기관, **에듀테크**, 요양병원이 들어갔습니다.
이 글을 쓰는 2026년 8월 1일 기준으로 에듀테크 점검 결과는 아직 발표되지 않았습니다.
## 지금 확인할 것
**입법을 기준으로 일정을 잡지 않습니다.** 18세 미만 확대와 맞춤형 광고 제한은 아직 의무가 아니고, 언제 의무가 될지도 정해지지 않았습니다. 반대로 사전 실태점검은 이미 돌아가고 있습니다. 설계 기준은 현행 제22조의2로 잡고, 일정 압박은 점검 쪽에서 온다고 보는 편이 실제에 가깝습니다. 현행 기준에서 무엇을 갖춰야 하는지는 [연령 확인과 법정대리인 동의 설계](/posts/under-14-signup-consent/)에 정리했습니다.
**고위험군에 속하는지 먼저 봅니다.** 2026년 지정된 다섯 분야에 해당하면 점검 분야가 사전에 공개된 뒤 정기·수시로 점검받게 됩니다. 에듀테크는 이미 착수됐습니다.
**시정권고를 받았을 때의 10일을 미리 정해 둡니다.** 수락하면 시정조치 명령과 같아지고, 거절하면 검사로 이어집니다. 누가 판단하고 누가 통지할지를 사고가 아니라 점검 상황에 맞춰 정해 둔 회사는 많지 않습니다.
**맞춤형 광고는 입법 전에도 판단이 필요합니다.** 현행 가이드라인이 만 14세 미만임을 알고 있는 아동에게 맞춤형 광고를 제공하지 않도록 권장하고 있고, 2026년 업무 추진계획도 제한을 논의 대상으로 적었습니다. 광고·분석 SDK가 수집하는 행태정보는 이용자가 아동인지 가리지 않습니다.
**지우개 서비스가 들어올 통로를 확인합니다.** 근거 법률은 없지만 위원회가 게시판 운영자에게 삭제를 요청하는 구조이고, 2년에 2만 7천 건이 처리됐습니다. 이용자 게시물을 다루는 서비스라면 이 요청을 받는 창구와 처리 절차가 있어야 합니다.
## 자주 묻는 질문
### Q. (가칭)아동·청소년 개인정보 보호법은 지금 시행되고 있나요?
제정되지 않았습니다. 국가법령정보센터에서 검색되는 현행 법률에 해당 법은 없고, 아동 개인정보의 기준선은 여전히 개인정보 보호법 제22조의2입니다. 즉 만 14세 미만이 기준이고 법정대리인의 동의를 받아 동의 여부를 확인하는 구조 그대로입니다. 2022년 7월 11일 관계부처 합동으로 발표된 「아동·청소년 개인정보 보호 기본계획」이 이 법의 제정 시점을 2024년으로 잡았으나 그 시점은 지났습니다.
### Q. 보호 연령이 18세 미만으로 넓어진다고 들었는데 대비해야 하나요?
그 내용은 2022년 계획에 담긴 개선안입니다. 현행법에는 아직 반영되지 않았습니다. 계획은 보호 범위를 14세 미만에서 18세 미만으로 확대하고, 14세 이상 18세 미만은 본인이 권리를 행사하도록 하며, 아동용 처리방침 공개와 맞춤형 광고 제한, 잊힐권리 명문화를 담고 있었습니다. 다만 이 항목들은 모두 조치사항이 '법률 제·개정'으로 잡혀 있었고 아직 입법되지 않았으므로, 지금 시점의 의무는 아닙니다. 현재 확정된 기준으로 설계하되 이 방향은 알고 있는 편이 낫습니다.
### Q. 그러면 아동 개인정보 쪽에서 지금 실제로 대비할 것은 무엇인가요?
사전 실태점검입니다. 개인정보 보호법 제63조의2는 위반 혐의가 없더라도 침해사고 발생 위험성이 높고 취약점을 미리 점검할 필요가 인정되는 개인정보처리자를 점검할 수 있게 합니다. 개인정보위와 교육부는 2026년 5월 18일 에듀테크 7개 서비스에 대한 합동 사전 실태점검을 예고하면서 점검 항목에 「아동정보 수집 절차」를 명시했고, 사흘 뒤 발표된 「예방 중심 개인정보 관리체계 전환계획」은 에듀테크를 고위험군으로 분류했습니다. 점검 결과 시정권고를 받으면 10일 이내에 수락 여부를 통지해야 하고, 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 봅니다(제63조의2 제3항·제4항).
## 마무리
새 법을 기다리며 정비를 미루는 판단이 흔합니다. 이 영역에서는 그 판단의 근거가 4년째 같은 자리에 있습니다.
그동안 규제는 계속 왔습니다. 형태가 달랐을 뿐입니다. 입법으로 올 것이라 예상한 자리에 점검이 왔고, 점검은 새 의무를 만들지 않고 이미 있는 제22조의2를 가지고 들어옵니다. 대비의 기준선이 미래가 아니라 현행법이어야 하는 이유가 여기 있습니다.
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
## 참고 자료
- 관계부처 합동 「아동·청소년 개인정보 보호 기본계획」(2022. 7. 11. 발표). 개인정보위 보도자료 첨부 원문 기준
- 「개인정보 보호 기본계획(2024~2026)」(2023. 6. 발표) 및 2024·2025 「개인정보 보호 연차보고서」(개인정보 보호법 제67조에 따른 국회 제출 문서)
- 개인정보보호위원회 보도자료 「개인정보위·교육부, 합동으로 에듀테크 개인정보 보호 실태점검」(2026. 5. 18.)
- 개인정보보호위원회 보도자료 「개인정보위, 올해 6월부터 위험 기반 실태점검 본격 실시」(2026. 5. 21.) 및 붙임 「예방 중심 개인정보 관리체계 전환계획」
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제22조의2, 제63조, 제63조의2, 제64조, 제67조 — 국가법령정보센터
- ⚠️ 법안이 국회에 발의된 이력이 있는지는 확인하지 못했습니다. 이 글이 확인한 것은 현행 법률로 제정되지 않았다는 사실과 정책 문서에서의 서술 변화까지입니다. 제정이 지연된 이유는 공개 문서로 확인되지 않아 다루지 않았습니다
---
# 우리 앱은 아동용이 아닙니다 — 그런데 왜 아동 개인정보로 과징금 9억 2천만 원이 나왔나
- URL: https://datalaw.kr/posts/child-data-sanction-without-breach/
- 게시 2026-08-01 · 수정 2026-09-07 · 태그: 아동청소년, 과징금제재, 개인정보보호법, 스타트업실무
- 요약: ㈜비케이알(버거킹)이 만 14세 미만 아동의 법정대리인 동의 위반으로 과징금 9억 2,400만 원을 받았습니다. 유출 사고가 없었는데도 나온 처분입니다. 개인정보보호위원회가 2026년 2월 11일 식음료 10개사 실태조사 결과를 의결하면서 부과했습니다. 같은 조사에서 8개사는 과태료에 그쳤는데, 그 차이는 개인정보 보호법 제64조의2 제1항이 과징금 대상을 열거해 둔 구조에서 나옵니다. 아동 조문은 유출이 없어도 과징금이 나오는 몇 안 되는 경로입니다.
> **핵심 요약**. 개인정보보호위원회는 2026년 2월 11일 제3회 전체회의에서 식음료 분야 10개 사업자에 대한 실태조사 결과를 의결하고, 총 15억 6,600만 원의 과징금과 1억 1,130만 원의 과태료, 시정명령과 공표명령을 부과했습니다. 이 중 ㈜비케이알(버거킹)은 법정대리인의 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용한 행위(개인정보 보호법 제22조의2 위반)로 **9억 2,400만 원**의 과징금을 받았고, ㈜엠지씨글로벌(메가MGC커피)은 동의 없는 목적 외 이용(제18조 위반)으로 6억 4,200만 원을 받았습니다. **유출 사고에 따른 처분이 아니라 실태조사 결과입니다.** 나머지 8개사는 파기 미이행·접근통제·수탁자 관리감독 등으로 과태료에 그쳤는데, 이 차이는 법 제64조의2 제1항이 과징금 대상을 아홉 가지로 **열거**해 둔 구조에서 나옵니다. 유출을 전제로 하는 것은 그중 제9호뿐이고, 아동 조문(제2호)과 목적 외 이용(제1호)은 유출과 무관하게 목록에 있습니다.
"우리는 아동용 서비스가 아닌데요."
만 14세 미만 아동 개인정보 이야기를 꺼내면 대부분 이렇게 반응합니다. 교육이나 게임이 아니면 남의 일이라는 감각입니다.
2026년 2월에 그 감각을 정면으로 흔드는 처분이 나왔습니다. 햄버거 프랜차이즈가 아동 개인정보 조문으로 9억 2,400만 원을 물었습니다.
더 눈여겨볼 것은 그 처분이 나온 경로입니다. 사고가 없었습니다.
## 사고가 없었는데 조사는 어떻게 시작됐나
개인정보보호위원회가 2026년 2월 12일 배포한 보도자료 「식음료 분야 사업자 개인정보 처리 실태 조사 결과 발표」에 경위가 적혀 있습니다.
위원회는 음식점·카페에서 원격 예약·대기와 키오스크 주문처럼 대규모 개인정보 처리를 수반하는 서비스가 확산됨에 따라 식음료 분야의 처리 실태를 조사했다고 밝혔습니다. 유출 신고가 들어와서 시작된 조사가 아닙니다.
대상 선정 기준도 공개했습니다. **앱 서비스 이용률과 안전조치 의무 등 개인정보 보호법 위반 이력을 고려해** 원격 예약·대기 플랫폼 앱과 프랜차이즈 사업자를 골랐다고 했습니다.
조사 대상은 10개사였습니다. 플랫폼 쪽이 ㈜와드(캐치테이블), 테이블링㈜(테이블링), ㈜야놀자에프앤비솔루션(도도포인트·나우웨이팅)이고, 프랜차이즈 쪽이 ㈜에스씨케이컴퍼니(스타벅스), ㈜비케이알(버거킹), ㈜엠지씨글로벌(메가MGC커피), 한국맥도날드(유), 투썸플레이스㈜, ㈜이디야, ㈜더본코리아(빽다방)입니다.
이 목록에서 읽어야 할 것은 업종보다 선정 논리 쪽입니다. **이용자가 많은 앱을 운영하고 과거 위반 이력이 있으면 사고를 내지 않아도 조사 대상이 됩니다.** 사고가 나면 그때 대응하겠다는 계획으로 유출 대응 체계만 세워 두고 가입 절차나 보유 데이터 같은 평시 처리 항목을 뒤로 미뤄 둔 회사가 이 구조에서 가장 불리한 자리에 서게 됩니다.
## 아동용 앱이 아닌데 왜 아동 조문에 걸렸나
법 제22조의2 제1항은 적용 대상을 아동 대상 서비스로 한정하지 않습니다.
> 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 하며, 법정대리인이 동의하였는지를 확인하여야 한다.
주어가 "개인정보처리자"입니다. 아동을 겨냥했는지, 아동이 주 이용자인지를 묻지 않습니다. 만 14세 미만 아동의 개인정보를 실제로 처리하고 있으면 그 시점에 의무가 붙습니다.
조사 대상 10개사 중 아동 대상 서비스는 없습니다. 예약 앱과 커피·햄버거 프랜차이즈 앱입니다. 그런데도 이 조문이 작동했습니다.
아동 대상이 아닌 서비스에도 의무가 미친다는 것 자체는 이미 알려진 해석입니다. 그 원칙과 가입 화면에서의 연령 확인 설계, 법정대리인 동의를 받는 일곱 가지 방법은 [약관 한 줄로는 해결되지 않는 아동 개인정보 문제](/posts/under-14-signup-consent/)에서 이미 정리했습니다.
이번에 달라진 것은 그 원칙에 금액이 붙었다는 점입니다. 9억 2,400만 원은 이번 10개사 처분 가운데 가장 큰 금액이고, 과태료를 받은 8개사의 합산 총액(1억 1,130만 원)의 여덟 배가 넘습니다.
## 같은 조사인데 왜 한 곳만 9억이고 나머지는 과태료인가
여기가 이 사건에서 가장 실무적인 대목입니다.
보도자료에 따르면 조사에서 확인된 위반은 여러 갈래였습니다. 대부분의 사업자가 보유기간이 지나거나 처리목적을 달성한 개인정보를 파기하지 않고 있었고, 플랫폼 사업자 쪽에서는 API 설계·운영 미흡 등 접근통제 위반이, 프랜차이즈 쪽에서는 수탁자 관리·감독 소홀과 이용·제공 내역 통지 누락이 확인됐습니다. 투썸플레이스는 매장 주문 시 휴대전화번호를 입력하지 않으면 주문·결제가 불가능하도록 운영한 점이, 더본코리아는 별도로 받아야 할 동의를 포괄적으로 받은 점이 지적됐습니다.
그런데 과징금이 부과된 것은 두 건뿐입니다. 아동(제22조의2)과 목적 외 이용(제18조)입니다.
이유는 법 제64조의2 제1항에 있습니다. 이 조항은 과징금을 부과할 수 있는 경우를 아홉 가지로 **열거**합니다.
| 호 | 위반 내용 | 유출 전제 |
|:--:|---|:--:|
| 1 | 제15조 제1항, 제17조 제1항, 제18조 제1항·제2항, 제19조 위반 처리 | 무관 |
| 2 | **제22조의2 제1항 위반: 법정대리인 동의 없는 만 14세 미만 아동 개인정보 처리** | 무관 |
| 3 | 제23조 제1항 제1호 위반 민감정보 처리 | 무관 |
| 4 | 제24조 제1항·제24조의2 제1항 위반 고유식별정보·주민등록번호 처리 | 무관 |
| 5 | 제26조 제4항 관리·감독 또는 교육 소홀로 수탁자가 이 법을 위반한 경우 | 무관 |
| 6 | 제28조의5 제1항 위반 특정 개인 식별 목적 처리 | 무관 |
| 7 | 제28조의8 제1항 위반 국외 이전 | 무관 |
| 8 | 제28조의9 제1항 국외 이전 중지 명령 불이행 | 무관 |
| 9 | 개인정보가 분실·도난·유출·위조·변조·훼손된 경우 | **전제** |
파기 의무(제21조)와 안전조치 의무(제29조)는 이 목록에 없습니다. 두 조문은 과태료 사유로 따로 규정되어 있습니다(제75조 제2항 제4호·제5호). 위탁 문서 작성·공개 의무 위반도 과태료입니다(제75조 제4항 제4호·제5호).
## 유출이 없으면 닫히는 문이 있습니다
안전조치를 소홀히 한 회사가 과징금을 무는 경로는 제9호인데, 이 호는 개인정보가 실제로 분실·도난·유출·위조·변조·훼손된 경우를 부과 요건으로 삼으면서 안전성 확보에 필요한 조치를 다한 경우에는 부과하지 않는다는 단서까지 함께 달고 있습니다.
이 구조를 뒤집어 읽으면 이렇게 됩니다. **유출 사고가 없으면 안전조치 위반은 제9호로 들어갈 수 없습니다.** 실태조사에서 아무리 접근통제 부실이 확인되어도 과징금 트랙이 아니라 과태료 트랙으로 갑니다.
이번 사건이 정확히 그 모습입니다. 8개사의 안전조치·파기 위반은 합쳐서 1억 1,130만 원의 과태료가 됐습니다.
반면 아동 조문은 제2호에 있습니다. 유출이 있었는지, 아동이 실제로 피해를 입었는지를 요건으로 삼지 않습니다. 법정대리인 동의 없이 처리한 사실 자체가 부과 사유입니다.
그래서 이렇게 정리됩니다. **아동 조문은 유출 없이도 과징금이 나오는 몇 안 되는 경로 중 하나입니다.** 사고 대비만으로는 이 위험이 줄지 않습니다.
제5호도 함께 볼 만합니다. 수탁자 관리·감독을 소홀히 한 경우가 과징금 목록에 있기는 한데, "소홀히 하여 수탁자가 이 법의 규정을 위반한 경우"라는 결과 요건이 붙어 있습니다. 이번에 수탁자 관리·감독이 지적된 회사가 과태료에 그친 것이 이 요건 때문인지는 보도자료만으로 알 수 없습니다.
## 9억 2,400만 원은 어떻게 계산됐나
이 부분은 지금 단정할 수 없습니다.
법 제64조의2 제1항은 전체 매출액의 100분의 3을 초과하지 않는 범위라고 정하고, 제2항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 산정하라고 정합니다. 어느 매출을 관련 매출로 보았는지, 몇 명분의 아동 개인정보가 확인됐는지, 어떤 감경이 적용됐는지는 의결서를 봐야 알 수 있습니다.
**그 의결서는 아직 공개되지 않았습니다.** 개인정보위 위원회 결정문 DB를 확인한 결과 2026년 2월 11일 의결 중 공개된 것은 다른 안건 한 건뿐이고, 이 식음료 실태조사 건은 올라와 있지 않습니다. 의결에서 결정문 공개까지는 통상 수개월 이상 걸립니다.
그래서 이 글은 **보도자료 전문과 법령 원문의 범위에서만** 쓴 것입니다. 산정 근거와 회사의 소명 내용은 결정문이 공개되면 다시 확인할 부분입니다.
다만 산정 방식을 몰라도 확인되는 사실이 하나 있습니다. 위원회가 아동 조문 위반 한 건에 매긴 금액이, 같은 조사에서 나온 다른 모든 과태료의 합보다 훨씬 크다는 것입니다.
## 지금 확인할 것
연령 확인 절차를 어떻게 설계할지는 [앞선 글](/posts/under-14-signup-consent/)에 정리했으므로, 여기서는 이번 사건이 새로 드러낸 지점만 짚습니다.
**이미 쌓여 있는 계정을 봅니다.** 연령 게이트를 나중에 넣은 회사가 흔합니다. 게이트를 넣기 전에 가입한 계정에는 아무 확인 절차가 없었고, 그 계정들이 지금도 남아 있습니다. 실태조사는 앞으로의 가입 흐름이 아니라 지금 보유한 데이터를 봅니다.
**파기하지 않은 개인정보의 규모를 셉니다.** 이번 조사에서 대부분의 사업자가 걸린 항목이 파기 미이행이었습니다. 그 자체는 과태료에 그치지만, 보유기간이 지나고도 파기하지 않은 채 쌓아 둔 데이터 안에 만 14세 미만 아동의 정보가 섞여 있다면 같은 데이터가 과태료 사유이면서 동시에 과징금 사유가 됩니다. 두 위반이 겹치는 자리가 가장 비쌉니다.
실제로 [파기 의무(제21조)가 인정된 제재는 91건](/sanctions/article-21/)이고 그중 65건이 과태료입니다. 과징금 26건은 파기 의무 단독으로 부과된 것이 아니라 유출이나 주민등록번호처럼 다른 근거가 함께 붙은 사건입니다.
**아동 이용을 인식할 수 있었던 흔적을 확인합니다.** 고객 문의, 결제 취소, 리뷰, 매장 응대 기록에 아동 이용 정황이 남아 있는데 계정을 그대로 둔 상태라면 설명이 어려워집니다.
**위탁사에 넘긴 데이터도 같이 봅니다.** 예약·대기 플랫폼과 프랜차이즈가 함께 조사받은 구조에서 보듯, 앱 운영과 데이터 처리를 나눠 맡는 경우 양쪽이 같은 조사에 들어옵니다. 수탁자에게 넘어간 회원 데이터에 아동 정보가 포함되는지는 위탁사가 확인해야 할 몫입니다. 위·수탁 관계에서 책임이 어떻게 갈리는지는 [수탁사 직원의 실수로 개인정보가 유출됐을 때 위탁사의 책임 범위](/posts/processor-breach-consignor-liability/)에서 다뤘습니다.
## 자주 묻는 질문
### Q. 유출 사고가 없었는데도 과징금이 나올 수 있나요?
나올 수 있습니다. 개인정보 보호법 제64조의2 제1항은 과징금 부과 대상을 아홉 가지로 열거하는데, 유출등을 이유로 하는 것은 제9호 하나뿐입니다. 나머지 여덟 가지는 유출 여부와 무관한 처리 단계의 위반입니다. 만 14세 미만 아동의 법정대리인 동의 위반(제22조의2 제1항)은 제2호, 목적 외 이용(제18조)은 제1호에 각각 열거되어 있습니다. 실제로 개인정보보호위원회는 2026년 2월 11일 제3회 전체회의에서 유출 사고가 아닌 실태조사 결과를 근거로 ㈜비케이알에 9억 2,400만 원, ㈜엠지씨글로벌에 6억 4,200만 원의 과징금을 의결했습니다.
### Q. 아동을 대상으로 하지 않는 서비스인데도 아동 개인정보 규정이 적용되나요?
적용됩니다. 법 제22조의2 제1항은 적용 범위를 아동 대상 서비스로 한정하지 않고, 만 14세 미만 아동의 개인정보를 처리하면서 이 법에 따른 동의를 받아야 할 때에는 법정대리인의 동의를 받고 동의 여부를 확인하라고 정합니다. 2026년 2월 조사에서 과징금을 받은 곳은 햄버거 프랜차이즈이고, 함께 조사받은 10개사는 예약·대기 플랫폼과 식음료 프랜차이즈로 어느 곳도 아동 대상 서비스가 아닙니다.
### Q. 같은 조사를 받았는데 왜 어떤 회사는 과징금이고 어떤 회사는 과태료인가요?
위반한 조문이 과징금 대상 목록에 있는지에 따라 갈립니다. 파기 의무 위반(제21조 제1항)과 안전조치 의무 위반(제29조)은 과태료 사유로 규정되어 있고(제75조 제2항 제4호·제5호), 제64조의2 제1항의 과징금 대상 목록에는 그 자체로 올라 있지 않습니다. 안전조치 위반이 과징금으로 연결되는 통로는 개인정보가 실제로 유출등이 된 경우를 정한 제9호인데, 유출 사고가 없는 실태조사에서는 그 통로가 열리지 않습니다. 반면 아동 조문과 목적 외 이용은 결과와 무관하게 목록에 있습니다.
## 마무리
아동 개인정보 규정을 키즈 서비스의 문제로 분류해 둔 회사가 많습니다. 이번 처분은 그 분류에 9억 2,400만 원짜리 가격표를 붙였습니다.
그리고 이 처분에는 사고가 없었다는 점을 다시 짚어 둡니다. 위원회가 분야를 정해 들어와 앱 가입 절차와 보유 데이터를 들여다본 결과입니다. 사고가 나야 조사가 시작된다는 전제로 대비를 설계해 두었다면, 이 사건에서 그 전제는 작동하지 않았습니다.
같은 아동이라도 다루는 정보가 위치라면 근거법이 하나 더 붙습니다. 위치정보법은 법정대리인 동의를 받아도 아동 본인의 동의를 따로 요구하는 구조여서, 개인정보 보호법 기준으로 설계한 동의 화면이 그대로는 통하지 않습니다 ([자녀 위치를 부모에게 보내는 앱](/posts/under-14-signup-consent/)).
2026년 상반기 개인정보위 제재 전체에서 이 건이 어디쯤 놓이는지는 [상반기 제재 통계](/sanctions/)에서 확인할 수 있습니다. 조사가 시작된 뒤 처분과 분쟁까지 이어지는 단계 전체는 [유출 대응 단계별 지도](/guides/data-breach-response/)에 정리해 두었습니다.
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
## 참고 자료
- 개인정보보호위원회 보도자료 「개인정보위, 식음료 분야 사업자 개인정보 처리 실태 조사 결과 발표」(2026. 2. 12. 배포, 조사2과). 2026년 2월 11일 제3회 전체회의 의결분
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제18조, 제21조, 제22조의2, 제29조, 제64조의2, 제75조 — 국가법령정보센터
- ⚠️ 이 사건의 **의결서(결정문)는 2026년 8월 1일 기준 미공개**입니다. 개인정보위 위원회 결정문 DB에서 2026년 2월 11일 의결 중 공개된 것은 별건 1건뿐입니다. 과징금 산정 근거와 소명 내용은 결정문 공개 후 확인이 필요합니다
---
# 마이데이터 사업을 하려면 전문기관 지정을 받아야 하나요
- URL: https://datalaw.kr/posts/mydata-receiver-designation-or-not/
- 게시 2026-08-01 · 수정 2026-09-11 · 태그: 마이데이터, 개인정보보호법, 스타트업실무
- 요약: 데이터를 받는 쪽에는 두 갈래가 있습니다. 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자입니다. 갈림점은 규모가 아니라 목적입니다. 받은 정보로 통합조회·맞춤형 서비스를 하려면 지정 대상이고, 고유 업무에서 수집한 정보의 진위를 확인하는 정도면 일반수신자입니다. 경계를 넘으면 시행령이 금지행위로 규정합니다.
> **핵심 요약**
> 데이터를 받는 쪽은 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자로 갈립니다. 갈림점은 회사 규모가 아니라 받은 정보로 무엇을 하느냐입니다. 통합조회·맞춤형 서비스·연구·교육을 위해 관리·분석하면 시행령 제42조의9 제1항의 전문기관이고, 고유 업무에서 수집한 정보의 진위 확인 정도면 제42조의3의 일반수신자입니다. 경계를 넘는 것은 제42조의6 제8항 제4호가 금지행위로 규정하고, 어느 쪽이든 제10항의 분리 보관 의무는 함께 걸립니다.
전송 요구를 받는 쪽의 의무는 [앞선](/posts/mydata-transfer-right-who-and-when/) [두 글](/posts/mydata-request-deadline-and-refusal/)에서 다뤘습니다. 이번에는 반대편, 데이터를 받아서 서비스를 만들려는 쪽입니다.
여기서 가장 먼저 나오는 질문이 지정입니다. 마이데이터 사업을 하려면 허가 같은 것을 받아야 하는가.
## 받는 쪽은 두 갈래입니다
시행령을 보면 전송받는 지위가 둘로 나뉘어 있습니다.
하나는 **개인정보관리 전문기관**입니다. 제42조의9 제1항이 셋으로 구분합니다. 전송 중계에 필요한 기능과 시스템을 운영하는 중계전문기관, 통합조회·맞춤형 서비스·연구·교육 등을 위해 전송받은 정보를 관리·분석하는 일반전문기관, 그리고 같은 업무를 보건의료 정보에 대해 하는 특수전문기관입니다.
다른 하나는 **일반수신자**입니다. 제42조의3 제1항은 이를 "고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위하여 개인정보를 전송받는 자"로 정의합니다.
두 지위의 결정적 차이는 **지정을 받느냐**입니다. 전문기관은 법 제35조의3에 따라 지정을 받아야 하고, 일반수신자는 지정 절차가 없습니다. 대신 보호위원회가 고시하는 시설 및 기술 기준을 갖추면 됩니다.
## 갈림점은 규모가 아니라 목적입니다
여기서 오해가 자주 생깁니다. 회사가 크면 지정 대상이고 작으면 아니라고 생각하기 쉬운데, 조문은 규모를 묻지 않습니다.
묻는 것은 **받은 정보로 무엇을 하느냐**입니다.
받은 정보를 모아 보여주거나, 그것을 근거로 맞춤형 서비스를 만들거나, 연구·교육에 쓴다면 제42조의9 제1항 제2호의 관리·분석 업무입니다. 지정이 필요합니다.
반면 대출 심사를 하면서 신청인이 적어 낸 소득이 맞는지 확인하는 용도로만 받는다면, 그것은 고유 업무 과정에서 수집한 정보의 **진위 확인**입니다. 일반수신자에 해당합니다.
같은 데이터를 받더라도 쓰임이 다르면 지위가 달라집니다.
## 경계를 넘으면 금지행위입니다
이 구분이 선언에 그치지 않는다는 것이 제42조의6 제8항에서 확인됩니다.
이 항은 일반수신자가 하지 않도록 노력해야 하는 행위 여덟 가지를 열거하는데, 그중 제4호가 "**법 제35조의3제1항에 따른 개인정보관리 전문기관의 지정을 받지 않고 같은 항 각 호의 업무를 수행하는 행위**"입니다.
진위 확인 목적으로 받은 정보를 쌓아 두었다가 나중에 통합조회 화면을 만들거나 추천에 쓰기 시작하면, 지정 없이 전문기관 업무를 하는 셈이 됩니다.
같은 항의 다른 호들도 실무에서 걸릴 만합니다. 전송 요구 목적과 관련 없는 개인정보를 요구하는 행위(제1호), 필수적인 경우가 아닌데도 전송받은 정보의 제3자 제공 동의를 전송 요구와 동시에 받는 행위(제2호), 전송 요구나 대리 행사를 강요하거나 부당하게 유도하는 행위(제3호), 정보주체 동의 없이 전송 요구 내용을 변경해 요구하는 행위(제5호)입니다.
가입 과정에서 전송 요구와 마케팅 동의를 한 화면에 묶는 설계는 제2호와 제3호 양쪽에 걸릴 수 있습니다.
## 어느 쪽이든 분리 보관은 걸립니다
제42조의6 제10항은 개인정보관리 전문기관과 일반수신자 모두에게 같은 의무를 지웁니다. **그 지위로 처리하는 정보와 다른 개인정보처리자로서 처리하는 정보를 분리하여 보관**해야 합니다.
전송받은 데이터와 자사가 원래 갖고 있던 회원 데이터를 한 테이블에 합치는 구조는 이 항과 맞지 않습니다. 서비스 기획 단계에서 데이터 저장소를 어떻게 가를지 정해 두어야 하고, 나중에 분리하려면 이미 섞인 데이터를 되돌려야 합니다.
의료기관인 특수전문기관이 전자의무기록시스템으로 보건의료 정보를 진료 목적으로 전송받는 경우에는 예외가 있습니다.
중계전문기관에는 겸업 제한도 있습니다. 제42조의9 제2항은 중계전문기관이 일반전문기관, 특수전문기관 및 일반수신자 업무를 함께 수행해서는 안 된다고 정합니다. 중계는 중계만 하라는 뜻입니다.
## 지정을 받으려면
전문기관 지정이 필요하다고 판단됐다면 절차는 제42조의10에 있습니다.
지정신청서와 함께 정관 또는 규약, 사업계획서, 개인정보 관리 계획서, 최근 3년간의 재무제표, 그리고 지정요건을 갖추었음을 증명하는 서류를 제출합니다. 개인정보전송지원플랫폼을 통해 제출할 수 있습니다.
지정권자는 종류에 따라 갈립니다. 중계전문기관과 일반전문기관은 보호위원회 또는 전송받으려는 정보와 관련된 관계 중앙행정기관의 장이고, 특수전문기관과 보건의료 정보에 관한 중계전문기관은 보건복지부장관입니다.
**설립 초기 회사에 실질적으로 중요한 것은 제4항입니다.** 지정 신청을 하기 전에 지정권자에게 지정요건 세부기준을 갖추었는지에 대한 **예비심사를 신청할 수 있습니다.** 요건은 기술수준·전문성, 안전성 확보조치 수준, 재정능력 세 축으로 되어 있고(제42조의11 제1항), 재정능력 요건은 공공기관에는 적용되지 않습니다.
준비가 끝났다고 보고 본신청을 넣었다가 반려되는 것보다, 예비심사로 부족한 항목을 먼저 확인하는 편이 낫습니다.
## 무엇부터 정하나
데이터를 받는 서비스를 기획 중이라면 순서대로 확인하시기 바랍니다.
① 받은 정보로 무엇을 할 것인가. 진위 확인인가, 통합조회·맞춤형 서비스인가
② 후자라면 전문기관 지정 대상이다. 어느 종류인가(중계·일반·특수)
③ 전자라면 일반수신자다. 보호위원회 고시의 시설·기술 기준 네 가지를 갖추었는가
④ 전송받은 데이터와 기존 보유 데이터의 저장소가 분리되어 있는가
⑤ 가입·동의 화면이 제42조의6 제8항의 금지행위에 걸리지 않는가
⑥ 지정이 필요하다면 예비심사부터 신청할 것인가
## 자주 묻는 질문
### 전송받는 쪽은 모두 개인정보관리 전문기관 지정을 받아야 하나요?
아닙니다. 두 갈래가 있습니다. 시행령 제42조의9 제1항은 개인정보관리 전문기관을 중계·일반·특수 세 종류로 나누는데, 이들은 전송받은 개인정보를 통합조회, 맞춤형 서비스, 연구, 교육 등을 위해 관리·분석하는 업무를 합니다. 반면 제42조의3 제1항의 일반수신자는 고유의 업무를 수행하는 과정에서 수집한 정보의 진위 여부 등을 확인하기 위해 전송받는 자로, 지정이 아니라 보호위원회가 고시하는 시설 및 기술 기준을 갖추면 됩니다.
### 일반수신자가 받은 데이터로 분석 서비스를 해도 되나요?
안 됩니다. 시행령 제42조의6 제8항 제4호는 개인정보관리 전문기관의 지정을 받지 않고 법 제35조의3 제1항 각 호의 업무를 수행하는 행위를 하지 않도록 노력해야 한다고 정합니다. 진위 확인 목적으로 받은 정보를 통합조회나 맞춤형 서비스에 쓰기 시작하면 지정이 필요한 업무 영역으로 넘어갑니다.
### 전문기관 지정을 신청하기 전에 요건을 미리 확인할 방법이 있나요?
예비심사 제도가 있습니다. 시행령 제42조의10 제4항은 지정 신청을 하기 전에 지정권자에게 제42조의11의 지정요건 세부기준을 갖추었는지에 대한 예비심사를 신청할 수 있도록 정합니다. 지정권자는 전문기관 종류에 따라 다른데, 중계·일반전문기관은 보호위원회 또는 관계 중앙행정기관의 장이고 특수전문기관과 보건의료 중계전문기관은 보건복지부장관입니다.
## 종합하면
받는 쪽의 규제는 **무엇을 하느냐로 갈리고, 그 경계를 넘는 것 자체가 금지행위**로 규정되어 있습니다. 회사 규모나 데이터 양이 기준이 아니라 쓰임이 기준입니다.
그래서 기획 단계에서 정해야 할 것도 시스템 사양이 아니라 **서비스의 목적 범위**로 판단됩니다. 진위 확인으로 시작했다가 자연스럽게 분석으로 넘어가는 흐름이 가장 위험합니다. 그 이동이 언제 일어나는지 회사 스스로 기록해 두지 않으면 나중에 설명할 방법이 없습니다.
전문기관으로 지정을 받든 일반수신자로 남든, 받은 개인정보를 보유하는 이상 안전조치와 사고 대응 의무는 그대로 따라옵니다. 사고 이후의 절차는 [유출 대응 단계별 지도](/guides/data-breach-response/)에 정리했습니다.
전송 요구를 받는 쪽에 걸리는 날짜와 의무는 [본인전송요구권 시행일 정리](/posts/mydata-transfer-right-who-and-when/)에, 요구가 들어온 뒤의 처리 절차는 [기한과 거절 사유](/posts/mydata-request-deadline-and-refusal/)에 정리해 두었습니다.
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
전문기관 지정 문제를 포함해 개정법이 정한 일정 전체는 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에서 볼 수 있습니다.
## 참고 자료
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제42조의3, 제42조의6, 제42조의9, 제42조의10, 제42조의11, 제42조의13 (국가법령정보센터)
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제35조의2, 제35조의3(개인정보관리 전문기관), 제35조의4 (국가법령정보센터)
- 개인정보 보호법 시행령 일부개정령(대통령령 제36121호, 2026년 2월 19일 공포, 2026년 8월 20일 시행)
- 일반수신자의 시설·기술 기준과 개인정보관리 전문기관 금지행위(별표 1의3)의 세부 내용은 보호위원회 고시에 따릅니다. 이 글은 시행령 문언까지를 다뤘습니다
---
# 본인전송요구가 들어왔습니다: 며칠 안에 보내야 하고, 거절할 수 있나
- URL: https://datalaw.kr/posts/mydata-request-deadline-and-refusal/
- 게시 2026-08-01 · 수정 2026-09-11 · 태그: 마이데이터, 개인정보보호법, 스타트업실무
- 요약: 개인정보 보호법 시행령은 전송 기한을 며칠이라고 정하지 않고 '지체 없이'라고만 씁니다. 대신 거절할 수 있는 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 거절하더라도 사유를 통지해야 하고, 거절 내역과 사유는 3년간 보관해야 합니다. 요구가 들어온 뒤의 절차를 조문 단위로 정리했습니다.
> **핵심 요약**
> 개인정보 보호법 시행령은 본인전송요구의 처리 기한을 며칠이라고 정하지 않고 제42조의6 제1항에서 "지체 없이"라고만 씁니다. 대신 거절 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 열거된 사유이므로 그 밖의 이유로는 거절할 근거가 없고, 거절하더라도 제2항에 따라 사실과 사유를 정보주체에게 통지해야 합니다. 거절·중단 내역과 사유는 제42조의6 제11항 제3호에 따라 3년간 보관 대상입니다. 요구를 받는 창구를 홈페이지에 게재할 의무도 제6항에 따로 있습니다.
전송 요구를 실제로 받게 되는 날짜와 대상은 [앞선 글](/posts/mydata-transfer-right-who-and-when/)에서 정리했습니다. 이번에는 그다음 단계, 요구가 창구로 들어온 뒤의 처리를 봅니다.
실무에서 가장 먼저 나오는 질문이 기한입니다. 그런데 조문에는 일수가 없습니다.
## 며칠 안에 보내야 하나?
시행령 제42조의6 제1항은 이렇게 정합니다. 전송 요구를 받은 정보전송자는 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 **지체 없이** 개인정보를 전송해야 합니다.
일수가 없으니 여유가 있다고 읽기 쉽습니다. 조문의 뒷부분을 보면 반대입니다.
지체 없이 전송할 수 없는 정당한 사유가 있는 경우에는 **정보주체에게 그 사유를 알리고** 전송을 연기할 수 있고, 그 사유가 소멸하면 다시 지체 없이 전송해야 합니다. 즉 늦어질 때마다 왜 늦는지 설명해야 하고, 사유가 없어지면 곧바로 처리해야 합니다.
기한이 느슨한 것이 아니라 **지연의 정당성을 매번 스스로 입증하는 구조**입니다. 30일 같은 숫자가 있으면 그 안에서는 자유롭지만, "지체 없이"에는 그런 안전지대가 없습니다.
## 거절할 수 있는 경우는 정해져 있습니다
제42조의8 제1항은 거절하거나 전송을 중단할 수 있는 경우를 열한 가지로 열거합니다. 실무에서 마주칠 만한 것들을 추리면 이렇습니다.
가장 자주 쓰이게 될 것은 확인이 안 되는 경우입니다. 정보주체 본인 여부가 확인되지 않거나(제6호), 만 14세 미만 아동의 법정대리인 동의 여부가 확인되지 않거나(제1호), 대리인 여부가 확인되지 않는 경우(제4호)입니다.
요구 자체가 불완전한 경우도 있습니다. 제42조의5 제1항은 정보주체에게 전송 요구 목적과 요구하는 개인정보를 특정하도록 하는데, 그 특정이 없으면 제5호의 거절 사유가 됩니다.
타인의 권리가 걸리면 보내지 않습니다. 전송이 제3자의 권리나 정당한 이익을 침해하는 경우(제3호), 열람의 제한·거절 사유에 해당하는 경우(제2호)입니다.
부정한 요구를 걸러내는 근거도 셋 있습니다. 인증정보를 탈취하는 등 부당한 방법에 의한 요구임을 알게 된 경우(제7호), 개인정보가 범죄에 악용되는 등 부정한 방법으로 사용되어 정보주체의 이익을 명백히 침해하는 경우(제9호), 제3자의 기망이나 협박 때문에 요구한 것으로 의심될 정황이 확인되는 경우(제11호)입니다.
나머지 둘은 업무 부담과 수신자 자격에 관한 것입니다. 동일한 개인정보를 정당한 사유 없이 과도하게 반복 요구하여 업무에 지장을 초래하는 경우(제10호), 그리고 정보주체 본인이나 전문기관, 일반수신자가 아닌 자에게 전송해 달라는 요구(제8호)입니다.
여기서 중요한 것은 이 목록이 **열거**라는 점입니다. 시스템 부담이 크다거나 영업상 곤란하다는 이유는 목록에 없습니다.
## 거절하면 끝나는 것이 아닙니다
실무에서 가장 놓치기 쉬운 대목입니다.
제42조의8 제2항은 거절하거나 전송을 중단한 경우 **지체 없이 그 사실과 사유를 정보주체에게 통지**하도록 정합니다. 요구를 반려하고 조용히 종결하는 처리는 이 조항과 맞지 않습니다.
여기에 기록 의무가 겹칩니다. 제42조의6 제11항은 전송 내역을 3년간 보관하도록 하면서, 제3호에서 **전송 요구의 철회·거절·중단 내역 및 사유**를 명시적으로 포함시켰습니다.
두 조항을 붙여 읽으면 이런 뜻이 됩니다. **거절은 판단으로 끝나지 않고 문서로 남습니다.** 나중에 조사가 들어오면 어떤 요구를 어떤 사유로 거절했는지가 3년치로 확인됩니다. 담당자가 그때그때 판단하고 넘어가는 방식으로는 이 요건을 맞출 수 없습니다.
## 창구를 홈페이지에 올려야 합니다
제42조의6 제6항은 별도의 의무를 둡니다. 본인대상정보전송자는 정보주체가 전송을 요구하고 전송 내역을 확인할 수 있도록 **본인전송요구 방법, 전송 현황 및 내역을 확인할 수 있는 방법을 인터넷 홈페이지 등에 게재**해야 합니다.
전송 요구를 처리할 준비만 하고 그 창구를 알리지 않으면 이 항을 지키지 못합니다. 개인정보처리방침에 한 줄 넣는 것으로 갈음할 수 있는지는 조문 문언만으로 분명하지 않으므로, 요구 방법과 내역 확인 방법을 이용자가 찾을 수 있는 위치에 두는 편이 안전합니다.
보건의료정보전송자나 에너지정보전송자는 중계전문기관이 대신 게재할 수 있다는 단서가 있습니다.
## 대리인이 협의된 방식으로 요구하면 거절하기 어렵습니다
스크래핑 등 자동화된 도구를 쓰는 대리인에 관해서는 별도의 제약이 있습니다. 제42조의5 제2항은 대리인이 제42조의6 제3항 제1호 나목에 따라 **사전에 협의한 방식**으로 전송을 요구하는 경우 정당한 사유 없이 거절해서는 안 된다고 정합니다.
거절이 전면 금지되는 것은 아닙니다. 정당한 사유가 있으면 거절할 수 있고, 위에서 본 제42조의8 제1항의 열한 가지도 그대로 적용됩니다. 다만 협의된 방식이라는 요건을 갖춘 요구를 관행적으로 반려하기는 어려워집니다.
## 지금 준비할 것
시행일이 이미 지났으니 순서대로 확인하시기 바랍니다.
① 전송 요구를 접수할 창구가 있는가, 그 방법과 내역 확인 방법이 홈페이지에 게재되어 있는가
② 접수부터 전송까지 걸리는 시간이 관리되고 있는가, 지연될 때 사유를 통지하는 절차가 있는가
③ 거절 사유 열한 가지를 기준으로 판단하는 체크리스트가 있는가, 목록 밖의 이유로 반려하고 있지는 않은가
④ 거절·중단할 때 정보주체에게 통지하는 절차가 있는가
⑤ 전송 내역과 거절 사유를 3년간 남기는 기록 체계가 있는가
⑥ 대리인을 통한 요구에 대비해 자동화 도구 사용 방식의 협의 절차가 마련되어 있는가
## 자주 묻는 질문
### 본인전송요구를 받으면 며칠 안에 보내야 하나요?
일수가 정해져 있지 않습니다. 시행령 제42조의6 제1항은 정보시스템 장애 등으로 전송이 지연되거나 불가능한 사유가 없으면 "지체 없이" 전송하도록 정합니다. 지체 없이 전송할 수 없는 정당한 사유가 있으면 정보주체에게 그 사유를 알리고 연기할 수 있고, 사유가 소멸하면 지체 없이 전송해야 합니다. 즉 기한이 느슨한 것이 아니라 지연할 때마다 사유를 설명할 부담이 생기는 구조입니다.
### 전송 요구를 거절할 수 있나요?
거절할 수 있는 사유가 시행령 제42조의8 제1항에 열한 가지로 열거되어 있습니다. 본인 여부가 확인되지 않는 경우, 전송 요구 사항이 특정되지 않는 경우, 제3자의 권리나 정당한 이익을 침해하는 경우, 인증정보 탈취 등 부당한 방법에 의한 요구임을 알게 된 경우, 정당한 사유 없이 과도하게 반복 요구하여 업무에 지장을 초래하는 경우 등입니다. 열거된 사유이므로 여기에 해당하지 않으면 거절 근거가 없습니다.
### 거절하면 그것으로 끝인가요?
아닙니다. 시행령 제42조의8 제2항은 거절하거나 전송을 중단한 경우 지체 없이 그 사실과 사유를 정보주체에게 통지하도록 정합니다. 나아가 제42조의6 제11항 제3호는 전송 요구의 철회·거절·중단 내역과 사유를 3년간 보관하도록 하고 있어, 거절 판단의 근거가 기록으로 남아야 합니다.
## 종합하면
이 제도는 "언제까지 보내라"가 아니라 "**왜 안 보냈는지 설명하고 남겨라**"로 설계되어 있습니다. 기한에 숫자가 없는 대신 지연에는 사유 통지가, 거절에는 열거된 근거와 통지와 3년 보관이 따라붙습니다.
그래서 준비의 초점도 시스템 연동보다 **판단과 기록의 절차**에 있다고 판단됩니다. 요구를 받는 창구, 거절 여부를 가르는 기준, 그 판단을 남기는 양식이 먼저 있어야 합니다.
거절 판단은 3년간 기록으로 남습니다. 회사가 내린 판단을 그때그때 문서로 남겨 두는 일이 조사 국면에서 어떻게 쓰이는지는 [유출 대응 단계별 지도](/guides/data-breach-response/)의 조사 단계에서 같은 구조로 다뤘습니다.
시행령 개정령(대통령령 제36121호)의 시행일과 대상 기업 구분은 [앞선 글](/posts/mydata-transfer-right-who-and-when/)에 정리해 두었습니다. 반대로 정보를 받아가는 쪽에 서 있다면 전문기관 지정이 필요한 경우와 그렇지 않은 경우가 갈리는데, 그 기준은 [수신자 쪽의 지정 문제](/posts/mydata-receiver-designation-or-not/)에서 다뤘습니다. 개정 개인정보 보호법 전반이 바뀌는 내용은 [신구조문 대조표](/posts/pipa-2026-amendment-comparison/)를 참고하시기 바랍니다.
이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
본인전송요구권이 개정법 전체 일정에서 어디에 놓이는지는 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 정리돼 있습니다.
## 참고 자료
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제42조의5, 제42조의6, 제42조의8 (국가법령정보센터)
- 개인정보 보호법 시행령 일부개정령(대통령령 제36121호, 2026년 2월 19일 공포, 2026년 8월 20일 시행). 제42조의2 제1항 제1호는 부칙 단서에 따라 2027년 2월 20일 시행
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제35조의2(개인정보의 전송 요구), 제38조 (국가법령정보센터)
---
# 인수한 회사의 개인정보 위반이 클로징 뒤에도 계속되고 있습니다 — 매도인에게 물을 수 있는 구간은 어디까지인가
- URL: https://datalaw.kr/posts/reps-warranties-pre-closing-cause/
- 게시 2026-08-01 · 수정 2026-08-17 · 태그: 기업인수, 과징금제재, 개인정보보호법
- 요약: 대법원은 기업지배권이 이전되는 시점 이전의 사유로 발생한 우발채무를 진술보증 위반의 손해로 보았습니다. 2017다6108 판결입니다. 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 파기하지 않은 데이터나 근거가 정리되지 않은 국외이전 같은 개인정보 위반은 클로징 이후에도 계속됩니다. 구간이 어디서 끊기느냐가 과징금의 기준 매출액과 가중 폭까지 함께 바꾼다는 점을 조문 단위로 정리했습니다.
> **핵심 요약**: 인수한 회사의 개인정보 위반이 언제의 사유인지는 위반 행위가 있었던 한 시점이 아니라, 위반 상태가 걸쳐 있는 구간으로 가르게 됩니다. 대법원은 계약 문언에 따라 "기업지배권이 이전되는 시점 이전의 사유"로 발생한 우발채무 등을 진술보증 위반의 손해로 보았습니다(대법원 2018. 10. 12. 선고 2017다6108 판결). 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 개인정보 위반은 클로징 이후에도 이어지는 경우가 많습니다. 구간이 어디서 끊기는지가 과징금의 기준 매출액과 가중 폭까지 바꿉니다.
인수 대상 회사의 개인정보 위반을 매도인에게 물을 수 있는지는 [진술보증 위반 책임이 성립하는 요건](/posts/ma-reps-warranties-privacy-claims/)에서 다뤘습니다. 물을 수 있다면 얼마인지는 [손해배상액 산정의 두 층](/posts/reps-warranties-damage-calculation/)에서 다뤘습니다.
이 글은 남은 질문 하나를 다룹니다. 발견된 위반이 지배권 이전 전의 사유인지 이후의 사유인지를 무엇으로 가르는가입니다. 이 구분은 매도인과 매수인 사이의 책임 분배와 과징금의 크기를 함께 좌우합니다.
## 대법원이 그은 선은 어디인가
기준이 되는 판결은 정유회사 인수 사안에 관한 대법원 2018. 10. 12. 선고 2017다6108 판결입니다. 대법원은 매도인이 진술보증한 것과 달리 **기업지배권이 이전되는 시점 이전의 사유**로 대상회사에 우발채무가 발생하거나 부실자산 등이 추가로 발견되면, 특별한 사정이 없는 한 그 금액이 매수인의 손해라고 판단했습니다.
이 사안의 위반행위는 1998년부터 2000년까지의 군용유류 구매입찰 담합이었습니다. 과징금 납부명령은 2000. 10. 17.에, 재산정된 과징금은 2009. 1. 14.에야 나왔지만, 사유인 담합 행위는 지배권 이전 무렵의 기간에 있었습니다. 처분이 늦게 나와도 사유가 그 전에 있으면 선 안쪽이라는 뜻입니다.
계약도 그 선을 분명히 해 두었습니다. 매도인들은 계약 체결일(1999. 4. 2.)과 매수인이 주식을 취득한 날(1999. 8. 31.) 두 시점을 기준으로 대상회사가 행정법규를 위반하지 않았음을 보증했습니다. 대상회사가 스스로 행한 담합의 결과를 매도인의 행위로 대상회사가 입은 손해라고 볼 수 없다고 한 원심에 대해, 대법원은 손해의 의미를 이해하지 못한 잘못이 있다고 지적했습니다.
## 개인정보 위반은 왜 이 선에 깔끔하게 걸리지 않나
담합은 그때 끝난 행위였습니다. 반면 개인정보 위반은 행위가 아니라 **상태**인 경우가 많습니다. 동의 근거가 부실한 채로 쌓인 데이터베이스는 클로징 다음 날에도 그대로 남아 있습니다.
보유기간이 지났는데도 파기되지 않은 개인정보(법 제21조 제1항)나 근거가 정리되지 않은 국외이전도 마찬가지입니다. 매수인은 그 상태를 이어받아 계속 유지하게 되므로, 사유가 한 시점에 고정되지 않습니다.
그래서 구간은 셋으로 갈립니다. 클로징 전에 끝난 위반, 클로징 전에 시작해 이후에도 계속되는 위반, 클로징 이후에 생기거나 악화된 위반입니다. 다툼은 대부분 가운데 구간에서 생깁니다.
## 구간이 갈리면 금액이 왜 달라지나
과징금은 전체 매출액의 100분의 3을 초과하지 않는 범위에서 부과됩니다(법 제64조의2 제1항). 그런데 시행령 제60조의2 제1항은 이 전체 매출액을 **위반행위가 있었던 사업연도**를 기준으로 정하고, 그 사업연도 첫날 현재 사업을 개시한 지 3년 이상인 경우에는 직전 사업연도의 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액으로 잡습니다.
위반 상태가 클로징 뒤로 이어지면 조문 구조상 해당사업연도가 인수 이후의 연도가 될 수 있습니다. 그 경우 매도인이 운영하던 시절의 규모가 아니라 매수인이 사업을 키운 뒤의 규모에 부과기준율이 곱해질 수 있습니다. 부과기준율은 위반행위의 중대성에 따라 0.03% 이상 2.7% 이하의 구간에서 정해집니다(시행령 별표 1의5 제2호 가목).
여기에 위반행위와 관련이 없는 매출액의 제외가 겹칩니다(법 제64조의2 제2항, 시행령 제60조의2 제3항). 인수 후 늘어난 사업 가운데 어디까지가 위반행위와 관련 있는 매출인지가 다시 쟁점이 됩니다. 어느 해를 해당사업연도로 볼지와 함께, 실제 사안에서 먼저 다투어질 자리입니다.
## 위반이 이어진 기간은 그 자체로 무엇을 만드나
법 제64조의2 제4항 제2호는 위반행위의 기간 및 횟수를 과징금 부과 시 고려사항으로 듭니다. 시행령 별표 1의5 제2호 나목은 그 기간을 1차 조정 단계에서 기준금액의 100분의 90 범위 안에서 가중하거나 감경하는 근거로 씁니다. 매수인이 실사에서 위반을 발견하고도 시정하지 않은 기간은 그대로 이 계산에 들어갑니다.
반대 방향의 장치도 같은 조항에 있습니다. 피해의 회복 및 피해 확산 방지 조치의 이행 여부(제4항 제6호), 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부(제4항 제11호)가 고려사항입니다. 클로징 직후의 시정은 규제 대응이면서 동시에 매수인이 자기 구간을 끊는 행위입니다.
## 계약에서 무엇을 정해 두면 구간이 나뉘나
정유회사 인수 사안의 계약은 기준시점을 계약 체결일과 주식취득일 두 개로 두었습니다. 행위형 위반이라면 이 두 시점의 진술만으로도 선이 그어집니다. 그러나 상태형 위반에서는 그 시점에 위반이 없었다는 진술만으로 구간이 나뉘지 않습니다.
그래서 실무에서는 기준시점 진술에 더해, 클로징 후 위반 상태의 시정 책임을 어느 쪽에 두는지를 계약 문언으로 정해 두는 방법이 다뤄집니다. 대법원은 손해배상의 범위와 금액을 산정하는 방법을 정한 조항이 있으면 이를 배제하거나 제한할 만한 사정이 없는 한 그에 따라야 한다고 했습니다. 결국 구간과 산정 방법을 함께 적어 두는 계약이 다툼을 줄입니다.
## 그래서 사고가 나면 이 구분이 어떻게 쓰이는가
딜이 끝난 뒤 유출을 인지하면 통지와 신고 의무는 인수한 회사에 옵니다. 개인정보를 넘기는 단계에서 [이전 사실의 통지가 파는 쪽과 사는 쪽에 각각 따로 붙는다는 점](/posts/business-transfer-notice-both-parties/)은 클로징 전에 정리해 둘 항목입니다. 그때 남기는 인지 시점 기록, 원인 규명 자료, 접속기록은 규제 대응 자료이면서 동시에 언제부터의 상태였는지를 가르는 증거가 됩니다. 같은 자료가 과징금 절차와 매도인에 대한 클레임 양쪽에서 쓰입니다.
법 제64조의2 제1항 제9호 단서는 안전성 확보에 필요한 조치를 다한 경우를 유출 과징금 대상에서 제외합니다. 그 입증 자료도 두 절차에서 같은 역할을 합니다. 사고 직후에 무엇을 어떤 순서로 해야 하는지는 [유출 인지 후 72시간의 대응 절차](/guides/data-breach-response/)에서 확인하실 수 있습니다.
**선례 확인** — 개인정보위가 실제로 부과한 과징금·과태료·시정명령은 [개인정보위 제재 결정문 전수 DB](/sanctions/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### 인수 전부터 있던 위반인데 과징금은 인수 후에 나왔습니다. 매도인에게 물을 수 있나요?
처분이 나온 시점이 아니라 사유가 있었던 시점이 기준입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 다룬 사안에서도 과징금 납부명령은 지배권 이전보다 뒤에 나왔지만, 사유인 위반행위가 그 전에 있었기에 손해로 인정될 수 있었습니다. 다만 위반 상태가 인수 후에도 계속되었다면 어디까지가 이전 시점의 사유인지는 계약 문언 해석의 문제로 남습니다.
### 매수인이 인수 후에도 그 상태를 그대로 두었다면 매도인의 책임은 어떻게 되나요?
매도인으로서는 클로징 이후에 이어진 기간을 자신의 구간에서 떼어 낼 논거를 갖게 됩니다. 위반행위의 기간은 개인정보 보호법 제64조의2 제4항 제2호와 시행령 별표 1의5 제2호 나목의 1차 조정에서 과징금을 키우는 요소이므로, 매수인이 발견하고도 시정하지 않아 늘어난 부분의 귀속이 다투어질 수 있습니다. 책임이 실제로 어떻게 나뉘는지는 계약이 시정 책임과 산정 방법을 어떻게 정했는지에 따라 사안마다 달라질 수 있습니다.
### 과징금 산정의 기준이 되는 매출액은 어느 해의 것인가요?
시행령 제60조의2 제1항은 위반행위가 있었던 사업연도를 기준으로, 그 사업연도 첫날 현재 사업을 개시한 지 3년 이상이면 직전 사업연도의 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액을 전체 매출액으로 정합니다. 위반 상태가 여러 해에 걸치면 어느 해를 해당사업연도로 볼지가 먼저 다투어질 수 있습니다. 여기서 위반행위와 관련이 없는 매출액은 제외되므로(법 제64조의2 제2항), 기준 매출액의 범위도 사안에 따라 달라질 수 있습니다.
## 참고 자료
- [대법원 2018. 10. 12. 선고 2017다6108 판결](https://www.law.go.kr/판례/%282017다6108%29) 손해배상(기). 환송판결은 대법원 2015. 10. 15. 선고 2012다64253 판결
- [개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행)](https://www.law.go.kr/법령/개인정보보호법) 제21조 제1항, 제27조 제3항, 제64조의2 제1항·제2항·제4항
- [개인정보 보호법 시행령(대통령령 제36340호, 2026년 5월 19일 공포·시행)](https://www.law.go.kr/법령/개인정보보호법시행령) 제60조의2 제1항·제3항
- 같은 시행령 별표 1의5 「과징금의 산정기준과 산정절차」 제2호 가목·나목
이 글은 일반적인 정보 제공을 목적으로 하며 특정 사안에 대한 법률 자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.
---
# 영국 본사와 데이터를 주고받고 있습니다 — EU와 같은 근거를 쓸 수 있나
- URL: https://datalaw.kr/posts/uk-korea-transfer-basis-gap/
- 게시 2026-07-31 · 수정 2026-08-17 · 태그: 국외이전, 개인정보보호법, 스타트업실무
- 요약: 영국에서 한국으로 보내는 것과 한국에서 영국으로 보내는 것은 근거가 다릅니다. 영국의 적정성 규정은 EU 결정과 달리 보완규정 조건도 신용정보 제외도 두지 않는 반면, 한국의 동등성 인정 대상에는 영국이 들어 있지 않습니다. EU와 영국 데이터를 같은 절차로 관리하는 회사가 어느 쪽을 놓치고 있는지 방향별로 정리했습니다.
> **핵심 요약**
> 영국과 한국 사이의 개인정보 이전은 EU와 같은 구조가 아닙니다. 영국에서 한국으로 보내는 것은 영국의 적정성 규정(SI 2022/1213)으로 열려 있고, 이 규정은 EU 결정과 달리 보완규정 준수 조건도 신용정보 제외도 두지 않습니다. 반대로 한국에서 영국으로 보낼 때는 동등성 인정을 쓸 수 없습니다. 개인정보보호위원회의 인정 대상이 EU 27개국과 EEA 3개국이고 영국은 그 어느 쪽도 아니기 때문입니다. 방향마다 근거가 다르므로 EU와 영국 데이터를 한 절차로 묶어 둔 회사는 한쪽을 과잉 준수하거나 다른 쪽을 근거 없이 보내고 있을 수 있습니다.
본사가 런던에 있고 EU에도 법인이 있는 회사의 국외이전 대장을 열어 보면, EU와 영국이 한 줄에 묶여 있는 경우가 있습니다. 근거란에는 "적정성 결정"이라고만 적혀 있습니다.
브렉시트 이후 두 제도는 갈라졌고, 한국 쪽 근거는 더 크게 갈라져 있습니다.
## 영국에서 한국으로 보낼 때는 무엇이 다른가?
영국은 2022년 12월 19일 시행된 규정으로 한국을 적정 국가로 지정했습니다(The Data Protection (Adequacy) (Republic of Korea) Regulations 2022). 대상은 "한국 개인정보 보호법의 적용을 받는 자"이고, 그 외의 조건은 붙어 있지 않습니다.
EU 결정과 나란히 놓으면 차이가 분명합니다.
| | EU → 한국 (결정 2022/254) | 영국 → 한국 (SI 2022/1213) |
|---|---|---|
| 조건 | 부속서 I의 **보완규정 준수가 조건** (제1조 제1항) | 조건 없음 |
| 제외 | 선교활동 종교단체, 후보추천 정당, **금융위 감독 개인신용정보 처리** (제1조 제2항) | 제외 없음 |
| 감독기관 | 개인정보보호위원회 | 개인정보보호위원회와 **금융위원회** |
**영국 규정에는 EU의 보완규정에 해당하는 층이 없습니다.** EU에서 받은 데이터에만 따로 붙여 두던 목적 제한·간접수집 통지 같은 의무를 영국발 데이터에도 똑같이 적용하고 있다면, 그것은 계약상 약속이지 영국법이 요구하는 것은 아닙니다.
## 한국에서 영국으로 보낼 때는?
이 방향에서 근거가 하나 줄어듭니다.
법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서 다섯 가지 예외를 둡니다. 별도 동의(제1호), 법률·조약의 특별 규정(제2호), 계약 이행에 필요한 처리위탁·보관(제3호), [인증(제4호)](/posts/overseas-transfer-certification-list/), 그리고 동등성 인정(제5호)입니다.
이 중 제5호는 영국에 쓸 수 없습니다. 공고 제2025-68호는 이전할 수 있는 상대를 "EU 일반 개인정보 보호법(GDPR)을 적용받는 EU 역내 국가 27개국 및 유럽경제지역(EEA)에 포함되는 3개국(노르웨이, 리히텐슈타인, 아이슬란드)의 컨트롤러 또는 프로세서"로 적고 있습니다. **영국은 EU 회원국도 EEA 회원국도 아닙니다.**
**즉 영국은 한 방향으로만 열려 있습니다.** 본사가 한국법인 데이터를 그룹 시스템으로 끌어가는 구조라면 그 흐름이 바로 이 방향이고, 남은 근거는 동의나 제3호의 계약 관련 예외입니다.
## 신용정보는 어느 방향으로도 적정성이 닿지 않는다
EU 결정 제1조 제2항 다목은 "신용정보법에 따라 개인신용정보를 처리하는 것과 관련하여 금융위원회의 감독을 받는 자"를 그 처리에 관한 한 범위에서 제외합니다. 반대 방향도 마찬가지입니다. 공고 제2025-68호는 "주민등록법 제7조의2에 따른 주민등록번호와 신용정보의 이용 및 보호에 관한 법률 제2조 제2호에 따른 개인신용정보의 이전에 관해서는 영향을 미치지 아니한다"고 명시합니다.
**한국과 EU 사이에서 신용정보는 양방향 모두 적정성 밖에 있습니다.** 금융·핀테크 외국계라면 여기가 실제 쟁점입니다. 영국 규정이 감독기관에 금융위원회를 함께 든 것은 이 대목에서 EU와 갈리는 지점입니다.
## 9월 11일 개정법은 어느 쪽에 먼저 반영되나?
영국 규정은 한국 개인정보 보호법을 "수시로 효력을 갖는 그대로"(as that Act forms part of the law of the Republic of Korea and has effect from time to time) 참조합니다. 개정법이 시행되면 그 개정법이 곧바로 준거가 됩니다.
EU 쪽은 다릅니다. 결정 제3조 제4항은 통보 후 3년, 그 뒤로는 최소 4년마다 집행위원회가 평가하도록 정하고 있고, 2026년 7월 23일 마무리된 첫 재검토는 그 이전의 개정까지를 대상으로 했습니다. 재검토의 내용과 예고된 변화는 [EU 적정성 결정 첫 재검토](/posts/eu-korea-adequacy-first-review/)에 정리해 두었습니다.
## 지금 확인할 것
국외이전 대장에서 EU와 영국이 한 줄에 묶여 있는지, 그리고 방향이 구분돼 있는지부터입니다. 들어오는 흐름과 나가는 흐름은 근거가 다르므로 한 줄로 관리할 수 없습니다.
처리방침의 국외이전 항목도 같이 봐야 합니다. 법 제28조의8 제2항 각 호의 다섯 가지 기재사항은 이전받는 국가와 근거를 특정하도록 돼 있어서, 대장이 뭉개져 있으면 처리방침도 뭉개집니다. 이 대장은 정보주체가 본사 서버의 데이터를 지워 달라고 요구했을 때도 그대로 쓰입니다 — [그 요구의 의무자와 기한](/posts/overseas-transfer-data-subject-rights/)은 따로 정리해 두었습니다.
이 확인이 평상시에는 서류 정리로 보이지만 사고가 나면 성격이 달라집니다. 유출 조사에서 개인정보위는 어떤 데이터가 어디로 어떤 근거로 나갔는지를 봅니다. 그때 근거란이 "적정성 결정"이라고만 적혀 있고 상대가 영국이면, 그 한 줄이 이전 자체의 적법성 문제로 넘어갑니다. 본사 절차서와 한국법이 어긋나는 다른 지점은 [본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나](/posts/global-breach-playbook-korea-gap/)에, 사고 인지 후의 시간표는 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 있습니다.
이전 근거는 본사 산출물 가운데 하나일 뿐입니다. 나머지 여덟 개가 한국법과 어디서 갈리는지는 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 정리했습니다.
## 자주 묻는 질문
### EU 적정성 결정과 영국 적정성 규정은 같은 것인가요?
다릅니다. EU 결정(2022/254)은 제1조 제1항에서 부속서 I의 보완규정 준수를 조건으로 달고, 제1조 제2항에서 선교활동을 하는 종교단체, 후보자 추천 맥락의 정당, 그리고 신용정보법에 따라 금융위원회의 감독을 받는 개인신용정보 처리를 범위에서 제외합니다. 영국 규정(SI 2022/1213)에는 그런 조건도 제외도 없고, 감독기관으로 개인정보보호위원회와 금융위원회를 나란히 들고 있습니다.
### 한국에서 영국으로 개인정보를 보낼 때 동등성 인정을 쓸 수 있나요?
쓸 수 없습니다. 공고 제2025-68호(2025년 9월 16일, 관보 제21079호)는 이전 상대를 GDPR을 적용받는 EU 역내 27개국과 EEA 3개국(노르웨이, 리히텐슈타인, 아이슬란드)의 컨트롤러 또는 프로세서로 적고 있고, 영국은 EU 회원국도 EEA 회원국도 아닙니다. 따라서 한국에서 영국으로 보낼 때는 법 제28조의8 제1항의 다른 호, 즉 별도 동의나 계약 이행에 필요한 처리위탁·보관, 인증 등을 따로 검토해야 합니다.
### 9월 11일 개정법이 적정성에 영향을 주나요?
영국 규정은 한국 개인정보 보호법을 '수시로 효력을 갖는 그대로'(as it has effect from time to time) 참조하므로 개정법이 자동으로 준거가 됩니다. EU 결정은 집행위원회가 정기적으로 평가하는 구조이고, 2026년 7월 재검토는 그 이전 개정까지를 대상으로 했습니다. 같은 개정이 한쪽에는 곧바로 들어가고 다른 쪽에는 다음 평가까지 반영되지 않는 셈입니다.
## 참고 자료
- [Commission Implementing Decision (EU) 2022/254 of 17 December 2021](https://eur-lex.europa.eu/eli/dec_impl/2022/254/oj) (대한민국 적정성 결정) 제1조 제1항·제2항, 제3조 제4항
- [The Data Protection (Adequacy) (Republic of Korea) Regulations 2022 (SI 2022/1213)](https://www.legislation.gov.uk/uksi/2022/1213) 제2조 제2항, 제3조. 근거는 Data Protection Act 2018 제17A조, 2022년 12월 19일 시행
- [개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행)](https://www.law.go.kr/법령/개인정보보호법) 제28조의8 제1항 각 호·제2항 각 호
- 개인정보보호위원회 공고 제2025-68호 「유럽연합(EU) 개인정보보호 체계 동등성 인정 공고」(2025년 9월 16일, **관보 제21079호**). 근거는 개인정보 보호법 제28조의8과 같은 법 시행령 제29조의9
- 이 글은 2026년 7월 31일 기준입니다. 개인정보보호위원회는 동등성 인정을 영국·일본 등으로 확대하는 방안을 검토하고 있다고 밝힌 바 있어, 영국이 대상에 추가되면 이 글의 두 번째 절이 바뀝니다
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일 이후 그대로 둬도 되나
- URL: https://datalaw.kr/posts/foreign-subsidiary-cpo-designation/
- 게시 2026-07-31 · 수정 2026-09-11 · 태그: 과징금제재, 개인정보보호법, 스타트업실무
- 요약: 외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 둔 구조는 지정 대상 범위에 맞지 않을 수 있습니다. 기준은 시행령 제32조 제3항 제2호입니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터 여기에 과태료가 새로 붙었습니다. 기존 지정분의 처리는 법률 부칙이 아니라 2026년 9월 10일 공포된 시행령(대통령령 제36671호)의 부칙이 답합니다 — 시행일부터 6개월 안에 신고해야 하며, 신고 기한은 입법예고안의 1개월에서 6개월로 늘었습니다. 대상의 매출 기준도 1,500억 원 이상에서 1,800억 원 초과로 올라 대상이 좁아졌습니다. 형식적으로만 둔 CPO의 대가는 2026년 KT·롯데카드 제재가 보여 줍니다. 위원회는 과징금과 별도로 'CPO의 책임과 역할을 명확히 하는 거버넌스 체계 정비'를 시정명령으로 요구했고, 롯데카드 결정문에서는 CPO가 의사결정 기록을 설명하지 못한 점을 중대성 판단에 반영했습니다.
> **핵심 요약**
> 외국계 한국법인에서 흔한 구조가 두 가지 있습니다. 본사 APAC 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 두는 것과, 그 사람이 본사 라인으로만 보고하는 것입니다. 두 구조 모두 이미 시행 중인 시행령 제32조 제3항 제2호(지정 대상은 사업주·대표자 또는 임원)와 제32조 제6항 제2호(대표자 또는 이사회에 직접 보고할 수 있는 체계)에 어긋날 수 있습니다. 2026년 9월 11일 시행되는 개정법은 여기에 세 가지 과태료를 새로 붙입니다(제75조 제2항 제14호의2·제14호의3·제14호의4, 각 3천만 원 이하). 요건이 새로 생기는 것이 아니라, 제재가 없던 요건에 제재가 붙는 것입니다. 이사회 의결·신고의 대상과 절차를 정할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐고, 대상 기준을 연간 매출액등 1,800억 원 초과 등으로, 신고 기한을 사유 발생일부터 6개월로, 시행 전에 지정한 보호책임자의 신고 기한을 시행일부터 6개월로 정했습니다. 그리고 2026년 KT·롯데카드 제재의 시정명령은 과징금과 별도로 CPO 거버넌스 체계 정비를 요구했고, 롯데카드 결정문에서 위원회는 CPO의 의사결정 기록과 실질 관여를 문답으로 직접 확인했습니다.
한국 진출 5년 차 외국계 법인의 개인정보 처리방침을 열어 보면 보호책임자 이름이 영문으로 적혀 있는 경우가 있습니다. 본사 APAC 리전의 Privacy Officer이고, 한국법인 직함은 없습니다.
지금까지 이 구조가 문제된 적이 없었다면, 그것은 적법해서가 아니라 위반에 붙는 제재가 없었기 때문일 수 있습니다.
## 본사 프라이버시 총괄을 한국 CPO로 지정해도 되나?
시행령 제32조 제3항 제2호는 공공기관 외의 개인정보처리자에 대해 지정 대상을 두 가지로 한정합니다. 가목이 사업주 또는 대표자이고, 나목이 임원입니다. 임원이 없는 경우에만 개인정보 처리 관련 업무를 담당하는 부서의 장을 지정할 수 있습니다.
여기서 말하는 임원은 지정하는 개인정보처리자, 즉 한국법인의 임원입니다. 본사 소속으로 한국법인 등기임원도 아니고 집행임원도 아닌 사람은 이 세 범주 어디에도 들어가지 않습니다.
**이 조항은 2024년 3월 12일부터 시행 중입니다.** 9월 개정을 기다릴 사안이 아니라 지금 상태를 점검할 사안입니다.
## 우리 회사도 경력 요건까지 걸리나?
직위 요건 위에 경력 요건이 한 겹 더 있습니다. 시행령 제32조 제4항은 연간 매출액등이 1,500억 원 이상이면서 민감정보나 고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리하는 개인정보처리자에게, 별표 1의 요건을 갖춘 사람을 지정하도록 합니다.
별표 1이 요구하는 것은 개인정보보호·정보보호·정보기술 경력을 합해 **4년 이상**, 그중 **개인정보보호 경력 2년 이상**입니다. 같은 기간에 두 업무가 겹치면 하나만 인정되고, 관련 학위는 박사 2년·석사 1년·학사 6개월로 환산됩니다.
한국법인 대표가 영업이나 재무 배경이고 그를 CPO로 올려 둔 회사라면, 매출과 처리 규모가 기준을 넘는 순간 이 요건을 충족하지 못하게 됩니다.
## 9월 11일부터 무엇이 더해졌나?
현행 제75조 제2항에는 제31조 위반에 대한 과태료가 하나도 없습니다. 개정법이 세 개를 신설합니다.
| 호 | 내용 |
|:-:|---|
| 제14호의2 | 보호책임자를 지정하지 않거나 **자격요건을 갖추지 않은 자를 지정** |
| 제14호의3 | 지정·변경·해제 시 **이사회 의결**을 거치지 않음 |
| 제14호의4 | 지정·변경·해제를 **보호위원회에 신고**하지 않음 |
각 3천만 원 이하이고, 세 호 모두 조문에 "제26조 제8항에 따라 준용되는 경우를 포함한다"가 붙어 있어 **업무를 위탁받아 처리하는 회사도 자기 이름으로 같은 의무를 집니다.**
이사회 의결과 신고는 개정법 제31조 제3항이 신설한 것으로, 매출액과 보유 규모 등 대통령령 기준에 해당하는 처리자에게만 적용됩니다. 그 기준은 2026년 9월 10일 공포된 시행령 제32조 제3항이 정했습니다.
같은 날 CISO 겸직의 근거 조문도 바뀝니다. 정보통신망법이 인용하던 조항이 2023년부터 업무 조항이 아니었고 개정법 부칙이 이를 바로잡는데, 그때부터 겸직 CISO의 CPO 업무에 예산 확보와 이사회 보고가 명시적으로 들어옵니다 — [CISO가 CPO를 겸할 수 있나요](/posts/ciso-cpo-concurrent-appointment/)에서 다뤘습니다.
## 시행령이 공포되면서 이 질문 둘에 답이 나왔습니다
이 글은 두 군데에서 대상 기준이 아직 없다고 적어 두었습니다. 입법예고(개인정보보호위원회 공고 제2026-59호)와 2026년 8월 31일 법제처 심사를 거쳐 **2026년 9월 10일 대통령령 제36671호로 공포**된 시행령이 그 두 지점에 답을 냈습니다. 시행일은 법률과 같은 9월 11일입니다.
첫째, 대상 목록이 하나로 합쳐집니다. 제32조 제3항에 따르면 이사회 의결·신고 의무의 대상은 별표 1의 전문 자격을 갖춘 보호책임자를 지정해야 하는 대상과 같은 목록이고, 그 금액 기준은 **연간 매출액등 1,500억 원 이상에서 1,800억 원 초과로** 오릅니다. 한국법인이 어느 쪽에 서는지 가늠하려면 매출액 기준선 하나와 처리 규모 요건(5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보)을 같이 봐야 합니다.
연간 매출액이 1,500억 원 이상 1,800억 원 이하인 법인은 지금은 전문 자격 지정 대상이지만 9월 11일부터 그 목록에서 빠집니다. 문턱을 넘는 법인은 반대로 같은 문턱에서 전문 자격 지정과 이사회 의결과 신고를 한꺼번에 지게 됩니다.
둘째, 임원의 범위에 문언이 붙습니다.
제32조 제2항 제2호 나목은 임원에 「상법」 제401조의2 제1항 제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2 제1항에 따른 집행임원을 포함한다고 적습니다. 등기임원 명부만 보고 임원이 없다고 판단해 부서장을 보호책임자로 지정해 둔 한국법인이라면 이 문언을 다시 볼 필요가 있습니다. 상법의 각 조문이 실제로 누구를 가리키는지는 이 글에서 다루지 않으며, 개정안이 그 범위를 인용하고 있다는 사실만 적어 둡니다.
하나 더 있습니다. 신고 기한은 입법예고안과 공포본이 다릅니다. 입법예고안은 신고 의무가 발생한 날부터 1개월 이내였는데, 공포된 제32조 제4항은 지정·변경·해제 **사유가 발생한 날부터 6개월 이내**에 보호위원회 고시로 정하는 신고서를 제출하도록 하고, 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부득이한 사유가 있으면 개인정보처리자의 요청에 따라 보호위원회가 **1년 범위에서 기한을 연장**할 수 있게 했습니다. 정기 이사회 주기를 감안해 늘린 것으로 보입니다. 시간이 넉넉해졌다는 뜻이지만, 뒤에서 이사회 안건 슬롯을 미리 잡아 두라고 적은 이유는 그대로입니다. 의결 없이 지정·변경하면 그 자체로 과태료 대상이고, 신고는 6개월 안에 해야 하기 때문입니다.
2026년 8월 12일 개인정보위 침해요인 평가에서 원안 동의를 받은 개정안은 마이데이터 관련 별건(공고 제2026-77호)이고, 이 개정령은 그 뒤 8월 31일 법제처 심사를 거쳐 9월 10일 공포됐습니다.
이제 이 숫자로 대상 여부를 판정할 수 있습니다. **신고서 서식**도 나왔습니다. 제32조 제4항이 서식을 보호위원회 고시에 맡겼고, 시행일인 9월 11일 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」(개인정보보호위원회고시 제2026-11호)가 제2조와 별지 서식으로 지정·변경·해제신고서를 정했습니다. 개인정보위가 9월 10일 공지한 FAQ에 따르면 신고는 개인정보 포털(www.privacy.go.kr)의 「CPO 신고」 메뉴로 하고, 보호책임자가 다른 사람으로 바뀌면 지정과 해제를 한 신고서에 함께 적습니다. 같은 FAQ는 국내대리인은 신고 대상이 아니고 국내대리인을 지정한 개인정보처리자의 CPO가 신고 대상이라고 답했습니다. 이사회 의결 기록은 신고와 별개로 남겨 두는 편이 낫습니다.
시행으로 무엇이 함께 달라졌는지는 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 날짜별로, 조문 이동은 [신구조문 대조표](/posts/pipa-2026-amendment-comparison/)에 정리해 두었습니다.
## 이미 지정해 둔 CPO도 다시 이사회 의결을 받아야 하나?
**법률 부칙에는 제31조에 관한 경과조치도 적용례도 없습니다.** 부칙 제2조는 제34조를, 제3조는 제64조의2를 다룰 뿐입니다. 문언만 놓고 보면 시행 이후의 지정·변경·해제 행위부터 의결과 신고가 걸립니다.
기존 지정 상태를 어떻게 할 것인지는 시행령 부칙 제2조가 답합니다. 시행 당시 제32조 제3항의 대상 기준에 해당하는 개인정보처리자로서 시행 전에 보호책임자를 지정한 경우, **시행일부터 6개월 이내**(2027년 3월 11일까지) 제32조 제4항의 신고서를 보호위원회에 제출해야 합니다. 부칙이 요구하는 것은 신고이고, 기존 지정에 대해 이사회 의결을 다시 거치라는 문언은 없습니다. 개인정보위가 2026년 9월 10일 공지한 FAQ도 이미 지정해 운영 중이면 이사회 의결을 추가로 거칠 필요는 없고, 시행일부터 6개월 안에 신고만 하면 된다고 답했습니다. 신고서 서식은 9월 11일 시행된 고시 제2026-11호의 별지 서식입니다.
외국계 한국법인에서 이 일정이 특히 무거운 이유는 이사회 때문입니다. 지금의 보호책임자를 그대로 두는 회사는 신고만 하면 되지만, 대상 기준을 넘는 회사가 이 기회에 지정을 바꾸거나 본사 소속 인사를 한국법인 임원으로 올리는 경우에는 그 변경이 시행 후의 변경이 되어 이사회 의결이 앞에 붙습니다. 정기 이사회가 분기 단위로 열리고 본사 승인 절차가 앞에 붙는 구조라면, 6개월은 빠듯할 수 있습니다. **지금 결정할 수 있는 것은 이사회 안건 슬롯을 미리 잡아 두는 일입니다.**
## 본사로만 보고하는 라인은 괜찮나?
시행령 제32조 제6항 제2호는 독립성 보장 조치의 하나로, 보호책임자가 보호 계획의 수립·시행과 그 결과에 관하여 **정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계**를 갖추도록 정합니다. 이 역시 현행 조항입니다.
개정법은 같은 내용을 한 단계 올려, 사업주·대표자 및 이사회에 대한 보호 현황 보고를 보호책임자의 **법정 업무**로 명시합니다(제31조 제4항 제3호). 본사 Global DPO에게만 보고하고 한국법인 대표는 사후에 공유받는 구조는 이 문언과 맞지 않습니다. 같은 항 제2호가 함께 넣은 예산 확보 업무를, 예산 편성 권한이 본사에 있는 한국법인의 보호책임자가 어떻게 이행하는지는 [본사가 예산을 쥔 한국법인의 CPO](/posts/cpo-budget-duty-parent-funded-subsidiary/)에서 다뤘습니다.
이 항목들이 실제로 문제되는 자리는 평상시가 아니라 사고 조사입니다. 유출 사고가 나면 개인정보위는 안전조치 이행 여부와 함께 보호 체계 전반을 봅니다. 그때 보호책임자가 누구였고 어떤 권한과 보고 라인을 가졌는지가 기록으로 남아 있어야 합니다. 2026년 KT·롯데카드 제재에서 위원회가 시정명령으로 무엇을 요구했고 조사 국면에서 CPO에게 무엇을 물었는지는 아래 절에서 다룹니다. 본사 플레이북과 한국법이 어긋나는 다른 지점들은 [본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나](/posts/global-breach-playbook-korea-gap/)에, 사고 인지 후의 시간표는 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리해 두었습니다. 9월 개정의 조문별 변화는 [신구조문 대조표](/posts/pipa-2026-amendment-comparison/)에서 볼 수 있습니다.
CPO 지정은 본사 구조가 한국법과 부딪히는 여러 지점 중 하나입니다. 국내대리인 지정과 수탁자 공개를 포함한 아홉 개의 지도는 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 있습니다.
## CPO를 형식적으로 두면 어떻게 되나 — 시정명령에 들어가기 시작한 'CPO 거버넌스 정비'
지금까지의 요건은 과태료 3천만 원짜리 문제로 보일 수 있습니다. 그런데 2026년의 두 제재는 형식적인 CPO의 대가가 과태료에서 끝나지 않는다는 것을 보여 줍니다. 과징금은 납부하면 절차가 끝나지만, 시정명령은 KT의 경우 3개월, 롯데카드의 경우 90일 안에 이행 결과를 위원회에 제출해야 합니다. 그리고 이 두 건의 시정명령에는 공통된 요구가 들어 있습니다. CPO 거버넌스 체계를 정비하라는 것입니다.
KT 건은 결정문이 아직 공개되지 않아, 개인정보위의 2026년 7월 30일 보도자료를 기준으로 적습니다. 위원회는 7월 29일 안전조치의무 위반(펨토셀 경유 16,647명 유출, 소액결제 약 2.4억 원 피해)으로 과징금 539억 7,900만 원을 의결하면서, 무선통신망 장비 취약점 점검·접근통제 강화와 함께 "회사 전반의 개인정보 처리 업무에 대해 CPO의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것"을 명령했습니다. 일부 IT서비스에 한정돼 있던 ISMS-P 인증 범위를 이동통신 네트워크 시스템까지 확대하라는 개선권고도 붙었습니다.
롯데카드 건은 공개 결정문(2026년 3월 11일 의결, 사건번호 2025조일0053-01)이 있습니다. 위원회는 주민등록번호 처리 제한 위반(로그파일 평문 기록, 45만 명 유출)으로 과징금 96억 2,000만 원을 부과하면서, "보호법 준수 전반에 대한 CPO의 책임성과 독립성을 강화하는 등 개인정보 보호 거버넌스 체계를 정비할 것"과 개인정보 처리 관련 내부 검토·의사결정의 체계적 관리 및 준법통제를 시정명령으로 요구했습니다.
| | KT (보도자료 기준) | 롯데카드 (공개 결정문) |
|---|---|---|
| 과징금 | 539억 7,900만 원 | 96억 2,000만 원 |
| CPO 관련 시정명령 | 책임과 역할을 명확히 하는 등 거버넌스 정비 | 책임성과 독립성을 강화하는 등 거버넌스 정비 |
| 이행 기한 | 3개월 내 대책 수립·보고 | 90일 이내 이행결과 제출 |
조사에서 위원회가 CPO의 무엇을 보는지는 롯데카드 결정문의 각주에 기록돼 있습니다. 조사관은 CPO와 개발 담당자를 상대로 문답을 진행했고, 두 사람은 문제된 로그 정책과 관련한 의사결정 기록이나 검토 이력을 일체 확인할 수 없다고 진술했습니다. 결정문은 "개인정보 처리와 관련한 이력·검토내역 등이 관리되지 않는 등 관련 준법 감시·통제가 미흡한 점"을 '매우 중대한 위반행위' 판단의 고려 요소로 명시했습니다.
CPO의 진술은 위법성 판단에도 쓰였습니다. 약 15년간 개인정보·정보보호 업무를 수행한 CPO가 이전에 근무한 유사·동종 기업들에서 이런 처리 방식을 본 적이 없다고 진술했고, 위원회는 이를 "일반적 관행이 아니다"라는 판단의 근거로 인용했습니다. 과징금 고시도 위반행위의 방법을 판단할 때 CPO 등 보호 조직, 조직적 위반 여부, 대표자·임원의 책임과 관여를 종합 고려한다고 정하고 있습니다. CPO가 답할 수 없는 처리 관행은 그 존재 자체가 감점 요소가 됩니다.
이 글의 질문으로 돌아오면, 본사 라인으로만 보고하는 한국법인 CPO 구조가 사고 국면에서 맞닥뜨리는 것은 "한국법인에서 누가 조사관의 문답에 답하나"라는 문제입니다. 시정명령이 개별 처분으로 요구하던 책임성과 독립성은 9월 11일부터 개정 제31조의 일반 의무(이사회 의결·신고, 이사회 보고, 독립성 보장)가 됩니다. 위원회가 실제로 부과한 과징금·과태료·시정명령은 [개인정보위 제재 결정문 전수 DB](/sanctions/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다.
## 자주 묻는 질문
### 본사 프라이버시 총괄을 한국법인 CPO로 지정해도 되나요?
그 사람이 한국법인의 사업주·대표자이거나 임원이어야 합니다. 시행령 제32조 제3항 제2호는 공공기관 외의 개인정보처리자가 개인정보 보호책임자를 지정할 때 사업주 또는 대표자, 아니면 임원 중에서 지정하도록 하고, 임원이 없는 경우에만 개인정보 처리 관련 업무를 담당하는 부서의 장을 지정할 수 있게 합니다. 한국법인의 임원이 아닌 본사 직원은 이 범위에 들어가지 않습니다.
### 경력 요건은 어떤 회사에 걸리나요?
2026년 9월 10일까지는 시행령 제32조 제4항, 9월 11일부터는 개정 시행령(대통령령 제36671호) 제32조 제3항이 정한 기준에 해당할 때입니다. 민간 기업의 금액 기준은 연간 매출액등 1,500억 원 이상에서 **1,800억 원 초과로** 오르고, 여기에 민감정보 또는 고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리한다는 요건이 함께 걸립니다. 이때는 별표 1에 따라 개인정보보호·정보보호·정보기술 경력을 합해 4년 이상, 그중 개인정보보호 경력을 2년 이상 가진 사람을 지정해야 합니다. 개정 시행령은 같은 목록을 이사회 의결·신고 대상으로도 삼습니다. 금액 문턱이 오르므로 매출이 1,500억 원대인 법인은 9월 11일부터 이 목록에서 빠집니다.
### 이미 지정해 둔 CPO도 9월 11일에 맞춰 다시 이사회 의결을 받아야 하나요?
법률 부칙에는 제31조에 관한 경과조치나 적용례가 없습니다. 대신 2026년 9월 10일 공포된 시행령(대통령령 제36671호) 부칙 제2조가 답합니다. 시행 당시 대상 기준에 해당하는 개인정보처리자가 시행 전에 지정해 둔 보호책임자는 시행일부터 6개월 이내, 즉 2027년 3월 11일까지 보호위원회에 신고해야 합니다. 부칙이 요구하는 것은 신고이고, 기존 지정에 대해 이사회 의결을 다시 거치라는 문언은 없습니다. 다만 신고서 서식을 정할 보호위원회 고시는 2026년 9월 10일 현재 나오지 않았습니다.
### 유출 사고 조사에 대비해 CPO 관점에서 지금 무엇을 준비해야 하나요?
롯데카드 결정문에서 위원회는 CPO 문답을 통해 문제된 처리 방식에 관한 의사결정 기록과 검토 이력을 확인하려 했고, 그것이 전혀 없다는 점을 '준법 감시·통제 미흡'으로 중대성 판단에 반영했습니다. 개인정보 처리와 관련한 내부 검토·의사결정을 기록으로 남기고, CPO가 그 이력을 확인하고 설명할 수 있는 체계를 갖추는 것이 출발점입니다.
개인정보 보호책임자 지정 외에 같은 날 함께 걸린 의무들은 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 날짜별로 묶여 있습니다.
## 참고 자료
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제31조 제1항·제2항·제9항, 제75조 제2항
- [개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포, 2026년 9월 11일 시행)](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) 제31조 제3항·제4항·제10항, 제75조 제2항 제14호의2·제14호의3·제14호의4, 부칙 제1조부터 제4조까지
- [개인정보 보호법 시행령(현행, 대통령령 제36121호)](https://www.law.go.kr/법령/개인정보보호법시행령) 제32조 제1항·제3항·제4항·제6항
- [개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 10. 공포, 2026. 9. 11. 시행)](https://www.law.go.kr/법령/개인정보보호법시행령) 제32조 제2항·제3항·제4항, 제62조 제3항 제8호의2, 부칙 제1조·제2조
- 개인정보 보호법 시행령 별표 1 「개인정보 보호책임자의 자격(제32조제4항 관련)」(2024년 3월 12일 신설)
- [개인정보 보호법 시행령 일부개정령안 입법예고(개인정보보호위원회 공고 제2026-59호, 2026. 6. 2. ~ 7. 13.)](https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=86980&lawCd=0&lawType=TYPE5&mid=a10104010000) — 법제처 입법예고. 첨부된 법령안 전문에서 제32조의 개정 문언을 확인했습니다
- [개인정보 보호법 시행령 일부개정령안 — 정부입법현황](https://opinion.lawmaking.go.kr/lmSts/govLm/2000000327582/detailRP) — 국민참여입법센터. 입법예고안·법제처 심사본과 공포본의 제32조 제2항부터 제4항까지, 부칙 제2조를 대조했습니다
- 개인정보보호위원회 제2소위원회 의결 제2026-215-321호(2026. 8. 12.) 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건 — 개인정보위 위원회 결정문. 주문은 개인정보보호위원회공고 제2026-77호 개정안에 대한 원안 동의입니다
- 개인정보보호위원회 공고 제2026-77호(2026. 6. 30. 관보 게재) 「개인정보 보호법 시행령」 일부개정령안 입법예고 — 제3자 전송요구 대상 분야를 고용·교육으로 확대하는 등 마이데이터 관련 개정안입니다. 위 의결의 대상이며, 공고 제2026-59호 개정안과는 별건입니다
- 개인정보 보호법 시행령 제30조의8(개인정보 보호책임자의 업무 수행 보장 등)
- [개인정보보호위원회 보도자료](https://www.pipc.go.kr) 「KT 침해사고 관련 제재」(2026. 7. 30.) — 결정문 미공개로 보도자료를 근거로 서술했습니다
- 개인정보보호위원회 의결(2026. 3. 11., 사건번호 2025조일0053-01) — 롯데카드, 과징금 96억 2,000만 원·시정명령. 결정문 전문 기준
- 이 글의 시행령 관련 서술은 2026년 9월 10일 공포된 대통령령 제36671호 기준입니다. 보호책임자 신고서 서식은 2026년 9월 11일 시행된 개인정보보호위원회고시 제2026-11호(전자관보 게재본)와 개인정보위 공지 「개인정보 보호책임자 지정 신고 관련 주요 FAQ」(2026. 9. 10.)로 확인했습니다
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 퇴사자가 고객 데이터를 가지고 나갔습니다 — 우리는 피해자인데 왜 신고 의무자인가
- URL: https://datalaw.kr/posts/employee-data-exfiltration-dual-duty/
- 게시 2026-07-31 · 수정 2026-09-11 · 태그: 유출대응, 개인정보보호법
- 요약: 퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 영업비밀 침해의 원고이면서 동시에 개인정보 유출의 통지 의무자입니다. 안전조치를 소홀히 했다면 과징금 대상이기도 합니다. 개인정보보호위원회는 실제로 이런 사안에서 안전조치 위반은 아니라고 보면서도 통지 지연에는 시정조치를 명했습니다(제2026-213-267호). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리는 지점을 조문 단위로 정리했습니다.
> **핵심 요약**
> 퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 세 가지 지위를 동시에 갖습니다. 영업비밀 침해를 다투는 원고이면서, 개인정보 보호법 제34조 제1항의 통지 의무자이고, 안전조치를 소홀히 했다면 과징금 대상입니다(법 제64조의2 제1항 제9호). 실제로 개인정보보호위원회는 퇴사 직원이 하드디스크를 가지고 나간 사안에서 안전조치 위반은 아니라고 보면서도, 72시간을 넘긴 통지 지연에 대해서는 시정조치를 명했습니다(제2026-213-267호, 2026. 7. 8. 의결). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리므로, 서면을 쓰기 전에 통지 범위부터 확정하는 편이 안전합니다.
영업팀장이 퇴사하고 두 달 뒤 주요 거래처 몇 곳이 한꺼번에 계약을 종료합니다. 로그를 열어 보니 퇴사 직전 주에 CRM에서 거래처 담당자 명단이 통째로 내려받아져 있습니다.
이때 회의실에서 나오는 말은 대체로 비슷합니다. 가처분을 걸자, 형사고소를 하자, 경쟁사에도 책임을 묻자.
빠지는 것이 하나 있습니다. 그 명단에 이름이 적힌 사람들에 대해 우리 회사가 지는 의무입니다.
## 내부자가 권한으로 내려받아 나간 것도 '유출'인가?
법 제34조 제1항은 개인정보가 분실·도난·유출되었음을 알게 되었을 때 지체 없이 정보주체에게 알리도록 정하고, 시행령 제39조 제1항은 그 기한을 72시간으로 못 박았습니다.
권한이 있는 직원이 정상 계정으로 내려받았다는 사정은 방어 논리가 되기 어렵습니다. 회사가 그 개인정보를 더는 통제하지 못하게 됐다는 점에서 외부 침입과 다르지 않기 때문입니다.
## 신고는 안 해도 되는데 통지는 해야 하는 경우
신고 의무에는 요건이 붙어 있습니다. 시행령 제40조 제1항은 1천 명 이상, 민감정보 또는 고유식별정보, 그리고 개인정보처리시스템에 대한 외부로부터의 불법적인 접근 셋 중 하나에 해당할 때 72시간 내 신고하도록 정합니다.
세 번째 요건이 이 사안의 갈림길입니다. 문언이 '외부로부터의' 불법적인 접근이므로, 권한을 가진 재직 직원이 자기 계정으로 내려받은 경우는 이 호에 그대로 들어맞지 않습니다.
그래서 담당자 400명 규모의 명단이고 민감정보가 섞이지 않았다면 신고 대상이 아닐 수 있습니다. 그러나 통지에는 이런 요건이 없습니다. 규모와 무관하게 걸립니다.
## 실제로 이렇게 처분된 사례가 있나?
개인정보보호위원회 제2소위원회가 2026년 7월 8일 의결한 세 건 중 하나가 이 구조를 그대로 보여줍니다(제2026-213-267호). 나머지 두 건은 [끝난 위탁계약에 남아 있던 데이터](/posts/vendor-data-after-contract-ends/)에서 다뤘습니다.
2024년 1월 직원이 대표와 갈등을 빚고 퇴사하면서 업무용 PC의 하드디스크와 종전 홈페이지 관리자 계정을 가지고 나간 사안입니다. 회원 약 2,000건의 성명, 연락처, 이메일, 주소가 들어 있었고, 회사는 하드디스크를 도난당해 정확한 항목과 규모를 확인할 수 없다고 소명했습니다.
안전조치 쪽에서는 회사의 사정이 받아들여졌습니다. 위원회는 정당한 권한을 가진 직원의 고의에 의한 개인정보 탈취인 점을 고려할 때 법 제29조 위반으로 처분할 만한 위반행위는 아니라고 판단했습니다.
그런데도 처분은 나왔습니다. 회사는 1월 29일 사고를 인지하고 다음 날 신고는 했지만, 기존 홈페이지에 접속할 수 없어 회원 연락처를 확인하지 못한 채 3월 1일에야 도난 공지를 올렸습니다. 위원회는 정당한 사유 없이 72시간을 넘겨 통지한 것으로 보고 법 제64조 제1항에 따라 사고 대응 체계를 마련하라는 시정조치를 명했습니다.
**피해자라는 사정은 안전조치 축에서는 항변이 됐지만 통지 축에서는 되지 않았습니다.** 신고를 제때 한 것도 통지 지연을 덮지 못했습니다. 연락처를 모르면 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있고(시행령 제39조 제3항), 항목과 규모를 확인하지 못했더라도 확인된 내용을 우선 통지한 뒤 나머지를 알리도록 정하고 있습니다(같은 조 제2항). 모르는 것이 있다는 사정은 통지를 미룰 근거가 아니라 통지 방식을 바꿀 근거입니다.
## 소송에서 하는 주장이 조사에서 그대로 쓰인다
영업비밀로 보호받으려면 그 정보가 비밀로 관리되고 있었어야 합니다(부정경쟁방지 및 영업비밀보호에 관한 법률 제2조 제2호). 과징금 쪽에도 닮은 문장이 있습니다. 안전성 확보에 필요한 조치를 다한 경우에는 과징금을 부과하지 않는다는 단서입니다(법 제64조의2 제1항 제9호 단서, 제29조).
두 요건이 같은 사실을 묻습니다. 접근권한을 누구에게 얼마나 주었는지, 대량 내려받기를 통제했는지, 접속기록을 남겼는지.
정렬돼 있다는 것은 유리할 수도 불리할 수도 있다는 뜻입니다. 관리 체계를 갖췄다면 소송과 조사 양쪽에서 같은 자료가 쓰입니다. 반대로 누구나 전체를 열람할 수 있었다고 인정하면 영업비밀성이 부정되면서 안전조치 항변도 함께 무너집니다.
손해액 주장에도 같은 구조가 있습니다. 침해자가 얻은 이익을 손해액으로 추정받으려면(같은 법 제14조의2 제2항) 반출 규모와 사용 사실을 크게 주장하게 되는데, 그 숫자는 통지 대상 범위와 과징금 고려 요소인 유출 규모에도 그대로 들어갑니다(법 제64조의2 제4항 제5호).
## 데이터를 받은 경쟁사에는 무엇을 물을 수 있나
퇴사자 본인은 비밀유지의무가 있는 자가 부정한 이익을 얻거나 보유자에게 손해를 입힐 목적으로 영업비밀을 사용·공개한 경우에 해당할 수 있습니다(같은 법 제2조 제3호 라목). 사정을 알면서 취득한 쪽은 마목입니다. 금지청구(제10조)와 손해배상(제11조)이 가능하고, 고의가 인정되면 손해로 인정된 금액의 5배까지 배상액을 정할 수 있습니다(제14조의2 제6항).
개인정보 보호법에도 별도의 트랙이 있습니다. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위는 금지되고(제59조 제2호), 위반하면 5년 이하 징역 또는 5천만원 이하 벌금입니다(제71조 제9호).
같은 호의 뒷부분을 눈여겨볼 필요가 있습니다. 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자도 함께 처벌 대상으로 적혀 있습니다.
주의할 조문이 하나 있습니다. 데이터 부정사용을 정한 제2조 제1호 카목은 영업비밀을 명시적으로 제외하고, 대상 데이터를 업으로서 특정인 또는 특정 다수에게 제공되는 것으로 한정합니다. 사내에서만 쓰던 고객 명단은 이 정의에 들어가지 않는 경우가 많습니다.
## 이 판단이 나중에 어떻게 쓰이나
반출을 인지한 날짜는 지워지지 않습니다. 포렌식 업체에 견적을 요청한 메일, 사내 보고 결재, 감사 착수 기록이 모두 제34조 제1항의 '알게 되었을 때'를 가리키는 자료가 됩니다.
가처분 신청서에 반출 건수를 적는 순간 그 서면은 유출 규모에 관한 회사 스스로의 진술이 됩니다. 나중에 통지문에 적은 숫자와 어긋나면 그 불일치가 조사에서 질문거리가 됩니다.
순서를 바꾸면 대부분 정리됩니다. 통지 대상과 범위를 먼저 확정하고 그 숫자를 전제로 소송 서면을 쓰는 것입니다. 유출 인지 후 72시간의 전체 절차는 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에, 사고 원인이 해킹이 아니라 내부에 있을 때의 처분 구조는 [업무 과실 유출도 개인정보 과징금 대상이 되는 이유](/posts/human-error-breach-sanctions/)에 정리해 두었습니다.
**선례 확인** — 안전조치의무(보호법 제29조) 위반으로 실제 부과된 처분은 [안전조치의무 위반 과징금·과태료 사례](/sanctions/article-29/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다. 그 조문이 **무슨 행위에서** 인정됐는지는 결정문 「위법성 판단」 절의 표제를 그대로 모은 [위반행위 층](/violations/)에서 유형별로 볼 수 있습니다 — 퇴사자 반출처럼 회사가 피해자인 국면이 어느 표제로 적혔는지가 여기서 확인됩니다(과징금 부과 건 기준).
## 자주 묻는 질문
### 퇴사자가 복사만 해 갔고 원본은 사내에 그대로 있습니다. 이것도 유출인가요?
원본이 남아 있는지는 판단 기준이 아닙니다. 통제를 벗어난 사본이 존재하는 순간부터 개인정보처리자가 그 개인정보를 더는 통제하지 못하는 상태가 되기 때문입니다. 2026년 9월 11일 시행된 개정법은 '유출등'의 범위에 위조·변조·훼손을 더해(법률 제21445호 제23조 제2항) 판단 대상을 오히려 넓혔습니다.
### 신고 대상이 아니라는 결론이 나오면 정보주체 통지도 생략할 수 있나요?
생략할 수 없습니다. 신고는 시행령 제40조 제1항 각 호의 요건에 걸리지만, 통지는 법 제34조 제1항이 규모나 유형을 따지지 않고 모든 유출등에 지우는 의무입니다. 신고 대상이 아니라는 판단을 통지 면제로 옮겨 읽는 것이 이 국면에서 가장 자주 나오는 오해입니다.
### 거래처 담당자 명단인데 개인정보 통지가 필요한가요? B2B 거래라 회사 정보 아닌가요?
법인의 상호나 사업자등록번호는 개인정보가 아닙니다. 그러나 담당자의 성명, 직위, 휴대전화번호, 이메일 주소는 살아 있는 개인에 관한 정보로서 개인정보에 해당합니다(법 제2조 제1호 가목·나목). 반출된 파일이 회사 목록이 아니라 사람 목록이라면 개인정보 보호법이 함께 적용됩니다.
내부자에 의한 유출이라도 통지·신고 이후의 절차는 다르지 않습니다. 인지 이후 어느 단계에서 무엇이 걸리는지는 [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](/guides/data-breach-response/)에서 볼 수 있습니다.
## 참고 자료
- 개인정보보호위원회 제2소위원회 의결 제2026-213-267호(2026년 7월 8일). 처분 당시 적용 법령은 개인정보 보호법(법률 제19234호, 2023년 9월 15일 시행)입니다
- [개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행)](https://www.law.go.kr/법령/개인정보보호법) 제2조 제1호, 제29조, 제34조, 제59조, 제64조, 제64조의2, 제71조
- 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제23조 제2항
- [개인정보 보호법 시행령(대통령령 제36340호)](https://www.law.go.kr/법령/개인정보보호법시행령) 제39조 제1항·제2항·제3항, 제40조
- [부정경쟁방지 및 영업비밀보호에 관한 법률(법률 제21065호, 2026년 5월 28일 시행)](https://www.law.go.kr/법령/부정경쟁방지및영업비밀보호에관한법률) 제2조 제1호 카목, 제2조 제2호·제3호, 제10조, 제11조, 제14조의2
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가
- URL: https://datalaw.kr/posts/vendor-data-after-contract-ends/
- 게시 2026-07-31 · 수정 2026-08-16 · 태그: 유출대응, 위탁수탁, 과징금제재, 개인정보보호법
- 요약: 삭제하기로 합의하고도 파기하지 않은 수탁사가 과태료 420만 원과 1년간의 공표 처분을 받았습니다. 그 데이터가 1년 반 뒤 검색엔진에 노출된 사건입니다. 처분은 발주사가 아니라 수탁사에게 왔습니다. 법 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.
> **핵심 요약**
> 계약을 해지하면서 기한을 정해 삭제하기로 합의하고도 파기하지 않은 수탁사가, 그 데이터가 검색엔진에 노출되자 과태료 420만 원과 1년간의 공표 처분을 받았습니다(개인정보보호위원회 2026년 7월 8일 의결). 처분은 발주사가 아니라 수탁사에게 왔습니다. 끝난 계약에 남은 데이터를 누가 무엇으로 책임지는지 조문 단위로 정리했습니다.
수탁사는 2021년 8월 20일 발주사와 홈페이지 구축 및 유지보수 계약을 맺었고, 발주사는 2022년 1월 3일 이를 해지했습니다. 양사는 구축한 홈페이지와 제공·연계 자료, 회원정보 등을 같은 달 5일까지 삭제·폐기하기로 합의했습니다.
그러나 수탁사는 구축 당시의 웹페이지와 자료를 파기하지 않고 그대로 두었습니다. 2023년 7월 웹호스팅 업체가 제공하는 도메인 주소가 검색엔진에 노출됐고, 시험 응시생 정보를 조회하는 페이지로 확인됐습니다.
회원 약 300명의 성명, 휴대폰번호, 이메일에 유출 가능성이 있었고 침해 신고내역으로 유출이 확인된 사람은 4명이었습니다. 발주사가 2023년 8월 10일 유출을 신고했고, 개인정보위 조사는 2024년 2월부터 10월까지 이어졌습니다.
## 과태료를 낸 것은 발주사인가, 수탁사인가?
과태료 합계 420만 원과 1년간의 공표는 수탁사에 부과됐습니다. 실무에서는 위탁하면 1차 책임이 위탁사에 있다고 알려져 있지만, 조문은 그렇게 돼 있지 않습니다.
법 제26조 제8항은 제21조(파기), 제29조(안전조치), 제34조(통지·신고)를 수탁자에게 준용하면서 개인정보처리자를 수탁자로 본다고 정합니다. 과태료 조항인 법 제75조 제2항도 제4호, 제5호, 제17호, 제18호에서 제26조 제8항에 따라 준용되는 경우를 포함한다고 문언으로 적고 있습니다.
수탁사는 위탁사를 거치지 않고 직접 과태료 수범자가 됩니다. 그렇다고 위탁사가 빠지는 것도 아닙니다. 위탁사는 제26조 제4항의 교육·감독 의무를 그대로 지므로, [수탁사 사고에서 위탁사가 어디까지 책임지는지](/posts/processor-breach-consignor-liability/)는 별개의 전선으로 남습니다.
## 계약서에 종료 시 파기 조항을 넣어 두면 되는 것 아닌가?
두 가지를 나눠 볼 필요가 있습니다. 법 제26조 제1항이 정한 세 개 호에도, 그 제3호가 위임한 시행령 제28조 제1항의 다섯 개 호에도 위탁 종료 시 반환·파기는 들어 있지 않습니다. 계약서에 넣는 것은 실무 권고이지 법정 필수 기재사항이 아닙니다.
그런데도 파기 의무 자체는 존재합니다. 법 제21조 제1항이 처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없는 파기를 요구하고, 제26조 제8항이 이를 수탁자에게 준용하기 때문입니다.
**계약서에 쓰지 않아도 의무는 있고, 계약서에 써도 파기가 확인되지 않으면 이행된 것이 아닙니다.** 이 사안에서는 계약서를 넘어 별도 합의로 기한까지 정했는데도 데이터가 남았습니다.
## 파기하지 않은 것 자체로 처분받았나?
그렇지 않습니다. 이 의결에서 인정된 위반은 제29조의 안전조치 의무와 제34조 제1항·제3항의 통지·신고 의무였습니다. 서버에 대한 불법적인 접근을 막는 침입탐지·차단시스템을 두지 않았고 관리자 페이지 접근통제가 소홀했다는 것, 그리고 인지 후 당시 기한 내에 신고·통지하지 않았다는 것입니다.
남아 있던 데이터가 노출되는 순간 수탁사는 안전조치 의무와 통지·신고 의무의 수범자가 됐습니다. 끝난 프로젝트의 데이터가 위험한 이유는 그것이 어딘가 조용히 있어서가 아니라, 관리 대상 목록에서 빠진 채로 살아 있기 때문입니다.
시행령 제16조 제1항 제1호는 전자적 파일을 복원이 불가능한 방법으로 영구 삭제하도록 정합니다. 서버에서 화면만 내리고 파일이 남아 있는 상태는 이 기준을 만족하지 않습니다.
## 규모가 작으면 넘어가나?
같은 날 같은 소위원회에서 의결된 세 건은 규모가 서로 달랐습니다. 유출이 확인된 사람이 4명인 건, 22명인 건, 그리고 규모를 확정하지 못한 약 2,000건인 건입니다. 세 건 모두 제34조 제1항의 통지 지연이 인정됐습니다.
22명이 유출된 사안(제2026-213-268호)에서는 접근권한을 최소한의 범위로 차등 부여하지 않은 점과 접속기록을 1년 이상 보존하지 않은 점 등이 함께 인정돼 과태료 900만 원과 시정명령이 내려졌습니다.
눈여겨볼 것은 세 번째 사안(제2026-213-267호)입니다. 퇴사하는 직원이 PC 하드디스크와 종전 홈페이지 관리자 계정을 탈취한 건인데, 개인정보위는 정당한 권한을 가진 직원의 고의에 의한 탈취인 점을 고려할 때 제29조 위반으로 처분할 만한 위반행위는 아니라고 판단했습니다. 그러면서도 유출을 인지하고 72시간을 넘겨 통지한 데 대해서는 법 제64조 제1항에 따라 시정조치를 명했습니다. 이 사안의 구조는 [퇴사자가 고객 데이터를 가지고 나갔을 때 회사가 지는 통지 의무](/posts/employee-data-exfiltration-dual-duty/)에서 따로 다뤘습니다.
**사고의 원인에서 벗어나더라도 통지 의무는 남습니다.** [유출을 인지한 뒤 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)이 원인 규명과 별개의 시계로 돌아가는 이유입니다.
## 지금 무엇을 확인해야 하나?
위탁사 쪽에서는 종료된 위탁계약이 몇 건이고 각 건에 파기 확인 증적이 남아 있는지입니다. 파기를 요구한 기록과 확인한 기록은 사고 뒤 제26조 제4항의 감독 의무 이행을 다투는 자료가 됩니다. 먼저 배상한 뒤 [수탁사에 구상할 때 금액이 무엇으로 갈리는지](/posts/processor-indemnity-recourse-ratio/)에도 이 기록이 영향을 줍니다.
수탁사 쪽에서는 끝난 프로젝트의 테스트 서버, 호스팅 계정, 백업본입니다. 처분은 자기 이름으로 오고, 공표는 1년간 남아 거래처가 볼 수 있는 자리에 놓입니다. 서버가 아니라 물리적 장비가 고객 사업장에 남아 있는 구조라면 책임 구도가 또 달라지는데, 이는 [우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가](/posts/who-controls-devices-at-customer-sites/)에서 다뤘습니다.
이 사안은 통지·신고 기한이 개인정보처리자 기준 5일이던 시기의 것입니다. 현행 기준으로는 통지가 시행령 제39조 제1항의 72시간이고, 신고는 1천 명 이상, 민감정보 또는 고유식별정보, 외부로부터의 불법적인 접근이라는 시행령 제40조 제1항의 세 요건 중 하나에 해당할 때 72시간입니다. 외부 침입이 없는 소규모 노출이 신고 요건에 걸리는지는 경로에 따라 다툼의 여지가 있으나, 통지 의무는 규모 요건 없이 남습니다.
**선례 확인** — 처리 위탁(보호법 제26조) 관련 위반으로 실제 부과된 처분은 [개인정보 처리 위탁 위반 제재 사례](/sanctions/article-26/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### 계약서에 파기 조항을 넣어 두었는데도 위탁사가 책임을 지나요?
조항만으로는 부족합니다. 위탁자는 법 제26조 제4항에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독할 의무를 집니다. 조항을 넣었다는 사실이 아니라 파기를 요구하고 확인한 기록이 그 의무의 이행 여부를 가르는데, 이 사안에서도 기한을 정한 합의는 있었지만 실제 파기로 이어지지는 않았습니다.
### 발주사가 삭제를 요청하지 않았는데도 수탁사가 파기해야 하나요?
요청이 없어도 의무는 성립합니다. 법 제21조 제1항은 처리 목적이 달성되는 등 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 정하고 있고, 법 제26조 제8항이 이 조항을 수탁자에게 준용합니다. 위반하면 법 제75조 제2항 제4호의 과태료 대상이 되는데, 이 호는 제26조 제8항에 따라 준용되는 경우를 포함한다고 문언으로 적고 있습니다.
### 유출 확인이 4명뿐인데도 통지와 신고를 해야 하나요?
통지는 규모와 무관합니다. 법 제34조 제1항과 시행령 제39조 제1항은 유출을 알게 된 때부터 72시간 이내에 정보주체에게 알리도록 하면서 인원 요건을 두지 않습니다. 신고는 요건이 달라서, 시행령 제40조 제1항이 정한 1천 명 이상, 민감정보 또는 고유식별정보, 외부로부터의 불법적인 접근 중 하나에 해당해야 하므로 유출 경로에 따라 판단이 갈릴 수 있습니다.
계약 종료 국면 말고도 위탁 관계에서 책임이 갈리는 지점들은 [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)에 모여 있습니다.
## 참고 자료
- 개인정보보호위원회 제2소위원회 의결 제2026-213-269호(2026년 7월 8일, 주 사례), 제2026-213-267호, 제2026-213-268호(각 2026년 7월 8일) — [위원회 결정문 게시판](https://www.pipc.go.kr/np/default/agenda.do?mCode=E030010000)
- [개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행)](https://www.law.go.kr/법령/개인정보보호법) 제21조 제1항·제2항, 제26조 제1항·제4항·제8항, 제29조, 제34조 제1항·제3항, 제64조 제1항, 제66조 제1항, 제75조 제2항 제4호·제5호·제17호·제18호
- [개인정보 보호법 시행령(대통령령 제36340호)](https://www.law.go.kr/법령/개인정보보호법시행령) 제16조 제1항, 제28조 제1항, 제39조 제1항, 제40조 제1항
- 주 사례의 처분에는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)이 적용됐고, 당시 유출 신고·통지 기한은 개인정보처리자 기준 5일이었습니다
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 진술보증 위반의 손해배상액은 어떻게 산정하나 — 계약에 조항이 있을 때와 없을 때
- URL: https://datalaw.kr/posts/reps-warranties-damage-calculation/
- 게시 2026-07-30 · 수정 2026-09-10 · 태그: 기업인수, 과징금제재, 개인정보보호법
- 요약: 매도인에게 물을 수 있다는 것과 얼마를 받느냐는 다른 문제입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 정리한 산정의 두 층(산정 조항이 있으면 그에 따르고, 없으면 주식가치 감소분 또는 매매대금 차액)과, 그 사건에서 손해가 확정되기까지 걸린 시간을 따라가며 개인정보 항목의 산정이 왜 더 어려운지 정리했습니다.
> **핵심 요약**: 진술보증 위반의 손해배상액 산정은 두 층으로 정리되어 있습니다(대법원 2018. 10. 12. 선고 2017다6108 판결). 계약에 손해배상의 범위와 금액을 산정하는 방법을 정한 조항이 있으면 이를 배제하거나 제한할 사정이 없는 한 그에 따르고, 없으면 매수인이 소유한 대상회사의 주식가치 감소분 또는 실제 지급한 매매대금과 위반을 반영했을 경우 지급했을 매매대금의 차액을 산정하는 등의 방법으로 정합니다. 그 사건에서는 "손해가 발생한 경우 현금으로 배상한다"는 문구가 산정 방법을 정한 조항으로 해석되어, 기업지배권 이전 시점 이전의 사유로 발생한 대상회사의 우발채무 금액이 곧 매수인의 손해로 인정됐습니다. 개인정보 항목은 손해가 처분과 배상 절차를 거쳐 클로징보다 한참 뒤에 확정되기 때문에, 이 산정 문제가 정면으로 걸립니다.
[매도인에게 물을 수 있는가](/posts/ma-reps-warranties-privacy-claims/)까지 확인한 매수인 법무팀의 다음 질문은 하나입니다. 그래서 얼마인가.
이 질문에 대한 판례의 답은 생각보다 구조적입니다. 그리고 그 구조를 보여준 사건이 걸린 시간을 보면, 개인정보 항목에서 이 문제가 왜 계약 단계의 설계 문제인지가 드러납니다.
## 계약에 산정 조항이 없으면 무엇으로 계산하나
대법원은 산정 조항이 없는 경우의 방법을 두 가지로 제시합니다(대법원 2018. 10. 12. 선고 2017다6108 판결). 매수인이 소유한 대상회사의 주식가치 감소분을 산정하거나, 매수인이 실제 지급한 매매대금과 진술보증 위반을 반영하였을 경우 지급하였을 매매대금의 차액을 산정하는 방법입니다.
말은 간단하지만 둘 다 평가의 문제를 안고 있습니다. 위반이 주식가치를 얼마나 깎았는지, 위반을 알았다면 대금을 얼마로 정했을지는 모두 가정적 평가여서 감정과 증명의 싸움이 됩니다. 대법원 스스로 이 방법의 불확실성을 언급하면서, 그 불확실성을 해소하려고 산정 방법을 정해 둔 조항이 있으면 그에 따라야 한다고 했습니다.
## "손해가 발생하면 배상한다"는 한 문장도 산정 조항인가
그 사건의 계약서에는 정교한 산정 공식이 있었던 것이 아닙니다. 양수도 실행일 이후 보증의 위반사항이 발견되어 대상회사 또는 매수인에게 손해가 발생한 경우 현금으로 배상한다는 문구가 있었을 뿐입니다. 괄호 안에 순자산가치의 부족이나 숨은 채무, 우발채무가 새로 발견되는 경우를 포함한다는 문언이 붙어 있었습니다.
대법원은 이 약정을 손해배상의 범위와 금액을 산정하는 방법을 정한 것으로 해석했습니다. 그 결과 기업지배권이 이전되는 시점 이전의 사유로 대상회사의 우발채무가 발생하면 특별한 사정이 없는 한 그 금액이 매수인의 손해이고, 매수인이 직접 지출한 비용도 손해에 포함됩니다. 대상회사가 스스로 한 위반의 결과이므로 매도인 탓에 생긴 손해가 아니라고 본 원심은 이 지점에서 파기됐습니다.
계약서의 흔한 한 문장이 산정 공식의 역할을 한 셈입니다. 뒤집어 말하면, 그 문장을 어떻게 쓰느냐가 배상액 산정의 출발점을 정합니다.
## 그 사건에서 손해는 언제 확정됐나
시간 축을 따라가 보면 이렇습니다. 주식양수도계약 체결이 1999년 4월, 주식 취득이 1999년 8월입니다. 공정거래위원회는 2000년 10월 과징금 475억 2,200만 원의 납부명령을 내렸고, 이 금액은 취소소송 등을 거쳐 2009년 1월에 145억 1,100만 원으로 재산정됐습니다.
여기에 국가가 제기한 손해배상소송의 화해권고결정에 따른 배상금 분담, 벌금 2억 원, 소송비용 7억 2,684만 원이 더해졌습니다. 파기환송을 명한 대법원 판결은 2018년 10월에 나왔습니다. 클로징에서 19년이 지난 시점입니다.
배상 청구의 근거가 되는 손해가 클로징 당시에는 금액은커녕 존재조차 보이지 않았고, 확정까지 십수 년이 걸렸다는 뜻입니다.
## 개인정보 항목에서는 무엇이 더 어려운가
개인정보 위반은 이 지연 구조가 더 뚜렷합니다. 처분이 나오고, 불복 절차를 거치고, 정보주체의 분쟁조정이나 손해배상 청구가 이어지는 동안 손해는 계속 쌓이면서 늦게 확정됩니다. 과징금 상한이 전체 매출액에 연동되어 있어(개인정보 보호법 제64조의2) 딜 이후 회사가 커질수록 금액도 함께 커진다는 점은 [앞 글](/posts/ma-reps-warranties-privacy-claims/)에서 본 그대로입니다.
산정이 어렵다고만 여겨지던 항목에 법원이 계산식을 내놓는 경우도 있습니다. 대상회사의 인공지능 학습데이터에 권리처리가 안 된 저작물이 섞여 있을 때가 그런 예인데, 항소심 법원이 쓴 산식과 그것을 실사에서 어떻게 쓰는지는 [법원이 쓴 손해액 산식](/posts/scraped-data-asset-due-diligence/)에서 따로 정리했습니다. 아직 확정된 판결이 아니라는 점은 그 글에 함께 적어 두었습니다.
대상회사가 이 문제를 새로 통과된 인공지능 특례로 해결된다고 답하는 경우도 있습니다. 그 법은 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 적법근거가 되지 못하고, 시행 이후에도 승인은 취득한 사실이 아니라 유지 조건이 붙은 상태라는 점을 [승인이 지워지는 다섯 가지 사유와 실사에서 받을 자료](/posts/scraped-data-asset-due-diligence/)에서 정리했습니다.
여기에 산정 고유의 문제가 하나 더 있습니다. 대상회사에 생긴 손해가 곧바로 같은 금액으로 매수인의 손해가 되는지입니다.
위 사건은 대상회사 또는 매수인에게 손해가 발생한 경우를 배상 대상으로 적은 문언이 있어 우발채무 금액 자체가 손해로 인정됐습니다. 그런 문언이 없다면 주식가치 감소분이라는 원칙적 방법으로 돌아가고, 일부 지분만 인수한 딜이라면 평가는 한층 복잡해집니다. 결국 어느 쪽 국면에 서게 될지는 계약서 문언이 정합니다.
## 산정의 재료는 결국 사고 당시의 기록이다
배상액을 세우는 쪽은 금액과 인과를 증명해야 합니다. 처분서와 불복 절차의 기록, 정보주체 대응에 지출한 비용의 내역, [초기 대응 기록이 배상액 산정에서 다시 쓰이는 구조](/guides/data-breach-response/)에서 정리한 통지·신고 문서가 그 재료입니다.
즉 사고 대응 단계에서 만들어지는 기록은 규제 대응 문서인 동시에, 몇 년 뒤 진술보증 클레임에서 손해를 증명하는 증거가 됩니다. 산정 방법이 아무리 정리되어 있어도 재료가 없으면 계산은 시작되지 않습니다.
---
*본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.*
위반이 클로징 전에 시작돼 그 뒤로도 이어진 경우에는 구간을 어떻게 가르는지에 따라 금액이 달라집니다. 그 판단은 [클로징 뒤에도 이어지는 위반의 구간](/posts/reps-warranties-pre-closing-cause/)에서 따로 다뤘습니다.
## 자주 묻는 질문
### Q. 계약서에 손해배상액 산정 방법을 정하지 않았으면 어떻게 계산하나요?
대법원 2018. 10. 12. 선고 2017다6108 판결은 산정 조항이 없는 경우 매수인이 소유한 대상회사의 주식가치 감소분 또는 매수인이 실제 지급한 매매대금과 진술보증 위반을 반영하였을 경우 지급하였을 매매대금의 차액을 산정하는 등의 방법으로 손해배상액을 정하여야 한다고 판시했습니다. 두 방법 모두 평가와 증명이 쉽지 않으므로, 실무에서는 계약서에 산정 방법을 정해 두는 것이 다툼을 줄입니다.
### Q. '손해가 발생한 경우 배상한다'는 문구만 있어도 산정 기준이 되나요?
위 판결 사안에서 대법원은 '대상회사 또는 매수인에게 손해가 발생한 경우 현금으로 배상한다'는 약정을 손해배상의 범위와 금액을 산정하는 방법을 정한 조항으로 해석하고, 기업지배권이 이전되는 시점 이전의 사유로 발생한 대상회사의 우발채무 금액이 특별한 사정이 없는 한 매수인의 손해라고 보았습니다. 다만 이는 계약 문언 해석의 문제이므로 문언과 사안에 따라 결론이 달라질 수 있습니다.
### Q. 개인정보 과징금이 클로징 몇 년 뒤에 확정되면 배상 청구에 어떤 영향이 있나요?
위 판결 사안에서는 과징금 납부명령이 2000년에 나왔지만 취소소송을 거쳐 2009년에 금액이 재산정됐습니다. 개인정보 과징금도 처분과 불복 절차를 거치며 금액이 늦게 확정될 수 있고, 그 사이 진술보증 청구 기간이 지나갈 수 있습니다. 청구 기간과 손해 확정 시점의 어긋남을 계약 단계에서 어떻게 설계할지는 사안별로 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) — 국가법령정보센터
- [대법원 2018. 10. 12. 선고 2017다6108 판결](https://www.law.go.kr/판례/%282017다6108%29) — 국가법령정보센터
---
# 우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가
- URL: https://datalaw.kr/posts/who-controls-devices-at-customer-sites/
- 게시 2026-07-30 · 수정 2026-08-28 · 태그: 유출대응, 개인정보보호법
- 요약: 고객 집에 설치된 펨토셀의 실질 운영주체와 관리통제권이 KT에 있다고 개인정보보호위원회가 판단했습니다. 2026년 7월 29일 제15회 전체회의에서 KT에 과징금 539억 7,900만 원을 부과하기로 의결하면서입니다. 장비가 어디에 놓여 있는지가 아니라 인증과 접속통제를 누가 하는지가 기준입니다. 키오스크·단말·온프레미스 설치형 제품을 고객사에 두는 회사에 그대로 적용되는 판단입니다.
> **핵심 요약**
> 개인정보보호위원회는 2026년 7월 29일 제15회 전체회의에서 KT에 과징금 539억 7,900만 원을 부과하기로 의결하면서(보도자료 공개는 7월 30일), 이용자의 집과 사무실에 설치된 펨토셀에 대해 **실질 운영주체와 관리통제권이 KT에 있다**고 판단했습니다. 근거는 소유권이 아니라 망 접속 승인·인증체계 관리·내부망 접속 허용·보안통제를 누가 수행하는가였습니다. 고객사에 키오스크·단말·온프레미스 제품을 두고 그 장비가 우리 시스템에 접속하게 하는 회사라면, 같은 기준이 그대로 적용됩니다.
고객사 매장에 키오스크를 설치합니다. 병원에 단말을 넣습니다. 고객사 서버실에 우리 제품을 온프레미스로 올립니다.
세 경우 모두 장비는 남의 자리에 있고, 전원과 네트워크는 그쪽이 댑니다. 그래서 사고가 나면 그 회사 사고라고 생각하기 쉽습니다.
2026년 7월 29일 개인정보위 의결은 그 생각이 어디서 어긋나는지 보여줍니다.
## 개인정보위는 무엇으로 갈랐나
펨토셀은 통신 음영지역을 해소하는 소형 기지국입니다. KT가 2016년부터 도입해 KT 인터넷 고객에게 설치기사가 직접 설치해 주고, 이용자에게 판매하지 않는 KT 자산입니다.
개인정보위가 관리통제권 판단에 든 근거는 세 갈래였습니다. 망 접속 승인과 인증체계 관리, 내부망 접속 허용, 그리고 보안통제와 운영을 KT가 수행한다는 것입니다.
이용자에 대해서는 한 줄로 정리했습니다. 설치 장소 등 운영환경을 제공하는 역할만 수행한다.
그래서 결론은 펨토셀의 실질 운영주체는 KT이고, 이동통신망 접속과 서비스 제공을 위한 이용자 인증 과정, 그 과정에서의 개인정보 전송에 대한 관리통제권도 KT에 속한다는 것이었습니다.
## 기준은 소유가 아니라 통제입니다
이 사건에서는 소유권도 KT에 있었으니 결론이 같은 방향이었습니다. 다만 개인정보위가 실제로 든 근거는 소유가 아니라 **인증과 접속통제를 누가 하는가**였습니다.
법 제2조 제5호도 개인정보처리자를 "업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는" 자로 정의할 뿐, 장비를 누가 소유하고 어디에 두는지를 요건으로 삼지 않습니다.
바꿔 말하면 고객사가 장비를 사서 자기 자산으로 갖고 있어도, 그 장비가 우리 인증서로 우리 서버에 접속하고 접속 권한을 우리가 부여·회수한다면 그 구간의 관리통제권은 우리 쪽에 남습니다.
## 위탁계약을 맺어 두면 정리되나
정리되지 않습니다.
법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제29조, 제30조, 제34조, 제64조의2 등을 준용하면서 '개인정보처리자'를 '수탁자'로 본다고 정합니다. 위탁으로 구성하면 준용으로 걸리고, 위탁이 아니면 자기 자격으로 걸립니다.
구성 방식을 정하는 일과 의무를 지는지를 정하는 일은 별개입니다. 같은 구조는 제휴 API로 개인정보를 넘겨받는 경우에도 나타나는데, 그쪽은 [제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔을 때](/posts/api-response-unrequested-personal-data/)에서 다뤘습니다.
## 그래서 무엇을 안 하면 걸리나
이 사건의 위반은 접근통제 소홀 하나였습니다. 개인정보위가 지적한 것을 그대로 옮기면 이렇습니다.
- 내부망 접속용 인증서 유효기간을 10년으로 길게 설정했습니다
- 접속 IP를 제한하지 않아 타사·해외 IP에서도 접속이 가능했습니다
- 관리서버를 우회하는 경로가 있었습니다
- 코어망 접속 식별자(Cell ID)를 관리하지 않아 비인가 식별자의 이상접속을 탐지·대응할 체계가 없었습니다
그 결과 해커는 유실된 펨토셀에서 인증서를 복사해 자체 제작 장비에 심고, 별도 인증 없이 약 11개월간(2024년 10월 8일 ~ 2025년 9월 5일) 내부망에 접속했습니다. KT는 그동안 탐지하지 못했고, 소액결제 민원이 쌓인 뒤에야 비정상 접속을 식별했습니다.
이 항목들은 특별한 기술 요구가 아닙니다. 시행령 제30조 제1항이 정한 안전성 확보 조치의 기본 항목입니다. 제2호 나목이 정당한 권한을 가진 자에 의한 접근인지 확인하기 위한 인증수단 기준의 설정과 운영을, 제3호 가목이 침입을 탐지하고 차단하기 위한 조치를 요구합니다.
## 사고가 나면 누가 신고하나
관리통제권이 우리에게 있다는 판단이 서면 그다음은 자동으로 따라옵니다.
통지·신고 의무자는 우리입니다. 법 제34조 제1항은 개인정보처리자가 유출등을 알게 된 때를 기준으로 의무를 지우고, 장비가 어디에 놓여 있었는지를 요건으로 삼지 않습니다. 절차와 기한은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리해 두었습니다.
과징금도 같습니다. 법 제64조의2 제1항 제9호는 개인정보가 유출된 경우를 사유로 들고, 단서에서 제29조에 따른 안전성 확보 조치를 다한 경우에만 부과를 면합니다. 이번 처분에서 KT에 부과된 금액은 539억 7,900만 원입니다.
유출 규모는 16,647명이었습니다. 금액을 키운 것은 인원 수가 아니라, 유출된 정보로 SMS·ARS가 탈취되어 368명에게 약 2억 4천만 원의 무단 소액결제가 발생한 실제 피해와 11개월간의 미탐지였습니다.
## 지금 확인할 것
고객사에 놓인 장비가 있다면 세 가지를 나란히 놓아 보면 됩니다.
**첫째, 그 장비가 우리 시스템에 접속할 때 무엇으로 인증하는가.** 인증서라면 유효기간이 얼마이고, 회수 절차가 있는지. 장비를 분실하거나 회수하지 못했을 때 그 인증서를 무효화할 수 있는지.
**둘째, 접속 지점을 제한하고 있는가.** IP·네트워크 범위 제한이 없으면 그 장비의 인증정보를 가진 누구든 어디서든 들어옵니다. 이번 사건에서 해커가 한 일이 정확히 그것입니다.
**셋째, 비정상 접속을 탐지할 수 있는가.** 장비마다 식별자를 부여하고 관리하지 않으면 인가되지 않은 장비가 들어와도 구분되지 않습니다.
계약서에 "설치 및 운영 책임은 고객사에 있다"고 적혀 있어도 이 세 가지를 우리가 하고 있다면, 규제 판단에서 관리통제권은 우리 쪽에 남습니다. **계약 문언이 아니라 실제로 누가 인증을 쥐고 있는지가 기준입니다.**
## 자주 묻는 질문
### Q. 장비 소유권이 우리에게 있으면 우리가 개인정보처리자인가요?
소유권만으로 정해지지 않습니다. 법 제2조 제5호는 개인정보처리자를 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 자로 정의할 뿐 소유 관계를 요건으로 하지 않습니다. 개인정보위가 펨토셀 사건에서 실제로 든 근거는 소유가 아니라 망 접속 승인, 인증체계 관리, 내부망 접속 허용, 보안통제와 운영을 누가 수행하는가였습니다.
### Q. 고객사 건물 안에 있으니 그 회사가 관리하는 것 아닌가요?
물리적 설치 장소는 결정적이지 않았습니다. 개인정보위는 펨토셀 사건에서 이용자가 설치 장소 등 운영환경을 제공하는 역할만 수행한다고 보았습니다. 반대로 인증 과정과 그 과정에서의 개인정보 전송에 대한 관리통제권은 설치 장소와 무관하게 사업자에게 있다고 판단했습니다.
### Q. 고객사와 위탁계약을 맺어 두면 정리되나요?
위탁으로 구성한다고 의무가 사라지지는 않습니다. 법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제29조, 제30조, 제34조, 제64조의2 등을 준용하면서 '개인정보처리자'를 '수탁자'로 본다고 정합니다. 위탁이면 준용으로, 아니면 자기 자격으로 걸리므로 구성 방식과 무관하게 같은 조문의 수범자가 됩니다.
장비·설비를 낀 구조에서 누가 어느 지위에 서는지는 [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)의 지위 판별 기준과 함께 보면 정리됩니다.
## 참고 자료
- 개인정보보호위원회, 「개인정보위, ㈜KT의 개인정보 유출사고 제재처분 의결」 (2026년 7월 29일 제15회 전체회의 의결, 7월 30일 보도자료, [원문](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12349))
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제2조 제5호, 제26조 제8항, 제29조, 제34조, 제64조의2
- 개인정보 보호법 시행령(대통령령 제36340호) 제30조 제1항
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가
- URL: https://datalaw.kr/posts/processor-indemnity-recourse-ratio/
- 게시 2026-07-30 · 수정 2026-08-28 · 태그: 유출대응, 위탁수탁, 개인정보보호법
- 요약: 위탁사가 정보주체에게 배상한 뒤 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만입니다. 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(1심·미확정)은 위탁사 30 대 수탁사 70으로 나누어 55억여 원을 인정했는데, 위탁사가 30%를 진 이유는 감독을 소홀히 했기 때문이 아니라 고객정보를 변환하지 않은 원본 그대로 넘겼기 때문입니다.
> **핵심 요약**
> 수탁사에서 유출 사고가 나 위탁사가 정보주체에게 먼저 배상했다면, 그 금액을 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 **자기 부담부분을 초과한 금액만** 돌려받습니다. **서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결**(1심·미확정)은 위탁사 30 대 수탁사 70으로 나누어 약 55억 원을 인정했는데, 위탁사가 30%를 지게 된 이유는 감독을 소홀히 했기 때문이 아니라 **고객정보를 변환하지 않은 원본 상태로 넘겼기 때문**이었습니다.
수탁사 직원이 낸 사고로 정보주체에 대한 배상을 위탁사가 먼저 떠안는 구조는 앞서 [수탁사 직원의 실수로 개인정보가 유출됐을 때 위탁사의 책임 범위](/posts/processor-breach-consignor-liability/)에서 다뤘습니다.
그 글에서 접어 둔 질문이 남습니다. 물어준 다음에는 어떻게 되는가.
## 개인정보 보호법이 수탁자를 소속 직원으로 본다면, 구상도 막히나?
막히지 않습니다. 법 제26조 제7항은 손해배상책임에 관하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 정하는데, 이는 정보주체가 누구에게 청구할 수 있는지를 정한 것입니다.
위탁사와 수탁사 사이의 내부 정산은 다른 문제이고, 개인정보 보호법이 아니라 민법의 부진정연대채무 법리로 처리됩니다. 부진정연대채무자 중 1인이 자기 부담부분 이상을 변제해 공동면책을 얻으면, 다른 채무자에게 그 부담부분 비율에 따라 구상할 수 있습니다.
## 실제로 얼마가 인정됐나
서울중앙지방법원이 2025년 9월 4일 선고한 구상금 사건(2022가합550574)이 이 구조를 그대로 보여줍니다. **1심이고 확정되지 않았다는 점을 전제로** 읽어야 합니다.
카드회사가 이상거래 탐지 시스템 개발을 신용조회회사에 맡겼고, 그 회사 프로젝트 총괄 매니저가 개발 과정에서 카드 고객정보를 유출했습니다. 카드회사는 피해 고객들에게 2019년부터 2022년까지 약 79억 3,461만 원을 전액 변제한 뒤 수탁사를 상대로 구상금을 청구했습니다.
법원은 위탁사와 그 직원을 공동불법행위자로, 수탁사를 그 직원의 사용자로 보았습니다. 그리고 부담부분을 위탁사 30 대 수탁사 70으로 정해 약 55억 5,423만 원을 인정했습니다.
이 사건처럼 유출 사고가 민사 판결까지 간 사례는 [유출 손해배상 판결 데이터베이스](/damages/)에 사고별로 모아 두었습니다. 1심 인용액과 상소심에서 확정된 액수가 갈리는 사건이 적지 않아, 행마다 종국 여부를 함께 적었습니다.
## 위탁사가 30%를 지게 된 이유
주목할 지점은 그 30%가 어디에서 나왔는가입니다.
판결이 든 사실 중 하나가 위탁사가 카드 고객정보를 변환하지 않은 상태 그대로 제공했다는 것입니다. 수탁사 직원들은 그 원본 데이터를 업무용 컴퓨터에 저장하고 폴더를 공유하는 방식으로 사용했습니다.
감독 서류가 부실했다거나 교육을 안 했다는 이야기가 아닙니다. **데이터를 넘길 때 어떤 형태로 넘겼는지가 그대로 부담부분이 됐습니다.** 개발이나 테스트 목적으로 실데이터를 통째로 내주는 관행이 사고 뒤에 금액으로 환산되는 지점입니다.
반대로 수탁사에 더 무거운 책임이 지워진 근거는 용역계약의 직접 당사자로서 직원 선발과 관리에 특별히 주의했어야 한다는 것이었습니다.
## "우리 사무실에서 우리 시스템으로 일했다"는 항변
수탁사는 이렇게 다퉜습니다. 그 직원이 일한 곳은 위탁사 사업장이고, 인적·물적 설비와 전산시스템을 위탁사가 관리했으니 위탁사도 그 직원의 사용자에 해당한다는 주장입니다.
법원은 받아들이지 않았습니다. 상주는 용역계약의 특성상 수탁사 직원을 개별 카드회사에 파견하기로 한 약정에 따른 것이고, 수탁사 직원들이 전문 지식과 기술·설비를 토대로 독립적으로 업무를 수행했으며 위탁사로부터 구속력 있는 지시를 받거나 별도 대가를 받은 사정이 확인되지 않는다는 이유였습니다. 고객정보 제공도 수탁사 측 요청에 따른 것이었습니다.
상주 개발이나 파견 구조를 쓰는 회사가 눈여겨볼 대목입니다. **물리적으로 우리 사무실에서 우리 장비로 일했다는 사실만으로 사용자 지위가 넘어오지는 않았습니다.**
## 앞선 소송의 과실 40%는 왜 그대로 오지 않았나
이 사건에는 앞선 소송이 있었습니다. 피해 고객들이 카드회사를 상대로 낸 손해배상 소송에서 카드회사의 과실이 40%로 인정됐습니다.
그런데 구상 국면의 부담부분은 30%였습니다. 과실상계에서 말하는 피해자의 과실은 사회통념상 공동생활에서 요구되는 약한 의미의 부주의를 가리키는 것이어서, 공동불법행위자 사이의 책임비율로 그대로 옮길 수 없다는 것이 이유입니다.
앞선 소송에서 인정된 과실비율을 그대로 구상 예상액에 곱해 두면 계산이 어긋날 수 있다는 뜻입니다.
## 이 판단이 사고 전에 무엇을 바꾸나
세 가지가 계약 단계의 점검 항목으로 돌아옵니다.
**개발·테스트에 넘기는 데이터의 형태.** 실데이터를 원본으로 넘길 필요가 정말 있는지, 가명·변환·부분 추출로 대체할 수 없는지가 사고 뒤 부담부분을 가릅니다. 이 판단은 계약서가 아니라 실제 전달 방식에서 나옵니다.
**요청의 기록.** 이 사건에서 정보 제공은 수탁사 측 요청에 따른 것으로 인정됐습니다. 누가 무엇을 왜 요구했는지가 남아 있으면 부담부분 논의에서 쓰입니다.
**계약서의 배상 조항.** 구상 자체는 민법 법리로 가능하지만, 배상 상한이나 면책 조항이 있으면 회수 범위가 달라집니다. 위·수탁 계약에서 이 조항을 어떻게 설계할지는 별도로 다루겠습니다.
정보주체에 대한 통지·신고 절차가 끝나면 사고는 마무리된 것처럼 보입니다. 실제로는 그때부터 기업 사이의 정산이 시작되고, 그 정산의 기준은 사고 훨씬 전에 데이터를 어떤 형태로 넘겼는지에 이미 정해져 있습니다.
이 글이 다루는 구상은 유출 사고의 마지막 국면입니다. 인지에서 신고·통지를 거쳐 조사와 처분, 그리고 이 정산까지 여섯 단계에 각각 어떤 조문이 걸리는지는 [유출 대응 단계별 지도](/guides/data-breach-response/)에 정리해 두었습니다. 초기 대응에서 남긴 기록이 배상액 산정에서 다시 쓰인다는 점도 거기서 다뤘습니다(법 제39조 제4항 제7호·제8호).
## 자주 묻는 질문
### Q. 개인정보 보호법 제26조 제7항이 수탁자를 소속 직원으로 본다고 하는데, 그러면 수탁사에 구상할 수 없는 것 아닌가요?
그 조항은 정보주체에 대한 관계를 정한 것입니다. 제26조 제7항은 손해배상책임에 관하여 수탁자를 개인정보처리자의 소속 직원으로 본다고 하여 정보주체가 위탁사에 청구할 수 있도록 하는 규정이고, 위탁사와 수탁사 사이의 내부 정산까지 막지 않습니다. 구상은 개인정보 보호법이 아니라 민법상 부진정연대채무의 내부 부담부분 법리로 처리됩니다.
### Q. 수탁사 직원이 우리 사무실에 상주하며 우리 시스템에서 일했습니다. 그러면 우리도 그 직원의 사용자가 되나요?
그 주장은 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(1심·미확정)에서 받아들여지지 않았습니다. 법원은 상주가 용역계약의 특성에 따른 약정 때문이고, 수탁사 직원들이 전문 지식과 설비를 토대로 독립적으로 업무를 수행했으며 위탁사로부터 구속력 있는 지시를 받거나 별도 대가를 받은 사정이 확인되지 않는다는 점을 들었습니다. 상주 개발이나 파견 구조라는 사실만으로 위탁사가 사용자 지위를 함께 지게 되는 것은 아니라고 본 것입니다.
### Q. 앞선 손해배상 소송에서 우리 과실이 40%로 인정됐습니다. 구상에서도 40%를 부담하나요?
그대로 옮겨지지 않습니다. 과실상계에서 말하는 피해자의 과실은 사회통념상 요구되는 약한 의미의 부주의를 가리키는 것이어서, 공동불법행위자 사이의 책임비율과는 성질이 다릅니다(대법원 2005다8125 판결 참조). 실제로 앞선 소송에서 과실 40%가 인정된 사안에서 구상 국면의 부담부분은 30%로 정해졌습니다(서울중앙지방법원 2022가합550574).
구상 단계에 이르기 전에 책임이 어떻게 배분되는지는 [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)에서 먼저 보시는 편이 낫습니다.
## 참고 자료
- 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(구상금). **1심이고 확정되지 않았습니다**
- [대법원 2006. 1. 27. 선고 2005다19378 판결](https://www.law.go.kr/판례/(2005다19378)) — 국가법령정보센터 (부진정연대채무 부담부분과 구상)
- [대법원 1992. 6. 23. 선고 91다33070 전원합의체 판결](https://www.law.go.kr/판례/(91다33070)) — 국가법령정보센터 (사용자책임의 대체적 성격과 구상 범위)
- [대법원 2005. 7. 8. 선고 2005다8125 판결](https://www.law.go.kr/판례/(2005다8125)) — 국가법령정보센터 (과실상계의 과실과 공동불법행위자 과실비율의 구별)
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) — 국가법령정보센터
- [민법](https://www.law.go.kr/법령/민법) — 국가법령정보센터
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 2026년 9월 11일 시행 개정 개인정보 보호법 — 신구조문 대조표
- URL: https://datalaw.kr/posts/pipa-2026-amendment-comparison/
- 게시 2026-07-29 · 수정 2026-09-11 · 태그: 유출대응, 과징금제재, 개인정보보호법
- 요약: 법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾼 조문을 개정 전 조문과 나란히 정리한 대조표입니다. 유출등 정의 확대, 제34조의 항 이동과 가능성 단계 통지 신설, 과징금 가중·감경 규정, 개인정보 보호책임자 지정에 관한 이사회 의결·신고 의무를 조문 단위로 담았고, 시행령 확정에 따라 계속 갱신합니다.
> **핵심 요약**
> 법률 제21445호(2026년 3월 10일 공포, **2026년 9월 11일 시행**)가 바꾼 조문을 개정 전(법률 제20897호)과 나란히 놓은 대조표입니다. 조문은 국가법령정보센터 원문과 대조했습니다. 후속 시행령은 2026년 9월 10일 대통령령 제36671호로 공포되어 같은 날 함께 시행됐습니다. 각 항목의 실무적 의미는 본문 아래 개별 글로 연결해 두었습니다.
개정법을 인용하는 문서를 쓸 때 가장 자주 생기는 사고는 내용을 잘못 이해하는 것이 아니라 **항 번호를 그대로 옮겨 쓰는 것**입니다. 이번 개정은 제34조와 제64조의2, 제31조에서 각각 항을 신설했고, 그 뒤의 항이 한 칸씩 밀렸습니다.
## 제23조 제2항 — '유출등'의 정의가 법 전체로 나갑니다
| | 개정 전 (법률 제20897호) | 개정 (법률 제21445호) |
|---|---|---|
| 제23조 제2항 | "…분실·도난·유출·위조·변조 또는 훼손되지 아니하도록…" | "…분실·도난·유출·위조·변조 또는 훼손(**이하 "유출등"이라 한다**)**이 되지** 아니하도록…" |
| 제34조 제1항 | "분실·도난·유출(**이하 이 조에서 "유출등"이라 한다**)되었음을 알게 되었을 때" | "**유출등이 되었음을** 알게 되었을 때" |
개정 전 "유출등"은 제34조 안에서만 통용되는 약칭이고 분실·도난·유출 세 가지뿐이었습니다. 개정법은 제34조에서 그 정의를 들어내고 제23조 제2항에 여섯 가지짜리 정의를 두었습니다. **위조·변조·훼손이 통지·신고의 사정권에 들어왔습니다.**
→ [랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나](/posts/ransomware-corruption-breach-notification/)
## 제34조 — 항이 한 칸씩 밀립니다
| 항 | 현행 | 개정 |
|:-:|---|---|
| 제1항 | 정보주체 통지 (조문 내 정의 포함) | 정보주체 통지 (정의 삭제), **제6호 신설**: 손해배상·법정손해배상 청구, 분쟁조정 등 권리와 행사 방법 |
| 제2항 | 피해 최소화 대책 마련 | **신설** — 대통령령으로 정하는 **유출등의 가능성**이 있음을 알게 된 때, 가능성이 있는 **모든** 정보주체에게 통지 |
| 제3항 | **보호위원회·전문기관 신고** | 피해 최소화 대책 (회수·삭제 등 **피해 확산 방지 조치를 포함**한다고 명시) |
| 제4항 | 통지·신고의 시기·방법·절차 위임 | **보호위원회·전문기관 신고** |
| 제5항 | — | 제1항·제2항 통지 및 제4항 신고의 시기·방법·절차 위임 |
**신고의 근거 조문이 제3항에서 제4항으로 이동했습니다.** 사내 사고대응 절차서나 위·수탁 계약서가 "법 제34조 제3항에 따른 신고"라고 적고 있다면 지금은 다른 조항을 가리킵니다.
→ [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/) · [본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나](/posts/global-breach-playbook-korea-gap/)
## 제64조의2 — 가중과 감경이 함께 들어옵니다
| 항 | 현행 | 개정 |
|:-:|---|---|
| 제1항 | 전체 매출액의 100분의 3 이내 (매출액 산정 곤란 시 20억 원) | 동일 |
| 제2항 | 위반행위 관련 없는 매출액 제외 | **신설** — 100분의 10 이내(산정 곤란 시 50억 원). ① 처분일부터 3년 내 같은 호 재위반(각각 고의·중과실) ② 고의·중과실 + 피해 1천만 명 이상 ③ 시정조치 명령 불이행 후 제1항 제9호 위반 |
| 제4항 | 부과 시 고려사항 11개 | (제5항으로 이동) |
| 제5항 | 부과하지 아니할 수 있는 사유 | (제7항으로 이동) |
| 제6항 | — | **신설** — 예산·인력·설비·장치 등 투자·운영 등 대통령령 사유가 있으면 **"감경한다"**. 고의·중과실은 제외 |
제6항의 문언이 "감경할 수 있다"가 아니라 "**감경한다**"입니다. 사유에 해당하면 감경이 원칙이 되는 구조이고, 구체적인 사유는 대통령령으로 정해집니다.
→ [개인정보 유출사고, '조용히 수습'이 가장 비싼 선택이 됩니다](/posts/breach-response-calculus-shift/) · [과징금·과태료 산정 계산기](/fine-calculator/)에서 개정 전후 기준을 갈라 계산해 볼 수 있습니다
## 제31조 — 개인정보 보호책임자 지정에 이사회가 들어옵니다
| 항 | 현행 | 개정 |
|:-:|---|---|
| 제1항 | 처리에 관한 업무를 총괄해서 **책임질** 자 지정 | 처리 **및 보호**에 관한 업무를 총괄해서 **담당할** 자 지정 |
| 제3항 | (보호책임자의 업무) | **신설** — 대통령령 기준에 해당하는 자는 ① 지정·변경·해제 시 **이사회 의결**(법인으로 한정) ② 보호위원회에 **신고** |
| 제4항 | — | 보호책임자의 업무 (현행 제3항) |
| 제7항 | — | 독립성 보장 (현행 제6항) |
| 제10항 | (현행 제9항) 자격요건·업무·독립성 보장 등 위임 | 위임 대상에 **제3항 제2호의 신고 방법·절차** 추가 |
9월 11일부터 바뀐 것은 항 번호만이 아닙니다. 개정법은 보호책임자의 업무 목록에 전문 인력의 관리와 예산의 확보(제4항 제2호), 사업주·대표자 및 이사회에 대한 보고(제4항 제3호)를 새로 넣었습니다. 신설된 두 호가 목록의 두 번째와 세 번째 자리에 끼어들기 때문에, 현행 제3항 제2호부터 제7호까지는 **각각 세 칸씩 밀려** 개정 제4항 제4호부터 제9호가 됩니다. 아래 표에 호별 대응 관계를 정리했습니다.
| 현행 제3항 | 개정 제4항 | 업무 (개정 문언) |
|:-:|:-:|---|
| 제1호 | 제1호 | 개인정보 보호 계획의 수립 및 시행 |
| — | **제2호(신설)** | 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보 |
| — | **제3호(신설)** | 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고 |
| 제2호 | 제4호 | 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선 |
| 제3호 | 제5호 | 개인정보 처리와 관련한 불만의 처리 및 피해 구제 |
| 제4호 | 제6호 | 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축 |
| 제5호 | 제7호 | 개인정보 보호 교육 계획의 수립 및 시행 |
| 제6호 | 제8호 | 개인정보파일의 보호 및 관리·감독 |
| 제7호 | 제9호 | 그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무 |
위 대응 관계는 개정법 부칙에서 그대로 확인됩니다. 국회는 부칙 제4조에서 다른 법률이 제31조를 인용한 부분을 함께 고쳤는데, 신용정보법 제20조 제4항 제1호 가목의 인용 문언을 "「개인정보 보호법」 제31조제3항제1호부터 제5호까지"에서 "「개인정보 보호법」 제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 바꾸었습니다. 현행 제1호는 개정 제1호로 남고 현행 제2호부터 제5호까지는 개정 제4호부터 제7호까지로 옮겨 간다는 뜻이므로, 위 표의 대응 관계와 정확히 일치합니다. 대법원도 「법원 개인정보 보호에 관한 규칙」 일부개정규칙(대법원규칙 제3272호, 2026년 7월 29일 공포·2026년 9월 11일 시행)에서 "법 제31조제3항"을 "법 제31조제4항"으로 고쳐 같은 이동을 반영해 두었습니다. 사내 규정이나 처리방침이 제31조 제3항의 특정 호를 지목해 인용하고 있다면, 항 번호만 제4항으로 고쳐서는 다른 업무를 가리키게 되므로 **호 번호까지 함께** 바꾸어야 합니다.
**자격요건 자체가 새로 생긴 것은 아닙니다.** 개정 전 제31조 제9항이 이미 자격요건을 대통령령에 위임하고 있었고, 시행령 제32조 제4항과 별표 1이 2024년 3월 12일부터 시행 중입니다(연간 매출액등 1,500억 원 이상이면서 민감정보·고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리하는 경우 등에 대해 개인정보보호·정보보호·정보기술 경력 합계 4년 이상, 그중 개인정보보호 경력 2년 이상). 지정 대상의 범위를 사업주·대표자 또는 임원으로 한정한 시행령 제32조 제3항 제2호도 마찬가지입니다.
**바뀌는 것은 제재입니다.** 현행 제75조 제2항에는 제31조 위반에 대한 과태료가 하나도 없습니다. 개정법이 제14호의2를 신설해 **보호책임자를 지정하지 않은 경우와 자격요건을 갖추지 않은 자를 지정한 경우**를 함께 과태료 대상으로 삼습니다. 그동안 요건은 있었으나 위반에 붙는 제재가 없던 상태가 끝나는 것입니다.
## 제75조 제2항 — 신설된 과태료 (3천만 원 이하)
| 호 | 내용 |
|:-:|---|
| 제14호의2 | 제31조 제1항 위반 미지정 **또는 제31조 제10항의 자격요건을 갖추지 아니한 자를 지정** |
| 제14호의3 | 제31조 제3항 제1호 위반 — **이사회 의결을 거치지 아니함** |
| 제14호의4 | 제31조 제3항 제2호 위반 — **지정·변경·해제를 신고하지 아니함** |
세 호 모두 **제26조 제8항에 따라 수탁자에게 준용**됩니다. 업무를 위탁받아 처리하는 회사도 자신의 이름으로 같은 의무를 집니다.
## 부칙 — 적용례가 조항마다 다릅니다
| 조 | 내용 |
|:-:|---|
| 제1조 | 공포 후 6개월 시행(**2026년 9월 11일**). 다만 제32조의2 제1항 단서와 제75조 제2항 제15호는 **2027년 7월 1일** |
| 제2조 제1항 | 제34조 제1항·제4항 — 시행 **이후 유출등을 알게 된 경우**부터 |
| 제2조 제2항 | 제34조 제2항 — 시행 이후 **유출등의 가능성**을 알게 된 경우부터 |
| 제2조 제3항 | 제34조 제3항 — 시행 이후 **유출등이 된 경우**부터 |
| 제3조 제1항 | 제64조의2 제2항 제1호 — 시행 이후 발생한 위반으로 처분받은 후 **다시** 같은 호 위반한 경우부터 |
| 제3조 제2항 | 제64조의2 제2항 제2호 — 시행 당시 **종료되지 아니한 위반행위에도 적용** |
| 제3조 제3항 | 제64조의2 제2항 제3호 — 시행 이후 시정조치 명령을 받은 경우부터 |
| 제4조 | 신용정보법 제20조와 정보통신망법 제45조의3이 제31조를 인용한 부분을 **항 번호와 호 번호까지** 정비(위 제31조 절 참조) |
제3조 제2항을 눈여겨볼 필요가 있습니다. **시행 당시 종료되지 않은 위반행위에는 신설 가중 규정이 적용됩니다.**
## 함께 시행되는 시행령 — 대통령령 제36671호의 조문 이동
다음은 모두 대통령령에 위임되어 있었습니다. 개인정보보호위원회는 이를 구체화할 시행령 일부개정령안을 2026년 6월 2일부터 7월 13일까지 입법예고했고(공고 제2026-59호), 이 개정령은 2026년 8월 31일 법제처 심사를 거쳐 **2026년 9월 10일 대통령령 제36671호로 공포**됐습니다. 부칙 제1조의 시행일은 법률과 같은 2026년 9월 11일이므로 법률과 시행령이 같은 날 함께 시행됩니다. 개인정보위 제2소위원회가 2026년 8월 12일 원안 동의로 의결한 침해요인 평가의 대상은 별건인 마이데이터 관련 개정안(공고 제2026-77호)입니다. 과징금 감경 사유를 담아 별도로 입법예고됐던 공고 제2026-55호 안은 법제처 심사 과정에서 이 개정령안에 통합됐습니다.
- 제34조 제2항의 **유출등의 가능성** 범위와 그때 알려야 할 사항
- 제64조의2 제6항의 **감경 사유**
- 제31조 제3항의 **대상 기준**과 제3항 제2호의 신고 방법·절차
공포본은 제32조의 항 번호를 재편합니다. 입법예고안과는 번호가 다르므로, 대조표라는 이 글의 성격에 맞게 조문 이동을 표로 정리합니다.
| 현행 시행령(제36121호) | 개정 시행령(제36671호) | 무엇이 달라지나 |
|---|---|---|
| 제32조 제2항(보호책임자의 업무) | 제32조 제5항 | 항 번호만 이동 |
| 제32조 제3항(지정 대상의 구분) | 제32조 제2항 | 「지정한다」가 「지정해야 한다」로 바뀌고, 후단이 붙어 제3항 목록에 해당하는 자는 별표 1 요건을 갖춘 사람을 지정하도록 합니다 |
| 제32조 제3항 제2호 나목 「임원」 | 제32조 제2항 제2호 나목 | 임원에 「상법」 제401조의2 제1항 제3호에 따라 업무를 집행한 자와 같은 법 제408조의2 제1항의 집행임원이 포함됩니다 |
| 제32조 제4항(전문 자격 지정 대상) | 제32조 제3항 | 법 제31조 제3항의 이사회 의결·신고 대상 규정이 됩니다. 「연간 매출액등 1,500억 원 이상」이 「1,800억 원 초과」로 오르고, 나머지 요건(5만 명 민감·고유식별정보 또는 100만 명, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관)은 같습니다 |
| (신설) | 제32조 제4항 | 지정·변경·해제 사유 발생일부터 **6개월 이내** 신고, 이사회 소집 곤란 등 부득이한 사유가 있으면 **1년 범위 연장**(입법예고안은 1개월) |
| (신설) | 제39조의2·제39조의3 | 유출등의 가능성 통지의 사유 두 가지(정보주체 특정이 곤란한 불법 접근 / 일부 유출 확인 후 확산 가능성), 통지 사항, **72시간** 기한, 실제 유출이 아님을 확인하면 통지, 홈페이지 30일 게시 갈음 |
| 제39조 제1항·제40조 제1항 단서 「지체 없이」 | 「즉시」 | 유예 사유가 해소된 뒤의 통지·신고 시점 문언 강화 |
| (신설) | 제60조의2 제5항 | 법 제64조의2 제6항 투자감경 사유 — 투자 규모·비율·지속성, 사업주·대표자 책임 이행, 보호책임자 조직, 추가 노력을 고려해 고시가 정하는 기준 |
| 별표 1의5 | 별표 1의5 전면 개정 | 10% 트랙의 기준금액(부과기준율 × 가중비율 ≤ 8.91%, 정액은 45억 원 이하), 투자감경 단계(기준금액의 40% 이내, 1차 조정 앞) 신설 |
| 별표 2 | 별표 2 | 과태료 상향. 문언이 그대로인 40개 항목에서 1차·2차는 1.5배, 3차 이상은 1.25배입니다(3차는 법정 상한에 붙어 더 오르지 못합니다). 3천만 원 구간 600·1,200·2,400만 원 → 900·1,800·3,000만 원. 제31조 제1항 위반(보호책임자 미지정)은 근거가 제75조 제4항에서 제2항으로 옮겨 가 200·400·800만 원에서 900·1,800·3,000만 원이 됩니다. 제75조 제2항 제14호의3·제14호의4 신설, 제17호는 제34조 제2항 위반까지, 제18호는 제34조 제4항으로 인용 변경 |
| (신설) | 부칙 제2조 | 시행 전에 지정한 보호책임자도 **시행일부터 6개월 이내** 신고 |
핵심은 목록이 하나라는 점입니다.
제32조 제3항의 목록 하나가 전문 자격 보호책임자 지정 의무와 이사회 의결·신고 의무를 동시에 겁니다. 그리고 그 목록의 금액 문턱이 1,500억 원 이상에서 1,800억 원 초과로 오르므로 **대상 자체는 좁아집니다.** 매출이 그 사이에 있는 회사는 9월 11일부터 세 의무에서 한꺼번에 벗어나고, 남는 회사는 같은 문턱에서 세 의무를 한꺼번에 집니다.
입법예고안에서 공포본으로 오면서 바뀐 것도 있습니다. 신고 기한이 1개월에서 6개월로 늘었고, 항 번호가 다시 배치됐으며, 공고 제2026-55호 부칙에 있던 투자감경 적용례(시행일 이후 위반행위부터)는 공포된 부칙에 없습니다. 부칙은 시행일, 보호책임자 신고 특례, 신용정보법 시행령의 인용 조문 정비 셋뿐입니다.
위 표의 조문 번호와 금액은 이제 확정된 문언입니다. 시행령이 다시 고시에 위임한 둘도 시행일인 9월 11일 함께 시행됐습니다. 투자감경과 과징금 산정의 세부 기준(별표 1의5 제3호)은 과징금 부과기준 개정 고시(개인정보보호위원회고시 제2026-12호), 보호책임자 지정·변경·해제 신고서 서식(제32조 제4항)은 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」(제2026-11호)입니다. 고시가 바꾼 감경률과 가중률은 [9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 표로 정리했습니다. **조문 번호 정비, 부칙 제3조 제2항 때문에 시행 전에 정리해야 하는 진행 중인 위반 상태, 개인정보 보호책임자 지정 구조 점검과 대상 여부 판정은 지금 확정된 문언으로 할 수 있는 일입니다.**
시행으로 무엇이 언제부터 달라졌는지는 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 날짜별로 묶어 두었습니다. 이 개정법 말고도 앞으로 1년 사이에 시행되는 IT·개인정보 법령이 여럿 겹쳐 있는데, 그 시행일들은 [IT·개인정보 법령 시행일 캘린더](/timeline/)에 한 줄로 모아 두었습니다.
이 법률 개정과 별도로, 이미 공포된 시행령 개정(대통령령 제36121호)은 2026년 8월 20일부터 본인전송요구권의 상대방과 절차를 규정합니다. 우리 회사가 언제부터 어느 쪽 지위로 걸리는지는 [본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가](/posts/mydata-transfer-right-who-and-when/)에서 다뤘습니다.
**선례 확인** — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 [개인정보 유출 통지·신고 위반 제재 사례](/sanctions/article-34/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### Q. 9월 11일 이후 유출 신고의 근거 조문은 무엇인가요?
개정법 제34조 제4항입니다. 개정 전에는 신고가 제34조 제3항이었는데, 개정법이 제2항에 유출등의 가능성 단계 통지를 신설하면서 뒤 항이 한 칸씩 밀렸습니다. 현행 제3항(피해 최소화 대책)은 개정 제3항으로 남고, 신고는 제4항, 대통령령 위임은 제5항이 됩니다. 시행일 이후 작성하는 문서에서 '법 제34조 제3항에 따른 신고'라고 쓰면 다른 조항을 가리키게 됩니다.
### Q. 과징금 상한이 10%로 올라간다는 것은 모든 위반에 해당하나요?
아닙니다. 원칙은 전체 매출액의 100분의 3이고(제64조의2 제1항), 100분의 10은 신설된 제2항의 세 가지 경우에만 적용됩니다. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 제1항의 같은 호에 해당하는 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있을 것), 고의 또는 중대한 과실로 위반행위를 하고 피해 정보주체가 1천만 명 이상인 경우, 그리고 시정조치 명령에 따르지 않아 제1항 제9호의 위반행위를 한 경우입니다.
### Q. 이 대조표에 없는 조문도 개정되었나요?
개정 대상은 이 표보다 넓습니다. 여기에는 실무에서 인용 빈도가 높고 항 번호 이동이 발생하는 조문을 중심으로 담았습니다. 예를 들어 제24조 제3항과 제24조의2 제2항은 '분실·도난·유출·위조·변조 또는 훼손되지'라는 문구가 '유출등이 되지'로 정비되었는데, 의미 변화가 아니라 제23조 제2항에 신설된 약칭을 반영한 것이어서 표에서는 다루지 않았습니다.
## 참고 자료
- [개인정보 보호법(현행, 법률 제20897호, 2025년 10월 2일 시행)](https://www.law.go.kr/법령/개인정보보호법) — 국가법령정보센터
- [개정 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) 원문](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) 제23조, 제31조, 제34조, 제64조의2, 제75조 및 부칙 — 국가법령정보센터 시행예정 법령
- [개인정보 보호법 시행령 일부개정령안 입법예고(개인정보보호위원회 공고 제2026-59호, 2026. 6. 2. ~ 7. 13.)](https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=86980&lawCd=0&lawType=TYPE5&mid=a10104010000) — 법제처 입법예고. 첨부된 법령안 전문에서 제32조·제34조의9의 개정 문언을 확인했습니다
- [개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 10. 공포, 2026. 9. 11. 시행)](https://www.law.go.kr/법령/개인정보보호법시행령) — 국가법령정보센터. 위 표는 이 공포본 기준이며, 제32조·제39조·제39조의2·제39조의3·제40조·제60조의2·제62조 전문과 별표 1의5·별표 2, 부칙 제1조~제3조를 확인했습니다
- [개인정보 보호법 시행령 일부개정령안 — 정부입법현황](https://opinion.lawmaking.go.kr/lmSts/govLm/2000000327582/detailRP) — 국민참여입법센터. 이 표가 법제처 심사본(2026. 8. 31.) 기준으로 적었던 조문 이동·기한·금액은 공포본에서 그대로 확인됐습니다
- [개인정보 보호법 시행령(현행, 대통령령 제36121호, 2026. 8. 20. 시행)](https://www.law.go.kr/법령/개인정보보호법시행령) 제32조 제3항·제4항 — 국가법령정보센터
- 개인정보보호위원회 제2소위원회 의결 제2026-215-321호(2026. 8. 12.) 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건 — 개인정보위 위원회 결정문. 주문은 개인정보보호위원회공고 제2026-77호 개정안에 대한 원안 동의입니다
- 개인정보보호위원회 공고 제2026-77호(2026. 6. 30. 관보 게재) 「개인정보 보호법 시행령」 일부개정령안 입법예고 — 제3자 전송요구 대상 분야를 고용·교육으로 확대하는 등 마이데이터 관련 개정안입니다. 위 의결의 대상이며, 공고 제2026-59호 개정안과는 별건입니다
- [신용정보의 이용 및 보호에 관한 법률](https://www.law.go.kr/법령/신용정보의이용및보호에관한법률) — 국가법령정보센터
- [정보통신망 이용촉진 및 정보보호 등에 관한 법률](https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률) — 국가법령정보센터
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가
- URL: https://datalaw.kr/posts/api-response-unrequested-personal-data/
- 게시 2026-07-29 · 수정 2026-08-23 · 태그: 유출대응, 위탁수탁, 개인정보처리방침, 개인정보보호법
- 요약: 안심번호만 받기로 정책을 바꾼 회사의 API가 실제로는 휴대전화번호까지 전송했습니다. 받는 쪽 시스템에는 13.5만 명분이 보관돼 있었습니다(개인정보위가 2026년 7월 8일 공개한 사례). 요청한 적 없는 항목을 받아 두고 있을 때 받은 쪽이 어떤 조문의 수범자가 되는지, 사고가 나면 누가 신고 의무자인지를 조문 단위로 정리했습니다.
> **핵심 요약**
> 제휴 API 응답에 요청하지 않은 개인정보가 섞여 오고 받은 쪽이 그것을 보유하게 되는 일은 예외적인 사고가 아닙니다. 개인정보위가 2026년 7월 8일 공개한 사례에서는 안심번호만 전송하도록 정책을 바꾼 회사의 API가 실제로는 휴대전화번호까지 보내고 있었고, 받는 쪽 시스템에 13.5만 명분이 보관돼 있었습니다. 위탁이든 제3자 제공이든 받은 쪽은 법 제16조(최소수집), 제21조(파기), 제30조(처리방침), 제34조(통지·신고), 제64조의2(과징금)의 수범자가 됩니다.
제휴사와 연동하면서 우리가 쓰기로 한 것은 주문번호와 수령인 이름뿐입니다. 그런데 응답 JSON을 열어 보면 휴대전화번호 필드가 함께 옵니다.
화면에는 쓰지 않습니다. 개발자는 무시하도록 짜 두었습니다. 그래도 값은 우리 서버까지 왔고, 연동 로그에는 응답 전문이 그대로 적립되고 있습니다.
이 상태를 법은 어떻게 볼까요.
## 이런 일이 실제로 얼마나 있나?
개인정보보호위원회는 2026년 7월 8일 API를 통한 개인정보 유출 예방을 당부하면서 세 가지 사례를 공개했습니다.
한 회사는 권한 관리가 되지 않은 API에 비정상 접근이 이루어져 약 3,700만 명의 이름·주소·이메일·전화번호·생년월일 등이 유출됐습니다. 다른 회사는 이용자 보호를 위해 휴대전화번호 대신 안심번호만 전송하는 것으로 정책을 바꿨는데, 실제 API는 휴대전화번호도 함께 전송하고 있었고 타사 시스템에 약 13.5만 명분이 보관된 사실이 확인됐습니다. 또 다른 회사는 최신 API에는 다중 인증을 적용해 두었으나 계속 동작하던 오래된 API를 통해 별도 권한 확인 없이 고객 데이터를 조회할 수 있었습니다.
개인정보위는 같은 자료에서 API를 제공받아 서비스를 운영하는 사업자도 응답 데이터에 서비스와 무관한 개인정보가 포함되어 있는지 확인하고 즉시 제거해야 한다고 명시했습니다. 점검 대상이 제공하는 쪽에만 있지 않다는 뜻입니다.
## 위탁인지 제공인지부터 정해야 하나?
받은 쪽의 지위를 논할 때 위탁이냐 제3자 제공이냐를 먼저 가르려는 경우가 많습니다. 이 국면에서는 그 구분이 결론을 바꾸지 않습니다.
법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제30조, 제31조, 제34조, 제64조의2 등을 준용하면서 '개인정보처리자'를 '수탁자'로 본다고 정합니다.
위탁이면 준용으로, 제3자 제공이면 자기 자격으로 걸립니다. 어느 경로를 타든 받은 쪽이 같은 조문의 수범자가 됩니다.
## "우리가 요청한 적 없다"는 항변이 되나?
법 제16조 제1항은 목적에 필요한 최소한의 개인정보를 수집하도록 정하고, 이어서 **최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다**고 못 박았습니다.
기준은 요청 여부가 아니라 보유 여부입니다. 연동 규격서에 없는 항목이 응답에 실려 왔고 그것을 걸러내지 않은 채 저장했다면, 최소수집을 입증할 자료는 남지 않습니다.
목적이 없는 데이터는 파기 대상이기도 합니다. 법 제21조 제1항은 처리 목적이 달성되었거나 그 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 정합니다. 애초에 쓸 목적이 없었던 항목은 받은 그 순간부터 여기에 해당할 여지가 큽니다.
## 처리방침과 어긋나는 것이 왜 문제가 되나?
시행령 제31조 제1항 제1호는 '처리하는 개인정보의 항목'을 처리방침에 적도록 정합니다. 법 제30조 제1항 제8호가 위임한 필수 기재사항입니다.
처리방침에 없는 항목이 데이터베이스에 들어 있으면, 그 불일치는 조사가 시작되기 전에 이미 문서로 존재하는 상태가 됩니다.
개인정보위는 2026년 처리방침 평가에서 법령 준수 여부와 함께 실제 개인정보 처리 현황과의 일치성을 평가 항목으로 두고 있고, 올해는 7개 분야 52개 서비스가 대상입니다. 평가와 조사는 별개 절차이지만, 보는 지점이 같습니다.
## 사고가 나면 누가 신고하나?
받은 쪽 시스템에서 데이터가 나갔다면 통지·신고 의무자는 받은 쪽입니다. 법 제34조 제1항은 개인정보처리자가 유출등을 알게 되었을 때를 기준으로 의무를 지우고, 데이터의 출처를 요건으로 삼지 않습니다.
과징금도 마찬가지입니다. 법 제64조의2 제1항 제9호는 개인정보가 유출된 경우를 과징금 사유로 들고, 단서에서 제29조에 따른 안전성 확보 조치를 다한 경우를 면제 사유로 둡니다. 우리가 수집한 것이 아니라는 사정은 두 조문 어디에도 적혀 있지 않습니다.
유출을 인지한 뒤의 절차 전체는 [인지·신고·통지에서 조사·처분·분쟁까지 이어지는 유출 대응 단계](/guides/data-breach-response/)에 정리해 두었습니다. 데이터가 아니라 우리 장비가 상대방 사업장에 놓여 있는 구조에서 같은 질문이 생기는 경우는 [우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가](/posts/who-controls-devices-at-customer-sites/)에서 다뤘습니다.
## 제공한 쪽에는 무엇을 물을 수 있나
연동 규격서에 없는 항목을 보낸 것이 계약 위반으로 구성될 여지는 있습니다. 다만 받은 쪽이 걸러내지 않은 사정이 함께 평가되므로, 계약서에 응답 항목의 범위와 초과 전송 시의 처리 의무가 적혀 있는지에 따라 결론이 갈립니다.
이 구조는 위탁 사고에서 위탁사와 수탁사 사이에 벌어지는 책임 배분과 같은 축에 있습니다. 그 부분은 [수탁사 직원의 실수로 개인정보가 유출됐을 때 위탁사의 책임 범위](/posts/processor-breach-consignor-liability/)에서 다뤘습니다.
연동으로 흘러들어온 데이터가 어느 근거로 우리 서버에 남아 있느냐는 질문은 회사를 사는 쪽에서도 나옵니다. 실사 자료에 데이터 확보 경로가 대리 전송이나 자동화 연동으로 적혀 있을 때 앞으로의 유입과 이미 쌓인 축적분을 갈라 보는 방법은 [8월 20일 뒤에 남는 근거와 사라지는 근거](/posts/scraped-data-asset-due-diligence/)에서 정리했습니다.
## 이 문제가 조사에서 드러나는 방식
이 사안은 확인 비용이 거의 들지 않습니다. API 응답 스키마 한 장과 처리방침 한 페이지를 나란히 놓으면 됩니다. 포렌식도, 로그 분석도 필요하지 않습니다.
연동 규격서와 그 변경 이력은 언제부터 그 항목을 보유했는지를 가리키는 자료가 됩니다. 정책을 바꿨는데 API는 그대로였다면, 바꾼 시점의 회의록과 배포 기록이 오히려 인지 시점을 앞당기는 근거로 읽힐 수 있습니다.
지금 할 수 있는 점검은 세 가지를 나란히 놓는 일입니다. 응답 필드 목록, 처리방침에 적힌 항목, 실제 저장 컬럼과 로그. 셋이 어긋나는 지점이 그대로 답이 됩니다.
## 자주 묻는 질문
### API 응답으로 받기는 했지만 저장하지 않고 버렸습니다. 그래도 문제가 되나요?
저장하지 않았다는 사실을 스스로 입증할 수 있어야 합니다. 개인정보 보호법 제16조 제1항은 목적에 필요한 최소한의 수집이라는 점의 입증책임을 개인정보처리자에게 지우고 있습니다. 실무에서는 애플리케이션 코드가 해당 필드를 쓰지 않더라도 접근로그·에러로그·중계 서버 캐시에 값이 남는 경우가 많으므로, 응답 필드 목록과 실제 저장·기록 지점을 함께 확인해야 판단이 가능합니다.
### 제휴사와 위탁계약을 맺고 받은 데이터인데, 그러면 제공한 쪽 책임 아닌가요?
위탁으로 구성해도 받은 쪽이 의무에서 빠지지는 않습니다. 법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제30조, 제31조, 제34조, 제64조의2 등을 준용하면서 '개인정보처리자'를 '수탁자'로 본다고 정하고 있습니다. 위탁이면 준용으로, 제3자 제공이면 자기 자격으로 걸리므로 구분과 무관하게 같은 조문의 수범자가 됩니다.
### 제휴사가 보내준 항목이라 우리 처리방침에는 쓰지 않아도 되지 않나요?
보유하고 있다면 써야 합니다. 시행령 제31조 제1항 제1호는 '처리하는 개인정보의 항목'을 처리방침 필수 기재사항으로 정하고 있고(법 제30조 제1항 제8호 위임), 기준은 어디에서 왔는지가 아니라 지금 처리하고 있는지입니다. 개인정보위는 2026년 처리방침 평가에서 실제 개인정보 처리 현황과의 일치성을 평가 항목으로 두고 있습니다.
받은 쪽과 준 쪽 중 누가 어느 지위에 서는지는 이 사안 하나로 끝나지 않습니다. 위탁·수탁·제3자 제공을 가르는 기준과 자리마다 달라지는 책임은 [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)에 모아 두었습니다.
## 참고 자료
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제16조, 제21조, 제26조 제8항, 제29조, 제30조, 제34조, 제64조의2
- 개인정보 보호법 시행령(대통령령 제36340호) 제31조 제1항
- 개인정보보호위원회, 「개인정보위, 응용프로그램 인터페이스(API) 활용 확대에 따른 개인정보 유출 예방 당부」 (2026년 7월 8일 보도자료, [원문](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12241))
- 개인정보보호위원회, 「개인정보 처리방침 평가, 국민 눈높이에서 더 꼼꼼히 본다」 (2026년 7월 6일 보도자료, [원문](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12236))
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 인수한 회사에 개인정보 과징금이 나왔습니다 — 매도인에게 데이터 항목 진술보증 위반 책임을 물을 수 있나
- URL: https://datalaw.kr/posts/ma-reps-warranties-privacy-claims/
- 게시 2026-07-29 · 수정 2026-09-11 · 태그: 기업인수, 과징금제재, 개인정보보호법
- 요약: 실사에서 개인정보는 체크리스트 한 줄로 지나가고, 진술보증에는 '관련 법령을 준수하고 있다'는 한 문장이 들어갑니다. 클로징 뒤에 개인정보보호위원회 처분이 나오면 그 문장이 무슨 일을 하는지, 대법원 2012다64253·2017다6108 판결과 개인정보 보호법 제27조·제64조의2·제66조로 정리했습니다.
> **핵심 요약**: M&A 계약의 진술보증 위반은 일종의 채무불이행 책임이고, 대상회사가 부담한 과징금·벌금·소송비용이 매수인의 손해에 포함될 수 있습니다(대법원 2018. 10. 12. 선고 2017다6108 판결). 매수인이 계약 체결 당시 위반사실을 알았더라도 계약서에 악의를 배제하는 문언이 없는 한 배상 청구가 곧바로 막히지는 않습니다(대법원 2015. 10. 15. 선고 2012다64253 판결). 개인정보 항목은 위반이 상태로 이어지고, 통지 의무가 유출등을 알게 된 때를 기산점으로 하며(개인정보 보호법 제34조 제1항), 과징금이 전체 매출액에 연동된다는 점(제64조의2)에서 다른 진술보증 항목과 다릅니다.
클로징 몇 달 뒤 대상회사에 개인정보보호위원회의 처분이 나옵니다. 매수인 법무팀이 계약서를 다시 꺼내는 순간입니다.
실사에서 개인정보는 대개 체크리스트의 한 줄로 지나가고, 진술보증 문단에도 "대상회사는 개인정보 관련 법령을 준수하고 있다" 한 문장이 들어가고 끝납니다. 그 한 문장이 사고 뒤에 무슨 일을 하는지가 이 글의 주제입니다.
## 대상회사에 나온 과징금을 매도인에게 물을 수 있나
대법원은 매도인이 대상회사의 상태에 관하여 사실과 달리 진술보증을 해 매수인에게 손해를 입혔다면 **일종의 채무불이행 책임**이 성립한다고 봅니다(대법원 2018. 10. 12. 선고 2017다6108 판결). 진술보증 조항과 손해배상 조항이 함께 있으면 그 조항대로 가고, 손해배상 조항이 없으면 민법 제390조를 비롯한 관련 규정으로 판단합니다.
손해의 범위도 실질적입니다. 기업지배권이 이전되는 시점 이전의 사유로 대상회사에 우발채무가 발생하면 특별한 사정이 없는 한 그 금액이 매수인의 손해이고, 대법원은 대상회사가 부담한 과징금·벌금·소송비용을 손해로 평가할 수 없다고 한 원심을 파기했습니다. 그 사건에서 대상회사가 실제로 부담한 것은 공정거래위원회 과징금 475억 2,200만 원(취소소송 등을 거쳐 145억 1,100만 원으로 재산정), 벌금 2억 원, 소송비용 약 7억 2,684만 원입니다. 이 금액들이 [어떤 방법으로 손해배상액이 되는지](/posts/reps-warranties-damage-calculation/)는 따로 정리했습니다.
## 실사에서 이미 알고 있었다면 못 무는 것 아닌가
같은 사건의 앞선 상고심에서 원심은 매수인이 담합에 직접 참여해 위반사실을 알고 있었으므로 신의칙상 청구가 허용되지 않는다고 봤습니다. 대법원의 결론은 달랐습니다(대법원 2015. 10. 15. 선고 2012다64253 판결).
근거는 두 가지입니다. 계약서에 악의의 매수인을 배제하는 문언이 없었고, 진술보증 조항의 목적인 불확실한 상황에 관한 경제적 위험의 배분과 대금의 사후 조정은 매수인이 사실과 다른 부분을 알았던 경우에도 여전히 필요하다는 것입니다. 대법원은 유효하게 성립한 계약상 책임을 공평의 이념이나 신의칙 같은 일반원칙으로 제한하는 것은 극히 예외적으로만 인정해야 한다고도 판시했습니다.
갈림길은 위반을 발견했느냐가 아니라 계약 문언을 어떻게 두었느냐입니다. 다만 대법원은 특별한 사정의 여지를 남겼고, 조사 개시가 양수도 실행일 이후여서 계약 체결 당시 거액의 과징금 부과 가능성을 예상했다고 보기 어렵다는 사실관계도 판단에 들어갔습니다.
## 개인정보 항목은 다른 진술보증 항목과 무엇이 다른가
첫째, 위반이 상태로 이어집니다. 담합은 행위 시점이 비교적 뚜렷하지만, 동의 근거가 부실한 DB나 근거가 정리되지 않은 국외이전은 클로징 뒤에도 계속 처리되기 때문에 지배권 이전 시점 이전의 사유인지가 곧바로 갈리지 않습니다.
둘째, 유출은 인지 시점이 따로 있습니다. 법 제34조 제1항의 통지 의무는 유출등을 **알게 된 때**를 기산점으로 삼습니다. 사고는 딜 이전에 있었는데 인지가 딜 이후라면, [유출을 인지한 시점부터 움직이는 통지·신고 절차](/guides/data-breach-response/)를 밟는 것은 인수한 회사입니다.
셋째, 금액이 회사 규모에 연동됩니다. 과징금 상한은 전체 매출액의 100분의 3이고(법 제64조의2 제1항), 산정 기준은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액입니다(같은 조 제3항). 2026년 9월 11일 시행 개정법은 제64조의2 제2항을 **신설**해 세 경우에 상한을 100분의 10으로 올렸습니다. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 호의 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정), 고의 또는 중대한 과실로 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우, 시정조치 명령에 따르지 않아 유출등에 이른 경우입니다.
⚠️ **인용할 때 항 번호에 주의해야 합니다.** 위 신설로 항 번호가 밀려, 산정 기준 조항은 9월 11일부터 제2항이 아니라 **제3항**입니다(문언도 "제1항 및 제2항에 따른 과징금을 부과하려는 경우"로 확장됐습니다). 계약서나 의견서에서 옛 제2항을 인용해 두었다면 지금은 어긋납니다.
딜 이후 커진 회사에 처분이 나오면 매도인이 상정한 위험의 크기와 실제 금액이 달라집니다. 배상 한도(cap)를 어디에 두느냐의 문제가 됩니다.
### 배상 한도를 거래대금 기준으로만 잡으면 어긋나는 이유
M&A 계약의 배상 한도는 대개 거래대금의 일정 비율로 정해집니다. 개인정보 항목에서 이 방식이 어긋나는 이유는 두 가지입니다.
첫째, **한도의 기준이 서로 다른 값에 연동돼 있습니다.** 거래대금은 클로징 시점에 고정되지만 과징금 상한은 대상회사의 전체 매출액에 붙어 있어 딜 이후 회사가 커지면 함께 커집니다. 매출액이 없거나 산정이 곤란한 경우로서 대통령령으로 정하는 경우의 상한은 20억 원입니다. 9월 11일 이후에도 일반 위반은 20억 원 그대로이고, 중대·반복 위반(개정법 제64조의2 제2항 각 호)에 해당할 때만 50억 원이 됩니다(법 제64조의2 제1항 단서, 개정법 같은 조 제2항 단서).
둘째, **위 세 경우 중 첫 번째는 요건이 좁습니다.** 시행일 이후 발생한 위반행위로 과징금 부과처분을 받고, 그 날부터 3년 안에 같은 호의 위반이 반복되어야 적용 상한이 10% 구간으로 옮겨 갑니다(부칙 제3조 제1항). 시행 전에 받은 처분은 이 가중의 기산점이 아니므로, 처분 이력 확인은 처분을 받은 날짜와 근거 호를 특정하는 데까지 가야 인수 후 익스포저의 크기를 제대로 가늠할 수 있습니다. 그 이력을 어디까지 확인할 수 있는지는 아래 「실사에서 이 진술을 어떻게 검증하나」에서 다시 다룹니다.
다만 실제 부과액은 상한이 아니라 산정 기준에 따라 정해지고 감경 절차가 따로 있으므로, 상한이 올라간다는 사실을 곧바로 예상 부과액의 변화로 읽어서는 안 됩니다.
## 주식양수도인지 영업양수도인지에 따라 무엇이 달라지나
영업의 전부 또는 일부의 양도나 합병 등으로 개인정보가 이전되면 법 제27조가 딜 자체에 붙습니다. 양도인은 이전하려는 사실, 이전받는 자의 명칭과 주소·연락처, 이전을 원하지 않는 정보주체가 조치할 수 있는 방법과 절차를 미리 알려야 하고(제1항), 양수인도 이전받은 사실을 지체 없이 알려야 합니다(제2항). 양수인은 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공할 수 있고, 이 경우 개인정보처리자로 봅니다(제3항).
과거 위반의 승계와 별개로 **클로징 행위 자체가 새로운 의무를 만든다**는 뜻입니다. 주식양수도는 법인격이 유지되므로 이 이전 통지 트랙이 문제되지 않는 것이 보통입니다. 포괄적 주식교환(상법 제360조의2)이나 소규모 주식교환(상법 제360조의10)으로 대상회사를 완전자회사로 편입하는 구조도 같습니다. 고객 개인정보를 보유한 법인 자체는 그대로이므로 제27조의 이전 통지가 붙지 않습니다. 다만 클로징 이후에 모회사 등 다른 법인이 그 고객 데이터를 넘겨받아 쓰는 단계는 제27조가 아니라 제3자 제공(제17조)이나 처리위탁(제26조)의 문제이고, 그 근거는 따로 갖춰야 합니다.
제27조가 덮지 않는 구간은 클로징 이후만이 아닙니다. 거래가 성사되기 전 데이터룸에 올라가는 실사 자료도 같은 이유로 제17조로 돌아오는데, 그 제공을 무엇으로 설명해야 하는지는 [실사 자료로 고객 개인정보를 넘겨받았습니다](/posts/business-transfer-notice-both-parties/)에서 따로 다뤘습니다.
이 두 통지가 실제로 어떻게 갈리는지는 [파는 쪽과 사는 쪽에 각각 붙는 통지 의무](/posts/business-transfer-notice-both-parties/)에서 따로 다뤘습니다. 제2항에는 파는 쪽이 먼저 알리면 사는 쪽 의무가 사라지는 단서가 있고, 개인정보보호위원회는 같은 거래의 양도인과 양수인에게 같은 날 각각 과태료를 부과한 적이 있습니다.
## 실사에서 이 진술을 어떻게 검증하나
법 제66조 제1항은 개선권고, 시정조치 명령, 과징금의 부과, 고발 또는 징계권고, 과태료 부과의 내용과 결과를 개인정보보호위원회가 공표할 수 있게 하고, 제2항은 처분을 받은 자에게 그 사실을 공표하도록 명할 수 있게 합니다. 처분 이력은 이 창구로 어느 정도 확인되지만, 조사가 진행 중이거나 아직 공표되지 않은 단계는 잡히지 않습니다. 그 공백을 메우는 것이 위 판결 사안에 등장하는 문언, 즉 행정법규를 위반한 사실이 없고 행정기관으로부터 조사를 받고 있거나 협의를 진행하는 것이 없다는 유형의 진술입니다.
## 그래서 사고가 나면 이 문장들이 어떻게 쓰이는가
딜 이후에 유출을 인지하면 통지 의무를 지는 것은 인수한 회사입니다. 그때 남긴 인지 시점 기록, 원인 규명 자료, 통지·신고 이력이 나중에 지배권 이전 시점 이전의 사유인지를 가르는 증거가 됩니다.
사고 대응 문서는 규제 대응 문서이면서 동시에 딜 클레임의 증거입니다. [수탁 구조에서 사고가 났을 때의 책임 배분](/posts/processor-breach-consignor-liability/)이 그렇듯, 사고 이후의 셈은 사고 당시 만들어 둔 기록 위에서 이루어집니다.
---
*본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.*
위반이 클로징 뒤에도 계속되고 있는 상태라면 매도인에게 물을 수 있는 구간이 어디까지인지가 다시 문제됩니다. 그 경계는 [클로징 뒤에도 이어지는 위반의 구간](/posts/reps-warranties-pre-closing-cause/)에서 정리했습니다.
**선례 확인** — 개인정보위가 실제로 부과한 과징금·과태료·시정명령은 [개인정보위 제재 결정문 전수 DB](/sanctions/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### Q. 실사에서 개인정보 위반을 발견했는데도 진술보증 위반을 이유로 배상을 청구할 수 있나요?
대법원 2015. 10. 15. 선고 2012다64253 판결은 계약서에 악의의 매수인을 배제하는 문언이 없고 진술보증 조항의 위험 배분과 대금 사후 조정 기능은 매수인이 위반사실을 알았던 경우에도 인정된다고 보아, 신의칙을 이유로 청구를 배척한 원심을 파기했습니다. 다만 대법원은 특별한 사정의 여지를 남겼고 조사 개시 시점 같은 사실관계도 판단에 넣었으므로, 계약 문언과 사안에 따라 결론이 달라질 수 있습니다.
### Q. 대상회사에 부과된 과징금이 매수인의 손해가 되나요?
대법원 2018. 10. 12. 선고 2017다6108 판결은 기업지배권이 이전되는 시점 이전의 사유로 대상회사에 우발채무가 발생하면 특별한 사정이 없는 한 그 금액이 진술보증 위반으로 매수인이 입는 손해라고 보고, 대상회사가 부담한 과징금·벌금·소송비용을 손해로 평가할 수 없다고 한 원심을 파기했습니다. 구체적인 범위는 계약의 손해배상 조항과 그 해석에 따라 정해집니다.
### Q. 영업양수도로 인수하면 개인정보 측면에서 추가로 해야 할 일이 있나요?
개인정보 보호법 제27조 제1항에 따라 양도인은 개인정보를 이전하려는 사실, 이전받는 자의 명칭·주소·연락처, 이전을 원하지 않는 정보주체가 조치할 수 있는 방법과 절차를 미리 알려야 합니다. 같은 조 제2항에 따라 양수인도 이전받은 사실을 지체 없이 알려야 하고, 제3항에 따라 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제공할 수 있으며 이 경우 개인정보처리자로 봅니다.
### Q. 주식양수도나 주식교환 방식으로 인수하면 개인정보 이전 통지를 안 해도 되나요?
주식양수도, 그리고 포괄적 주식교환(상법 제360조의2)·소규모 주식교환(상법 제360조의10)으로 완전자회사를 만드는 구조에서는 고객 개인정보를 보유한 법인 자체가 바뀌지 않으므로 개인정보 보호법 제27조의 이전 통지 트랙이 문제되지 않는 것이 보통입니다. 다만 클로징 이후 모회사 등 다른 법인이 그 고객 데이터를 넘겨받아 쓰는 단계는 제27조가 아니라 제3자 제공(제17조)이나 처리위탁(제26조)의 문제이므로, 데이터 통합 계획이 있다면 그 근거를 따로 갖춰야 합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) — 국가법령정보센터
- [민법](https://www.law.go.kr/법령/민법) — 국가법령정보센터
- [상법](https://www.law.go.kr/법령/상법) — 국가법령정보센터
- [대법원 2018. 10. 12. 선고 2017다6108 판결](https://www.law.go.kr/판례/%282017다6108%29) — 국가법령정보센터
- [대법원 2015. 10. 15. 선고 2012다64253 판결](https://www.law.go.kr/판례/%282012다64253%29) — 국가법령정보센터
---
# 랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나: 9월 11일부터 달라진 '유출등'의 범위
- URL: https://datalaw.kr/posts/ransomware-corruption-breach-notification/
- 게시 2026-07-29 · 수정 2026-09-11 · 태그: 유출대응, 개인정보보호법
- 요약: 2026년 9월 11일 시행 개정 개인정보 보호법은 통지·신고 대상인 '유출등'에 위조·변조·훼손을 추가했습니다. 데이터가 밖으로 나간 것이 확인되지 않아도 랜섬웨어 암호화만으로 72시간 시계가 돌 수 있습니다. 개정 전과의 차이, 정의 조문의 위치가 남긴 쟁점, 대응 시계의 기산점을 조문 단위로 정리했습니다.
> **핵심 요약**
> 2026년 9월 11일 시행된 개정 개인정보 보호법은 통지·신고 대상인 "유출등"에 위조·변조·훼손을 추가했습니다(법률 제21445호 제23조 제2항, 제34조 제1항). 개정 전에는 제34조 안에서만 통용되는 약칭으로 분실·도난·유출 세 가지만 규정하고 있어, 랜섬웨어로 파일이 암호화되기만 하고 외부 유출이 확인되지 않은 사고는 문언상 통지·신고 대상이 아니었습니다. 9월 11일 이후에는 데이터가 밖으로 나갔는지 확인되지 않아도 훼손 사실만으로 72시간 시계가 돌 수 있습니다.
랜섬웨어에 감염되면 대응팀이 가장 먼저 확인하는 것은 데이터가 밖으로 나갔는지입니다. 암호화만 됐고 외부 전송 로그가 없으면 대체로 안도합니다. 신고 의무는 "유출"에 걸리는 것이니 유출이 없으면 신고도 없다고 보기 때문입니다.
이 판단은 2026년 9월 10일까지만 맞습니다.
## 지금은 왜 암호화만으로는 신고 대상이 아닌가?
현행 법 제34조 제1항은 '개인정보가 분실·도난·유출(이하 이 조에서 유출등이라 한다)되었음을 알게 되었을 때'로 시작합니다. 괄호 안의 '이 조에서'가 핵심입니다. 세 가지 사유의 목록이 제34조 안에서만 통용되는 약칭이라는 뜻입니다.
시행령도 같은 구조입니다. 제39조 제1항이 '분실·도난·유출(이하 이 조 및 제40조에서 유출등이라 한다)'이라고 쓰고 있어, 통지 72시간과 신고 72시간이 모두 이 세 가지에 걸려 있습니다. 그래서 파일이 암호화되어 읽을 수 없게 됐을 뿐 외부로 나간 정황이 없다면, 문언만 놓고 보면 통지·신고 의무는 발생하지 않습니다.
## 9월 11일부터 무엇이 달라졌나?
개정법(법률 제21445호, 2026년 3월 10일 공포)은 제34조 제1항에서 정의를 통째로 들어냈습니다. 개정된 문언은 '개인정보가 유출등이 되었음을 알게 되었을 때'로만 되어 있습니다.
정의는 제23조 제2항으로 옮겨졌습니다. '분실·도난·유출·위조·변조 또는 훼손(이하 유출등이라 한다)'. 여기에는 '이 조에서'라는 한정이 없습니다.
세 가지가 여섯 가지가 됐고, 그 목록이 제34조에 그대로 들어왔습니다. 랜섬웨어 암호화는 데이터를 원래 상태로 쓸 수 없게 만드는 행위이므로 훼손에 해당할 여지가 큽니다. 밖으로 나갔는지 확인하기 전에 이미 통지 의무의 요건이 채워질 수 있다는 뜻입니다. 유출등 정의 외에 이번 개정이 바꾸는 조문 전체는 [2026년 9월 11일 시행 개정 개인정보 보호법 신구조문 대조표](/posts/pipa-2026-amendment-comparison/)에서 확인할 수 있습니다. 9월 11일 앞뒤로 시행되는 다른 IT·개인정보 법령까지 한 줄로 보려면 [시행일 캘린더](/timeline/)를 함께 보시면 됩니다.
## 정의 조문이 민감정보 조항에 있는 것은 문제가 되나?
쟁점이 하나 남습니다. 제23조는 민감정보의 처리 제한을 정한 조문이고, 제2항은 '민감정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록'으로 시작합니다. 약칭 정의가 민감정보를 주어로 하는 문장 안에 놓여 있습니다.
그렇다고 이 정의가 민감정보에만 적용된다고 읽기는 어렵습니다. 제34조 제1항이 자체 정의를 없앴으므로 그 조문의 유출등이 무엇인지 알려면 제23조 제2항으로 갈 수밖에 없고, 그때 주어는 개인정보로 바뀝니다.
결론은 같지만 입법 형식이 깔끔하지는 않습니다. 2026년 9월 10일 공포된 시행령(대통령령 제36671호)은 제30조의2 제2항 제1호에서 「분실·도난·유출·위조·변조 또는 훼손(이하 유출등이라 한다)」으로 약칭을 정의하고 제39조·제40조·제48조의7의 문언을 「유출등」으로 정비해, 시행령 차원에서도 여섯 가지가 통지·신고 대상임을 전제로 삼았습니다. 개인정보위 해설서가 이 지점을 어떻게 정리하는지는 더 볼 필요가 있습니다.
## 그러면 대응 시계는 언제부터 도나?
기산점은 사고 발생이 아니라 '알게 되었을 때'입니다. 랜섬웨어에서 이 시점은 대체로 암호화를 인지한 때이지, 유출 여부를 조사해 결론을 낸 때가 아닙니다.
통지와 신고는 요건이 다릅니다. 정보주체 통지는 규모나 유형을 따지지 않고 모든 유출등에 걸립니다(법 제34조 제1항, 시행령 제39조 제1항). 신고는 1천 명 이상, 민감정보·고유식별정보, 또는 개인정보처리시스템에 대한 외부로부터의 불법적인 접근 중 하나에 해당할 때 걸립니다(시행령 제40조 제1항 각 호). 랜섬웨어는 세 번째 요건에 정면으로 해당합니다.
항목과 경위를 아직 모른다는 것은 미룰 사유가 되지 않습니다. 확인된 내용만 우선 통지·신고하고 나머지는 확인되는 즉시 알리는 것이 시행령이 정한 절차입니다(제39조 제2항, 제40조 제2항). 72시간 절차의 전체 구조는 [유출 사고 72시간 대응의 조문별 기준](/guides/data-breach-response/)에 정리해 두었습니다.
## 이 차이가 조사에서 어떻게 드러나나
조사 국면에서 이 변화는 '신고를 했는가'가 아니라 '언제 했는가'로 나타납니다. 암호화를 인지한 날과 신고한 날 사이의 간격은 접속기록과 사내 메일에 그대로 남습니다. 유출 여부를 조사하느라 시간이 필요했다는 설명은 9월 11일 이후 오히려 기산점을 잘못 잡았다는 기록이 될 수 있습니다.
빈도로 보아도 예외적인 상황을 겨냥한 개정이 아닙니다. 개인정보보호위원회와 한국인터넷진흥원이 2026년 5월 15일 발간한 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」에 따르면, 2025년 유출 신고 447건 중 해킹이 62%(276건)로 가장 큰 비중이었습니다. 해킹으로 인한 유출은 전년 171건에서 276건으로 늘었습니다.
해킹 유형별로는 랜섬웨어·웹셸 등 악성코드가 35%(96건)로 1위였습니다. 개인정보위도 같은 자료에서 랜섬웨어 유포와 대형 수탁사를 노린 공급망 공격의 확대를 증가 원인으로 지목했습니다. 가장 흔한 사고 유형이 정의 확대의 사정권 한가운데에 있습니다.
과징금의 관점에서도 이 확인은 무게가 다릅니다. 2026년 10월 1일 시행되는 개정 정보통신망법 **제48조의8**은 반복되는 침해사고에 대한 과징금을 새로 두었는데, 개인정보가 유출된 사고인지에 따라 개인정보 보호법과 정보통신망법 중 어느 법의 과징금으로 가는지가 갈리고, 개인정보 유출이 없는 침해사고가 정보통신망법 과징금의 자리입니다. 랜섬웨어 사고에서 개인정보가 나갔는지가 확인되지 않으면 이 갈림 자체가 정해지지 않는 셈인데, 두 법이 갈리는 구조는 [침해사고에 과징금이 두 번 나올 수 있나](/posts/dual-fine-exclusion-network-act/)에서 정리했습니다.
**선례 확인** — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 [개인정보 유출 통지·신고 위반 제재 사례](/sanctions/article-34/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### 랜섬웨어로 암호화됐지만 백업으로 전부 복구했습니다. 그래도 통지해야 하나요?
복구했다는 사정은 통지 의무를 없애지 않습니다. 법 제34조 제1항은 유출등을 알게 된 때를 기준으로 통지 의무를 지우고 복구를 면제 사유로 들지 않습니다. 신고 쪽에는 유출등의 경로가 확인되어 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있다는 규정이 있지만(시행령 제40조 제1항 단서 후단), 정보주체 통지에는 이에 대응하는 면제 규정이 없습니다. 다만 이 단서가 밖으로 나간 정황이 없는 훼손 사고에 어떻게 적용되는지는 시행령 개정으로 정리되어야 할 부분입니다.
### 9월 10일에 감염되고 9월 12일에 인지했다면 개정법과 개정 전 법 중 어느 쪽이 적용되나요?
개정법입니다. 법률 제21445호 부칙 제2조 제1항은 제34조 제1항 및 제4항의 개정규정을 '이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터' 적용하도록 정하고 있습니다. 기준은 사고가 언제 발생했는지가 아니라 언제 알게 되었는지입니다. 시행일 직전에 발생한 사고라도 인지가 9월 11일 이후라면 확대된 정의를 전제로 판단해야 합니다.
신고 여부를 가른 다음 이어지는 조사·처분 단계는 [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](/guides/data-breach-response/)에 순서대로 있습니다.
## 참고 자료
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제34조
- 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포, 2026년 9월 11일 시행) 제23조 제2항, 제34조, 부칙 제2조
- 개인정보 보호법 시행령(대통령령 제36340호) 제39조, 제40조
- 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」 (2026년 5월 15일 보도자료, [원문](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12078))
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
---
# 본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가
- URL: https://datalaw.kr/posts/mydata-transfer-right-who-and-when/
- 게시 2026-07-29 · 수정 2026-09-11 · 태그: 마이데이터, 개인정보보호법
- 요약: 매출 1,800억원 초과 민간 기업이 전송 요구를 받는 것은 2027년 2월 20일부터입니다. 개정 시행령(대통령령 제36121호)이 2026년 8월 20일 시행됐지만 그렇습니다. 반면 스크래핑으로 데이터를 받아가는 대리인 측에는 8월 20일부터 사전협의 의무와 저장 금지가 걸립니다. 정보를 보내는 쪽과 받는 쪽에 각각 걸리는 날짜와 의무를 조문 단위로 정리했습니다.
> **핵심 요약**: 개인정보 보호법 시행령 일부개정령(대통령령 제36121호, 2026년 2월 19일 공포)은 공포 후 6개월이 경과한 2026년 8월 20일 시행됐습니다. 다만 평균매출액등 1,800억원 초과 민간 기업을 대상으로 삼는 제42조의2 제1항 제1호는 부칙 단서에 따라 공포 후 1년이 경과한 2027년 2월 20일부터 시행되므로, 일반 기업이 8월 20일에 곧바로 전송 요구를 받는 것은 아닙니다. 반대로 스크래핑 등 자동화된 도구로 정보를 받아가는 대리인 측에는 8월 20일부터 시행령 제42조의6 제3항 제1호 나목의 사전협의 요건과 같은 조 제5항의 저장 금지가 적용됩니다. 즉 같은 시행일이 정보를 보내는 쪽과 받아가는 쪽에 전혀 다른 의미를 갖습니다.
"본인전송요구권이 8월 20일부터 전 분야로 확대된다"는 기사를 보고 우리 회사도 당장 무언가를 준비해야 하는지 묻는 경우가 많습니다.
답은 회사가 어느 쪽에 서 있는지에 따라 갈립니다. 고객 정보를 보유하고 있어서 전송 요구를 받게 되는 쪽인지, 아니면 고객을 대신해 다른 회사에 있는 정보를 받아오는 쪽인지입니다. 두 지위에 걸리는 날짜도 의무도 서로 다릅니다.
그런데 "전 분야 확대"라는 표현이 이 구분을 덮어버립니다.
## 우리 회사도 8월 20일부터 전송 요구를 받게 되나?
대부분의 민간 기업은 그렇지 않습니다.
전송 요구의 상대방이 누구인지는 법이 정하지 않았습니다. 개인정보 보호법 제35조의2 제1항은 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"라고만 쓰고 시행령에 넘겼습니다. 그 기준을 처음으로 채운 것이 이번에 신설된 시행령 제42조의2 제1항이고, 여기가 세 갈래로 나뉩니다.
제1호가 규모 기준입니다. 「중소기업기본법 시행령」에 따라 산정한 평균매출액등이 1,800억원을 넘어야 하고, 여기에 더해 민감정보나 고유식별정보를 처리하는 정보주체가 5만 명 이상이거나 개인정보를 처리하는 정보주체가 100만 명 이상이어야 합니다. 매출 요건과 규모 요건을 함께 넘겨야 대상이 됩니다. 각급 학교와 「의료법」 제3조의 의료기관은 빠집니다. 정보주체 수는 전년도 말 기준 직전 3개월간 일일평균으로 셉니다.
나머지 둘은 짧습니다. 제2호는 공공시스템운영기관이고, 제3호는 법 제35조의2 제2항에 따른 개인정보처리자, 즉 보건의료·통신·에너지 분야의 지정된 사업자입니다.
여기서 시행일이 갈립니다. 부칙(대통령령 제36121호)은 "이 영은 공포 후 6개월이 경과한 날부터 시행한다"고 하면서, 단서로 "제42조의2제1항제1호의 개정규정은 공포 후 1년이 경과한 날부터 시행한다"고 정했습니다. 공포일이 2026년 2월 19일이니 본칙은 2026년 8월 20일, 제1호는 **2027년 2월 20일**입니다.
즉 올 8월에 본인전송요구의 상대방이 되는 것은 공공시스템운영기관과 보건의료·통신·에너지 사업자입니다. 매출과 처리 규모로 걸리는 일반 민간 기업은 그 6개월 뒤에 들어옵니다.
물론 2027년 2월도 코앞입니다. 다만 8월에 준비가 덜 됐다고 해서 그것이 곧바로 위반이 되지는 않는다는 점은 짚어 둘 만합니다.
## 요구를 받으면 가진 정보를 전부 보내야 하나?
아닙니다. 제외되는 정보가 법과 시행령 양쪽에 있습니다.
법 제35조의2 제1항은 전송 요구의 대상이 되려면 세 요건을 모두 충족하라고 정합니다. 제1호는 처리 근거를 제한합니다. 동의를 받아 처리되는 개인정보(제15조 제1항 제1호, 제23조 제1항 제1호, 제24조 제1항 제1호), 계약을 이행하거나 계약 체결 과정에서 정보주체의 요청에 따른 조치를 하기 위해 처리되는 개인정보(제15조 제1항 제4호), 그리고 법령상 의무나 공공의 이익 등을 근거로 처리되는 정보 중 관계 중앙행정기관의 요청에 따라 개인정보보호위원회가 심의·의결해 전송 대상으로 지정한 정보. 이 셋뿐입니다.
제2호가 더 실질적입니다. "개인정보처리자가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보"는 대상에서 빠집니다. 회사가 자체 로직으로 만들어낸 등급, 점수, 세그먼트, 추천 결과가 여기 해당합니다. 수집한 원본을 그대로 내주는 것과 그것을 가공해 만든 결과물을 내주는 것은 정보주체의 자기결정권이 미치는 범위가 다르다는 취지로 읽히고, 실제로 기업이 가장 지키고 싶어 하는 자산도 대체로 후자 쪽에 있습니다.
여기에 시행령 제42조의4 제1항이 세 가지를 더 뺍니다. 전송 요구로 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보, 「부정경쟁방지 및 영업비밀보호에 관한 법률」의 영업비밀이나 「산업기술의 유출방지 및 보호에 관한 법률」의 산업기술처럼 다른 법령에 따라 보호가 필요한 정보, 그리고 복호화되지 않도록 일방향 암호화하여 저장된 정보입니다.
마지막 항목은 실무에서 자주 걸립니다. 비밀번호처럼 단방향 해시로만 저장한 값은 애초에 되돌릴 수 없으니 보낼 방법도 없습니다.
반대 방향도 열려 있습니다. 시행령 제42조의4 제3항은 의무 범위 밖의 정보라도 회사가 스스로 정해 전송할 수 있게 했고, 이를 "자율전송정보"라 부릅니다. 의무와 자율의 경계는 요구를 받은 뒤에 정하는 것보다 미리 그어 두는 편이 낫습니다.
## 스크래핑으로 데이터를 받아가는 쪽이라면
이쪽은 8월 20일이 곧바로 의미를 갖습니다.
자산관리·가계부·보험 분석·HR 서비스처럼 고객을 대신해 다른 기관의 정보를 긁어오는 구조는, 법 제38조 제1항의 대리인으로 전송 요구를 하는 형태가 됩니다. 제38조 제1항은 열람·전송·정정·삭제 등의 요구를 대리인에게 하게 할 수 있다고 정하고, 2023년 개정으로 제35조의2의 전송이 여기 명시적으로 들어왔습니다.
시행령이 이 경로에 조건을 셋 붙였습니다.
먼저 사전협의입니다. 시행령 제42조의6 제3항 제1호 나목은 "정보주체가 법 제38조제1항에 따라 본인전송요구를 하게 한 대리인이 **자동화된 도구**를 이용하는 경우에는 개인정보의 안전성 확보를 위하여 본인대상정보전송자와 해당 대리인이 **사전에 협의한 방식**일 것"을 요구합니다. 스크래핑이 여기 말하는 자동화된 도구입니다.
협의를 마치면 얻는 것도 있습니다. 제42조의5 제2항은 대리인이 사전에 협의한 방식으로 전송을 요구하면 본인대상정보전송자가 **정당한 사유 없이 거절해서는 안 된다**고 정합니다. 사전협의는 부담이면서 동시에 근거입니다. 협의가 끝난 뒤에는 상대 기업이 임의로 연결을 끊기 어려워집니다.
세 번째가 무겁습니다. 제42조의6 제5항은 "정보주체의 본인전송요구를 대리한 대리인은 개인정보를 **저장하지 않고 본인에게 전달해야 한다**"고 정합니다. 조문 한 줄이 사업 구조를 직접 건드립니다.
고객 데이터를 자사 서버에 쌓아 두고 분석과 추천에 재사용하는 모델이라면, 대리인 지위만으로는 그 축적을 설명할 수 없게 되므로 보유의 근거를 전송 대리가 아닌 다른 곳에서 따로 확보해 두어야 합니다. 대리로 받아 오는 것과 동의를 받아 보유하는 것은 같은 데이터라도 다른 문제입니다.
시범운영 창구를 통한 일괄 신청 기간은 닫혔습니다. 개인정보보호위원회가 2026년 8월 11일 보도자료로 안내한 사전협의 시범운영 3차 추가신청은 소규모 사업자와 마이데이터 자격을 갖추지 않은 사업자까지 대상에 포함했지만, 접수는 **2026년 8월 31일**로 마감됐습니다. 앞선 1·2차 시범기간에 합계 약 700건이 접수될 만큼 수요가 확인된 창구였는데도, 2026년 9월 1일 현재 개인정보보호위원회 보도자료 목록에는 4차 접수와 같은 추가 신청 안내가 나와 있지 않습니다.
기한 내에 사전협의 요청서를 내 둔 기업이라면 협의가 진행되는 동안 **기존 방식의 한시적 유지**를 지원받는 자리에 있습니다. 반면 신청 시기를 놓친 기업은 이 한시적 유지 지원을 전제로 삼을 수 없습니다. 다만 3차 시범운영이 끝난 뒤에도 개별 공공기관별 사전협의 체계는 계속 운영되므로, 이런 기업은 데이터를 받아오는 공공기관의 개별 창구로 각각 협의를 시작해야 합니다. 상대 기관이 여럿이라면 두드려야 할 창구도 그만큼 여러 개입니다.
그리고 협의가 끝나지 않았다는 사정이 요건의 적용을 미뤄 주지는 않습니다. 시행령 제42조의6 제3항 제1호 나목의 사전협의 요건은 시행일인 **2026년 8월 20일**부터 이미 적용되고 있기 때문입니다. 회사가 자동화된 도구로 고객의 데이터를 대신 받아오고 있다면, 협의를 마치기 전까지는 그 방식이 시행령이 말하는 사전협의를 거친 방식에 해당한다고 보기 어렵습니다.
## 무엇부터 정리해야 하나
정보를 보내는 쪽이라면 자사가 시행령 제42조의2 제1항 제1호에 걸리는지부터 봅니다. 평균매출액등 1,800억원 초과에 더해 민감정보·고유식별정보 5만 명 또는 개인정보 100만 명 요건까지 함께 봐야 합니다. 걸린다면 기한은 2027년 2월 20일입니다.
그 다음이 실제 작업입니다. 보유 정보를 세 갈래로 나눠 둡니다. 전송해야 하는 정보, 분석·가공으로 생성해 대상이 아닌 정보, 영업비밀이나 일방향 암호화로 제외되는 정보. 이 분류는 [개인정보 처리방침에 무엇을 적어야 하는지](/posts/privacy-policy-checklist-2026/)와도 맞물립니다. 전송 요구의 방법과 절차 자체는 법 제38조 제4항에 따라 공개해야 하고, 그 방법이 수집 절차보다 어려워서는 안 됩니다.
정보를 받아가는 쪽은 순서가 다릅니다. 사전협의 대상 기관을 목록으로 만들고 협의에 들어가는 것이 먼저입니다. 그리고 제42조의6 제5항의 저장 금지를 전제로 데이터 흐름도를 다시 그려야 합니다. 어느 데이터가 대리 전송 경로로 들어오고 어느 데이터가 별도 동의에 근거해 남는지를 지금 구분해 두지 않으면, 나중에 그 경계를 설명할 방법이 없습니다. 보유 근거와 보유 기간을 갈라서 관리하는 문제는 [탈퇴 회원 개인정보를 언제 파기해야 하는지](/posts/retention-vs-destruction/)에서 다룬 것과 같은 구조입니다.
거절하는 판단도 기록으로 남겨 두는 편이 좋습니다. 시행령 제42조의4 제1항의 제외 사유는 "영업비밀에 해당한다", "타인의 권리를 침해할 우려가 있다"처럼 회사의 평가가 들어가는 요건입니다. 거절 자체는 법이 허용합니다. 다만 그 판단이 정당했는지는 민원이나 분쟁이 생긴 뒤에 되짚어집니다. 무엇을 근거로 뺐는지 그때 설명할 자료는 거절하는 시점에만 만들 수 있습니다.
전송으로 오간 개인정보도 보유하는 순간 안전조치와 유출 통지의 대상이 됩니다. 사고가 났을 때 인지에서 신고·통지를 거쳐 조사·처분·분쟁까지 어떤 순서로 진행되는지는 [유출 대응 단계별 지도](/guides/data-breach-response/)에 정리했습니다.
요구가 실제로 들어온 뒤의 절차는 따로 정리했습니다. 전송 기한이 "지체 없이"로만 되어 있는 이유, 거절할 수 있는 열한 가지 사유, 거절하더라도 통지하고 3년간 보관해야 하는 부분은 [본인전송요구를 받은 뒤의 처리](/posts/mydata-request-deadline-and-refusal/)에서 다뤘습니다. 데이터를 받아가는 쪽이 개인정보관리 전문기관 지정을 받아야 하는지는 [수신자 쪽의 지정 문제](/posts/mydata-receiver-designation-or-not/)에서 갈랐습니다.
---
*본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.*
## 자주 묻는 질문
### Q. 본인전송요구권이 8월 20일 시행됐는데 우리 회사도 바로 전송 요구를 받게 되나요?
대부분의 민간 기업은 아닙니다. 평균매출액등 1,800억원 초과 기업을 대상으로 삼는 시행령 제42조의2 제1항 제1호는 부칙에 따라 공포 후 1년이 경과한 날, 즉 2027년 2월 20일부터 시행됩니다. 2026년 8월 20일부터 본인전송요구의 상대방이 되는 것은 같은 항 제2호의 공공시스템운영기관과 제3호의 보건의료·통신·에너지 분야 사업자입니다.
### Q. 정보주체가 요구하면 우리가 가진 정보를 전부 보내야 하나요?
아닙니다. 법 제35조의2 제1항 제2호가 수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보를 대상에서 제외하고, 시행령 제42조의4 제1항이 ① 타인의 권리나 정당한 이익을 침해하거나 침해할 우려가 있는 정보, ② 부정경쟁방지법상 영업비밀이나 산업기술유출방지법상 산업기술 등 다른 법령에 따라 보호가 필요한 정보, ③ 복호화되지 않도록 일방향 암호화하여 저장된 정보를 제외합니다. 회원 등급이나 추천 결과처럼 회사가 자체 로직으로 만들어낸 값은 전송 의무의 범위 밖에 있습니다.
### Q. 스크래핑으로 고객 데이터를 받아가는 서비스를 운영하는데 무엇이 달라지나요?
시행령 제42조의6 제3항 제1호 나목에 따라, 대리인이 자동화된 도구를 이용하는 경우에는 정보를 보내는 기업과 대리인이 사전에 협의한 방식이어야 합니다. 협의된 방식으로 요구하면 상대 기업은 정당한 사유 없이 거절할 수 없습니다(제42조의5 제2항). 다만 제42조의6 제5항이 대리인은 개인정보를 저장하지 않고 본인에게 전달해야 한다고 정하고 있어, 받아온 데이터를 자사 서버에 축적하는 구조는 재검토가 필요합니다.
### Q. 대리인과 사전협의를 마치면 무엇이 달라지나요?
협의는 부담이면서 동시에 근거가 됩니다. 시행령 제42조의6 제3항 제1호 나목은 대리인이 자동화된 도구를 쓸 때 사전에 협의한 방식일 것을 요구하는데, 그 요건을 갖추고 나면 제42조의5 제2항에 따라 상대 기업이 정당한 사유 없이 거절할 수 없게 됩니다. 협의를 마치기 전에는 연결이 임의로 끊길 수 있지만, 마친 뒤에는 그렇지 않습니다. 거절 사유 일반은 시행령 제42조의8 제1항에 별도로 열거되어 있고, 그 내용은 [기한과 거절 사유를 다룬 글](/posts/mydata-request-deadline-and-refusal/)에 정리했습니다.
## For your global headquarters — English summary
*본사·본사 법무에 그대로 전달할 수 있도록 아래 요약을 영문으로 붙여 둡니다.*
**Korea's right to transmission of personal information: which date actually applies to you**
Korean reporting has described the right as extending "to all industries" from 20 August 2026. That phrasing collapses two different positions, and the date means opposite things depending on which side your Korean entity is on.
**If you hold customer data and would receive transmission requests.** PIPA Article 35-2(1) leaves the scope of covered controllers to the Enforcement Decree. Newly inserted Article 42-2(1) sets three categories: (i) companies with average revenue above KRW 180 billion that also process sensitive or unique identifying information of 50,000 or more data subjects, or personal information of 1 million or more data subjects; (ii) public system operating institutions; and (iii) designated operators in healthcare, telecommunications and energy. Under the supplementary provisions to Presidential Decree No. 36121 (promulgated 19 February 2026), the decree takes effect 20 August 2026, **but category (i) takes effect one year after promulgation — 20 February 2027**. Most private companies therefore do not become recipients of transmission requests in August 2026.
**If you retrieve data on behalf of users through automated tools.** Here the August date bites immediately. Where an agent acting under PIPA Article 38(1) uses automated tools such as screen scraping, Enforcement Decree Article 42-6(3)1(b) requires the method to have been agreed in advance with the transmitting company. Where a request is made by the agreed method, the transmitting company may not refuse it without justifiable grounds (Article 42-5(2)). Critically, Article 42-6(5) requires the agent to deliver the personal information to the individual **without storing it** — architectures that accumulate retrieved data on the agent's own servers need to be reviewed.
**Scope limits worth flagging to product teams.** PIPA Article 35-2(1)2 excludes information newly created by analysing or processing collected personal information — scores, grades, segments and recommendation outputs generated by the company's own logic fall outside the obligation. Enforcement Decree Article 42-4(1) further excludes information that would infringe the rights or legitimate interests of others, information protected under other statutes such as trade secrets under the Unfair Competition Prevention and Trade Secret Protection Act or industrial technology under the Industrial Technology Protection Act, and information stored under one-way encryption that cannot be decrypted. Article 42-4(3) allows a company to transmit information voluntarily beyond the mandatory scope.
**Which English text to cite — and which to avoid.** Statutory terms above follow the English translation of PIPA published by the Korea Ministry of Government Legislation: **Act No. 20897, in force 2 October 2025**, at [law.go.kr](https://www.law.go.kr/LSW/eng/engLsInfoR.do?lsiSeq=270351). Three cautions if your team looks these provisions up independently:
- **The Enforcement Decree provisions cited above have no English translation.** Articles 42-2 through 42-6 were inserted by Presidential Decree No. 36121 (promulgated 19 February 2026), while the most recent English decree text is Presidential Decree No. 35343, in force 13 March 2025. Searching an English decree for these article numbers will return nothing.
- **Avoid the copy hosted at elaw.klri.re.kr.** It ranks well in search but the version served there is Act No. 16930 of 2020, which does not contain Article 35-2 at all — the provision this entire note is about.
- All English translations of Korean statutes are unofficial and carry no legal effect; the Korean text governs.
*Written by Hyunsub Lee, partner at SEUM Law (Seoul). Principal practice areas: IT, personal information and data, and startup advisory. This summary is general information on Korean law and is not legal advice; conclusions depend on the facts of each case. Full article in Korean: [datalaw.kr](/posts/mydata-transfer-right-who-and-when/).*
*More English summaries of Korean data protection law: [English index](/en/).*
8월 20일과 9월 11일에 각각 무엇이 시작됐는지를 한 줄에 놓고 보려면 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)를 함께 보시면 됩니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) — 국가법령정보센터
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) — 국가법령정보센터
- [부정경쟁방지 및 영업비밀보호에 관한 법률](https://www.law.go.kr/법령/부정경쟁방지및영업비밀보호에관한법률) — 국가법령정보센터
- [산업기술의 유출방지 및 보호에 관한 법률](https://www.law.go.kr/법령/산업기술의유출방지및보호에관한법률) — 국가법령정보센터
- [중소기업기본법 시행령](https://www.law.go.kr/법령/중소기업기본법시행령) — 국가법령정보센터
- 개인정보보호위원회 보도자료, 「개인정보위, 본인전송요구 대리인의 사전협의 시범운영(3차) 추가신청 받는다」 (2026. 8. 11.)
---
# 수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나
- URL: https://datalaw.kr/posts/processor-breach-consignor-liability/
- 게시 2026-07-28 · 수정 2026-08-28 · 태그: 유출대응, 위탁수탁, 과징금제재, 개인정보보호법
- 요약: 콜센터·배송·전산 유지보수 수탁사에서 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 개인정보 보호법 제26조 제4항·제7항과 제64조의2 제1항 제5호가 만드는 책임 구조, 그리고 수탁사 자신의 의무와 배상 이후의 구상 국면까지 정리했습니다.
> **핵심 요약**: 수탁사(콜센터·배송대행·전산 유지보수 등) 직원의 실수로 개인정보가 유출된 경우에도, 위탁사는 개인정보 보호법 제26조 제4항의 교육·관리감독 의무를 다하지 못했다면 제64조의2 제1항 제5호에 따라 전체 매출액 3% 이내의 과징금 부과 대상이 될 수 있습니다. 정보주체에 대한 손해배상에서는 제26조 제7항이 수탁자를 위탁사의 "소속 직원"으로 간주하므로 배상의 전면에 서는 것도 위탁사입니다. 한편 수탁사도 제26조 제8항의 준용 규정에 따라 유출 통지·신고와 안전조치 의무를 자신의 이름으로 지며, 위탁사가 물어낸 금액의 회수(구상)는 결국 위·수탁 계약의 배상 조항이 좌우합니다.
콜센터 상담원이 고객 명단을 개인 메일로 보냈습니다. 배송대행사 직원이 주문 정보 파일을 잘못된 수신자에게 발송했습니다. 사고를 낸 것은 우리 회사가 아니라 수탁사 직원인데, 위탁사인 우리 회사의 책임은 어디까지일까요.
결론부터 말하면, 법은 이 상황에서 책임의 무게중심을 위탁사에 둡니다. 개인정보위원회도 2026년 5월 보도자료에서 "수탁사를 통한 연쇄적인 유출"을 개인정보 관리의 사각지대로 직접 지목했습니다.
## 위탁사가 직접 잘못한 게 없어도 과징금을 받나?
받을 수 있습니다. 개인정보 보호법 제26조 제4항은 위탁자에게 두 가지 의무를 지웁니다. 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 수탁자를 **교육**할 것, 그리고 처리 현황 점검 등 시행령이 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지 **감독**할 것.
이 의무는 선언에 그치지 않습니다. 제64조의2 제1항 제5호는 "제26조 제4항에 따른 관리·감독 또는 교육을 소홀히 하여 수탁자가 이 법의 규정을 위반한 경우"를 과징금 부과 사유로 명시합니다. 상한은 전체 매출액의 100분의 3이고, 이때 매출액은 수탁사가 아니라 **위탁사** 기준입니다. 사고 행위자가 수탁사 직원이라는 사정은 출발점일 뿐이고, 조사에서 실제로 심사되는 것은 위탁사가 교육을 언제 어떻게 했는지, 점검을 실제로 수행했는지에 대한 기록입니다.
유출 유형 통계에서 해킹 못지않게 업무 과실이 큰 비중을 차지한다는 점은 [업무 과실 유출도 과징금 대상이 되는 이유](/posts/human-error-breach-sanctions/)에서 다뤘습니다. 수탁 구조는 그 업무 과실이 가장 자주 발생하는 지점입니다.
## 정보주체에 대한 손해배상은 누가 하나?
제26조 제7항은 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 법을 위반해 발생한 **손해배상책임**에 대하여, 수탁자를 "개인정보처리자의 소속 직원"으로 본다고 정합니다. 정보주체 입장에서 수탁사는 위탁사의 직원과 같으므로, 배상 청구의 상대방으로 전면에 서는 것은 위탁사입니다.
주의할 점은 이 간주 규정의 범위입니다. 조문은 "손해배상책임에 대하여는"이라고 한정하고 있습니다. 즉 배상 국면에서 수탁자를 소속 직원으로 보는 것이지, 수탁사의 모든 법적 지위가 위탁사로 흡수된다는 뜻이 아닙니다.
법원이 실제로 인정한 1인당 배상액의 폭은 [유출 손해배상 판결 데이터베이스](/damages/)에 사고별로 정리해 두었습니다. 소송까지 가지 않고 [개인정보 분쟁조정](/mediation/)으로 마무리된 사례도 따로 모아 두었는데, 두 경로의 금액대가 같지 않다는 점이 대응 방향을 정할 때 먼저 보게 되는 대목입니다.
## 그럼 수탁사는 책임이 없나?
아닙니다. 제26조 제8항은 안전조치 의무(제29조), 유출 통지·신고 의무(제34조), 과징금(제64조의2) 등 이 법의 핵심 조항들을 수탁자에게 준용하면서 "개인정보처리자"를 "수탁자"로 본다고 정합니다. 수탁사는 위탁사의 그늘에 있는 존재가 아니라, 자신의 이름으로 통지·신고 의무를 지고 자신의 매출액을 기준으로 과징금을 받을 수 있는 독립된 의무 주체입니다.
같은 준용 구조는 전형적인 위탁 관계 밖에서도 작동합니다. 제휴 API로 개인정보를 넘겨받아 보유하게 된 쪽이 왜 자기 이름으로 최소수집·파기·통지 의무를 지는지는 [제휴 API 응답에 요청하지 않은 개인정보가 섞여 온 경우](/posts/api-response-unrequested-personal-data/)에서 다뤘습니다.
그래서 사고 직후의 초동 대응은 위탁사와 수탁사가 각자의 의무를 동시에 이행해야 하는 국면이 됩니다. 유출을 인지한 시점부터의 신고·통지 절차와 기한은 [유출 인지 후 72시간 안의 신고·통지 절차 정리](/guides/data-breach-response/)에 정리해 두었습니다. 위·수탁 관계에서는 여기에 한 겹이 더해집니다. 누가 언제 상대방에게 알리고, 누가 신고 주체가 되는지를 계약과 준용 규정 양쪽에서 확인해야 합니다.
## 위탁사가 물어낸 돈, 수탁사에게 돌려받을 수 있나?
여기까지가 규제기관과 정보주체를 상대하는 첫 번째 국면이라면, 그 다음에는 기업 사이의 국면이 남습니다. 위탁사가 부담한 과징금·배상금·대응 비용을 수탁사에게 어디까지 물을 수 있을까요.
이 단계에서 실제로 작동하는 것은 법 조문보다 **위·수탁 계약서의 손해배상 조항**입니다. 배상 범위를 어떻게 정의했는지, 배상 상한(cap)을 두었는지, 과징금 같은 행정제재금이 배상 범위에 포함되는지, 면책 사유는 어떻게 규정했는지에 따라 회수 가능한 금액이 달라집니다. 사고가 난 뒤에 계약서를 처음 펼쳐보면 이미 늦습니다. 위탁사라면 계약 단계에서 이 조항들을 설계하는 것이, 수탁사라면 감당 가능한 상한을 협상해 두는 것이 각자의 대비입니다.
이 두 번째 국면인 기업 간 책임 배분은 별도의 글들에서 유형별로 다룹니다. 위탁사가 정보주체에게 먼저 배상한 뒤 수탁사에서 돌려받는 금액이 무엇으로 갈리는지는 [수탁사 잘못으로 먼저 배상한 금액을 어디까지 구상할 수 있나](/posts/processor-indemnity-recourse-ratio/)에서 최근 1심 판결을 놓고 다뤘습니다.
---
*본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.*
**선례 확인** — 처리 위탁(보호법 제26조) 관련 위반으로 실제 부과된 처분은 [개인정보 처리 위탁 위반 제재 사례](/sanctions/article-26/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### Q. 수탁사가 사고를 냈는데 위탁사도 과징금을 받을 수 있나요?
가능합니다. 개인정보 보호법 제64조의2 제1항 제5호는 위탁사가 제26조 제4항의 교육·관리감독을 소홀히 하여 수탁자가 법을 위반한 경우, 위탁사에게 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 정하고 있습니다. 사고를 낸 것이 수탁사 직원이라는 사정만으로는 위탁사가 면책되지 않습니다.
### Q. 수탁사도 유출 신고를 직접 해야 하나요?
개인정보 보호법 제26조 제8항이 유출 통지·신고 의무(제34조), 안전조치 의무(제29조), 과징금 규정(제64조의2)을 수탁자에게 준용하므로, 수탁사도 자신의 이름으로 의무를 지는 주체입니다. 실무에서는 위·수탁 계약상 통지·협조 조항에 따라 위탁사와 대응을 조율하되, 준용 규정상 자신의 의무가 별도로 존재한다는 점을 전제로 움직여야 합니다.
### Q. 위탁사가 물어낸 과징금이나 배상금을 수탁사에게 돌려받을 수 있나요?
위·수탁 계약의 손해배상 조항이 작동하는 국면입니다. 다만 계약에 배상 상한이나 면책 조항이 있으면 회수 범위가 크게 달라지므로, 사고 후가 아니라 계약 체결 단계에서 이 조항들을 점검해 두는 것이 실질적인 대비가 됩니다.
위탁사와 수탁사가 각각 어느 조문의 수범자가 되는지는 [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](/guides/outsourcing-liability/)에 지위별로 모아 두었습니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) — 국가법령정보센터
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) — 국가법령정보센터
---
# 본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나 — GDPR 통지 기준이 한국법과 어긋나는 지점
- URL: https://datalaw.kr/posts/global-breach-playbook-korea-gap/
- 게시 2026-07-28 · 수정 2026-09-11 · 태그: 유출대응, 국외이전, 개인정보보호법
- 요약: 본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다.
> **핵심 요약**: GDPR 플레이북의 첫 분기점인 위험도 평가가 한국에서는 통지 여부를 가르지 않습니다. 법 제34조 제1항이 유출등을 알게 된 것만으로 통지를 요구하고, 시행령 제39조 제1항이 기한을 72시간으로 정하기 때문입니다. 신고는 시행령 제40조 제1항의 세 요건 중 하나에 해당할 때만이라 GDPR과 구조가 정반대입니다. GDPR 제34조 제3항 (a) 같은 암호화 면제도 없습니다. 간극은 2026년 9월 11일 개정법 시행으로 더 벌어집니다.
외국계 한국법인에서 사고가 나면 본사 인시던트 절차가 먼저 돌아갑니다. 그 절차서는 대개 GDPR을 기준으로 쓰여 있습니다.
문제는 첫 분기점입니다. 한국 조문을 뒤에 얹어서 될 일이 아니라, 판단 순서 자체가 다릅니다.
## 본사가 "high risk가 아니다"라고 판단하면 한국에서는 어떻게 되나
GDPR 제34조 제1항은 높은 위험 가능성이 있을 때만 정보주체에게 알리게 합니다. 그래서 본사 판단표에는 "통지 불요"라는 출구가 있습니다.
법 제34조 제1항의 요건은 유출등을 "알게 되었을 때"뿐이고, 규모나 위험 정도를 묻지 않습니다. 기한은 72시간입니다(시행령 제39조 제1항). "no communication" 결론이 나와도 한국 의무는 그대로 남습니다.
## 규제기관 신고와 이용자 통지 중 어느 쪽이 먼저인가
GDPR 제33조 제1항에서 감독기관 신고는 원칙입니다. 권리와 자유에 위험을 초래할 가능성이 없을 때만 예외입니다.
한국은 **구조가 뒤집혀 있습니다**. 통지가 전건 의무이고, 신고는 세 요건 중 하나에 해당할 때만 발생합니다(법 제34조 제3항, 시행령 제40조 제1항).
| 구분 | GDPR | 한국 |
|---|---|---|
| 감독기관 신고 | 원칙적으로 필요, 위험 초래 가능성이 없으면 예외 (제33조 제1항) | 1천 명 이상·민감정보 또는 고유식별정보·외부로부터의 불법적인 접근 중 하나에 해당할 때 (시행령 제40조 제1항) |
| 정보주체 통지 | 높은 위험 가능성이 있을 때 (제34조 제1항) | 모든 유출등, 규모·유형 무관 (법 제34조 제1항) |
| 기한 | 신고는 인지 후 72시간, 통지는 부당한 지체 없이 | 통지·신고 모두 인지 후 72시간 (시행령 제39조 제1항, 제40조 제1항) |
## 72시간을 넘기게 되면 지연 사유를 적어 내면 되나
GDPR 제33조 제1항은 72시간을 넘기면 지연 사유를 함께 내게 합니다. 늦출 여지가 있는 셈입니다.
한국의 유예는 법정 사유뿐입니다. 통지는 확산·추가 유출 방지를 위한 긴급조치가 필요한 경우와 천재지변 등 부득이한 경우 두 가지(시행령 제39조 제1항 단서), 신고는 천재지변 등 부득이한 경우(시행령 제40조 제1항 단서)입니다. 유출 항목과 경위를 확인하지 못했으면 확인된 내용부터 우선 통지해야 하므로(시행령 제39조 제2항), "조사가 끝나면 통지한다"는 접근은 성립하지 않습니다.
## 암호화되어 있었으면 통지를 생략할 수 있나
GDPR 제34조 제3항 (a)는 암호화 등으로 접근 권한 없는 자가 내용을 이해할 수 없게 한 경우 통지를 요구하지 않습니다. 한국 법과 시행령에는 대응 규정이 없습니다.
시행령 제39조 제3항의 홈페이지 30일 게시는 갈음이지 면제가 아닙니다. 유출 경로가 확인되어 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아진 경우의 예외도 신고에만 적용될 뿐, 통지는 남습니다(시행령 제40조 제1항 단서). 초동 대응 순서는 [개인정보 유출을 인지했습니다: 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에서 단계별로 다뤘습니다.
## 2026년 9월 11일부터 간극은 어디서 더 벌어졌나
9월 11일 시행 개정법(법률 제21445호)은 유출등의 정의에 위조·변조·훼손을 더했고, 그 정의를 법 전체에 적용합니다(개정 법 제23조 제2항). 통지 항목에는 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 권리와 행사 방법에 관한 정보가 추가됐습니다(개정 법 제34조 제1항 제6호).
가장 큰 변화는 신설 제34조 제2항입니다. 유출등의 가능성이 있음을 알게 된 단계에서 의무가 생기는데 GDPR에는 대응 개념이 없어, 본사가 "unconfirmed incident"로 묶어 두는 동안 한국 의무는 이미 발생해 있을 수 있습니다.
이를 구체화할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 가능성 통지의 사유 둘과 통지 사항은 제39조의2가, 72시간 기한은 제39조의3이 정합니다. 통지를 미룰 때의 비용은 [2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나](/posts/breach-response-calculus-shift/)에서 다뤘습니다.
## 절차서 어디에 한국 분기를 넣을 것인가
- 위험도 평가와 무관하게 통지 트랙을 별도로 엽니다. 법 제34조 제1항의 의무는 평가 결론을 기다리지 않습니다.
- 본사 승인 대기 시간을 72시간 안에 넣어 설계합니다. 시계는 인지 시점부터 돌고 유예는 법정 사유뿐입니다.
- 통지문을 본사 템플릿 번역으로 갈음하지 않습니다. 기재사항이 법정으로 정해져 있습니다(법 제34조 제1항 각 호).
- 9월 11일부터 늘어난 통지 항목과 가능성 단계 분기를 템플릿에 반영합니다. 후속 시행령(대통령령 제36671호)은 2026년 9월 10일 공포되어 같은 날 함께 시행됐고, 가능성 통지 기한은 72시간입니다.
이 판단과 그 근거를 남긴 기록은 이후 조사 국면에서 회사가 내놓을 수 있는 자료가 됩니다. 절차서의 분기가 그 출발점입니다.
인시던트 대응과는 별개로, EU 본사의 데이터를 한국으로 가져오는 구조 자체는 적정성 결정 위에 서 있습니다. 2026년 7월의 첫 재검토가 무엇을 바꾸고 무엇을 남겼는지는 [EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요?](/posts/eu-korea-adequacy-first-review/)에서 정리했습니다.
절차서 말고도 본사에서 내려온 문서가 한국에서 어긋나는 자리가 더 있습니다. 처리방침, CPO 지정, 국내대리인, 수탁자 공개까지 아홉 개를 한자리에 모은 지도는 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 있습니다.
**선례 확인** — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 [개인정보 유출 통지·신고 위반 제재 사례](/sanctions/article-34/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### Q. 본사 DPO가 GDPR 기준으로 정보주체 통지가 불필요하다고 판단했는데, 한국에서도 생략할 수 있나요?
생략할 수 없습니다. 높은 위험 가능성은 GDPR 제34조 제1항의 요건일 뿐입니다. 개인정보 보호법 제34조 제1항은 개인정보가 분실·도난·유출되었음을 알게 되었을 때를 요건으로 할 뿐 규모나 위험 정도를 묻지 않고, 기한도 유출등을 알게 된 때부터 72시간입니다(시행령 제39조 제1항).
### Q. 유출된 개인정보가 암호화되어 있었으면 한국에서도 통지하지 않아도 되나요?
통지 의무는 남습니다. GDPR 제34조 제3항 (a)는 암호화 등으로 접근 권한이 없는 자가 내용을 이해할 수 없게 한 경우 정보주체 통지를 요구하지 않지만, 한국 법과 시행령에는 대응하는 면제 규정이 없습니다. 시행령 제39조 제3항의 홈페이지 30일 게시는 연락처를 알 수 없는 경우 등에 통지를 갈음하는 방법이지 면제가 아닙니다.
### Q. 본사 인시던트 대응 절차서에 한국 항목을 넣는다면 무엇부터 넣어야 하나요?
위험도 평가와 분리된 통지 트랙이 첫 번째입니다. 법 제34조 제1항의 통지 의무는 평가 결론과 무관하게 발생하고 기한이 72시간이기 때문입니다(시행령 제39조 제1항). 이어서 1천 명 이상·민감정보 또는 고유식별정보·외부로부터의 불법적인 접근이라는 신고 요건 점검(시행령 제40조 제1항)과, 2026년 9월 11일부터 적용된 유출등의 가능성 단계 통지(개정 법 제34조 제2항) 분기를 넣습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## For your global headquarters — English summary
*본사·본사 DPO에 그대로 전달할 수 있도록 아래 요약을 영문으로 붙여 둡니다.*
**Korea breach response: three points a GDPR playbook usually gets wrong**
**1. Notification to data subjects is not risk-based.** PIPA Article 34(1) requires a personal information controller to notify data subjects without delay upon becoming aware of loss, theft or divulgence of personal information (the statute's collective term is "divulgence, etc."). There is no "high risk" threshold equivalent to GDPR Article 34(1). The deadline is 72 hours from awareness (Enforcement Decree Article 39(1)). A "no communication required" conclusion under the GDPR analysis does not carry over.
**2. The structure is inverted relative to the GDPR.** Under the GDPR, reporting to the supervisory authority is the default and communication to data subjects is the exception. In Korea it is the reverse: notification to data subjects applies to every incident regardless of scale or category, while reporting to the Protection Commission or to KISA is triggered only where one of three conditions in Enforcement Decree Article 40(1) is met — 1,000 or more data subjects, sensitive information or unique identifying information, or divulgence caused by unlawful access from outside.
**3. There is no encryption exemption.** GDPR Article 34(3)(a) has no Korean counterpart. Posting on the company website for 30 days under Enforcement Decree Article 39(3) substitutes for individual notice where contact details are unknown; it is not an exemption from the obligation.
**What changes on 11 September 2026.** The amended PIPA (Act No. 21445) expands "divulgence, etc." to include forgery, alteration and damage, and applies that definition across the Act (amended Article 23(2)). Notification content must additionally cover the data subject's rights to damages, statutory damages and dispute mediation (amended Article 34(1)6). A new Article 34(2) creates an obligation triggered by awareness of the *possibility* of divulgence — a stage with no GDPR equivalent, so an incident still classified as "unconfirmed" at headquarters may already have started the Korean clock. As of this writing the Enforcement Decree provisions defining that scope have not been promulgated.
**Practical point for the playbook.** Open a Korean notification track that runs independently of the risk assessment, and fit any headquarters approval step inside the 72 hours rather than after it. The permitted grounds for delay are statutory and narrow.
**Which English text to cite — and which to avoid.** Statutory terms above follow the English translation of PIPA published by the Korea Ministry of Government Legislation: **Act No. 20897, in force 2 October 2025**, at [law.go.kr](https://www.law.go.kr/LSW/eng/engLsInfoR.do?lsiSeq=270351). Three cautions if your team looks these provisions up independently:
- **The amended Act (Act No. 21445, in force 11 September 2026) has no English translation.** The changes described above are our rendering of the Korean text; the only official English account is a Personal Information Protection Commission press release of 9 March 2026.
- **There is no current English Enforcement Decree.** The latest available English version is Presidential Decree No. 35343 (in force 13 March 2025); the decree now in force (No. 36121, in force 20 August 2026) has not been translated.
- **Avoid the copy hosted at elaw.klri.re.kr.** It ranks well in search but the version served there is Act No. 16930 of 2020, which omits Articles 28-8 (cross-border transfer), 35-2 (right to transmission) and 37-2 (automated decisions) entirely. All English translations of Korean statutes are unofficial and carry no legal effect; the Korean text governs.
*Written by Hyunsub Lee, partner at SEUM Law (Seoul). Principal practice areas: IT, personal information and data, and startup advisory. This summary is general information on Korean law and is not legal advice; conclusions depend on the facts of each case. Full article in Korean: [datalaw.kr](/posts/global-breach-playbook-korea-gap/).*
*More English summaries of Korean data protection law: [English index](/en/).*
---
플레이북을 한국 절차에 맞춰 다시 그릴 때 기준으로 삼을 단계 구성은 [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](/guides/data-breach-response/)에 있습니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제34조(개인정보 유출 등의 통지·신고)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제39조(개인정보 유출 등의 통지), 제40조(개인정보 유출 등의 신고)
- [개정 개인정보 보호법](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911)(법률 제21445호, 2026년 9월 11일 시행) 제23조 제2항, 제34조 제1항·제2항·제4항
- [Regulation (EU) 2016/679(GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) 제33조(Notification of a personal data breach to the supervisory authority), 제34조(Communication of a personal data breach to the data subject)
---
# 해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가
- URL: https://datalaw.kr/posts/human-error-breach-sanctions/
- 게시 2026-07-27 · 수정 2026-09-11 · 태그: 유출대응, 위탁수탁, 과징금제재, 개인정보보호법
- 요약: 개인정보 보호법 제64조의2 제1항 제9호는 '유출된 경우' 자체를 과징금 사유로 정할 뿐 해킹인지 담당자 실수인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건의 원인 1위도 업무 과실(53건, 46%)이었습니다. 무엇이 처분 여부를 가르고 무엇이 금액을 가르는지, 메일 오발송 같은 업무 과실 유형에서 신고와 통지가 어떻게 달라지는지를 조문 단위로 정리합니다.
> **핵심 요약**: 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정하며, 해킹인지 담당자 실수인지를 요건으로 삼지 않습니다. 면책되는 경우는 법 제29조에 따른 안전성 확보에 필요한 조치를 다한 때뿐입니다(같은 호 단서). 개인정보보호위원회가 2026년 5월 15일 발표한 분석에서도 2025년 유출 관련 조사·처분 115건의 원인 1위는 업무 과실(53건, 46%)이었고, 부과액은 반대로 해킹에 1,440억 원(91%)이 몰려 있었습니다. 메일 오발송 같은 업무 과실은 1천 명 이상이거나 민감정보·고유식별정보가 포함되지 않는 한 신고 대상이 아닐 수 있지만(시행령 제40조 제1항), 정보주체 통지에는 그런 면제가 없습니다(시행령 제39조 제1항).
유출 사고 초기 회의에서 거의 반드시 나오는 말이 있습니다.
"해킹당한 것도 아니고, 담당자가 메일을 잘못 보낸 건데요."
그 판단이 어디서부터 어긋나는지 봅니다.
## 처분 통계는 어느 쪽을 가리키고 있나
개인정보보호위원회와 한국인터넷진흥원이 2026년 5월 15일 발간한 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」는 두 갈래로 읽힙니다.
신고 단계에서는 2025년 접수된 447건 중 해킹이 62%(276건)로 가장 많고 업무 과실은 25%(110건)입니다. 조사·처분 단계는 구성이 다릅니다.
같은 해 유출 관련 조사·처분 115건의 원인은 업무 과실 46%(53건), 해킹 45%(52건), 시스템 오류 7%(8건) 순이었습니다. 접수된 신고와 그해 처분된 사건은 서로 다른 모집단이라 둘을 나누어 비율을 만들 수는 없지만, 각각의 구성만으로도 방향은 분명합니다.
부과액은 반대편으로 쏠립니다. 115건의 과징금·과태료 1,583억 원 가운데 1,440억 원(91%)이 해킹에 따른 것이었습니다. 금액은 해킹이 만들고 건수는 업무 과실이 만드는 셈이고, 민간 부문 처분 150건의 절반인 75건은 중소기업이었습니다.
## 법은 해킹인지 실수인지를 묻는가
법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 규정합니다. 조문 어디에도 침입자가 있어야 한다는 요건은 없습니다.
빠져나가는 문은 같은 호 단서 하나뿐입니다. 개인정보가 유출되지 아니하도록 법 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우에만 부과를 면합니다. 해킹이든 오발송이든 통과해야 하는 관문은 같고, 상한은 전체 매출액의 100분의 3입니다.
실수한 사람이 우리 직원이 아니라 수탁사 직원이어도 마찬가지입니다. 위탁자가 법 제26조 제4항의 교육·감독을 소홀히 하여 수탁자가 법을 위반하면 위탁자에게 과징금이 부과될 수 있고(법 제64조의2 제1항 제5호), 손해배상 국면에서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다(제26조 제7항). 개인정보보호위원회도 수탁사를 통한 연쇄적인 유출을 관리 사각지대로 지목한 바 있습니다.
## 업무 과실이 오히려 설명하기 어려운 이유
안전조치를 다했는지는 시행령 제30조 제1항 각 호의 이행 여부로 판단됩니다.
그런데 업무 과실 유출은 사실관계 자체가 그 각 호의 결함을 드러내는 경우가 많습니다. 담당자가 접근할 수 있는 범위가 필요 이상으로 넓었다는 것(제2호 가목의 접근 권한 부여·변경·말소 기준), 대량 조회나 반출을 걸러 내는 통제가 없었다는 것(제3호의 접근 통제), 취급자 교육과 내부 관리계획 점검이 형식에 그쳤다는 것(제1호 가목)이 사고 경위에 그대로 묻어납니다.
접근 통제가 무너지는 지점은 사내 시스템만이 아닙니다. 제휴 API로 받은 개인정보가 응답에 섞여 들어와 그대로 쌓이는 구조도 같은 문제를 만듭니다. 그 경우 받은 쪽이 어떤 조문의 수범자가 되는지는 [제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔을 때](/posts/api-response-unrequested-personal-data/)에서 다뤘습니다.
해킹에는 외부 공격이 고도화되었다는 설명의 여지라도 있지만, 오발송에는 그 설명이 성립하기 어렵습니다.
## 처분 여부와 금액은 어디서 갈리나
둘은 별개의 문제입니다. 금액을 키우는 것은 위반행위의 내용 및 정도(법 제64조의2 제4항 제1호), 유출의 규모(제5호), 정보주체의 피해 규모(제9호)이고, 해킹은 대개 대량 유출이어서 이 항목들이 크게 잡힙니다.
반면 같은 항의 안전성 확보 조치 이행 노력(제4호), 피해의 회복 및 확산 방지 조치의 이행 여부(제6호), 보호위원회와의 협조 등 시정 조치 여부(제11호)는 회사가 사고 전후에 스스로 쌓을 수 있는 요소입니다. 경미하거나 소액인 경우 부과하지 않을 수 있다는 규정도 있지만(제5항 제3호), 재량이지 권리가 아닙니다.
실제 분포도 이 구분과 맞습니다. 결정문이 공개된 의결 가운데 [안전조치의무(제29조)가 인정된 452건](/sanctions/article-29/)에서 과징금은 99건이고, 그 가운데 57건이 유출 통지·신고 조문과 함께 인정됐습니다. **안전조치가 미흡했다는 사실만으로는 대체로 과태료에 그치고, 그 미흡이 실제 유출로 이어졌을 때 과징금으로 올라갑니다.** 그 과징금 건들이 결정문에서 **무슨 행위로 적혔는지**는 「위법성 판단」 절의 표제를 모은 [위반행위 층](/violations/)에서 유형별로 볼 수 있습니다 — 직원 과실이 어느 표제로 분류돼 왔는지가 여기서 확인됩니다.
2026년 9월 11일부터 이 고려사항은 제5항으로, 미부과 사유는 제7항으로 옮겨 갔고 보호 투자를 이유로 한 감경 규정이 제6항으로 신설됐으며, 고의 또는 중대한 과실이 있는 경우는 감경에서 제외됩니다.
## 오발송이면 신고하지 않아도 되는가
신고 사유를 정한 시행령 제40조 제1항 제3호는 "외부로부터의 불법적인 접근"에 의한 유출을 대상으로 합니다. 오발송은 여기에 해당하지 않으므로, 1천 명 이상이거나 민감정보·고유식별정보가 포함되지 않는 한 신고 대상이 아닐 수 있습니다. 같은 항 단서는 한 걸음 더 나가, 유출등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다고 정합니다.
정보주체에 대한 통지는 다릅니다. 시행령 제39조 제1항에는 그런 면제가 없어, 회수를 마쳤더라도 통지 의무는 그대로 남습니다. 이 구분을 반대로 알고 "회수했으니 통지는 생략하고 신고만 하자"고 정리하는 경우가 실무에서 드물지 않습니다.
| 구분 | 정보주체 통지 | 보호위원회·전문기관 신고 |
|---|---|---|
| 근거 | 시행령 제39조 제1항 | 시행령 제40조 제1항 |
| 대상 | 모든 유출등 (규모·유형 무관) | 1천 명 이상 · 민감정보 또는 고유식별정보 · 외부로부터의 불법적인 접근 |
| 회수·삭제를 마친 경우 | 면제 규정 없음 | 권익 침해 가능성이 현저히 낮아지면 신고하지 않을 수 있음 |
## 조사에서 결국 무엇이 남는가
조사 국면에서 회사가 내놓을 수 있는 자료는 두 가지로 좁혀집니다. 사고 전에 쌓아 둔 시행령 제30조 제1항 각 호의 이행 기록, 그리고 유출을 인지한 뒤 72시간 동안 무엇을 했는지의 기록입니다.
2026년 9월 11일부터 제재의 폭도 넓어졌습니다. 고의 또는 중대한 과실로 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우, 또는 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 같은 호의 위반행위를 다시 한 경우에는 전체 매출액의 100분의 10까지 과징금이 부과될 수 있습니다(개정 법 제64조의2 제2항, 법률 제21445호).
유출을 인지한 직후 72시간 동안 무엇을 해야 하는지는 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에서 단계별로 정리했습니다. 개정법이 유출 대응의 셈법 자체를 어떻게 바꾸는지는 [2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나](/posts/breach-response-calculus-shift/)에서 다뤘습니다.
## 자주 묻는 질문
### Q. 해킹이 아니라 담당자의 실수로 유출됐어도 과징금을 받을 수 있나요?
받을 수 있습니다. 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정할 뿐 유출 원인을 구분하지 않습니다. 같은 호 단서에 따라 법 제29조의 안전성 확보에 필요한 조치를 다한 경우에만 부과를 면합니다. 개인정보보호위원회가 2026년 5월 15일 발표한 분석에 따르면 2025년 유출 관련 조사·처분 115건 중 원인이 업무 과실인 것이 53건(46%)으로 가장 많았습니다.
### Q. 잘못 보낸 메일을 회수·삭제했으면 신고와 통지를 모두 생략할 수 있나요?
아닙니다. 유출 경로가 확인되고 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 보호위원회·전문기관에 대한 신고는 하지 않을 수 있지만(시행령 제40조 제1항 단서), 정보주체에 대한 통지에는 그런 면제 규정이 없습니다. 통지는 규모·유형과 무관하게 모든 유출등에 적용되고 기한은 유출등을 알게 된 때부터 72시간입니다(시행령 제39조 제1항). 신고와 통지의 면제 여부를 반대로 아는 경우가 많습니다.
### Q. 수탁사 직원의 실수로 유출됐는데 위탁사도 처분 대상이 되나요?
될 수 있습니다. 위탁자가 법 제26조 제4항의 교육·감독을 소홀히 하여 수탁자가 법을 위반한 경우 위탁자에게 과징금이 부과될 수 있습니다(법 제64조의2 제1항 제5호). 손해배상 국면에서는 수탁자를 개인정보처리자의 소속 직원으로 보고(제26조 제7항), 안전조치의무 등은 수탁자에게도 준용됩니다(제26조 제8항). 개인정보보호위원회도 수탁사를 통한 연쇄적인 유출을 관리 사각지대로 지목한 바 있습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
### Q. 과징금과 과태료가 함께 부과될 수도 있나요?
근거가 다른 별개의 제재이므로 함께 부과될 수 있습니다. 안전조치를 소홀히 해 개인정보가 유출된 것은 과징금 사유이고(법 제64조의2 제1항 제9호), 정보주체 통지나 보호위원회 신고를 하지 않은 것은 각각 3천만 원 이하의 과태료 사유입니다(법 제75조 제2항 제17호·제18호). 개인정보보호위원회가 2026년 7월 8일 제13회 전체회의에서 한 사업자에게 과징금 5억 300만 원과 과태료 540만 원을 함께 부과한 것이 같은 구조입니다.
### Q. 유출을 낸 담당 직원 개인도 처벌받나요?
회사에 대한 과징금과 별개로 개인의 형사책임이 문제될 수 있습니다. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위(법 제59조 제2호)와, 정당한 권한 없이 또는 허용된 권한을 초과해 다른 사람의 개인정보를 이용·유출하는 행위(같은 조 제3호)는 각각 5년 이하의 징역 또는 5천만 원 이하의 벌금 대상입니다(법 제71조 제9호·제10호). 다만 이들 조항은 고의를 전제로 하므로, 단순 과실에 의한 오발송이 여기에 해당하는지는 사실관계에 따라 달라집니다.
업무 과실이든 해킹이든 인지 이후의 절차는 같은 축을 따릅니다. 그 전체 순서는 [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](/guides/data-breach-response/)에 있습니다.
## 참고 자료
- 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한), 제29조(안전조치의무), 제34조(개인정보 유출 등의 통지·신고), 제64조의2(과징금의 부과)
- 개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치), 제39조(개인정보 유출 등의 통지), 제40조(개인정보 유출 등의 신고)
- 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제64조의2 제2항·제5항·제6항·제7항
- 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」 (2026년 5월 15일 보도자료, [원문](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12078))
---
# EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요? — 적정성 결정 첫 재검토(2026.7.23)가 바꾼 것과 바꾸지 않은 것
- URL: https://datalaw.kr/posts/eu-korea-adequacy-first-review/
- 게시 2026-07-27 · 수정 2026-08-28 · 태그: 국외이전, 개인정보보호법, 스타트업실무
- 요약: EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다. EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다(COM(2026) 384 final). 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, '글로벌 CBPR 인증을 받으면 국외이전이 된다'는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 반대 방향인 한국에서 EU로의 이전도 2025년 9월 16일 동등성 인정(공고 제2025-68호) 이후 별도 동의 없이 가능하되, 주민등록번호·개인신용정보는 빠지고 처리방침의 이전 근거 기재는 그대로 남습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다.
> **핵심 요약**. EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다(COM(2026) 384 final, EU 이사회 문서 12194/26). EU에서 한국의 개인정보 보호법 적용을 받는 수령자로 개인정보를 이전할 때 표준계약조항 같은 추가 도구가 필요 없다는 상태는 그대로입니다. 반대 방향인 한국 → EU 이전도 2025년 9월 16일 발효한 동등성 인정(법 제28조의8 제1항 제5호, 공고 제2025-68호)으로 동의 없이 가능하되, 주민등록번호와 개인신용정보는 그 대상에서 빠져 있습니다. 그 인정에는 만료일이 없는 대신 시행령 제29조의9 제4항·제5항의 점검·취소 권한이 남아 있고, 처리방침에 이전 근거를 적을 의무는 그대로입니다. 이번 재검토가 예고한 변화는 두 가지입니다. 보완규정 2.(국외 제3자 제공 제한)·4.(가명정보 특례 적용범위)·5.(시정조치 등) 전단의 폐지와 재검토 주기 3년 → 4년 전환인데, 둘 다 아직 이행 전입니다. 그리고 실무의 흔한 오해 하나에 제동이 걸렸습니다. 글로벌 CBPR 인증은 개인정보 보호법상 국외이전 근거가 아닙니다.
유럽에 고객이 생기면 개발팀에서 이런 질문이 올라옵니다. "유럽 사용자 데이터도 그냥 서울 리전에 같이 넣으면 되나요?" 반대로 법무 쪽에서는 이런 걱정을 합니다. "GDPR 이전 규정 때문에 SCC를 써야 하는 거 아닌가요?"
이 두 질문의 답은 2021년 12월에 이미 정해졌고, 2026년 7월 23일 처음으로 그 답이 유효한지 점검을 받았습니다. 결론은 "유지"입니다. 다만 유지됐다는 소식만 읽고 덮으면 함께 예고된 변화와, 실무에서 자주 어긋나 있는 지점 하나를 놓치게 됩니다.
## EU에서 한국으로 데이터를 받아올 때, 무엇이 근거인가?
GDPR은 EU 역외로 개인정보를 이전할 때 적법 근거를 요구합니다. 그 근거 중 가장 단순한 것이 적정성 결정(adequacy decision)입니다. 집행위원회가 특정 국가의 보호 수준이 적정하다고 결정하면, 그 나라로의 이전은 별도의 이전 도구 없이 EU 역내 이전처럼 이루어집니다.
한국은 2021년 12월 17일 이 결정을 받았습니다(Commission Implementing Decision (EU) 2022/254, OJ L 44, 2022. 2. 24.). 재검토 보고서는 그 구조를 이렇게 설명합니다.
> The Commission's adequacy decision covers the Personal Information Protection Act ("PIPA") as complemented by the additional safeguards set out in Annex I to the adequacy decision ("Supplementary Rules").
>
> 출처: COM(2026) 384 final, 1면
여기가 중요합니다. 적정성 결정의 대상은 개인정보 보호법 그 자체가 아니라, 개인정보 보호법 + 보완규정입니다.
보완규정(Supplementary Rules)은 개인정보 보호법과 GDPR 사이의 차이를 메우기 위해 한국이 별도로 마련한 규칙으로, 개인정보위 고시 제2020-10호로 제정된 뒤 고시 제2021-5호(2021. 11. 16. 일부개정, 적정성 결정 발효와 같은 시점에 시행)로 지금의 내용이 확정돼 적정성 결정 부속서 I에 붙어 있습니다. EU에서 넘어온 개인정보에 대해서만 추가로 적용되는 층이라고 이해하면 됩니다.
보완규정이 다루는 것은 여섯 가지입니다. ① EU에서 이전된 개인정보에 목적 제한 원칙을 적용하는 방식, ② 그 개인정보를 국외의 제3자에게 다시 제공할 때의 제한, ③ 정보주체로부터 직접 수집하지 않은 경우의 통지 의무, ④ 가명정보 처리 특례의 적용 범위, ⑤ 개인정보위가 시정조치를 부과할 수 있는 요건, ⑥ 국가안보 목적 처리에 개인정보 보호법이 적용되는 방식. 보고서는 이 규칙이 "한국 내 개인정보처리자에 대해 법적 구속력이 있고 개인정보위와 법원이 모두 집행할 수 있다"고 확인합니다.
## 이번 재검토에서 집행위원회는 무엇을 보고 유지 결론을 냈나?
GDPR 제45조 제3항은 적정성 결정을 최소 4년마다 정기적으로 검토하도록 요구합니다. 이번이 한국 결정에 대한 첫 검토였고, 2025년 10월 17일 양측 대표단 회의를 중심으로 진행됐습니다. 한국 측에서는 개인정보위와 한국인터넷진흥원(KISA)이, EU 측에서는 집행위원회와 유럽데이터보호이사회(EDPB) 대표 4인이 참여했습니다.
집행위원회가 긍정적으로 평가한 것은 크게 세 가지입니다.
**첫째, 법이 그 사이 두 번 개정되면서 EU 체계와 더 가까워졌다는 점.** 보고서는 개인정보 보호법이 2023년 3월과 2025년 4월 두 차례 개정됐고(각각 2023년 9월, 2025년 10월 시행) 그 결과 양측 체계가 더 수렴했다고 봤습니다. 구체적으로 처리 근거의 정비, 별도 동의가 필요한 경우의 명확화, 만 14세 미만 아동 개인정보에 대한 국가·지자체의 의무 강화, 국외 개인정보처리자의 국내대리인 지정 의무, 가명정보 처리 제한 강화와 불필요해진 가명정보의 파기 의무, 동의 철회권과 자동화 결정에 대한 안전장치, 전송요구권 도입을 들었습니다.
**둘째, 개인정보위가 실제로 집행하고 있다는 점.** 보고서는 구글과 메타에 대한 과징금 부과, 딥시크와 알리익스프레스의 국외이전에 대한 조사, 사이버보안·유출 관련 규정 집행을 명시적으로 언급했습니다. 적정성 결정은 법전의 문구가 아니라 감독기관이 그 법을 실제로 집행하는지를 봅니다.
**셋째, 국외이전 규정 자체가 강화됐다는 점.** 2023년 개정으로 들어온 제28조의8 이하의 체계(이전 근거의 유형화, 제28조의9의 이전 중지 명령, 제28조의11의 재이전 준용)가 "역외로 이전되는 개인정보에 더 강한 안전장치를 제공하는 더 견고한 틀"이라고 평가받았습니다.
결론 문장은 이렇습니다.
> the Commission concludes that the Republic of Korea continues to ensure an adequate level of protection for personal data from the European Union to entities in the Republic of Korea subject to the PIPA, as complemented by the additional safeguards set out in the Supplementary Rules
>
> 출처: COM(2026) 384 final, 5면 (강조는 필자)
"**개인정보 보호법의 적용을 받는 한국 내 주체**"라는 한정에 주의할 필요가 있습니다. 적정성 결정은 한국이라는 지리적 영역이 아니라 개인정보 보호법이라는 규범의 적용 범위를 따라갑니다. 우리 회사가 그 범위 안에 있는지가 먼저입니다.
## 이번 재검토로 실제로 바뀌는 것이 있나?
두 가지가 예고됐습니다. 둘 다 아직 이행되지 않았다는 점이 실무에서는 더 중요합니다.
### 보완규정 세 조항이 폐지될 예정입니다
보고서는 보완규정 중 일부가 이제 개인정보 보호법 본문에 반영됐으므로 폐지될 것이라고 밝혔습니다.
> Specifically, this will be the case for Supplementary Rule 2, which established a limitation for onward transfers of personal data, Supplementary Rule 4, which related to the scope of application of a special exemption for the processing of pseudonymised information, and the first part of Supplementary Rule 5, which concerned the possibility of the PIPC to adopt corrective measures. The other Supplementary Rules will remain in force.
>
> 출처: COM(2026) 384 final, 4면
폐지 이유가 규제 완화가 아니라는 점을 정확히 읽어야 합니다. 이 규칙들이 개인정보 보호법 본문에 들어가면서 "출처나 수집 지점과 무관하게 모든 개인정보에 일반적으로 적용"되게 됐기 때문에, EU발 데이터에만 따로 붙여 두던 층이 불필요해진 것입니다. 재이전 제한은 제28조의11로, 가명정보 특례의 적용 범위는 제28조의2 이하의 개정으로, 개인정보위의 시정조치 권한은 제64조로 흡수됐다고 보면 이해가 쉽습니다.
실무적으로는 EU에서 받은 데이터를 별도로 태깅해 "이건 보완규정도 적용되는 데이터"라고 관리하던 부담이 줄어드는 방향입니다. 다만 나머지 보완규정(목적 제한, 간접 수집 시 통지, 국가안보 관련 부분)은 그대로 남습니다.
그리고 폐지는 "will be revoked"라는 예고이지 이미 이루어진 일이 아닙니다. 고시 개정이 실제로 이루어질 때까지는 현행 보완규정이 유효합니다.
### 재검토 주기가 3년에서 4년으로 갑니다: 아직 확정 전입니다
> the Commission considers that there is no need to maintain the three years-cycle for future reviews and therefore considers that it is appropriate to move to a four years-cycle pursuant to Article 45(3) of the GDPR. It will consult the Committee established under Article 93(1) of the GDPR on this point.
>
> 출처: COM(2026) 384 final, 5면 (강조는 필자)
집행위원회의 의견 표명이고, GDPR 제93조 제1항 위원회 협의가 남아 있습니다. "이미 4년 주기로 바뀌었다"고 쓴 요약이 돌아다니면 그건 앞서간 서술입니다.
집행위원회가 개인정보위에 낸 권고는 세 가지입니다. ① 보완규정 준수 여부에 대한 무작위 점검(random checks) 실시, ② 국외이전 가이드라인을 새로 내면서 CBPR 관련 사항을 명확히 할 것, ③ 개인정보위 홈페이지에 유효한 국외이전 수단을 국문과 영문 양쪽으로 분명히 게시할 것. 세 번째가 나왔다는 것은, 지금 실무자들이 어떤 도구가 유효한지 헷갈리고 있다는 뜻이기도 합니다.
## EU에서 받은 데이터를 미국 클라우드로 다시 보내도 되나요?
이 질문이 실무에서 가장 자주 걸립니다. EU → 한국은 적정성 결정으로 해결됐는데, 한국에 들어온 그 데이터를 다시 미국 리전이나 미국 SaaS로 보내는 경우입니다.
개인정보 보호법은 이를 정면으로 다룹니다.
> **제28조의11(준용규정)** 제28조의8제1항 각 호 외의 부분 단서에 따라 개인정보를 이전받은 자가 해당 개인정보를 제3국으로 이전하는 경우에 관하여는 제28조의8 및 제28조의9를 준용한다. 이 경우 "개인정보처리자"는 "개인정보를 이전받은 자"로, "개인정보를 이전받는 자"는 "제3국에서 개인정보를 이전받는 자"로 본다.
재이전에도 같은 다섯 가지 근거 중 하나가 있어야 하고, 개인정보위의 이전 중지 명령 대상도 됩니다. 미국은 현재 개인정보위의 동등성 인정 대상이 아니므로, 실무에서는 제3호(계약 이행에 필요한 처리위탁·보관 + 처리방침 공개 또는 정보주체 통지)나 제1호(별도 동의)를 근거로 삼게 됩니다.
제3호를 쓴다면 처리방침에 제28조의8 제2항 각 호의 사항(이전 항목, 이전되는 국가·시기·방법, 이전받는 자, 이용목적과 보유·이용 기간, 거부 방법과 절차·효과)이 실제로 적혀 있어야 합니다. 이 다섯 가지가 빠진 처리방침은 제3호의 요건을 충족하지 못합니다.
처리방침 기재사항 전반은 [개인정보처리방침 필수 기재사항 체크리스트](/posts/privacy-policy-checklist-2026/)에서, 국내용 처리방침과 영문 Privacy Policy를 어떻게 나눌지는 [처리방침 vs Privacy Policy](/posts/privacy-policy-two-documents/)에서 다뤘습니다.
## "글로벌 CBPR 인증을 받았는데, 그럼 국외이전은 되는 것 아닌가요?"
아닙니다. 그리고 이번 재검토가 이 지점을 명시적으로 짚었습니다.
> The Commission invites the PIPC to clarify that the APEC CBPR and CBPR (Cross-Border Privacy Rules) certification schemes are not recognised as a mechanism for transfers of personal data under PIPA rules.
>
> 출처: COM(2026) 384 final, 5면 (권고 2)
조문으로 확인해 보면 이유가 분명합니다. 제28조의8 제1항 제4호가 근거로 삼는 것은 "제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증"입니다.
즉 아무 인증이나 되는 것이 아니라 개인정보위가 고시로 지정한 인증이어야 합니다. 그 고시 절차는 시행령이 정합니다.
> **시행령 제29조의8(개인정보의 국외 이전 인증)** ① 보호위원회는 법 제28조의8제1항제4호 각 목 외의 부분에 따른 인증을 고시하려는 경우에는 다음 각 호의 순서에 따른 절차를 모두 거쳐야 한다.
> 1. 제34조의6에 따른 개인정보 보호 인증 전문기관의 평가
> 2. … 개인정보의 국외 이전 분야 전문위원회의 평가
> 3. 정책협의회의 협의
>
> ② 보호위원회는 … 인증을 고시할 때에는 5년의 범위에서 유효 기간을 정하여 고시할 수 있다.
세 단계 평가·협의를 거쳐 유효기간까지 정해 고시해야 비로소 제4호의 인증이 됩니다. 그렇게 해서 실제로 고시에 등재된 인증이 무엇인지, 그리고 그 인증을 받아야 하는 쪽이 보내는 자인지 이전받는 자인지는 [제4호의 인증 근거를 조문으로 따져본 글](/posts/overseas-transfer-certification-list/)에 정리했습니다.
혼동이 생기는 지점은 개인정보위가 2026년 2월 3일 「국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침」(고시 제2026-1호)을 제정했다는 사실입니다. 이 고시는 글로벌 CBPR 포럼의 인증 제도를 국내에서 운영하기 위한 절차(인증기관을 한국인터넷진흥원으로 정하고(제2조 제4호), 신청·심사·인증위원회·인증서 발급(유효기간 1년, 제14조 제3항)·취소를 규정)를 정한 것입니다. 국외이전 근거를 지정한 고시가 아닙니다.
정리하면 이렇습니다.
| | 글로벌 CBPR 인증 | 동등성 인정(제5호) |
|---|---|---|
| 근거 | 고시 제2026-1호(제도 운영) | 법 제28조의8 제1항 제5호, 공고 제2025-68호 |
| 성격 | 기업이 받는 인증 | 국가·국제기구에 대한 위원회의 인정 |
| 국외이전 근거가 되는가 | 되지 않음 | 됨 |
| 유효기간 | 인증서 1년 | EU 건은 공고에 인정 기간을 정하지 않음(시행령 §29의9④ 점검, ⑤ 취소·변경) |
글로벌 CBPR 인증에 가치가 없다는 뜻이 아닙니다. 해외 파트너에게 개인정보 보호 체계를 설명할 때 쓰는 신뢰 자산으로서는 의미가 있습니다.
다만 그것만으로 국외이전의 적법 근거가 생기지는 않습니다. 인증을 받았으니 이전은 해결됐다고 정리하고 처리방침 기재나 별도 동의를 빼 두면, 그 이전은 근거 없는 이전이 됩니다.
## 우리 회사가 오늘 확인할 것
| 확인 항목 | 근거 | 확인 결과가 "아니오"일 때 |
|---|---|---|
| EU에서 받아오는 데이터의 국내 수령 주체가 개인정보 보호법 적용 대상인가 | COM(2026) 384 final 결론부 | 적정성 결정의 보호를 전제로 설계한 이전 구조를 재검토 |
| EU발 데이터에 보완규정(고시 제2021-5호)을 적용하고 있는가 | 적정성 결정 부속서 I | 목적 제한·간접수집 통지 부분부터 점검. 2.(국외 제3자 제공 제한)·4.(가명정보 특례 적용범위)·5.(시정조치 등) 전단은 폐지 예정이나 아직 유효 |
| EU로 보내는 데이터에 주민등록번호·개인신용정보가 섞여 있는가 | 공고 제2025-68호 | 동등성 인정으로 커버되지 않음. 별도 근거 검토 |
| EU 쪽 수신자가 GDPR을 적용받는 컨트롤러·프로세서인가 | 공고 제2025-68호 「효과」 | 지역만 EU·EEA라고 제5호가 적용되지는 않음. 수신자 지위 확인 |
| 이전받는 자와 보호조치를 협의해 계약에 반영했는가 | 법 제28조의8 제4항, 시행령 제29조의10 | 근거가 무엇이든 필요. DPA·부속합의 정비 |
| 한국에서 제3국(미국 등)으로 재이전이 있는가 | 법 제28조의11 | 재이전 근거를 따로 세우고 처리방침 기재 확인 |
| 처리방침에 제28조의8 제2항 각 호가 모두 적혀 있는가 | 법 제28조의8 제1항 제3호 가목 | 제3호를 근거로 쓰고 있다면 요건 미충족 상태 |
| 글로벌 CBPR 인증을 국외이전 근거로 적어 두지 않았는가 | 법 제28조의8 제1항 제4호, 시행령 제29조의8 | 근거를 제1호·제3호·제5호 중에서 다시 특정 |
EU발 데이터가 섞인 유출이라면 국내 통지·신고 시간표부터 시작됩니다. 그 첫 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
적정성은 국외이전 근거의 문제이고, 본사 정책이 한국에서 걸리는 자리는 그 밖에도 있습니다. 산출물 단위로 모은 지도는 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 정리했습니다.
## 반대 방향은 — 한국에서 EU로 보낼 때 별도 동의가 필요한가
이쪽은 이미 2025년에 정리됐습니다. 그런데 여전히 유럽 지사로 임직원 데이터를 보내면서 별도 동의를 받고 있는 회사가 있습니다. 받지 않아도 됩니다. 근거가 바뀌었기 때문입니다.
### 국외 이전은 원칙 금지에 예외가 열거된 구조입니다
개인정보 보호법 제28조의8 제1항은 국외 이전을 원칙적으로 금지하면서 다섯 가지 예외를 둡니다.
> **제28조의8(개인정보의 국외 이전)** ① 개인정보처리자는 개인정보를 국외로 제공(조회되는 경우를 포함한다)·처리위탁·보관(이하 이 절에서 "이전"이라 한다)하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 국외로 이전할 수 있다.
>
> 1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
> 2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우
> 3. 정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우로서 … 가. 제2항 각 호의 사항을 제30조에 따른 개인정보 처리방침에 공개한 경우 나. … 정보주체에게 알린 경우
> 4. 개인정보를 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서 …
> 5. 개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우
GDPR에 익숙한 담당자는 이 구조를 적정성 결정과 표준계약조항의 관계로 읽으려 합니다. 겹치는 부분이 있지만 같지 않습니다. 한국에는 표준계약조항에 해당하는 일반적 근거가 없고, 제3호는 "계약의 체결 및 이행을 위하여 처리위탁·보관이 필요한 경우"로 좁게 걸려 있습니다.
### 제5호 — EU는 2025년 9월 16일에 인정을 받았습니다
개인정보위는 2025년 9월 16일 EU에 대해 제5호의 동등성 인정을 하고 같은 날 관보(제21079호)에 공고했습니다(개인정보보호위원회공고 제2025-68호). 공고문의 「효과」 부분은 이렇게 적혀 있습니다.
> 「개인정보 보호법」 제28조의8 제1항 제5호에 따라 개인정보처리자는 EU 일반 개인정보 보호법(GDPR)을 적용받는 EU 역내 국가 27개국 및 유럽경제지역(EEA)에 포함되는 3개국(노르웨이, 리히텐슈타인, 아이슬란드)의 컨트롤러 또는 프로세서에게 개인정보를 이전할 수 있음
>
> 출처: 개인정보보호위원회공고 제2025-68호(2025. 9. 16.)
이로써 국내 회사가 유럽 지사·파트너사·클라우드로 임직원이나 고객의 개인정보를 보낼 때 제1호의 별도 동의를 받지 않아도 됩니다. 2025년 9월 16일부로 한·EU 양방향 자유 이전 체계가 완성된 셈입니다. 다만 공고문에서 두 겹의 한정을 읽어야 합니다.
첫째, 지역이 한정됩니다. EU 27개국과 EEA 3개국입니다. 스위스나 영국은 여기 들어 있지 않고, 영국과의 이전은 별도로 봐야 합니다. → [영국 본사와 데이터를 주고받고 있습니다](/posts/uk-korea-transfer-basis-gap/)
둘째, 상대방의 지위가 한정됩니다. 이전받는 상대가 "GDPR을 적용받는 컨트롤러 또는 프로세서"여야 합니다. 실무에서 이 두 번째가 걸리는 자리는 EU에 법인은 있지만 그 처리 활동이 GDPR의 적용 범위 밖에 있는 경우, 또는 계약 상대는 EU 법인인데 실제 데이터 처리가 제3국에서 이루어지는 경우입니다. 서브프로세서 목록을 확인해야 판단이 섭니다.
### 인정은 어떻게 이루어지나
시행령 제29조의9가 절차와 기준을 정합니다. 우리가 신청해서 받는 제도가 아니라 국가 단위로 개인정보위가 인정하는 구조여서, 회사 입장에서는 "이미 인정된 나라인가"만 확인하면 됩니다. 같은 조 제1항은 여섯 가지를 종합적으로 고려하도록 합니다.
1. 이전대상국등의 개인정보 보호체계가 법 제3조의 보호 원칙에 부합하고 제4조의 정보주체 권리를 충분히 보장하는지
2. 보호체계를 보장하고 집행할 책임이 있는 독립적 감독기관이 존재하는지
3. 그 나라 공공기관이 법률에 따라 개인정보를 처리하는지, 그에 대한 피해구제 절차 등 보호수단이 존재하고 실질적으로 보장되는지
4. 정보주체가 쉽게 접근할 수 있는 피해구제 절차가 존재하고 효과적으로 작동하는지
5. 그 나라 감독기관이 개인정보위와 원활히 상호 협력할 수 있는지
6. 그 밖에 보호위원회가 고시로 정하는 사항
절차는 국외이전전문위원회의 평가와 정책협의회의 협의를 거치도록 정해져 있습니다(같은 조 제2항). 3호를 눈여겨보면 이 제도의 성격이 드러납니다. 민간 기업의 처리 수준만이 아니라 그 나라 공공기관의 접근에 대한 통제까지 본다는 뜻이고, 국가 단위 인정이 왜 오래 걸리는지가 여기서 설명됩니다.
### 남는 예외 둘과 의무 하나
동등성 인정이 모든 것을 덮지는 않습니다.
주민등록번호와 개인신용정보에는 효력이 미치지 않습니다. 핀테크나 금융 연계 서비스라면 이 부분이 사실상 핵심이고, 신용정보법 영역의 이전은 따로 검토해야 합니다.
인정은 확정적이지 않습니다. 다만 만료일이 있는 것도 아닙니다. 시행령 제29조의9 제3항은 개인정보위가 인정을 할 때 이전되는 개인정보의 범위, 이전받는 개인정보처리자의 범위, 인정 기간, 국외 이전의 조건을 국가별로 달리 정할 수 있게 하는데, 공고 제2025-68호에는 인정 기간이 정해져 있지 않습니다. 즉 EU 건은 "몇 년 뒤 만료"되는 구조가 아닙니다. 대신 같은 조 제4항의 점검 의무(인정 기간 동안 보호 수준이 유지되는지 점검)와 제5항의 취소·변경 권한(보호체계·권리보장 범위·피해구제 절차의 수준이 변경되면 해당 국가의 의견을 듣고 인정을 취소하거나 내용을 변경)이 안전장치로 작동합니다. 취소·변경은 관보 고시와 개인정보위 홈페이지 게재로 공개됩니다(제6항). "언제까지 유효한가"가 아니라 "EU 쪽 제도가 바뀌면 우리 이전 근거도 흔들릴 수 있다"는 형태의 리스크로 관리하는 편이 맞습니다.
그리고 처리방침 기재 의무는 그대로 남습니다. 시행령 제31조 제1항 제2호는 국외로 이전하는 경우 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 처리방침에 적도록 합니다. 근거가 제1호에서 제5호로 바뀌었을 뿐 적어야 한다는 사실은 달라지지 않습니다. 실제로 자주 발견되는 상태는 처리방침에는 근거를 "정보주체의 별도 동의"로 적어 두고 실무에서는 동의를 받지 않는 경우입니다. 근거가 바뀌었으면 문서도 바뀌어야 합니다.
한국에서 EU로 보내는 쪽에서 지금 확인할 것은 다섯 가지입니다.
1. EU·EEA로 개인정보를 보내면서 아직 제1호의 별도 동의를 받고 있지는 않은가
2. 이전받는 상대가 GDPR을 적용받는 컨트롤러 또는 프로세서인가. 서브프로세서까지 확인했는가
3. 이전 대상 국가가 EU 27개국·EEA 3개국 안에 있는가(영국·스위스는 별도 검토)
4. 처리방침의 국외이전 근거가 제5호로 갱신되어 있고, 법 제28조의8 제2항 각 호의 사항(이전 항목·국가·시기·방법, 수령자, 이용목적과 보유기간, 거부 방법과 효과)이 모두 적혀 있는가
5. 관보와 개인정보위 홈페이지에서 인정 취소·변경 고시를 확인하는 절차를 두었는가
제4호 인증을 근거로 삼을 수 있는지는 [본사는 인증을 받았으니 국외이전 근거가 있다고 합니다](/posts/overseas-transfer-certification-list/)에, 본사가 보내온 DPA로 근거가 되는지는 [본사가 보내온 글로벌 DPA에 서명했습니다](/posts/global-dpa-korea-transfer-contract-gap/)에 있습니다.
## 자주 묻는 질문
### Q. EU에 있는 고객이나 지사로부터 개인정보를 한국으로 받아올 때 표준계약조항(SCC)을 체결해야 하나요?
받는 쪽이 한국의 개인정보 보호법 적용을 받는 개인정보처리자라면 필요하지 않습니다. EU 집행위원회는 2021년 12월 17일 GDPR 제45조에 따라 한국에 대한 적정성 결정(Commission Implementing Decision (EU) 2022/254, OJ L 44, 2022.2.24)을 채택했고, 2026년 7월 23일 첫 정기 재검토 보고서(COM(2026) 384 final)에서 '한국이 개인정보 보호법의 적용을 받는 한국 내 수령자에 대해 계속 적정한 수준의 보호를 보장한다'고 결론지었습니다. 적정성 결정이 유지되므로 EU에서 한국으로의 이전은 별도 이전 도구 없이 이루어질 수 있습니다. 다만 적정성 결정은 개인정보 보호법과 그 부속 안전장치인 보완규정(고시 제2021-5호)을 전제로 한 것이므로, 보완규정 준수 의무는 그대로 남습니다.
### Q. 반대로 한국에서 EU로 개인정보를 보낼 때는 정보주체 동의를 받아야 하나요?
2025년 9월 16일부터는 원칙적으로 필요하지 않습니다. 개인정보보호위원회가 개인정보 보호법 제28조의8 제1항 제5호에 따라 EU에 대한 동등성 인정을 하고 같은 날 관보 제21079호에 공고했습니다(개인정보보호위원회공고 제2025-68호). 대상은 EU 역내 27개국과 EEA 3개국(노르웨이·리히텐슈타인·아이슬란드)이고, 이전받는 상대는 GDPR을 적용받는 컨트롤러 또는 프로세서여야 합니다. 다만 주민등록번호(주민등록법 제7조의2)와 개인신용정보(신용정보의 이용 및 보호에 관한 법률 제2조 제2호)의 이전에는 이 인정이 영향을 미치지 않으므로, 그 두 가지는 여전히 다른 근거를 따로 검토해야 합니다. 또한 동등성 인정을 근거로 이전하더라도 법 제28조의8 제4항과 시행령 제29조의10에 따른 보호조치(안전성 확보 조치, 고충처리·분쟁해결 조치)는 이행해야 합니다.
### Q. 글로벌 CBPR 인증을 받으면 개인정보를 국외로 이전할 수 있나요?
그렇게 볼 수 없습니다. 개인정보 보호법 제28조의8 제1항 제4호가 인정하는 것은 '제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증'이고, 시행령 제29조의8은 그 고시에 개인정보 보호 인증 전문기관의 평가, 국외이전 분야 전문위원회의 평가, 정책협의회의 협의를 모두 거치도록 요구합니다. 개인정보위가 2026년 2월 3일 제정한 「국경 간 개인정보 보호 규칙 인증제도의 운영에 관한 지침」(고시 제2026-1호)은 글로벌 CBPR 포럼의 인증 제도를 국내에서 운영하기 위한 절차를 정한 것이지, 그 인증을 국외이전 근거로 지정한 고시가 아닙니다. EU 집행위원회도 이번 재검토 보고서에서 개인정보위에 'APEC CBPR과 CBPR 인증 제도는 개인정보 보호법상 개인정보 이전 수단으로 인정되지 않는다'는 점을 명확히 해 달라고 요청했습니다.
### Q. 동등성 인정은 언제 만료되나요?
EU 건에는 만료일이 없습니다. 시행령 제29조의9 제3항은 개인정보위가 인정을 할 때 이전되는 개인정보의 범위, 이전받는 자의 범위, 인정 기간, 이전 조건을 국가별로 달리 정할 수 있게 하는데, 공고 제2025-68호에는 인정 기간이 정해져 있지 않습니다. 대신 같은 조 제4항의 점검 의무와 제5항의 취소·변경 권한이 안전장치로 작동합니다. '언제까지 유효한가'가 아니라 'EU 쪽 제도가 바뀌면 우리 이전 근거도 흔들릴 수 있다'는 형태의 리스크로 관리하는 편이 맞습니다.
### Q. 동등성 인정을 받았으면 처리방침에 아무것도 안 적어도 되나요?
적어야 합니다. 시행령 제31조 제1항 제2호는 국외로 이전하는 경우 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 처리방침에 적도록 하고 있고, 근거가 제5호(동등성 인정)로 바뀌었을 뿐 기재 의무가 사라지는 것은 아닙니다. 오히려 근거를 제1호(별도 동의)로 적어 둔 채 실제로는 동의를 받지 않고 있다면 처리방침과 실제가 어긋나는 상태가 됩니다.
이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 국외이전의 적법 근거는 데이터의 종류, 이전 구조, 계약 관계에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.
## 참고 자료
- [Commission Implementing Decision (EU) 2022/254 — 한국 적정성 결정 원문](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022D0254) — EUR-Lex
- [COM(2026) 384 final — 한국 적정성 결정 첫 재검토 보고서(EU 이사회 문서 12194/26)](https://data.consilium.europa.eu/doc/document/ST-12194-2026-INIT/en/pdf) — Council of the European Union
- [Commission finds that Republic of Korea continues to provide an adequate level of protection of personal data(2026. 7. 23.)](https://commission.europa.eu/news-and-media/news/commission-finds-republic-korea-continues-provide-adequate-level-protection-personal-data-2026-07-23_en) — European Commission
- [GDPR — Regulation (EU) 2016/679 원문](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679) — EUR-Lex
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제28조의8(개인정보의 국외 이전), 제28조의11(준용규정), 제30조(개인정보 처리방침의 수립 및 공개) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제29조의8(개인정보의 국외 이전 인증), 제29조의9(국가 등에 대한 개인정보 보호 수준 인정), 제31조(개인정보 처리방침의 내용 및 공개방법 등) 제1항 제2호 — 국가법령정보센터. 대통령령 제36121호(2026. 8. 20. 시행)
- 개인정보보호위원회공고 제2025-68호(2025. 9. 16.) — 관보 제21079호. EU 27개국 및 EEA 3개국에 대한 개인정보 보호 수준 인정과 그 효과
---
# "우리 서비스도 허위조작정보 규제 대상인가요?" — 7월 7일 시행 정보통신망법, 100만 명 기준과 그 바깥
- URL: https://datalaw.kr/posts/misinformation-platform-duties/
- 게시 2026-07-26 · 수정 2026-08-28 · 태그: 플랫폼규제, 스타트업실무
- 요약: 개정 정보통신망법이 2026년 7월 7일 시행됐습니다. 자율운영정책 수립과 6개월 1회 보고서 공표 의무는 '하루 평균 이용자 100만 명 이상'인 대규모 정보통신서비스 제공자에게만 적용되지만, 허위조작정보 유통 금지와 5배 징벌적 손해배상은 규모와 무관하게 적용됩니다. 우리 회사가 어느 쪽인지 가르는 기준을 조문으로 정리합니다.
> **핵심 요약**. 개정 정보통신망법(법률 제21305호)과 시행령(대통령령 제36502호)이 2026년 7월 7일 시행됐습니다. 신고 접수·조치, 자율적인 운영정책 수립(법 제44조의12), 6개월 1회 이상 보고서 공표(제44조의14) 의무는 '대규모 정보통신서비스 제공자'에게만 적용되고, 그 기준은 전년도 말 기준 직전 3개월간 하루 평균 이용자 수 100만 명 이상 + SNS·온라인 커뮤니티·동영상 공유 등 이용자 간 정보 매개 서비스입니다(시행령 제2조의2, 별표 1). 반면 허위조작정보를 유통해서는 안 된다는 금지는 '누구든지'에게 적용되고(제44조의7 제2항), 인정된 손해액의 5배 이내 징벌적 손해배상은 구독자 10만 명 이상 또는 직전 3개월 월평균 조회수 10만 회 이상인 수익형 게재자에게 적용됩니다(제44조의10 제3항, 시행령 제35조의4). 사실이나 의견을 불특정 다수에게 전달하는 것을 업으로 하는 자가 확정판결을 받은 정보를 2회 이상 유통했고 그 당시 광고·후원 등으로 수익을 얻고 있었다면 10억 원 이하 과징금 대상이 될 수 있습니다(제44조의24 제1항, 시행령 제35조의11 제1항).
커뮤니티 기능이 있는 서비스를 만드는 스타트업이라면 지난 몇 주 사이에 한 번쯤 이런 대화를 했을 겁니다. "허위조작정보법 시행됐다는데, 우리도 뭐 해야 하는 거 아니야?" 기사 제목만 보면 모든 플랫폼이 투명성 보고서를 써야 할 것 같습니다.
결론부터 말하면, 대부분의 스타트업은 보고서 의무의 대상이 아닙니다. 그런데 그 사실을 확인하고 안심한 채 덮으면 정작 규모와 무관하게 적용되는 부분을 놓칩니다. 이 글은 그 경계선을 조문으로 그어 봅니다.
## 우리 서비스도 '대규모 정보통신서비스 제공자'인가?
개정법이 새로 만든 개념이 두 개입니다.
> **정보통신망법 제2조 제1항**
>
> 3의2. "대규모 정보통신서비스 제공자"란 정보통신서비스 제공자 중 제4호에 따른 이용자 수, 서비스의 종류 등이 대통령령으로 정하는 기준에 해당하는 자를 말한다.
>
> 3의3. "게재자"란 정보통신서비스를 이용하여 정보통신망에 직접 제작하거나 선별한 정보를 게재하여 유통하는 자를 말한다.
여기서 갈립니다. 플랫폼을 운영하는 쪽이 '대규모 정보통신서비스 제공자', 그 위에 콘텐츠를 올리는 쪽이 '게재자'입니다. 의무의 종류가 다르므로, 우리 회사가 어느 쪽인지(또는 둘 다인지) 먼저 정해야 합니다.
대규모 사업자의 기준은 시행령이 채웠습니다.
> **시행령 제2조의2(대규모 정보통신서비스 제공자의 범위)** 법 제2조제1항제3호의2에서 "대통령령으로 정하는 기준에 해당하는 자"란 전년도 말 기준 직전 3개월 동안의 하루 평균 이용자 수가 100만 명 이상이고 별표 1에 따른 정보통신서비스를 제공하는 자를 말한다.
두 요건을 모두 충족해야 합니다.
**첫째, 하루 평균 이용자 수 100만 명 이상.** 기준 시점은 '전년도 말 기준 직전 3개월'입니다. 즉 매일 바뀌는 숫자가 아니라 전년도 4분기 평균으로 판단합니다.
**둘째, 별표 1의 서비스일 것.** 별표 1은 대상을 "이용자가 정보통신망을 통하여 일반에게 공개되어 유통되는 정보를 게재·전송·공유할 수 있도록 제공하는 정보통신서비스로서, 다음 어느 하나를 주된 목적으로 하는 이용자 간 정보 매개 서비스"로 한정합니다.
1. 사회관계망서비스, 온라인 커뮤니티 등 이용자 간 의사소통 및 정보 교환을 위해 정보를 게재·전송하고 실시간 또는 비실시간으로 서로 열람·공유하는 기술적 수단을 제공하는 서비스
2. 동영상 공유 서비스 등 이용자가 정보를 게재·전송해 실시간 또는 비실시간으로 시청·열람·공유하도록 하는 기술적 수단을 제공하는 서비스
이 정의에서 실무적으로 중요한 것은 "주된 목적"이라는 한정입니다. 이커머스, SaaS, 핀테크 앱처럼 이용자 간 정보 매개가 부수적 기능(상품 리뷰, 고객 문의 게시판 등)에 그치는 서비스는 이용자가 100만 명을 넘더라도 별표 1의 서비스로 보기 어렵습니다. 반대로 커뮤니티나 숏폼이 서비스의 본체라면 100만 명 요건만 넘으면 대상이 됩니다.
참고로 시행령은 이 기준에 재검토기한을 2027년 1월 1일로 두었습니다(시행령 제71조 제4항 제1호 신설). 100만 명이라는 숫자가 고정된 것으로 전제하고 장기 계획을 세우기보다는, 내년 초 조정 가능성을 열어 두는 편이 안전합니다.
## 대규모 사업자라면 무엇을 해야 하나?
해당한다면 의무는 크게 셋입니다.
**① 신고를 받고 조치한 뒤 통지해야 합니다(제44조의12).** 누구든지 그 서비스에서 유통되는 불법정보·허위조작정보를 신고할 수 있고, 사업자는 신고를 접수하면 그 사실을 신고자에게 통지해야 합니다. 신고자가 기재해야 할 사항은 시행령 제35조의6이 정합니다. 정보의 URL 등 구체적 위치, 내용과 그 정보가 불법·허위조작정보인 이유, 증빙 자료, 신고자의 연락처와 성명입니다.
조치의 선택지는 법이 여덟 가지로 열거했습니다. 정보의 삭제·접근차단·노출 제한, 게재자 계정의 정지·해지, 광고 수익 등 수익화 제한, 금전 지급의 중지·종료·회수, 서비스의 전부 또는 일부 중지·종료, 청소년유해정보 표시, 신고의 기각, 자율운영정책에 따른 조치입니다. 어떤 조치를 하든 그 정당한 이유와 이의신청 절차를 신고자와 게재자 양쪽에 통지해야 합니다.
이의신청 기한은 통지받은 날부터 6개월이고(제4항), 조치나 이의신청 결정에 불복하면 분쟁조정을 신청할 수 있습니다(제5항, 제44조의20). 제품 관점에서 보면 신고 접수 → 판정 → 조치 → 양방향 통지 → 이의신청 → 분쟁조정으로 이어지는 상태 기계를 갖춰야 한다는 뜻입니다. 게재자에게도 통지해야 한다는 점, 이의신청 창구가 6개월간 열려 있어야 한다는 점이 기존 신고 처리 플로우와 가장 크게 다른 지점입니다.
한 가지 예외가 있습니다. 언론중재법상 언론사, 인터넷뉴스서비스사업자, 인터넷 멀티미디어 방송사업자에 대해서는 위 조치 중 삭제·접근차단부터 서비스 중지까지(제1호~제5호)를 할 수 없습니다(제8항).
**② 자율적인 운영정책을 수립해야 합니다(제44조의12 제6항·제7항).** 불법정보·허위조작정보의 판정기준, 신고와 조치에 관한 정책을 제44조의4 제2항의 자율규제 가이드라인을 참조해 만들어야 하고, 수립할 때 이해관계자·시민단체·전문가의 의견을 반영해야 합니다. 내부적으로 만들어 공지하는 것으로 끝나지 않는다는 뜻이므로, 의견 수렴 절차와 그 기록을 남기는 설계가 필요합니다.
허위정보·조작정보에 관해서는 별도로 처리 정책을 수립·운영할 의무가 있고(제44조의16 제1항), 국제 규범을 준수하는 사실확인(팩트체크) 단체와 협약을 체결할 수 있습니다(제2항). 협약은 의무가 아니라 선택이지만, 체결하면 그 협약을 공개해야 합니다.
**③ 6개월에 1회 이상 보고서를 공표해야 합니다(제44조의14 제1항).** 담을 내용은 여섯 가지입니다.
| 항목 | 근거 |
|---|---|
| 일일 평균 이용자 수, 매출액, 사업의 종류 | 제1호 |
| 신고된 불법정보·허위조작정보의 제44조의7 유형별 분류, 각 신고 건수와 처리 건수·조치 | 제2호 |
| 이의신청과 그 처리의 건수 및 결과 | 제3호 |
| 방송미디어통신위원회 등 국가기관으로부터 받은 명령·권고의 내용과 수, 그에 따른 조치 | 제4호 |
| 약관·정책·자율규제 가이드라인에 따라 처리한 정보의 유형·건수·조치 | 제5호 |
| 자율적인 운영정책에 관한 사항 | 제6호, 시행령 제35조의7 제2항 |
공표 방식은 시행령 제35조의7 제1항이 "인터넷 홈페이지 게시"로 정했고, 홈페이지를 운영하지 않으면 애플리케이션 등 이용자가 쉽게 확인·열람할 수 있는 곳이면 됩니다.
이 보고서를 쓰려면 신고 건수를 법 제44조의7의 유형별로 집계할 수 있어야 합니다. 유형 태그 없이 신고를 받아 왔다면 첫 보고서 작성 시점에 소급 집계가 불가능해집니다. 지금 로깅 스키마를 손보는 것이 가장 싼 대응입니다.
방송미디어통신위원회는 기준 해당 여부를 확인하기 위해 이용자 수·매출액·사업 종류 현황을 요청할 수 있고, 신고와 자율규제 조치의 운용을 조사할 수 있습니다(제44조의15).
## 의무를 안 지키면 과태료가 얼마인가?
여기서 조문을 따라가다 보면 의외의 사실을 만나게 됩니다. 위에서 본 대규모 사업자의 3대 의무 중 신고·조치 의무(제44조의12)와 6개월 1회 보고서 공표 의무(제44조의14 제1항)에는 과태료 규정이 붙어 있지 않습니다.
과태료를 정한 제76조 전체에서 제44조의12부터 제44조의17까지를 위반행위로 든 조항은 하나뿐이고, 그것은 제44조의14 제2항(불법촬영물등 처리 보고서를 방송미디어통신위원회에 제출할 의무)입니다. 6개월마다 홈페이지에 공표하는 그 보고서(제1항)와는 다른 문서입니다.
개정법이 신설·정비한 과태료를 정리하면 다음과 같습니다. 금액은 시행령 별표 9 제2호 개별기준이고 단위는 만 원입니다.
| 위반행위 | 근거 | 1차 | 2차 | 3차 이상 |
|---|---|---|---|---|
| 분쟁조정부의 정보제공 결정에 따른 요청을 정당한 사유 없이 따르지 않은 경우 (법 제44조의6 제1항) **〈2026 신설〉** | 법 제76조 제3항 제4호의2 / 별표 9 자목의2 | 300만 원 | 600만 원 | 1,000만 원 |
| 불법정보 관련 기술적·관리적 조치를 하지 않은 경우 (법 제44조의7 제6항) | 법 제76조 제3항 제4호의3 / 별표 9 자목의3 | 300만 원 | 600만 원 | 1,000만 원 |
| 불법촬영물등 유통방지 책임자를 지정하지 않은 경우 (법 제44조의9 제1항) | 법 제76조 제2항 제4호의4 / 별표 9 차목 | 600만 원 | 1,200만 원 | 2,000만 원 |
| 불법촬영물등 처리 보고서를 제출하지 않은 경우 (법 제44조의14 제2항) **〈2026 신설〉** | 법 제76조 제3항 제4호의4 / 별표 9 차목의2 | 300만 원 | 600만 원 | 1,000만 원 |
법정 상한은 제76조 제1항이 3천만 원, 제2항이 2천만 원, 제3항이 1천만 원 이하입니다. 별표 9 제1호 일반기준에 따라 최근 3년간 같은 위반으로 처분받은 이력이 있으면 차수가 올라가고, 과실로 인한 위반이거나 이용자 피해가 발생하지 않는 등 결과가 경미하면 2분의 1 범위에서 감경될 수 있으며, 반대로 2분의 1 범위에서 가중될 수도 있습니다(상한은 넘지 못합니다).
그러면 보고서를 공표하지 않아도 아무 일이 없을까요. 그렇게 읽으면 곤란합니다. 방송미디어통신위원회는 대규모 사업자에 해당하는지 확인하기 위해 이용자 수·매출액·사업 종류 현황을 요청할 수 있고, 신고와 자율규제 조치의 운용에 관하여 조사할 수 있습니다(제44조의15). 보고서의 사실관계나 제출 자료의 진위를 확인하기 위한 자료 제출 요구권도 있습니다(제44조의14 제3항). 즉 이 영역은 건별 과태료가 아니라 감독과 조사로 관리되는 구조이고, 실제 리스크는 과태료 고지서보다 조사 대응과 그 결과의 공개 쪽에서 발생합니다.
## 100만 명이 안 되면 정말 무관한가?
여기가 이 글에서 가장 중요한 부분입니다. 아닙니다.
먼저 금지 규범 자체는 규모를 가리지 않습니다.
> **정보통신망법 제44조의7 제2항** 누구든지 다음 각 호에 해당한다는 사실을 알았음에도 손해를 끼칠 의도 또는 부당한 이익을 얻을 목적으로 타인의 인격권이나 재산권 또는 공공의 이익을 침해하는 정보로서 다음 각 호의 어느 하나에 해당하는 정보(이하 "허위조작정보"라 한다)를 정보통신망을 통하여 유통하여서는 아니 된다. 다만, 풍자와 패러디는 제외한다.
>
> 1. 내용의 전부 또는 일부가 허위인 정보(이하 "허위정보"라 한다)
> 2. 내용을 사실로 오인하도록 변형된 정보(이하 "조작정보"라 한다)
주의 깊게 볼 것은 요건이 겹겹이라는 점입니다. 허위 또는 조작이라는 사실을 알았을 것(인식), 손해를 끼칠 의도 또는 부당한 이익을 얻을 목적(목적), 인격권·재산권·공공의 이익 침해가 모두 필요하고, 풍자와 패러디는 명시적으로 제외됩니다. 실수로 틀린 정보를 올린 경우까지 잡는 조항이 아닙니다.
문제는 그다음입니다. 손해배상이 세 층으로 설계됐습니다.
- **일반 손해배상**(제44조의10 제1항): 고의 또는 과실로 불법정보·허위정보·조작정보·허위조작정보를 유통해 타인에게 손해를 끼친 자는 배상책임을 집니다. 여기서는 과실만으로도 책임이 발생합니다.
- **법정손해배상**(제2항): 손해는 인정되는데 액수 증명이 매우 어려우면 법원이 5천만 원 범위에서 상당한 금액을 손해액으로 정할 수 있습니다.
- **징벌적 손해배상**(제3항): 인정된 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다.
5배 배상의 대상이 누구인지가 실무의 핵심입니다. "게재자 중 사실이나 의견을 불특정 다수에게 전달하는 것을 업으로 하는 자"로서 대통령령 기준에 해당해야 하고, 시행령이 그 기준을 정했습니다.
> **시행령 제35조의4(가중 손해배상 적용 대상 게재자 범위)** … 다음 각 호의 요건에 모두 해당하는 자를 말한다.
>
> 1. 직전 3개월 동안 총 3개 이상의 정보를 게재하여 광고, 후원 또는 그 밖의 방법을 통해 수익을 얻은 자
> 2. 다음 각 목의 어느 하나에 해당하는 자
> 가. 구독자 및 이에 준하는 자의 수가 10만 명 이상인 자
> 나. 직전 3개월 동안 게시한 정보의 월별 합산 조회 수의 평균이 10만 회 이상인 자
**100만이 아니라 10만입니다.** 그리고 이용자 수가 아니라 구독자 수 또는 조회수입니다. 회사가 콘텐츠 마케팅을 하면서 광고·후원 수익을 얻고 채널 구독자가 10만 명을 넘는다면, 플랫폼 규모와 전혀 무관하게 이 기준선 위에 있습니다.
다만 5배 배상이 성립하려면 ① 불법정보·허위조작정보임을 알았을 것, ② 손해를 끼칠 의도 또는 부당한 이익을 얻을 목적이 있을 것, ③ 피해자에게 법익 침해가 발생했을 것이 모두 충족되어야 합니다(제3항 각 호). 그리고 공익신고자 보호법상 공익침해행위, 청탁금지법이 금지하는 행위, 그에 준하는 공익적 관심사에 관한 정보에는 적용되지 않습니다(제5항). 유통이 오로지 공공의 이익을 위한 것이고 진실이라 믿을 상당한 이유가 있었다면 책임 자체가 면제됩니다(제7항).
법인이 대상인 경우 그 피용자는 원칙적으로 5배 배상책임의 주체가 되지 않지만, 법인을 실질적으로 경영하며 사실상 대표하는 사람이 위반행위에 가담했다면 법인과 연대책임을 집니다(제6항).
## 반복하면 과징금까지: 10억 원
방송미디어통신위원회는 정보통신망을 통해 사실이나 의견을 불특정 다수에게 전달하는 것을 업으로 하는 자가, 이미 법원에서 불법정보·허위조작정보로 인정되어 유죄판결·손해배상판결·정정보도청구등의 소에 대한 판결이 확정된 정보를 2회 이상 유통한 경우 10억 원 이하의 과징금을 부과할 수 있습니다(제44조의24 제1항).
부과기준은 시행령 별표 1의4에 있습니다. 기준금액은 위반행위의 중대성에 따라 매우 중대 3억\~5억 원, 중대 1억\~3억 원, 보통 2천만\~1억 원, 약한 위반 500만\~2천만 원이고, 여기에 유통 횟수를 고려한 필수적 가중(기준금액의 50% 범위), 피해구제·시정 노력 등을 고려한 추가 가중·감경(50% 범위)을 거쳐, 부담능력 등을 고려해 최종적으로 90% 범위에서 감경할 수 있습니다.
과징금 대상자 요건도 시행령이 좁혔습니다. 확정판결 이후 해당 정보를 2회 이상 유통했고, 그 유통 당시 직전 3개월 동안 3개 이상의 정보를 게재해 광고·후원 등으로 수익을 얻은 자여야 합니다(시행령 제35조의11 제1항). 즉 확정판결로 이미 판명된 내용을 수익을 내며 반복 유통하는 경우를 겨냥한 조항입니다.
부칙에 적용례가 있습니다. 손해배상 규정은 시행 이후의 유통행위부터, 과징금 규정은 시행 이후 최초로 확정판결이 난 정보를 유통한 경우부터 적용됩니다(부칙 제2조·제3조).
한편 제70조 제2항의 벌금 상한이 5천만 원에서 7천만 원으로 올랐고, 그 죄로 취득한 금품이나 이익은 몰수·추징 대상이 됐습니다(제70조 제4항 신설).
## 소송을 당하는 쪽의 방어 장치도 함께 생겼다
균형 장치도 같이 들어왔습니다. 제44조의11은 공공의 이익을 위한 정당한 비판과 감시 활동을 방해할 목적으로 5배 배상 청구의 소를 제기할 수 없다고 정하고, 피고가 그렇게 판단하면 법원에 중간판결을 신청할 수 있게 했습니다. 신청이 있으면 법원은 60일 이내에 선고해야 하고 그때까지 소송절차는 중지됩니다.
법원이 남용으로 인정해 소를 각하하면, 원고가 부담하는 소송비용에 피고가 대리 변호사에게 지급했거나 지급할 보수 전액이 포함됩니다(제6항). 원고가 선거 후보자, 공공기관의 장, 공시대상기업집단 소속 회사의 대표이사·최대주주 등 '공인등'에 해당하면 법원은 각하 판결을 공표하도록 명해야 합니다(제7항, 시행령 제35조의5).
플랫폼 쪽에도 대칭적인 장치가 있습니다. 명백히 근거 없는 신고를 빈번하게 하는 등 신고 제도를 남용한다고 판단되면, 사전 통지 후 합리적인 기간 동안 그 신고자의 신고를 접수하지 않을 수 있습니다(제44조의13).
## 지금 점검할 것
1. **우리가 '대규모'인지 판정하고 근거를 남기세요**. 하루 평균 이용자 수(전년도 말 기준 직전 3개월)와, 서비스가 별표 1의 '이용자 간 정보 매개'를 주된 목적으로 하는지. 해당하지 않는다는 판단도 근거를 기록해 두어야 방미통위의 현황 요청(제44조의15 제1항)에 답할 수 있습니다.
2. **해당한다면 신고 처리 플로우를 상태 기계로 다시 설계하세요**. 접수 통지, 조치 사유와 이의신청 절차의 양방향 통지, 6개월 이의신청 창구, 분쟁조정 연계까지.
3. **신고 로그에 제44조의7 유형 태그를 붙이세요**. 보고서의 유형별 집계는 소급이 어렵습니다.
4. **자율운영정책 수립 시 외부 의견 수렴 기록을 남기세요**. 제44조의12 제7항이 이해관계자·시민단체·전문가 의견 반영을 요구합니다.
5. **콘텐츠·인플루언서 마케팅을 점검하세요**. 자사 채널이든 협업 채널이든 구독자 10만 명 또는 월평균 조회수 10만 회를 넘고 수익이 발생한다면 5배 배상 기준선 위입니다. 경쟁사 비교, 효능·성능 주장처럼 사실 주장이 들어가는 콘텐츠의 검증 절차를 문서화해 두는 것이 방어의 출발점입니다.
6. **2027년 1월 1일 재검토기한을 캘린더에 넣으세요**. 100만 명 기준이 조정될 수 있습니다.
신고 처리 과정에서 쌓이는 신고자·게재자 정보 역시 개인정보입니다. 유출을 인지했을 때 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
## 자주 묻는 질문
### Q. 우리 서비스가 '대규모 정보통신서비스 제공자'에 해당하는지 어떻게 판단하나요?
두 요건을 모두 충족해야 합니다. ① 전년도 말 기준 직전 3개월 동안의 하루 평균 이용자 수가 100만 명 이상이고(시행령 제2조의2), ② 별표 1이 정한 서비스(사회관계망서비스·온라인 커뮤니티처럼 이용자 간 의사소통과 정보 교환을 위한 서비스, 또는 동영상 공유 서비스)를 주된 목적으로 하는 이용자 간 정보 매개 서비스여야 합니다. 이커머스나 SaaS처럼 이용자 간 정보 매개가 주된 목적이 아닌 서비스는 이용자가 100만 명을 넘어도 해당하지 않습니다.
### Q. 이용자가 100만 명이 안 되면 개정법과 무관한가요?
아닙니다. 자율운영정책 수립(법 제44조의12 제6항)과 보고서 공표(제44조의14 제1항) 의무는 대규모 사업자만 지지만, 허위조작정보 유통 금지는 '누구든지'에게 적용되고(제44조의7 제2항), 5배 이내 징벌적 손해배상은 구독자 10만 명 이상 또는 직전 3개월 월평균 조회수 10만 회 이상인 수익형 게재자에게 적용됩니다(제44조의10 제3항, 시행령 제35조의4). 회사가 직접 콘텐츠를 만들어 유통하거나 인플루언서 마케팅을 쓴다면 규모와 무관하게 검토해야 합니다.
### Q. 대규모 사업자의 투명성 보고서는 얼마나 자주, 무엇을 담아야 하나요?
6개월에 1회 이상 작성해 인터넷 홈페이지에 게시해야 합니다(법 제44조의14 제1항, 시행령 제35조의7 제1항). 일일 평균 이용자 수·매출액·사업 종류, 신고된 불법정보와 허위조작정보의 유형별 분류와 신고·처리 건수 및 조치, 이의신청 건수와 결과, 국가기관으로부터 받은 명령·권고와 그에 따른 조치, 약관·자율규제 가이드라인에 따라 처리한 정보의 유형·건수·조치, 그리고 자율적인 운영정책에 관한 사항을 담아야 합니다.
### Q. 6개월마다 공표하는 보고서를 올리지 않으면 과태료가 부과되나요?
제44조의14 제1항의 공표 의무 위반에는 과태료 규정이 없습니다. 과태료를 정한 제76조가 제44조의12부터 제44조의17까지 중 위반행위로 든 것은 제44조의14 제2항(불법촬영물등 처리 보고서의 방송미디어통신위원회 제출) 하나뿐이고, 이는 1천만 원 이하로 별표 9상 1차 300만 원·2차 600만 원·3차 이상 1,000만 원입니다. 다만 방송미디어통신위원회가 기준 해당 여부 확인을 위한 현황 요청, 신고·자율규제 조치 운용에 관한 조사, 보고서 진위 확인을 위한 자료 제출 요구를 할 수 있으므로(제44조의14 제3항, 제44조의15), 제재가 없다고 볼 것은 아닙니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [정보통신망 이용촉진 및 정보보호 등에 관한 법률](https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률)(법률 제21305호, 2026. 1. 6. 공포, 2026. 7. 7. 시행) 제2조 제1항 제3호의2·제3호의3, 제44조의7, 제44조의10부터 제44조의17까지, 제44조의24부터 제44조의26까지, 제70조, 제76조 — 국가법령정보센터
- [정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령](https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령)(대통령령 제36502호, 2026. 7. 7. 공포·시행) 제2조의2, 제35조의4부터 제35조의9까지, 제35조의11, 제71조 제4항, 별표 1, 별표 1의4, 별표 9 — 국가법령정보센터
- [언론중재 및 피해구제 등에 관한 법률](https://www.law.go.kr/법령/언론중재및피해구제등에관한법률) — 국가법령정보센터
---
# 우리가 도입한 AI가 무단 학습을 했다면 책임은 누구에게 있나 — AI 도입 기업의 저작권 리스크
- URL: https://datalaw.kr/posts/ai-training-data-copyright/
- 게시 2026-07-26 · 수정 2026-08-28 · 태그: AI규제, 스타트업실무
- 요약: 외부 LLM API를 붙여 서비스를 만든 회사가 가장 자주 묻는 질문입니다. 학습 단계의 복제 책임은 원칙적으로 학습한 자에게 있지만, 파인튜닝을 하는 순간 도입 기업이 학습 주체가 되고, 출력물이 원작과 실질적으로 유사하면 그 출력물을 쓴 쪽이 침해 주체가 됩니다. 한국에는 TDM 면책 규정이 없어 공정이용(저작권법 제35조의5)이 유일한 통로이며, 문체부·저작권위원회가 2026년 2월 26일 그 판단 기준을 안내서로 내놨습니다.
> **핵심 요약**. 생성형 AI 학습에 저작물을 쓰는 것이 적법해지는 통로는 한국에서 공정이용(저작권법 제35조의5)뿐입니다. 현행법에 TDM(텍스트·데이터 마이닝) 면책 규정이 없기 때문입니다. 문화체육관광부와 한국저작권위원회는 2026년 2월 26일 「생성형 인공지능의 저작물 학습에 대한 저작권법상 '공정이용' 안내서」를 발간해 제35조의5 제2항 각 호의 4요소별 판단 지표를 제시했지만, 안내서는 법원을 구속하지 않습니다. 외부 모델을 API로 쓰는 도입 기업은 학습 단계 책임의 주체가 아닌 것이 원칙이나, ① 자체 데이터로 파인튜닝하거나 크롤링 자료를 색인하면 스스로 학습·복제 주체가 되고, ② 출력물이 원저작물과 실질적으로 유사한데 이를 상업적으로 쓰면 그 이용 주체는 도입 기업입니다. 화풍·스타일 자체는 보호 대상이 아니지만 구체적 표현이 유사하면 침해가 되고, 접근권한 없이 또는 로그인·유료 장벽·계약상 권한 범위를 벗어나 이루어진 수집은 저작권과 별개로 부정경쟁방지법 제2조 제1호 카목·파목 문제가 됩니다(robots.txt를 무시한 수집은 그 자체가 카목의 '기술적 보호조치 무력화'에 해당한다기보다, 공정이용 판단에서 불리하게 작용하는 사정입니다). 국내에서는 지상파 3사가 네이버(2025년 1월)와 오픈AI(2026년 2월 23일, 서울중앙지법)를 상대로 소송을 제기해 진행 중이며, 확립된 국내 판례는 아직 없습니다.
AI를 도입한 회사에서 가장 자주 받는 질문은 이런 형태입니다.
"저희는 모델을 만들지 않았습니다. 외부 LLM API를 붙여 서비스를 만들었을 뿐입니다.
그런데 그 모델을 만든 회사가 무단 학습으로 소송을 당했다는 기사를 봤습니다. 저희도 위험한가요?"
답은 "원칙적으로는 아니지만, 세 갈래를 나눠 봐야 한다"입니다. 그리고 실무에서 회사들이 걸리는 곳은 대개 "원칙"이 아니라 그 예외 쪽입니다.
## 학습 단계의 책임은 누가 지나?
AI 학습은 저작권법상 복제로 평가됩니다. 학습 데이터를 수집해 저장하고 모델에 투입하는 과정에서 저작물이 복제되기 때문입니다.
그렇다면 그 복제를 한 자가 책임의 주체입니다. 외부 모델을 API로 호출하기만 한 회사는 그 복제를 하지 않았으므로, 학습 단계 침해의 직접 주체가 되지는 않습니다.
여기까지가 원칙입니다. 문제는 실제 서비스가 이 원칙 안에 얌전히 머무는 경우가 드물다는 것입니다.
## 그런데 우리가 '학습 주체'가 되는 순간이 있다
다음 중 하나라도 하고 있다면, 그 부분에 관한 한 회사는 이용자가 아니라 복제·학습의 주체입니다.
- **파인튜닝·추가 학습**. 자사가 모은 데이터(외부에서 수집한 문서·이미지 포함)로 모델을 추가 학습시키는 경우
- **크롤링 후 색인**. 웹에서 수집한 자료를 벡터DB에 넣어 RAG로 검색·생성에 활용하는 경우. 원문을 저장·색인하는 이상 복제 평가를 피하기 어렵습니다
- **데이터셋 구축·재배포**. 수집한 자료를 정제해 학습용 데이터셋으로 만들어 쓰거나 파트너에게 넘기는 경우
"우리는 AI를 갖다 쓰기만 한다"고 생각하는 회사도 실제 아키텍처를 열어 보면 두 번째에 해당하는 경우가 많습니다. RAG는 도입 기업이 가장 흔히 택하는 구성인데, 그 순간 학습 데이터의 적법성 문제가 개발사의 문제에서 우리 문제로 넘어옵니다.
## 한국에는 AI 학습을 위한 면책 규정이 있나?
없습니다. 이것이 한국 상황의 출발점입니다.
현행 저작권법에는 텍스트·데이터 마이닝을 위한 별도의 저작재산권 제한 규정이 없습니다. 정보분석을 위한 복제를 허용하는 조항을 두려는 개정 논의는 있었지만 입법에 이르지 못했습니다. 따라서 AI 학습을 위한 복제가 적법해지는 통로는 공정이용(제35조의5) 하나뿐입니다.
> **저작권법 제35조의5(저작물의 공정한 이용)**
>
> ① 제23조부터 제35조의4까지, 제101조의3부터 제101조의5까지의 경우 외에 저작물의 일반적인 이용 방법과 충돌하지 아니하고 저작자의 정당한 이익을 부당하게 해치지 아니하는 경우에는 저작물을 이용할 수 있다.
>
> ② 저작물 이용 행위가 제1항에 해당하는지를 판단할 때에는 다음 각 호의 사항등을 고려하여야 한다.
> 1. 이용의 목적 및 성격
> 2. 저작물의 종류 및 용도
> 3. 이용된 부분이 저작물 전체에서 차지하는 비중과 그 중요성
> 4. 저작물의 이용이 그 저작물의 현재 시장 또는 가치나 잠재적인 시장 또는 가치에 미치는 영향
## 공정이용에 해당하는지 어떻게 판단하나?
문화체육관광부와 한국저작권위원회는 2026년 2월 26일 「생성형 인공지능의 저작물 학습에 대한 저작권법상 '공정이용' 안내서」를 발간했습니다. 2025년 10~11월 AI 개발사·권리자 설문과 12월 대국민 설명회를 거쳐 확정된 것으로, 국내에서 공식 기관이 AI 학습과 공정이용의 관계를 체계적으로 정리한 첫 자료입니다(영문본은 2026년 5월 배포).
안내서가 제시한 요소별 판단 지표를 실무 언어로 옮기면 이렇습니다.
| 제35조의5 제2항 요소 | 유리하게 작용 | 불리하게 작용 |
|---|---|---|
| 1. 이용의 목적 및 성격 | 학습 저작물과 무관한 결과물을 만드는 변형적 이용, 동일·유사 결과물을 차단하는 기술 보유 | 원저작물과 실질적으로 동일·유사한 재현, **robots.txt 무시**, 접근 제한된 저작물의 무단 수집 |
| 2. 저작물의 종류 및 용도 | 사실·정보 전달 성격, 창작성 낮은 일상적 표현, 공공데이터 | 문학·예술적 창작성이 높은 저작물(소설·음악·미술), 미공표 저작물 |
| 3. 이용된 양과 중요성 | (생성형 AI는 저작물 전체 이용이 일반적이라 원칙적으로 불리) | 다만 기술적 불가피성과 합리적 필요 범위라면 다른 요소와 종합 판단 |
| 4. 시장에 미치는 영향 | 학습 결과물이 원저작물의 열람·판매를 대체하지 않음 | 판매 감소, **이용허락 기회의 박탈** |
여기서 반드시 짚어야 할 것이 안내서의 법적 성격입니다. 안내서는 행정 안내이지 법원을 구속하는 규범이 아닙니다.
공정이용 해당 여부는 결국 개별 사안에서 법원이 종합적으로 판단하며, 국내에는 아직 이 쟁점에 관한 확립된 판례가 없습니다. 안내서를 "이대로 하면 안전하다"는 면허로 읽으면 안 되고, 분쟁이 났을 때 회사의 판단이 합리적이었음을 설명하는 근거로 쓰는 것이 정확한 용법입니다.
## robots.txt를 무시하고 수집하면 저작권 문제만 생기나?
아닙니다. 여기가 많이 간과되는 지점입니다.
다만 순서를 정확히 해 둘 필요가 있습니다. robots.txt는 크롤러에 대한 배제 요청 규약이지 접근을 차단하는 장치가 아니어서 그 자체를 부정경쟁방지법상 '데이터의 보호를 위하여 적용한 기술적 보호조치'로 단정하기는 어렵고, 실제로 별개의 위법 평가를 받는 것은 접근권한 없이, 또는 계약·약관이 허용한 범위를 벗어나 이루어진 수집입니다. 이런 수집은 저작권 침해 성립 여부와 별개로 부정경쟁방지법 문제를 만듭니다.
- **제2조 제1호 카목**. 데이터를 부정하게 사용하는 행위. 특히 4)는 정당한 권한 없이 데이터 보호를 위한 기술적 보호조치를 회피·제거·변경(무력화)하는 것을 주된 목적으로 하는 기술·서비스·장치를 제공·제조·양도하는 행위를 규정합니다. 1)은 부정접속 등 부정한 수단으로 데이터를 취득하거나 그 데이터를 사용·공개하는 행위, 2)는 계약상 접근권한이 있는 자가 부정한 이익·가해 목적으로 사용·제공하는 행위입니다.
- **제2조 제1호 파목**. 그 밖에 타인의 상당한 투자나 노력으로 만들어진 성과 등을 공정한 상거래 관행이나 경쟁질서에 반하는 방법으로 무단 사용해 경제적 이익을 침해하는 행위. 저작물성이 인정되지 않는 데이터 집합에도 적용될 수 있는 일반조항입니다.
즉 "저작권 침해가 아니다"라는 결론에 도달하더라도 안심할 수 없습니다. 수집 방법 자체가 별개의 위법 평가를 받을 수 있습니다. 로그인이 필요한 사이트, 유료 콘텐츠, 이용약관이 크롤링을 금지한 사이트는 특히 그렇습니다.
## 출력물이 원작과 닮았다면 누가 책임지나?
여기서 책임의 주체가 도입 기업으로 옮겨옵니다. 모델이 만들어 낸 이미지·텍스트를 회사 서비스나 마케팅에 쓰는 행위의 주체는 그것을 이용한 회사이기 때문입니다.
판단 기준 자체는 전통적인 저작권 법리 그대로입니다.
- **화풍·스타일 자체는 보호 대상이 아닙니다.** 저작권법은 아이디어가 아니라 그것이 구체적으로 구현된 표현을 보호합니다. "지브리 스타일", "특정 작가풍" 같은 추상적 스타일은 아이디어의 영역입니다.
- **구체적 표현이 실질적으로 유사하면 침해입니다.** 캐릭터의 구도, 배경 묘사, 색채 사용, 장면 연출 같은 표현 요소가 특정 저작물과 실질적으로 유사하다면 복제권 침해로 평가될 수 있고, 상업적으로 이용할수록 위험은 커집니다.
- **저작권을 벗어나도 부정경쟁방지법이 남습니다.** 특정 화풍이 국내에 널리 알려진 출처 표시로 기능하는데 이를 모방해 혼동을 일으키는 상업적 이용이라면 부정경쟁행위가 될 수 있고, 유명인의 성명·초상·음성 등 식별 표지를 무단 사용하는 경우는 타목이 직접 적용됩니다.
실무 대응은 단순합니다. 프롬프트에 특정 작품명·캐릭터명·작가명을 지시어로 넣지 않는 것, 그리고 생성물을 대외에 쓰기 전에 유사 이미지·문구 검색으로 한 번 걸러 내는 절차를 두는 것입니다.
## 외부 AI를 도입할 때 계약서에 무엇을 넣어야 하나?
도입 기업이 스스로 통제할 수 없는 위험(개발사의 학습 데이터 적법성)은 계약으로 배분하는 것이 정석입니다. 최소한 다음 항목은 협상 대상에 올려야 합니다.
1. **학습 데이터 적법성 보증**. 공급사가 모델 학습에 사용한 데이터를 적법한 권원에 따라 확보했다는 진술 및 보증
2. **저작권 분쟁 면책·방어 의무**. 제3자가 학습 데이터를 이유로 도입 기업에 청구를 제기한 경우 공급사가 방어하고 손해를 배상한다는 조항. 면책 한도(금액 상한·제외 사유)가 실질적인지 확인해야 합니다. 2026년 8월 11일 시행된 개정 저작권법(법률 제21336호) 제125조 제4항은 고의적 침해로 인정되면 손해로 인정된 금액의 5배 이내에서 배상액을 정할 수 있게 했습니다.
제5항이 정한 고려사항 중 침해 후 취한 조치(제7호)는 도입 기업이 통제할 수 있으므로, 침해 통지 시 사용 중단·공급사 통지 절차를 계약에 넣어 둘 실익이 있습니다. 반면 침해자의 재산상태(제6호)는 공급사의 자력 문제라, 면책 범위가 넓어도 공급사가 감당하지 못하면 실효가 없습니다.
부칙 제2조에 따라 배액은 시행 이후 발생한 침해행위부터 적용됩니다. 과거의 학습·수집에 5배가 붙지는 않지만, 지금 협상하는 계약은 앞으로의 이용을 규율하므로 이 상한이 걸립니다. 종전 제4항은 제6항으로 이동해, 「제125조 제4항」을 인용한 기존 계약서·검토 메모는 지금 다른 조문을 가리킵니다. 면책 한도가 이 배액 가능성을 감당할 수 있는 수준인지 다시 계산해야 합니다
3. **출력물 관련 책임 범위**. 출력물의 침해에 대해 어디까지 공급사 책임이고 어디부터 이용자 책임인지. 통상 프롬프트를 통해 특정 저작물을 유도한 경우는 이용자 책임으로 배분됩니다
4. **입력 데이터의 학습 활용 여부**. 우리 회사·고객이 입력한 내용이 공급사 모델 학습에 쓰이는지, 거부(opt-out)가 가능한지. 이는 저작권뿐 아니라 영업비밀·개인정보 문제와도 직결됩니다
5. **서비스 중단 시 대체 수단**. 분쟁이나 규제로 모델 제공이 중단될 경우의 전환 지원과 데이터 반출
이 중 4번은 저작권 문제가 아닙니다. 이용자가 AI에 입력한 내용이 국외로 이전되면 개인정보 보호법상 국외이전 문제가 되고, 그 사실을 처리방침에 적어야 합니다. 이 부분은 [개인정보처리방침 필수 기재사항 체크리스트](/posts/privacy-policy-checklist-2026/)에서 딥시크 사례와 함께 정리했습니다.
계약과 별개로, 생성형 AI 기능을 이용자에게 제공한다면 AI기본법상 고지·표시 의무도 함께 걸립니다. 서비스가 생성형 AI에 기반해 운용된다는 사전 고지와 생성 결과물 표시가 그것인데, 이 의무의 범위와 계도기간의 의미는 [AI기본법 시행 6개월, 계도기간이 끝나기 전에 확인할 의무들](/posts/ai-basic-law-business-duties/)에 정리했습니다.
공공기관 납품을 염두에 두고 있다면 트랙이 하나 더 있습니다. 2026년 7월 21일 시행된 개정 AI기본법은 국가기관등이 제품·서비스를 구매할 때 AI 제품을 우선적으로 고려하도록 정했는데(법 제16조 제3항), 그 대상이 되려면 시행령 제15조 제4항에 따라 'AI 제품·서비스 확인'을 먼저 받아야 합니다. 신청 절차와 준비 서류는 [AI 스타트업에 열린 공공조달](/posts/ai-basic-law-procurement/)에 정리했습니다.
## 안전한 학습 데이터는 어디서 구하나?
공정이용에 기대는 것보다 확실한 것은 애초에 권원이 분명한 데이터를 쓰는 것입니다.
- **공공저작물**. 정부는 2026년 1월 28일 제4회 과학기술관계장관회의에서 공공저작물의 AI 학습 활용 확대 방안을 발표하며 공공누리에 제0유형과 AI유형을 신설했습니다. 제0유형은 출처 표시 의무 없이 상업적 이용과 변경 이용이 모두 가능하고, AI유형은 기존 제1~4유형의 이용 조건은 유지하되 AI 학습에 한해서는 자유로운 활용을 허용합니다. 상업적 이용이 제한되던 공공저작물도 학습용으로는 쓸 수 있게 된 것입니다.
- **이용허락 계약**. 언론사·저작권 신탁관리단체와의 라이선스. 해외에서는 콘텐츠 사업자와 AI 기업 간 유상 라이선스가 표준적 해법으로 자리 잡아 가고 있습니다.
- **자사 데이터와 권원이 명확한 데이터셋**. 다만 오픈 데이터셋도 라이선스 조건(상업적 이용 가능 여부, 재배포 조건)을 개별 확인해야 합니다.
## 국내 소송은 어디까지 왔나?
아직 판결은 없지만, 두 건이 진행 중입니다.
- **지상파 3사(KBS·MBC·SBS) → 네이버**. 2025년 1월 제소. 하이퍼클로바 및 하이퍼클로바X 학습에 뉴스 콘텐츠를 무단 사용했다며 저작권 침해와 부정경쟁방지법 위반을 주장했습니다. 네이버는 저작권법 제7조 제5호(사실의 전달에 불과한 시사보도는 보호받지 못하는 저작물) 등을 들어 다투고 있습니다.
- **지상파 3사 → 오픈AI**. 2026년 2월 23일 서울중앙지법에 침해금지 및 손해배상 청구.
이 소송들의 결론은 안내서보다 훨씬 강한 기준이 됩니다. 특히 뉴스 기사에 대한 제7조 제5호의 적용 범위와 학습 목적 복제의 공정이용 여부는 국내 AI 산업 전반의 전제를 바꿀 수 있는 쟁점이므로, AI를 쓰는 회사라면 결과를 지켜볼 이유가 충분합니다.
## 지금 점검할 체크리스트
1. 우리 서비스가 외부 모델을 호출만 하는지, 파인튜닝·색인까지 하는지 아키텍처 기준으로 구분했는가
2. 크롤링으로 수집하는 자료가 있다면 대상 사이트의 이용약관과 robots.txt를 확인했는가
3. 로그인·유료 장벽이 있는 콘텐츠를 우회해 수집하고 있지는 않은가 (부정경쟁방지법 카목)
4. 학습·색인에 쓰는 데이터의 권원 목록을 문서로 관리하고 있는가
5. 생성 결과물이 특정 저작물과 유사해지지 않도록 프롬프트 제약이나 필터링을 두었는가
6. 대외 사용 전 생성물에 대한 유사성 확인 절차가 있는가
7. 외부 AI 공급 계약에 학습 데이터 적법성 보증과 면책 조항이 있는가, 면책 한도가 실질적인가
8. 우리·고객의 입력 내용이 공급사 학습에 쓰이는지 확인하고 필요하면 opt-out을 적용했는가
9. 공공누리 제0유형·AI유형 등 권원이 분명한 데이터로 대체할 여지를 검토했는가
학습·색인용으로 모아 둔 데이터에 개인정보가 섞여 있다면, 저작권 판단을 기다릴 겨를 없이 유출 신고 시한이 먼저 돌아옵니다. 그 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
권리처리가 되지 않은 학습데이터의 노출 금액을 실제로 얼마로 볼 것인지는 별개의 질문입니다. 법원이 손해액 산정에 쓴 산식과 2026년 8월 11일 시행된 개정 저작권법 제125조 제4항의 5배 배상은 [대상회사의 학습데이터에 권리처리 안 된 책이 섞여 있습니다](/posts/scraped-data-asset-due-diligence/)에서 다뤘습니다.
## 자주 묻는 질문
### Q. 외부 LLM API를 쓰는데 그 모델이 무단 학습으로 소송을 당했습니다. 우리도 책임을 지나요?
학습 단계의 복제에 대한 책임은 원칙적으로 그 복제를 한 개발사에 있으므로, API를 이용하기만 한 회사가 곧바로 학습 단계 침해의 주체가 되지는 않습니다. 다만 두 경우는 다릅니다. 첫째, 자체 데이터로 파인튜닝하거나 크롤링한 자료를 색인해 검색·생성에 쓰면 그 부분은 도입 기업 자신의 복제·학습이 됩니다. 둘째, 모델이 만들어 낸 출력물이 원저작물과 실질적으로 유사한데 이를 상업적으로 이용하면 그 이용 주체는 도입 기업입니다.
### Q. 한국에도 AI 학습을 위한 TDM 면책 규정이 있나요?
없습니다. 현행 저작권법에는 텍스트·데이터 마이닝을 위한 별도 면책 조항이 없어, AI 학습을 위한 복제가 적법해지는 통로는 공정이용(제35조의5)뿐입니다. 문화체육관광부와 한국저작권위원회가 2026년 2월 26일 「생성형 인공지능의 저작물 학습에 대한 저작권법상 '공정이용' 안내서」를 발간해 판단 기준을 제시했지만, 안내서는 행정 안내일 뿐 법원을 구속하지 않습니다.
### Q. AI 화풍 모방은 저작권 침해인가요?
화풍이나 스타일 자체는 아이디어의 영역이어서 저작권 보호 대상이 아닙니다. 다만 캐릭터의 구도, 배경 묘사, 색채, 장면 연출 같은 구체적 표현이 기존 저작물과 실질적으로 유사하면 침해가 될 수 있고, 특정 화풍이 널리 알려진 출처 표시로 기능하는 경우 이를 상업적으로 이용하는 행위는 부정경쟁방지법상 성과 도용(제2조 제1호 파목) 등에 해당할 여지가 있습니다.
### Q. robots.txt를 무시하고 수집하면 저작권 문제만 생기나요?
robots.txt는 크롤러에 대한 배제 요청 규약이지 접근을 차단하는 장치가 아니어서, 그것을 무시한 수집 자체를 부정경쟁방지법 제2조 제1호 카목의 기술적 보호조치 무력화로 단정하기는 어렵습니다. 별개의 위법 평가를 받는 것은 접근권한 없이, 또는 계약·약관이 허용한 범위를 벗어나 이루어진 수집이고, 그런 수집은 저작권 침해 성립 여부와 별개로 같은 호 카목·파목 문제를 만듭니다. robots.txt 무시는 그 자체가 위법 요건이라기보다 공정이용 판단에서 불리하게 작용하는 사정으로 보는 편이 정확합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [저작권법](https://www.law.go.kr/법령/저작권법) 제7조(보호받지 못하는 저작물), 제35조의5(저작물의 공정한 이용), 제125조 제4항·제5항(고의적 침해에 대한 배액 배상과 그 고려사항, 법률 제21336호로 신설, 2026. 8. 11. 시행) 및 같은 법 부칙 제2조(손해배상책임에 관한 적용례) — 국가법령정보센터
- [부정경쟁방지 및 영업비밀보호에 관한 법률](https://www.law.go.kr/법령/부정경쟁방지및영업비밀보호에관한법률) 제2조 제1호 카목(데이터의 부정사용), 타목(성명·초상 등 무단사용), 파목(성과 등의 무단사용) — 국가법령정보센터
- [문화체육관광부·한국저작권위원회, 「생성형 인공지능의 저작물 학습에 대한 저작권법상 '공정이용' 안내서」 발간 보도자료(2026. 2. 26., 영문본 2026. 5. 배포)](https://www.mcst.go.kr/kor/s_notice/press/pressView.jsp?pSeq=22261) — 문화체육관광부
- [공공누리 이용약관(제0유형·AI유형 안내)](https://www.kogl.or.kr/info/license.do) — 공공누리. 과학기술정보통신부·문화체육관광부, 공공저작물 인공지능 학습 활용 확대 방안(제4회 과학기술관계장관회의, 2026. 1. 28.)에 따른 신설
- KBS·MBC·SBS 대 네이버 저작권 침해 사건(2025. 1. 제소), KBS·MBC·SBS 대 오픈AI 사건(2026. 2. 23. 서울중앙지방법원) — 모두 계속 중이라 판결문 원문 링크 없음
---
# 우리 회사도 '인공지능사업자'인가 — AI기본법 의무 지도
- URL: https://datalaw.kr/posts/ai-basic-law-business-duties/
- 게시 2026-07-26 · 수정 2026-09-09 · 태그: AI규제, 스타트업실무
- 요약: AI기본법과 시행령은 2026년 1월 22일 함께 시행됐습니다. 모델을 직접 만들지 않고 외부 AI를 갖다 쓰는 회사도 '인공지능사업자'입니다(법 제2조 제7호). 이 글은 우리 회사가 의무 주체인지, 어느 조문이 걸리고 어느 조문은 애초에 해당하지 않는지를 한 장의 지도로 정리합니다. 투명성 고지, 고영향 인공지능 책무, 국내대리인, 계도기간과 과태료는 각각 별도의 글에서 자세히 다룹니다.
> **핵심 요약**: 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI기본법)과 그 시행령은 2026년 1월 22일 함께 시행됐습니다. 의무를 지는 주체는 모델을 만드는 회사만이 아니라 남이 만든 인공지능을 이용해 제품·서비스를 제공하는 회사까지 포함한 '인공지능사업자'입니다(법 제2조 제7호). 실무상 대부분의 회사에 걸리는 것은 투명성 확보 의무(제31조)이고, 채용·대출 심사 등 10개 영역에 해당할 때 고영향 인공지능 책무(제33조·제34조)가 추가됩니다. 반면 안전성 확보 의무(제32조)는 누적 연산량 10의 26승 부동소수점연산 이상 등 세 요건을 모두 충족하는 시스템에만 적용돼(시행령 제24조 제1항) 국내 스타트업에는 통상 해당하지 않습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이며, 나머지는 사실조사와 시정명령을 거친 뒤에야 과태료 국면으로 넘어갑니다.
작년 이맘때 AI기본법을 설명할 때는 "시행 전에 무엇을 챙길 것인가"가 질문이었습니다. 그때는 정작 중요한 기준이 전부 "대통령령으로 정한다"에 걸려 있어서, 연산량 기준도 고영향 판단 절차도 답할 수 없었습니다.
지금은 다릅니다. 시행령이 법과 같은 날 시행되면서 연산량 기준도, 고영향 확인 절차도, 과태료 개별기준도 숫자로 나왔습니다.
그래서 질문이 바뀝니다. "우리 회사는 무엇에 걸리고, 무엇에는 안 걸리는가."
이 글은 그 갈림길을 정리하는 지도입니다. 각 의무의 세부 절차는 아래 링크한 글에서 따로 다룹니다.
## 우리는 모델을 안 만드는데, 그래도 '인공지능사업자'인가?
가장 먼저 정리해야 할 오해입니다. 답은 "그렇다"입니다. AI기본법의 의무 주체인 인공지능사업자는 두 종류를 모두 포함합니다(법 제2조 제7호).
- **인공지능개발사업자**: 인공지능을 개발하여 제공하는 자
- **인공지능이용사업자**: 개발사업자가 제공한 인공지능을 이용하여 인공지능제품 또는 인공지능서비스를 제공하는 자
즉 외부 모델을 API로 붙여 고객상담 챗봇을 만들었거나, 상용 AI 도구로 지원자 서류를 1차 선별하는 서비스를 운영한다면, 모델을 한 줄도 학습시키지 않았어도 인공지능사업자입니다.
"우리는 AI 회사가 아니다"라는 자기 인식과 법의 정의는 다릅니다. 여기서 갈리는 회사가 많습니다.
다만 내부 업무 용도로만 쓰는 경우는 투명성 고지의 적용 예외가 될 수 있습니다(시행령 제23조 제4항 제2호). 사내 문서 요약에만 쓰는 것과, 그 기능을 고객에게 서비스로 내보내는 것은 다릅니다.
## 지금 우리 회사에 걸리는 의무는 무엇인가?
의무를 성격별로 나누면 이렇습니다. 전부 같은 무게가 아닙니다.
| 의무 | 근거 | 적용 대상 | 위반 시 |
|---|---|---|---|
| 투명성 확보(사전 고지) | 법 §31① | 고영향·생성형 AI 기반 제품·서비스 제공자 | 과태료 (1차 500만 원) |
| 투명성 확보(생성물 표시) | 법 §31② | 생성형 AI 또는 이를 이용한 제품·서비스 제공자 | 직접 과태료 없음 · 시정명령 대상 |
| 투명성 확보(가상 결과물 고지) | 법 §31③ | 실제와 구분하기 어려운 음향·이미지·영상 제공자 | 직접 과태료 없음 · 시정명령 대상 |
| 안전성 확보 | 법 §32 | 누적 연산량 10^26 FLOP 등 3요건 충족 시스템 | 직접 과태료 없음 · 시정명령 대상 |
| 고영향 해당 여부 사전 검토 | 법 §33① | 모든 인공지능사업자 | 없음 |
| 고영향 AI 책무 | 법 §34① | 고영향 AI 제공자 | 직접 과태료 없음 · 시정명령 대상 |
| 영향평가 노력 | 법 §35① | 고영향 AI 제공자 | 노력 의무 |
| 국내대리인 지정·신고 | 법 §36① | 국내 주소·영업소 없는 일정 규모 이상 사업자 | 과태료 2,000만 원 |
표를 세로로 읽으면 구조가 보입니다. 과태료가 직접 붙는 것은 제31조 제1항 고지 의무와 제36조 국내대리인 지정, 이 둘뿐입니다. 나머지는 사실조사(제40조 제1항)를 거쳐 중지·시정명령이 내려지고, 그 명령을 이행하지 않을 때 비로소 과태료가 부과되는 구조입니다(제43조 제1항 제3호).
제재의 실제 작동 방식과 감경 기준은 [계도기간이니 지금은 안 지켜도 되나 — AI기본법 과태료의 실제 구조](/posts/ai-basic-law-grace-period-penalty/)에 따로 정리했습니다.
## 우리도 안전성 확보 의무 대상인가?
제32조는 이름값을 못 하는 조항입니다. "안전성 확보"라니 모든 AI 사업자가 지는 일반 의무처럼 들리지만, 실제로는 프런티어 모델을 직접 학습시키는 소수 사업자를 겨냥합니다.
시행령 제24조 제1항은 대상을 다음 세 요건을 **모두** 충족하는 인공지능시스템으로 한정합니다.
1. 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산(10^26 FLOP) 이상일 것
2. 인공지능기술의 발전 수준을 고려할 때 현재 인공지능시스템에 활용되는 인공지능기술 중 최첨단의 인공지능기술을 적용하여 구성·운영되고 있을 것
3. 인공지능시스템의 위험도가 사람의 생명, 신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것
세 요건이 누적이라는 점이 핵심입니다. 연산량 기준만으로는 걸리지 않습니다. 국내에서 이 기준을 넘기는 학습을 수행하는 사업자는 극히 제한적이며, 외부 모델을 가져다 쓰는 이용사업자는 통상 대상이 아닙니다.
대상이 되면 수명주기 전반의 위험 식별·평가·완화와 안전사고 모니터링·대응 체계를 갖추고 그 결과를 과기정통부장관에게 제출해야 합니다(법 제32조 제1항·제2항). 누적 연산량의 구체적 산정 방식은 과기정통부장관 고시로 정해집니다(시행령 제24조 제2항).
이 절을 여기 남겨 둔 이유는 하나입니다. 대부분의 회사에게 제32조의 정답은 "해당 없음"이고, 그 사실을 빨리 확인하고 넘어가는 편이 낫기 때문입니다.
## 그래서 어디부터 보면 되나
우리 회사의 상황에 따라 볼 곳이 갈립니다. 조문 번호를 이미 알고 계신다면 [인공지능기본법 조문 지도](/ai-act/)에서 그 조문의 시행일과 위반 시 과태료 유무를 먼저 확인하실 수 있습니다.
**생성형 AI 기능을 서비스에 붙였다면** 투명성 확보 의무부터 봅니다. 사전 고지·생성물 표시·가상 결과물 고지가 각각 다른 상황을 겨냥하고, 적용 예외도 따로 있습니다. 외부 모델이 결과물에 심어 주는 워터마크가 우리 의무를 대신하는지도 여기서 갈립니다. → [챗봇에 무엇을 고지해야 하나 — AI기본법 제31조의 세 층](/posts/generative-ai-disclosure-labeling/)
**채용·대출 심사처럼 사람의 권리·의무를 판단하는 일에 AI를 쓴다면** 고영향 인공지능 해당 여부를 검토해야 합니다. 검토 자체가 의무이고, 해당하면 여섯 가지 책무가 따라붙습니다. 다른 법을 이미 지키고 있으면 그 책무를 이행한 것으로 보는 규정도 있습니다. → [우리 서비스가 '고영향 인공지능'인가](/posts/high-impact-ai-check/)
**국내에 주소나 영업소가 없는 법인이라면** 국내대리인 지정 대상인지 확인합니다. 전체 매출이 크지 않아도 AI 서비스 부문 매출 100억 원이면 걸립니다. → [AI기본법 국내대리인 — AI 부문 매출 100억이면 대상입니다](/posts/ai-basic-law-domestic-representative/)
**"계도기간이라던데"라는 말이 사내에서 나왔다면** 계도기간의 성격부터 정리해야 합니다. 법령상 유예가 아니라 행정 운영 방침입니다. → [계도기간이니 지금은 안 지켜도 되나](/posts/ai-basic-law-grace-period-penalty/)
## 지금 점검할 체크리스트
1. 우리 제품·서비스가 인공지능을 이용해 제공되는가. 그렇다면 개발사업자인가 이용사업자인가
2. 그 인공지능이 생성형인가, 고영향 영역에서 쓰이는가, 둘 다인가
3. 내부 업무 용도로만 쓰는 것과 고객에게 제공하는 것을 구분해 정리했는가
4. 고영향 해당 여부 사전 검토를 수행하고 그 결과를 문서로 남겼는가(법 제33조 제1항)
5. 안전성 확보 의무의 세 요건에 해당하지 않는다는 판단을 기록해 두었는가
6. 해외 법인이라면 국내대리인 지정 기준에 걸리는지 확인했는가
7. 위 항목 중 미비점이 있다면, 시정하려 노력한 기록을 남기고 있는가
공공기관 납품을 계획하고 있다면 확인할 항목이 하나 더 붙습니다. 2026년 7월 21일 시행된 개정법은 국가기관등에 AI 제품 우선구매 고려 의무를 지웠는데, 그 대상이 되려면 'AI 제품·서비스 확인'을 먼저 받아야 합니다. 확인 신청 절차와 구매 담당자 면책 규정은 [7월 21일부터 국가기관은 AI 제품 구매를 '우선 고려'해야 합니다](/posts/ai-basic-law-procurement/)에 정리했습니다.
AI 서비스가 개인정보를 다룬다면 여기서 만든 문서들은 사고 국면에서 함께 확인됩니다. 유출을 인지한 뒤 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
개인정보 쪽에서도 학습 국면을 겨냥한 조문이 따로 들어옵니다. 2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 이용 특례를 신설하면서, 심의·의결을 거치면 일부 조문의 적용을 배제할 수 있게 했습니다. 어느 조문이 걷히고 어느 조문이 그대로 남는지는 [AI 학습 특례 — 걷히는 조문과 남는 국외이전](/posts/ai-development-exception-waived-provisions/)에 정리했습니다.
## 자주 묻는 질문
### Q. 외부 AI를 API로 붙여 쓰는 회사도 AI기본법 의무를 지나요?
집니다. AI기본법은 인공지능을 개발해 제공하는 '인공지능개발사업자'와 남이 만든 인공지능을 이용해 제품·서비스를 제공하는 '인공지능이용사업자'를 모두 '인공지능사업자'로 정의합니다(법 제2조 제7호). 외부 모델을 API로 연결해 챗봇이나 심사 도구를 만들었다면 모델을 만들지 않았어도 투명성 고지 의무(제31조)와 고영향 인공지능 관련 책무(제34조)에서 벗어나지 않습니다.
### Q. 우리 스타트업도 안전성 확보 의무 대상인가요?
사실상 해당되지 않을 가능성이 높습니다. 시행령 제24조 제1항은 ① 학습에 사용된 누적 연산량이 10의 26승 부동소수점연산 이상이고, ② 최첨단 인공지능기술을 적용해 구성·운영되며, ③ 위험도가 사람의 생명·신체의 안전 및 기본권에 광범위하고 중대한 영향을 미칠 우려가 있을 것, 이 세 가지를 모두 충족하는 인공지능시스템으로 한정합니다. 세 요건이 누적이므로 프런티어 모델을 직접 학습시키는 사업자를 겨냥한 기준이며, 외부 모델을 이용하는 사업자에게는 통상 적용되지 않습니다.
### Q. AI기본법 의무 중 실제로 과태료가 붙는 것은 무엇인가요?
직접 과태료가 붙는 위반은 두 가지뿐입니다. 사전 고지를 하지 않은 경우(법 제31조 제1항 위반, 1차 500만 원)와 국내대리인을 지정하지 않은 경우(법 제36조 제1항 위반, 2,000만 원)입니다. 생성물 표시, 안전성 확보, 고영향 인공지능 책무는 위반해도 바로 과태료가 부과되지 않고, 사실조사를 거쳐 중지·시정명령이 내려진 뒤 그 명령을 이행하지 않을 때 과태료 사유가 됩니다(법 제40조 제3항, 제43조 제1항 제3호).
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제2조(정의), 제31조(인공지능 투명성 확보 의무), 제32조(인공지능 안전성 확보 의무), 제33조(고영향 인공지능의 확인), 제34조(고영향 인공지능과 관련한 사업자의 책무), 제35조(고영향 인공지능 영향평가), 제36조(국내대리인 지정), 제40조(사실조사 등), 제43조(과태료) — 국가법령정보센터. 법률 제21311호(2026. 1. 20. 공포, 2026. 7. 21. 시행)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 제23조(인공지능 투명성 확보 의무), 제24조(인공지능 안전성 확보 의무), 제25조(고영향 인공지능의 확인 절차 등), 제27조(고영향 인공지능과 관련한 사업자의 책무), 제29조(국내대리인 지정 사업자의 기준) — 국가법령정보센터. 대통령령 제36053호(2026. 1. 22. 시행), 제36506호(2026. 7. 21. 시행)를 거쳐 현행은 대통령령 제36580호(2026. 8. 20. 시행). 8월 개정은 「국가연구개발혁신법 시행령」 개정에 따른 타법개정으로, 제2조 제2호 나목의 인용 조항만 바뀌었고 이 글이 다루는 의무 조항은 그대로입니다.
- [과기정통부, 「인공지능 투명성 확보 안내 지침(가이드라인)」 공개 보도자료(2026. 1. 22.)](https://eiec.kdi.re.kr/policy/materialView.do?num=276195) — KDI 경제정보센터. 투명성 확보 의무의 주체를 '이용자에게 인공지능 제품 및 서비스를 직접 제공하는 인공지능사업자'로 정리했고, 1년 이상 계도기간 중 사실조사·과태료 부과를 유예한다는 방침도 여기에 담겼습니다.
- [인공지능기본법 지원데스크](https://www.sw.or.kr/AI_act_helpdesk/main.jsp) — 과기정통부·정보통신산업진흥원. 하위법령과 가이드라인 원문, 사업자 문의 창구.
---
# 개인정보처리방침 필수 기재사항 — 2026년 기준 15개 항목과 2023년 이후 늘어난 것
- URL: https://datalaw.kr/posts/privacy-policy-checklist-2026/
- 게시 2026-07-26 · 수정 2026-09-11 · 태그: 개인정보처리방침, AI규제, 국외이전, 개인정보보호법, 스타트업실무
- 요약: 개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정하고 있고, 국내대리인 기재까지 더하면 현행 기준 15개 항목입니다. 그 목록이 2023년 이후 네 차례 늘어, 2023년 초에 만든 처리방침은 지금 기준으로 항목이 비어 있을 가능성이 높습니다. 필수 항목과 신설 시점, 공개 방법, 과태료와 처리방침 평가제를 정리합니다. AI로 심사·추천을 자동화했다면 15개 항목을 다 채워도 빠지는 것이 하나 더 있습니다. 법 제30조 목록 밖에 있는 자동화된 결정의 공개 의무(법 제37조의2 제4항, 시행령 제44조의4의 다섯 항목)로, 거부권이 없는 경우에도 공개 의무는 남습니다. 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 각각의 글로 넘깁니다.
> **핵심 요약**. 개인정보처리방침에 담을 내용은 개인정보 보호법 제30조 제1항 각 호(11개)와 그 제8호의 위임을 받은 시행령 제31조 제1항 각 호(4개)가 정하고 있고, 여기에 국내대리인 기재(법 제31조의2 제4항)가 더해져 현행 기준 15개 항목입니다. 수립·공개하지 않으면 1천만 원 이하 과태료 대상입니다(법 제75조 제4항 제8호). 이 목록은 2023년 이후 네 차례 늘었습니다 — 2023년 9월 15일 민감정보의 공개 가능성·비공개 선택 방법(제30조 제1항 제3호의3)과 가명정보 처리에 관한 사항(제4호의2), 국외이전의 근거와 고지사항(시행령 제31조 제1항 제2호)이 추가됐고, 2024년 3월 15일 국외 직접 수집 시 처리 국가명(시행령 제31조 제1항 제4호)이 추가됐으며, 2025년 10월 2일부터 국내대리인 기재 누락에 과태료가 붙었습니다(법 제75조 제4항 제9호의2). 공개는 인터넷 홈페이지 지속 게재가 원칙이고(시행령 제31조 제2항), 처리방침이 계약 내용과 다르면 정보주체에게 유리한 쪽이 적용됩니다(법 제30조 제3항). AI로 심사·추천을 자동화했다면 이 15개 목록 밖에 별개의 공개 의무가 하나 더 있고(법 제37조의2 제4항, 시행령 제44조의4 제1항의 다섯 항목), 계약 이행에 필요한 결정이라 거부권이 적용되지 않아도 그 공개 의무와 설명 요구권은 그대로 남습니다.
서비스를 처음 열 때 개인정보처리방침을 한 번 만들어 두고, 그 뒤로 손대지 않은 회사가 많습니다. 문구를 바꿀 일이 없었으니 그대로 두어도 된다고 생각하기 쉽습니다.
그런데 처리방침은 회사가 바뀌지 않아도 법이 바뀌면 낡는 문서입니다. 무엇을 담아야 하는지가 법으로 정해져 있고, 그 목록이 2023년 이후 계속 늘어났기 때문입니다. 2023년 초 기준으로 완벽했던 처리방침도 지금 기준으로는 항목이 비어 있을 수 있습니다.
이 문서가 실제로 힘을 갖는 순간은 평시가 아니라 사고 뒤입니다. 유출 조사에서 위원회는 처리방침의 기재와 실제 처리를 대조하고, 투자·인수 실사에서는 이 문서가 회사의 진술로 읽힙니다. 그래서 아래 항목들은 "채웠는가"보다 "사실과 일치하는가"를 먼저 물어야 합니다.
이 글은 현행 법령을 기준으로 처리방침에 무엇이 들어가야 하는지, 그리고 그중 2023년 이후 새로 생긴 항목이 무엇인지를 나눠 정리합니다. 그 목록 밖에 있는 자동화된 결정의 공개 의무는 본문에서 함께 다루고, 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 뒤쪽 분기에서 각각의 글로 넘깁니다.
## 우리 회사도 개인정보처리방침을 만들어야 하나?
처리방침 수립·공개 의무를 지는 주체는 개인정보처리자입니다(법 제30조 제1항). 개인정보처리자는 "업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등"으로 정의됩니다(법 제2조 제5호).
여기서 자주 오해가 생깁니다. 법인이 아니어도, 규모가 작아도 해당됩니다.
개인사업자가 영업을 위해 고객 명단을 관리한다면 그 자체로 개인정보처리자입니다. 반대로 업무와 무관하게 개인이 지인 연락처를 저장해 두는 것은 해당하지 않습니다.
온라인으로 서비스를 제공하면서 회원가입·문의·결제 과정에서 이용자 정보를 받는다면, 특별한 사정이 없는 한 개인정보처리자에 해당한다고 보아야 합니다. "우리는 아직 초기라서"는 면제 사유가 아닙니다.
## 2026년 기준, 처리방침에 반드시 들어가야 할 항목은?
현행 법령상 필수 기재사항은 법 제30조 제1항 각 호(11개) 와 같은 항 제8호의 위임을 받은 시행령 제31조 제1항 각 호(4개) 로 나뉩니다. 전체를 한 표로 정리하면 다음과 같습니다.
| # | 기재사항 | 근거 | 비고 |
|---|---|---|---|
| 1 | 개인정보의 처리 목적 | 법 §30①1 | |
| 2 | 개인정보의 처리 및 보유 기간 | 법 §30①2 | |
| 3 | 개인정보의 제3자 제공에 관한 사항 | 법 §30①3 | 해당되는 경우만 |
| 4 | 파기절차 및 파기방법 (법정 보존 시 보존근거·보존항목 포함) | 법 §30①3의2 | |
| 5 | **민감정보의 공개 가능성 및 비공개를 선택하는 방법** | 법 §30①3의3 | 해당되는 경우만 · **2023.9.15 신설** |
| 6 | 개인정보 처리의 위탁에 관한 사항 | 법 §30①4 | 해당되는 경우만 |
| 7 | **가명정보의 처리 등에 관한 사항** | 법 §30①4의2 | 해당되는 경우만 · **2023.9.15 신설** |
| 8 | 정보주체와 법정대리인의 권리·의무 및 행사방법 | 법 §30①5 | |
| 9 | 개인정보 보호책임자의 성명 또는 담당 부서 명칭·연락처 | 법 §30①6 | |
| 10 | 자동 수집 장치(쿠키 등)의 설치·운영 및 거부에 관한 사항 | 법 §30①7 | 해당되는 경우만 |
| 11 | 처리하는 개인정보의 항목 | 령 §31①1 | |
| 12 | **국외이전의 근거와 법 제28조의8 제2항 각 호의 사항** | 령 §31①2 | **2023.9.15 신설** |
| 13 | 개인정보의 안전성 확보 조치에 관한 사항 | 령 §31①3 | |
| 14 | **국외에서 국내 정보주체의 개인정보를 직접 수집·처리하는 경우 처리 국가명** | 령 §31①4 | **2024.3.15 신설** |
| 15 | **국내대리인의 성명·주소·전화번호·전자우편 주소** | 법 §31의2④ | 국내대리인 지정 대상만 · **2025.10.2 과태료 신설** |
굵게 표시한 다섯 항목이 2023년 이후 늘어난 것입니다. 앞의 네 항목은 2023년 초 기준 처리방침에는 아예 없던 항목입니다 — 민감정보의 공개 가능성·비공개 선택 방법과 가명정보 처리에 관한 사항(법 개정, 2023. 9. 15. 시행), 국외이전의 근거와 고지사항(시행령 개정, 2023. 9. 15. 시행), 국외 직접 수집 시 처리 국가명(시행령 개정, 2024. 3. 15. 시행). 국내대리인 항목은 기재 의무 자체는 그 전부터 있었고 근거 조문만 종전 제3항에서 제4항으로 이동했는데, 달라진 것은 제재입니다 — 누락에 1천만 원 이하 과태료를 무는 근거(법 제75조 제4항 제9호의2)가 2025년 10월 2일 처음 생겼습니다.
## 15개 항목을 다 채워도 빠지는 것은 없나? — 자동화된 결정의 공개
처리방침 점검을 의뢰받아 열어 보면 자주 마주치는 상태가 있습니다. 위 15개 항목은 빠짐없이 채워져 있는데, 회사가 실제로 돌리고 있는 자동 심사에 관한 서술은 어디에도 없는 경우입니다. 담당자를 탓하기 어렵습니다. 체크리스트를 성실히 따랐는데도 빠지는 구조이기 때문입니다.
법 제30조 제1항과 시행령 제31조 제1항의 목록 어디에도 자동화된 결정은 없습니다. 그 공개 의무는 다른 조문에서 나옵니다.
> **개인정보 보호법 제37조의2 ④** 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개하여야 한다.
조문 위치가 다르다는 것은 실무에서 두 가지를 뜻합니다. 처리방침 템플릿이나 자동 생성 도구는 대개 제30조 목록을 기준으로 만들어져 있어서, 그 도구를 썼다면 이 항목이 애초에 생기지 않습니다. 그리고 처리방침만 검토 대상으로 삼는 내부 점검에서도 잡히지 않습니다. 말하자면 법 제30조 목록 밖에 있는 열여섯 번째 공개 의무입니다.
### 우리 시스템이 '자동화된 결정'인가
법 제37조의2 제1항은 자동화된 결정을 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함한다)으로 개인정보를 처리하여 이루어지는 결정으로 정의합니다. 「행정기본법」 제20조에 따른 행정청의 자동적 처분은 제외됩니다.
판단에서 무게가 실리는 낱말은 "완전히"입니다. 사람이 최종 결정을 하고 시스템은 점수만 산출한다면 그 결정은 완전히 자동화된 것이 아니라고 볼 여지가 있습니다. 반대로 사람의 개입이 형식에 그친다면, 즉 시스템 산출물을 그대로 승인하는 절차만 놓여 있다면 실질은 자동화된 결정에 가깝습니다. 경계에 있는 구조라면 어느 단계에서 사람이 무엇을 보고 무엇을 바꿀 수 있는지를 판단 흐름도로 남겨 두어야, 나중에 그 개입이 실질적이었다고 말할 수 있습니다.
정의에는 "권리 또는 의무에 중대한 영향"이라는 요건이 없다는 점도 확인해 두어야 합니다. 그 요건은 제1항의 거부권 발동 요건이지 자동화된 결정 자체의 정의가 아닙니다. 이 차이가 공개 의무의 범위를 결정합니다.
### 거부권이 없어도 공개 의무는 남는다
법 제37조의2는 세 가지 권리·의무를 서로 다른 요건 위에 세워 두었습니다.
| | 근거 | 발동 요건 | 예외 |
|---|---|---|---|
| 거부권 | §37의2① | 자동화된 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미칠 것 | 법 §15①1·2·4에 따른 결정에는 적용 안 됨 |
| 설명 등 요구권 | §37의2② | 자동화된 결정을 한 경우(중대한 영향 요건 없음) | 없음 |
| 공개 의무 | §37의2④ | 자동화된 결정을 운영하는 개인정보처리자 | 없음 |
제1항 단서는 계약의 체결·이행에 필요한 경우(법 제15조 제1항 제4호) 등에 거부권이 적용되지 않는다고 정합니다. 실무에서 "우리는 계약 이행에 필요한 시스템이라 해당 없음"이라는 결론이 여기서 나옵니다. 그 결론은 거부권에 관해서만 맞습니다. 제2항의 설명 요구권과 제4항의 공개 의무에는 그 단서가 걸려 있지 않습니다. 조문을 항 단위로 끊어 읽지 않으면 세 의무를 한꺼번에 면제받은 것으로 잘못 정리하게 됩니다.
### 공개할 다섯 항목
시행령 제44조의4 제1항이 정하는 내용입니다.
1. 자동화된 결정이 이루어진다는 사실과 그 목적 및 대상이 되는 정보주체의 범위
2. 자동화된 결정에 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계
3. 자동화된 결정 과정에서의 고려사항 및 주요 개인정보가 처리되는 절차
4. 자동화된 결정 과정에서 민감정보 또는 14세 미만 아동의 개인정보를 처리하는 경우 그 목적 및 처리하는 개인정보의 구체적인 항목
5. 자동화된 결정에 대하여 정보주체가 거부·설명등요구를 할 수 있다는 사실과 그 방법 및 절차
2호가 실무에서 가장 손이 많이 갑니다. 개인정보의 유형을 나열하는 데 그치지 말고 그 유형과 결정의 관계를 적으라고 요구하기 때문입니다. "이용 이력을 수집합니다"가 아니라 "최근 6개월 결제 이력이 한도 산정에 반영됩니다"에 가까운 서술이 필요합니다. 동시에 이 조항은 알고리즘을 공개하라는 요구가 아닙니다. 요구되는 것은 기준·절차·처리 방식이고, 가중치나 모델 구조까지 내놓아야 하는 것은 아닙니다. 어디까지 적을지는 2호와 3호의 문언을 기준선으로 잡는 편이 안전합니다.
4호는 대상이 좁지만 걸리면 부담이 큽니다. 민감정보나 14세 미만 아동의 개인정보가 결정 과정에 들어간다면 목적과 구체적 항목까지 적어야 합니다. 반대로 말하면, 그 두 유형을 결정 과정에서 배제하는 설계가 공개 부담을 줄입니다.
### 어디에 어떻게 공개하나
시행령 제44조의4 제1항 본문은 "인터넷 홈페이지 등을 통해" 정보주체가 쉽게 확인할 수 있도록 공개하도록 하고, 인터넷 홈페이지 등을 운영하지 않거나 지속적으로 알려야 할 필요가 없는 경우에는 미리 서면등의 방법으로 알릴 수 있도록 합니다. 같은 조 제2항은 정보주체가 쉽게 알 수 있도록 표준화·체계화된 용어를 사용해야 하며, 쉽게 이해할 수 있도록 동영상·그림·도표 등 시각적인 방법 등을 활용할 수 있다고 덧붙입니다. "활용할 수 있다"는 임의 규정이지만 "표준화·체계화된 용어를 사용해야 한다"는 의무여서, 내부에서 쓰는 모델 명칭이나 지표 약어를 그대로 옮겨 적는 방식은 이 요구에 어긋납니다.
배치는 둘 중 하나가 일반적입니다. 처리방침 안에 한 항목으로 넣거나, 처리방침에서 링크되는 별도 문서로 두는 방식입니다. 어느 쪽이든 처리방침에서 찾아갈 수 있어야 "쉽게 확인할 수 있도록"이라는 요건에 부합합니다.
공개는 시작이지 끝이 아닙니다. 다섯 번째 항목이 거부·설명 요구의 방법과 절차를 적으라고 요구하는 이상, 그 창구로 실제 요구가 들어옵니다. 요구를 받으면 정당한 사유가 없는 한 자동화된 결정을 적용하지 않거나 인적 개입에 의한 재처리·설명 등 필요한 조치를 해야 합니다(법 제37조의2 제3항). 처리 기한과 거절할 수 있는 범위, 시스템이 해외 본사에 있을 때 누가 답하는지는 → [본사 AI가 내린 결정을 한국 이용자가 거부했습니다](/posts/hq-automated-decision-korea-duty/)
같은 시스템이 AI기본법에도 걸릴 수 있습니다. 채용·대출 심사처럼 개인의 권리·의무에 중대한 영향을 미치는 판단에 AI를 쓴다면 고영향 인공지능 해당 여부를 사전에 검토할 의무가 있고, 해당하면 설명 방안 수립·게시를 포함한 여섯 가지 책무가 따라붙습니다. 두 법의 공개 의무는 일부 겹칩니다. AI기본법 시행령 별표 1 제7호는 개인정보 보호법 제37조의2를 포함한 조치를 이행한 경우 개인정보 처리 및 보호에 관한 한 AI기본법 제34조 제1항 각 호의 조치를 이행한 것으로 봅니다. → [우리 서비스가 '고영향 인공지능'인가](/posts/high-impact-ai-check/)
## 처리방침은 어디에 어떻게 게시해야 하나?
작성만큼 자주 놓치는 것이 공개 방법입니다. 처리방침은 수립하거나 변경한 경우 정보주체가 쉽게 확인할 수 있도록 공개해야 하고(법 제30조 제2항), 원칙적인 방법은 인터넷 홈페이지에 지속적으로 게재하는 것입니다(시행령 제31조 제2항).
홈페이지에 게재할 수 없는 경우에만 다음 중 하나 이상의 방법을 씁니다(시행령 제31조 제3항).
1. 사업장 등의 보기 쉬운 장소에 게시
2. 관보(공공기관만) 또는 사업장 소재 시·도 이상 지역을 주된 보급지역으로 하는 일반일간신문·일반주간신문·인터넷신문에 게재
3. 연 2회 이상 발행해 정보주체에게 배포하는 간행물·소식지·홍보지·청구서 등에 지속적으로 게재
4. 재화·서비스 제공을 위해 작성한 계약서 등에 실어 정보주체에게 발급
여기서 하나 더 기억할 조항이 있습니다.
> **개인정보 보호법 제30조 ③** 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.
처리방침은 안내문이 아니라, 이용약관 등과 어긋나면 정보주체에게 유리한 쪽으로 효력이 정리되는 문서입니다. "실제 운영과 다르지만 일단 넓게 써 두자"는 접근이 위험한 이유입니다.
## 안 지키면 어떻게 되나?
- 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료(법 제75조 제4항 제8호)
- 국내대리인 지정 대상인데 국내대리인의 성명·주소·전화번호·전자우편 주소를 처리방침에 포함하지 않으면 1천만 원 이하의 과태료(같은 항 제9호의2)
과태료보다 현실적인 압박은 처리방침 평가제입니다. 개인정보위는 ① 법정 기재사항을 적정하게 정하고 있는지, ② 알기 쉽게 작성했는지, ③ 정보주체가 쉽게 확인할 수 있는 방법으로 공개하고 있는지를 평가하고, 개선이 필요하면 개선을 권고할 수 있습니다(법 제30조의2 제1항).
평가 대상은 개인정보처리자의 유형·매출액 규모, 처리하는 개인정보의 유형·규모(민감정보·고유식별정보 포함 여부), 처리의 법적 근거와 방식, 법 위반행위 발생 여부, 아동·청소년 등 정보주체의 특성을 종합적으로 고려해 선정되고, 선정되면 평가 개시 10일 전까지 평가계획이 통보됩니다(시행령 제31조의2 제1항·제2항). 대상은 매년 7개 안팎의 분야를 새로 골라 지정하는 방식이어서(2024년 7개 분야 49개 서비스, 2026년 7대 분야 52개 서비스) 우리 업종이 언제 포함될지 미리 알기 어렵습니다. 차례가 온 뒤 손보는 것보다 기준을 미리 맞춰 두는 편이 낫습니다.
## 우리 상황이라면 어디를 더 봐야 하나
필수 항목을 채운 다음에는 회사가 무엇을 하고 있느냐에 따라 볼 곳이 갈립니다. 각각 별도의 글로 정리해 두었습니다.
**해외 클라우드·SaaS를 쓰거나 해외 이용자를 받는다면.** 가장 자주 비어 있는 항목이 국외이전입니다. 법은 제공(조회되는 경우를 포함한다)·처리위탁·보관을 모두 이전으로 보므로(법 제28조의8 제1항), 해외 리전 클라우드나 해외 본사가 운영하는 분석 도구·CRM을 쓰는 순간 해당합니다. 시행령 제31조 제1항 제2호는 이전의 근거와 함께 법 제28조의8 제2항 각 호의 사항(이전 항목·국가·시기·방법, 수령자, 이용목적과 보유기간, 거부 방법과 그 효과)을 적도록 합니다. 그리고 해외 이용자를 받기 시작했다면 국문 처리방침과 영문 Privacy Policy는 서로 다른 법이 요구하는 별개 문서입니다. → [처리방침을 번역해 영문 Privacy Policy로 써도 되나](/posts/privacy-policy-two-documents/)
마케팅팀이 심은 광고 픽셀·SDK도 빼놓기 쉬운 국외이전 지점입니다. → [웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가](/posts/tiktok-pixel-behavioral-data/)
**AI로 심사·추천을 자동화했다면.** 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식을 공개할 의무가 별도로 있습니다(법 제37조의2 제4항). 이것은 법 제30조의 처리방침 기재사항이 **아니라** 별개의 공개 의무여서, 처리방침 항목만 맞춰 두면 빠집니다. 공개할 다섯 항목과 거부권 예외의 범위는 [위 절](#15개-항목을-다-채워도-빠지는-것은-없나--자동화된-결정의-공개)에 정리했습니다.
**생성형 AI 기능이 있다면.** 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지, 그것이 어느 나라 어느 회사로 가는지가 처리방침 기재 대상이 됩니다. 2026년 4월 24일 개정된 작성지침이 이 부분에 부록을 새로 두었습니다. → [생성형 AI 서비스의 개인정보 처리방침](/posts/generative-ai-privacy-policy/)
**2026년 9월 11일 이후.** 기재사항 목록 자체는 바뀌지 않았지만, 처리방침에 적는 내용의 전제가 되는 조항들이 움직였습니다. 사업주·대표자의 최종 책임을 명문화한 제30조의3이 신설됐고, 개인정보 보호책임자 지정에 이사회 의결이 들어오면서 제31조의 항 번호가 밀렸습니다. 조문 단위 신구 대조는 → [2026년 9월 11일 시행 개정 개인정보 보호법 신구조문 대조표](/posts/pipa-2026-amendment-comparison/)
**자동 생성 도구로 만든 처리방침을 쓰고 있다면.** 문서가 있다는 것과 문서가 맞다는 것은 다릅니다. 실사와 조사에서 이 문서가 어떻게 읽히는지는 → [자동 생성한 개인정보 처리방침, 실사와 조사에서는 어떻게 읽히나](/posts/autogenerated-privacy-policy-mismatch/)
## 지금 바로 확인할 체크리스트
1. 처리방침에 민감정보의 공개 가능성·비공개 선택 방법 항목이 있는가 (해당되는 경우)
2. **가명정보 처리에 관한 사항**을 적었는가 (가명처리를 하는 경우)
3. **국외이전 항목**에 근거와 함께 이전 항목·국가·시기·방법·수령자·이용목적·보유기간·거부 방법이 모두 들어 있는가
4. 국외에서 국내 이용자 정보를 직접 수집한다면 처리 국가명을 적었는가
5. 국내대리인 지정 대상이라면 성명·주소·전화번호에 더해 전자우편 주소까지 적었는가
6. 처리방침이 홈페이지에 지속적으로 게재되어 있고, 이용약관·실제 운영과 어긋나지 않는가
7. 마지막 개정일이 2024년 3월 15일 이후인가 (그 이전이라면 항목 누락 가능성이 높습니다)
8. 사람의 실질적 개입 없이 결과가 정해지는 판단이 있다면, 거부권 유무와 상관없이 시행령 제44조의4 제1항의 다섯 항목(개인정보 유형과 결정의 관계, 민감정보·14세 미만 아동 정보의 처리 여부 포함)을 처리방침에서 찾아갈 수 있는 자리에 공개했는가
보유기간 항목을 적을 때는 실제 파기 시점과 어긋나지 않는지 함께 확인해야 합니다. 탈퇴한 회원의 데이터를 어떤 근거로 얼마나 남길 수 있는지는 [회원이 탈퇴하면 개인정보를 바로 파기해야 하나](/posts/retention-vs-destruction/)에서 조문별로 정리했습니다.
처리방침에 적어 둔 내용과 회사가 실제로 하는 처리가 어긋나는지는 대개 유출 조사에서 확인됩니다. 사고를 인지한 뒤 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
처리방침이 외국계 한국법인의 문제로 넘어가면 점검 범위가 넓어집니다. 본사 산출물 단위로 본 지도는 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 있습니다.
## 자주 묻는 질문
### Q. 2023년에 만든 개인정보처리방침을 그대로 써도 되나요?
그대로 두면 항목이 비어 있을 가능성이 높습니다. 2023년 9월 15일부터 민감정보의 공개 가능성·비공개를 선택하는 방법(법 제30조 제1항 제3호의3), 가명정보의 처리 등에 관한 사항(같은 항 제4호의2), 국외이전의 근거와 법 제28조의8 제2항 각 호의 사항(시행령 제31조 제1항 제2호)이 필수 기재사항으로 추가됐고, 2024년 3월 15일에는 국외에서 국내 정보주체의 개인정보를 직접 수집해 처리하는 경우의 처리 국가명(시행령 제31조 제1항 제4호)이 더해졌습니다. 마지막 개정일이 2024년 3월 15일 이전이라면 점검이 필요합니다.
### Q. 처리방침에 국내대리인을 안 적으면 어떻게 되나요?
1천만 원 이하의 과태료 대상입니다. 국내대리인을 지정한 개인정보처리자는 국내대리인의 성명(법인은 명칭과 대표자 성명), 주소(법인은 영업소 소재지), 전화번호 및 전자우편 주소를 처리방침에 포함해야 하고(법 제31조의2 제4항), 이를 누락하면 과태료가 부과됩니다(법 제75조 제4항 제9호의2). 기재 의무 자체는 그 전부터 있었으나 과태료 근거는 2025년 10월 2일에 신설됐습니다.
### Q. 홈페이지가 없는 회사는 개인정보처리방침을 어디에 공개하나요?
인터넷 홈페이지에 지속적으로 게재하는 것이 원칙이고(시행령 제31조 제2항), 게재할 수 없는 경우에만 같은 조 제3항의 네 가지 대체 방법 — 사업장 게시, 신문·관보 게재, 정기 간행물 게재, 계약서 등 발급 문서 수록 — 중 하나 이상을 씁니다. 각 방법의 요건은 위 [게시 방법 절](#처리방침은-어디에-어떻게-게시해야-하나)에 있습니다.
### Q. AI로 자동 심사·추천을 하면 처리방침에 써야 하나요?
처리방침 기재사항과는 별개의 공개 의무가 걸립니다. 개인정보처리자는 자동화된 결정의 기준과 절차, 개인정보가 처리되는 방식 등을 정보주체가 쉽게 확인할 수 있도록 공개해야 하는데(법 제37조의2 제4항), 이것은 법 제30조 제1항의 목록에 들어 있지 않습니다. 공개할 내용은 시행령 제44조의4 제1항이 다섯 가지로 정하고, 같은 조는 '인터넷 홈페이지 등을 통해' 공개하도록 하므로 처리방침 안에 한 항목으로 넣어도 되고 처리방침에서 링크되는 별도 문서로 두어도 됩니다. 실무에서는 처리방침에 항목을 두고 상세 문서로 연결하는 구성이 관리하기 쉽습니다.
### Q. 계약 이행에 필요한 자동화 시스템이라 거부권이 없다면 공개도 안 해도 되나요?
공개는 해야 합니다. 법 제37조의2 제1항 단서는 법 제15조 제1항 제1호·제2호·제4호에 따라 이루어진 자동화된 결정에 거부권이 적용되지 않는다고 정할 뿐이고, 같은 조 제2항의 설명 등 요구권과 제4항의 공개 의무는 그 단서의 적용을 받지 않습니다. 거부권이 없는 구조라도 공개 다섯 항목과 설명 요구 대응 절차는 갖추어야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제2조 제5호(개인정보처리자), 제28조의8(국외이전), 제30조(처리방침의 수립 및 공개), 제30조의2(처리방침의 평가 및 개선권고), 제31조의2(국내대리인의 지정), 제37조의2(자동화된 결정에 대한 정보주체의 권리 등), 제75조 제4항 제8호·제9호의2(과태료) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행)
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제31조(처리방침의 내용 및 공개방법 등), 제31조의2(처리방침의 평가 대상 및 절차), 제32조의3(국내대리인 지정 대상자의 범위 등), 제44조의4(자동화된 결정의 기준과 절차 등의 공개) — 국가법령정보센터. 대통령령 제36121호(2026. 8. 20. 시행)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 별표 1(이행조치 인정 기준 및 절차) 제7호 — 개인정보 보호법상 조치 이행 시 AI기본법 제34조 제1항 각 호 조치의 이행 간주 범위
- 개인정보 보호법 일부개정법률(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행 / 제32조의2 제1항 단서는 2027. 7. 1. 시행)
- [개인정보 처리방침 평가, 국민 눈높이에서 더 꼼꼼히 본다(2026년도 평가계획)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12236) — 개인정보보호위원회 보도자료
---
# 회원이 탈퇴하면 개인정보를 바로 지워야 하나요: 파기 의무와 법정 보존기간이 충돌할 때
- URL: https://datalaw.kr/posts/retention-vs-destruction/
- 게시 2026-07-26 · 수정 2026-08-28 · 태그: 개인정보보호법, 스타트업실무
- 요약: 회원 탈퇴·거래 종료·직원 퇴사 후 개인정보는 지체 없이 파기하는 것이 원칙입니다. 근거는 개인정보 보호법 제21조입니다. 전자상거래법·근로기준법·세법이 정한 법정 보존기간은 그 예외입니다. 무엇을 언제까지 남기고, 남기는 동안 어떻게 관리해야 하는지 대표 보존기간표와 함께 정리합니다.
> **핵심 요약**: 개인정보는 보유기간 경과·처리 목적 달성 등으로 불필요해지면 지체 없이 파기해야 하고(개인정보 보호법 제21조 제1항, 표준 개인정보 보호지침상 정당한 사유가 없는 한 5일 이내), 위반 시 3천만 원 이하 과태료 대상입니다(제75조 제2항 제4호). 다만 전자상거래법(계약·대금결제 기록 5년 등), 근로기준법(계약 서류 3년), 국세기본법(장부·증거서류 5년), 상법(상업장부 10년) 등 다른 법령이 보존을 요구하는 항목은 예외입니다. 이 경우 해당 정보를 다른 개인정보와 분리하여 저장·관리하고(제21조 제3항), 보존 근거와 항목을 개인정보 처리방침에 기재해야 합니다(제30조 제1항 제3호의2).
회원 탈퇴 처리를 앞둔 운영팀 회의에서는 대체로 두 목소리가 부딪칩니다.
"환불 분쟁 나면 어떡해요, 일단 다 남겨두죠."
"개인정보는 탈퇴하면 바로 지워야 하는 것 아닌가요?"
둘 다 절반만 맞습니다. 전부 남기면 파기 의무 위반이고, 전부 지우면 법정 보존의무 위반입니다.
항목별로 근거와 기간을 나누는 문제입니다.
## 회원이 탈퇴하면 언제까지 파기해야 하나요: '지체 없이'의 기준
> **개인정보 보호법 제21조 ①** 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.
실무 기준은 표준 개인정보 보호지침이 제시합니다. 정당한 사유가 없는 한 **5일 이내**입니다.
파기는 삭제 버튼을 누르는 것으로 끝나지 않아서, 복구·재생이 불가능한 방법이어야 하고(제21조 제2항) 전자 파일은 영구 삭제, 서면은 파쇄·소각이 기준이며(시행령 제16조), 이를 지키지 않으면 3천만 원 이하 과태료 대상이 됩니다(제75조 제2항 제4호).
다만 실무에서 더 무겁게 다가오는 것은 따로 있습니다. 탈퇴 회원 데이터를 쌓아둔 회사가 유출 사고를 겪으면 지웠어야 할 정보까지 유출 피해 규모에 합산되는데, [9월 시행 개정법의 유출 과징금 상한 변화](/posts/breach-response-calculus-shift/)에서 본 것처럼 9월부터 대규모 유출에 대한 과징금 상한이 올라가는 환경에서는 불필요한 데이터가 그 자체로 리스크 재고가 됩니다.
## 어떤 법령이 보존을 요구하나요: 대표 보존기간표
제21조 제1항 단서의 "다른 법령"이 실제로 무엇인지가 실무의 핵심입니다. 자주 걸리는 것만 추리면 이렇습니다.
| 기록 | 보존기간 | 근거 |
|---|---|---|
| 표시·광고에 관한 기록 | 6개월 | 전자상거래법 제6조, 시행령 제6조 제1항 제1호 |
| 소비자 불만·분쟁처리 기록 | 3년 | 같은 시행령 제6조 제1항 제4호 |
| 계약 또는 청약철회 기록 | 5년 | 같은 시행령 제6조 제1항 제2호 |
| 대금결제·재화 공급 기록 | 5년 | 같은 시행령 제6조 제1항 제3호 |
| 근로자 명부, 근로계약에 관한 중요 서류 | 3년 | 근로기준법 제42조 |
| 거래 장부와 증거서류(세무) | 법정신고기한 경과 후 5년 (역외거래 7년) | 국세기본법 제85조의3 제2항 |
| 상업장부와 영업에 관한 중요서류 | 10년 (전표류는 5년) | 상법 제33조 제1항 |
이 밖에도 업종에 따라 의료법(진료기록), 신용정보법, 전자금융거래법 등이 별도의 보존기간을 둡니다. 규제 업종이라면 소관 법령을 더 봐야 합니다.
표에 없는 항목은 원칙으로 돌아갑니다.
전자상거래 사업자에게는 조항 하나가 특히 중요합니다. 소비자가 개인정보 동의를 철회해도 위 거래기록과 그에 포함된 거래 주체 식별정보는 보존할 수 있습니다(전자상거래법 제6조 제2항). "탈퇴했으니 다 지워달라"는 요청과 법정 보존이 부딪칠 때 사업자를 지켜주는 근거입니다.
처리방침과 CS 안내문구에 미리 반영해 두시기 바랍니다. 요청을 받고 나서 찾으면 늦습니다.
## '5년 보존'이면 그 회원 정보를 전부 5년 두어도 되나?
아닙니다. 예외는 법령이 보존하라고 한 그 기록, 그 항목에만 미칩니다.
탈퇴 회원의 결제 기록을 5년 보존한다고 해서 그 회원의 서비스 이용 로그, 행태정보, 마케팅 수신 동의 이력, 프로필 사진까지 5년 보관할 근거가 생기지는 않습니다. 보존 대상이 아닌 항목은 원칙으로 돌아가 지체 없이 파기해야 합니다.
보존 중인 정보를 보존 목적 밖에서 쓰는 것도 안 됩니다. 거래 증빙·세무·분쟁 대응이 목적인데 마케팅에 재활용하면, 목적 외 이용이라는 별도의 위반이 됩니다.
## 보존기간 동안에는 어떻게 관리해야 하나요: 분리보관과 처리방침 기재
법정 보존으로 남기는 정보에는 관리 의무가 두 가지 따라붙습니다.
첫째는 **분리 저장·관리**입니다(제21조 제3항). 보존 정보를 운영 DB에 그대로 두면 안 되고 다른 개인정보와 분리해 저장·관리해야 하며, 전자상거래법 시행령도 동의를 철회한 소비자의 기록은 별도 보존하도록 명시하고 있어(시행령 제6조 제2항 제3호), 실무에서는 탈퇴 회원 테이블이나 아카이브 저장소를 분리한 뒤 접근 권한을 정산·법무 등 필요한 인원으로 좁히는 방식을 씁니다.
다만 '분리'를 어느 수준까지 해야 하는지를 법이 구체적으로 정하고 있지는 않습니다. 저장소를 나누는 데서 그치지 않고 접근 권한까지 좁혀야 분리보관으로 볼 수 있다고 판단하지만, 이 부분은 견해가 갈릴 여지가 있습니다.
둘째는 **처리방침 기재**입니다(제30조 제1항 제3호의2). 처리방침의 파기 항목에는 파기 절차·방법과 함께, 법령에 따라 보존하는 경우 그 보존 근거와 보존하는 개인정보 항목을 적어야 합니다. [국문 처리방침과 영문 Privacy Policy를 따로 두어야 하는 이유](/posts/privacy-policy-two-documents/)에서 본 처리방침 평가제의 적정성 평가에서도 이 항목의 누락이 잘 드러나는 지점으로 보입니다.
## 퇴사한 직원의 개인정보는 언제까지 보관하나요?
직원 데이터도 구조가 같습니다.
근로자 명부와 근로계약에 관한 중요 서류는 3년(근로기준법 제42조), 급여·원천징수 등 세무 증빙은 법정신고기한이 지난 날부터 5년입니다(국세기본법 제85조의3 제2항, 역외거래가 포함된 경우 7년).
사내 메신저 계정, 복지 신청 내역, 채용 당시 이력서와 면접 평가처럼 보존 근거가 따로 없는 정보는 퇴직 후 지체 없이 파기 대상이 되는데, 여기서 놓치기 쉬운 것이 불합격자의 이력서입니다.
채용 절차가 끝나면 보존할 근거가 사라집니다.
## 체크리스트
1. **항목별 데이터 보유기간표(데이터 맵)가 있는가.** 수집 항목마다 보유 근거·기간·기산점·파기 방법을 한 표로. 이 표가 처리방침, 파기 정책, 개발 스펙의 공통 원본이 됩니다.
2. **탈퇴·거래종료·퇴사 시 자동 분기가 구현되어 있는가.** 법정 보존 항목은 분리 저장소로, 나머지는 파기 큐로. 수작업에 의존하면 5일 기준을 지키기 어렵습니다.
3. **분리보관 저장소의 접근 권한이 좁혀져 있는가.** 운영 조직이 평소처럼 조회할 수 있다면 분리보관이라 보기 어렵습니다.
4. **처리방침의 파기 항목이 실제와 일치하는가.** 보존 근거·항목 기재(제30조 제1항 제3호의2) 누락 여부.
5. **파기 이력을 남기는가.** 언제 무엇을 어떤 방법으로 파기했는지. 분쟁·조사에서 파기 의무 이행을 입증하는 자료가 됩니다.
종합하면, 데이터를 지우는 일은 쌓는 일보다 설계가 어렵습니다. 그래도 기준 자체는 단순합니다.
남기는 것에는 조문 하나씩 근거를 붙일 수 있어야 하고, 근거를 못 붙이는 것은 지웁니다. 이 원칙으로 보유기간표를 만들어 두면 탈퇴 처리, 유출 대응, 처리방침 평가가 모두 그 위에서 정리됩니다.
보유기간표가 없는 상태에서 유출 사고가 나면 대응 범위가 그만큼 넓어집니다. 사고를 인지한 뒤 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 따로 정리했습니다.
## 자주 묻는 질문
### Q. 회원이 탈퇴하면 개인정보를 즉시 삭제해야 하나요?
원칙적으로 지체 없이(표준 개인정보 보호지침상 정당한 사유가 없는 한 5일 이내) 파기해야 합니다. 다만 전자상거래법상 계약·대금결제 기록 5년 등 다른 법령이 보존을 요구하는 항목은 그 기간 동안 다른 개인정보와 분리하여 보존할 수 있고, 보존 근거와 항목을 개인정보 처리방침에 밝혀야 합니다.
### Q. 법정 보존기간 동안 보관 중인 개인정보를 마케팅에 활용해도 되나요?
안 됩니다. 법정 보존은 해당 법령이 정한 목적(거래 증빙, 세무, 분쟁 대응 등)을 위한 것이므로, 보존 중인 정보를 다른 목적으로 이용하면 목적 외 이용으로 별도의 위반이 됩니다.
### Q. 퇴사한 직원의 인사 서류는 언제까지 보관해야 하나요?
근로자 명부와 근로계약에 관한 중요 서류는 근로기준법 제42조에 따라 3년간 보존해야 하고, 급여·원천징수 등 세무 관련 장부와 증거서류는 국세기본법 제85조의3에 따라 법정신고기한 경과 후 5년간 보존해야 합니다. 보존 의무가 없는 나머지 정보는 퇴직 후 지체 없이 파기하는 것이 원칙입니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제21조(개인정보의 파기), 제30조 제1항 제3호의2(처리방침 기재사항), 제75조 제2항 제4호(과태료) — 국가법령정보센터
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제16조(파기방법) — 국가법령정보센터
- [표준 개인정보 보호지침](https://www.law.go.kr/행정규칙/표준개인정보보호지침) 제10조(5일 이내 파기) — 국가법령정보센터
- [전자상거래 등에서의 소비자보호에 관한 법률](https://www.law.go.kr/법령/전자상거래등에서의소비자보호에관한법률) 제6조, 같은 법 시행령 제6조(거래기록 보존) — 국가법령정보센터
- [근로기준법](https://www.law.go.kr/법령/근로기준법) 제42조(계약 서류의 보존) — 국가법령정보센터
- [국세기본법](https://www.law.go.kr/법령/국세기본법) 제85조의3(장부 등의 비치와 보존), 상법 제33조(상업장부등의 보존) — 국가법령정보센터
---
# 개인정보처리방침 영어로 만들기 — 번역본이면 되는 경우와 별개의 Privacy Policy가 필요한 경우
- URL: https://datalaw.kr/posts/privacy-policy-two-documents/
- 게시 2026-07-26 · 수정 2026-08-28 · 태그: 개인정보처리방침, 국외이전, 스타트업실무
- 요약: 개인정보처리방침을 영어로 만들 때 답은 독자가 누구인지로 갈립니다. 한국 안의 외국인 이용자를 위한 것이면 국문 처리방침의 영문 번역본이 맞고(공식 영문본의 명칭은 privacy policy, 제30조 제1항 각 호 그대로), 해외 이용자를 위한 것이면 GDPR 등 진출국 법이 요구하는 별개의 Privacy Policy가 필요합니다. 하나를 번역해서 둘을 대신하면 양쪽 모두에서 구멍이 납니다. 영문 용어 대응표와 두 문서를 관리하는 점검 항목을 정리했습니다.
> **핵심 요약**. 개인정보처리방침을 영어로 만들어야 할 때 먼저 정할 것은 누가 읽을 문서인가입니다. 한국 서비스를 쓰는 외국인 이용자를 위한 것이면 국문 처리방침을 그대로 옮긴 영문 번역본이 맞고, 공식 영문본은 이 문서를 privacy policy(personal information processing policy)라고 부릅니다. 반면 해외 이용자를 향한 영문 Privacy Policy를 국문 처리방침의 번역으로 대신하는 것은 권장되지 않습니다. 그 두 문서는 같은 문서의 두 언어 버전이 아니라, 서로 다른 법이 각자 요구하는 별개의 문서이기 때문입니다. 국문 처리방침은 개인정보 보호법 제30조 제1항 각 호가 기재사항을 정한 법정 문서로, 수립·공개하지 않으면 1천만 원 이하 과태료 대상입니다(제75조 제4항 제8호). 영문 Privacy Policy의 내용은 한국법이 아니라 이용자가 있는 법역의 법이 정하며, GDPR은 처리의 법적 근거, 보관 기간, 역외이전 안전장치, 감독기구 불만 제기 권리를 고지하도록 요구합니다. 그래서 국문을 그대로 번역하면 만 14세 미만 법정대리인 동의 같은 한국법 고유 항목이 해외 이용자에게 무의미하게 남고, GDPR이 요구하는 항목은 통째로 빠진 문서가 됩니다. 두 문서를 각각의 법에 맞춰 따로 완결시키되 수집 항목·위탁처·국외이전 현황 같은 사실관계는 일치시켜야 하며, 어긋나면 제30조 제3항에 따라 정보주체에게 유리한 쪽으로 효력이 정리됩니다.
해외 이용자를 받기 시작한 스타트업이 흔히 이렇게 처리합니다. 국문 개인정보처리방침을 번역기에 넣고, 나온 영문을 "Privacy Policy" 메뉴에 걸어 둡니다.
반대 경우도 있습니다. 글로벌 톤에 맞춰 영문 Privacy Policy를 먼저 만들고, 한국 사이트에는 그 번역본만 올려 둡니다.
둘 다 같은 함정에 빠져 있습니다. 개인정보처리방침과 Privacy Policy는 같은 문서의 두 언어 버전이 아니라, 서로 다른 법이 각자 요구하는 별개의 문서라는 점입니다.
## 개인정보처리방침을 영어로 만들어야 한다면, 어느 쪽입니까?
"개인정보처리방침을 영어로" 만들어 달라는 요청은 실무에서 두 가지 전혀 다른 일을 가리킵니다. 어느 쪽인지에 따라 문서의 내용을 정하는 법이 달라지므로, 번역기를 켜기 전에 이것부터 갈라야 합니다.
| 상황 | 필요한 문서 | 내용을 정하는 법 | 번역으로 충분한가 |
|---|---|---|---|
| 한국 서비스에 외국인 이용자가 있다(국내 거주 외국인, 한국 내 영문 앱) | 국문 처리방침의 영문 번역본 | 개인정보 보호법 제30조 제1항 각 호 | 충분합니다. 국문이 정본이고 영문은 그 안내본이라는 점을 문서에 적어 둡니다 |
| 해외 이용자를 상대로 서비스한다(EU·미국 등 현지 이용자) | 별개의 영문 Privacy Policy | GDPR, CCPA/CPRA 등 이용자 소재 법역의 법 | 충분하지 않습니다. 한국법 고유 항목은 남고 현지법 필수 항목은 빠집니다 |
| 둘 다 해당한다(한국 이용자 + 해외 이용자) | 국문 처리방침 + 영문 번역본 + 현지법 기준 Privacy Policy, 또는 국문 처리방침 + 두 법을 모두 담은 영문 문서 | 양쪽 법 | 문서 수보다 사실관계 일치가 중요합니다 |
첫 번째 경우라면 이 글의 나머지는 크게 신경 쓰지 않아도 됩니다. 제30조 제1항 각 호를 빠짐없이 담은 국문 처리방침을 만들고, 그것을 정확히 옮기면 됩니다. 용어는 아래 표의 공식 영문본 표현을 쓰는 것이 본사 법무팀이나 해외 파트너가 조문과 대조할 때 혼선이 적습니다.
| 국문 | 공식 영문본 표현(법률 제20897호 영역, 한국법제연구원) |
|---|---|
| 개인정보 처리방침 | privacy policy (정식 명칭은 personal information processing policy, 제30조 제1항) |
| 개인정보처리자 | personal information controller |
| 정보주체 | data subject |
| 개인정보 보호책임자 | privacy officer (제31조) |
| 처리 위탁 | entrustment of work (제26조) |
| 제3자 제공 | provision of personal information (제17조) |
| 국외이전 | cross-border transfer of personal information (제28조의8) |
| 파기 | destruction of personal information (제21조) |
| 유출 | divulgence of personal information (제34조) |
| 법정대리인 | legal representative (제22조의2) |
영문본에 버전이 세 가지 공존한다는 점은 따로 주의해야 합니다. 조문 번호가 판마다 달라서, 낡은 판을 보고 번역하면 번역본의 근거 조문이 현행과 어긋납니다. 어느 판이 현행인지 가리는 법은 [영문 개인정보 보호법 세 버전 판별법](/posts/english-pipa-version-gap/)에 정리했습니다.
두 번째 경우, 즉 해외 이용자를 향한 문서라면 번역으로는 끝나지 않습니다. 그 이유가 이 글의 나머지입니다.
## 개인정보처리방침에는 무엇을 반드시 담아야 하나?
한국 개인정보 보호법 제30조는 개인정보처리자에게 처리방침 수립·공개 의무를 부과하면서, 들어가야 할 내용을 법으로 정해 두었습니다: 처리 목적, 처리·보유 기간, 제3자 제공, 파기 절차·방법(법정 보존 시 보존 근거·항목 포함), 처리 위탁, 정보주체와 법정대리인의 권리·행사방법, 개인정보 보호책임자 연락처, 쿠키 등 자동 수집 장치의 설치·운영·거부에 관한 사항 등입니다(제30조 제1항 각 호).
공개 방법도 정해져 있고(제2항), 처리방침을 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료 대상입니다(제75조 제4항 제8호). 기재사항 전체 목록과 2023년 이후 추가된 항목은 [개인정보처리방침 필수 기재사항 체크리스트](/posts/privacy-policy-checklist-2026/)에서 표로 정리했습니다. 그리고 눈여겨볼 조항이 하나 더 있습니다.
> **개인정보 보호법 제30조 ③** 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.
처리방침은 회사 소개 페이지 같은 안내문이 아니라, 내용이 어긋나면 정보주체에게 유리한 쪽으로 효력이 정리되는 문서입니다. 국문 처리방침과 영문 Privacy Policy가 서로 다른 말을 하고 있다면, 그 불일치는 언젠가 회사에 불리한 방향으로 해석됩니다.
## 해외 이용자용 Privacy Policy를 국문 처리방침의 번역으로 대신해도 되나?
해외 이용자를 향한 영문 Privacy Policy의 내용을 결정하는 것은 한국법이 아니라 이용자가 있는 법역의 법입니다. 대표적으로 EU GDPR은 처리 목적별 법적 근거(legal basis), 보관 기간 또는 그 산정 기준, EU 밖으로의 이전 시 안전장치, 정보주체의 권리(열람·삭제·이동권 등), 감독기구에 대한 불만 제기 권리 등을 고지하도록 요구합니다. 미국 주법(캘리포니아 CCPA/CPRA 등)은 또 다른 항목(판매·공유 여부와 옵트아웃 방법 등)을 요구합니다.
국문 처리방침을 그대로 번역하면 어떻게 될까요. 만 14세 미만 법정대리인 동의([약관 한 줄로는 해결되지 않는 아동 개인정보 문제](/posts/under-14-signup-consent/)에서 따로 다뤘습니다), 주민등록번호 처리 제한 같은 한국법 고유 항목은 해외 이용자에게 무의미하게 남고, 정작 GDPR이 요구하는 법적 근거·감독기구 항목은 통째로 빠집니다. 그 법정대리인 동의조차 위치정보가 얽히면 하나로 끝나지 않습니다. 위치정보법 제25조에서는 본인 동의와 본인 통보가 법정대리인 동의로 갈음되지 않는데, 그 구조는 [자녀 위치를 부모에게 보내는 앱의 동의 문제](/posts/under-14-signup-consent/)에서 다뤘습니다. 형식은 갖췄는데 양쪽 법 어디에서도 완결되지 않은 문서가 되는 것입니다. 반대 방향, 즉 EU 이용자의 데이터를 한국 서버로 가져오는 구조라면 문서 이전에 이전 자체의 적법 근거부터 확인해야 하는데, 이는 [EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요?](/posts/eu-korea-adequacy-first-review/)에서 정리했습니다.
## 두 문서는 구체적으로 무엇이 다른가?
| 구분 | 개인정보처리방침 (국문) | Privacy Policy (영문) |
|---|---|---|
| 근거법 | 개인정보 보호법 제30조 | GDPR, CCPA/CPRA 등 이용자 소재 법역의 법 |
| 성격 | 기재사항이 법정된 의무 문서 | 진출국 법의 투명성 요구를 이행하는 문서 |
| 필수 기재의 예 | 처리 목적, 보유 기간, 파기 절차, 위탁, CPO 연락처, 자동수집장치(쿠키) | 처리의 법적 근거, 보관 기준, 역외이전 안전장치, 감독기구 불만 제기 권리 |
| 위반 시 | 미수립·미공개 시 1천만 원 이하 과태료 (제75조 제4항 제8호) | 법역별 제재 (GDPR은 고지 의무 위반도 과징금 사유) |
| 감독 방식 | 개인정보위 처리방침 평가제 (제30조의2) | 각국 감독기구 |
결론은 단순합니다. 한국 이용자를 향한 국문 처리방침과, 해외 이용자를 향한 영문 Privacy Policy를 각각의 법에 맞춰 따로 완결시키고, 두 문서가 사실관계(수집 항목·위탁처·이전 현황)에서는 일치하도록 관리하는 것입니다. 법적 프레임은 달라도, 회사가 실제로 데이터를 어떻게 다루는지에 대한 서술이 문서마다 다르면 안 됩니다.
## 해외 클라우드·SaaS를 쓰면 국외이전을 어떻게 적어야 하나?
글로벌 서비스가 되는 순간 거의 예외 없이 발생하는 것이 개인정보의 국외이전입니다. 해외 리전의 클라우드에 데이터를 저장하거나, 해외 본사의 분석 도구·CRM·고객지원 SaaS를 쓰는 순간 한국 이용자의 개인정보가 국경을 넘습니다.
개인정보 보호법은 국외이전을 원칙적으로 금지하고 동의, 법률 규정, 인증 등 법정 사유가 있을 때만 허용하며(제28조의8), 이전받는 자, 이전 국가, 이전 일시·방법, 이전 항목 등을 정보주체에게 알리도록 합니다. 실무적으로 이 내용은 처리방침에 국외이전 항목으로 정리됩니다. 영문 Privacy Policy 쪽에서도 GDPR의 역외이전 고지가 대칭적으로 요구되므로, 국외이전 현황표를 하나 만들어 두 문서가 공유하는 것이 관리 비용을 줄이는 방법입니다.
## 우리 처리방침도 개인정보위 평가 대상인가?
처리방침은 이제 써 두면 끝나는 문서가 아닙니다. 2023년 개정법으로 도입된 처리방침 평가제(제30조의2)에 따라 개인정보위가 매년 분야를 정해 적정성(법정 기재사항을 제대로 담았는지)·가독성(알기 쉽게 썼는지)·접근성(쉽게 찾을 수 있는지)을 평가하고 개선을 권고합니다.
2026년 평가는 공공앱, 대학교, 채용플랫폼, 만남중개서비스, 해외명품브랜드, 팬덤플랫폼, 프랜차이즈 등 7대 분야 52개 서비스를 대상으로 6월 말부터 진행되고 있고, 올해는 산업별 특화지표와 개인정보 보호책임자 관리 수준 지표가 신설됐습니다. 평가 대상은 매년 7개 안팎의 분야를 새로 골라 지정하는 방식이어서 우리 업종이 언제 포함될지 미리 알기 어렵습니다. "우리 업종 차례가 오면" 손보겠다는 접근보다는 기준을 미리 맞춰 두는 편이 안전합니다.
작성 기준 자체도 최근 2년 연속 갱신됐습니다. 최신본은 개인정보위가 2026년 4월 24일 공개한 「2026 개인정보 처리방침 작성지침」이고, 생성형 AI 서비스에 관한 부록 신설을 비롯해 네 가지가 바뀌었습니다. 처리방침을 몇 년째 그대로 두었다면 이 개정과의 간극부터 점검할 필요가 있는데, 항목별 내용과 2023년 이후 늘어난 필수 기재사항 전체는 [개인정보처리방침 필수 기재사항 체크리스트](/posts/privacy-policy-checklist-2026/)에 표로 정리해 두었으므로 여기서는 반복하지 않겠습니다.
## 국문·영문 두 문서를 관리할 때 무엇을 점검해야 하나?
1. **국문 처리방침이 제30조 제1항 각 호를 모두 담고 있는가**. 특히 파기 절차(법정 보존 시 보존 근거), 자동수집장치(쿠키), CPO 연락처는 누락이 잦습니다.
2. **영문 문서가 누구를 위한 것인지 정해져 있는가**. 국내 외국인 이용자용이면 제30조 항목의 정확한 번역본인지, 해외 이용자용이면 번역본이 아니라 대상 법역 기준으로 작성됐는지. GDPR 적용 가능성이 있다면 법적 근거, 보관 기준, 역외이전, 감독기구 항목이 있는지.
3. **두 문서의 사실관계가 일치하는가**. 수집 항목, 위탁처, 국외이전 현황이 문서마다 다르면 제30조 제3항의 '유리한 쪽 적용'과 신뢰 양쪽에서 리스크가 됩니다. 개정 시 두 문서를 함께 갱신하는 프로세스가 있는지.
4. **국외이전 항목이 현실을 반영하는가**. 해외 클라우드 리전, 글로벌 SaaS 도입·변경이 처리방침에 따라오고 있는지.
5. **공개 위치가 접근성 기준을 충족하는가**. 웹 첫 화면 링크, 앱은 설정·메뉴 등 쉽게 닿는 위치에 있는지.
6. **작성지침 개정 사항을 반영했는가**. 항목별 점검표는 [필수 기재사항 체크리스트](/posts/privacy-policy-checklist-2026/)를 그대로 쓰시면 됩니다.
문서 두 장을 관리하는 일이 번거로워 보이지만, 순서를 잡으면 어렵지 않습니다. 회사의 실제 데이터 흐름(수집·이용·위탁·이전·파기)을 하나의 표로 정리하고, 그 표를 한국법의 틀(처리방침)과 진출국 법의 틀(Privacy Policy)에 각각 부어 넣는 것입니다. 데이터 흐름표가 정확하면 두 문서는 자연히 일치합니다.
두 문서가 서로 다른 말을 하고 있다는 사실이 드러나는 자리는 대개 평시가 아니라 유출 사고 뒤입니다. 그 첫 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
처리방침 외에 본사 문서가 한국법과 어긋나는 지점은 더 있습니다. CPO 지정, 국내대리인, 수탁자 공개를 포함한 아홉 개는 [본사 정책을 한국 법인에 옮겼을 때 다시 봐야 할 아홉 지점](/posts/global-policy-korea-gap-map/)에 모아 두었습니다.
## 자주 묻는 질문
### Q. 국문 개인정보처리방침을 영어로 번역해서 Privacy Policy로 써도 되나요?
독자가 누구인지에 따라 다릅니다. 한국 서비스를 쓰는 외국인 이용자를 위한 것이면 번역본이 맞습니다. 국문 처리방침이 개인정보 보호법 제30조 제1항 각 호를 담고 있으면 그것을 정확히 옮기고 국문이 정본임을 적어 두면 됩니다. 해외 이용자를 향한 Privacy Policy라면 권장되지 않습니다. 그 문서의 내용은 이용자가 있는 법역의 법(GDPR, 캘리포니아 CCPA/CPRA 등)이 정하므로, 번역만 하면 만 14세 미만 법정대리인 동의처럼 한국법 고유 항목이 해외 이용자에게 무의미하게 남고, GDPR이 요구하는 처리의 법적 근거·감독기구 불만 제기 권리 항목은 통째로 빠집니다.
### Q. 국문 처리방침과 영문 Privacy Policy의 내용이 다르면 어떤 문제가 생기나요?
개인정보 보호법 제30조 제3항은 처리방침의 내용과 정보주체와 체결한 계약의 내용이 다르면 정보주체에게 유리한 것을 적용하도록 정합니다. 두 문서가 수집 항목·위탁처·국외이전 현황에서 어긋나면 그 불일치는 회사에 불리한 방향으로 해석될 수 있으므로, 법적 프레임은 달라도 사실관계 서술은 일치시켜야 합니다.
### Q. 영문 Privacy Policy만 두고 국문 처리방침을 따로 만들지 않아도 되나요?
안 됩니다. 개인정보 보호법 제30조 제1항의 처리방침 수립·공개 의무는 개인정보처리자에게 적용되고, 정하지 않거나 공개하지 않으면 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제8호). 영문 Privacy Policy는 GDPR 등 진출국 법제가 요구하는 별개의 문서여서 제30조 제1항 각 호를 담고 있지 않은 경우가 대부분이므로, 영문 문서 하나로 국문 처리방침 의무가 이행되지 않습니다. 두 문서를 각각 완결시키되 수집 항목·위탁처·국외이전 현황 같은 사실관계는 일치시켜야 합니다.
### Q. 개인정보처리방침은 영어로 뭐라고 하나요?
개인정보 보호법 공식 영문본(법률 제20897호 영역)은 제30조의 제목을 Establishment and disclosure of Privacy Policy로 옮기고, 본문에서 personal information processing policy를 정의한 뒤 이를 privacy policy로 줄여 부릅니다. 함께 쓰이는 용어는 개인정보처리자 personal information controller, 정보주체 data subject, 개인정보 보호책임자 privacy officer, 처리 위탁 entrustment of work, 국외이전 cross-border transfer of personal information입니다. 본사나 해외 파트너가 조문과 대조할 문서라면 이 표현을 그대로 쓰는 편이 혼선이 적습니다.
### Q. 국외이전을 하면 처리방침에 무엇을 더 적어야 하나요?
시행령 제31조 제1항 제2호는 국외 이전의 근거와 함께 법 제28조의8 제2항 각 호의 사항을 적도록 정합니다. 그 다섯 가지는 이전되는 개인정보 항목, 개인정보가 이전되는 국가·시기 및 방법, 이전받는 자의 성명(법인인 경우 명칭과 연락처), 이전받는 자의 이용목적과 보유·이용 기간, 그리고 이전을 거부하는 방법·절차와 거부의 효과입니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제30조(개인정보 처리방침의 수립 및 공개), 제30조의2(처리방침 평가), 제28조의8(국외이전), 제75조 제4항 제8호(과태료) — 국가법령정보센터
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) — 국가법령정보센터
- [Personal Information Protection Act(법률 제20897호 영문본)](https://elaw.klri.re.kr/kor_service/lawView.do?hseq=71740&lang=ENG) — 한국법제연구원 영문법령(2026. 8. 24. 확인). 용어 대응표의 영문 표현은 이 판의 조문 제목·정의 규정에서 옮겼습니다
- [개인정보 처리방침 작성지침(2026. 4. 개정)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=12018) — 개인정보보호위원회 안내서
- [개인정보 처리방침 평가, 국민 눈높이에서 더 꼼꼼히 본다(2026년도 평가계획)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12236) — 개인정보보호위원회 보도자료
- [EU 일반 개인정보 보호 규정(GDPR, Regulation (EU) 2016/679)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) 제13조·제14조(정보 제공 의무) — EUR-Lex
---
# 14세 미만 법정대리인 동의, 가입 화면 한 줄로 끝나지 않는 이유
- URL: https://datalaw.kr/posts/under-14-signup-consent/
- 게시 2026-07-26 · 수정 2026-09-11 · 태그: 아동청소년, 개인정보보호법, 스타트업실무
- 요약: 만 14세 미만 아동의 개인정보는 법정대리인의 동의를 받고 동의했는지 '확인'까지 해야 수집할 수 있으며, 아동 대상 서비스가 아니어도 아동 이용을 인식했다면 조치 의무가 생깁니다. 아동을 받지 않는 서비스라면 '만 14세 미만 이용 불가'를 가입 화면에 분명히 표시하고 이용자 본인이 이를 별도로 확인하게 해야 합니다. 자녀 위치 앱처럼 위치정보가 얽히면 위치정보법 제25조가 따로 적용되어 법정대리인 동의 외에 아동 본인의 동의와 매회 통보 의무가 추가됩니다. 동의 확인 방법 7가지, 제재 수위, 2023년 자녀안심 앱 5곳 처분까지 정리합니다.
> **핵심 요약**. 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의를 받고, 법정대리인이 동의했는지를 '확인'까지 해야 합니다(개인정보 보호법 제22조의2 제1항). 동의 확인 방법은 시행령 제17조의2 제1항이 정한 일곱 가지이고, 법정대리인의 성명·연락처는 아동에게서 직접 수집할 수 있습니다(법 제22조의2 제2항). 아동 대상 서비스가 아니어도 만 14세 미만 이용자를 인식했다면 동의를 받거나 계정 이용 중단·정보 파기로 대응해야 하며, 아동을 받지 않는 서비스라면 '만 14세 미만 이용 불가'를 분명히 표시하고 이용자 본인이 이를 별도로 확인하게 해야 합니다. 위반 시 5년 이하 징역 또는 5천만 원 이하 벌금(제71조 제3호)과 전체 매출액 3% 이하 과징금(제64조의2 제1항 제2호) 대상입니다. 자녀 위치 앱처럼 위치정보가 얽히면 위치정보법 제25조가 따로 적용되는데, 같은 조 제2항의 준용 목록에 제19조 제1항·제2항·제3항이 없어 법정대리인 동의가 아동 본인의 동의와 매회 통보 의무를 대체하지 못합니다. 방송통신위원회의 2023년 6월 28일 자녀안심 앱 5곳 처분이 그 선례입니다.
B2C 서비스를 만드는 스타트업이 언젠가 반드시 마주치는 질문이 있습니다. "우리 서비스, 14세 미만도 가입할 수 있게 되어 있나요?" 급하게 약관을 열어 보니 "만 14세 이상만 이용할 수 있습니다"라는 문장이 있습니다. 그래서 문제없다고 답합니다. 그런데 가입 화면에는 연령을 확인하는 절차가 전혀 없습니다. 이메일과 비밀번호만 넣으면 누구나 가입됩니다. 앱스토어 리뷰에는 초등학생이 쓴 것으로 보이는 후기가 여럿 달려 있습니다. 이 상태라면, 약관의 그 한 줄은 회사를 지켜주지 못할 가능성이 큽니다.
반대편에는 자녀의 스마트폰 위치를 부모 앱으로 보내 주는 서비스처럼 아동을 정면으로 받는 서비스가 있습니다. 이쪽 개발팀은 부모에게 동의를 받았으니 끝났다고 생각하고, 개인정보 보호법만 보면 그 판단이 틀리지 않습니다. 문제는 위치정보가 개인정보 보호법만으로 끝나지 않는다는 데 있습니다.
## 왜 기준이 '만 14세'인가?
개인정보 보호법 제22조의2가 기준선입니다.
> **개인정보 보호법 제22조의2(아동의 개인정보 보호)**
>
> ① 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 하며, 법정대리인이 동의하였는지를 확인하여야 한다.
포인트는 두 개입니다. 만 14세 미만 아동의 개인정보는 아동 본인이 아니라 법정대리인(대개 부모)의 동의가 있어야 수집할 수 있고, 동의를 받았다는 사실을 확인할 의무까지 사업자에게 있다는 것입니다. "부모님 동의를 받았나요?"라는 체크박스에 아동이 스스로 체크하게 하는 방식이 통하지 않는 이유입니다.
여기서 나이는 '만 나이'입니다. 그리고 판단 시점은 수집 시점, 실무적으로는 가입 시점입니다.
## 아동 대상 서비스가 아니어도 조치 의무가 있나?
개인정보위의 아동·청소년 개인정보 보호 가이드라인(2022. 7.)의 취지에 비추어 보면, 아동을 대상으로 하지 않는 서비스라 하더라도 만 14세 미만 이용자가 있음을 인식하였다면 그에 따른 조치를 취해야 합니다. 법정대리인 동의를 받아 적법하게 처리 근거를 갖추든가, 그럴 계획이 없다면 해당 계정의 이용을 중단시키고 수집된 개인정보를 파기하는 것입니다. 고객 문의, 결제 분쟁, 리뷰 등으로 아동 이용을 알게 되었는데도 계정을 그대로 두는 것은 그 자체로 위반 상태의 방치가 됩니다.
그리고 아동을 받지 않기로 한 서비스라면, 그 정책이 이용자에게 분명히 전달되고 실제로 확인되는 구조여야 합니다. 두 가지가 필요합니다.
첫째, '만 14세 미만은 이용할 수 없다'는 점을 분명히 표시해야 합니다. 약관 본문 깊숙한 곳에 한 줄 넣어두는 것이 아니라, 가입 화면에서 이용자가 인지할 수 있는 방식으로 드러나야 합니다.
둘째, 이용자 본인이 '만 14세 미만이 아니다'라는 점을 구체적으로 확인하는 절차를 두어야 합니다. 여러 약관 동의에 묻어가는 일괄 체크로는 부족하고, 연령 요건에 대한 확인을 이용자가 별도로, 스스로 하게 해야 합니다. 연령을 아예 묻지도, 확인하게 하지도 않는 가입 흐름은 "우리는 이용자 나이를 몰랐다"는 항변이 아니라 알 수 있는 수단을 두지 않은 설계로 평가될 위험이 있습니다.
## 연령 확인을 위해 생년월일을 받아도 되나?
확인 '방법'을 고를 때 반대편에서 작동하는 원칙이 하나 있습니다. 개인정보 최소수집 원칙입니다. 개인정보처리자는 목적에 필요한 최소한의 개인정보만 수집해야 하고, 그것이 최소한이라는 입증책임은 사업자가 집니다(법 제3조 제1항, 제16조 제1항). 생년월일은 그 자체가 개인정보입니다. 서비스 제공에 생년월일이 필요하지 않은 서비스가 연령 확인을 이유로 생년월일을 수집·보관한다면, 아동 보호 리스크를 줄이려다 최소수집 원칙 위반이라는 별개의 위법 이슈를 만드는 셈이 됩니다.
그래서 확인 절차는 서비스 성격에 따라 층위를 나누는 것이 안전합니다.
- **생년월일이 서비스에 필요 없는 경우(대부분의 서비스)**. 개인정보를 새로 수집하지 않는 방식이 기본입니다. 가입 화면에 '만 14세 미만 이용 불가'를 표시하고, '본인은 만 14세 이상입니다'를 별도 항목으로 명시적으로 확인하게 하는 방식입니다. 확인력이 더 필요하면 생년월일을 입력받되 만 14세 이상 여부만 판정하고 생년월일 자체는 저장하지 않는 설계를 검토할 수 있습니다.
- **생년월일이 서비스에 실제로 필요한 경우**. 연령별 콘텐츠 제공, 법령상 연령 확인 의무가 있는 서비스 등이라면 생년월일 수집에 목적상 근거가 있으므로 연령 게이트로 함께 확인하면 됩니다. 이 경우에도 수집 목적과 보유 기간을 처리방침에 밝혀야 합니다.
참고로 가이드라인은 연령 확인 방법으로 ①이용자가 '법정 생년월일'을 직접 입력하도록 하는 방법과 ②'만 14세 이상' 항목에 스스로 체크하도록 하는 방법 두 가지를 나란히 제시하고 있습니다. 이는 신분증 제출 같은 과도한 확인까지는 요구되지 않는다는 확인 강도의 상한을 말한 것이지, 모든 서비스가 생년월일을 수집해야 한다거나 수집해도 된다는 뜻이 아닙니다.
정리하면 회사의 선택지는 두 갈래입니다.
**A. 14세 미만은 받지 않는다**. 대부분의 스타트업에게 현실적인 선택입니다. 위에서 본 '분명한 표시 + 본인의 구체적 확인'을 가입 흐름에 심고, 만 14세 미만으로 확인되면 가입을 차단합니다. 표시와 확인 절차를 제대로 갖춘 회사와 아무것도 묻지 않은 회사는 사후 평가에서 전혀 다른 위치에 서게 됩니다. 운영 중 아동 이용 사실을 인식하게 됐을 때 계정을 정리하고 정보를 파기하는 내부 절차까지 갖춰야 방어가 완성됩니다.
**B. 14세 미만도 받는다**. 교육, 게임, 커뮤니티, 자녀 위치 앱처럼 아동이 핵심 이용자라면 법정대리인 동의 체계를 정면으로 구축해야 합니다.
## 14세 미만을 받는다면 법정대리인 동의를 어떻게 받고 확인하나?
시행령 제17조의2 제1항이 동의 확인 방법을 구체적으로 정하고 있습니다. 일곱 가지가 나열되어 있는데, 실무에서 쓸 만한 것 위주로 추리면 다음과 같습니다.
| 방법 | 시행령 근거 | 실무 난이도 |
|---|---|---|
| 사이트에서 법정대리인이 동의 표시 + **휴대전화 본인인증**으로 본인 확인 | 제1항 제3호 | 가장 일반적. 본인인증 모듈로 구현 |
| 사이트에서 동의 표시 + 동의 확인을 **문자메시지로 통보** | 제1항 제1호 | 구현 간단하나 '본인' 확인력은 약함 |
| 사이트에서 동의 표시 + **신용카드·직불카드 정보** 확인 | 제1항 제2호 | 결제 수단 겸용 시 유용 |
| 동의서 **서면** 발급·회수(우편·팩스 포함) | 제1항 제4호 | 오프라인 병행 서비스(학원 등) |
| **전자우편**으로 동의 내용 발송 후 동의 의사가 적힌 회신 수령 | 제1항 제5호 | 회신율이 낮아 보조 수단 |
| **전화** 동의(또는 안내 후 재통화 동의) | 제1항 제6호 | 콜센터 있는 경우 |
설계할 때 함께 챙길 세 가지가 있습니다.
1. **법정대리인 연락처는 아동에게 물어봐도 됩니다.** "부모 동의를 받으려면 부모 연락처가 필요한데, 그 연락처도 개인정보 아닌가?"라는 순환 문제를 법이 직접 풀어 뒀습니다. 동의를 받기 위해 필요한 최소한의 정보(시행령상 법정대리인의 성명·연락처)는 법정대리인 동의 없이 아동으로부터 직접 수집할 수 있습니다(법 제22조의2 제2항, 시행령 제17조의2 제2항).
2. **동의가 끝내 확인되지 않으면 파기해야 합니다.** 동의 절차를 위해 받아 둔 법정대리인 연락처를 포함해, 수집 목적이 달성되지 못한 정보는 보유할 근거가 없습니다.
3. **아동에게 하는 고지는 아동의 언어로.** 만 14세 미만 아동에게 개인정보 처리 사항을 알릴 때에는 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어를 사용해야 합니다(법 제22조의2 제3항). 성인용 처리방침을 그대로 보여주는 것으로는 부족하다는 뜻입니다.
## 법정대리인 동의 없이 수집하면 어떤 제재를 받나?
이 조항은 개인정보 보호법 안에서도 제재가 무거운 축에 속합니다.
- **형사처벌**: 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 처리하면 5년 이하의 징역 또는 5천만 원 이하의 벌금 대상입니다(제71조 제3호).
- **과징금**: 같은 위반이 전체 매출액의 3% 이하 과징금 부과 사유이기도 합니다(제64조의2 제1항 제2호). 위반 부분 매출이 아니라 전체 매출 기준에서 출발한다는 점, 그리고 [2026년 9월 개정법의 과징금 상한 변화](/posts/breach-response-calculus-shift/)에서 정리했듯 9월 11일부터 고의·중과실의 중대·반복 위반에 대해 상한이 10%까지 올라갔다는 점을 같이 기억할 필요가 있습니다.
실제 사례도 있습니다. 2020년 방송통신위원회(당시 소관)는 틱톡이 법정대리인 동의 없이 만 14세 미만 아동의 개인정보 최소 6,007건을 수집했다는 등의 이유로 과징금 1억 8,000만 원(과태료 포함 1억 8,600만 원)을 부과했습니다. 당시 틱톡은 가입 시 연령 확인 절차 자체가 부실했다는 점이 문제됐습니다. 유출 사고 없이 아동 개인정보 처리만으로 처분이 나온 다른 사례는 [우리 앱은 아동용이 아닙니다](/posts/child-data-sanction-without-breach/)에 정리했습니다.
## 자녀 위치 앱은 왜 부모 동의만으로 끝나지 않나?
자녀 위치 앱의 가입 절차는 대개 이렇게 짭니다. 부모가 부모용 앱을 설치하고 이용약관에 동의한 뒤 자녀 계정을 만들고, 자녀 스마트폰에 자녀용 앱을 깔아 두 기기를 연결합니다. 자녀는 아무것도 누르지 않습니다.
제22조의2 제1항은 법정대리인의 동의를 받으라고 할 뿐, 아동 본인의 동의를 함께 받으라는 문언은 없습니다. 그런데 위치정보법 제4조는 위치정보의 수집·저장·보호·이용에 관하여 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따르도록 하고 있습니다.
위치정보법 제25조 제1항은 이렇게 정합니다. "위치정보사업자등이 14세 미만의 아동으로부터 제18조제1항, 제19조제1항ㆍ제2항 또는 제21조에 따라 개인위치정보를 수집ㆍ이용 또는 제공하고자 하는 경우에는 그 법정대리인의 동의를 얻어야 하고, 대통령령으로 정하는 바에 따라 법정대리인이 동의하였는지를 확인하여야 한다."
문언은 개인정보 보호법과 닮았지만, 갈리는 곳은 제2항입니다. 제25조 제2항은 "제18조제2항ㆍ제19조제5항 및 제24조의 규정은 제1항에 따라 법정대리인이 동의를 하는 경우에 이를 준용한다. 이 경우 '개인위치정보주체'는 '법정대리인'으로 본다"고 정합니다. 준용 목록이 세 개뿐입니다. 제19조 제1항, 제2항, 제3항은 그 목록에 없습니다.
따라서 위치기반서비스사업자는 14세 미만 아동에 대해 두 가지를 모두 해야 합니다. 제25조 제1항에 따라 법정대리인의 동의를 받고, 제19조 제1항·제2항에 따라 개인위치정보주체인 아동 본인의 동의도 받아야 합니다. 법정대리인 동의가 본인 동의를 대체하는 구조가 아닙니다.
이 대비는 8세 이하 규정과 견주면 더 분명해집니다. 위치정보법 제26조 제1항은 8세 이하의 아동, 피성년후견인, 일정한 중증 정신적 장애인에 대해 보호의무자가 생명 또는 신체의 보호를 위하여 동의하면 본인의 동의가 있는 것으로 본다고 정합니다. 같은 조 제4항은 제18조부터 제22조까지와 제24조를 준용하면서 "개인위치정보주체"를 "보호의무자"로 보도록 합니다. 입법자는 8세 이하에 대해서만 간주 조항과 넓은 준용 조항을 두었고, 14세 미만 일반 규정인 제25조에는 두지 않았습니다.
제19조 제3항은 개인정보 보호법에 대응 조문이 없습니다. 위치기반서비스사업자가 개인위치정보주체가 지정한 제3자에게 개인위치정보를 제공하는 경우에는 매회 개인위치정보주체에게 제공받는 자, 제공일시, 제공목적을 즉시 통보해야 합니다. 개인정보 보호법에는 제3자 제공을 할 때마다 정보주체에게 통보하라는 조문이 없으므로, 개인정보 동의서를 옮겨 쓴 회사가 이 의무를 설계에 넣지 못합니다. 빠져나갈 문은 제19조 제4항 하나입니다. 사업자가 대통령령으로 정하는 바에 따라 개인위치정보주체의 동의를 받으면 최대 30일의 범위에서 정해진 횟수나 기간마다 모아서 통보할 수 있습니다. 부모가 하루에도 여러 번 위치를 확인하는 서비스라면 매회 통보가 현실적이지 않으므로, 사업자는 제4항의 동의를 받아 두어야 합니다.
## 방송통신위원회는 자녀안심 앱 5곳을 어떻게 처분했나?
위치정보법을 집행하는 기관은 개인정보보호위원회가 아닙니다. 이 사건을 처분한 곳은 방송통신위원회이고, 그 권한은 2025년 10월 1일 방송미디어통신위원회로 넘어갔습니다. 아래에서 「방통위」는 처분 당시의 방송통신위원회를 가리킵니다.
국가인권위원회가 2021년 2월 자녀안심 앱의 위치 파악 기능이 아동의 사생활의 자유 등 기본권을 침해하는지 확인해 달라고 방송통신위원회에 권고했습니다. 방통위는 2021년 3월부터 2022년 4월까지 자녀안심 앱 사업자를 대상으로 서면점검과 현장점검을 했고, 위반 정황이 확인된 사업자에 대해 2022년 5월부터 11월까지 사실조사를 했습니다. 처분은 2023년 6월 28일에 나왔습니다.
| 안건번호 | 인정된 위반 조문 | 과태료 |
|---|---|---|
| 제2023-21-051호 | 제19조 제1항·제2항 | 300만원 |
| 제2023-21-052호 | 제9조 제1항, 제19조 제1항·제2항·제3항 | 420만원 |
| 제2023-21-053호 | 제19조 제2항·제3항 | 420만원 |
| 제2023-21-054호 | 제19조 제3항 | 90만원 |
| 제2023-21-055호 | 제19조 제1항·제2항·제3항 | 420만원 |
다섯 건 모두에서 인정된 조문은 제19조 제2항입니다. 방통위는 사업자가 개인위치정보를 제3자인 법정대리인에게 제공하면서 제공받는 자와 제공목적을 법정대리인에게만 고지하고 자녀에게는 고지하지도 동의를 받지도 않은 행위를 제19조 제2항 위반으로 보았습니다. 세 건에서는 이용약관에 대한 자녀의 동의를 받지 않은 행위가 제19조 제1항 위반으로 더해졌습니다. 네 건이 제3항 위반으로 걸린 것은 제4항의 모아서 통보 동의도 받지 않고 매회 통보도 하지 않았기 때문입니다.
과태료 산정은 위치정보법 시행령 제38조 별표5를 따릅니다. 제19조 제2항부터 제4항까지의 고지·통보 위반은 1회 300만원이고, 위반행위 건별로 적용합니다. 제052호·제053호·제055호는 두 건이 인정되어 600만원이 기준금액이 되었고, 사전통지와 의견제출 기간 안에 시정 중이었다는 점이 참작되어 30퍼센트가 감경되어 420만원이 되었습니다. 제054호는 소상공인이고 자본금 잠식이 인정되어 기준금액의 70퍼센트가 감경되어 90만원이 되었습니다.
금액보다 무거운 것은 공표명령입니다. 방통위는 다섯 건 모두에 시정명령과 함께 공표명령을 붙였습니다(위치정보법 제36조의2 제1항 후단). 시정명령을 받은 날부터 1개월 안에 홈페이지 첫 화면에 전체화면 6분의 1 이상 크기의 팝업 창으로 4일 동안 게시하라는 내용이고, 모바일 웹과 앱, PC 웹페이지가 모두 대상입니다. 과태료 90만원을 낸 제054호 사업자도 자녀에게 제공일시 등을 통보하지 않아 시정명령을 받았다는 문안을 자기 앱 첫 화면에 4일 동안 띄워야 했습니다.
의결서에는 방통위가 제재를 덜어 준 대목이 따로 적혀 있습니다. 방통위는 제19조 제1항·제2항 위반에 대해 위치정보법 제14조 제1항 제3호에 따라 과징금을 부과할 수 있다고 하면서도, "법정대리인의 동의와 관련한 개인정보보호법 규정이 위치정보법과 문언적으로 일부 유사하여 사업자가 오인할 여지가 있는 점"을 들어 과징금을 부과하지 않고 시정명령으로 갈음했습니다. 형사고발도 같은 이유로 접었습니다. 제19조 제1항·제2항 위반은 위치정보법 제39조 제3호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금에 해당하는데, 방통위는 오인의 여지와 시정명령이 가능하다는 점을 들어 고발하지 않기로 했습니다.
이 사안의 법정형은 과태료가 아니라 징역형이고, 감경 사유는 오인 가능성입니다. 방통위가 다섯 건의 의결서에서 두 법의 관계를 판단해 공개한 이상, 같은 구조로 동의를 설계한 사업자가 앞으로 오인을 주장하기는 어렵습니다. 제052호 사업자는 위치기반서비스사업 신고를 하지 않은 상태여서 제9조 제1항 위반도 함께 인정되었는데, 신고 누락은 별도의 형사처벌 대상이며 인수 상황에서 어떻게 다루어야 하는지는 [실사에서 위치기반서비스 신고 누락이 나왔다](/posts/lbs-filing-gap-in-dd/)에 정리해 두었습니다.
## 아동 개인정보 규제는 앞으로 어떻게 바뀌나?
개인정보위는 2026년 업무 추진계획에서 아동·청소년 개인정보 보호 강화 방안 논의를 구체화하겠다고 밝히면서, 그 방안으로 법정대리인 동의 현실화, 계약 체결 시 법정대리인 확인, 맞춤형 광고 제한을 들었습니다.
보호 연령 확대와 연령대별 처리 체계를 담은 (가칭) 아동·청소년 개인정보 보호법 제정 계획도 있습니다. 다만 이 계획의 출처는 2022년 7월 11일 관계부처가 합동으로 발표한 「아동·청소년 개인정보 보호 기본계획」이고, 거기 적힌 제정 목표 시점은 2024년이었습니다. 그 법은 아직 제정되지 않았습니다. 그 사이 정책 문서에서 이 법이 차지하는 자리가 어떻게 달라졌는지, 그리고 규제가 실제로는 어느 경로로 오고 있는지는 [별도의 글](/posts/child-privacy-law-vs-inspection/)에 정리했습니다.
특히 맞춤형 광고는 지금도 주의 지점입니다. 현행 가이드라인은 만 14세 미만임을 알고 있는 아동에게는 맞춤형 광고를 제공하지 않도록 권장하는데, 광고·분석 SDK가 수집하는 행태정보는 이용자가 아동인지 가리지 않습니다. 얼마 전 틱톡·애플 제재에서 문제된 행태정보 이슈가 아동 보호 이슈와 겹쳐서 들어올 수 있는 구조입니다.
글로벌 서비스라면 기준선이 나라마다 다르다는 점도 챙겨야 합니다. 미국 COPPA는 13세 미만, EU GDPR은 회원국에 따라 13~16세 미만입니다. 한국 기준(만 14세)만 맞춘 연령 게이트로는 부족할 수 있습니다.
## 무엇을 점검해야 하나?
1. **'만 14세 미만 이용 불가'가 분명히 표시되는가**. 약관 속 한 줄이 아니라 가입 화면에서 이용자가 인지할 수 있게 드러나는지.
2. **본인의 구체적 확인 절차가 있는가**. '만 14세 이상입니다'라는 별도의 명시적 확인을 이용자 스스로 하게 하는지. 반대로 서비스에 필요하지 않은 생년월일을 확인 명목으로 수집·보관하고 있지는 않은지(최소수집 원칙, 제16조 제1항)도 점검합니다.
3. **아동 이용을 인식했을 때의 조치 절차가 있는가**. 고객 문의·결제 분쟁·리뷰 등으로 알게 된 경우 법정대리인 동의를 받거나, 계정 이용 중단·정보 파기로 이어지는 내부 프로세스가 있는지.
4. **허용 정책(B안)이라면**. 시행령 제17조의2의 방법 중 하나로 법정대리인 동의를 받고 있는지, 동의 이력을 기록·보관하는지, 동의 불발 시 파기하는지.
5. **법정대리인 정보는 최소한만**. 성명·연락처를 넘는 정보를 동의 확인 명목으로 수집하고 있지 않은지.
6. **아동용 고지**. 아동에게 보여주는 동의 화면·처리방침이 쉬운 언어로 되어 있는지.
7. **광고·분석 SDK**. 아동 이용자의 행태정보가 맞춤형 광고에 흘러 들어가는 구조는 아닌지.
8. **해외 출시 시**. 진출국의 아동 연령 기준(COPPA 13세, GDPR 13~16세)에 맞춘 분기가 있는지.
9. **위치 공유 기능이 있다면**. 개인위치정보주체(위치정보법 제2조 제3호, 위치를 보내는 사람이 아니라 위치가 측정되는 사람)가 14세 미만이면 법정대리인 동의와 본인 동의를 모두 받는 화면이 있는지, 8세 이하라면 제26조의 요건을 갖췄는지, 제3자 제공 동의를 이용약관 동의와 분리했는지, 매회 통보 또는 제19조 제4항의 모아서 통보 동의 중 하나가 구현되어 있는지, 위치기반서비스사업 신고를 마쳤는지.
위반의 상대방이 아동이라는 사실 자체가 제재 수위와 여론 양쪽에서 가중 요소로 작동합니다. 가입 화면의 연령 확인 절차와 그 로그는 조사가 시작되면 가장 먼저 확인되는 자료입니다. 사고를 인지한 뒤 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
**선례 확인** — 동의 방법(보호법 제22조) 위반으로 실제 부과된 처분은 [개인정보 동의 방법 위반 제재 사례](/sanctions/article-22/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 방송통신위원회와 그 뒤를 이은 방송미디어통신위원회가 위치정보법과 구 정보통신망법으로 한 처분은 [의결서 348건을 정리한 표](/sanctions/kmcc/)에서 조문별로 확인하실 수 있습니다.
## 자주 묻는 질문
### Q. 아동 대상 서비스가 아니어도 만 14세 미만 확인 절차가 필요한가요?
필요합니다. 개인정보위의 아동·청소년 개인정보 보호 가이드라인(2022. 7.)의 취지에 비추어 보면, 아동을 대상으로 하지 않는 서비스라도 만 14세 미만 이용자가 있음을 인식했다면 법정대리인 동의를 받거나 해당 계정의 이용을 중단하고 수집된 개인정보를 파기해야 합니다. 아동을 받지 않는 정책이라면 '만 14세 미만 이용 불가'를 가입 화면에서 분명히 표시하고, 이용자 본인이 별도로 연령 요건을 확인하게 하는 절차를 두어야 합니다.
### Q. 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 처리하면 어떤 제재를 받나요?
5년 이하의 징역 또는 5천만 원 이하의 벌금 대상이고(법 제71조 제3호), 전체 매출액의 3% 이하 과징금 부과 사유이기도 합니다(제64조의2 제1항 제2호). 2026년 9월 11일 시행 개정법(법률 제21445호)은 원칙적 상한 3%는 유지하되, ① 과징금 처분을 받은 날부터 3년이 지나기 전에 같은 호의 위반을 반복한 경우(고의·중대한 과실에 한정), ② 고의·중과실 위반으로 피해 정보주체가 1천만 명 이상인 경우, ③ 시정조치 명령 불이행으로 유출등이 발생한 경우에 한해 상한을 전체 매출액의 10%로 올렸습니다(제64조의2 제2항 신설). 2020년 방송통신위원회는 틱톡이 법정대리인 동의 없이 아동 개인정보 최소 6,007건을 수집한 건 등에 과징금 1억 8,000만 원을 부과한 바 있습니다.
### Q. 자녀 위치를 부모에게 보내는 앱은 부모 동의만 받으면 되지 않나요?
개인정보 보호법에서는 그렇습니다. 제22조의2 제1항은 법정대리인의 동의를 받도록 정할 뿐 아동 본인의 동의를 따로 요구하지 않습니다. 위치정보법은 다릅니다. 제25조 제1항이 법정대리인의 동의를 요구하지만, 같은 조 제2항은 준용 대상을 제18조 제2항·제19조 제5항·제24조로 한정합니다. 제19조 제1항의 이용약관 동의와 제2항의 제3자 제공 동의는 그 목록에 없으므로, 위치기반서비스사업자는 아동 본인의 동의를 별도로 받아야 합니다.
### Q. 자녀 위치를 부모에게 보낼 때마다 자녀에게 통보해야 하나요?
위치정보법 제19조 제3항은 개인위치정보주체가 지정한 제3자에게 개인위치정보를 제공할 때마다 제공받는 자, 제공일시, 제공목적을 즉시 통보하도록 정합니다. 다만 제4항이 예외를 둡니다. 대통령령으로 정하는 바에 따라 개인위치정보주체의 동의를 받으면 최대 30일의 범위에서 모아서 통보할 수 있습니다. 2023년 자녀안심 앱 처분 5건 중 4건이 이 동의도 받지 않고 매회 통보도 하지 않아 제3항 위반으로 걸렸습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) 제3조 제1항·제16조 제1항(최소수집 원칙과 입증책임), 제22조의2, 제64조의2 제1항 제2호, 제71조 제3호 — 국가법령정보센터
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제17조의2(법정대리인 동의 확인 방법, 최소 수집 정보) — 국가법령정보센터
- 위치정보의 보호 및 이용 등에 관한 법률 제2조 제3호, 제4조, 제9조 제1항, 제14조 제1항 제3호, 제19조, 제25조, 제26조, 제36조의2 제1항, 제39조 제3호 및 같은 법 시행령 제38조 별표5 — 국가법령정보센터
- [아동·청소년 개인정보보호 가이드라인(2022. 7. 제정)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=8161) — 개인정보보호위원회 안내서
- [「2026년도 개인정보보호위원회 업무 추진계획」 발표](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11681)(법정대리인 동의 현실화, 아동·청소년 맞춤형 광고 제한 논의) — 개인정보보호위원회 보도자료
- 방송통신위원회, 틱톡 제재 의결(2020. 7. 15.: 아동 개인정보 무단 수집 등)
- 방송통신위원회, 자녀안심 앱 사업자 위치정보법 위반 의결(2023. 6. 28., 제2023-21-051호부터 제055호)
---
# 2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로, 그리고 '조용히 수습'의 가격
- URL: https://datalaw.kr/posts/breach-response-calculus-shift/
- 게시 2026-07-26 · 수정 2026-09-11 · 태그: 유출대응, 과징금제재, 개인정보보호법, 스타트업실무
- 요약: 9월 11일부터 중대·반복 위반에 매출액 최대 10% 과징금이 시행됐습니다. 개인정보위 하반기 업무계획은 여기에 '신속 신고 감경(은폐 가중)신고포상금'을 더해, 유출사고를 숨기는 쪽의 셈법을 바꾸고 있습니다. 스타트업이 지금 점검할 것을 정리합니다.
> **핵심 요약**. 2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 과징금 상한을 전체 매출액의 3%에서 10%로 올립니다. 원칙적 상한 3%는 그대로 두고, ① 과징금 부과처분을 받은 날부터 3년이 지나기 전의 고의·중과실 반복 위반 ② 고의·중과실 위반으로 인한 1천만 명 이상 피해 ③ 시정조치 명령 불이행으로 인한 유출등, 이 세 가지에만 10% 상한이 적용됩니다(제64조의2 제2항 신설). 매출액이 없거나 산정이 곤란한 경우 일반 위반은 20억 원, 이들 중대·반복 위반은 50억 원 이내입니다. 같은 개정법은 '유출등'에 위조·변조·훼손을 포함시켜, 랜섬웨어로 데이터가 훼손된 경우에도 통지·신고 의무가 걸릴 수 있게 했습니다. 반대 방향으로 예산·인력·설비 등 예방 투자에 대한 과징금 감경이 제64조의2 제6항으로 명문화됐고, 감경 폭(기준금액의 40% 이내)은 2026년 9월 10일 공포된 시행령(대통령령 제36671호) 별표 1의5가 정했습니다. 그 안의 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했습니다. 개인정보위가 2026년 7월 16일 하반기 업무계획에서 밝힌 신속 신고 감경·은폐 적발 시 30% 이상 가중·신고포상금은 아직 법령이 아니라, 법 개정과 고시 제정이 필요한 추진 계획 단계입니다. 과징금 산정 단계에서는 9월 11일 개정된 과징금 부과기준 고시(제2026-12호)가 먼저 움직였습니다. 대응 체계를 갖추고 조기 탐지·신속한 신고·통지로 회복한 경우 1차 조정 금액의 40% 이하를 감경하고, 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우 30% 이하를 가산합니다.
새벽에 개발자가 이상한 로그를 발견합니다. 외부에서 DB에 접근한 흔적이 있고, 고객 테이블이 조회된 것 같습니다.
규모는 아직 모릅니다. 이때 창업자의 머릿속에는 대체로 두 갈래 생각이 지나갑니다. "신고하면 조사받고, 과징금 나오고, 기사 나는 것 아닌가." 그리고 "확실하지도 않은데 일단 조용히 막고 지켜보면 안 되나."
지금까지도 두 번째 선택지는 법적으로 허용되지 않았지만, 적어도 '들키지 않으면 손해 볼 게 없는' 선택지이기는 했습니다. 올해 하반기부터 이 셈법 자체가 바뀝니다. 신고를 빨리 한 기업과 숨긴 기업의 처분 격차를 크게 벌리는 방향으로 법과 제도가 한꺼번에 움직이고 있기 때문입니다.
## 유출을 알게 되면 언제까지 통지·신고해야 하나?: 72시간
전제부터 확인하면, 유출 대응 의무는 지금도 시간 단위로 걸려 있습니다.
- **정보주체 통지**: 개인정보가 유출등이 되었음을 알게 되면 72시간 이내에 유출 항목·경위·피해 최소화 방법 등을 정보주체에게 알려야 합니다(개인정보 보호법 제34조 제1항, 시행령 제39조 제1항).
- **보호위원회(또는 KISA) 신고**: 1천 명 이상의 정보주체에 관한 유출, 민감정보·고유식별정보의 유출, 외부의 불법 접근에 의한 유출은 72시간 이내에 신고해야 합니다(법 제34조 제3항, 시행령 제40조 제1항).
"주말이라서", "규모 파악이 안 끝나서"는 시한을 멈추지 않습니다. 72시간은 사고를 다 파악한 뒤가 아니라 알게 된 때부터 흐릅니다.
이미 유출을 인지한 상태에서 72시간 안에 무엇을 해야 하는지(통지와 신고의 대상이 어떻게 갈리는지, 규모를 모르는 상태에서 어떻게 우선 통지하는지, 초기에 하면 안 되는 세 가지가 무엇인지)는 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에서 조문 단위로 정리했습니다. 이 글은 그 대응의 셈법이 9월 개정으로 어떻게 바뀌는지를 다룹니다.
## 2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나?: 매출액 3% → 10%
2026년 3월 10일 공포된 개정 개인정보 보호법(법률 제21445호)이 9월 11일 시행됐습니다. 핵심은 과징금 상한입니다.
기존 과징금 상한은 전체 매출액의 3%였습니다. 개정법은 다음의 경우 상한을 전체 매출액의 10%로 올립니다.
- **과징금 부과처분을 받은 날부터 3년이 지나기 전에** 고의 또는 중대한 과실로 같은 호의 위반행위를 다시 한 경우
- 고의 또는 중대한 과실로 1천만 명 이상의 대규모 피해가 발생한 경우
- **시정명령을 이행하지 않아** 개인정보가 유출된 경우
상한이 올라가면 실제 금액이 어디까지 계산되는지는 [과징금·과태료 산정 계산기](/fine-calculator/)에서 매출액을 넣어 볼 수 있습니다.
이들 중대·반복 위반의 경우 매출액이 없거나 산정이 곤란하더라도 50억 원 이내에서 부과할 수 있습니다(일반 위반은 현행과 같은 20억 원 이내). 초기 스타트업이라고 비켜 가는 구조가 아닙니다.
과징금 일정은 9월 11일에서 끝나지 않습니다. 개정 정보통신망법 **제48조의8**이 2026년 10월 1일 시행되면서, 고의 또는 중과실로 침해사고가 5년 이내에 2회 이상 발생한 정보통신서비스 제공자에게는 과학기술정보통신부장관도 대통령령으로 정하는 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있게 됩니다. 다만 두 법의 과징금이 같은 침해사고에 겹치는 구조는 아니며, 어느 법으로 가는 사고인지가 어떻게 갈리는지는 [침해사고에 과징금이 두 번 나올 수 있나](/posts/dual-fine-exclusion-network-act/)에서 정리했습니다.
과징금 외에도 이번 개정법에는 유출 대응 실무를 직접 건드리는 내용이 들어 있습니다.
- **'유출등'의 범위 확장**: 분실·도난·유출에 더해 위조·변조·훼손이 포함됩니다(개정 법 제23조 제2항이 "유출등"을 이렇게 정의하고, 이 정의가 법 전체에 적용됩니다). 랜섬웨어로 데이터가 암호화·훼손된 경우처럼, '나간 것'이 확인되지 않아도 통지·신고 의무가 걸릴 수 있는 구조가 됩니다.
- **'가능성' 단계의 통지**: 유출등의 가능성을 알게 된 단계에서 정보주체 통지 의무가 신설됩니다(개정 법 제34조 제2항). 대통령령으로 정하는 유출등의 가능성을 알게 되면, 가능성이 있는 모든 정보주체에게 피해 최소화 정보 등을 알려야 합니다. "확정되면 알리겠다"는 대응은 더 어려워집니다. 통지 사항 자체도 늘어나, 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법에 관한 정보가 추가됩니다(개정 법 제34조 제1항 제6호). 그 분쟁조정이 실제로 어떤 사안에서 어떤 금액으로 성립해 왔는지는 [개인정보 분쟁조정 사례 데이터베이스](/mediation/)에서 확인할 수 있습니다.
- **책임 구조의 상향**: 개인정보 보호책임자(CPO) 지정 절차가 강화되고, 사업주·대표자가 개인정보 보호의 최종 책임자로 명시됩니다. 일정 규모 이상 기업의 개인정보 보호 인증 의무화(개정 법 제32조의2 제1항 단서)만은 시행일이 달라, 2027년 7월 1일부터 시행됩니다(부칙 제1조 단서).
세부 기준을 정할 시행령은 지난 6월 입법예고와 8월 31일 법제처 심사를 거쳐 **2026년 9월 10일 대통령령 제36671호로 공포**됐습니다. 시행일은 법률과 같은 9월 11일입니다. 주목할 부분은 감경 쪽입니다.
개인정보 보호를 위한 예산·인력·설비 투자를 해 온 기업에는 과징금을 기준금액의 40% 이내에서 감경합니다(별표 1의5 제2호 나목). 이 투자감경은 1차·2차 조정보다 앞선 독립 단계입니다. 보안 투자가 '비용'이 아니라 과징금 산정에서 실측되는 변수가 된다는 뜻입니다.
다만 40%는 상한이고, 그 안에서 얼마를 깎을지는 보호위원회 고시가 정합니다. 그 고시가 시행일인 9월 11일 개정됐습니다(개인정보보호위원회고시 제2026-12호). 투자 규모·비율·지속성, 대표자 책임 이행과 보호책임자 체계, 법정 의무를 넘는 보호조치 세 가지를 종합해 기준금액의 40% 이하를 감경하고, 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 봅니다. 같은 고시가 반복 위반 가중을 올리고(1회 15%에서 20%로, 3회 이상 80%), 인증 보유 감경의 상한을 50%에서 30%로 낮췄습니다. 고시 시행 전에 종료된 위반행위에는 종전 규정이 적용됩니다(부칙 제2조).
감경이 조문에 있다는 것과 실제로 인정된다는 것은 다른 이야기입니다. 지금까지 개인정보위가 어떤 주장을 감경 사유로 받아들였고 어떤 주장을 배척했는지는 [과징금이 '전체 매출액 기준'으로 바뀐 뒤, 실제로 감경이 인정된 사유들](/posts/pipc-fine-mitigation-factors/)에 의결별로 갈라 두었습니다.
## 유출을 숨겼다가 적발되면 어떻게 되나?: 하반기 업무계획이 예고한 것
지난 7월 16일 개인정보보호위원회가 보고한 2026년 하반기 업무계획은 이 방향을 한층 밀고 나갑니다. 아직 법 개정·고시 제정이 필요한 추진 계획 단계라 세부는 확정되지 않았지만, 방향은 분명합니다.
- **신고 여부에 따른 차등**: 신속하게 신고한 기업은 감경하고, 숨겼다가 적발된 기업은 과징금을 30% 이상 가중하는 방안
- **신고포상금 도입**: 유출 사실이나 증거의 은닉·폐기를 신고한 사람에게 해당 기업 과징금의 일정 비율을 포상금으로 지급하는 방안
- **은폐 행위 자체에 대한 제재**: 증거 은닉·폐기에 대한 별도 제재 신설, 조사 비협조 기업에 대한 이행강제금, 증거보전명령 근거 마련
- **손해배상 입증책임 개편**: 유출 사고에서 기업 쪽이 책임 없음을 입증하는 방향의 법정손해배상 제도 개편
이 가운데 과징금 산정의 차등은 일부가 이미 시행됐습니다. 9월 11일 개정된 과징금 부과기준 고시는 유출등 사고에 대비한 대응 체계를 갖추고 조기 탐지, 신속한 신고·통지와 피해 확산 방지 조치로 회복한 경우 1차 조정 금액의 40% 이하를 감경합니다(제10조 제2항 제5호). 반대로 유출등을 알고도 법령상 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우에는 30% 이하를 가산합니다(제10조 제1항 제2호). 업무계획이 말한 「은폐 적발 시 30% 이상 가중」과 신고포상금은 여전히 법 개정이 필요한 단계입니다. 고시 시행 전에 종료된 위반에는 종전 규정이 적용됩니다.
이 중 신고포상금은 스타트업 조직 관점에서 특히 무겁게 볼 필요가 있습니다. 유출을 인지한 시점의 판단은 보통 소수의 경영진과 담당자 사이에서 이루어집니다.
포상금 제도가 도입되면, '조용히 넘어가자'는 결정을 아는 모든 구성원(퇴사 예정자를 포함해서)이 잠재적 신고자가 됩니다. 은폐는 이제 걸릴지 안 걸릴지의 확률 문제가 아니라, 내부의 누구도 평생 말하지 않아야 성립하는 전략이 됩니다.
## 개정 전과 개정법은 조문별로 무엇이 다른가?
말로 풀어놓은 변화를 쟁점별로 조문 단위로 정리하면 다음과 같습니다. '개정' 열은 2026년 9월 11일 시행된 개정법(법률 제21445호) 기준이고, 인증 의무화만 2027년 7월 1일 시행입니다. 과징금 외의 조문까지 포함한 개정 전체의 신구 대조는 [2026년 9월 11일 시행 개정 개인정보 보호법 — 신구조문 대조표](/posts/pipa-2026-amendment-comparison/)에 정리해 두었습니다.
### ① 과징금 (제64조의2)
| 항목 | 현행 | 개정 (2026. 9. 11. 시행) |
|---|---|---|
| 상한(원칙) | 전체 매출액의 3% 이하 (제1항) | 3% 유지. 다만 아래 중대·반복 위반은 **10% 이하** (제2항 신설) |
| 10% 상한 적용 대상 | 없음 | ① 과징금 처분 후 3년 내 같은 유형의 위반 반복(고의·중과실 한정) ② 고의·중과실 위반으로 피해 정보주체 **1천만 명 이상** ③ 시정조치 명령 불이행으로 유출등 발생 |
| 매출액이 없거나 산정 곤란한 경우 | 20억 원 이하 (제1항 단서) | 일반 위반은 20억 원 유지. 10% 대상 위반은 **50억 원 이하** (제2항 단서) |
| 예방투자 감경 | 명문 감경 규정 없음('보호를 위한 노력'을 산정 시 고려사유로 참작하는 정도 (제4항 제10호) | 예산·인력·설비 투자 등이 있으면 과징금을 **감경한다** (제6항 신설)재량이 아닌 필요적 감경. 단, 고의·중과실 위반은 제외). 감경 폭(기준금액의 40% 이내)은 시행령 별표 1의5, 세부 기준은 과징금 부과기준 고시 제8조의3(2026. 9. 11. 개정) |
### ② 유출 통지·신고 (제34조)
| 항목 | 현행 | 개정 |
|---|---|---|
| 통지·신고 대상인 '유출등' | 분실·도난·유출 (제34조 제1항) | 분실·도난·유출 + **위조·변조·훼손** (제23조 제2항의 정의로 일원화) |
| 통지 시점 | 유출등을 **알게 된 때** 지체 없이 (시행령상 72시간 이내) | 동일. 여기에 더해, 대통령령으로 정하는 **'유출등의 가능성'을 알게 된 때**에도 지체 없이 가능성이 있는 모든 정보주체에게 통지 (제2항 신설) |
| 통지 내용 | 유출 항목, 시점과 경위, 피해 최소화 방법, 대응조치·구제절차, 담당부서 (5개 호) | 여기에 **손해배상·법정손해배상 청구, 분쟁조정 등 정보주체의 법적 권리와 행사 방법** 등이 추가 (제6호·제7호 신설) |
| 유출 후 조치 | 피해 최소화 대책 마련·필요한 조치 (제2항) | **회수·삭제 등 피해 확산 방지 조치**를 포함하도록 명시 (제3항) |
| 보호위·KISA 신고 | 1천 명 이상, 민감정보·고유식별정보, 불법 접근에 의한 유출 시 72시간 이내 (제3항, 시행령 제40조) | 내용 유지 (조항 위치만 제4항으로 이동). 다만 신고 대상 '유출등' 자체가 위 정의 확장의 적용을 받음 |
### ③ 거버넌스: 대표자·CPO (제30조의3, 제31조)
| 항목 | 현행 | 개정 |
|---|---|---|
| 사업주·대표자의 책임 | 명문 규정 없음 (CPO를 지정하지 않는 소규모 기업에서 대표자가 CPO가 되는 정도, 제31조 제2항) | **사업주·대표자를 개인정보 보호의 최종 책임자로 명시**하고, 전문 인력과 충분한 예산 지원 등 총괄 관리 조치 의무 부과 (제30조의3 신설) |
| CPO 지정 절차 | 지정 의무와 지정 대상·자격요건은 이미 있으나(제31조 제1항·제9항, 시행령 제32조 제3항·제4항 및 별표 1) **위반에 붙는 과태료가 없음** | 매출액·보유 규모 등 대통령령 기준에 해당하면 지정·변경·해제 시 **이사회 의결**을 거치고 **보호위원회에 신고** (제31조 제3항 신설). 위반 시 3천만 원 이하 과태료 (이사회 의결은 제75조 제2항 제14호의3, 신고는 같은 항 제14호의4 신설). 아울러 **미지정·자격요건 미달자 지정**에도 과태료가 새로 붙음 (같은 항 제14호의2 신설) |
| CPO의 업무 | 보호계획 수립·시행, 처리 실태 조사·개선, 불만 처리, 내부통제시스템 구축 등 7개 | **전문 인력 관리·예산 확보**, **대표자·이사회에 대한 보호 현황 보고**가 업무로 추가 (제31조 제4항) |
### ④ 개인정보보호 인증 (제32조의2: 2027. 7. 1. 시행)
| 항목 | 현행 | 개정 |
|---|---|---|
| 인증(ISMS-P 등) | 임의. 보호위원회가 "인증할 수 있다" (제1항) | 매출액·처리 규모 등 대통령령 기준에 해당하는 기업은 **인증을 받아야 한다** (제1항 단서 신설). 미인증 시 3천만 원 이하 과태료 |
### ⑤ 아직 법령이 아닌 것: 하반기 업무계획의 추진 과제
아래는 개정된 조문이 존재하지 않는, 개인정보위가 하반기에 추진하겠다고 밝힌 단계입니다. 확정된 것처럼 대비할 필요는 없지만, 방향을 알고 있어야 하는 항목들입니다.
| 추진 과제 | 현재 상태 |
|---|---|
| 신속 신고 기업 감경, 은폐 적발 기업 30% 이상 가중 | 시행령·고시 정비로 추진 (세부 미확정) |
| 신고포상금: 은폐·증거인멸을 신고한 사람에게 과징금의 일정 비율 지급 | 제도 설계 중 (비율·한도 미공개) |
| 증거 은닉·폐기에 대한 별도 제재, 조사 비협조 이행강제금, 증거보전명령 | 법 개정 필요 (추진 계획) |
| 법정손해배상 개편: 기업 쪽으로 입증책임 전환 | 법 개정 필요 (추진 계획) |
| 유출 정보의 구매·유포 처벌 신설 | 법 개정 필요 (추진 계획) |
## 9월 시행 전에 무엇을 점검해야 하나?
9월 시행까지 남은 기간에 맞춰, 다음을 점검해 두시길 권합니다.
1. **유출 대응 플레이북이 있는가**. 인지 시점 기록, 72시간 내 통지·신고 판단 기준, 초동 대응(접근 차단·로그 보전), 대외 커뮤니케이션 순서를 문서로. 사고 당일 새벽에 처음 논의하는 회사와 체크리스트를 꺼내는 회사의 격차가 곧 처분의 격차가 됩니다. 본사 절차서를 그대로 준용하는 외국계 한국법인이라면 [GDPR 기준 플레이북이 한국에서 깨지는 지점](/posts/global-breach-playbook-korea-gap/)을 함께 점검하십시오.
2. **'유출등' 판단 기준의 업데이트**. 랜섬웨어·데이터 훼손 시나리오도 통지·신고 검토 대상에 포함되도록 내부 기준을 손봐 두어야 합니다.
3. **로그·증거 보전 원칙**. 사고 후 서버를 밀어버리거나 로그를 정리하는 행위는 선의였더라도 은닉·폐기로 평가될 위험이 있습니다. 보전이 기본값이어야 합니다.
4. **보안 투자의 기록화**. 예방 투자 감경이 제도화되면, 투자를 '했다'는 사실만큼 '입증할 수 있다'는 것이 중요해집니다. 보안 예산·인력·조치 이력을 남기는 체계를 갖춰 두십시오.
5. **CPO와 보고 라인**. 대표자가 최종 책임자로 명시되는 구조에서, 유출 보고가 대표에게 도달하는 데 며칠씩 걸리는 조직이라면 그 자체가 리스크입니다.
유출사고 대응에서 가장 비싼 실수는 기술적 실수가 아니라 초기 72시간의 판단 착오입니다. 그리고 하반기부터는 그 판단 착오 중에서도 '숨기는 쪽'의 가격이 가장 가파르게 오릅니다.
**선례 확인** — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 [개인정보 유출 통지·신고 위반 제재 사례](/sanctions/article-34/)에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
## 자주 묻는 질문
### Q. 9월 11일 이후 유출을 숨겼다가 적발되면 과징금이 얼마나 달라지나요?
확정된 것은 과징금 상한 인상입니다. 개정 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행)은 원칙적 상한 3%는 유지하되 ① 과징금 부과처분을 받은 날부터 3년이 지나기 전의 고의·중과실 반복 위반, ② 고의·중과실 위반으로 피해 정보주체가 1천만 명 이상인 경우, ③ 시정조치 명령 불이행으로 인한 유출등에 대해 전체 매출액의 10%까지 부과할 수 있게 했습니다(제64조의2 제2항 신설). 반면 은폐 자체를 가중 사유로 삼는 방안은 아직 법령이 아닙니다. 개인정보위가 하반기 업무계획에서 신속 신고 기업 감경, 은폐 적발 시 30% 이상 가중, 신고포상금 도입을 밝혔으나 법 개정·고시 제정이 필요한 추진 계획 단계입니다. 과징금 산정 단계에서는 9월 11일 개정된 과징금 부과기준 고시(제2026-12호)가 먼저 움직였습니다. 대응 체계를 갖추고 조기 탐지·신속한 신고·통지로 회복한 경우 1차 조정 금액의 40% 이하를 감경하고, 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우 30% 이하를 가산합니다. 다만 통지·신고 의무 위반 자체는 지금도 각각 3천만 원 이하의 과태료 대상입니다(법 제75조 제2항 제17호·제18호).
### Q. 2026년 9월 11일부터 과징금 상한이 어떻게 달라졌나요?
개정 개인정보 보호법(법률 제21445호)이 시행되면 원칙적 상한 3%는 유지되지만, ① 과징금 부과처분을 받은 날부터 3년이 지나기 전에 고의·중과실로 같은 호의 위반행위를 다시 한 경우 ② 고의·중과실 위반으로 1천만 명 이상의 피해가 발생한 경우 ③ 시정조치 명령을 이행하지 않아 유출등이 발생한 경우에는 전체 매출액의 10% 이하로 올라갑니다. 매출액이 없거나 산정이 곤란하면 일반 위반은 20억 원, 이들 중대·반복 위반은 50억 원 이내에서 부과할 수 있습니다.
### Q. 유출을 신고하지 않고 조용히 수습하면 어떻게 되나요?
신고·통지 의무 위반 자체가 현행법 위반이고, 개인정보위는 2026년 7월 16일 하반기 업무계획에서 신속 신고 기업은 감경하고 은폐하다 적발된 기업은 과징금을 30% 이상 가중하는 방안, 은닉·폐기를 신고한 사람에게 과징금의 일정 비율을 지급하는 신고포상금 도입을 밝혔습니다. 다만 이들은 법 개정·고시 제정이 필요한 추진 계획 단계로 세부는 확정되지 않았습니다. 과징금 산정 단계에서는 9월 11일 개정된 과징금 부과기준 고시(제2026-12호)가 먼저 움직였습니다. 대응 체계를 갖추고 조기 탐지·신속한 신고·통지로 회복한 경우 1차 조정 금액의 40% 이하를 감경하고, 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우 30% 이하를 가산합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
### Q. 개정법에 과징금을 깎아 주는 규정도 있나요?
있습니다. 개정 법 제64조의2 제6항은 개인정보 보호를 위하여 예산·인력·설비·장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우 과징금을 '감경한다'고 정합니다. '감경할 수 있다'가 아니라 '감경한다'로 되어 있다는 점이 특징입니다. 다만 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외되고, 구체적인 감경 사유는 대통령령으로 정해지는데, 2026년 9월 10일 공포된 시행령(대통령령 제36671호)은 감경 폭을 기준금액의 40% 이내로, 적용 순서를 1차 조정보다 앞선 독립 단계로 정했습니다.
### Q. 과징금을 아예 부과하지 않는 경우도 있나요?
개정 법 제64조의2 제7항이 과징금을 부과하지 아니할 수 있는 사유를 정하고 있고, 제1호가 지급불능·지급정지 또는 자본잠식 등의 사유로 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우입니다. 현행법에서는 같은 내용이 제5항에 있으므로, 2026년 9월 11일 이후에는 인용 시 항 번호가 달라진다는 점에 주의해야 합니다.
과징금 상한 외에 9월 11일에 함께 바뀐 것들은 [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](/guides/pipa-2026-amendment/)에 시행일 기준으로 정리해 두었습니다.
## 참고 자료
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법) — 국가법령정보센터
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령) 제39조·제40조(유출등의 통지·신고, 72시간) — 국가법령정보센터
- [개정 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) 원문](https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911) — 국가법령정보센터 시행예정 법령. 과징금 상한 상향 등
- [개인정보위, 2026년 하반기 업무계획 보도자료(2026. 7. 16.)](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12281) — 개인정보보호위원회
- [개인정보 보호법 시행령](https://www.law.go.kr/법령/개인정보보호법시행령): 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행) 별표 1의5(과징금 산정기준·산정절차), 제60조의2 제5항(예방투자 감경 고려사항)
---
# 국가기관의 AI 제품 우선구매 고려 의무 — 확인 대상과 조달 우대 범위
- URL: https://datalaw.kr/posts/ai-basic-law-procurement/
- 게시 2026-07-25 · 수정 2026-09-10 · 태그: AI규제, 스타트업실무
- 요약: 2026년 7월 21일 시행된 개정 AI기본법에 따라 국가·지방자치단체·공공기관은 제품·서비스를 구매하거나 용역을 발주할 때 AI 제품·서비스를 우선적으로 고려해야 하고(법 제16조 제3항), 구매 담당자는 고의·중과실이 없는 한 배상책임을 지지 않습니다(같은 조 제4항). 다만 우선구매 고려의 대상은 과기정통부장관의 확인을 받은 제품·서비스로 한정됩니다. 확인을 받으면 물품 다수공급자계약의 진입 요건 완화·신용평가등급확인서 면제와 물품 적격심사 신인도 1.5점이 붙지만, 이 우대는 물품 트랙에만 있고 용역·상용소프트웨어 다수공급자계약 규정에는 없습니다. 확인 절차, 규정별 우대 유무, 납품 전에 점검할 AI기본법 의무로 이어지는 순서를 한 장으로 정리합니다.
> **핵심 요약**. 2026년 7월 21일 시행된 개정 AI기본법(법률 제21311호)에 따라 국가·지방자치단체·공공기관은 제품·서비스를 구매하거나 용역을 발주할 때 AI 제품·서비스를 우선적으로 고려해야 합니다(법 제16조 제3항). 구매 담당자는 그 구매·사용으로 기관에 손해가 발생하더라도 고의 또는 중대한 과실이 없는 한 배상책임을 지지 않습니다(같은 조 제4항). 우선구매 고려의 대상은 '과학기술정보통신부장관이 확인한 제품 또는 서비스'로 한정되므로(시행령 제15조 제4항), 실무의 출발점은 AI 제품·서비스 확인을 받는 일입니다. 확인을 받으면 물품 다수공급자계약의 진입 요건 완화·신용평가등급확인서 면제와 물품 적격심사 신인도 1.5점이 붙지만(2026년 8월 1일부터), 이 우대는 물품 트랙에만 있고 용역·상용소프트웨어 다수공급자계약 규정에는 없습니다. 확인 절차와 공공시장에 나가기 전에 점검할 AI기본법 의무는 별도의 글로 정리했고, 이 글은 그 지도입니다.
AI 제품을 만드는 스타트업에게 공공기관은 이상하게 먼 시장이었습니다. 기술 시연까지는 반응이 좋다가도 계약 단계에서 멈추는 일이 반복됩니다.
담당 공무원 입장에서 생각해 보면 이유가 없지 않습니다. 도입 실적이 없는 신기술을 샀다가 문제가 생기면 그 책임은 구매를 결정한 자신에게 돌아온다고 여겨 왔기 때문입니다. "검증된 것만 산다"는 공공조달의 관성은 개별 담당자의 합리적인 자기방어이기도 했습니다.
지난 7월 21일, 이 구조를 정면으로 겨냥한 법이 시행됐습니다. 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI기본법) 개정법(법률 제21311호)과 개정 시행령(대통령령 제36506호)입니다. 올해 1월 22일 시행된 AI기본법 본체가 '규제와 진흥의 골격'이었다면, 이번 7월 21일 시행분은 그중 진흥 쪽 조항들을 본격 가동하는 내용입니다.
## 국가기관은 이제 AI 제품을 반드시 사야 하나?: 우선구매 '고려' 의무
> **AI기본법 제16조(인공지능기술 도입ㆍ활용 시책 등)**
>
> ③ 국가기관등은 업무 수행에 필요한 제품 또는 서비스를 구매하거나 용역을 발주하려는 경우 대통령령으로 정하는 인공지능제품 또는 인공지능서비스를 우선적으로 고려하여야 한다. 다만, 업무 특성상 인공지능기술의 활용이 적합하지 아니한 경우에는 그러하지 아니하다.
여기서 "국가기관등"은 국가, 지방자치단체, 「공공기관의 운영에 관한 법률」에 따른 공공기관 등을 말합니다(법 제2조 제4호 자목). 즉 중앙부처부터 시·군·구, 각종 공단·공사까지, 이들이 제품·서비스를 사거나 용역을 발주할 때 AI 제품·서비스를 우선적으로 고려해야 하는 의무가 생겼습니다.
주의할 점부터 짚으면, 이것은 "AI 제품을 사야 한다"는 구매 의무가 아니라 우선 '고려' 의무입니다. 그래도 의미는 작지 않습니다. 지금까지 AI 도입은 담당자가 나서서 정당화해야 하는 예외적 선택이었다면, 이제는 반대로 AI 제품을 고려하지 않은 쪽이 설명이 필요한 구조가 됐기 때문입니다.
## AI를 샀다가 기관에 손해가 나면 담당자가 배상해야 하나?
실무적으로 더 흥미로운 것은 같은 조 제4항입니다.
> **AI기본법 제16조**
>
> ④ 제3항에 따른 인공지능제품 또는 인공지능서비스의 구매 또는 사용으로 국가기관등에 손해가 발생한 경우에도 그 구매 또는 사용 업무를 담당한 자는 해당 기관의 손해에 대하여 배상할 책임이 없다. 다만, 해당 업무 담당자의 고의 또는 중대한 과실로 손해가 발생한 경우에는 그러하지 아니하다.
AI 제품·서비스를 구매·사용했다가 기관에 손해가 발생하더라도, 담당자는 고의 또는 중대한 과실이 없는 한 배상책임을 지지 않는다는 것입니다. 앞서 말한 공공조달의 심리적 장벽("신기술 샀다가 잘못되면 내 책임")을 법이 직접 걷어낸 셈입니다.
공공기관을 상대로 영업하는 AI 스타트업이라면 제안서와 미팅에서 이 두 조항(제16조 제3항·제4항)을 정확히 인용할 수 있어야 합니다. 담당자의 결재 부담을 낮춰 주는 근거가 법률에 생겼다는 사실 자체가 영업 환경의 변화입니다.
## 그래서 무엇부터 하면 되나
우선구매 고려 대상이 되려면 확인을 받아야 하고, 확인을 받으면 조달 규정에서 우대가 붙습니다. 그리고 그 앞뒤로 AI기본법상 의무가 따로 걸립니다. 순서대로 정리하면 이렇습니다.
**1단계 — 목록화와 확인 신청.** 시행령 제15조 제4항은 우선구매 고려 대상을 과기정통부장관이 확인한 제품·서비스로 정하고, 그 기준·절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회입니다. 신청 전에 조달청 목록정보시스템에서 물품목록번호를 받아 두어야 하고, 접수 후 15일 이내 결정이 원칙입니다. → [AI 제품·서비스 확인을 받는 법](/posts/ai-product-confirmation/)
**2단계 — 어느 조달 트랙으로 들어갈지 정하기.** 우대는 AI기본법이 아니라 조달청 훈령·지침에 있고, 규정마다 다릅니다. 물품 다수공급자계약에는 진입 요건 완화와 신용평가등급확인서 면제가 들어와 있고 물품 적격심사에는 신인도 1.5점이 붙지만, 용역·상용소프트웨어 다수공급자계약 규정에는 인공지능 우대 조항이 없습니다. 상용소프트웨어는 대신 제3자단가계약 쪽에 실적·가격자료 예외가 있습니다. 목록화 시점의 판단이 그대로 우대 적용 여부로 굳으므로 1단계보다 먼저 정해 두는 편이 낫습니다. 규정별 우대의 크기와 적용일은 [아래 절](#확인을-받으면-조달에서-실제로-무엇이-달라지나)에서 정리합니다.
**3단계 — 팔려는 제품이 AI기본법 의무를 지키고 있는지 점검.** 이 의무들은 이번 7월에 새로 생긴 것이 아니라 2026년 1월 22일부터 이미 시행 중이고, 발주처가 먼저 묻는 것도 대개 이쪽입니다.
- 채용·대출 심사처럼 개인의 권리·의무에 중대한 영향을 미치는 판단에 AI를 쓴다면 고영향 인공지능 해당 여부를 사전에 검토할 의무가 있고(법 제33조 제1항), 해당하면 여섯 가지 책무가 따라붙습니다. → [우리 서비스가 '고영향 인공지능'인가](/posts/high-impact-ai-check/)
- 생성형 AI 기능이 있다면 사전 고지 의무가 걸리고, 이쪽은 사실조사를 거치지 않고 곧바로 과태료가 부과됩니다(1차 500만 원). → [챗봇에 무엇을 고지해야 하나](/posts/generative-ai-disclosure-labeling/)
- 그 밖에 사업자로서 지는 의무 전체의 지도는 → [우리 회사도 '인공지능사업자'인가](/posts/ai-basic-law-business-duties/)
**두 트랙이 서로를 대체하지 않는다는 점**도 확인해 두어야 합니다. 하나는 위 확인 제도이고, 다른 하나는 고영향 인공지능의 기본권 영향평가입니다. 국가기관등은 영향평가를 실시한 제품·서비스를 우선적으로 고려해야 하는데(법 제35조 제2항), 확인을 받았다고 영향평가가 면제되지 않고 그 반대도 마찬가지입니다.
## 확인을 받으면 조달에서 실제로 무엇이 달라지나
"AI 제품이면 조달에서 유리하다"는 말은 절반만 맞습니다. 우대는 훈령과 지침의 조문으로 이미 시행되고 있지만, 어느 규정이 적용되느냐에 따라 같은 확인서를 들고도 결과가 갈립니다. 갈리는 지점은 우리 제품이 어느 세부품명으로 목록화되었는가 하나입니다.
근거의 층부터 정리하면, 법 제16조 제3항과 시행령 제15조 제4항까지가 법령이고 구체적인 우대는 그다음 층인 조달청의 훈령·지침·고시에 있습니다. 그래서 시행일도 서로 다릅니다. AI기본법 개정 시행일은 2026년 7월 21일인데, 물품 쪽 우대는 8월 1일부터이고 상용소프트웨어 쪽 예외는 그보다 앞선 1월 1일부터입니다.
### 물품 다수공급자계약 — 진입 요건이 낮아집니다
근거는 「물품 다수공급자계약 업무처리규정」(조달청 훈령)이고, 인공지능제품 관련 개정규정은 2026년 8월 1일부터 시행 중입니다. 이 규정이 말하는 인공지능제품은 AI기본법 시행령 제15조 제4항에 해당하는 제품, 곧 확인을 받은 제품·서비스입니다.
다수공급자계약은 원칙적으로 해당 수요물자를 제조 또는 공급하고 연간 거래실적이 3천만 원 이상인 업체가 세부품명 기준으로 3개사 이상 있어야 추진됩니다. 인공지능제품은 연간 거래실적과 관계없이 2개사 이상이면 됩니다. 규격 요건도 달라져서, 원칙은 업계 공통의 상용규격과 시험기준이 있어야 하지만 인공지능제품은 업체 제시규격으로도 가능합니다. 시장에 나온 지 얼마 안 된 AI 제품은 업계 공통 상용규격 자체가 없는 경우가 많아 계약 트랙에 들어가지 못하던 상황이 이 조항으로 풀립니다. 계약체결 가능한 업체가 2개사 이상이면 구매업무심의회 또는 혁신조달업무심의회의 심의를 거쳐 다수공급자계약을 추진할 수 있습니다.
적격성 평가에서는 원칙적으로 신용평가등급이 B- 미만이면 결격이지만, 인공지능제품으로 다수공급자계약을 체결하는 업체는 신용평가등급확인서 제출이 면제됩니다(같은 규정 별표 1 적격성 평가 세부기준). 신용등급 이력을 쌓을 시간이 없었던 창업 초기 회사에는 이 조항의 무게가 가장 큽니다.
### 적격심사 신인도 1.5점 — 크기를 정확히 읽어야 합니다
「조달청 물품구매적격심사 세부기준」 별표 4 신인도 평가기준의 「가. 기술 및 품질」에 「② AI기술」 항목이 있습니다. AI기본법 시행령 제15조에 의한 인공지능 제품 보유자에게 평점 1.5점을 부여하고, 부칙에 따라 2026년 8월 1일 입찰공고하는 적격심사 대상 물품부터 적용됩니다.
여기서 1.5점을 총점 보너스로 읽으면 기대가 어긋납니다. 신인도에는 배점한도가 있어 별표 1(추정가격 10억 원 이상 물품 제조입찰)은 +5점에서 -5점, 별표 2와 별표 3은 +3점에서 -3점 범위에서만 반영됩니다. 1.5점은 중소기업·고용창출 등 다른 신인도 평가요소와 이 한도 안에서 합산되는 점수이므로, 이미 다른 항목으로 한도를 채우고 있다면 실제 증분은 0에 가까울 수 있습니다.
| 「가. 기술 및 품질」 항목 | 평점 |
|---|---|
| 신기술(NET·NEP)·우수조달물품 등 고도기술 | 2.0점 |
| AI기술 | 1.5점 |
| 특허·GS인증 등 일반기술 | 1.25점 |
별표 1의 전체 배점이 납품실적 5점, 기술등급 10점, 신용평가등급 30점, 입찰가격 55점, 신인도 ±5점으로 짜여 있다는 점까지 함께 놓으면 1.5점의 실제 무게가 가늠됩니다. 결정적인 한 방은 아니고, 동점 구간에서 갈리는 종류의 점수입니다.
### 상용소프트웨어 — 제3자단가계약에서 실적과 가격자료가 면제됩니다
상용소프트웨어가 공공에 들어가는 통로는 다수공급자계약만이 아니고, 인공지능 우대는 제3자단가계약 쪽에 들어와 있습니다. 「상용소프트웨어 제3자단가계약 업무처리기준」 제5조 제1항 제1호는 신청 제품별로 최근 2년 이내 3건 이상의 시중거래실적을 요구하면서, 세부품명이 인공지능(AI)소프트웨어인 경우에는 실적 유무를 묻지 않습니다. 같은 괄호가 유지관리상품과 커스터마이징상품도 함께 면제하고 있으므로 AI소프트웨어만 특별히 열린 자리는 아닙니다. 제6조 제1항 제1호 차목에 따라 가격자료(최근 1년 이내 3건 이상) 제출도 AI소프트웨어는 생략할 수 있습니다. 이 기준의 시행일은 2026년 1월 1일입니다.
다만 이 트랙의 기본상품 신청자는 중소기업인 제조업체로서 신용평가등급 'B-' 이상이어야 합니다(제5조 제1항 제2호·제4호). 물품 쪽에서 면제되는 신용평가등급 요건이 여기서는 그대로 남아 있습니다.
### 우대가 없는 곳 — 용역과 상용소프트웨어 다수공급자계약
「용역 다수공급자계약 업무처리규정」과 「상용소프트웨어 다수공급자계약 업무처리규정」에는 '인공지능'이라는 표현이 나오지 않습니다. 진입 요건 완화와 신용평가등급확인서 면제가 들어간 것은 물품 다수공급자계약 업무처리규정 하나뿐이고, 같은 확인서를 들고 있어도 제품이 용역이나 상용소프트웨어 세부품명으로 목록화되면 그 우대가 붙지 않습니다.
그래서 순서가 뒤집힙니다. 확인을 먼저 받고 조달 트랙을 나중에 고르는 것이 아니라, 어느 트랙으로 들어갈지를 정한 뒤 그에 맞게 목록화하고 확인을 신청하는 편이 낫습니다. 확인 신청 자체가 목록화를 선행 요건으로 두고 있어서(고시 제4조 제2항) 목록화 시점의 판단이 그대로 우대 적용 여부로 굳습니다.
| 트랙 | 진입 요건 완화 | 신용등급 면제 | 실적·가격자료 면제 | 적격심사 가점 |
|---|---|---|---|---|
| 물품 다수공급자계약 | ○ (2026-08-01~) | ○ | — | ○ 1.5점 (2026-08-01~) |
| 용역 다수공급자계약 | — | — | — | — |
| 상용SW 다수공급자계약 | — | — | — | — |
| 상용SW 제3자단가계약 | — | 신용등급 B- 이상 요구 | ○ (2026-01-01~) | — |
조달청은 2026년 8월 21일 「자율기구 인공지능조달혁신과 설치 및 운영에 관한 규정」(조달청 훈령 제2403호)을 제정·시행해 AI 조달 전담 조직을 만들었습니다. 지금 우대가 비어 있는 용역·상용소프트웨어 다수공급자계약 쪽은 규정이 더 손질될 가능성을 염두에 두고 지켜볼 자리입니다.
## AI 스타트업 실무 체크리스트
1. **목록화 트랙을 먼저 정하세요.** 물품·용역·상용소프트웨어 중 어느 세부품명으로 목록화하느냐가 조달 우대의 적용 여부를 가릅니다. 확인 신청은 목록화를 선행 요건으로 두고 있어 순서를 되돌리기 어렵습니다.
2. **'AI 제품·서비스 확인'을 신청하세요.** 조달청 목록정보시스템에서 물품목록번호를 받은 뒤, 신청서·동의서 2종·구조도·기능 명세서를 갖추어 확인기관 온라인 시스템으로 신청합니다. 수수료는 없습니다.
3. **B2G 제안서에 법 제16조 제3항(우선구매 고려)·제4항(담당자 면책)을 반영하세요.** 발주 담당자의 결재 부담을 낮추는 법적 근거를 제시하는 것 자체가 영업 포인트입니다.
4. **고영향 AI 해당 여부를 스스로 검토하고 기록으로 남기세요.** 검토 자체가 법 제33조 제1항의 의무이고, 애매하면 과기정통부장관에게 확인을 요청할 수 있습니다.
5. **생성형 AI 기능이 있다면 사전 고지·생성물 표시가 구현되어 있는지 확인하세요.** 공공 납품 심사에서 기본 항목으로 확인될 가능성이 높습니다.
6. **적용 기준일을 확인하세요.** 물품 쪽 우대와 적격심사 가점은 2026년 8월 1일 이후 입찰공고분부터, 상용소프트웨어 제3자단가계약 예외는 2026년 1월 1일부터입니다.
7. **트랙별 문턱을 대조하세요.** 물품 다수공급자계약을 노린다면 같은 세부품명에 계약 가능 업체가 2개사 이상인지, 적격심사에 들어간다면 신인도 배점한도가 이미 다른 항목으로 차 있지는 않은지, 상용소프트웨어 제3자단가계약을 노린다면 신용평가등급 B- 이상 요건을 충족하는지 확인합니다.
조달 문턱을 넘으면 그다음은 계약서입니다. 「데이터기반행정 활성화에 관한 법률」이 2026년 8월 28일부터 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 바뀌면서 발주 기관이 요구하게 될 조항은 [공공기관에 AI를 납품하는 회사가 8월 28일부터 만나게 될 계약 요구](/posts/public-ai-act-vendor-contracts/)에 정리했습니다.
공공기관에 납품한다는 것은 그 기관이 보유한 개인정보를 우리 시스템에서 처리하게 된다는 뜻이기도 합니다. 운영 중 유출을 인지했을 때 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
## 자주 묻는 질문
### Q. 국가기관은 이제 AI 제품을 반드시 구매해야 하나요?
아닙니다. AI기본법 제16조 제3항은 구매 의무가 아니라 '우선적으로 고려'할 의무를 정하고 있고, 업무 특성상 인공지능기술 활용이 적합하지 않은 경우는 제외됩니다. 다만 지금까지 AI 도입이 담당자가 정당화해야 하는 예외적 선택이었다면, 이제는 AI 제품을 고려하지 않은 쪽이 설명해야 하는 구조로 바뀌었습니다.
### Q. AI 제품을 샀다가 기관에 손해가 나면 담당자가 배상해야 하나요?
고의 또는 중대한 과실이 없는 한 배상책임이 없습니다. AI기본법 제16조 제4항은 제3항에 따른 인공지능제품·서비스의 구매 또는 사용으로 국가기관등에 손해가 발생한 경우에도 그 업무를 담당한 자는 배상할 책임이 없다고 정하면서, 고의 또는 중대한 과실로 손해가 발생한 경우만 예외로 둡니다.
### Q. 공공기관에 납품할 때 AI기본법 준수 여부를 따로 확인받나요?
조달에서는 두 갈래가 서로 다른 트랙으로 작동합니다. 하나는 'AI 제품·서비스 확인'으로, 시행령 제15조 제4항이 우선구매 고려 대상을 '과학기술정보통신부장관이 확인한 제품 또는 서비스'로 정하고 있어 확인을 받아야 우선구매 고려의 대상이 됩니다. 다른 하나는 고영향 인공지능의 기본권 영향평가로, 국가기관등은 법 제35조 제2항에 따라 영향평가를 실시한 제품·서비스를 우선적으로 고려해야 합니다. 확인을 받았다고 영향평가가 면제되지 않고, 그 반대도 마찬가지입니다.
### Q. AI 제품이면 조달 적격심사에서 가점을 받나요?
물품구매 적격심사에서 신인도 1.5점을 받습니다. 「조달청 물품구매적격심사 세부기준」 별표 4 신인도 평가기준의 「가. 기술 및 품질」에 「AI기술」 항목이 있고, AI기본법 시행령 제15조에 따른 인공지능 제품 보유자에게 1.5점을 부여하며, 2026년 8월 1일 입찰공고분부터 적용됩니다. 다만 신인도에는 배점한도가 있어(별표 1은 ±5점, 별표 2·3은 ±3점) 1.5점이 총점에 그대로 얹히지 않고 중소기업·고용창출 등 다른 신인도 요소와 그 한도 안에서 합산됩니다.
### Q. 우리는 소프트웨어인데 같은 우대를 받나요?
규정이 갈립니다. 다수공급자계약 진입 완화와 신용평가등급확인서 면제는 「물품 다수공급자계약 업무처리규정」에만 들어 있고, 「용역 다수공급자계약 업무처리규정」과 「상용소프트웨어 다수공급자계약 업무처리규정」에는 인공지능 관련 우대 조항이 없습니다. 상용소프트웨어는 대신 「상용소프트웨어 제3자단가계약 업무처리기준」에 AI소프트웨어의 시중거래실적·가격자료 예외가 있습니다. 같은 확인을 받아도 어느 세부품명으로 목록화되느냐에 따라 결과가 달라지므로 목록화 트랙부터 확인해야 합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
---
## 참고 자료
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법) 제16조(인공지능기술 도입ㆍ활용 시책 등), 제33조(고영향 인공지능의 확인), 제35조(고영향 인공지능 영향평가) — 국가법령정보센터. 법률 제21311호(2026. 1. 20. 공포, 2026. 7. 21. 시행분)
- [인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령](https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령) 제15조(인공지능기술 도입ㆍ활용 지원) — 국가법령정보센터. 본문이 인용한 2026. 7. 21. 시행분은 대통령령 제36506호이고, 현행은 대통령령 제36580호(2026. 8. 20. 시행)로 제15조의 내용은 같습니다
- [인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시](https://www.law.go.kr/행정규칙/인공지능제품ㆍ서비스확인절차운영에관한고시) — 과학기술정보통신부 고시 제2026-50호(2026. 7. 21. 발령·시행) — 국가법령정보센터
- [조달청 물품구매적격심사 세부기준](https://www.law.go.kr/행정규칙/조달청물품구매적격심사세부기준) — 조달청 지침 제3373호. 별표 4 신인도 평가기준 「가. 기술 및 품질」 및 부칙 제1조 — 국가법령정보센터
- [상용소프트웨어 제3자단가계약 업무처리기준](https://www.law.go.kr/행정규칙/상용소프트웨어제3자단가계약업무처리기준) — 조달청 지침 제45호. 제4조(상품 구분), 제5조(신청 요건), 제6조(가격자료) — 국가법령정보센터
- 「물품 다수공급자계약 업무처리규정」(조달청 훈령 제2400호, 2026. 7. 21. 발령·시행) 제3조 제40호, 제4조 제3항·제4항, 별표 1 적격성 평가 세부기준. 인공지능제품 관련 개정규정의 시행일은 부칙(조달청 훈령 제2393호, 2026. 5. 29.) 제1조 제1호에 따라 2026. 8. 1.
- 「용역 다수공급자계약 업무처리규정」(조달청 고시 제2026-40호), 「상용소프트웨어 다수공급자계약 업무처리규정」(조달청 훈령 제2290호) — 인공지능 관련 우대 조항 없음을 확인
- [자율기구 인공지능조달혁신과 설치 및 운영에 관한 규정](https://www.law.go.kr/행정규칙/자율기구인공지능조달혁신과설치및운영에관한규정) — 조달청 훈령 제2403호(2026. 8. 21. 제정·시행) — 국가법령정보센터
- [공공기관의 운영에 관한 법률](https://www.law.go.kr/법령/공공기관의운영에관한법률) — 국가법령정보센터
---
# 웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가 — 틱톡 과징금 103억 원이 확인한 것
- URL: https://datalaw.kr/posts/tiktok-pixel-behavioral-data/
- 게시 2026-07-25 · 수정 2026-08-28 · 태그: 국외이전, 플랫폼규제, 과징금제재, 개인정보보호법, 스타트업실무
- 요약: 개인정보위가 틱톡에 과징금 103억 원을 부과했습니다. 제재는 틱톡이 받았지만, 픽셀·SDK를 쓰는 기업은 7만여 곳입니다. 스타트업이 지금 점검해야 할 것들을 정리합니다.
> **핵심 요약**. 웹사이트나 앱에 심은 광고 픽셀·SDK가 수집하는 행태정보도 개인정보일 수 있습니다. 행태정보 자체만으로는 누구의 것인지 몰라도, 쿠키나 광고 식별자(GAID/IDFA) 같은 식별자와 결합되어 특정 개인을 알아볼 수 있게 되면 개인정보 보호법상 개인정보에 해당하고, 수집·이용에 동의 등 적법 근거가 필요해집니다. 개인정보보호위원회는 2026년 7월 22일 제14회 전체회의에서 정확히 이 구조를 문제 삼아 틱톡(Tiktok Pte. Ltd.)에 과징금 103억 600만 원과 시정·공표명령을 의결했습니다. 국내 7만 1천여 개 기업이 설치한 TikTok Pixel·Events SDK 등으로 945만 명의 타사 행태정보를 수집하면서 이를 서비스 필수 항목과 묶어 '필수 동의'로 받은 것이 개인정보 보호법 제15조 제1항(수집·이용의 적법 근거) 위반입니다. 별도로 틱톡 라이트의 포인트 현금 인출 서비스 과정에서 계열사에 개인정보를 이전하면서 이전 항목·이전받는 자의 이용 목적·보유 이용 기간 등 법정 사항을 공개하거나 알리지 않은 것이 제28조의8 제1항(국외 이전) 위반으로 판단됐습니다. 픽셀·SDK를 설치한 회사가 점검할 것은 도구 목록화, 처리방침 반영, 맞춤형 광고 동의 분리, 국외 이전 고지 네 가지입니다.
웹사이트나 앱을 운영하는 스타트업이라면 광고 성과 측정용 '픽셀'이나 분석 SDK 한두 개쯤은 붙여두셨을 겁니다. 마케터가 요청해서 개발자가 스크립트 한 줄 심는 것으로 끝나는, 너무 흔한 작업이죠. 그런데 지난주 개인정보보호위원회가 바로 이 도구를 둘러싸고 100억 원대 과징금을 부과했습니다.
## 웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가?
**픽셀(Pixel)** 은 웹페이지에 심는 작은 코드 조각입니다. 방문자가 그 페이지에서 무엇을 했는지(어떤 상품을 봤는지, 장바구니에 담았는지, 결제까지 갔는지)를 광고 플랫폼의 서버로 전송합니다. SDK(Software Development Kit) 는 같은 일을 앱에서 하는 도구 묶음으로, 앱에 포함시켜 두면 앱 안에서의 이용자 행동 데이터가 수집·전송됩니다. 광고를 집행한 회사 입장에서는 "광고를 보고 온 사람이 실제로 구매했는가"(전환 추적)를 측정하고, 비슷한 고객을 찾아 광고를 내보내는 데 쓰는, 디지털 마케팅의 기본 인프라입니다.
이 도구들이 실어 나르는 것이 행태정보입니다. 용어부터 짚겠습니다.
행태정보란 웹사이트 방문 이력, 앱 사용 이력, 구매·검색 이력처럼 이용자의 관심·흥미·기호·성향을 파악하고 분석할 수 있는 온라인상의 활동정보를 말합니다(개인정보위 「온라인 맞춤형 광고 개인정보보호 가이드라인」의 정의). 법적으로 중요한 지점은 이것입니다: 행태정보는 그 자체만으로는 누구의 것인지 모를 수 있지만, 쿠키나 광고 식별자(GAID/IDFA) 같은 식별자와 결합되어 특정 개인을 알아볼 수 있게 되면 개인정보 보호법상 '개인정보'에 해당하고, 수집·이용에 동의 등 적법 근거가 필요해집니다. 이번 사건에서 개인정보위가 문제 삼은 것이 정확히 이 지점(행태정보를 식별자와 함께 수집해 틱톡 계정과 연결한 구조)입니다.
## 틱톡은 무엇을 위반해 103억 원을 부과받았나?
개인정보보호위원회는 2026년 7월 22일 제14회 전체회의에서 틱톡(Tiktok Pte. Ltd.)에 과징금 103억 600만 원과 시정명령·공표명령을 의결했습니다. 같은 날 애플 계열사에도 Siri 음성·전사문의 동의 없는 수집을 이유로 과징금 2억 5,200만 원이 부과됐습니다(합계 105억 5,800만 원).
틱톡 건의 사실관계를 [개인정보위 보도자료](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12330) 기준으로 정리하면 이렇습니다.
- 틱톡은 TikTok Pixel, Events SDK, Events API 같은 행태정보 수집 도구를 다른 웹·앱 사업자에게 배포했습니다. 국내 7만 1천여 개 기업이 이 도구를 사용 중이고, 이를 통해 945만 명의 국내 활성 이용자로부터 타사 행태정보(클릭, 구매, 장바구니, 검색 등)가 수집됐습니다(2025. 12. 기준).
- 틱톡은 이 행태정보를 광고 식별자(GAID/IDFA)·쿠키 등 기기 식별자와 함께 수집해 틱톡 계정과 연결하고, 관심사를 추론해 맞춤형 광고에 썼습니다.
- 문제는 적법 근거였습니다. 가입 시 명확히 알리지 않았고, 서비스에 꼭 필요한 항목과 묶어서 '필수 동의'로 받았습니다. 개인정보위는 이렇게 받은 동의는 정보주체가 실질적 동의권을 행사할 수 없어 적법한 동의로 인정받을 수 없다고 보고, 개인정보 보호법 제15조 제1항(수집·이용의 적법 근거) 위반으로 판단했습니다.
- 국외 이전 위반은 이와 별개의 사실관계입니다. 개인정보위는 틱톡 라이트의 포인트 현금 인출 서비스 제공 과정에서 이용자 개인정보를 계열사에 이전하면서 이전하는 개인정보의 항목, 이전받는 자의 이용 목적 및 보유·이용 기간 등 법정 사항을 공개하거나 알리지 않은 사실을 확인하고 제28조의8 제1항(국외 이전) 위반으로 판단했습니다.
## 제재는 틱톡이 받았는데, 왜 우리 스타트업이 점검해야 하나?
이번 처분의 상대방은 틱톡입니다. 하지만 세 가지 이유로 남 일이 아닙니다.
**첫째, "묶음 필수동의"로는 적법한 동의가 되지 않는다는 판단이 다시 확인됐습니다.** 회원가입 화면에서 서비스 이용에 필요한 동의와 마케팅·맞춤형 광고용 동의를 한 덩어리로 받는 방식은 초기 스타트업에서 정말 흔합니다. 개인정보위는 이번에도, 이용자가 내용을 명확히 인지하고 자유롭게 선택할 수 없었던 동의는 적법한 동의로서 효력을 인정할 수 없다는 점을 명시적으로 강조했습니다.
여기서 용어를 구분해 둘 필요가 있습니다. 잘못 받은 동의는 동의로서 무효입니다(효력이 없다는 뜻(동의의 효력 차원의 평가). 그리고 무효인 동의에 기대어 이루어진 개인정보 수집·이용은 적법 근거가 없는 처리가 되어 위법해집니다(법 제15조 제1항 위반)처리행위 차원의 평가). 즉 "동의가 무효"라서 "수집·이용이 위법"해지는 것이고, 과징금은 이 위법한 처리행위에 대해 부과됩니다.
**둘째, '국외 이전'의 범위가 생각보다 넓습니다.** 개인정보위는 국외 이전이 단순한 물리적 이동이 아니라 우리 보호법의 관할이 미치지 않는 범위로의 이전을 의미하며, 계열사 간 이전이든, 국외로의 제공·처리위탁·보관이든 모두 국외 이전 규정을 지켜야 한다고 밝혔습니다. 해외 본사·지사 간 데이터 공유, 해외 리전의 클라우드나 글로벌 SaaS(분석 툴 포함)에 개인정보를 맡기는 구조라면 처리방침 공개 등 국외 이전 요건을 갖췄는지 점검이 필요합니다.
**셋째, 데이터로 광고·분석 사업을 하는 회사라면 '틱톡의 자리'에 서게 될 수 있습니다.** 이번 사건의 구조를 한 문장으로 줄이면 이렇습니다: 틱톡은 다른 회사의 웹사이트·앱에 자기 수집 도구(픽셀·SDK)를 심게 하고, 그 도구로 모인 이용자 정보를 자기 사업(맞춤형 광고)에 썼습니다.
이제 역할을 바꿔 보겠습니다. 우리 회사가 다른 회사 서비스에 들어가는 도구(예컨대 앱에 붙이는 분석 SDK, 쇼핑몰에 설치되는 상품 추천 위젯, 웹사이트용 채팅 상담 모듈)를 만들어 배포하고, 그 도구로 수집된 이용자 데이터를 우리 회사의 분석·광고·추천 모델 개선에 쓴다면 어떻게 될까요? 그 순간 우리는 도구를 '설치한 회사'가 아니라 도구를 '배포하고 데이터를 가져가는 회사', 즉 이번 사건에서 틱톡이 섰던 자리에 서게 됩니다. 이용자 눈에 보이지 않는 곳에서 데이터가 흘러온다는 이유로 책임이 가벼워지지 않으며, "식별자 + 행태정보 + 계정 연결"의 조합은 개인정보 처리로 다뤄진다는 전제에서 동의 방식과 고지 내용을 제품 설계 단계부터 갖춰야 합니다.
참고로, 2026년 3월 공포된 개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행)은 3년 내 반복된 고의·중과실 위반, 1천만 명 이상 피해를 낳은 위반 등에 대해 과징금 상한을 전체 매출액의 3%에서 최대 10% 까지 높였습니다. 제재의 무게 자체가 달라지는 시점입니다.
## 픽셀·SDK를 쓰는 회사는 무엇을 점검해야 하나?
1. **우리 서비스에 심어진 서드파티 픽셀·SDK를 목록화**하세요. 마케팅팀이 넣은 픽셀, 개발팀이 넣은 분석·크래시 리포트 SDK까지 한 표로 모으는 것이 시작입니다.
2. **개인정보 처리방침에 그 도구들이 반영되어 있는지** 확인하세요. 어떤 도구로 어떤 행태정보가 수집되고 누구에게 전달되는지가 실제 구현과 일치해야 합니다.
3. **맞춤형 광고 목적의 수집·이용 동의를 필수 동의에 끼워 넣지 않았는지** 회원가입 플로우를 다시 보세요. 서비스 제공에 필수적이지 않은 목적은 분리해 선택 동의로 받아야 합니다.
4. **개인정보가 국외로 나가는 지점**(해외 계열사, 해외 클라우드·SaaS 위탁, 해외 광고 플랫폼 제공)을 파악하고, 이전 항목·이전받는 자·목적·보유 기간 등 법정 사항이 처리방침 등에 공개·고지되어 있는지 점검하세요.
5. **자체 수집 도구를 배포하는 사업이라면** 제품 설계 단계에서 적법 근거(동의 방식, 고지 내용)를 함께 설계하세요. 출시 후에 고치는 것보다 훨씬 쌉니다.
이번 사건의 교훈은 "글로벌 대기업도 걸렸다"가 아니라, 일상적인 마케팅 도구 하나에도 수집 근거·동의 방식·국외 이전이라는 세 겹의 법적 구조가 붙어 있다는 점입니다. 규모가 작을 때 정리해 두는 것이 가장 저렴한 컴플라이언스입니다.
서드파티 도구 점검을 미뤄 둔 상태에서 사고가 나면 확인해야 할 범위가 그만큼 넓어집니다. 사고를 인지한 뒤 72시간에 해야 할 일은 [개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일](/guides/data-breach-response/)에 정리했습니다.
국외 이전을 하는 회사라면 그 사실이 처리방침에 어떻게 적혀 있어야 하는지도 함께 점검해야 합니다. 국문 처리방침과 영문 Privacy Policy를 나눠 운영할 때 생기는 문제는 [처리방침 vs Privacy Policy](/posts/privacy-policy-two-documents/)에서 정리했습니다. 플랫폼 규제 전반을 점검하는 중이라면, 2026년 7월 7일 시행된 정보통신망법의 허위조작정보 규정이 [우리 서비스에도 적용되는지](/posts/misinformation-platform-duties/)도 함께 확인해 둘 만합니다.
## 자주 묻는 질문
### Q. 웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가요?
행태정보 자체만으로는 누구의 것인지 모를 수 있지만, 쿠키나 광고 식별자(GAID/IDFA) 같은 식별자와 결합되어 특정 개인을 알아볼 수 있게 되면 개인정보 보호법상 개인정보에 해당하고 수집·이용에 동의 등 적법 근거가 필요합니다. 개인정보위가 틱톡 사건에서 문제 삼은 것도 행태정보를 식별자와 함께 수집해 틱톡 계정과 연결한 구조였습니다.
### Q. 회원가입 때 맞춤형 광고 동의를 필수 동의에 함께 받아도 되나요?
안 됩니다. 개인정보위는 2026년 7월 22일 틱톡 의결에서, 서비스에 꼭 필요한 항목과 묶어 '필수 동의'로 받은 동의는 정보주체가 실질적 동의권을 행사할 수 없어 적법한 동의가 아니라고 보았습니다. 동의가 무효가 되면 그에 기댄 수집·이용은 적법 근거 없는 처리가 되어 법 제15조 제1항 위반이 됩니다. 서비스 제공에 필수적이지 않은 목적은 분리해 선택 동의로 받아야 합니다.
### Q. 해외 클라우드나 글로벌 분석 SaaS를 쓰는 것도 국외 이전인가요?
그렇습니다. 개인정보위는 국외 이전이 단순한 물리적 이동이 아니라 우리 보호법의 관할이 미치지 않는 범위로의 이전을 뜻하며, 계열사 간 이전이든 국외로의 제공·처리위탁·보관이든 모두 국외 이전 규정(법 제28조의8)을 지켜야 한다고 밝혔습니다. 해외 리전 클라우드, 글로벌 SaaS, 해외 광고 플랫폼 제공이 모두 점검 대상입니다.
이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 픽셀·SDK의 적법 근거는 수집 항목, 식별자 결합 여부, 이전 구조와 계약 관계에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.
## 참고 자료
- [개인정보보호위원회 보도자료 「개인정보위, 적법 근거 없이 개인정보 수집·이용한 틱톡·애플 제재」](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12330)(2026. 7. 23., 7. 22. 의결)
- [개인정보 보호법](https://www.law.go.kr/법령/개인정보보호법)(법률 제20897호, 2025. 10. 2. 시행) 제15조 제1항, 제22조, 제28조의8
- [위원회 결정문 게시판](https://www.pipc.go.kr/np/default/agenda.do?mCode=E030010000) — 의결서 공개 여부 확인
*본 글은 개인정보보호위원회 2026. 7. 23.자 보도자료 「[개인정보위, 적법 근거 없이 개인정보 수집·이용한 틱톡·애플 제재](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12330)」를 기준으로 작성되었으며, 향후 결정문 공개나 불복 절차에 따라 세부 내용이 달라질 수 있습니다.*
---
# [색인] 개인정보위 결정례 색인
- URL: https://datalaw.kr/decisions/
- 요약: 개인정보보호위원회 의결의 처분 이유와 절차를 정리한 페이지입니다. 위층은 처분 이유를 조문 단위로 해설한 의결의 색인이고, 아래층은 결정문 「이유」 절에서 과징금 가중·감경률과 그 사유를 그대로 뽑은 산정 근거 표입니다. 과징금 사건마다 중대성 등급, 1차·2차 조정에서 몇 %가 오르내렸는지, 무엇이 그 이유로 적혔는지를 볼 수 있고, 현행 과징금 부과기준으로 산정한 45개 사건과 옛 기준(정보통신서비스 특례·주민등록번호 유출 기준 등)으로 산정한 사건을 구분해 표시합니다. 절차 쪽으로는 무엇이 조사를 시작시켰는지(조사 착수 단서), 조사에서 의결까지 얼마나 걸리는지, 사전통지를 받고 며칠 만에 의견을 냈는지, 그리고 처분 서류가 송달되지 않아 공고로 갈음된 건까지 담습니다. 게시판에서 본문을 읽을 수 있는 제재 의결서 전수를 조회하려면 제재 추적기를 보십시오.
제재 의결 개인정보위 결정문 889 결정문 미공개 31 취소소송 20 방통위(2020년 이전) 348 금감원(신용정보법) 55 의결 안쪽 피심인 성격 427 절차 468 유출 사고 327 유출 통지 지연 88 피심인 항변 141 반복 처분 22 해외 사업자 46 함께 처분 116 형사 처벌 113 다른 자료 위반행위 유형 35 시정명령 내용 377 과징금 산정 근거 107 과징금·과태료 산정 계산기 유출 통지·신고 판정기 유출 통지문 56 분쟁조정 사례 771 유출 손해배상 판결 34 시행일 캘린더 25 인공지능기본법 조문 46 핵심 요약 — 이 페이지는 개인정보보호위원회 의결의 처분 이유를 두 층으로 정리한 것입니다. 위층은 처분 이유를 조문 단위로 해설한 의결의 색인이고(행의 단위는 글이 아니라 의결 1건입니다), 아래층은 결정문 「이유」 절에서 과징금 가중·감경률과 그 사유를 그대로 뽑은 산정 근거 표입니다. 해설이 아직 붙지 않은 건이라도 위원회가 무엇을 이유로 몇 %를 올리고 내렸는지는 아래 표에서 볼 수 있습니다. 게시판에서 본문을 읽을 수 있는 제재 의결서를 전수로 조회하려면 제재 추적기에 889건이 정리되어 있습니다(그 표에도 없는 것이 무엇인지는 그 페이지의 「이 표에 없는 것」 절에 적어 두었습니다).
처분 결과를 읽을 때 실무에서 필요한 것은 "무엇을 위반했는가"보다 "왜 그 결론이 나왔는가"인 경우가 많습니다. 같은 날 같은 소위원회에서 의결된 세 건의 처분이 시정조치, 과태료 900만 원, 과태료 420만 원과 공표 1년으로 갈리면 그 차이를 만든 것이 다음 사건의 기준이 됩니다.
아래 표는 그 비교가 가능하도록 의결 단위로 정리한 것입니다.
수록 의결 33건 · 해설 12편 · 최종 갱신 2026년 9월 13일
의결 사안 조문 처분 해설 2026-07-29 의결번호 미공개 전체회의(보도자료 기준, 결정문 미공개) 펨토셀 경유 16,647명 유출 — CPO 거버넌스 정비 시정명령 KT 제29조 과징금 539억 7,900만 원
시정명령
개선권고 본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일 이후 그대로 둬도 되나 2026-07-08 제2026-213-267호 제2소위원회 퇴사 직원이 PC 하드디스크와 홈페이지 관리자 계정을 반출 제29조(위반 아님)
제34조 제1항 시정조치 명령 과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가 퇴사자가 고객 데이터를 가지고 나갔습니다 — 우리는 피해자인데 왜 신고 의무자인가 위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가 2026-07-08 제2026-213-268호 제2소위원회 22명 유출 — 접근권한 차등 미부여, 접속기록 1년 미보존 제75조 제2항 제5호·제17호 과태료 900만 원
시정조치 명령(공표 없음) 과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가 위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가 2026-07-08 제2026-213-269호 제2소위원회 계약 해지 후 파기하지 않은 개인정보가 검색엔진에 노출(수탁사) 제75조 제2항 제5호·제17호 과태료 420만 원
결과 공표 1년 과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가 위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가 2026-05-27 제2026-009-064호 휴대전화 개통 시 안면인증 제도의 민감정보 처리 근거와 선택권 과학기술정보통신부 제7조의9 제1항 제3호·제4항 개선권고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2026-04-22 제2026-006-050호 안전조치의무 위반 및 주민등록번호 처리 제한 위반 KS한국고용정보 제29조
제24조의2 과징금 합계 35억 3,700만 원 과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유 2026-04-22 제2026-007-052호 위반상태 2년 초과, 중기업 해당으로 합산 감경 듀오정보 제29조 과징금 11억 9,700만 원 과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유 2026-03-11 사건번호 2025조일0053-01 전체회의(제4회) 온라인 결제 로그에 주민등록번호를 평문 기록 — 45만 명 유출 롯데카드 제24조의2 제1항·제2항 과징금 96억 2,000만 원
과태료 480만 원
시정명령
공표명령 적법하게 수집한 주민등록번호를 로그에 남겼습니다 — 그것이 왜 별개의 위반인가 본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일 이후 그대로 둬도 되나 2026-02-11 의결번호 미공개 제3회 전체회의(의결서 미공개, 보도자료 기준) 식음료 분야 실태조사 — 유출 사고 없이 아동 동의·목적 외 이용 위반 ㈜비케이알·㈜엠지씨글로벌 등 식음료 분야 10개사 제22조의2 제1항
제18조 과징금 합계 15억 6,600만 원
과태료 1억 1,130만 원
시정·공표명령 우리 앱은 아동용이 아닙니다 — 그런데 왜 아동 개인정보로 과징금 9억 2천만 원이 나왔나 2025-09-10 제2025-217-351호 사건번호 2024조일008201 등 3건 제2소위원회 유출 정보주체와 합의금 지급이 과태료 감경 사유에 기재되지 않음 숨수면의원 제29조
제34조 제1항 과태료 1,350만 원 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2025-08-27 제2025-018-243호 사건번호 2025조이0056 전체회의 매우 중대한 위반행위에서 피해 회복 조치 등을 포함해 2차 조정 50% 감경 에스케이텔레콤 제29조
제31조
제34조 과징금 1,347억 9,100만 원
과태료 960만 원 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2025-06-25 제2025-014-047호 AI 학습데이터 플랫폼의 API 취약점 방치와 유출 통지·신고 지연 TELUS International AI, Ltd. 제29조
제34조 제1항·제3항 과징금 8,200만 원
과태료 720만 원
시정명령 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2025-05-14 제2025-011-028호 AI 디지털교과서 통합포털의 처리 근거·고지와 학습데이터셋 76종의 목적 불명확 한국교육학술정보원 제3조
제15조 제1항 시정권고·개선권고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2025-05-14 제2025-011-035호 판매자 신원확인에서 법적 근거 없이 주민등록번호를 처리 Elementary Innovation Pte. Ltd. 제24조의2 제1항 과징금 4억 9,000만 원
시정명령·개선권고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2025-04-23 제2025-009-026호 한국어 처리방침 미공개와 국외이전 적법 근거 부재, 프롬프트 입력 정보의 AI 학습 Hangzhou DeepSeek Artificial Intelligence Co., Ltd. 제30조 제1항·제2항
제28조의8 제1항 시정권고·개선권고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2025-04-23 제2025-208-189호 사건번호 2023조일0092 등 4건 제2소위원회 피해 보상금 지급을 과태료 피해구제 감경으로 반영 언더독스 제24조
제29조 과태료 210만 원 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2025-04-09 제2025-008-024호 사건번호 2024조이0081, 2023조이0014 전체회의 부담능력 감경(85%)에서 피해보상 실시를 함께 고려 클래스유 제29조
제21조
제34조 과징금 5,360만 원
과태료 720만 원 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2025-02-12 제2025-203-66호 제2소위원회 유출 대상자 전원 3억 원 상당 보상이 과태료 감경 사유에 기재되지 않음 미리디 제29조 과태료 270만 원 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2024-08-28 제2024-014-195호 사건번호 2023조이0124 등 4건 전체회의 유출 가능성 있는 전체 이용자 피해 보상을 구 고시 제9조 제1항 제2호로 30% 감경 제29조 과징금(액수 비공개)
과태료 300만 원 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2024-06-12 제2024-010-184호 통화녹음·요약 AI의 국외이전 근거 부재와 접속기록 미보관 제28조의8 제1항
제29조 시정권고·개선권고·경고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2024-06-12 제2024-010-185호 이미지 생성형 AI의 외부 SDK 점검 누락과 서버 전송 투명성 제3조 제4항
제4조 제1호 개선권고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2024-04-24 제2024-007-181호 캠핑카 렌트 사업 양수 후 이전 사실을 지체 없이 알리지 않음(양수인) 제27조 제2항 외 — M&A에서 고객 개인정보는 두 번 넘어갑니다 — 실사 때는 제17조, 클로징 때는 제27조 2024-03-27 제2024-006-163호 전체회의 크리덴셜 스터핑·XSS로 직원 세션정보 탈취, 95,171명 유출(인터넷강의 사이트) 제29조
제34조 제1항 과징금 6억 1,300만 원
공표명령 공표명령 집행정지 인용(서울행정법원 2024아12120) 후 본안 원고 패소 확정(2024구합70753, 2025누8058) 과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가 2024-03-27 제2024-006-169호 LLM 사업자의 공개 데이터 학습과 이용자 입력 데이터의 인적 검토 제3조
제15조 제1항 개선권고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2023-10-25 제2023-017-232호 사건번호 2023조이0020 등 3건 전체회의 유심 무료 교체 보상안을 게시했으나 감경 사유에 기재되지 않음 와이엘랜드 제29조
제21조
제39조의4 과징금 1억 5,098만 7,000원
과태료 1,020만 원 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2023-07-26 제2023-013-157호 ChatGPT 이용자 개인정보 유출을 24시간 경과 후 신고 제39조의4 제1항 과태료 360만 원
개선권고 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2023-03-08 제2023-004-034호 사건번호 2022조이0069 등 4건 전체회의 개인정보보호배상책임보험 가입은 법상 의무라 피해구제 감경 사유로 인정하지 않음 제29조
제39조의4 과징금(액수 비공개)
과태료 720만 원 유출 과징금도 보험으로 처리되나요? 과징금 특약과 D&O 면책 조항 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 2022-11-16 의결번호 미공개 제18회 전체회의 같은 거래에서 이전받으면서 통지를 하지 않음(양수인) 정○○(양수인) 제27조 제2항 과태료 100만 원 M&A에서 고객 개인정보는 두 번 넘어갑니다 — 실사 때는 제17조, 클로징 때는 제27조 2022-11-16 의결번호 미공개 제18회 전체회의 영업 전부를 양도하면서 정보주체에게 사전 통지를 하지 않음(양도인) 최○○(양도인) 제27조 제1항 과태료 100만 원 M&A에서 고객 개인정보는 두 번 넘어갑니다 — 실사 때는 제17조, 클로징 때는 제27조 2022-04-27 제2022-007-046호 출입국 안면 이미지를 AI 개발 업체에 제공하면서 위탁 내용과 수탁자를 공개하지 않음 제26조 제2항 과태료 100만 원 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2022-04-13 제2022-006-034호 안면인식 열화상 카메라와 지문인식 근태관리로 직원의 얼굴·지문 정보를 동의 없이 수집 제15조 제1항 과태료 500만 원
공표 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2021-08-25 제2021-013-101호 동의 없이 머신러닝으로 얼굴인식 템플릿을 생성·수집 Facebook Inc.·Facebook Ireland Ltd. 정보통신망법 제22조 제1항 등 과징금 44억 8,300만 원
19억 6,000만 원
과태료
시정명령·공표 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 2021-04-28 제2021-007-072호 전체회의 수집 목적 외로 카카오톡 대화문장을 AI 챗봇 이루다의 개발·운영에 이용 ㈜스캐터랩 제18조 제1항
제22조
제21조 등 과징금 5,550만 원
과태료 4,780만 원
시정명령·공표 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 이용자가 찍은 운동 영상으로 우리 AI를 학습시켜도 되나요? 얼굴이 나오는 영상의 동의 설계 무엇을 해서 처분을 받았는가 — 위반행위 「제29조 위반」이라는 말은 무엇이 문제였는지를 알려주지 않습니다. 접근통제가 없었던 것과 비밀번호를 평문으로 둔 것과 접속기록을 안 남긴 것이 모두 제29조입니다. 그 구분은 결정문 「위법성 판단」 절에 있고, 위원회가 절 표제에 직접 적어 둡니다.
그 절을 전수로 옮겨 유형별로 모은 표는 제재 위반행위 — 결정문 「위법성 판단」 절 전수에 있습니다. 유형마다 결정문이 쓴 표제 전부와 그 유형이 인정된 의결 목록이 붙어 있습니다. 이 페이지는 그다음 질문, 왜 그 액수가 됐는지를 담습니다.
과징금이 왜 그 액수가 됐는가 — 산정 근거 과징금 액수는 위원회가 한 번에 정하는 것이 아니라 단계를 밟습니다. 기준금액을 잡고, 1차 조정에서 위반의 기간·횟수 같은 사정으로 올리거나 내리고, 2차 조정에서 사업자의 사후 대응을 반영해 다시 내린 뒤, 마지막으로 부과 과징금을 결정합니다. 각 단계에서 몇 %를 조정했고 그 이유가 무엇인지는 결정문의 「이유」 절에 그대로 적혀 있습니다.
아래 표는 공개된 결정문에서 그 부분만 뽑은 것입니다. 해설 글이 아직 붙지 않은 사건도 실려 있습니다 — 그 사건의 감경 사유는 해설이 없어도 확인할 수 있어야 하기 때문입니다. 그 단계를 내 사건의 매출액에 대입해 보려면 과징금·과태료 산정 계산기를 쓰십시오. 이 표의 사건에서 인정된 등급·조정률을 그대로 불러와 계산할 수도 있습니다.
107산정 근거가 확인된 사건 45그중 현행 과징금 부과기준 사건 139과징금 부과 사건 전체 37현행 기준 2차 조정에서 「조사 협력」이 감경으로 인정 결정문 기준일 2026-09-11 · 출처 개인정보위 결정문 「이유」 절 (기계 추출) · 과징금이 부과된 139건(액수를 가려 공개한 건 포함) 가운데 조정 절이 확인되는 것이 109건, 그중 가중·감경률까지 적혀 있는 107건을 실었습니다. 나머지는 결정문이 정액 기준 등으로 백분율 문언을 쓰지 않는 형식이라 표에 없다는 것이 「감경이 인정되지 않았다」는 뜻이 아닙니다. 이 가운데 62건은 옛 기준으로 산정한 사건입니다(舊 정보통신서비스 특례 과징금 기준 42건 · 舊 방송통신위원회 과징금 기준 1건 · 舊 주민등록번호 유출 과징금 기준 19건). 옛 기준은 단계 이름과 감경 방식이 달라 사건 칸에 기준을 적었고, 위 타일의 사유 수와 아래 유형별 비교는 현행 기준 45건만 셉니다. 위반 조문이 확정된 조정 단위는 109/111개입니다. 사건조문·중대성1차 조정2차 조정해설 ㈜미소테크 2026-05-27 · 제2026-010-071호 원문 ↗ 과징금 8,250만 원 피심인 주장 검토의견: 불수용 2회, 일부수용 1회, 수용 1회 제29조 매우 중대한 위반행위 +50% 위반기간 2년 초과 −10% · −30% 이득 없음, 중기업·소기업 해당, 비영리법인·공공 −20% 시정 완료, 조사 협력 준비 중 국립농업과학원 2026-05-27 · 제2026-010-069호 원문 ↗ 과징금 2,310만 원 피심인 주장 검토의견: 불수용 2회 제29조 보통 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료, 조사 협력 준비 중 농촌진흥청 2026-05-27 · 제2026-010-068호 원문 ↗ 과징금 1억 6,800만 원 피심인 주장 검토의견: 불수용 1회, 수용 1회 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료, 조사 협력 준비 중 행정안전부 2026-05-27 · 제2026-010-066호 원문 ↗ 과징금 2억 7,300만 원 피심인 주장 검토의견: 불수용 3회, 수용 1회, 일부수용 1회 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료, 조사 협력 준비 중 보람상조피플 주식회사 2026-05-13 · 제2026-009-060호 원문 ↗ 과징금 250만 원 피심인 주장 검토의견: 일부수용 2회, 수용 1회 제26조 약한 위반행위 개인정보 유형 하, 고의·과실 하, 부당성 하 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료 준비 중 보람상조라이프 주식회사 2026-05-13 · 제2026-009-059호 원문 ↗ 과징금 480만 원 피심인 주장 검토의견: 일부수용 2회, 수용 1회 제26조 약한 위반행위 개인정보 유형 하, 고의·과실 하, 부당성 하 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료 준비 중 보람상조리더스 주식회사 2026-05-13 · 제2026-009-058호 원문 ↗ 과징금 420만 원 피심인 주장 검토의견: 일부수용 2회, 수용 1회 제26조 약한 위반행위 개인정보 유형 하, 고의·과실 하, 부당성 하 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료 준비 중 보람상조개발 주식회사 2026-05-13 · 제2026-009-057호 원문 ↗ 과징금 5억 3,100만 원 피심인 주장 검토의견: 불수용 1회, 일부수용 1회 제29조 보통 위반행위 개인정보 유형 하, 고의·과실 중, 부당성 중 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료 준비 중 재단법인 금릉공원묘원 2026-04-22 · 제2026-007-053호 원문 ↗ 과징금 5,420만 원 사건 합계 · 조문 2건 중 1번째 제29조 매우 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중, 피해규모 중 +50% 위반기간 2년 초과 −80% 이득 없음, 비영리법인·공공 −30% 시정 완료, 조사 협력 준비 중 재단법인 금릉공원묘원 2026-04-22 · 제2026-007-053호 원문 ↗ 과징금 5,420만 원 사건 합계 · 조문 2건 중 2번째 제24조의2 매우 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중, 피해규모 중 +50% 위반기간 2년 초과 −80% 이득 없음, 비영리법인·공공 −30% 시정 완료, 조사 협력 준비 중 듀오정보 주식회사 2026-04-22 · 제2026-007-052호 원문 ↗ 과징금 11억 9,700만 원 제24조의2 매우 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중, 피해규모 상 +50% · +50% 위반기간 2년 초과 −55% · −55% 이득 없음, 중기업·소기업 해당 −30% · −30% 시정 완료, 조사 협력 과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유 주식회사 케이에스한국고용정보 2026-04-22 · 제2026-006-050호 원문 ↗ 과징금 35억 3,700만 원 사건 합계 · 조문 2건 중 1번째 제29조 매우 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중, 피해규모 상 +50% 위반기간 2년 초과 −30% 이득 없음 −40% 시정 완료, 조사 협력, 그 밖에 줄일 필요 과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유 주식회사 케이에스한국고용정보 2026-04-22 · 제2026-006-050호 원문 ↗ 과징금 35억 3,700만 원 사건 합계 · 조문 2건 중 2번째 제24조의2 중대한 위반행위 개인정보 유형 상, 고의·과실 하, 부당성 중, 피해규모 중 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료, 조사 협력 과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유 Cristie, Manson & Woods, Ltd 2026-04-08 · 제2026-006-051호 원문 ↗ 과징금 2억 8,000만 원 사건 합계 · 조문 2건 중 1번째 피심인 주장 검토의견: 일부수용 2회 제24조의2 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중, 피해규모 하 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료 준비 중 Cristie, Manson & Woods, Ltd 2026-04-08 · 제2026-006-051호 원문 ↗ 과징금 2억 8,000만 원 사건 합계 · 조문 2건 중 2번째 피심인 주장 검토의견: 일부수용 2회 제29조 매우 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중, 피해규모 중 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료 준비 중 강북구청 2026-03-25 · 제2026-005-025호 원문 ↗ 과징금 3억 7,800만 원 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 조사 협력 준비 중 공무원연금공단 2026-03-25 · 제2025-026-305호 원문 ↗ 과징금 5억 3,200만 원 제24조제3항 매우 중대한 위반행위 +25% 위반기간 1년 초과 −30% 이득 없음 −20% 시정 완료, 조사 협력, 인증 보유(ISMS-P 등) 준비 중 롯데카드 주식회사 2026-03-11 · 제2026-004-023호 원문 ↗ 과징금 96억 2,000만 원 피심인 주장 검토의견: 불수용 3회, 일부수용 2회 제24조의2 매우 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −20% 시정 완료, 조사 협력, 인증 보유(ISMS-P 등) 준비 중 엔에이치엔커머스㈜ 2026-01-28 · 제2026-002-004호 원문 ↗ 과징금 870만 원 제29조 보통 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료, 조사 협력 준비 중 한국연구재단 2026-01-28 · 제2026-002-003호 원문 ↗ 과징금 7억 300만 원 제29조 매우 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 조사 협력 준비 중 K Games, Inc 2025-12-10 · 제2025-026-308호 원문 ↗ 과징금 1억 9,451만 9,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 (사)부산국제금융진흥원 2025-12-10 · 제2025-026-307호 원문 ↗ 과징금 9,550만 원 제29조 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중, 피해규모 하 +50% 위반기간 2년 초과 −80% 이득 없음, 비영리법인·공공 −30% 시정 완료, 조사 협력 준비 중 국립항공박물관 2025-12-10 · 제2025-026-306호 원문 ↗ 과징금 9,800만 원 제24조제3항 중대한 위반행위 +50% 위반기간 2년 초과 −30% · −50% 이득 없음 −30% 조사 협력 준비 중 ㈜바텍엠시스 2025-11-26 · 제2025-024-300호 원문 ↗ 과징금 5,520만 원 제29조 중대한 위반행위 개인정보 유형 하, 고의·과실 중, 부당성 중, 피해규모 상 +50% · +30% 위반기간 2년 초과 −30% 시정 완료, 조사 협력 준비 중 ㈜하스 2025-11-26 · 제2025-024-299호 원문 ↗ 과징금 1억 3,300만 원 제29조 중대한 위반행위 개인정보 유형 하, 고의·과실 중, 부당성 중, 피해규모 중 +50% 위반기간 2년 초과 −55% 이득 없음, 중기업·소기업 해당 −30% 시정 완료, 조사 협력 준비 중 법무법인(유)로고스 2025-11-20 · 제2025-023-296호 원문 ↗ 과징금 5억 2,300만 원 제29조 매우 중대한 위반행위 고의·과실 중, 부당성 상 +50% 위반기간 2년 초과 −55% 이득 없음, 중기업·소기업 해당, 비영리법인·공공 −10% 시정 완료, 조사 협력 준비 중 ㈜레저플러스 2025-11-20 · 제2025-023-295호 원문 ↗ 과징금 6,120만 원 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −55% 이득 없음, 중기업·소기업 해당 −30% 시정 완료, 조사 협력 준비 중 ㈜이젠 2025-11-20 · 제2025-023-293호 원문 ↗ 과징금 6,060만 원 제29조 매우 중대한 위반행위 +50% 위반기간 2년 초과 −55% 이득 없음, 중기업·소기업 해당 −30% 시정 완료, 조사 협력 준비 중 비공개 2025-10-22 · 제2025-022-256호 원문 ↗ 과징금 4억 6,300만 원 제29조 매우 중대한 위반행위 +65% 위반기간 2년 초과 −55% 이득 없음, 중기업·소기업 해당 −20% 시정 완료, 조사 협력 준비 중 (재)전남테크노파크 2025-07-23 · 제2025-016-236호 원문 ↗ 과징금 9,800만 원 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −30% · −50% 이득 없음 −30% 조사 협력 준비 중 ㈜해성디에스 2025-07-23 · 제2025-016-235호 원문 ↗ 과징금 3억 4,300만 원 제29조 매우 중대한 위반행위 −30% 이득 없음 −30% 시정 완료, 조사 협력 준비 중 Qookka Entertainment Limited 2025-07-23 · 제2025-016-233호 원문 ↗ 과징금 9,370만 원 제24조의2 보통 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 하 −30% 이득 없음 — 준비 중 TELUS International AI, Ltd 2025-06-25 · 제2025-014-047호 원문 ↗ 과징금 8,200만 원 제29조 보통 위반행위 개인정보 유형 하, 고의·과실 중, 부당성 중 −30% 이득 없음 −30% 시정 완료 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 Elementary Innovation Pte. Ltd 2025-05-14 · 제2025-011-035호 원문 ↗ 과징금 4억 9,000만 원 제24조의2 매우 중대한 위반행위 — −30% 시정 완료 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 Whaleco Technology Limited 2025-05-14 · 제2024-013-193호 원문 ↗ 과징금 8억 7,900만 원 제28조의8 중대한 위반행위 +25% 위반기간 1년 초과 +30% 조사 방해 준비 중 ㈜케이티알파 2025-04-09 · 제2025-008-025호 원문 ↗ 과징금 491만 5,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 보통 위반행위 +25% 위반기간 1년 초과 −50% 최근 3년 처분 없음 −30% 조사 협력, 인증 보유(ISMS-P 등), 자진 신고 준비 중 ㈜클래스유 2025-04-09 · 제2025-008-024호 원문 ↗ 과징금 5,360만 원 제29조 중대한 위반행위 고의·과실 중 +50% 위반기간 2년 초과 −45% 이득 없음, 중기업·소기업 해당 −30% 시정 완료, 조사 협력 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 ㈜동행복권 2025-01-22 · 제2025-002-005호 원문 ↗ 과징금 5억 300만 원 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% · −50% 조사 협력, 인증 보유(ISMS-P 등) 준비 중 에스케이스토아㈜ 2025-01-22 · 제2024-011-187호 원문 ↗ 과징금 14억 3,200만 원 제29조 보통 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −50% 시정 완료, 조사 협력 준비 중 법원행정처 2025-01-08 · 제2025-001-001호 원문 ↗ 과징금 2억 700만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 +20% 세부평가 점수 −25% 인증 보유(ISMS-P 등), 세부평가 점수 준비 중 비공개 2024-11-13 · 제2024-019-245호 원문 ↗ 과징금 4,280만 원 제29조 보통 위반행위 +50% 위반기간 2년 초과 −80% 이득 없음 −30% 시정 완료, 조사 협력 준비 중 비공개 2024-11-13 · 제2024-019-244호 원문 ↗ 과징금 1억 9,300만 원 제24조제3항 중대한 위반행위 +50% 위반기간 2년 초과 −80% 이득 없음 −15% 조사 협력 준비 중 비공개 2024-11-04 · 제2024-018-242호 원문 ↗ 과징금 959만 1,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2024-11-04 · 제2024-018-241호 원문 ↗ 과징금 5,110만 원 제29조 중대한 위반행위 −30% · −15% 이득 없음, 중기업·소기업 해당 −40% 시정 완료, 조사 협력, 그 밖에 줄일 필요 준비 중 ㈜일학 2024-10-23 · 제2024-017-240호 원문 ↗ 과징금 1,800만 원 제29조 중대한 위반행위 개인정보 유형 중, 고의·과실 중, 부당성 중, 피해규모 중 +50% 위반기간 2년 초과 −80% 이득 없음, 중기업·소기업 해당, 비영리법인·공공 −30% 시정 완료, 조사 협력 준비 중 ㈜네오팜 2024-10-23 · 제2024-017-239호 원문 ↗ 과징금 1억 517만 3,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2024-09-25 · 제2024-016-235호 원문 ↗ 과징금 3억 7,900만 원 제28조의8 보통 위반행위 개인정보 유형 하, 고의·과실 중, 부당성 중 +50% 위반기간 2년 초과 −30% 조사 협력 준비 중 비공개 2024-09-25 · 제2024-016-234호 원문 ↗ 과징금 7억 2,500만 원 사건 합계 · 조문 2건 중 1번째 제23조 매우 중대한 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 중 +25% 위반기간 1년 초과 −30% 조사 협력 준비 중 비공개 2024-09-25 · 제2024-016-234호 원문 ↗ 과징금 7억 2,500만 원 사건 합계 · 조문 2건 중 2번째 제28조의8 보통 위반행위 개인정보 유형 상, 고의·과실 중, 부당성 하 — −30% 조사 협력 준비 중 비공개 2024-09-25 · 제2024-016-233호 원문 ↗ 과징금 2억 2,400만 원 제18조 매우 중대한 위반행위 개인정보 유형 하, 고의·과실 상, 부당성 상, 피해규모 중 +50% 위반기간 2년 초과 −15% — 준비 중 한국사회복지협의회 2024-09-25 · 제2024-016-232호 원문 ↗ 과징금 4억 8,300만 원 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 시정 완료, 조사 협력 준비 중 비공개 2024-08-28 · 제2024-014-198호 원문 ↗ 과징금 329만 8,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 보통 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2024-08-28 · 제2024-014-195호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 보통 위반행위 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 비공개 2024-07-24 · 제2024-013-192호 원문 ↗ 과징금 19억 7,800만 원 제28조의8 중대한 위반행위 +50% 위반기간 2년 초과 +20% 조사 방해 −30% 시정 완료 준비 중 비공개 2024-06-26 · 제2024-011-188호 원문 ↗ 과징금 6,778만 8,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2024-05-22 · 제2024-009-183호 원문 ↗ 과징금 151억 4,196만 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −40% 조사 협력 준비 중 (주)골프존 2024-05-08 · 제2024-008-182호 원문 ↗ 과징금 75억 400만 원 피심인 주장 검토의견: 불수용 2회, 일부수용 1회, 수용 1회 제29조 매우 중대한 위반행위 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 조사 협력 준비 중 비공개 2024-03-27 · 제2024-006-163호 원문 ↗ 과징금 6억 1,300만 원 제29조 개인정보 유형 하, 고의·과실 중, 부당성 하, 피해규모 하 +50% 위반기간 2년 초과 −30% 이득 없음 −30% 조사 협력 과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가 TAG HEUER branch of LVMH Swiss Manufactures SA 2024-02-14 · 제2024-003-030호 원문 ↗ 과징금 1억 2,600만 원 舊 정보통신서비스 특례 과징금 기준 피심인 주장 검토의견: 불수용 2회, 일부수용 1회 제29조 중대한 위반행위 −50% 최근 3년 처분 없음 −10% 조사 협력 준비 중 ㈜스피드옥션 2023-12-13 · 제2023-020-244호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 ㈜코다스디자인 2023-12-13 · 제2023-020-243호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-11-08 · 제2023-018-235호 원문 ↗ 과징금 1,250만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −50% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-11-08 · 제2023-018-234호 원문 ↗ 과징금 1,625만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −35% 세부평가 점수 −50% 세부평가 점수 준비 중 주식회사 와이엘랜드 2023-10-25 · 제2023-017-232호 원문 ↗ 과징금 1억 5,098만 7,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 ㈜오브콜스 2023-10-25 · 제2023-017-231호 원문 ↗ 과징금 3,371만 3,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 주식회사 자동차공임나라 2023-10-25 · 제2023-017-230호 원문 ↗ 과징금 1,250만 9,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +25% 위반기간 1년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-10-25 · 제2023-017-216호 원문 ↗ 과징금 9억 600만 원 舊 정보통신서비스 특례 과징금 기준 피심인 주장 검토의견: 불수용 1회, 일부수용 1회 제29조 보통 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −10% 조사 협력 준비 중 신일전자㈜ 2023-10-11 · 제2023-016-211호 원문 ↗ 과징금 2억 2,400만 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 슈나이더일렉트릭코리아 주식회사 2023-10-11 · 제2023-016-210호 원문 ↗ 과징금 799만 6,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-10-11 · 제2023-016-207호 원문 ↗ 과징금 3,750만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −50% 세부평가 점수 −25% 인증 보유(ISMS-P 등), 세부평가 점수 준비 중 비공개 2023-10-11 · 제2023-016-203호 원문 ↗ 과징금 5,750만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 중대한 위반행위 −50% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-179호 원문 ↗ 과징금 1,250만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −50% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-178호 원문 ↗ 과징금 1,250만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −50% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-177호 원문 ↗ 과징금 1,250만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −50% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-176호 원문 ↗ 과징금 1,250만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −50% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-175호 원문 ↗ 과징금 1,625만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −35% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-174호 원문 ↗ 과징금 1,625만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −35% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-173호 원문 ↗ 과징금 1,625만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −35% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-172호 원문 ↗ 과징금 1,625만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −35% 세부평가 점수 −50% 인증 보유(ISMS-P 등), 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-171호 원문 ↗ 과징금 1,625만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −35% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-170호 원문 ↗ 과징금 2,000만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −20% 세부평가 점수 −50% 인증 보유(ISMS-P 등), 세부평가 점수 준비 중 비공개 2023-07-26 · 제2023-013-155호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 정보통신망법 제22조 중대한 위반행위 +50% 위반기간 2년 초과 — 준비 중 비공개 2023-07-26 · 제2023-013-154호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 정보통신망법 제22조 중대한 위반행위 +50% 위반기간 2년 초과, 위반 횟수 — 준비 중 ㈜엘지유플러스 2023-07-12 · 제2023-012-153호 원문 ↗ 과징금 68억 45만 2,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −30% 자진 신고 준비 중 ㈜자비스앤빌런즈 2023-06-28 · 제2023-011-116호 원문 ↗ 과징금 8억 5,410만 6,000 원 舊 정보통신서비스 특례 과징금 기준 제17조 중대한 위반행위 +50% · +50% · +50% 위반기간 2년 초과 −50% · −50% · −50% 최근 3년 처분 없음 −20% · −20% · −20% 조사 협력, 자진 신고 준비 중 비공개 2023-06-28 · 제2023-011-114호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 보통 위반행위 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-06-28 · 제2023-006-056호 원문 ↗ 과징금 11억 3,178만 6,000 원 舊 정보통신서비스 특례 과징금 기준 제29조 보통 위반행위 −50% 최근 3년 처분 없음 — 준비 중 비공개 2023-06-14 · 제2023-010-108호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-06-14 · 제2023-010-107호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 보통 위반행위 −50% 최근 3년 처분 없음 −50% 조사 협력, 자진 신고 준비 중 비공개 2023-05-10 · 제2023-008-074호 원문 ↗ 과징금 2,500만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −50% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-05-10 · 제2023-008-072호 원문 ↗ 과징금 7,475만 원 舊 주민등록번호 유출 과징금 기준 귀속 미확정 중대한 위반행위 −35% 세부평가 점수 −50% 세부평가 점수 준비 중 비공개 2023-04-26 · 제2023-007-068호 원문 ↗ 과징금 4,875만 원 舊 주민등록번호 유출 과징금 기준 제24조제3항 −35%사유 문언 미분류 −25% 조사 협력, 최근 3년 처분 없음 준비 중 비공개 2023-04-12 · 제2023-006-065호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제22조제6항 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −10% 조사 협력 준비 중 비공개 2023-04-12 · 제2023-006-064호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제22조제6항 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −10% 조사 협력 준비 중 비공개 2023-04-12 · 제2023-006-063호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제22조제6항 중대한 위반행위 +25% 위반기간 1년 초과 −50% 최근 3년 처분 없음 −10% 조사 협력 준비 중 비공개 2023-04-12 · 제2023-006-062호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제22조제6항 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −10% 조사 협력 준비 중 비공개 2023-04-12 · 제2023-006-059호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 — −20% 조사 협력, 자진 신고 준비 중 비공개 2023-04-12 · 제2023-006-058호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 보통 위반행위 +50% 위반기간 2년 초과 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-03-08 · 제2023-004-036호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-03-08 · 제2023-004-035호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2023-03-08 · 제2023-004-034호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 유출 과징금도 보험으로 처리되나요? 과징금 특약과 D&O 면책 조항
유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경 Google Limited Liability Company 2022-09-14 · 제2022-014-104호 원문 ↗ 과징금 692억 4,100만 원 舊 정보통신서비스 특례 과징금 기준 제39조의3제1항 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 — 준비 중 비공개 2022-07-13 · 제2022-012-087호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2022-05-11 · 제2022-008-049호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 제29조 중대한 위반행위 −50% 최근 3년 처분 없음 — 준비 중 비공개 2022-05-11 · 제2022-008-048호 원문 ↗ 과징금 액수 비공개 舊 정보통신서비스 특례 과징금 기준 정보통신망법 제28조 보통 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 — 준비 중 성보공업(주) 2022-03-23 · 제2022-005-018호 원문 ↗ 과징금 1,250만 원 舊 주민등록번호 유출 과징금 기준 제24조의2제2항 −50%사유 문언 미분류 −50% 조사 협력, 최근 3년 처분 없음 준비 중 ㈜하우빌드 2022-03-23 · 제2022-005-017호 원문 ↗ 과징금 590만 원 舊 정보통신서비스 특례 과징금 기준 귀속 미확정 −50% 최근 3년 처분 없음 −30% 조사 협력, 자진 신고 준비 중 Zynga Game Ireland Limited 2022-03-23 · 제2022-005-015호 원문 ↗ 과징금 530만 원 舊 방송통신위원회 과징금 기준 정보통신망법 제28조제1항 보통 위반행위 −50% 최근 3년 처분 없음 −30% 조사 협력, 자진 신고 준비 중 비공개 2022-02-23 · 제2022-004-013호 원문 ↗ 과징금 1억 2,979만 원 舊 정보통신서비스 특례 과징금 기준 제23조 매우 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 조사 협력, 자진 신고 준비 중 비공개 2021-08-25 · 제2021-013-103호 원문 ↗ 과징금 2억 2,400만 원 舊 정보통신서비스 특례 과징금 기준 제39조의3제1항 중대한 위반행위 +50% 위반기간 2년 초과 −50% 최근 3년 처분 없음 −20% 시정 완료, 조사 협력 준비 중 Facebook Incorporation 2021-08-25 · 제2021-013-101호 원문 ↗ 과징금 64억 4,300만 원 舊 정보통신서비스 특례 과징금 기준 정보통신망법 제22조제1항 보통 위반행위 +25% 위반기간 1년 초과 −50% · −50% 최근 3년 처분 없음 — 개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건 이 표를 읽는 방법 1차 조정과 2차 조정은 성격이 다릅니다. 1차는 위반행위 자체의 사정(위반기간 2년 초과 등)을, 2차는 위반 이후의 사정(자진 시정, 조사 협력, 인증 보유 등)을 봅니다. 2차 조정 칸은 사고가 난 뒤에 회사가 한 일이 실제로 얼마나 반영됐는지를 보여 주는 자리입니다. 옛 기준으로 산정한 사건은 단계 이름과 감경 방식이 다릅니다. 2023년 9월 법 개정 전의 정보통신서비스 제공자 특례 사건은 「필수적 가중·감경」과 「추가적 가중·감경」을 거치고, 주민등록번호 유출 사건은 세부평가 점수표로 1차·2차 조정 비율을 정합니다. 표에서는 앞 단계를 1차 칸에, 뒤 단계를 2차 칸에 넣고 사건 칸에 기준을 적었습니다. 이 사건들의 감경은 「최근 3년 처분 없음」 50%처럼 정해진 비율이거나 점수로 정해지므로, 바로 위 설명이 그대로 들어맞지 않습니다. 표 위의 사유 수와 아래 유형별 비교는 현행 기준 사건만 셉니다. 2차 조정에도 가중이 있습니다. 자료 제출 요구를 거부하는 등 조사를 방해하면 2차 조정에서 가산되고, 표에는 「+」로 적었습니다. 마지막 단계(부과과징금 결정)의 감경은 이 표에 없습니다. 부담 능력이나 피해 정도를 이유로 한 추가 감경은 1·2차 조정과 성격이 달라 싣지 않았습니다. 그래서 표의 율만으로 최종 금액을 거꾸로 계산하면 맞지 않을 수 있습니다. 한 사건이 여러 줄일 수 있습니다. 한 의결서가 제29조 위반과 제24조의2 위반에 각각 과징금을 매기면 조정도 조문마다 따로 돌기 때문입니다. 금액은 그 사건의 합계를 각 줄에 그대로 적었으므로, 줄을 더하면 안 됩니다. 한 칸에 율이 둘 이상 적힌 줄이 있습니다. 결정문이 두 조문의 조정을 한 절에 몰아 쓴 형식이어서 조문별로 나누지 못한 것입니다. 그 줄의 조문 표시는 절의 대표 조문입니다. 사유는 결정문 문언을 분류한 라벨입니다. 예컨대 「이득 없음」은 "위반행위로 경제적·비경제적 이득을 취하지 않은 점"류의 문언을, 「조사 협력」은 "조사에 적극 협력하고 행위사실을 인정한 점"류의 문언을 묶은 것입니다. 정확한 표현은 원문에서 확인하십시오. 피심인 칸이 위쪽 색인과 다를 수 있습니다. 이 표는 의결서 본문만 기계로 읽으므로 위원회가 비실명 처리한 건은 「비공개」로 남습니다. 반면 위쪽 해설 색인에는 위원회가 보도자료로 상호를 공표한 건이면 그 이름이 적혀 있습니다. 같은 사건에서 두 칸이 갈리는 것은 그 때문이며, 어느 쪽도 위원회가 공개하지 않은 것을 추정해 적지는 않습니다. 「해설 준비 중」은 아직 글을 쓰지 않았다는 뜻이지, 그 사건에 특별한 쟁점이 없다는 뜻이 아닙니다. 해설을 붙이는 대로 그 칸이 채워집니다. 4단계 산정 구조 자체와 감경 사유의 실제 인정 범위는 과징금이 '전체 매출액’으로 바뀐 뒤 실제로 인정된 감경 사유에 정리해 두었습니다. 내려받기와 출처 표기 산정 근거 표 전량을 CSV 파일로 내려받을 수 있습니다: pipc-fine-mitigation.csv (UTF-8, Excel에서 바로 열립니다). 표와 같이 한 줄이 조문 하나이고, 가중·감경률과 그 사유를 1차·2차, 가중·감경으로 나눠 각각 다른 열에 담았습니다. 과징금 칸은 사건 합계를 줄마다 반복한 것이라 줄을 더하면 안 됩니다. 파일 첫 줄의 고지에 이 표가 과징금 부과 사건 중 어디까지를 담는지(분모)를 함께 적어 두었습니다. 출처를 밝히시면 기사·보고서·논문에 자유롭게 인용·재사용하실 수 있습니다. 권장 표기는 다음과 같습니다.
이현섭 변호사(법무법인 세움), 「개인정보위 제재의 과징금 산정 근거」, https://datalaw.kr/decisions/ (YYYY-MM-DD 수집분)
인용 시점을 고정하려면 아카이브 판을 쓰십시오. 위 CSV는 표가 갱신될 때 함께 바뀝니다. 날짜가 박힌 아래 파일은 그 날짜의 표를 그대로 담고 있고, 주소는 이후로 바뀌지 않습니다.
pipc-fine-mitigation-2026-09-13.csv 선례가 있는지부터 확인하려면 이 색인은 해설이 붙은 의결만 담습니다. "이 조문으로 처분된 선례가 있는가"를 먼저 확인해야 한다면 개인정보위 제재 추적기로 가십시오. 위원회 결정문 게시판에서 본문을 읽을 수 있는 제재 의결서 889건을 안건번호·의결일·피심인·위반 조문·처분·금액으로 정리해 두었고, 조문이나 회사명으로 걸러 볼 수 있습니다. 위원회 결정문 게시판의 검색창이 제목만 색인해서 조문으로는 찾을 수 없는 문제를 그 페이지가 대신 풉니다.
행위 유형이 감경을 가르는가 — 아닙니다 위반행위 표와 위의 산정 근거 표는 같은 의결로 이어집니다. 한쪽은 무슨 행위였는지를, 다른 쪽은 몇 %가 오르내렸는지를 담고 있습니다. 의결번호로 겹쳐 세면 아래 표가 나옵니다.
행위 유형사건1차 가중1차 감경2차 감경 안전조치 미흡(일반) 32 49% 25~65 43% 10~80 30% 10~50 유출 통지·신고 해태 14 50% 39% 30~55 29% 10~30 주민등록번호 처리 제한 위반 9 50% 42% 30~80 30% 20~40 파기 미이행 7 50% 37% 10~55 28% 10~40 수탁자 관리·감독 소홀 5 50% 30% 30% 암호화 미조치 5 50% 53% 30~80 25% 15~30 위탁·국외이전 미고지·미공개 4 50% 30% 30% 국외이전 적법근거 흠결 4 38% 25~50 — 30% 정보주체 권리행사 방법 미비 3 33% 25~50 — 30% 국내대리인 지정·공개 미비 2 38% 25~50 — 30% 현행 과징금 부과기준으로 산정해 결정문에 백분율 문언이 적힌 45개 사건을 의결번호로 위반행위 층과 이어 센 것입니다(기준일 2026-09-11). 사건이 2건 이상인 유형만 싣습니다. 한 사건에 위반행위가 여럿이면 해당하는 유형 모두에 들어가므로 사건 수를 세로로 더하면 안 됩니다. 굵은 값은 평균, 옅은 값은 그 유형 안의 최소~최대입니다. 조정은 조문별 절마다 따로 돌아 한 사건에서 율이 여럿 나올 수 있고, 평균은 그 율을 센 값입니다.
1차 가중은 사실상 정형입니다. 다음 유형이 걸린 사건에서는 결정문에 적힌 율이 전부 100분의 50입니다 — 최소도 최대도 같습니다: 「유출 통지·신고 해태」·「주민등록번호 처리 제한 위반」·「파기 미이행」·「수탁자 관리·감독 소홀」·「암호화 미조치」·「위탁·국외이전 미고지·미공개」 . 사유도 갈리지 않습니다. 「위반기간 2년 초과」가 압도적으로 많습니다. 가중을 정하는 것은 행위가 아니라 기간입니다.
2차 감경은 좁게 모입니다. 유형별 평균이 25%에서 30% 사이에 전부 들어옵니다. 사유는 조사 협력과 사전통지 전 시정 완료가 거의 전부이고(인증 보유 3건이 예외), 모두 사후 대응 쪽입니다.
1차 감경만 폭이 넓은데, 그 폭은 유형이 만든 것이 아닙니다. 유형 사이의 평균 차이는 30%에서 53% 사이입니다. 그런데 같은 유형 안의 편차가 그보다 훨씬 큽니다 — 사건이 가장 많은 「안전조치 미흡(일반) 」 하나만 놓고 봐도 10%에서 80% 까지 흩어집니다. 표의 옅은 숫자가 그 범위입니다.
실무에서 읽을 것 — 「우리 위반 유형이 감경에 유리한가」는 물을 필요가 없는 질문입니다. 지금까지 공개된 결정문에서 액수를 가른 것은 위반이 얼마나 오래갔는지와 적발 이후 무엇을 했는지 둘입니다.
⚠️ 분모를 잊지 마십시오. 이 비교는 현행 과징금 부과기준으로 산정해 결정문에 백분율 문언이 적힌 사건만 센 것입니다. 옛 기준으로 산정한 사건은 위 산정 근거 표에만 있고 여기에는 들어 있지 않습니다. 정액 기준으로 산정한 사건은 애초에 들어 있지 않고, 표에 없다고 감경이 인정되지 않은 것은 아닙니다.
절차는 따로 정리했습니다 조사가 무엇 때문에 시작되는지, 얼마나 걸리는지, 사전통지를 받고 며칠 만에 의견을 냈는지, 서류가 송달되지 않으면 어떻게 되는지는 개인정보위 제재 절차에 모아 두었습니다. 이 페이지는 액수를 다루고, 그쪽은 시간을 다룹니다.
한 가지만 여기 옮겨 둡니다 — 조사의 입구는 사실상 하나입니다. 단서가 적힌 468건 가운데 261건이 사업자 자신의 유출 신고에서 시작됐고, 그 경로의 과징금 비율(40%)이 건수가 있는 단서 가운데 가장 높습니다.
유출 규모가 크면 과징금이 나오나 산정 근거 표는 과징금이 부과된 뒤의 이야기입니다. 그 앞에 놓인 질문은 「우리 사고 규모면 과징금이 나오는가」입니다. 결정문이 스스로 「유출 규모」라고 표지를 달아 적은 숫자만 모으면 아래 표가 나옵니다.
결정문이 적은 유출 규모의결과징금이 부과된 건과징금 평균최대 1,000 미만 71건 12건 (17%)1억 3,615만 원 6억 원 1천~1만 40건 13건 (32%)7,148만 원 5억 원 1만~10만 30건 8건 (27%)3억 4,631만 원 13억 원 10만~100만 18건 17건 (94%)6억 2,678만 원 68억 원 100만 이상 11건 7건 (64%)217억 1,324만 원 1,347억 원 대상은 결정문이 「유출 규모」 표지를 달아 규모를 적은 의결 170건입니다. 단위는 결정문 표기를 그대로 두었습니다(건 49건 · 명 121건). 규모를 적지 않은 의결은 이 표에 없고, 규모가 작다는 뜻이 아닙니다. 평균은 과징금이 부과된 건만으로 계산했습니다.
갈림선은 10만 명 언저리입니다. 그 아래에서는 규모가 커져도 과징금 부과율이 18%에서 32% 사이에 머무는 반면, 10만을 넘긴 구간에서는 대부분의 의결에 과징금이 붙었습니다. 규모가 작은 사건에서 처분이 갈리는 것은 인원이 아니라 무슨 안전조치가 없었는지와 유출 통지를 제때 했는지입니다.
금액의 자릿수는 규모가 아니라 매출이 정합니다. 과징금 상한이 전체 매출액의 100분의 3이고, 산정의 기준이 되는 매출액도 위반행위와 관련 없는 매출을 뺀 매출액이기 때문입니다(법 제64조의2 제1항·제2항). 그래서 이 표는 1인당 과징금을 내지 않습니다 — 매출이 작은 회사의 작은 유출을 인원으로 나누면 1인당 백만 원대가 나오는데, 그 수치는 아무것도 설명하지 못합니다. 1인당 금액이 뜻을 갖는 곳은 민사 위자료이고, 그쪽은 유출 손해배상 판결에 1인당 인정액으로 정리해 두었습니다. 두 표를 나란히 놓으면 행정 제재는 회사의 매출에, 민사 배상은 피해자 수에 연동된다는 구조가 보입니다.
⚠️ 규모가 적히지 않은 의결은 이 표에 없습니다. 결정문이 표지를 달아 적은 경우에만 셌고, 규모가 작아서 빠진 것이 아닙니다.
색인 표를 읽는 방법 의결번호 — 개인정보위 의결서에 붙는 고유번호입니다. 「제2026-213-267호」에서 213은 의결 주체(제2소위원회 회차 계열), 267은 안건 일련번호입니다. 위원회 홈페이지의 위원회 결정문 게시판에서 이 번호로 원문을 찾을 수 있습니다. 사안 — 처분 상대방은 위원회가 공개한 경우에만 적습니다. 의결서가 비실명 처리한 건을 다른 자료로 대조해 특정하지 않습니다. 다만 위원회가 보도자료로 실명을 공표한 건은 그 출처를 확인해 적으므로, 제재 추적기 표(의결서 본문만 기계 추출)와 표기가 다를 수 있습니다. 처분 — 과징금·과태료·시정명령·공표는 각각 근거 조문이 다릅니다. 과징금 대상은 법 제64조의2 제1항이 아홉 가지로 열거하고 있고, 과태료는 제75조가 따로 정합니다. 같은 조사에서 어떤 회사는 과징금, 어떤 회사는 과태료가 되는 이유가 여기에 있습니다. 자주 묻는 질문 Q. 이 색인에는 개인정보위 의결이 전부 실려 있나요? 아닙니다. 이 페이지에는 처분 이유를 해설한 의결과, 결정문에 과징금 가중·감경률이 적혀 있는 사건이 실립니다. 결정문 게시판에 공개된 제재 의결은 별도의 제재 추적기 페이지(datalaw.kr/sanctions/)에 889건이 정리되어 있고, 그쪽은 조문·회사명으로 검색할 수 있는 조회용 표입니다. 다만 위원회가 결정문 전문을 공개하지 않고 「결과의 공표」만 한 사건과, 게시판 목록에는 있으나 HTML 미리보기가 비어 있던 의결 270건은 2026년 8~9월 첨부파일에서 읽어 그 표에 반영했습니다. 이 페이지는 '왜 그런 처분이 나왔는가’에 답합니다.
Q. 과징금 감경률은 실제로 몇 %나 인정되나요? 현행 과징금 부과기준(2023년 법 개정 이후)으로 산정해 결정문에 가중·감경률이 적힌 45개 사건 기준으로, 1차 조정에서는 위반기간이 2년을 넘었다는 이유로 가중된 예가 40건이고 그 가중률은 100분의 50이 가장 많으며, 위반으로 이득을 취하지 않았다는 이유로 감경된 예가 41건입니다. 2차 조정에서는 조사에 협력한 점이 37건, 사전통지 전 시정을 완료한 점이 35건, ISMS-P 등 인증 보유가 3건 인정됐고, 감경률은 100분의 30이 가장 많습니다. 다만 이 수치는 결정문에 백분율 문언이 적힌 사건만 센 것이라, 정액 기준으로 산정한 사건은 분모에 들어 있지 않습니다. 옛 기준(정보통신서비스 특례·주민등록번호 유출 기준)으로 산정한 사건도 단계 이름과 감경 방식이 달라 표에만 구분해 싣고 이 수치에는 넣지 않았습니다.
Q. 개인정보위 조사는 무엇 때문에 시작되나요? 결정문의 「조사 배경」 절에 적힌 것을 세어 보면, 그 절이 있는 의결 468건 가운데 261건(56%)이 「유출 신고」, 곧 사업자 자신의 개인정보 유출 신고에서 시작됐습니다. 그다음이 제3자 신고·민원 70건, 언론 보도 48건, 타 기관 통보·의뢰 33건, 실태점검·직권조사 33건 순입니다. 규제기관이 먼저 찾아내는 경우보다 신고된 사건을 들여다보는 경우가 훨씬 많습니다. 다만 이 분포는 처분까지 간 사건의 분포이지 신고·민원 접수 전체의 분포가 아닙니다.
Q. 처분 서류가 송달되지 않으면 처분이 없던 일이 되나요? 아닙니다. 주소불명이나 폐문부재로 서류가 되돌아오면 행정절차법 제14조 제4항에 따라 공고로 갈음됩니다. 개인정보보호위원회는 이 공고를 결정문 게시판이 아니라 별도의 공시송달 게시판에 올리고, 사전통지가 안 될 때·의결서가 안 갈 때·과태료를 안 낼 때 각각 공고가 나갑니다. 본문을 읽을 수 있는 공고 21건에 대상자가 약 101명 실려 있고, 조문은 영상정보처리기기 안내판이나 수집 출처 통지처럼 개인이 운영하는 사업장에서 걸리는 것이 앞자리입니다.
Q. 같은 의결이 여러 글에 나오면 어떻게 표시되나요? 행은 의결 1건이 단위이므로, 같은 의결을 여러 글에서 다뤘으면 한 행의 해설 칸에 글이 여러 개 붙습니다. 반대로 한 글이 여러 의결을 비교했으면 그 글은 여러 행에 나타납니다. 처분 결과가 갈린 이유를 보려면 같은 날 의결된 건들을 같이 보는 편이 빠릅니다.
관련 페이지 주제 단위로 읽으려면 가이드가, 전체 글을 시간순으로 보려면 글 목록이 있습니다. 과징금 금액이 어떻게 산정되는지는 과징금이 '전체 매출액’으로 바뀐 뒤 실제로 인정된 감경 사유에 4단계 산정 구조로 정리해 두었습니다.
---
# [데이터] 인공지능기본법 조문 지도 — 조문별 시행일·과태료·하위법령 위임
- URL: https://datalaw.kr/ai-act/
- 요약: 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(인공지능기본법)의 전 조문을 한 표에 놓고, 조문마다 세 가지를 함께 답니다. 언제부터 적용됐는지, 위반하면 이 법의 과태료가 붙는지, 하위법령에 위임했다면 시행령이 그것을 실제로 정했는지입니다. 법은 2026년 1월 22일 시행됐고 일부 조항은 2026년 7월 21일부터 적용됐습니다. 이 법 자체의 과태료가 붙는 조문은 셋뿐입니다 — 투명성 고지(제31조 제1항), 국내대리인 지정(제36조 제1항), 중지·시정명령 불이행(제40조 제3항)이고 모두 3천만원 이하입니다. 나머지 의무 조문은 위반해도 이 법에는 벌칙이 없고 사실조사와 시정명령을 거쳐 그 명령 불이행에서 과태료로 이어지는 구조입니다.
- 출처: 국가법령정보 공동활용 API / 기준일 2026-09-12 / 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 법률 제21311호(2026-01-20 공포) · 시행령 대통령령 제36580호
- 조문 46개. 이 법의 과태료가 붙는 조문 3개(제31조 제1항 고지·제36조 제1항 국내대리인·제40조 제3항 명령 불이행, 각 3천만원 이하). 하위법령에 위임한 조문 33개 중 시행령이 정한 것 30개. 부칙이 시행일을 나눈 조항 7개.
- 🔴 「위반 시」는 **이 법의 과태료만**입니다. 같은 행위가 개인정보 보호법·저작권법으로 따로 걸리는 것은 이 표에 없습니다.
조문 | 제목 | 장 | 시행일 | 나중에 시행된 항 | 위반 시(이 법) | 하위법령 | 행 주소
제1조 | 목적 | 제1장 총칙 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-1
제2조 | 정의 | 제1장 총칙 | 2026-01-22 | - | - | 시행령 제1조의2·제12조·제25조·제26조 | https://datalaw.kr/ai-act/#art-2
제3조 | 기본원칙 및 국가 등의 책무 | 제1장 총칙 | 2026-01-22 | 제3조제5항(2026-07-21) | - | 시행령 제28조 | https://datalaw.kr/ai-act/#art-3
제4조 | 적용범위 | 제1장 총칙 | 2026-01-22 | - | - | 시행령 제2조 | https://datalaw.kr/ai-act/#art-4
제5조 | 다른 법률과의 관계 | 제1장 총칙 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-5
제6조 | 인공지능 기본계획의 수립 | 제2장 인공지능의 건전한 발전과 신뢰 기반 조성을 위한 추진체계 | 2026-01-22 | 제6조제2항제7호(2026-07-21), 제6조제2항제8호(2026-07-21) | - | 시행령 제3조 | https://datalaw.kr/ai-act/#art-6
제7조 | 국가인공지능전략위원회 | 제2장 인공지능의 건전한 발전과 신뢰 기반 조성을 위한 추진체계 | 2026-01-22 | - | - | 시행령 제3조·제4조·제6조·제8조 | https://datalaw.kr/ai-act/#art-7
제8조 | 위원회의 기능 | 제2장 인공지능의 건전한 발전과 신뢰 기반 조성을 위한 추진체계 | 2026-01-22 | - | - | 시행령 제7조 | https://datalaw.kr/ai-act/#art-8
제9조 | 위원의 제척ㆍ기피 및 회피 | 제2장 인공지능의 건전한 발전과 신뢰 기반 조성을 위한 추진체계 | 2026-01-22 | - | - | 시행령 제4조 | https://datalaw.kr/ai-act/#art-9
제10조 | 분과위원회 등 | 제2장 인공지능의 건전한 발전과 신뢰 기반 조성을 위한 추진체계 | 2026-01-22 | - | - | 시행령 제5조·제8조 | https://datalaw.kr/ai-act/#art-10
제11조 | 인공지능정책센터 | 제2장 인공지능의 건전한 발전과 신뢰 기반 조성을 위한 추진체계 | 2026-01-22 | - | - | 시행령 제2조·제9조 | https://datalaw.kr/ai-act/#art-11
제12조 | 인공지능안전연구소 | 제2장 인공지능의 건전한 발전과 신뢰 기반 조성을 위한 추진체계 | 2026-01-22 | - | - | 시행령 제10조 | https://datalaw.kr/ai-act/#art-12
제13조 | 인공지능기술 개발 및 안전한 이용 지원 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제11조 | https://datalaw.kr/ai-act/#art-13
제14조 | 인공지능기술의 표준화 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 대통령령 위임(시행령 미확인) | https://datalaw.kr/ai-act/#art-14
제15조 | 인공지능 학습용데이터 관련 시책의 수립 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제12조·제13조·제14조 | https://datalaw.kr/ai-act/#art-15
제16조 | 인공지능기술 도입ㆍ활용 시책 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | 제16조제3항부터 제5항까지(제2항제2호의2의 개정규정에 관한 부분에 한정한다)(2026-07-21) | - | 시행령 제15조·제22조 | https://datalaw.kr/ai-act/#art-16
제17조 | 중소기업등을 위한 특별지원 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-17
제17조의2 | 인공지능제품 및 인공지능서비스 이용비용의 지원 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | 제17조의2(2026-07-21) | - | 시행령 제15조의2 | https://datalaw.kr/ai-act/#art-17-2
제18조 | 창업의 활성화 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | 제18조(2026-07-21) | - | 시행령 제15조의3 | https://datalaw.kr/ai-act/#art-18
제19조 | 인공지능 융합의 촉진 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제31조 | https://datalaw.kr/ai-act/#art-19
제20조 | 제도개선 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-20
제21조 | 전문인력의 확보 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-21
제22조 | 국제협력 및 해외시장 진출의 지원 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제16조 | https://datalaw.kr/ai-act/#art-22
제22조의2 | 인공지능연구소의 설립 및 지원 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제16조의2·제16조의3 | https://datalaw.kr/ai-act/#art-22-2
제22조의3 | 인공지능기술 확보를 위한 연구기관의 설립ㆍ운영 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | 제22조의3(2026-07-21) | - | 시행령 제16조의4 | https://datalaw.kr/ai-act/#art-22-3
제23조 | 인공지능집적단지 지정 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제17조·제18조·제31조 | https://datalaw.kr/ai-act/#art-23
제24조 | 인공지능 실증기반 조성 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제19조 | https://datalaw.kr/ai-act/#art-24
제25조 | 인공지능 데이터센터 관련 시책의 추진 등 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제31조 | https://datalaw.kr/ai-act/#art-25
제26조 | 한국인공지능진흥협회의 설립 | 제3장 인공지능기술 개발 및 산업 육성 | 2026-01-22 | - | - | 시행령 제20조 | https://datalaw.kr/ai-act/#art-26
제27조 | 인공지능 윤리원칙 등 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | - | 시행령 제21조 | https://datalaw.kr/ai-act/#art-27
제28조 | 민간자율인공지능윤리위원회의 설치 등 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | - | 대통령령 위임(시행령 미확인) | https://datalaw.kr/ai-act/#art-28
제29조 | 인공지능 신뢰 기반 조성을 위한 시책의 마련 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | - | 대통령령 위임(시행령 미확인) | https://datalaw.kr/ai-act/#art-29
제30조 | 인공지능 안전성ㆍ신뢰성 검ㆍ인증등 지원 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | - | 시행령 제22조 | https://datalaw.kr/ai-act/#art-30
제31조 | 인공지능 투명성 확보 의무 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | 과태료 3천만원 이하 — 제31조제1항을 위반하여 고지를 이행하지 아니한 자 | 시행령 제23조 | https://datalaw.kr/ai-act/#art-31
제32조 | 인공지능 안전성 확보 의무 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | - | 시행령 제24조 | https://datalaw.kr/ai-act/#art-32
제33조 | 고영향 인공지능의 확인 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | - | 시행령 제25조·제26조·제31조 | https://datalaw.kr/ai-act/#art-33
제34조 | 고영향 인공지능과 관련한 사업자의 책무 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | - | 시행령 제27조 | https://datalaw.kr/ai-act/#art-34
제35조 | 고영향 인공지능 영향평가 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | 제35조제1항 후단(2026-07-21) | - | 시행령 제28조 | https://datalaw.kr/ai-act/#art-35
제36조 | 국내대리인 지정 | 제4장 인공지능윤리 및 신뢰성 확보 | 2026-01-22 | - | 과태료 3천만원 이하 — 제36조제1항을 위반하여 국내대리인을 지정하지 아니한 자 | 시행령 제29조 | https://datalaw.kr/ai-act/#art-36
제37조 | 인공지능산업의 진흥을 위한 재원의 확충 등 | 제5장 보칙 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-37
제38조 | 실태조사, 통계 및 지표의 작성 | 제5장 보칙 | 2026-01-22 | - | - | 시행령 제30조·제31조 | https://datalaw.kr/ai-act/#art-38
제39조 | 권한의 위임 및 업무의 위탁 | 제5장 보칙 | 2026-01-22 | - | - | 시행령 제31조 | https://datalaw.kr/ai-act/#art-39
제40조 | 사실조사 등 | 제5장 보칙 | 2026-01-22 | - | 과태료 3천만원 이하 — 제40조제3항에 따른 중지명령이나 시정명령을 이행하지 아니한 자 | - | https://datalaw.kr/ai-act/#art-40
제41조 | 벌칙 적용에서 공무원 의제 | 제5장 보칙 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-41
제42조 | 벌칙 | 제6장 벌칙 | 2026-01-22 | - | - | - | https://datalaw.kr/ai-act/#art-42
제43조 | 과태료 | 제6장 벌칙 | 2026-01-22 | - | - | 시행령 제29조·제32조 | https://datalaw.kr/ai-act/#art-43
---
# [데이터] IT·개인정보 법령 시행일 캘린더
- URL: https://datalaw.kr/timeline/
- 요약: 앞으로 12개월 동안 시행되는 IT·개인정보·데이터 법령을 한 표로 정리한 캘린더입니다. 국가법령정보센터 시행예정법령 전수를 걸러 시행일 순으로 싣고, 부칙이 시행일을 나눈 단계 시행과 타법개정으로 조용히 바뀌는 조문까지 표시합니다. 2026년 10월 1일 정보통신망법, 2027년 2월 28일 공공분야 AI 영향평가, 2027년 7월 1일 개인정보 보호법 2단계처럼 실무에 걸리는 시행일이 언제 오는지, 그날 무엇이 바뀌는지를 확인할 수 있습니다. 시행예정법령 데이터에 들어오지 않는 개인정보위 고시의 제·개정 이력도 함께 실었습니다 — 결정문이 인용한 고시가 몇 호인지 확인할 때 씁니다.
- 출처: 국가법령정보센터 시행예정법령(DRF target=eflaw) / 기준일 2026-09-11 / 대상 기간 2026-09-11~2027-09-11 / 전수 937건 중 IT·개인정보 25건
- 같은 법령이 여러 행이면 부칙이 시행일을 나눈 단계 시행입니다. 타법개정은 다른 법률의 부칙이 이 법령을 고치는 것입니다. 비고는 개정 원문을 확인한 법령에만 붙습니다.
시행일 | 법령 | 구분 | 제개정 | 공포 | 같은 개정의 다른 시행일 | 비고(요지: 내용) | 행 주소
20260918 | 산업 디지털 전환 및 인공지능 활용 촉진법 | 법률 | 타법개정 | 제21467호(20260317) | - | - | https://datalaw.kr/timeline/#t-284365-20260918
20260918 | 산업기술혁신 촉진법 | 법률 | 타법개정 | 제21467호(20260317) | - | - | https://datalaw.kr/timeline/#t-284363-20260918
20261001 | 전기통신금융사기 피해 방지 및 피해자산 환급에 관한 특별법 | 법률 | 일부개정 | 제21503호(20260331) | - | - | https://datalaw.kr/timeline/#t-285053-20261001
20261001 | 전기통신사업법 | 법률 | 타법개정 | 제21503호(20260331) | - | - | https://datalaw.kr/timeline/#t-285185-20261001
20261001 | 전기통신사업법 | 법률 | 일부개정 | 제21499호(20260331) | - | - | https://datalaw.kr/timeline/#t-285145-20261001
20261001 | 정보통신망 이용촉진 및 정보보호 등에 관한 법률 | 법률 | 일부개정 | 제21500호(20260331) | 20270401 | 2026-03-31 공포 개정분: 침해사고 대응·정보보호 체계 강화 계열, 하위법령 입법예고(과기정통부 공고 제2026-754호)가 있었다; 2027-04-01 시행분은 별도 단계 | https://datalaw.kr/timeline/#t-285199-20261001
20261002 | 통신비밀보호법 | 법률 | 타법개정 | 제21857호(20260804) | - | - | https://datalaw.kr/timeline/#t-288621-20261002
20261002 | 형사사법절차에서의 전자문서 이용 등에 관한 법률 | 법률 | 타법개정 | 제21857호(20260804) | - | - | https://datalaw.kr/timeline/#t-288629-20261002
20261008 | 디지털의료제품법 | 법률 | 타법개정 | 제21525호(20260407) | - | - | https://datalaw.kr/timeline/#t-285333-20261008
20261029 | 저작권법 | 법률 | 일부개정 | 제21595호(20260428) | 20270101 | - | https://datalaw.kr/timeline/#t-285693-20261029
20261120 | 전기통신사업법 | 법률 | 일부개정 | 제21652호(20260519) | - | - | https://datalaw.kr/timeline/#t-286079-20261120
20261210 | 방위산업기술 보호법 | 법률 | 일부개정 | 제21768호(20260609) | - | - | https://datalaw.kr/timeline/#t-286753-20261210
20261217 | 전자금융거래법 | 법률 | 일부개정 | 제21205호(20251216) | - | - | https://datalaw.kr/timeline/#t-280277-20261217
20270101 | 저작권법 | 법률 | 일부개정 | 제21595호(20260428) | 20261029 | - | https://datalaw.kr/timeline/#t-285693-20270101
20270121 | 전자상거래 등에서의 소비자보호에 관한 법률 | 법률 | 일부개정 | 제21312호(20260120) | - | - | https://datalaw.kr/timeline/#t-282793-20270121
20270121 | 전자상거래 등에서의 소비자보호에 관한 법률 시행령 | 대통령령 | 일부개정 | 제36507호(20260720) | - | - | https://datalaw.kr/timeline/#t-288143-20270121
20270212 | 소프트웨어 진흥법 | 법률 | 일부개정 | 제21865호(20260811) | - | - | https://datalaw.kr/timeline/#t-288697-20270212
20270228 | 인공지능 및 데이터 기반 행정 활성화에 관한 법률 | 법률 | 일부개정 | 제21392호(20260227) | - | 제명이 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 변경: 공공기관 AI 의사결정의 최종 권한·책임 명확화(제3조 제5항)와 편향성·투명성 고려(제7항); 2027-02-28 시행분은 제32조 영향평가 단계 해설: https://datalaw.kr/posts/public-ai-act-vendor-contracts/ | https://datalaw.kr/timeline/#t-283735-20270228
20270228 | 인공지능 및 데이터 기반 행정 활성화에 관한 법률 시행령 | 대통령령 | 일부개정 | 제36604호(20260825) | - | 2026-08-25 공포된 시행령; 본칙은 법과 같은 2026-08-28 시행이고, 영향평가 관련 제26조부터 제29조까지만 2027-02-28 시행이다(부칙 제36604호) — 영향평가 기준 4호와 고시 위임(제26조), 제외대상 3유형과 그 해당 여부에 대한 행정안전부장관 확인(제27조 제1항·제2항), 실시기관(제28조), 위험관리방안 6항목과 세부 기준 고시 위임(제29조); 법 제29조·제30조·제31조의 하위규범은 이 시행령에 없다 해설: https://datalaw.kr/posts/public-ai-act-vendor-contracts/ | https://datalaw.kr/timeline/#t-288963-20270228
20270309 | 개인정보 보호법 | 법률 | 일부개정 | 제21910호(20260908) | - | AI 학습 특례: 제3장 제5절을 신설해 인공지능기술 개발을 위한 개인정보의 목적 외 이용(제28조의12), 관리·감독(제28조의13), 처리 제한(제28조의14), 적용의 일부 제외(제28조의15)를 넣었다; 요건 3개를 모두 갖추고 보호위원회 심의·의결을 거쳐야 하고, 위원회는 조건을 붙일 수 있다; 적용 제외 목록의 제28조의8은 「국외로 처리위탁하는 경우에 한정」된다; 「인공지능기술」 정의는 제2조 제9호 신설; 요건·절차 상당수가 대통령령 위임이고 하위법령은 미제정 해설: https://datalaw.kr/posts/ai-development-exception-waived-provisions/ 해설: https://datalaw.kr/posts/scraped-data-asset-due-diligence/ | https://datalaw.kr/timeline/#t-289415-20270309
20270310 | 인공지능 데이터센터 산업 진흥에 관한 특별법 | 법률 | 제정 | 제21759호(20260609) | - | - | https://datalaw.kr/timeline/#t-286707-20270310
20270401 | 디지털포용법 | 법률 | 일부개정 | 제21496호(20260331) | - | - | https://datalaw.kr/timeline/#t-285197-20270401
20270401 | 정보통신망 이용촉진 및 정보보호 등에 관한 법률 | 법률 | 일부개정 | 제21500호(20260331) | 20261001 | 2026-03-31 공포 개정분: 침해사고 대응·정보보호 체계 강화 계열, 하위법령 입법예고(과기정통부 공고 제2026-754호)가 있었다; 2027-04-01 시행분은 별도 단계 | https://datalaw.kr/timeline/#t-285199-20270401
20270610 | 국가연구데이터 관리 및 활용 촉진에 관한 법률 | 법률 | 제정 | 제21756호(20260609) | - | - | https://datalaw.kr/timeline/#t-286701-20270610
20270701 | 개인정보 보호법 | 법률 | 일부개정 | 제21445호(20260310) | - | 2단계 시행분: 제32조의2 제1항 단서(대통령령으로 정하는 개인정보처리자의 보호 인증 의무화)와 제75조 제2항 제15호 과태료만 이날 시행; 본체(유출등 정의 확장·가능성 통지·과징금 상한 10%·CPO 이사회 의결)는 2026-09-11 시행 해설: https://datalaw.kr/guides/pipa-2026-amendment/ | https://datalaw.kr/timeline/#t-283839-20270701
---
# [데이터] 유출 통지문에는 실제로 무엇이 적혀 있나 — 공개 통지문 모음
- URL: https://datalaw.kr/breach-notices/
- 요약: 개인정보가 유출됐을 때 회사가 보내는 통지문이 실제로 어떻게 생겼는지는 정리된 곳이 없었습니다. 시행령이 요구하는 홈페이지 게시 기간은 30일뿐이어서, 그 기간이 지나면 문안이 사라지기 때문입니다. 이 페이지는 사라지기 전에 붙잡아 둔 통지문을 모은 것입니다. 통지문 원문과 언론이 인용한 문안, 사과문을 갈라 담고, 법 제34조 제1항의 기재사항이 실제로 얼마나 확인되는지를 통지문 원문만을 분모로 집계했습니다. 2026년 9월 11일부터 새로 들어가는 손해배상·분쟁조정 안내는 그 전 통지문에서 거의 확인되지 않습니다.
- 출처: 사업자 홈페이지 공지·팝업·SMS 전문(notice) 및 언론 인용(press) / 기준일 2026-09-10 / 수록 56건 (통지문 원문 28 · 언론 인용 20 · 사과문·입장문 8)
- 원천이 셋이고 무게가 다릅니다. **통지문 원문**은 사업자가 올린 문안 그대로이고, **언론 인용**은 기사가 옮긴 범위라 어떤 항목이 안 보여도 통지문에 없었다는 뜻이 아니며, **사과문·입장문**은 제34조가 요구하는 글이 아니라 기재사항 집계의 분모 밖입니다.
- 제34조 제1항 기재사항 확인(분모 = 통지문 원문 28건): ① 유출 항목 27/28 · ② 시점·경위 27/28 · ③ 피해 최소화 방법 22/28 · ④ 대응조치·구제절차 28/28 · ⑤ 접수 부서·연락처 21/28 · ⑥ 손해배상·분쟁조정 안내(개정) 4/28
- ⑥ 손해배상·분쟁조정 안내는 2026년 9월 11일 시행 개정법이 신설한 항목입니다. 그 전에 보낸 통지문에 없는 것은 위반이 아닙니다.
- 개별 사업자의 기재 결손은 행에 싣지 않습니다. 여기 실린 사업자 대부분은 통지와 관련해 처분받지 않았고, 위원회가 공표한 처분을 옮기는 제재 자료와 성격이 다르기 때문입니다. 처분된 사건은 https://datalaw.kr/sanctions/breach-notice/ 에 있습니다.
- 상호가 빈 행은 개인이 수신한 SMS 통지로, 공개된 원문이 아니어서 업종만 싣습니다.
통지일 | 사업자 | 업종 | 통지 창구 | 사업자가 밝힌 원인 | 통지문이 밝힌 유출 항목 | 원천 | 원문
2026-09-08 | 강남언니(힐링페이퍼) | 의료 플랫폼 | 홈페이지 안내면 | 외부 침입·해킹 | 성명 · 이름 · 생년월일 · 주소 · 휴대폰 · 연락처 · 이메일 · 구매 · 주문 · 결제 · 시술 · 상담 · 사진 · 성별 | 사과문·입장문 | https://www.gangnamunni.com/discovery/site/second-statement-260908
- | (상호·수신일 비공개) | 자동차 판매(수입차 딜러) | SMS(수신) | 랜섬웨어 | 성함 · 생년월일 · 주소 · 휴대폰 · 전화번호 · 이메일 · 차량 · 계약 | 통지문 원문 | -
2026-09-06 | 코엠페이먼츠 | 전자결제(PG) | 홈페이지 공지 | 오발송·설정 오류 | 이메일 · 카드번호 · 결제 · 상담 | 통지문 원문 | https://www.coam.co.kr/notice/view/924
2026-09-04 | 강남언니(힐링페이퍼) | 의료 플랫폼 | 홈페이지 팝업→안내면·이메일 | - | 이름 · 생년월일 · 전화번호 · 연락처 · 이메일 · 주문 · 결제 · 시술 · 상담 · 사진 · 성별 | 통지문 원문 | https://www.gangnamunni.com/discovery/site/stray-prong-71918885
2026-09-04 | 화해(버드뷰) | 뷰티 플랫폼 | 홈페이지 팝업→노션·이메일·SMS | - | 이름 · 주소 · 휴대폰 · 이메일 · 비밀번호 · 주문 · 배송지 · 결제 · 상담 · 성별 · 닉네임 | 통지문 원문 | https://birdview.notion.site/3d082d92cf2a80d68dcec9778e7adf13
2026-09-03 | 티빙 | OTT | 홈페이지 공지 | 외부 침입·해킹 | 휴대폰 · 구매 · 결제 | 사과문·입장문 | https://www.tving.com/help/notice
2026-08-28 | 한국도심공항 | 교통 | 홈페이지 공지(이미지) | - | - | 통지문 원문 | https://www.calt.co.kr/center/01.php?ptype=view&idx=13638
2026-08-20 | 정부24(행정안전부) | 공공 | 홈페이지 공지 | - | 주소 · 전화번호 | 통지문 원문 | https://plus.gov.kr/portal/ntcmttr/ntcmttrdtl/?pstSn=401568
2026-08-15 | 서강대학교 | 대학 | 홈페이지 공지 | 외부 침입·해킹 | 성명 · 주소 · 휴대전화 · 이메일 · 비밀번호 · 학교 | 통지문 원문 | https://www.sogang.ac.kr/ko/detail/550854
2026-08-07 | 천룡CC | 골프장 | 홈페이지 공지(이미지+PDF)·SMS | 외부 침입·해킹 | 성명 · 생년월일 · 주소 · 휴대전화 · 전화번호 · 이메일 · 비밀번호 · 주민등록번호 · 상담 | 통지문 원문 | https://www.crcc.co.kr/community/community01_view.asp?board_idx=3368&board_num=1
2026-08 | 삼프로TV | 미디어 앱 | 홈페이지 팝업 | 외부 침입·해킹 | 이름 · 주소 · 휴대전화 · 전화번호 · 연락처 · 이메일 · 카드번호 · 계좌 | 통지문 원문 | https://www.ebc3pro.com/
2026-07-26 | 채비 | 전기차 충전 | 홈페이지 공지 | 외부 침입·해킹 | 이름 · 생년월일 · 주소 · 연락처 · 이메일 · 비밀번호 · 성별 | 통지문 원문 | https://www.chaevi.com/kr/customer/notice.php?bgu=view&idx=811
2026-07-21 | 서울시설공단(따릉이) | 공공 교통 | 홈페이지 공지·SMS 개별 통지 | 오발송·설정 오류 | 생년월일 · 주소 · 휴대폰 · 휴대전화 · 전화번호 · 연락처 · 이메일 · 아이디 · 성별 | 통지문 원문 | https://www.sisul.or.kr/open_content/main/bbs/bbsMsgDetail.do?bcd=notice&msg_seq=8836
2026-07-20 | 용인세무서 | 공공(국세청) | 홈페이지 사과문(이미지) | - | 휴대폰 · 전화번호 · 이메일 | 통지문 원문 | https://www.nts.go.kr/yongin/na/ntt/selectNttInfo.do?mi=8873&bbsId=6112&nttSn=1352546
2026-07-16 | 에메필 | 패션 커머스 | 홈페이지 공지·개별 안내 | 외부 침입·해킹 | 이름 · 주소 · 휴대폰 · 연락처 · 이메일 · 비밀번호 · 계좌 · 주문 · 결제 · 상담 | 통지문 원문 | https://aimerfeel.kr/board/view.php?bdId=notice&sno=76
2026-07-03 | 우리은행 NFT 플랫폼(수탁사 블로코) | 금융 | 수탁사(블로코) 홈페이지 공지·우리은행 안내 | 수탁사·협력사 | 전화번호 · 연락처 · 닉네임 · CI | 통지문 원문 | https://blocko.io/board/board/260703
2026-06-26 | 한국식품산업협회 교육사이트 | 협회 | 홈페이지 공지 | 외부 침입·해킹 | 이름 · 주소 · 휴대전화 · 전화번호 · 이메일 · 아이디 · 비밀번호 · 결제 · 상담 · 성별 | 통지문 원문 | https://www.kfia.or.kr/kfia/sub.php?menukey=1133&mod=view&no=39938&scode=99999999
2026-06-11 | 대구시선거관리위원회(달성군) | 공공 | 사실관계 설명자료·공문 통지 | 오발송·설정 오류 | 성명 · 주소 | 사과문·입장문 | https://www.nec.go.kr/site/nec/ex/bbs/View.do?cbIdx=1298&bcIdx=327346
2026-06-06 | 국가유산청 | 공공 | 홈페이지 공지 | - | 생년월일 · 주소 · 휴대폰 | 통지문 원문 | https://www.cha.go.kr/multiBbz/selectMultiBbzView.do?id=21573&no=28233&bbzId=newpublic
2026-06-03 | 티빙 | OTT | 홈페이지 공지·이메일 | 외부 침입·해킹 | 이름 · 생년월일 · 이메일 · 아이디 · 비밀번호 · 계좌 · 성별 · CI · DI | 통지문 원문 | https://www.tving.com/help/notice
2026-06 | 중소벤처기업부(모두의 창업) | 공공 | 보도설명자료 | - | 주소 · 이메일 · 아이디 · 닉네임 | 사과문·입장문 | https://www.mss.go.kr/site/smba/ex/bbs/View.do?cbIdx=87&bcIdx=1069139
2026-05-12 | 민음사 | 출판 | 홈페이지 공지·SMS | - | 휴대전화 · 연락처 · 이메일 | 통지문 원문 | https://minumsa.com/blog/41364/
2026-04-30 | 중앙선거관리위원회 | 공공 | 보도자료(PDF)·홈페이지 사과문·SMS 개별 통지 | - | 성명 · 생년월일 · 주소 · 휴대전화 · 전화번호 · 연락처 · 이메일 · 주민등록번호 · 상담 | 사과문·입장문 | https://www.nec.go.kr/site/nec/ex/bbs/View.do?cbIdx=1090&bcIdx=319050
2026-04-24 | 데이원컴퍼니 | 교육 | 고객센터(젠데스크) 공지·이메일 | - | 이름 · 주소 · 전화번호 · 이메일 · 비밀번호 · 카드번호 · 계좌 · 주문 · 결제 | 통지문 원문 | https://support.fastcampus.co.kr/hc/ko/articles/57285311162905
2026-03-30 | 비즈니스피플 | 채용 플랫폼 | 홈페이지 공지·SMS | 외부 침입·해킹 | 성명 · 생년월일 · 주소 · 휴대전화 · 전화번호 · 이메일 · 성별 | 통지문 원문 | https://www.bzpp.co.kr/cscenter/noticeView?seqnoti=AN260330A00001
2026-03-19 | 서울대학교병원 | 의료 | 홈페이지 공지(이미지, alt 전문)·이메일 | 오발송·설정 오류 | 이름 · 생년월일 · 주소 · 연락처 · 시술 · 성별 · 학교 | 통지문 원문 | https://www.snuh.org/board/B003/view.do?bbs_no=7489
2026-01-14 | 교원그룹 | 교육 | 뉴스룸 보도자료 | 랜섬웨어 | - | 사과문·입장문 | https://www.kyowon.co.kr/Media/News_detail?iscont=&nttId=1257
2026-01-05 | 위버스컴퍼니 | 팬 플랫폼 | 홈페이지 공지(대표 명의)·개별 안내 | 내부자 | 이름 · 생년월일 · 전화번호 | 사과문·입장문 | https://weverse.io/notice/32918
2025-12-30 | 인하대학교 | 대학 | 홈페이지 공지 | 외부 침입·해킹 | 전화번호 · 이메일 · 비밀번호 · 학교 · CI | 통지문 원문 | https://www.inha.ac.kr/bbs/kr/8/42793/artclView.do
2025-12-23 | 신한카드 | 금융 | 홈페이지 사과문 | 외부 침입·해킹 | 성명 · 생년월일 · 상담 · 성별 | 통지문 원문 | https://www.shinhancard.com/pconts/html/helpdesk/dataRoom/MOBFM164/1237028_1118.html
2025-11-30 | 쿠팡 | 이커머스 | 홈페이지 공지(뉴스룸) | 외부 침입·해킹 | 이름 · 주소 · 전화번호 · 이메일 · 비밀번호 · 주문 · 배송지 | 통지문 원문 | https://news.coupang.com/archives/58857/
2025-11-29 | 쿠팡 | 이커머스 | 홈페이지 공지(뉴스룸) | 외부 침입·해킹 | 이름 · 주소 · 전화번호 · 이메일 · 주문 · 배송지 | 통지문 원문 | https://news.coupang.com/archives/58849/
2025-11-26 | 넷마블 | 게임 | 홈페이지 공지 | 외부 침입·해킹 | 이름 · 생년월일 · 주소 · 전화번호 · 이메일 · 비밀번호 | 통지문 원문 | https://notice.netmarble.net/main/BbsContentView.asp?seq=13416597
2025-10 | AIP자산운용 | 금융 | 홈페이지 공시(이미지) | 랜섬웨어 | 성명 · 생년월일 · 주소 · 연락처 · 이메일 · 비밀번호 · 주민등록번호 | 통지문 원문 | https://www.aipasset.com/disclosure/?mod=document&uid=194
2025-09 | 어썸자산운용 | 금융 | 홈페이지 공시 | 랜섬웨어 | 전화번호 · 연락처 · 비밀번호 | 통지문 원문 | http://www.awesomeasset.co.kr/bbs/board.php?bo_table=disclosure&wr_id=37
2025-06-20 | 대한통합의학회(한국연구재단 JAMS 사고 이용기관) | 공공·학술 | 이용 학회 홈페이지 공지 | 외부 침입·해킹 | - | 사과문·입장문 | https://www.ksim.kr/board/notice/338
- | 위버스컴퍼니 | 팬 플랫폼 | 홈페이지 공지(로그인 전용)·개별 안내 | 오발송·설정 오류 | 이름 · 연락처 · 구매 · 결제 | 언론 인용 | https://www.yonhapnewstv.co.kr/news/AKR20260907093501XkW
- | 29CM(무신사) | 패션 커머스 | 미상 | 외부 침입·해킹 | 이름 · 주소 · 휴대전화 · 전화번호 · 이메일 · 비밀번호 · 주문 · 결제 | 언론 인용 | https://www.yna.co.kr/view/AKR20260831063600030
- | 29CM(무신사) | 패션 커머스 | 미상 | 수탁사·협력사 | 이름 · 주소 · 휴대전화 · 전화번호 · 이메일 · 비밀번호 · 계약 · 주문 · 결제 · 사진 | 언론 인용 | https://www.meconomynews.com/news/articleView.html?idxno=200999
- | 롯데케미칼 | 제조(임직원) | 미상 | 외부 침입·해킹 | 성명 · 주소 · 휴대전화 · 전화번호 · 이메일 · 사진 · DI | 언론 인용 | https://www.newspost.kr/news/articleView.html?idxno=225368
- | 쉽몽크(트레저 배송사) | 물류 수탁사 | 이메일 | 외부 침입·해킹 | 이름 · 주소 · 전화번호 · 이메일 · 주문 · 결제 · 닉네임 | 언론 인용 | https://www.wikitree.co.kr/articles/1152574
- | 더불어민주당 블루웨이브 | 정당 커뮤니티 | 미상 | 외부 침입·해킹 | 성명 · 주소 · 이메일 · 아이디 · 비밀번호 · 차량 · 사진 | 언론 인용 | https://www.newsis.com/view/NISX20260807_0003740965
- | 스픽 | 교육 앱 | 미상 | 외부 침입·해킹 | 이름 · 주소 · 휴대전화 · 전화번호 · 이메일 · 비밀번호 · 구매 · 상담 | 언론 인용 | https://www.diarypoint.com/news/articleView.html?idxno=4724
- | 뉴지스탁 | 금융 정보 | 미상 | 랜섬웨어 | 성명 · 주소 · 연락처 · 이메일 · 아이디 · 비밀번호 · 계좌 · 결제 · 닉네임 · CI | 언론 인용 | https://www.dailysecu.com/news/articleView.html?idxno=207630
- | 크레소티 | 의료 IT | 홈페이지 공지 | 외부 침입·해킹 | 성명 · 생년월일 · 주소 · 휴대전화 · 전화번호 · 이메일 · 비밀번호 · 주민등록번호 · 계좌 | 언론 인용 | https://www.mdtoday.co.kr/news/articleView.html?idxno=604464
- | BGF네트웍스(CU편의점택배) | 유통·물류 | 미상 | 외부 침입·해킹 | 이름 · 생년월일 · 주소 · 이메일 · 아이디 · 비밀번호 · 성별 | 언론 인용 | https://www.kyeonggi.com/article/20260606580059
- | 숨고(브레이브모바일) | O2O 플랫폼 | 홈페이지 공지 | 외부 침입·해킹 | 이름 · 주소 · 이메일 · 카드번호 · 주문 · 결제 · 닉네임 | 언론 인용 | https://m.boannews.com/html/detail.html?idx=143558&kind=1
- | 오피스디포 | 유통(법인몰) | 미상 | 외부 침입·해킹 | 성명 · 주소 · 이메일 · 계약 · 사진 | 언론 인용 | https://www.asiatime.co.kr/article/20260427500199
- | 듀오 | 결혼정보 | 미상 | 외부 침입·해킹 | 이름 · 생년월일 · 주소 · 휴대전화 · 전화번호 · 이메일 · 비밀번호 · 주민등록번호 · 결제 · 성별 | 언론 인용 | http://www.ttlnews.com/news/articleView.html?idxno=3102524
- | 부킹닷컴 | 숙박 플랫폼(외국계) | 이메일 | 외부 침입·해킹 | 이름 · 주소 · 전화번호 · 이메일 · 계약 · 결제 | 언론 인용 | https://www.donga.com/news/It/article/all/20260415/133744699/2
- | 다글로 | AI 서비스 | 미상 | 랜섬웨어 | 주소 · 사진 · CI | 언론 인용 | https://m.ddaily.co.kr/page/view/2026041011194159703
- | 쿠팡 | 이커머스 | SMS·이메일 | - | 이름 · 주소 · 전화번호 · 계약 · 구매 · 결제 · 학교 | 언론 인용 | https://www.opinionnews.co.kr/news/articleView.html?idxno=132979
- | 사고링크 | 손해사정 플랫폼 | 미상 | 외부 침입·해킹 | 이름 · 생년월일 · 주소 · 휴대전화 · 전화번호 · 이메일 · 비밀번호 · 주민등록번호 · 카드번호 · 계좌 · 결제 · 사진 · 성별 | 언론 인용 | https://zdnet.co.kr/view/?no=20260120164726
- | K2코리아그룹 | 패션 | 미상 | 랜섬웨어 | 주소 · 차량 · 사진 | 언론 인용 | https://www.newsis.com/view/NISX20251111_0003397995
- | 도시가스사(대구) | 에너지 | 미상 | 랜섬웨어 | 이름 · 생년월일 · 연락처 · 비밀번호 · 카드번호 · 계좌 · 차량 · 직장 | 언론 인용 | https://www.imaeil.com/page/view/2025100412411211427
- | 쿠팡 | 이커머스 | 홈페이지 공지(수정) | - | 성명 · 이름 · 주소 · 전화번호 · 이메일 · 계좌 · 주문 · 배송지 · 결제 | 언론 인용 | https://news.einfomax.co.kr/news/articleView.html?idxno=4387618
원문을 못 구한 사건 19건 — 「통지가 없었다」가 아니라 「문안을 확보하지 못했다」입니다.
사업자 | 사유
위버스컴퍼니 | 공지판이 커뮤니티 멤버 로그인 전용이고 9월 6일 공지는 검색에도 잡히지 않습니다(2026-09-09 확인). 같은 회사의 1월 공지는 열려 있어 표에 따로 실었습니다
29CM(무신사) | 홈페이지 팝업으로만 알렸고 2026-09-09 현재 팝업이 내려갔습니다. 공지 목록 주소도 열리지 않고 웹 아카이브에도 남지 않았습니다 — 30일 게시가 끝난 것으로 보입니다
롯데케미칼 | 임직원에게만 보낸 사내 통지여서 대외 게시가 없습니다
쉽몽크(트레저 배송사) | 이메일로만 통지했고 게시판에 올리지 않았습니다 — 기사가 인용한 범위만 남았습니다
더불어민주당 블루웨이브 | 홈페이지 게시를 확인하지 못했습니다 — 기사가 전한 내용만 남았습니다
스픽 | 홈페이지와 앱에서 공지를 확인하지 못했습니다(2026-09-09) — 기사가 인용한 범위만 남았습니다
뉴지스탁 | 공지를 누르면 로그인 화면으로 넘어갑니다 — 회원만 볼 수 있는 통지입니다(2026-09-09 확인)
크레소티 | 홈페이지에서 공지를 확인하지 못했습니다(2026-09-09) — 기사가 인용한 범위만 남았습니다
BGF네트웍스(CU편의점택배) | 홈페이지에서 공지를 확인하지 못했습니다(2026-09-09) — 기사가 인용한 범위만 남았습니다
숨고(브레이브모바일) | 5월 11일 홈페이지 공지가 내려갔고(2026-09-09 확인) 고객센터 도움말에도 남아 있지 않습니다
오피스디포 | 홈페이지에서 공지를 확인하지 못했습니다(2026-09-09) — 기사가 인용한 범위만 남았습니다
듀오 | 보도에 따르면 개별 통지를 하지 않았습니다 — 통지문이 없는 사건입니다
부킹닷컴 | 이메일로만 통지했고 게시판에 올리지 않았습니다
다글로 | 홈페이지에서 공지를 확인하지 못했습니다(2026-09-09) — 기사가 인용한 범위만 남았습니다
쿠팡 | 2월 5일 추가 유출 안내는 문자와 이메일로 개별 발송했고 뉴스룸에는 올리지 않았습니다
사고링크 | 홈페이지에서 공지를 확인하지 못했습니다(2026-09-09) — 기사가 인용한 범위만 남았습니다
K2코리아그룹 | 회사가 유출이 없었다는 입장이어서 통지 대상 사건이 아닙니다
도시가스사(대구) | 보도가 사업자를 익명으로 적어 어느 회사의 공지를 찾아야 하는지 알 수 없습니다
쿠팡 | 「노출」을 「유출」로 고친 정정이 기존 공지를 수정하는 방식이어서, 정정만 따로 담은 글이 없습니다
---
# [데이터] 개인정보 분쟁조정 사례 조회
- URL: https://datalaw.kr/mediation/
- 요약: 개인정보 분쟁조정을 신청하면 어떤 결과가 나오는지를 위원회 공개 사례 전수로 정리한 페이지입니다. 개인정보분쟁조정위원회 사례 게시판이 공개한 조정결정 사례 전수를 연도·침해유형·위원회 판단 문구와 함께 표로 싣고, 손해배상 금액이 명시된 사례를 골라 볼 수 있게 했습니다. 소송까지 가지 않고 끝나는 개인정보 분쟁의 실제 모습 — 무엇이 인정되고 금액이 어느 수준인지 — 을 한 자리에서 비교할 수 있습니다.
- 출처: 개인정보분쟁조정위원회 분쟁조정 사례 게시판 (kopico.go.kr /mng/exammngMain.do) / 기준일 2026-09-11 / 수록 771건 (판단 문구에 금액 명시 218건)
- 판단 문구가 빈 행은 서술 형식이 다르거나 본문 없이 PDF만 첨부된 사례라 추출되지 않은 것이며 판단이 없었다는 뜻이 아닙니다. 회사명은 위원회 비실명 공개 수준을 따릅니다.
- 구분: 전건이 **조정결정사례**입니다. 위원회 게시판의 「조정결정 구분」 필터에는 조정전합의사례·기타사례가 따로 있으나 게시물이 0건이어서, 공개되는 것은 위원회가 판단까지 간 조정결정 사례뿐입니다. 값이 한 종류뿐이라 열로 싣지 않습니다 — **이 표를 「분쟁조정 신청 전체」의 분포로 읽지 마십시오.**
- 「위원회 판단」 칸은 「결론 — 첫 번째 이유」 순서입니다. 결론은 판단 문구 첫머리이며, 그것이 없으면 첨부 결정문의 주문에서 읽었습니다(「주문:」으로 시작하는 요지는 판단 문구가 없어 주문을 옮긴 것). 긴 이유는 문장 경계에서 줄이고 「…」로 표시했습니다.
연도 | 침해유형 | 제목 | 위원회 판단 (결론 — 첫 번째 이유) | 행 주소
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 홈페이지 게시물 착오 등록으로 개인정보가 유출된 것에 대한 손해배상 등 요구 | 손해배상(15만원), 재발방지 조치 — 유출된 정보는 신청인들이 정당에 가입되어 있지 않다는 사실만을 드러낼 뿐, 신념, 정당의 가입, 탈퇴 사실, 정치적 견해 등은 확인되지 않아 보호법 제23조가 적용되는 민감정보에 해당하지 않음 | https://datalaw.kr/mediation/#m-2200
2025 | 동의 없는 개인정보 수집 | 개인정보 수집‧이용에 의한 침해행위 중지 등 요구 | 재발방지 대책 마련 — 피신청인이 이미 신청인의 이메일 주소정보를 삭제처리 하였고, 향후에도 재발하지 않도록 하겠다는 취지로 약속하였으므로, 피신청인이 보호법을 위반하였다고 단정하기 어려움. 다만 이메일 주소가 개인정보 수집목적(고지사항 전달, 본인 의사 확인, 의사소통 등)에 관하여 필요 최소한의 정보라고 보기는 어려우므로, 이메일 정보 입력 없이도 이용자에게 서비스 제공할 필요성이 있음 | https://datalaw.kr/mediation/#m-2198
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(30만 원), 재발방지 조치 — 피신청인의 개인정보처리시스템 안전조치 의무 소홀 행위로 말미암아 신청인의 개인정보가 유출되었으므로, 신청인의 의사에 반하여 개인정보 자기결정권이 침해되었으며 스팸메일 등 2차 피해의 우려가 있는 점을 고려할 때… | https://datalaw.kr/mediation/#m-2189
2025 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 개인정보 미파기에 대한 손해배상 등 요구 | 기각 — 신청인이 파기를 요구하는 자료는 피신청인이 신청인이 제기한 소송에 대응하는 과정에서「민사소송법」제294조에 따른 사실조회 또는 제352조에 따른 문서송부의 촉탁에 관한 규정을 근거로 법원을 통하여 확보된 것이므로… | https://datalaw.kr/mediation/#m-2188
2025 | 동의 없는 개인정보 수집 | 동의 없는 광고성 문자 전송에 대한 손해배상 등 요구 | 기각 — 피신청인의 광고성 문자 전송행위는 개인정보 보호법 및 정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반에 해당함. 다만, 침해행위는 이미 중지되었고, 광고성 문자의 횟수, 침해 발생 시점과 분쟁조정 신청 시점의 간극, 신청인의 수신거부 의사표시가 없었던 점 등에 비추어볼 때 금전으로 위자할 정도의 정신적 손해는 발생하지 아니함 | https://datalaw.kr/mediation/#m-2178
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 열람 요구 불응에 대한 손해배상 등 요구 | 기각 — 개인정보처리자는 열람 요구를 하는 자에게 해당 개인정보처리자가 정하는 바에 따라 열람 요구에 필요한 실비의 범위에서 수수료를 청구할 수 있고, 영상분석 서비스업체에서 받은 견적서를 근거로 업체에서 청구한 실비의 범위 내에서 비용을 청구하였으므로… | https://datalaw.kr/mediation/#m-2170
2025 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 열람 및 이용에 따른 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-2169
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 민원 내용을 이송한 것에 대한 손해배상 등 요구 | 기각 — 피신청인은 민원접수 단계에서 기피부서 신청을 받고 있으며, 기피부서에 관한 판단은 법령상 강제사항이 아닌 행정 재량행위라고 안내 중임 | https://datalaw.kr/mediation/#m-2168
2025 | 동의 없는 개인정보 수집 | 동의 없이 민감정보를 처리한 것에 대한 손해배상 등 요구 | 기각 — 피신청인은 사고발생 시 현장에서 피신청인 담당자가 개인정보 수입·이용에 대한 민감정보 수집·이용(3자제공 포함)에 대한 동의서를 신청인으로부터 자필 서명을 받은 것이 확인되고 신청인도 자필서명을 인정함 | https://datalaw.kr/mediation/#m-2159
2025 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 수집․이용에 따른 손해배상 요구 | 손해배상(10만원) 및 재발방지 조치 — 신청인이 개인정보 수집에 동의하거나 경매관련 안내우편물 발송을 요구한 적이 없다는 점 등을 고려할 때, 피신청인이 전입세대인 신청인의 성명을 수집하고 우편발송한 행위는 보호법 제15조를 위반함 | https://datalaw.kr/mediation/#m-2158
2025 | 과도한 개인정보 수집 | 아파트 게시판에 글 작성 시, 성명․동 표시로 사생활을 침해하는 것에 대한 손해배상 등 요구 | 개선 조치 — 주문: 피신청인은 조정성립일로부터 6주 이내에 입주민이 아파트 홈페이지 게시판에 글을 작성하는 경우 성명을 표시하지 않도록 운영방식을 변경한다. | https://datalaw.kr/mediation/#m-2150
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 목적 외 이용 등에 대한 손해배상 등 요구 | 손해배상(25만원) 및 재발방지 조치 — 민감정보의 처리를 위해서는 보호법 제23조의 요건을 갖추어야 하는데 피신청인이 신청인으로부터 별도 동의를 받은 사정이 확인되지 아니하고 관련 법령에서도 처리를 요구하거나 허용하고 있지 않으므로 보호법 제23조를 위반하였다고 판단 | https://datalaw.kr/mediation/#m-2149
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 삭제 요구 거부 등에 대한 제도개선 등 요구 | 기각 — 신청인의 민방위 편성, 교육 훈련 등 민방위에 관한 사무를 처리하기 위하여 수집하고 있는 개인정보로서 과다하게 수집되고 있다거나 삭제를 요구할 수 있다고 볼 수 없음 | https://datalaw.kr/mediation/#m-2148
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 요구 | 손해배상(30만원) 및 재발방지 조치, 결정문 공개 — 피신청인은 상급자가 업무관련 단체대화방에 녹음파일을 공개한 행위에 대해 관리·감독할 의무가 있으므로 재발방지 조치 및 손해배상을 인정하는 것이 타당함 | https://datalaw.kr/mediation/#m-2139
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 따른 사생활 침해에 대한 손해배상 요구 | 재발방지 조치 및 나머지 신청 기각 — 피신청인은 검품업무의 정상수행과 장비 미반납 및 고장 대처 등을 위하여 수불대장을 운영하고 있고, 신청인의 주요업무는 재고관리로 신청인에게 개인정보를 기재하게 하는 것은 보호법을 위반하는 것이라 보기 어려움 | https://datalaw.kr/mediation/#m-2138
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없는 개인정보 제3자 제공에 따른 손해배상 요구 | 기각 — 변제 당일 채무잔액 전부가 변제되지 않아 피신청인이 부동산 가압류를 해제하지 않고 있는 상황에서, 이후 공인중개사가 가압류가 해제되지 않은 사유를 문의하자 이에 응하여 미변제된 잔액이라는 최소한의 정보를 제공한 것으로 그 필요성이 인정됨 | https://datalaw.kr/mediation/#m-2134
2025 | 과도한 개인정보 수집 | 과도한 개인정보 수집에 따른 침해행위의 중지 등 요구 | 기각 — 신청인은 피신청인이 증거자료 채택 시 본인 개인정보가 과도하게 포함되었다고 주장하며 개인정보 삭제를 요구하고 있으나, 피신청인이 부당해고 구제신청 사실조사를 위해 필요한 증거자료 수집 및 채택할지는 사실조사에 관해 규정하고… | https://datalaw.kr/mediation/#m-2133
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 따른 손해배상 등 요구 | 손해배상(15만원, 5만원) 및 재발방지 조치 — 피신청인이 개인정보의 안전성 확보 조치를 다하지 못한 행위로 인해 개인정보가 유출됨으로써 신청인들의 개인정보자기결정권이 침해된 점, 성명·핸드폰번호·상세주소 등의 유출된 개인정보로 보이스피싱… | https://datalaw.kr/mediation/#m-2132
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | CCTV영상의 열람 불응 및 동의없는 제3자 제공에 대한 손해배상 등 요구 | 기각 — 피신청인이 신청인에게 CCTV 영상 열람을 위해 방문열람을 안내하였고, 이후 정보주체 이외의 자에 대한 보호 조지 후 전송을 제안한 점을 미루어 보았을 때 이는 개인정보 열람을 거부한 것이라고 보기 어려움. | https://datalaw.kr/mediation/#m-2131
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보의 열람 요구 불응 및 동의 없는 파기（삭제）에 대한 손해배상 등 요구 | 열람 조치, 나머지 기각 — 주문: 1. 피신청인은 신청인의 개인정보 열람 요청에 대해 지체없이 처리하고 향후, 열람 절차가 지연되지 않도록 6주 이내에 소속 직원 등을 상대로 개인정보 보호교육을 실시하는 등 재발 방지 조치를 이행한다. 2. 신청인의 나머지 신청을 기각한다. | https://datalaw.kr/mediation/#m-2130
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 따른 손해배상 등 요구 | 손해배상(120만원) — 주문: 피신청인은 조정성립일로부터 4주 이내에 신청인들에게 손해배상금 각 1,200,000원을 지급한다. | https://datalaw.kr/mediation/#m-2129
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(①주민번호 등 유출: 25만원, ② 성명 등 유출: 15만원), 재발방지 조치 — ①피신청인의 개인정보의 안전성 확보 조치를 다하지 못한 행위로 인해 개인정보가 유출됨으로써 신청인들의 개인정보자기결정권이 침해된 점, 성명·생년월일·이메일·주민등록번호 등의 유출된 개인정보로 보이스피싱… | https://datalaw.kr/mediation/#m-2128
2025 | 동의 없는 개인정보 수집 | 피신청인이 동의 없이 신청인의 타사 실손보험을 조회한 것에 대한 손해배상 등 요구 | 손해배상 기각, 재발방지 조치 — 피신청인이 실손보험 공동조회로 조회할 수 있는 것은 자녀의 실손보험에 한정되며, 신청인의 동의의사도 피신청인이 자녀 실손보험을 조회하는 것은 예상할 수 있지만 자신의 실손보험까지 조회하는 것은 예측할 수 없음. 다만 피신청인은 위 사건이 재발하지 않도록 소속 직원을… | https://datalaw.kr/mediation/#m-2118
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 정보공개 청구자료를 동의 없이 이송한 것에 대한 손해배상 등 요구 | 기각 — 피신청인이 신청인의 이 사건 정보공개청구서를 각 시도 소방본부로 이송한 행위는 보호법 제17조 제1항 제2호, 제15조 제1항 제3호에 따라 공공기관인 피신청인이 법령 등에서 정하는 소관 업무의 수행을 위하여… | https://datalaw.kr/mediation/#m-2108
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없는 목적 외 이용에 대한 재발방지 조치 등 요구 | 재발방지 조치, 기각 — 피신청인은 신청인의 직장명 정보는 인터넷 검색을 통해 알 수 있는 공개된 정보라고 주장하고, 신청인은 피신청인이 직장명을 활용했다는 명확한 증빙자료가 없어 보호법을 위반으로 보기 어려움. 피신청인이 신청인의 메일을 안전하게 관리하지 못한 부분은 있음 | https://datalaw.kr/mediation/#m-2103
2025 | 동의 없는 개인정보 수집 | 동의 없이 사진 등을 개시한 것에 대한 손해배상 등 요구 | 재발방지 조치, 나머지 기각 — 이 사건에서 피신청인이 이 사건 게시물 등을 작성하는 과정에서 신청인으로부터 별도의 동의를 받은 사실을 인정할 수 없으므로, 보호법 제15조 위반으로 판단되며, 공개적으로 작성한 글을 재사용한다고 하더라도 본인에게 명시적인 동의를 받고… | https://datalaw.kr/mediation/#m-2102
2025 | 기타 개인정보 침해 | CCTV 영상열람 거부 등에 따른 손해배상 등 요구 | 각하 — 분쟁조정위원회는 당사자간의 개인정보에 관한 분쟁을 조정할 수 있으나, 신청인이 요구한 CCTV 영상은 본인을 불법 촬영하는 제3자가 촬영된 영상으로 피신청인으로부터 자신의 개인정보 침해가 발생한 것은 아닌 것으로… | https://datalaw.kr/mediation/#m-2101
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 제3자 제공에 따른 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인이 당초 민원 접수 당시 개인정보의 수집 목적을 벗어난 이용이라고 볼 수 있으므로 보호법 제17조 및 제18조를 위반하였으며, 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 소속 공무원에 대한 관리·감독을 소홀히 하여… | https://datalaw.kr/mediation/#m-2100
2025 | 기타 개인정보 침해 | 개인정보의 수집출처를 통지하지 않은 것 등에 대한 손해배상 등 요구 | 손해배상(5만원), 재발방지 조치 — 이 사건에서 신청인은 피신청인에게 개인정보 수집 출처를 문의하였으나, 피신청인이 해당 문의에 대해서 회신하지 아니한 사실이 인정되므로, 이와 같이 피신청인이 신청인의 개인정보 수집출처 고지에 응하지 아니한 행위는 보호법 제20조 위반이며… | https://datalaw.kr/mediation/#m-2099
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 수사기록에 대한 보안조치를 소홀히 하여 개인정보가 유출된 것에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인은「검사와 사법경찰관의 상호협력과 일반적 수사준칙에 관한 규정」제5조 제2항에 따라 수사의 전 과정에서 피의자와 사건 관계인의 사생활의 비밀을 보호하여야 하는 의무가 있는데, 담당수사관이 수사서류를 A가 혼자있는 조사실에 그대로 방치하여… | https://datalaw.kr/mediation/#m-2098
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 휴대전화번호 유출에 따른 손해 배상 등 요구 | 재발방지 조치, 나머지 기각 — 피신청인은 우편발송과 관련 관리적·기술적 안전조치 의무를 충분히 이행하지 않아 이 사건 우편봉투에 신청인의 휴대전화번호가 기재되었으므로 이는 보호법 제29조에 따른 의무를 다하지 못하였다고 봄이 타당하며, 피신청인은 같은 사건이 재발하지 않도록 철저한 점검방안 마련 및 재발방지 교육 등을 실시할 필요가 있음. 다만, 이 사건 우편물은 신청인이 직접 수령하였고… | https://datalaw.kr/mediation/#m-2094
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 안전조치의무 미이행 등에 따른 손해배상 등 요구 | 기각 — 신청인은 주소가 무단 변경되었다는 주장에 대해 객관적인 자료를 제출하지 못하고 있으며, 오히려 피신청인이 제출한 자료에 따르면 계약서의 주소가 변경된 사실이 없고, 신청인의 개인정보가 유출되었다고 인정할 만한 객관적인 자료도 부족함 | https://datalaw.kr/mediation/#m-2092
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 목적 외 이용 등에 따른 손해배상 등 요구 | 재발방지 조치 — 신청인은 성명이 게시되었다는 사실보다 과거 신청인이 민원을 제기했었던 사실이 게시된 것에 관하여 개인정보 침해를 주장하고 있으며, 피신청인들이 해당 사실을 게시한 이유가 아파트의 원활한 관리, 입주자의 권익 증진 등을 위한 것으로 보이므로… | https://datalaw.kr/mediation/#m-2091
2025 | 기타 개인정보 침해 | 개인정보 보호 원칙 위반에 대한 손해배상 등 요구 | 손해배상(10만원) 및 재발방지 조치 — 피신청인은 금융투자협회로부터 사망 취소 쿼리를 수신하였음에도 이를 사망 등록 쿼리로 처리한 것은 피신청인이 사망 취소/등록을 구분하지 아니하고 처리하였기 때문인 것으로 확인됨 | https://datalaw.kr/mediation/#m-2090
2025 | 침해사실 확인곤란 | 휴대전화기기 기능 설정 관련 손해배상 등 요구 | 각하 — 피신청인이 주장하는 휴대전화기 기능 설정 관련사항은 분쟁조정 위원회의 업무 범위인 개인정보에 관한 분쟁조정을 벗어난 사항이므로 보호법 제48조, 「개인정보 분쟁조정위원회 운영세칙」 제29조 제1항 제1호에 따라 이 사건 조정신청을 각하함 | https://datalaw.kr/mediation/#m-2089
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보의 열람요구 거부에 따른 침해행위의 중지 등 요구 | 기각 — 피신청인이 신청인의 개인정보 열람요구를 거부한 행위는 보호법 제35조 제4항 제1호 및 「통신비밀보호법」에 따른 행위에 해당하므로 이를 두고 보호법을 위반하였다고… | https://datalaw.kr/mediation/#m-2088
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 수집 목적 외 이용에 따른 손해배상 등 요구 | 손해배상(5만원), 재발방지 조치 — 피신청인이 신청인의 정보공개 청구서를 비식별 조치 없이 소속직원들에게 공유함으로 소속 직원들이 신청인의 개인정보에 대한 불필요한 접근과 오·남용 방지를 위한 관리·감독을 소홀히 하여 보호법 제28조를 위반함 | https://datalaw.kr/mediation/#m-2087
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출 등에 따른 손해배상 등 요구 | 손해배상(5만원), 재발방지 조치 — 손해의 인정범위에 대하여 오해가 소지가 없도록 문구 수정 | https://datalaw.kr/mediation/#m-2086
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 부동산 매매계약 관련 ｢개인정보 보호법｣ 위반여부 판단 및 위법행위에 대한 손해배상 등 요구 | 기각 — 이 사건에서 A는 신청인에게 자신의 연락처를 제공하는 점에 관하여 명백한 거절의 의사를 표시하였으므로, 보호법 제17조에 따라 피신청인은 신청인에게 A의 연락처를 제공하여서는 아니됨 | https://datalaw.kr/mediation/#m-2085
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 제3자 제공에 따른 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 신청인의 동의 없이 이 사건 민원 처리결과를 센터에 제공한 것은 당초 민원 접수 당시 개인정보의 수집 목적을 벗어난 이용이라고 볼 수 있으므로 보호법 제17조 및 제18조 위반임 | https://datalaw.kr/mediation/#m-2084
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 수집 목적 외 이용에 따른 손해배상 등 요구 | 손해배상(5만원), 재발방지 조치 — 피신청인이 신청인의 정보공개 청구서를 비식별 조치 없이 소속직원들에게 공유함으로 소속 직원들이 신청인의 개인정보에 대한 불필요한 접근과 오·남용 방지를 위한 관리·감독을 소홀히 하여 보호법 제28조를 위반함 | https://datalaw.kr/mediation/#m-2083
2025 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 이용 등에 따른 손해배상 등 요구 | 기각 — 신청인이 카카오톡을 통해 피신청인의 수탁자인 보험설계사 A에게 보험설계 거절 의사를 표시한 것이 개인정보 처리정지의 요구나 동의 철회에 해당한다고 보기 어려우며, 피신청인이 A의 개인정보 처리에 대하여 관리·감독을 미흡하게 하였다고… | https://datalaw.kr/mediation/#m-2082
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출 등에 따른 손해배상 등 요구 | 열람 조치, 나머지 기각 — 주문: 1. 피신청인은 조정성립일로부터 4주 이내에 ‘진료기록 열람 및 사본발급 동의서’와 ‘진료기록 열람 및 사본발급 위임장’의 수임인을 공란으로 서명을 받는 체계를 개선하여야 한다. 2. 신청인의 나머지 신청을 기각한다. | https://datalaw.kr/mediation/#m-2081
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 목적 외 이용 등에 대한 손해배상 등 요구 | 손해배상 5만원, 나머지 신청 기각 — 신청인의 제출 자료에 의하면 피신청인이 신청인에게 광고성 메시지를 발송한 사실을 인정할 수 있고, 이는 동의 없이 발신된 것으로 추단됨 | https://datalaw.kr/mediation/#m-2080
2025 | 기타 개인정보 침해 | 공개된 장소에서 일부 휴대전화번호로 호출한 것에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 등 기각 — 공개된 장소에서 개인을 개인정보인 휴대전화번호 4자리로 호출하는 것은 문제가 있으므로… | https://datalaw.kr/mediation/#m-2079
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 제3자 제공에 대한 손해배상 등 요구 | 손해배상(20만원) 및 재발방지 조치 — 피신청인이 다른 응모자에게 신청인들의 성명과 휴대전화번호를 제공하였고, 이로 인하여 신청인들이 A씨로부터 야간에 연락을 받게 된 점 등 신청인들이 정신적 고통을 겪었음을 인정할 수 있는바 피신청인은 신청인들에게 손해를 배상할 책임이 있음 | https://datalaw.kr/mediation/#m-2078
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 따른 손해배상 등 요구 | 손해배상금(50만원) — 피신청인이 개인정보를 안전하게 관리하지 않고, 정보주체에게 동의받은 개인정보 제3자 제공 범위를 초과하여 신청인의 개인정보가 검색포털에 유출되어 신청인의 의사에 반하여 개인정보자기결정권이 침해함 | https://datalaw.kr/mediation/#m-2070
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 따른 손해배상 등 요구 | 손해배상(15만원) — 피신청인이 개인정보의 기술적·관리적 안정성 확보 조치를 소홀히 하여 개인정보가 유출되었고, 2차 피해의 우려가 있는 점 등을 고려할 때, 신청인들이 정신적 고통을 겪었음을 인정할 수 있는 바 피신청인은 신청인들에게 손해를 배상할 책임이 있음 | https://datalaw.kr/mediation/#m-2069
2025 | 동의 없는 개인정보 수집 | 개인 휴대전화를 이용하여 업무를 처리한 것에 대한 손해배상 등 요구 | 기각 — 신청인이 자필로 서명한 피신청인의 개인(신용)정보 수집‧이용‧제공‧조회 동의서에 따르면, 피신청인은 개인정보의 수집 목적으로 채무조정 등 업무 상담 및 지원을 명시하고 있음을 확인할 수 있고… | https://datalaw.kr/mediation/#m-2068
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 열람요구에 불응한 것 등에 대한 손해배상 등 요구 | 재발방지 조치, 기각 — 신청인이 보호위원회를 통하여 요청한 개인정보 열람요구서가 피신청인의 담당자현황 관리(최신화) 소홀로 전달되지 못한 점이 인정되므로 재발방지 대책 마련 필요 | https://datalaw.kr/mediation/#m-2059
2025 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 처리한 것에 대한 손해배상 등 요구 | 기각 — 피신청인은 신청인의 요구에 따라 개인정보 정정·삭제 요구를 받은 날부터 10일 이내에 개인정보의 정정·삭제 등의 조치를 하였으므로 보호법 제36조 제2항을 위반하였다고 보기 어려움 | https://datalaw.kr/mediation/#m-2050
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없는 개인정보 국외이전에 대한 손해배상 등 요구 | 손해배상(20만원) — 피신청인은 B와의 위수탁 계약에 의해 개인정보를 제공하였으므로 동의 없는 국외 이전이 가능하다고 주장하나, 피신청인이 제3자인 B에게 A의 결제수단 연동을 위한 NSF 모델 구축 및 점수 산출을 위해 신청인들에게 별도 동의를 받거나… | https://datalaw.kr/mediation/#m-2049
2025 | 동의 없는 개인정보 수집 | 동의 없이 사진을 홈페이지에 게시한 것에 대한 손해배상 등 요구 | 손해배상(신청인들 각 5만원), 재발방지 조치 — 피신청인이 신청인들의 개인정보를 수집이용하는 과정에서 신청인들의 동의를 받은 사실을 확인할 수 없으므로, 피신청인은 보호법 제15조 제1항을 위반한 것으로 판단됨. 다만 피신청인이 신청인들의 삭제 요구에 응하여 해당 사진을 즉시 삭제한 점, 피신청인이 이 사건 조정과정에서… | https://datalaw.kr/mediation/#m-2048
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 전산망 해킹으로 인한 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(중요정보 15만원, 일반정보 5만원), 재발방지 조치 — 피신청인이 안전조치 의무 등을 다하지 못하여 개인정보가 유출됨으로써 개인정보자기결정권이 침해되었으며, 유출된 개인정보도 회수되지 않아 스팸메일 등 2차 피해 우려가 있어, 신청인들이 정신적 고통을 겪었음을 인정할 수 있음 | https://datalaw.kr/mediation/#m-2039
2025 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(15만원), 재발방지 조치 — 피신청인이 비밀번호 변경과 같이 민감한 데이터에 접근하는 기능을 구현하면서 적절한 점검 없이 소스코드를 도입·배포한 행위 및 사전에 공격 시도를 의심할 수 있는 과도한 접속 시도가 있었음에도 이를 확인하지 못하는 등 안전조치를 다하지 않은 행위는… | https://datalaw.kr/mediation/#m-2038
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인영상정보 열람 거절 등에 따른 손해배상 등 요구 | 재발방지 조치 — 피신청인은 영상정보 열람 방법 및 절차 등을 구체적으로 알 수 있도록 제도를 개선할 필요 | https://datalaw.kr/mediation/#m-2029
2025 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 처리한 것에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 피신청인이 동의 없이 개인정보를 처리한 것은 보호법을 위반한 것으로 이와 같은 일이 발생되지 않도록 소속직원 대상 재발방지 교육을 실시할 필요가 있음 | https://datalaw.kr/mediation/#m-2028
2025 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 수집에 대한 침해행위 중지 등 요구 | 기각 — 신청인이 피신청인으로부터 메일을 받게 된 사실은 인정되나, 이는 피신청인이 신청인 이메일과 대소문자가 다른 유사한 이메일을 사용하는 회원에게 안내메일을 발송하는 과정에서… | https://datalaw.kr/mediation/#m-2024
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 제3자에게 제공한 것에 대한 손해배상 등 요구 | 손해배상 및 재발방지 조치 — 본 건의 정보공개 청구내역은 도시정비법 제124조 제1항 내지 같은 법 시행령 제94조 각호 소정의 필수 공개대상이 되는 서류 등에 해당한다고는 보기 어렵고, 특히 정보공개를 청구한 자의 성명 등은 공개대상 정보에 해당한다고는 볼 수 없음 | https://datalaw.kr/mediation/#m-2023
2025 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 삭제 요구 불응에 대한 손해배상 등 요구 | 기각 — 피신청인은 신청인의 개인정보 삭제 요청에 따라 삭제 완료하고, 신청인에게 삭제 완료 문자를 회신한 것은 보호법 제36조 제2항에 따라 처리한 것으로 보여짐 | https://datalaw.kr/mediation/#m-2022
2025 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 처리정지 요구 거절 등에 대한 침해행위 중지 요구 | 침해행위 중지 — 피신청인이 신청인의 개인정보 처리정지 요구를 거절한 행위는 피신청인이 신청인의 개인정보 처리정지 요구를 거절하지 아니하면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우에 해당하므로… | https://datalaw.kr/mediation/#m-2021
2024 | 동의 없는 개인정보 수집 | 문자수신을 거부하였음에도 문자를 발송한 것에 대한 손해배상 등 요구 | 기각 — 피신청인이 업무처리를 위하여 신청인의 연락처를 저장하였고, 신청인이 민원을 제기하자 개인정보를 삭제처리하였으나, 피신청인의 휴대전화 동기화 과정에서 신청인의 연락처가 착오로 포함되어 문자를 발송하게 된 것은 실수에 불과한 것으로 이를 두고… | https://datalaw.kr/mediation/#m-2004
2024 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 열람청구 거부에 대한 침해행위 중지 등 요구 | 기각 — 미환수 수수료 채권 회수를 위하여 개인정보를 보유하는 것은 보호법에 위반되지 않음. 신청인의 재직 당시는 보호법 제정 이전으로 민간기업의 개인정보 동의 의무에 대하여 강제규정이 없었음 | https://datalaw.kr/mediation/#m-2003
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 무단 이관한 것에 대한 손해배상 등 요구 | 기각 — 피신청인 소속 감사관실은 신청인의 개인정보가 담긴 다수의 국민신문고 민원을 소방본부로 이관하였으나 이는 피신청인 소속의 보조기관인 감사관실이 피신청인의 업무 수행을 위하여 다른 보조기관인 소방본부로 민원을 이송한 것에 불과할 뿐… | https://datalaw.kr/mediation/#m-2002
2024 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 수집에 대한 침해행위 중지 등 요구 | 기각 — 피신청인은 제3자 회원가입하면서 오기재한 이메일 주소로 회원가입 환영 메일이 자동 발송된 것으로 피신청인이 신청인의 개인정보를 수집하고자 하는 의도는 없었고, 신청인의 개인정보를 삭제처리하고, 이메일 인증시스템 도입 등 재발방지 약속함 | https://datalaw.kr/mediation/#m-2001
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 제3자 제공에 대한 제도개선 등 요구 | 재발방지 조치 — 2개 서비스의 개인정보처리자가 동일한 이상, 피신청인이 2개의 서비스를 하나의 개인정보처리시스템으로 관리하고 있는 행위만으로 보호법 제17조 등 위반에 해당한다고 보기 어려움 | https://datalaw.kr/mediation/#m-2000
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 기각 — 신청인은 기기변경 과정에서 개인정보의 수집이 발생했고 이로 인하여 유출사고가 발생할 우려가 있다고 주장하고 있으나, 이에 대한 증빙자료는 달리 제출하지 못하고 있고, 피신청인은 신청인의 개인정보가 기기변경 과정에서… | https://datalaw.kr/mediation/#m-1999
2024 | 과도한 개인정보 수집 | 예약정보 외 신분증 확인 등 과도한 개인정보수집에 대한 침해행위의 중지 등 요구 | 기각 — 피신청인이 「주민등록법」 제25조 제1항에 따라 신청인의 신분증을 확인한 것은 「개인정보 보호법」 제15조 제1항의 수집에 해당한다고 볼 수는 없으므로, 피신청인이 「개인정보 보호법」을 위반하였다고… | https://datalaw.kr/mediation/#m-1998
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 해킹으로 인한 개인정보 유출에 대한 손해배상 등 요구 | 손해배상, 재발방지 조치 — 피신청인이 안전성 확보조치를 다하지 못하여 개인정보가 유출됨으로써 개인정보자기결정권이 침해되었음. 유출된 개인정보도 회수되지 않아 보이스피싱 등 2차 피해우려가 있어, 신청인들이 정신적 고통을 겪었음을 인정할 수 있음 | https://datalaw.kr/mediation/#m-1988
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 민원제기 사실을 제공·공유한 것에 대한 손해배상 등 요구 | 기각 — 피신청인1의 진술이 사실조사 과정에서 원장 모임에서 들은 정보가 아니라 노동위원회 조사관들의 대화를 우연히 듣게 된 것으로 변경되는 등 일관성이 없으며, 신청인의 주장을 입증할 만한 다른 증거가 존재하지 않으므로 법 위반 주장을 받아들일 수 없음 | https://datalaw.kr/mediation/#m-1968
2024 | 기타 개인정보 침해 | 개인정보 유출에 따른 손해배상 등 요구 | 기각 — 신청인은 피신청인의 시스템 오류로 인하여 이메일이 오전송되었다고 주장하고 있고, 피신청인은 신청인이 기재한 이메일 수신자가 수신메일을 특정 이메일로 전달되도록 한 경우 등에서 발생하며 이는 해당 수신자들의 메일 시스템에서 처리되는 것으로… | https://datalaw.kr/mediation/#m-1967
2024 | 개인정보보호 기술적·관리적·물리적 조치미비 | 신청인의 민원제기 사실을 유출한 것에 대한 재발방지 등 요구 | 기각 — 피신청인 사무국장이 신청인의 민원제기 사실을 발설한 행위는 피신청인 사무국장 개인이 공개된 장소에서 자신의 추측을 부주의하게 언급한 행위에 불과한것으로서, 해당 행위가 형사법상 명예훼손에 해당하는지 여부는 별론으로 하더라도 이를 두고… | https://datalaw.kr/mediation/#m-1966
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 목적 외 제3자 제공에 대한 재발방지 조치 요구 | 재발방지 조치 — 신청인은 강의 반대 민원의 처리를 위해 피신청인에게 자신의 개인정보를 제공하였고, A경찰서에 접수된 고소 사건이 피신청인의 강의 취소 및 신청인의 민원 제기와 직접적으로 관련되어 있었으며… | https://datalaw.kr/mediation/#m-1965
2024 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 열람 요구 불응에 대한 손해배상 등 요구 | 기각 — 피신청인이 신청인의 신분증 제출을 요구한 것은 피신청인으로서는 신청인의 개인정보 열람 요구에 응하기에 앞서 신청인의 신원을 확인하는 과정이 필수적임 | https://datalaw.kr/mediation/#m-1964
2024 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 수집·제공 등에 따른 손해배상 등 요구 | 기각 — 신청인은 동의 없이 개인정보를 수집 및 이용하고, 수집 목적에 부합하지 않은 소득증명 서류를 요구하였다고 하나, 공공기관은 법령 교육공무원 인사기록 및 인사사무 처리에 관한 법령에서… | https://datalaw.kr/mediation/#m-1963
2024 | 동의 없는 개인정보 수집 | CCTV 설치에 따른 침해행위 중지의 요구 | 침해행위 중지 — 이 사건 CCTV가 현재 같은 형태로 운영할 경우 복도뿐만 아니라 남녀 화장실의 일부가 촬영되는 등 사생활 침해의 우려가 있으므로, 보호법 제3조 제6항 및 같은 법 제25조 제2항이 위반될 소지가 있는 것으로 보이므로… | https://datalaw.kr/mediation/#m-1962
2024 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 삭제요구 거부에 대한 손해배상 등 요구 | 손해배상(10만원) 및 재발방지 조치 — 피신청인은 신청인이 수차례 삭제 요구하였음에도 불응하였으며, 삭제 요구 이후에도 신청인에게 재차 문자 안내를 발송하는 등 「개인정보 보호법」 제3조 제3항과 제36조를 위반하였으며, 이로 인하여 신청인은 정신적 손해를 입었다고 인정할 수 있음 | https://datalaw.kr/mediation/#m-1961
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없는 제3자 제공 등 침해행위의 중지 등 요구 | 기각 — 피신청인이 임시대의원총회를 개최하면서 해당 총회의 의사록을 작성하고 이를 피신청인 소속 조합원들이 가입할 수 있는 카페에 게시하는 행위는 「협동조합 기본법」 및 정관에 따른 것으로서 「개인정보 보호법」에 따르더라도 허용되는 것으로 봄이 상당함 | https://datalaw.kr/mediation/#m-1960
2024 | 과도한 개인정보 수집 | 개인정보처리방침 마련 등 재발방지 요구 | 재발방지 조치(개인정보 처리방침 마련) — 피신청인들은「CCTV 관리운영 규정」에 따라 개인정보의 보유기간이 정해져 있다고 주장하나, 이는 영상정보의 보유기간일뿐 차량번호를 인식하고 데이터화하여 저장하는 차량 출입기록에 대한 보유기간으로 볼 수 없음 | https://datalaw.kr/mediation/#m-1959
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 제3자에게 제공한 것에 대한 재발방지 요구 | 기각 — 피신청인이 민원의 적절한 처리와 결과 통지를 위해서 신청인의 개인정보를 수집한 행위는 보호법 제15조 제1항 제2호 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, 제3호 공공기관이 법령 등에서… | https://datalaw.kr/mediation/#m-1956
2024 | 과도한 개인정보 수집 | 카드로 결제한 모든 거래내역에 대한 소명자료 제출을 요청한 것은 과도하다며 손해배상 등 요구 | 기각 — 피신청인이 카드 거래내역의 소명자료를 수집한 것은 「개인정보 보호법」 제15조 제1항 제1호와 제4호 따라 처리한 것이므로 적법함 | https://datalaw.kr/mediation/#m-1955
2024 | 과도한 개인정보 수집 | 복권판매인 지도점검 시, 과도한 개인정보 요구에 대한 침해행위 중지 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1954
2024 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보 유출에 따른 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 주문: 1. 피신청인은 조정성립일로부터 4주 이내에 신청인들에게 각 손해배상금 100,000원을지급한다. 2. 피신청인은 조정성립일로부터 6주 이내에 안전성 확보조치 등 재발방지 대책을 마련하고 이행한다. | https://datalaw.kr/mediation/#m-1953
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 의료자문 기관이 아닌 곳에 개인정보를 유출한 행위 등에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1952
2024 | 과도한 개인정보 수집 | 아파트 동호수 표시 등 과도한 개인정보 수집·이용에 대한 침해행위 중지 요구 | 개선 조치 — 주문: 피신청인들은 조정성립일로부터 6주 이내에 이 사건 카페를 이용하려는 입주민이 닉네임을 동·호수로 표기하지 않아도 이 사건 카페를 이용할 수 있도록 운영방식을 변경한다. | https://datalaw.kr/mediation/#m-1951
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 동의 없이 시술 전․후 사진을 게시한 행위에 대한 손해배상 등 요구 | 손해배상(300만원), 재발방지 조치 — 주문: 1. 피신청인은 조정성립일로부터 4주 이내에 신청인에게 손해배상금 3,000,000 원을 지급한다. 2. 피신청인은 조정성립일로부터 6주 이내에 소속 직원들을 대상으로 개인정보 보호교육을 실시하는 등 재발방지 조치를 이행한다. | https://datalaw.kr/mediation/#m-1950
2024 | 수집한 목적 외 이용 또는 제3자 제공 | CCTV 영상을 목적 외로 이용한 행위에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1949
2024 | 과도한 개인정보 수집 | 본인확인 시 생년월일을 요구한 것에 대한 재발방지 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1944
2024 | 동의 없는 개인정보 수집 | 동의 없이 CCTV 영상정보를 수사기관에 제공한 것에 대한 손해배상 등 요구 | 각하 | https://datalaw.kr/mediation/#m-1943
2024 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 이용에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1942
2024 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 제공 및 이용에 대한 손해배상 등 요구 | 손해배상(100만원), 재발방지 조치 — 주문: 1. 피신청인은 조정성립일로부터 4주 이내에 신청인에게 손해배상금 1,000,000원을 지급한다. 2. 피신청인은 조정성립일로부터 6주 이내에 소속 직원들을 대상으로 개인정보 보호교육을 실시하는 등 재발방지 조치를 이행한다. | https://datalaw.kr/mediation/#m-1941
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1940
2024 | 개인정보보호 기술적·관리적·물리적 조치미비 | 신청인의 개인정보를 제3자에게 오발송한 것에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 신청인의 손해배상 신청을 기각한다. 2. 피신청인은 조정성립일로부터 6주 이내에 이와 같은 사건이 재발하지 않도록 내부지침을 정비하는 등의 재발방지 조치를 이행한다. | https://datalaw.kr/mediation/#m-1939
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 제3자에게 제공한 것 등에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 신청인의 손해배상 신청을 기각한다. 2. 피신청인들은 조정성립일로부터 6주 이내에 이와 같은 사건이 재발하지 않 도록 소속 직원들을 대상으로 개인정보보호 교육을 실시하는 등 재발방지 조치를 이행한다. | https://datalaw.kr/mediation/#m-1938
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(5만원·20만원) 등 — 주문: 1. 피신청인은 조정성립일로부터 4주 이내에 신청인 11, 14, 17에게 각각 손 해배상금 50,000원을 지급한다. 2. 피신청인은 조정성립일로부터 4주 이내에 신청인 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 12, 13, 15, 16, 18, 19, 20, 21에게 각각 손해배상금 200,000원을 지급한다. … | https://datalaw.kr/mediation/#m-1937
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 노출에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1936
2024 | 동의 없는 개인정보 수집 | 보험금 지급 조사 과정에서 전직장에 연락하여 동의없이 개인정보 수집 및 이용한 행위에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1935
2024 | 과도한 개인정보 수집 | 아파트 동‧호수 표시 등 과도한 개인정보 | 개선 조치 — 주문: 피신청인들은 조정성립일로부터 6주 이내에 이 사건 커뮤니티를 이용하려는 입주민이 닉네임에 동·호수를 함께 표기하지 않아도 이 사건 커뮤니티를 이용할 수 있도록 운영방식을 변경한다. | https://datalaw.kr/mediation/#m-1934
2024 | 개인정보보호 기술적·관리적·물리적 조치미비 | 제3자에 의한 개인정보 침해에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1933
2024 | 과도한 개인정보 수집 | 예약정보 외 신분증 확인 등 과도한 개인정보 수집에 대한 침해행위 중지 요구 | 기각 | https://datalaw.kr/mediation/#m-1932
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출 등에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1931
2024 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 주민등록번호 수집 및 녹취 열람 거부에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1930
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없는 개인정보 제3자 제공에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 신청인의 손해배상 신청을 기각한다. 2. 피신청인은 조정성립일로부터 6주 이내에 내부 업무절차를 개선하고 소속 직원을 상대로 개인정보보호교육을 실시하는 등 재발방지 조치를 이행한다 | https://datalaw.kr/mediation/#m-1929
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 제3자 제공에 따른 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1928
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1927
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출 등에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 신청인의 손해배상 신청을 기각한다. 2. 피신청인은 안전성 확보조치 등 재발방지 대책을 마련하고 이행한다. | https://datalaw.kr/mediation/#m-1926
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 제3자가 신청인으로 사칭한 것에 대하여 재발방지 조치 요구 | 침해행위 중지 — 주문: 피신청인은 신청인이 이용하는 피신청인의 소셜 네트워크 서비스에서 신청인의 개인정보(신상 등)를 제3자가 도용하는 등 신청인의 개인정보가 신청인의 개인 정보에 관한 권리를 침해하는 방법으로 처리되는 것을 지체없이 중지하고 처리가 중지된 신청인의 개인정보를 파기하는 등 필요한 조치를 취한다. | https://datalaw.kr/mediation/#m-1908
2024 | 동의 없는 개인정보 수집 | 사무실 CCTV를 목적 외 이용하여 직원사찰·감시한 것에 대한 손해배상 요구 | 기각 | https://datalaw.kr/mediation/#m-1907
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 진행된 가족결합 통신요금 가입에 대한 손해배상 요구 | 손해배상(30만원), 재발방지 조치 — 주문: 피신청인은 조정성립일로부터 4주 이내에 신청인에게 금 300,000원의 손해배 상금을 지급하며, 동일한 사건이 발생하지 않도록 재발 방지 조치를 취한다. | https://datalaw.kr/mediation/#m-1906
2024 | 동의 없는 개인정보 수집 | 동의없는 대중교통실태조사 설문전화 에 대한 손해배상 요구 | 기각 | https://datalaw.kr/mediation/#m-1905
2024 | 동의 없는 개인정보 수집 | 구인등록 시 게시한 전화번호 이용, 동의없는 광고문자 발송에 대한 손해배상 요구 | 기각 | https://datalaw.kr/mediation/#m-1904
2024 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보 불법 보유에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1903
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 동의없이 개인정보를 제3자에게 제공한 행위에 대한 재발방지 및 손해배상 요구 | 기각 | https://datalaw.kr/mediation/#m-1901
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 사적 이용에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1900
2024 | 동의 없는 개인정보 수집 | 동의없는 광고 메일 발송 및 수집출처 미고지에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 주문: 1. 피신청인은 신청인에게 조정성립일로부터 4주 이내에 손해배상금 100,000원 을 지급한다. 2. 피신청인은 조정성립일로부터 6주 이내에 내부 업무절차를 개선하고 소속 직 원을 상대로 개인정보보호교육을 실시하는 등 재발방지 조치를 이행한다. | https://datalaw.kr/mediation/#m-1899
2024 | 개인정보보호 기술적·관리적·물리적 조치미비 | 퇴사한 전 직장 거래처에서 업무관련 연락이 지속되는 것에 대한 개인정보 침해금지 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1898
2024 | 동의 없는 개인정보 수집 | 동의없는 CCTV 열람에 대한 침해행위중지 및 손해배상 요구 | 기각 | https://datalaw.kr/mediation/#m-1892
2024 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 수집에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1891
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 민원내용을 제3자에게 알린 것 등에 대한 재발방지 및 손해배상 등 요구 | 재발방지 조치, 손해배상(10만원) — 주문: 1. 피신청인은 조정성립일로부터 6주 이내에 이와 같은 사건이 재발하지 않도록 소속 직원들을 대상으로 개인정보보호 교육을 실시하고, 내부 지침을 정비하는 등의 재발방지 조치를 이행한다. 2. 피신청인은 조정성립일로부터 4주 이내에 신청인에게 금 10만원의 손해 배상금을 지급한다. | https://datalaw.kr/mediation/#m-1890
2024 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 보유기간이 경과한 개인정보 삭제 및 제도개선 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 신청인들의 손해배상 신청을 기각한다. 2. 피신청인은 안전성 확보조치 등 재발방지 대책을 마련하고 이행한다. | https://datalaw.kr/mediation/#m-1889
2024 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 열람 거부에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1888
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 타인에게 민감정보를 동의 없이 제공한 것에 대한 손해배상 요구 | 손해배상(150만원) — 주문: 피신청인은 조정성립일로부터 4주 이내에 신청인에게 금 150만 원의 손해 배상금을 지급한다. | https://datalaw.kr/mediation/#m-1873
2024 | 동의 없는 개인정보 수집 | 인터넷 포털사이트에 개인정보를 유출한 행위에 대한 손해배상 등 요구 | 손해배상(100만원) — 주문: 피신청인은 조정성립일로부터 4주 이내에 신청인에게 금 1,000,000원의 손 해배상금을 지급한다. | https://datalaw.kr/mediation/#m-1872
2024 | 동의 없는 개인정보 수집 | 웹사이트를 통한 동의없는 개인정보 수집·이용에 대한 침해행위 중지 등 요구 | 재발방지 조치 — 주문: 피신청인은 조정성립일로부터 6주 이내에 재발방지를 위한 조치를 마련하 여 시행한다. | https://datalaw.kr/mediation/#m-1871
2024 | 동의 없는 개인정보 수집 | 웹사이트를 통한 동의 없는 개인정보 수집에 대한 침해행위중지 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1870
2024 | 과도한 개인정보 수집 | 민감정보 노출에 대한 침해행위 중지 요구 | 기각 | https://datalaw.kr/mediation/#m-1869
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 동의없이 개인정보를 위탁기관에 전달한 것 등과 개인정보처리방침에 위탁기관을 미게재 한 것에 대한 손해배상 요구 | 기각 | https://datalaw.kr/mediation/#m-1868
2024 | 동의 없는 개인정보 수집 | 동의없는 개인정보의 제3자 제공에 대한 손해배상 등 요구 | 손해배상(150만원), 재발방지 조치 — 주문: 1. 피신청인들은 조정성립일로부터 4주 이내에 손해배상금 1,500,000원을 공 동하여 지급한다. 2. 피신청인1은 조정성립일 이후에 소속 직원 대상으로 개인정보 교육을 수 시로 실시하는 등 재발방지 조치를 이행한다. | https://datalaw.kr/mediation/#m-1867
2024 | 동의 없는 개인정보 수집 | 동의없는 개인정보의 수집·이용에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1866
2024 | 동의 없는 개인정보 수집 | 동의없는 개인정보 이용 및 훼손에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1865
2024 | 동의 없는 개인정보 수집 | 과도한 개인정보 수집·이용에 대한 침해행위 중지 등 요구 | 개선 조치 — 주문: 피신청인1,2는 조정성립일로부터 6주 이내에 이 사건 아파트 입주자 온라 인 카페를 이용하려는 입주민이 닉네임에 동-호수 모두를 표기하지 않아도 카페를 이용할 수 있도록 운영방식을 변경한다. | https://datalaw.kr/mediation/#m-1864
2024 | 동의 없는 개인정보 수집 | 과도한 개인정보 수집·이용에 대한 침해행위 중지 등 요구 （최근） | 개선 조치 — 주문: 피신청인1,2는 조정성립일로부터 6주 이내에 이 사건 아파트 입주자 온라 인 카페를 이용하려는 입주민이 닉네임에 동-호수 모두를 표기하지 않아도 카페를 이용할 수 있도록 운영방식을 변경한다. | https://datalaw.kr/mediation/#m-1863
2024 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 경력사항 등을 누락 기재한 것에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1862
2024 | 동의 없는 개인정보 수집 | 개인정보의 동의없는 제3자 제공 등에 대한 조치 요구 | 각하 | https://datalaw.kr/mediation/#m-1861
2024 | 동의 없는 개인정보 수집 | 개인정보 유출에 대한 유출통지 요구 | 기각 | https://datalaw.kr/mediation/#m-1860
2024 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 유출 사실에 대한 홈페이지 게재 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1859
2024 | 동의 없는 개인정보 수집 | 사례 붙임파일 테스트 | - | https://datalaw.kr/mediation/#m-1858
2023 | 동의 없는 개인정보 수집 | 개인정보 유출에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1902
2023 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 신청인들의 손해배상 신청을 기각한다. 2. 피신청인은 안전성 확보조치 등 재발방지 대책을 마련하고 이행한다. | https://datalaw.kr/mediation/#m-1893
2023 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 부당해고 구제과정에서 동의없는 개인정보 수집 및 제공에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1881
2023 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 개인정보를 제3자에게 제공한 것에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1880
2023 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 노동조합 회계감사 후보자 선정 과정에서 형사고소 사실을 유출한 것에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1879
2023 | 동의 없는 개인정보 수집 | 개인정보를 동의없이 수집·이용한 담당자에 대한 처벌 요구 | - | https://datalaw.kr/mediation/#m-1878
2023 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 개인정보를 제3자에게 제공한 것 등에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1857
2023 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 동의없는 3자 제공 등에 대한 조치요구 | 각하 | https://datalaw.kr/mediation/#m-1856
2023 | 과도한 개인정보 수집 | 과도한 개인정보 수집 이용에 대한 침해행위 중지 등 요구 | 개선 조치 — 주문: 피신청인1,2는 조정성립일로부터 6주 이내에 이 사건 아파트 입주자 온라 인 카페를 이용하려는 입주민이 닉네임에 동-호수 모두를 표기하지 않아도 카페를 이용할 수 있도록 운영방식을 변경한다. | https://datalaw.kr/mediation/#m-1855
2023 | 동의 없는 개인정보 수집 | 웹사이트를 통한 동의 없는 개인정보 수집·이용에 대한 침해행위 중지 등 요구 | - | https://datalaw.kr/mediation/#m-1854
2023 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 인터넷 포털사이트에 개인정보를 유출한 행위에 대한 손해배상등 요구 | 손해배상(100만원) — 주문: 피신청인은 조정성립일로부터 4주 이내에 신청인에게 금 1,000,000원의 손 해배상금을 지급한다. | https://datalaw.kr/mediation/#m-1853
2023 | 수집한 목적 외 이용 또는 제3자 제공 | 타인에게 민감정보를 동의 없이 제공한 것에 대한 손해배상 요구 | 손해배상(150만원) — 주문: 피신청인은 조정성립일로부터 4주 이내에 신청인에게 금 150만 원의 손해 배상금을 지급한다. | https://datalaw.kr/mediation/#m-1852
2023 | 과도한 개인정보 수집 | 과도한 개인정보 수집 이용에 대한 침해행위 중지 등 요구 | 개선 조치 — 주문: 피신청인1,2는 조정성립일로부터 6주 이내에 이 사건 아파트 입주자 온라 인 카페를 이용하려는 입주민이 닉네임에 동-호수 모두를 표기하지 않아도 카페를 이용할 수 있도록 운영방식을 변경한다. | https://datalaw.kr/mediation/#m-1851
2023 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 퇴사한 전 직장 거래처에서 업무 관련 연락이 지속되는 것에 대한 개인정보 침해금지 등 요구 | - | https://datalaw.kr/mediation/#m-1850
2023 | 개인정보보호 기술적·관리적·물리적 조치미비 | 동의 없이 개인정보를 위탁기관에 전달한 것 등과 개인정보처리방침에 위탁기관을 미게재 한것에 대한 손해배상 요구 | 기각 | https://datalaw.kr/mediation/#m-1849
2023 | 동의 없는 개인정보 수집 | 동의없는 개인정보의 수집 이용에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1848
2023 | 침해사실 확인곤란 | 경력사항 등을 누락 기재한 것에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1841
2023 | 기타 개인정보 침해 | 민감정보 노출에 대한 침해행위 중지 요구 | 기각 | https://datalaw.kr/mediation/#m-1840
2023 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없는 개인정보의 제3자 제공에 대한 손해배상 등 요구 | 손해배상(150만원), 재발방지 조치 — 주문: 1. 피신청인들은 조정성립일로부터 4주 이내에 손해배상금 1,500,000원을 공 동하여 지급한다. 2. 피신청인1은 조정성립일 이후에 소속 직원 대상으로 개인정보 교육을 수 시로 실시하는 등 재발방지 조치를 이행한다. | https://datalaw.kr/mediation/#m-1839
2023 | 동의 없는 개인정보 수집 | 웹사이트를 통한 동의 없는 개인정보 수집․이용에 대한 침해행위 중지 등 요구 | - | https://datalaw.kr/mediation/#m-1828
2023 | 동의 없는 개인정보 수집 | 동의없는 개인정보 이용 및 훼손에 대한 손해배상 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1820
2023 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 유출통지 요구 | - | https://datalaw.kr/mediation/#m-1819
2023 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보 유출 사실에 대한 홈페이지 게재 등 요구 | 기각 | https://datalaw.kr/mediation/#m-1818
2023 | 동의 없는 개인정보 수집 | 채권추심을 위해 신청인 명의가 아닌 자의 연락처로 추심통지한 것에 대한 손해배상 등 요구 | 피신청인이 이 사건 연락처를 채권추심 목적으로 이 사건 채권추심회사에 제공한 것이 「개인정보 보호법」 제15조에 따른 수집·이용으로 인정되지 않더라도 피신청인의 행위에 어떠한 고의나 과실이 있다고 보기는 어려우며, | https://datalaw.kr/mediation/#m-1808
2023 | 개인정보보호 기술적·관리적·물리적 조치미비 | 공모전 신청서의 개인정보를 인터넷상에 노출 시킨 것에 대한 손해배상 등 요구 | 손해배상(60만원), 재발방지 조치 — 사건 신청서에는 신청인의 성명, 생년월일, 휴대전화 번호, 이메일 주소, 주소가 기재되어 있어 이를 통해 신청인을 쉽게 식별할 수 있고, 외부 포털 사이트에 노출되어 누구나 이에 접근할 수 있었으며, 노출된 기간이 장기간인 점이 인정되므로… | https://datalaw.kr/mediation/#m-1798
2023 | 과도한 개인정보 수집 | 과도한 개인정보 수집에 대한 침해행위중지 등 요구 | 기각 — 「전자정부법」에 따라 이용기관이 공동이용센터를 통하여 개인정보가 포함된 행정정보를 공동이용할 때에는 「개인정보 보호법」 제2조제3호의 정보주체가 다음 각 호의 사항을 알 수 있도록 정보주체의 사전동의를 받아야 하는데… | https://datalaw.kr/mediation/#m-1680
2023 | 침해사실 확인곤란 | 웹사이트를 통한 동의 없는 개인정보 수집에 대한 침해행위중지 등 요구 | 기각 — 현재 국민신문고와 장관과의 대화 서비스 간 시스템이 연계되어, 장관과의 대화를 통해 민원을 제기할 시 로그인 및 본인인증 절차는 국민신문고에서 진행되고, 민원에 대한 답변은 피신청인이 수행하는 것으로 판단됨 | https://datalaw.kr/mediation/#m-1679
2023 | 기타 개인정보 침해 | 임차한 건물의 임대인 개인정보의 수집·이용 동의와 부당한 임대차 계약 유지 요구에 대한 침해행위중지, 손해배상 등 요구 | 기각 — 「개인정보 보호법」 제3조 제1항은 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다고 규정하고… | https://datalaw.kr/mediation/#m-1678
2023 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 개인정보를 동의없이 외부 의료자문시 제공한 것에 대한 재발 방지 요구 | 기각 — 「군인사법」 제54조의4에서 전공상 재심사를 피신청인의 소관업무로 규정하고 있고, 「전공사상사 처리 훈령」 제6조에서 심사업무에 필요시 관계전문가 등에게 의견 제출 등을 요청할 수 있도록 규정하고 있으므로… | https://datalaw.kr/mediation/#m-1677
2023 | 침해사실 확인곤란 | 고소사건을 다른 경찰서로 이송한 것 등에 대한 원상회복 등 요구 | 기각 — 경찰은 범죄의 수사를 소관하고, 고소사건을 처리하기 위해서는 수사 진행상황 통지 등을 위해 고소인의 개인정보를 수집하는 것이 불가피하므로 「개인정보 보호법」 제15조 제1항 제3호 및 제17조 제1항 제2호에 근거하여 고소인의 개인정보를 수집하고… | https://datalaw.kr/mediation/#m-1676
2023 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 구인기업에 제공한 것에 대한 손해배상 요구 | 기각 — 피신청인은 직업안정법 제4조의2에 따라 직업소개 업무를 수행하며, 같은법 시행규칙 제5조에서 구인기업에게 알선된 구직자의 정보를 제공하도록 규정하고 있으므로, 피신청인이 이 사건 구인기업에 신청인의 구직정보를 제공한 것은 공공기관이 법령 등에서… | https://datalaw.kr/mediation/#m-1675
2023 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 신청인의 서류를 타인의 이메일로 송부한 행위에 대한 손해 배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 「개인정보 보호법」 제29조 및 같은 법 시행령 제30조에 근거하여 「개인정보의 안전성 확보조치 기준」 제7조 제1항은 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하도록 규정하고 있음 | https://datalaw.kr/mediation/#m-1674
2023 | 개인정보보호 기술적·관리적·물리적 조치미비 | 신청인과 가족정보를 노출한 행위에 대한 손해배상 등 요구 | 손해배상(20만원), 삭제 조치 — 피신청인들은 보호법 제29조·제21조에 따른 안전조치·파기의무를 다하지 못한 책임이 인정됨. 조정 전 합의로 손해배상금을 기지급한 바 있는 점을 고려하여 손해배상액을 산정할 필요 | https://datalaw.kr/mediation/#m-1660
2023 | 과도한 개인정보 수집 | 과도한 개인정보 수집·이용에 대한 침해행위 중지 등 요구 | 개선 조치 — 해당 아파트 입주자대표회의 의결을 통해 결정된 사항이라도 정보주체에게 개인정보의 노출을 강제하는 것은 보호법 제3조 등에 위반되어 과도하게 사생활을 침해할 소지가 높음 | https://datalaw.kr/mediation/#m-1659
2022 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 신청인의 사생활을 침해한 것에 대한 손해배상 등 요구 | 각하 — 「개인정보 분쟁조정위원회 운영세칙」 제34조는 피신청인에게 신청내용을 알릴 수 없는 경우 조정을 각하할 수 있다고 규정하고 있음 | https://datalaw.kr/mediation/#m-1661
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 이용한 건강보험 요양급여내역을 다른 질병으로 산재 신청 시 다시 활용한 것에 대한 손해배상 등 요구 | 기각 — 피신청인이 OO질환으로 산재 심사 시 요양급여내역을 수집한 목적은 과거병력 등을 조사하여 업무상 재해 여부를 판단하기 위함이고, 이후 정신질환으로 산재 심사 시에도 위 수집 목적과 동일하게 이용한 것이므로, 수집 목적을 초과한 것으로 볼 수 없음 | https://datalaw.kr/mediation/#m-1658
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없는 개인정보 제3자 제공에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치, 나머지 기각 — 법무부 훈령 「출입국기록관리 및 정보화업무처리지침」은 출입국관리기록의 대외 제공과 출입국에 관한 사실증명 발급을 구분하고 있고, 이 중 후자에 관한 것만 시군구에 위임하고… | https://datalaw.kr/mediation/#m-1650
2022 | 동의 없는 개인정보 수집 | 신청인의 개인정보를 동의 없이 이용한 것에 대한 손해배상 등 요구 | 기각 — 피신청인이 신청인 가족의 안전 확보를 위해 해당 주소를 이용한 것은 「개인정보 보호법」 제15조 제1항 제3호에 따라 법령 등에서 정하는 소관업무를 수행하기 위해 불가피하게 이용한 것임 | https://datalaw.kr/mediation/#m-1649
2022 | 기타 개인정보 침해 | 신청인에게 제3자의 개인정보를 동의 없이 전송한 것에 대한 손해배상 요구 | 기각 — 신청인이 피신청인의 실수로 제3자의 개인정보를 파기해야 할 상황에 놓이게 되었으나, 「개인정보 보호법」 제21조는 개인정보처리자가 아닌 신청인에게는 적용되지 않음 -신청인이 피신청인의 오전송행위로 정신적 부담이 초래되었다고 볼 수 없으므로… | https://datalaw.kr/mediation/#m-1648
2022 | 침해사실 확인곤란 | 위법한 화재안전정보조사를 통해 개인정보를 침해한 것에 대한 손해배상 요구 | 기각 — 피신청인1이 화재안전정보조사 중 발견한 지상 3,4층의 건축법 위반사실은 개인정보가 아니며, 피신청인1이 피신청인2에게 제공한 건축법 위반사실과 신청인의 이름과 주소인데 건축법 위반사실은 개인정보가 아니고… | https://datalaw.kr/mediation/#m-1642
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 정보주체 동의없이 개인정보를 제3자에게 제공한 행위에 대한 손해배상 등 요구 | 기각 — 이 사건 행정심판과 같이 민감정보와 관련된 사항이 청구의 대상일 경우 해당 행정심판의 재결을 위해서는 관련 민감정보의 처리가 불가피하므로 이는 보호법 제23조 제1항 제2호에 규정된법령에서 민감정보의 처리를 요구하는 경우라고 보아야 함 | https://datalaw.kr/mediation/#m-1641
2022 | 동의 없는 개인정보 수집 | 렌탈계약을 동의 없이 유지하기 위해 개인정보를 활용한 것에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 기존계약은 신규계약 체결 시점을 기준으로 실질적으로 해지된 것으로 보아야 하므로, 피신청인이 기존계약의 해지 이후 계약 유지를 위해 개인정보를 이용한 것은 동의받은 목적을 초과한 이용으로 개인정보 보호법 위반으로 판단됨 | https://datalaw.kr/mediation/#m-1640
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 수집목적 외 의료자문에 이용한 것에 대한 침해행위 중지 등 요구 | 기각 — 피신청인이 전화상담을 통해 충분한 설명을 제공하였고, 이를 바탕으로 신청인이 의료자문 관련 설명 및 동의서에 자필로 표시·서명하여 제출하였음을 고려할 때, 강제적으로 동의하였다고 인정하기는 어려움 | https://datalaw.kr/mediation/#m-1639
2022 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 신청인의 개인정보를 유출한 것에 대한 손해배상 등 요구 | 기각 — 피신청인이 사용한 신청인의 이메일 주소는 신청인이 기존 민원 신청시 제공한 이메일로, 「개인정보 보호법」 제15조 제1항 제3호에 따라 법령 등에서 정하는 소관업무를 수행하기 위해 불가피하게 이용한 것으로 판단됨 | https://datalaw.kr/mediation/#m-1638
2022 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 이용에 대한 손해배상 등 요구 | 기각 — 피신청인이 관할 구역 내 시설물의 설치 및 위반사항에 대하여 조치를 취하는 것은 피신청인의 소관 업무임 | https://datalaw.kr/mediation/#m-1633
2022 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 이메일은 다른 정보와 결합하여 특정 개인을 알아볼 수 있는 정보이므로 개인정보에 해당하며, 피신청인은 사생활 침해를 최소화하는 방법으로 개인정보를 처리하지 못하여 보호법 위반으로 판단됨 | https://datalaw.kr/mediation/#m-1632
2022 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 및 재발방지 요구 | 손해배상(30만원) — 신청인들이 자신의 개인정보가 흥신소에 노출됨에 따라 2차 피해의 발생 가능성에 대한 두려움을 느끼는 등 정신적 고통을 겪었음이 인정됨 | https://datalaw.kr/mediation/#m-1631
2022 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 키오스크 운용 과정에서의 개인정보 유출 등에 대한 손해배상 등 요구 | 기각 — 키오스크 및 대기 모니터에 개인정보가 표시된 것을 개인정보 유출로 볼 수 없고, 신청인에 대한 본인확인은 개인정보 수집이 아니므로 최소 수집 원칙에 위반되지 않고, 신청인의 촬영 및 녹음 중단을 권고한 것을 개인정보 열람청구권 침해라고 볼 수 없음 | https://datalaw.kr/mediation/#m-1630
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 휴대전화번호 인증에 의한 메일계정 생성 과정에서의 개인정보 침해사실 인정 및 재발방지 조치 이행 요구 | 재발방지 조치 — 사회통념상 신청인의 근로계약 내용에 회사업무용 이메일 계정 생성을 위해 개인정보를 제공하는 것까지 포함된다고 보기는 어려워 개인정보를 수집한 목적 범위를 초과하여 이용한 것에 해당함 | https://datalaw.kr/mediation/#m-1629
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 도시가스 미납요금을 동의 없이 이미 등록된 카드정보를 활용하여 결제한 것에 대한 손해배상 등 요구 | 기각 — 신청인이 선택한 요금납부 방법과 사용료 지급을 위해 제공한 개인정보에 따라 피신청인2가 이 사건 카드정보를 미납금 결제에 이용한 행위는 「개인정보 보호법」 제15조 개인정보의 수집목적 범위 내 이용에 해당함 | https://datalaw.kr/mediation/#m-1628
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 민원접수 시 수집한 개인정보를 목적 외 이용한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인의 이메일ID 검색행위 관련 신청인의 이메일이 온라인 사이트에 등록되어 있으며, 수집된 이메일을 인터넷으로 검색하여 계약 위반행위 등을 통지한 사실 등을 고려할 때 사회상규에 반하지 않는 행위라고 보여짐 | https://datalaw.kr/mediation/#m-1627
2022 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 신청인의 개인정보를 유출한 것에 대한 손해배상 등 요구 | 이 사건 팝업창에 표시되었다고 주장되는 주민등록번호 등은 신청인이 직접 금융인증서를 통해 이 사건 앱에 로그인한 후 스마트폰에 나타난 것임 | https://datalaw.kr/mediation/#m-1626
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 주민등록법을 위반한 주민등록 등ㆍ초본 교부에 대한 손해배상 및 해당 자료 폐기와 목적외 이용 금지 요구 | 기각 — 피신청인2는 「토지보상법」 제8조에 따라 세입자에 대한 보상금 산정 및 지급을 위하여 피신청인1에게 이 사건 주민등록 등·초본 발급을 요청하였고, 피신청인1은 「주민등록법」 제29조에 따라 이를 발급해 준 것으로 위법이 아님 | https://datalaw.kr/mediation/#m-1625
2022 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 학습데이터에 개인정보 이용 사실 확인 및 이용된 개인정보의 열람 요구 | 기각 — 피신청인2는 모든 학습데이터를 파기한 것으로 확인되어 누구의 데이터를 이용했는지 특정할 수 있는 선정기준이 없으며 신청인들이 안면정보를 다시 제공하더라도 이를 비교·대조할 원본 학습용 데이터도 없으므로… | https://datalaw.kr/mediation/#m-1624
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 개인정보를 제3자에게 제공한 것에 대한 손해배상 등 요구 | 손해배상(100만원), 재발방지 조치 — 피신청인이 법원의 문서제출명령 범위에 포함되지 않은 신청인의 요청서를 법원에 제출한 것은 「개인정보 보호법」 제18조 제1항 위반. 피신청인이 신청인 명의가 아닌 택배거래내역까지 법원에 제출한 것은 「개인정보 보호법」 제3조 위반 | https://datalaw.kr/mediation/#m-1623
2022 | 동의 없는 개인정보 수집 | 동의 없는 개인정보 수집·이용 등에 대한 손해배상 등 요구 | 기각 — 피신청인은 「개인정보 보호법」 제15조 제1항 제2호에 따른 「정보통신망법」 제50조의4 제4항에 근거하여 정보통신망이나 서비스의 취약점을 개선하는 등 필요한 조치를 취할 의무가 있으므로 신청인 동의 없이 개인정보 수집이용 가능 | https://datalaw.kr/mediation/#m-1622
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인 및 신청인의 배우자 등의 개인정보를 제3자에게 제공한 행위에 대한 손해배상 등 요구 | 기각 — 이 사건 관련 문자 정보·녹취록 정보는 신청인의 개인정보에 해당되나, 개인정보파일로 보기에는 어려움이 있으므로 피신청인은 개인정보처리자의 지위에 있지 않아 보호법상 개인정보 수집·이용에 대한 적용을 받지 않음 | https://datalaw.kr/mediation/#m-1621
2022 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 휴대폰의 마케팅 수신을 거부하였으나 전송한 행위에 대한 손해배상 등 요구 | 손해배상(30만원), 재발방지 조치 — 피신청인이 제출한 개인정보처리 동의 자료에는 신청인의 자필서명 등 동의 여부를 확인할 수 없고, 전산기록에 신청인이 광고정보 제공에 동의를 하였다는 사실만 있음 | https://datalaw.kr/mediation/#m-1579
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 개인정보를 제3자에게 제공한 행위에 대한 침해행위의 중지 등 요구 | 기각 — 신청인이 팩스 및 인터넷주소 링크를 통해 개인정보처리동의서를 제출한 것이 피신청인의 소명자료에서 확인되고, 이 자료에 신청인 자녀의 법정대리인인 신청인 자필서명이 기재되어 있으므로, 개인정보 처리 동의를 적법하게 받은 것으로 보임 | https://datalaw.kr/mediation/#m-1576
2022 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 신청인의 휴대전화와 교신한 기지국의 위치정보 열람 요구 | 열람 조치 — 개인의 휴대전화와 연결된 기지국 정보는 해당 개인의 방문 지역 등 동선을 파악할 수 있는 정보로서, 다른 정보와 쉽게 결합하여 해당 개인을 알아볼 수 있으므로「개인정보 보호법」제2조 제1호에서 규정하는 개인정보에 해당함 | https://datalaw.kr/mediation/#m-1575
2022 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 전세계약으로 수집한 신청인의 개인정보 삭제 요구 | 기각 — 「개인정보 보호법」제36조 제1항은 정보주체가 개인정보처리자에게 자신의 개인정보의 삭제를 요구할 수 있다고 하면서, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다고 규정하고 있음 | https://datalaw.kr/mediation/#m-1574
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 개인정보를 제3자에게 제공한 행위에 대한 손해배상 및 재발방지 조치 요구 | 기각 — 담당자 A, B 모두 손실보상 TF 근무자로서 손실보상 업무를 함께 수행한 것이 제출 자료에서 확인되고, 피신청인은 A, B 모두에 대한 지휘·감독권과 함께 개인정보에 대한 처리 권한을 가지고 있으므로… | https://datalaw.kr/mediation/#m-1573
2022 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인은 당사자 이외의 개인정보는 전송되지 않도록 내부관리 지침을 강화하고, 업무 담당자에 대한 관리 감독을 철저히 하는 등 개인정보가 안전하게 관리되도록 이행하지 못한 책임이 있음. 다만, 유출 대상자 모두에게 연락하여 개인정보 삭제를 요청하는 등 추가 피해방지에 노력한 점, 전산 시스템상 오류가 아닌 담당자의 업무 과실에서 비롯된 점 등을 감안하여 손해배상액을 산정함 | https://datalaw.kr/mediation/#m-1572
2022 | 기타 개인정보 침해 | 버스 내부에 설치된 영상정보처리기기의 녹음기능 사용에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치, 나머지 기각 — 피신청인 보유 버스 CCTV에 신청인 중 1인의 음성이 녹음되어 개인정보보호법 등 위반 사실이 인정되므로 음성 녹음된 신청인 1인에 대한 손해배상금 10만원 지급 및 재발방지 조치 이행 필요… | https://datalaw.kr/mediation/#m-1539
2022 | 동의 없는 개인정보 수집 | 동의 없는 개인정보의 이용행위에 대한 손해배상 등 요구 | 기각 — 「개인정보 보호법」 제15조 제1항 제4호의 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우에 해당하므로 「개인정보 보호법」 위반 아님 | https://datalaw.kr/mediation/#m-1532
2022 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 신청인과 그 자녀들의 개인정보 열람 요구 거절에 대한 침해행위 중지 및 손해배상 등 요구 | 열람 조치, 나머지 기각 — 신청인은 재판이 진행 중으로 신청인의 열람 요구 정보 중 피해 아동 면담 자료는 신청인에게 공개될 경우 아동에게 불이익을 주고 재판 진행에 영향을 미칠 수도 있음을 감안하면 자녀들의 상담 자료에 대한 열람 요구를 거절한 피신청인의 행위는 적법함. 그러나, 신청인의 개인정보는 조사원과 면담 자료로서 신청인도 진술의 정확성을 확인할 필요가 있고, 이를 열람하였다 하여… | https://datalaw.kr/mediation/#m-1531
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 주민등록번호 등이 기재된 진정서를 비식별조치 없이 제공한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인1은 사법절차를 보완하는 준사법적 기능을 수행하는 것으로, 그 과정에서 당사자의 특정을 요구하게 되므로 주민등록번호 등이 기재된 자료를 처리할 필요가 있음 | https://datalaw.kr/mediation/#m-1530
2022 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 기초생활수급증명서 발부 및 수급계좌를 변경한 것에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 신청인의 수급자 지정 사실은 본인에게는 중요한 정보로서 본인 동의 없이 증명서가 발급되었다면 신청인은 그에 따른 정신적 피해를 겪었을 것으로 짐작되고, 비록 모친이 신청인의 수급자 지정 사실을 알고… | https://datalaw.kr/mediation/#m-1529
2021 | 동의 없는 개인정보 수집 | 동의 없는 개인정보의 수집·이용행위에 대한 손해배상 등 요구 | 기각 — 피신청인이 신청인의 가입정보 등 개인정보를 전산상 회원관리시스템에 등록하여 관리하고 있고, 신청인이 피신청인 A점 매장을 이용한 영수증에 '○○멤버스회원 △△△ 님으로 표기된바, 신청인이 피신청인의 회원으로 가입한 사실을 확인할 수 있음 | https://datalaw.kr/mediation/#m-1538
2021 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 민원제기 정보를 제3자에게 제공한 것에 대한 손해배상 등 요구 | 기각 — 신청인의 제기한 민원 내용은 피신청인이 B사에 위탁한 '고객 사후 서비스 업무의 대행이나 '기타 고객 편의를 위하여 필요하다고 판단되는 업무 등 위탁 범위 내에 포함된다고 보아야 하므로 피신청인의 행위는 개인정보의 제3자 제공에 해당하지 않음 | https://datalaw.kr/mediation/#m-1528
2021 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 은행 업무처리 장면이 촬영된 CCTV 열람을 요청하였으나, 열람을 거부한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인은 신청인이 대리관련 서류 등을 지참하지 않아 거래시간을 특정하기 위하여 예금주의 대표자와 함께 오도록 안내하였으며, 다음날 거래시간을 특정한 후 열람 요청에 응하려고 하였음 | https://datalaw.kr/mediation/#m-1520
2021 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 회원정보를 제3자에게 제공한 행위에 대한 손해배상 요구 등 | 손해배상(30만원), 열람 조치 — 피신청인들은 제3자 앱 개발자가 ○○○서비스 친구의 개인정보를 제공받을 수 있도록 ○○○서비스를 운영하면서 이러한 사실을 ○○○서비스 이용자에게 알리거나 동의를 받지 않았으므로, 피신청인1은 「구 정보통신망법」 제24조의2 제1항을 위반하여… | https://datalaw.kr/mediation/#m-1519
2021 | 동의 없는 개인정보 수집 | 신청인의 개인정보를 동의 없이 수집·이용한 행위에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인 담당자가 신청인의 개인정보 활용동의서를 임의로 작성·날인한 후 동의 사항에 대하여 신청인이 명확하게 인지할 수 있도록 알리지 않고 개인정보를 처리하였다면, 피신청인은 「개인정보 보호법」 제22조를 위반한 잘못이 있음 | https://datalaw.kr/mediation/#m-1518
2021 | 동의 없는 개인정보 수집 | 신청인의 개인정보를 동의 없이 이용한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인은 「상법」 제726조의2 등에 따라 자동차 사고로 인한 피해자의 손해를 보상할 책임이 있으므로, 법령상 보험금 지급의무를 준수하기 위하여 동의 없이 피해자의 개인정보를 이용할 수 있음 | https://datalaw.kr/mediation/#m-1509
2021 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 신청인의 개인정보 삭제 요청 거부 및 보호조치 위반에 대한 손해배상 등 요구 | 손해배상(10만원) — 피신청인이 운영하는 게시판에 등록된 정보는 피신청인에게 처리 권한이 있다고 보아야 하고, 해당 글에서 신청인의 실명이 노출되는 등 개인정보 침해가 명백하고 신청인의 삭제 요청이 있었다면 작성자와 협의를 통하여 익명 처리하거나… | https://datalaw.kr/mediation/#m-1508
2021 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 수집 목적 외 이용 행위에 대한 손해배상 등 요구 | 기각 — 신청인은 전기요금의 자동이체를 위한 계좌번호의 수집·이용에 동의한 사실이 있고, 오·검침으로 인한 전기요금의 과다청구는 개인정보 보호와는 무관한 사항임 | https://datalaw.kr/mediation/#m-1479
2021 | 개인정보보호 기술적·관리적·물리적 조치미비 | 휴대전화번호 착오 입력으로 문자 전송을 반복한 행위에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인은 개인정보가 안전하게 관리될 수 있도록 임직원 등 개인정보취급자에 대하여 적절한 관리·감독하여야 함에도 휴대전화번호 착오 입력으로 문자 전송 등을 반복함 | https://datalaw.kr/mediation/#m-1478
2021 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 수집 목적외 이용에 대한 손해배상 등 요구 | 기각 — 신청인은 이동전화 서비스 가입 시 휴대전화번호 등의 개인정보를 수집·이용하는데 동의하였으므로, 신청인의 동의에 근거하여 이 사건 개인정보를 처리한 피신청인은 보호법을 위반한 것이 아님 | https://datalaw.kr/mediation/#m-1459
2021 | 동의 없는 개인정보 수집 | 신청인의 개인정보를 동의 없이 이용한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인은「상법」규정에 따라 피보험자가 자동차 사고로 인하여 발생한 손해를 보상할 책임이 있는 보험사로서 보험금 배상 의무를 준수하기 위하여 수집 목적 범위에서 개인정보를 이용할 수 있으므로 피신청인의 행위는 적법함 | https://datalaw.kr/mediation/#m-1458
2021 | 기타 개인정보 침해 | 주민등록번호를 착오 입력한 보험회사의 행위에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 피신청인은 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 함에도 10년 4개월 동안 주민등록번호를 착오 입력한 상태로 관리함. 유사사례가 발생하지 않도록 할 필요가 있음 | https://datalaw.kr/mediation/#m-1442
2021 | 수집한 목적 외 이용 또는 제3자 제공 | 채권추심을 위하여 동의 없이 개인정보를 수집·이용한 것에 대한 손해배상 요구 | 손해배상(30만원), 재발방지 조치, 일부 기각 — 법원 판결에 따라 이 사건 통신서비스 이용계약의 해지는 피신청인2에게 책임이 있고, 당초부터 위약금 없이 이용계약 해지가 가능하였던 것으로 보이는바, 신청인의 피신청인2에 대한 채무는 존재하지 않음. 다만, 피신청인1은 신청인이 채무부존재를 주장하고 있다는 사실을 알지 못한 채 피신청인2로부터 이 사건 위약금 추심을 위탁받은 것으로 피신청인1의 행위에 고의·과실이 있다고… | https://datalaw.kr/mediation/#m-1441
2021 | 기타 개인정보 침해 | 개인정보 수집 출처 등을 미고지하고, 개인정보 이용내역도 미통지한 행위에 대한 손해배상 등 요구 | 재발방지 조치, 손해배상 기각 — 피신청인은 신청인의 개인정보를 ○○으로부터 수집하였다고 고지해야 하나 “□□□생명 멤버십”이라고 알려주어, 수집 출처에 대해 알 수 있었던 경우가 아니므로 위법하다고 볼 수 있음 | https://datalaw.kr/mediation/#m-1440
2021 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 동의 없이 개인정보가 포함된 보도자료를 배포한 행위에 대한 손해배상 요구 | 손해배상(100만원), 재발방지 조치 — 피신청인이 신청인의 민감정도 등 개인정보가 포함된 보도자료를 언론매체에 제공한 것은 □□□ 업무 본래의 개인정보 수집 목적에서 벗어난 행위로 개인정보의 제 3 자 제공에 해당함 | https://datalaw.kr/mediation/#m-1439
2021 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 신청인의 보험금 청구 정보를 보상업무와 관련 없는 자에게 제공한 것에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — A 직원은 영업팀에 속한 대리점 관리자이므로 개인정보 처리 범위가 고객 모집 , 계약 유지 등에 그쳐야 함. 설사 대리점 관리자에게 민원처리 권한을 부여한다고 하더라도 개인정보 전달은 민원 발생 사실이나 개요 등으로 한정되어야 함 | https://datalaw.kr/mediation/#m-1438
2021 | 동의 없는 개인정보 수집 | 신청인이 위임한 범위를 벗어나 진료정보를 수집한 행위에 대한 손해배상 요구 | 손해배상(30만원), 재발방지 조치 — 의료법상 위임장 및 동의서에는 수임인, 의료기관 명칭, 발급 범위 등 환자 본인이 직접 작성하도록 규정됨… | https://datalaw.kr/mediation/#m-1420
2021 | 동의 없는 개인정보 수집 | 신청인의 위임 범위를 벗어나 진료정보를 수집한 행위에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 보호법 제6조에서 개인정보 보호와 관련하여 다른 법률에 특별한 규정이 있는 경우에는 다른 특별법이 우선한다고 규정. 의료법상 위임장 및 동의서에는 수임인, 의료기관 명칭, 발급 범위 등 환자 본인이 직접 작성하도록 규정됨 | https://datalaw.kr/mediation/#m-1419
2021 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 열람 및 가명처리 정지를 보장하는 조치 이행 요구 | 열람 조치 — 피신청인이 수집 · 기록하는 기지국 접속정보는 신청인의 가입정보와 결합하여 특정 개인을 알아볼 수 있는 개인정보에 해당함 | https://datalaw.kr/mediation/#m-1409
2021 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 신청인의 개인정보는 피신청인의 관리 · 통제권을 벗어나 제 3 자인 △△ 선거 사무실로 전달되었고 , △△ 선거 사무실은 △△ 선거 기간 중 신청인에게 선거운동 문자메시지를 전송하였으므로 이는 개인정보 유출에 해당함 | https://datalaw.kr/mediation/#m-1408
2021 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 수사기관에 제공한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인은 ○○○법에 따라 설립된 법인으로 매년 지자체로부터 보조금 지원을 받고 있고, 지자체와 각종 복지서비스를 공동으로 처리·관리하고 있으며… | https://datalaw.kr/mediation/#m-1398
2021 | 동의 없는 개인정보 수집 | 신청인의 전신 모습을 촬영하여 이를 신청인 배우자에게 제공한 행위에 대한 손해배상 요구 | 재발방지 조치, 손해배상 기각 — 피신청인이 수집한 신청인의 전신 모습이 포함된 사진은 신청인을 알아볼 수 있는 정보로서 개인정보에 해당 | https://datalaw.kr/mediation/#m-1397
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 모집인에게 동의 없이 신청인의 주소 등 개인정보를 유출한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인은 A텔레콤과 영업과 용역 등 업무를 위한 위수탁 계약을 체결하여 개인정보 처리업무를 위탁하였고, 모집인은 A텔레콤과 위·수탁계약을 체결하여 개인정보 업무를 처리하고 있으므로 제3자로 볼 수 없음 | https://datalaw.kr/mediation/#m-1378
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 수사기관에 제공한 행위에 대한 손해배상 등 요구 | 기각 — 공사는 「∇∇법」에 따른 공사로서 공공기관에 해당하며 수사기관에 영상정보를 제공한 것은 「개인정보 보호법」에 따른 것이므로 위법하지 않고, 카드사가 수사기관에 제공한 것은 「형사소송법」에 특별한 규정이 있으므로 「개인정보 보호법」을 위반하지 않았음 | https://datalaw.kr/mediation/#m-1369
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 주차장 CCTV 파일을 진정사건 조사 시 증거자료로 활용한 행위에 대한 손해배상 등 요구 | 재발방지 조치 — 이 사건 민원은 비록 감사를 위해 공공감사법에 따른 감사계획수립 등의 형식은 갖추지 않았으나 현지조사 계획에 따라 자료제출 요구, 문답 등 감사에 필요한 자료수집을 위해 진행한 것으로 자체감사 절차의 일환으로서 공공감사법의 적용을 받음 | https://datalaw.kr/mediation/#m-1350
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 전자금융 거래제한대상자라는 정보를 동의 없이 다른 금융기관에 전송한 행위에 대한 손해배상 등 요구 | 기각 — 사기피해자들이 피신청인1에게 피해구제 신청을 하면, 피신청인들은 약칭 통신사기피해환급법 등에 따라 피해자금 이동경로를 신속하게 차단하여 피해가 확산되지 않도록 관련 금융기관에 전자금융 거래제한대상자 정보를 제공해야 할 의무가 있음 | https://datalaw.kr/mediation/#m-1349
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 렌터카 이용정보를 동의 없이 수사기관에 제공한 행위 및 이를 활용한 행위에 대한 손해배상 요구 | 기각 — 형법 제20조에 따른 정당행위로서 위법성이 조각되는 '사회상규에 위배되지 아니하는 행위란 법질서 전체의 정신이나 사회윤리 내지 사회통념에 비추어 용인될 수 있는 행위를 말하는 바 피신청인1은 신청인의 범죄 혐의를 구체적이고 합리적으로… | https://datalaw.kr/mediation/#m-1348
2020 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 약관에 따라 최근 6개월 이전의 통화내역 열람요구를 거부한 행위에 대한 침해행위의 중지 등 요구 | 열람 조치 — 정보통신망법 제30조 제2항 제1호에 따라 이용자는 개인정보에 대하여 열람이나 제공을 요구할 수 있고, 정보통신서비스 제공자 등은 같은 조 제4항에 따라 지체 없이 필요한 조치를 하여야 함… | https://datalaw.kr/mediation/#m-1339
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 민원정보를 제3자에게 제공한 행위 및 이를 열람한 행위에 대한 손해배상 등 요구 | 기각 — 「지방자치법」 제101조 내지 제104조에서는 지방자치단체의 장은 지방자치단체의 사무를 총괄하며, 지방자치단체의 사무와 법령에 따라 위임된 사무를 관리하고 집행하되 그 권한의 일부를 보조기관에 위임하도록 규정하였고… | https://datalaw.kr/mediation/#m-1338
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 개인정보를 동의 없이 제3자에게 제공한 행위에 대한 손해배상 요구 | 손해배상(10만원) — 피신청인은 A화재와 업무수탁 계약을 체결한 설계사이고, C대리점은 GA(General Agency, 독립법인대리점)로서 모든 보험사의 상품을 판매하고 있으나… | https://datalaw.kr/mediation/#m-1336
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 업무상 실수로 교부한 보안카드를 회수하기 위하여 고객 휴대전화번호로 전화한 것에 대한 재발방지 조치 등 요구 | 기각 — 보안카드는 유출 시 금융사고 등의 위험이 있어 피신청인이 수량을 엄격하게 관리하는 자산으로, 피신청인이 착오로 신청인에게 교부한 보안카드를 회수하기 위하여 신청인 휴대전화번호를 이용하여… | https://datalaw.kr/mediation/#m-1335
2020 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 채무자와 동명이인인 신청인의 개인정보를 열람하여 채권추심 절차를 진행한 것에 대한 손해배상 등 요구 | 손해배상(50만원), 재발방지 조치 — 신청인이 사실관계 확인을 요청하였을 때 피신청인은 신청인이 이 사건 채무자의 체납 사실이 발생하기 이전에 출국하여 현재까지 캐나다에 거주하고 있으며, 계약서상 신청인과 이 사건 채무자의 주소와 휴대전화번호가 다르다는 사실을 확인할 수 있었으나… | https://datalaw.kr/mediation/#m-1333
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 기간제근로자 채용 관련 개인정보를 민사소송에 증거자료로 법원에 제공한 것에 대한 손해배상 요구 | 기각 — 피신청인 소속 직원(이하 “소송수행자”라 한다)이 B사업 채용 관련 자료를 열람한 행위는 개인정보취급자로서 개인정보처리자의 지휘·감독을 받아 소송업무 권한 범위 내에서 개인정보를 처리한 것임 | https://datalaw.kr/mediation/#m-1328
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 학원 내 CCTV를 설치하여 동의 없이 강의장면 등을 촬영하고 이를 홍보에 활용한 행위에 대한 손해배상 등 요구 | 손해배상(60만원), 재발방지 조치 — 영상정보 활용 동의 여부에 대해 당사자 간 이견이 있고, 동의를 받았다고 주장하는 피신청인은 이를 뒷받침할 자료를 제시하지 못하고 있음 | https://datalaw.kr/mediation/#m-1321
2020 | 동의 없는 개인정보 수집 | 소속 직원들의 대외활동에 대한 자체감사를 위하여 기타소득자료 제출을 요청한 행위에 대한 재발방지 요구 | 기각 — 공공감사법 제20조 제1항 제2호는 '관계 서류의 제출요구로 규정하여 개인정보에 관한 자료의 제출 여부가 명시적으로 나타나지는 않더라도 소속 직원의 대외활동에 대한 자체감사 취지를 고려할 때, 기타소득자료는 개인정보가 포함될 것이라고 합리적으로… | https://datalaw.kr/mediation/#m-1320
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 면접위원 예정자에게 응시자 개인정보를 유출한 것에 대한 손해배상 요구 | 기각 — 피신청인 채용담당 직원이 면접위원 예정자에게 이 사건 개인정보가 포함된 자료를 전자우편으로 전송한 행위는 피신청인이 「개인정보 보호법」 제15조 제1항 제1호에 따라 신청인의 동의를 받은 범위 내에서 개인정보를 이용한 것에 해당함 | https://datalaw.kr/mediation/#m-1319
2020 | 기타 개인정보 침해 | 국민신문고 민원을 해명하기 위해 민원 신청 시 수집한 신청인의 주소를 이용한 행위에 대한 손해배상 요구 | 손해배상(10만원) — 주문: 피신청인은 조정성립일로부터 4주 이내에 신청인에게 금 100,000원의 손해배상금을 지급한다. | https://datalaw.kr/mediation/#m-1309
2020 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출 업체에게 유출사실을 통지할 수 있도록 개인정보를 제공한 기관에 대한 손해배상 등 요구 | 손해배상(30만원), 나머지 각하 — 담당 공무원이 이 사건 유출업체에게 신청인의 개인정보를 이메일로 전송한 것은 개인정보가 유출되지 않도록 필요한 안전성 확보 조치를 다하지 않은 것으로 「개인정보 보호법」 제24조 제3항 및 제29조를 위반한 것임. | https://datalaw.kr/mediation/#m-1308
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 채용 지원정보를 제3자에게 유출한 것에 대한 손해배상 등 요구 | 기각 — 이 사건 직원 채용은 B사업단에 속한 업무로서 이를 수행할 목적으로 피신청인에게 직원 채용을 요청하였고 피신청인이 이를 지원한 것이므로… | https://datalaw.kr/mediation/#m-1303
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 집행관이 민사집행과정에서 채무자에게 채권자 개인정보를 무단 제공한 것에 대한 손해배상 등 요구 | 기각 — 「민사집행법」에서 집행관은 집행력 있는 정본을 교부받으면 채무자 등에 대하여 강제집행을 할 수 있고, 지급 등의 이행을 받은 후 그에 대한 영수증서를 교부할 수 있는 권한을 가지며, 채권자는 그에 대하여 위임의 흠이나 제한을 주장하지 못한다고… | https://datalaw.kr/mediation/#m-1302
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 소속 직원의 횡령 혐의 조사 과정에서 배우자의 계좌정보를 열람한 것에 대한 손해배상 등 요구 | 기각 — 신청인이 작성한 개인정보 수집·이용 동의서상의 수집·이용 목적 란에는 '금융사고 조사가 포함되어 있고, 수집·이용할 항목에는'거래일시, 금액 등 금융거래 내역정보가 포함되어 있는바, 이는 피신청인이 금융사고… | https://datalaw.kr/mediation/#m-1301
2020 | 침해사실 확인곤란 | 보험사가 진료정보를 전화로 확인하고 해당 정보를 제3자에게 유출한 것에 대한 손해배상 등 요구 | 기각 — 피신청인1이 보험금 지급 심사를 위해서는 '진단서와 같은 환자의 정확한 의료적 판단이 기재된 서류가 필요하나, 신청인이 제출한 '입·퇴원확인서와 '자동차지급내역확인서(1차)는 진단내용이 서로 일치하지 않았고… | https://datalaw.kr/mediation/#m-1300
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 주민등록번호 등이 포함된 신상기록카드를 개인정보 삭제조치 없이 수사기관에 제공한 것에 대한 손해배상 등 요구 | 기각 — 「공공감사에 관한 법률 시행령」 제12조의2 제2항은 감사기구의 장은 법 제20조에 따른 자체감사의 사무를 수행하기 위하여 불가피한 경우 주민등록번호가 포함된 자료를 처리할 수 있다고 규정하고 있는바… | https://datalaw.kr/mediation/#m-1299
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 근로계약서 등에 포함된 개인정보를 삭제조치 없이 노동위원회에 제공한 것에 대한 손해배상 등 요구 | 기각 — 「근로기준법」 제28조 제1항은 사용자가 근로자에게 부당해고 등을 하면 근로자는 노동위원회에 구제를 신청할 수 있다고 규정하고 있고, 「노동위원회법」 제23조 제1항은 노동위원회는 같은 법 제2조의2에 따른 소관 사무와 관련하여… | https://datalaw.kr/mediation/#m-1298
2020 | 개인정보보호 기술적·관리적·물리적 조치미비 | 연락대상을 혼동하여 배우자에게 체납사실을 알린 행위에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인의 행위가 국세징수법에 따른 업무수행을 위한 불가피한 경우로 보기 어려워 「 개인정보 보호법」 제 17 조에 해당하지 않음 | https://datalaw.kr/mediation/#m-1293
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 보호조치 없이 수사기관에 신상기록카드 등을 제공한 것에 대한 손해배상 등 요구 | 기각 — 「 개인정보 보호법 」 제 18 조 제 2 항 제 7 호는 공공기관인 개인정보처리자는 범죄의 수사와 공소의 제기 및 유지를 위하여… | https://datalaw.kr/mediation/#m-1292
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 보험분석 목적으로 수집한 개인（신용）정보를 보험계약에 이용한 것에 대한 손해배상 등 요구 | 손해배상(30만원), 재발방지 조치 — 피신청인은 「개인정보 보호법」 제22조에서 정한 방법대로 동의를 받지 않았기에 이는 적법한 동의라고 할 수 없으며, 위법한 동의를 근거로 신청인의 개인(신용)정보를 수집·이용하였기에 신용정보법 제15조 제2항, 제33조 및 제34조를 위반하였음 | https://datalaw.kr/mediation/#m-1291
2020 | 동의 없는 개인정보 수집 | 연금 가입 시 녹취한 녹취파일의 내용을 동의 없이 전해 듣고 설명한 행위에 대한 손해배상 요구 | 열람 조치, 나머지 기각 — 피신청인 지사 직원이 가입대상자의 자격확인 등 연금가입에 관한 업무를 수행하고 있어, 신청인 연금가입에 문제가 있었는지 확인할 필요가 있었음 | https://datalaw.kr/mediation/#m-1290
2020 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 신청인의 보험관련 민원 제기 사실을 직장 동료에게 유출시킨 것에 대한 손해배상 등 요구 | 손해배상(60만원), 재발방지 조치 — 피신청인 담당 직원이 사적으로 자신의 지인에게 이 사건 개인정보를 알린 행위는 계약자에 대한 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 관리해야 할 개인정보처리자의 주의의무를 소홀히 함으로써 제3자에게 이 사건 개인정보가 유출된… | https://datalaw.kr/mediation/#m-1289
2020 | 과도한 개인정보 수집 | 보험금지급 심사 시 보험가입 이전의 병원 방문이력을 과도하게 조회한 행위에 대한 손해배상 요구 | 기각 — 신청인이 이 사건 보험금지급 청구 시 작성한 개인(신용)정보처리 동의서에 따르면, 신청인은 피신청인이 신용정보집중기관으로부터 이 사건 개인정보를 조회하고, 동 정보를 업무수탁자인 손해사정업체에게 제공한 행위에 대하여 각각 동의하면서… | https://datalaw.kr/mediation/#m-1288
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 택시부제위반 단속을 위한 개인택시사업자 결제정보 등을 지방자치단체에 제공한 행위에 대한 손해배상 요구 | 재발방지 조치, 손해배상 기각 — 신청인 성명 등은 그 자체로 특정 개인을 식별할 수 있으므로 개인정보에 해당함. 피신청인은 여객자동차 운수사업자가 아니므로 「여객자동차 운수사업법」 제79조를 정보통신망법 제24조의2 제1항의 다른 법률의 특별한 규정으로 볼 수 없음 | https://datalaw.kr/mediation/#m-1280
2020 | 동의 없는 개인정보 수집 | 자동차보험계약 체결 시 동의 없이 개인정보를 이용한 행위에 대한 손해배상 등 요구 | 손해배상(40만원), 재발방지 조치 — 신청인과 대부업자가 작성한 차량 양도(담보)·차량포기각서를 제3자가 이용하도록 동의하였다고 보기 어려워, 피신청인은 신청인 동의를 받은 것으로 볼 수 없으므로 보호법 제15조 제1항 제1호를 위반하였음 | https://datalaw.kr/mediation/#m-1258
2020 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 압류예정통보서를 제3자에게 잘못 발송한 것에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인이 신청인 부모에게 발송한 압류예정통보서에는 신청인의 성명, 생년월일, 주소, 체납금액이 포함되어있으며 이는 신청인을 알아볼 수 있는 정보에 해당하므로… | https://datalaw.kr/mediation/#m-1249
2020 | 과도한 개인정보 수집 | 공공임대주택 임차인의 주택소유현황을 확인하기 위하여 신청인의 개인정보를 수집한 행위에 대한 손해배상 등 요구 | 기각 — 공공임대주택의 임대차계약을 유지하기 위해서는 세대원인 신청인과 모친이 입주자모집공고일(2015년)부터 임대기간 만료시까지 무주택자격을 유지해야 하고… | https://datalaw.kr/mediation/#m-1248
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 수집한 목적 외 이용 또는 제3자 제공 | 손해배상(10만원), 재발방지 조치 — 정보통신망법 제28조 제1항은 정보통신서비스 제공자 등이 개인정보를 처리할 때에는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 기술적·관리적 조치를 하여야 한다고 규정하고 있다. | https://datalaw.kr/mediation/#m-1238
2020 | 동의 없는 개인정보 수집 | 대회 출전 사실을 학교 공식 SNS에 홍보한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인이 게시한 신청인 정보는 대회 홈페이지에 공개된 항목과 동일하고 게시물 작성 목적도 신청인이 대회 측에 자신의 정보를 공개하도록 허락한 목적과 상당한 관련성이 있는 점 등을 고려할 때 피신청인의 행위는 정보주체의 동의가 있었다고 객관적으로… | https://datalaw.kr/mediation/#m-1228
2020 | 수집한 목적 외 이용 또는 제3자 제공 | 아파트 선거관리위원회에서 신청인의 CCTV 영상정보를 동의 없이 수집·이용한 행위에 대한 손해배상 등 요구 | 손해배상(100만원), 나머지 기각 — 아파트 임원 등 선거에 관한 사항은 「공동주택관리법」에 위임의 근거를 두고 시행령, 관리규약, 선거관리위원회 규정에 의하여… | https://datalaw.kr/mediation/#m-1210
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 아파트 관리사무소가 개인영상정보를 동의 없이 제3자에게 제공한 행위에 대한 손해배상 등 요구 | 손해배상(10만원), 열람 조치 — 영상정보처리기기에 촬영된 신청인 영상정보는 신청인 개인을 알아볼 수 있는 정보에 해당하므로 「개인정보 보호법」 제2조 제1호에 따른 개인정보에 해당된다. | https://datalaw.kr/mediation/#m-1209
2019 | 동의 없는 개인정보 수집 | 피고발인의 연락처 확인을 위하여 배우자의 개인정보를 이용한 행위에 대한 손해배상 등 요구 | 재발방지 조치, 나머지 기각 — 피신청인은 피고발인의 정확한 연락처를 확인할 목적으로 독립적 정보주체인 신청인의 주민전산망 자료를 열람하였는바, 이는 정보주체의 이익을 부당하게 침해하는 행위로서 「개인정보 보호법」 제18조 제1항을 위반한 것이다. 다만, 신청인의 개인정보를 열람한 것은 사적인 목적이 아니라 수사협조 차원의 공익 목적이었던 점 등 여러 정황상 정신적 피해에 대한 손해배상까지 책임지는 것은 타당하지 않다고… | https://datalaw.kr/mediation/#m-1208
2019 | 동의 없는 개인정보 수집 | 게임회사가 미성년자인 신청인의 개인정보를 동의없이 수집, 미파기한 행위에 대한 손해배상 등 요구 | 기각 — 신청인 모친이 직접 제공하였고 피신청인은 최소한 미성년자 존재 여부를 확인할 필요성이 있는 점 등을 볼때, 사회통념상 개인정보 수집에 대한 동의가 있었다고 판단된다. | https://datalaw.kr/mediation/#m-1200
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 부동산 중개사무소에 동의 없이 민원인 개인정보를 제공한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인이 신청인의 개인정보를 중개사무소에게 제공하였다는 점을 인정하기 어렵고, 이와 달리 피신청인이 신청인의 개인정보를 제3자에게 제공하였음을 전제로 손해배상을 요구하는 신청인의 주장을 받아들일 수 없다고 판단하였다. | https://datalaw.kr/mediation/#m-1199
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 재발급한 신용카드를 이용하여 동의 없이 보험료를 결제한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인1이 해지카드 결제요청을 재발급 카드정보와 매칭하여 결제 승인한 것은 약관에 따른 이용행위이고. 피신청인2에게 재발급 카드정보를 제공한 것은 신청인이 개인신용정보 제공에 동의한 범위이고, | https://datalaw.kr/mediation/#m-1198
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 민원인의 개인정보를 제3자에게 제공한 것에 대한 손해배상 등 요구2 | 손해배상(10만원), 재발방지 조치 — 민원인의 개인정보를 경비업체에 통지하는 행위는 개인정보의 제3자 제공에 해당되어 「개인정보 보호법」을 위반하였음 | https://datalaw.kr/mediation/#m-1190
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 민원인의 개인정보를 제3자에게 제공한 것에 대한 손해배상 등 요구1 | 손해배상(20만원), 재발방지 조치 — 민원을 알리고 폭행사건 조치경위를 확인요청한 행위는 개인정보의 제3자 제공에 해당되어 「개인정보 보호법」을 위반하였음 | https://datalaw.kr/mediation/#m-1189
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 무단으로 열람·이용한 행위에 대한 침해행위 중지 등 요구 | 손해배상(10만원), 재발방지 조치 — 이 사건 A대리점 직원은 고객서비스 업무를 목적으로 수집한 신청인의 개인정보를 사적인 목적으로 열람하고 이용하였는바, 이는 정보통신망법 제24조 및 제25조를 위반한 것이다. | https://datalaw.kr/mediation/#m-1188
2019 | 동의 없는 개인정보 수집 | 동의 없이 휴대전화번호를 수집하여 광고문자 전송한 것에 대한 손해배상 요구 | 개선 조치 — 피신청인은 신청인이 휴대전화번호 수집 및 광고문자 활용에 동의한 사실이 없음에도 불구하고 휴대전화번호 생성 프로그램을 이용하여 생성된 신청인의 휴대전화번호로 주식투자 관련 영리목적의 광고성 문자를 전송하였으므로 정보통신망법 제22조 제1항… | https://datalaw.kr/mediation/#m-1181
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 편의점 개설 정보를 신청인의 가족에게 임의로 제공한 것에 대한 손해배상 등 요구 | 재발방지 조치, 나머지 기각 — 「개인정보 보호법」 제3조 제3항에서 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다고 규정하고 있는바, 피신청인은 세무사에게 신청인의 개인정보를 전달하는 과정에서 신청인의 연락처가 아닌 시모의 연락처를 잘못 기재함으로써 개인정보 정확성 원칙을 준수하지 못하였다. 그러나, 이러한 피신청인의 잘못에 대하여… | https://datalaw.kr/mediation/#m-1158
2019 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 수신동의 철회 및 회원탈퇴 후에도 광고성 문자를 발송한 것에 대한 손해배상 등 요구 | 손해배상(20만원) — 광고성 정보 수신동의를 철회한 신청인에게 영리 목적의 광고성 정보를 전송한 것은 정보통신망법 제50조 제2항, 탈퇴회원인 신청인 정보를 삭제하지 않은 것은 같은 법 제29조 제1항을 위반하였음 | https://datalaw.kr/mediation/#m-1148
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 가상계좌 발급 및 피보험자인 배우자에게 전화한 것에 대한 손해배상 요구 | 손해배상(10만원), 재발방지 조치 — 보험금 납부는 보험계약을 유지하기 위한 필수요건이므로, 보험계약자의 보험금 납부를 독려하기 위해 보험금 납부에만 이용 가능한 가상계좌번호를 발급하여 고객의 납부 편의를 도모한 것은 보험계약의 유지·관리를 위하여 개인신용정보를 수집한 것에 해당한다고… | https://datalaw.kr/mediation/#m-1140
2019 | 기타 개인정보 침해 | 피신청인의 정보통신망법 홍보 부족에 대한 손해배상 요구 | 각하 — 신청인은 피신청인의 정보통신망법 홍보 부족을 이유로 분쟁조정을 신청하였으나, 이 같은 조정 신청은 신청인과 피신청인 사이에 발생한 개인정보 분쟁을 대상으로 한 것이 아니어서 분쟁조정위원회에서 조정하는 것이 적합하지 아니한 경우에 해당하는바… | https://datalaw.kr/mediation/#m-1139
2019 | 기타 개인정보 침해 | 신청인 보험료 납부액을 임의로 과도하게 징수한 것에 대한 손해배상 등 요구 | 각하 — 이 사건 신청인은 피신청인의 보험금 과다청구를 이유로 분쟁조정을 신청하였으나, 이 같은 보험료 관련 분쟁은 신청인의 개인정보 침해와는 관계없는 사안으로서 분쟁조정위원회에서 조정하는 것이 적합하지 아니한 경우에 해당하는바… | https://datalaw.kr/mediation/#m-1138
2019 | 동의 없는 개인정보 수집 | 휴대전화기 기기변경 과정에서 동의 없이 개인정보를 수집한 것에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 신청인은 사용하던 휴대전화의 약정기간이 만료됨에 따라 피신청인의 기기변경 제안에 동의하였고 기기변경을 위한 절차를 밟게 되었다. 이 경우 신청인이 통신서비스 가입당시 개인정보 수집·이용에 동의하였다 하더라도 기기변경에 따른 단말기정보 등의 변경이… | https://datalaw.kr/mediation/#m-1132
2019 | 기타 개인정보 침해 | 피신청인의 정보통신망법 홍보 부족에 대한 손해배상 요구 | 각하 — 신청인은 피신청인의 정보통신망법 홍보 부족을 이유로 분쟁조정을 신청하였으나, 이 같은 조정 신청은 신청인과 피신청인 사이에 발생한 개인정보 분쟁을 대상으로 한 것이 아니어서 분쟁조정위원회에서 조정하는 것이 적합하지 아니한 경우에 해당하는바… | https://datalaw.kr/mediation/#m-1129
2019 | 동의 없는 개인정보 수집 | 동의 없이 수집한 개인정보를 광고 문자메시지 전송에 이용한 것에 대한 손해배상 요구 | 삭제 조치, 나머지 기각 — 신청인은 개인정보취급방침, 마케팅 및 개인정보 제3자 제공에 동의한 뒤 해당 서비스를 신청하였다. 또한 피신청인 상담원과 통화에서도 개인정보 수집에 대한 신청인의 동의 사실을 확인할 수 있는 바 개인정보 수집에 있어 위법성은 없다고 할 것이다. | https://datalaw.kr/mediation/#m-1098
2019 | 동의 없는 개인정보 수집 | 신청인의 동의없이 휴대전화번호를 수집하여 홍보 문자를 전송한 것에 대한 손해배상 등 요구 | 삭제 조치, 나머지 기각 — 이와 같이 가입자가 가입서류 작성시 기재하는 개인정보 항목들은 특별히 다른 사람의 정보라고 표기하지 않는 한 개인정보처리자로서는 해당 개인정보가 가입자의 정보라고 인식하는 것이 사회통념상 자연스러운 것이고, 이를 수집한 행위가 위법하다고… | https://datalaw.kr/mediation/#m-1096
2019 | 개인정보보호 기술적·관리적·물리적 조치미비 | 신청인의 개인정보를 분리보관하지 않고 제3자에게 제공한 것에 대한 손해배상 등 요구 | 손해배상(30만원), 삭제 조치 — 신청인과 피신청인은 가맹계약을 해지하였고 계약해지와 동시에 신청인의 개인정보는 불필요하게 되어 파기하여야 하나, 가맹사업법 규정에 따라 피신청인은 신청인과의 가맹계약서를 3년간 보관할 의무가 있어 이를 저장·관리하여야 한다… | https://datalaw.kr/mediation/#m-1095
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 신청인의 동의없이 제3자에게 개인신용정보를 제공한 것에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인2는 피신청인1로부터 위탁받은 업무의 처리를 위해서만 피신청인1의 전산망을 이용하고 개인신용정보를 처리해야 할 의무가 있다. 피신청인2는 신청인에 관한 개인신용정보를 열람하거나… | https://datalaw.kr/mediation/#m-1094
2019 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 발급 취소한 카드의 개인정보를 처리한 것에 대한 사과와 재발방지 요구 | 해지 조치 — 피신청인과 신청인은 상거래 관계가 유지되고 있어 개인정보를 파기하지 않은 것이 보호법령을 위반했다고 볼 수 없고, 신청인 개인정보가 C사에 제공된 것도 사전 동의가 있었고 발급취소 요구 전에 제공되어개인정보 보호법령을 위반하지 않았음… | https://datalaw.kr/mediation/#m-1092
2019 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 유효하지 않은 전자우편주소로 통보만 하고 개인정보를 파기한 것에 대한 손해배상 등 요구 | 각하 — 신청인이 이미 분쟁조정위원회에서 심의·결정하였던 사건을 다시 신청한 경우에 해당하므로, 분쟁조정위원회는 「개인정보 보호법」 제48조 제1항 등에 따라 각하 처리함 | https://datalaw.kr/mediation/#m-1091
2019 | 동의 없는 개인정보 수집 | 개인정보를 동의 없이 조회하고 홍보에 이용한 행위에 대한 재발방지 등 요구 | 열람 조치 — 본인인증 앱은 신청인 휴대전화에서만 가입 및 이용이 가능하고, 본인확인 인증을 위해서는 신청인이 등록한 지문정보와 동일한 지문정보가 필요하며, 신청인이 본 사건 이후에도 스스로 본인인증 앱을 이용한 것을 종합하면… | https://datalaw.kr/mediation/#m-1090
2019 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 학교폭력신고 접수대장을 교육앱에 게시하여 성명, 신고내용 등을 노출한 것에 대한 손해배상 등 요구 | 손해배상(30만원), 재발방지 조치, 개선 조치 — 신청인 성명과 신고내용이 모바일 기기에서 유출된 것은 피신청인이 안전성 확보조치 기준에 따라 접근통제 조치를 다하지 못한 경우로서 「개인정보 보호법」을 위반하였음 | https://datalaw.kr/mediation/#m-1089
2019 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 피신청인이 보관하고 있는 개인정보를 포함한 상담내역에 대한 삭제 등 요구 | 기각 — 「개인정보 보호법」 제36조 제1항에 따라 다른 법령에서 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없으므로 그 상담내역을 3년의 기간 동안 보유해야 함 | https://datalaw.kr/mediation/#m-1088
2019 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 개인정보 유출행위에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인이 연말정산을 처리하는 과정에서 신청인에게 개별발송하지 않고 담당자의 실수로 신청인 개인정보를 전체발송을 한 행위는 「개인정보 보호법」 제29조를 위반하였음 | https://datalaw.kr/mediation/#m-1086
2019 | 개인정보보호 기술적·관리적·물리적 조치미비 | 동의 없이 통신요금 납부완료 문자를 발송한 것에 대한 손해배상 등 요구 | 재발방지 조치, 나머지 기각 — 신청인이 A회선 요금에 대한 문의전화를 하기 전에도 신청인 휴대전화번호로 4개 회선에 대한 미납요금 안내 문자를 발송한 사실이 있는 것으로 볼 때 피신청인이 신청인 휴대전화번호를 이 사건 이전부터 수집하고 있던 것으로 보이고… | https://datalaw.kr/mediation/#m-1085
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 조정조서에 상세주소를 기재하여 분쟁 상대방에게 발송한 행위에 대한 손해배상 등 요구 | 개선 조치, 손해배상 기각 — 분쟁 조정의 내용은 소비자기본법 제67조 제4항에 따라 재판상 화해와 동일한 효력을 갖게 되어 이행하지 않을 경우 강제집행을 위해 당사자가 특정되어야 하므로… | https://datalaw.kr/mediation/#m-1084
2019 | 동의 없는 개인정보 수집 | 휴대전화 요금항목의 동의 없는 변경에 대한 손해배상 요구 | 손해배상(167,389원), 재발방지 조치 — 피신청인은 위탁내용을 개인정보처리방침에 공개하고 있을 뿐 신청인의 휴대전화 가입신청서에서 동의를 받은바 없음. 인터넷 검색을 통해 수집한 신청인 개인정보는 인터넷에 공개된 목적과 상당한 관련성이 있다고 보기 어려움 | https://datalaw.kr/mediation/#m-1083
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 보험료 자동이체 납부 카드를 변경했으나 반영되지 않아 미납중인 상태에서, 기존 납부 카드로 매출 승인한 것에 대한 손해배상 등 요구 | 손해배상(20만원), 재발방지 조치, 나머지 기각 — 신청인이 카드 정보를 제공한 보험료 납부 목적 내에서 이용된 것이므로 위법하다고 보기 어려움 | https://datalaw.kr/mediation/#m-1080
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 개통 당시 비상연락처로 주소 변경 처리결과 메시지 발송 건에 대한 손해배상 등 요구2 | 개선 조치, 손해배상 기각 — 피신청인은 신청인 친구의 주소변경 업무 처리결과를 통지함에 있어서 “연락 가능한 전화번호”에 기재된 신청인의 전화번호로 통지하였는바, 이는 신청인로부터 동의받은 목적이나 제22조제2항 각 호에서 정한 목적과 다른 목적으로 이용한 행위로서… | https://datalaw.kr/mediation/#m-1079
2019 | 수집한 목적 외 이용 또는 제3자 제공 | 개통 당시 비상연락처로 주소 변경 처리결과 메시지 발송 건에 대한 손해배상 등 요구 | 손해배상(10만원), 개선 조치 — 피신청인은 “연락 가능한 전화번호”를 주소 변경 통지 목적으로 이용하여 신청인의 주소 정보를 유출하였는바 이는 정보통신망법 제24조 및 제28조를 위반한 것이라고 판단됨 | https://datalaw.kr/mediation/#m-1078
2019 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 유효하지 않은 전자우편주소로 통보만 하고 개인정보를 파기한 것에 대한 손해배상 등 요구 | 각하 — 분쟁조정위원회에서 심의·결정한 안건을 신청인이 다시 신청한 경우 「개인정보 보호법」 및 운영세칙에 따라 각하할 수 있음 | https://datalaw.kr/mediation/#m-1068
2019 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 민원인 개인정보 유출에 대한 손해배상 등 요구 | 손해배상(10만~50만원) 등 — 피신청인이 신청인 동의 또는 법률적 근거 없이 신청인 민원서류를 제3자에게 전송한 것은 「개인정보 보호법」 제17조와 사회보장급여법 제31조를 위반하였음 | https://datalaw.kr/mediation/#m-1050
2018 | 동의 없는 개인정보 수집 | 배상책임 보험금 지급 심사에 필요하다며 개인정보 수집 동의를 요구한 보험사에 대한 손해배상 등 요구 | 개선 조치 — 피신청인은 신청인1이 필수동의서와 문답서를 작성한 후 하루만에 철회하여 해당 개인정보가 제3자에게 제공 또는 조회한 사실이 없고, 신청인2도 처음부터 필수동의서와 문답서 작성을 거부하여 해당 개인정보가 수집된 사실이 없어 이에 대해 피신청인의 위법을 지적하는 신청인들의 주장은 받아들일 수 없음. 다만, 문답서로 수집하는 함께 투숙한 사람의 정보는 최소한의 개인정보라고 보기 어렵고… | https://datalaw.kr/mediation/#m-1093
2018 | 동의 없는 개인정보 수집 | 채권이 없음에도 채권추심 목적으로 개인정보를 수집·이용한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인이 채권추심법에 따라 채권추심 수임사실을 통지하고 「주민등록법」에 따라 주민등록표 초본을 교부 받은 행위는 신용정보법 및 보호법 관련규정을 위반하였다고… | https://datalaw.kr/mediation/#m-1082
2018 | 동의 없는 개인정보 수집 | 동의 없이 청약서를 보관하고 전송한 행위에 대한 손해배상 등 요구 | 재발방지 조치 — 개인정보를 제공 받는 자가 신청인 배우자였기 때문에 피신청인 보험설계사로서는 신청인의 보험 보장내용 제공 요청을 청약서 사본 전체 제공에 대한 동의로 해석할 여지가 있다고 보여 이를 위법하다고 보기 어려우나, | https://datalaw.kr/mediation/#m-1081
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없는 회원정보 수집과 수신거부 불응에 대한 손해배상 등 요구 | 손해배상(40만원), 삭제 조치 등 — 피신청인이 양수도 계약을 통해 개인정보를 이전받은 사실을 신청인에게 알리지 않은 것은 보호법 제27조 제2항을 위반하였음 | https://datalaw.kr/mediation/#m-1039
2018 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 교통사고 조사에 이용한 행위에 대한 손해배상 등 요구 | 기각 — 피신청인은 경찰관직무집행법 제2조 및 도로교통법 제54조 제6항에 따라 교통사고 조사를 위하여 보험사를 통해 신청인 개인정보를 수집하여 출석 협조요청에 이용한 것으로 | https://datalaw.kr/mediation/#m-1029
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 성명을 본인과 관계 없는 보험금 청구결과 안내에 이용한 행위에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인이 1차 안내문에서 피보험자로 해당 보험과 무관한 제3자의 성명을 기재한 것은 업무담당자의 단순한 실수라는 점을 인정할 수 있으나 | https://datalaw.kr/mediation/#m-1028
2018 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 내부 민원접수에 활용한 것에 대한 손해배상 | 기각 — 동의 없이 신청인의 개인정보를 피신청인 소비자보호실에서 내부 민원처리에 이용한 것은 「개인정보 보호법」제15조제1항제4호에 따라 피신청인이 계약상 의무를 이행하기 위한 정당한 행위로 판단됨 | https://datalaw.kr/mediation/#m-1020
2018 | 개인정보보호 기술적·관리적·물리적 조치미비 | 학교명, 생년월일·성별의 유출에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 피신청인은 홈페이지에 개인을 식별할 수 있는 학교명, 생년월일· 성별을 유출하여 「개인정보 보호법」 제29조에 따라 개인정보가 유출되지 않도록 안정성 확보에 필요한 기술적·관리적 조치를 하여야 할 의무를 위반하였음 | https://datalaw.kr/mediation/#m-1019
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 교통위반 기록을 보험계약 해지심사에 이용한 행위에 대한 손해배상 요구 | 기각 — 피신청인이 신청인의 교통법규 위반기록을 수집하여 보험계약 해지 심사에 이용한 것은 「개인정보 보호법」 제15조 제1항 제6호에 따라 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우에 해당하여… | https://datalaw.kr/mediation/#m-989
2018 | 개인정보보호 기술적·관리적·물리적 조치미비 | 성명, 주민등록번호 등 개인정보 유출에 대한 손해배상 요구 | 손해배상(10만원) — 피신청인은 관리중인 파일에 개인정보가 포함되어 있지 않은 것으로 오인하고 필요한 조치를 취하지 아니하여 정보통신망법 제28조를 위반하였다. 또한, 관리중인 파일에 개인정보가 포함되어 있지 않은 것으로 오인하고… | https://datalaw.kr/mediation/#m-988
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 동의 없는 광고성 정보 전송 및 개인정보 처리정지 요구 관련 잘못된 조치에 대한 손해배상 등 요구 | 손해배상, 재발방지 조치 — 피신청인이 신청인 동의 없이 광고성 정보를 전송한 행위는 정보통신망법을 위반하였음. 피신청인의 개인정보 처리정지 조치는 신청인이 요구한 목적에 적합한 조치라고 보기 어려우므로 「개인정보 보호법」을 위반하였음 | https://datalaw.kr/mediation/#m-980
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 주민등록번호의 불법이용에 대한 사용금지 요구 | 기각 — 주민등록번호는 법률에 따라 개개인에게 부여하는 13자리 고유한 등록번호로서 생년월일뿐만 아니라 성별, 출생한 지역 등의 고유번호 등으로 구성되어 있으므로 생년월일만을 주민등록번호라고 보기 어려움 | https://datalaw.kr/mediation/#m-979
2018 | 동의 없는 개인정보 수집 | 보험금 지급내역 조회 및 제3자 제공에 대한 손해배상 등 요구 | 손해배상(10만원), 재발방지 조치 — 신청인은 보험금을 청구하면서 피신청인이 보험사기 조사 등을 목적으로 신청인 보험정보를 조회하는 것에 동의하였으므로 피신청인의 조회 행위는 위법하지 않음 | https://datalaw.kr/mediation/#m-969
2018 | 동의 없는 개인정보 수집 | 개인신용정보를 동의 없이 수집‧이용한 행위에 대한 손해배상 등 요구 | 신청인 개인정보가 포함된 서류를 보험사에게 제출한 것은 신용정보법에 따라 보험금을 청구하기 위해 제출한 것으로 보험사가 신청인 개인정보 수집에 동의한 것으로 볼 수 있음 | https://datalaw.kr/mediation/#m-965
2018 | 개인정보보호 기술적·관리적·물리적 조치미비 | 게임계정을 본인확인 없이 제3자에게 이전한 행위에 대한 손해배상 요구 | 재화 지급 — 게임계정 정보를 이전하는 경우 개인정보가 게임계정 소유자가 아닌 제3자에게 유출될 위험이 있으므로, 피신청인은 정보통신망법 제28조 제1항에 따른 기술적·관리적 조치로서 게임계정 이전을 요청한 자가 해당 게임계정의 소유자인지 여부를 확인할 의무가 있음 | https://datalaw.kr/mediation/#m-963
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 시험 성적을 동의 없이 소비자분쟁조정위원회에 제공한 행위에 대한 손해배상 등 요구 | 손해배상, 재발방지 조치 — 피신청인은 제3자 제공 시 다른 법률에 특별한 규정이 있거나 요금 정산을 위하여 필요한 경우 이외에는 이용자의 동의를 받아야 하는 정보통신망법을 위반하였음 | https://datalaw.kr/mediation/#m-962
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 주차장에 CCTV를 설치한 유통업체에 대한 개인영상정보의 열람과 손해배상 등 요구 | 손해배상, 열람 조치 등 — 피신청인은 보호법에 따른 정보주체의 요구일 경우 영상정보를 제공할 수 있도록 내부 영상정보처리방침 등을 개정해야함. 신청인에게 손해배상금을 지급하고, 보호법 기준에 따라 해당 영상정보를 발급해야할 것임 | https://datalaw.kr/mediation/#m-898
2018 | 동의 없는 개인정보 수집 | 전자우편 주소를 동의 없이 수집하여 신용카드 발급에 이용한 금융기관에 대한 손해배상 등 요구 | 기각 — 피신청인은 다른 고객이 신용카드를 신청하는 과정에서 신청인 전자우편 주소를 기재한 것을 수집한 것이며, 피신청인이 전자우편 주소 소유자를 확인할 경우 전자우편 주소 외에 다른 개인정보까지도 수집·이용하게 될 것이므로… | https://datalaw.kr/mediation/#m-881
2018 | 기타 개인정보 침해 | 유효하지 않은 전자우편 주소로 개인정보 파기 예정 사실을 통보한 기업에 대한 손해배상 등 요구 | 기각 — 피신청인은 정보통신망법에 따라 안내 의무를 이행하였고 해당 주소가 유효하지 않은 것에 대해 피신청인의 귀책사유가 없으므로… | https://datalaw.kr/mediation/#m-880
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 병원 CCTV에서 수집한 개인영상정보를 동의 없이 회의자료로 이용한 것에 대한 사과 요구 | 사과 — 피신청인이 이 사건 영상정보를 회의자료로 이용하고 회의 자료를 회의참석자들에게 이메일로 발송한 것은 이 사건 영상정보의 수집 목적인 병원의 환자 및 시설안전, 화재 및 범죄예방범위에 해당하지 아니하므로… | https://datalaw.kr/mediation/#m-879
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 교육 수료생에 대한 정보를 이용하여 회원 탈퇴 후에도 교육과정을 홍보한 것에 대한 손해배상 등 요구 | 손해배상, 재발방지 조치 — 피신청인은 공공기록물법에 따라 신청인의 개인정보를 보존할 수 있으나 그 이용 범위는 보존 목적에 한정되므로, 피신청인이 신청인의 회원 탈퇴와 메일발송 중단 요청에도 불구하고… | https://datalaw.kr/mediation/#m-878
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 문의내역을 보관하고 있는 온라인 서비스업체에 대한 관련 개인정보 삭제 요구 | 기각 — 정보통신망법 및 전자상거래법 등에 따라 소비자의 불만 또는 분쟁처리에 관한 기록은 3년간 보존되어야 하므로 이에 대한 삭제요구는 인정되지 아니함 | https://datalaw.kr/mediation/#m-871
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 교원소청심사위원회에 소청심사와 무관한 자의 개인정보를 제공한 학교법인에 대한 손해배상 등 요구 | 손해배상, 재발방지 조치 — 신청인들에 대한 사회적 평가에 영향을 미칠 수 있는 민감한 정보인 진상조사 기록을 동의 없이 제3자 제공한 것에 대하여 손해배상금을 지급 | https://datalaw.kr/mediation/#m-870
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 자문기관을 구체적으로 알리지 아니하고 의료자문을 실시한 보험사에 대한 손해배상 등 요구 | 개선 조치 등 — 피신청인은 외부 의료자문과 관련하여 「개인정보 보호법」 제26조의 절차를 준수하여야 하고, 개인정보 처리 열람 요구가 개인정보처리자가 정하지 않은 방법으로 접수되었을 경우에도 그 방법과 절차를 지체 없이 안내할 수 있도록 직원 교육을 실시하여야 함 | https://datalaw.kr/mediation/#m-869
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 보험증권, 보험금 지급 내역과 관련 진료기록 등을 소송의 증거자료로 법원에 제출한 것에 대한 손해배상 요구 | 기각 — 피신청인이 신청인의 개인정보를 민사소송의 증거자료로 제출한 것은 헌법이 보장하고 있는 재판받을 권리에 따라 제출한 것으로 위법하지 않음 | https://datalaw.kr/mediation/#m-865
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 보험증권, 보험금 지급 내역과 관련 진료기록 등을 소송의 증거자료로 법원에 제출한 것에 대한 손해배상 요구 | 기각 — 피신청인이 신청인의 개인정보를 민사소송의 증거자료로 제출한 것은 헌법이 보장하고 있는 재판받을 권리에 따라 제출한 것으로 위법하지 않음 | https://datalaw.kr/mediation/#m-864
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 도로 위 CCTV에 촬영된 개인영상정보 제공 요구 | 기각 — 피신청인이 보호법과“영상정보처리기기 운영·관리 방침”에 따라 보관기간 경과로 파기하여 보유하고 있지 아니한 CCTV의 개인영상정보 제공을 요구하는 신청인의 주장은 인정할 수 없음 | https://datalaw.kr/mediation/#m-863
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 소송의 증거자료로 이용한 것에 대한 손해배상 등 요구 | 기각 — 피신청인이 신청인의 개인정보를 민사소송의 증거자료로 제출한 것은 헌법이 보장하고 있는 재판받을 권리에 따라 제출한 것으로 위법하지 않음 | https://datalaw.kr/mediation/#m-862
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 소송의 증거자료로 이용한 것에 대한 손해배상 등 요구 | 기각 — 피신청인이 소송 당사자로서 증거를 제출한 것은 공정한 민사재판권의 실현과 소송에서의 진실이라는 공익에 기여하며 부당한 보험금 지급책임을 면함으로써 보험료를 낮추어 보험가입자들의 공동이익 달성에 기여하는 반면… | https://datalaw.kr/mediation/#m-861
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 민원내역 삭제 요구 | 기각 — 「개인정보 보호법」 제21조는 개인정보처리자는 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하도록 하고 있으나 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다고 규정하고 있음 | https://datalaw.kr/mediation/#m-860
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 문의내역과 구매내역 삭제 요구 | 기각 — 정보통신망법 제29조는 정보통신서비스 제공자 등은 동의를 받은 개인정보의 수집·이용 목적을 달성한 경우 등에 지체 없이 해당 개인정보를 복구·재생할 수 없도록 파기하도록 하면서 다른 법률에 따라 개인정보를 보존하여야 하는 경우에는 그러하지 아니하다고… | https://datalaw.kr/mediation/#m-859
2018 | 기타 개인정보 침해 | 휴대전화 단말기 고유번호(IMEI) 정보를 동의 없이 제공받아 이용한 것에 대한 손해배상 등 요구 | 기각 — 피신청인은 신청인의 주장에 반대되는 전산시스템 조회화면, 단말기 상단의 통신사 표시 화면 등을 제시하고 있으므로 피신청인이 신청인의 개인정보를 동의 없이 제공받아 이용하였다는 신청인의 주장은 인정할 수 없음 | https://datalaw.kr/mediation/#m-858
2018 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 취업포털사이트에 입력한 이용자의 최종 학력정보가 사실과 다르게 변경된 것에 대한 재발방지 요구 | 재발방지 조치 — 시스템 개편에 따라 최종 학력정보가 병합 대상에 포함된 신청인의 최종 학력정보는 신청인이 최종적으로 확인·저장하여 변경된 것으로 피신청인이 직접 변경한 것은 아니지만, 피신청인은 신청인에게 최종 학력정보가 변경된 과정을 문서로 명확히 알리고… | https://datalaw.kr/mediation/#m-850
2018 | 기타 개인정보 침해 | 보험회사가 텔레마케팅을 하면서 텔레마케팅이 아니라고 한 것에 대한 손해배상 등 요구 | 재발방지 조치 — 피신청인은 신청인으로부터 개인신용정보를 이용하는데 동의 받은 사실이 있으므로, 피신청인이 TM전화를 한 행위는 신용정보법 위반으로 보기 어려움. 그러나 피신청인이 영리목적의 광고성 전화를 할 경우 광고성 정보임을 알리고, 수신거부 또는 수신동의의 철회에 대한 안내를 하여야 하나 이를 하지 않은 것은 정보통신망법 위반으로 재발방지 대책을 수립하고… | https://datalaw.kr/mediation/#m-849
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 동의 없이 단골고객 등록에 이용한 휴대전화 판매대리점과 이동통신사에 대한 손해배상 등 요구 | 손해배상, 재발방지 조치 — 피신청인2가 신청인의 동의 없이 피신청인1의 고객정보를 조회하여 단골고객으로 등록한 것은 위탁받은 업무의 범위를 벗어나 개인정보를 처리한 것으로 정보통신망법 위반으로 판단됨 | https://datalaw.kr/mediation/#m-848
2018 | 동의 없는 개인정보 수집 | 가족의 복지서비스 제공을 위해 사용된 개인정보 삭제 요구 | 기각 — 피신청인은 사회보장급여법에 따라 신청인 모친대상 사례관리를 한 것으로 신청인 포함 가구 구성에 관한 사항을 신청인 모친의 복지서비스 제공에 필수적인 정보로서 운영하고 있었음 | https://datalaw.kr/mediation/#m-841
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 택배이용 거래정보에 포함되어 있는 개인정보 삭제 요구 | 기각 — 인터넷 우체국에 신청한 방문택배에서 거래기록은 「전자상거래 등에서 소비자 보호에 관한 법률」에 따라 5년간 보유하여야 함 | https://datalaw.kr/mediation/#m-840
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 민원인의 개인정보 삭제 요구 | 기각 — 복지로에 문의한 신청인의 민원은 「사회보장급여의 이용·제공 및 수급권자 발굴에 관한 법률」에 따라 5년간 보유하여야 함 | https://datalaw.kr/mediation/#m-839
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 수술 전후 사진의 동의 없는 이용에 대한 손해배상 등 요구 | 손해배상, 침해행위 중지, 개선 조치 — 신청인의 쌍꺼풀 수술 전후 사진은 신청인의 사생활을 현저히 침해할 우려가 있는 민감정보임. 피신청인이 이를 신청인 동의 없이 병원 홍보 목적으로 이용한 것은 보호법을 위반하였음 | https://datalaw.kr/mediation/#m-838
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 목적 외 이용에 대한 손해배상 등 요구 | 손해배상, 개선 조치 — 광고문자 전송에 대해 신청인이 수신거부를 하였음에도 광고 문자를 재전송한 행위는 정보통신망법 위반임 | https://datalaw.kr/mediation/#m-837
2018 | 기타 개인정보 침해 | 아날로그방송 케이블TV를 고화질(HD)방송으로 전환하면서 주민등록번호를 요구한 것에 대한 재발방지 요구 | 재발방지 조치 — 피신청인은 신청인이 주민등록번호를 제공하지 않았고, 케이블 방송 방식을 같은 날 전환하여 보호법령을 위반하지 않았으나, 향후 재발방지를 위해 주민등록번호를 요구한 직원에 대하여 주의조치하고, 이 사건 내용을 사례로 직원에게 공지하는 것이 필요함 | https://datalaw.kr/mediation/#m-836
2018 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 민원인의 개인정보 삭제 요구 | 기각 — 국민신문고에 게시한 신청인의 민원은 「공공기록물 관리에 관한 법률」에 따라 10년간 보유하여야 함 | https://datalaw.kr/mediation/#m-835
2018 | 동의 없는 개인정보 수집 | 개인정보를 동의 없이 외국에서 물품 구입자로 이용한 행위에 대한중지 요구 | 삭제 조치 — 신청인 언니가 피신청인 매장 직원으로 근무하며 동생인 신청인의 개인정보를 이용한 것은 보호법 위반임 | https://datalaw.kr/mediation/#m-834
2018 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 개인신용정보 미파기에 대한 손해배상 등 요구 | 삭제 조치 — 신청인은 8개의 채권 소멸시효가 완성되었으므로 이를 추심한 것을 위법하다고 주장하나,. 1번부터 4번까지의 채권 소멸시효가 완성되었다는 사실은 판결이 확정된 후에 명백해진 것이므로… | https://datalaw.kr/mediation/#m-833
2018 | 동의 없는 개인정보 수집 | 온라인 직거래사이트에 공개된 휴대전화번호를 수집하고 이를 다른 사이트 광고 문자 전송에 이용한 것에 대한 손해배상 등 요구 | 손해배상, 삭제 조치, 침해행위 중지 — 피신청인이 신청인의 휴대전화 번호를 수집하고 영리 목적의 광고성 정보 전송에 이용한 것은 신청인의 동의가 있었다고 객관적으로 인정되는 범위를 벗어난 행위라고 보는 것이 타당함 | https://datalaw.kr/mediation/#m-832
2018 | 수집한 목적 외 이용 또는 제3자 제공 | 금융정보를 동의 없이 정부기관 등에 제공한 증권사에 대한 손해배상 등 요구 | 기각 — 「공공주택특별법」에 근거하여 국토교통부장관의 금융정보 제공 등에 관한 업무는 보건복지부장관에게 위탁되어 있어 피신청인이 보건복지부장관에게 신청인의 금융정보를 제공한 것은 적법하며, 피신청인은 ○○공사와 ○○시청에게 신청인 금융정보를 제공한 사실이 없음 | https://datalaw.kr/mediation/#m-831
2018 | 동의 없는 개인정보 수집 | 개인정보를 동의 없이 수집하여 홍보에 이용한 가구판매점에 대한 손해배상 등 요구 | 손해배상, 삭제 조치, 재발방지 조치 — 신청인 동의 없이 개인정보를 수집하여 홍보문자를 전송한 것은 보호법과 정보통신망법을 위반하였음 | https://datalaw.kr/mediation/#m-829
2018 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 휴면 처리된 계정의 개인정보를 이용한 행위에 대한 손해배상 등 요구 | 손해배상 — 피신청인은 신청인이 홈페이지에 접속하지 아니한 기간 동안 정보통신망법에 따라 신청인의 개인정보를 다른 이용자의 개인정보와 분리하여 별도로 저장·관리하고 이용하지 않았어야 함 | https://datalaw.kr/mediation/#m-820
2018 | 동의 없는 개인정보 수집 | 홈페이지에 공개된 신청인 담당교과를 수집하여 연수자 선정에 이용한 것에 대한 재발방지 요구 | 기각 — 신청인 담당교과는 소속 학교 홈페이지에 공개되어 있고 민감정보나 고유식별정보에 해당하지 않으며, 학교 학생 및 학부모들이 최소한으로 제공받아야 할 교원의 직업적 정보로서 공공성 있는 정보에 해당함 | https://datalaw.kr/mediation/#m-819
2017 | 수집한 목적 외 이용 또는 제3자 제공 | 대리모 시술을 받은 신청인의 의료정보를 동의 없이 제3자에게 제공한 것에 대한 손해배상 요구 | 주문: 1. 피신청인은 「개인정보 보호법」제38조 제1항 및 같은 법 시행령 제46조 제1항, 「의료법」제21조에 따라 환자가 아닌 사람에게 환자에 관한 기록의 열람 등을 요청하는 경우에는 그 환자가 서명한 진료기록 열람 및 사본발급 동의서와 위임장으로… | https://datalaw.kr/mediation/#m-1396
2017 | 동의 없는 개인정보 수집 | 의료기관 명칭을 알리지 아니한 채 동의를 받아 의무기록사본을 수집한 행위에 대한 손해배상 요구 | 손해배상(50만원) — 주문: 피신청인은 손해배상금으로 금500,000원을 신청인에게 지급한다. | https://datalaw.kr/mediation/#m-1395
2017 | 기타 개인정보 침해 | 타인의 입금계좌 안내에 자신의 휴대전화번호를 이용한 행위에 대한 손해배상 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 피신청인은 조정성립일로부터 6주 이내에 이와 같은 사건이 다시 발생하지 않 도록 문자메시지 전송시스템을 개선하는 등 재발방지 대책을 수립하고 이행 한다. 2. 이 사건 손해배상 신청을 기각한다. | https://datalaw.kr/mediation/#m-1394
2017 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없는 광고성 문자 전송에 대한 손해배상 및 재발방지 조치 요구 | 재발방지 조치, 손해배상 기각 — 주문: 1. 피신청인은 조정성립일로부터 6주 이내에 이 사건과 같은 일이 발생되지 않도록 소속 직원에게 교육을 실시하는 등 재발방지 대책을 수립하고 이 행한다. 2. 이 사건 손해배상 신청을 기각한다. | https://datalaw.kr/mediation/#m-1393
2017 | 수집한 목적 외 이용 또는 제3자 제공 | 의료정보를 동의 없이 의료기관에 제공한 보험회사에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1392
2017 | 수집한 목적 외 이용 또는 제3자 제공 | 고객 신용정보를 내부 감사 목적으로 이용하고 불특정 다수에게 유포한 은행에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1391
2017 | 동의 없는 개인정보 수집 | 고객 개인정보를 동의 없이 수집한 휴대전화 서비스센터에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1390
2017 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 법원 압류결정문을 주택조합 조합장의 요청에 따라 전자우편으로 보내준 자산관리회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-1389
2017 | 동의 없는 개인정보 수집 | 전세자금 대출 관련 임대차 사실확인 중에 임대인 운전면허번호를 수집한 은행에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1388
2017 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 청약 승낙 거절 후에도 개인정보를 파기하지 않은 보험회사에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1387
2017 | 수집한 목적 외 이용 또는 제3자 제공 | 민감정보가 포함된 통화 녹취파일을 금융감독기관에 제공한 보험회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-1386
2017 | 동의 없는 개인정보 수집 | 개인정보를 동의 없이 수집하여 체크카드를 발급한 은행에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1385
2017 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 탈퇴 요청한 회원의 정보를 삭제하지 않고 계속 상품안내를 한 인터넷 숙박예약업체에 대한 개인정보 삭제와 재발방지 요구 | - | https://datalaw.kr/mediation/#m-1384
2017 | 기타 개인정보 침해 | 온라인 게임 계정을 동의 없이 삭제한 포털사이트에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1383
2017 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보가 담긴 아파트 분양계약 서류를 도난당한 건설회사 등에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-1382
2017 | 동의 없는 개인정보 수집 | 퇴직자의 개인정보를 동의 없이 수집·이용한 보험회사에 대한 시정 요구 | - | https://datalaw.kr/mediation/#m-1381
2017 | 개인정보보호 기술적·관리적·물리적 조치미비 | 상담글이 구글 검색에 노출된 병원에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-1380
2017 | 동의 없는 개인정보 수집 | 통역사의 개인정보를 동의 없이 수집하고 제3자에게 제공한 근로감독기관에 대한 시정요구 | - | https://datalaw.kr/mediation/#m-1379
2016 | 기타 개인정보 침해 | 이용자의 주민등록번호를 수집·이용한 기부식품제공사업자 등에 대한 재발방지 요구 | - | https://datalaw.kr/mediation/#m-759
2016 | 기타 개인정보 침해 | 제3자의 요청에 응하여 신청인의 개인정보를 변경한 홈페이지 운영자에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-758
2016 | 기타 개인정보 침해 | 광고문자를 발송한 미팅 중개 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-757
2016 | 기타 개인정보 침해 | 개인을 알아볼 수 있는 사진을 본인의 동의 없이 기사에 게재한 언론사에 대한 재발방지 조치 요구 | - | https://datalaw.kr/mediation/#m-756
2016 | 기타 개인정보 침해 | 회원정보를 임의 변경한 기업에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-755
2016 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 이용자의 개인정보를 파기하지 않고 조회한 이동통신사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-754
2016 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 탈퇴한 회원의 휴대전화번호를 미삭제한 카셰어링 업체에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-753
2016 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 공제금 지급청구 후 취소하였음에도 제출한 건강정보를 보관·이용한 금융기관에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-750
2016 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 수강생 개인정보를 영리목적으로 이용한 직업전문학교에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-749
2016 | 개인정보보호 기술적·관리적·물리적 조치미비 | 장기 미사용 이용자의 개인정보를 다른 이용자의 개인정보와 같이 저장·관리한 업체에 대한 재발방지 요구 | - | https://datalaw.kr/mediation/#m-748
2016 | 개인정보보호 기술적·관리적·물리적 조치미비 | 삭제 안내된 개인정보를 재이용한 전자제품 A/S 업체에 대한 법 위반 여부 확인 요구 | - | https://datalaw.kr/mediation/#m-747
2016 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보를 제3자에게 노출시킨 판매업자에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-746
2016 | 개인정보보호 기술적·관리적·물리적 조치미비 | 저장매체 운반 시 보안조치를 미흡하게 한 클라우드 서비스 제공자에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-745
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 배우자에게 개인정보를 제공한 카지노 운영기관에 대한 카지노 출입 제한 조치 해제 요구 | - | https://datalaw.kr/mediation/#m-744
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 수사기관에 제공한 공공기관에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-743
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 부동산 매각허가결정서 교부를 통해 개인정보를 제3자에게 제공한 법원에 대한 재발방지 대책 요구 | - | https://datalaw.kr/mediation/#m-742
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 타 보험회사에 개인정보를 제공한 보험회사에 대한 법 위반사항 확인 요구 | - | https://datalaw.kr/mediation/#m-741
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 관리비 납입내역서를 제3자 제공·이용한 아파트 관리소장 등에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-740
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 정보주체의 개인정보를 배우자에게 제공한 보험회사에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-739
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 퇴사한 직원의 개인정보를 조회한 이동통신사 대리점에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-738
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 업무 수행과정에서 개인정보를 열람·이용한 지방자치단체에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-735
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 회원정보를 열람하여 VIP 회원으로 가입시킨 화장품 판매 업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-734
2016 | 수집한 목적 외 이용 또는 제3자 제공 | 기존 배송정보를 새로운 배송 건에 이용한 택배회사에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-733
2016 | 동의 없는 개인정보 수집 | 근태사항 확인을 위해 직원 배우자의 진단서를 수집한 보험 판매회사에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-732
2016 | 동의 없는 개인정보 수집 | 민사소송 사건번호를 요구하여 보험금 지급심사에 이용한 보험회사에 대한 재발방지 요구 | - | https://datalaw.kr/mediation/#m-731
2016 | 동의 없는 개인정보 수집 | 환자 진료 시 환부 이외 신체사진을 촬영한 한의원에 대한 손해배상 등 요구 | - | https://datalaw.kr/mediation/#m-730
2016 | 동의 없는 개인정보 수집 | 인터넷을 검색하여 개인정보를 수집한 보험사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-729
2016 | 동의 없는 개인정보 수집 | 멤버십 카드를 운영하는 백화점에 대한 비밀번호 정책 시정 요구 | - | https://datalaw.kr/mediation/#m-727
2016 | 동의 없는 개인정보 수집 | 삭제 요청한 개인정보를 영업 목적으로 이용한 결혼정보업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-725
2015 | 기타 개인정보 침해 | 정보주체의 동의 없이 성형 전·후 사진을 홍보책자에 게재한 성형외과의원에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-719
2015 | 기타 개인정보 침해 | 주상복합건물 관리사무소 사무실 내 CCTV를 설치하여 운영한 사업자에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-718
2015 | 기타 개인정보 침해 | 영업양수 시 개인정보 이전 사실을 고지하지 아니한 헤어샵에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-717
2015 | 기타 개인정보 침해 | 영리목적의 광고성 정보 전송 시 ‘광고’ 표시의무를 위반한 온라인쇼핑몰에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-716
2015 | 기타 개인정보 침해 | 영리목적의 광고성 정보 전송 시 ‘광고’ 표시의무를 위반한 정보통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-715
2015 | 개인정보보호 기술적·관리적·물리적 조치미비 | 자격시험 응시생의 개인정보를 외부로 유출한 공공기관에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-714
2015 | 수집한 목적 외 이용 또는 제3자 제공 | 정보주체의 동의 없이 명예훼손 관련 CCTV영상정보를 제3자(입주자대표)에게 제공한 아파트관리사무소에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-713
2015 | 수집한 목적 외 이용 또는 제3자 제공 | 명의자 동의 없이 금융거래정보를 제3자에 제공한 금융기관에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-712
2015 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 제3자에게 제공한 온라인상품 위탁판매회사 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-711
2015 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보파기를 요청한 이용자에게 광고성 문자를 보낸 개인정보처리자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-710
2015 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 영업목적으로 이용한 피부과의원에 대한 손해배상요구 | - | https://datalaw.kr/mediation/#m-709
2015 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 영업목적으로 이용한 개인정보처리자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-708
2015 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 영업목적으로 이용한 통신사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-707
2015 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 영업목적으로 이용한 결혼정보업체에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-706
2015 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 영업목적으로 이용한 외식기업에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-705
2015 | 동의 없는 개인정보 수집 | 박람회를 통해 수집한 명함의 개인정보를 동의 없이 홍보 목적으로 이용한 솔루션 판매 업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-704
2015 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집․이용하여 보험 상품에 가입시킨 보험회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-703
2015 | 동의 없는 개인정보 수집 | 고객 동의 없이 자동이체 등록을 한 신용카드회사에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-702
2015 | 동의 없는 개인정보 수집 | 인터넷 서비스 가입 문의 시 주민등록번호를 수집한 정보통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-701
2015 | 동의 없는 개인정보 수집 | 환자 보호자의 주민등록번호를 동의 없이 수집한 의료기관에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-700
2014 | 기타 개인정보 침해 | 정보주체의 동의 없이 고객정보를 수탁업체에게 제공한 이동통신 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-692
2014 | 기타 개인정보 침해 | 개인정보 제3자 제공 시, 동의절차를 위반한 아파트관리 사무소에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-691
2014 | 기타 개인정보 침해 | 성형 전·후 사진을 동의 없이 영업목적으로 이용한 성형외과 의원에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-690
2014 | 기타 개인정보 침해 | 동의 없이 개인 위치정보를 이용하여 문자 메시지를 발송한 이동통신사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-689
2014 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인신용정보 제공 ․ 이용 동의 철회 요청을 거부한 보험회사에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-688
2014 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 개인정보 처리정지 요구에 대하여 적절한 조치를 취하지 않은 도시가스회사에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-687
2014 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 영상정보처리기기의 열람요청을 거부한 어린이집에 대한 제도 개선 요구 | - | https://datalaw.kr/mediation/#m-686
2014 | 개인정보보호 기술적·관리적·물리적 조치미비 | 내부직원에 의하여 개인정보를 유출한 인력파견 회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-685
2014 | 개인정보보호 기술적·관리적·물리적 조치미비 | 기술적·관리적 조치 미비로 개인정보를 유출시킨 이러닝 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-684
2014 | 개인정보보호 기술적·관리적·물리적 조치미비 | 기술적·관리적 조치 미비로 개인정보를 유출시킨 온라인 쇼핑몰에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-683
2014 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 개인정보 파기 요구를 거부한 아파트 관리사무소에 대한 제도 개선 요구 | - | https://datalaw.kr/mediation/#m-682
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 제3자에게 제공한 종합식품업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-681
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 동의 없이 제3자에게 제공한 유통사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-680
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 수집 목적 달성 후 보관 목적 외로 개인정보를 이용한 이동통신사업자에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-679
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 정보주체의 수신거부 요구에도 개인정보를 영업목적으로 이용한 종합 유선방송 사업자에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-678
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 이용하여 광고성 문자메시지를 발송한 보험회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-677
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 수집목적 외로 이용한 부동산 신탁회사에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-676
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 고객의 수신거부에도 광고목적의 전화를 한 유 ․ 무선 인터넷 통신사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-675
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 공개된 개인정보를 이용하여 정보주체의 권리행사를 제한한 관광휴양시설업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-674
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 고객정보를 수집목적 외로 이용한 인터넷통신서비스업체에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-673
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 정보주체의 동의 없이 개인정보를 수집하여 목적 외로 이용한 여행사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-672
2014 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 무단 사용한 렌탈서비스업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-671
2014 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 TM에 활용한 결혼중개업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-670
2014 | 동의 없는 개인정보 수집 | 정보주체의 동의 없이 주민등록번호를 수집·이용한 보험회사에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-669
2014 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집·이용한 유아용품 판매회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-668
2014 | 동의 없는 개인정보 수집 | 정보주체의 동의 없이 개인정보를 수집·이용한 이동통신 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-667
2014 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 영업목적으로 이용한 여행사에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-666
2013 | 기타 개인정보 침해 | 회원탈퇴 이후에도 광고성 문자 메시지를 발송한 정보통신서비스제공자에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-653
2013 | 기타 개인정보 침해 | 정보주체의 개인정보 열람 요청에 불응한 정보통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-652
2013 | 기타 개인정보 침해 | 치아성형 전 ․ 후 사진을 동의 없이 영업목적으로 이용한 치과병원에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-651
2013 | 기타 개인정보 침해 | 고객의 수신거부 의사에 반하여 마케팅 행위를 한 금융기관에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-650
2013 | 기타 개인정보 침해 | 수신 거부한 이용자에 광고성 메일을 발송한 정보통신서비스제공자에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-649
2013 | 기타 개인정보 침해 | 수신을 거부한 회원에게 광고성 이메일을 발송한 정보통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-648
2013 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보가 담긴 비공개 문서를 노출시킨 어린이집에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-647
2013 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 탈퇴회원의 개인정보를 파기하지 않고 메일을 발송한 온라인쇼핑몰에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-646
2013 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 탈퇴한 회원에게 광고성 이메일을 발송한 대형유통사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-645
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 제3자에게 제공한 보험회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-644
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 고객 개인정보를 제3자에게 제공한 유통업체에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-643
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 이용하여 광고성 문자메세지를 발송한 개인정보처리자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-642
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 피보험자 개인정보를 목적 외로 이용한보험회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-641
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 법정대리인의 동의 없이 아동의 개인정보를 수집하여 마케팅 목적에 활용한 보험회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-640
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자의 동의 없이 고객개인정보를 영업목적으로 이용한 이동통신 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-639
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자의 개인정보를 동의 없이 목적 외로 이용한 정보통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-638
2013 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 수집하여 광고성 이메일을 발송한 정보통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-637
2013 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 광고성 이메일을 발송한 보통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-636
2013 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집 ․ 이용한 개인정보처리자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-635
2012 | 기타 개인정보 침해 | 타사와의 계약 사실 확인을 위해 정보주체의 명시적 동의 없이 개인정보를 이용한 자동차 사업자에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-630
2012 | 기타 개인정보 침해 | 페이스북에 개인의 민감정보를 게시한 비영리단체 회장에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-629
2012 | 기타 개인정보 침해 | 개인정보 취급위탁에 대한 고지 없이 개인정보를 수탁업체에게 제공한 건설회사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-628
2012 | 개인정보보호 기술적·관리적·물리적 조치미비 | 이벤트 참가자의 개인정보를 게시판에 노출한 종합유선방송사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-627
2012 | 개인정보보호 기술적·관리적·물리적 조치미비 | 쇼핑몰 게시판에 개인정보를 노출한 온라인 판매자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-626
2012 | 개인정보보호 기술적·관리적·물리적 조치미비 | 개인정보를 게시판에 노출한 온라인쇼핑몰 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-625
2012 | 개인정보보호 기술적·관리적·물리적 조치미비 | 동의 없이 개인정보를 수집하고 이를 제3자에게 노출시킨 의료기관에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-624
2012 | 개인정보보호 기술적·관리적·물리적 조치미비 | 관리적 조치 미비로 개인정보를 유출한 아파트 관리사무소에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-623
2012 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 개인정보를 파기하지 않고 광고문자 등을 발송한 온라인 항공권 판매 업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-622
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 개인정보를 제3자에게 제공한 온라인 쇼핑몰 운영자에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-621
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 개인정보를 제3자에게 제공한 대형마트에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-620
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 개인정보를 이전하여 이용한 온라인 쇼핑몰 사업자에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-619
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 개인정보를 목적 외 이용 및 제3자에게 제공한 의료기관에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-618
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 개인정보를 제3자에게 제공한 온라인 서비스 제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-617
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 동의 없이 개인정보를 홍보 목적에 활용한 온라인 서비스 제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-616
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 수신거부한 이용자에게 광고성 메일을 발송한 이동통신 사업자에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-615
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보를 목적 외로 이용한 이동통신사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-614
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 공적 인물의 개인정보를 수집하여 유료 인물정보서비스를 제공한 사업자에 대한 손해배상 및 제도개선 요구 | - | https://datalaw.kr/mediation/#m-613
2012 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 TM을 진행한 개인정보처리자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-612
2012 | 동의 없는 개인정보 수집 | 동의 없이 개인정보를 수집하여 마케팅 목적에 활용한 온라인 서비스 제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-611
2012 | 기타 개인정보 침해 | 민원 진정인이 제출한 진정취하서를 진정 상대방에게 제공한 공공기관에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-610
2012 | 기타 개인정보 침해 | 정보주체의 개인정보를 이용하여 동의 없이 이용요금청구방법을 변경한 공기업에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-609
2012 | 개인정보보호 기술적·관리적·물리적 조치미비 | 전자문서시스템에 대한 관리적 조치 미비로 개인정보가 담긴 문서를 노출한 교육기관에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-608
2012 | 개인정보보호 기술적·관리적·물리적 조치미비 | 사건기록 열람 시 보호조치 미비로 개인정보를 노출시킨 법원에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-607
2012 | 수집한 목적 외 이용 또는 제3자 제공 | CCTV영상정보를 목적 이외의 용도로 이용한 공공기관에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-606
2012 | 수집한 목적 외 이용 또는 제3자 제공 | 설문조사 이메일 발송과정에서 다른 수신자들의 이메일 주소를 노출한 공공기관에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-605
2011 | 기타 개인정보 침해 | 탈퇴 회원에게 광고성 메일을 발송한 보험회사에 대한 제도개선 및 손해배상 요구 | - | https://datalaw.kr/mediation/#m-596
2011 | 기타 개인정보 침해 | 민원접수시 수집한 개인정보를 파기하지 아니하고 보유한 프랜차이즈 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-595
2011 | 기타 개인정보 침해 | 동의 없이 이용자의 개인정보를 변경한 준용사업자(석유정제업)에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-594
2011 | 수집한 목적 외 이용 또는 제3자 제공 | TM 수신을 거부한 회원에게 TM 전화를 실시한 이동통신사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-593
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 고객정보시스템에 이용자의 개인정보를 오입력한 통신사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-592
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 기술적 ․ 관리적 조치 미비로 개인정보를 홈페이지 주소에 노출한 자동차업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-591
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 기술적 ․ 관리적 조치 미비로 인터넷 검색사이트에 개인정보를 노출한 온라인 서비스 제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-590
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 병원의 기술적 ․ 관리적 조치 미비로 환자의 개인정보를 포함한 ;의료정보 노출에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-589
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 이용자 동의 없이 전화번호를 변경한 이동통신서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-588
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 기술적 ․ 관리적 조치 미비로 인터넷검색 사이트에 개인정보를 노출한 온라인서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-587
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 이동통신서비스제공자의 이용자 동의 없는 휴대전화번호 변경에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-586
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통신서비스제공자의 이용자 동의 없는 결합상품 무단 가입에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-585
2011 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통신서비스제공자의 이용자 동의 없는 결합상품 무단 가입에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-584
2011 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 탈퇴회원의 개인정보를 파기하지 않고 광고목적에 활용한 온라인 서비스 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-583
2011 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 탈퇴회원의 개인정보 미파기 및 광고성 이메일을 발송한 온라인서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-582
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자의 동의 없이 개인정보를 보험사에 제공한 온라인 쇼핑몰 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-581
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보 제3자제공에 동의를 하여야만 회원가입이 가능한 온라인쇼핑몰에 대한 제도 개선 요구 | - | https://datalaw.kr/mediation/#m-580
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자의 동의 없이 개인정보를 제3자에게 제공한 온라인서비스 제공자에 대한 제도개선요구 | - | https://datalaw.kr/mediation/#m-579
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 동의없이 이용자의 개인정보를 제3자에게 제공한 대형마트에 대한 손해배상청구 | - | https://datalaw.kr/mediation/#m-578
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자의 명확한 동의 획득 없이 개인정보를 제3자에게 제공한 온라인서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-577
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 퍼미션콜 과정에서 제3자 제공에 대한 명시적 동의획득 없이 개인정보를 제공한 온라인서비스제공자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-576
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자의 사진을 동의 없이 홈페이지에 게재한 온라인 앨범 제작업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-575
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 인력알선업체의 목적 외 이용 행위에 대한 제도개선 및 손해배상 요구 | - | https://datalaw.kr/mediation/#m-574
2011 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷 쇼핑몰 판매자의 배송정보 목적 외 이용행위에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-573
2011 | 동의 없는 개인정보 수집 | 이용자의 동의없이 개인정보를 수집하여 TM에 활용한 온라인 광고대행업체에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-572
2011 | 동의 없는 개인정보 수집 | 이용자의 동의없이 개인정보 수집 및 TM을 한 프랜차이즈 사업자에 대한 제도개선 요구 | - | https://datalaw.kr/mediation/#m-571
2011 | 동의 없는 개인정보 수집 | 본인의 동의없이 개인정보를 수집하여 TM행위를 하는 온라인 교육 사업자에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-570
2011 | 동의 없는 개인정보 수집 | 이용자의 동의없이 개인정보를 수집하여 TM에 활용한 이벤트 대행업체 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-569
2011 | 동의 없는 개인정보 수집 | 이용자의 동의 없이 개인정보를 수집하여 TM행위에 활용한 결혼중개업체에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-568
2011 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 포털사이트에 개인정보를 노출한 공공기관에 대한 제도개선 및 손해배상 요구 | - | https://datalaw.kr/mediation/#m-567
2011 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 민원게시판에 개인정보파일을 노출시킨 공공기관에 대한 제도개선 및 손해배상 요구 | - | https://datalaw.kr/mediation/#m-566
2010 | 기타 개인정보 침해 | 인터넷을 검색하여 개인정보를 수집한 보험사에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-728
2010 | 기타 개인정보 침해 | 입시학원이 본인의 동의 없이 개인정보를 수집하여 광고성 우편물을 발송 | - | https://datalaw.kr/mediation/#m-543
2010 | 기타 개인정보 침해 | 온라인서비스제공자가 이용자의 회원탈퇴 시 가입절차에 없었던 주민등록증 사본 요구 등 과도한 개인정보 요구 | - | https://datalaw.kr/mediation/#m-542
2010 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 온라인서비스제공자가 이용자의 인터넷에 공개된 개인정보 삭제 요구에 불응 | - | https://datalaw.kr/mediation/#m-541
2010 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 온라인서비스제공자가 탈퇴회원의 정보를 파기하지 아니하고 광고성 문자메세지를 발송 | - | https://datalaw.kr/mediation/#m-540
2010 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 쇼핑몰사업자의 탈퇴회원(블랙컨슈머)의 개인정보를 삭제하지 아니하고 보유 | - | https://datalaw.kr/mediation/#m-539
2010 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 온라인서비스제공자가 탈퇴회원의 개인정보를 파기하지 아니하고 광고성 이메일을 발송 | - | https://datalaw.kr/mediation/#m-538
2010 | 개인정보보호 기술적·관리적·물리적 조치미비 | 병원의 홈페이지 등에 대한 기술적․관리적 조치 미비로 이용자의 비밀상담 내용이 노출 | - | https://datalaw.kr/mediation/#m-537
2010 | 개인정보보호 기술적·관리적·물리적 조치미비 | 사업자의 홈페이지에 대한 기술적․관리적 조치 미비로 이용자의 개인정보가 검색사이트에 노출 | - | https://datalaw.kr/mediation/#m-536
2010 | 개인정보보호 기술적·관리적·물리적 조치미비 | 인터넷쇼핑몰사업자의 기술적․관리적 조치 미비로 인해 이용자의 개인정보를 제3자에게 노출 | - | https://datalaw.kr/mediation/#m-535
2010 | 개인정보보호 기술적·관리적·물리적 조치미비 | 인터넷쇼핑몰사업자의 홈페이지 관리 미비로 인해 게시판에 이용자의 주소를 노출 | - | https://datalaw.kr/mediation/#m-534
2010 | 개인정보보호 기술적·관리적·물리적 조치미비 | 체인사업자가 개인정보 보호를 위한 기술적ㆍ관리적 조치를 소홀히 하여 직원이 이용자의 개인정보를 열람 및 오용 | - | https://datalaw.kr/mediation/#m-533
2010 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통신사업자가 개인정보보호 기술적․관리적 조치를 소홀히 하여 이용자의 명의를 무단으로 변경 | - | https://datalaw.kr/mediation/#m-532
2010 | 개인정보보호 기술적·관리적·물리적 조치미비 | 전자제품 A/S센터에서 개인정보보호 기술적․관리적 조치를 소홀히 하여 이용자 개인정보를 제3자에게 제공 | - | https://datalaw.kr/mediation/#m-531
2010 | 동의 없는 개인정보 수집 | 온라인서비스제공자가 일반 이용자는 알기 어려운 방법으로 동의를 받아 개인정보를 제3자에게 제공 | - | https://datalaw.kr/mediation/#m-530
2010 | 동의 없는 개인정보 수집 | 온라인서비스제공자(P2P업체)가 일반 이용자는 알기 어려운 방법으로 동의를 받아 개인정보를 제3자에게 제공 | - | https://datalaw.kr/mediation/#m-529
2010 | 기타 개인정보 침해 | 통신사업자 위탁대리점의 이용자 동의 없는 개인정보 수집 및 TM행위에 대한통신사업자의 관리․감독 의무 소홀 | - | https://datalaw.kr/mediation/#m-528
2010 | 기타 개인정보 침해 | 쇼핑몰사업자가 이용자에게 알리지 아니하고 개인정보를 제3자에게 취급위탁 | - | https://datalaw.kr/mediation/#m-527
2010 | 기타 개인정보 침해 | 통신사업자가 이용자에게 알리지 아니하고 개인정보를 제3자에게 취급위탁 | - | https://datalaw.kr/mediation/#m-526
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사업자의 이용자 동의 없는 통화내역 제공에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-525
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 학원의 이용자 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-524
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 온라인광고서비스 제공자의 이용자 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-523
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 온라인서비스제공자의 이용자 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-522
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 결혼중개업자의 이용자 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-521
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 유선전화사업자가 동의 없이 이용자 배우자의 동의를 얻어 이용자를 부가서비스에 가입 시킨 행위에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-520
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷서비스사업자가 이용자의 동의 없이 이용자를 부가서비스에 무단 가입 | - | https://datalaw.kr/mediation/#m-519
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 유선전화사업자가 이용자의 동의 없이 이용자를 맞춤형정액제 등 부가서비스에 무단 가입 | - | https://datalaw.kr/mediation/#m-518
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 금융기관의 이용자의 수신거부 의사표시에 반한 광고성 정보 문자 발송 행위에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-517
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 성형외과 병원이 본인의 동의 없이 성형 전․후 얼굴사진을 게재한 행위에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-516
2010 | 수집한 목적 외 이용 또는 제3자 제공 | 성형외과 병원이 본인의 동의 없이 성형 전․후 얼굴사진을 게재한 행위에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-515
2010 | 동의 없는 개인정보 수집 | 통신사 하부 영업점에서 본인 동의 없이 개인정보를 수집하여 광고성 우편물을 발송한 행위에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-514
2009 | 기타 개인정보 침해 | 이동통신사업자 대리점의 본인 동의 없는 휴대전화 명의변경에 따른 손해배상 요구 | - | https://datalaw.kr/mediation/#m-486
2009 | 기타 개인정보 침해 | 결혼식장 운영 사업자가 이용자의 동의 없이 사진을 자신의 홈페이지에 게재함 | - | https://datalaw.kr/mediation/#m-485
2009 | 기타 개인정보 침해 | 인터넷통신사업자의 직원이 직무상 알게 된 이용자의 개인정보를 타인에게 누설 | - | https://datalaw.kr/mediation/#m-484
2009 | 기타 개인정보 침해 | 인터넷서비스제공자가 회원에게 “개인정보 제3자 제공”에 동의할 것을 강제 | - | https://datalaw.kr/mediation/#m-483
2009 | 기타 개인정보 침해 | 인터넷학습지사업자의 법정대리인 동의 없는 아동 및 법정대리인 개인정보 수집 | - | https://datalaw.kr/mediation/#m-482
2009 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 인터넷서비스제공자가 탈퇴회원의 “개인정보 제3자 제공의 철회” 요구에 불응 | - | https://datalaw.kr/mediation/#m-481
2009 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 인터넷서비스제공자의 회원 탈퇴 및 개인정보 삭제요구 불응 | - | https://datalaw.kr/mediation/#m-480
2009 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 대형백화점이 고객의 회원탈퇴 및 개인정보 삭제 요구 불응 | - | https://datalaw.kr/mediation/#m-479
2009 | 기타 개인정보 침해 | 도용되어 생성된 아이디의 삭제요청에 대한 정보통신서비스제공자의 과도한 서류요구 | - | https://datalaw.kr/mediation/#m-478
2009 | 기타 개인정보 침해 | 인터넷광고사업자가 탈퇴회원에게 신분증사본 및 탈퇴사유 기재 요구 | - | https://datalaw.kr/mediation/#m-477
2009 | 기타 개인정보 침해 | 온라인게임사업자가 회원탈퇴를 원하는 이용자에게 주민등록증사본을 요구 | - | https://datalaw.kr/mediation/#m-476
2009 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 인터넷서비스제공자가 회원의 재가입 방지를 위해 탈퇴회원 정보를 보유 | - | https://datalaw.kr/mediation/#m-475
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷 쇼핑몰이 고객의 동의 없이 개인정보 삭제 및 탈퇴 조치 | - | https://datalaw.kr/mediation/#m-474
2009 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자가 고객 개인정보를 파기하지 않고 보유 | - | https://datalaw.kr/mediation/#m-473
2009 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통신사업자의 서비스설치 기사가 고객 동의 없이 비밀번호 등 개인정보 열람 | - | https://datalaw.kr/mediation/#m-472
2009 | 개인정보보호 기술적·관리적·물리적 조치미비 | 인터넷 오픈 마켓의 판매자가 고객의 배송정보를 제3자에게 노출 | - | https://datalaw.kr/mediation/#m-471
2009 | 개인정보보호 기술적·관리적·물리적 조치미비 | 이동통신사업자 대리점의 관리적 조치 미비로 고객 동의 없이 개인정보 조회 절차를 무시한 개인정보 조회 | - | https://datalaw.kr/mediation/#m-470
2009 | 개인정보보호 기술적·관리적·물리적 조치미비 | 홈쇼핑사업자가 운영하는 ARS시스템의 기술적․관리적 조치 미비로 인한 개인정보 노출 | - | https://datalaw.kr/mediation/#m-469
2009 | 개인정보보호 기술적·관리적·물리적 조치미비 | 인터넷전화서비스 제공자의 홈페이지의 기술적․관리적 조치 미비로 인한 배송정보 노출 | - | https://datalaw.kr/mediation/#m-468
2009 | 개인정보보호 기술적·관리적·물리적 조치미비 | 이동통신사가 이용자의 동의 없이 통화요금내역서를 타인에게 교부 | - | https://datalaw.kr/mediation/#m-467
2009 | 동의 없는 개인정보 수집 | 특정프로그램 이용서비스 제공자가 이용자가 인식할 수 없는 방법으로 회원가입 | - | https://datalaw.kr/mediation/#m-466
2009 | 동의 없는 개인정보 수집 | 이용자가 인지하기 어려운 방법으로 개인정보 P2P사이트운영자의 제3자 제공에 대한 동의 획득 | - | https://datalaw.kr/mediation/#m-465
2009 | 동의 없는 개인정보 수집 | 이용자가 인지하기 어려운 방법으로 P2P사이트운영자의 개인정보 제3자 제공에 대한 동의 획득 | - | https://datalaw.kr/mediation/#m-464
2009 | 기타 개인정보 침해 | 인터넷통신사업자의 동의 없는 TM행위에 대한 손해배상 요구 | - | https://datalaw.kr/mediation/#m-463
2009 | 기타 개인정보 침해 | 인터넷서비스제공자가 이용자 동의 없이 광고대행사에 개인정보를 취급 위탁 | - | https://datalaw.kr/mediation/#m-462
2009 | 기타 개인정보 침해 | 정보통신서비스 제공자의 하부유통망에 의한 이용자의 동의 없는 개인정보 오용 TM | - | https://datalaw.kr/mediation/#m-461
2009 | 기타 개인정보 침해 | 정보통신서비스제공자의 위탁대리점에서 TM수신거부 의사표시 이용자 에게 TM을 실시 | - | https://datalaw.kr/mediation/#m-460
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 부동산 중개사업자가 세입자 정보를 동의 없이 이삿짐센터에 제공 | - | https://datalaw.kr/mediation/#m-459
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 부동산 중개사업자가 세입자 정보를 동의 없이 이삿짐센터에 제공 | - | https://datalaw.kr/mediation/#m-458
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 패밀리사이트 운영자가 이용자 동의 없이 타 패밀리사이트에 개인정보 제공 | - | https://datalaw.kr/mediation/#m-457
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 패밀리사이트 운영자가 이용자 동의 없이 타 패밀리사이트에 개인정보 제공 | - | https://datalaw.kr/mediation/#m-456
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 이벤트 응모 과정에서 동의하지 않았음에도 자동으로 동의를 얻은 것으로 처리하여 보험사에 개인정보 제공 | - | https://datalaw.kr/mediation/#m-455
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자의 명확한 동의를 얻지 않고 보험사에 개인정보 제공 | - | https://datalaw.kr/mediation/#m-454
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷쇼핑몰 판매자가 고객정보를 배송 목적 이외의 광고 목적으로 이용 | - | https://datalaw.kr/mediation/#m-453
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 정보통신서비스 제공자의 해지고객 정보를 이용한 TM 등 목적 외 이용 | - | https://datalaw.kr/mediation/#m-452
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 탈퇴회원 개인정보를 타사 홈페이지를 광고하는 목적으로 이용 | - | https://datalaw.kr/mediation/#m-451
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 탈퇴회원 관리 미비로 수신거부 의사표시에 반한 설문조사 등 이메일 발송 | - | https://datalaw.kr/mediation/#m-450
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 정보통신서비스제공자의 탈퇴 회원 개인 정보 관리 미비로 광고성 이메일 발송 등 목적 외 이용 | - | https://datalaw.kr/mediation/#m-449
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 탈퇴한 이용자의 개인정보를 이용하여 광고성 이메일 전송 등 목적 외 이용 | - | https://datalaw.kr/mediation/#m-448
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 정보통신서비스제공자가 이용자 동의 없이 결합상품 서비스에 가입 | - | https://datalaw.kr/mediation/#m-447
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 성형외과병원에서 환자 동의 없는 성형 전․후 사진 무단게재 | - | https://datalaw.kr/mediation/#m-446
2009 | 수집한 목적 외 이용 또는 제3자 제공 | 정보통신서비스제공자가 이용자 동의 없이 부가서비스에 가입 | - | https://datalaw.kr/mediation/#m-445
2009 | 동의 없는 개인정보 수집 | 결혼정보회사에서 회원가입을 완료하지 않은 이용자의 개인정보를 동의 없이 수집 | - | https://datalaw.kr/mediation/#m-444
2009 | 동의 없는 개인정보 수집 | 초고속인터넷서비스제공자의 PDA를 통한 동의 획득 시 개인정보 활용 에 대한 고지 미비 | - | https://datalaw.kr/mediation/#m-443
2009 | 동의 없는 개인정보 수집 | 이용자의 동의 없이 자녀로부터 개인정보 수집 | - | https://datalaw.kr/mediation/#m-442
2008 | 기타 개인정보 침해 | 개인정보 이용 및 위탁에 대한 고지와 동의 획득 불이행 | - | https://datalaw.kr/mediation/#m-409
2008 | 기타 개인정보 침해 | 이동통신서비스 가입 시 결제계좌번호 오입력에 따른 손해배상 요구 | - | https://datalaw.kr/mediation/#m-408
2008 | 기타 개인정보 침해 | 여행계약서의 개인정보활용 강제 동의와 해지시 신분증 사본 요구 | - | https://datalaw.kr/mediation/#m-407
2008 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자의 탈퇴회원 개인정보 미파기 및 광고메일 발송, 텔레마케팅 이용 | - | https://datalaw.kr/mediation/#m-406
2008 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자의 탈퇴회원 개인정보 미파기 및 텔레마케팅 이용 | - | https://datalaw.kr/mediation/#m-405
2008 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자의 탈퇴회원 개인정보 미파기 및 광고메일 발송 | - | https://datalaw.kr/mediation/#m-404
2008 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자의 탈퇴회원 개인정보 미파기 및 광고메일 발송 | - | https://datalaw.kr/mediation/#m-403
2008 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자의 탈퇴회원 개인정보 미파기 | - | https://datalaw.kr/mediation/#m-402
2008 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자의 탈퇴회원 개인정보 미파기 | - | https://datalaw.kr/mediation/#m-401
2008 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 정보통신서비스제공자의 탈퇴회원 개인정보 미파기 | - | https://datalaw.kr/mediation/#m-400
2008 | 개인정보보호 기술적·관리적·물리적 조치미비 | 학원의 홈페이지 관리 미비로 인한 개인정보 노출 | - | https://datalaw.kr/mediation/#m-399
2008 | 개인정보보호 기술적·관리적·물리적 조치미비 | 아이디와 패스워드 생성시 주민등록번호 이용 등 기술적 조치 미비 | - | https://datalaw.kr/mediation/#m-398
2008 | 개인정보보호 기술적·관리적·물리적 조치미비 | 정보통신서비스제공자의 홈페이지 관리 소홀로 인한 검색사이트에 개인정보 노출 | - | https://datalaw.kr/mediation/#m-397
2008 | 개인정보보호 기술적·관리적·물리적 조치미비 | 정보통신서비스제공자(준용사업자)의 시스템 관리 소홀로 인한 검색사이트에 개인정보 노출 | - | https://datalaw.kr/mediation/#m-396
2008 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통합아이디 서비스를 위한 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-395
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 홈쇼핑회사의 이용자 개인정보의 제3자 제공 | - | https://datalaw.kr/mediation/#m-394
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 정보통신서비스제공자의 개인정보 관리적 조치 미비로 인한 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-393
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 대형마트의 이용자의 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-392
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 정보통신서비스제공자의 명확하지 않은 방법으로 동의 획득 후 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-391
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사의 이용자 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-390
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 이용자 사진이 포함된 청첩장 관리소홀로 인한 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-389
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 통합아이디 서비스를 위한 동의 없는 개인정보 제3자 제공 | - | https://datalaw.kr/mediation/#m-388
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 정보통신제공자의 해지 고객 아이디의 타인 양도 등 목적 외 이용 | - | https://datalaw.kr/mediation/#m-387
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사의 이용자 개인정보 무단 열람 등 목적 외 이용 | - | https://datalaw.kr/mediation/#m-386
2008 | 수집한 목적 외 이용 또는 제3자 제공 | 유선사업자의 이용자 개인정보 무단 이용(동의 없이 요금제 변경) | - | https://datalaw.kr/mediation/#m-385
2008 | 동의 없는 개인정보 수집 | 정보통신서비스제공자의 이용자 동의 없는 개인정보 수집 | - | https://datalaw.kr/mediation/#m-384
2008 | 동의 없는 개인정보 수집 | 대형마트의 개인정보 수집시 고지사항 미고지(마트 내 경품이벤트 진행 회사의 개인정보 수집 등 사항을 미고지) | - | https://datalaw.kr/mediation/#m-383
2008 | 동의 없는 개인정보 수집 | 아동의 법정대리인 신분확인을 위한 이동통신사업자의 과도한 개인정보 요구 | - | https://datalaw.kr/mediation/#m-382
2008 | 동의 없는 개인정보 수집 | 단말기 제조사를 통한 동의 없는 개인정보 수집 | - | https://datalaw.kr/mediation/#m-381
2007 | 기타 개인정보 침해 | 본인 동의 없는 이동전화 명의변경에 따른 손해배상 요구건 | - | https://datalaw.kr/mediation/#m-322
2007 | 기타 개인정보 침해 | 온라인쇼핑몰사업자의 과도한 개인 정보 수집에 대한 손해배상 요구건 | - | https://datalaw.kr/mediation/#m-321
2007 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 인터넷통신사업자의 동의철회불응에 대한 손해배상 요구건 | - | https://datalaw.kr/mediation/#m-320
2007 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 유선방송사업자의 개인 정보 미파기 등에 의한 손해배상 요구건 | - | https://datalaw.kr/mediation/#m-319
2007 | 개인정보보호 기술적·관리적·물리적 조치미비 | 인터넷 통신사업자의 기술적 관리적 조치 위반에 대한 손해 배상 요구건 | - | https://datalaw.kr/mediation/#m-318
2007 | 개인정보보호 기술적·관리적·물리적 조치미비 | 비공개 정보가 사업자의 기술적·관리적 조치의 미비로 노출된 경우의 손해배상 청구건 | - | https://datalaw.kr/mediation/#m-317
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 유선전화 서비스 가입 신청 시 수집한 개인 정보를 제 3자에게 제공한건 | - | https://datalaw.kr/mediation/#m-316
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 부가서비스에 대한 설문조사를 위해 고객 정보를 동의없이 리서치회사에 제공한건 | - | https://datalaw.kr/mediation/#m-315
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 초고속인터넷사업자의 본인 동의없는 개인정보 제3자 제공에 대한 손해배상 요구건 | - | https://datalaw.kr/mediation/#m-314
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 초고속 인터넷사업자의 개인 정보의 목적 외 이용에 따른 손해 배상 요구건 | - | https://datalaw.kr/mediation/#m-313
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 해지고객 개인정보 목적외 이용에대한 손해배상 요구건 | - | https://datalaw.kr/mediation/#m-312
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 초고속인터넷사업자의 해지고객 개인정보 목적외 이용에 대한 손해배상 요구건 | - | https://datalaw.kr/mediation/#m-311
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 해지고객 개인정보 목적 외 이용에 대한손해배상 요구건 | - | https://datalaw.kr/mediation/#m-310
2007 | 수집한 목적 외 이용 또는 제3자 제공 | 초고속 인터넷 사업자의 개인 정보의 목적외 이용에 대한 손해 배상 요구건 | - | https://datalaw.kr/mediation/#m-309
2007 | 기타 개인정보 침해 | 유선통신사업자의 부가서비스 무단가입에 대한 손해배상 요구 건 | - | https://datalaw.kr/mediation/#m-308
2007 | 기타 개인정보 침해 | 초고속 인터넷 개통시 본인 확인 미비로 명의 도용된 경우의 손해 배상 요구 건 | - | https://datalaw.kr/mediation/#m-307
2007 | 기타 개인정보 침해 | 개인정보 수집시 고지의무 불이행에 관한 건 | - | https://datalaw.kr/mediation/#m-306
2006 | 기타 개인정보 침해 | 건설회사의 아파트 입주예정자 정보의 하청업체 제공에 대한 손해배상요구의 건 | - | https://datalaw.kr/mediation/#m-276
2006 | 기타 개인정보 침해 | 유선전화사업자의 신용정보 무단조회 건 | - | https://datalaw.kr/mediation/#m-275
2006 | 기타 개인정보 침해 | 이동통신사의 CP업체 관리감독의무 위반에 대한 손해배상 요구 건 | - | https://datalaw.kr/mediation/#m-274
2006 | 기타 개인정보 침해 | 직업전문학교의 수료자 명단이 검색사이트에 노출된 것에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-273
2006 | 기타 개인정보 침해 | 게임사업자의 명의도용 방조행위에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-272
2006 | 기타 개인정보 침해 | 위성방송사 영업점의 고객 개인정보를 이용한 텔레마케팅 행위에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-271
2006 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 통신사업자가 개인정보 열람 내역 및 제3자 제공내역에 대한 열람을 거부한 건 | - | https://datalaw.kr/mediation/#m-270
2006 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | (주)A사의 개인정보 정정요구 불응 및 미정정 정보 이용에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-269
2006 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 온라인 커뮤니티사업자의 고객정보 미파기 및 목적 외 이용에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-268
2006 | 개인정보보호 기술적·관리적·물리적 조치미비 | 유선전화사업자가 제3자에게 요금체납사실을 SMS로 고지한 행위에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-267
2006 | 개인정보보호 기술적·관리적·물리적 조치미비 | 초고속인터넷사업자의 고객 개인정보 관리소홀에 대한 손해배상 요구 건 | - | https://datalaw.kr/mediation/#m-266
2006 | 개인정보 취급자에 의한 누설·유출·훼손 등 | (주)A통신사의 개인정보취급관리자에 의한 개인정보침해에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-265
2006 | 개인정보 취급자에 의한 누설·유출·훼손 등 | (주)XX 이동통신사 대리점 직원에 의한 개인 통화내역 출력행위에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-264
2006 | 수집한 목적 외 이용 또는 제3자 제공 | 유선전화사업자의 채권추심과정상의 개인정보 제3자 제공에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-263
2006 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사업자의 부가서비스 무단가입 건 | - | https://datalaw.kr/mediation/#m-262
2006 | 수집한 목적 외 이용 또는 제3자 제공 | 초고속인터넷사업자의 부가서비스 무단 가입 및 관리 소홀에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-261
2006 | 수집한 목적 외 이용 또는 제3자 제공 | (주)A 유선사업자가 이용자의 동의없이 고객 개인정보를 서비스 홍보에 이용한 건 | - | https://datalaw.kr/mediation/#m-260
2006 | 수집한 목적 외 이용 또는 제3자 제공 | 금융기관에서 민원해결을 위해 고객 개인정보를 무단 조회한 건 | - | https://datalaw.kr/mediation/#m-259
2006 | 수집한 목적 외 이용 또는 제3자 제공 | 방문판매업자의 판매대행업체의 고객 개인정보의 목적외 이용에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-258
2006 | 수집한 목적 외 이용 또는 제3자 제공 | (주)X 통신사의 해지고객 개인정보 목적외 이용에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-257
2006 | 수집한 목적 외 이용 또는 제3자 제공 | (주)A 홈쇼핑의 대리 인터넷 회원가입행위에 대한 손해배상요구 건 | - | https://datalaw.kr/mediation/#m-256
2006 | 수집한 목적 외 이용 또는 제3자 제공 | 초고속인터넷사업자의 웹사이트 임의 가입에 대한 손해배상 요구 건 | - | https://datalaw.kr/mediation/#m-255
2006 | 수집한 목적 외 이용 또는 제3자 제공 | 유선전화 사업자의 부가서비스 무단 가입건 | - | https://datalaw.kr/mediation/#m-254
2006 | 기타 개인정보 침해 | 제휴업체에 개인정보 제공시 개인정보보호정책상의 고지의무 불이행에 관한 건 | - | https://datalaw.kr/mediation/#m-253
2005 | 동의 없는 개인정보 수집 | 보습학원 운영자가 법정대리인의 동의 없이 아동의 개인정보를 수집한 건 | - | https://datalaw.kr/mediation/#m-222
2005 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 온라인 사업자가 주민등록번호 도용피해자에 대한 신분확인을 위해 신분증을 요구하는 업무관행에 대한 시정 요구건 | - | https://datalaw.kr/mediation/#m-221
2005 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 초고속 인터넷사업자가 상품상담시 수집한 이용자의 개인정보를 파기하지 않고 전화 광고에 이용한 건 | - | https://datalaw.kr/mediation/#m-220
2005 | 개인정보보호 기술적·관리적·물리적 조치미비 | 인터넷 경매사이트의 배송조회 서비스에서 회원 개인정보가 노출된 건 | - | https://datalaw.kr/mediation/#m-219
2005 | 개인정보보호 기술적·관리적·물리적 조치미비 | 홈쇼핑 사업자 웹사이트에서 회원 개인정보가 열람된 건 | - | https://datalaw.kr/mediation/#m-218
2005 | 개인정보보호 기술적·관리적·물리적 조치미비 | 초고속 인터넷사업자 사외 영업점이 고객들에게 다른 초고속 인터넷서비스 전환가입을 권유한 건 | - | https://datalaw.kr/mediation/#m-217
2005 | 개인정보보호 기술적·관리적·물리적 조치미비 | 인터넷 블로그 서비스의 ‘비밀일기’ 게시물이 웹사이트에 노출된 건 | - | https://datalaw.kr/mediation/#m-216
2005 | 개인정보보호 기술적·관리적·물리적 조치미비 | 성형외과 병원 회원정보가 웹사이트를 통해 노출된 건 | - | https://datalaw.kr/mediation/#m-215
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 인터넷 서비스 영업 양수시 이용자에 대한 통지의무를 불이행한 건 | - | https://datalaw.kr/mediation/#m-214
2005 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 이동통신사 직원이 고객의 통화내역을 동의없이 열람한 건 | - | https://datalaw.kr/mediation/#m-213
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷 영화예매 사업자가 고객 개인정보를 동의없이 보험사에 제공했다고 주장한 건 | - | https://datalaw.kr/mediation/#m-212
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 온라인 경매 사업자가 고객 개인정보를 동의없이 리서치 기관에 제공한 건 | - | https://datalaw.kr/mediation/#m-211
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 병원이 의무기록상의 개인정보를 동의 없이 제3자에게 제공한 건 | - | https://datalaw.kr/mediation/#m-210
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사 대리점 직원의 고객 개인정보 무단 열람 및 경찰 사칭행위에 대한 손해배상 요구 건 | - | https://datalaw.kr/mediation/#m-209
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 전화상담원 교육생의 개인정보를 무단으로 열람․조회했다고 주장한 건 | - | https://datalaw.kr/mediation/#m-208
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 고객의 개인정보를 이용하여 발신번호 표시서비스에 무단 가입시켰다고 주장한 건 | - | https://datalaw.kr/mediation/#m-207
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 신용카드사가 자사 고객의 웹사이트 회원정보를 동의없이 수정한 건 | - | https://datalaw.kr/mediation/#m-206
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 항공사 직원이 고객의 동의없이 타 항공사의 탑승실적을 무단 조회한 건 | - | https://datalaw.kr/mediation/#m-205
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 쇼핑센터가 고객의 개인정보를 이용하여 자사 웹사이트에 무단으로 회원가입 시킨 건 | - | https://datalaw.kr/mediation/#m-204
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사 대리점 직원이 고객의 개인정보를 열람하여 사적인 통화에 무단 이용한 건 | - | https://datalaw.kr/mediation/#m-203
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 고객의 개인정보를 목적외로 이용하여 정액요금제에 무단 가입시킨 건 | - | https://datalaw.kr/mediation/#m-202
2005 | 수집한 목적 외 이용 또는 제3자 제공 | 미팅알선 서비스 사업자가 고지․명시한 범위를 초과하여 고객의 인사말을 목적외로 이용한 건 | - | https://datalaw.kr/mediation/#m-201
2005 | 과도한 개인정보 수집 | 신용카드회사가 비회원의 전화상담 신청시 과도한 개인정보를 수집한 건 | - | https://datalaw.kr/mediation/#m-200
2005 | 동의 없는 개인정보 수집 | 이동통신사 대리점 직원이 이용자 개인정보를 무단 수집하여 휴대전화 개통에 이용한 건 | - | https://datalaw.kr/mediation/#m-199
2005 | 동의 없는 개인정보 수집 | 통신사업자 대리점 직원이 이용자 개인정보를 무단 수집하여 휴대전화 개통에 이용한 건 | - | https://datalaw.kr/mediation/#m-198
2004 | 기타 개인정보 침해 | 은행이 신용카드사와 웹사이트를 통합하면서 동의없이 고객의 웹사이트 계정을 삭제한 건 | - | https://datalaw.kr/mediation/#m-152
2004 | 기타 개인정보 침해 | 통신사업자가 고객의 전화서비스 가입시 본인확인을 미비한 건 | - | https://datalaw.kr/mediation/#m-151
2004 | 기타 개인정보 침해 | 사업자가 자사의 웹사이트에 올려진 진정내용을 동의없이 피진정자에게 공개한 건 | - | https://datalaw.kr/mediation/#m-150
2004 | 기타 개인정보 침해 | 형외과병원이 고객의 성형수술 전후사진을 병원 웹사이트에 무단으로 게재한 건 | - | https://datalaw.kr/mediation/#m-149
2004 | 기타 개인정보 침해 | 성형외과병원이 고객의 성형수술장면 동영상을 병원 웹사이트에 무단으로 게재한 건 | - | https://datalaw.kr/mediation/#m-148
2004 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 타인정보의 훼손․침해․도용 관련 국내외 관련 판례 및 사례 | - | https://datalaw.kr/mediation/#m-147
2004 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 온라인 게임사업자가 이용자의 채팅 내용을 동의없이 열람한 건 | - | https://datalaw.kr/mediation/#m-146
2004 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 이동통신사업자가 고객의 동의없이 음성사서함 내의 음성메시지를 삭제한 건 | - | https://datalaw.kr/mediation/#m-145
2004 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 이동통신사업자가 고객이 이용한 바 없는 성인컨텐츠 이용료를 부과한 건 | - | https://datalaw.kr/mediation/#m-144
2004 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 이동통신사업자가 가입자(만9세) 법정대리인의 개인정보에 대한 열람을 거부한 건 | - | https://datalaw.kr/mediation/#m-143
2004 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 이동통신사업자가 신청인의 완전한 통화내역 열람요구에 불응한 건 | - | https://datalaw.kr/mediation/#m-142
2004 | 열람·정정·삭제·처리정지·동의철회 요구 불응 | 모바일 폰팅서비스 사업자가 고객의 동의철회 요구 등에 불응한 건 | - | https://datalaw.kr/mediation/#m-141
2004 | 개인정보보호 기술적·관리적·물리적 조치미비 | 메신저서비스 제공회사가 시스템 오류로 인하여 고객의 메신저 대화상대목록을 제3자에게 누출시킨 건 | - | https://datalaw.kr/mediation/#m-140
2004 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 이동통신사업자가 고객의 동의없이 요금제 정보를 무단 변경시킨 건 | - | https://datalaw.kr/mediation/#m-139
2004 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 이동통신사업자가 고객의 동의없이 이동전화번호 등 개인정보를 임의로 변경한 건 | - | https://datalaw.kr/mediation/#m-138
2004 | 기타 개인정보 침해 | 통신사업자가 부가서비스 위탁사실을 고지하지 아니하고 고객 개인정보를 부가서비스 업체에 제공한 건 | - | https://datalaw.kr/mediation/#m-137
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 국내외 관련 판례 및 사례 | - | https://datalaw.kr/mediation/#m-136
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 병원이 동의없이 건강검진 수진자의 개인정보를 제약회사에 제공한 건 | - | https://datalaw.kr/mediation/#m-135
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 온라인 사업자가 동의없이 고객의 개인정보를 보험판매 대행업자에게 제공한 건 | - | https://datalaw.kr/mediation/#m-134
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사업자가 법원의 사실조회 요청에 따라 고객의 통화내역을 제공한 건 | - | https://datalaw.kr/mediation/#m-133
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 모바일컨텐츠사업자가 고객의 자기소개 동영상을 동의없이 제3자에게 제공한 건 | - | https://datalaw.kr/mediation/#m-132
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 보험사가 고객정보를 타 보험사에 무단으로 제공한 건 | - | https://datalaw.kr/mediation/#m-131
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사업자가 업무상 과실로 인하여 고객의 통화내역을 제3자에게 제공한 건 | - | https://datalaw.kr/mediation/#m-130
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보의 목적외 이용 관련 국내외 판례 | - | https://datalaw.kr/mediation/#m-129
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 쇼핑몰사업자가 동의없이 비회원 물품구매자의 전자우편 주소를 이용하여 광고성 전자우편을 발송한 건 | - | https://datalaw.kr/mediation/#m-128
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 동의없이 고객의 명의를 이용하여 이동전화서비스에 무단 가입시킨 건 | - | https://datalaw.kr/mediation/#m-127
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사업자가 고객의 성명 및 고객 여자친구 어머니의 주민등록번호를 이용하여 이동전화를 신규개통한 건 | - | https://datalaw.kr/mediation/#m-126
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 동의없이 고객의 요금결제 계좌정보를 무단으로 이용한 건 | - | https://datalaw.kr/mediation/#m-125
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 동의없이 고객의 개인정보를 자사의 서비스 홍보에 무단 이용한 건 | - | https://datalaw.kr/mediation/#m-124
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 해지고객의 개인정보를 이용하여 인터넷서비스에 재가입시킨 건 | - | https://datalaw.kr/mediation/#m-123
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 방송컨텐츠사업자 및 신용카드사가 고객정보를 무단 이용하여 신용카드를 발급한 건 | - | https://datalaw.kr/mediation/#m-122
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷서비스 사업자가 동의없이 해지고객의 개인정보를 서비스 재가입에 무단 이용한 건 | - | https://datalaw.kr/mediation/#m-121
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 번역서비스업체가 입사지원자의 이력정보를 자사 웹사이트에 무단개재한 건 | - | https://datalaw.kr/mediation/#m-120
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사업자가 자사 고객의 개인정보를 이용하여 부가서비스에 무단 가입시킨 건 | - | https://datalaw.kr/mediation/#m-119
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 고객의 동의없이 채권추심을 목적으로 개인정보를 조회한 건 | - | https://datalaw.kr/mediation/#m-118
2004 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 자사 고객의 개인정보를 이용하여 정액요금제 부가서비스에 무단 가입시킨 건 | - | https://datalaw.kr/mediation/#m-117
2004 | 동의 없는 개인정보 수집 | 동의없는 개인정보 수집 관련 국외 판례 및 사례 | - | https://datalaw.kr/mediation/#m-116
2004 | 동의 없는 개인정보 수집 | 신용정보회사가 채권추심을 위하여 이용자의 동의없이 개인정보를 수집한 건 | - | https://datalaw.kr/mediation/#m-115
2004 | 동의 없는 개인정보 수집 | 중고휴대폰 판매사업자가 개인정보가 포함된 신청인의 인터넷 게시물을 무단으로 수집․이용한 건 | - | https://datalaw.kr/mediation/#m-114
2004 | 동의 없는 개인정보 수집 | 의류사업자의 퇴사 직원이 동의없이 신청인의 개인정보를 수집하여 백화점 회원카드에 무단 가입시킨 건 | - | https://datalaw.kr/mediation/#m-113
2004 | 동의 없는 개인정보 수집 | 이동통신사업자 대리점이 타인의 주민등록번호를 임의로 생성한 후 이를 이동전화 가입에 무단으로 이용한 건 | - | https://datalaw.kr/mediation/#m-112
2003 | 기타 개인정보 침해 | 이동통신사업자가 이용자의 동의없이 이동전화의 명의를 무단변경 한 건 | - | https://datalaw.kr/mediation/#m-84
2003 | 기타 개인정보 침해 | 성형외과 병원이 고객의 성형수술 전후사진을 웹사이트에 무단으로 게재한 건 | - | https://datalaw.kr/mediation/#m-83
2003 | 기타 개인정보 침해 | 스티커사진 전문점이 고객의 얼굴사진을 무단으로 게재한 건 | - | https://datalaw.kr/mediation/#m-82
2003 | 기타 개인정보 침해 | 통신사업자가 死者의 개인정보를 이용하여 부가서비스에 무단 가입시킨 건 | - | https://datalaw.kr/mediation/#m-81
2003 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 인터넷 서비스제공자가 이용자의 인터넷 메시지를 무단 감시한 건 | - | https://datalaw.kr/mediation/#m-80
2003 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 온라인 게임사업자가 회원 탈퇴한 이용자의 사진을 파기하지 않아 사진이 누출된 건 | - | https://datalaw.kr/mediation/#m-79
2003 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 인터넷 서비스제공자가 회원 탈퇴후 개인정보를 파기하지 아니하고 이를 당초 수집목적 외로 이용한 건 | - | https://datalaw.kr/mediation/#m-78
2003 | 보유기간 경과나 목적달성 후 개인정보 미파기 | 이동통신사업자가 자사의 서비스 해지고객 개인정보를 파기하지 아니하고 이를 보관한 건 | - | https://datalaw.kr/mediation/#m-77
2003 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통신사업자 웹사이트에서 본인확인 시스템 미비로 인하여 개인정보 침해가 발생한 건 | - | https://datalaw.kr/mediation/#m-76
2003 | 개인정보보호 기술적·관리적·물리적 조치미비 | 웹사이트 자동로그인 기능 오류로 인하여 타인 PC에 개인정보가 유출된 건 | - | https://datalaw.kr/mediation/#m-75
2003 | 개인정보보호 기술적·관리적·물리적 조치미비 | 여행사 웹사이트의 기술적 조치 미비로 인하여 개인정보가 누출된건 | - | https://datalaw.kr/mediation/#m-74
2003 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통신사업자의 업무상 과실로 인하여 신청인의 요금결제정보가 무단변경된 건 | - | https://datalaw.kr/mediation/#m-73
2003 | 개인정보보호 기술적·관리적·물리적 조치미비 | 통신사업자의 안전성 조치 미확보로 인하여 개인정보가 누출된 건 | - | https://datalaw.kr/mediation/#m-72
2003 | 개인정보보호 기술적·관리적·물리적 조치미비 | 사업자가 취직 희망자의 이력서 관리를 소홀히 하여 웹사이트에서 이력서가 공개된 건 | - | https://datalaw.kr/mediation/#m-71
2003 | 개인정보보호 기술적·관리적·물리적 조치미비 | 웹사이트 회원 개인정보DB를 소홀히 관리하여 개인정보가 누출된 건 | - | https://datalaw.kr/mediation/#m-70
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷 서비스사업자가 이용자의 인터넷 서비스 접속비밀번호를 이용자의 아들에게 동의 없이 제공한 건 | - | https://datalaw.kr/mediation/#m-69
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷 메신저 서비스에서 이용자의 개인정보를 본인 동의 없이 제3자에게 제공한 건 | - | https://datalaw.kr/mediation/#m-68
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 온라인 구인구직업체가 이직 희망자의 개인정보를 본인 동의 없이 신문사에 제공한 건 | - | https://datalaw.kr/mediation/#m-67
2003 | 수집한 목적 외 이용 또는 제3자 제공 | PC통신서비스사가 이용자의 동의없이 서비스를 재개하고 요금부과를 위하여 신용정보기관에 개인정보를 제공한 건 | - | https://datalaw.kr/mediation/#m-66
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사가 가입자 정보를 이용하여 유료 부가서비스에 동의없이 무단 가입시킨 건 | - | https://datalaw.kr/mediation/#m-65
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 생명보험사가 고객의 동의없이 보험가입자 정보를 보험상품 홍보 등에 무단 이용한 건 | - | https://datalaw.kr/mediation/#m-64
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 가입자의 개인정보를 무단 이용하여 자사의 초고속 인터넷 서비스에 가입시킨 건 | - | https://datalaw.kr/mediation/#m-63
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 통신사업자가 가입자의 개인정보를 이용하여 자사의 초고속 인터넷서비스 가입을 권유한 건 | - | https://datalaw.kr/mediation/#m-62
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 온라인게임사업자가 게임아이템 회수를 위해 회원의 ID 및 비밀번호를 무단으로 이용한 건 | - | https://datalaw.kr/mediation/#m-61
2003 | 수집한 목적 외 이용 또는 제3자 제공 | 온라인 쇼핑몰이 고객의 개인정보를 무단으로 이용하여 물품 주문 및 반품조치를 행한 건 | - | https://datalaw.kr/mediation/#m-60
2003 | 동의 없는 개인정보 수집 | 온라인 게임사업자가 법정대리인의 동의 없이 아동의 개인정보를 수집한 후 3회 이상 요금청구를 하였으나 신청인이 불응한 건 | - | https://datalaw.kr/mediation/#m-59
2003 | 동의 없는 개인정보 수집 | 온라인 게임사업자가 법정대리인의 동의 없이 아동의 개인정보를 수집한 건 | - | https://datalaw.kr/mediation/#m-58
2003 | 동의 없는 개인정보 수집 | 통신사업자가 동의없이 개인정보를 수집하여 요금납부방법을 변경시킨 건 | - | https://datalaw.kr/mediation/#m-57
2002 | 기타 개인정보 침해 | 온라인게임사업자가 회원들의 탈퇴 요구시 주민등록등본 제출을 강요한 사건 | - | https://datalaw.kr/mediation/#m-16
2002 | 기타 개인정보 침해 | 사업자가 메일링리스트 관리를 소홀히 하여 고객의 개인정보를 수만명에게 누출시킨 건 | - | https://datalaw.kr/mediation/#m-15
2002 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 이동통신서비스사업자가 본인 동의없이 고객의 개인정보를 누출시킨 사건 | - | https://datalaw.kr/mediation/#m-14
2002 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 인터넷망서비스사업자가 이용자의 ID/PW 등을 무단으로 삭제시킨 사건 | - | https://datalaw.kr/mediation/#m-13
2002 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 이동통신서비스사업자가 고객의 주민등록번호를 유출시킨 사건 | - | https://datalaw.kr/mediation/#m-12
2002 | 개인정보 취급자에 의한 누설·유출·훼손 등 | 인터넷쇼핑몰 운영자가 자사 공개게시판을 통해 고객의 개인정보를 누출시킨 사건 | - | https://datalaw.kr/mediation/#m-11
2002 | 수집한 목적 외 이용 또는 제3자 제공 | 전화서비스사업자가 고객의 개인정보를 무단으로 사전선택등록센터에 제공한 사건 | - | https://datalaw.kr/mediation/#m-10
2002 | 수집한 목적 외 이용 또는 제3자 제공 | 고객 민원 응대를 위해 용역업체에 고객의 개인정보를 제공한 사건 | - | https://datalaw.kr/mediation/#m-9
2002 | 수집한 목적 외 이용 또는 제3자 제공 | 고객의 동의없이 분사하는 회사에 고객의 개인정보를 제공한 사건 | - | https://datalaw.kr/mediation/#m-8
2002 | 수집한 목적 외 이용 또는 제3자 제공 | 인터넷쇼핑몰사업자가 고객의 사진을 무단으로 방송사에 제공한 사건 | - | https://datalaw.kr/mediation/#m-7
2002 | 수집한 목적 외 이용 또는 제3자 제공 | 전화서비스사업자가 가입자 본인 확인 없이 회사 동료의 신청만으로 착신전환서비스에 무단 가입시킨 사건 | - | https://datalaw.kr/mediation/#m-6
2002 | 수집한 목적 외 이용 또는 제3자 제공 | 개인정보가 무단으로 이용당한 사실을 알고 방치하였다가 6개월이 경과한 후에 피해보상을 요구한 사건 | - | https://datalaw.kr/mediation/#m-5
2002 | 수집한 목적 외 이용 또는 제3자 제공 | 이동통신사업자가 고객의 개인정보를 무단으로 이용해 부가서비스에 가입시킨 사건 | - | https://datalaw.kr/mediation/#m-4
2002 | 동의 없는 개인정보 수집 | 만 14세 미만 아동이 아버지의 성명 및 주민등록번호를 이용해 온라인게임사이트 회원으로 가입한 사건 | - | https://datalaw.kr/mediation/#m-3
2002 | 동의 없는 개인정보 수집 | 온라인게임사업자가 법정대리인의 동의를 구하지 않고 만14세 미만 아동의 개인정보를 수집한 사건 | - | https://datalaw.kr/mediation/#m-2
2002 | 동의 없는 개인정보 수집 | 본인의 동의 없이 이동전화번호를 영화 장면에 삽입하여 방송, 인터넷 등을 통해 누출시킨 사건 | - | https://datalaw.kr/mediation/#m-1
---
# [데이터] 개인정보 유출 손해배상 판결 정리
- URL: https://datalaw.kr/damages/
- 요약: 개인정보가 유출되면 위자료가 얼마나 인정되는지를 판결문 원문으로 정리한 페이지입니다. 온라인게임·은행·카드사·포털·앱 해킹과 경품행사 제3자 제공 같은 대량 유출 사건, 그리고 직원·기관이 특정인의 정보를 조회·누설한 내부자 누설 사건을 사고 단위로 싣고, 1인당 인정액과 심급 경과, 인용과 기각을 가른 판단 요소를 표로 보여줍니다. 대량 유출의 인정액은 대체로 1인당 수만 원에서 수십만 원이고, 유출 사실만으로 인정되는 것이 아니라 유통 여부와 열람 가능성이 결과를 가릅니다. 피해자 개인의 사정을 따지는 내부자 누설은 인정액의 폭이 훨씬 넓습니다.
- 출처: 국가법령정보센터 공개 판례와 판결문 검색 서비스(전문). 전 행을 판결문 원문에서 수기 확인 / 작성 기준일 2026-09-12 / 수록 사고 34건 (대량 유출 24 · 내부자 누설 10)
- 피고 표기는 판결문의 공개 수준을 따른다 — 판결문이 실명을 적은 사건만 실명, 비실명 처리(○○○)한 사건은 업종으로 적는다. 상소 이력은 판결문 원문으로 확인한다 — 1심 인용액을 확정액으로 적지 않는다
- 🔴 「대량 유출」은 사업자·기관의 시스템 사고나 무단 수집·제공으로 여러 정보주체의 정보가 새어 나간 사건, 「내부자 누설」은 직원·기관이 특정인의 정보를 조회·누설·공개한 사건입니다. 내부자 누설은 피해자 개인의 사정을 따져 액수를 정해 폭이 훨씬 넓으므로 두 유형의 인정액을 섞어 비교하지 마십시오.
사고·피고 | 사고 유형 | 결과(확정 상태) | 1인당 인정액(경위) | 심급 경과([심급] 선고일 법원 사건번호) | 판단을 가른 것 | 행 주소
온라인게임 이용자 개인정보 노출 (2005) — 엔씨소프트(항소심 판결문 실명) | 대량 유출 | 인용(대법원 확정) | 1인당 10만 원 확정(원고 5인 중 3인 인용 — 1심 각 50만 원이 항소심에서 감액) | [1심] 2006-04-28 서울중앙지방법원 2005가단240057(각 50만 원 일부 인용) → [항소심] 2007-01-26 서울중앙지방법원 2006나12182(제1심 판결 변경, 원고 3인에게 각 10만 원(나머지 청구·원고 2인 기각)) → [상고심] 2008-08-21 대법원 2007다17888(상고 기각 — 확정 (심판범위는 원심이 배척한 부분에 국한)) | 다수 이용자로부터 수익을 얻는 사업자의 정보관리 책임을 무겁게 보되, 로그파일이 이용자 개인 PC에 저장됐을 뿐 실제 유출 자료가 없는 원고들은 정신적 고통을 인정하지 않음 | https://datalaw.kr/damages/#dm-0
은행 이메일 발송 사고 — 첨부파일로 개인정보 노출 (2006) — 국민은행(항소심 판결문 실명) | 대량 유출 | 인용(항소심 확정 (상고 없음)) | 1인당 20만 원(목록 1·2) / 10만 원(목록 3) 확정(1심 10만/7만에서 항소심 증액) | [1심] 2007-02-08 서울중앙지방법원 2006가합33062, 53332(목록 1·2 각 10만 원, 목록 3 각 7만 원) → [항소심] 2007-11-27 서울고등법원 2007나33059, 33066(위자료를 각 20만 원·10만 원으로 정함(주문의 10만·3만 원은 1심 인용액에 더하는 추가 지급액)) | 성명·주민등록번호·이메일이 결합돼 식별가능성이 커진 점, 개인정보를 영리적으로 이용하는 사업자의 책임, 스스로 개인정보보호방침·약관으로 책임을 다짐한 점, 사고 후 정보도용 차단서비스가 1년으로 제한된 점 | https://datalaw.kr/damages/#dm-1
온라인게임 명의도용 회원가입 (2006) — 엔씨소프트 외 1인(항소심 판결문 실명) | 대량 유출 | 기각(대법원 확정) | — | [1심] 2007-05-31 서울중앙지방법원 2006가합22338, 38197(청구 전부 기각) → [항소심] 2008-08-29 서울고등법원 2007나62538, 62545(원고 10,676인) → [상고심] 2009-05-14 대법원 2008다75676(상고 기각 — 확정 (공2009상,831)) | 게임사의 불법행위 책임 부정 | https://datalaw.kr/damages/#dm-2
채용 사이트 입사지원자 정보 노출 (2006) — 엘지전자 | 대량 유출 | 인용(대법원 확정) | 1인당 30만 원 확정(별지 1 원고들 — 항소심에서 1심 인용액 감액) | [1심] 2008-01-03 서울중앙지방법원 2006가합87762 등 → [항소심] 2008-11-25 서울고등법원 2008나25888, 25895, 25901(30만 원 초과 부분 취소) → [상고심] 2009-03-26 대법원 2008다96826, 96840, 96833(각 상고 기각 — 심리불속행(상고심절차특례법 제4조·제5조), 30만 원 확정) | 사고 당시 보안조치 수준, 사고 후 대응의 신속성·적절성, 피해자 안내의 적절성을 산정 요소로 명시 | https://datalaw.kr/damages/#dm-3
오픈마켓 해킹 — 회원 정보 대량 유출 (2008) — 이베이옥션·인포섹 | 대량 유출 | 기각(대법원 확정 (병렬 상고심 3건)) | — | [1심] 2010-01-14 서울중앙지방법원 2008가합31411, 58638 등 병합 다발(기각 (일부 각하)) → [항소심] 2013 서울고등법원 등 2010나31510·31534·29555, 대구고법 2010나3910(항소기각) → [상고심] 2015-02-12 대법원 2013다43994, 44003 (병렬 2013다48715·64847)(상고 기각 — 원고 패소 확정) | 고시 「개인정보의 기술적·관리적 보호조치 기준」의 조치를 다했다면 원칙적으로 보호조치 의무 위반이 아니라는 기준을 세운 리딩케이스 — 이후 해킹 사고 소송에서 반복 인용되며 사업자 과실 인정의 문턱이 된 판결 | https://datalaw.kr/damages/#dm-4
정유사 보너스카드 고객정보 직원 유출 (2008) — 지에스칼텍스·지에스넥스테이션 등 | 대량 유출 | 기각(대법원 확정) | — | [1심] 2010-09-16 서울중앙지방법원 2008가합111003 등(기각) → [항소심] 2011-06-24 서울고등법원 2010나111478, 111485, 111492(항소 기각) → [상고심] 2012-12-26 대법원 2011다59834, 59858, 59841 / 2011다60797 등(상고 기각 — 원고 패소 확정) | 유출 정보가 유통되기 전 전량 회수·압수돼 제3자 열람 가능성이 낮음 — 위자료로 배상할 정신적 손해 불발생. 이후 판결들이 반복 인용하는 판단 기준(정보의 종류·식별가능성·열람 여부·확산 범위·추가 피해 가능성·회수 노력)이 이 판결에서 정립 | https://datalaw.kr/damages/#dm-5
스마트폰 위치정보 무단 수집 (2010~2011) — 애플코리아·Apple Inc.(대법원 판결문 기준 실명) | 대량 유출 | 기각(대법원 확정) | — | [1심] 2014-06-26 창원지방법원 2011가합7291 등(기각) → [항소심] 2015-11-05 부산고등법원(창원) 2014나21277 등(항소 기각) → [상고심] 2018-05-30 대법원 2015다251539 등 5건(상고 기각 — 원고 패소 확정 (공2018하,1174)) | 수집 사실만으로 위자료로 배상할 정신적 손해를 인정하지 않음 — 위치정보 무단 수집의 손해배상 판단 기준을 확정한 공간 판결 | https://datalaw.kr/damages/#dm-6
택시기사 위치정보 무단 열람 (콜 관제시스템) — 콜 관제시스템 운영 관련자들 | 대량 유출 | 인용(대법원 확정 (환송 후)) | 1인당 20만 원 확정 | [1심] 2013-09-24 수원지방법원 성남지원 2012가단49376(각 20만 원 일부 인용) → [항소심] 2014-07-17 수원지방법원 2013나41513(환송 전 항소심) → [상고심] 2016-09-28 대법원 2014다56652(원고 패소 원심 파기환송) → [항소심] 2017-10-17 수원지방법원 2016나17887(환송 후 항소심 — 원·피고 항소 모두 기각(각 20만 원 유지)) → [상고심] 2018-04-10 대법원 2017다50198(지연손해금 부분만 일부 파기 — 위자료 1인당 20만 원 확정) | 위치정보 무단 수집·이용의 위자료 판단 기준(식별가능성·열람 여부·기간·회수 노력 등)을 제시하고 심리 없이 청구를 배척한 원심을 파기. 환송 후 1인당 20만 원이 유지됐고, 재상고심은 지연손해금의 이율 기산점(소송촉진법 제3조 제2항의 항쟁 상당성)만 바로잡았다 | https://datalaw.kr/damages/#dm-7
통신사 영업시스템 고객정보 유출 (2012) — 케이티(1심 판결문 실명, 일부 항소심은 비실명) | 대량 유출 | 기각(확인된 항소심·상고심에서 기각으로 수렴 (갈래 다수)) | —(1심은 1인당 10만 원 인용, 항소심에서 전부 취소) | [1심] 2014-08-22 서울중앙지방법원 2012가합533204 등 병렬 다수(각 10만 원 일부승) → [1심] 2014-12-05 서울중앙지방법원 2012가단216564(일부 인용 (소액 갈래)) → [항소심] 2017~2019 서울고등법원 2014나2032746 (2017-01-13) · 2014나2032708 (2019-11-28) · 2014나2032715 (2019-08-30)(1심 취소, 청구 전부 기각 — 2032746이 대법원 2017다207994의 원심) → [항소심] 2019-09-18 서울고등법원 2014나2032722(병렬 항소심 — 1심 취소, 청구 전부 기각 (원심 서울중앙 2012가합83365)) → [항소심] 2020-07-08 서울중앙지방법원 2019나7258(소액 갈래 1심(2012가단216564) 취소, 청구 기각) → [1심] 2019-02-14 대구지방법원 2012가합43151(기각 (대구 갈래)) → [상고심] 2018-12-28 대법원 2017다207994(원고 상고 기각 — 패소 갈래 확정) | 1심은 유출·유통 사실로 정신적 손해를 인정했으나, 항소심·상고심은 보호조치 의무 위반 판단 기준(고시 준수)에 따라 사업자 책임을 부정 — 1심 인용이 상급심에서 뒤집힌 대표 사건 | https://datalaw.kr/damages/#dm-8
통신 3사 통신자료 제공내역 공개청구 거부 (2013) — 유출 아님·열람 거부 유형 — 에스케이텔레콤·케이티·엘지유플러스 | 대량 유출 | 인용(대법원 확정) | SKT 1인당 30만 원, KT·LGU+ 1인당 20만 원(항소심 인용액이 그대로 확정) | [1심] 2014-05-20 서울중앙지방법원 2013가합517759(일부승) → [항소심] 2015-01-19 서울고등법원 2014나2020811(SKT 각 30만·KT/LGU+ 각 20만 원) → [상고심] 2018-07-20 대법원 2015다208856(피고들 상고 기각 — 인용 확정) | 유출 사건이 아니라 열람·공개 요구 거부 유형 — 개인정보 자기결정권 행사를 막은 것 자체가 위자료 대상이 된 사례. 유출 없는 침해에서도 배상이 인정된 드문 확정례 | https://datalaw.kr/damages/#dm-9
통신사 홈페이지 해킹 — 요금명세서 조회 방식 (2013~2014) — 케이티 | 대량 유출 | 기각(항소심 확정 (상고 소취하)) | — | [1심] 2017 부산지방법원 2014가합7639 (2017-02-16)·2014가합11287(기각) → [1심] 2017-04-06 수원지방법원 성남지원 2014가합206705·202611(기각) → [항소심] 2018-11-01 서울고등법원 2017나2005158(항소 기각 (원심 서울중앙 2014가합566079) — 상고 2018다288860 소취하) → [항소심] 2019-01-17 서울중앙지방법원 2017나19530(소액 1심(2014가소413127, 2017-02-17) 인용 취소, 청구 기각) → [항소심] 2019-11-15 서울중앙지방법원 2017나19578(소액 1심(2015가소6327542, 2017-02-17) 인용 취소, 청구 기각) | 천만 명 규모 유출인데도 확인된 소송이 종국적으로는 전부 청구 기각(1심에서 1인당 10만 원을 인정한 갈래도 항소심에서 취소) — 해커의 이례적 공격 방식과 사업자의 보호조치 이행이 과실 부정의 근거. 유출 규모가 아니라 의무 위반 여부가 결과를 가른다는 것을 보여준 사건 | https://datalaw.kr/damages/#dm-10
카드사 고객정보 유출 — 롯데카드 (2010·2013) — 롯데카드·코리아크레딧뷰로(KCB) | 대량 유출 | 인용(대법원 확정) | 1인당 7만 원 확정(1심은 10만 원, 항소심에서 감액. 2013년 12월 유출분 청구는 기각) | [1심] 2016-10-13 서울중앙지방법원 2014가합511956 등(2010년분 각 10만 원, 2013년분 기각) → [항소심] 2018-02-02 서울고등법원 2016나2090012 등(각 7만 원으로 변경) → [상고심] 2019-09-26 대법원 2018다222303, 222310, 222327(상고 기각 — 7만 원 확정) → [1심] 2022-03-02 서울중앙지방법원 2020가단5241331(뒤늦게 낸 병렬 1심 — 2010년 유출분 원고들 각 7만 원, 나머지 원고 기각) → [항소심] 2022-12-22 서울중앙지방법원 2022나18456(항소 기각 (판결문 열람 DB 확정 기록)) → [상고심] 2019-10-18 대법원 2018다207953(카드사 3곳·KCB를 함께 상대한 병합 사건(원심 서울고법 2016나2022484 등, 2017-11-30) — 피고 상고 기각) | 같은 사고 안에서도 제3자에게 유통된 유출분만 인용되고, 유통 전 압수된 유출분은 정신적 손해 불인정 — 「유통 여부」가 인용·기각을 가른 사건 | https://datalaw.kr/damages/#dm-11
카드사 고객정보 유출 — KB국민카드 (2013) — 케이비국민카드·코리아크레딧뷰로(KCB) | 대량 유출 | 인용(대법원 확정 (병렬 소송 여러 건)) | 1인당 10만 원 확정(원심 3건 모두 각 10만 원 (수원지법 2016나55780·서울고법 2016나2049021은 항소기각, 서울중앙지법 2016나15432는 항소심에서 10만 원으로 감액. 원심 전문은 공개 판례 DB에 없어 판결문 열람 DB에서 확인, 2026-08-24)) | [상고심] 2018-10-25 대법원 2018다219352(원심 수원지법 2016나55780 (2018-01-11, 각 10만 원 유지)) → [상고심] 2018-10-25 대법원 2018다219406(원심 서울중앙지법 2016나15432 (2018-01-17, 각 10만 원으로 감액)) → [상고심] 2018-12-28 대법원 2018다214142(원심 서울고법 2016나2049021 (2018-01-12, 각 10만 원 유지)) → [상고심] 2019-07-24 대법원 2018다238278(병렬 상고심 (원심 서울고법 2016나2029539, 2018-04-20 피고 항소 기각) — 상고 기각) → [상고심] 2019-10-18 대법원 2018다235187(KB국민카드·농협·KCB 공동 피고 병렬 상고심 (원심 서울중앙 2017나17244, 2018-04-17 피고 항소 기각) — 상고 기각) → [상고심] 2019-10-18 대법원 2018다207953(카드사 3곳·KCB를 함께 상대한 병합 사건(원심 서울고법 2016나2022484 등, 2017-11-30) — 피고 상고 기각) → [1심] 2022-01-27 서울중앙지방법원 2020가단5259622(사고 7년 뒤 낸 병렬 1심 — 소멸시효 완성으로 청구 기각) → [항소심] 2023-05-31 서울중앙지방법원 2022나9902(항소 기각 (판결문 검색 서비스 확정 기록)) | 유출 정보가 사생활·신용과 밀접하고 2차 범죄 악용 가능성이 있으며 전파·확산 과정에서 열람됐거나 열람될 가능성이 크다고 봄. 위자료 액수 산정은 사실심 재량임을 확인. 병렬 소송 3건의 인정액이 전부 1인당 10만 원으로 수렴 — 같은 사고로 7년 뒤 낸 소송은 소멸시효 완성으로 기각됐다(2020가단5259622) | https://datalaw.kr/damages/#dm-12
카드사 고객정보 유출 — 농협 (2013) — 농협은행·코리아크레딧뷰로(KCB) | 대량 유출 | 인용(대법원 확정) | 1인당 10만 원 확정(원심에서 농협은행과 공동하여 각 10만 원 (원심 전문은 공개 판례 DB에 없어 판결문 열람 DB에서 확인, 2026-08-24)) | [상고심] 2018-10-25 대법원 2018다223214(원심 서울중앙지법 2016나62667 (2018-02-08, 항소기각 — 각 10만 원 유지)) → [상고심] 2019-10-18 대법원 2018다225197(병렬 상고심 (원심 서울중앙 2017나13648, 2018-02-21 피고 항소 기각 — 선정자 각 10만 원 청구) — 상고 기각) → [상고심] 2019-10-18 대법원 2018다235187(KB국민카드·농협·KCB 공동 피고 병렬 상고심 (원심 서울중앙 2017나17244) — 상고 기각) → [상고심] 2019-10-18 대법원 2018다207953(카드사 3곳·KCB를 함께 상대한 병합 사건(원심 서울고법 2016나2022484 등, 2017-11-30) — 피고 상고 기각) | 위 KB국민카드 사건과 같은 판단 기준. 카드3사 유출 병렬 소송의 인정액이 롯데카드(7만 원 확정)를 제외하면 전부 1인당 10만 원 | https://datalaw.kr/damages/#dm-13
네이트·싸이월드 해킹 (2011) — 에스케이커뮤니케이션즈 | 대량 유출 | 기각(대법원 확정) | — | [항소심] 2015-03-20 서울고등법원 2013나20047 등(원심) → [상고심] 2018-01-25 대법원 2015다24904, 24911, 24928, 24935(상고 기각 — 원고 패소 확정) | 사업자의 기술적·관리적 보호조치 의무 위반이 부정됨 — 해킹 사고에서 사업자의 과실 인정이 얼마나 어려운지를 보여준 대표 사건 | https://datalaw.kr/damages/#dm-14
대형마트 경품행사 개인정보 보험사 제공 (2011~2014) — 대형마트 운영사(판결문 비실명) | 대량 유출 | 인용(대법원 확정) | 경품행사 응모 원고 1인당 20만 원·사전필터링 제공 원고 1인당 10만 원 확정(1심은 유형별 5만~12만 원) | [1심] 2017-08-31 수원지방법원 안산지원 2015가합1847(유형별 5만~12만 원) → [항소심] 2018-07-11 서울고등법원 2017나2055054(유형별 10만~20만 원으로 증액) → [상고심] 2024-05-17 대법원 2018다262103(상고 모두 기각 — 확정 (개인정보 보호법 제39조 관련 법리·증명방해 판시)) → [상고심] 2024-05-17 대법원 2018다279446(병렬 상고심 (원심 서울고법 2018나2014586) — 경품 응모·사전필터링 대상이 아닌 원고들의 유출 통지·열람 의무 위반 청구 기각, 피고 상고 기각) | 유출이 아니라 「동의 없는 제3자 제공」 유형 — 제공 유형(경품 응모 vs 사전필터링)별로 액수를 달리 산정 | https://datalaw.kr/damages/#dm-15
온라인 서비스 해킹 — 이메일·암호화된 비밀번호 유출 (2021) — 온라인 서비스 운영사(판결문 비실명) | 대량 유출 | 기각(대법원 확정) | —(법정손해배상 30만 원 청구 기각) | [1심] 2023-03-03 서울남부지방법원 2021가소568939(기각) → [항소심] 2023-12-07 서울남부지방법원 2023나55205(항소 기각) → [상고심] 2025-12-04 대법원 2023다311184(상고 기각 — 법정손해배상 법리 판시) | 제39조의2 법정손해배상 청구에서도 개인정보처리자가 「위자료로 배상할 만한 정신적 손해가 발생하지 않았음」을 증명하면 면책된다고 최초로 정리 — 행정 제재(과징금)와 민사 배상이 따로 간다는 것을 보여준 사건 | https://datalaw.kr/damages/#dm-16
경찰 소송수행자가 보관한 징계·소송 기록을 민사소송에 제출 (2019) — 경찰관(소송수행자)·지방경찰청장(판결문 비실명) | 내부자 누설 | 기각(항소심 확정) | — | [1심] 2023-05-17 대구지방법원 경산시법원 2022가소38506(기각) → [항소심] 2024-02-28 대구지방법원 2023나310158(항소 기각) | 사본 보관은 제3자가 알 수 있는 상태가 아니어서 「유출」(제59조 제3호)이 아니고, 법원 제출은 「누설」(제59조 제2호)로 보기 어려우며 누설이라 해도 소송수행 업무의 정당성을 증명하기 위한 정당행위로 위법성 조각 — 개인정보처리자(경찰청장)의 유출 통지의무 위반 주장도 유출 부존재를 이유로 배척. 「유출」·「누설」의 외연을 가른 사건 | https://datalaw.kr/damages/#dm-17
숙박예약 앱 해킹 — 예약정보 유출·협박 문자 (2017) — 숙박예약 앱 운영사(판결문 비실명) | 대량 유출 | 인용(1심 (상소 기록 없음, 2026-09-12 확인)) | 1인당 10만~40만 원(예약정보 유출에 협박 문자까지 받은 원고 40만 원, 예약정보만 유출 20만 원, 일부만 본인 정보인 원고 10만 원) | [1심] 2022-09-29 서울중앙지방법원 2017가합538143(선정당사자 소송, 유형별 10만~40만 원) | 보호조치 위반의 정도가 중대하다고 보고, 유출된 정보가 숙박예약 내역이라는 성격과 협박 문자라는 2차 피해 여부로 액수를 세 단계로 갈랐다 — 같은 사고 안에서 피해 정도별로 위자료를 달리 정한 사례 | https://datalaw.kr/damages/#dm-18
가상화폐 거래소 회원정보 유출 (2017) — 가상화폐 거래소 운영사(판결문 비실명) | 대량 유출 | 인용 (일부)(1심 (상소 기록 없음, 2026-09-12 확인)) | 1인당 10만 원(성명·생년월일·전화번호 유출이 확인된 원고 1명만 인용) | [1심] 2022-10-13 서울중앙지방법원 2017가합571614(원고 1명 10만 원, 나머지 원고 기각) | 암호화 등 보호조치 위반과 유출이 확인된 원고에게만 위자료를 인정하고, 가상화폐 탈취 손해는 유출과의 인과관계를 증명하지 못해 배척 — 유출 사실이 원고별로 증명돼야 한다는 점을 보여 준다 | https://datalaw.kr/damages/#dm-19
데이팅 앱 서버 해킹·협박 — 가입 증빙서류 유출 (2021) — 데이팅 앱 운영사(판결문 비실명) | 대량 유출 | 인용(항소심 확정 (판결문 열람 DB 확정 기록)) | 운영사 1인당 100만 원 확정(해커 1,000만 원 중 100만 원을 운영사가 공동 부담 — 1심은 해커와 공동 500만 원) | [1심] 2023-06-12 서울중앙지방법원 2022가단5193306(해커·운영사 공동 500만 원) → [항소심] 2024-03-19 서울중앙지방법원 2023나37942(해커 1,000만 원으로 증액, 운영사 부담은 그중 100만 원으로 변경) | 목적을 다한 민감 서류를 파기하지 않은 운영사의 책임을 인정하되, 경찰 신고·협박 대응 등 사후 조치를 참작해 해커(1,000만 원)와 운영사(100만 원)의 위자료를 달리 정했다 — 보관 자체가 배상 사유가 된 사례 | https://datalaw.kr/damages/#dm-20
여행사 웹사이트 해킹 (2024) — 여행사(판결문 비실명) | 대량 유출 | 인용(항소심 확정 (판결문 열람 DB 확정 기록)) | 1인당 10만 원 확정(청구 220만 원 — 원고 항소 기각) | [1심] 2025-08-12 서울중앙지방법원 2024가소1919870(10만 원 일부 인용) → [항소심] 2026-05-15 서울중앙지방법원 2025나9594(원고 항소 기각) | 안전조치(제29조)·파기(제21조)·72시간 내 통지(제34조) 위반을 인정하고 개인정보 보호법 제39조 제1항의 증명책임 전환을 적용했지만, 유출 항목이 연락처 수준이라 위자료는 10만 원 — 통지 지연도 액수를 크게 올리지 않았다 | https://datalaw.kr/damages/#dm-21
직원 명함으로 수집한 연락처의 수탁업체 해킹 유출 — 기업(판결문 비실명·업종 미기재) | 대량 유출 | 인용(1심 (상소 기록 없음, 2026-09-12 확인)) | 1인당 30만 원(청구 120만 원) | [1심] 2026-06-19 서울중앙지방법원 2025가소357325(30만 원 일부 인용) | 신용정보법상 신용정보라는 청구는 배척하고, 동의 없는 수집과 안전조치 소홀로 인한 유출을 개인정보 보호법 위반 불법행위로 선해해 인정 — 명함 정보도 회사가 보유하면 개인정보이고 수탁자 서버 사고도 위탁자 책임이 된다 | https://datalaw.kr/damages/#dm-22
약국 청구 프로그램으로 처방정보 수집·외국계 조사회사 제공 (2011~2013) — 약사 단체·의약품정보 재단법인·외국계 의료정보 조사회사 한국법인(판결문 비실명) | 대량 유출 | 기각(대법원 확정) | —(청구 1인당 100만 원) | [1심] 2017-09-11 서울중앙지방법원 2014가합508066, 2014가합538302(병합)(기각) → [항소심] 2019-05-03 서울고등법원 2017나2074963, 2017나2074970(병합)(항소 기각) → [상고심] 2024-07-11 대법원 2019다242045(상고 기각 — 기각 확정) | 정보가 암호화돼 통계 분석에만 쓰였고 제3자 열람 가능성·2차 피해가 없으며 해외 서버 정보도 삭제됐다는 이유로 정신적 손해 발생을 부정. 법정손해배상(제39조의2)은 2015-07-24 이후 유출분부터라 소급 적용 불가 — 위법한 수집·제공이 형사 기소됐어도 민사 위자료는 별개라는 사례 | https://datalaw.kr/damages/#dm-23
해외 소셜미디어 제3자 앱 정보 제공·운영 법인 변경 미고지 (2018) — 해외 소셜미디어 운영사 2곳(판결문 비실명) | 대량 유출 | 기각(1심 (상소 기록 없음, 2026-09-12 확인)) | —(청구 1인당 50만 원) | [1심] 2025-02-13 서울중앙지방법원 2022가단5024943(기각) | 원고별로 제3자 앱에 정보가 제공된 사실을 증명하지 못했고, 운영 법인 변경 시 이전 고지의무(구 정보통신망법 제26조) 위반은 인정되나 이전 전후 관리 방식이 같아 손해가 없다고 봄 — 고지의무 위반이 인정돼도 원고별 손해 증명은 따로 필요하다 | https://datalaw.kr/damages/#dm-24
역 직원의 내부망 주소지 조회 뒤 살인 — 신당역 사건 (2021~2022) — 서울교통공사 | 내부자 누설 | 인용 (일부)(대법원 계속 중 (2025다215622, 2026-09-12 확인)) | 망인 위자료 1,000만 원(상속인 부모에게 각 500만 원 (범행 자체에 대한 사용자책임은 부정)) | [1심] 2024-08-30 서울중앙지방법원 2023가합89239(청구 기각) → [항소심] 2025-07-16 서울고등법원 2024나2044748(부모 각 500만 원 인용, 형제 원고 항소 기각) → [상고심] 대법원 2025다215622(상고심 계속 (판결문 열람 DB 기준)) | 범행이 공사의 사무집행과 관련된다고 보기 어려워 사용자책임은 부정했지만, 직위해제된 직원의 내부망 접근·조회를 막지 않은 접근통제(제29조) 위반으로 개인정보가 탐지된 것 자체의 정신적 손해를 인정 — 사후에 주소지 조회 차단 조치를 한 사정도 참작 | https://datalaw.kr/damages/#dm-25
구청 공무원의 차적정보 조회·흥신소 유출 (2020) — 수원시 | 내부자 누설 | 인용(1심 (상소 기록 없음, 2026-09-12 확인)) | 200만 원(청구 1,000만 원) | [1심] 2024-09-03 수원지방법원 2023가단512709(200만 원 일부 인용) | 공무원이 직무를 집행하면서 고의로 개인정보를 영리 목적으로 제공(제70조 제2호)했으므로 지방자치단체가 국가배상법 제2조에 따라 배상 — 내부자의 범죄도 기관의 배상 책임이 된다 | https://datalaw.kr/damages/#dm-26
항공 종사자 행정처분 알림에 개인정보를 적어 타사에 발송 (2019) — 대한민국 (국토교통부) | 내부자 누설 | 인용 (일부)(항소심 (상고 기록 없음, 2026-09-12 확인)) | 70만 원(1심 기각 → 항소심 인용) | [1심] 2021-09-14 인천지방법원 2021가단217737(기각) → [항소심] 2023-01-17 인천지방법원 2021나74344(개인정보 보호법 위반 부분 70만 원 인용 (위법 처분 자체의 위자료 청구는 기각)) | 목적 외 제3자 제공(제17조 제1항)을 인정했지만, 수신 회사가 내부에 더 퍼뜨렸다는 증거가 없고 그 확산은 수신사의 책임이라는 점을 들어 70만 원으로 제한 | https://datalaw.kr/damages/#dm-27
병무청의 입영 알림을 아파트 출입문에 공개 부착 (2018) — 대한민국 (병무청) | 내부자 누설 | 인용 (일부)(대법원 확정 (심리불속행 기각, 2020다236923)) | 100만 원 확정(1심 기각 → 항소심 인용, 청구 5,000만 원) | [1심] 2019-06-05 서울남부지방법원 2018가단20532(기각) → [항소심] 2020-05-22 서울남부지방법원 2019나58320(100만 원 인용) → [상고심] 대법원 2020다236923(심리불속행 기각 (판결문 열람 DB 확정 기록)) | 공적 동기였고 민감정보가 아니며 부착 시간이 짧다는 점을 감안해도, 가족 등 제한된 사람만 볼 수 있게 접어 붙이는 등 유출을 줄이는 방법을 쓰지 않았으므로 정당행위가 아니라고 봄 | https://datalaw.kr/damages/#dm-28
교원 인사 회의록의 정신과 치료 내역을 교원들이 열람 (2019) — 학교법인·회의록 작성 간사(판결문 비실명) | 내부자 누설 | 인용 (일부)(대법원 확정) | 150만 원 확정(1심 기각 → 항소심 인용, 청구 500만 원) | [1심] 2024-02-06 부산지방법원 서부지원 2022가단106529(기각) → [항소심] 2025-05-29 부산지방법원 2024나46095(학교법인·간사 공동 150만 원) → [상고심] 2026-01-15 대법원 2025다213561(상고 기각 — 확정) | 민감정보(건강)를 내부 시스템에 올리면서 접근 제한을 하지 않은 과실을 인정하고, 사용자인 학교법인이 간사와 함께 배상 — 외부 유출이 아니라 조직 내부 열람도 배상 사유가 된 사례 | https://datalaw.kr/damages/#dm-29
사내추천 입사지원 사실을 추천 직원이 원고의 직장 관계자에게 누설 (2023) — 연예 매니지먼트 회사(판결문 비실명) | 내부자 누설 | 인용 (일부)(1심 (상소 기록 없음, 2026-09-12 확인)) | 100만 원(청구 3,000만 원) | [1심] 2026-06-10 서울서부지방법원 2024가단250210(100만 원 일부 인용) | 개인정보 보호법 제39조 제1항 책임을 인정하되, 유출 범위가 업계 일부에 그치고 퇴사·재취업 불가와의 인과관계가 증명되지 않았으며 「통상 개인정보 유출에서 인정되는 위자료의 평균적인 액수」를 참작해 100만 원 | https://datalaw.kr/damages/#dm-30
아파트 관리사무소 직원의 입주민 명부 게시 (2020) — 아파트 위탁관리업체(판결문 비실명) | 내부자 누설 | 인용(1심 (상소 기록 없음, 2026-09-12 확인)) | 1인당 10만 원(원고 37명, 청구 각 300만 원) | [1심] 2023-02-16 인천지방법원 부천지원 2022가단104916(원고 37명 각 10만 원) → [1심] 2023-10-20 인천지방법원 부천지원 2023가단100904(같은 게시로 동대표 개인을 상대로 낸 병렬 소송 — 일부 원고 각 1만 원 (개인 피고라 행을 따로 두지 않음)) | 직원의 누설에 대해 위탁관리업체가 민법 제756조 사용자책임을 지되, 누설된 정보가 세대 호수와 이름뿐이라는 점을 들어 1인당 10만 원 — 형사 유죄여도 위자료는 정보의 성격을 따른다 | https://datalaw.kr/damages/#dm-31
교육청 상담 기관의 교사 상담신청서 유출·인사과 이관 주장 (2019) — 부산광역시(대법원 판결문 실명) | 내부자 누설 | 기각(대법원 확정) | —(1심 일부 인용이 항소심에서 취소) | [1심] 2023-05-16 부산지방법원 2022가소579235(일부 인용) → [항소심] 2024-08-14 부산지방법원 2023나53188(1심 피고 패소 부분 취소, 청구 기각) → [상고심] 2024-11-28 대법원 2024다281082(원고 상고 기각 — 확정) | 상담신청서는 공공기록물로 보존이 필요한 문서여서 인사과 이관만으로는 누설·목적 외 이용이라고 보기 어렵다고 판단 — 기관 내부의 기록 이관과 외부 누설을 구분한 사례 | https://datalaw.kr/damages/#dm-32
건강보험공단 직원이 가입자의 직장 정보를 가족에게 알림 (2017) — 국민건강보험공단 | 내부자 누설 | 기각(항소심 (상고 기록 없음, 2026-09-12 확인)) | —(청구 1,000만 원, 항소심에서 법정손해배상으로 변경) | [1심] 2018-12-13 서울중앙지방법원 2018가소1762820(기각) → [항소심] 2019-09-05 서울중앙지방법원 2019나2048(항소 기각·변경 청구(법정손해배상) 기각) | 직원의 유출 사실은 인정했지만, 법정손해배상(제39조의2)도 실제 손해액이 아닌 손해 발생 사실의 증명은 필요하다고 보고 — 특정인(모친)에게만 알려져 제3자 열람 가능성이 없으므로 청구 기각. 법정손해배상의 요건을 좁게 본 초기 판결 | https://datalaw.kr/damages/#dm-33
---
# [색인] Korean Data Protection Law — English Notes and Summaries
- URL: https://datalaw.kr/en/
- 이 페이지는 개별 글 말미에 붙은 영문 요약을 한자리에 모은 색인입니다. 전문 번역이 아니고, 한국어 본문이 정본입니다.
- 요약: Plain-English summaries of Korean personal information law, written for headquarters legal teams, global DPOs and deal teams. Most entries are summaries that sit at the end of a full article in Korean; two are self-contained English notes and one is an English data table. They cover cross-border transfers, breach notification, data subject rights, CPO and domestic-representative appointment, AI, enforcement against foreign companies, and privacy findings in M&A diligence. Written by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul.
This site is written in Korean. Where a topic regularly comes up with headquarters legal teams, global DPOs or deal teams outside Korea, the article carries an **English summary at the end**. This page collects those summaries, together with a small number of self-contained English notes and one English data table.
A note on what these are. They are **not translations** of the Korean articles — they are shorter notes written separately for a reader who needs the Korean position but does not read Korean. Statutory references follow the Ministry of Government Legislation's English translation of the Personal Information Protection Act ("PIPA") where one exists. All English translations of Korean statutes are unofficial and carry no legal effect; the Korean text governs.
**[About the author](/en/about/)** — Hyunsub Lee, a Korean-qualified lawyer and partner at SEUM Law in Seoul, and what this site is.
## Enforcement
**[Korea PIPC Enforcement Tracker — every published decision, searchable in English](/en/enforcement/)**
The whole published record of Korean privacy enforcement in one filterable table: respondent, date, provisions breached, sanction and amount, with English labels for provisions, sanction types and committee bodies. The Commission's own board is searchable by title only, and almost every sanction decision carries the same title, so a company name or an article number returns nothing there. Administrative fines are the norm and surcharges the exception, and the safety-measures duty in art. 29 accounts for about half of the record. Same underlying rows as the [Korean tracker](/sanctions/).
**[How Korean privacy fines are calculated — a surcharge calculator and the fine table](/en/fine-calculator/)**
A surcharge under PIPA art. 64-2 starts from relevant turnover — total turnover less the turnover unrelated to the violation — multiplied by a base rate set by the seriousness grade, and is then adjusted, capped and rounded. The calculator applies that formula to the figures you enter, in your browser, and shows the four grades side by side because the grade is the Commission's to decide. The page also carries the base rates, the grounds for increase and reduction, and the administrative fine amounts that come up most often for a foreign operator.
**[How Korea's PIPC sanctions foreign companies — every published decision, in one table](/en/pipc-enforcement-foreign-companies/)**
Every Personal Information Protection Commission decision against a named foreign operator, with country, respondent type, provisions breached, sanction and the respondent's arguments. Cross-border transfer was the basis of a surcharge in two decisions (Apple, Temu), and in both the breach was a failure to disclose outsourcing abroad; one decision is 94% of the surcharges, and the point contested most often is how much turnover counts as Korean. Like the domestic representative note, this is a self-contained English page; the Korean table it is drawn from is [here](/sanctions/foreign/).
## Cross-border transfers
**[Signing the group DPA is not the whole transfer analysis](/posts/global-dpa-korea-transfer-contract-gap/#for-your-headquarters)**
PIPA separates two layers that a global DPA usually merges: the legal basis for an outbound transfer under Article 28-8(1), and the terms Korean law separately requires the contract to contain. Signing the group-wide agreement completes only one of them.
**[Certification as a transfer ground — only one scheme is on the list](/posts/overseas-transfer-certification-list/#for-your-headquarters)**
Article 28-8(1)(iv) recognises a certification-based ground, but the certification must be one the Personal Information Protection Commission has designated and published, and the entity that must hold it is the **recipient**. Headquarters certifications generally do not satisfy either condition.
**[Erasure requests do not follow the data abroad](/posts/overseas-transfer-data-subject-rights/#for-your-headquarters)**
Article 28-8(4) keeps the transferring Korean entity bound by Chapter 5 after the data has left. When a request concerns records held on headquarters systems, the obligation and the statutory clock still sit with the Korean entity.
## Governance and global policy
**[Nine points where a global privacy programme breaks in Korea](/posts/global-policy-korea-gap-map/#for-your-global-headquarters--english-summary)**
Several Korean requirements attach not to the content of a document but to **who decides and what is published**. Translating the programme does not address those.
**[Legitimate interest exists in Korea, with an added limb](/posts/lawful-basis-gdpr-korea-gap/#for-your-global-headquarters--english-summary)**
PIPA art. 15(1)(6) permits processing necessary for the controller's legitimate interests, but only where those interests **manifestly override** the data subject's rights. A GDPR lawful-basis mapping does not transfer one-for-one.
**[Which English text of PIPA to cite — and which to avoid](/posts/english-pipa-version-gap/#for-your-headquarters)**
Since 11 September 2026 the Act in force is Act No. 21445; the official English translation still reflected Act No. 20897 as at 11 September 2026. A widely-ranking English copy hosted elsewhere is the 2020 version and omits provisions your team may be looking for.
**[Appointing a domestic representative — full note](/en/domestic-representative/)**
Who must appoint one, the Enforcement Decree thresholds, and why a law firm can no longer hold the role for a group with a Korean subsidiary. The re-designation deadline passed on 2 April 2026, and the representative's statutory remit widened on 11 September 2026. Unlike the other entries on this page, this one is a self-contained English note rather than a summary appended to a Korean article; the Korean article is [here](/posts/domestic-representative-redesignation/), and the [short summary](/posts/domestic-representative-redesignation/#for-your-global-headquarters--english-summary) at the end of it remains in place.
## Breach and incident response
**[Notification in Korea is not risk-based](/posts/global-breach-playbook-korea-gap/#for-your-global-headquarters--english-summary)**
A headquarters playbook built on GDPR puts a risk assessment at the first decision point. PIPA Article 34(1) does not — notification is triggered by awareness, not by a risk threshold. The two procedures diverge at the first step.
## Artificial intelligence
**[Bias testing with sensitive data — the EU exception has no Korean counterpart](/posts/bias-testing-sensitive-data-korea-gap/#for-your-headquarters)**
Article 10(5) of the EU AI Act permits processing special categories of data to detect and correct bias. PIPA Article 23(1) has no equivalent exception, so a headquarters bias-testing procedure may not be lawful in Korea as written.
**[Automated decisions made abroad, answered in Korea](/posts/hq-automated-decision-korea-duty/#for-your-headquarters)**
A Korean subsidiary that transferred the data remains the obligated party for refusal and explanation requests about a decision made by a headquarters system, and the response period runs in Korea.
## Data portability
**[The 20 August 2026 date means opposite things depending on which side you are on](/posts/mydata-transfer-right-who-and-when/#for-your-global-headquarters--english-summary)**
Reporting described the right as extending "to all industries" from that date. That collapses two different positions — most private companies do not become recipients of transmission requests until 20 February 2027, while agents retrieving data through automated tools are affected immediately.
## Transactions and diligence
**[Privacy diligence: the two violations that leave no trace](/posts/due-diligence-data-request-list/#for-your-deal-team--english-summary)**
Incident-type violations have a date and an external record a buyer can find. State-type violations — retention past the destruction deadline, a missing transfer basis — produce none, so they have to be requested. This note lists what to ask for.
## About
These notes are written by **Hyunsub Lee**, a partner at [SEUM Law](https://www.seumlaw.com) in Seoul ([firm profile](https://www.seumlaw.com/professionals/11) — the page opens in Korean; use the ENG switch at the top right for the English version). Principal practice areas are IT, personal information and data, and startup advisory.
They are general information on Korean law and are not legal advice; conclusions depend on the facts of each case. Where an entry is a summary, the link leads to the Korean article it is drawn from; the self-contained notes and the data table stand on their own.
---
# [영문] Appointing a Domestic Representative under Korea's PIPA — the 2025 restriction, the deadline that has passed, and the 11 September 2026 expansion
- URL: https://datalaw.kr/en/domestic-representative/
- 한국어 글의 요약이 아니라 독립된 영문 해설입니다. 한국어 원글은 https://datalaw.kr/posts/domestic-representative-redesignation/ 입니다.
- 요약: Since 2 October 2025, a foreign processor that has a Korean corporation it established, or a Korean corporation over which it exercises dominant influence, must appoint its domestic representative from among those corporations. Law firms and consultancies no longer qualify for those processors, and the six-month transitional period expired on 2 April 2026. The same amendment added a supervision duty and a privacy-policy disclosure duty, each with its own administrative fine. Since 11 September 2026 the representative's statutory remit has included the new notification of the likelihood of a breach. Written for headquarters legal teams and global DPOs by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul.
> **Key points.** Since **2 October 2025**, PIPA art. 31-2(2) has required a foreign processor that has a Korean corporation it established, or a Korean corporation over which it exercises dominant influence, to appoint its domestic representative **from among those corporations**. Law firms and consultancies no longer qualify for such processors. The six-month transitional period under art. 2 of the Addenda to Act No. 20897 expired on **2 April 2026**. Appointing in breach carries an administrative fine of up to **KRW 20 million** (art. 75(3)(3)). The same amendment added a **supervision duty** (art. 31-2(3); up to KRW 20 million under art. 75(3)(4)) and a **privacy-policy disclosure duty** (art. 31-2(4); up to KRW 10 million under art. 75(4)(9-2)). Since **11 September 2026** the representative's statutory remit has covered the new art. 34(2) notification of the **likelihood** of a breach, and the implementing Decree (Presidential Decree No. 36671, promulgated 10 September 2026) defines that term.
Open the Korean privacy policy of a foreign company that has a subsidiary in Korea, and you will sometimes find a law firm or a consultancy named as the domestic representative.
That used to be an ordinary arrangement. When the domestic representative regime was first introduced there was no restriction on who could be appointed.
The restriction now exists, and the time allowed to fix existing appointments has run out.
## Are we in scope at all?
Two conditions have to be satisfied together.
The first is in the opening words of PIPA art. 31-2(1): the obligation attaches to a **personal information controller that has no address or place of business in Korea**. Having a Korean subsidiary does not by itself remove the parent from this description. Where the entity that decides the purposes and means of processing is the overseas headquarters, the headquarters can be the processor for these purposes even though a separate Korean company exists.
The second is the size threshold in art. 32-3(1) of the Enforcement Decree. One of the following must apply:
1. **Total revenue of KRW 1 trillion or more** in the preceding year (preceding business year, for a corporation). Revenue is converted into Korean won using the preceding year's average exchange rate (Decree art. 32-3(2)).
2. A **daily average of 1 million or more Korean data subjects** whose personal data was stored or managed during the three months immediately preceding the end of the preceding year.
3. A party that has been **required to submit materials** under art. 63(1) of the Act and that the Personal Information Protection Commission ("PIPC") has resolved needs a domestic representative.
The third limb is worth noting because it is not a size test at all. It turns a regulatory information request into an appointment obligation, at the Commission's discretion.
## Our representative is a law firm. Is that still permitted?
Not if you have a qualifying Korean corporation.
Act No. 20897, promulgated on 1 April 2025 and in force from 2 October 2025, added a second sentence to art. 31-2(2):
> In such cases, a personal information controller that has a corporation falling under any of the following shall designate the domestic representative from among those corporations —
> 1. a domestic corporation established by the personal information controller;
> 2. a domestic corporation over which the personal information controller exercises dominant influence in matters such as the composition of officers or the operation of the business, being a corporation prescribed by Presidential Decree.
The effect is narrow but decisive. If either category exists, the choice collapses to those entities. An external service provider is no longer an available option, whatever the commercial reasons for using one.
Appointing in breach of art. 31-2(2) is subject to an administrative fine of **up to KRW 20 million** (art. 75(3)(3)). Failing to appoint at all remains subject to the same ceiling (art. 75(3)(2)).
The provision is enforced. In May 2025 the PIPC's decision against Whaleco Technology Limited, the operator of Temu, listed art. 31-2 among the provisions breached — see the [enforcement table for foreign companies](/en/pipc-enforcement-foreign-companies/#fg-2024-013-193).
## What counts as "dominant influence"?
Article 32-3(3) of the Enforcement Decree, added on 23 September 2025, gives two limbs:
1. a corporation in which the processor **appoints or dismisses the representative director**, or appoints or may appoint **50% or more of the officers**; or
2. a corporation in which the processor has contributed **30% or more** of the total number of issued shares or the total contributions.
The second limb is the one that catches people out. A 30% equity holding is well below the consolidation and control thresholds most groups apply internally, so a Korean joint venture or a minority-held affiliate can fall inside art. 31-2(2) even though the group does not treat it as a controlled subsidiary. The test is applied entity by entity, not at group level.
## The deadline has passed. What does that change?
Article 2 of the Addenda to Act No. 20897 allowed a processor that had already appointed a domestic representative under the previous rules six months from entry into force to re-appoint from among the qualifying corporations. Counting from 2 October 2025, that period ended on **2 April 2026**.
There is no longer a transitional position to rely on. A non-compliant appointment that is still in place is a continuing breach rather than a pending remediation, which changes both the internal urgency and the way the position reads if the PIPC asks.
Three things follow in practice. The appointment itself **must be in writing** — the second sentence of art. 31-2(1) says so expressly. The privacy policy has to carry the representative's name (and, for a corporation, its name and the name of its representative), address (for a corporation, the location of its place of business), telephone number and email address (art. 31-2(4)). And the supervision cycle described below has to actually start.
## What is the supervision duty, and what does it require?
Article 31-2(3), added by the same amendment, requires a processor that has appointed a domestic representative to **educate the representative and inspect the status of its work** so that it performs its duties faithfully, in the manner prescribed by Presidential Decree.
Article 32-3(4) of the Enforcement Decree sets out what that means:
1. providing **training on the domestic representative's duties at least once a year**; and
2. inspecting whether the representative (a) has **established a plan** for performing its duties, (b) has **carried that plan out**, and (c) has **remedied** any items identified as needing improvement by the inspection under (b).
Failure to supervise carries an administrative fine of **up to KRW 20 million** (art. 75(3)(4)).
This is a documentation obligation as much as a substantive one. Annual training that leaves no record, and an inspection with no written plan to inspect against, are difficult to evidence after the fact.
## Why the in-house move raises the stakes rather than lowering them
Article 31-2(5) provides that where the domestic representative violates the Act **in connection with the matters listed in art. 31-2(1)**, the personal information controller is deemed to have committed the act.
That attribution rule existed before the 2025 amendment. What the amendment changed is who sits in the role. Moving the function from an external provider to a group company does not dilute the attribution — it relocates the operational risk inside the group while the legal consequence continues to land on the overseas processor. The supervision duty in art. 31-2(3) is the counterpart to that: the legislature tightened who may hold the role and, in the same breath, required the processor to keep watching them.
## What changed on 11 September 2026?
Act No. 21445, promulgated on 10 March 2026, amended art. 31-2(1) with effect from 11 September 2026. Two changes matter.
**The remit widens.** Item 2 of art. 31-2(1) read, until 10 September 2026, "notification and reporting of a personal data breach under art. 34(1) and (3)". Since 11 September 2026 it reads "**notification under art. 34(1) and (2)** and reporting of a breach under art. 34(4)".
The reference to art. 34(2) is the substantive point. Article 34(2), newly inserted by the same Act, requires that where a processor becomes aware of a **likelihood** of a breach — of a kind prescribed by Presidential Decree, having regard to the type of personal data, the effect on data subjects and the degree of risk — it must notify **all data subjects potentially affected**, without delay, of the matters prescribed by Presidential Decree, including information to minimise harm.
So since 11 September 2026 the domestic representative's statutory functions have included a notification that is triggered before a breach is confirmed.
**The definition is now fixed by the Decree.** Article 34(2) delegates both the triggering circumstances and the content of the notification to the Enforcement Decree, and the amending Decree (Presidential Decree No. 36671, promulgated 10 September 2026) supplies them. Read the triggering circumstances and the notification content from the Decree text before writing a group process against art. 34(2).
**A cross-reference moves.** Item 1 of art. 31-2(1) changes from art. 31(3)(3) to art. 31(4)(5). The substance — handling complaints and providing redress in connection with the processing of personal data — is unchanged; the underlying provision on the privacy officer was renumbered. If your appointment document or privacy policy quotes the old sub-article, it will be citing a provision that no longer says what you are pointing at.
## One more representative you may need
PIPA is not the only Korean statute that requires an overseas company to appoint a representative in Korea. The AI Framework Act imposes a separate domestic representative obligation on AI businesses with no address or place of business in Korea, under its own thresholds, with the appointment reported to the Minister of Science and ICT rather than to the PIPC.
The two regimes are independent: separate triggers, separate regulators, separate appointment documents. Satisfying one does not satisfy the other, and the entity you appoint under one is not automatically the right entity under the other. If your group supplies AI services into Korea, that obligation needs its own assessment. The Korean-language note on the AI Framework Act's thresholds is [here](/posts/ai-basic-law-domestic-representative/).
## A short checklist
- Identify whether the **overseas entity** meets the art. 32-3(1) threshold — revenue, Korean data subject numbers, or a PIPC resolution following a materials request.
- List every Korean corporation the group **established** or in which it holds **30% or more**, or where it appoints the representative director or half the officers. Apply the test entity by entity.
- If any such corporation exists, confirm the domestic representative is **one of them**. If it is an external firm, the position has been non-compliant since 3 April 2026.
- Keep the appointment **in writing**, and check the privacy policy carries all four data points required by art. 31-2(4).
- Put the **annual training and the three-part inspection** into the compliance calendar, with records that can be produced.
- Since 11 September 2026 the representative's remit extends to the art. 34(2) notification; the triggering circumstances are in Presidential Decree No. 36671.
The fines attached to these duties are fixed amounts in Table 2 of the Enforcement Decree, not turnover-based. [How Korean privacy fines are calculated](/en/fine-calculator/) sets out those amounts and the separate surcharge formula.
## Frequently asked questions
### Is our company in scope for the domestic representative requirement at all?
Two conditions must both be met. First, the processor must have no address or place of business in Korea (PIPA art. 31-2(1)). Second, it must fall within one of the thresholds in art. 32-3(1) of the Enforcement Decree: total revenue of KRW 1 trillion or more in the preceding year; a daily average of 1 million or more Korean data subjects whose personal data was stored or managed during the three months immediately preceding the end of the preceding year; or a party that has been required to submit materials under art. 63(1) of the Act and that the Personal Information Protection Commission has resolved needs a domestic representative. Revenue is converted into Korean won at the preceding year's average exchange rate (Decree art. 32-3(2)).
### We already appointed a Korean law firm as our domestic representative. Can we leave it in place?
Not if you have a qualifying Korean corporation. The second sentence of PIPA art. 31-2(2), added by Act No. 20897 and in force since 2 October 2025, requires a processor that has either a Korean corporation it established or a Korean corporation over which it exercises dominant influence as defined by the Enforcement Decree to appoint the domestic representative from among those corporations. Appointing someone else in breach of art. 31-2(2) carries an administrative fine of up to KRW 20 million (art. 75(3)(3)). Article 2 of the Addenda to Act No. 20897 allowed six months from entry into force to re-appoint, and that period ended on 2 April 2026.
### What does 'dominant influence' mean in practice?
Article 32-3(3) of the Enforcement Decree, added on 23 September 2025, defines it as a Korean corporation in which the processor either (i) appoints or dismisses the representative director, or appoints or may appoint 50% or more of the officers, or (ii) has contributed 30% or more of the total number of issued shares or total contributions. The 30% equity limb is lower than the control thresholds many groups use internally, so joint ventures and minority-held Korean entities can fall inside the rule even where the group does not treat them as controlled subsidiaries.
---
This note is a general summary of Korean law for readers outside Korea and is not legal advice; how these provisions apply turns on the facts of a particular group structure and requires individual review. Statutory references follow the Ministry of Government Legislation's English translation of the Personal Information Protection Act where one exists. All English translations of Korean statutes are unofficial and carry no legal effect; the Korean text governs.
Written by **Hyunsub Lee**, a Korean-qualified lawyer at SEUM Law in Seoul ([firm profile](https://www.seumlaw.com/professionals/11) — the page opens in Korean; use the ENG switch at the top right for the English version). The Korean-language article on the same subject is at [한국에 자회사가 있는데 국내대리인은 로펌입니다](/posts/domestic-representative-redesignation/), and other English summaries are collected at [English summaries](/en/).
---
# [영문·데이터] How Korea's PIPC Sanctions Foreign Companies — every published decision against a non-Korean operator, in one table
- URL: https://datalaw.kr/en/pipc-enforcement-foreign-companies/
- 한국어 표 https://datalaw.kr/sanctions/foreign/ 와 같은 행을 영문 라벨로 그린 독립 영문면입니다. 「해외 사업자」 분류는 저자가 붙인 축이고 비실명 처분은 셀 수 없어 하한입니다.
- 요약: Korea's largest privacy penalties — KRW 69.2 billion against Google, KRW 30.8 billion against Meta — were imposed on foreign companies, but the decisions have never been collected in one place. This page tabulates every Personal Information Protection Commission decision against a named foreign operator. Three things stand out. Cross-border transfer was the basis of a surcharge in two decisions, Apple's and Temu's, and in both the breach was a failure to tell data subjects about processing outsourced abroad; every other surcharge rested on consent or safeguards. One decision accounts for more than three quarters of the surcharges in published decisions. And the point foreign respondents contest most often is not the violation but how much of their turnover counts as Korean. Written for headquarters legal teams and global DPOs by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul.
> **Key points.** The Personal Information Protection Commission ("PIPC") has issued **46 decisions against named foreign operators**, involving 41 companies from 14 countries. The overseas entity itself was the respondent in **30** of them; a Korean subsidiary of a foreign parent in **16**. Three things are visible in the table. **Cross-border transfer was the basis of a surcharge in 2 of these decisions** — Apple's (January 2025) and Temu's (May 2025), both for failing to tell data subjects about processing outsourced abroad (art. 28-8(1)); every other surcharge rested on consent or safeguards. **One decision, Google's in September 2022, is 77% of all surcharges** in the 15 decisions whose full text is published. And the point this group contests most often is not whether it broke the law but **how much of its turnover counts as Korean**. 🔴 Anonymised decisions cannot be included, so every count here is a lower bound.
A legal team at headquarters that has a Korean subsidiary, or Korean users, usually needs answers to two questions. Does the Korean regulator actually sanction companies like ours? If so, on what basis, and for how much?
The decisions that answer those questions exist. They are scattered across more than six hundred published resolutions, in Korean, with no field that marks the respondent as foreign. This page collects them.
## What does the table show?
- **Cross-border transfer was the surcharge basis twice, and both times the breach was a disclosure failure.** In January 2025 the Commission imposed KRW 2,405,000,000 on Apple Distribution International Limited for breach of art. 28-8(1): card-payment data was passed to an overseas processor for a credit-scoring model without data subjects being told of the outsourcing abroad. In May 2025 Whaleco Technology Limited (Temu) received KRW 879,000,000 on the same provision: personal data was outsourced and stored in Singapore, Japan, the United States and China without the statutory particulars being disclosed in the privacy policy. Those are the only decisions in the table whose surcharge rests on the transfer provision (2 of 46; a transfer breach was found in 3, but in Facebook's August 2021 decision the transfer breach under former art. 39-12 drew an administrative fine, and the surcharge rested on the Network Act consent rule); the others rest on the duty to take safeguards, the former consent rule for online services, outsourcing, and breach notification. Part of the explanation is timing — art. 28-8 took its current form only in September 2023.
- **The amounts are concentrated in one decision.** Google's 2022 decision is 77% of the surcharges imposed in published decisions. The impression that "foreign companies get large fines in Korea" is that one case; apart from the two Facebook decisions (about KRW 6 billion each) and AXA and Apple (about KRW 2 billion each), the rest are in the hundreds of millions of won or less. An average is misleading.
- **The most contested point is relevant turnover.** Arguments that global revenue should be multiplied by the Korean user share, or limited to the service at issue, recur and were partly accepted more than once. Arguments that the respondent was not the obligated party were rejected. The pattern holds when Korean respondents are included: see the [respondents' arguments table](/sanctions/defenses/) (Korean).
- **The same companies come back.** Apple and Meta each appear more than once. Repeat respondents are collected separately in the [repeat-sanction table](/sanctions/repeat/) (Korean), and the amending Act in force since 11 September 2026 raises the surcharge ceiling to 10% of total turnover for intentional or grossly negligent repeat violations within three years (art. 64-2(2)).
- **One case went to a criminal referral over document production.** It is the only published example of what the Commission does when an overseas company does not respond to a request for materials.
## What was the legal basis in the other decisions?
Two provisions carry most of the weight.
The first is **art. 29**, the duty to take technical and administrative safeguards. It is the most common basis in this table, as it is across the Commission's enforcement generally. The Christie's, TAG Heuer, TELUS and K Games decisions all rest on it, usually after a data breach and usually paired with a finding that notification of the breach was late.
The second is the **former art. 39-3**, a special consent rule for online service providers that the 2020 amendment carried over from the Network Act and that was repealed in the 2023 restructuring. It was the basis of the two decisions everyone has heard of. In September 2022 the Commission found that Google had collected and used behavioural data from third-party sites without valid consent and imposed a surcharge of KRW 69,241,000,000; Meta received KRW 30,806,000,000 on the same day. The February 2023 decision against Meta, on the refusal of service to users who declined to consent to behavioural data collection, is on the same provision.
The point for a headquarters reader is that neither of these is a Korea-specific data-localisation or transfer rule. They are the ordinary obligations — secure the data, get valid consent — applied to a company that had Korean users. The two transfer-based surcharges, Apple's and Temu's, turned on what data subjects were told about outsourcing abroad, not on the transfer itself.
## Is the parent or the Korean subsidiary the respondent?
The overseas entity, more often than not: 30 of 46 decisions name the foreign company itself. The Korean subsidiary was the respondent in 16, all of them retail or insurance businesses with a Korean corporate presence — the three LVMH subsidiaries in February 2026 and AXA General Insurance in 2024.
Which entity is named changes what is argued. Where the overseas entity is the respondent, the surcharge ceiling is a percentage of relevant turnover, and the dispute is about which part of global revenue is Korean. Where the Korean subsidiary is the respondent, the issues are how the group's global policy was implemented locally and how processing was outsourced — the Temu decision, which found breaches of art. 26 (outsourcing) and art. 31-2 (domestic representative) alongside the transfer point, sits between the two.
The domestic representative provision has its own English note: [Appointing a Domestic Representative under Korea's PIPA](/en/domestic-representative/).
## What do foreign respondents argue, and does it work?
The table's last column lists each argument the decision records and the Commission's finding on it. Two patterns are consistent with the rest of the Commission's practice.
Arguments about **the fact of the violation** rarely succeed. "Safeguards were in place" was rejected in the TAG Heuer decision; "we are not the obligated party" was rejected in the Temu decision; Meta's argument that third-party behavioural data was essential to the service was rejected.
Arguments about **the calculation** often do. "Relevant turnover" — the base to which the surcharge percentage is applied — was partly accepted for Christie's and K Games. Across every published decision on this site, not only the foreign ones, arguments about the scope of relevant turnover were accepted in whole or in part in 73% of the 22 cases where a finding is recorded; arguments that safeguards were in place succeeded in 15% of 13.
The practical consequence is that a foreign respondent's submission is most useful where it documents which revenue is and is not Korean, with the accounting to support the split. In at least one decision the Commission used total revenue because the respondent had not produced a formula for separating it.
## What happens if an overseas company does not cooperate?
One decision answers this. In November 2025 the Commission found that umanle S.R.L, the Paraguayan operator of a Korean-language forum, had breached art. 63 by not producing the materials it had been ordered to submit, and a separate resolution on the same day referred the company for criminal investigation. It is the only published referral of a foreign operator, and it turned not on how personal data was processed but on the refusal to engage with the investigation.
## How to read this table
- **"Foreign operator" is this table's classification, not the Commission's.** Decisions carry no such field. The author checked the place of incorporation and the nationality of the parent against public information and tagged each respondent by hand; candidates that were rejected, and why, are kept with the data. A foreign brand operated by a Korean-incorporated company with Korean owners is not included.
- **Anonymised decisions cannot be included.** No nationality is inferred for a respondent whose name the Commission withheld. The counts are a lower bound.
- **Classification is as at the date of the decision.** AXA General Insurance was sold to Korean owners after its decision and is listed as it stood.
- **Amounts are not added across layers.** Figures read from a published decision and figures known only from a press release come from different sources. The summary total covers only the former; the press-release figures are shown in their rows but not summed.
- **Terminology.** A 과징금 is rendered as a "penalty surcharge" (a monetary sanction calculated from relevant turnover), a 과태료 as an "administrative fine" (a fixed-schedule fine), following the Ministry of Government Legislation's English text of PIPA. Article numbers follow the Act in force at the time of the decision; provisions since repealed or renumbered are marked.
## Frequently asked questions
### On what legal basis has the PIPC sanctioned foreign companies?
In decisions whose full text is published, the provisions most often found breached are art. 29 of PIPA (duty to take safeguards) and the former art. 39-3, a consent rule for online service providers carried over from the Network Act and repealed in 2023, which was the basis for the Google and Meta behavioural-advertising decisions. Art. 26 (outsourcing) and art. 34 (breach notification) follow. Two published decisions impose a surcharge under the cross-border transfer provision, art. 28-8(1): Apple's in January 2025 (KRW 2.4 billion) and Temu's in May 2025 (KRW 879 million). In both, the breach was not the transfer itself but the failure to inform data subjects that processing had been outsourced to a provider abroad. In every other decision the penalty rested on other provisions.
### Does the PIPC sanction the overseas parent or the Korean subsidiary?
Both, and the overseas entity more often. In the named decisions, the overseas company itself was the respondent in 30 decisions and a Korean subsidiary of a foreign parent in 16. The distinction matters for what gets argued. When the overseas entity is the respondent, the dispute is typically about which part of global turnover is attributable to Korea for surcharge purposes. When the Korean subsidiary is the respondent, the issues are how the group's global policy was applied in Korea and how processing was outsourced.
### Can a foreign company reduce a surcharge by contesting the calculation?
It is the argument most frequently made by this group and the one most often reflected in the outcome. Arguments that only Korean-user revenue should be counted, or that revenue should be limited to the service concerned, were partly accepted in several decisions. Across all published decisions on this site, arguments about the scope of relevant turnover were accepted in whole or in part in 73% of the cases where a finding is recorded, whereas arguments that safeguards were in place succeeded in 15%. Arguments that the company was not the obligated party, or that no cross-border transfer took place, were rejected.
### Are foreign companies that do not appear in this table unsanctioned?
No. The Commission anonymises many respondents, and no nationality can be verified for a company whose name is withheld. This site does not identify anonymised respondents from other sources. The table is therefore a floor, not a census, and the amounts in decisions known only from press releases are listed but not added to the total.
## Related data on this site
In English: [how Korean privacy fines are calculated](/en/fine-calculator/) — the surcharge formula these amounts came out of, with a calculator and the administrative fine table.
The tables below are in Korean; the row addresses and figures are the same ones this page draws on.
- [Foreign operators — Korean version of this page](/sanctions/foreign/)
- [Respondents' arguments and the Commission's findings](/sanctions/defenses/), with acceptance rates by type of argument
- [Repeat respondents](/sanctions/repeat/)
- [Every published enforcement decision](/sanctions/), searchable by company and provision, with a CSV download
- [English summaries of other articles](/en/)
## Source and citation
The table is machine-extracted from the decisions and press releases the Personal Information Protection Commission has published; only the foreign-operator classification is applied by hand. When citing it, please also cite the Commission's [decision board](https://www.pipc.go.kr/np/default/agenda.do?mCode=E030010000) as the primary source. If you find an error, or know that a decision has since been annulled or varied on appeal, write to hyunsub.lee@seumlaw.com; corrections are made once checked against the original.
---
This note is a general summary of Korean law for readers outside Korea and is not legal advice; how these decisions bear on a particular company turns on its facts and requires individual review. Statutory references follow the Ministry of Government Legislation's English translation of the Personal Information Protection Act where one exists. All English translations of Korean statutes are unofficial and carry no legal effect; the Korean text governs.
Written by **Hyunsub Lee**, a Korean-qualified lawyer at SEUM Law in Seoul ([firm profile](https://www.seumlaw.com/professionals/11) — the page opens in Korean; use the ENG switch at the top right for the English version). The Korean-language version of this table is at [해외 사업자는 개인정보위에 어떻게 처분받나](/sanctions/foreign/), and other English notes are collected at [English summaries](/en/).
## Rows (respondent | decision date | resolution no. | country | respondent type | provisions | surcharge KRW | administrative fine KRW | full text published)
- TikTok Pte. Ltd. | 2026-07-22 | — | Singapore | overseas entity | — | 10,306,000,000 | 0 | no
- Apple Distribution International Limited | 2026-07-22 | — | Ireland | overseas entity | — | 252,000,000 | 0 | no
- Apple Services Pte. Ltd. | 2026-07-22 | — | Singapore | overseas entity | — | 0 | 0 | no
- ResMed Healthcare Korea Co., Ltd. | 2026-06-24 | 제2026-212-242호 | United States | Korean subsidiary | art. 28 | 0 | 0 | yes
- Christie, Manson & Woods, Ltd | 2026-04-08 | 제2026-006-051호 | United Kingdom | overseas entity | art. 29, art. 34 | 280,000,000 | 7,200,000 | yes
- Netflix Services Korea Ltd. | 2026-03-25 | 제2026-206-094호 | United States | Korean subsidiary | art. 30 | 0 | 0 | yes
- Louis Vuitton Korea Ltd. | 2026-02-11 | — | France | Korean subsidiary | — | 21,385,000,000 | 0 | no
- Christian Dior Couture Korea Co., Ltd. | 2026-02-11 | — | France | Korean subsidiary | — | 12,236,000,000 | 3,600,000 | no
- Tiffany Korea Co., Ltd. | 2026-02-11 | — | France | Korean subsidiary | — | 2,412,000,000 | 7,200,000 | no
- K Games, Inc | 2025-12-10 | 제2025-026-308호 | United States | overseas entity | art. 29, former art. 39-4 | 194,519,000 | 7,200,000 | yes
- QIAGEN Korea Ltd. | 2025-11-26 | 제2025-222-448호 | Netherlands | Korean subsidiary | art. 28, art. 34 | 0 | 1,800,000 | yes
- umanle S.R.L | 2025-11-26 | 제2025-024-303호 | Paraguay | overseas entity | art. 63 | 0 | 0 | yes
- Elevate Hong Kong Holdings Limited | 2025-11-26 | 제2025-024-302호 | Hong Kong | overseas entity | art. 24-2 | 0 | 0 | yes
- Starbucks Corporation | 2025-11-26 | 제2025-024-301호 | United States | overseas entity | art. 26, art. 3 | 0 | 0 | yes
- Moncler Korea Inc. | 2025-09-10 | 제2025-020-252호 | Italy | Korean subsidiary | art. 29, former art. 39-4 | 81,017,000 | 7,200,000 | yes
- Qookka Entertainment Limited | 2025-07-23 | 제2025-016-233호 | Hong Kong | overseas entity | art. 24-2 | 93,700,000 | 0 | yes
- TELUS International AI, Ltd | 2025-06-25 | 제2025-014-047호 | Canada | overseas entity | art. 29, art. 34 | 82,000,000 | 7,200,000 | yes
- Microsoft Korea, Inc. | 2025-06-11 | 제2025-013-038호 | United States | Korean subsidiary | — | 0 | 0 | yes
- Amazon Web Services Korea LLC | 2025-06-11 | 제2025-013-037호 | United States | Korean subsidiary | — | 0 | 0 | yes
- Elementary Innovation Pte. Ltd | 2025-05-14 | 제2025-011-035호 | Singapore | overseas entity | art. 24-2 | 490,000,000 | 0 | yes
- Whaleco Technology Limited | 2025-05-14 | 제2024-013-193호 | Ireland | overseas entity | art. 26, art. 28-8, art. 31-2 | 879,000,000 | 17,600,000 | yes
- Hangzhou DeepSeek Artificial Intelligence Co., Ltd. | 2025-04-23 | 제2025-009-026호 | China | overseas entity | art. 63-2 | 0 | 0 | yes
- Apple Distribution International Limited | 2025-02-12 | 제2025-003-011호 | Ireland | overseas entity | — | 0 | 0 | yes
- Meta Platforms, Inc. | 2025-02-12 | 제2025-003-010호 | United States | overseas entity | — | 0 | 0 | yes
- Google LLC | 2025-02-12 | 제2025-003-009호 | United States | overseas entity | — | 0 | 0 | yes
- Alipay Singapore E-Commerce Private Limited | 2025-01-22 | 제2025-001-004호 | Singapore | overseas entity | — | 0 | 0 | yes
- Apple Distribution International Limited | 2025-01-22 | 제2025-001-003호 | Ireland | overseas entity | art. 26, art. 28-8 | 2,405,000,000 | 2,200,000 | yes
- AXA General Insurance Co., Ltd. | 2024-12-11 | 제2024-021-258호 | France | Korean subsidiary | art. 15, art. 21, art. 31, art. 59 | 2,715,000,000 | 0 | yes
- Technology Infrastructure Korea Ltd. | 2024-11-27 | 제2024-019-247호 | United Kingdom (headquartered in the United States) | Korean subsidiary | art. 21 | 0 | 0 | yes
- TAG HEUER branch of LVMH Swiss Manufactures SA | 2024-02-14 | 제2024-003-030호 | Switzerland | overseas entity | art. 29, former art. 39-4 | 126,000,000 | 7,800,000 | yes
- Schneider Electric Korea Limited | 2023-10-11 | 제2023-016-210호 | France | Korean subsidiary | art. 29 | 7,996,000 | 4,200,000 | yes
- Qoo10 Pte. Ltd. | 2023-05-24 | — | Singapore | overseas entity | — | 0 | 3,600,000 | no
- Meta Platforms, Inc. | 2023-02-08 | 제2023-002-003호 | United States | overseas entity | former art. 39-3 | 0 | 6,600,000 | yes
- Google LLC | 2022-09-14 | 제2022-014-104호 | United States | overseas entity | former art. 39-3 | 69,241,000,000 | 0 | yes
- Meta Platforms, Inc. | 2022-09-14 | — | United States | overseas entity | — | 30,806,000,000 | 0 | no
- Fluke Corporation | 2022-03-23 | 제2022-005-016호 | United States | overseas entity | art. 29, art. 34 | 0 | 9,000,000 | yes
- Zynga Game Ireland Limited | 2022-03-23 | 제2022-005-015호 | Ireland | overseas entity | former Network Act art. 27-3, former Network Act art. 28 | 5,300,000 | 13,000,000 | yes
- Canva Pty Ltd | 2022-03-23 | 제2022-005-014호 | Australia | overseas entity | former Network Act art. 27-3, former Network Act art. 28 | 0 | 10,000,000 | yes
- Instagram, LLC | 2021-12-08 | — | United States | overseas entity | — | 0 | 5,000,000 | no
- Chanel Korea Ltd. | 2021-10-27 | — | United Kingdom | Korean subsidiary | — | 126,160,000 | 18,600,000 | no
- Facebook, Inc. and Facebook Ireland Limited | 2021-08-25 | 제2021-013-101호 | United States | overseas entity | art. 24-2, art. 26, former art. 39-12, former Network Act art. 22, former Network Act art. 26 | 6,443,000,000 | 26,000,000 | yes
- Microsoft Corporation | 2021-06-09 | — | United States | overseas entity | — | 3,400,000 | 13,000,000 | no
- eBay Korea LLC | 2021-05-26 | 제2021-009-085호 | United States | Korean subsidiary | art. 29 | 0 | 22,800,000 | yes
- Tesla Korea Limited | 2021-01-27 | — | United States | Korean subsidiary | — | 0 | 0 | no
- Ctrip Korea Co., Ltd. | 2021-01-27 | — | Cayman Islands (headquartered in China) | Korean subsidiary | — | 0 | 5,000,000 | no
- Facebook, Inc. and Facebook Ireland Limited | 2020-11-25 | 제2020-006-008호 | Ireland (European headquarters; parent in the United States) | overseas entity | former Network Act art. 24-2, former Network Act art. 28, former Network Act art. 30-2 | 6,748,000,000 | 66,000,000 | yes
---
# [영문·데이터] Korea PIPC Enforcement Tracker — every published decision, searchable in English
- URL: https://datalaw.kr/en/enforcement/
- 한국어 표 https://datalaw.kr/sanctions/ 와 **같은 행**을 영문 라벨로 그린 독립 영문면입니다. 행 전량은 이 파일의 제재 추적기 절에 있고, 영문 면은 조문명·처분 종류·회의체의 영문 표기와 영문 상호가 확인되는 곳의 영문명을 얹은 것입니다.
- 요약: Korea's Personal Information Protection Commission publishes the full text of its sanction decisions, but its board is searchable by title only, and almost every sanction decision carries the same title. Nobody outside Korea can answer a question as basic as how often art. 29 has been enforced. This page is the whole published record — [[total]] decisions — in one filterable table with English labels for provisions, sanction types and committee bodies, over the same data as the Korean tracker. Administrative fines are the norm and penalty surcharges the exception; the safety-measures duty in art. 29 is behind about half the decisions; and the surcharge total is dominated by a handful of cases. Maintained by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul.
> **Key points.** The Personal Information Protection Commission ("PIPC") has published the full text of **889 sanction decisions**. A penalty surcharge appears in **163** of them and an administrative fine in **569**; the rest impose only non-monetary measures. The single most enforced provision is **art. 29, the duty to take safety measures, in 452 decisions**. The respondent is named in **389** decisions and withheld in the rest, so counting by company gives a floor. 🔴 The surcharge total is not a distribution — a handful of decisions account for most of it, as the note under the table shows.
Korea's regulator publishes what it decides. The problem is finding it. The decision board is searchable by title only, and the title of almost every sanction decision is the same string — "Decision on corrective measures for violations of the Personal Information Protection Act". A company name or an article number returns nothing. Neither does an English query, because the entire board is in Korean.
So the questions a foreign legal team actually asks — has the Commission ever sanctioned a company like ours, on what provision, and for how much — have had no source that could answer them. This page is that source: the published record in one table, with English labels for provisions, sanction types and committee bodies.
**The numbers here are not a translation of the Korean table. They are the same table.** Both pages read one view of the underlying data, and English wording is applied on top of it, so a figure cannot say one thing in Korean and another in English. Where an organisation uses an English name itself, that name appears with the Korean name beneath it; where it does not, the Korean name stands as written in the decision.
No results for a company or a provision does not mean there is no precedent. Four things sit outside this table. ① The Commission withholds the respondent’s name in more than half of the decisions, and this site does not identify those respondents from other sources. ② Large recent cases are often decided long before the full text is published — Coupang, KT, Meta and Louis Vuitton are in that gap, reconstructed from press releases on a separate Korean page and deliberately not added to the totals here. ③ A small number of cases appear only in the Commission’s "publication of results" notices, with no decision text at all. ④ Sanctions imposed before the Commission was created in August 2020, by the Korea Communications Commission under the former Network Act, are on their own Korean page and are not counted here because the deciding authority and the governing statute are different.
## How to read the table
- **Respondent.** The name as the decision gives it, with the decision number, the deciding body (the Plenary Commission or the Second Subcommittee, which handles smaller matters) and a link to the original posting on the Commission's board. The link points to the board **posting**, which sometimes carries more than one decision.
- **Provisions breached.** Article numbers follow the Personal Information Protection Act unless the row marks another statute. Articles numbered 39-x are provisions carried over from the former Network Act that applied to online service providers and were repealed in 2023; they still appear in decisions about conduct from that period.
- **Sanction.** A penalty surcharge is turnover-based; an administrative fine is fixed-schedule. "Amount withheld" means the Commission published the decision with the figure redacted, which it does in some cases involving small operators. Non-monetary measures — corrective order, corrective recommendation, improvement recommendation, publication of the result, criminal referral — are listed under the amounts.
## What the record shows
- **Fines are the norm and surcharges the exception.** Of 889 published decisions, 569 impose an administrative fine and only 163 a penalty surcharge. A foreign team reading press coverage of Korean privacy enforcement sees the surcharges, which is the least representative part of the record.
- **Half of the enforcement is one duty.** Art. 29 — take safety measures — is found breached in 452 decisions. What "safety measures" means in practice is not in the article itself but in a subordinate notice, and the Korean pages break the finding down further by what the Commission actually faulted: access control, encryption, log retention.
- **Non-monetary measures travel with the money.** 271 decisions carry a corrective order, a recommendation or publication of the result. For a company with Korean users, publication of the result is often the consequence that matters most, and what a corrective order requires in practice is collected on the [Korean corrective-orders page](/orders/).
- **Anonymisation shapes what can be known.** The respondent is named in 389 decisions and withheld in the rest; in 47 decisions the amount itself is redacted. Any statement of the form "no company in our sector has been sanctioned" is unsupportable from the public record.
## Related pages
- [How Korea's PIPC sanctions foreign companies](/en/pipc-enforcement-foreign-companies/) — the same decisions filtered to non-Korean operators, with each respondent's arguments and the Commission's finding.
- [Penalty surcharge and administrative fine calculator](/en/fine-calculator/) — how the amount is actually calculated under the Act, the Decree and the Commission's notice.
- [Appointing a domestic representative](/en/domestic-representative/) — when a foreign operator must have one in Korea.
- [The Korean tracker](/sanctions/) — the same rows with a court-challenge badge, article-by-article pages and a CSV download.
## Frequently asked questions
### How many enforcement decisions has Korea's PIPC published?
The Commission has published the full text of 889 sanction decisions on its decision board, covering November 2020 to the present. Of those, 163 impose a penalty surcharge and 569 an administrative fine; the remainder impose only non-monetary measures such as a corrective order, an improvement recommendation or publication of the result. The respondent is named in 389 decisions and anonymised in the rest, so any count by company is a floor rather than a census.
### Which provision of PIPA is enforced most often?
Article 29, the duty to take safety measures, is found breached in 452 of the published decisions — roughly half of the whole record. Breach notification (art. 34), restrictions on processing by a delegatee (art. 26) and destruction of personal data (art. 21) follow. A surcharge under art. 29 is much rarer than a fine: it appears in 99 decisions.
### What is the difference between a penalty surcharge and an administrative fine in Korea?
A penalty surcharge is calculated from turnover related to the violation and is the instrument used for serious breaches; since the 2023 amendment its ceiling is 3% of turnover related to the violation, and the Act in force since 11 September 2026 raises it to 10% of total turnover for intentional or grossly negligent repeat violations within three years. An administrative fine is a fixed-schedule penalty for specified breaches, typically in the millions of won. Most decisions impose a fine; a surcharge appears in a minority. The calculation is set out step by step in the [English fine calculator](/en/fine-calculator/).
### Why are some respondents shown with Korean names?
Because the decision is a Korean public document and this table does not invent romanisations. Where the organisation uses an English name itself, that name is shown with the Korean name beneath it. Where it does not, the Korean name is shown as it appears in the decision, so that the row can be verified against the original. Decisions in which the Commission withheld the respondent's name are marked as withheld and are not identified from other sources.
## Citing this table
The underlying dataset is published under CC BY 4.0 with a DOI: [10.5281/zenodo.22722236](https://doi.org/10.5281/zenodo.22722236). A dated copy of the CSV is kept for citation, and the machine-readable table is at [/sanctions/pipc-sanctions.csv](/sanctions/pipc-sanctions.csv). Suggested form: Lee, Hyunsub. *Korea PIPC enforcement decisions* (dataset), datalaw.kr, accessed [date].
---
# [데이터] 개인정보 과징금·과태료 사례 800여 건 — 개인정보위 제재 결정문 전수 DB
- URL: https://datalaw.kr/sanctions/
- 요약: 개인정보보호위원회 결정문 게시판에서 본문을 읽을 수 있는 제재 의결서 889건을 안건번호·의결일·피심인·위반 조문·처분·금액으로 정리한 조회용 표입니다. 위원회 홈페이지 검색창은 제목만 색인해서 조문이나 회사명으로는 선례를 찾을 수 없는데, 여기서는 조문으로 걸러 확인할 수 있습니다. 결정문 공개에는 수개월 이상의 시차가 있어 2026년 상반기 구간은 보도자료 기준으로 따로 집계했는데, 38개 사업자·기관에 과징금 6,806억 7,100만 원이 부과됐고 쿠팡 한 건이 약 92%를 차지합니다. 게시판 목록에는 올라와 있으나 HTML 미리보기가 비어 첨부파일에서 읽어 온 의결이 270건, 미리보기 없이 첨부 PDF만 올라온 출범기(2020~2022년) 의결도 포함돼 있으며, 위원회가 결정문 전문을 공개하지 않고 「결과의 공표」만 한 사건도 이 표에 없습니다.
- 출처: 개인정보보호위원회 위원회 결정문 (pipc.go.kr) / 기준일 2026-09-11 / 수록 889건
- 주의: 위반 조문은 의결서 「결론」 절에서 추출했고 처분 근거 조문(제61조·제64조·제64조의2·제65조·제66조·제75조)은 제외했습니다. 금액은 주문의 부과액이며 이후 불복 결과는 반영되지 않습니다. 피심인이 "비공개"인 건은 위원회가 비실명 처리한 것입니다. 결정문 공개에는 수개월 이상의 시차가 있습니다. 2020년 8월 이전 방송통신위원회 처분은 이 표의 범위 밖이며 아래 별도 절에 실었습니다.
의결일 | 안건번호 | 피심인 | 위반 조문 | 처분 | 과징금(원) | 과태료(원) | 행 주소
2026-08-26 | 제2026-216-365호 | ㈜위솝 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-216-365
2026-08-26 | 제2026-216-364호 | 제이엠가정의학과의원 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 7200000 | https://datalaw.kr/sanctions/#d-2026-216-364
2026-08-26 | 제2026-216-363호 | ㈜포시에스 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 7200000 | https://datalaw.kr/sanctions/#d-2026-216-363
2026-08-26 | 제2026-216-362호 | 의료법인 제노플랜 의료재단 | 제29조(안전조치의무) | 과태료 | - | 1200000 | https://datalaw.kr/sanctions/#d-2026-216-362
2026-08-26 | 제2026-216-361호 | ㈜온오프믹스 | 제29조(안전조치의무) | 과태료 | - | 600000 | https://datalaw.kr/sanctions/#d-2026-216-361
2026-08-26 | 제2026-216-360호 | 순천향대 부속 부천병원 | 제17조(개인정보의 제공) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2026-216-360
2026-08-26 | 제2026-216-355호 | 경성대학교 | 제29조(안전조치의무); 제35조 제3항(개인정보의 열람) | 과태료,시정명령,공표 1년 | - | 13500000 | https://datalaw.kr/sanctions/#d-2026-216-355
2026-08-26 | 제2026-216-354호 | 양평군청 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정권고,공표 1년 | - | - | https://datalaw.kr/sanctions/#d-2026-216-354
2026-08-26 | 제2026-207-115호 | (사)북한발전연구원 | 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료 | - | 7200000 | https://datalaw.kr/sanctions/#d-2026-207-115
2026-08-26 | 제2026-207-114호 | 에너지경제연구원 | 제26조 제4항(업무위탁에 따른 개인정보의 처리 제한) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2026-207-114
2026-08-26 | 제2026-017-098호 | HD한국조선해양(주) | 제29조(안전조치의무) | 과태료 | - | 4800000 | https://datalaw.kr/sanctions/#d-2026-017-098
2026-08-26 | 제2026-017-097호 | HD건설기계(주) | 제29조(안전조치의무) | 과징금 | 73500000 | - | https://datalaw.kr/sanctions/#d-2026-017-097
2026-08-12 | 제2026-215-336호 | ㈜지에이개발 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2026-215-336
2026-08-12 | 제2026-215-335호 | 거여파크 지역주택조합 추진위원회 | 제34조(개인정보 유출 등의 통지·신고) | 개선권고,경고 | - | - | https://datalaw.kr/sanctions/#d-2026-215-335
2026-07-22 | 제2026-214-295호 | 용인시청 | 제29조(안전조치의무) | 과태료,시정권고,공표 1년 | - | 10800000 | https://datalaw.kr/sanctions/#d-2026-214-295
2026-07-22 | 제2026-214-294호 | 가평군청 | 제24조의2 제2항(주민등록번호 처리의 제한); 제28조 제1항(개인정보취급자에 대한 감독) | 과태료,시정권고,공표 1년 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-214-294
2026-07-22 | 제2026-214-293호 | 용인시장학재단 | 제29조(안전조치의무) | 과태료,공표 1년 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-214-293
2026-07-22 | 제2026-214-292호 | (재)대구광역시 동구문화재단 | 제29조(안전조치의무) | 과태료,공표 1년 | - | 1800000 | https://datalaw.kr/sanctions/#d-2026-214-292
2026-07-22 | 제2026-214-291호 | 인천광역시청 | 제29조(안전조치의무) | 과태료,공표 1년 | - | 4500000 | https://datalaw.kr/sanctions/#d-2026-214-291
2026-07-22 | 제2026-214-290호 | 전남대학교 | 제29조(안전조치의무) | 과태료,시정명령,공표 1년 | - | 7500000 | https://datalaw.kr/sanctions/#d-2026-214-290
2026-07-22 | 제2026-214-289호 | 한국방송통신대학교 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 1년 | - | 9000000 | https://datalaw.kr/sanctions/#d-2026-214-289
2026-07-22 | 제2026-214-269호 | 디자인디비 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2026-214-269
2026-07-08 | 제2026-213-271호 | 마스턴투자운용 주식회사 | 제21조(개인정보의 파기) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-213-271
2026-07-08 | 제2026-213-270호 | 이데일리㈜ | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 9900000 | https://datalaw.kr/sanctions/#d-2026-213-270
2026-07-08 | 제2026-213-269호 | ㈜재미스홈 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2026-213-269
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,시정명령 | - | 9000000 | https://datalaw.kr/sanctions/#d-2026-213-268
2026-07-08 | 제2026-213-267호 | 얼굴홈트㈜ | 제34조(개인정보 유출 등의 통지·신고) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2026-213-267
2026-07-08 | 제2026-213-265호 | 하남도시공사 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,공표 1년 | - | - | https://datalaw.kr/sanctions/#d-2026-213-265
2026-07-08 | 제2026-213-264호 | 서광주세무서 | 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,공표 1년 | - | 7200000 | https://datalaw.kr/sanctions/#d-2026-213-264
2026-07-08 | 제2026-213-263호 | 법원도서관 | 제29조(안전조치의무) | 과태료,공표 1년 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-213-263
2026-07-08 | 제2026-213-262호 | 법원행정처 | 제21조 제1항(개인정보의 파기); 제24조의2 제2항(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과태료,시정권고,공표 1년 | - | 8100000 | https://datalaw.kr/sanctions/#d-2026-213-262
2026-06-24 | 제2026-212-245호 | 농협중앙회 신용협동조합 | 제26조(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 4100000 | https://datalaw.kr/sanctions/#d-2026-212-245
2026-06-24 | 제2026-212-244호 | 롯데손해보험(주) | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2026-212-244
2026-06-24 | 제2026-212-242호 | 레즈메드헬스케어코리아 | 제28조(개인정보취급자에 대한 감독) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2026-212-242
2026-06-24 | 제2026-212-241호 | 전기기술사사이버학원 | 제28조(개인정보취급자에 대한 감독) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2026-212-241
2026-06-24 | 제2026-212-240호 | ㈜맹호 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 7800000 | https://datalaw.kr/sanctions/#d-2026-212-240
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 제15조(개인정보의 수집·이용); 제23조(민감정보의 처리 제한) | 과징금 | 248000000 | - | https://datalaw.kr/sanctions/#d-2026-011-077
2026-05-27 | 제2026-010-071호 | ㈜미소테크 | 제29조(안전조치의무); 제21조(개인정보의 파기) | 과징금,과태료 | 82500000 | 4500000 | https://datalaw.kr/sanctions/#d-2026-010-071
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2026-010-070
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과징금,시정명령,공표 | 23100000 | - | https://datalaw.kr/sanctions/#d-2026-010-069
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과징금,시정권고,공표 | 168000000 | - | https://datalaw.kr/sanctions/#d-2026-010-068
2026-05-27 | 제2026-010-067호 | 행정안전부 | 제29조(안전조치의무) | 과태료,공표 | - | 4500000 | https://datalaw.kr/sanctions/#d-2026-010-067
2026-05-27 | 제2026-010-066호 | 행정안전부 | 제29조(안전조치의무); 제26조(업무위탁에 따른 개인정보의 처리 제한); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정권고,공표 | 273000000 | 3000000 | https://datalaw.kr/sanctions/#d-2026-010-066
2026-05-13 | 제2026-209-185호 | (재)경기도평생교육진흥원 | - | 주의촉구 | - | - | https://datalaw.kr/sanctions/#d-2026-209-185
2026-05-13 | 제2026-209-184호 | 사단법인 새롭고하나된조국을위한모임 | - | 주의촉구 | - | - | https://datalaw.kr/sanctions/#d-2026-209-184
2026-05-13 | 제2026-209-183호 | 루나데이즈 | 제30조(개인정보 처리방침의 수립 및 공개) | 경고,과태료 면제 | - | - | https://datalaw.kr/sanctions/#d-2026-209-183
2026-05-13 | 제2026-209-182호 | 씨제이올리브네트웍스 주식회사 | 제30조(개인정보 처리방침의 수립 및 공개) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2026-209-182
2026-05-13 | 제2026-209-153호 | (주)큰사람커넥트 | 제29조(안전조치의무) | 과태료,시정명령 | - | 2700000 | https://datalaw.kr/sanctions/#d-2026-209-153
2026-05-13 | 제2026-209-152호 | 대야구역재개발조합 | 제34조(개인정보 유출 등의 통지·신고) | 개선권고,경고 | - | - | https://datalaw.kr/sanctions/#d-2026-209-152
2026-05-13 | 제2026-209-151호 | 한화엔진 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2026-209-151
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-009-063
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-009-062
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-009-061
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과징금,시정명령,공표 | 2500000 | - | https://datalaw.kr/sanctions/#d-2026-009-060
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과징금,시정명령,공표 | 4800000 | - | https://datalaw.kr/sanctions/#d-2026-009-059
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과징금,시정명령,공표 | 4200000 | - | https://datalaw.kr/sanctions/#d-2026-009-058
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 제29조(안전조치의무); 제21조(개인정보의 파기); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정명령,공표 | 531000000 | 11400000 | https://datalaw.kr/sanctions/#d-2026-009-057
2026-04-22 | 제2026-007-053호 | 재단법인 금릉공원묘원 | 제24조의2 제1항(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과징금,시정명령 | 54200000 | - | https://datalaw.kr/sanctions/#d-2026-007-053
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 제21조 제1항(개인정보의 파기); 제24조의2 제1항(주민등록번호 처리의 제한); 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정명령 | 1197000000 | 13200000 | https://datalaw.kr/sanctions/#d-2026-007-052
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 제21조(개인정보의 파기); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과징금,과태료,시정명령 | 3537000000 | 4200000 | https://datalaw.kr/sanctions/#d-2026-006-050
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | 제34조(개인정보 유출 등의 통지·신고); 제28조(개인정보취급자에 대한 감독) | 과태료,시정명령,개선권고 | - | 1800000 | https://datalaw.kr/sanctions/#d-2026-207-119
2026-04-08 | 제2026-207-118호 | 세종화재해상자동차손해사정(주) | 제34조(개인정보 유출 등의 통지·신고); 제28조(개인정보취급자에 대한 감독) | 과태료,시정명령 | - | 1800000 | https://datalaw.kr/sanctions/#d-2026-207-118
2026-04-08 | 제2026-207-117호 | ㈜두잉이앤엠 | 제34조(개인정보 유출 등의 통지·신고); 제28조(개인정보취급자에 대한 감독) | 과태료,시정명령 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-207-117
2026-04-08 | 제2026-207-116호 | 국립장기조직혈액관리원 | 제28조의4 제3항(가명정보에 대한 안전조치의무 등) | 과태료,개선권고,공표 | - | 1200000 | https://datalaw.kr/sanctions/#d-2026-207-116
2026-04-08 | 제2026-207-113호 | 신정고등학교 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-207-113
2026-04-08 | 제2026-207-112호 | 한국환경산업기술원 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-207-112
2026-04-08 | 제2026-207-111호 | 양산경찰서 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-207-111
2026-04-08 | 제2026-207-110호 | 비공개 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2026-207-110
2026-04-08 | 제2026-207-109호 | 영동군청 | 제28조(개인정보취급자에 대한 감독) | 개선권고,시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-207-109
2026-04-08 | 제2026-006-051호 | Cristie, Manson & Woods, Ltd | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 280000000 | 7200000 | https://datalaw.kr/sanctions/#d-2026-006-051
2026-03-25 | 제2026-206-095호 | 아이디스파워텔(주) | 제28조(개인정보취급자에 대한 감독) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2026-206-095
2026-03-25 | 제2026-206-094호 | 넷플릭스서비시스코리아(유) | 제30조(개인정보 처리방침의 수립 및 공개) | 개선권고,경고 | - | - | https://datalaw.kr/sanctions/#d-2026-206-094
2026-03-25 | 제2026-206-093호 | (재)인천문화재단 | 제24조의2(주민등록번호 처리의 제한); 제28조(개인정보취급자에 대한 감독) | 과태료,시정명령 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-206-093
2026-03-25 | 제2026-206-092호 | 서울교통공사 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,개선권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-206-092
2026-03-25 | 제2026-206-091호 | 서울특별시 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2026-206-091
2026-03-25 | 제2026-206-090호 | 인천광역시 강화군 | 제24조의2 제1항(주민등록번호 처리의 제한) | 과태료 | - | 600000 | https://datalaw.kr/sanctions/#d-2026-206-090
2026-03-25 | 제2026-206-089호 | 성남시의료원 | 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,개선권고,공표 | - | 1800000 | https://datalaw.kr/sanctions/#d-2026-206-089
2026-03-25 | 제2026-206-088호 | 호원대학교 | 제29조(안전조치의무) | 과태료,공표 | - | 5400000 | https://datalaw.kr/sanctions/#d-2026-206-088
2026-03-25 | 제2026-202-034호 | 한강시스템(주) | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,시정명령 | - | 5400000 | https://datalaw.kr/sanctions/#d-2026-202-034
2026-03-25 | 제2026-005-025호 | 강북구청 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정권고,공표 | 378000000 | 4800000 | https://datalaw.kr/sanctions/#d-2026-005-025
2026-03-25 | 제2025-026-305호 | 공무원연금공단 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과징금,공표 | 532000000 | - | https://datalaw.kr/sanctions/#d-2025-026-305
2026-03-11 | 제2026-004-023호 | 롯데카드 주식회사 | 제24조의2(주민등록번호 처리의 제한) | 과징금,과태료,시정명령,공표 | 9620000000 | 4800000 | https://datalaw.kr/sanctions/#d-2026-004-023
2026-01-28 | 제2026-202-036호 | 시민종합사회복지관 | 제28조(개인정보취급자에 대한 감독); 제29조(안전조치의무) | 과태료,시정명령 | - | 3600000 | https://datalaw.kr/sanctions/#d-2026-202-036
2026-01-28 | 제2026-202-035호 | 디노랩스 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2026-202-035
2026-01-28 | 제2026-002-004호 | 엔에이치엔커머스㈜ | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,개선권고,공표 | 8700000 | 4500000 | https://datalaw.kr/sanctions/#d-2026-002-004
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정명령,개선권고,공표 | 703000000 | 4800000 | https://datalaw.kr/sanctions/#d-2026-002-003
2025-12-10 | 제2025-223-474호 | 세무법인 동안 | 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-223-474
2025-12-10 | 제2025-223-473호 | ㈜아일로 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-223-473
2025-12-10 | 제2025-223-472호 | 얼굴홈트(주) | 제34조(개인정보 유출 등의 통지·신고) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-223-472
2025-12-10 | 제2025-223-471호 | 강원특별자치도교육청 | 제23조 제2항(민감정보의 처리 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,시정권고,공표 1년 | - | 6900000 | https://datalaw.kr/sanctions/#d-2025-223-471
2025-12-10 | 제2025-223-464호 | 홈스디자인 | - | 경고 | - | - | https://datalaw.kr/sanctions/#d-2025-223-464
2025-12-10 | 제2025-026-308호 | K Games, Inc | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 194519000 | 7200000 | https://datalaw.kr/sanctions/#d-2025-026-308
2025-12-10 | 제2025-026-307호 | (사)부산국제금융진흥원 | 제24조(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과징금,과태료 | 95500000 | 3600000 | https://datalaw.kr/sanctions/#d-2025-026-307
2025-12-10 | 제2025-026-306호 | 국립항공박물관 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,공표 1년 | 98000000 | - | https://datalaw.kr/sanctions/#d-2025-026-306
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | 제28조(개인정보취급자에 대한 감독); 제34조(개인정보 유출 등의 통지·신고) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-222-449
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | 제28조(개인정보취급자에 대한 감독); 제34조(개인정보 유출 등의 통지·신고) | 과태료,시정명령 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-222-448
2025-11-26 | 제2025-222-447호 | 비공개 | 제29조(안전조치의무) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2025-222-447
2025-11-26 | 제2025-222-446호 | 필 리 핀 항공 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2025-222-446
2025-11-26 | 제2025-222-445호 | ㈜태광산업 | 제21조 제1항(개인정보의 파기) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2025-222-445
2025-11-26 | 제2025-222-443호 | ㈜씨아이에스 보험자문중개법인 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,시정명령 | - | 9600000 | https://datalaw.kr/sanctions/#d-2025-222-443
2025-11-26 | 제2025-024-303호 | umanle S.R.L | 제63조(자료제출 요구 및 검사) | 고발 | - | - | https://datalaw.kr/sanctions/#d-2025-024-303
2025-11-26 | 제2025-024-302호 | Elevate Hong Kong Holdings Limited | 제24조의2(주민등록번호 처리의 제한) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-024-302
2025-11-26 | 제2025-024-301호 | Starbucks Corporation | 제26조(업무위탁에 따른 개인정보의 처리 제한); 제3조(개인정보 보호 원칙) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-024-301
2025-11-26 | 제2025-024-300호 | ㈜바텍엠시스 | 제29조(안전조치의무) | 과징금 | 55200000 | - | https://datalaw.kr/sanctions/#d-2025-024-300
2025-11-26 | 제2025-024-299호 | ㈜하스 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 133000000 | 7800000 | https://datalaw.kr/sanctions/#d-2025-024-299
2025-11-20 | 제2025-221-440호 | ㈜테난 | 제28조(개인정보취급자에 대한 감독); 제34조(개인정보 유출 등의 통지·신고) | 과태료,시정명령 | - | 2700000 | https://datalaw.kr/sanctions/#d-2025-221-440
2025-11-20 | 제2025-221-439호 | 수원상공회의소 | 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2025-221-439
2025-11-20 | 제2025-221-438호 | 법무법인 산하 | 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 2700000 | https://datalaw.kr/sanctions/#d-2025-221-438
2025-11-20 | 제2025-221-437호 | 정진테크 | 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-221-437
2025-11-20 | 제2025-221-436호 | ㈜티노파이브 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2025-221-436
2025-11-20 | 제2025-221-435호 | ㈜파우컴퍼니 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 9600000 | https://datalaw.kr/sanctions/#d-2025-221-435
2025-11-20 | 제2025-221-433호 | ㈜씨제이이엔엠 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2025-221-433
2025-11-20 | 제2025-221-430호 | 한국토지주택공사 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,공표 1년 | - | - | https://datalaw.kr/sanctions/#d-2025-221-430
2025-11-20 | 제2025-221-429호 | 신남초등학교 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,공표 1년 | - | - | https://datalaw.kr/sanctions/#d-2025-221-429
2025-11-20 | 제2025-221-428호 | 광주도시관리공사 | 제26조 제2항(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령,공표 1년 | - | 600000 | https://datalaw.kr/sanctions/#d-2025-221-428
2025-11-20 | 제2025-221-427호 | 한국외국어대학교 | 제28조 제1항(개인정보취급자에 대한 감독) | 시정명령,공표 1년 | - | - | https://datalaw.kr/sanctions/#d-2025-221-427
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 제21조(개인정보의 파기); 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정명령 | 523000000 | 6000000 | https://datalaw.kr/sanctions/#d-2025-023-296
2025-11-20 | 제2025-023-295호 | ㈜레저플러스 | 제29조(안전조치의무) | 과징금 | 61200000 | - | https://datalaw.kr/sanctions/#d-2025-023-295
2025-11-20 | 제2025-023-294호 | ㈜더존하우징 | 제29조(안전조치의무) | 과징금 | 55800000 | - | https://datalaw.kr/sanctions/#d-2025-023-294
2025-11-20 | 제2025-023-293호 | ㈜이젠 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료,공표 | 60600000 | 5400000 | https://datalaw.kr/sanctions/#d-2025-023-293
2025-11-20 | 제2025-023-292호 | 해양경찰청 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-292
2025-11-20 | 제2025-023-291호 | 한국특허정보원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-291
2025-11-20 | 제2025-023-290호 | 한국토지주택공사 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-290
2025-11-20 | 제2025-023-289호 | 한국지역정보개발원 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2025-023-289
2025-11-20 | 제2025-023-288호 | 한국전력공사 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-288
2025-11-20 | 제2025-023-287호 | 한국재정정보원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-287
2025-11-20 | 제2025-023-286호 | 한국장애인고용공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-286
2025-11-20 | 제2025-023-285호 | 한국자활복지개발원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-285
2025-11-20 | 제2025-023-284호 | 한국에너지공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-284
2025-11-20 | 제2025-023-283호 | 한국산업안전보건공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-283
2025-11-20 | 제2025-023-282호 | 한국사회복지협의회 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-282
2025-11-20 | 제2025-023-281호 | 한국노인인력개발원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-281
2025-11-20 | 제2025-023-280호 | 한국교통안전공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-280
2025-11-20 | 제2025-023-279호 | 한국관세정보원 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2025-023-279
2025-11-20 | 제2025-023-278호 | 한국과학기술기획평가원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-278
2025-11-20 | 제2025-023-277호 | 한국건강증진개발원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-277
2025-11-20 | 제2025-023-276호 | 질병관리청 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-276
2025-11-20 | 제2025-023-275호 | 인천공항출입국‧외국인청 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-275
2025-11-20 | 제2025-023-274호 | 소방청 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-274
2025-11-20 | 제2025-023-273호 | 병무청 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-273
2025-11-20 | 제2025-023-272호 | 법무부 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-272
2025-11-20 | 제2025-023-271호 | 농림축산검역본부 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-271
2025-11-20 | 제2025-023-270호 | 근로복지공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-270
2025-11-20 | 제2025-023-269호 | 국토교통부 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-269
2025-11-20 | 제2025-023-268호 | 국방부 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-268
2025-11-20 | 제2025-023-267호 | 국민연금공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-267
2025-11-20 | 제2025-023-266호 | 국민권익위원회 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-266
2025-11-20 | 제2025-023-265호 | 국민건강보험공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-265
2025-11-20 | 제2025-023-264호 | 국립장기조직혈액관리원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-264
2025-11-20 | 제2025-023-263호 | 국군재정관리단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-263
2025-11-20 | 제2025-023-262호 | 국가생명윤리정책원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-262
2025-11-20 | 제2025-023-261호 | 국가보훈부 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-261
2025-11-20 | 제2025-023-260호 | 공무원연금공단 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-260
2025-11-20 | 제2025-023-259호 | 경찰청 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-259
2025-11-20 | 제2025-023-258호 | 대검찰청 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-258
2025-11-20 | 제2025-023-257호 | 건강보험심사평가원 | 제29조(안전조치의무) | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-023-257
2025-10-22 | 제2025-219-398호 | ㈜볼랩 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-219-398
2025-10-22 | 제2025-219-393호 | 경기대학교 | 제29조(안전조치의무) | 과태료,공표 | - | 2400000 | https://datalaw.kr/sanctions/#d-2025-219-393
2025-10-22 | 제2025-022-256호 | 비공개 | 제29조(안전조치의무) | 과징금,시정명령 | 463000000 | - | https://datalaw.kr/sanctions/#d-2025-022-256
2025-09-24 | 제2025-218-381호 | 비공개 | 제29조(안전조치의무); 제3조(개인정보 보호 원칙) | 개선권고,경고 | - | - | https://datalaw.kr/sanctions/#d-2025-218-381
2025-09-24 | 제2025-218-380호 | 한국정보보호산업협회 | 제28조(개인정보취급자에 대한 감독) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-218-380
2025-09-24 | 제2025-218-379호 | ㈜아파트스토리 | 제22조(동의를 받는 방법) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-218-379
2025-09-24 | 제2025-218-378호 | ㈜클래스101 | 제29조(안전조치의무) | 과태료 | - | 2700000 | https://datalaw.kr/sanctions/#d-2025-218-378
2025-09-24 | 제2025-218-374호 | ㈜스마트레이저 | 제24조(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-218-374
2025-09-24 | 제2025-218-373호 | (사)전국재해구호협회 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료 | - | 1200000 | https://datalaw.kr/sanctions/#d-2025-218-373
2025-09-24 | 제2025-218-372호 | 김해중부경찰서 | - | 시정권고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-218-372
2025-09-10 | 제2025-217-355호 | 다한마케팅 | 제29조(안전조치의무) | 과태료 | - | 4800000 | https://datalaw.kr/sanctions/#d-2025-217-355
2025-09-10 | 제2025-217-354호 | 타이어뱅크㈜ | 제29조(안전조치의무); 제21조(개인정보의 파기); 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 9000000 | https://datalaw.kr/sanctions/#d-2025-217-354
2025-09-10 | 제2025-217-352호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2025-217-352
2025-09-10 | 제2025-217-351호 | 숨수면의원 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료 | - | 13500000 | https://datalaw.kr/sanctions/#d-2025-217-351
2025-09-10 | 제2025-217-350호 | 신용보증재단중앙회 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-217-350
2025-09-10 | 제2025-217-349호 | 구미교육지원청 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-217-349
2025-09-10 | 제2025-217-348호 | 마포구 | 제28조(개인정보취급자에 대한 감독); 제34조 제1항(개인정보 유출 등의 통지·신고) | 시정권고,경고,공표 | - | - | https://datalaw.kr/sanctions/#d-2025-217-348
2025-09-10 | 제2025-020-252호 | ㈜몽클레르코리아 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 81017000 | 7200000 | https://datalaw.kr/sanctions/#d-2025-020-252
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 제29조(안전조치의무); 제31조(개인정보 보호책임자의 지정 등); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정명령,개선권고,공표 | 134791000000 | 9600000 | https://datalaw.kr/sanctions/#d-2025-018-243
2025-07-23 | 제2025-214-313호 | 이화의대부속서울병원 | 제23조(민감정보의 처리 제한) | 과태료,공표 1년 | - | 1200000 | https://datalaw.kr/sanctions/#d-2025-214-313
2025-07-23 | 제2025-214-312호 | ㈜키콕스파트너스 | 제24조의2 제1항(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과태료,공표 1년 | - | 6300000 | https://datalaw.kr/sanctions/#d-2025-214-312
2025-07-23 | 제2025-016-241호 | ㈜당근마켓 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-016-241
2025-07-23 | 제2025-016-240호 | ㈜우아한형제들 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-016-240
2025-07-23 | 제2025-016-239호 | 쿠팡㈜ | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-016-239
2025-07-23 | 제2025-016-238호 | 네이버㈜ | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-016-238
2025-07-23 | 제2025-016-237호 | ㈜카카오 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-016-237
2025-07-23 | 제2025-016-236호 | (재)전남테크노파크 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 98000000 | 3600000 | https://datalaw.kr/sanctions/#d-2025-016-236
2025-07-23 | 제2025-016-235호 | ㈜해성디에스 | 제24조(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과징금 | 343000000 | - | https://datalaw.kr/sanctions/#d-2025-016-235
2025-07-23 | 제2025-016-234호 | 주식회사 잡보스 | 제24조의2(주민등록번호 처리의 제한) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-016-234
2025-07-23 | 제2025-016-233호 | Qookka Entertainment Limited | 제24조의2, 같은 조 제1항(주민등록번호 처리의 제한) | 과징금,시정명령 | 93700000 | - | https://datalaw.kr/sanctions/#d-2025-016-233
2025-07-09 | 제2025-015-230호 | 비공개 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 23000000 | 2700000 | https://datalaw.kr/sanctions/#d-2025-015-230
2025-07-09 | 제2025-015-229호 | ㈜비와이엔블랙야크 | 제29조(안전조치의무) | 과징금 | 1391000000 | - | https://datalaw.kr/sanctions/#d-2025-015-229
2025-07-09 | 제2025-015-228호 | ㈜자비스앤빌런즈 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-015-228
2025-07-09 | 제2025-015-227호 | 지엔터프라이즈㈜ | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-015-227
2025-07-09 | 제2025-015-226호 | 토스인컴㈜ | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-015-226
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 제22조(동의를 받는 방법) | 과태료,시정명령,개선권고 | - | 4800000 | https://datalaw.kr/sanctions/#d-2025-015-225
2025-06-25 | 제2025-212-284호 | ㈜주스 | 제24조(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-212-284
2025-06-25 | 제2025-212-280호 | 돌마초등학교 | 제35조 제3항(개인정보의 열람) | 조사종결 | - | - | https://datalaw.kr/sanctions/#d-2025-212-280
2025-06-25 | 제2025-212-279호 | 국방부 | 제29조(안전조치의무) | 과태료,개선권고 | - | 4200000 | https://datalaw.kr/sanctions/#d-2025-212-279
2025-06-25 | 제2025-212-278호 | 서울중앙지방법원 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무); 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료,개선권고 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-212-278
2025-06-25 | 제2025-212-277호 | 경기도화성오산교육지원청 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무); 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료,개선권고 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-212-277
2025-06-25 | 제2025-014-047호 | TELUS International AI, Ltd | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 82000000 | 7200000 | https://datalaw.kr/sanctions/#d-2025-014-047
2025-06-25 | 제2025-014-046호 | (재)한국인정지원센터 | 제21조(개인정보의 파기); 제24조(고유식별정보의 처리 제한); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과징금,과태료 | 55200000 | 6000000 | https://datalaw.kr/sanctions/#d-2025-014-046
2025-06-11 | 제2025-211-254호 | ㈜기가요 | 제21조(개인정보의 파기) | 과태료 | - | 2700000 | https://datalaw.kr/sanctions/#d-2025-211-254
2025-06-11 | 제2025-211-253호 | 한국에이티씨센터㈜ | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2025-211-253
2025-06-11 | 제2025-211-252호 | ㈜조선호텔앤리조트 조선팰리스강남 | 제35조(개인정보의 열람) | 과태료 | - | 1200000 | https://datalaw.kr/sanctions/#d-2025-211-252
2025-06-11 | 제2025-211-251호 | 더블에스컴퍼니 | 제25조(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2025-211-251
2025-06-11 | 제2025-013-044호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 32423000 | 8400000 | https://datalaw.kr/sanctions/#d-2025-013-044
2025-06-11 | 제2025-013-043호 | 비공개 | - | 시정명령,공표 1년 | - | - | https://datalaw.kr/sanctions/#d-2025-013-043
2025-06-11 | 제2025-013-042호 | 머크㈜ | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 80000000 | 6000000 | https://datalaw.kr/sanctions/#d-2025-013-042
2025-06-11 | 제2025-013-041호 | 이화여자대학교 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과징금,시정명령 | 343000000 | - | https://datalaw.kr/sanctions/#d-2025-013-041
2025-06-11 | 제2025-013-040호 | 전북대학교 | 제24조 제3항(고유식별정보의 처리 제한); 제24조의2(주민등록번호 처리의 제한) | 과징금,과태료,시정명령 | 623000000 | 5400000 | https://datalaw.kr/sanctions/#d-2025-013-040
2025-06-11 | 제2025-013-039호 | 네이버클라우드 주식회사 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-013-039
2025-06-11 | 제2025-013-038호 | 한국마이크로소프트 (유) | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-013-038
2025-06-11 | 제2025-013-037호 | 아마존웹서비시즈코리아 유한책임회사 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-013-037
2025-05-14 | 제2025-209-223호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-209-223
2025-05-14 | 제2025-209-222호 | 비공개 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 7200000 | https://datalaw.kr/sanctions/#d-2025-209-222
2025-05-14 | 제2025-209-221호 | 비공개 | 제20조 제1항(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2025-209-221
2025-05-14 | 제2025-209-220호 | 노원구 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,시정권고 | - | 7500000 | https://datalaw.kr/sanctions/#d-2025-209-220
2025-05-14 | 제2025-209-219호 | (재)전라남도정보문화산업진흥원 | 제21조 제1항(개인정보의 파기); 제24조의2 제2항(주민등록번호 처리의 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 14400000 | https://datalaw.kr/sanctions/#d-2025-209-219
2025-05-14 | 제2025-011-035호 | Elementary Innovation Pte. Ltd | 제24조의2(주민등록번호 처리의 제한) | 과징금,시정명령,개선권고 | 490000000 | - | https://datalaw.kr/sanctions/#d-2025-011-035
2025-05-14 | 제2025-011-034호 | ㈜더피엔엘 | 제22조(동의를 받는 방법); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과태료 | - | 12000000 | https://datalaw.kr/sanctions/#d-2025-011-034
2025-05-14 | 제2025-011-033호 | 비공개 | 제22조(동의를 받는 방법); 제29조(안전조치의무); 제30조(개인정보 처리방침의 수립 및 공개) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-011-033
2025-05-14 | 제2025-011-032호 | 비공개 | 제29조(안전조치의무); 제30조(개인정보 처리방침의 수립 및 공개) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-011-032
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 제63조의2 제2항(사전 실태점검) | 개선권고,시정권고 | - | - | https://datalaw.kr/sanctions/#d-2025-011-028
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 제28조의8(개인정보의 국외 이전); 제26조(업무위탁에 따른 개인정보의 처리 제한); 제31조의2(국내대리인의 지정) | 과징금,과태료,시정명령,개선권고 | 879000000 | 17600000 | https://datalaw.kr/sanctions/#d-2024-013-193
2025-05-02 | 제2025-010-027호 | SK텔레콤(주) | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-010-027
2025-04-23 | 제2025-208-197호 | ㈜모우다 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 5400000 | https://datalaw.kr/sanctions/#d-2025-208-197
2025-04-23 | 제2025-208-196호 | 엘오케이(유) | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2025-208-196
2025-04-23 | 제2025-208-195호 | ㈜서울프라퍼티인사이트 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 7200000 | https://datalaw.kr/sanctions/#d-2025-208-195
2025-04-23 | 제2025-208-194호 | 바른통신 | 제21조(개인정보의 파기); 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2025-208-194
2025-04-23 | 제2025-208-193호 | ㈜포피플 | 제29조(안전조치의무); 제21조(개인정보의 파기) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2025-208-193
2025-04-23 | 제2025-208-192호 | 네츄럴비자 | 제21조 제1항(개인정보의 파기); 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2025-208-192
2025-04-23 | 제2025-208-191호 | 재단법인 우리다문화장학재단 | 제24조(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-208-191
2025-04-23 | 제2025-208-190호 | 비공개 | 제24조(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 2100000 | https://datalaw.kr/sanctions/#d-2025-208-190
2025-04-23 | 제2025-208-189호 | 언더독스 주식회사 | 제24조(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 2100000 | https://datalaw.kr/sanctions/#d-2025-208-189
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 제63조의2 제2항(사전 실태점검) | 개선권고,시정권고 | - | - | https://datalaw.kr/sanctions/#d-2025-009-026
2025-04-09 | 제2025-207-169호 | 가연결혼정보(주) | 제37조(개인정보의 처리정지 등) | 과태료,개선권고 | - | 2700000 | https://datalaw.kr/sanctions/#d-2025-207-169
2025-04-09 | 제2025-207-168호 | 해피컴퍼니 | 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) | 과태료 | - | 4200000 | https://datalaw.kr/sanctions/#d-2025-207-168
2025-04-09 | 제2025-207-167호 | 엠제이다이렉트 | 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2025-207-167
2025-04-09 | 제2025-207-166호 | 부스트HCC | 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2025-207-166
2025-04-09 | 제2025-207-165호 | 가온누리소프트웨어 | 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) | 과태료 | - | 4200000 | https://datalaw.kr/sanctions/#d-2025-207-165
2025-04-09 | 제2025-008-025호 | ㈜케이티알파 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 4915000 | 6900000 | https://datalaw.kr/sanctions/#d-2025-008-025
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 제29조(안전조치의무); 제21조(개인정보의 파기); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정명령 | 53600000 | 7200000 | https://datalaw.kr/sanctions/#d-2025-008-024
2025-03-26 | 제2025-206-130호 | 국가건축정책위원회 | - | 경고 | - | - | https://datalaw.kr/sanctions/#d-2025-206-130
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 제18조(개인정보의 목적 외 이용·제공 제한); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무); 제59조(금지행위) | 과징금,시정명령,공표 | 13451000000 | - | https://datalaw.kr/sanctions/#d-2025-007-021
2025-03-12 | 제2025-205-115호 | ㈜노랑풍선 | 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2025-205-115
2025-03-12 | 제2025-205-114호 | ㈜위너스매니지먼트 | 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례); 제22조(동의를 받는 방법) | 과태료,시정명령 | - | 1200000 | https://datalaw.kr/sanctions/#d-2025-205-114
2025-03-12 | 제2025-205-113호 | 케이알투자증권주식회사 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 개선권고,경고 | - | - | https://datalaw.kr/sanctions/#d-2025-205-113
2025-03-12 | 제2025-205-112호 | 안성시육상연맹 | 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,개선권고 | - | 2400000 | https://datalaw.kr/sanctions/#d-2025-205-112
2025-03-12 | 제2025-205-111호 | 주식회사 매니저맨코리아 | 제15조 제2항(개인정보의 수집·이용); 제21조 제1항(개인정보의 파기); 제22조 제4항(동의를 받는 방법) | 과태료,공표 1년 | - | 4800000 | https://datalaw.kr/sanctions/#d-2025-205-111
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 제29조(안전조치의무); 제21조(개인정보의 파기); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,개선권고 | 747000000 | 10200000 | https://datalaw.kr/sanctions/#d-2025-006-018
2025-02-26 | 제2025-204-079호 | 인천미추홀경찰서 | - | 경고 | - | - | https://datalaw.kr/sanctions/#d-2025-204-079
2025-02-26 | 제2025-004-015호 | 엔에이치엔위투㈜ | 제21조(개인정보의 파기); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과징금,과태료,공표 | 61100000 | 9600000 | https://datalaw.kr/sanctions/#d-2025-004-015
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,시정명령 | 137000000 | 2700000 | https://datalaw.kr/sanctions/#d-2025-004-014
2025-02-12 | 제2025-203-66호 | ㈜미리디 | 제29조(안전조치의무) | 과태료 | - | 2700000 | https://datalaw.kr/sanctions/#d-2025-203-66
2025-02-12 | 제2025-203-65호 | ㈜케이티 | 제39조의12(국외 이전 개인정보의 보호) | 과태료,공표 | - | 2400000 | https://datalaw.kr/sanctions/#d-2025-203-65
2025-02-12 | 제2025-203-64호 | ㈜케이티 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 3900000 | https://datalaw.kr/sanctions/#d-2025-203-64
2025-02-12 | 제2025-203-63호 | ㈜메이크스타 | 제34조(개인정보 유출 등의 통지·신고) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2025-203-63
2025-02-12 | 제2025-003-011호 | Apple Distribution International Limited | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-003-011
2025-02-12 | 제2025-003-010호 | Meta Platforms, Inc | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-003-010
2025-02-12 | 제2025-003-009호 | Google LLC | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-003-009
2025-02-12 | 제2025-003-008호 | 주식회사 카카오 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-003-008
2025-02-12 | 제2025-003-007호 | 네이버 주식회사 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-003-007
2025-02-12 | 제2025-003-006호 | ㈜섹타나인 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 1477000000 | 7200000 | https://datalaw.kr/sanctions/#d-2025-003-006
2025-01-22 | 제2025-002-005호 | ㈜동행복권 | 제29조(안전조치의무) | 과징금,과태료 | 503000000 | 4800000 | https://datalaw.kr/sanctions/#d-2025-002-005
2025-01-22 | 제2025-001-004호 | Alipay Singapore E-Commerce Private Limited | - | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2025-001-004
2025-01-22 | 제2025-001-003호 | Apple Distribution International Limited | 제26조(업무위탁에 따른 개인정보의 처리 제한); 제28조의8(개인정보의 국외 이전) | 과징금,과태료,시정명령,공표 | 2405000000 | 2200000 | https://datalaw.kr/sanctions/#d-2025-001-003
2025-01-22 | 제2025-001-002호 | ㈜카카오페이 | 제28조의8, 같은 조 제1항(개인정보의 국외 이전) | 과징금,시정명령,공표 | 5968000000 | - | https://datalaw.kr/sanctions/#d-2025-001-002
2025-01-22 | 제2024-011-187호 | 에스케이스토아㈜ | 제29조(안전조치의무) | 과징금,과태료 | 1432000000 | 3000000 | https://datalaw.kr/sanctions/#d-2024-011-187
2025-01-08 | 제2025-201-28호 | ㈜독립리서치밸류파인더 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2025-201-28
2025-01-08 | 제2025-201-27호 | 리스크컨설팅코리아 | 제29조(안전조치의무) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2025-201-27
2025-01-08 | 제2025-201-25호 | 서산경찰서 | 제29조(안전조치의무) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-201-25
2025-01-08 | 제2025-201-24호 | 청주흥덕경찰서 | 제29조(안전조치의무) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-201-24
2025-01-08 | 제2025-201-22호 | 인천관광공사 | 제17조 제1항(개인정보의 제공); 제21조, 같은 조 제1항(개인정보의 파기) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2025-201-22
2025-01-08 | 제2025-201-029호 | 국립중앙의료원 | 제15조 제1항 제3호(개인정보의 수집·이용); 제17조(개인정보의 제공); 제18조(개인정보의 목적 외 이용·제공 제한) | 조사종결 | - | - | https://datalaw.kr/sanctions/#d-2025-201-029
2025-01-08 | 제2025-001-001호 | 법원행정처 | 제24조 제3항(고유식별정보의 처리 제한); 제24조의2 제2항(주민등록번호 처리의 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료,개선권고,공표 1년 | 207000000 | 6000000 | https://datalaw.kr/sanctions/#d-2025-001-001
2024-12-11 | 제2024-021-260호 | 캐롯손해보험㈜ | 제21조(개인정보의 파기) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-021-260
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례); 제59조(금지행위); 제31조(개인정보 보호책임자의 지정 등); 제21조(개인정보의 파기) | 과징금,시정명령,고발유예 | 273000000 | - | https://datalaw.kr/sanctions/#d-2024-021-259
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 제15조(개인정보의 수집·이용); 제59조(금지행위); 제31조(개인정보 보호책임자의 지정 등); 제21조(개인정보의 파기) | 과징금,시정명령,고발유예 | 2715000000 | - | https://datalaw.kr/sanctions/#d-2024-021-258
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례); 제59조(금지행위); 제31조(개인정보 보호책임자의 지정 등); 제21조(개인정보의 파기) | 과징금,시정명령,고발유예 | 21700000 | - | https://datalaw.kr/sanctions/#d-2024-021-257
2024-12-11 | 제2024-021-256호 | 흥국화재해상보험㈜ | 제21조(개인정보의 파기) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-021-256
2024-12-11 | 제2024-021-255호 | 롯데손해보험(주) | 제21조(개인정보의 파기) | 과태료,시정명령,개선권고 | - | 5400000 | https://datalaw.kr/sanctions/#d-2024-021-255
2024-12-11 | 제2024-021-254호 | 한화손해보험㈜ | 제21조(개인정보의 파기) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-021-254
2024-12-11 | 제2024-021-253호 | 메리츠화재해상보험(주) | 제21조(개인정보의 파기) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-021-253
2024-12-11 | 제2024-021-252호 | ㈜KB손해보험 | 제21조(개인정보의 파기) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-021-252
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례); 제59조(금지행위); 제31조(개인정보 보호책임자의 지정 등); 제21조(개인정보의 파기) | 과징금,시정명령,고발유예 | 6198000000 | - | https://datalaw.kr/sanctions/#d-2024-021-251
2024-12-11 | 제2024-021-250호 | DB손해보험㈜ | 제21조(개인정보의 파기) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-021-250
2024-12-11 | 제2024-021-249호 | ㈜삼성화재해상보험 | 제21조(개인정보의 파기) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-021-249
2024-11-27 | 제2024-223-713호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2024-223-713
2024-11-27 | 제2024-223-712호 | 비공개 | 제35조 제3항(개인정보의 열람) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-223-712
2024-11-27 | 제2024-223-711호 | 비공개 | 제23조 제2항(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2024-223-711
2024-11-27 | 제2024-223-710호 | 비공개 | 제23조 제2항(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2024-223-710
2024-11-27 | 제2024-019-248호 | 쿠팡㈜ | 제29조(안전조치의무) | 과징금 | 1310000000 | - | https://datalaw.kr/sanctions/#d-2024-019-248
2024-11-27 | 제2024-019-247호 | 테크놀로지인프라스트럭처코리아(유) | 제21조(개인정보의 파기) | 시정명령,공표 1년 | - | - | https://datalaw.kr/sanctions/#d-2024-019-247
2024-11-27 | 제2024-019-246호 | 쿠팡㈜ | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,개선권고,공표 | 278651000 | 10800000 | https://datalaw.kr/sanctions/#d-2024-019-246
2024-11-13 | 제2024-019-245호 | 비공개 | 제29조(안전조치의무) | 과징금,개선권고 | 42800000 | - | https://datalaw.kr/sanctions/#d-2024-019-245
2024-11-13 | 제2024-019-244호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무); 제24조의2 제2항(주민등록번호 처리의 제한) | 과징금,과태료,시정명령,개선권고 | 193000000 | 6600000 | https://datalaw.kr/sanctions/#d-2024-019-244
2024-11-04 | 제2024-221-668호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,시정명령 | - | 8700000 | https://datalaw.kr/sanctions/#d-2024-221-668
2024-11-04 | 제2024-221-667호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 1년 | - | 3600000 | https://datalaw.kr/sanctions/#d-2024-221-667
2024-11-04 | 제2024-221-666호 | 비공개 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고); 제37조(개인정보의 처리정지 등) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2024-221-666
2024-11-04 | 제2024-221-665호 | 비공개 | 제35조(개인정보의 열람) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-221-665
2024-11-04 | 제2024-221-661호 | 비공개 | 제29조(안전조치의무); 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료 | - | 7700000 | https://datalaw.kr/sanctions/#d-2024-221-661
2024-11-04 | 제2024-221-660호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 2700000 | https://datalaw.kr/sanctions/#d-2024-221-660
2024-11-04 | 제2024-221-659호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2024-221-659
2024-11-04 | 제2024-018-242호 | 비공개 | 제21조(개인정보의 파기); 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 9591000 | 8100000 | https://datalaw.kr/sanctions/#d-2024-018-242
2024-11-04 | 제2024-018-241호 | 비공개 | 제29조(안전조치의무) | 과징금,과태료 | 51100000 | 2700000 | https://datalaw.kr/sanctions/#d-2024-018-241
2024-10-23 | 제2024-220-644호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2024-220-644
2024-10-23 | 제2024-220-643호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,시정명령,공표 1년 | - | 4200000 | https://datalaw.kr/sanctions/#d-2024-220-643
2024-10-23 | 제2024-220-642호 | 비공개 | 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2024-220-642
2024-10-23 | 제2024-220-640호 | 사회복지법인 월드비전 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2024-220-640
2024-10-23 | 제2024-220-639호 | 주식회사 한독 | 제29조(안전조치의무) | 과태료,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2024-220-639
2024-10-23 | 제2024-220-638호 | 비공개 | 제24조의2 제1항(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-220-638
2024-10-23 | 제2024-220-637호 | 비공개 | 제24조의2 제1항(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-220-637
2024-10-23 | 제2024-017-240호 | ㈜일학 | 제29조(안전조치의무) | 과징금,과태료 | 18000000 | 3600000 | https://datalaw.kr/sanctions/#d-2024-017-240
2024-10-23 | 제2024-017-239호 | ㈜네오팜 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 105173000 | 7200000 | https://datalaw.kr/sanctions/#d-2024-017-239
2024-09-25 | 제2024-219-623호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 6600000 | https://datalaw.kr/sanctions/#d-2024-219-623
2024-09-25 | 제2024-219-622호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 1년 | - | 7200000 | https://datalaw.kr/sanctions/#d-2024-219-622
2024-09-25 | 제2024-219-621호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 1년 | - | 6300000 | https://datalaw.kr/sanctions/#d-2024-219-621
2024-09-25 | 제2024-016-235호 | 비공개 | 제28조의8(개인정보의 국외 이전) | 과징금,개선권고 | 379000000 | - | https://datalaw.kr/sanctions/#d-2024-016-235
2024-09-25 | 제2024-016-234호 | 비공개 | 제23조(민감정보의 처리 제한); 제28조의8(개인정보의 국외 이전); 제38조(권리행사의 방법 및 절차) | 과징금,시정명령,개선권고 | 725000000 | - | https://datalaw.kr/sanctions/#d-2024-016-234
2024-09-25 | 제2024-016-233호 | 비공개 | 제18조(개인정보의 목적 외 이용·제공 제한); 제29조(안전조치의무) | 과징금,개선권고,고발 | 224000000 | - | https://datalaw.kr/sanctions/#d-2024-016-233
2024-09-25 | 제2024-016-232호 | 한국사회복지협의회 | 제29조(안전조치의무); 제24조의2 제3항(주민등록번호 처리의 제한) | 과징금,과태료,개선권고 | 483000000 | 5400000 | https://datalaw.kr/sanctions/#d-2024-016-232
2024-09-11 | 제2024-015-229호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-229
2024-09-11 | 제2024-015-228호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-228
2024-09-11 | 제2024-015-227호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-227
2024-09-11 | 제2024-015-226호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-226
2024-09-11 | 제2024-015-225호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-225
2024-09-11 | 제2024-015-224호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-224
2024-09-11 | 제2024-015-223호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-223
2024-09-11 | 제2024-015-222호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-222
2024-09-11 | 제2024-015-221호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-221
2024-09-11 | 제2024-015-220호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-220
2024-09-11 | 제2024-015-219호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-219
2024-09-11 | 제2024-015-218호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-218
2024-09-11 | 제2024-015-217호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-217
2024-09-11 | 제2024-015-216호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-216
2024-09-11 | 제2024-015-215호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-215
2024-09-11 | 제2024-015-214호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-214
2024-09-11 | 제2024-015-213호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-213
2024-09-11 | 제2024-015-212호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-212
2024-09-11 | 제2024-015-211호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-211
2024-09-11 | 제2024-015-210호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-210
2024-09-11 | 제2024-015-209호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-209
2024-09-11 | 제2024-015-208호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-208
2024-09-11 | 제2024-015-207호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-207
2024-09-11 | 제2024-015-206호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-206
2024-09-11 | 제2024-015-205호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-205
2024-09-11 | 제2024-015-204호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-204
2024-09-11 | 제2024-015-203호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-203
2024-09-11 | 제2024-015-202호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-202
2024-09-11 | 제2024-015-201호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-201
2024-09-11 | 제2024-015-200호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-200
2024-09-11 | 제2024-015-199호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-015-199
2024-08-28 | 제2024-217-572호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 1년 | - | 7800000 | https://datalaw.kr/sanctions/#d-2024-217-572
2024-08-28 | 제2024-217-571호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 1년 | - | 5400000 | https://datalaw.kr/sanctions/#d-2024-217-571
2024-08-28 | 제2024-217-570호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 1년 | - | 7200000 | https://datalaw.kr/sanctions/#d-2024-217-570
2024-08-28 | 제2024-217-565호 | 비공개 | 제31조의2(국내대리인의 지정); 제63조(자료제출 요구 및 검사) | 과태료 | - | 19000000 | https://datalaw.kr/sanctions/#d-2024-217-565
2024-08-28 | 제2024-217-564호 | 비공개 | 제63조(자료제출 요구 및 검사) | 과태료,개선권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-217-564
2024-08-28 | 제2024-217-563호 | 비공개 | 제35조(개인정보의 열람); 제25조(고정형 영상정보처리기기의 설치·운영 제한) | 과태료,경고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-217-563
2024-08-28 | 제2024-014-198호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 3298000 | 7200000 | https://datalaw.kr/sanctions/#d-2024-014-198
2024-08-28 | 제2024-014-197호 | 비공개 | - | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2024-014-197
2024-08-28 | 제2024-014-196호 | 비공개 | 제29조(안전조치의무); 제35조(개인정보의 열람) | 과징금,과태료,시정명령 | - | 3600000 | https://datalaw.kr/sanctions/#d-2024-014-196
2024-08-28 | 제2024-014-195호 | 비공개 | 제29조(안전조치의무) | 과징금,과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-014-195
2024-07-24 | 제2024-215-541호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-215-541
2024-07-24 | 제2024-215-540호 | 비공개 | 제27조(영업양도 등에 따른 개인정보의 이전 제한) | 과태료,시정명령,개선권고,공표 | - | 4800000 | https://datalaw.kr/sanctions/#d-2024-215-540
2024-07-24 | 제2024-215-539호 | 비공개 | 제27조(영업양도 등에 따른 개인정보의 이전 제한) | 과태료,시정명령,개선권고,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2024-215-539
2024-07-24 | 제2024-215-538호 | 비공개 | 제27조(영업양도 등에 따른 개인정보의 이전 제한) | 과태료,개선권고,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2024-215-538
2024-07-24 | 제2024-215-537호 | 비공개 | 제27조(영업양도 등에 따른 개인정보의 이전 제한) | 과태료,개선권고,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2024-215-537
2024-07-24 | 제2024-215-535호 | 비공개 | - | 과태료,공표 1년 | - | 3600000 | https://datalaw.kr/sanctions/#d-2024-215-535
2024-07-24 | 제2024-013-192호 | 비공개 | 제28조의8(개인정보의 국외 이전); 제31조의2(국내대리인의 지정); 제38조(권리행사의 방법 및 절차) | 과징금,과태료,시정명령,개선권고 | 1978000000 | 7800000 | https://datalaw.kr/sanctions/#d-2024-013-192
2024-07-10 | 제2024-214-498호 | 비공개 | 제21조 제1항(개인정보의 파기); 제18조 제1항(개인정보의 목적 외 이용·제공 제한) | 과태료,경고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-214-498
2024-07-10 | 제2024-214-496호 | 비공개 | 제28조(개인정보취급자에 대한 감독) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2024-214-496
2024-07-10 | 제2024-214-495호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/#d-2024-214-495
2024-07-10 | 제2024-214-494호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2024-214-494
2024-06-26 | 제2024-213-479호 | 비공개 | - | 심의중지 | - | - | https://datalaw.kr/sanctions/#d-2024-213-479
2024-06-26 | 제2024-011-188호 | 비공개 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료,공표 1년 | 67788000 | 11400000 | https://datalaw.kr/sanctions/#d-2024-011-188
2024-06-12 | 제2024-212-432호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과태료,경고 | - | 6000000 | https://datalaw.kr/sanctions/#d-2024-212-432
2024-06-12 | 제2024-212-431호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-212-431
2024-06-12 | 제2024-212-430호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-212-430
2024-06-12 | 제2024-212-429호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-212-429
2024-06-12 | 제2024-212-423호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 2100000 | https://datalaw.kr/sanctions/#d-2024-212-423
2024-06-12 | 제2024-212-422호 | 주식회사 비플스 | 제21조(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2024-212-422
2024-06-12 | 제2024-010-185호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-010-185
2024-06-12 | 제2024-010-184호 | 비공개 | 제63조의2 제2항(사전 실태점검) | 개선권고,시정권고,경고 | - | - | https://datalaw.kr/sanctions/#d-2024-010-184
2024-06-12 | 제2023-019-238호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-019-238
2024-05-22 | 제2024-009-183호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,시정명령,공표 1년 | 15141960000 | 7800000 | https://datalaw.kr/sanctions/#d-2024-009-183
2024-05-08 | 제2024-008-182호 | (주)골프존 | 제21조(개인정보의 파기); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과징금,과태료,시정명령 | 7504000000 | 5400000 | https://datalaw.kr/sanctions/#d-2024-008-182
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | 12000000 | https://datalaw.kr/sanctions/#d-2024-007-181
2024-04-24 | 제2024-007-180호 | 비공개 | - | 과징금,과태료 | 15242000 | 7800000 | https://datalaw.kr/sanctions/#d-2024-007-180
2024-04-24 | 제2024-007-179호 | 비공개 | - | 과징금,과태료,공표 | - | 4500000 | https://datalaw.kr/sanctions/#d-2024-007-179
2024-04-24 | 제2024-007-178호 | 비공개 | - | 과징금,과태료 | 82996000 | 8400000 | https://datalaw.kr/sanctions/#d-2024-007-178
2024-04-24 | 제2024-007-177호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례); 제21조(개인정보의 파기) | 과징금,과태료,공표 | 64193000 | 10800000 | https://datalaw.kr/sanctions/#d-2024-007-177
2024-04-24 | 제2024-007-176호 | 비공개 | 제28조의4 제1항(가명정보에 대한 안전조치의무 등) | 과태료,개선권고 | - | 5400000 | https://datalaw.kr/sanctions/#d-2024-007-176
2024-04-24 | 제2023-013-183호 | 비공개 | 제28조의4 제2항(가명정보에 대한 안전조치의무 등) | 과태료,시정명령,개선권고 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-013-183
2024-03-27 | 제2024-006-174호 | 비공개 | 제3조(개인정보 보호 원칙) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-006-174
2024-03-27 | 제2024-006-173호 | 비공개 | 제3조(개인정보 보호 원칙) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-006-173
2024-03-27 | 제2024-006-172호 | 비공개 | 제3조(개인정보 보호 원칙) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-006-172
2024-03-27 | 제2024-006-171호 | 비공개 | 제3조(개인정보 보호 원칙) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-006-171
2024-03-27 | 제2024-006-170호 | 비공개 | 제3조(개인정보 보호 원칙) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-006-170
2024-03-27 | 제2024-006-169호 | 비공개 | 제3조(개인정보 보호 원칙) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-006-169
2024-03-27 | 제2024-006-164호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 10200000 | https://datalaw.kr/sanctions/#d-2024-006-164
2024-03-27 | 제2024-006-163호 | 비공개 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 613000000 | 3300000 | https://datalaw.kr/sanctions/#d-2024-006-163
2024-02-14 | 제2024-003-041호 | 비공개 | 제15조 제1항 제7호(개인정보의 수집·이용) | 주의촉구 | - | - | https://datalaw.kr/sanctions/#d-2024-003-041
2024-02-14 | 제2024-003-040호 | 비공개 | 제15조 제1항 제7호(개인정보의 수집·이용) | 주의촉구 | - | - | https://datalaw.kr/sanctions/#d-2024-003-040
2024-02-14 | 제2024-003-039호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-003-039
2024-02-14 | 제2024-003-038호 | 비공개 | 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2024-003-038
2024-02-14 | 제2024-003-037호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2024-003-037
2024-02-14 | 제2024-003-036호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2024-003-036
2024-02-14 | 제2024-003-035호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2024-003-035
2024-02-14 | 제2024-003-034호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2024-003-034
2024-02-14 | 제2024-003-033호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2024-003-033
2024-02-14 | 제2024-003-032호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2024-003-032
2024-02-14 | 제2024-003-030호 | TAG HEUER branch of LVMH Swiss Manufactures SA | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 1년 | 126000000 | 7800000 | https://datalaw.kr/sanctions/#d-2024-003-030
2024-01-24 | 제2024-002-012호 | 비공개 | 제25조(고정형 영상정보처리기기의 설치·운영 제한) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2024-002-012
2024-01-24 | 제2024-002-011호 | 비공개 | 제25조(고정형 영상정보처리기기의 설치·운영 제한) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2024-002-011
2024-01-24 | 제2024-002-010호 | 비공개 | 제25조(고정형 영상정보처리기기의 설치·운영 제한) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2024-002-010
2024-01-24 | 제2024-002-009호 | 한국장학재단 | 제29조(안전조치의무); 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료,개선권고,공표 | - | 8400000 | https://datalaw.kr/sanctions/#d-2024-002-009
2024-01-24 | 제2024-002-008호 | 한국고용정보원 | 제29조(안전조치의무); 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료,개선권고,공표 | - | 8400000 | https://datalaw.kr/sanctions/#d-2024-002-008
2024-01-10 | 제2024-001-006호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-001-006
2024-01-10 | 제2024-001-005호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-001-005
2024-01-10 | 제2024-001-004호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-001-004
2024-01-10 | 제2024-001-003호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-001-003
2024-01-10 | 제2024-001-002호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-001-002
2024-01-10 | 제2024-001-001호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2024-001-001
2023-12-13 | 제2023-020-244호 | ㈜스피드옥션 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | 7800000 | https://datalaw.kr/sanctions/#d-2023-020-244
2023-12-13 | 제2023-020-243호 | ㈜코다스디자인 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2023-020-243
2023-11-22 | 제2023-019-241호 | 비공개 | 제16조(개인정보의 수집 제한) | 과태료,개선권고,공표 1년 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-019-241
2023-11-08 | 제2023-018-236호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과태료,개선권고,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-018-236
2023-11-08 | 제2023-018-235호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과징금,개선권고,공표 | 12500000 | - | https://datalaw.kr/sanctions/#d-2023-018-235
2023-11-08 | 제2023-018-234호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무) | 과징금,개선권고,공표 | 16250000 | - | https://datalaw.kr/sanctions/#d-2023-018-234
2023-10-25 | 제2023-017-232호 | 주식회사 와이엘랜드 | 제29조(안전조치의무); 제21조(개인정보의 파기); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,시정명령,공표 1년 | 150987000 | 10200000 | https://datalaw.kr/sanctions/#d-2023-017-232
2023-10-25 | 제2023-017-231호 | ㈜오브콜스 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | 33713000 | 6300000 | https://datalaw.kr/sanctions/#d-2023-017-231
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 제29조(안전조치의무); 제21조(개인정보의 파기); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,시정명령,공표 1년 | 12509000 | 10800000 | https://datalaw.kr/sanctions/#d-2023-017-230
2023-10-25 | 제2023-017-216호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | 906000000 | 16200000 | https://datalaw.kr/sanctions/#d-2023-017-216
2023-10-11 | 제2023-016-212호 | 주식회사 국민은행 | 제22조(동의를 받는 방법) | 과태료,개선권고,공표 1년 | - | 1200000 | https://datalaw.kr/sanctions/#d-2023-016-212
2023-10-11 | 제2023-016-211호 | 신일전자㈜ | 제29조(안전조치의무); 제21조(개인정보의 파기); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | 224000000 | 10800000 | https://datalaw.kr/sanctions/#d-2023-016-211
2023-10-11 | 제2023-016-210호 | 슈나이더일렉트릭코리아 주식회사 | 제29조(안전조치의무) | 과징금,과태료,공표 1년 | 7996000 | 4200000 | https://datalaw.kr/sanctions/#d-2023-016-210
2023-10-11 | 제2023-016-209호 | 비공개 | 제31조의2(국내대리인의 지정) | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-016-209
2023-10-11 | 제2023-016-208호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-016-208
2023-10-11 | 제2023-016-207호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제34조 제3항(개인정보 유출 등의 통지·신고) | 과징금,과태료,공표 | 37500000 | 3000000 | https://datalaw.kr/sanctions/#d-2023-016-207
2023-10-11 | 제2023-016-206호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4200000 | https://datalaw.kr/sanctions/#d-2023-016-206
2023-10-11 | 제2023-016-205호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-016-205
2023-10-11 | 제2023-016-204호 | 경북대학교 총동창회 | 제29조(안전조치의무) | 과태료,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2023-016-204
2023-10-11 | 제2023-016-203호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료,공표 | 57500000 | 7200000 | https://datalaw.kr/sanctions/#d-2023-016-203
2023-07-26 | 제2023-013-182호 | 비공개 | 제23조 제2항(민감정보의 처리 제한); 제24조 제3항(고유식별정보의 처리 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-013-182
2023-07-26 | 제2023-013-181호 | 비공개 | 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-013-181
2023-07-26 | 제2023-013-180호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-013-180
2023-07-26 | 제2023-013-179호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 12500000 | - | https://datalaw.kr/sanctions/#d-2023-013-179
2023-07-26 | 제2023-013-178호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 12500000 | - | https://datalaw.kr/sanctions/#d-2023-013-178
2023-07-26 | 제2023-013-177호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 12500000 | - | https://datalaw.kr/sanctions/#d-2023-013-177
2023-07-26 | 제2023-013-176호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 12500000 | - | https://datalaw.kr/sanctions/#d-2023-013-176
2023-07-26 | 제2023-013-175호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 16250000 | - | https://datalaw.kr/sanctions/#d-2023-013-175
2023-07-26 | 제2023-013-174호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 16250000 | 6000000 | https://datalaw.kr/sanctions/#d-2023-013-174
2023-07-26 | 제2023-013-173호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 16250000 | - | https://datalaw.kr/sanctions/#d-2023-013-173
2023-07-26 | 제2023-013-172호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 16250000 | - | https://datalaw.kr/sanctions/#d-2023-013-172
2023-07-26 | 제2023-013-171호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 16250000 | - | https://datalaw.kr/sanctions/#d-2023-013-171
2023-07-26 | 제2023-013-170호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 20000000 | 6000000 | https://datalaw.kr/sanctions/#d-2023-013-170
2023-07-26 | 제2023-013-169호 | 비공개 | 제29조(안전조치의무); 제21조 제1항(개인정보의 파기) | 과태료,개선권고 | - | 21600000 | https://datalaw.kr/sanctions/#d-2023-013-169
2023-07-26 | 제2023-013-164호 | 학교법인 건국대학교 | 제23조(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료,개선권고,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2023-013-164
2023-07-26 | 제2023-013-163호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-013-163
2023-07-26 | 제2023-013-162호 | 학교법인 동은학원 | 제23조(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료,개선권고,공표 | - | 4200000 | https://datalaw.kr/sanctions/#d-2023-013-162
2023-07-26 | 제2023-013-161호 | 학교법인 일송학원 | 제23조(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료,개선권고,공표 | - | 16800000 | https://datalaw.kr/sanctions/#d-2023-013-161
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 제23조(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료,개선권고,공표 | - | 10800000 | https://datalaw.kr/sanctions/#d-2023-013-160
2023-07-26 | 제2023-013-159호 | 학교법인 연세대학교 | 제23조(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료,개선권고,공표 | - | 7200000 | https://datalaw.kr/sanctions/#d-2023-013-159
2023-07-26 | 제2023-013-158호 | 학교법인 가톨릭학원 | 제23조(민감정보의 처리 제한); 제29조(안전조치의무) | 과태료,개선권고,공표 | - | 21600000 | https://datalaw.kr/sanctions/#d-2023-013-158
2023-07-26 | 제2023-013-157호 | 비공개 | 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,개선권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-013-157
2023-07-26 | 제2023-013-156호 | 비공개 | 제59조(금지행위) | 고발유예 | - | - | https://datalaw.kr/sanctions/#d-2023-013-156
2023-07-26 | 제2023-013-155호 | 비공개 | 정보통신망법 제22조 제1항(개인정보의 수집·이용 동의 등) | 과징금 | - | - | https://datalaw.kr/sanctions/#d-2023-013-155
2023-07-26 | 제2023-013-154호 | 비공개 | 정보통신망법 제22조 제1항(개인정보의 수집·이용 동의 등) | 과징금 | - | - | https://datalaw.kr/sanctions/#d-2023-013-154
2023-07-12 | 제2023-215-273~277호 | 비공개 | - | 조사종결 | - | - | https://datalaw.kr/sanctions/#d-2023-215-273277
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 제21조(개인정보의 파기); 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,시정명령,공표 | 6800452000 | 27000000 | https://datalaw.kr/sanctions/#d-2023-012-153
2023-07-12 | 제2023-012-151호 | 비공개 | 제29조(안전조치의무) | 과징금,과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-012-151
2023-07-12 | 제2023-012-136호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-136
2023-07-12 | 제2023-012-135호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-135
2023-07-12 | 제2023-012-134호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-134
2023-07-12 | 제2023-012-133호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-133
2023-07-12 | 제2023-012-132호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-132
2023-07-12 | 제2023-012-131호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-131
2023-07-12 | 제2023-012-130호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-130
2023-07-12 | 제2023-012-129호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-129
2023-07-12 | 제2023-012-128호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-128
2023-07-12 | 제2023-012-127호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-127
2023-07-12 | 제2023-012-126호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-126
2023-07-12 | 제2023-012-125호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-125
2023-07-12 | 제2023-012-124호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-124
2023-07-12 | 제2023-012-123호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-123
2023-07-12 | 제2023-012-122호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-122
2023-07-12 | 제2023-012-121호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-121
2023-07-12 | 제2023-012-120호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-120
2023-07-12 | 제2023-012-119호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-119
2023-07-12 | 제2023-012-118호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,시정명령 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-012-118
2023-07-12 | 제2023-012-117호 | ㈜비에스씨 | 제21조(개인정보의 파기); 제29조(안전조치의무) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-012-117
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 제17조(개인정보의 제공); 제23조(민감정보의 처리 제한); 제24조의2(주민등록번호 처리의 제한); 제30조(개인정보 처리방침의 수립 및 공개); 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례); 제39조의6(개인정보의 파기에 대한 특례) | 과징금,과태료,시정명령,개선권고,공표 | 854106000 | 12000000 | https://datalaw.kr/sanctions/#d-2023-011-116
2023-06-28 | 제2023-011-114호 | 비공개 | 정보통신망법 제28조(개인정보의 보호조치); 제29조(안전조치의무) | 과징금,과태료,시정명령 | - | 14000000 | https://datalaw.kr/sanctions/#d-2023-011-114
2023-06-28 | 제2023-006-057호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 7200000 | https://datalaw.kr/sanctions/#d-2023-006-057
2023-06-28 | 제2023-006-056호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | 1131786000 | 10200000 | https://datalaw.kr/sanctions/#d-2023-006-056
2023-06-27 | 제2023-213-256호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-213-256
2023-06-27 | 제2023-213-255호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 7800000 | https://datalaw.kr/sanctions/#d-2023-213-255
2023-06-27 | 제2023-213-254호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-213-254
2023-06-27 | 제2023-213-253호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-213-253
2023-06-27 | 제2023-213-252호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-213-252
2023-06-27 | 제2023-213-251호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-213-251
2023-06-27 | 제2023-213-250호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-213-250
2023-06-27 | 제2023-213-249호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-213-249
2023-06-27 | 제2023-213-248호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-213-248
2023-06-14 | 제2023-212-221호 | 비공개 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-212-221
2023-06-14 | 제2023-212-220호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-212-220
2023-06-14 | 제2023-212-219호 | 비공개 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-212-219
2023-06-14 | 제2023-212-218호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2023-212-218
2023-06-14 | 제2023-212-217호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 10800000 | https://datalaw.kr/sanctions/#d-2023-212-217
2023-06-14 | 제2023-212-216호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-212-216
2023-06-14 | 제2023-212-215호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-212-215
2023-06-14 | 제2023-212-214호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,개선권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-212-214
2023-06-14 | 제2023-212-213호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 4200000 | https://datalaw.kr/sanctions/#d-2023-212-213
2023-06-14 | 제2023-212-212호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-212-212
2023-06-14 | 제2023-212-211호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-212-211
2023-06-14 | 제2023-212-210호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-212-210
2023-06-14 | 제2023-010-109호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 10800000 | https://datalaw.kr/sanctions/#d-2023-010-109
2023-06-14 | 제2023-010-108호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례); 제39조의6(개인정보의 파기에 대한 특례) | 과징금,과태료,시정명령,공표 | - | 10800000 | https://datalaw.kr/sanctions/#d-2023-010-108
2023-06-14 | 제2023-010-107호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-010-107
2023-06-14 | 제2023-010-106호 | 비공개 | 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료 | - | 2000000 | https://datalaw.kr/sanctions/#d-2023-010-106
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,시정명령,개선권고,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2022-016-127
2023-05-26 | 제2023-210-174호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-210-174
2023-05-10 | 제2023-008-092호 | 비공개 | 제22조(동의를 받는 방법); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과태료,시정명령,개선권고 | - | 9000000 | https://datalaw.kr/sanctions/#d-2023-008-092
2023-05-10 | 제2023-008-091호 | 비공개 | 제22조(동의를 받는 방법); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과태료,시정명령,개선권고 | - | 9000000 | https://datalaw.kr/sanctions/#d-2023-008-091
2023-05-10 | 제2023-008-090호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령,개선권고 | - | 4200000 | https://datalaw.kr/sanctions/#d-2023-008-090
2023-05-10 | 제2023-008-089호 | 비공개 | 제22조(동의를 받는 방법); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과태료,시정명령,개선권고 | - | 9000000 | https://datalaw.kr/sanctions/#d-2023-008-089
2023-05-10 | 제2023-008-088호 | 비공개 | 제22조(동의를 받는 방법); 제29조(안전조치의무) | 과태료,시정명령 | - | 5400000 | https://datalaw.kr/sanctions/#d-2023-008-088
2023-05-10 | 제2023-008-087호 | 비공개 | 제21조 제1항(개인정보의 파기) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-008-087
2023-05-10 | 제2023-008-086호 | 비공개 | 제15조 제1항(개인정보의 수집·이용) | 과태료,시정명령 | - | 5000000 | https://datalaw.kr/sanctions/#d-2023-008-086
2023-05-10 | 제2023-008-085호 | 비공개 | 제15조 제1항(개인정보의 수집·이용); 제21조 제1항(개인정보의 파기); 제26조 제2항(업무위탁에 따른 개인정보의 처리 제한) | 과태료,공표 | - | 12000000 | https://datalaw.kr/sanctions/#d-2023-008-085
2023-05-10 | 제2023-008-084호 | 비공개 | 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-008-084
2023-05-10 | 제2023-008-083호 | 비공개 | 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-008-083
2023-05-10 | 제2023-008-082호 | 비공개 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-008-082
2023-05-10 | 제2023-008-081호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-008-081
2023-05-10 | 제2023-008-080호 | 비공개 | 제23조 제2항(민감정보의 처리 제한); 제24조 제3항(고유식별정보의 처리 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-008-080
2023-05-10 | 제2023-008-079호 | 비공개 | 제23조 제2항(민감정보의 처리 제한); 제29조(안전조치의무); 제34조 제1항·제3항(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 9000000 | https://datalaw.kr/sanctions/#d-2023-008-079
2023-05-10 | 제2023-008-078호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-008-078
2023-05-10 | 제2023-008-077호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-008-077
2023-05-10 | 제2023-008-076호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-008-076
2023-05-10 | 제2023-008-075호 | 비공개 | 제29조(안전조치의무) | 과태료,개선권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-008-075
2023-05-10 | 제2023-008-074호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한) | 과징금 | 25000000 | - | https://datalaw.kr/sanctions/#d-2023-008-074
2023-05-10 | 제2023-008-072호 | 비공개 | 제24조 제3항(고유식별정보의 처리 제한); 제24조의2 제2항(주민등록번호 처리의 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과징금,과태료,공표 | 74750000 | 6600000 | https://datalaw.kr/sanctions/#d-2023-008-072
2023-04-26 | 제2023-007-071호 | 비공개 | 제21조(개인정보의 파기) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-007-071
2023-04-26 | 제2023-007-070호 | 비공개 | 제22조(동의를 받는 방법) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-007-070
2023-04-26 | 제2023-007-069호 | 비공개 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2023-007-069
2023-04-26 | 제2023-007-068호 | 비공개 | 제24조(고유식별정보의 처리 제한); 제34조의2(노출된 개인정보의 삭제·차단) | 과징금 | 48750000 | - | https://datalaw.kr/sanctions/#d-2023-007-068
2023-04-12 | 제2023-006-067호 | 비공개 | - | 심의중지 | - | - | https://datalaw.kr/sanctions/#d-2023-006-067
2023-04-12 | 제2023-006-066호 | 비공개 | 제22조(동의를 받는 방법); 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-006-066
2023-04-12 | 제2023-006-065호 | 비공개 | 제22조(동의를 받는 방법); 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례) | 과징금,과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-006-065
2023-04-12 | 제2023-006-064호 | 비공개 | 제22조(동의를 받는 방법); 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례) | 과징금,과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-006-064
2023-04-12 | 제2023-006-063호 | 비공개 | 제22조(동의를 받는 방법); 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례) | 과징금,과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-006-063
2023-04-12 | 제2023-006-062호 | 비공개 | 제22조(동의를 받는 방법); 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례) | 과징금,과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-006-062
2023-04-12 | 제2023-006-061호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-006-061
2023-04-12 | 제2023-006-060호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-006-060
2023-04-12 | 제2023-006-059호 | 비공개 | 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과징금,과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-006-059
2023-04-12 | 제2023-006-058호 | 비공개 | 제29조(안전조치의무) | 과징금,과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-006-058
2023-04-12 | 제2023-006-055호 | 비공개 | 제26조 제2항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 과태료 | - | 4600000 | https://datalaw.kr/sanctions/#d-2023-006-055
2023-04-12 | 제2023-006-054호 | 비공개 | 제15조 제2항(개인정보의 수집·이용); 제23조 제1항(민감정보의 처리 제한) | 시정명령,시정권고 | - | - | https://datalaw.kr/sanctions/#d-2023-006-054
2023-04-12 | 제2023-006-053호 | 비공개 | 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-006-053
2023-04-12 | 제2023-006-052호 | 비공개 | 제32조 제1항(개인정보파일의 등록 및 공개); 제21조 제1항(개인정보의 파기) | 과태료,시정명령 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-006-052
2023-04-12 | 제2023-006-051호 | 비공개 | - | 시정명령,개선권고 | - | - | https://datalaw.kr/sanctions/#d-2023-006-051
2023-04-12 | 제2023-006-050호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-006-050
2023-04-12 | 제2023-006-049호 | 비공개 | 제29조(안전조치의무); 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료 | - | 6000000 | https://datalaw.kr/sanctions/#d-2023-006-049
2023-04-12 | 제2023-006-048호 | 비공개 | 제21조 제1항(개인정보의 파기); 제26조 제4항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2023-006-048
2023-03-22 | 제2023-005-047호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-005-047
2023-03-22 | 제2023-005-046호 | 비공개 | 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례) | 과징금 | - | - | https://datalaw.kr/sanctions/#d-2023-005-046
2023-03-22 | 제2023-005-045호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료 | - | - | https://datalaw.kr/sanctions/#d-2023-005-045
2023-03-22 | 제2023-005-044호 | 비공개 | 제29조(안전조치의무) | 과징금,과태료 | - | - | https://datalaw.kr/sanctions/#d-2023-005-044
2023-03-22 | 제2023-005-043호 | 비공개 | 제29조(안전조치의무) | 과징금,과태료 | 98000000 | 3600000 | https://datalaw.kr/sanctions/#d-2023-005-043
2023-03-22 | 제2023-005-042호 | 비공개 | 제21조(개인정보의 파기); 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | 10200000 | https://datalaw.kr/sanctions/#d-2023-005-042
2023-03-22 | 제2023-005-041호 | 비공개 | 제18조(개인정보의 목적 외 이용·제공 제한) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2023-005-041
2023-03-22 | 제2023-005-040호 | 비공개 | 제15조(개인정보의 수집·이용) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-005-040
2023-03-22 | 제2023-005-039호 | 리앤리성형외과 | 제25조(고정형 영상정보처리기기의 설치·운영 제한) | 과태료,시정명령,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2023-005-039
2023-03-22 | 제2023-005-038호 | 마노성형외과의원 | 제25조(고정형 영상정보처리기기의 설치·운영 제한) | 과태료,시정명령,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2023-005-038
2023-03-08 | 제2023-004-037호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-004-037
2023-03-08 | 제2023-004-036호 | 비공개 | 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-004-036
2023-03-08 | 제2023-004-035호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,시정명령,공표 | - | 9600000 | https://datalaw.kr/sanctions/#d-2023-004-035
2023-03-08 | 제2023-004-034호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,공표 | - | 7200000 | https://datalaw.kr/sanctions/#d-2023-004-034
2023-03-08 | 제2023-004-033호 | 비공개 | 제35조(개인정보의 열람) | 과태료,시정명령 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-033
2023-03-08 | 제2023-004-032호 | ㈜지마켓 | 제35조(개인정보의 열람) | 과태료,공표 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-032
2023-03-08 | 제2023-004-031호 | 비공개 | 제35조(개인정보의 열람) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-031
2023-03-08 | 제2023-004-030호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-004-030
2023-03-08 | 제2023-004-029호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-029
2023-03-08 | 제2023-004-028호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-004-028
2023-03-08 | 제2023-004-027호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-027
2023-03-08 | 제2023-004-026호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-004-026
2023-03-08 | 제2023-004-025호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-004-025
2023-03-08 | 제2023-004-024호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-024
2023-03-08 | 제2023-004-023호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-023
2023-03-08 | 제2023-004-022호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-022
2023-03-08 | 제2023-004-021호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-021
2023-03-08 | 제2023-004-020호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2023-004-020
2023-03-08 | 제2023-004-019호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-004-019
2023-02-22 | 제2023-003-015호 | 비공개 | 제21조 제1항(개인정보의 파기) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2023-003-015
2023-02-22 | 제2023-003-014호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-003-014
2023-02-22 | 제2023-003-013호 | 비공개 | 제21조 제1항(개인정보의 파기) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2023-003-013
2023-02-22 | 제2023-003-012호 | 비공개 | 제21조 제3항(개인정보의 파기) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2023-003-012
2023-02-22 | 제2023-003-011호 | 비공개 | 제21조 제3항(개인정보의 파기) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2023-003-011
2023-02-22 | 제2023-003-010호 | 비공개 | 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2023-003-010
2023-02-22 | 제2023-003-009호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무); 제39조의6 제1항(개인정보의 파기에 대한 특례) | 과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2023-003-009
2023-02-08 | 제2023-002-007호 | (재)한국어린이안전재단 | 제29조(안전조치의무); 제34조(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 9000000 | https://datalaw.kr/sanctions/#d-2023-002-007
2023-02-08 | 제2023-002-006호 | 비공개 | 제24조(고유식별정보의 처리 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-002-006
2023-02-08 | 제2023-002-005호 | 비공개 | 제21조(개인정보의 파기) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2023-002-005
2023-02-08 | 제2023-002-004호 | 비공개 | 제21조(개인정보의 파기) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-002-004
2023-02-08 | 제2023-002-003호 | Meta Platforms, Inc | 제39조의3 제3항(개인정보의 수집·이용 동의 등에 대한 특례) | 과태료,시정명령,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2023-002-003
2023-01-11 | 제2023-001-002호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2023-001-002
2023-01-11 | 제2023-001-001호 | 비공개 | 정보통신망법 제28조(개인정보의 보호조치); 정보통신망법 제27조의3(개인정보 유출등의 통지·신고) | 과태료,공표 | - | 10000000 | https://datalaw.kr/sanctions/#d-2023-001-001
2022-11-30 | 제2022-019-176호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령 | - | 6000000 | https://datalaw.kr/sanctions/#d-2022-019-176
2022-11-30 | 제2022-019-175호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령 | - | 6000000 | https://datalaw.kr/sanctions/#d-2022-019-175
2022-11-30 | 제2022-019-174호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령 | - | 9000000 | https://datalaw.kr/sanctions/#d-2022-019-174
2022-11-30 | 제2022-019-173호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료 | - | 8000000 | https://datalaw.kr/sanctions/#d-2022-019-173
2022-11-30 | 제2022-019-172호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-019-172
2022-11-30 | 제2022-019-171호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-019-171
2022-11-30 | 제2022-019-170호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-019-170
2022-11-30 | 제2022-019-169호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-019-169
2022-11-30 | 제2022-019-168호 | 비공개 | 제21조 제1항(개인정보의 파기) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-019-168
2022-11-30 | 제2022-019-167호 | 비공개 | 정보통신망법 제67조 제2항; 정보통신망법 제22조 제1항(개인정보의 수집·이용 동의 등) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-019-167
2022-11-30 | 제2022-019-166호 | 비공개 | 제29조(안전조치의무) | 과태료,공표 | - | 12000000 | https://datalaw.kr/sanctions/#d-2022-019-166
2022-11-30 | 제2022-019-165호 | 비공개 | 제22조(동의를 받는 방법) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-019-165
2022-11-30 | 제2022-019-164호 | 비공개 | 제21조 제1항(개인정보의 파기); 제39조의6 제1항(개인정보의 파기에 대한 특례) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-019-164
2022-11-30 | 제2022-019-163호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-019-163
2022-11-30 | 제2022-019-162호 | 비공개 | 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-019-162
2022-11-30 | 제2022-019-161호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2022-019-161
2022-11-30 | 제2022-019-160호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,공표 | - | 7200000 | https://datalaw.kr/sanctions/#d-2022-019-160
2022-11-30 | 제2022-019-159호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-019-159
2022-11-30 | 제2022-019-158호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-019-158
2022-11-30 | 제2022-019-157호 | 비공개 | 제21조(개인정보의 파기) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-019-157
2022-11-30 | 제2022-019-156호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,시정명령,공표 | - | 8400000 | https://datalaw.kr/sanctions/#d-2022-019-156
2022-11-16 | 제2022-018-154호 | 비공개 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-018-154
2022-11-16 | 제2022-018-153호 | 비공개 | 제29조(안전조치의무); 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,시정명령,공표 | - | 7800000 | https://datalaw.kr/sanctions/#d-2022-018-153
2022-11-16 | 제2022-018-152호 | 비공개 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-018-152
2022-11-16 | 제2022-018-151호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-018-151
2022-09-28 | 제2022-016-135호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-016-135
2022-09-28 | 제2022-016-134호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-016-134
2022-09-28 | 제2022-016-133호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-016-133
2022-09-28 | 제2022-016-132호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-016-132
2022-09-28 | 제2022-016-131호 | 비공개 | 제24조의2 제2항(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-016-131
2022-09-28 | 제2022-016-130호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 6000000 | https://datalaw.kr/sanctions/#d-2022-016-130
2022-09-28 | 제2022-016-129호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-016-129
2022-09-28 | 제2022-016-128호 | (주)엘지유플러스 | 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2022-016-128
2022-09-14 | 제2022-014-121호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-121
2022-09-14 | 제2022-014-120호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-120
2022-09-14 | 제2022-014-119호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-014-119
2022-09-14 | 제2022-014-118호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-118
2022-09-14 | 제2022-014-117호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-014-117
2022-09-14 | 제2022-014-116호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-116
2022-09-14 | 제2022-014-115호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-115
2022-09-14 | 제2022-014-114호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-114
2022-09-14 | 제2022-014-113호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-014-113
2022-09-14 | 제2022-014-112호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-112
2022-09-14 | 제2022-014-111호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-014-111
2022-09-14 | 제2022-014-110호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-110
2022-09-14 | 제2022-014-109호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-014-109
2022-09-14 | 제2022-014-108호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-108
2022-09-14 | 제2022-014-107호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-107
2022-09-14 | 제2022-014-106호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-014-106
2022-09-14 | 제2022-014-104호 | Google Limited Liability Company | 제39조의3 제1항(개인정보의 수집·이용 동의 등에 대한 특례) | 과징금,시정명령,공표 | 69241000000 | - | https://datalaw.kr/sanctions/#d-2022-014-104
2022-08-10 | 제2022-013-103호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,시정명령 | - | 14400000 | https://datalaw.kr/sanctions/#d-2022-013-103
2022-08-10 | 제2022-013-102호 | 비공개 | 제24조의2 제1항(주민등록번호 처리의 제한); 제27조 제1항(영업양도 등에 따른 개인정보의 이전 제한) | 과태료 | - | 4000000 | https://datalaw.kr/sanctions/#d-2022-013-102
2022-08-10 | 제2022-013-101호 | 비공개 | 제24조의2 제1항(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-013-101
2022-08-10 | 제2022-013-100호 | 경주정보고등학교 | 제25조 제2항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2022-013-100
2022-08-10 | 제2022-013-099호 | 평창군시설관리공단 | 제25조 제2항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2022-013-099
2022-08-10 | 제2022-013-098호 | 비공개 | 제35조 제3항(개인정보의 열람) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-013-098
2022-08-10 | 제2022-013-097호 | 비공개 | 제15조(개인정보의 수집·이용) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2022-013-097
2022-08-10 | 제2022-013-096호 | 비공개 | 제28조(개인정보취급자에 대한 감독); 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2022-013-096
2022-08-10 | 제2022-013-095호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2022-013-095
2022-08-10 | 제2022-013-094호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-013-094
2022-08-10 | 제2022-013-093호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-013-093
2022-08-10 | 제2022-013-092호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-013-092
2022-07-13 | 제2022-012-088호 | 비공개 | 제29조(안전조치의무); 제39조의6(개인정보의 파기에 대한 특례) | 과태료,공표 | - | - | https://datalaw.kr/sanctions/#d-2022-012-088
2022-07-13 | 제2022-012-087호 | 비공개 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과징금,과태료,공표 | - | 7800000 | https://datalaw.kr/sanctions/#d-2022-012-087
2022-06-22 | 제2022-011-075호 | 강원도 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-075
2022-06-22 | 제2022-011-074호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-074
2022-06-22 | 제2022-011-073호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-073
2022-06-22 | 제2022-011-072호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-072
2022-06-22 | 제2022-011-071호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-071
2022-06-22 | 제2022-011-070호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-070
2022-06-22 | 제2022-011-069호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-069
2022-06-22 | 제2022-011-068호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-011-068
2022-06-22 | 제2022-011-067호 | 비공개 | 제15조(개인정보의 수집·이용) | 과태료,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2022-011-067
2022-06-22 | 제2022-011-066호 | 수원시청 | 제18조(개인정보의 목적 외 이용·제공 제한); 제28조(개인정보취급자에 대한 감독); 제29조(안전조치의무) | 과태료,개선권고,시정권고,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-011-066
2022-05-25 | 제2022-009-061호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-009-061
2022-05-25 | 제2022-009-060호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-009-060
2022-05-25 | 제2022-009-059호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2022-009-059
2022-05-25 | 제2022-009-058호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2022-009-058
2022-05-25 | 제2022-009-057호 | 비공개 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2022-009-057
2022-05-25 | 제2022-009-056호 | 비공개 | 제21조 제1항(개인정보의 파기); 제24조의2 제2항(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과태료 | - | 13500000 | https://datalaw.kr/sanctions/#d-2022-009-056
2022-05-25 | 제2022-009-055호 | 비공개 | 제15조 제2항(개인정보의 수집·이용); 제29조(안전조치의무) | 과태료 | - | 7800000 | https://datalaw.kr/sanctions/#d-2022-009-055
2022-05-25 | 제2022-009-054호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-009-054
2022-05-11 | 제2022-008-052호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-008-052
2022-05-11 | 제2022-008-051호 | 비공개 | 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2022-008-051
2022-05-11 | 제2022-008-050호 | 비공개 | 제29조(안전조치의무) | 과태료,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2022-008-050
2022-05-11 | 제2022-008-049호 | 비공개 | 제29조(안전조치의무) | 과징금,과태료,시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2022-008-049
2022-05-11 | 제2022-008-048호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과징금,과태료,시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2022-008-048
2022-04-27 | 제2022-007-046호 | 비공개 | 제26조 제2항(업무위탁에 따른 개인정보의 처리 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-007-046
2022-04-27 | 제2022-007-045호 | 비공개 | 제28조의3 제1항(가명정보의 결합 제한) | 과태료 | - | - | https://datalaw.kr/sanctions/#d-2022-007-045
2022-04-27 | 제2022-007-044호 | 비공개 | 정보통신망법 제23조의2 제1항(주민등록번호의 사용 제한); 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고) | 과태료,시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2022-007-044
2022-04-27 | 제2022-007-043호 | 비공개 | 제39조의4 제1항(개인정보 유출등의 통지·신고에 대한 특례) | 과태료,시정명령,공표 | - | - | https://datalaw.kr/sanctions/#d-2022-007-043
2022-04-27 | 제2022-007-042호 | 비공개 | 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고) | 과태료,시정명령 | - | - | https://datalaw.kr/sanctions/#d-2022-007-042
2022-04-13 | 제2022-006-034호 | 비공개 | 제15조(개인정보의 수집·이용) | 과태료,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2022-006-034
2022-04-13 | 제2022-006-033호 | 비공개 | 제15조(개인정보의 수집·이용) | 과태료,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2022-006-033
2022-04-13 | 제2022-006-031호 | 비공개 | 제35조(개인정보의 열람) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-006-031
2022-04-13 | 제2022-006-030호 | 비공개 | 제35조(개인정보의 열람) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2022-006-030
2022-03-23 | 제2022-005-029호 | 비공개 | 제24조의2(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-005-029
2022-03-23 | 제2022-005-028호 | 비공개 | 제24조의2(주민등록번호 처리의 제한) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-005-028
2022-03-23 | 제2022-005-027호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-005-027
2022-03-23 | 제2022-005-026호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-005-026
2022-03-23 | 제2022-005-025호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 6000000 | https://datalaw.kr/sanctions/#d-2022-005-025
2022-03-23 | 제2022-005-024호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-005-024
2022-03-23 | 제2022-005-023호 | 비공개 | 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-005-023
2022-03-23 | 제2022-005-022호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 5400000 | https://datalaw.kr/sanctions/#d-2022-005-022
2022-03-23 | 제2022-005-021호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4800000 | https://datalaw.kr/sanctions/#d-2022-005-021
2022-03-23 | 제2022-005-020호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2022-005-020
2022-03-23 | 제2022-005-019호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 4800000 | https://datalaw.kr/sanctions/#d-2022-005-019
2022-03-23 | 제2022-005-018호 | 성보공업(주) | 제21조(개인정보의 파기); 제24조의2(주민등록번호 처리의 제한); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료,공표 | 12500000 | 9000000 | https://datalaw.kr/sanctions/#d-2022-005-018
2022-03-23 | 제2022-005-017호 | ㈜하우빌드 | 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무) | 과징금,과태료,시정명령,공표 | 5900000 | 9000000 | https://datalaw.kr/sanctions/#d-2022-005-017
2022-03-23 | 제2022-005-016호 | Fluke Corporation | 제29조(안전조치의무); 제34조 제1항·제3항(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 9000000 | https://datalaw.kr/sanctions/#d-2022-005-016
2022-03-23 | 제2022-005-015호 | Zynga Game Ireland Limited | 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과징금,과태료,공표 | 5300000 | 13000000 | https://datalaw.kr/sanctions/#d-2022-005-015
2022-03-23 | 제2022-005-014호 | Canva PTY Ltd | 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령,공표 | - | 10000000 | https://datalaw.kr/sanctions/#d-2022-005-014
2022-02-23 | 제2022-004-013호 | 비공개 | 제21조(개인정보의 파기); 제23조(민감정보의 처리 제한); 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례); 제39조의6(개인정보의 파기에 대한 특례) | 과징금,과태료,시정명령,고발,공표 | 129790000 | 18600000 | https://datalaw.kr/sanctions/#d-2022-004-013
2022-02-23 | 제2022-004-012호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2022-004-012
2022-02-09 | 제2022-003-011호 | 비공개 | - | 과태료,시정명령,과징금 | 153387000 | 1000000 | https://datalaw.kr/sanctions/#d-2022-003-011
2022-02-09 | 제2022-003-010호 | 비공개 | - | 시정명령,과징금 | 51048000 | - | https://datalaw.kr/sanctions/#d-2022-003-010
2022-01-26 | 제2022-002-009호 | 비공개 | 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무); 제39조의6(개인정보의 파기에 대한 특례) | 과태료,시정명령 | - | 10800000 | https://datalaw.kr/sanctions/#d-2022-002-009
2022-01-26 | 제2022-002-008호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료 | - | 6000000 | https://datalaw.kr/sanctions/#d-2022-002-008
2022-01-26 | 제2022-002-007호 | 비공개 | 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료 | - | 10000000 | https://datalaw.kr/sanctions/#d-2022-002-007
2022-01-12 | 제2022-001-002호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2022-001-002
2021-12-08 | 제2021-223-523호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-523
2021-12-08 | 제2021-223-522호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-522
2021-12-08 | 제2021-223-521호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-521
2021-12-08 | 제2021-223-520호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-520
2021-12-08 | 제2021-223-519호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-519
2021-12-08 | 제2021-223-518호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-518
2021-12-08 | 제2021-223-517호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-517
2021-12-08 | 제2021-223-516호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-516
2021-12-08 | 제2021-223-515호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-515
2021-12-08 | 제2021-223-514호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-514
2021-12-08 | 제2021-223-513호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-513
2021-12-08 | 제2021-223-512호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-512
2021-12-08 | 제2021-223-511호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-511
2021-12-08 | 제2021-223-510호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-510
2021-12-08 | 제2021-223-509호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-509
2021-12-08 | 제2021-223-508호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-508
2021-12-08 | 제2021-223-507호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-507
2021-12-08 | 제2021-223-506호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-506
2021-12-08 | 제2021-223-505호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-505
2021-12-08 | 제2021-223-504호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 경고 | - | - | https://datalaw.kr/sanctions/#d-2021-223-504
2021-12-08 | 제2021-020-311호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-311
2021-12-08 | 제2021-020-310호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-310
2021-12-08 | 제2021-020-309호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-309
2021-12-08 | 제2021-020-308호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-308
2021-12-08 | 제2021-020-307호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-307
2021-12-08 | 제2021-020-306호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-306
2021-12-08 | 제2021-020-305호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-305
2021-12-08 | 제2021-020-304호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-304
2021-12-08 | 제2021-020-303호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-303
2021-12-08 | 제2021-020-302호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-302
2021-12-08 | 제2021-020-301호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-301
2021-12-08 | 제2021-020-300호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-300
2021-12-08 | 제2021-020-299호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-299
2021-12-08 | 제2021-020-298호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-020-298
2021-12-08 | 제2021-020-297호 | 비공개 | 제25조 제4항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 2000000 | https://datalaw.kr/sanctions/#d-2021-020-297
2021-12-08 | 제2021-020-296호 | 비공개 | 제25조 제2항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료 | - | 5000000 | https://datalaw.kr/sanctions/#d-2021-020-296
2021-12-08 | 제2021-020-295호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-020-295
2021-12-08 | 제2021-020-294호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료 | - | 5000000 | https://datalaw.kr/sanctions/#d-2021-020-294
2021-12-08 | 제2021-020-293호 | 비공개 | 제28조 제1항(개인정보취급자에 대한 감독) | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2021-020-293
2021-12-08 | 제2021-020-292호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-020-292
2021-12-08 | 제2021-020-291호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2021-020-291
2021-12-08 | 제2021-020-290호 | 사단법인 한국정보산업연합회 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6600000 | https://datalaw.kr/sanctions/#d-2021-020-290
2021-12-08 | 제2021-020-289호 | 청주시자원봉사센터 | 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-020-289
2021-12-08 | 제2021-020-288호 | ㈜슈비 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-020-288
2021-11-24 | 제2021-019-287호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과징금 | 98000000 | - | https://datalaw.kr/sanctions/#d-2021-019-287
2021-11-24 | 제2021-019-286호 | ㈜케이티 | 정보통신망법 제28조 제1항 제2호(개인정보의 보호조치) | 과징금 | 50000000 | - | https://datalaw.kr/sanctions/#d-2021-019-286
2021-11-24 | 제2021-019-285호 | 비공개 | 제21조 제1항(개인정보의 파기) | 과태료 | - | 4500000 | https://datalaw.kr/sanctions/#d-2021-019-285
2021-11-24 | 제2021-019-284호 | 비공개 | 제21조 제1항(개인정보의 파기) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-019-284
2021-11-24 | 제2021-019-283호 | 비공개 | 제21조 제1항(개인정보의 파기) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-019-283
2021-11-24 | 제2021-019-282호 | 비공개 | 제35조 제4항(개인정보의 열람) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-019-282
2021-11-24 | 제2021-019-281호 | 비공개 | 제35조 제3항(개인정보의 열람) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-019-281
2021-11-10 | 제2021-018-280호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4200000 | https://datalaw.kr/sanctions/#d-2021-018-280
2021-11-10 | 제2021-018-279호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치); 제29조(안전조치의무) | 과태료,시정명령 | - | 11200000 | https://datalaw.kr/sanctions/#d-2021-018-279
2021-11-10 | 제2021-018-278호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4200000 | https://datalaw.kr/sanctions/#d-2021-018-278
2021-11-10 | 제2021-018-277호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 3600000 | https://datalaw.kr/sanctions/#d-2021-018-277
2021-11-10 | 제2021-018-276호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령 | - | 7000000 | https://datalaw.kr/sanctions/#d-2021-018-276
2021-11-10 | 제2021-018-275호 | 비공개 | 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령 | - | 7000000 | https://datalaw.kr/sanctions/#d-2021-018-275
2021-11-10 | 제2021-018-274호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 8400000 | https://datalaw.kr/sanctions/#d-2021-018-274
2021-10-27 | 제2021-017-272호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 5400000 | https://datalaw.kr/sanctions/#d-2021-017-272
2021-10-27 | 제2021-017-271호 | 비공개 | 정보통신망법 제28조(개인정보의 보호조치) | 과태료,시정명령 | - | 9000000 | https://datalaw.kr/sanctions/#d-2021-017-271
2021-10-27 | 제2021-017-270호 | 비공개 | 제24조의2(주민등록번호 처리의 제한); 제29조(안전조치의무); 제39조의6(개인정보의 파기에 대한 특례) | 과징금,과태료,시정명령 | 4567000 | 15000000 | https://datalaw.kr/sanctions/#d-2021-017-270
2021-10-27 | 제2021-017-269호 | 비공개 | 정보통신망법 제28조(개인정보의 보호조치) | 과태료,시정명령 | - | 9000000 | https://datalaw.kr/sanctions/#d-2021-017-269
2021-10-27 | 제2021-017-268호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 5400000 | https://datalaw.kr/sanctions/#d-2021-017-268
2021-10-27 | 제2021-017-267호 | 비공개 | 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령,공표 | - | 17000000 | https://datalaw.kr/sanctions/#d-2021-017-267
2021-10-27 | 제2021-017-266호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 5400000 | https://datalaw.kr/sanctions/#d-2021-017-266
2021-10-27 | 제2021-017-265호 | 비공개 | 제29조(안전조치의무); 제39조의4(개인정보 유출등의 통지·신고에 대한 특례) | 과징금,과태료,시정명령 | 903353000 | 17400000 | https://datalaw.kr/sanctions/#d-2021-017-265
2021-10-27 | 제2021-017-264호 | 비공개 | 제29조(안전조치의무); 제39조의6(개인정보의 파기에 대한 특례); 제39조의12(국외 이전 개인정보의 보호) | 과징금,과태료,시정명령 | 126166000 | 18600000 | https://datalaw.kr/sanctions/#d-2021-017-264
2021-10-27 | 제2021-017-263호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-017-263
2021-10-27 | 제2021-017-262호 | 비공개 | 제21조 제1항(개인정보의 파기); 제24조 제3항(고유식별정보의 처리 제한); 제34조 제1항·제3항(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 18125000 | 9000000 | https://datalaw.kr/sanctions/#d-2021-017-262
2021-10-27 | 제2021-017-261호 | 사단법인 대한의학회 | 제15조 제1항·제2항(개인정보의 수집·이용); 제21조 제1항(개인정보의 파기); 제26조 제1항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 과태료,공표 | - | 16500000 | https://datalaw.kr/sanctions/#d-2021-017-261
2021-10-27 | 제2021-017-260호 | 비공개 | 제29조(안전조치의무) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-017-260
2021-10-27 | 제2021-017-259호 | 리뉴미피부과 홍제점 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-017-259
2021-10-27 | 제2021-017-258호 | 리뉴미피부과 부산서면점 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-017-258
2021-10-27 | 제2021-017-257호 | 리뉴미피부과 분당점 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-017-257
2021-10-27 | 제2021-017-256호 | 리뉴미피부과 잠실점 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-017-256
2021-10-27 | 제2021-017-255호 | 리뉴미피부과 서초점 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-017-255
2021-10-27 | 제2021-017-254호 | 리뉴미피부과 동대문점 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-017-254
2021-10-27 | 제2021-017-253호 | 리뉴미피부과 화곡점 | 제21조 제1항(개인정보의 파기); 제29조(안전조치의무) | 과태료,공표 | - | 6000000 | https://datalaw.kr/sanctions/#d-2021-017-253
2021-10-27 | 제2021-017-252호 | 바노바기성형외과의원 | 제24조의2 제2항(주민등록번호 처리의 제한); 제26조 제2항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무); 제34조 제1항(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 10600000 | https://datalaw.kr/sanctions/#d-2021-017-252
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | 정보통신망법 제28조 제1항(개인정보의 보호조치); 정보통신망법 제29조 제2항(개인정보의 파기) | 과징금,과태료,시정명령 | 5400000 | 15000000 | https://datalaw.kr/sanctions/#d-2021-016-186
2021-09-29 | 제2021-016-185호 | ㈜집꾸미기 | 정보통신망법 제27조의3 제1항(개인정보 유출등의 통지·신고); 정보통신망법 제28조 제1항(개인정보의 보호조치); 정보통신망법 제29조 제2항(개인정보의 파기) | 과징금,과태료,시정명령,공표 | 28300000 | 22000000 | https://datalaw.kr/sanctions/#d-2021-016-185
2021-09-29 | 제2021-016-184호 | ㈜스타일쉐어 | 정보통신망법 제28조 제1항(개인정보의 보호조치); 정보통신망법 제29조 제2항(개인정보의 파기) | 과징금,과태료,시정명령 | 94700000 | 16000000 | https://datalaw.kr/sanctions/#d-2021-016-184
2021-09-29 | 제2021-016-183호 | ㈜야놀자 | 정보통신망법 제28조 제1항(개인정보의 보호조치); 정보통신망법 제29조 제2항(개인정보의 파기) | 과징금,과태료,시정명령 | 56900000 | 30000000 | https://datalaw.kr/sanctions/#d-2021-016-183
2021-09-08 | 제2021-015-174호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-174
2021-09-08 | 제2021-015-173호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-173
2021-09-08 | 제2021-015-172호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-172
2021-09-08 | 제2021-015-171호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4200000 | https://datalaw.kr/sanctions/#d-2021-015-171
2021-09-08 | 제2021-015-170호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-170
2021-09-08 | 제2021-015-169호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-169
2021-09-08 | 제2021-015-168호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-168
2021-09-08 | 제2021-015-167호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-167
2021-09-08 | 제2021-015-166호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-166
2021-09-08 | 제2021-015-165호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-165
2021-09-08 | 제2021-015-164호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고,공표 | - | 9600000 | https://datalaw.kr/sanctions/#d-2021-015-164
2021-09-08 | 제2021-015-163호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-163
2021-09-08 | 제2021-015-162호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4200000 | https://datalaw.kr/sanctions/#d-2021-015-162
2021-09-08 | 제2021-015-161호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4200000 | https://datalaw.kr/sanctions/#d-2021-015-161
2021-09-08 | 제2021-015-160호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-160
2021-09-08 | 제2021-015-159호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4200000 | https://datalaw.kr/sanctions/#d-2021-015-159
2021-09-08 | 제2021-015-158호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-158
2021-09-08 | 제2021-015-157호 | 비공개 | 제29조(안전조치의무) | 과태료,시정명령 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-157
2021-09-08 | 제2021-015-156호 | 비공개 | 제29조(안전조치의무) | 과태료,시정권고 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-015-156
2021-08-25 | 제2021-013-103호 | 비공개 | 제39조의3 제1항(개인정보의 수집·이용 동의 등에 대한 특례); 제39조의12 제2항(국외 이전 개인정보의 보호) | 과징금,과태료,시정명령 | 224000000 | 3200000 | https://datalaw.kr/sanctions/#d-2021-013-103
2021-08-25 | 제2021-013-102호 | 비공개 | - | 개선권고 | - | - | https://datalaw.kr/sanctions/#d-2021-013-102
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | 정보통신망법 제22조(개인정보의 수집·이용 동의 등); 제26조(업무위탁에 따른 개인정보의 처리 제한); 제24조의2(주민등록번호 처리의 제한); 제39조의12(국외 이전 개인정보의 보호); 정보통신망법 제26조(영업의 양수 등에 따른 개인정보의 이전) | 과징금,과태료,시정명령,개선권고,공표 | 6443000000 | 26000000 | https://datalaw.kr/sanctions/#d-2021-013-101
2021-07-28 | 제2021-013-110호 | 비공개 | 제20조 제1항(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-013-110
2021-07-28 | 제2021-013-109호 | ㈜씨유스킨 | 제15조 제1항(개인정보의 수집·이용) | 과태료,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2021-013-109
2021-07-28 | 제2021-013-108호 | 비공개 | 제21조 제1항(개인정보의 파기) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-013-108
2021-07-28 | 제2021-013-107호 | 비공개 | 제25조 제4항·제6항(고정형 영상정보처리기기의 설치·운영 제한) | 과태료,시정명령 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-013-107
2021-07-28 | 제2021-013-106호 | 비공개 | 정보통신망법 제25조 제2항(개인정보의 처리위탁) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-013-106
2021-07-28 | 제2021-013-105호 | 비공개 | 제37조 제2항(개인정보의 처리정지 등) | 시정명령 | - | - | https://datalaw.kr/sanctions/#d-2021-013-105
2021-07-28 | 제2021-013-104호 | 비공개 | 제24조의2 제1항(주민등록번호 처리의 제한) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-013-104
2021-07-14 | 제2021-011-097호 | 비공개 | 제39조의3(개인정보의 수집·이용 동의 등에 대한 특례) | 과태료,시정명령,공표 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-011-097
2021-05-26 | 제2021-009-088호 | 롯데쇼핑 주식회사 | 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 5400000 | https://datalaw.kr/sanctions/#d-2021-009-088
2021-05-26 | 제2021-009-087호 | 주식회사 티몬 | 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2021-009-087
2021-05-26 | 제2021-009-086호 | 주식회사 인터파크 | 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2021-009-086
2021-05-26 | 제2021-009-085호 | 이베이코리아 유한회사 | 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 22800000 | https://datalaw.kr/sanctions/#d-2021-009-085
2021-05-26 | 제2021-009-084호 | 11번가 주식회사 | 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 4800000 | https://datalaw.kr/sanctions/#d-2021-009-084
2021-05-26 | 제2021-009-083호 | 네이버 주식회사 | 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 8400000 | https://datalaw.kr/sanctions/#d-2021-009-083
2021-05-26 | 제2021-009-082호 | 쿠팡 주식회사 | 제29조(안전조치의무) | 과태료,시정명령,공표 | - | 3600000 | https://datalaw.kr/sanctions/#d-2021-009-082
2021-05-12 | 제2021-008-080호 | ㈜엘지유플러스 | 제21조(개인정보의 파기) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2021-008-080
2021-05-12 | 제2021-008-079호 | ㈜케이티 | 제21조(개인정보의 파기) | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/#d-2021-008-079
2021-05-12 | 제2021-008-078호 | 비공개 | 제22조(동의를 받는 방법) | 과태료 | - | 1000000 | https://datalaw.kr/sanctions/#d-2021-008-078
2021-05-12 | 제2021-008-077호 | 아파트입주자대표회의 | 제15조(개인정보의 수집·이용) | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/#d-2021-008-077
2021-05-12 | 제2021-008-076호 | 의료법인 메디피아 메디피움의원 | 제23조(민감정보의 처리 제한); 제34조(개인정보 유출 등의 통지·신고) | 과태료,공표 | - | 9000000 | https://datalaw.kr/sanctions/#d-2021-008-076
2021-05-12 | 제2021-008-075호 | 내과의원 | 제24조(고유식별정보의 처리 제한); 제24조의2(주민등록번호 처리의 제한); 제34조(개인정보 유출 등의 통지·신고) | 과징금,과태료 | 15625000 | 3000000 | https://datalaw.kr/sanctions/#d-2021-008-075
2021-05-12 | 제2021-008-074호 | 주식회사 하나은행 | 제15조(개인정보의 수집·이용); 제26조(업무위탁에 따른 개인정보의 처리 제한) | 과태료,개선권고 | - | 4000000 | https://datalaw.kr/sanctions/#d-2021-008-074
2021-05-12 | 제2021-008-073호 | 대리점 | 제15조(개인정보의 수집·이용) | 과태료,공표 | - | 5000000 | https://datalaw.kr/sanctions/#d-2021-008-073
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 제18조(개인정보의 목적 외 이용·제공 제한); 제21조(개인정보의 파기); 제22조(동의를 받는 방법); 제23조(민감정보의 처리 제한); 제28조의2(가명정보의 처리 등); 제39조의6(개인정보의 파기에 대한 특례) | 과징금,과태료,시정명령 | 55500000 | 47800000 | https://datalaw.kr/sanctions/#d-2021-007-072
2021-01-27 | 제2021-002-038호 | 계룡시청 | 제26조 제1항·제4항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-038
2021-01-27 | 제2021-002-037호 | 성동구청 | 제26조 제2항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-037
2021-01-27 | 제2021-002-036호 | 전남곡성군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-036
2021-01-27 | 제2021-002-035호 | 의성군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-035
2021-01-27 | 제2021-002-034호 | 철원군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-034
2021-01-27 | 제2021-002-033호 | 서울특별시중구청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-033
2021-01-27 | 제2021-002-032호 | 화천군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-032
2021-01-27 | 제2021-002-031호 | 동두천시청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-031
2021-01-27 | 제2021-002-030호 | 영주시청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-030
2021-01-27 | 제2021-002-029호 | 달성군청 | 제15조 제2항(개인정보의 수집·이용); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-029
2021-01-27 | 제2021-002-028호 | 영월군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-028
2021-01-27 | 제2021-002-027호 | 성주군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-027
2021-01-27 | 제2021-002-026호 | 강남구청 | 제26조 제4항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-026
2021-01-27 | 제2021-002-025호 | 양구군청 | 제15조 제2항(개인정보의 수집·이용); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-025
2021-01-27 | 제2021-002-024호 | 태백시청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-024
2021-01-27 | 제2021-002-023호 | 칠곡군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-023
2021-01-27 | 제2021-002-022호 | 강원도청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-022
2021-01-27 | 제2021-002-021호 | 금천구청 | 제21조 제1항(개인정보의 파기); 제26조 제4항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-021
2021-01-27 | 제2021-002-020호 | 안산시청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-020
2021-01-27 | 제2021-002-019호 | 삼척시청 | 제15조 제2항(개인정보의 수집·이용); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-019
2021-01-27 | 제2021-002-018호 | 영덕군청 | 제26조 제4항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-018
2021-01-27 | 제2021-002-017호 | 옹진군청 | 제15조 제2항(개인정보의 수집·이용); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-017
2021-01-27 | 제2021-002-016호 | 오산시청 | 제26조 제2항·제4항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-016
2021-01-27 | 제2021-002-015호 | 대전광역시청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-015
2021-01-27 | 제2021-002-014호 | 양양군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-014
2021-01-27 | 제2021-002-013호 | 청도군청 | 제15조 제2항(개인정보의 수집·이용); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-013
2021-01-27 | 제2021-002-012호 | 영천시청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-012
2021-01-27 | 제2021-002-011호 | 경상북도청 | 제28조 제2항(개인정보취급자에 대한 감독); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-011
2021-01-27 | 제2021-002-010호 | 영암군청 | 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-010
2021-01-27 | 제2021-002-009호 | 담양군청 | 제24조의2 제2항(주민등록번호 처리의 제한); 제26조 제4항(업무위탁에 따른 개인정보의 처리 제한); 제29조(안전조치의무) | 시정권고 | - | - | https://datalaw.kr/sanctions/#d-2021-002-009
2020-12-09 | 제2020-008-014호 | ㈜아이티엘 | 정보통신망법 제23조의2 제1항(주민등록번호의 사용 제한); 정보통신망법 제24조의2 제2항(개인정보의 제공 동의 등); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과징금,과태료,시정명령,공표 | 15200000 | 15000000 | https://datalaw.kr/sanctions/#d-2020-008-014
2020-12-09 | 제2020-008-013호 | 우정텔레콤 | 정보통신망법 제25조 제6항·제7항(개인정보의 처리위탁); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령,공표 | - | 13100000 | https://datalaw.kr/sanctions/#d-2020-008-013
2020-12-09 | 제2020-008-012호 | ㈜엘엔써 | 정보통신망법 제25조 제6항·제7항(개인정보의 처리위탁); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과태료,시정명령,공표 | - | 10100000 | https://datalaw.kr/sanctions/#d-2020-008-012
2020-12-09 | 제2020-008-011호 | ㈜엘지유플러스 | 정보통신망법 제25조 제4항(개인정보의 처리위탁); 정보통신망법 제28조 제1항(개인정보의 보호조치) | 과징금,과태료,시정명령,공표 | 11600000 | 10000000 | https://datalaw.kr/sanctions/#d-2020-008-011
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | 정보통신망법 제24조의2(개인정보의 제공 동의 등); 정보통신망법 제28조(개인정보의 보호조치); 정보통신망법 제30조의2(개인정보 이용내역의 통지) | 과징금,과태료,시정명령,고발 | 6748000000 | 66000000 | https://datalaw.kr/sanctions/#d-2020-006-008
## 제재의 「무슨 행위였는가」 층 — 결정문 위법성 판단 절 (https://datalaw.kr/violations/)
- 출처: 개인정보위 결정문 「위법성 판단」 절 / 기준일 2026-09-11 / 결정문 공개 889건 중 판단 절을 읽을 수 있는 590건
- 행위 라벨은 결정문 「위법성 판단」 절의 **표제 원문**이고, 「유형」은 세기 위해 붙인 축입니다. 구체 위반 문장은 절 본문의 "…한 행위는 …을 위반한 것이다" 문장을 옮긴 것입니다.
- 주의: 판단 절에 표제 없이 서술만 하는 형식은 빠져 있으므로, 여기서 적다고 그 행위가 드문 것이 아닙니다. 조문이 비어 있는 행은 결정문이 시행령·고시·구 정보통신망법만 인용한 형식입니다.
의결일 | 안건번호 | 피심인 | 위반 조문 | 행위(결정문 표제) | 유형 | 구체 위반 문장
2026-08-26 | 제2026-216-365호 | ㈜위솝 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-216-364호 | 제이엠가정의학과의원 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-216-364호 | 제이엠가정의학과의원 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2026-08-26 | 제2026-216-363호 | ㈜포시에스 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-216-363호 | ㈜포시에스 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | `23. 2. 6. 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여 유출 공지한 행위
2026-08-26 | 제2026-216-362호 | 의료법인 제노플랜 의료재단 | 제29조 | 개인정보 안전성 확보한 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-216-361호 | ㈜온오프믹스 | 제29조 | 개인정보 안전성 확보한 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-216-360호 | 순천향대 부속 부천병원 | 제17조 | 개인정보 제공 동의 없이 제3자에게 제공한 행위 | 동의 없는 수집·이용·제공 | -
2026-08-26 | 제2026-216-355호 | 경성대학교 | 제29조 | 안전조치의무 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-216-355호 | 경성대학교 | 제35조 | 개인정보의 열람 | 정보주체 권리행사 방법 미비 | -
2026-08-26 | 제2026-216-354호 | 양평군청 | 제28조 | 개인정보취급자에 대한 감독을 소홀히 한 행위 | 개인정보취급자 감독 소홀 | -
2026-08-26 | 제2026-207-115호 | (사)북한발전연구원 | 제29조 | 개인정보 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-207-115호 | (사)북한발전연구원 | 제34조 | 개인정보 유출 통지·신고를 지연한 행위 | 유출 통지·신고 해태 | ’23. 9. 15일 개인정보 유출 사실을 인지하고도 ’26. 7. 8일에서야 개인정보 유출 사실을 통지하고 신고한 행위
2026-08-26 | 제2026-207-114호 | 에너지경제연구원 | 제26조 | 업무위탁에 따른 개인정보의 처리 제한 위반 | 위·수탁 계약 사항 흠결 | 수탁자에게 개인정보 처리 업무를 위탁하면서 수탁자가 개인정보를 안전하게 처리하는지를 감독하지 않은 행위
2026-08-26 | 제2026-017-098호 | HD한국조선해양(주) | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-26 | 제2026-017-097호 | HD건설기계(주) | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-12 | 제2026-215-336호 | ㈜지에이개발 | 제29조 | 안전성 확보한 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 분양계약서 사본을 소각‧파쇄 등으로 완전파괴하지 않고 쓰레기장에 버린 행위
2026-08-12 | 제2026-215-336호 | ㈜지에이개발 | 제34조 | 개인정보 유출 발생시 신고를 지연한 행위 | 유출 통지·신고 해태 | -
2026-08-12 | 제2026-215-335호 | 거여파크 지역주택조합 추진위원회 | 제29조 | 안전성 확보한 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-08-12 | 제2026-215-335호 | 거여파크 지역주택조합 추진위원회 | 제34조 | 개인정보 유출 발생시 신고를 지연한 행위 | 유출 통지·신고 해태 | -
2026-07-22 | 제2026-214-294호 | 가평군청 | 제29조 | 개인정보의 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-07-22 | 제2026-214-294호 | 가평군청 | 제28조 | 개인정보취급자에 대한 감독을 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 지방세 등에 대한 공시송달은 반복적 업무인 점을 고려할 때, 피심인이 이와 관련한 방법 및 절차를 매뉴얼로 수립·배포하지 않은 행위
2026-07-22 | 제2026-214-294호 | 가평군청 | 제24조의2 | 주민등록번호 보관 시 암호화 하지 않은 행위 | 암호화 미조치 | -
2026-07-22 | 제2026-214-293호 | 용인시장학재단 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2026-07-22 | 제2026-214-293호 | 용인시장학재단 | 제24조의2 | 암호화 되지 않은 주민등록번호를 보관한 사실 | 암호화 미조치 | 주민등록번호가 포함된 신청서류를 재단 홈페이지 DB에 보관하면서 해당 서류를 암호화 하지 못한 행위
2026-07-22 | 제2026-214-291호 | 인천광역시청 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 다만, 알 수 없는 이유로 방화벽(대시민망)에 장애(’23.12.26.11:10~16:00)가 발생한 것
2026-07-22 | 제2026-214-290호 | 전남대학교 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2026-07-22 | 제2026-214-290호 | 전남대학교 | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | -
2026-07-22 | 제2026-214-289호 | 한국방송통신대학교 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2026-07-22 | 제2026-214-289호 | 한국방송통신대학교 | 제21조 | 보유 기간이 경과된 개인정보를 지체 없이 파기하지 않은 사실 | 파기 미이행 | -
2026-07-22 | 제2026-214-269호 | 디자인디비 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 정보통신망을 통해 외부에서 개인정보처리시스템인 웹 관리자 페이지 접속 시 접속 권한을 IP 주소 등으로 제한하지 않았고, 안전한 인증수단 적용 없이 ID/PW만으로 접속이 가능토록 운영한 행위 / 또, 피심인이 웹 관리자 페이지에 대한 개인정보취급자의 접속기록을 1년 이상 보존·관리하지 않은 행위
2026-07-08 | 제2026-213-271호 | 마스턴투자운용 주식회사 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-07-08 | 제2026-213-271호 | 마스턴투자운용 주식회사 | 제21조 | 개인정보 파기 의무를 소홀히 한 행위 | 파기 미이행 | 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때는 지체 없이 그 개인정보를 파기하여야 하나, 개인정보 파기 등 필요한 조치를 하지 않은 피심인의 행위
2026-07-08 | 제2026-213-270호 | 이데일리㈜ | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’22. 12월＊ ~ ’24. 4. 16. 동안 개인정보 처리시스템에 대한 개인정보취급자의 접속기록을 1년 이상 보관·관리하지 않은 행위 / 개인정보취급자가 개인정보처리시스템에 접근할 수 있는 계정을 정당한 사유 없이 개인정보취급자 별로 발급·관리하지 않고 3인의 개인정보취급자가 단일 관리자 계정을 공유하며 운영한 행위 / 또한, 피심인이 이용자의 비밀번호를 안전하지 않은 암호화 알고리즘(MD5)으로 암호화하여 저장한 행위
2026-07-08 | 제2026-213-270호 | 이데일리㈜ | 제39조의4 | 개인정보 유출 신고 및 유출 통지를 소홀히 한 사실 | 유출 통지·신고 해태 | ’22. 5. 1. 09:55 이용자의 개인정보가 다크웹에 업로드되어 유출된 인지하였으나, 정당한 사유 없이 유출 사실 인지 후 24시간을 경과하여 ’22. 5. 4. 17:23 유출 통지하고, ’22. 5. 4. 20:12 유출 신고한 행위
2026-07-08 | 제2026-213-269호 | ㈜재미스홈 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 서버에 대한 불법적인 접근 및 침해사고 방지를 위한 침입탐지‧차단시스템을 설치하지 않고, 관리자 페이지 접근통제를 위한 보안 기술적용을 소홀히 한 행위
2026-07-08 | 제2026-213-269호 | ㈜재미스홈 | 제34조 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’23. 7. 25. 를 통하여 개인정보 유출 사실을 인지 후 정당한 사유 없이 유출신고·통지 기한(처리자 기준 5일) 내 유출 신고·통지하지 않은 행위
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | `22. 9월(…) ~ `24. 2. 26.(…) 동안 운영하는 개인정보처리시스템에 대한 접근권한을 취급자의 업무 수행에 필요한 최소한의 범위로 차등 부여하지 않은 행위 / `22. 9월(…) ~ `24. 2. 26.(…) 동안 운영하는 개인정보처리시스템에 대한 접근권한을 취급자의 업무 수행에 필요한 최소한의 범위로 차등 부여하지 않은 행위는 … 개인정보처리시스템에 안전한 인증수단을 적용하지 않고 외부에서 접속 가능하게끔 운영한 행위 / 또한, 피심인이 운영하는 개인정보처리시스템에 대한 개인정보취급자의 접속기록을 1년 이상 보존하지 않은 행위
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2026-07-08 | 제2026-213-267호 | 얼굴홈트㈜ | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2026-07-08 | 제2026-213-267호 | 얼굴홈트㈜ | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’24. 1. 29. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 유출 통지한 행위
2026-07-08 | 제2026-213-265호 | 하남도시공사 | - | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-07-08 | 제2026-213-265호 | 하남도시공사 | 제28조 | 개인정보취급자에 대한 감독을 소홀히 한 행위 | 개인정보취급자 감독 소홀 | (…)의 업무 특성상 홈페이지에 개인정보가 포함된 게시물 작성이 빈번할 것으로 예상됨에도 개인정보취급자에 대해 관련 매뉴얼을 수립·시행하지 않은 행위
2026-07-08 | 제2026-213-264호 | 서광주세무서 | - | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-07-08 | 제2026-213-264호 | 서광주세무서 | 제34조 | 개인정보 유출 통지 및 신고 지연 | 유출 통지·신고 해태 | -
2026-07-08 | 제2026-213-263호 | 법원도서관 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’21.7.8.∼’22.8.11. 동안 이 업로드되고 실행되는 것을 방지하기 위해 파일 업로드 취약점 등 홈페이지 취약점 점검과 조치를 적절히 수행하지 않고 운영한 행위
2026-07-08 | 제2026-213-262호 | 법원행정처 | 제21조 | 개인정보를 파기하지 않은 행위 | 파기 미이행 | …23.5.3.∼’24.1.17.) 파일을 삭제 결정 후 지체 없이 파기하지 않은 것
2026-07-08 | 제2026-213-262호 | 법원행정처 | 제24조·제24조의2 | 주민등록번호 보관 시 암호화를 하지 않은 행위 | 암호화 미조치 | ’13.12.~’25.1. DB에 주민등록번호 598건을 저장하면서, 이를 암호화하지 않고 평문으로 저장한 행위
2026-07-08 | 제2026-213-262호 | 법원행정처 | 제29조 | 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | ’21.11.22.∼24.2.23. 홈페이지 게시판을 운영하면서 첨부파일 서버 접근 계정에 대한 인증 절차를 두지 않고, 첨부파일 서버에 대한 검색엔진 접근 차단‧제한을 설정하지 않은 것
2026-06-24 | 제2026-212-245호 | 농협중앙회 신용협동조합 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 또한, 관리자 페이지의 로그 기록 기능을 구현해 놓고 있지 않아, 관리자 계정의 접속기록을 보관‧관리하지 않고 있었던 행위
2026-06-24 | 제2026-212-245호 | 농협중앙회 신용협동조합 | 제26조 | 개인정보 처리 업무를 위탁하면서 문서로 하지 않은 행위 | 위·수탁 계약 사항 흠결 | 개인정보 처리 업무를 수반한 업무를 위탁하면서 보호법 제26조에서 규정하는 위탁업무 수행목적 외 개인정보의 처리 금지에 관한 사항, 개인정보의 기술적‧관리적 보호조치에 관한 사항 등을 포함한 문서로 하지 않은 피심인의 행위
2026-06-24 | 제2026-212-244호 | 롯데손해보험(주) | 제26조 | 위탁하는 업무의 내용과 수탁자 공개를 소홀히 한 행위 | 위탁·국외이전 미고지·미공개 | 개인(신용)정보 처리 업무를 위탁하면서 위탁하는 업무의 내용과 수탁자 일부를 누락하여 공개한 행위
2026-06-24 | 제2026-212-242호 | 레즈메드헬스케어코리아 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2026-06-24 | 제2026-212-241호 | 전기기술사사이버학원 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2026-06-24 | 제2026-212-240호 | ㈜맹호 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’17. 6. 16. ~ ’24. 3. 26. 동안 시스템을 운영하면서 취급자가 퇴사하였음에도 취급자의 계정 또는 접근권한을 지체없이 변경·회수하지 않은 행위 / ’17. 6. 16. ~ ’24. 3. 26. 동안 정보통신망을 통해 외부에서 개인정보처리시스템(…)에 접근이 가능하도록 운영하고 있음에도 ID, PW 외 OTP 등 안전한 인증수단을 적용하지 않은 행위 / 또한, 피심인이 운영하는 개인정보처리시스템에 대한 개인정보취급자의 접속기록을 1년 이상 보존하지 않은 행위
2026-06-24 | 제2026-212-240호 | ㈜맹호 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’24. 2. 19. 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ’24. 3. 9. 이용자 대상 유출 통지한 행위
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 제23조 | 법적 근거 없이 정보주체의 민감정보를 처리한 행위 | 민감정보 별도동의 흠결 | -
2026-05-27 | 제2026-010-071호 | ㈜미소테크 | 제21조 | 처리 목적을 달성한 개인정보를 지체 없이 파기하지 않은 사실 | 파기 미이행 | -
2026-05-27 | 제2026-010-071호 | ㈜미소테크 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | NAS를 인터넷으로 접속할 수 있도록 운영(’17.6.~’25.4.)하면서, NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치를 미흡하게 한 행위
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 제26조 | 수탁자에 대한 관리·감독을 소홀히 한 사실 | 수탁자 관리·감독 소홀 | 위탁자는 보호법 제26조 제4항 및 같은 법 시행령 제28조제6항에 따라 개인정보의 접근 또는 접속현황이나 만료된 계약 관련 개인정보의 파기·반납 등 개인정보 처리현황을 관리·감독하여야 … 용역기간이 종료된 개인정보를 자체 NAS에 무단 보관하다 해킹으로 유출한 것
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 제26조 | 수탁자에 대한 관리·감독을 소홀히 한 사실 | 수탁자 관리·감독 소홀 | 위탁자는 보호법 제26조 제4항 및 같은 법 시행령 제28조제6항에 따라 개인정보의 접근 또는 접속현황이나 만료된 계약 관련 개인정보의 파기·반납 등 개인정보 처리현황을 관리·감독하여야 … 용역기간이 종료된 개인정보를 자체 NAS에 무단 보관하다 해킹으로 유출한 것
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 제26조 | 수탁자에 대한 관리·감독을 소홀히 한 사실 | 수탁자 관리·감독 소홀 | 위탁자는 보호법 제26조 제4항 및 같은 법 시행령 제28조제6항에 따라 개인정보의 접근 또는 접속현황이나 만료된 계약 관련 개인정보의 파기·반납 등 개인정보 처리현황을 관리·감독하여야 … 용역기간이 종료된 개인정보를 자체 NAS에 무단 보관하다 해킹으로 유출한 것
2026-05-27 | 제2026-010-067호 | 행정안전부 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | 홈페이지에 ‘업무 게시판’을 구축하고 내부용으로 운영하면서 게시판에 포함된 개인정보가 권한 없는 자에게 유출·공개되지 않도록 로봇배제표준 적용, 접근권한 인증 절차 등 접근통제에 필요한 조치를 미흡하게 한 행위 / 엑셀자료에 포함된 임시 비밀번호를 안전하게 일방향 암호화하지 않은 행위
2026-05-27 | 제2026-010-066호 | 행정안전부 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2026-05-27 | 제2026-010-066호 | 행정안전부 | 제26조 | 위탁사실 공개를 소홀히 한 사실 | 위탁·국외이전 미고지·미공개 | -
2026-05-27 | 제2026-010-066호 | 행정안전부 | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | -
2026-05-13 | 제2026-209-183호 | 루나데이즈 | 제30조 | 개인정보 처리방침을 수립하지 않은 행위 | 처리방침 미비 | 2025년 3월부터 웹사이트를 통해 이용자를 대상으로 서비스를 제공하면서 2026년 1월 2일 이전까지 보호법에서 정하는 개인정보 처리방침을 수립하지 않은 행위
2026-05-13 | 제2026-209-182호 | 씨제이올리브네트웍스 주식회사 | 제30조 | 개인정보 처리방침을 수립하지 않은 행위 | 처리방침 미비 | 2022년부터 인턴십 프로그램을 운영하면서 인턴십 지원자를 대상으로 주민등록번호 등을 수집·처리하면서 2026년 2월 20일 이전까지 보호법에서 정하는 개인정보 처리방침을 수립하지 않은 행위
2026-05-13 | 제2026-209-153호 | (주)큰사람커넥트 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 메일 시스템 개선 과정에서 소스코드 취약점 점검 및 테스트 등을 소홀히 한 것
2026-05-13 | 제2026-209-152호 | 대야구역재개발조합 | 제29조 | 안전성 확보한 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-05-13 | 제2026-209-152호 | 대야구역재개발조합 | 제34조 | 개인정보 유출 발생시 통지 및 신고를 지연한 사실 | 유출 통지·신고 해태 | -
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 제26조 | 개인정보 처리 업무 위탁 사실을 미흡하게 공개한 행위 | 위탁·국외이전 미고지·미공개 | 보람상조개발에 기존·신규가입자의 온라인·전화상담 등 CRM 업무를 위탁하고 있음에도, 개인정보 처리방침 등에 업무 위탁사실을 미흡하게 공개한 행위
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 제26조 | 개인정보 처리 업무 위탁에 따른 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 보람상조개발에 온라인·전화상담 등 CRM 업무의 일환으로 피심인의 홈페이지를 통해 인입된 온라인 상담회원 등의 개인정보 처리를 위탁하고 있음에도, 개인정보가 유출 등 되지 아니하도록 … 개인정보를 안전하게 처리하도록 관리·감독하지 않아 유출 등으로 이어진 행위
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 제26조 | 개인정보 처리 업무 위탁 사실을 미흡하게 공개한 행위 | 위탁·국외이전 미고지·미공개 | 보람상조개발에 기존·신규가입자의 온라인·전화상담 등 CRM 업무를 위탁하고 있음에도, 개인정보 처리방침 등에 업무 위탁사실을 미흡하게 공개한 행위
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 제26조 | 개인정보 처리 업무 위탁에 따른 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 보람상조개발에 온라인·전화상담 등 CRM 업무의 일환으로 피심인의 홈페이지를 통해 인입된 온라인 상담회원 등의 개인정보 처리를 위탁하고 있음에도, 개인정보가 유출 등 되지 아니하도록 … 개인정보를 안전하게 처리하도록 관리·감독하지 않아 유출 등으로 이어진 행위
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 제26조 | 개인정보 처리 업무 위탁 사실을 미흡하게 공개한 행위 | 위탁·국외이전 미고지·미공개 | 보람상조개발에 기존·신규가입자의 온라인·전화상담 등 CRM 업무를 위탁하고 있음에도, 개인정보 처리방침 등에 업무 위탁사실을 미흡하게 공개한 행위
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 제26조 | 개인정보 처리 업무 위탁에 따른 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 보람상조개발에 온라인·전화상담 등 CRM 업무의 일환으로 피심인의 홈페이지를 통해 인입된 온라인 상담회원 등의 개인정보 처리를 위탁하고 있음에도, 개인정보가 유출 등 되지 아니하도록 … 개인정보를 안전하게 처리하도록 관리·감독하지 않아 유출 등으로 이어진 행위
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 제26조 | 개인정보 처리 업무 위탁 사실을 미흡하게 공개한 행위 | 위탁·국외이전 미고지·미공개 | 보람상조개발에 기존·신규가입자의 온라인·전화상담 등 CRM 업무를 위탁하고 있음에도, 개인정보 처리방침 등에 업무 위탁사실을 미흡하게 공개한 행위
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 제26조 | 개인정보 처리 업무 위탁에 따른 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 보람상조개발에 온라인·전화상담 등 CRM 업무의 일환으로 피심인의 홈페이지를 통해 인입된 온라인 상담회원 등의 개인정보 처리를 위탁하고 있음에도, 개인정보가 유출 등 되지 아니하도록 … 개인정보를 안전하게 처리하도록 관리·감독하지 않아 유출 등으로 이어진 행위
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 제26조 | 개인정보 처리 업무 위탁 사실을 미흡하게 공개한 행위 | 위탁·국외이전 미고지·미공개 | 보람상조개발에 기존·신규가입자의 온라인·전화상담 등 CRM 업무를 위탁하고 있음에도, 개인정보 처리방침 등에 업무 위탁사실을 미흡하게 공개한 행위
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 제26조 | 개인정보 처리 업무 위탁에 따른 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 보람상조개발에 온라인·전화상담 등 CRM 업무의 일환으로 피심인의 홈페이지를 통해 인입된 온라인 상담회원 등의 개인정보 처리를 위탁하고 있음에도, 개인정보가 유출 등 되지 아니하도록 … 개인정보를 안전하게 처리하도록 관리·감독하지 않아 유출 등으로 이어진 행위
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 제26조 | 개인정보 처리 업무 위탁 사실을 미흡하게 공개한 행위 | 위탁·국외이전 미고지·미공개 | 보람상조개발에 기존·신규가입자의 온라인·전화상담 등 CRM 업무를 위탁하고 있음에도, 개인정보 처리방침 등에 업무 위탁사실을 미흡하게 공개한 행위
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 제26조 | 개인정보 처리 업무 위탁에 따른 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 보람상조개발에 온라인·전화상담 등 CRM 업무의 일환으로 피심인의 홈페이지를 통해 인입된 온라인 상담회원 등의 개인정보 처리를 위탁하고 있음에도, 개인정보가 유출 등 되지 아니하도록 … 개인정보를 안전하게 처리하도록 관리·감독하지 않아 유출 등으로 이어진 행위
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 제29조 | 개인정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | SQL 인젝션 등 방지를 위한 이용자 입력값 검증 등 취약점 점검 및 개선 조치를 소홀히 하였고, 웹 방화벽을 탐지모드로만 운영하는 등 침입 탐지·차단 시스템의 정책 설정 및 로그 분석 등을 … 이상행위를 탐지·차단하지 못하여, 처리하는 개인정보가 유출되도록 한 행위
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 제21조 | 처리 목적 달성 등 불필요한 개인정보를 파기하지 아니한 행위 | 파기 미이행 | 개인정보의 보유기간의 경과 또는 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 파기하여야 하나, 피심인이 보유기간이 경과한 온라인 상담회원 정보 등 개인정보를 파기하지 않고 보관한 행위
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 제34조 | 개인정보 유출 통지를 지연한 행위 | 유출 통지·신고 해태 | ’24. 5. 27. 19시경 개인정보 유출 사실을 인지하였음에도, 정당한 사유 없이 72시간을 경과하여 ’24. 5. 31. 15시경 정보주체에게 유출 사실을 통지한 행위
2026-04-22 | 제2026-007-053호 | 재단법인 금릉공원묘원 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’16년 ~ ’25. 7. 10. 동안 운영 중인 웹사이트 내 관리비 조회/납부 페이지에 존재하는 파라미터 변조 취약점에 대한 점검·조치를 소홀히하여 이용자의 개인정보가 유출된 행위 / 또한, 피심인이 ’16년 ~ ’25. 7. 10. 동안 이용자의 주민등록번호를 안전한 암호 알고리즘으로 암호화 하지 않고 평문으로 저장한 행위, 이용자의 개인정보를 정보통신망을 통해 인터넷망으로 송·수신하는 경우 암호화 통신을 적용하지 않은 행위
2026-04-22 | 제2026-007-053호 | 재단법인 금릉공원묘원 | 제24조의2 | 법적 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 개인정보처리자는 ’14. 8. 7. 주민등록번호 법정주의 관련 개정 「개인정보 보호법」 시행일 부터 법령상 근거 없이 주민등록번호를 처리 할 수 없음에도 불구하고, 피심인이 ’14. 8. … 서비스 이용자(신청인 및 보증인)의 주민등록번호를 법적 근거없이 처리한 행위
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 제21조 | 보유기간이 경과한 개인정보를 미파기한 사실 | 파기 미이행 | 보유기간이 경과했음에도 정회원 정보(298,566건)를 파기하지 않고 보관한 행위
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 제24조의2 | 법적근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | ’14. 8. 7. ~ ‘25. 6. 30. 동안 구체적인 법적처리 근거 없이 주민등록번호를 수집·이용한 행위
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 제24조의2·제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | 처리시스템에 권한 없는 자의 비정상적인 접근을 방지하기 위해 일정 횟수 이상 인증이 실패한 경우 접근 제한 등 필요한 조치를 하지 않은 행위 / 안전하지 않은 암호화 알고리즘을 통해 비밀번호를 보관한 행위 / 안전하지 않은 암호화 알고리즘을 통해 주민등록번호를 보관한 행위
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 제34조 | 유출사실을 지연하여 신고하고, 정보주체에게 미통지한 행위 | 유출 통지·신고 해태 | `25.1.30. 유출사실을 인지하였음에도 정당한 사유 없이 72시간을 경과하여 `25.2.4. 유출신고하고, 정보주체에게 의결일(’26.4.22.)까지도 유출사실을 통지하지 않은 행위
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 제24조의2·제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템인 인사관리시스템에 대한 접속 권한을 IP 주소 등으로 제한하지 않고, 접속한 IP 주소 등을 분석하여 해커의 개인정보 유출 시도를 탐지·대응하기 위한 안전조치를 소홀히 한 행위 / 개인정보취급자가 외부에서 정보통신망을 통해 개인정보처리시스템에 접속이 가능토록 하면서, 안전한 접속수단 또는 안전한 인증수단 적용 없이 아이디·비밀번호만으로 접속이 가능하도록 운영한 행위 / 처리하는 개인정보가 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 대해 파일다운로드 시 입력값에 대한 검증 누락 등 취약점 점검 및 조치를 소홀히 한 행위 / 이용자가 아닌 정보주체의 고유식별정보를 암호화하지 않고 저장한 행위 / ※ 피심인의 주민등록번호 암호화 미조치 행위 / 개인정보처리시스템에 대한 접속기록 중 일부(처리한 정보주체 정보, 수행업무)를 보관·관리하지 않은 행위, 접속기록 점검 및 개인정보 다운로드 사유를 확인하지 않은 행위
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 제24조의2 | 법령의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 법적 처리 근거가 없음에도 ‘19. 11월부터 ’25. 4월 유출사고 발생 시까지 교육생의 주민등록번호를 수집·처리한 행위
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | 보유한 개인정보의 보유기간이 경과하였음에도 입사하지 않은 교육생과 퇴사자의 개인정보 및 인사 증빙서류(주민등록등본, 신분증 사본 등)를 파기하지 않고 보유한 행위
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’24. 12. 11. 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과한 ‘25. 1. 2. 개인정보 유출 통지를 한 행위
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2026-04-08 | 제2026-207-118호 | 세종화재해상자동차손해사정(주) | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2026-04-08 | 제2026-207-118호 | 세종화재해상자동차손해사정(주) | 제34조 | 개인정보 유출 발생시 통지 및 신고를 지연한 사실 | 유출 통지·신고 해태 | -
2026-04-08 | 제2026-207-117호 | ㈜두잉이앤엠 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2026-04-08 | 제2026-207-117호 | ㈜두잉이앤엠 | 제34조 | 개인정보 유출 발생시 통지 및 신고를 지연한 사실 | 유출 통지·신고 해태 | -
2026-04-08 | 제2026-207-116호 | 국립장기조직혈액관리원 | 제28조의2 | 가명정보 처리 의무 | 가명정보 처리 절차·기록 미비 | -
2026-04-08 | 제2026-207-116호 | 국립장기조직혈액관리원 | 제28조의2·제28조의3·제28조의4 | 가명정보에 대한 안전조치의무 | 안전조치 미흡(일반) | ‘21년부터 ‘24. 5월까지 가명정보 처리 기록을 보관하지 않은 것
2026-04-08 | 제2026-006-051호 | Cristie, Manson & Woods, Ltd | - | 법령 근거 등 없이 주민등록번호를 처리한 사실 | 주민등록번호 처리 제한 위반 | -
2026-04-08 | 제2026-006-051호 | Cristie, Manson & Woods, Ltd | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 사실 | 안전조치 미흡(일반) | 개인정보처리시스템에 대한 접근 권한을 재발급하기 위한 절차를 운영하면서 지식 기반 인증 외에 별도의 안전한 인증수단(SMS, 이메일 등)을 마련하지 않고, 재발급 당시 지식 기반 … 행위와 고유식별정보를 안전한 암호 알고리즘으로 암호화하여 저장하지 않은 행위
2026-04-08 | 제2026-006-051호 | Cristie, Manson & Woods, Ltd | 제34조 | 개인정보 유출 등의 통지·신고 의무를 소홀히 한 사실 | 유출 통지·신고 해태 | 유출 사실 인지 후 정당한 사유 없이 72시간을 경과하여 유출 통지·신고한 행위
2026-03-25 | 제2026-206-095호 | 아이디스파워텔(주) | 제28조 | 개인정보취급자에 대한 감독이 적절하게 이루어졌는지 여부 | 개인정보취급자 감독 소홀 | (…)의 개인정보취급자가 위탁대리점에서 업무수행을 위해 개인정보 파일을 다운로드 받고 해당 파일삭제 등 개인정보가 안전하게 관리될 수 있도록 취급자에 대한 적절한 관리‧감독을 소홀히 한 행위
2026-03-25 | 제2026-206-094호 | 넷플릭스서비시스코리아(유) | 제30조 | 개인정보 처리방침의 법정 사항을 공개하고 있는지 여부 | 처리방침 미비 | -
2026-03-25 | 제2026-206-093호 | (재)인천문화재단 | 제24조의2 | 법적 근거없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 법률 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 등이 아님에도 불구하고 주민등록번호를 처리한 행위
2026-03-25 | 제2026-206-093호 | (재)인천문화재단 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2026-03-25 | 제2026-206-092호 | 서울교통공사 | 제28조 | 개인정보취급자에 대한 감독 소홀 관련 | 개인정보취급자 감독 소홀 | 소속 인사 담당자들이 비공식적인 방법인 사내 메신저를 통해 인사정보를 공유하는 관행을 제대로 관리‧감독하지 않았고, 더욱이 영업사업소별 인사담당자가 자신이 속한 영업사업소 인사 발령 … 아니라 전 직원의 인사정보를 취급했음에도 적절한 관리‧감독을 하지 않은 행위
2026-03-25 | 제2026-206-092호 | 서울교통공사 | 제34조 | 개인정보 유출 통지‧신고 소홀 관련 | 유출 통지·신고 해태 | -
2026-03-25 | 제2026-206-090호 | 인천광역시 강화군 | 제24조의2 | 주민등록번호 처리의 제한 위반 | 주민등록번호 처리 제한 위반 | 제 근로자 채용 공고 및 응시원서 접수 과정에서 법률의 근거 없이 주민등록번호를 수집한 행위
2026-03-25 | 제2026-206-090호 | 인천광역시 강화군 | 제24조 | 고유식별정보의 처리 제한 위반 | 고유식별정보 처리 제한 위반 | 제 근로자 채용 공고 및 응시원서 접수 과정에서 법률의 근거 없이 주민등록번호를 수집한 행위
2026-03-25 | 제2026-206-089호 | 성남시의료원 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2026-03-25 | 제2026-206-089호 | 성남시의료원 | 제34조 | 개인정보 유출 신고 및 통지를 지연한 행위 | 유출 통지·신고 해태 | 담당자의 실수로 홈페이지에 개인정보가 포함된 감사보고서가 노출되어 사고 인지는 이루어졌으나, 72시간 내에 유출 통지를 하지 않은 행위
2026-03-25 | 제2026-206-088호 | 호원대학교 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 학생들의 최초 ID와 비밀번호를 학번으로 동일하게 부여하고, 주기적으로 비밀번호를 변경하여 사용하도록 안내 등을 누락한 것
2026-03-25 | 제2026-202-034호 | 한강시스템(주) | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘22. 8월 ~ ’24. 5. 2. 동안 개인정보 처리시스템이 논리적 오류를 발생시키는 소스코드에 대한 오류 점검을 소홀히 하는 등 안전성 확보에 필요한 조치를 다하지 않은 행위
2026-03-25 | 제2026-202-034호 | 한강시스템(주) | 제34조 | 개인정보 유출 발생시 통지 및 신고를 지연한 사실 | 유출 통지·신고 해태 | -
2026-03-25 | 제2026-005-025호 | 강북구청 | 제29조 | 개인정보의 안전성 확보조치 의무 | 안전조치 미흡(일반) | 그리고 피심인이 비밀번호를 안전하지 않은 암호화 알고리즘(…)으로 암호화하여 개인정보처리시스템에 저장한 것은 보호법 제29조, 같은 법 시행령 제30조제1항제4호, 고시 … 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관‧관리하지 않은 행위
2026-03-25 | 제2026-005-025호 | 강북구청 | 제34조 | 개인정보 유출 등의 통지 의무 | 유출 통지·신고 해태 | 개인정보 유출 사실을 인지한 후 72시간 이내에 유출 통지를 하면서 ‘유출등이 된 개인정보 항목’(제1호), ‘유출등이 된 시점과 그 경위’(제2호) 및 ‘개인정보처리자의 대응조치 및 피해 구제절차’(제4호)를 누락한 행위
2026-03-25 | 제2025-026-305호 | 공무원연금공단 | 제24조·제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’22. 4. 5.부터 ’23. 10. 23.까지 연금담당자 등록(변경) 신청서의 진위 검증을 소홀히 하여 권한 없는 자에게 5차례에 걸쳐 접근 권한을 부여한 행위 / ’22. 4. 5.부터 ’23. 10. 23.까지 연금담당자 등록(변경) 신청서의 진위 검증을 소홀히 하여 권한 없는 자에게 5차례에 걸쳐 접근 권한을 부여한 행위는 보호법 … 연금담당자 권한을 상실한 자의 시스템 접근 권한을 지체 없이 말소하지 않은 행위 / ’23. 11. 17. 이전까지 시스템의 접속기록을 보관‧관리하면서 필수 항목인 ‘수행 업무’의 보관을 누락한 행위 / ’23. 11. 17. 이전까지 시스템의 접속기록을 보관‧관리하면서 필수 항목인 ‘수행 업무’의 보관을 누락한 행위는 보호법 제24조제3항 및 제29조, 같은 법 시행령 제21조제1항 및 … 소속 직원 외 연금취급기관별 담당자들의 시스템 접속기록을 점검하지 않은 행위
2026-03-11 | 제2026-004-023호 | 롯데카드 주식회사 | 제24조의2 | 법령상 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 따라서, 피심인이 신용정보법 및 신용정보법 시행령 제37조의2제4항에 근거하여 금융거래 목적으로 수집한 주민등록번호를 로그파일에 기록‧저장하고 민원 대응을 위하여 조회하는 등 법에서 허용한 범위를 벗어나 처리한 행위
2026-03-11 | 제2026-004-023호 | 롯데카드 주식회사 | 제24조의2 | 주민등록번호에 대한 암호화 조치를 하지 않은 행위 | 암호화 미조치 | -
2026-01-28 | 제2026-202-036호 | 시민종합사회복지관 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 담당자 과실로 주민등록번호가 포함된 개인정보 파일을 홈페이지 게시판을 통해 열람 권한이 없는 자에게 개인정보 보호조치 없이 장기간(‘12년~’25년 7월) 공개되도록 하였고, 민원 발생시까지 이를 점검‧확인하지 못한 행위
2026-01-28 | 제2026-202-036호 | 시민종합사회복지관 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2026-01-28 | 제2026-202-035호 | 디노랩스 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | DB에 대한 접속 권한을 IP 주소 등으로 제한하는 등 불법적인 접근 및 침해사고 방지를 위한 정책 설정 및 운영을 소홀히 한 행위
2026-01-28 | 제2026-202-035호 | 디노랩스 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2026-01-28 | 제2026-002-004호 | 엔에이치엔커머스㈜ | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 해커의 SQL 인젝션 공격을 방지하기 위한 SQL 쿼리와 같은 웹서버 입력값에 대한 검증 등 취약점 점검 및 조치를 소홀히 한 행위
2026-01-28 | 제2026-002-004호 | 엔에이치엔커머스㈜ | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘24. 10. 11. 로그 분석을 통해 유출 대상 및 규모를 확인하여 개인정보 유출 사실을 인지했음에도 17개 이용사업자에게 유출사실 및 정보주체 통지 등 안내 메일·전화를 일회성 … 아니하여 정보주체에 대한 유출 통지가 72시간 내 완료되도록 하지 못한 행위
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 제24조·제24조의2 | 주민등록번호 처리 제한 | 주민등록번호 처리 제한 위반 | -
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 제29조 | 개인정보의 안전성 확보조치 의무 | 안전조치 미흡(일반) | 포털에 대한 취약점 점검은 매년 실시하면서도 1,617개(’25년 기준)에 달하는 학회페이지에 대한 취약점 점검은 실시하지 않았고, 학회페이지 내 비밀번호 찾기 페이지에 존재하는 웹취약점을 … 취약점을 악용한 파라미터 변조 공격을 수행하여 회원의 개인정보를 열람한 것
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 제34조 | 개인정보 유출 등의 통지 의무 | 유출 통지·신고 해태 | 개인정보 유출 사실을 인지한 후 72시간 이내에 유출 통지를 하면서 ‘유출등이 된 개인정보 항목’을 구체적으로 명시하지 않고 개인 식별성이 높은 전화번호, 연구자등록번호 등 일부 항목을 생략한 것
2025-12-10 | 제2025-223-474호 | 세무법인 동안 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 담당자 과실로 주민등록번호가 포함된 업무용 계약서 파일이 홈페이지 게시판을 통해 열람 권한이 없는 자에게 공개된 것
2025-12-10 | 제2025-223-473호 | ㈜아일로 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘22. 1. 25. ~ ’23. 2. 17. 동안 개인정보처리시스템에 대해 접속 권한을 IP 주소 등으로 제한하지 않고 운영한 행위 / 또, 피심인이 개인정보취급자의 개인정보처리시스템 접속기록을 1년 이상 보존·관리하지 않은 행위
2025-12-10 | 제2025-223-473호 | ㈜아일로 | 제39조의4 | 개인정보 유출 신고 및 통지를 지연한 행위 | 유출 통지·신고 해태 | ’23. 1. 15. 14:00 개인정보 유출 사실을 인지하였음에도 불구하고 정당한 사유 없이 24시간 이상 경과한 ‘23. 1. 16. 22:00 개인정보 포털에 유출신고하고, ’23. 1. 16. 23:15 유출통지한 행위
2025-12-10 | 제2025-223-472호 | 얼굴홈트(주) | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2025-12-10 | 제2025-223-472호 | 얼굴홈트(주) | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-12-10 | 제2025-223-471호 | 강원특별자치도교육청 | 제23조·제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 산업안전보건법에 따른 일반건강진단 실시 업무를 위해 관내 현업종사자들의 개인정보를 처리하는 개인정보처리자로서, 보호법 제29조에 따라 자신이 처리하는 개인정보가 권한 없는 자에게 공개되거나 … 일부 사립학교를 포함하여 관계기관에 일괄 발송함으로써 개인정보를 유출한 것
2025-12-10 | 제2025-223-471호 | 강원특별자치도교육청 | 제34조 | 개인정보 유출 신고 및 통지를 하지 않은 행위 | 유출 통지·신고 해태 | ’23.12.8. 개인정보 유출 사실을 인지하였음에도 현재까지 유출 통지 및 신고를 하지 않았는바, 유출 사실을 정보주체에게 통지하지 않은 행위
2025-12-10 | 제2025-026-308호 | K Games, Inc | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템을 운영하면서, 개인정보취급자가 외부에서 정보통신망을 통해 시스템에 접속 시 안전한 인증수단을 적용하지 않고 계정정보(ID 및 PW)만으로 접속할 수 있게 동 시스템을 운영한 행위
2025-12-10 | 제2025-026-308호 | K Games, Inc | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’22. 1. 17.에 유출 사실을 인지한 후 정당한 사유 없이 24시간을 경과하여 ’22. 1. 20.에 해당 정보주체에게 유출을 통지하고, ’22. 1. 22.에 개인정보보호위원회에 신고한 행위
2025-12-10 | 제2025-026-307호 | (사)부산국제금융진흥원 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ERP 시스템을 사내 특정PC에 설치·운영하면서 ’20. 4월 ~ ’25. 3월까지 정보통신망을 통한 불법적인 접근 및 침해사고 방지에 필요한 방화벽의 설치·운영 등 안전조치를 적용하지 않은 행위 / 또한, 피심인이 ’24. 6월까지 ERP 시스템의 운영체제 보안업데이트를 최신 상태로 유지하지 아니한 행위
2025-12-10 | 제2025-026-307호 | (사)부산국제금융진흥원 | 제24조 | 주민등록번호를 암호화하여 저장하지 아니한 행위 | 암호화 미조치 | ERP 시스템을 운영하면서 ’20. 4월∼’24. 6월 간 수집한 임직원 및 기타소득 대상자의 주민등록번호를 암호화하여 저장하지 아니한 행위
2025-12-10 | 제2025-026-306호 | 국립항공박물관 | 제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 운영 초기부터 까지 관리자 계정을 소속 직원 및 수탁업체 직원들과 공유하고, 관리자 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하지 않고 일부 교육 프로그램의 운영을 위탁한 업체 직원들에게도 모든 회원정보에 접근 가능한 관리자 계정을 이용하도록 한 행위 / 또한, 피심인이 이전까지 관리자 페이지에 접속 가능한 IP 주소를 제한하지 않은 행위와 이전까지 외부에서도 안전한 인증수단 적용 없이 아이디와 패스워드만으로 관리자 페이지 접속이 가능하도록 한 행위 / 아울러 피심인이 이전까지 의 접속기록을 점검하지 않고, 내부관리계획에 따른 기준치를 초과하는 다운로드가 발생한 경우에도 그 사유를 확인하지 않은 행위
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | 제34조 | 개인정보 유출 신고를 소홀히 한 사실 | 유출 통지·신고 해태 | -
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보 취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | ‘25. 8. 7. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 ‘25. 8. 27. 유출 통지 및 신고한 행위
2025-11-26 | 제2025-222-446호 | 필 리 핀 항공 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-11-26 | 제2025-222-446호 | 필 리 핀 항공 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-11-26 | 제2025-222-443호 | ㈜씨아이에스 보험자문중개법인 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-11-26 | 제2025-222-443호 | ㈜씨아이에스 보험자문중개법인 | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-11-26 | 제2025-024-303호 | umanle S.R.L | 제30조 | 개인정보처리방침을 정하지 않은 행위 | 처리방침 미비 | 나무위키 웹사이트 하단에 공개한 “Política de privacidad y Términos de uso”(개인정보 처리방침 및 이용약관)에서 보호법에 따른 사항이 포함되지 않는 등 처리방침을 수립․공개하지 않은 행위
2025-11-26 | 제2025-024-303호 | umanle S.R.L | 제63조 | 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부한 행위 | 자료제출 거부·미제출 | 위원회의 자료제출 요구와 관련하여 파라과이 내 사법기관을 통해 요구하라고 답변하거나 보호법 준수 의사 관련 질문에 응답하지 않은 행위
2025-11-26 | 제2025-024-302호 | Elevate Hong Kong Holdings Limited | 제26조 | 피심인의 주민등록번호 처리의 제한 규정(舊 보호법 §24조의2①) 위반 | 주민등록번호 처리 제한 위반 | 따라서, 피심인이 위탁자인 스타벅스 본사의 윤리구매 평가 업무를 수행하면서 개인정보를 처리하는 수탁자로서 납품회사 임직원 4명의 주민등록번호를 피심인의 시스템에 수집‧보관한 것
2025-11-26 | 제2025-024-301호 | Starbucks Corporation | 제23조의2·제26조 | 피심인의 개인정보 처리 위탁 규정(舊 보호법 §26조①‧④) 위반 | 위·수탁 계약 사항 흠결 | 따라서 피심인이 해당 업무를 Elevate가 수행하도록 하면서 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 등을 포함한 문서에 의하지 않은 것
2025-11-26 | 제2025-024-300호 | ㈜바텍엠시스 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘18. 7월부터 홈페이지를 운영하면서 처리시스템에 대한 접근권한을 취급자의 업무 수행에 필요한 최소한의 범위로 차등부여하지 않고 다수의 취급자가 1개의 공동계정을 사용하게한 행위 / ‘18. 7월부터 홈페이지를 운영하면서 정보통신망을 통해 외부에서 처리시스템에 접속시 ID/PW 외 안전한 인증수단을 적용하지 않은 행위 / ‘18. 7월부터 홈페이지를 운영하면서 월 1회 이상 처리시스템의 접속기록 등을 점검하지 않은 행위
2025-11-26 | 제2025-024-299호 | ㈜하스 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ~ ’24. 7. 26. 동안 외부에서 개인정보처리시스템(관리자 페이지)에 접속하는 경우 아이디, 비밀번호 외 안전한 인증수단을 적용하지 않고 운영한 행위 / 개인정보처리리스템(관리자 페이지)에 대한 개인정보취급자의 접속기록＊ 중 ‘처리한 정보주체의 정보’를 보관하지 않은 행위 및 개인정보처리리스템(DB)에 대한 개인정보취급자의 접속기록을 보관하지 않은 행위 행위
2025-11-26 | 제2025-024-299호 | ㈜하스 | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | ’24. 2. 13. KISA로부터 이용자의 개인정보가 다크웹에 게시된 사실,다크웹의 URL, 유출된 정보의 샘플 이미지, 개인정보 유출 신고 안내 관련 내용 등을 전달받아 실제 DB … 25. 유출 신고한 행위 및 ’25. 2. 7. 이용자 대상 유출 통지한 행위
2025-11-20 | 제2025-221-440호 | ㈜테난 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보가 포함된 고객정보 처리를 위해 문의 프로그램에 접근하는 개인정보취급자에 대한 교육 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2025-11-20 | 제2025-221-440호 | ㈜테난 | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | -
2025-11-20 | 제2025-221-439호 | 수원상공회의소 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-11-20 | 제2025-221-439호 | 수원상공회의소 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-11-20 | 제2025-221-438호 | 법무법인 산하 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-11-20 | 제2025-221-438호 | 법무법인 산하 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-11-20 | 제2025-221-437호 | 정진테크 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 웹사이트 내 페이지를 관리하기 위하여 개인정보를 수집하면서, 웹페이지의 소스코드에 사용자 비밀번호가 노출되게 한 행위 / 웹사이트 내 페이지를 관리하기 위하여 개인정보를 수집하면서, 사용자의 비밀번호를 일방향 암호화하여 저장하지 않은 행위
2025-11-20 | 제2025-221-436호 | ㈜티노파이브 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | DB에 접속할 수 있는 관리 페이지에 대한 IP 주소 제한 등 불법적인 접근 및 침해사고 방지를 위한 정책 설정 및 운영을 소홀히 한 행위
2025-11-20 | 제2025-221-435호 | ㈜파우컴퍼니 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’21. 6. 1. ~ ’23. 3. 2. 동안 개인정보처리시스템(…)에 대한 접속권한을 IP 주소 등으로 제한하지 않고 운영한 행위 / 또한, 피심인이 ’21. 6. 1. ~ ’25. 2. 13. 동안 개인정보처리시스템(…)에 접속한 개인정보취급자의 접속기록을 보관·관리하지 않은 행위
2025-11-20 | 제2025-221-435호 | ㈜파우컴퍼니 | 제39조의4 | 개인정보 유출 신고 및 유출 통지를 소홀히 한 사실 | 유출 통지·신고 해태 | -
2025-11-20 | 제2025-221-433호 | ㈜씨제이이엔엠 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 구글폼을 이용하여 이용자의 개인정보를 처리하는 과정에서 ‘결과요약 보기’ 기능을 비활성화하지 않아 설문에 참여한 이전 응답자의 개인정보가 열람 권한이 없는 타인(다른 응답자)에게 노출되도록 한 행위
2025-11-20 | 제2025-221-428호 | 광주도시관리공사 | 제26조 | 개인정보 처리업무 위탁사실을 미공개한 행위 | 위탁·국외이전 미고지·미공개 | -
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 제24조·제24조의2·제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다수의 개인정보가 포함된 자료 등이 저장·관리되고 있는 개인정보처리시스템인 인트라넷 시스템에 대한 접속 권한을 IP 주소 등으로 … 해커의 개인정보 유출 시도를 탐지·대응하기 위한 안전조치를 소홀히 한 행위 / 외부에서 정보통신망을 통해 개인정보처리시스템인 인트라넷 시스템에 개인정보취급자가 접속이 가능토록 하면서, 안전한 인증수단 적용 없이 아이디·비밀번호만으로 접속이 가능하도록 운영한 행위 / 해커의 SQL 인젝션 공격을 방지하기 위한 SQL 쿼리와 같은 웹서버 입력값에 대한 검증 등 취약점 점검 및 조치를 소홀히 한 행위 / 개인정보취급자의 비밀번호를 일방향 암호화하여 저장·관리하지 않았고, 정보주체의 주민등록번호, 계좌번호 등이 포함된 소송 자료를 암호화 등 조치를 하지 않고 저장·관리한 행위 / ※ 피심인이 정보주체의 주민등록번호, 계좌번호 등에 대한 암호화 미조치 관련 위반 행위 / 개인정보처리시스템에 대한 권한 부여, 변경 또는 말소에 대한 내역을 기록하지 않았으며, 개인정보취급자의 접속기록을 보관·관리하지 않은 행위
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | ‘16. 1월부터 ’24. 8월 유출사고 발생 당시까지 약 개(TB)의 소송 관련 자료를 보유·관리하면서, 법률 서비스 위임 종료(사건 종결 등) 등 개인정보가 불필요하게 되었음에도 해당 개인정보가 포함된 자료를 파기하지 않은 행위
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘24. 9. 5. 해커가 다크웹에 피심인의 사건 관리 리스트 샘플 파일이 게시된 것을 확인하여 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과한 ’25. 9. 29. ~ 9. 30. 유출된 정보주체 대상 개인정보 유출 통지를 실시한 행위
2025-11-20 | 제2025-023-295호 | ㈜레저플러스 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘20. 12. 30. 골프 예약플랫폼(…)을 인수하여 운영하면서 ’24. 10. 22.까지 침입탐지·차단 시스템(웹방화벽 등)을 운영하지 않은 행위 / 웹페이지 대상 SQL 취약점 공격을 통해 ’24. 9. 24.(1차), ‘24. 10. 22.(2차)에 걸쳐 회원 총 160,807명의 개인정보 유출되는 등 소스코드에 대한 취약점 점검을 소홀히 한 행위 / ‘20. 12. 30.부터 회원의 패스워드를 안전하지 않은 암호화 알고리즘인 MD5로 암호화하여 저장·운영한 행위
2025-11-20 | 제2025-023-294호 | ㈜더존하우징 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘18. 3월부터 홈페이지를 운영하면서 ’24. 3. 15.까지 침입탐지·차단 시스템(웹방화벽 등)을 운영하지 않아 해커의 SQL 인젝션 공격 등 개인정보 유출 시도를 탐지·대응 조치를 소홀한 행위 / 홈페이지 대상 SQL 취약점 공격을 통해 ’23. 12. 25. ~ 29.에 걸쳐 회원 총 33,870명의 개인정보 유출되는 등 소스코드에 대한 취약점 점검을 소홀히 한 행위 / ‘18. 3월부터 회원의 패스워드를 안전하지 않은 암호화 알고리즘인 MD5로 암호화하여 저장·운영한 행위 / ‘18. 3월부터 회원 정보가 담긴 DB에 대한 별도의 접속기록을 보관·관리하지 않은 행위
2025-11-20 | 제2025-023-293호 | ㈜이젠 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘12. 3.부터 홈페이지를 운영하면서 침입탐지·차단 시스템을(IDS·IPS) 운영하지 않았고, 웹방화벽은 운영하였으나 ’24. 9. 23.까지 SQL Injection 탐지·차단 정책을 적용하지 않는 등 개인정보 유출 시도 탐지·차단을 소홀히 한 행위 / 웹페이지에 대한 취약점 점검·조치 등을 소홀히 하여 ’21. 9. 6. ~ ‘24. 8. 28. 동안 SQL Injection 공격이 발생하도록 운영한 행위 / ‘21. 7. 새로운 암호화 솔루션으로 교체하는 과정에서 암호화 설정을 올바르게 수행하지 않아 ’21. 7. ~ 11. 동안 DB에 주민등록번호가 암호화되지 않고 보관한 행위
2025-11-20 | 제2025-023-293호 | ㈜이젠 | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | ’24. 8. 21. KISA로부터 이용자의 개인정보가 텔레그램에 유출된 사실, 유출된 개인정보 파일 및 관련 내용 등을 전달받아 외부 업체를 통해 ‘24. 8. 22. ~ 25.경 … 정당한 사유 없이 72시간 경과한 ’24. 8. 30. 유출 신고·통지한 행위
2025-10-22 | 제2025-219-398호 | ㈜볼랩 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 회원관리 및 정보를 조회할 수 있는 웹페이지를 운영하면서 접근통제 조치를 소홀히 하여 권한 없는 자가 URL 변조만으로 타인의 개인정보를 확인 가능하도록 운영한 행위
2025-10-22 | 제2025-219-398호 | ㈜볼랩 | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | -
2025-10-22 | 제2025-022-256호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | 일평균 100만명 이상의 개인정보를 저장·관리하면서 ’16년부터 개인정보 다운로드 또는 파기 및 접근 권한을 설정할 수 있는 개인정보취급자 노트북에 대한 인터넷망 차단조치를 하지 않아 악성코드 감염, 내부 침투경로 및 외부 유출 경로로 활용되도록 운영한 행위 / ‘25. 1. 17.부터 비정상적인 DB 접근기록이 있었음에도 점검·대응을 소홀히 하여 2. 23.까지 1개월 이상 전체 이용자의 개인정보가 유출되었고, 내부자료를 외부로 유출하면서 … 침입 탐지·차단 시스템 및 모니터링 시스템을 통해 적절히 점검하지 못한 행위
2025-09-24 | 제2025-218-381호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 카페를 운영하면서 실명인증을 위해 글쓰기 제목에 동-호수-실명을 표시해 게시하도록 하여 입주민의 개인정보가 인터넷에 공개되도록 한 것
2025-09-24 | 제2025-218-381호 | 비공개 | 제3조 | 개인정보 보호 원칙 준수를 소홀히 한 행위 | 개인정보 보호원칙 위반 | -
2025-09-24 | 제2025-218-380호 | 한국정보보호산업협회 | 제29조 | 안전성 확보한 필요한 조치를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2025-09-24 | 제2025-218-380호 | 한국정보보호산업협회 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | …1.2. 발생한 이메일 동보발송에 대해 「개인정보 보호위원회의 조사 및 처분에 관한 규정」에 따라 미착수 종결(3. 13.)하면서 취급자에 대한 교육 등 관리‧감독을 철저히 할 것을 주의 촉구하였으나, 이를 소홀히 한 것
2025-09-24 | 제2025-218-379호 | ㈜아파트스토리 | 제22조 | 재화나 서비스를 홍보하거나 판매를 권유하기 위한 개인정보 처리에 동의하지 아니한다는 이유로 서비스 제공을 거부한 행위 | 동의 없는 수집·이용·제공 | 앱 이용약관 중 ‘마케팅 정보 수신 동의’를 필수항목으로 지정하고, 이에 동의하지 않을 경우 회원가입이 불가능해 서비스를 이용할 수 없도록 한 것
2025-09-24 | 제2025-218-378호 | ㈜클래스101 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’25. 1. 9. ~ ’25. 1. 17. 동안 관리자 계정 정보가 담긴 웹페이지를 외부 공개로 설정하여 권한 없는 자가 접속하여 개인정보를 확인 가능하도록 운영한 행위
2025-09-24 | 제2025-218-374호 | ㈜스마트레이저 | 제24조·제29조 | 고유식별정보 등의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-09-24 | 제2025-218-373호 | (사)전국재해구호협회 | 제26조 | 개인정보 처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | -
2025-09-10 | 제2025-217-355호 | 다한마케팅 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘12. 11. 17 ~ ’24. 7. 1. 동안 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 보안장비를 설치·운영하지 않은 행위 / ‘12. 12. 17 ~ ’24. 7. 1. 동안 관리자페이지 내 회원DB가 특정URL입력만으로 권한이 없는자에게 공유설정되는 것에 대해 조치하지 않은 행위 / ‘12. 11. 17 ~ ’24. 7. 1. 동안 이용자 비밀번호를 안전하지 않은 암호 알고리즘으로 암호화하여 저장한 행위 / ‘12. 11. 17 ~ ’24. 7. 1. 동안 취급자가 처리시스템에 접속한 기록을 1년 이상 보존하지 않은 행위
2025-09-10 | 제2025-217-354호 | 타이어뱅크㈜ | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’21. 10월 ~ ’24. 12. 4. 동안 웹사이트 내 이벤트 페이지 비밀 댓글 기능으로 개인정보를 수집하면서, 관리자 권한 검증 없이 개인정보가 열람 가능한 보안 취약점 점검·조치를 소홀히 한 행위
2025-09-10 | 제2025-217-354호 | 타이어뱅크㈜ | 제21조 | 처리목적을 달성한 개인정보 파기를 소홀히 한 사실 | 파기 미이행 | -
2025-09-10 | 제2025-217-354호 | 타이어뱅크㈜ | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’24. 12. 3. 민원이 접수되어 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ’25. 2. 28. 이용자 대상 유출 통지한 행위
2025-09-10 | 제2025-217-351호 | 숨수면의원 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-09-10 | 제2025-217-351호 | 숨수면의원 | 제34조 | 개인정보 유출 신고 및 통지를 지연한 행위 | 유출 통지·신고 해태 | 개인정보 유출 사실을 인지하였음에도 정당한 사유 없이 유출 통지 및 신고를 지연한 행위
2025-09-10 | 제2025-217-348호 | 마포구 | 제24조·제28조·제29조 | 개인정보취급자에 대한 관리‧감독 의무 및 안전조치의무 | 개인정보취급자 감독 소홀 | -
2025-09-10 | 제2025-217-348호 | 마포구 | 제34조 | 개인정보 유출 등의 통지 의무 | 유출 통지·신고 해태 | -
2025-09-10 | 제2025-020-252호 | ㈜몽클레르코리아 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-09-10 | 제2025-020-252호 | ㈜몽클레르코리아 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’22. 1. 17.에 유출 사실을 인지한 후 정당한 사유 없이 24시간을 경과하여 ’22. 1. 20.에 해당 정보주체에게 유출을 통지하고, ’22. 1. 22.에 개인정보보호위원회에 신고한 행위
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 제31조 | 개인정보 보호책임자의 지정 등을 소홀히 한 행위 | 보호책임자 지정 미비 | -
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 제34조 | 개인정보 유출 통지를 지연한 행위 | 유출 통지·신고 해태 | -
2025-07-23 | 제2025-214-313호 | 이화의대부속서울병원 | 제23조 | 민감정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 민감정보를 포함한 개인정보에 대한 접근 통제 조치와 보안 프로그램의 최신성을 유지하지 않아, 환자의 민감정보 가 포함된 개인정보가 유출되었으며, 민감정보에 해당하는 건강정보에 대한 안전관리를 소홀히 한 행위
2025-07-23 | 제2025-214-312호 | ㈜키콕스파트너스 | 제24조의2 | 법률 등의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 舊 보호법에서 정하는 예외사유에 해당되지 않는 경우 주민등록번호를 처리할 수 없으므로, 법률 등에 근거 없이 입사지원자의 주민등록번호(10건)를 수집하여 저장·보유한 피심인의 행위
2025-07-23 | 제2025-214-312호 | ㈜키콕스파트너스 | 제24조의2 | 주민등록번호를 암호화하여 안전하게 보관하지 않은 행위 | 암호화 미조치 | 입사지원자의 주민등록번호를 수집 및 보관하면서 암호화 등 안전성 확보에 필요한 조치를 하지 않는 피심인의 행위
2025-07-23 | 제2025-214-312호 | ㈜키콕스파트너스 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 홈페이지에 채용을 위한 페이지를 추가하면서, 관리자에 한하여 해당 페이지에 접근할 수 있도록 소드코드를 삽입하는 등 접근통제 조치를 하지 않은 행위
2025-07-23 | 제2025-016-236호 | (재)전남테크노파크 | 제29조 | 개인정보의 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 월부터 월까지 개인정보처리시스템(DB)의 취급자 계정에 유추하기 쉬운 비밀번호를 설정한 행위 / 월부터 월까지 개인정보처리시스템(DB)에 접속할 수 있는 권한을 IP 주소 등으로 제한하고, 개인정보에 대한 불법적인 접근 및 유출 시도에 대한 탐지·차단 조치를 취하지 않은 행위 / 월부터 월까지 정보주체의 비밀번호를 안전하지 않은 암호 알고리즘(…)으로 암호화하여 저장하고, 홈페이지 로그인 시 정보통신망을 통해 전송하는 비밀번호를 암호화하지 않고 수신한 행위 / 또한, 월부터 월까지 개인정보취급자가 개인정보처리시스템(DB)에 접속하여 처리한 기록을 1년 이상 보관ㆍ관리하지 않은 행위
2025-07-23 | 제2025-016-236호 | (재)전남테크노파크 | 제34조 | 개인정보 유출 통지 및 신고를 소홀히 한 행위 | 유출 통지·신고 해태 | 72시간을 경과하여 홈페이지에 유출 사실을 게시하고, 개인정보 유출을 신고한 행위
2025-07-23 | 제2025-016-235호 | ㈜해성디에스 | 제24조·제29조 | 고유식별정보 및 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 운영 중이던 장비 제조사인 와 한국인터넷진흥원은 취약점에 대한 조치 안내문을 게재하였으나, 피심인이 주민등록번호 등 개인정보를 처리하면서 해당 취약점에 대한 패치 적용 등 조치하지 아니한 행위 / 또한, 피심인이 ~ 기간 동안 개인정보를 처리하는 일부 시스템에서 악성프로그램을 방지·치료 기능이 동작하지 않은 채로 운영한 행위
2025-07-23 | 제2025-016-234호 | 주식회사 잡보스 | 제24조의2 | 적법한 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 잡보스 홈페이지를 운영하며 피고용자에 대한 평가 작성 등을 위해 주민등록번호를 처리한 행위
2025-07-23 | 제2025-016-234호 | 주식회사 잡보스 | 제15조 | 정보주체의 동의 없이 개인정보를 수집‧이용한 행위 | 동의 없는 수집·이용·제공 | 피고용자에 대한 평가 및 비방 내용 등이 포함된 ’리뷰’글을 수집하고 이를 불특정 다수에게 공개하면서, 정보주체인 피고용자에게 동의를 받지 않는 등 적법한 근거 없이 개인정보를 수집‧이용한 행위
2025-07-23 | 제2025-016-233호 | Qookka Entertainment Limited | 제24조의2 | 법적 근거 없이 주민등록번호를 처리한 사실 | 주민등록번호 처리 제한 위반 | 보호법 제24조의2제1항 각 호에서 규정한 바와 같이 법령 등에서 처리를 요구하거나 허용한 경우 등이 아님에도 이벤트 주류경품 당첨자의 주민등록번호를 수집․보관한 행위
2025-07-09 | 제2025-015-230호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-07-09 | 제2025-015-230호 | 비공개 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-07-09 | 제2025-015-229호 | ㈜비와이엔블랙야크 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2025-07-09 | 제2025-015-228호 | ㈜자비스앤빌런즈 | 제23조 | 민감정보 수집시 동의 | 민감정보 별도동의 흠결 | -
2025-07-09 | 제2025-015-228호 | ㈜자비스앤빌런즈 | 제24조의2 | 주민등록번호를 입력받아 전송한 행위 | 주민등록번호 처리 제한 위반 | -
2025-07-09 | 제2025-015-227호 | 지엔터프라이즈㈜ | 제23조 | 민감정보 수집시 동의 | 민감정보 별도동의 흠결 | -
2025-07-09 | 제2025-015-227호 | 지엔터프라이즈㈜ | 제24조의2 | 주민등록번호를 입력받아 전송한 행위 | 주민등록번호 처리 제한 위반 | -
2025-07-09 | 제2025-015-227호 | 지엔터프라이즈㈜ | 제30조 | 개인정보 처리방침에 보유기간에 대한 근거를 법령으로만 제시한 행위 | 처리방침 미비 | -
2025-07-09 | 제2025-015-226호 | 토스인컴㈜ | 제24조의2 | 주민등록번호를 입력받아 전송한 행위 | 주민등록번호 처리 제한 위반 | -
2025-07-09 | 제2025-015-226호 | 토스인컴㈜ | 제30조 | 개인정보 처리방침에 보유기간에 대한 근거를 법령으로만 제시한 행위 | 처리방침 미비 | -
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 제22조 | 개인정보 수집·이용 및 제공에 관하여 개인정보처리방침 및 피해 사례등록 약관으로 동의받은 사실 | 동의 없는 수집·이용·제공 | 더치트 서비스의 회원가입 및 피해사례 등록 시 개인정보 수집·이용, 제공에 대하여 개인정보처리방침 및 피해사례 등록 약관으로 동의받은 행위
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 제30조 | 개인정보처리방침에 법정 고지사항 중 일부를 누락한 행위 | 처리방침 미비 | 더치트 서비스의 개인정보처리방침에 법정 기재항목을 누락한 행위
2025-06-25 | 제2025-212-284호 | ㈜주스 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 구글 설문지를 통해 이용자의 개인정보를 처리하는 과정에서 ‘결과요약 보기’ 기능을 비활성화하지 않아 열람 권한이 없는 자에게 이용자의 고유식별정보(주민등록번호)등 개인정보가 유출된 행위
2025-06-25 | 제2025-212-279호 | 국방부 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | -
2025-06-25 | 제2025-212-278호 | 서울중앙지방법원 | 제24조·제29조·제34조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-25 | 제2025-212-278호 | 서울중앙지방법원 | 제24조의2 | 주민등록번호가 포함된 파일을 암호화 하지 않은 행위 | 암호화 미조치 | -
2025-06-25 | 제2025-212-277호 | 경기도화성오산교육지원청 | 제24조·제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-25 | 제2025-212-277호 | 경기도화성오산교육지원청 | 제24조의2 | 주민등록번호가 포함된 파일을 암호화 하지 않은 행위 | 암호화 미조치 | -
2025-06-25 | 제2025-014-047호 | TELUS International AI, Ltd | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’23. 8. 28. 채용 담당자와 관리자 등이 ‘개인정보를 조회할 때 사용하는 API’를 업데이트하면서, 시큐어 코딩 도입 및 소스코드 배포 전 보안 취약점 점검 등을 하지 않아, 쉽게 점검·조치할 수 있는 보안 취약점이 방치된 채 시스템을 운영한 행위
2025-06-25 | 제2025-014-047호 | TELUS International AI, Ltd | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | ’23. 11. 2. 한국 정보주체의 개인정보 유출 사실을 인지하였으나, 정당한 사유 없이 72시간을 경과한 ’23. 11. 14. 개인정보보호위원회에 유출 신고하고, 이후 ’23. 12. 8.에 정보주체 대상 유출 통지를 한 행위
2025-06-25 | 제2025-014-046호 | (재)한국인정지원센터 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-25 | 제2025-014-046호 | (재)한국인정지원센터 | 제24조 | 주민등록번호를 암호화하여 저장하지 아니한 행위 | 암호화 미조치 | -
2025-06-25 | 제2025-014-046호 | (재)한국인정지원센터 | 제24조의2 | 법령의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | -
2025-06-25 | 제2025-014-046호 | (재)한국인정지원센터 | 제21조 | 처리 목적 달성 등 불필요한 개인정보를 파기하지 아니한 행위 | 파기 미이행 | -
2025-06-11 | 제2025-211-254호 | ㈜기가요 | 제21조 | 개인정보 처리 목적 달성 후 파기하지 않은 사실 | 파기 미이행 | 개통 대리업무 수행 목적 상 필요한 개인정보(이름, 연락처, 주민등록번호, 계좌번호 등)를 수집 후 위탁사 시스템에 입력 ·전송한 뒤에도 일부 PC에 보관하는 등 파기하지 않은 행위
2025-06-11 | 제2025-211-253호 | 한국에이티씨센터㈜ | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’14. 11월(웹사이트 게시) ~ ’25. 3. 17.(서버 이전 및 파일 업로드 취약점 조치) 동안 웹서버에 업로드된 파일에 대한 파일 확장자 검사·제한, 실행권한 제한 등의 … 점검·조치를 소홀히 하여 열람 권한이 없는 자에게 이용자의 개인정보가 유출된 행위 / 웹방화벽 등 보안장비를 설치·운영하지 않아 해커가 웹서버에 웹셸 등 악성파일을 업로드하고 실행시키는 이상 행위를 인지하지 못하는 등 IP 주소 등을 재분석하여 불법적인 유출 시도에 대한 탐지·대응 조치를 소홀히 한 행위 / 외부에서 개인정보취급자가 개인정보처리시스템에 접속하는 경우 ID, PW 외 안전한 인증수단을 적용하지 않은 행위
2025-06-11 | 제2025-211-253호 | 한국에이티씨센터㈜ | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-06-11 | 제2025-211-252호 | ㈜조선호텔앤리조트 조선팰리스강남 | 제35조 | 개인정보 열람 요구에 알려야 할 사항을 알리지 않은 행위 | 동의 방법·고지사항 흠결 | 그러나, 피심인은 촬영된 영상물에 다른 고객도 포함되어 있어 제공이 어렵다는 답변과 사고 처리 진행을 확인해보겠다는 안내만 하였을 뿐 ‘영상물 열람 요구’에 대한 조치 결과를 명확히 알리지 않은 행위
2025-06-11 | 제2025-211-251호 | 더블에스컴퍼니 | 제25조 | 영상정보처리기기 설치·운영이 제한되는 장소에 CCTV를 설치한 행위 | 영상정보처리기기 설치·운영 위반 | 탈의·환복 공간에 CCTV를 설치한 행위
2025-06-11 | 제2025-013-044호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-11 | 제2025-013-044호 | 비공개 | 제39조의4 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’22. 7. 19. 한국인터넷진흥원으로부터 침해사고 분석보고서 수신 후 개인정보 유출 사실을 인지헀음에도 유출 신고를 하지 않은 행위와 정당한 사유 없이 24시간을 경과하여 유출 통지를 한 행위
2025-06-11 | 제2025-013-043호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-11 | 제2025-013-042호 | 머크㈜ | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-11 | 제2025-013-042호 | 머크㈜ | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-06-11 | 제2025-013-041호 | 이화여자대학교 | 제24조·제29조 | 개인정보의 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-11 | 제2025-013-040호 | 전북대학교 | 제24조·제29조 | 개인정보의 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-06-11 | 제2025-013-040호 | 전북대학교 | 제24조의2 | 법령의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 집한 주민등록번호(영어캠프에 참여한 초등학생의 보호자 233명) 를 계속 보유할 법령상 근거가 없음에도 불구하고 유예기간 (법 시행일로부터 2년) 내 파기하지 않고 ’24. 12. 24.까지 계속 보유한 것
2025-05-14 | 제2025-209-223호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 홈페이지 관리자 페이지에 외부에서 접속하는 경우 IP 주소 등으로 접근을 제한하지 않았고, 관리자 로그인 페이지에 대하여 입력값 검증 등 SQL Injection 공격에 대한 … 아니하여 열람권한이 없는 자에게 온라인소식지 구독 신청자의 개인정보가 유출된 것
2025-05-14 | 제2025-209-222호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 홈페이지를 운영하면서 개인정보취급자가 외부에서 관리자페이지에 접속하는 경우 IP 주소 등으로 접근을 제한하거나 안전한 접속수단 또는 인증수단을 적용하지 않은 상태로 운영한 행위
2025-05-14 | 제2025-209-222호 | 비공개 | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’23. 10. 18.에 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 ’23. 10. 26.에 유출 통지한 행위 / ’23. 10. 18.에 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 ’23. 10. 26.에 유출 통지한 행위는 보호법 제34조제1항 … 제39조제1항을 위반에 해당하며, ’23. 10. 24.에 유출 신고한 행위
2025-05-14 | 제2025-209-220호 | 노원구 | 제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 민원 처리와 관련하여 알게 된 민원인의 개인정보를 처리하는 개인정보처리자로서, 보호법 제29조에 따라 자신이 처리하는 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 … 포함된 문서를 대국민 공개함으로써 민원인들의 개인정보 유출을 초래한 행위
2025-05-14 | 제2025-209-220호 | 노원구 | 제34조 | 정보주체에게 개인정보 유출 통지를 하지 않은 행위 | 유출 통지·신고 해태 | 따라서 피심인이 개인정보 유출 사실을 인지한 ’23. 9. 19. 18:30으로부터 72시간 이내에 정보주체들에게 개인정보 유출 통지를 하지 않은 것
2025-05-14 | 제2025-209-219호 | (재)전라남도정보문화산업진흥원 | 제21조 | 개인정보의 파기 위반 | 파기 미이행 | -
2025-05-14 | 제2025-209-219호 | (재)전라남도정보문화산업진흥원 | 제24조의2 | 주민등록번호 처리 제한 위반 | 주민등록번호 처리 제한 위반 | 주민등록번호 등이 포함된 교육참가 신청서, 주민등록등본 파일을 홈페이지 DB에 보관하면서 해당 파일을 암호화하지 않은 것
2025-05-14 | 제2025-209-219호 | (재)전라남도정보문화산업진흥원 | 제24조·제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 사업 수행과 관련하여 알게 된 민원인의 개인정보를 처리하는 개인정보 처리자로서, 舊 보호법 제29조에 따라 자신이 처리하는 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 … 취하지 않음으로써 민원인들의 주민등록번호 등 개인정보 유출을 초래한 행위
2025-05-14 | 제2025-209-219호 | (재)전라남도정보문화산업진흥원 | 제34조 | 개인정보 유출 통지 위반 | 유출 통지·신고 해태 | 국인터넷진흥원으로부터 민원인들의 개인정보가 유출됐다는 전화를 받았음에도 유출 사실을 인지한 ’23.3.16. 15:15경으로부터 72시간 이내에 신고인의 세대원들(5명)에게 개인정보 유출 통지를 하지 않은 것
2025-05-14 | 제2025-011-035호 | Elementary Innovation Pte. Ltd | 제24조의2 | 법령 등의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 법령 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우, 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 등이 아님에도 … 판매자의 신원 확인을 위해 판매자의 주민등록번호를 처리(수집·보유)한 행위
2025-05-14 | 제2025-011-034호 | ㈜더피엔엘 | 제22조 | 적법한 방법으로 동의를 받지 않고 개인정보를 수집·이용한 행위 | 동의 없는 수집·이용·제공 | (…)를 통해 수집·이용 및 제3자 제공 항목에 대해 각각 동의를 받지 않고 포괄적으로 동의를 받은 행위 / 등에 개인정보를 제공하기 위해 제3자 제공 동의를 필수 동의사항으로 구성하고, 이에 동의하지 않으면 서비스를 제공받을 수 없도록 구성한 행위
2025-05-14 | 제2025-011-034호 | ㈜더피엔엘 | 제24조의2 | 주민등록번호를 암호화하지 않은 행위 | 암호화 미조치 | 가입자의 주민등록번호를 암호화하지 않고 저장한 행위
2025-05-14 | 제2025-011-034호 | ㈜더피엔엘 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-05-14 | 제2025-011-033호 | 비공개 | 제22조 | 적법한 방법으로 동의를 받지 않고 개인정보를 수집·이용한 행위 | 동의 없는 수집·이용·제공 | 제3자 제공 동의를 필수항목로 구성하여 동의하지 않으면 서비스를 제공받을 수 없도록 구성한 행위
2025-05-14 | 제2025-011-033호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | DB관리시스템의 접속기록을 생성‧보관하지 않은 행위
2025-05-14 | 제2025-011-033호 | 비공개 | 제30조 | 처리방침 수립･공개를 소홀히 한 행위 | 처리방침 미비 | (…)에 대한 처리방침을 수립 및 공개하지 않은 행위
2025-05-14 | 제2025-011-032호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-05-14 | 제2025-011-032호 | 비공개 | 제30조 | 개인정보 처리방침 수립･공개를 소홀히 한 행위 | 처리방침 미비 | 정보주체가 쉽게 확인할 수 있도록 개인정보 처리방침을 인터넷 홈페이지에 지속적으로 게재하지 않은 행위
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 제22조 | 개인정보 항목 고지가 누락 된 행위 | 기타 | 경우 해당 개인정보의 수집 항목, 처리목적, 처리 및 보유기간 등을 동의를 받아 처리하는 개인정보와 구분하여 개인정보처리방침 등을 통해 공개하거나 고지해야 하나, 이를 행하지 않은 행위
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 제3조 | 국가학습데이터셋 76종 데이터 처리 시 개인정보 보호 원칙 위반 | 개인정보 보호원칙 위반 | -
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | - | 기타 개인정보 처리 실태의 개선이 필요한 사항 | 기타 | -
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 제28조의8 | 개인정보를 국외로 이전(위탁) 관련 | 국외이전 적법근거 흠결 | 따라서 피심인이 개인정보를 싱가포르, 일본, 미국, 중국 등 국외로 처리위탁‧보관하면서 2024년 7월부터 2025년 4월까지 처리방침에 국외 이전 사실을 공개하지 않은 행위
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 제26조 | 개인정보 처리 위탁 관련 | 위·수탁 계약 사항 흠결 | 국 수탁자에게 개인정보 처리 업무를 위탁하면서, 이를 개인정보 처리방침에 공개하지 않은 행위 / 국 수탁자에게 개인정보 처리 업무를 위탁하면서, 이를 개인정보 처리방침에 공개하지 않은 행위는 보호법 제26조제2항 위반에 해당하며, 수탁자를 교육하거나, 처리현황 점검 등을 통해 개인정보가 안전하게 처리되는지 감독하지 않은 행위
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 제31조의2 | 국내대리인 지정 관련 | 국내대리인 지정·공개 미비 | -
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 제38조 | 회원탈퇴 용이성 관련 | 정보주체 권리행사 방법 미비 | 7단계 이상의 복잡한 회원탈퇴 절차를 구성하는 등의 행위
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 제63조 | 자료 제출 관련 | 자료제출 거부·미제출 | -
2025-04-23 | 제2025-208-197호 | ㈜모우다 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘16.10. ~ ‘21.7. 기간 동안 주민번호, 계좌번호 등을 안전하지 않은 알고리즘으로 암호화하여 저장한 것
2025-04-23 | 제2025-208-197호 | ㈜모우다 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’24. 5. 7. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 유출을 통지한 행위
2025-04-23 | 제2025-208-196호 | 엘오케이(유) | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘23. 8. 2. ~ ‘23. 8. 18. 동안 이벤트 페이지 구축을 위한 소스코드 개발 과정에서 개인정보가 노출되지 않도록 캐시 값을 비활성화하는 설정을 누락하고, 캐시값 설정 관련 … 소스코드를 적용하여 열람 권한이 없는 자에게 이용자의 개인정보가 유출된 행위
2025-04-23 | 제2025-208-196호 | 엘오케이(유) | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’23. 8. 18. 17:54 개인정보 유출 인지 후 정당한 사유 없이 24시간을 경과하여 ’23. 8. 24. 15:07 유출 신고하고, ’23. 8. 24. ~ 9. 11. 이용자 대상 유출 통지한 행위
2025-04-23 | 제2025-208-195호 | ㈜서울프라퍼티인사이트 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 회원의 개인정보 파일이 저장된 GCP(Google Cloud Platform) Cloud Storage의 버킷을 ”공개“로 설정하여, 외부에서 정보통신망을 통해 누구나 접근이 가능토록 운영한 행위 / 개인정보처리시스템인 GCP Cloud Storage에 대한 개인정보취급자의 접속기록을 보관·관리하지 않은 행위
2025-04-23 | 제2025-208-195호 | ㈜서울프라퍼티인사이트 | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’24. 10. 10. 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과한 ‘24. 10. 16. 개인정보 유출 신고 및 ’24. 10. 17.(1명), ‘25. 2. 11.(2명) 개인정보 유출 통지를 한 행위
2025-04-23 | 제2025-208-194호 | 바른통신 | 제21조 | 개인정보가 불필요하게 되었을 때 지체 없이 파기하지 않은 행위 | 파기 미이행 | 업무처리과정 중 수집한 이용자의 개인정보를 위탁사와 체결한 개인정보 처리 위탁 계약에 따라 즉시 파기하지 않고 카페 게시판에 업로드하여 보관한 행위
2025-04-23 | 제2025-208-194호 | 바른통신 | 제24조의2 | 주민등록번호를 암호화 조치를 통하여 안전하게 보관하지 않은 행위 | 암호화 미조치 | 이용자의 주민등록번호가 포함된 주민등록증 및 보훈증을 암호화하지 않고 카페 게시판에 업로드하여 보관한 행위
2025-04-23 | 제2025-208-193호 | ㈜포피플 | 제29조 | 개인정보처리시스템에 대한 안전조치의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’23. 12. 7. ~ ’24. 8. 21. 동안 개인정보처리시스템에 대한 접근 권한을 개인정보취급자에게 업무 수행에 필요한 최소한의 범위로 차등 부여하지 않고 소속(지점)·직무 등에 관계없이 모든 개인정보취급자가 모든 고객의 개인정보에 접근할 수 있도록 운영한 행위
2025-04-23 | 제2025-208-193호 | ㈜포피플 | 제21조 | 처리 목적을 달성한 개인정보 파기를 소홀히 한 사실 | 파기 미이행 | ’23. 12. 7. ~ ’24. 8. 21. 동안 이동통신 업무 관련 처리중인 이용자의 개인정보를 위탁사와 체결한 개인정보 처리 위탁 계약에 따라 위탁사가 지정하는 개인정보처리시스템에 … 파기하여야 하나, 17,000여 명의 고객정보를 ‘ ’에 등록하여 보관한 행위
2025-04-23 | 제2025-208-192호 | 네츄럴비자 | 제21조 | 수집⋅이용 목적을 달성한 개인정보를 파기하지 않은 행위 | 파기 미이행 | 비자 발급 대행 서비스를 제공하면서 비자 발급 완료 등 수집‧이용 목적이 달성된 서류들을 파기하지 않은 행위
2025-04-23 | 제2025-208-192호 | 네츄럴비자 | 제24조·제29조 | 고유식별정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 고유식별정보(주민등록번호, 여권번호)가 포함된 서류들을 폐기하면서, 별도의 마스킹 처리 또는 파쇄‧소각 등 안전조치 없이 분리수거장에 버린 행위
2025-04-23 | 제2025-208-192호 | 네츄럴비자 | 제34조 | 개인정보 유출 통지를 하지 아니한 행위 | 유출 통지·신고 해태 | 유출된 서류들이 경찰 조사과정에서 회수되어, 정확한 유출 규모 및 명단을 파악하지 못하였으나, 정보주체에 유출 통지(인터넷 홈페이지 또는 사업장 등에 게시하는 등)를 갈음하는 조치를 하지 않은 행위
2025-04-23 | 제2025-208-191호 | 재단법인 우리다문화장학재단 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 고유식별정보(주민등록번호)가 포함된 파일을 담당자의 과실로 마스킹 처리 등 안전조치 없이 인터넷 홈페이지에 업로드하여 열람 권한이 없는 자에게 공개된 것
2025-04-23 | 제2025-208-190호 | 비공개 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 아르바이트생의 급여내역 확인을 위해 개설된 오픈채팅방에 급여내역 파일을 게시하면서 주민등록번호 마스킹 처리 등 출력 항목을 최소화하지 않은 행위
2025-04-23 | 제2025-208-189호 | 언더독스 주식회사 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 주민등록번호 등 개인정보를 수집하면서 ‘구글 설문지’의 접근 권한을 잘못 설정하여 정보주체의 고유식별정보가 다른 참가자에게 공개·유출된바, 개인정보 수집 전에 사전 점검 및 개선 등 고유식별정보 등이 타인에게 공개되지 않도록 필요한 조치를 소홀히 한 피심인의 행위
2025-04-09 | 제2025-207-169호 | 가연결혼정보(주) | 제37조 | 동의철회한 이용자의 개인정보를 파기 등 조치하지 않은 행위 | 파기 미이행 | 이용자가 동의 철회(회원탈퇴)시 피심인은 개인정보 파기 등 필요한 조치를 하여야 하나, 피심인의 이용자 개인정보를 파기하지 않고 마케팅 문자 메시지 발송한 행위
2025-04-09 | 제2025-207-169호 | 가연결혼정보(주) | 제22조 | 회원가입 시 수집‧이용 목적에 마케팅 활용을 포함한 행위 | 기타 | -
2025-04-09 | 제2025-207-168호 | 해피컴퍼니 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 개인정보 수집 출처에 대한 정보주체의 요청에도 불구하고 개인정보의 수집 출처, 처리목적, 개인정보 처리 정지 및 동의 철회할 권리가 있음을 알리지 않은 행위
2025-04-09 | 제2025-207-167호 | 엠제이다이렉트 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 개인정보 수집 출처에 대한 정보주체의 요청에도 불구하고 개인정보의 수집 출처, 처리목적, 개인정보 처리 정지 및 동의 철회할 권리가 있음을 알리지 않은 행위
2025-04-09 | 제2025-207-166호 | 부스트HCC | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 개인정보 수집 출처에 대한 정보주체의 요청에도 불구하고 개인정보의 수집 출처, 처리목적, 개인정보 처리 정지 및 동의 철회할 권리가 있음을 알리지 않은 행위
2025-04-09 | 제2025-207-165호 | 가온누리소프트웨어 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 개인정보 수집 출처에 대한 정보주체의 요청에도 불구하고 개인정보의 수집 출처, 처리목적, 개인정보 처리 정지 및 동의 철회할 권리가 있음을 알리지 않은 행위
2025-04-09 | 제2025-008-025호 | ㈜케이티알파 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-04-09 | 제2025-008-025호 | ㈜케이티알파 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘23. 2. 6. 17:50 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여 ’23. 12. 14. 15:42 유출 통지한 행위
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’22. 3. 18. ~ ’24. 7. 25. 동안 개인정보처리시스템(DB)에 접근 할 수 있는 접속 권한을 IP 주소 등으로 제한하지 않아 인가받지 않은 자의 개인정보처리시스템(DB) 접속이 가능하도록 운영한 행위 / 개인정보취급자가 외부에서 개인정보처리시스템(DB)에 접속하는 경우 ID, PW 외 일회용 비밀번호(OTP) 등 안전한 인증수단을 적용하지 않고 운영한 행위 / ’22. 3. 18. ~ ’24. 7. 25. 동안 다수의 개인정보취급자가 정당한 사유 없이 하나의 DB 기본 관리자 계정을 공유하며 운영한 행위 / 이용자의 주민등록번호, 계좌번호를 암호화 하지 않고 평문으로 개인정보처리시스템(DB)에 저장한 행위 / 개인정보의 유출 등에 대응하기 위해 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하지 않은 행위
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 제24조의2 | 주민등록번호 암호화 조치를 소홀히 한 사실 | 암호화 미조치 | 강사의 원천징수 대행 업무를 위해 수집한 주민등록번호를 개인정보처리시스템(DB)에 평문으로 저장한 행위
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 제21조 | 처리목적을 달성한 개인정보 파기를 소홀히 한 사실 | 파기 미이행 | ’22. 3. 18.부터 강사의 원천징수 대행 업무를 위해 수집한 주민등록증, 운전면허증, 외국인 등록증, 여권 등 신분증 사본을 처리 목적을 달성하였음에도 불구하고 파기하지않고 보관한 행위
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | ’24. 7. 10. 14:41 한국인터넷진흥원으로부터 전달받은 다크웹에 게시된 샘플 자료가 내부 DB 데이터와 일치하여 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ’24. 9. 12. 15:00 이용자 대상 유출 통지한 행위
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 제15조·제18조 | 개인정보를 당초 수집·이용 목적을 벗어나 이용한 사실 | 목적 외 이용·제공 | -
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 제24조의2 | 주민등록번호 처리의 제한을 하지 않은 사실 | 주민등록번호 처리 제한 위반 | -
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 제29조 | 개인정보 안전조치를 소홀히 한 사실 | 안전조치 미흡(일반) | 또한, 개인정보처리시스템에 접속한 접속기록에 대한 점검을 소홀히 하였으며, 가맹점관리시스템에서 업무에 필수적이지 않은 주민등록번호를 모두 표출하는 등으로 안전조치를 미흡하게 한 행위
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 제59조 | 업무상 알게 된 개인정보를 권한 없이 다른 사람에게 제공한 행위 | 목적 외 이용·제공 | -
2025-03-12 | 제2025-205-115호 | ㈜노랑풍선 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-03-12 | 제2025-205-115호 | ㈜노랑풍선 | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’24. 5. 20. 13시경에 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 초과한 ’24. 5. 23. 18:20 ~ ‘24. 5. 24. 유출 통지를 완료한 행위 / ’24. 5. 20. 13시경에 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 초과한 ’24. 5. 23. 18:20 ~ ‘24. 5. … 제39조제1항을 위반한 것이며, ’24. 5. 23. 17:47 유출 신고한 행위
2025-03-12 | 제2025-205-114호 | ㈜위너스매니지먼트 | 제39조의3 | 개인정보 수집‧이용 시 동의 받으면서 알리지 않은 항목이 있는 행위 | 동의 없는 수집·이용·제공 | 개인정보 수집‧이용에 대한 동의를 받으면서 수집‧이용목적, 보유 및 이용기간을 명확히 알리지 않고 동의를 받은 행위
2025-03-12 | 제2025-205-114호 | ㈜위너스매니지먼트 | 제22조 | 동의받는 방법을 소홀히 한 행위 | 동의 방법·고지사항 흠결 | 인터넷카페 가입을 위한 동의와 서비스 홍보에 대한 동의 사항을 구분하지 않은 행위
2025-03-12 | 제2025-205-113호 | 케이알투자증권주식회사 | 제24조·제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 고유식별정보(주민등록번호)가 포함된 파일 등이 마스킹 처리 등 안전조치 없이 담당자의 과실로 열람 권한이 없는 자에게 공개된 것
2025-03-12 | 제2025-205-112호 | 안성시육상연맹 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-03-12 | 제2025-205-112호 | 안성시육상연맹 | 제34조 | 개인정보 유출 신고 및 통지를 지연한 행위 | 유출 통지·신고 해태 | 개인정보가 포함된 자료를 담당자의 실수로 홈페이지에 업로드하여 참가자의 개인정보가 유출되었으나, 72시간 내에 유출 신고 및 통지를 하지 않고 지연한 행위
2025-03-12 | 제2025-205-111호 | 주식회사 매니저맨코리아 | 제15조 | 정보주체에게 알려야 할 사항을 알리지 않은 행위 | 동의 방법·고지사항 흠결 | 근로지원자의 개인정보를 수집하면서 정보주체의 동의를 받는 경우 정보주체에게 알려야 할 사항 중 일부를 알리지 않은 것
2025-03-12 | 제2025-205-111호 | 주식회사 매니저맨코리아 | 제21조 | 수집 목적이 달성된 개인정보를 파기하지 않은 행위 | 파기 미이행 | 근로지원자의 지원 기간 경과 및 근로 종료 등 수집 목적 달성 이후에도 개인정보를 파기하지 않은 행위
2025-03-12 | 제2025-205-111호 | 주식회사 매니저맨코리아 | 제22조 | 서비스 홍보 목적 동의를 명확히 받지 않은 행위 | 동의 방법·고지사항 흠결 | 근로지원자의 개인정보를 지속적으로 보유 및 이용함에도 그와 관련된 지원자의 동의 의사표시를 명확히 확인하지 않은 것
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | 비회원 3,165,032건(중복 포함, ‘13. 3. 15. 최초 수집)의 개인정보를 보유 기간이 경과되었음에도 파기하지 않고 보유한 행위
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 제34조 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-02-26 | 제2025-004-015호 | 엔에이치엔위투㈜ | 제21조·제24조의2·제29조 | 처리 목적 달성 등 불필요한 개인정보를 파기하지 아니한 행위 | 파기 미이행 | 17.까지 파기하지 아니한 행위
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 제34조 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2025-02-12 | 제2025-203-66호 | ㈜미리디 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | 안전하지 않은 방식으로 메일 시스템을 변경하면서 소스코드 보안성 검토, 사전 테스트 등의 안전조치를 다하지 않은 행위
2025-02-12 | 제2025-203-65호 | ㈜케이티 | 제39조의12 | 개인정보 국외 이전 관련 법정 고지사항을 공개하지 않은 행위 | 위탁·국외이전 미고지·미공개 | ‘18. 8.부터 제공하며 업무를 위해 이용자의 개인정보를 국외로 이전(처리위탁)하면서, 이용자 동의를 받지 않았음에도 법정 고지 항목을 개인정보 처리방침 등을 통해 공개하거나 이용자에게 알리지 않은 행위
2025-02-12 | 제2025-203-64호 | ㈜케이티 | 제39조의4 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘23. 6. 22. 피심인의 대리점인 로부터 본 건에 대한 ’사건·사고 발생 보고 문건‘을 보고 받아 개인정보 유출 사실을 인지하였음에도 24시간을 경과하여 유출 신고·통지한 행위
2025-02-12 | 제2025-203-63호 | ㈜메이크스타 | 제34조 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | -
2025-02-12 | 제2025-003-006호 | ㈜섹타나인 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2025-02-12 | 제2025-003-006호 | ㈜섹타나인 | 제34조 | 개인정보 유출 통지·신고를 지연한 사실 | 유출 통지·신고 해태 | -
2025-01-22 | 제2025-002-005호 | ㈜동행복권 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘비밀번호 변경’과 같이 민감한 데이터에 접근하는 기능을 구현하면서 비밀번호 변경 요청자와 변경 대상자가 일치하는지 확인하지 않아 취약점이 발생하도록 하는 등 적절한 점검없이 소스코드를 도입·배포한 행위 / 보안장비를 운영하고 있었으나, 탐지·차단 정책 관리 및 이상행위 대응에 소홀하여 사전에 공격 시도를 충분히 의심할 수 있는 과도한 접속 시도가 있었음에도 불구하고, 이를 확인하지 못하는 등 안전조치를 다하지 않은 행위 / 분리 보관하고 있는 일부 휴면회원의 계좌번호를 암호화하지 않은 행위
2025-01-22 | 제2025-001-003호 | Apple Distribution International Limited | 제26조 | 애플이 위탁 업무 내용과 수탁자를 공개하지 아니한 행위 | 위탁·국외이전 미고지·미공개 | 애플이 알리페이에 개인정보 처리 업무위탁 사실을 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하지 않은 행위
2025-01-22 | 제2025-001-003호 | Apple Distribution International Limited | 제28조의8·제30조 | 애플이 국외 수탁자인 알리페이를 이용자에게 미고지한 행위 | 위탁·국외이전 미고지·미공개 | -
2025-01-22 | 제2025-001-002호 | ㈜카카오페이 | 제28조의8 | 개인정보의 국외 이전 위반 | 국외이전 적법근거 흠결 | 카카오페이가 제15조제1항에 따른 범위를 초과하여 개인정보를 애플(수탁사 알리페이)에 애플 이용자뿐 아니라, 애플 미이용자를 포함한 전체 이용자의 본건 정보를 이용자의 동의를 받지 않고 제3자 제공한 행위
2025-01-22 | 제2024-011-187호 | 에스케이스토아㈜ | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘17. 12. 1.부터 운영 중인 웹사이트(m.skstoa.com(모바일), skstoa.com(PC))의 회원 로그인 페이지(…)에 대해 동일 IP 주소에서 대량의 반복적인 로그인 … 탐지·차단 정책 관리 및 이상행위 대응 등 접근통제 조치를 소홀히 한 행위 / 또한, 피심인이 회원정보 수정 페이지(…)에 대해 보안 통신 프로토콜(HTTPS)이 자동 적용되도록 조치를 하지 않아, 이용자가 데이터 보안이 취약한 HTTP 방식으로 해당 페이지에 접속하여 로그인 정보를 확인하는 경우 비밀번호를 평문으로 전송한 행위
2025-01-08 | 제2025-201-28호 | ㈜독립리서치밸류파인더 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 관리자 페이지에 대한 접속권한을 IP 주소 등으로 제한하지 않아 인가받지 않은 자의 접근을 제한하지 못한 행위 / 정보통신망을 통해 외부에서 관리자 페이지에 접속 시 안전한 인증수단을 적용하지 않고 ID/PW만으로 접속이 가능하도록 개인정보처리시스템을 운영한 행위 / 보안 취약점(KVE-2022-0120)이 존재하는 게시판 프로그램인 버전 를 사용하면서 보안 업데이트가 공개되었음에도 사고 발생 이후까지 약 2년간 해당 보안패치를 적용하지 않은 행위 / 개인정보취급자가 관리자 페이지에 접속한 접속기록을 보관·관리하지 않은 행위
2025-01-08 | 제2025-201-27호 | 리스크컨설팅코리아 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 DB관리프로그램 등 개인정보처리시스템에 대한 접속권한을 IP 주소 등으로 제한하지 않고 인가받지 않은 자의 접근을 … 취약점(다운로드 취약점)에 대한 점검 및 개선 조치 등 접근통제 조치를 소홀히 한 행위 / 회원 비밀번호를 복호화되지 아니하도록 일방향 암호화하여 저장하지 않고 평문으로 저장한 행위 / 개인정보취급자가 개인정보처리시스템에 접속한 접속기록을 보관·관리하지 않은 행위
2025-01-08 | 제2025-201-25호 | 서산경찰서 | - | 유선으로 개인정보를 전달한 행위 | 기타 | -
2025-01-08 | 제2025-201-25호 | 서산경찰서 | 제29조 | 내부관리계획 상 취급자의 역할 및 책임에 대한 보완 필요 | 내부 관리계획 미수립·미보완 | -
2025-01-08 | 제2025-201-24호 | 청주흥덕경찰서 | - | 유선으로 개인정보를 전달한 행위 | 기타 | -
2025-01-08 | 제2025-201-24호 | 청주흥덕경찰서 | 제29조 | 내부관리계획 상 취급자의 역할 및 책임에 대한 보완 필요 | 내부 관리계획 미수립·미보완 | -
2025-01-08 | 제2025-201-22호 | 인천관광공사 | 제109조·제18조·제36조·제487조·제4조 | 개인정보의 목적 외 이용 | 목적 외 이용·제공 | -
2025-01-08 | 제2025-201-22호 | 인천관광공사 | 제21조·제39조·제42조 | 개인정보의 파기 | 파기 미이행 | -
2025-01-08 | 제2025-001-001호 | 법원행정처 | 제24조·제24조의2·제29조 | 고유식별정보 처리 제한(§24③), 주민등록번호 처리 제한(§24의2②), 안전조치의무(§29) 위반 | 안전조치 미흡(일반) | 소송 관련 문서를 PDF 파일로 변환하여 서버(스토리지)에 저장‧보관하면서, 주민등록번호가 포함된 문서를 암호화하지 않은 행위 / (접근권한) ’16.8.13.~’23.3.20. 동안 피심인이 인터넷AD서버 관리자 계정과 인터넷가상화PC 취급자 계정의 비밀번호를 유추하기 쉬운 해당 계정의 초기 비밀번호를 변경 없이 그대로 사용한 행위 / (접근통제) 피심인이 IP주소 등의 분석 및 모니터링이 미흡하여 불법적인 개인정보 유출 시도를 탐지‧차단하지 못 한 행위 / …14.5.7.~’23.3.16. 동안 내부망-외부망 간 상호 접속이 가능하도록 불필요한 포트를 개방하여 악성파일 배포 및 개인정보 유출 경로로 악용되게 한 행위 / (악성프로그램 방지) ’16.8.13.~’23.2.8. 동안 피심인이 내부망에 위치한 ‘인터넷 가상화 웹서버’에 보안 프로그램을 설치하지 않고 운영한 행위
2025-01-08 | 제2025-001-001호 | 법원행정처 | 제34조 | 유출 통지‧신고 의무(§34①‧③) 위반 | 유출 통지·신고 해태 | 보안업체를 통해 침해사고 자체조사를 진행하여 ’23.4.7. 보안업체 보고서를 통해 법원 전산망에서 개인정보 유출 정황을 인지하였음에도, ’23.12.7. 개인정보 유출 사실을 신고하고 홈페이지에 유출 관련 안내문을 게시한 행위
2024-12-11 | 제2024-021-260호 | 캐롯손해보험㈜ | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 제39조의3 | 법정 고지사항을 이용자에게 명확히 알리지 않고 동의 받은 행위 | 동의 없는 수집·이용·제공 | -
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 제31조 | 재유도 창 관련 개인정보 책임자(CPO)의 역할을 미흡하게 수행한 행위 | 기타 | -
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 제15조 | 적법 근거 없이 개인정보를 수집·이용한 행위 | 기타 | -
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 제31조 | 재유도 창 관련 개인정보 책임자(CPO)의 역할을 미흡하게 수행한 행위 | 기타 | -
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 제39조의3 | 법정 고지사항을 이용자에게 명확히 알리고 동의를 받지 않은 행위 | 동의 없는 수집·이용·제공 | -
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 제31조 | 재유도 창 관련 개인정보 책임자(CPO)의 역할을 미흡하게 수행한 행위 | 기타 | -
2024-12-11 | 제2024-021-256호 | 흥국화재해상보험㈜ | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-255호 | 롯데손해보험(주) | 제21조 | 처리목적 달성, 보유기간을 경과한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-254호 | 한화손해보험㈜ | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-253호 | 메리츠화재해상보험(주) | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-252호 | ㈜KB손해보험 | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 제39조의3 | 법정 고지사항을 이용자에게 명확히 알리지 않고 동의 받은 행위 | 동의 없는 수집·이용·제공 | -
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 제31조 | 재유도 창 관련 개인정보 책임자(CPO)의 역할을 미흡하게 수행한 행위 | 기타 | -
2024-12-11 | 제2024-021-250호 | DB손해보험㈜ | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-12-11 | 제2024-021-249호 | ㈜삼성화재해상보험 | 제21조 | 처리목적을 달성한 이용자의 정보를 파기하지 않은 행위 | 파기 미이행 | 따라서, 피심인이 처리 목적을 달성한 이용자의 개인정보를 지체없이 파기하지 아니하고 1년간 보관한 행위
2024-11-27 | 제2024-223-713호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | ’21. 1. 1.부터 ’23. 10. 1.까지 홈페이지 DBMS 관리자 계정의 비밀번호를 설정하지 않은 행위 / ’21. 1. 1.부터 ’23. 10. 1.까지 홈페이지 DBMS 관리자 계정의 비밀번호를 설정하지 않은 행위는 보호법 제29조, 같은 법 시행령 제30조제1항제2호 및 안전성 … 인증수단을 적용하지 않고 아이디와 비밀번호만 입력하여 접속이 가능하도록 한 행위 / 또한, 피심인이 ’21. 1. 1.부터 ’23. 10. 10.까지 홈페이지를 통해 개인정보를 처리하면서 방화벽‧웹방화벽 등 침입 차단 및 침입 탐지 시스템을 설치‧운영하지 않은 행위
2024-11-27 | 제2024-223-712호 | 비공개 | 제35조 | 법정대리인의 개인정보 열람 요구를 거절한 행위 | 법정대리인 동의 흠결 | 적법한 근거 없이 법정대리인의 개인정보(CCTV 영상) 열람 요구에 불응한 행위
2024-11-27 | 제2024-223-711호 | 비공개 | 제23조·제29조 | 개인정보(민감정보 포함)의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 처리하는 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 조치를 하여야 하나, 피심인이 업무 부주의로 개인정보가 포함된 자료를 홈페이지에 게시하여 열람 권한이 없는 제3자에게 공개되도록 한 행위
2024-11-27 | 제2024-223-710호 | 비공개 | 제23조·제29조 | 개인정보(민감정보 포함)의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 처리하는 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 조치를 하여야 하나, 피심인이 업무 부주의로 개인정보가 포함된 자료를 앱에 게시하여 열람 권한이 없는 제3자에게 공개되도록 한 행위
2024-11-27 | 제2024-019-248호 | 쿠팡㈜ | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2024-11-27 | 제2024-019-247호 | 테크놀로지인프라스트럭처코리아(유) | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | -
2024-11-27 | 제2024-019-246호 | 쿠팡㈜ | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2024-11-27 | 제2024-019-246호 | 쿠팡㈜ | 제39조의4 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 문의를 접수받아 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여, ’21. 11. 27. 12:41 개인정보 유출 신고 및 ‘21. 11. 27. 19:00 이용자 대상 유출 통지를 한 행위
2024-11-13 | 제2024-019-245호 | 비공개 | 제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 웹셸 등 해킹 공격에 대비한 별도의 탐지·차단 정책을 수립·운영 하지 않았고, ’17.10. 오라클이 배포한 보안패치를 적용하지 않은 행위
2024-11-13 | 제2024-019-244호 | 비공개 | 제24조·제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 웹방화벽(WAF)과 침입방지시스템(IPS) 기능을 설정하지 않았고, 침입탐지시스템(IDS)을 설치·운영하지 않았으며, ’17.10. 오라클이 배포한 보안패치를 적용하지 않은 행위
2024-11-13 | 제2024-019-244호 | 비공개 | 제24조의2 | 주민등록번호를 암호화 조치를 통해 안전하게 보관하지 않은 행위 | 암호화 미조치 | 주민등록번호가 포함된 강사채용 관련 증빙자료들을 내부 저장공간에 보관하면서 암호화 조치를 하지 않은 행위
2024-11-04 | 제2024-221-668호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘22. 11. 23.부터 불법적인 접근 및 침해사고 방지를 위해 개인정보처리스템에 대한 접속 권한을 IP 주소 등으로 제한하지 않고 운영한 행위, SQL 쿼리와 같은 웹서버 입력값에 대한 검증과정이 없는 취약점에 대해 점검을 소홀히 한 행위 / 또한, 피심인이 이용자의 비밀번호를 복호화 되지 아니하도록 안전한 방식으로 일방향 암호화하여 저장하지 않은 행위
2024-11-04 | 제2024-221-668호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘22. 12. 6. 13:17 한국인터넷진흥원으로부터 유출 관련 메일을 수신하고 개인정보 유출을 인지하였으나, 정당한 사유 없이 이용자 대상 유출 통지하지 않은 행위
2024-11-04 | 제2024-221-667호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘22. 6. 15. ~ ‘23. 2. 8. 동안 개인정보처리시스템(DB) 접속 권한을 IP 주소 등으로 제한하지 않는 등 침입탐지·차단시스템 설치·운영을 소홀히 하고, 외부에서 … 접속하는 경우 아이디, 비밀번호 외 안전한 인증수단을 적용하지 않고 운영한 행위
2024-11-04 | 제2024-221-667호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘23. 2. 6. 12:50 해커로부터 협박 메일을 수신하여 이용자의 개인정보가 유출된 사실을 인지하였으나, 정당한 사유 없이 24시간 경과한 ‘23. 2. 8. 23:24 유출 신고한 행위
2024-11-04 | 제2024-221-666호 | 비공개 | 제29조 | 개인정보의 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 서버에 대한 불법적인 접근 및 침해사고 방지를 위한 침입탐지‧차단시스템 정책 설정 등 운영을 소홀히 한 행위 / 서버에 대한 불법적인 접근 및 침해사고 방지를 위한 침입탐지‧차단시스템 정책 설정 등 운영을 소홀히 한 행위는 舊 보호법 제29조, 같은 법 시행령 제48조의2제1항 및 舊 기술적 … 개인정보를 처리할 때, 안전한 인증수단을 적용하지 않고 시스템을 운영한 행위 / 관리자 계정 정보가 포함된 파일이 외부에 노출되는 취약점이 있었으나 조치하지 않고 운영하는 등 취약점 점검 및 개선 조치를 소홀히 한 행위 / 관리자 계정 정보가 포함된 파일이 외부에 노출되는 취약점이 있었으나 조치하지 않고 운영하는 등 취약점 점검 및 개선 조치를 소홀히 한 행위는 舊 기술적 보호조치 기준 제4조제9항 위반으로 … 시스템에 접속한 기록을 최소 1년 이상 접속기록을 보존‧관리하지 않은 행위 / 또, 홈페이지 및 논문투고시스템 회원의 비밀번호 저장 시 보안 강도가 낮은 암호 알고리즘을 사용해 저장하고 웹과 DB 관리자 계정의 비밀번호를 평문으로 설정 파일에 저장한 행위
2024-11-04 | 제2024-221-666호 | 비공개 | 제34조 | 개인정보 유출의 통지‧신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2024-11-04 | 제2024-221-666호 | 비공개 | 제37조 | 이용자 권리 보호를 소홀히 한 행위 | 정보주체 권리행사 방법 미비 | 학회 홈페이지와 논문투고시스템을 개발‧운영하면서 회원 탈퇴 기능을 마련하지 않은 행위
2024-11-04 | 제2024-221-665호 | 비공개 | 제35조 | 정보주체의 개인정보 열람 요구를 거절한 행위 | 정보주체 권리행사 방법 미비 | 정보주체(법정대리인)의 개인정보(CCTV 영상) 열람 요구에 대해 경찰의 협조 공문 및 타 정보주체의 비식별처리 필요 등을 사유로 열람 요구를 거절한 것
2024-11-04 | 제2024-221-661호 | 비공개 | 제26조 | 업무위탁에 따른 개인정보의 처리 제한 위반 | 위·수탁 계약 사항 흠결 | 또한, 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 함에도 … 인증수단을 적용하지 않고 아이디와 비밀번호 입력만으로 접속이 가능하도록 한 행위
2024-11-04 | 제2024-221-660호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | (…)의 접속기록에 대해 매월 1회 점검하지 않은 행위
2024-11-04 | 제2024-221-659호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | (…)의 접속기록에 대해 매월 1회 점검하지 않은 행위
2024-11-04 | 제2024-018-242호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ‘16. 2. ~ ’23. 3. 11. 동안 운영 중인 서버에 불법적인 접근 및 침해사고 방지를 위한 접근 제한·탐지 시스템을 운영하지 않은 행위 / ‘16. 2. ~ ’24. 4. 1. 동안 사고가 발생한 웹페이지＊에 SQL 인젝션 공격을 예방하기 위한 입력값 검증 과정을 미흡하게 구현하는 등 웹페이지에 대한 보안취약점 점검 및 개선조치를 소홀히 한 행위 / ‘16. 2. ~ ’24. 4. 1. 동안 개인 소유의 계좌번호를 수집하면서, 이를 암호화하지 않고 DB에 평문 형태로 저장한 행위
2024-11-04 | 제2024-018-242호 | 비공개 | 제21조 | 개인정보 파기를 소홀히 한 행위 | 파기 미이행 | 수집한 회원정보가 서비스종료 및 당초 동의받은 보유기간 의 경과로 불필요하게 되었음에도 불구하고 해당 정보를 ’23년까지 파기하지 않고 운영 중인 서비스의 회원정보와 동일한 유효 DB에 저장한 행위
2024-11-04 | 제2024-018-242호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘23. 2. 28. 개인정보 유출 사실을 인지하였고, 이용자의 연락처를 알고 있었음에도 정당한 사유 없이 24시간을 경과하여 ’23. 3. 2. 이용자 대상 개별 유출통지를 한 행위
2024-11-04 | 제2024-018-241호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’23. 7. 21. ~ ’23. 10. 12. 동안 개인정보처리자가 개인정보처리시스템에 접근할 수 있는 중간서버(bastion)에 대한 접속 권한을 IP 주소 등으로 제한하지 않고 운영한 행위 / ’23. 7. 21. ~ ’23. 10. 12. 동안 외부에서 개인정보처리시스템에 접속하는 경우 ID, PW 외 안전한 인증수단을 적용하지 않고 운영한 행위 / 개인정보처리시스템에 접속할 수 있는 관리자 계정의 비밀번호를 설정하지 않고 운영한 행위 / 개인정보취급자의 개인정보처리시스템에 대한 접속기록＊ 중 접속지 정보를 보존·관리하지 않고 운영한 행위
2024-10-23 | 제2024-220-644호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2024-10-23 | 제2024-220-643호 | 비공개 | 제39조의4 | 개인정보 유출통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2024-10-23 | 제2024-220-642호 | 비공개 | 제26조·제29조 | 개인정보의 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2024-10-23 | 제2024-220-640호 | 사회복지법인 월드비전 | 제29조 | 안전성확보조치를 소홀히 한 사실 | 안전조치 미흡(일반) | 대표홈페이지에 IP주소 등을 분석하여 비정상적인 로그인 시도 등 불법적인 개인정보 유출 시도 탐지 및 대응을 소홀히 한 행위
2024-10-23 | 제2024-220-639호 | 주식회사 한독 | 제29조 | 안전성확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ①메일 서버에 외부 IP 및 포트를 제한하지 아니하여 외부의 접근을 허용하고, ②외부접근이 가능하였던 메일 서버에 최신 보안 업데이트를 적용하지 아니한 행위
2024-10-23 | 제2024-220-638호 | 비공개 | 제24조의2 | 주민등록번호 처리의 제한을 위반한 행위 | 주민등록번호 처리 제한 위반 | 개인정보처리자는 법률‧대통령령‧국회규칙‧대법원규칙‧헌법재판소규칙‧중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우를 제외하고는 주민등록번호를 … 피심인이 법적 근거 없이 공개 채용 지원자 전원의 주민등록번호를 수집한 행위
2024-10-23 | 제2024-220-637호 | 비공개 | 제24조의2 | 주민등록번호 처리의 제한을 위반한 행위 | 주민등록번호 처리 제한 위반 | 개인정보처리자는 법률‧대통령령‧국회규칙‧대법원규칙‧헌법재판소규칙‧중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우를 제외하고는 주민등록번호를 … 피심인이 법적 근거 없이 공개 채용 지원자 전원의 주민등록번호를 수집한 행위
2024-10-23 | 제2024-017-240호 | ㈜일학 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 관리자 페이지에 대한 접속권한을 IP 주소 등으로 제한하여 인가받지 않은 접근을 제한하지 않은 행위 / 개인정보취급자가 정보통신망을 통해 외부에서 관리자 페이지 접속 시 안전한 인증수단을 적용하지 않고 아이디·비밀번호만으로 접속이 가능하도록 운영한 행위 / 해커의 SQL 인젝션 공격을 방지하기 위한 SQL 쿼리와 같은 웹서버 입력값에 대한 검증 등 취약점 점검 및 조치를 소홀히 한 행위 / 회원 DB 내 이용자의 비밀번호를 저장 시 안전한 암호 알고리즘으로 일방향 암호화 조치를 하지 않은 행위 / 개인정보취급자의 DB·관리자 페이지 등 개인정보처리시스템에 대한 접속기록을 보관·관리하지 않은 행위
2024-10-23 | 제2024-017-239호 | ㈜네오팜 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 웹 관리자 페이지의 개인정보 열람·수정·다운로드 등의 모든 권한을 사용할 수 있는 계정을 부서별 1개 계정만 생성·공유하고 있어, 웹 관리자 페이지 접속을 위해 필요한 … 말소하거나, 접근 권한 부여·변경·말소에 대한 내역을 기록하고 보관하지 않은 행위 / 외부에서 정보통신망을 통해 웹 관리자 페이지 접속 시 안전한 인증수단을 적용하지 않고 아이디·비밀번호만으로 접속할 수 있게 운영한 행위 / 웹 관리자 페이지에 대한 접속 권한을 IP 주소 등으로 제한하여 인가받지 않은 접속을 차단하는 등 침입 차단·탐지 시스템 운영을 소홀히 한 행위 / 개인정보취급자가 처리시스템인 웹 관리자 페이지에 접속한 접속기록을 보존·관리하지 않은 행위
2024-10-23 | 제2024-017-239호 | ㈜네오팜 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘23. 8. 18. 10시경 웹로그 분석을 통해 외부 IP 주소에서 회원정보 엑셀 파일을 다운로드한 사실을 확인하여 개인정보 유출 사실을 인지했음에도, 정당한 사유 없이 24시간을 경과하여 ’23. 8. 29. 17:00 이용자 대상 개인정보 유출 통지를 한 행위
2024-09-25 | 제2024-219-623호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’21. 7. 1. ~ ’24. 6. 10. 동안 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하는 경우 ID, 비밀번호 외 안전한 인증수단을 적용하지 않고 운영한 행위 / ’21. 7. 1. ~ ’24. 6. 10. 동안 개인정보취급자가 개인정보처리시스템에 접속하는 경우 최대 접속시간 제한 기능을 적용하지 않고 운영한 행위 / 또한, 피심인이 이용자의 비밀번호를 안전하지 않은 암호화 알고리즘(MD5)으로 암호화하여 저장한 행위와 개인정보취급자의 개인정보처리시스템에 대한 접속기록＊ 중 처리한 정보주체 정보 및 수행업무를 보존·관리하지 않은 행위
2024-09-25 | 제2024-219-623호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 사실 | 유출 통지·신고 해태 | ’23. 8. 18. 08:20 개인정보 유출 사실을 인지하였으나, 정당한 사유 없이 24시간을 경과하여 ‘24. 3. 5. 15:51 이용자 대상 유출 통지한 피심인의 행위
2024-09-25 | 제2024-219-622호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’21. 6. 23.＊ ~ ’23. 4. 17. 동안 여행상품 앱 서비스를 운영하면서 앱 접속자 증가에 따른 세션 중복 오류 발생 가능성 등에 대한 사전 검증 없이 시스템에 적용하는 등 개인정보 유출 방지조치를 소홀히 한 행위
2024-09-25 | 제2024-219-622호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ’23. 4. 17. 개인정보 유출 사실을 인지하였으나, 정당한 사유 없이 24시간을 경과하여 ’23. 5. 15., ’24. 4. 23. 유출 통지를 한 행위
2024-09-25 | 제2024-219-621호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | ’14. 3. 1. ~ ’23. 6. 13. 동안 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하는 경우 ID, 비밀번호 외 안전한 인증수단을 적용하지 않고 운영한 행위 / 오픈소스 웹 방화벽(…)을 사용하면서 신규 위협 대응 등을 위하여 접근 제한 및 유출 탐지 정책을 지속적으로 업데이트하지 않고, 인가받지 않은 접근을 제한하기 위한 모니터링을 소홀히 하는 등 침입탐지·차단시스템 운영을 소홀히 한 행위 / 이용자의 비밀번호를 안전하지 않은 일방향 암호화 알고리즘인 MD5로 암호화하여 저장한 행위
2024-09-25 | 제2024-219-621호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 사실 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 이용자 대상 유출 통지를 한 행위
2024-09-25 | 제2024-016-235호 | 비공개 | 제22조의2 | 개인정보를 수집하면서 법정대리인의 동의를 받지 않은 사실 | 법정대리인 동의 흠결 | -
2024-09-25 | 제2024-016-235호 | 비공개 | 제28조의8 | 개인정보를 국외로 이전하면서 적법 근거를 갖추지 않은 사실 | 국외이전 적법근거 흠결 | 그러나 피심인이 개인정보의 국외 이전에 관한 법정 고지사항을 개인정보 처리방침에 공개하거나, 전자우편 등의 방법에 따라 이용자에게 알리지 않고, 이용자의 개인정보를 국외로 이전한 행위
2024-09-25 | 제2024-016-234호 | 비공개 | 제23조 | 민감정보를 처리하면서 적법 근거를 갖추지 않은 사실 | 민감정보 별도동의 흠결 | 이용자의 생체인식정보를 수집·처리하면서 의 수집·이용 목적 및 보유·이용 기간 등 법정 고지사항을 알리지 않은 행위
2024-09-25 | 제2024-016-234호 | 비공개 | 제28조의8 | 개인정보를 국외로 이전하면서 적법 근거를 갖추지 않은 사실 | 국외이전 적법근거 흠결 | 그러나 피심인이 개인정보의 국외 이전에 관한 법정 고지사항을 개인정보 처리방침에 공개하거나, 전자우편 등의 방법에 따라 이용자에게 알리지 않고 이용자의 개인정보를 국외로 이전한 행위
2024-09-25 | 제2024-016-234호 | 비공개 | 제38조 | 개인정보의 열람등요구(삭제·처리정지 등) 방법을 마련하지 않은 사실 | 정보주체 권리행사 방법 미비 | 기기를 통해 수집한 에 대하여 이용자로 하여금 삭제·처리정지 등 요구를 할 수 있는 방법·절차를 마련하지 않은 행위
2024-09-25 | 제2024-016-233호 | 비공개 | 제18조 | 동의받은 수집·이용 목적의 범위를 초과하여 개인정보를 이용한 행위 | 목적 외 이용·제공 | -
2024-09-25 | 제2024-016-232호 | 한국사회복지협의회 | 제29조 | 개인정보의 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘비밀번호’와 같이 민감한 데이터를 변경하는 기능을 구현하면서 변경 요청자와 변경 대상자 일치 여부를 확인하지 않아, 제3자의 비밀번호를 변경할 수 있는 취약점이 발생하는 등 소스코드에 … 개인정보 유출 시도를 탐지·차단하지 못하는 등 안전조치를 다하지 않은 행위
2024-09-25 | 제2024-016-232호 | 한국사회복지협의회 | 제24조의2 | 주민등록번호 대체 수단을 제공하지 않은 행위 | 주민등록번호 처리 제한 위반 | 회원가입 단계에서 주민등록번호를 대체할 수 있는 방법을 제공하지 아니한 것
2024-08-28 | 제2024-217-572호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ’20. 7. 27. ~ ’22. 3. 30. 동안 웹셸이 업로드되고 실행되는 것을 방지하기 위해 파일 업로드 취약점 등 홈페이지 취약점 점검과 조치를 적절히 수행하지 않고 운영한 행위 / 또한, 피심인이 개인정보처리시스템에 대한 접속기록을 보존·관리하지 않은 행위
2024-08-28 | 제2024-217-572호 | 비공개 | 제21조 | 불필요해진 이용자의 개인정보를 파기하지 않은 행위 | 파기 미이행 | 서비스 종료로 처리목적이 달성되어 불필요해진 ’11. 7. 22. ~ ’14. 7. 21. 기간 수집한 회원정보 1,837건에 대해 ’22. 3. 30. 까지 파기하지 않고 보관한 행위
2024-08-28 | 제2024-217-571호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘21. 3. 8. ~ ‘22. 8. 18. 동안 웹서버에 대한 접근통제 조치를 취하지 않아 디렉터리 리스팅 취약점이 있었으며, 이로 인해 권한 없는 자가 디렉터리 및 .sql(다크웹 업로드) 등 개인정보 파일에 직접 접근하여 다운로드가 가능하도록 운영한 행위
2024-08-28 | 제2024-217-571호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘22. 8. 2. 개인정보가 유출된 사실을 인지하였으나, 정당한 사유 없이 24시간 경과한 ‘24. 5. 31. 이용자에게 유출 사실을 통지한 행위
2024-08-28 | 제2024-217-570호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 서버 설정파일의 디렉터리 공개 옵션(Options)을 잘못 설정하여 일부 홈페이지 회원들의 개인정보가 검색 엔진에 노출된 행위
2024-08-28 | 제2024-217-570호 | 비공개 | 제21조 | 불필요해진 이용자의 개인정보를 파기하지 않은 행위 | 파기 미이행 | 2016년도에 이벤트 종료로 처리목적이 달성되어 불필요해진 회원정보 240건에 대해 파기하지 않고 보관한 행위
2024-08-28 | 제2024-217-570호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 통지를 한 행위
2024-08-28 | 제2024-217-565호 | 비공개 | 제31조의2 | 국내대리인을 지정하지 않은 행위 | 국내대리인 지정·공개 미비 | 전년도 말 기준 한국 이용자 수가 100만 명 이상임에도 국내대리인을 지정하지 아니한 행위
2024-08-28 | 제2024-217-565호 | 비공개 | 제63조·제68조 | 자료제출을 하지 않은 행위 | 자료제출 거부·미제출 | -
2024-08-28 | 제2024-217-564호 | 비공개 | - | 이용자의 개인정보를 국외 이전하면서 처리방침을 통해 고지하지 않은 행위 | 위탁·국외이전 미고지·미공개 | -
2024-08-28 | 제2024-217-563호 | 비공개 | 제25조 | 영상정보처리기기 안내판 설치 등 필요한 조치를 하지 않은 행위 | 영상정보처리기기 설치·운영 위반 | 시설안전 및 범죄예방 등의 목적으로 영상정보처리기기를 설치 운영하면서 안내판을 설치하는 등 필요한 조치를 하지 아니한 행위
2024-08-28 | 제2024-217-563호 | 비공개 | 제35조 | 영상정보 열람을 거절한 행위 | 정보주체 권리행사 방법 미비 | 신고인의 2차 개인영상정보 열람(사본)요청에 대해 조치를 취하지 않은 것
2024-08-28 | 제2024-217-563호 | 비공개 | 제25조 | 영상정보처리기기 설치목적과 다른목적으로 조작하거나 다른 곳을 비추는 행위 | 영상정보처리기기 설치·운영 위반 | -
2024-08-28 | 제2024-014-198호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 앱 서비스 운영을 위해 소프트웨어를 사용하면서 해당 소프트웨어의 세션 보안 취약점과 개선 패치가 공개되었으나 해당 보안 패치를 적용하지 않은 행위
2024-08-28 | 제2024-014-198호 | 비공개 | 제39조의4 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | (…)의 고객센터에서 타인의 개인정보가 보인다는 민원을 ’22. 9. 13. 14:36 최초 접수·처리하여 개인정보 유출 사실을 인지하였음에도 정당한 사유 없이 24시간을 경과하여 유출 신고 및 이용자 대상 유출 통지를 한 행위
2024-08-28 | 제2024-014-197호 | 비공개 | - | 홍보 목적의 개인정보 수집에 미동의시 서비스 제공을 거부한 행위 | 동의 없는 수집·이용·제공 | -
2024-08-28 | 제2024-014-196호 | 비공개 | - | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | -
2024-08-28 | 제2024-014-195호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 타인의 개인정보 열람 가능성이 있는 형태로 시스템을 개발하고도 운영 전 검증을 소홀히 한 행위
2024-07-24 | 제2024-215-541호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | 유출 통지·신고를 하지 않은 행위
2024-07-24 | 제2024-215-540호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 통지·신고를 한 행위
2024-07-24 | 제2024-215-539호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 통지·신고를 한 행위
2024-07-24 | 제2024-215-538호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 통지·신고를 한 행위
2024-07-24 | 제2024-215-537호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 사실 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 통지·신고를 한 행위
2024-07-24 | 제2024-215-535호 | 비공개 | 제39조의7 | 이용자의 동의 철회에도 수집한 개인정보를 파기하지 않은 행위 | 파기 미이행 | 신고자가 회원탈퇴를 위한 계정 삭제를 요청하여 개인정보 수집·이용에 대한 동의를 철회했음에도 신고인의 개인정보를 파기하지 않고 보관한 행위
2024-07-24 | 제2024-013-192호 | 비공개 | 제28조의8 | 개인정보를 국외로 이전(제공)하면서 적법 근거를 갖추지 않은 행위 | 국외이전 적법근거 흠결 | 따라서 피심인이 실제 개인정보가 이전되는 국가 및 이전받는 자가 특정되는 이용자의 상품 구매과정에서 법정 고지사항을 알리고 국외 이전에 관한 별도의 동의를 받지 않은 행위
2024-07-24 | 제2024-013-192호 | 비공개 | 제28조의8 | 개인정보를 국외로 이전(제공)하면서도 보호조치를 하지 않은 행위 | 국외이전 적법근거 흠결 | -
2024-07-24 | 제2024-013-192호 | 비공개 | 제31조의2 | 국내대리인을 지정‧공개하면서 대표자 성명을 포함하지 않은 행위 | 국내대리인 지정·공개 미비 | ‘ ’ 법인을 국내대리인으로 지정하면서 이를 2024년 4월 4일까지 개인정보 처리방침에 공개하지 않은 행위와 해당 법인의 대표자 성명을 공개하지 않은 행위
2024-07-24 | 제2024-013-192호 | 비공개 | 제38조 | 회원가입에 비해 회원탈퇴를 어렵게 한 행위 | 정보주체 권리행사 방법 미비 | 회원탈퇴 절차를 복잡하게 구성하고, 관련 메뉴 또한 찾기 어렵게 하면서, 계정삭제 페이지를 영문으로만 안내 및 입력하도록 한 행위
2024-07-10 | 제2024-214-498호 | 비공개 | 제18조 | 개인정보를 목적 외 이용한 행위 | 목적 외 이용·제공 | -
2024-07-10 | 제2024-214-498호 | 비공개 | 제21조 | 개인정보 파기를 소홀히 한 행위 | 파기 미이행 | 개인정보처리자는 보유기간의 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 하나, 다른 법령에 근거하지 아니하고 보유기간을 초과한 영상정보를 보유한 행위
2024-07-10 | 제2024-214-496호 | 비공개 | 제28조 | 개인정보취급자 관리‧감독 의무를 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보를 처리하는 개인정보취급자인 배달 근무자의 부주의로 인해 POS 프로그램에서 처리 중인 개인정보가 불특정 다수에게 노출되는 등 개인정보취급자가 준수해야 할 개인정보 보호에 대한 정기적인 교육실시 등 관리‧감독을 소홀히 한 피심인의 행위
2024-07-10 | 제2024-214-495호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 개인정보 유출 신고를 한 행위
2024-07-10 | 제2024-214-494호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘23. 6. 26. 09:11 개인정보 유출사실을 인지하고 ’23. 6. 26. 19:45 개인정보 유출 통지를 하였으나, 통지 과정에서 일부 이용자에 대한 유출 통지가 누락된 … 24시간이 경과한 ‘24. 4. 11. 누락된 대상자에게 유출 통지를 완료한 행위
2024-06-26 | 제2024-011-188호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ①코로나로 인해 ‘21. 3. 16. ~ ’22. 9. 27. 동안 정보통신망을 통해 개인정보 취급자가 외부에서 관리자 페이지 접속이 가능하도록 운영하면서 추가 인증 등 없이 ID, PW만으로 접속할 수 있는 상태로 운영한 행위 / ②관리자 페이지에 대한 접속 권한을 IP주소 등으로 제한하지 않고, ’18. 11 .6. ~ ’22. 9. 27. 동안 ‘광고 공모전 사이트’에 대해 웹 방화벽 등 보안장비 없이 외부에서 웹서버에 직접 접속이 가능하도록 운영한 행위 / ③’18. 11. 6. ~ ’22. 9. 22. 동안 ‘광고 공모전 사이트’ 내 일부 페이지(…)에 SQL 인젝션 공격을 방지하기 위한 조치(입력값 검증 등)를 누락하고 운영한 행위 / 정보통신서비스 제공자등은 시스템 이상 유무 확인 등을 위해 개인정보취급자가 개인정보처리시스템 접속기록을 최소 1년 이상 보존·관리하여야 하나, 피심인이 ’21. 7. 8. ~ … 개인정보취급자가 관리자 페이지를 통해 조회한 DB 접속기록을 보관하지 않고 운영한 행위 / 정보통신서비스 제공자등은 비밀번호에 대하여 복호화되지 아니하도록 일방향 암호화하여 저장하여야 하나, 피심인이 이용자 및 개인정보취급자의 비밀번호를 안전하지 않은 일방향 알고리즘인 MD5로 암호화하여 저장·운영한 행위
2024-06-26 | 제2024-011-188호 | 비공개 | 제21조 | 불필요하게 된 개인정보를 파기하지 않은 행위 | 파기 미이행 | 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 하나, 피심인이 ‘12. 12. 4. ~ … 회원탈퇴를 신청한 회원(2,482명)의 개인정보를 파기하지 않고 보관한 행위
2024-06-26 | 제2024-011-188호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정보통신서비스 제공자등은 개인정보의 유출 사실을 안 때에는 지체 없이 해당 이용자에게 통지하여야 하나, 피심인이 이용자에게 자사를 사칭한 연락에 대한 주의사항 안내·공지만 하고 개인정보 유출 사실을 통지하지 않은 행위
2024-06-12 | 제2024-212-432호 | 비공개 | 제24조·제29조 | 고유식별정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급 중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 등의 조치를 하여야 하나, 피심인이 업무 부주의로 주민등록번호 등 개인정보가 포함된 결과보고서를 홈페이지에 게시하여 열람 권한이 없는 제3자에게 공개되도록 한 행위 / 또한, 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 주민등록번호가 포함된 결과보고서를 암호화하지 않은 상태로 홈페이지에 게시한 행위
2024-06-12 | 제2024-212-423호 | 비공개 | 제39조의4 | 개인정보 유출 통지 및 신고를 소홀히 한 사실 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 통지 및 신고를 한 행위
2024-06-12 | 제2024-212-422호 | 주식회사 비플스 | 제21조 | 보유기간이 경과한 개인정보를 파기하지 않은 사실 | 파기 미이행 | 퇴사한 홈페이지 관리자의 계정정보(118건)을 지체 없이 파기하지 않고 개인정보처리시스템에 지속 보관한 행위
2024-06-12 | 제2024-212-422호 | 주식회사 비플스 | 제29조 | 안전성확보조치를 소홀히 한 사실 | 안전조치 미흡(일반) | 비밀번호를 일방향 암호화하지 않고 평문으로 저장한 행위와 개인정보처리시스템에 대한 접근 권한 부여, 변경 또는 말소에 대한 내역을 3년간 보관하지 않고, 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하지 않은 행위
2024-06-12 | 제2024-010-184호 | 비공개 | 제28조의8 | 개인정보를 국외로 이전하면서 적법 근거를 마련하지 않은 행위 | 국외이전 적법근거 흠결 | -
2024-06-12 | 제2024-010-184호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 접속기록을 보관‧관리하지 않은 행위 | 접속기록 미보관·미점검 | -
2024-06-12 | 제2024-010-184호 | 비공개 | 제3조 | 기타 개인정보 처리 실태의 개선이 필요한 사항 | 기타 | -
2024-06-12 | 제2023-019-238호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2024-05-22 | 제2024-009-183호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2024-05-22 | 제2024-009-183호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 2023. 3. 10. 언론보도 및 개인정보위 조사 과정에서 카카오톡 오픈채팅방 이용자의 개인정보가 유출되고 있다는 사실을 인지했음에도 개인정보 유출 신고 및 이용자 대상 유출 통지를 하지 않은 행위
2024-05-08 | 제2024-008-182호 | (주)골프존 | 제21조 | 불필요하게 된 개인정보를 파기하지 않은 사실 | 파기 미이행 | 파일서버에서 보유기간의 경과 및 개인정보의 처리목적 달성 등으로 불필요하게 된 개인정보를 파기하지 않은 행위
2024-05-08 | 제2024-008-182호 | (주)골프존 | 제24조의2 | 주민등록번호를 암호화하여 보관하지 않은 사실 | 암호화 미조치 | 파일서버에 주민등록번호가 포함된 다수의 개인정보 파일을 보관하면서, 해당 정보가 유출되지 않도록 암호화 조치를 하지 않은 행위
2024-05-08 | 제2024-008-182호 | (주)골프존 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 사실 | 안전조치 미흡(일반) | 따라서 피심인이 공유설정을 통한 개인정보 유출 등을 방지하기 위해 어떠한 조치도 하지 않은 행위 / 이용자의 개인정보와 임직원 등 정보주체의 주민등록번호를 파일서버에 저장하면서 문서보안 DRM 솔루션 교체시 일괄 복호화된 파일을 재암호화 하지 않고 파일서버에 그대로 보관한 행위
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | - | 기준금액 | 기타 | -
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | - | 필수적 가중 및 감경 | 기타 | -
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | - | 과징금의 결정 하게 변경된 「과태료 부과기준」을 적용함 | 기타 | -
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | 제29조·제75조 | 기준금액 | 기타 | -
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | - | 최종 과태료 | 기타 | -
2024-04-24 | 제2024-007-180호 | 비공개 | - | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2024-04-24 | 제2024-007-180호 | 비공개 | - | 개인정보 유출 통지를 소홀히 한 사실 | 유출 통지·신고 해태 | -
2024-04-24 | 제2024-007-179호 | 비공개 | - | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2024-04-24 | 제2024-007-179호 | 비공개 | - | 개인정보 유출 통지‧ 신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2024-04-24 | 제2024-007-177호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 재화등의 공급에 관한 기록 보관을 위해서도 년 동안만 수집‧보유할 수 있음에도 5 ‘17.1.1.~‘22.12.31. 동안 5년을 경과한 이용자 개인정보(‘12.1.1.~‘17.12.31.에 해당하는 주문정보 를 파기하지 않은 행위
2024-04-24 | 제2024-007-177호 | 비공개 | 제21조 | 개인정보의 파기 위반 | 파기 미이행 | 재화등의 공급에 관한 기록 보관을 위해서도 년 동안만 수집‧보유할 수 있음에도 5 ‘17.1.1.~‘22.12.31. 동안 5년을 경과한 이용자 개인정보(‘12.1.1.~‘17.12.31.에 해당하는 주문정보 를 파기하지 않은 행위
2024-04-24 | 제2024-007-176호 | 비공개 | 제28조의4·제30조·제48조의2 | 가명정보에 대한 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자가 가명정보를 처리하는 경우에는 舊 시행령 제30조에 따른 안전성 확보 조치를 하여야 하나, 참여 담당자가 인터넷망을 통해 관리자페이지에 접속하고 있음에도, 피심인이 아이디와 비밀번호만으로 관리자 페이지에 로그인이 가능하도록 운영한 것
2024-04-24 | 제2024-007-176호 | 비공개 | 제28조의4 | 가명정보 처리관련 기록을 작성·보관하지 않은 행위 | 가명정보 처리 절차·기록 미비 | 개인정보처리자가 가명정보를 처리하는 경우에는 관련 기록을 작성하여 보관하여야 하나, 피심인이 이를 작성하여 보관하지 않은 행위
2024-04-24 | 제2023-013-183호 | 비공개 | 제28조의4 | 가명정보 처리관련 기록을 작성·보관하지 않은 행위 | 가명정보 처리 절차·기록 미비 | 개인정보처리자가 가명정보를 처리하고자 하는 경우에는 관련 기록을 작성하여 보관하여야 하나, 피심인이 관련 기록을 작성하여 보관하지 않은 행위
2024-04-24 | 제2023-013-183호 | 비공개 | 제28조 | 개인정보취급자에 대한 관리·감독을 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 개인정보처리자는 개인정보가 안전하게 관리될 수 있도록 개인정보취급자에 대하여 적절한 관리·감독을 하여야 하나, 피심인이 이를 소홀히 하여 정당한 결재절차를 거치지 않은 채 정보가 제3자에게 전달되도록 한 행위
2024-04-24 | 제2023-013-183호 | 비공개 | - | 개인정보의 가명처리 단계별 절차를 이행하지 않은 행위 | 가명정보 처리 절차·기록 미비 | -
2024-03-27 | 제2024-006-164호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2024-03-27 | 제2024-006-164호 | 비공개 | 제34조 | 개인정보 유출 통지를 지연한 행위 | 유출 통지·신고 해태 | -
2024-03-27 | 제2024-006-163호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | 침입탐지·차단 시스템을 운영하고 있었으나, 불법적인 침입 탐지 및 차단 정책 관리와 이상행위 대응에 소홀히 하여, 웹 방화벽에서 XSS 탐지·차단 정책을 기본적으로 제공하고 … 못하였으며, 페이지에 대한 과도한 접속시도가 있었으나 이를 탐지·차단하지 못한 행위 / 게시판을 운영하면서 ‘16. 4. 16. ~ ’24. 1. 16. 동안 해킹 공격(XSS 공격)을 방지하기 위한 입력값 검증 등의 조치를 하지 않고 운영한 행위
2024-03-27 | 제2024-006-163호 | 비공개 | 제34조 | 개인정보 유출 통지를 지연한 행위 | 유출 통지·신고 해태 | -
2024-02-14 | 제2024-003-038호 | 비공개 | 제24조의2 | 주민등록번호를 안전하게 보관하지 않은 행위 | 안전조치 미흡(일반) | 개인정보처리자는 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 하나, 피심인이 시스템의 관리자페이지(http:// main) 내에 주민등록번호 평문 전체가 확인되는 사진 파일을 암호화하지 않고 저장한 행위
2024-02-14 | 제2024-003-037호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 대한 접근 권한 부여, 변경 또는 말소에 대한 내역을 최소 3년간 보관하여야 하나, 피심인이 ‘’ 관리자페이지 내에 접근 권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ보관하지 않은 행위 / 접근 통제를 소홀히 한 행위 또한, 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 … ‘ ’ 관리자페이지에 접속하려는 경우 안전한 인증수단을 적용하지 않은 행위
2024-02-14 | 제2024-003-036호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서 등 안전한 인증수단을 적용하여야 하나, 피심인이 개인정보취급자가 정보통신망을 통해 외부에서 ‘ 시스템’에 아이디ㆍ비밀번호만으로 접속이 가능하도록 운영한 행위 / 개인정보처리자는 비밀번호 등 인증정보를 정보통신망을 통해 송ㆍ수신하는 경우 이를 안전한 알고리즘으로 암호화하여야 하나, 피심인이 ‘ 시스템’ 회원의 로그인 비밀번호 송신 시 이를 암호화하지 않은 행위 / 개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록(식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등)을 1년 이상 보관ㆍ관리하여야 하나 … 개인정보취급자의 아이디, 수행업무, 처리한 정보주체 항목을 보관‧관리하지 않은 행위
2024-02-14 | 제2024-003-035호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 접근할 수 있는 계정을 발급하는 경우 정당한 사유가 없는 한 개인정보취급자 별로 계정을 발급하고 다른 개인정보취급자와 공유되지 않도록 하여야 하나, 시스템의 일부 접근 … 발급하지 않아 여러 명의 개인정보취급자가 접근 계정을 공유하여 사용한 것
2024-02-14 | 제2024-003-034호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 대한 접근 권한 부여, 변경 또는 말소에 대한 내역을 최소 3년간 보관하여야 하나, 피심인이 공급자적합성 확인신고 시스템에 접속하는 개인정보취급자의 접근 권한 부여ㆍ변경ㆍ말소 기록을 별도로 보관하지 않은 행위 / 개인정보처리자는 정당한 권한을 가진 개인정보취급자 또는 정보주체만이 개인정보처리시스템에 접근할 수 있도록 일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 … 횟수 이상 비밀번호를 잘못 입력하더라도 시스템 접근을 제한하지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 하나, 피심인이 … 접근하려는 경우 인증서, 일회용 비밀번호 등 안전한 인증수단을 적용하지 않은 행위 / 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 접속이 차단되도록 하는 등 필요한 … 이상 업무 처리를 하지 않는 경우 자동으로 접속이 차단되도록 하지 않은 행위 / 개인정보처리자는 비밀번호 등 인증정보를 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 하나, 피심인이 시스템에 SSL(Secure Sockets … 인증서를 설치ㆍ적용하지 않아 인터넷망에서 비밀번호가 평문으로 전송되도록 한 행위 / 개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 하나, 피심인이 시스템에 대한 개인정보취급자의 접속 기록을 보관ㆍ관리하지 않은 행위
2024-02-14 | 제2024-003-033호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접근 권한 부여, 변경 또는 말소에 대한 내역을 기록하고 최소 3년간 보관하여야 하나, 피심인이 개인정보취급자의 시스템에 대한 접근 권한 부여, 변경 또는 말소에 대한 내역을 기록하고 있지 않은 행위 / 개인정보처리자는 비밀번호 등 인증정보를 저장하는 경우 이를 안전한 암호 알고리즘으로 암호화하여야 하나, 피심인이 시스템에서 개인정보취급자의 로그인 비밀번호를 안전하지 않은 암호화 알고리즘으로 암호화하여 저장한 행위 / 개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 하나, 피심인이 시스템과 대표홈페이지에서 개인정보취급자의 접속기록을 보관ㆍ관리하지 않은 행위
2024-02-14 | 제2024-003-032호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 하나, 피심인이 안전한 비밀번호 작성규칙을 수립하고도 이를 대표홈페이지에 적용하지 않아 … ‘1234’로 변경 가능하게 하는 등 인증수단을 안전하게 적용하고 관리하지 않은 행위 / 개인정보처리자는 개인정보처리시스템에 개인정보취급자가 접속할 경우, 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등 접속기록을 1년 이상 보관·관리하여야 하나, 피심인이 ‘처리한 정보주체 정보’ 및 ‘수행업무’가 누락된 접속기록을 보관한 행위
2024-02-14 | 제2024-003-030호 | TAG HEUER branch of LVMH Swiss Manufactures SA | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | -
2024-02-14 | 제2024-003-030호 | TAG HEUER branch of LVMH Swiss Manufactures SA | 제39조의4 | 개인정보 유출통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | 따라서 피심인이 24시간을 경과하여 개인정보 유출 사실을 통지하고, 신고한 행위
2024-01-24 | 제2024-002-012호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 고정형 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 법에 정한 필수 항목이 기재된 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2024-01-24 | 제2024-002-011호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 고정형 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 법에 정한 필수 항목이 기재된 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2024-01-24 | 제2024-002-010호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 고정형 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 법에 정한 필수 항목이 기재된 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2024-01-24 | 제2024-002-009호 | 한국장학재단 | 제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 위와 같은 사유로 피심인이 1분당 홈페이지 로그인 시도 횟수, 중국발 트래픽량, ID·PW 입력 오류로 인한 계정 잠김 현상 등 비정상적인 로그인 시도가 급증하였음에도 이를 탐지하지 못한 행위
2024-01-24 | 제2024-002-009호 | 한국장학재단 | 제24조의2 | 주민등록번호를 안전하게 보관하지 않은 행위 | 안전조치 미흡(일반) | 192.168.＊.101)에 암호화하지 않고 평문으로 저장한 행위
2024-01-24 | 제2024-002-008호 | 한국고용정보원 | 제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 위와 같은 사유로 피심인이 크리덴셜 스터핑을 통한 로그인 시도를 탐지하였음에도 불구하고 차단 조치를 취하지 않아, 회원 236,527명의 개인정보가 유출되도록 한 행위
2024-01-24 | 제2024-002-008호 | 한국고용정보원 | 제24조의2 | 주민등록번호를 안전하게 보관하지 않은 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급하는 주민등록번호를 암호화하여 안전하게 보관하여야 하나, 피심인이 행정정보공동이용센터 서버(10.99.15.219)에 저장되는 허브 일자리 참여자의 주민등록번호를 평문으로 저장한 행위
2023-12-13 | 제2023-020-244호 | ㈜스피드옥션 | 제29조 | 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | 안전조치 미흡(일반) | DB 관리·운영을 위해 개인정보처리시스템에 대한 접속 권한을 IP 주소 등으로 제한하지 않고 불법적인 접근 및 침해사고 방지를 위한 시스템 설치·운영을 소홀히 한 행위 / 처리 중인 개인정보가 외부에 유출되지 않도록 취약점 점검, 확장자 제한, 업로드된 파일의 실행제한 등의 조치를 하지 않고 운영한 행위 / 웹페이지 소스코드에 DB 비밀번호를 평문 저장한 행위
2023-12-13 | 제2023-020-244호 | ㈜스피드옥션 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 신고 및 통지를 한 행위
2023-12-13 | 제2023-020-243호 | ㈜코다스디자인 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 운영 중인 웹사이트에 SQL 구문을 처리하는 페이지가 존재하였으며 해당 페이지는 외부에서 접근이 가능하였음에도 SQL 인젝션 공격 방어에 필요한 웹서버 입력값 검증 등 홈페이지에 대한 취약점 점검과 조치를 소홀히 한 행위
2023-12-13 | 제2023-020-243호 | ㈜코다스디자인 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 통지를 한 행위
2023-11-22 | 제2023-019-241호 | 비공개 | 제15조 | 필요한 최소한의 정보 외의 개인정보 | 최소수집 원칙 위반 | -
2023-11-22 | 제2023-019-241호 | 비공개 | 제16조 | 서비스 제공 거부 | 동의 방법·고지사항 흠결 | -
2023-11-08 | 제2023-018-236호 | 비공개 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급 중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 등의 조치를 하여야 하나, 피심인이 업무 부주의로 주민등록번호가 포함된 엑셀 파일을 정보공개시스템에 공개하여 열람 권한이 없는 자에게 공개되도록 한 행위 / 또한, 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 주민등록번호가 포함된 엑셀파일을 암호화하지 않은 상태로 정보공개시스템에 게시한 행위
2023-11-08 | 제2023-018-235호 | 비공개 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ㅇㅇㅇㅇㅇㅇㅇ 합격자 발표에 수험번호 등 대체 가능한 수단이 있음에도 주민등록번호를 합격자 발표자료(암호화된 엑셀파일＊)에 포함시켰고, 불특정 다수가 접근할 수 있는 홈페이지에 함께 … 암호화가 해제되어 ㅇㅇㅇ 4,562명의 개인정보가 공중에 공개되도록 한 행위
2023-11-08 | 제2023-018-234호 | 비공개 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급 중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 등의 조치를 하여야 하나, 피심인이 업무 부주의로 주민등록번호가 포함된 파일을 홈페이지에 게시하여 열람 권한이 없는 자에게 공개되도록 한 행위 / 또한, 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 재학생들의 주민등록번호가 포함된 엑셀 파일을 암호화하지 않은 상태로 홈페이지에 게시한 행위
2023-10-25 | 제2023-017-232호 | 주식회사 와이엘랜드 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템인 ‘관리자페이지’에 접속하는 관리자 계정에 대한 2차 인증 및 관리자페이지 접속 아이피(IP) 주소 제한 등의 조치 없이 아이디(ID), 비밀번호만으로 관리자페이지에 로그인(접근)이 가능하도록 운영한 행위
2023-10-25 | 제2023-017-232호 | 주식회사 와이엘랜드 | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | 개통신청 취소·정지 등으로 인해 다른 법률상 별도 보관할 의무가 없거나 보유 목적이 종료된 이용자의 개인정보를 파기하지 않고 저장한 행위
2023-10-25 | 제2023-017-232호 | 주식회사 와이엘랜드 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 통지를 한 행위
2023-10-25 | 제2023-017-231호 | ㈜오브콜스 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 운영 중인 웹사이트에 파일 업로드 취약점이 있었으며, 파일 확장자 제한 및 검사, 파일 업로드 디렉터리 실행권한 제한 등의 보안 취약점 개선 조치를 하지 않고 운영한 행위 / 외부에서 DB 관리도구(…)를 이용한 DB 접근을 허용 하는 등 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하거나 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지하기 위한 시스템 운영을 소홀히 한 행위 / 이용자의 비밀번호를 안전하지 않은 일방향 알고리즘인 MD5 알고리즘으로 암호화하여 저장·관리한 행위
2023-10-25 | 제2023-017-231호 | ㈜오브콜스 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 통지를 한 행위
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 외부에서 DB 관리도구를 이용한 DB접근을 허용하는 등 개인정보처리시스템에 대한 접속 권한을 아이피(IP)주소 등으로 제한하지 않고 불법적인 접근 및 침해사고 방지를 위한 시스템 설치·운영을 소홀히 한 행위 / 홈페이지 운영을 위해 사용한 버전에서 발견된 보안 취약점을 개선하는 보안패치가 공개(’19.8.)되어 있음에도 이를 업데이트하지 않고, 디렉터리 리스팅 방지 및 파일 업로드 디렉터리에 대한 실행 권한 제한 등의 조치를 하지 않고 운영한 행위 / 시스템을 운영하면서 개인정보취급자의 DB 접속기록을 최소 1년 이상 보관하지 않고 운영한 행위 / 이용자의 비밀번호를 안전하지 않은 일방향 알고리듬인 MD5로 암호화하여 저장·관리한 행위
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | 보유 목적이 종료된 탈퇴회원의 개인정보를 완전히 파기하지 않고 저장한 행위
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 통지를 한 행위
2023-10-25 | 제2023-017-216호 | 비공개 | 제29조·제39조의4 | 舊 보호법상 의무 위반 | 기타 | 즉, 피심인이 API Call 및 크리덴셜 스터핑을 통한 개인정보 유출을 탐지‧차단하기 위한 조치를 충분하게 수행하지 않은 것
2023-10-11 | 제2023-016-212호 | 주식회사 국민은행 | 제22조 | 개인정보 동의를 받는 방법을 불명확하게 한 행위 | 동의 방법·고지사항 흠결 | ‘개인맞춤형 서비스 제공’을 위한 ‘IP 정보’ 등의 개인정보 처리와 관련하여, 정보주체로부터 ‘선택적으로 동의’를 받고 수집해야 할 사항을 ‘필수적으로 동의’를 받고 수집해야 할 사항과 구분하지 않고 함께 동의를 받은 행위
2023-10-11 | 제2023-016-211호 | 신일전자㈜ | 제29조·제3조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템 접속 시 안전한 인증수단을 적용하지 않은 행위 / 홈페이지 등 개인정보처리시스템에 대한 불법적인 접근을 방지하기 위해 IP주소 등으로 접속 권한을 제한하지 않는 등 침입 탐지·차단 시스템 운영을 소홀히 한 행위 / 사고가 발생한 웹페이지에 대해 SQL 인젝션 공격을 방지하기 위한 입력값 검증 등 취약점 점검·조치를 하지 않았고, 피심인이 운영 중인 관리자 페이지에 적절한 조치를 취하지 않아 검색엔진에 노출되는 등 접근통제 조치를 소홀히 한 행위 / 관리자 페이지의 접속기록은 보관하였으나, 접속기록을 월 1회 이상 점검하지 않아 ‘19. 1. 17. ~ ’22. 10. 25. 동안 비인가자가 관리자 페이지에 접속한 사실을 확인하지 못한 피심인의 행위 / DB에 개인정보취급자의 비밀번호를 일방향 암호화 하지 않고 평문으로 저장한 행위
2023-10-11 | 제2023-016-211호 | 신일전자㈜ | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | 개인정보 보유기간을 3년으로 명시하였음에도 보유기간이 3년을 경과한 이용자 개인정보를 파기하지 않은 피심인의 행위
2023-10-11 | 제2023-016-211호 | 신일전자㈜ | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여 이용자 대상 유출 통지를 한 행위
2023-10-11 | 제2023-016-210호 | 슈나이더일렉트릭코리아 주식회사 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 해커가 ’22. 2. 22. ~ ’22. 3. 8. 동안 수차례 비정상적인 로그인 시도 및 SQL 인젝션 공격을 하였음에도 피심인이 설치·운영한 보안장비(방화벽 등)가 해커의 공격을 탐지·차단하지 못하는 등 피심인이 침입탐지·차단시스템을 제대로 운영하지 않은 행위 / 사고가 발생한 웹페이지(…)에 SQL 인젝션 공격을 방지하기 위한 입력값 검증을 하지 않는 등 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 / 웹페이지 시스템 운영기간 동안 시스템 이상 유무의 확인 등을 위해 개인정보취급자가 DB에 접속한 기록을 최소 1년 이상 보관하지 않고 운영한 행위 / 이용자 및 개인정보취급자(관리자 계정)의 비밀번호를 일방향 암호화하지 않고 평문으로 DB 회원 테이블에 저장한 행위
2023-10-11 | 제2023-016-208호 | 비공개 | 제29조 | 개인정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 시스템 취약점 관련 접근 통제 조치를 하지 않아, 권한 없는 제3자의 접근을 허용한 행위
2023-10-11 | 제2023-016-207호 | 비공개 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하나, 피심인이 비밀번호 작성규칙을 수립하고도 이를 … 개인정보취급자가 안전하지 않은 비밀번호(‘1111’)를 설정하도록 한 행위 / 개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 … 때 비밀번호를 일정 횟수 이상 틀리더라도 시스템 접근을 차단하지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하나, 피심인이 외부에서 시스템 관리자페이지에 접속할 때 아이디와 비밀번호만으로도 접속할 수 있도록 한 행위 / 개인정보처리자는 비밀번호 등 개인정보를 저장하는 경우 안전한 암호 알고리즘으로 암호화하여야 하나, 피심인이 시스템에서 개인정보취급자의 비밀번호를 안전하지 않은 암호알고리즘(SHA1)으로 저장한 행위
2023-10-11 | 제2023-016-207호 | 비공개 | 제34조 | 개인정보 유출 사실을 지체없이 신고하지 않은 행위 | 유출 통지·신고 해태 | -
2023-10-11 | 제2023-016-206호 | 비공개 | 제29조 | 개인정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 시스템 취약점 관련 접근 통제 조치를 하지 않아, 권한 없는 제3자의 접근을 허용한 행위 / 개인정보처리자는 개인정보를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여 저장하여야 하나, 피심인이 안전하지 않은 암호알고리즘(MD5)으로 개인정보를 암호화한 행위
2023-10-11 | 제2023-016-205호 | 비공개 | 제29조 | 개인정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 시스템 취약점 관련 접근 통제 조치를 하지 않아, 권한 없는 제3자의 접근을 허용한 행위
2023-10-11 | 제2023-016-204호 | 경북대학교 총동창회 | 제29조 | 개인정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 보안 설정 미흡, 테스트 업로드 페이지 검증 구문 누락 등 접근 통제 조치를 소홀히 한 행위 / 개인정보처리자는 비밀번호를 복호화되지 않도록 일방향 암호화하여 저장하여야 하나, 피심인이 개인정보취급자 및 정보주체의 비밀번호를 데이터베이스에 평문으로 저장한 행위
2023-10-11 | 제2023-016-203호 | 비공개 | 제24조·제29조 | 고유식별정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하나, 피심인이 내부관리계획에 따라 개인정보취급자의 … 종합평가시스템의 개인정보취급자 비밀번호를 안전한 비밀번호로 설정하지 않은 행위 / 개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 … 종합평가시스템’에서 비밀번호를 일정 횟수 이상 틀리더라도 시스템 접근을 차단하지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하나 … 관리자페이지 접속할 때 아이디와 비밀번호만으로도 접속할 수 있도록 한 행위
2023-10-11 | 제2023-016-203호 | 비공개 | 제29조 | 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보의 유출 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 하나, 피심인이 ‘舊인증지원시스템’의 접속 기록을 월 1회 이상 점검하지 않은 행위
2023-10-11 | 제2023-016-203호 | 비공개 | 제34조 | 개인정보 유출 사실을 지체없이 통지하지 않은 행위 | 유출 통지·신고 해태 | -
2023-07-26 | 제2023-013-182호 | 비공개 | 제23조·제24조·제29조 | 민감정보 및 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 대상자명단’을 학생에게 이면지로 제공한 행위
2023-07-26 | 제2023-013-181호 | 비공개 | 제24조의2 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 임직원의 주민등록번호를 엑셀파일에 저장하면서 암호화조치 없이 안전하게 보관하지 않은 것
2023-07-26 | 제2023-013-180호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 임직원의 주민등록번호가 포함된 엑셀파일에 비밀번호를 설정하지 않고 공문에 첨부하여 내부망을 통해 전송한 행위
2023-07-26 | 제2023-013-179호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | (…)에 민간인증을 통한 로그인 시 본인인증 로직이 제대로 작동하도록 시스템을 구축하지 않았고 그에 대한 검증을 하지 않아, 제3자가 에 로그인 시 가족·지인 등 타인의 성명과 … 계정으로 로그인한 후 해당 타인의 등 839명에 대한 자료를 열람하게 한 행위
2023-07-26 | 제2023-013-178호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우에는 이를 암호화하여야 하나, 피심인이 첨부 파일을 확인하지 않은 부주의로 소속 기간제 직원들의 고유식별정보(주민등록번호)가 … 기간제 직원 일부(787명)에게 암호화하지 않은 상태로 메일 발송한 행위
2023-07-26 | 제2023-013-177호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 ‘코로나19 4차 예방접종 대상자 명단’을 이메일로 전송하는 과정에서 엑셀파일에 설정한 비밀번호를 이메일 본문에 기재한 행위
2023-07-26 | 제2023-013-176호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 관내 코로나19 확진자에게 주민등록번호가 포함된 격리통지서를 발송하면서 이를 암호화하지 않고 발송한 행위
2023-07-26 | 제2023-013-175호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | (…)의 주민등록번호가 포함된 문서에 비밀번호를 설정하지 않고, 기안문의 공개범위를 비공개로 설정하지 않아 및 100명의 개인정보가 정보공개포털을 통해 유출되게 한 행위
2023-07-26 | 제2023-013-174호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 관할내 12개 및 35개 에 등의 고유식별정보(주민등록번호)가 포함된 파일을 이메일로 송신하면서 암호화하지 않은 행위
2023-07-26 | 제2023-013-174호 | 비공개 | 제34조 | 개인정보 유출 통지·신고 의무를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2023-07-26 | 제2023-013-173호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 주민등록번호가 포함된 기부금품의 모집 및 지출명세서, 공익법인 결산서류, 본사 결산서를 암호화하지 않고 대표 홈페이지에 게시한 행위 / 개인정보처리자는 취급 중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근 통제 등 조치를 하여야 하나, 피심인이 주민등록번호가 포함된 파일을 홈페이지에 게시하여 열람 권한이 없는 자에게 공개되도록 한 행위
2023-07-26 | 제2023-013-172호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나 … 홈페이지 게시판에 게재하여 열람권한이 없는 자에게 개인정보가 유출되게 한 행위 / 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 주민등록번호등이 포함된 엑셀파일에 비밀번호를 설정하지 않고, 홈페이지 게시판에 게재한 행위
2023-07-26 | 제2023-013-171호 | 비공개 | 제24조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 … 명시하여 붙임파일로 발송하여 열람 권한이 없는 자에게 공개되도록 한 행위
2023-07-26 | 제2023-013-170호 | 비공개 | 제24조·제29조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보를 정보통신망을 통하여 송신하는 경우 이를 암호화하여야 하나, 피심인이 공고용 엑셀파일에 고유식별정보(주민등록번호)가 숨김 처리되어 포함된 사실을 확인하지 않고, 이를 암호화하지 않은 상태로 홈페이지에 게시한 행위 / 개인정보처리자는 취급 중인 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근 통제 등의 조치를 하여야 하나, 피심인이 고유식별정보가 포함된 파일을 홈페이지에 게시하여 열람 권한이 없는 자에게 공개되도록 한 행위
2023-07-26 | 제2023-013-170호 | 비공개 | 제34조 | 개인정보 유출 통지·신고 의무를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2023-07-26 | 제2023-013-169호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 온라인시스템에서 특정 URL을 인터넷 주소창에 입력하는 것만으로 파일이 다운로드 되는 데 대해 아무런 접근통제 조치를 하지 않은 것 / 온라인시스템의 관리자페이지 접속 시 아이디와 비밀번호만으로 접속 가능하도록 운영한 것 / 전자정부 공통컴포넌트 제작기관인 표준프레임워크센터가 보안패치를 공지 하였음에도(’22.12.30.), 온라인시스템에 즉시 보안 업데이트를 실시하지 않은 것 / 온라인시스템의 관리자페이지 로그인창에서 아이디와 비밀번호를 일정 횟수 이상 잘못 입력한 경우 접근을 제한하는 기술적 조치를 취하지 아니한 것 / 온라인시스템에 대한 접속기록을 점검하지 아니한 것
2023-07-26 | 제2023-013-169호 | 비공개 | 제21조 | 보유기간이 경과된 개인정보를 파기하지 않은 행위 | 파기 미이행 | 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 하나, 피심인이 보유기간이 경과된 정보를 파기하지 아니한 것
2023-07-26 | 제2023-013-164호 | 학교법인 건국대학교 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 / USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
2023-07-26 | 제2023-013-164호 | 학교법인 건국대학교 | 제23조 | 민감정보의 처리 제한 위반 | 민감정보 별도동의 흠결 | 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 / USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
2023-07-26 | 제2023-013-162호 | 학교법인 동은학원 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 / USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
2023-07-26 | 제2023-013-162호 | 학교법인 동은학원 | 제23조 | 민감정보의 처리 제한 위반 | 민감정보 별도동의 흠결 | 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 / USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
2023-07-26 | 제2023-013-161호 | 학교법인 일송학원 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 개인정보취급자가 변경되었을 때 접근 권한 부여, 변경 또는 말소 내역에 관한 기록을 3년 이상 보관하지 않은 행위 / 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 / 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위는 보호법 제23조제2항과 제29조, 같은 법 시행령 제30조제1항 및 고시 제8조제2항 … USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
2023-07-26 | 제2023-013-161호 | 학교법인 일송학원 | 제23조 | 민감정보의 처리 제한 위반 | 민감정보 별도동의 흠결 | 개인정보취급자가 변경되었을 때 접근 권한 부여, 변경 또는 말소 내역에 관한 기록을 3년 이상 보관하지 않은 행위 / 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 / 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위는 보호법 제23조제2항과 제29조, 같은 법 시행령 제30조제1항 및 고시 제8조제2항 … USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않은 피심인 산하 3개 병원의 행위
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 제23조 | 민감정보의 처리 제한 위반 | 민감정보 별도동의 흠결 | 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않은 피심인 산하 3개 병원의 행위
2023-07-26 | 제2023-013-159호 | 학교법인 연세대학교 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위
2023-07-26 | 제2023-013-159호 | 학교법인 연세대학교 | 제23조 | 민감정보의 처리 제한 위반 | 민감정보 별도동의 흠결 | 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위
2023-07-26 | 제2023-013-158호 | 학교법인 가톨릭학원 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 개인정보취급자가 개인정보처리시스템에 접속한 기록을 2년 이상 보관·관리하지 않은 행위 / 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않거나, 접속기록 일부(개인정보 다운로드 사유 등)를 누락한 행위
2023-07-26 | 제2023-013-158호 | 학교법인 가톨릭학원 | 제23조 | 민감정보의 처리 제한 위반 | 민감정보 별도동의 흠결 | 개인정보취급자가 개인정보처리시스템에 접속한 기록을 2년 이상 보관·관리하지 않은 행위 / 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않거나, 접속기록 일부(개인정보 다운로드 사유 등)를 누락한 행위
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 제21조 | 불필요하게 된 개인정보를 파기하지 않은 행위 | 파기 미이행 | 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었으나 지체 없이 파기하지 않은 행위
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 제29조·제5조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템의 관리자 계정으로 누구나 알 수 있는 기본계정과 초기 비밀번호를 사용하였고, DB 비밀번호를 반기별 1회 이상 변경하지 않고 동일하게 사용한 행위 / 비밀번호를 안전한 암호화 알고리즘으로 일방향 암호화하여 저장하지 않는 등 비밀번호 관리를 소홀히 한 행위 / 대규모 개인정보 추출 작업이 존재함에도 월 1회 이상 정기적으로 접속 기록을 확인‧감독하지 않아 과도한 개인정보 다운로드 등 비정상 행위 탐지 및 대응조치가 적절히 이루어지지 않았고 … 접근 내역 등 처리한 내용) 등을 최소 2년 이상 보존‧관리하지 않은 행위
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 제39조의4 | 개인정보 유출통지 및 유출신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’23. 1. 5.에 유출 신고한 데이터 중 현재 이용자에 대해서는 ’23. 1. 10.에 유출 통지했음에도 불구하고 유출된 정보에 해지 이용자가 있는지에 대한 확인을 지연하고 정당한 이유 없이 24시간을 초과하여 ’23. 2. 3.에서야 유출 통지한 행위
2023-07-12 | 제2023-012-151호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-07-12 | 제2023-012-136호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-136호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-135호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-135호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-134호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-134호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-133호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-133호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-132호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-132호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-131호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-131호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-130호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-130호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-129호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-129호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-128호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-128호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-127호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-127호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-126호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-126호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-125호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-125호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-124호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-124호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-123호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-123호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-122호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-122호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-121호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-121호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-120호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-120호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-119호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-119호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-118호 | 비공개 | 제26조 | 개인정보처리 위·수탁 계약 의무를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | ㈜ 에 평가 업무를 위탁하여 입사 지원자의 개인정보를 처리하면서 법적 의무사항이 모두 포함된 문서에 의해 위탁하지 않은 피심인의 행위
2023-07-12 | 제2023-012-118호 | 비공개 | 제26조 | 수탁사 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 않도록 수탁자가 개인정보를 안전하게 처리하는지를 관리·감독할 책임이 있으나, 이를 소홀히 하여 피심인이 위탁한 응시자의 개인정보가 유출된 것
2023-07-12 | 제2023-012-117호 | ㈜비에스씨 | 제15조·제21조·제25조·제26조·제27조·제31조·제33조·제38조·제59조 | 개인정보 파기 의무를 소홀히 한 행위 | 파기 미이행 | 보유기간이 경과된 응시자의 개인정보(94건)를 파기하지 않고 시스템 관리자페이지에 계속 보관한 피심인의 행위
2023-07-12 | 제2023-012-117호 | ㈜비에스씨 | 제15조·제25조·제26조·제27조·제29조·제31조·제33조·제38조·제59조 | 개인정보처리시스템 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 시스템 관리자페이지 접근통제 조치를 미흡하게 하여 응시자의 개인정보(1,679건)가 열람권한이 없는 자에게 유출된 것
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 제17조 | 이용자 동의 없이 개인정보를 제공한 행위 | 동의 없는 수집·이용·제공 | 세무대리인에게 제공하는 개인정보 항목, 제공받는 세무대리인의 성명 또는 법인명, 이용·보유 기간 등을 명확하게 알리지 않은 행위
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 제23조 | 이용자의 별도 동의 없이 민감정보를 처리한 행위 | 민감정보 별도동의 흠결 | 민감정보 수집 항목, 민감정보 수집·이용 목적 등을 명확하게 알리지 않고 정보주체의 별도 동의 없이 민감정보에 해당하는 장애인 여부 등의 개인정보를 처리한 행위
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 제24조의2 | 법령 등의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 법령 등에서 주민등록번호의 처리를 요구하거나 허용한 경우 등이 아님에도 주민등록번호를 수집․보관한 행위
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 제30조 | 개인정보 처리방침의 수립 및 공개를 소홀히 한 행위 | 처리방침 미비 | 개인정보를 파기하지 않고 보존한 근거 법령의 제명·조항 및 보존하는 개인정보 항목, ‘개인정보의 안전성 확보 조치에 관한 사항’을 개인정보 처리방침에 포함하지 않은 행위
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 제39조의3 | 이용자 동의 없이 개인정보를 수집·이용한 행위 | 동의 없는 수집·이용·제공 | 이용자에게 개인정보 수집·이용에 대한 포괄 동의를 받으면서 개인정보 수집 항목을 누락하고 수집 목적과 보유 기간 등을 불명확하게 고지한 행위
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 제39조의6 | 1년 이상 서비스 미사용자 개인정보의 파기 등을 하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | 1년의 기간 동안 서비스를 이용하지 않은 이용자의 개인정보를 파기하거나 분리하여 저장·관리하지 않은 행위
2023-06-28 | 제2023-011-114호 | 비공개 | - | ’20. 4. 10. 개인정보 유출 신고 관련 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 유출 통지·신고 해태 | 기존 DB와 신규 DB 제품 간 데이터 처리 방식의 차이를 고려하지 않고 DB 교체과정에서 개인정보의 정합성을 확인하지 않는 등 권한이 없는 자에게 개인정보가 공개되지 않도록 개인정보에 대한 접근통제를 위하여 필요한 조치를 소홀히 한 행위
2023-06-28 | 제2023-011-114호 | 비공개 | - | ’20. 4. 29., ’20. 5. 13. 개인정보 유출 신고 관련 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 유출 통지·신고 해태 | 신원미상의 자가 도용한 것으로 의심되는 아이디와 비밀번호로 로그인에 성공한 이후 이용자의 개인정보가 조회·다운로드되었는지 여부 등에 대해 분석하지 않은 행위
2023-06-28 | 제2023-011-114호 | 비공개 | 제29조 | ’21. 5. 7. 개인정보 유출 신고 관련 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 유출 통지·신고 해태 | 시스템 기능 수정 작업 시 로그인 여부를 확인하는 로직을 누락하는 등 개인정보에 대한 접근통제를 위하여 필요한 조치를 소홀히 한 행위
2023-06-28 | 제2023-006-057호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 홈페이지를 운영하면서 소프트웨어의 보안 취약점에 대한 패치 적용 등 취약점 개선을 소홀히 한 행위
2023-06-28 | 제2023-006-057호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’22. 2. 11. 10:40에 콜센터 1:1 채팅 상담을 통해 유출 사실을 인지하였음에도 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 이용자에게 통지하고 신고한 행위
2023-06-28 | 제2023-006-056호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 대한 접근 제한 및 유출 탐지, 취약점 점검 및 그에 따른 조치, 안전한 세션 관리 등 접근통제 등의 보호조치를 소홀히 하여 개인정보가 유출되도록 한 행위
2023-06-28 | 제2023-006-056호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 지연한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 이용자에게 통지한 행위
2023-06-27 | 제2023-213-256호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 온라인 식품 쇼핑몰을 운영하면서, 서비스 속도 개선을 위해 캐시서버 설정을 변경하면서, 이용자의 개인정보까지 캐싱하도록 잘못 설정하여, 이용자가 로그인 시 타인의 계정으로 로그인되어 개인정보가 유출되는 등 안전성 확보에 필요한 조치를 다하지 않은 행위
2023-06-27 | 제2023-213-255호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 내부 시스템(개인정보처리시스템)을 개편하는 과정에서 시퀀스 DB 관리테이블에서 시퀀스 값 설정을 잘못하였고, 해당 설정 오류에 대한 사전테스트 검증 절차를 진행하지 않는 등 접근통제 조치를 소홀히 하여 타인의 개인정보가 유출된 행위 / 또한, 피심인이 고유식별정보(운전면허번호)가 포함된 신분증을 마스킹 처리 없이 저장하는 등 암호화 조치를 하지 않은 행위
2023-06-27 | 제2023-213-255호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여 이용자 대상 유출 통지를 한 행위
2023-06-27 | 제2023-213-254호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 토익센터 홈페이지의 회원 비밀번호를 저장하면서 복호화되지 아니하도록 일방향으로 암호화하여 저장하지 않은 행위
2023-06-27 | 제2023-213-253호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 하나, 피심인이 소집해제된 사회복무요원의 접근권한을 지체없이 말소하지 않은 행위 / 개인정보처리자는 시스템에 접속할 수 있는 사용자 계정을 발급하는 경우 개인정보취급자 별로 사용자 계정을 발급하여야 하며, 다른 취급자와 공유되지 않도록 하여야 하나, 피심인이 사회복무요원 1명의 계정을 사회복무요원 3명이 공유하도록 한 행위
2023-06-27 | 제2023-213-252호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 홈페이지의 공지사항을 통해 청년임대주택 입주자 선정결과 등을 발표하면서 게재한 ‘입주자 선정결과 자료’에 대한 접근통제 조치를 하지 않아 임대주택 입주자 및 대기자의 개인정보가 열람권한이 없는 제3자에게 유출된 것
2023-06-27 | 제2023-213-251호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 새학년 반 편성 결과를 발표하기 위해 홈페이지에 ‘2022년 학년 반 편성 자료’를 게재하면서 접근통제 조치를 하지않아 학생들의 개인정보가 열람권한이 없는 제3자에게 유출된 행위
2023-06-27 | 제2023-213-250호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 등에 관한 조치를 하여야 하나, 피심인이 전체 조합원 개인정보를 … 발송하고, 해당 자료가 유출되지 않도록 안전성 확보조치를 하지 않은 행위
2023-06-27 | 제2023-213-249호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘○○○○○종합지원센터 홈페이지’에서 문자발송 기능과 장난감 대여 기능을 개발하는 과정에서 관리자 페이지에 대한 접근권한 확인 기능을 누락하는 등 접근통제 조치를 하지 않아 회원정보가 열람권한이 없는 제3자에게 유출된 것
2023-06-27 | 제2023-213-248호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 비밀번호 등의 개인정보를 암호화하여 저장할 때 안전하지 않은 알고리즘을 적용하여 저장한 행위
2023-06-14 | 제2023-212-221호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 사용하고 있는 소프트웨어의 취약점을 인지하고도 패치 적용 등 취약점 개선을 소홀히 한 행위
2023-06-14 | 제2023-212-220호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 온라인 의류 쇼핑몰을 운영하면서, DB 주문정보 테이블에 회원정보 데이터를 오입력하여, 로그인 시 타인의 주문정보가 표출되어 이용자의 개인정보가 유출되도록 한 행위
2023-06-14 | 제2023-212-219호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 제품문의 페이지의 게시글을 열람 권한이 없는 자가 볼 수 없도록 조치하지 않고, 해당 페이지에 대한 검색엔진 크롤링 및 비정상적인 호출 차단 조치를 소홀히 한 행위
2023-06-14 | 제2023-212-218호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 시스템 고도화 과정에서 소스코드에 대한 취약점 점검 및 테스트 검증을 소홀히 하여, 이용자의 개인정보가 유출되도록 한 행위
2023-06-14 | 제2023-212-217호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 주문 목록 페이지에 접근한 회원의 고유번호가 ‘0’으로 변환되도록 소스코드를 설정하고, 해당 소스코드 배포 전 취약점 점검 및 테스트 등을 소홀히 한 행위
2023-06-14 | 제2023-212-217호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 전역변수에 주문자의 배송정보(주소·연락처·이메일 주소)가 저장되도록 구현하고, 해당 소스코드 배포 전 취약점 점검 및 테스트 등을 소홀히 한 행위
2023-06-14 | 제2023-212-217호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 통지·신고한 행위
2023-06-14 | 제2023-212-216호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 트를 운영하면서, 발송시스템 개선을 위한 소스코드 배포 과정에서 테스트 절차를 소홀히 하여, 이용자의 개인정보가 유출되도록 한 행위
2023-06-14 | 제2023-212-215호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 신고·통지한 행위
2023-06-14 | 제2023-212-214호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘21. 11. 18. 한국인터넷진흥원, 서울경찰청 사이버수사대로부터 다크웹 상 자사 이용자의 개인정보 판매 관련 안내메일을 수신하고, 이용자의 개인정보를 확인하여 개인정보 유출을 인지하였으나, 정당한 사유 없이 24시간을 경과하도록 신고·통지를 지연한 행위
2023-06-14 | 제2023-212-213호 | 비공개 | 제39조의4 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 신고·통지한 행위
2023-06-14 | 제2023-010-109호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-06-14 | 제2023-010-109호 | 비공개 | 제39조의4 | 개인정보 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | ’22. 4. 11.에 확인한 민원 내용＊을 즉시 처리하지 않고 하루 경과 후 관련 부서로 전달하여 ’22. 4. 13.에 통지·신고하는 등 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 이용자에게 통지하고 신고한 행위
2023-06-14 | 제2023-010-108호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보취급자가 외부에서 개인정보처리시스템에 접속하는 경우 안전한 인증수단을 적용하지 않고, 관리자 인증 정보를 확인하는 로직을 누락한 채 소스코드를 배포하고 해당 소스코드 배포 전 취약점 점검 및 테스트를 소홀히 한 행위
2023-06-14 | 제2023-010-108호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 일부 이용자(6,848명)에 대해서는 개인정보의 유출 사실을 안 때부터 24시간을 경과하여 유출 통지하고, 1년 이상 서비스를 이용하지 않은 이용자에 대해서는 유출 통지를 하지 않은 행위
2023-06-14 | 제2023-010-108호 | 비공개 | 제39조의6 | 1년 이상 서비스 미사용자 개인정보의 파기 등을 하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | 서비스를 1년의 기간 동안 이용하지 않은 이용자의 개인정보를 파기하거나 분리하여 보관하지 않은 행위
2023-06-14 | 제2023-010-107호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 시스템 작업을 하면서 시스템(소스코드) 설정, 로그인 정보 처리 기능 및 개인정보 처리 오류 여부 등을 점검하는 테스트를 소홀히 하는 등 개인정보 안전성 확보에 필요한 조치를 다하지 않은 행위
2023-06-14 | 제2023-010-107호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 이용자에게 통지한 행위
2023-06-14 | 제2023-010-106호 | 비공개 | 제26조 | 업무위탁에 따른 개인정보의 처리 제한 위반 | 위·수탁 계약 사항 흠결 | 자사가 처리하는 개인정보가 포함된 데이터 백업 업무를 본사에 위탁하면서 개인정보 처리 위·수탁 계약을 체결하지 않은 행위 / 정보주체에게 위탁업무 내용과 수탁자를 공개하지 않은 행위
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 제15조·제20조·제37조·제3조 | 정보주체의 동의를 받지 않고 연예인 등의 부동산정보를 수집한 행위 | 동의 없는 수집·이용·제공 | -
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 제29조 | 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 홈페이지 관리자페이지에 접근을 제한하는 등의 조치를 하지 않고 개인정보 침해사고에 대응하기 위해 홈페이지에 접속한 기록을 보관하지 않은 피심인의 행위
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 제34조 | 정보주체에게 유출 사실을 통지하지 않은 행위 | 유출 통지·신고 해태 | 구축 중인 홈페이지에 보관하고 있던 연예인 등의 부동산정보가 유출되었으나 정보주체에게 이를 알리지 않은 행위
2023-05-10 | 제2023-008-092호 | 비공개 | 제22조 | 개인정보처리방침 전문으로 일괄 동의를 받은 행위 | 처리방침 미비 | -
2023-05-10 | 제2023-008-092호 | 비공개 | 제24조의2 | 의·약사의 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | -
2023-05-10 | 제2023-008-092호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-05-10 | 제2023-008-091호 | 비공개 | 제22조 | 개인정보처리방침 전문으로 일괄 동의를 받은 행위 | 처리방침 미비 | -
2023-05-10 | 제2023-008-091호 | 비공개 | 제24조의2 | 의·약사의 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | -
2023-05-10 | 제2023-008-091호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-05-10 | 제2023-008-090호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-05-10 | 제2023-008-089호 | 비공개 | 제22조 | 개인정보처리방침 전문으로 일괄 동의를 받은 행위 | 처리방침 미비 | -
2023-05-10 | 제2023-008-089호 | 비공개 | 제24조의2 | 의· 약사의 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 다고 보기 어려우며, 보호위원회가 별도의 고시로 정한 바도 없으므로, 법령상의 근거 없이 주민등록번호가 기재된 의사 면허증 , 전문의 자격증, 약사 면허증 및 신분증 사본을 수집·저장한 행위
2023-05-10 | 제2023-008-089호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-05-10 | 제2023-008-088호 | 비공개 | 제22조 | 개인정보처리방침 전문으로 일괄 동의를 받은 행위 | 처리방침 미비 | -
2023-05-10 | 제2023-008-088호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-05-10 | 제2023-008-087호 | 비공개 | 제21조 | 보유기간이 경과한 개인정보를 파기하지 않은 행위 | 파기 미이행 | 개인정보처리자는 보유기간이 경과한 개인정보를 지체 없이 파기하여야 하나, 피심인이 활동을 종료한 개발 전문가의 개인정보를 삭제하지 않고 보관한 행위
2023-05-10 | 제2023-008-086호 | 비공개 | 제15조 | 정보주체의 동의나 법적 근거 없이 개인정보를 수집한 행위 | 동의 없는 수집·이용·제공 | 개인정보처리자는 보호법에 규정된 경우에만 개인정보를 수집할 수 있으나, 피심인이 개인정보 수집 동의나 법적 근거 없이 용역업체 근로자들의 개인정보를 수집한 행위
2023-05-10 | 제2023-008-086호 | 비공개 | 제15조·제17조·제23조 | 민감정보 수집시 별도 동의를 받지 않은 행위 | 민감정보 별도동의 흠결 | 개인정보처리자는 정보주체로부터 별도 동의를 받거나, 법령에서 처리를 요구하거나 허용하는 경우 민감정보를 수집·처리할 수 있으나, 피심인이 정보주체로부터 별도 동의를 받거나 법적 근거 없이 용역업체에서 채용한 근로자들의 민감정보를 수집한 행위
2023-05-10 | 제2023-008-085호 | 비공개 | 제15조 | 정보주체의 동의나 법적 근거 없이 개인정보를 수집한 행위 | 동의 없는 수집·이용·제공 | 개인정보처리자는 보호법에 규정된 경우에만 개인정보를 수집할 수 있으나, 피심인이 개인정보 수집 동의나 법적 근거 없이 학생들의 개인정보를 수집한 행위
2023-05-10 | 제2023-008-085호 | 비공개 | 제15조 | 정보주체로부터 동의를 받을 시 알려야 할 사항을 누락한 행위 | 동의 방법·고지사항 흠결 | 개인정보처리자는 개인정보 수집·이용을 위한 동의를 받을 때 법에서 정한 사항들을 정보주체에게 알려야 하나, 피심인이 통합로그인 시스템 및 메일 시스템 회원 가입시 동의를 거부할 권리가 … 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용을 고지하지 않은 행위
2023-05-10 | 제2023-008-085호 | 비공개 | 제21조 | 보유기간이 경과한 개인정보를 즉시 파기하지 않은 행위 | 파기 미이행 | 개인정보처리자는 개인정보가 불필요하게 되었을 때 지체 없이 그 개인정보를 파기하여야 하나, 피심인이 에서 별정직으로 근무하다가 ’14.8.31. 퇴사한 직원의 개인정보를 ’20.4.30.이 되어서야 파기한 행위
2023-05-10 | 제2023-008-085호 | 비공개 | 제26조 | 업무위탁에 관한 사항을 개인정보 처리방침에 공개하지 않은 행위 | 위탁·국외이전 미고지·미공개 | 개인정보처리자는 개인정보 처리 업무를 위탁하는 경우 그 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하여야 하나, 피심인이 출입관리시스템 구축·관리를 목적으로 과 … 계약을 체결하였음에도 ’16.6월∼’19.5월 해당 사항을 공개하지 않은 행위
2023-05-10 | 제2023-008-084호 | 비공개 | 제24조의2 | 주민등록번호를 암호화하여 안전하게 보관하지 않은 행위 | 암호화 미조치 | 개인정보처리자는 주민등록번호가 유출되지 않도록 암호화 조치를 통하여 안전하게 보관하여야 하나, 피심인이 주민등록번호가 포함된 ‘명단(엑셀)’을 보관하면서 암호화하지 않은 행위
2023-05-10 | 제2023-008-083호 | 비공개 | 제34조 | 개인정보 유출 통지 의무를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2023-05-10 | 제2023-008-082호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 … ’14.8.12.∼’21.8.18. 을 통해 대행업체 대표자 개인정보를 등록·연동하여 공개한 행위
2023-05-10 | 제2023-008-081호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 … 여부를 점검하지 않아, 열람 권한이 없는 제3자에게 개인정보가 유출된 행위
2023-05-10 | 제2023-008-080호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-05-10 | 제2023-008-080호 | 비공개 | 제34조 | 개인정보의 유출통지를 하지 아니한 행위 | 유출 통지·신고 해태 | -
2023-05-10 | 제2023-008-079호 | 비공개 | 제23조·제29조 | 민감정보 등 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 처리하는 민감정보가 유출되지 않도록 안전성 확보에 필요한 조치를 하여야 하며, 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 … 구분없이 암호화된 파일의 비밀번호를 공문에 명시하여 에 일괄 발송한 행위
2023-05-10 | 제2023-008-079호 | 비공개 | 제34조 | 개인정보 유출 통지·신고 의무를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2023-05-10 | 제2023-008-078호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 … 열람 권한이 없는 제3자에게 ‘점검시스템’의 개인정보가 유출되도록 한 행위
2023-05-10 | 제2023-008-077호 | 비공개 | 제26조 | 업무위탁에 따른 개인정보 처리제한 조치를 소홀히 한 행위 | 위·수탁 계약 사항 흠결 | -
2023-05-10 | 제2023-008-077호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-05-10 | 제2023-008-076호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 접속한 IP 주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지하고 대응하여야 하나, 피심인이 홈페이지에 대한 불법적인 개인정보 유출 시도 탐지 및 대응을 하지 않은 행위 / 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나 … URL이 외부 검색 엔진에 노출된 것과 관련 접근 통제 조치를 소홀히 한 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하나, 피심인이 홈페이지 관련 ‘처리한 정보주체 정보’ 및 ‘수행업무’ 등 접속 기록을 보관·관리하지 않은 행위
2023-05-10 | 제2023-008-075호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무수행에 필요한 최소한의 범위로 업무담당자에게 차등 부여하여야 하나, 피심인이 ERP에서 전 직원 누구나 타 직원의 주소지(입사시 제출한 주소)를 검색할 수 있도록 한 행위 / 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우, 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 하나, 피심인이 직위해제 인사명령 후 해당 직원이 ERP에서 부여받은 접근권한을 지체 없이 말소하지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 기록하여야 하나 … 개인정보처리시스템의 접속기록 수행업무 중 수정기록을 보관·관리하지 않은 행위
2023-05-10 | 제2023-008-074호 | 비공개 | 제24조 | 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하여야 하나, 피심인이 … 권한이 없는 자에게 건축물 소유자의 고유식별정보가 공개·유출되도록 한 행위
2023-05-10 | 제2023-008-072호 | 비공개 | - | 주민등록번호를 암호화하지 않고 보관한 행위 | 암호화 미조치 | ‘19년도 ’, ‘ ’ 등 주민등록번호가 포함된 엑셀파일을 암호화하여 저장하지 않은 것
2023-05-10 | 제2023-008-072호 | 비공개 | - | 고유식별정보를 암호화하지 않고 보관한 행위 | 암호화 미조치 | 내부망 업무용 PC에 여권번호를 암호화하지 않고 저장한 것
2023-05-10 | 제2023-008-072호 | 비공개 | 제29조 | 개인정보에 대한 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 시스템에서 개인정보취급자의 접근권한 부여‧변경‧말소에 대한 내역을 기록‧보관하지 않은 것 / 공용PC(IP: )에 전공의, 교수 등 개인정보취급자의 정보시스템(…)의 비밀번호를 텍스트 파일 등에 기재하고 상호 공유하여 사용한 것 / 시스템에서 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하지 않은 것 / 내부망 업무용 PC 및 서버에 공유폴더에 권한 설정 등의 조치를 하지 않고, 판독용 서버 및 에서 윈도우 공유폴더 기능을 활성화한 것 / 내부망 업무용 PC에서 와 들의 시스템(…) 비밀번호를, 시스템에서 개인정보취급자의 비밀번호를 평문으로 저장한 것 / 시스템에서 개인정보처리시스템에 접속한 기록을 보관․관리하지 않은 것
2023-05-10 | 제2023-008-072호 | 비공개 | 제34조 | 정보주체에게 유출사실을 지체없이 통지하지 않은 행위 | 유출 통지·신고 해태 | 홈페이지(…) 회원정보(직원정보)가 국내 경유서버에서 발견되어, 개인정보가 유출된 사실을 인지하였음에도 정보주체에게 즉시 통지하지 않은 것
2023-04-26 | 제2023-007-071호 | 비공개 | 제21조 | 개인정보의 파기 위반 | 파기 미이행 | 「근로기준법」제42조에 따라 근로자 명부 등을 3년간 보관할 수 있으나, 보유기간이 지난 퇴직한 근로자 496명의 개인정보를 파기하지 않고 보관한 행위
2023-04-26 | 제2023-007-070호 | 비공개 | 제22조 | 동의를 받는 방법 위반 | 동의 방법·고지사항 흠결 | 신청인이 선택 동의 사항에 동의하지 않은 이유로 결혼 중개 무료 전화상담 서비스 제공을 거부한 피심인의 행위
2023-04-26 | 제2023-007-069호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 방문요양서비스 시스템을 운영하면서 외부에서 시스템 접속 시 안전한 인증수단을 적용하지 않고 아이디와 비밀번호로만으로 시스템에 접근 가능하게 하였으며, 시스템에 접속한 기록을 보관·관리하지 않은 행위 / 개인정보의 유출 사실을 인지하고도 50일이 지나 해당 정보주체에게 유출 통지한 행위
2023-04-26 | 제2023-007-068호 | 비공개 | 제24조 | 고유식별정보의 처리 제한 위반 | 고유식별정보 처리 제한 위반 | 개인정보취급자가 변경되었을 때 접근 권한의 부여, 변경 또는 말소 내역을 기록‧보관하지 않은 피심인의 행위 / 외부에서 개인정보처리시스템 접속 시 추가 인증수단을 적용하지 않은 피심인의 행위 / 개인정보취급자가 개인정보처리시스템에서 개인정보를 다운로드한 경우 그 사유를 확인하지 않은 행위
2023-04-12 | 제2023-006-066호 | 비공개 | 제22조·제39조의3 | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | 개인정보처리자 및 정보통신서비스 제공자는 만 14세 미만 아동의 개인정보를 처리하기 위해서는, 법정대리인의 동의를 받아야 하나, 피심인이 법정대리인 동의 확인절차를 적용하지 않고, 만 14세 미만 아동의 개인정보를 수집한 행위
2023-04-12 | 제2023-006-065호 | 비공개 | 제22조·제39조의3 | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | 개인정보처리자 및 정보통신서비스 제공자는 만 14세 미만 아동의 개인정보를 처리하기 위해서는, 법정대리인의 동의를 받아야 하나, 피심인이 법정대리인 동의 확인절차를 적용하지 않고, 만 14세 미만 아동의 개인정보를 수집한 행위
2023-04-12 | 제2023-006-064호 | 비공개 | 제22조·제39조의3 | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | 개인정보처리자 및 정보통신서비스 제공자는 만 14세 미만 아동의 개인정보를 처리하기 위해서는, 법정대리인의 동의를 받아야 하나, 피심인이 법정대리인 동의 확인절차를 적용하지 않고, 만 14세 미만 아동의 개인정보를 수집한 행위
2023-04-12 | 제2023-006-063호 | 비공개 | 제22조·제39조의3 | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | 개인정보처리자 및 정보통신서비스 제공자는 만 14세 미만 아동의 개인정보를 처리하기 위해서는, 법정대리인의 동의를 받아야 하나, 피심인이 법정대리인 동의 확인절차를 적용하지 않고, 만 14세 미만 아동의 개인정보를 수집한 행위
2023-04-12 | 제2023-006-062호 | 비공개 | 제22조·제39조의3 | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | 개인정보처리자 및 정보통신서비스 제공자는 만 14세 미만 아동의 개인정보를 처리하기 위해서는, 법정대리인의 동의를 받아야 하나, 피심인이 법정대리인 동의 확인절차를 적용하지 않고, 만 14세 미만 아동의 개인정보를 수집한 행위
2023-04-12 | 제2023-006-061호 | 비공개 | 제22조·제39조의3 | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | -
2023-04-12 | 제2023-006-060호 | 비공개 | 제22조·제39조의3 | 법정대리인 동의 없이 만 14세 미만 아동의 개인정보를 수집한 행위 | 법정대리인 동의 흠결 | -
2023-04-12 | 제2023-006-059호 | 비공개 | 제24조의2 | 법령 등의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 주민등록번호를 법적 근거 없이 처리(보유·수집)한 행위
2023-04-12 | 제2023-006-059호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 홈페이지 개선 과정에서 시스템 오류(로직 오류)＊가 존재함에도 접근통제 조치를 하지 않아, 이용자의 주민등록번호 등이 포함된 개인정보 파일이 동안 특정 URL에 노출되어 권한 없는 자가 외부에서 접근이 가능토록 하여 이용자의 개인정보가 유출되도록 한 행위 / 수집·보관한 마스킹 처리하지 않은 신분증의 주민등록번호 등 고유식별정보를 암호화 조치를 하지 않고 저장한 행위
2023-04-12 | 제2023-006-058호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 웹방화벽 설정, IP 주소 제한 등 접근통제 조치를 하지 않아 SQL Injection 공격을 정상적으로 탐지·차단하지 못하고, SQL 쿼리와 같은 웹서버 입력값에 대한 검증을 하지 않아 이용자의 개인정보가 유출되도록 한 행위 / 개인정보처리시스템의 접속기록을 개인정보취급자인지 아닌지 식별이 불가능한 로드밸런서 IP로 남긴 행위
2023-04-12 | 제2023-006-055호 | 비공개 | 제26조 | 개인정보 처리위탁 사실을 공개하지 않은 행위 | 위·수탁 계약 사항 흠결 | ○○○시스템을 운영하면서 홈페이지 회원가입을 통해 이용자의 개인정보를 수집하였으나, 수집된 개인정보의 처리를 위탁한 사실을 ’21.3월까지 공개하지 않은 행위
2023-04-12 | 제2023-006-055호 | 비공개 | 제29조 | 개인정보 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템 접근권한 부여·변경·말소에 대한 내역을 보관하지 않고, 개인정보취급자 비밀번호를 일방향 암호화하여 저장하지 않고, 개인정보처리시스템 접속기록 항목 중 수행업무의 내용을 누락한 행위
2023-04-12 | 제2023-006-054호 | 비공개 | 제15조 | 개인정보 수집․이용 동의 시 필수 항목을 알리지 않은 행위 | 동의 없는 수집·이용·제공 | 보호법 제15조제2항에 따라 동의를 받을 때에는 개인정보의 보유 및 이용기간, 동의 거부 권리 및 거부에 따른 불이익 내용을 정보주체에게 알려야 하나, 피심인이 ○○○○ 상담을 위한 … 이용기간, 동의 거부 및 거부에 따른 불이익 사항을 알리지 않고 동의를 받은 행위
2023-04-12 | 제2023-006-054호 | 비공개 | 제15조·제23조 | 민감정보 수집 시 별도로 동의받지 않은 행위 | 민감정보 별도동의 흠결 | 민감정보를 처리할 때 보호법 제23조제1항에 따라 정보주체에게 제15조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받아야 하나, 피심인이 ○○○○ 상담을 위한 민감정보 수집 시 별도로 동의를 받지 않고 포괄적으로 동의를 받은 행위
2023-04-12 | 제2023-006-054호 | 비공개 | - | 개인정보를 제3자에게 제공한 행위 | 제3자 제공 | -
2023-04-12 | 제2023-006-053호 | 비공개 | 제34조 | 개인정보의 유출 통지 의무를 소홀히 한 행위 | 유출 통지·신고 해태 | 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때 지체 없이 해당 정보주체에게 유출 사실을 알려야 하나, ’20. 1. 31. 유출 사실을 인지하고도 ’20. 5. 21. 정보주체에게 유출 사실을 통지한 피심인의 행위
2023-04-12 | 제2023-006-052호 | 비공개 | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | -
2023-04-12 | 제2023-006-052호 | 비공개 | 제32조 | 개인정보파일을 등록하지 않은 행위 | 개인정보파일 미등록 | 개인정보파일을 운용하는 경우 개인정보 파일의 명칭, 운영근거 및 목적, 개인정보의 항목, 처리방법, 보유기간, 제공받는자 등을 보호위원회에 등록하여야 하나, 피심인이 홈페이지 운영을 위해 운용하고 있는 개인정보파일을 보호위원회에 등록하지 않은 행위
2023-04-12 | 제2023-006-051호 | 비공개 | 제3조 | 개인정보 보호원칙 준수를 소홀히 한 행위 | 개인정보 보호원칙 위반 | -
2023-04-12 | 제2023-006-050호 | 비공개 | - | 개인정보에 대한 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 운영관리자 및 교사 권한으로 외부에서 관리자페이지에 접속할 경우 아이디와 비밀번호만으로 접속이 가능하도록 운영한 행위 / 개인정보처리시스템 접속기록을 월 1회 이상 점검하지 않은 행위
2023-04-12 | 제2023-006-049호 | 비공개 | 제29조 | 권한 없는 자에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | 개인정보처리자로서 종합관리시스템에 대한 접근통제 조치를 하지 않아 개인정보가 유출된 행위
2023-04-12 | 제2023-006-049호 | 비공개 | 제24조의2 | 주민등록번호를 암호화하지 않고 보관한 행위 | 암호화 미조치 | 개인정보처리자로서 주민등록번호가 포함된 문서를 전자문서시스템에 보관할 때 암호화 조치를 통하여 안전하게 보관하지 않은 행위
2023-04-12 | 제2023-006-048호 | 비공개 | 제21조 | 개인정보의 파기를 소홀히 한 행위 | 파기 미이행 | 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 하나, 홈페이지에서 회원탈퇴를 한 223명의 개인정보를 파기하지 않고 보관한 행위
2023-04-12 | 제2023-006-048호 | 비공개 | 제26조 | 업무위탁에 따른 관리·감독을 소홀히 한 행위 | 수탁자 관리·감독 소홀 | 제3자에게 개인정보의 처리 업무를 위탁하는 경우에 위탁자는 업무위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리현황 점검 등 … ㈜○○○, ㈜○○○○에 대한 처리현황 점검 등 관리·감독을 하지 않은 행위
2023-04-12 | 제2023-006-048호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-22 | 제2023-005-047호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-22 | 제2023-005-047호 | 비공개 | 제39조의4 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2023-03-22 | 제2023-005-046호 | 비공개 | 제39조의3 | 개인정보의 수집·이용 동의 등의 특례를 위반한 행위 | 동의 없는 수집·이용·제공 | -
2023-03-22 | 제2023-005-045호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-22 | 제2023-005-045호 | 비공개 | 제39조의4 | 개인정보 유출통지 및 유출신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2023-03-22 | 제2023-005-044호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-22 | 제2023-005-043호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-22 | 제2023-005-042호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 하지 아니한 행위 | 안전조치 미흡(일반) | -
2023-03-22 | 제2023-005-042호 | 비공개 | 제21조 | 개인정보의 파기 등 필요한 조치를 하지 아니한 행위 | 파기 미이행 | -
2023-03-22 | 제2023-005-042호 | 비공개 | 제39조의4 | 개인정보 유출 신고‧통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2023-03-22 | 제2023-005-041호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 정보주체에게 고지한 영상정보 수집·이용 목적(방범 등)과 다르게 근태 점검 목적으로 의 영상정보를 이용한 피심인의 행위
2023-03-22 | 제2023-005-039호 | 리앤리성형외과 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | (…)의 병원 내 회복실은 그 명칭에도 불구하고 실질적 탈의 공간으로 활용되고 있어 개인의 사생활을 현저히 침해할 우려가 있는 장소로 판단되며 이러한 공간에 영상정보처리기기를 설치·운영한 피심인의 행위
2023-03-22 | 제2023-005-038호 | 마노성형외과의원 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | (…)의 병원 내 회복실은 그 명칭에도 불구하고 실질적 탈의 공간으로 활용되고 있어 개인의 사생활을 현저히 침해할 우려가 있는 장소로 판단되며 이러한 공간에 영상정보처리기기를 설치·운영한 피심인의 행위
2023-03-08 | 제2023-004-037호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 이용자가 본인인증으로 회원가입 시 직접 입력한 이메일 주소에 대한 유효성 확인 절차를 마련하지 않고, 회원 식별 인증로직을 잘못 설정하는 등 접근통제 조치를 소홀히 하여 이용자의 개인정보가 유출되도록 한 행위
2023-03-08 | 제2023-004-037호 | 비공개 | 제39조의4 | 개인정보 유출 신고·통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 신고·통지한 행위
2023-03-08 | 제2023-004-036호 | 비공개 | 제24조의2 | 법령 등의 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 주민등록번호를 법적 근거 없이 처리한 행위
2023-03-08 | 제2023-004-036호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 시스템을 개편하면서 디렉토리 리스팅 차단 설정 등 접근통제를 하지 않아 이용자의 개인정보가 포함된 파일이 검색엔진에 노출되어 외부에 유출되도록 한 행위 / 시스템 이상 유무의 확인 등을 위해 개인정보처리시스템의 접속기록을 보존·관리하지 않고 월 1회 이상 정기적으로 확인·감독하지 않은 행위 / 주민등록번호 등 고유식별정보가 포함된 신분증을 보유·수집하면서 마스킹처리 하지 않고 원본으로 저장하는 등 암호화 조치를 하지 않은 행위
2023-03-08 | 제2023-004-036호 | 비공개 | 제39조의4 | 개인정보 유출 신고를 소홀히 한 행위 | 유출 통지·신고 해태 | 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 유출 신고한 행위
2023-03-08 | 제2023-004-035호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 온라인 쇼핑몰을 운영하면서 개인정보 처리시스템에 대한 접근제한, 웹셸 업로드 및 실행 제한 등의 접근통제를 소홀히 하여 개인정보가 유출되도록 한 행위
2023-03-08 | 제2023-004-035호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 당초 유출된 이용자 정보가 특정되지 않아 홈페이지 공지사항을 통해 유출통지 하였으나, 조사과정에서 확인된 이용자 명을 대상으로 별도의 유출통지를 하지 않은 행위
2023-03-08 | 제2023-004-034호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 대한 접근제한 및 유출탐지, 웹셸 업로드 및 실행 제한 등의 접근통제를 소홀히 하여 개인정보가 유출되도록 한 행위
2023-03-08 | 제2023-004-034호 | 비공개 | 제39조의4 | 개인정보 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | ‘22. 10. 14. 한국인터넷진흥원을 통해 개인정보 유출 및 신고·통지를 안내받고 회원정보임을 확인하였음에도 유출 사실을 안 때부터 정당한 사유 없이 24시간을 경과하여 ‘22. 10. 18.과 ’22. 10. 19.에 각 신고 및 통지한 행위
2023-03-08 | 제2023-004-032호 | ㈜지마켓 | 제35조 | 개인정보의 열람 위반 | 정보주체 권리행사 방법 미비 | 신고인의 개인정보 열람 요구(녹취파일 제공)에 대해 피심인이 마련한 녹취자료 요구 대응 절차상 녹취자료 제공이 가능함에도 상담원이 정당한 이유 없이 열람을 거절한 행위
2023-03-08 | 제2023-004-031호 | 비공개 | 제35조 | 개인정보의 열람 위반 | 정보주체 권리행사 방법 미비 | 정보주체의 개인정보 열람 요구를 받고도 정당한 사유 없이 10일 이내에 열람 조치를 하지 아니한 것
2023-03-08 | 제2023-004-030호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-08 | 제2023-004-029호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-08 | 제2023-004-028호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자로서 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하나, 대표 홈페이지의 관리자페이지에 비밀번호 작성규칙을 적용하지 않은 행위
2023-03-08 | 제2023-004-027호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-08 | 제2023-004-026호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경될 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 하나, 퇴직·전보한 직원들의 개인정보처리시스템 접근권한을 지체없이 변경·말소하지 않은 피심인의 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하나, 개인정보취급자의 접속기록을 보관하지 않은 피심인의 행위
2023-03-08 | 제2023-004-025호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 계정을 발급하는 경우 개인정보취급자 별로 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 하나, 사용자계정 1개를 다수의 취급자가 공유하도록 한 피심인의 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하며, 개인정보처리시스템의 접속기록을 월 1회 이상 점검하여야 하나, 개인정보취급자의 접속기록을 보관하지 않거나 접속기록을 월 1회 이상 점검하지 않은 피심인의 행위
2023-03-08 | 제2023-004-024호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자로서 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 하나, 00교육센터 직원에게 개인정보처리시스템의 접근권한을 담당 업무로 한정하여 부여하지 않고, 담당 업무가 아닌 권한을 부여한 행위
2023-03-08 | 제2023-004-023호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하나, 일부 화면에서 개인정보취급자의 접속기록을 보관하지 않거나, 취급자의 주체 정보가 누락된 접속기록을 보관한 피심인의 행위
2023-03-08 | 제2023-004-022호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2023-03-08 | 제2023-004-021호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하나, 개인정보취급자의 접속기록을 조사 개시 통보 전까지 보관하지 않고, 이후 보관된 접속기록에 취급자의 접속 IP를 누락한 피심인의 행위
2023-03-08 | 제2023-004-020호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자로서 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하나, 000자원통합정보시스템 관리자계정의 비밀번호 변경시 … 수립·적용하지 않아 1자리 이상 단순 비밀번호로도 변경 가능하게 한 행위 / 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단이나 안전한 인증수단을 적용하여야 하나, 외부에서 … 인증수단을 적용하지 않아 아이디와 비밀번호만으로 로그인이 가능하도록 한 행위
2023-03-08 | 제2023-004-019호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템 접근 권한 부여, 변경 또는 말소에 대한 내역을 기록하고 그 기록을 최소 3년간 보관하여야 하나, 개인정보취급자의 권한 변경 또는 말소에 대한 내역을 기록하고 보관하지 않은 피심인의 행위
2023-02-22 | 제2023-003-015호 | 비공개 | 제21조 | 개인정보의 파기 의무를 소홀히 한 행위 | 파기 미이행 | 정보를 파기하지 않고 보관한 것
2023-02-22 | 제2023-003-014호 | 비공개 | 제21조 | 개인정보의 파기 의무를 소홀히 한 행위 | 파기 미이행 | (…)와 계약이 종료한 배달종사자의 개인정보를 파기하지 않고 보관한 것
2023-02-22 | 제2023-003-014호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | (개인정보 암호화) 피심인이 관리자 프로그램에서 개인정보처리자의 비밀번호를 서버로 전송할 때 암호화하지 않은 행위 / (접속기록 보관) 피심인이 관리자 프로그램에서 개인정보를 처리한 내용을 보관하지 않은 행위
2023-02-22 | 제2023-003-013호 | 비공개 | 제21조 | 개인정보의 파기 의무를 소홀히 한 행위 | 파기 미이행 | (…)와 계약이 종료한 의 개인정보(…)를 파기하지 않고 보관한 것
2023-02-22 | 제2023-003-012호 | 비공개 | 제21조 | 다른 개인정보와 분리하여 저장‧관리하지 않은 행위 | 분리 저장·관리 미이행 | 등에 따라 를 파기하지 않고 보존하면서 다른 개인정보와 분리하여 저장·관리하지 하지 않은 행위
2023-02-22 | 제2023-003-011호 | 비공개 | 제21조 | 다른 개인정보와 분리하여 저장‧관리하지 않은 행위 | 분리 저장·관리 미이행 | (…)를 파기하지 않고 보존하면서 다른 개인정보와 분리하여 저장·관리하지 하지 않은 행위
2023-02-22 | 제2023-003-010호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | (…)에서 개인정보처리시스템에 접속하여 수행한 업무 내역에 대한 접속기록을 보관하지 않은 행위
2023-02-22 | 제2023-003-009호 | 비공개 | 제21조 | 개인정보의 파기 의무를 소홀히 한 행위 | 파기 미이행 | 이용자의 개인정보를 파기하지 않은 행위
2023-02-22 | 제2023-003-009호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 암호화하지 않고 저장한 행위
2023-02-22 | 제2023-003-009호 | 비공개 | 제39조의6 | 장기 미이용자의 개인정보를 파기하거나 분리하여 저장‧관리하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | 1년 이상 로그인하지 않은 이용자의 개인정보를 다른 이용자와 분리하여 저장·관리하지 않은 행위
2023-02-08 | 제2023-002-007호 | (재)한국어린이안전재단 | 제29조 | 취급 중인 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 마스킹 처리 등 접근 통제 등에 관한 조치 없이 개인정보를 게시하여 취급중인 개인정보가 인터넷 홈페이지를 통해 열람권한이 없는 자에게 공개된 것
2023-02-08 | 제2023-002-007호 | (재)한국어린이안전재단 | 제34조 | 개인정보 유출 사실의 통지를 지연한 행위 | 유출 통지·신고 해태 | ’22.9.1.에 개인정보 유출 사실을 인지하고도 ’22.11.18.에 정보주체에게 개인정보 유출 사실을 통지한 것
2023-02-08 | 제2023-002-007호 | (재)한국어린이안전재단 | 제34조 | 개인정보 유출 사실의 신고를 지연한 행위 | 유출 통지·신고 해태 | ’22.9.1. 1천명 이상의 정보주체(2,412명)의 개인정보 유출 사실을 인지하고도 ’22.9.20.에 유출 신고한 것
2023-02-08 | 제2023-002-006호 | 비공개 | 제24조 | 고유식별정보의 처리 제한 위반 | 고유식별정보 처리 제한 위반 | 환자의 주민등록번호를 정보통신망을 통해 송신하면서 암호화 조치를 하지 않은 것
2023-02-08 | 제2023-002-005호 | 비공개 | 제21조 | 개인정보의 파기 위반 | 파기 미이행 | 본 건 신고인이 퇴직한 후에도 신고인의 개인정보를 파기하지 않고 보존한 것 / 다만, 피심인이 법령에 따라 퇴직한 근로자의 개인정보를 보존할 때 다른 개인정보와 분리하여 저장·관리하지 않은 것
2023-02-08 | 제2023-002-004호 | 비공개 | 제21조 | 개인정보의 파기 위반 | 파기 미이행 | 퇴직한 일용직 근로자의 개인정보를 파기하지 않고 세법에 따른 보관기간(5년)이 지나서도 시스템에 계속 보관한 것
2023-01-11 | 제2023-001-002호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 내부적으로 활용(고객센터 접수 내역에 대한 분석·대응)하기 위하여 정기적으로 시스템에서 다운로드한 ‘고객센터 문의·답변 내역 파일’과 이용자의 요청에 따른 서비스를 제공하기 위하여 … 않고 같은 폴더에 일괄 저장하여 이용자의 개인정보가 유출되도록 운영한 행위
2022-11-30 | 제2022-019-176호 | 비공개 | - | 개인정보를 파기하지 않은 행위 | 파기 미이행 | 목적을 달성한 후에도 고객정보를 파기하지 않고 별도 저장·보관한 피심인의 행위
2022-11-30 | 제2022-019-176호 | 비공개 | - | 개인정보 안전성 확보조치를 하지 않은 행위 | 안전조치 미흡(일반) | 고객 개인정보를 업무용 PC에 저장하면서 암호화 조치를 하지 않은 피심인의 행위
2022-11-30 | 제2022-019-175호 | 비공개 | - | 개인정보를 파기하지 않은 행위 | 파기 미이행 | 목적을 달성한 후에도 고객정보를 파기하지 않고 별도 저장·보관한 피심인의 행위
2022-11-30 | 제2022-019-175호 | 비공개 | - | 개인정보 안전성 확보조치를 하지 않은 행위 | 안전조치 미흡(일반) | 고객 개인정보를 업무용 PC에 저장하면서 암호화 조치를 하지 않은 피심인의 행위
2022-11-30 | 제2022-019-174호 | 비공개 | - | 개인정보를 파기하지 않은 행위 | 파기 미이행 | 목적을 달성한 후에도 고객정보를 파기하지 않고 별도 저장·보관한 피심인의 행위
2022-11-30 | 제2022-019-174호 | 비공개 | - | 개인정보 안전성 확보조치를 하지 않은 행위 | 안전조치 미흡(일반) | 고객 주민등록번호 등 개인정보를 업무용 PC에 저장하면서 암호화 조치를 하지 않은 행위 / 가입신청서와 주민등록번호가 포함된 서류를 별도의 잠금장치 없이 보관한 행위
2022-11-30 | 제2022-019-173호 | 비공개 | - | 개인정보를 파기하지 않은 행위 | 파기 미이행 | 목적을 달성한 후에도 고객정보를 파기하지 않고 별도 저장·보관한 피심인의 행위
2022-11-30 | 제2022-019-173호 | 비공개 | - | 개인정보 안전성 확보조치를 하지 않은 행위 | 안전조치 미흡(일반) | 고객 개인정보를 업무용 PC에 저장하거나 사설 프로그램(…)을 통해 전송하면서 암호화 조치를 하지 않은 행위 / 개인정보취급자가 외부에서 사설 프로그램(…)에 접속하도록 하면서 OTP 등 안전한 인증수단을 적용하지 않은 행위
2022-11-30 | 제2022-019-169호 | 비공개 | 제21조·제26조 | 개인정보를 파기하지 않은 행위 | 파기 미이행 | 등 목적 달성 뒤에도 가입신청서, 신분증 등 사본, 개인정보를 정리한 엑셀파일을 업무용 PC에 보관한 피심인의 행위
2022-11-30 | 제2022-019-169호 | 비공개 | 제26조·제29조 | 주민등록번호 암호화를 하지 않은 행위 | 암호화 미조치 | 주민등록번호가 포함된 파일을 업무용 PC에 암호화하지 않고 보관한 피심인의 행위
2022-11-30 | 제2022-019-166호 | 비공개 | 제29조 | 시스템 접근 제한을 소홀히 한 행위 | 접근통제 미흡 | 기능 모의테스트에 참여한 대리점 계정에만 조회 권한이 부여되어야 하나, 그 외의 일반 대리점에 대해 개인정보처리시스템 접근을 제한하지 않은 피심인의 행위
2022-11-30 | 제2022-019-166호 | 비공개 | 제17조 | 정보주체 동의 없는 개인정보 제공 행위 | 동의 없는 수집·이용·제공 | 고객 정보에 기록된 가족 연락처를 고객의 동의 없이 제3자에게 제공한 피심인의 행위
2022-11-30 | 제2022-019-164호 | 비공개 | 제21조 | 불필요하게 된 개인정보를 파기하지 않은 행위 | 파기 미이행 | 서비스 이용 중지 의사를 밝힌 이용자의 개인정보를 파기하지 않고 상태값을 변경하여 보관 ( 건)한 행위
2022-11-30 | 제2022-019-164호 | 비공개 | 제39조의6 | 1년 이상 미이용자의 개인정보를 파기 등 하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | -
2022-11-30 | 제2022-019-163호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 하지 않은 행위 | 안전조치 미흡(일반) | -
2022-11-30 | 제2022-019-162호 | 비공개 | 제39조의4 | 유출 통지를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2022-11-30 | 제2022-019-161호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-11-30 | 제2022-019-161호 | 비공개 | 제39조의4 | 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2022-11-30 | 제2022-019-160호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-11-30 | 제2022-019-160호 | 비공개 | 제39조의4 | 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2022-11-30 | 제2022-019-159호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2022-11-30 | 제2022-019-158호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2022-11-30 | 제2022-019-157호 | 비공개 | 제21조 | 불필요하게 된 개인정보를 파기하지 않은 행위 | 파기 미이행 | 잘못 부착한 송장을 파기하지 않고 그 위에 새로운 송장을 덧붙여 출고하여 다른 수취인의 개인정보가 노출되게 한 행위
2022-11-30 | 제2022-019-156호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-11-30 | 제2022-019-156호 | 비공개 | 제39조의4 | 유출 통지·신고를 소홀히 한 행위 | 유출 통지·신고 해태 | -
2022-11-16 | 제2022-018-154호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 외부에서 개인정보처리시스템에 접속 시 2차 인증 등 안전한 인증수단을 적용하지 않고 아이디·비밀번호만으로 접속하도록 운영한 행위
2022-11-16 | 제2022-018-153호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | (안전한 인증수단 및 침입차단·탐지시스템 운영) 피심인이 외부에서 개인정보처리시스템에 접속 시 안전한 인증수단을 적용하지 않고 아이디·비밀번호만으로 접속하도록 하거나, 개인정보처리시스템에 … 등으로 제한하지 않고 외부 인터넷 어디서나 접속할 수 있도록 운영한 행위 / (개인정보 유·노출 방지) 피심인이 인터넷 홈페이지를 통한 개인정보 유출을 방지하기 위해 보안기술 적용 등 조치를 취하여야 하나, 웹 취약점 점검 등 보안 조치를 하지 않아 해커의 공격을 허용한 행위 / 개인정보가 저장되는 데이터베이스 서버에 접속하는 개인정보취급자의 접속기록을 최소 1년 이상 보존·관리하지 않은 행위 / 이용자의 비밀번호를 복호화되지 아니하도록 일방향 암호화하여 저장하지 않은 행위 / 개인정보가 유출된 이용자 대상 별도의 유출통지를 하지 않고, 정당한 사유 없이 24시간을 경과하여 유출 사실을 신고한 행위
2022-11-16 | 제2022-018-152호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 비정상적인 식별 값에 대한 유효성 검증을 하지 않은 행위
2022-11-16 | 제2022-018-151호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 앱 연동 개발을 하면서 테스트를 소홀히 한 행위
2022-09-28 | 제2022-016-135호 | 비공개 | 제29조 | 개인정보를 안전하게 보관하지 않은 행위 | 안전조치 미흡(일반) | 인터넷 홈페이지 ‘호텔 객실 예약정보 조회 페이지’의 접근통제 조치를 미흡하게 한 것
2022-09-28 | 제2022-016-134호 | 비공개 | 제29조 | 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보가 열람권한이 없는 자에게 공개되거나 유출되지 않도록 접근 통제 등에 관한 조치를 하지 않고 개인정보취급자가 개인정보처리시스템에 접속한 기록을 보관하지 않은 행위
2022-09-28 | 제2022-016-133호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 취급 중인 개인정보가 열람 권한이 없는 자에게 유출되지 않도록 업무용 컴퓨터 등에 접근 통제 등에 관한 조치를 하지 않은 행위
2022-09-28 | 제2022-016-132호 | 비공개 | 제29조 | 개인정보를 안전하게 보관하지 않은 행위 | 안전조치 미흡(일반) | 개인정보가 포함된 설문지를 잠금장치가 있는 안전한 장소에 보관하지 않고 개인정보취급자의 책상 위에 방치한 것
2022-09-28 | 제2022-016-131호 | 비공개 | 제24조·제24조의2 | 주민등록번호 암호화 조치를 하지 않은 행위 | 암호화 미조치 | 임직원의 주민등록번호를 엑셀파일에 저장하면서 암호화조치 없이 안전하게 보관하지 않은 것
2022-09-28 | 제2022-016-130호 | 비공개 | 제29조 | 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 시스템에서 일반거래처 계정으로 접속할 경우 본인 거래처 뿐만 아니라 모든 거래처의 발송 내역과 해당 운송장의 개인정보를 조회할 수 있도록 운영한 것
2022-09-28 | 제2022-016-129호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 홈페이지 게시판 업로드 폴더의 실행 제한 등 접근 통제 조치를 미흡하게 하고 회원의 비밀번호를 안전하지 않은 알고리즘(MD5)으로 저장하는 등 홈페이지의 안전성 확보 조치를 소홀히 한 피심인의 행위
2022-09-28 | 제2022-016-128호 | (주)엘지유플러스 | 제29조 | 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | (…)의 홈페이지 하위 페이지가 별도의 통제 없이 접근이 가능하였고 SQL Injection 공격을 유발할 수 있는 특수문자를 차단하지 않은 등 홈페이지에 접근 통제에 관한 조치를 소홀히 한 행위
2022-09-14 | 제2022-014-121호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 청소년수련관 시스템 비밀번호를 안전하지 않은 암호알고리즘(MD5)으로 암호화하여 저장한 것
2022-09-14 | 제2022-014-120호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에서 권한 부여, 변경, 말소 내역을 기록·보관하지 않은 점, 개인정보취급자들이 업무별 관리자 계정을 공유하여 처리하게 한 점, 개인정보취급자가 외부에서 접근 시 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하지 않은 것
2022-09-14 | 제2022-014-119호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 대한 접근 권한을 업무 담당자 별로 부여하지 않고 계정을 공유하여 처리하게 한 점, 개인정보취급자가 외부에서 시스템 접근 시 안전한 접속수단을 적용하거나 안전한 인증수단을 … 않은 점, 개인정보처리시스템의 접속기록을 월 1회 이상 점검하지 않은 것
2022-09-14 | 제2022-014-118호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하지 않은 것
2022-09-14 | 제2022-014-117호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 외부에서 줄포만갯벌생태공원 홈페이지의 관리자페이지에 접속할 경우 아이디와 비밀번호만으로 로그인이 가능하도록 한 피심인의 행위
2022-09-14 | 제2022-014-116호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 많은 국민이 이용 가능한 쇼핑몰 시스템인 만큼 불법적인 접근 및 침해사고 방지를 위해 필요한 조치를 하여야 하나 침입탐지시스템 설치 등 유출탐지에 필요한 조치를 다 하지 않은 피심인의 행위
2022-09-14 | 제2022-014-115호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 자동차등록사무소 과태료납부관리시스템의 개인정보취급자가 타 부서로 전보되었음에도 계정을 말소하지 않은 피심인의 행위
2022-09-14 | 제2022-014-114호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보취급자 별로 사용자계정을 발급하지 않은 것
2022-09-14 | 제2022-014-113호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 인사이동 발생시 접근권한을 개인정보 취급자별로 부여하지 않고, 접근권한 부여·변경·말소내역을 기록 및 보관하지 않은 것 / 개인정보처리시스템의 접속기록을 월 1회 이상 점검하지 않고, 개인정보 다운로드시 그 사유를 확인하지 않은 것
2022-09-14 | 제2022-014-112호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-09-14 | 제2022-014-111호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 홈페이지 시스템에 대해 일정시간 이상 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 조치를 하지 않은 피심인의 행위
2022-09-14 | 제2022-014-110호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보취급자의 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근권한을 변경 또는 말소하지 않은 것
2022-09-14 | 제2022-014-109호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 대표 홈페이지에서 정보주체의 비밀번호를 안전하지 않은 MD5 알고리즘으로 저장한 것 / 개인정보처리시스템의 접속기록을 월 1회 이상 점검하지 않은 것
2022-09-14 | 제2022-014-108호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 대형폐기물 배출신청 시스템의 개인정보취급자 사용자 계정을 취급자간 공유하여 사용한 것 / 대형폐기물 배출신청 시스템의 계정정보 또는 비밀번호를 10회 이상 잘못 입력한 경우에도 계속적으로 접근 가능하도록 한 것
2022-09-14 | 제2022-014-107호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | ‘대표 홈페이지 시스템’에 접속할 수 있는 사용자계정(gda＊＊＊＊)을 다른 개인정보취급자와 공유하여 사용한 것 / (…)의 개인정보취급자가 정보통신망을 통해 외부에서 ‘대표 홈페이지 시스템’으로 접속하려는 경우, 가상사설망(VPN) 또는 전용선 등 안전한 접속 수단을 적용하지 않은 것
2022-09-14 | 제2022-014-106호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보취급자 별로 사용자계정을 발급하지 않은 것
2022-08-10 | 제2022-013-103호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2022-08-10 | 제2022-013-103호 | 비공개 | 제39조의4 | 개인정보 유출 등의 통지 ‧신고 조치를 하지 않은 행위 | 유출 통지·신고 해태 | -
2022-08-10 | 제2022-013-103호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2022-08-10 | 제2022-013-103호 | 비공개 | 제39조의4 | 개인정보 유출 등의 통지 ‧신고 조치를 하지 않은 행위 | 유출 통지·신고 해태 | -
2022-08-10 | 제2022-013-102호 | 비공개 | 제27조 | 영업양도 등에 따른 개인정보의 이전 제한 위반 | 영업양도 이전 통지 위반 | 주장하는 고시원은 일시 사용에 해당하여 주택임대차보호법 제11조에 따라 주택임대차보호법의 적용대상이 아니며, 그 외의 다른 법령에도 주민등록번호의 처리 근거는 없다. 따라서 법적 근거 없이 주민등록번호를 처리한 피심인의 행위 / 영업의 양도 등으로 개인정보를 다른 사람에게 이전하는 경우에 보호법 제27조제1항 각 호에 따른 개인정보 이전 사실을 알려야 하나, ◇◇◇◇을 양도하면서 이를 정보주체에게 알리지 않은 피심인의 행위
2022-08-10 | 제2022-013-101호 | 비공개 | 제24조·제24조의2 | 법적 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 법령에 근거하는 등 보호법에 명시한 경우를 제외하고 주민등록번호를 처리할 수 없음에도 법적 근거 없이 주민등록번호를 처리한 피심인의 행위
2022-08-10 | 제2022-013-100호 | 경주정보고등학교 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 개인의 사생활을 현저히 침해할 우려가 있는 화장실 내부를 볼 수 있도록 영상정보처리기기를 설치‧운영한 피심인의 행위
2022-08-10 | 제2022-013-099호 | 평창군시설관리공단 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 개인의 사생활을 현저히 침해할 우려가 있는 화장실(샤워실) 내부를 볼 수 있도록 영상정보처리기기를 설치·운영한 피심인의 행위
2022-08-10 | 제2022-013-098호 | 비공개 | 제35조 | 정보주체의 열람청구요청에 성실히 응하지 않은 행위 | 정보주체 권리행사 방법 미비 | 신고인의 요청사항 중 일부 항목에 대해 응답하지 않은 것
2022-08-10 | 제2022-013-097호 | 비공개 | 제15조 | 개인정보 수집·이용 동의를 받지 않은 행위 | 동의 없는 수집·이용·제공 | 자원봉사자 모집시 보호법상 개인정보를 수집할 수 있는 근거 없이, 명시적인 개인정보 수집·이용 동의를 받지 아니하고 개인정보를 수집한 것
2022-08-10 | 제2022-013-096호 | 비공개 | 제28조 | 개인정보취급자에 관한 감독을 소홀히 한 행위 | 개인정보취급자 감독 소홀 | -
2022-08-10 | 제2022-013-096호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-08-10 | 제2022-013-095호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-08-10 | 제2022-013-094호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 내부관리계획에 접속기록 변경사항을 반영하지 않은 행위 / ‘ 홈페이지’ DB에서 개인정보취급자 및 회원의 비밀번호를 안전한 암호알고리즘으로 암호화하지 않은 행위
2022-08-10 | 제2022-013-093호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-08-10 | 제2022-013-092호 | 비공개 | 제29조 | 개인정보의 대한 안전성 확보조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 0000시스템 DB 이관작업 중 이관항목에 ID를 포함시키지 않아 로그인 한 개인의 메시지함에 타인의 저장 메시지 내용이 표시되게 한 행위
2022-07-13 | 제2022-012-088호 | 비공개 | 제29조 | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | (…)의 개인정보처리시스템에 정보통신망을 통해 외부에서 접속 시 안전한 인증수단을 적용하지 않고 운영한 행위
2022-07-13 | 제2022-012-088호 | 비공개 | 제39조의6 | 장기 미이용자의 개인정보 파기 등 필요한 조치를 하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | 정보통신서비스 제공자등은 정보통신서비스를 1년의 기간 동안 이용하지 아니하는 이용자의 개인정보를 즉시 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장‧관리하여야 하나, 1년 이상 … 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장‧관리하지 않은 행위
2022-07-13 | 제2022-012-087호 | 비공개 | 제29조 | 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | (접근통제) 피심인이 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하지 않은 행위 / (접속기록의 위·변조방지) 피심인은 개인정보취급자가 개인정보처리시스템(웹서버 및 DB 서버)에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하지 않았고, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존·관리하지 아니한 행위
2022-07-13 | 제2022-012-087호 | 비공개 | 제21조 | 탈퇴한 이용자의 개인정보를 파기하지 않은 행위 | 파기 미이행 | 회원 탈퇴 등으로 불필요해진 개인정보에 대해 지체없이 파기하여야 하나 탈퇴한 계정 324,169건의 개인정보를 즉시 파기하지 않고 보관한 행위
2022-06-22 | 제2022-011-075호 | 강원도 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-075호 | 강원도 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-075호 | 강원도 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-074호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-074호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-074호 | 비공개 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-073호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-073호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-073호 | 비공개 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-072호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-072호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-072호 | 비공개 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-071호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-071호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-071호 | 비공개 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판을 설치하는 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-070호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-070호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-070호 | 비공개 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-069호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-069호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-069호 | 비공개 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-068호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-068호 | 비공개 | 제18조 | 개인정보의 목적 외 이용·제공 제한 위반 | 목적 외 이용·제공 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-068호 | 비공개 | 제20조 | 정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지 위반 | 수집 출처 등 통지 위반 | 공개된 장소에 영상정보처리기기를 설치·운영하면서 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하지 않은 피심인의 행위
2022-06-22 | 제2022-011-066호 | 수원시청 | 제15조·제17조·제18조·제39조의3 | 목적 외 이용 | 목적 외 이용·제공 | 1이 자동차관리법령상 부여된 자동차 시스템의 접근권한을 국토부장관의 별도 승인을 받지 않고 당초 법에 규정된 업무 목적 외로 불법노점단속 업무에 활용한 행위
2022-06-22 | 제2022-011-066호 | 수원시청 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-06-22 | 제2022-011-066호 | 수원시청 | 제28조 | 개인정보취급자 관리·감독을 소홀히 한 행위 | 개인정보취급자 감독 소홀 | 1이 이 사건 공무원 박○○가 ’20년 개인정보보호 교육을 이수하도록 관리하지 않은 점, 공무원 박○○의 개인정보 처리 범위를 업무상 필요한 한도에서 최소한으로 제한하지 않은 점 … 접속기록을 점검하지 않은 점 등 개인정보취급자에 대한 관리·감독을 소홀히 한 것
2022-05-25 | 제2022-009-061호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-25 | 제2022-009-060호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-25 | 제2022-009-059호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-25 | 제2022-009-058호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-25 | 제2022-009-057호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-25 | 제2022-009-056호 | 비공개 | 제21조·제85조의3 | 보관기간이 지난 개인정보를 파기하지 않은 행위 | 파기 미이행 | 학사행정종합 정보관리 시스템에서 퇴직 후 5년 이상이 경과한 자의 주민등록번호를 파기하지 않은 행위
2022-05-25 | 제2022-009-056호 | 비공개 | 제24조·제24조의2 | 주민등록번호를 안전하게 보관하지 않은 행위 | 안전조치 미흡(일반) | (…)에서 주민등록번호를 저장할 시 일부 테이블에서 암호화하지 않은 행위
2022-05-25 | 제2022-009-056호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-25 | 제2022-009-055호 | 비공개 | 제15조 | 개인정보를 수집할 때에 정보주체에게 알려야 할 항목을 알리지 않은 행위 | 동의 방법·고지사항 흠결 | 개인정보를 처리(회원가입시)하면서 의 수집‧이용 목적, 항목, 보유 및 이용 기간, 동의를 거부할 권리, 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용을 알리지 않은 행위
2022-05-25 | 제2022-009-055호 | 비공개 | 제29조 | 개인정보를 처리하는 경우에 개인정보보호를 위한 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-25 | 제2022-009-054호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | -
2022-05-11 | 제2022-008-052호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | (칩입차단 및 탐지시스템의 운영) 피심인이 개인정보처리시스템에 대한 접근권한을 개인정보취급자에게 허용된 아이피(IP)로 제한하지 않고, 외부 인터넷 어디서나 접속할 수 있도록 운영한 행위 / 개인정보가 저장되는 데이터베이스 서버에 접속하는 개인정보취급자의 접속기록을 보존·관리하지 않은 행위
2022-05-11 | 제2022-008-051호 | 비공개 | - | 개인정보 유출통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 이용자의 개인정보 유출 사실을 인지하였으나 개인정보 유출통지를 하지 않은 행위
2022-05-11 | 제2022-008-051호 | 비공개 | - | 개인정보 유출통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 개인정보의 유출 사실을 안 때로부터 정당한 사유 없이 24시간을 경과하여 2020. 1. 6.에 유출 통지한 행위
2022-05-11 | 제2022-008-050호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | 웹사이트를 운영하며 이용자의 개인정보 및 인증정보를 송·수신하면서 보안서버 구축 등의 조치를 하지 않은 행위
2022-05-11 | 제2022-008-049호 | 비공개 | 제29조 | 안전조치의무 위반 | 안전조치 미흡(일반) | (안전한 인증수단) 피심인의 개인정보처리시스템 관리자페이지에 정보통신망을 통해 외부에서 접속 시 안전한 인증수단을 적용하지 않고 계정·비밀번호만으로 접속하도록 운영한 행위 / (칩입차단 및 탐지시스템의 운영) 피심인이 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 아이피(IP) 주소 등으로 제한하여 인가받지 … 접근권한을 개인정보취급자에게 허용된 아이피(IP)로 제한하지 않고 운영한 행위 / 시스템 이상 유무 확인 등을 위해 피심인의 접속기록을 월 1회 이상 정기적으로 확인·감독하지 아니한 행위 / 비밀번호를 복호화되지 아니하도록 일방향 암호화하여 저장하지 않은 행위
2022-04-27 | 제2022-007-046호 | 비공개 | 제25조 | 고정형 영상정보처리기기의 설치·운영 제한 위반 | 영상정보처리기기 설치·운영 위반 | 공모사업 참여기업과 개인정보 처리 위탁계약을 맺으면서, 위탁 사실을 공개하지 않은 것
2022-04-27 | 제2022-007-046호 | 비공개 | 제26조 | 업무위탁에 따른 개인정보의 처리 제한 위반 | 위·수탁 계약 사항 흠결 | 공모사업 참여기업과 개인정보 처리 위탁계약을 맺으면서, 위탁 사실을 공개하지 않은 것
2022-04-27 | 제2022-007-045호 | 비공개 | - | 영업 양도에 따른 개인정보 이전을 전자우편‧전화 등의 방법으로 알리지 않은 행위 | 영업양도 이전 통지 위반 | 개인정보가 이전된다는 사실 등을 전자우편‧전화 등의 방법으로 미리 이용자에게 알리지 않은 행위
2022-04-27 | 제2022-007-044호 | 비공개 | - | 법령상 근거 없이 이용자의 주민등록번호를 수집·이용한 행위 | 주민등록번호 처리 제한 위반 | 이용자의 주민등록번호를 이용한 행위
2022-04-27 | 제2022-007-044호 | 비공개 | - | 개인정보 유출 신고‧통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 개인정보의 유출 사실을 안 때(2021.4.22.)로부터 24시간을 초과하여 개인정보 유출신고(2021.4.24.)하고 유출통지는 하지 않은 행위
2022-04-27 | 제2022-007-043호 | 비공개 | 제39조의4 | 개인정보 유출통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 개인정보의 유출 사실을 안 때로부터 정당한 사유 없이 24시간을 초과하여 2021. 11. 12.에 유출통지를 한 것
2022-04-27 | 제2022-007-042호 | 비공개 | - | 개인정보 유출 신고‧통지를 소홀히 한 행위 | 유출 통지·신고 해태 | 개인정보의 유출 사실을 인지하였으나 개인정보 유출 신고 및 통지를 하지 않은 행위
2022-04-13 | 제2022-006-031호 | 비공개 | 제35조 | 개인정보의 열람 위반 | 정보주체 권리행사 방법 미비 | 개인영상정보 열람 요청을 받아 절차를 진행하면서, 타인의 개인영상정보가 포함되어 있어 열람을 제한․거절한 것
2022-04-13 | 제2022-006-030호 | 비공개 | 제35조 | 개인정보의 열람 위반 | 정보주체 권리행사 방법 미비 | 신고인의 열람 요구에 대해 다른 입주민 등의 영상이 함께 촬영되어 있어 열람을 거절한 것
2022-03-23 | 제2022-005-029호 | 비공개 | 제24조·제24조의2 | 법률 등에 근거 없이 주민등록번호를 수집한 행위 | 주민등록번호 처리 제한 위반 | 임직원의 주민등록번호를 엑셀파일에 저장하면서 암호화조치를 통해 안전하게 보관하지 않은 것
2022-03-23 | 제2022-005-028호 | 비공개 | 제24조·제24조의2 | 법률 등에 근거 없이 주민등록번호를 수집한 행위 | 주민등록번호 처리 제한 위반 | 임직원의 주민등록번호를 엑셀파일에 저장하면서 암호화조치를 통해 안전하게 보관하지 않은 것
2022-03-23 | 제2022-005-027호 | 비공개 | 제29조 | 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 취급 중인 개인정보가 열람 권한이 없는 자에게 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하지 않은 행위
2022-03-23 | 제2022-005-026호 | 비공개 | 제29조 | 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 취급 중인 개인정보가 열람 권한이 없는 자에게 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 하지 않은 행위
2022-03-23 | 제2022-005-025호 | 비공개 | 제29조 | 개인정보의 안전성 확보를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보취급자 비밀번호를 양방향 암호화 알고리즘을 사용하여 저장하는 등 개인정보처리시스템의 안전성 확보에 필요한 조치를 다 하지 않은 것
2022-03-23 | 제2022-005-024호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 취급 중인 개인정보가 열람 권한이 없는 자에게 유출되지 않도록 업무용 컴퓨터 등에 접근 통제 등에 관한 조치를 하지 않은 행위
2022-03-23 | 제2022-005-023호 | 비공개 | 제34조 | 개인정보 유출 등의 통지·신고 위반 | 유출 통지·신고 해태 | ’21.11.30. 개인정보 유출 사실을 인지하였으나 70여 일이 지나서 ’22.2.11.~2.15. 정보주체에게 개인정보 유출 사실을 통지한 행위
2022-03-23 | 제2022-005-022호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보취급자가 안전한 비밀번호를 설정하여 이행하게 하지 않고 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하지 않은 행위와 개인정보취급자가 개인정보처리시스템에 접속한 기록을 보관하지 않은 행위
2022-03-23 | 제2022-005-021호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 대한 접속 권한을 제한하여 인가받지 않은 접근을 제한하지 않은 것과 서버 취약점에 대한 보안 업데이트를 하지 않은 것
2022-03-23 | 제2022-005-020호 | 비공개 | 제29조 | 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리시스템에 접속한 IP주소를 분석해 불법적인 개인정보 유출 시도를 탐지하고 접근제한·차단 등 적절한 대응조치를 하지 않은 피심인의 행위
2022-03-23 | 제2022-005-019호 | 비공개 | 제29조 | 안전성 확보에 필요한 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | 안전한 비밀번호 작성규칙을 관리자 비밀번호 설정에 적용하지 않고, 정보통신망을 통한 불법적인 접근을 탐지하여 제한‧차단하지 못한 것과 안전하지 않은 암호화 방식으로 비밀번호를 암호화하여 저장한 것
2022-03-23 | 제2022-005-018호 | 성보공업(주) | 제21조 | 개인정보를 파기하지 않은 행위 | 파기 미이행 | 입사지원 종료 등으로 개인정보가 불필요하게 되었는데도 DB서버에 개인정보를 보관하고 파기하지 않은 것
2022-03-23 | 제2022-005-018호 | 성보공업(주) | 제24조·제24조의2 | 법률 등에 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | 보호법 시행(’14.8.6.) 당시 법률 등에 근거 없이 입사지원자의 주민등록번호 건을 보유하였으나 보호법 부칙에 따라 ’16.8.6.까지 파기하지 않고 DB서버에 지속 보관한 것
2022-03-23 | 제2022-005-018호 | 성보공업(주) | 제24조·제24조의2 | 주민등록번호 암호화 조치를 하지 않은 행위 | 암호화 미조치 | 입사지원자의 주민등록번호 건을 DB 서버에 보관하면서 암호화 조치 등 안전성 확보에 필요한 조치를 다 하지 않아 텔레그램에 유출된 것
2022-03-23 | 제2022-005-018호 | 성보공업(주) | 제34조 | 개인정보 유출 미통지 행위 | 유출 통지·신고 해태 | 개인정보 유출 사실을 인지하고도 지체 없이 정보주체에게 유출통지 하지 않은 것
2022-03-23 | 제2022-005-017호 | ㈜하우빌드 | 제24조·제24조의2 | 법률 등에 근거 없이 주민등록번호를 수집한 행위 | 주민등록번호 처리 제한 위반 | 법률 등에 근거 없이 이용자의 주민등록번호 건을 수집하여 저장·보유한 것
2022-03-23 | 제2022-005-017호 | ㈜하우빌드 | 제29조 | 안전성 확보 조치를 소홀히 한 행위 | 안전조치 미흡(일반) | AWS 접근권한을 개인정보취급자에게 허용된 IP로 제한하지 않고 외부 인터넷 어디서나 접속 가능하도록 운영하고, 개인정보취급자가 접속한 기록을 1년 이상 보존·관리하지 않고, 이용자의 주민등록번호, 계좌번호를 안전한 암호알고리즘으로 암호화 저장하지 않은 것
2022-03-23 | 제2022-005-016호 | Fluke Corporation | 제29조 | 개인정보에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | 외부에서 개인정보처리시스템에 접속하려는 경우 안전한 인증수단을 적용하여야 하나 이를 하지 않아 개인정보가 유출된 피심인의 행위
2022-03-23 | 제2022-005-016호 | Fluke Corporation | 제34조 | 개인정보 유출 신고를 지연한 행위 | 유출 통지·신고 해태 | 개인정보 유출 사실을 안 때에는 지체 없이(5일 이내) 이용자에게 알리고 한국인터넷진흥원에 신고하여야 하나, 15일이 지나서 통지‧신고한 피심인의 행위
2022-03-23 | 제2022-005-015호 | Zynga Game Ireland Limited | - | 개인정보에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2022-03-23 | 제2022-005-015호 | Zynga Game Ireland Limited | - | 개인정보 유출 신고 및 통지를 지연한 행위 | 유출 통지·신고 해태 | 개인정보 유출 사실을 안 때에는 지체 없이(24시간 이내) 이용자에게 알리고 한국인터넷진흥원에 신고하여야 하나 피심인이 24시간을 경과하여 신고한 피심인의 행위
2022-03-23 | 제2022-005-014호 | Canva PTY Ltd | - | 개인정보에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | 외부에서 개인정보처리시스템에 접속하려는 경우 안전한 인증수단을 적용하여야 하나 피심인이 이를 적용하지 않아 개인정보가 유출된 것
2022-03-23 | 제2022-005-014호 | Canva PTY Ltd | - | 개인정보 유출 신고를 지연한 행위 | 유출 통지·신고 해태 | 개인정보 유출 사실을 안 때에는 지체 없이(24시간 이내) 한국인터넷진흥원에 신고하여야 하나 피심인이 24시간을 경과하여 신고한 피심인의 행위
2022-02-23 | 제2022-004-013호 | 비공개 | 제21조 | 개인정보의 파기 위반 | 파기 미이행 | 서비스를 탈퇴한 이용자의 개인정보를 파기하지 않은 행위 / 법령에서 민감정보의 처리를 요구하거나 허용하는 경우가 아님에도 불구하고 민감정보인 종교 정보를 별도 동의를 받지 않고 처리한 행위 / 법령 등에서 주민등록번호의 처리를 요구하거나 허용한 경우 등이 아님에도 불구하고 주민등록번호가 포함된 인증서류를 수집·저장한 행위 / AWS를 이용하면서 추가 인증수단을 적용하지 않고, 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하지 않고, 일부 AWS S3에 대한 접근통제를 공개로 설정하여 운영한 행위 / 접속기록을 1년 이상 보존·관리하지 않은 행위 / 주민등록번호가 포함된 인증서류를 수집한 후 주민등록번호를 암호화하지 않고 저장한 행위
2022-02-23 | 제2022-004-013호 | 비공개 | 제23조 | 민감정보의 처리 제한 위반 | 민감정보 별도동의 흠결 | 서비스를 탈퇴한 이용자의 개인정보를 파기하지 않은 행위 / 법령에서 민감정보의 처리를 요구하거나 허용하는 경우가 아님에도 불구하고 민감정보인 종교 정보를 별도 동의를 받지 않고 처리한 행위 / 법령 등에서 주민등록번호의 처리를 요구하거나 허용한 경우 등이 아님에도 불구하고 주민등록번호가 포함된 인증서류를 수집·저장한 행위 / AWS를 이용하면서 추가 인증수단을 적용하지 않고, 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하지 않고, 일부 AWS S3에 대한 접근통제를 공개로 설정하여 운영한 행위 / 접속기록을 1년 이상 보존·관리하지 않은 행위 / 주민등록번호가 포함된 인증서류를 수집한 후 주민등록번호를 암호화하지 않고 저장한 행위
2022-02-23 | 제2022-004-013호 | 비공개 | 제24조의2 | 주민등록번호 처리의 제한 위반 | 주민등록번호 처리 제한 위반 | 서비스를 탈퇴한 이용자의 개인정보를 파기하지 않은 행위 / 법령에서 민감정보의 처리를 요구하거나 허용하는 경우가 아님에도 불구하고 민감정보인 종교 정보를 별도 동의를 받지 않고 처리한 행위 / 법령 등에서 주민등록번호의 처리를 요구하거나 허용한 경우 등이 아님에도 불구하고 주민등록번호가 포함된 인증서류를 수집·저장한 행위 / AWS를 이용하면서 추가 인증수단을 적용하지 않고, 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하지 않고, 일부 AWS S3에 대한 접근통제를 공개로 설정하여 운영한 행위 / 접속기록을 1년 이상 보존·관리하지 않은 행위 / 주민등록번호가 포함된 인증서류를 수집한 후 주민등록번호를 암호화하지 않고 저장한 행위
2022-02-23 | 제2022-004-012호 | 비공개 | 제2조 | 즐겨찾기 폴더에 저장된 정보 및 공개의 법적 성격 | 기타 | -
2022-02-23 | 제2022-004-012호 | 비공개 | 제3조 | 공개 기본값 설정의 문제점 | 기타 | -
2022-01-12 | 제2022-001-002호 | 비공개 | - | 개인정보 해당성 | 기타 | -
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | - | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | - | 개인정보처리시스템에 접속한 기록의 보관 및 점검을 소홀히 한 행위 | 기타 | -
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | - | 개인정보의 암호화기술 등을 이용한 보안조치를 소홀히 한 행위 | 암호화 미조치 | -
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | - | 1년 이상 장기 미이용자의 개인정보를 별도로 저장 관리하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | -
2021-09-29 | 제2021-016-184호 | ㈜스타일쉐어 | - | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2021-09-29 | 제2021-016-184호 | ㈜스타일쉐어 | - | 1년 이상 장기 미이용자의 개인정보를 별도로 저장 관리하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | -
2021-09-29 | 제2021-016-183호 | ㈜야놀자 | - | 개인정보처리시스템에 대한 접근통제를 소홀히 한 행위 | 접근통제 미흡 | -
2021-09-29 | 제2021-016-183호 | ㈜야놀자 | - | 개인정보의 암호화기술 등을 이용한 보안조치를 소홀히 한 행위 | 암호화 미조치 | -
2021-09-29 | 제2021-016-183호 | ㈜야놀자 | - | 1년 이상 장기 미이용자의 개인정보를 별도로 저장 관리하지 않은 행위 | 장기 미이용자 분리·파기 미이행 | -
2021-09-08 | 제2021-015-174호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보 취급자에 대한 권한 부여, 변경 또는 말소 내역을 기록‧보관하여야 하는데 이를 지키지 않은 행위 / 개인정보취급자 별로 사용자계정을 발급하고 다른 개인정보취급자와 공유되지 않도록 하여야 하는데 이를 지키지 않은 행위 / 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN)이나 전용선 등 안전한 접속수단 또는 인증수단을 적용해야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하며, 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 … 개인정보처리시스템의 경우에는 2년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 하며, 특히 개인정보처리시스템에 … 것이 발견되었을 경우에는 그 사유를 확인하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-173호 | 비공개 | 제29조 | 개인정보에 대한 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 대한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN)이나 전용선 등 안전한 접속수단 또는 안전한 인증수단을 적용해야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-172호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리 시스템에 접속한 기록을 1년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 악성프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치·운영하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-171호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용해야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-170호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보취급자별로 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템의 접속기록을 월 1회 이상 점검해야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-169호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템의 접속기록을 월 1회 이상 점검해야 하며, 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-168호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보, 비밀번호, 바이오정보를 정보통신망을 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위해 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-167호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 비밀번호를 저장할 시에는 안전한 암호알고리즘으로 암호화하여 저장하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리 시스템에 접속한 기록을 1년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-166호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 비밀번호를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여 저장하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위해 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-165호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보 취급자에 대한 권한 부여, 변경 또는 말소 내역을 기록‧보관하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하며, 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 … 정보처리시스템의 경우에는 2년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-164호 | 비공개 | 제21조 | 개인정보에 대한 파기의무(보호법 제21조)를 준수하지 않은 행위 | 파기 미이행 | 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때는 지체없이 그 개인정보를 파기하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-164호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 ①개인정보취급자(관리자)의 권한 ‘부여·변경·말소’에 대한 내역을 기록하고 최소 3년간 보관하여야 하며, ②개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 … 접근을 제한하는 등 필요한 기술적 조치를 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 ①개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하고, 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 … 정하는 바에 따라 그 사유를 반드시 확인하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-163호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN)이나 전용선 등 안전한 접속수단 또는 안전한 인증수단을 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-162호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-161호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보취급자별로 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립하여 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN)이나 전용선 등 안전한 접속수단 또는 안전한 인증수단을 적용해야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-160호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 비밀번호를 정보통신망을 통하여 송신하는 경우에는 이를 암호화하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템의 접속기록을 월 1회 이상 점검해야 하며, 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-159호 | 비공개 | 제29조 | 개인정보에 대한 안전조치 의무를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보취급자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 비밀번호를 저장하는 경우 복호화되지 아니하도록 일방향 암호화하여 저장하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템의 접속기록을 월 1회 이상 점검해야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-158호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 고유식별정보, 비밀번호, 바이오정보를 정보통신망을 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위해 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-157호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN)이나 전용선 등 안전한 접속수단 또는 안전한 인증수단을 적용해야 하는데 이를 지키지 않은 행위 / 고유식별정보를 처리하는 개인정보처리자는 인터넷 홈페이지를 통해 고유식별정보가 유출‧변조‧훼손되지 않도록 연 1회 이상 취약점을 점검하고 필요한 조치를 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 비밀번호를 안전한 암호알고리즘으로 암호화하여 저장해야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 하며, 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 … 정보처리시스템의 경우에는 2년 이상 보관·관리하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템의 접속기록을 월 1회 이상 점검해야 하는데 이를 지키지 않은 행위
2021-09-08 | 제2021-015-156호 | 비공개 | 제29조 | 개인정보에 대한 안전조치의무(보호법 제29조)를 소홀히 한 행위 | 안전조치 미흡(일반) | 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자계정을 발급하는 경우 개인정보취급자별로 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN)이나 전용선 등 안전한 접속수단 또는 안전한 인증수단을 적용해야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 비밀번호를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여 저장하여야 하는데 이를 지키지 않은 행위 / 개인정보처리자는 개인정보처리시스템의 접속기록을 월 1회 이상 점검해야 하는데 이를 지키지 않은 행위
2021-08-25 | 제2021-013-103호 | 비공개 | 제39조의3 | 서비스 가입 절차 완료 전 이용자의 동의 없이 개인정보를 수집한 행위 | 동의 없는 수집·이용·제공 | -
2021-08-25 | 제2021-013-103호 | 비공개 | 제39조의12 | 개인정보 국외 이전 관련 법정 고지사항을 공개하지 않은 행위 | 위탁·국외이전 미고지·미공개 | -
2021-08-25 | 제2021-013-102호 | 비공개 | 제39조의3 | 결제정보 등 개인정보 추가 수집 시 법정 고지사항 불명확 | 동의 방법·고지사항 흠결 | -
2021-08-25 | 제2021-013-102호 | 비공개 | 제39조의12 | 개인정보의 국외 이전 관련 법정 고지사항 공개 미흡 | 위탁·국외이전 미고지·미공개 | -
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | - | 이용자 동의 없이 「얼굴 인식 템플릿」을 생성․수집한 행위 | 동의 없는 수집·이용·제공 | -
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | - | 법적 근거 없이 주민등록번호를 처리한 행위 | 주민등록번호 처리 제한 위반 | -
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | - | 개인정보 처리 주체의 변경 사실을 고지하지 않은 행위 | 영업양도 이전 통지 위반 | -
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | - | 개인정보를 이전하려는 사실 | 기타 | -
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | 제26조 | 개인정보의 ①처리 위탁과 관련된 법정 사항을 공개하지 않은 행위와 ②국외 이전 관련 사항을 이용자에게 알리지 않고 공개하지도 않은 행위, 및 ③위원회가 요구한 조사 관련 자료를 제출하지 않은 행위 | 위·수탁 계약 사항 흠결 | -
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | - | 카드번호 수집 시 법정 고지사항을 확인하는 절차가 어려움 | 동의 방법·고지사항 흠결 | -
2021-07-14 | 제2021-011-097호 | 비공개 | 제39조의3·제3조 | 필요한 최소한의 개인정보 외 수집 제한을 위반한 행위 | 최소수집 원칙 위반 | 따라서 피심인이 이용자가 휴면계정 해제 요청 시 ‘신분증 사진과 신분증을 들고 있는 사진’을 요구하고, 이를 제공하지 않을 경우, 휴면계정 해제를 통한 서비스 제공을 거부한 행위
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 제15조·제18조·제28조의2·제2조 | 수집 목적 외로 ‘이루다 ’ 개발 운영에 카카오톡 대화문장을 이용한 행위 | 목적 외 이용·제공 | -
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | - | 개인정보를 동의 없이 제3자에게 제공한 행위 | 동의 없는 수집·이용·제공 | -
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | - | 개인정보를 제공받는 자 | 기타 | -
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | - | 이용자의 비밀번호를 평문으로 보관한 행위 | 기타 | -
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | - | 비밀번호의 일방향 암호화 저장 | 암호화 미조치 | -
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | - | 개인정보 이용내역을 통지하지 않은 행위 | 기타 | -
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | - | 일부 자료를 제출하지 않거나 거짓으로 제출하는 등의 행위 | 기타 | -
## 제재 절차 — 조사 착수 단서와 소요 기간 (https://datalaw.kr/sanctions/procedure/)
- 출처: 개인정보위 결정문 — 조사·사전통지·의결 일자 / 기준일 2026-09-11
- 🔴 **구간마다 분모가 다르다.** 하나의 표본 N 으로 묶어 적지 말 것.
- 조사 착수 단서(결정문 「조사 배경」 절이 있는 468건): 유출 신고 261건(단서→의결 중앙값 443일) · 제3자 신고·민원 70건(단서→의결 중앙값 439일) · 언론 보도 48건(단서→의결 중앙값 334일) · 타 기관 통보·의뢰 33건(단서→의결 중앙값 715일) · 실태점검·직권조사 33건(단서→의결 중앙값 138일) · 기타 22건(단서→의결 중앙값 219일) · 다른 사건 조사 중 인지 1건(단서→의결 중앙값 777일)
- 절차 소요: 조사 시작→의결 중앙값 369일(n=256) · 조사 기간 194일(n=256) · 사전통지→의견제출 14일(n=379) · 사전통지→의결 71일(n=514)
- 주의: 「조사 배경」 절이 없는 의결에 단서가 없었다는 뜻이 아니다. 그리고 이 분포는 **처분까지 간 사건**의 분포이지 신고·민원 접수 전체의 분포가 아니다.
## 공시송달 — 송달이 안 되어 공고로 갈음된 처분 (https://datalaw.kr/sanctions/procedure/#처분이-송달되지-않으면-어떻게-되나)
- 출처: 개인정보보호위원회 공시송달 게시판 / 기준일 2026-09-11 / 본문을 읽은 공고 21건 · 대상자 약 101명 · 본문 미수록 6건
- 🔴 **개별 공고로 가는 링크를 만들지 않는다.** 공고 원문에 자연인의 성명·주민등록번호 앞자리·주소가 함께 적힌 건이 있어, 주소·사업자등록번호·대상자 이름은 싣지 않는다. 인용 단위는 공고번호다.
- 공고 종류: 과태료 독촉 7건 · 의결서 정본 송달 6건 · 행정처분 사전통지 5건 · 기타 2건 · 시정조치 통보 1건
- 위반 조문: 제25조제4항 4 · 제20조제1항 2 · 제35조 1 · 제24조의2제1항 1 · 제26조제1항 1 — 개인이 운영하는 사업장에서 걸리는 조문이 앞자리다(영상정보처리기기 안내판·수집 출처 통지·열람 요구).
- 주의: **송달이 안 된 처분만** 센다. 공고 건수를 처분 건수로 읽으면 안 된다. 「과태료 독촉」 공고에는 위반 조문이 없다(근거 법령이 질서위반행위규제법·국세징수법이다).
공고일 | 공고번호 | 종류 | 대상자(근사) | 위반 조문 | 결정문 게시판에 없는 의결번호
2026-08-28 | 제2026-108호 | 행정처분 사전통지 | 3 | 제35조 | -
2026-06-05 | 제2026-61호 | 시정조치 통보 | 10 | 제20조제1항 | -
2026-04-30 | 제2026-41호 | 과태료 독촉 | - | - | -
2024-05-01 | 제2024-43호 | 의결서 정본 송달 | 2 | 제25조제4항 | -
2024-02-07 | 제2024-07호 | 행정처분 사전통지 | 25 | 제20조제1항 | -
2023-12-27 | 제2023-109호 | 의결서 정본 송달 | 2 | - | -
2023-03-08 | 제2023-20호 | 의결서 정본 송달 | 2 | - | -
2022-10-24 | 제2022-57호 | 의결서 정본 송달 | 1 | 제24조의2제1항 | -
2022-10-17 | 제2022-56호 | 기타 | - | - | -
2022-07-29 | 제2022-44호 | 행정처분 사전통지 | 3 | - | -
2022-07-21 | 제2022-43호 | 의결서 정본 송달 | 2 | 제26조제1항 | -
2022-07-15 | 제2022-42호 | 행정처분 사전통지 | 1 | 제25조제4항 | -
2022-04-25 | 제2022-26호 | 과태료 독촉 | 1 | - | -
2022-04-20 | 제2022-22호 | 과태료 독촉 | 1 | - | -
2022-03-14 | 제2022-13호 | 의결서 정본 송달 | 1 | 제25조제4항 | -
2021-11-16 | 제2021-46호 | 과태료 독촉 | 3 | - | -
2021-11-10 | 제2021-45호 | 과태료 독촉 | 12 | - | -
2021-11-04 | 제2021-44호 | 과태료 독촉 | 15 | - | -
2021-09-03 | 제2021-32호 | 과태료 독촉 | 2 | - | -
2020-12-30 | (번호 미표기) | 기타 | 15 | - | -
2020-12-23 | (번호 미표기) | 행정처분 사전통지 | - | 제25조제4항 | -
## 개인정보 침해요인 평가 — 법령 제·개정 단계의 위원회 심의 (https://datalaw.kr/timeline/)
- 출처: 개인정보보호위원회 위원회 결정문 게시판 (침해요인 평가) / 기준일 2026-09-11 / 의결 1621건 · 법령 1028종
- 근거: 개인정보 보호법 제8조의2. 중앙행정기관이 개인정보 처리를 수반하는 법령을 제·개정할 때 위원회가 침해요인을 평가하고 개선을 권고한다.
- 🔴 **제재가 아니다. 제재 의결 건수와 합산하지 말 것.**
- 🔴 **목록까지다** — 의결서 본문(무엇을 지적하고 무슨 개선을 권고했는지)은 담지 않았다.
- 🔴 **게시판 목록이 전부가 아니다.** 연차보고서 [표 2-1-2] 기준 2022~2025년 침해요인 평가 심의·의결 1,793건 중 게시판에서 읽히는 것은 1,512건(84%), 2025년은 347건 중 234건(67%)이다.
- 평가 대상의 대부분이 하위법령이다: 시행규칙 731 · 시행령 634 · 법률 91. 개인정보 처리의 구체적 내용이 하위법령에서 정해지기 때문이다.
- 연도별: 2022 307 · 2023 415 · 2024 556 · 2025 234 · 2026 109
의결일 | 회의체 | 법령 | 종류 | 개정 구분 | 안건 제목
2026-08-26 | 2소위원회 | 방위산업기술 보호법 시행규칙 | 시행규칙 | 일부개정안 | ｢방위산업기술 보호법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 방위사업법 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | ｢방위사업법 시행령 및 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 해양경찰청 소속 경찰공무원 임용에 관한 규정 시행규칙 | 시행규칙 | 일부개정안 | ｢해양경찰청 소속 경찰공무원 임용에 관한 규정 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 신용협동조합법 시행령 | 시행령 | 일부개정안 | ｢신용협동조합법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | ｢항공안전법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 항공안전법 시행령 | 시행령 | 일부개정안 | ｢항공안전법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 도로법 시행규칙 | 시행규칙 | 일부개정안 | ｢도로법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 국제물류진흥지역 지정 및 육성에 관한 특별법 시행령 | 시행령 | 일부개정안 | ｢국제물류진흥지역 지정 및 육성에 관한 특별법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 철도안전법 시행규칙 | 시행규칙 | 일부개정안 | ｢철도안전법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-26 | 2소위원회 | 국제물류진흥지역 지정 및 육성에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | ｢국제물류진흥지역 지정 및 육성에 관한 특별법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 여권법 | 법률 | 일부개정안 | ｢여권법｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 산림기술 진흥 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | ｢산림기술 진흥 및 관리에 관한 법률 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 방위산업기술 보호법 시행령 | 시행령 | 일부개정안 | ｢방위산업기술 보호법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 방위사업법 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | ｢방위사업법 시행령 및 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 군인연금법 시행령 | 시행령 | 일부개정안 | ｢군인연금법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 산림복지 진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | ｢산림복지 진흥에 관한 법률 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 산림자원의 조성 및 관리에 관한 법률 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | ｢산림자원의 조성 및 관리에 관한 법률 시행령 및 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 매장유산 보호 및 조사에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「매장유산 보호 및 조사에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 매장유산 보호 및 조사에 관한 법률 시행령 | 시행령 | 일부개정안 | 「매장유산 보호 및 조사에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 민사집행법 시행령 | 시행령 | 일부개정안 | 「민사집행법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 환경기술 및 환경산업 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「환경기술 및 환경산업 지원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 생물다양성 보전 및 이용에 관한 법률 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | 「생물다양성 보전 및 이용에 관한 법률 시행령 및 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 개인정보 보호법 시행령 | 시행령 | 일부개정안 | 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 법 체계 정합성 제고를 위한 20개 법령의 일부개정에 관한 국토교통부령안 | 기타 | 일부개정 | 「법 체계 정합성 제고를 위한 20개 법령의 일부개정에 관한 국토교통부령안」에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 자연환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「자연환경보전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 원자력안전법 시행규칙 | 시행규칙 | 일부개정안 | 「원자력안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-08-12 | 2소위원회 | 사회기반시설에 대한 민간투자법 시행령 | 시행령 | 일부개정안 | ｢사회기반시설에 대한 민간투자법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-22 | 2소위원회 | 관세법 | 법률 | 일부개정안 | ｢관세법｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-22 | 2소위원회 | 전자금융거래법 시행령 | 시행령 | 일부개정안 | ｢전자금융거래법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-22 | 2소위원회 | 전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | ｢전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-22 | 2소위원회 | 재외공관 협의체의 구성 및 운영 등에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | ｢재외공관 협의체의 구성 및 운영 등에 관한 규정｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-22 | 2소위원회 | 군에서의 형의 집행 및 군수용자의 처우에 관한 법률 시행령 | 시행령 | 일부개정안 | ｢군에서의 형의 집행 및 군수용자의 처우에 관한 법률 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-22 | 2소위원회 | 농지법 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | 「농지법 시행령 및 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-22 | 2소위원회 | 출입국관리법 시행규칙 | 시행규칙 | 일부개정안 | 「출입국관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 동물보호법 시행규칙 | 시행규칙 | 일부개정안 | 「동물보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 중소기업 기술혁신 촉진법 시행령 | 시행령 | 일부개정안 | 「중소기업 기술혁신 촉진법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 형의 집행 및 수용자의 처우에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「형의 집행 및 수용자의 처우에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 수소경제 육성 및 수소 안전관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「수소경제 육성 및 수소 안전관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 가습기살균제 피해구제 및 지원을 위한 특별법 시행령 및 시행규칙 | 시행규칙 | 전부개정안 | 「가습기살균제 피해구제 및 지원을 위한 특별법 시행령 및 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 양육비 이행확보 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | ｢양육비 이행확보 및 지원에 관한 법률 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 양육비 이행확보 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | ｢양육비 이행확보 및 지원에 관한 법률 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 궤도운송법 시행규칙 | 시행규칙 | 일부개정안 | 「궤도운송법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 철도안전법 시행규칙 | 시행규칙 | 일부개정안 | ｢철도안전법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 철도안전법 시행령 | 시행령 | 일부개정안 | ｢철도안전법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-07-08 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | ｢자동차관리법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 경찰수사규칙 | 훈령·고시·규칙 | 일부개정안 | 「경찰수사규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 국유재산법 시행령 | 시행령 | 일부개정 | 「국유재산법 시행령」 일부개정령안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 재외공관주재관 임용령 | 기타 | 일부개정안 | 「재외공관주재관 임용령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 국가공간정보센터 운영규정 | 훈령·고시·규칙 | 일부개정안 | 「국가공간정보센터 운영규정」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 사할린동포 지원에 관한 특별법 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | 「사할린동포 지원에 관한 특별법 시행령 및 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 양곡관리법 시행령 | 시행령 | 일부개정안 | 「양곡관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 농업협동조합법 시행령 | 시행령 | 일부개정안 | 「농업협동조합법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 석면안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「석면안전관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 특허심판원 국선대리인의 선임 및 운영에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「특허심판원 국선대리인의 선임 및 운영에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 국민체육진흥법 시행령 | 시행령 | 일부개정안 | 「국민체육진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-24 | 2소위원회 | 공연법 시행령 | 시행령 | 일부개정안 | 「공연법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 무형유산의 보전 및 진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「무형유산의 보전 및 진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 미술진흥법 시행규칙 | 시행규칙 | 제정안 | 「미술진흥법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 미술진흥법 시행령 | 시행령 | 일부개정안 | 「미술진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 특별사법경찰관리에 대한 검사의 수사지휘 및 특별사법경찰관리의 수사준칙에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「특별사법경찰관리에 대한 검사의 수사지휘 및 특별사법경찰관리의 수사준칙에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 검찰사건사무규칙 | 훈령·고시·규칙 | 일부개정안 | 「검찰사건사무규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 국제범죄조직 대응업무규정 | 훈령·고시·규칙 | 제정안 | 「국제범죄조직 대응업무규정」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 공무원임용시험령 | 기타 | 일부개정안 | 「공무원임용시험령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 농업 농촌 및 식품산업 기본법 시행령 | 시행령 | 일부개정안 | 「농업 농촌 및 식품산업 기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-06-10 | 2소위원회 | 상법 시행령 | 시행령 | 일부개정안 | 「상법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-27 | 2소위원회 | 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-27 | 2소위원회 | 대기환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「대기환경보전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-27 | 2소위원회 | 양곡관리법 시행령 | 시행령 | 일부개정안 | 「양곡관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-27 | 2소위원회 | 가축전염병 예방법 시행규칙 | 시행규칙 | 일부개정안 | 「가축전염병 예방법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-27 | 2소위원회 | 자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-13 | 2소위원회 | 화재의 예방 및 안전관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「화재의 예방 및 안전관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-13 | 2소위원회 | 검사와 사법경찰관의 상호협력과 일반적 수사준칙에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | 「검사와 사법경찰관의 상호협력과 일반적 수사준칙에 관한 규정」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-13 | 2소위원회 | 농림축산식품부 소관 친환경농어업 육성 및 유기식품 등의 관리 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「농림축산식품부 소관 친환경농어업 육성 및 유기식품 등의 관리 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-05-13 | 2소위원회 | 검찰사건사무규칙 | 훈령·고시·규칙 | 일부개정안 | 「검찰사건사무규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 방송미디어통신위원회의 설치 및 운영에 관한 법률 시행령 | 시행령 | 제정안 | 「방송미디어통신위원회의 설치 및 운영에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행령 | 시행령 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 환경교육의 활성화 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「환경교육의 활성화 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 원자력안전법 시행규칙 | 시행규칙 | 일부개정안 | 「원자력안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 동물 진단용 방사선발생장치의 안전관리에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「동물 진단용 방사선발생장치의 안전관리에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 에너지이용 합리화법 시행규칙 | 시행규칙 | 일부개정안 | 「에너지이용 합리화법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-22 | 2소위원회 | 검사 인사 및 관련 위원회 규정 | 훈령·고시·규칙 | 제정안 | 「검사 인사 및 관련 위원회 규정」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-08 | 2소위원회 | 중소기업협동조합법 시행령 | 시행령 | 일부개정안 | 「중소기업협동조합법 시행령」 일부개정안에에 대한 개인정보 침해요인 평가에 관한 건
2026-04-08 | 2소위원회 | 국민체육진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「국민체육진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-08 | 2소위원회 | 국민체육진흥법 시행령 | 시행령 | 일부개정안 | 「국민체육진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-08 | 2소위원회 | 중소기업진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「중소기업진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-08 | 2소위원회 | 소상공인 생계형 적합업종 지정에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「소상공인 생계형 적합업종 지정에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-04-08 | 2소위원회 | 전자상거래 등에서의 소비자보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「전자상거래 등에서의 소비자보호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-03-25 | 2소위원회 | 부패방지 및 국민권익위원회의 설치와 운영에 관한 법률 | 법률 | 일부개정안 | ｢부패방지 및 국민권익위원회의 설치와 운영에 관한 법률｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-03-25 | 2소위원회 | 자연유산의 보존 및 활용에 관한 법률 | 법률 | 일부개정안 | ｢자연유산의 보존 및 활용에 관한 법률｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-03-25 | 2소위원회 | 문화유산의 보존 및 활용에 관한 법률 | 법률 | 일부개정안 | ｢문화유산의 보존 및 활용에 관한 법률｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-03-25 | 2소위원회 | 생활물류서비스산업발전법 시행령 | 시행령 | 일부개정안 | 「생활물류서비스산업발전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-02-25 | 2소위원회 | 성폭력방지 및 피해자보호 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「성폭력방지 및 피해자보호 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-02-25 | 2소위원회 | - | 기타 | 일부개정 | 공직자의 이해충돌 방지법 일부개정법률안에 대한 개인정보 침해요인 평가에 관한 건
2026-02-25 | 2소위원회 | - | 기타 | 제정안 | 지식재산처 소관 비영리법인의 설립 및 감독에 관한 시행규칙 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-02-25 | 2소위원회 | - | 기타 | 일부개정 | 국가유산수리 등에 관한 법률 시행령 및 시행규칙 일부개정령안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-28 | 2소위원회 | 건설근로자의 기능등급확인증 발급 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「건설근로자의 기능등급확인증 발급 등에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-28 | 2소위원회 | 세무사법 시행령 | 시행령 | 일부개정안 | 「세무사법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-28 | 2소위원회 | 공동주택관리법 시행령 | 시행령 | 일부개정안 | 「공동주택관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | 「항공안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 군사경찰의 직무수행에 관한 법률 시행령 | 시행령 | 일부개정안 | 「군사경찰의 직무수행에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 군검찰사무 운영규정 | 훈령·고시·규칙 | 일부개정안 | 「군검찰사무 운영규정」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | - | 기타 | 일부개정 | 국민의 행정상 의무이행행위 편의 개선을 위한 11개 법령의 일부개정에 관한 부령안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 치유관광산업 육성에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「치유관광산업 육성에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 치유관광육성에 관한 법률 시행령 | 시행령 | 제정안 | 「치유관광육성에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 산업집적활성화 및 공장설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산업집적활성화 및 공장설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 농어업고용인력 지원 특별법 시행규칙 | 시행규칙 | 제정안 | 「농어업고용인력 지원 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 농어업고용인력 지원 특별법 시행령 | 시행령 | 일부개정안 | 「농어업고용인력 지원 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2026-01-14 | 2소위원회 | 동물용 의약품등 취급규칙 | 훈령·고시·규칙 | 일부개정안 | 「동물용 의약품등 취급규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-24 | 2소위원회 | 범죄피해자 보호법 시행규칙 | 시행규칙 | 일부개정안 | 「범죄피해자 보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-24 | 2소위원회 | 콘텐츠산업 진흥법 시행령 | 시행령 | 일부개정안 | 「콘텐츠산업 진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-24 | 2소위원회 | 경북·경남·울산 초대형산불 피해구제 및 지원 등을 위한 특별법 시행령 | 시행령 | 제정안 | 「경북·경남·울산 초대형산불 피해구제 및 지원 등을 위한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-24 | 2소위원회 | 해상풍력 보급 촉진 및 산업 육성에 관한 특별법 시행령 | 시행령 | 제정안 | 「해상풍력 보급 촉진 및 산업 육성에 관한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-24 | 2소위원회 | 해상풍력 보급 촉진 및 산업 육성에 관한 특별법 시행규칙 | 시행규칙 | 제정안 | 「해상풍력 보급 촉진 및 산업 육성에 관한 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-10 | 2소위원회 | 조세특례제한법 시행령 | 시행령 | 일부개정안 | 「조세특례제한법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-10 | 2소위원회 | 신용정보의 이용 및 보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「신용정보의 이용 및 보호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-10 | 2소위원회 | 경찰공무원 임용령 시행규칙 | 시행규칙 | 일부개정안 | 「경찰공무원 임용령 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-10 | 2소위원회 | 경찰공무원 임용령 | 기타 | 일부개정안 | 「경찰공무원 임용령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-10 | 2소위원회 | 가축전염병 예방법 | 법률 | 일부개정안 | 「가축전염병 예방법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-10 | 2소위원회 | 주민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「주민등록법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-12-10 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | - | 기타 | 제정안 | 국가데이터처 소관 비영리법인의 설립 및 감독에 관한 규칙 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 문화기본법 시행령 | 시행령 | 일부개정안 | 「문화기본법 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 119구조·구급에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「119구조·구급에 관한 법률 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 119구조·구급에 관한 법률 시행령 | 시행령 | 일부개정안 | 「119구조·구급에 관한 법률 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 지방세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세특례제한법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 지방세기본법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 지방세기본법 시행령 | 시행령 | 일부개정안 | 「지방세기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 지방세법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-11-20 | 2소위원회 | 지방세법 시행령 | 시행령 | 일부개정안 | 「지방세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-10-22 | 2소위원회 | 전자정부법 시행규칙 | 시행규칙 | 일부개정안 | 「전자정부법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-10-22 | 2소위원회 | 소방공무원 임용령 시행규칙 | 시행규칙 | 일부개정안 | 「소방공무원 임용령 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-10-22 | 2소위원회 | 행정절차법 | 법률 | 일부개정안 | 「행정절차법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-24 | 2소위원회 | 도로교통법 시행령 | 시행령 | 일부개정안 | 「도로교통법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-24 | 2소위원회 | 경찰수사규칙 | 훈령·고시·규칙 | 일부개정안 | 「경찰수사규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-24 | 2소위원회 | 농업·농촌 및 식품산업 기본법 및 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | 「농업·농촌 및 식품산업 기본법 및 시행령 및 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-24 | 2소위원회 | 제대군인지원에 관한 법률 | 법률 | 일부개정안 | 「제대군인지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-24 | 2소위원회 | 건설산업기본법 시행령 | 시행령 | 일부개정안 | 「건설산업기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-10 | 2소위원회 | 지방세기본법 | 법률 | 일부개정안 | 「지방세기본법」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-10 | 2소위원회 | 실내공기질 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「실내공기질 관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-10 | 2소위원회 | 부동산개발사업 관리 등에 관한 법률 시행령 | 시행령 | 제정안 | 「부동산개발사업 관리 등에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-09-10 | 2소위원회 | 부동산개발사업 관리 등에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「부동산개발사업 관리 등에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-27 | 2소위원회 | 푸드테크산업 육성에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「푸드테크산업 육성에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-27 | 2소위원회 | 푸드테크산업 육성에 관한 법률 시행령 | 시행령 | 제정안 | 「푸드테크산업 육성에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-27 | 2소위원회 | - | 기타 | 일부개정안 | 청각장애인 등 사회적 약자의 차별 완화를 위한 4개 법령의 일부개정안에 관한 부령안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-27 | 2소위원회 | - | 기타 | 일부개정안 | 청각장애인 등 사회적 약자의 차별 완화를 위한 4개 법령의 일부개정안에 관한 대통령령안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-27 | 2소위원회 | 부동산투자회사법 시행령 | 시행령 | 일부개정안 | 「부동산투자회사법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-27 | 2소위원회 | 부동산투자회사법 시행규칙 | 시행규칙 | 일부개정안 | 「부동산투자회사법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-27 | 2소위원회 | 대도시권 광역교통 관리에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「대도시권 광역교통 관리에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 자본시장과 금융투자업에 관한 법률 시행령 | 시행령 | 일부개정안 | 「자본시장과 금융투자업에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 군보건의료에 관한 법률 시행령 | 시행령 | 일부개정안 | 「군보건의료에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 소청절차규정 | 훈령·고시·규칙 | 일부개정안 | 「소청절차규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 금융소비자 보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「금융소비자 보호에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 법원이 재판권을 가지는 군인 등의 범죄에 대한 수사절차 등에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | 「법원이 재판권을 가지는 군인 등의 범죄에 대한 수사절차 등에 관한 규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 전기안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「전기안전관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 전기용품 및 생활용품 안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「전기용품 및 생활용품 안전관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 해양에서 발생한 재난의 긴급구조활동 평가에 관한 규칙 | 훈령·고시·규칙 | 제정안 | 「해양에서 발생한 재난의 긴급구조활동 평가에 관한 규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 지하수법 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | 「지하수법 시행령 및 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 국가기간 전력망 확충 특별법 시행규칙 | 시행규칙 | 제정안 | 「국가기간 전력망 확충 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-08-13 | 2소위원회 | 항공기등록규칙 | 훈령·고시·규칙 | 일부개정안 | 「항공기등록규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-23 | 2소위원회 | 초ㆍ중등교육법 시행령 | 시행령 | 일부개정안 | 「초ㆍ중등교육법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-23 | 2소위원회 | 총포·도검·화약류 등의 안전관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「총포·도검·화약류 등의 안전관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-23 | 2소위원회 | 해양경찰수사규칙 | 훈령·고시·규칙 | 일부개정안 | 「해양경찰수사규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-23 | 2소위원회 | 고준위 방사성폐기물 관리에 관한 특별법 시행령 | 시행령 | 제정안 | 「고준위 방사성폐기물 관리에 관한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-23 | 2소위원회 | 원자력안전법 시행령 | 시행령 | 일부개정안 | 「원자력안전법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-23 | 2소위원회 | 항공보안법 시행규칙 | 시행규칙 | 일부개정안 | 「항공보안법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-23 | 2소위원회 | 농림어업총조사 규칙 | 훈령·고시·규칙 | 일부개정안 | 「농림어업총조사 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 개인정보 보호법 시행령 | 시행령 | 일부개정안 | 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 신용보증기금법 시행령 | 시행령 | 일부개정안 | 「신용보증기금법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 군보건의료에 관한 법률 시행령 | 시행령 | 일부개정안 | 「군보건의료에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 자동차손해배상 보장법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차손해배상 보장법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 자동차손해배상 보장법 시행령 | 시행령 | 일부개정안 | 「자동차손해배상 보장법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 여권법 시행규칙 | 시행규칙 | 일부개정안 | 「여권법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 산지관리법 시행규칙 | 시행규칙 | 일부개정안 | 「산지관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 공공주택 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「공공주택 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 공공주택 특별법 시행령 | 시행령 | 일부개정안 | 「공공주택 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 게임산업진흥에 관한 법률 시행령 | 시행령 | 일부개정안 | 「게임산업진흥에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 환경기술 및 환경산업 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「환경기술 및 환경산업 지원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 환경기술 및 환경산업 지원법 시행령 | 시행령 | 일부개정안 | 「환경기술 및 환경산업 지원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 해양경비법 시행령 | 시행령 | 일부개정안 | 「해양경비법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-07-09 | 2소위원회 | 국가기간 전력망 확충 특별법 시행령 | 시행령 | 제정안 | 「국가기간 전력망 확충 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 학교복합시설 설치 및 운영·관리에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「학교복합시설 설치 및 운영·관리에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 학교안전사고 예방 및 보상에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「학교안전사고 예방 및 보상에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 북한이탈주민의 보호 및 정착지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「북한이탈주민의 보호 및 정착지원에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 병역법 시행령 | 시행령 | 일부개정안 | 「병역법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 행정사법 시행규칙 | 시행규칙 | 일부개정안 | 「행정사법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 행정사법 시행령 | 시행령 | 일부개정안 | 「행정사법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 행정사법 | 법률 | 일부개정안 | 「행정사법」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 기후·기후변화 감시 및 예측 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「기후·기후변화 감시 및 예측 등에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 형의 집행 및 수용자의 처우에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「형의 집행 및 수용자의 처우에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 재외국민등록법 시행령 | 시행령 | 일부개정안 | 「재외국민등록법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 재외국민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「재외국민등록법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 대도시권 광역교통 관리에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「대도시권 광역교통 관리에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 건축물대장규칙 | 훈령·고시·규칙 | 일부개정안 | 「건축물대장규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 건강가정기본법 시행령 | 시행령 | 일부개정안 | 「건강가정기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 건강가정기본법 시행규칙 | 시행규칙 | 일부개정안 | 「건강가정기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 소비자생활협동조합법 시행령 | 시행령 | 일부개정안 | 「소비자생활협동조합법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-25 | 2소위원회 | 소비자생활협동조합법 시행규칙 | 시행규칙 | 일부개정안 | 「소비자생활협동조합법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 개인정보 보호법 시행령 | 시행령 | 일부개정안 | 「개인정보 보호법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 원자력안전법 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | 「원자력안전법 시행령 및 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「조세특례제한법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 상속세 및 증여세법 시행규칙 | 시행규칙 | 일부개정안 | 「상속세 및 증여세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 재난 및 안전관리 기본법 시행령 | 시행령 | 일부개정안 | 「재난 및 안전관리 기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 군인사법 시행령 | 시행령 | 일부개정안 | 「군인사법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 실내공기질 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「실내공기질 관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 대중문화예술산업발전법 시행령 | 시행령 | 일부개정안 | 「대중문화예술산업발전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-06-11 | 2소위원회 | 대중문화예술산업발전법 시행규칙 | 시행규칙 | 일부개정안 | 「대중문화예술산업발전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 군인복지기본법 시행령 | 시행령 | 일부개정안 | 「군인복지기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 보험업법 시행령 | 시행령 | 일부개정안 | 「보험업법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 국가전략기술 육성에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「국가전략기술 육성에 관한 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 온라인학교의 설립·운영에 관한 규정 | 훈령·고시·규칙 | 제정안 | 「온라인학교의 설립·운영에 관한 규정」제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 행정심판법 시행규칙 | 시행규칙 | 일부개정안 | 「행정심판법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 발명진흥법 시행령 | 시행령 | 일부개정안 | 「발명진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 전기통신사업법 시행령 | 시행령 | 일부개정안 | 「전기통신사업법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 12·29여객기참사 피해구제 및 지원 등을 위한 특별법 시행령 | 시행령 | 제정안 | 「12·29여객기참사 피해구제 및 지원 등을 위한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 119구조·구급에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「119구조·구급에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-28 | 2소위원회 | 도로교통법 시행령 | 시행령 | 일부개정안 | 「도로교통법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 우편법 시행령 | 시행령 | 일부개정안 | 「우편법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 방위산업기술 보호법 시행규칙 | 시행규칙 | 일부개정안 | 「방위산업기술 보호법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 아동학대범죄의 처벌 등에 관한 특례법 시행규칙 | 시행규칙 | 일부개정안 | 「아동학대범죄의 처벌 등에 관한 특례법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 천안함 피격사건 피해구제 및 지원 등을 위한 특별법 시행규칙 | 시행규칙 | 제정안 | 「천안함 피격사건 피해구제 및 지원 등을 위한 특별법 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 아동학대범죄의 처벌 등에 관한 특례법 시행령 | 시행령 | 일부개정안 | 「아동학대범죄의 처벌 등에 관한 특례법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 천안함 피격사건 피해구제 및 지원 등을 위한 특별법 시행령 | 시행령 | 제정안 | 「천안함 피격사건 피해구제 및 지원 등을 위한 특별법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 전기통신사업법 시행령 | 시행령 | 일부개정안 | 「전기통신사업법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 대통령 등의 경호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「대통령 등의 경호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 벤처투자 촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「벤처투자 촉진에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 경찰청 소속 경찰공무원 임용에 관한 규정 시행규칙 | 시행규칙 | 일부개정안 | 「경찰청 소속 경찰공무원 임용에 관한 규정 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 해양경찰청 소속 경찰공무원 임용에 관한 규정 시행규칙 | 시행규칙 | 일부개정안 | 「해양경찰청 소속 경찰공무원 임용에 관한 규정 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 야생생물 보호 및 관리에 관한 법률 시행령 및 시행규칙 | 시행규칙 | 일부개정안 | 「야생생물 보호 및 관리에 관한 법률 시행령 및 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 산림보호법 시행령 | 시행령 | 일부개정안 | 「산림보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 도시 및 주거환경정비법 시행규칙 | 시행규칙 | 일부개정안 | 「도시 및 주거환경정비법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 주택공급에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「주택공급에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-05-14 | 2소위원회 | 공공주택 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「공공주택 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 주택공급에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「주택공급에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 산업교육진흥 및 산학연협력촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산업교육진흥 및 산학연협력촉진에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 공무원 징계령 | 기타 | 일부개정안 | 「공무원 징계령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 성희롱·성폭력 근절을 위한 공무원 인사관리규정 | 훈령·고시·규칙 | 일부개정안 | 「성희롱·성폭력 근절을 위한 공무원 인사관리규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 우주개발 진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「우주개발 진흥법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 공무원연금법 시행령 | 시행령 | 일부개정안 | 「공무원연금법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행령 | 시행령 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 산업기술의 유출방지 및 보호에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산업기술의 유출방지 및 보호에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 산업기술의 유출방지 및 보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「산업기술의 유출방지 및 보호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 환경기술 및 환경산업 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「환경기술 및 환경산업 지원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 성폭력범죄의 처벌 등에 관한 특례법 시행령 | 시행령 | 일부개정안 | 「성폭력범죄의 처벌 등에 관한 특례법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-23 | 2소위원회 | 환경범죄 등의 단속 및 가중처벌에 관한 법률 시행령 | 시행령 | 일부개정안 | 「환경범죄 등의 단속 및 가중처벌에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 군인의 지위 및 복무에 관한 기본법 시행령 | 시행령 | 일부개정안 | 「군인의 지위 및 복무에 관한 기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 국가과학기술 경쟁력 강화를 위한 이공계지원 특별법 시행령 | 시행령 | 일부개정안 | 「국가과학기술 경쟁력 강화를 위한 이공계지원 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 지방공무원 임용령 | 기타 | 일부개정안 | 「지방공무원 임용령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 민방위기본법 시행령 | 시행령 | 일부개정안 | 「민방위기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 출입국관리법 시행령 | 시행령 | 일부개정안 | 「출입국관리법 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 출입국관리법 시행규칙 | 시행규칙 | 일부개정안 | 「출입국관리법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 민간임대주택에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「민간임대주택에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 산림보호법 시행규칙 | 시행규칙 | 일부개정안 | 「산림보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 산림보호법 시행령 | 시행령 | 일부개정안 | 「산림보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 상속세 및 증여세법 시행령 | 시행령 | 일부개정안 | 「상속세 및 증여세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 민간임대주택에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「민간임대주택에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 학교 밖 청소년 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「학교 밖 청소년 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 학교 밖 청소년 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「학교 밖 청소년 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 공연법 시행규칙 | 시행규칙 | 일부개정안 | 「공연법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 소상공인 생계형 적합업종 지정에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「소상공인 생계형 적합업종 지정에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-04-09 | 2소위원회 | 대통령 등의 경호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「대통령 등의 경호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 방송법 시행규칙 | 시행규칙 | 일부개정안 | 「방송법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 방송법 시행령 | 시행령 | 일부개정안 | 「방송법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 교육공무원임용령 | 기타 | 일부개정안 | 「교육공무원임용령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 초ㆍ중등교육법 시행규칙 | 시행규칙 | 일부개정안 | 「초ㆍ중등교육법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 대중문화예술산업발전법 시행령 | 시행령 | 일부개정안 | 「대중문화예술산업발전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 화학물질관리법 시행규칙 | 시행규칙 | 일부개정안 | 「화학물질관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 소방공무원 보건안전 및 복지 기본법 시행령 | 시행령 | 일부개정안 | 「소방공무원 보건안전 및 복지 기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 양육비 이행확보 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「양육비 이행확보 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-26 | 2소위원회 | 양육비 이행확보 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「양육비 이행확보 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 증권거래세법 시행규칙 | 시행규칙 | 일부개정안 | 「증권거래세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 종합부동산세법 시행규칙 | 시행규칙 | 일부개정안 | 「종합부동산세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「조세특례제한법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 소득세법 시행규칙 | 시행규칙 | 일부개정안 | 「소득세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 상속세 및 증여세법 시행규칙 | 시행규칙 | 일부개정안 | 「상속세 및 증여세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 법인세법 시행규칙 | 시행규칙 | 일부개정안 | 「법인세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 국제조세조정에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국제조세조정에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 국세기본법 시행규칙 | 시행규칙 | 일부개정안 | 「국세기본법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 관세법 시행규칙 | 시행규칙 | 일부개정안 | 「관세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 여객자동차 운수사업법 시행규칙 | 시행규칙 | 일부개정안 | 「여객자동차 운수사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 과세자료의 제출 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「과세자료의 제출 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 노후계획도시 정비 및 지원에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「노후계획도시 정비 및 지원에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 도시가스사업법 시행규칙 | 시행규칙 | 일부개정안 | 「도시가스사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 기후위기 대응을 위한 탄소중립·녹색성장 기본법 시행령 | 시행령 | 일부개정안 | 「기후위기 대응을 위한 탄소중립·녹색성장 기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 영화 및 비디오물의 진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「영화 및 비디오물의 진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 영화 및 비디오물의 진흥에 관한 법률 시행령 | 시행령 | 일부개정안 | 「영화 및 비디오물의 진흥에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 관광진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「관광진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 소상공인 보호 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「소상공인 보호 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 게임산업진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「게임산업진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 환경기술 및 환경산업 지원법 시행령 | 시행령 | 일부개정안 | 「환경기술 및 환경산업 지원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 민방위기본법 시행규칙 | 시행규칙 | 일부개정안 | 「민방위기본법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 민방위기본법 시행령 | 시행령 | 일부개정안 | 「민방위기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 국가공무원 명예퇴직수당 등 지급 규정 | 훈령·고시·규칙 | 일부개정안 | 「국가공무원 명예퇴직수당 등 지급 규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 새마을금고법 시행규칙 | 시행규칙 | 일부개정안 | 「새마을금고법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-03-12 | 2소위원회 | 새마을금고법 시행령 | 시행령 | 일부개정안 | 「새마을금고법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 자동차관리법 시행령 | 시행령 | 일부개정안 | 「자동차관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 이륜자동차검사의 시행 등에 관한 규칙 | 훈령·고시·규칙 | 제정안 | 「이륜자동차검사의 시행 등에 관한 규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 건설산업기본법 시행규칙 | 시행규칙 | 일부개정안 | 「건설산업기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 도시가스사업법 시행령 | 시행령 | 일부개정안 | 「도시가스사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 문화유산의 보존 및 활용에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「문화유산의 보존 및 활용에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-26 | 2소위원회 | 화학물질의 등록 및 평가 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「화학물질의 등록 및 평가 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 재난 및 안전관리 기본법 시행령 | 시행령 | 일부개정안 | 「재난 및 안전관리 기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 부가가치세법 시행령 | 시행령 | 일부개정안 | 「부가가치세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 조세특례제한법 시행령 | 시행령 | 일부개정안 | 「조세특례제한법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 소득세법 시행령 | 시행령 | 일부개정안 | 「소득세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 국제조세조정에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국제조세조정에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 지뢰의 제거 등 지뢰대응활동에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「지뢰의 제거 등 지뢰대응활동에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 공무원 재해보상법 시행령 | 시행령 | 일부개정안 | 「공무원 재해보상법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 관광진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「관광진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행령 | 시행령 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 소방산업의 진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「소방산업의 진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 소방시설공사업법 시행규칙 | 시행규칙 | 일부개정안 | 「소방시설공사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-02-12 | 2소위원회 | 저작권법 시행령 | 시행령 | 일부개정안 | 「저작권법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 재난 및 안전관리 기본법 시행규칙 | 시행규칙 | 일부개정안 | 「재난 및 안전관리 기본법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 자본시장과 금융투자업에 관한 법률 시행령 | 시행령 | 일부개정안 | 「자본시장과 금융투자업에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 주류 면허 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「주류 면허 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 관세법 시행령 | 시행령 | 일부개정안 | 「관세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 점자법 시행령 | 시행령 | 일부개정안 | 「점자법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 하수도법 시행규칙 | 시행규칙 | 일부개정안 | 「하수도법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 국립묘지의 설치 및 운영에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국립묘지의 설치 및 운영에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-22 | 2소위원회 | 공공주택 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「공공주택 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 범죄피해자 보호법 시행규칙 | 시행규칙 | 일부개정안 | 「범죄피해자 보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 범죄피해자 보호법 시행령 | 시행령 | 일부개정안 | 「범죄피해자 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 초ㆍ중등교육법 시행규칙 | 시행규칙 | 일부개정안 | 「초ㆍ중등교육법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 군무원인사법 시행령 | 시행령 | 일부개정안 | 「군무원인사법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 점자법 시행규칙 | 시행규칙 | 제정안 | 「점자법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 점자법 시행령 | 시행령 | 일부개정안 | 「점자법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 국가유산수리 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국가유산수리 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | 「도로교통법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 근로복지기본법 시행규칙 | 시행규칙 | 일부개정안 | 「근로복지기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 소상공인기본법 시행령 | 시행령 | 일부개정안 | 「소상공인기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 국가유산영향진단법 시행규칙 | 시행규칙 | 제정안 | 「국가유산영향진단법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 경찰관 직무집행법 시행령 | 시행령 | 일부개정안 | 「경찰관 직무집행법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 성폭력방지 및 피해자보호 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「성폭력방지 및 피해자보호 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | 「항공안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 여권법 시행규칙 | 시행규칙 | 일부개정안 | 「여권법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2025-01-08 | 2소위원회 | 생활물류서비스산업발전법 시행규칙 | 시행규칙 | 일부개정안 | 「생활물류서비스산업발전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 산업안전보건법 시행령 | 시행령 | 일부개정안 | 「산업안전보건법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 10ㆍ29이태원참사 피해자 권리보장과 진상규명 및 재발방지를 위한 특별법 시행령 | 시행령 | 제정안 | 「10ㆍ29이태원참사 피해자 권리보장과 진상규명 및 재발방지를 위한 특별법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 승강기 안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「승강기 안전관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | 「항공안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 한국국토정보공사법 시행령 | 시행령 | 제정안 | 「한국국토정보공사법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 생활물류서비스산업발전법 시행령 | 시행령 | 일부개정안 | 「생활물류서비스산업발전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 교통약자의 이동편의 증진법 시행령 | 시행령 | 일부개정안 | 「교통약자의 이동편의 증진법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 건강가정기본법 시행령 | 시행령 | 일부개정안 | 「건강가정기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 수상레저안전법 시행령 | 시행령 | 일부개정안 | 「수상레저안전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-12-11 | 2소위원회 | 환경오염시설의 통합관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「환경오염시설의 통합관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 지방세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세특례제한법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 보건의료기술 진흥법 시행령 | 시행령 | 일부개정안 | 「보건의료기술 진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 의료기기 유통 및 판매질서 유지에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「의료기기 유통 및 판매질서 유지에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 첨단재생의료 및 첨단바이오의약품 안전 및 지원에 과한 법률 시행령 | 시행령 | 일부개정안 | 「첨단재생의료 및 첨단바이오의약품 안전 및 지원에 과한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 첨단재생의료 안전 및 지원에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「첨단재생의료 안전 및 지원에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 교통약자의 이동편의 증진법 시행규칙 | 시행규칙 | 일부개정안 | 「교통약자의 이동편의 증진법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 도심 복합개발 지원에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「도심 복합개발 지원에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 도심 복합개발 지원에 관한 법률 시행령 | 시행령 | 제정안 | 「도심 복합개발 지원에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 아이돌봄 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「아이돌봄 지원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-27 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 지방세법 시행령 | 시행령 | 일부개정안 | 「지방세법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 도로교통법 시행령 | 시행령 | 일부개정안 | 「도로교통법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「정신건강증진 및 정신질환자 복지서비스 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 사회보장급여의 이용·제공 및 수급권자 발굴에 관한 법률 시행령 | 시행령 | 일부개정안 | 「사회보장급여의 이용·제공 및 수급권자 발굴에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 전기산업발전기본법 시행령 | 시행령 | 제정안 | 「전기산업발전기본법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 개정안 | 「조세특례제한법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 농지법 시행규칙 | 시행규칙 | 개정안 | 「농지법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 신용정보의 이용 및 보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「신용정보의 이용 및 보호에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 군보건의료에 관한 법률 시행령 | 시행령 | 일부개정안 | 「군보건의료에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 디자인보호법 시행규칙 | 시행규칙 | 일부개정안 | 「디자인보호법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 부동산 가격공시에 관한 법률 시행령 | 시행령 | 일부개정안 | 「부동산 가격공시에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 수상레저안전법 시행규칙 | 시행규칙 | 일부개정안 | 「수상레저안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 수상레저안전법 시행령 | 시행령 | 일부개정안 | 「수상레저안전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 소방공무원 복무규정 | 훈령·고시·규칙 | 일부개정안 | 「소방공무원 복무규정」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-13 | 2소위원회 | 광산안전법 시행규칙 | 시행규칙 | 일부개정안 | 「광산안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 남녀고용평등과 일․가정 양립지원에 관한 법률 시행규칙 | 시행규칙 | 개정안 | 「남녀고용평등과 일․가정 양립지원에 관한 법률 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 남녀고용평등과 일․가정 양립지원에 관한 법률 시행령 | 시행령 | 개정안 | 「남녀고용평등과 일․가정 양립지원에 관한 법률 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙 | 시행규칙 | 개정안 | 「고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행령 | 시행령 | 개정안 | 「고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 개정안 | 「고용보험법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 공무원고충처리규정 | 훈령·고시·규칙 | 일부개정안 | 「공무원고충처리규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 첨단산업 인재혁신 특별법 시행규칙 | 시행규칙 | 제정안 | 「첨단산업 인재혁신 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 첨단산업 인재혁신 특별법 시행령 | 시행령 | 제정안 | 「첨단산업 인재혁신 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 이산화탄소 포집·수송·저장 및 활용에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「이산화탄소 포집·수송·저장 및 활용에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-11-04 | 2소위원회 | 이산화탄소 포집·수송·저장 및 활용에 관한 법률 시행령 | 시행령 | 제정안 | 「이산화탄소 포집·수송·저장 및 활용에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 해양이용영향평가법 시행규칙 | 시행규칙 | 제정안 | 「해양이용영향평가법 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 해양이용영향평가법 시행령 | 시행령 | 제정안 | 「해양이용영향평가법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 그린바이오산업 육성에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「그린바이오산업 육성에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 그린바이오산업 육성에 관한 법률 시행령 | 시행령 | 제정안 | 「그린바이오산업 육성에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 군인 재해보상법 시행규칙 | 시행규칙 | 일부개정안 | 「군인 재해보상법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 사회보장기본법 시행령 | 시행령 | 일부개정 | 「사회보장기본법 시행령」 일부개정령안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 자동차등록규칙 | 훈령·고시·규칙 | 일부개정안 | 「자동차등록규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 도시 및 주거환경정비법 시행규칙 | 시행규칙 | 일부개정안 | 「도시 및 주거환경정비법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 어선안전조업법 시행령 | 시행령 | 일부개정안 | 「어선안전조업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 어선안전조업법 시행규칙 | 시행규칙 | 일부개정안 | 「어선안전조업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 계량에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「계량에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-10-23 | 2소위원회 | 사행산업통합감독위원회법 시행령 | 시행령 | 일부개정안 | 「사행산업통합감독위원회법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 난민법 시행규칙 | 시행규칙 | 개정안 | 「난민법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 난민법 시행령 | 시행령 | 개정안 | 「난민법 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 우체국 예금․보험에 관한 법률 시행령 | 시행령 | 개정안 | 「우체국 예금․보험에 관한 법률 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 녹색건축물 조성 지원법 시행령 | 시행령 | 일부개정안 | 「녹색건축물 조성 지원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 식품위생법 시행규칙 | 시행규칙 | 일부개정안 | 「식품위생법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 노인 일자리 및 사회활동 지원에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「노인 일자리 및 사회활동 지원에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 온실가스 배출권의 할당 및 거래에 관한 법률 시행령 | 시행령 | 일부개정안 | 「온실가스 배출권의 할당 및 거래에 관한 법률 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | 「도로교통법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-25 | 2소위원회 | 도로교통법 시행령 | 시행령 | 일부개정안 | 「도로교통법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 사회서비스 이용 및 이용권 관리에 관한 법률 시행규칙 | 시행규칙 | 개정안 | 「사회서비스 이용 및 이용권 관리에 관한 법률 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 집단에너지사업법 시행령 | 시행령 | 개정안 | 「집단에너지사업법 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 기후·기후변화 감시 및 예측 등에 관한 법률 시행령 | 시행령 | 제정안 | 「기후·기후변화 감시 및 예측 등에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 기후·기후변화 감시 및 예측 등에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「기후·기후변화 감시 및 예측 등에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 기상관측표준화법 시행규칙 | 시행규칙 | 개정안 | 「기상관측표준화법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 사회서비스 이용 및 이용권 관리에 관한 법률 시행령 | 시행령 | 개정안 | 「사회서비스 이용 및 이용권 관리에 관한 법률 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 의료기사 등에 관한 법률 시행규칙 | 시행규칙 | 개정안 | 「의료기사 등에 관한 법률 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 행정기본법 시행령 | 시행령 | 개정안 | 「행정기본법 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 디지털의료제품법 시행규칙 | 시행규칙 | 제정안 | 「디지털의료제품법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 고도 보존 및 육성에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「고도 보존 및 육성에 관한 특별법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 화재의 예방 및 안전관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「화재의 예방 및 안전관리에 관한 법률 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 토양환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「토양환경보전법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 물환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「물환경보전법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-09-11 | 2소위원회 | 국가유산수리 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국가유산수리 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 치료감호 등에 관한 법률 | 법률 | 일부개정안 | 「치료감호 등에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 약사법 시행규칙 | 시행규칙 | 일부개정안 | 「약사법 시행규칙」일부개정안 개인정보 침해요인 평가의 건
2024-08-28 | 2소위원회 | 약사법 시행령 | 시행령 | 일부개정안 | 「약사법 시행령」일부개정안 개인정보 침해요인 평가의 건
2024-08-28 | 2소위원회 | 영유아보육법 시행규칙 | 시행규칙 | 일부개정안 | 「영유아보육법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 민원 처리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「민원 처리에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 사립학교교직원 연금법 시행령 | 시행령 | 일부개정안 | 「사립학교교직원 연금법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | - | 기타 | 일부개정안 | 자연재난 구호 및 복구 비용 부담기준 등에 관한 규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 소방시설 설치 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「소방시설 설치 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 지하수법 시행규칙 | 시행규칙 | 일부개정안 | 「지하수법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 야생생물 보호 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「야생생물 보호 및 관리에 관한 법률 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 자율운항선박의 안전 운항에 관한 규칙 | 훈령·고시·규칙 | 제정안 | 「자율운항선박의 안전 운항에 관한 규칙 」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 문화유산의 보존 및 활용에 관한 법률 시행령 | 시행령 | 일부개정안 | 「문화유산의 보존 및 활용에 관한 법률 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 화학물질의 등록 및 평가 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「화학물질의 등록 및 평가 등에 관한 법률 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 세계유산의 보존·관리 및 활용에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「세계유산의 보존·관리 및 활용에 관한 특별법 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 농어업경영체 육성 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「농어업경영체 육성 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-28 | 2소위원회 | 주택도시기금법 시행령 | 시행령 | 일부개정안 | 「주택도시기금법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-08-09 | 2소위원회 | 주차장법 시행규칙 | 시행규칙 | 일부개정안 | 「주차장법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 공공재정 부정청구 금지 및 부정이익 환수 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「공공재정 부정청구 금지 및 부정이익 환수 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 세무사법 | 법률 | 개정안 | 「세무사법」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 과세자료의 제출 및 관리에 관한 법률 | 법률 | 개정안 | 「과세자료의 제출 및 관리에 관한 법률」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 상속세 및 증여세법 | 법률 | 개정안 | 「상속세 및 증여세법」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 경찰공무원 등 개인정보 처리에 관한 규정 | 훈령·고시·규칙 | 제정안 | 「경찰공무원 등 개인정보 처리에 관한 규정」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 손상 예방 및 관리에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「손상 예방 및 관리에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 손상 예방 및 관리에 관한 법률 시행령 | 시행령 | 제정안 | 「손상 예방 및 관리에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 농어촌 등 보건의료를 위한 특별조치법 시행규칙 | 시행규칙 | 일부개정안 | 「농어촌 등 보건의료를 위한 특별조치법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 실용신안법 시행규칙 | 시행규칙 | 일부개정안 | 「실용신안법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 특허법 시행규칙 | 시행규칙 | 일부개정안 | 「특허법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 데이터기반행정 활성화에 관한 법률 | 법률 | 일부개정안 | 「데이터기반행정 활성화에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 근현대문화유산의 보존 및 활용에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「근현대문화유산의 보존 및 활용에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 근현대문화유산의 보존 및 활용에 관한 법률 시행령 | 시행령 | 제정안 | 「근현대문화유산의 보존 및 활용에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 국민체육진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「국민체육진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 환경보건법 시행령 | 시행령 | 일부개정안 | 「환경보건법 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 수도법 시행규칙 | 시행규칙 | 일부개정안 | 「수도법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 소상공인 보호 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「소상공인 보호 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 녹색제품 구매촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「녹색제품 구매촉진에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 실종아동등의 발견 및 유전자검사 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「실종아동등의 발견 및 유전자검사 등에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 실종아동등의 보호 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「실종아동등의 보호 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 석면피해구제법 시행규칙 | 시행규칙 | 일부개정안 | 「석면피해구제법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 석면피해구제법 시행령 | 시행령 | 일부개정안 | 「석면피해구제법 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 생활화학제품 및 살생물제의 안전관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「생활화학제품 및 살생물제의 안전관리에 관한 법률 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 생활화학제품 및 살생물제의 안전관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「생활화학제품 및 살생물제의 안전관리에 관한 법률 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 환경오염피해 배상책임 및 구제에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「환경오염피해 배상책임 및 구제에 관한 법률 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 환경오염피해 배상책임 및 구제에 관한 법률 시행령 | 시행령 | 일부개정안 | 「환경오염피해 배상책임 및 구제에 관한 법률 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 환경분쟁 조정법 시행규칙 | 시행규칙 | 전부개정안 | 「환경분쟁 조정법 시행규칙 」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 환경분쟁 조정법 시행령 | 시행령 | 전부개정안 | 「환경분쟁 조정법 시행령 」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 소득세법 | 법률 | 일부개정안 | 「소득세법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 국제조세조정에 관한 법률 | 법률 | 일부개정안 | 「국제조세조정에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-24 | 2소위원회 | 관세법 | 법률 | 일부개정안 | 「관세법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 가상융합산업 진흥법 시행규칙 | 시행규칙 | 제정안 | 「가상융합산업 진흥법 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 가상융합산업 진흥법 시행령 | 시행령 | 제정안 | 「가상융합산업 진흥법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 생명연구자원의 확보·관리 및 활용에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「생명연구자원의 확보·관리 및 활용에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 응급의료에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「응급의료에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 상법 | 법률 | 일부개정안 | 「상법」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 직업안정법 시행규칙 | 시행규칙 | 개정안 | 「직업안정법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | 「항공안전법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 학교 밖 청소년 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「학교 밖 청소년 지원에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 기업도시개발 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「기업도시개발 특별법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 공항시설법 시행규칙 | 시행규칙 | 일부개정안 | 「공항시설법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 5ㆍ18민주유공자예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「5ㆍ18민주유공자예우 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 결핵예방법 시행규칙 | 시행규칙 | 일부개정안 | 「결핵예방법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | 「도로교통법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 도로교통법 시행령 | 시행령 | 일부개정안 | 「도로교통법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-07-10 | 2소위원회 | 해양재난구조대의 설치 및 운영에 관한 법률 시행령 및 시행규칙 | 시행규칙 | 제정안 | 「해양재난구조대의 설치 및 운영에 관한 법률 시행령 및 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 철도안전법 시행규칙 | 시행규칙 | 일부개정안 | 「철도안전법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 경비업법 시행규칙 | 시행규칙 | 일부개정안 | 「경비업법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 경비업법 시행령 | 시행령 | 일부개정안 | 「경비업법 시행령 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 초ㆍ중등교육법 시행규칙 | 시행규칙 | 일부개정안 | 「초ㆍ중등교육법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 감염병의 예방 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「감염병의 예방 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 보건의료기본법 시행령 | 시행령 | 일부개정안 | 「보건의료기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 해양수산부 소관 친환경농어업 육성 및 유기식품 등의 관리ㆍ지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「해양수산부 소관 친환경농어업 육성 및 유기식품 등의 관리ㆍ지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 국제항공 탄소 배출량 관리에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「국제항공 탄소 배출량 관리에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 국가인권위원회법 | 법률 | 일부개정안 | 「국가인권위원회법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 공간정보의 구축 및 관리 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공간정보의 구축 및 관리 등에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 공간정보의 구축 및 관리 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「공간정보의 구축 및 관리 등에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 물순환 촉진 및 지원에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「물순환 촉진 및 지원에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 물순환 촉진 및 지원에 관한 법률 시행령 | 시행령 | 제정안 | 「물순환 촉진 및 지원에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 방송법 시행규칙 | 시행규칙 | 일부개정안 | 「방송법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 국가첨단전략산업 경쟁력 강화 및 보호에 관한 특별조치법 시행규칙 | 시행규칙 | 일부개정안 | 「국가첨단전략산업 경쟁력 강화 및 보호에 관한 특별조치법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 방송법 시행령 | 시행령 | 일부개정안 | 「방송법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 지방공무원 징계 및 소청규정 | 훈령·고시·규칙 | 일부개정안 | 「지방공무원 징계 및 소청규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 지방공무원 징계규칙 | 훈령·고시·규칙 | 일부개정안 | 「지방공무원 징계규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 주민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「주민등록법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 연구개발특구의 육성에 관한 특별법 시행령 | 시행령 | 개정안 | 「연구개발특구의 육성에 관한 특별법 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 통신비밀보호법 시행령 | 시행령 | 개정안 | 「통신비밀보호법 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 장애인고용촉진 및 직업재활법 | 법률 | 개정안 | 「장애인고용촉진 및 직업재활법」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 농어촌정비법 | 법률 | 개정안 | 「농어촌정비법」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 해외농업·산림자원 개발협력법 시행규칙 | 시행규칙 | 개정안 | 「해외농업·산림자원 개발협력법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 해외농업·산림자원 개발협력법 시행령 | 시행령 | 개정안 | 「해외농업·산림자원 개발협력법 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 농업·농촌 및 식품산업 기본법 시행령 | 시행령 | 개정안 | 「농업·농촌 및 식품산업 기본법 시행령」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 관광진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「관광진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 한국도로교통공단법 시행령 | 시행령 | 제정안 | 「한국도로교통공단법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-26 | 2소위원회 | 119구조·구급에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「119구조·구급에 관한 법률 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 시국사건관련 임용제외 교원의 피해회복을 위한 조치에 관한 특별법 시행령 | 시행령 | 제정안 | 「시국사건관련 임용제외 교원의 피해회복을 위한 조치에 관한 특별법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 건설기술 진흥법 시행령 | 시행령 | 일부개정안 | 「건설기술 진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 철도안전법 시행령 | 시행령 | 일부개정안 | 「철도안전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 국악진흥법 시행규칙 | 시행규칙 | 제정안 | 「국악진흥법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 국악진흥법 시행령 | 시행령 | 제정안 | 「국악진흥법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 자동차손해배상 보장법 시행령 | 시행령 | 일부개정안 | 「자동차손해배상 보장법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 미술진흥법 시행령 | 시행령 | 제정안 | 「미술진흥법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 국방군사시설 사업에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국방군사시설 사업에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 방위사업법 시행규칙 | 시행규칙 | 일부개정안 | 「방위사업법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 방위사업법 시행령 | 시행령 | 일부개정안 | 「방위사업법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 국민보호와 공공안전을 위한 테러방지법 시행규칙 | 시행규칙 | 일부개정안 | 「국민보호와 공공안전을 위한 테러방지법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 규제자유특구 및 지역특화발전특구에 관한 규제특례법 시행규칙 | 시행규칙 | 일부개정안 | 「규제자유특구 및 지역특화발전특구에 관한 규제특례법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 생명윤리 및 안전에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「생명윤리 및 안전에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 의료법 시행규칙 | 시행규칙 | 일부개정안 | 「의료법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 아동복지법 시행규칙 | 시행규칙 | 일부개정안 | 「아동복지법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 아동복지법 시행령 | 시행령 | 일부개정안 | 「아동복지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 해양수산과학기술 육성법 시행규칙 | 시행규칙 | 개정안 | 「해양수산과학기술 육성법 시행규칙」일부 개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 해양수산과학기술 육성법 시행령 | 시행령 | 일부개정안 | 「해양수산과학기술 육성법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 국가기술자격법 시행규칙 | 시행규칙 | 일부개정안 | 「국가기술자격법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 산업안전보건법 시행규칙 | 시행규칙 | 일부개정안 | 「산업안전보건법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 스마트농업 육성 및 지원에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「스마트농업 육성 및 지원에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 스마트농업 육성 및 지원에 관한 법률 시행령 | 시행령 | 제정안 | 「스마트농업 육성 및 지원에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 장애인활동 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「장애인활동 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 우체국창구업무의 위탁에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「우체국창구업무의 위탁에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 약사법 시행규칙 | 시행규칙 | 일부개정안 | 「약사법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 애니메이션산업 진흥에 관한 시행규칙 | 시행규칙 | 일부개정안 | 「애니메이션산업 진흥에 관한 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 이동통신단말장치 유통구조 개선에 관한 법률 시행령 | 시행령 | 일부개정안 | 「이동통신단말장치 유통구조 개선에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 국민건강보험법 시행규칙 | 시행규칙 | 일부개정안 | 「국민건강보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 국민건강보험법 시행령 | 시행령 | 일부개정안 | 「국민건강보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 초고층 및 지하연계 복합건축물 재난관리에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「초고층 및 지하연계 복합건축물 재난관리에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 초고층 및 지하연계 복합건축물 재난관리에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「초고층 및 지하연계 복합건축물 재난관리에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 공직자 등의 병역사항 신고 및 공개에 관한 법률 시행령 | 시행령 | 일부개정안 | 「공직자 등의 병역사항 신고 및 공개에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 병역법 시행규칙 | 시행규칙 | 일부개정안 | 「병역법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-06-12 | 2소위원회 | 전파법 시행령 | 시행령 | 일부개정안 | 「전파법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 제대군인지원에 관한 법률 | 법률 | 일부개정안 | 「제대군인지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 5ㆍ18민주유공자예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「5ㆍ18민주유공자예우 및 단체설립에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 독립유공자예우에 관한 법률 | 법률 | 일부개정안 | 「독립유공자예우에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 | 법률 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 | 법률 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 국가인권위원회법 | 법률 | 일부개정안 | 「국가인권위원회법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 한국교직원공제회법 | 법률 | 일부개정안 | 「한국교직원공제회법」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-29 | 2소위원회 | 지속가능한 연근해어업 발전법 | 법률 | 제정안 | 「지속가능한 연근해어업 발전법」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 경찰착용기록장치 운영 등에 관한 규정 | 훈령·고시·규칙 | 제정안 | 「경찰착용기록장치 운영 등에 관한 규정 」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | - | 기타 | 일부개정 | 한시적 규제유예 등 민생경제 활력 제고를 위한 23개 법령의 일부개정에 관한 총리령ㆍ부령안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | - | 기타 | 일부개정 | 국민 행정부담 완화 및 불편 해소를 위한 18개 법령의 일부개정에 관한 대통령령안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 병역법 시행령 | 시행령 | 일부개정안 | 「병역법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 산지관리법 시행규칙 | 시행규칙 | 일부개정안 | 「산지관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 방문판매 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「방문판매 등에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 목재의 지속가능한 이용에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「목재의 지속가능한 이용에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 목재의 지속가능한 이용에 관한 법률 시행령 | 시행령 | 일부개정안 | 「목재의 지속가능한 이용에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 영유아보육법 시행령 | 시행령 | 일부개정안 | 「영유아보육법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 의료 해외진출 및 외국인환자 유치 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「의료 해외진출 및 외국인환자 유치 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 독립유공자예우에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「독립유공자예우에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 독립유공자예우에 관한 법률 시행령 | 시행령 | 일부개정안 | 「독립유공자예우에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 전기통신사업법 시행령 | 시행령 | 일부개정안 | 「전기통신사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 노인장기요양보험법 시행규칙 | 시행규칙 | 일부개정안 | 「노인장기요양보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 노인장기요양보험법 시행령 | 시행령 | 일부개정안 | 「노인장기요양보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 의료급여법 시행규칙 | 시행규칙 | 일부개정안 | 「의료급여법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 사할린동포 지원에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「사할린동포 지원에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 사할린동포 지원에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「사할린동포 지원에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 고용보험법 시행령 | 시행령 | 일부개정안 | 「고용보험법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 임금채권보장법 시행규칙 | 시행규칙 | 일부개정안 | 「임금채권보장법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 개인정보 보호법 시행령 | 시행령 | 일부개정안 | 「개인정보 보호법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 폐기물관리법 시행규칙 | 시행규칙 | 일부개정안 | 「폐기물관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 임금채권보장법 시행령 | 시행령 | 일부개정안 | 「임금채권보장법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 대기관리권역의 대기환경개선에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「대기관리권역의 대기환경개선에 관한 특별법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 대기관리권역의 대기환경개선에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「대기관리권역의 대기환경개선에 관한 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 취업 후 학자금 상환 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「취업 후 학자금 상환 특별법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 개의 식용목적의 사육·도살 및 유통 등 종식에 관한 특별법 시행령 | 시행령 | 제정안 | 「개의 식용목적의 사육·도살 및 유통 등 종식에 관한 특별법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 산업재산 정보의 관리 및 활용 촉진에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「산업재산 정보의 관리 및 활용 촉진에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 산업재산 정보의 관리 및 활용 촉진에 관한 법률 시행령 | 시행령 | 제정안 | 「산업재산 정보의 관리 및 활용 촉진에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 어선법 | 법률 | 일부개정안 | 「어선법」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 실험동물에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「실험동물에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 위생용품 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「위생용품 관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 농촌 지역 공동체 기반 경제·사회 서비스 활성화에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「농촌 지역 공동체 기반 경제·사회 서비스 활성화에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 농촌 지역 공동체 기반 경제·사회 서비스 활성화에 관한 법률 시행령 | 시행령 | 제정안 | 「농촌 지역 공동체 기반 경제·사회 서비스 활성화에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 취업 후 학자금 상환 특별법 시행령 | 시행령 | 일부개정안 | 「취업 후 학자금 상환 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 승강기산업 진흥법 시행규칙 | 시행규칙 | 제정안 | 「승강기산업 진흥법 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 승강기산업 진흥법 시행령 | 시행령 | 제정안 | 「승강기산업 진흥법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 실종아동등의 발견 및 유전자검사 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「실종아동등의 발견 및 유전자검사 등에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 주택법 시행규칙 | 시행규칙 | 일부개정안 | 「주택법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 주택법 시행령 | 시행령 | 일부개정안 | 「주택법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 철도안전법 시행령 | 시행령 | 일부개정안 | 「철도안전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 도시 및 주거환경정비법 시행규칙 | 시행규칙 | 일부개정안 | 「도시 및 주거환경정비법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 도시 및 주거환경정비법 시행령 | 시행령 | 일부개정안 | 「도시 및 주거환경정비법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「자율주행자동차 상용화 촉진 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 112신고의 운영 및 처리에 관한 법률 시행령 | 시행령 | 제정안 | 「112신고의 운영 및 처리에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 전통문화산업 진흥법 시행규칙 | 시행규칙 | 제정안 | 「전통문화산업 진흥법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 전통문화산업 진흥법 시행령 | 시행령 | 제정안 | 「전통문화산업 진흥법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | 「도로교통법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 소방시설공사업법 시행규칙 | 시행규칙 | 일부개정안 | 「소방시설공사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | 「항공안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 부패방지 및 국민권익위원회의 설치와 운영에 관한 법률 시행령 | 시행령 | 일부개정안 | 「부패방지 및 국민권익위원회의 설치와 운영에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 공익신고자 보호법 시행령 | 시행령 | 일부개정안 | 「공익신고자 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-22 | 2소위원회 | 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 산림보호법 시행령 | 시행령 | 일부개정안 | 「산림보호법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 출입국관리법 | 법률 | 일부개정안 | 「출입국관리법」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 국유림의 경영 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국유림의 경영 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 수목원ㆍ정원의 조성 및 진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「수목원ㆍ정원의 조성 및 진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 원자력안전법 시행규칙 | 시행규칙 | 일부개정안 | 「원자력안전법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 원자력안전법 시행령 | 시행령 | 일부개정안 | 「원자력안전법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 발달장애인 권리보장 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「발달장애인 권리보장 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 장사 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「장사 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 소상공인 보호 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「소상공인 보호 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 보건의료기술 진흥법 시행령 | 시행령 | 일부개정안 | 「보건의료기술 진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 기초연금법 시행규칙 | 시행규칙 | 일부개정안 | 「기초연금법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 정보통신공사업법 시행규칙 | 시행규칙 | 일부개정안 | 「정보통신공사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 정보통신공사업법 시행령 | 시행령 | 일부개정안 | 「정보통신공사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 의료법 시행규칙 | 시행규칙 | 일부개정안 | 법령서식 일괄 개정을 위한 「의료법 시행규칙」 등 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 벤처기업육성에 관한 특별조치법 시행규칙 | 시행규칙 | 일부개정안 | 「벤처기업육성에 관한 특별조치법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 한국인 원자폭탄 피해자 지원을 위한 특별법 시행령 | 시행령 | 일부개정안 | 「한국인 원자폭탄 피해자 지원을 위한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 외교부장관의 소속청장에 대한 지휘 등에 관한 규칙 | 훈령·고시·규칙 | 제정안 | 「외교부장관의 소속청장에 대한 지휘 등에 관한 규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 시행령 | 시행령 | 일부개정안 | Test_「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2024-05-08 | 2소위원회 | 어선원 및 어선 재해보상보험법 시행규칙 | 시행규칙 | 일부개정안 | 「어선원 및 어선 재해보상보험법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 어선원 및 어선 재해보상보험법 시행령 | 시행령 | 일부개정안 | 「어선원 및 어선 재해보상보험법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 원양산업발전법 시행규칙 | 시행규칙 | 일부개정안 | 「원양산업발전법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 장애영유아를 위한 어린이집의 운영등에 관한 규칙 | 훈령·고시·규칙 | 제정안 | 「장애영유아를 위한 어린이집의 운영등에 관한 규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 대기환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「대기환경보전법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 마약류 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「마약류 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 환경보건법 시행규칙 | 시행규칙 | 일부개정안 | 「환경보건법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 환경보건법 시행령 | 시행령 | 일부개정안 | 「환경보건법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 부정경쟁방지 및 영업비밀보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「부정경쟁방지 및 영업비밀보호에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 선원법 시행규칙 | 시행규칙 | 일부개정안 | 「선원법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 선원법 시행령 | 시행령 | 일부개정안 | 「선원법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 신용정보의 이용 및 보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「신용정보의 이용 및 보호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 북한이탈주민의 보호 및 정착지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「북한이탈주민의 보호 및 정착지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 보험사기방지 특별법 시행령 | 시행령 | 일부개정안 | 「보험사기방지 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 남북 이산가족 생사확인 및 교류촉진에 관한 법률 시행령 | 시행령 | 일부개정안 | 「남북 이산가족 생사확인 및 교류촉진에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 에너지법 시행규칙 | 시행규칙 | 일부개정안 | 「에너지법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 문화재보호법 시행규칙 | 시행규칙 | 일부개정안 | 「문화재보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 문화재보호법 시행령 | 시행령 | 일부개정안 | 「문화재보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 스포츠클럽법 시행규칙 | 시행규칙 | 일부개정안 | 「스포츠클럽법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 건축물의 구조기준 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「건축물의 구조기준 등에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 교통안전법 시행령 | 시행령 | 일부개정안 | 「교통안전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 건축물 에너지효율등급 인증 및 제로에너지건축물 인증에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「건축물 에너지효율등급 인증 및 제로에너지건축물 인증에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 달빛철도 건설을 위한 특별법 시행규칙 | 시행규칙 | 제정안 | 「달빛철도 건설을 위한 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 궤도운송법 시행규칙 | 시행규칙 | 일부개정안 | 「궤도운송법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 관광진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「관광진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 달빛철도 건설을 위한 특별법 시행령 | 시행령 | 제정안 | 「달빛철도 건설을 위한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 기부금품의 모집 및 사용에 관한 법률 시행령 | 시행령 | 일부개정안 | 「기부금품의 모집 및 사용에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 공무원 징계령 시행규칙 | 시행규칙 | 일부개정안 | 「공무원 징계령 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 지방세법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 지방공무원 임용령 | 기타 | 일부개정안 | 「지방공무원 임용령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 재해구호법 시행규칙 | 시행규칙 | 일부개정안 | 「재해구호법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 조달사업에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「조달사업에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-05-08 | 2소위원회 | 조달사업에 관한 법률 시행령 | 시행령 | 일부개정안 | 「조달사업에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 검찰압수물사무규칙 | 훈령·고시·규칙 | 일부개정안 | 「검찰압수물사무규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 전자상거래 등에서의 소비자보호에 관한 법률 | 법률 | 일부개정안 | 「전자상거래 등에서의 소비자보호에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 발명진흥법 시행령 | 시행령 | 일부개정안 | 「발명진흥법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 개인정보 침해요인 개선을 위한 5개 법령 | 기타 | 일부개정안 | 「개인정보 침해요인 개선을 위한 5개 법령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 국제항해선박 및 항만시설의 보안에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국제항해선박 및 항만시설의 보안에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 식물방역법 시행규칙 | 시행규칙 | 일부개정안 | 「식물방역법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 식물방역법 시행령 | 시행령 | 일부개정안 | 「식물방역법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 식품 등의 표시·광고에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「식품 등의 표시·광고에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 수도법 시행규칙 | 시행규칙 | 일부개정안 | 「수도법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 수도법 시행령 | 시행령 | 일부개정안 | 「수도법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료 징수 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험 및 산업재해보상보험의 보험료 징수 등에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 근로기준법 시행규칙 | 시행규칙 | 일부개정안 | 「근로기준법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 군 장려금 지급 규칙 | 훈령·고시·규칙 | 일부개정안 | 「군 장려금 지급 규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 검역법 시행령 | 시행령 | 일부개정안 | 「검역법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 위기 임신 및 보호출산 지원과 아동 보호에 관한 특별법 시행규칙 | 시행규칙 | 제정안 | 「위기 임신 및 보호출산 지원과 아동 보호에 관한 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 위기 임신 및 보호출산 지원과 아동 보호에 관한 특별법 시행령 | 시행령 | 제정안 | 「위기 임신 및 보호출산 지원과 아동 보호에 관한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 장애인복지법 시행령 | 시행령 | 일부개정안 | 「장애인복지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 | 법률 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 | 법률 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 독립유공자예우에 관한 법률 | 법률 | 일부개정안 | 「독립유공자예우에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행령 | 시행령 | 일부개정안 | 「사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 소방공무원 보건안전 및 복지 기본법 시행령 | 시행령 | 일부개정안 | 「소방공무원 보건안전 및 복지 기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 생활물류서비스산업발전법 시행규칙 | 시행규칙 | 일부개정안 | 「생활물류서비스산업발전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 주택법 시행규칙 | 시행규칙 | 일부개정안 | 「주택법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 주택법 시행령 | 시행령 | 일부개정안 | 「주택법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 자동차종합검사의 시행 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「자동차종합검사의 시행 등에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 수상에서의 수색.구조 등에 관한 법률 | 법률 | 일부개정안 | 「수상에서의 수색.구조 등에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 시설물의 안전 및 유지관리에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「시설물의 안전 및 유지관리에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 인구감소지역 지원 특별법 시행령 | 시행령 | 일부개정안 | 「인구감소지역 지원 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 자연재해대책법 시행규칙 | 시행규칙 | 일부개정안 | 「자연재해대책법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 공직자윤리법 시행규칙 | 시행규칙 | 일부개정안 | 「공직자윤리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 공직자윤리법 시행령 | 시행령 | 일부개정안 | 「공직자윤리법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 산업집적활성화 및 공장설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산업집적활성화 및 공장설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 재난 및 안전관리 기본법 시행령 | 시행령 | 일부개정안 | 「재난 및 안전관리 기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 미래자동차 부품산업의 전환촉진 및 생태계 육성에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「미래자동차 부품산업의 전환촉진 및 생태계 육성에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-24 | 2소위원회 | 국방군사시설 사업에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국방군사시설 사업에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-05 | 2소위원회 | 노후계획도시 정비 및 지원에 관한 특별법 시행규칙 | 시행규칙 | 제정안 | 「노후계획도시 정비 및 지원에 관한 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-04-05 | 2소위원회 | 노후계획도시 정비 및 지원에 관한 특별법 시행령 | 시행령 | 제정안 | 「노후계획도시 정비 및 지원에 관한 특별법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 치료감호 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「치료감호 등에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 독점규제 및 공정거래에 관한 법률 시행령 | 시행령 | 일부개정안 | 「독점규제 및 공정거래에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 성매개감염병 및 후천성면역결핍증 건강진단규칙 | 훈령·고시·규칙 | 일부개정안 | 「성매개감염병 및 후천성면역결핍증 건강진단규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | - | 기타 | 일부개정안 | 위기 임신보호출산법 시행을 위한 6개 법령 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 국민건강보험법 시행규칙 | 시행규칙 | 일부개정안 | 「국민건강보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 호스피스 완화의료 및 임종과정에 있는 환자의 연명의료결정에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「호스피스 완화의료 및 임종과정에 있는 환자의 연명의료결정에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 국립묘지의 설치 및 운영에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국립묘지의 설치 및 운영에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 병역법 시행령 | 시행령 | 일부개정안 | 「병역법 시행령」 일부개정안 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 군인사법 시행령 | 시행령 | 일부개정안 | 「군인사법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | - | 기타 | 일부개정 | 개인정보 침해요인 개선을 위한 12개 법령의 일부개정에 관한 총리령ㆍ부령안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | - | 기타 | 일부개정 | 개인정보 침해요인 개선을 위한 34개 법령의 일부개정에 관한 대통령령안 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 119긴급신고의 관리 및 운영에 관한 법률 시행령 | 시행령 | 제정안 | 「119긴급신고의 관리 및 운영에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 119긴급신고의 관리 및 운영에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「119긴급신고의 관리 및 운영에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 병역법 시행규칙 | 시행규칙 | 일부개정안 | 「병역법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 음악산업진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「음악산업진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 주택법 시행령 | 시행령 | 일부개정안 | 「주택법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 게임산업진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「게임산업진흥에 관한 법률 시행규칙 」 등 7개 문화체육관광부령 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 도심항공교통 활용 촉진 및 지원에 관한 법률 시행령 | 시행령 | 제정안 | 「도심항공교통 활용 촉진 및 지원에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 도심항공교통 활용 촉진 및 지원에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「도심항공교통 활용 촉진 및 지원에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 주택법 시행규칙 | 시행규칙 | 일부개정안 | 「주택법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 평생교육법 시행규칙 | 시행규칙 | 일부개정안 | 「평생교육법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 한국해양과학기술원법 시행령 | 시행령 | 일부개정안 | 「한국해양과학기술원법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 자원의 절약과 재활용촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「자원의 절약과 재활용촉진에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 국가공무원 등 직무발명의 처분·관리 및 보상 등에 관한 규정 시행규칙 | 시행규칙 | 전부개정안 | 「국가공무원 등 직무발명의 처분·관리 및 보상 등에 관한 규정 시행규칙」전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 국가공무원 등 직무발명의 처분·관리 및 보상 등에 관한 규정 | 훈령·고시·규칙 | 전부개정안 | 「국가공무원 등 직무발명의 처분·관리 및 보상 등에 관한 규정」전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 수의사법 시행규칙 | 시행규칙 | 일부개정안 | 「수의사법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 수의사법 시행령 | 시행령 | 일부개정안 | 「수의사법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 농어촌정비법 시행규칙 | 시행규칙 | 일부개정안 | 「농어촌정비법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 농어촌정비법 시행령 | 시행령 | 일부개정안 | 「농어촌정비법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 북한이탈주민의 보호 및 정착지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「북한이탈주민의 보호 및 정착지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 자본시장과 금융투자업에 관한 법률 시행령 | 시행령 | 일부개정안 | 「자본시장과 금융투자업에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 보험업법 시행령 | 시행령 | 일부개정안 | 「보험업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「조세특례제한법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「조세특례제한법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 군인징계령 시행규칙 | 시행규칙 | 일부개정안 | 「군인징계령 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 군인징계령 | 기타 | 일부개정안 | 「군인징계령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 중부내륙연계발전지역 지원에 관한 특별법 시행령 | 시행령 | 제정안 | 「중부내륙연계발전지역 지원에 관한 특별법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-27 | 2소위원회 | 전자정부법 시행령 | 시행령 | 일부개정안 | 「전자정부법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 하도급거래 공정화에 관한 법률 시행령 | 시행령 | 일부개정안 | 「하도급거래 공정화에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 항공보안법 시행령 | 시행령 | 일부개정안 | 「항공보안법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 식품위생법 시행령 | 시행령 | 일부개정안 | 「식품위생법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 도시농업의 육성 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「도시농업의 육성 및 지원에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 선박평형수 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「선박평형수 관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 선박에서의 오염방지에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「선박에서의 오염방지에 관한 규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 수산생물질병 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「수산생물질병 관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 물의 재이용 촉진 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「물의 재이용 촉진 및 지원에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 동물보호법 시행규칙 | 시행규칙 | 일부개정안 | 「동물보호법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 전기사업법 시행령 | 시행령 | 일부개정안 | 「전기사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 청소년 보호법 시행령 | 시행령 | 일부개정안 | 「청소년 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 고압가스 안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「고압가스 안전관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 금융회사의 지배구조에 관한 법률 시행령 | 시행령 | 일부개정안 | 「금융회사의 지배구조에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 기술의 이전 및 사업화 촉진에 관한 법률 | 법률 | 전부개정안 | 「기술의 이전 및 사업화 촉진에 관한 법률」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 무형문화재 보전 및 진흥에 관한 법률 시행령 | 시행령 | 일부개정안 | 「무형문화재 보전 및 진흥에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 철도안전법 시행규칙 | 시행규칙 | 일부개정안 | 「철도안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 문화재보호법 시행령 | 시행령 | 일부개정안 | 「문화재보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 대도시권 광역교통 관리에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「대도시권 광역교통 관리에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 문화재보호법 시행규칙 | 시행규칙 | 일부개정안 | 「문화재보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 약사법 시행규칙 | 시행규칙 | 일부개정안 | 「약사법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 동물보호법 시행령 | 시행령 | 일부개정안 | 「동물보호법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 담배사업법 시행규칙 | 시행규칙 | 일부개정안 | 「담배사업법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 지방세법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 지방세기본법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세기본법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 지방세징수법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세징수법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 개별소비세법 시행규칙 | 시행규칙 | 일부개정안 | 「개별소비세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 과세자료의 제출 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「과세자료의 제출 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 부가가치세법 시행규칙 | 시행규칙 | 일부개정안 | 「부가가치세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 종합부동산세법 시행규칙 | 시행규칙 | 일부개정안 | 「종합부동산세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 상속세 및 증여세법 시행규칙 | 시행규칙 | 일부개정안 | 「상속세 및 증여세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 소득세법 시행규칙 | 시행규칙 | 일부개정안 | 「소득세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 국제조세조정에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국제조세조정에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「조세특례제한법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 국세징수법 시행규칙 | 시행규칙 | 일부개정안 | 「국세징수법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-03-13 | 2소위원회 | 국세기본법 시행규칙 | 시행규칙 | 일부개정안 | 「국세기본법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 산림자원의 조성 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「산림자원의 조성 및 관리에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 산림자원의 조성 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산림자원의 조성 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 민간임대주택에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「민간임대주택에 관한 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 민간임대주택에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「민간임대주택에 관한 특별법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 검사의 국선변호사 선정 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「검사의 국선변호사 선정 등에 관한 규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 환경분야 시험·검사 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「환경분야 시험·검사 등에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 농촌진흥법 시행령 | 시행령 | 일부개정안 | 「농촌진흥법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 화장품법 시행규칙 | 시행규칙 | 일부개정안 | 「화장품법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 초·중등교육법 시행령 | 시행령 | 일부개정안 | 「초·중등교육법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 유어장의 지정 및 관리에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「유어장의 지정 및 관리에 관한 규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 디자인보호법 시행규칙 | 시행규칙 | 일부개정안 | 「디자인보호법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 상표법 시행규칙 | 시행규칙 | 일부개정안 | 「상표법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 특허법 시행규칙 | 시행규칙 | 일부개정안 | 「특허법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 수도용 자재와 제품의 위생안전기준 인증 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「수도용 자재와 제품의 위생안전기준 인증 등에 관한 규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 특정 금융거래정보의 보고 및 이용 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「특정 금융거래정보의 보고 및 이용 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 국민 평생 직업능력 개발법 시행령 | 시행령 | 일부개정안 | 「국민 평생 직업능력 개발법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 고등교육법 시행령 | 시행령 | 일부개정안 | 「고등교육법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 전기사업법 시행규칙 | 시행규칙 | 일부개정안 | 「전기사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 주택도시기금법 시행령 | 시행령 | 일부개정안 | 「주택도시기금법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 수도법 시행규칙 | 시행규칙 | 일부개정안 | 「수도법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 수도법 시행령 | 시행령 | 일부개정안 | 「수도법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 보훈기금법 시행규칙 | 시행규칙 | 제정안 | 「보훈기금법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 자연유산의 보존 및 활용에 관한 법률 시행령 | 시행령 | 일부개정안 | 「자연유산의 보존 및 활용에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 항공기등록규칙 | 훈령·고시·규칙 | 일부개정안 | 「항공기등록규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 공공주택 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「공공주택 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 공공주택 특별법 시행령 | 시행령 | 일부개정안 | 「공공주택 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 상표법 시행규칙 | 시행규칙 | 일부개정안 | 「상표법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 지방세법 시행령 | 시행령 | 일부개정안 | 「지방세법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 지방세징수법 시행령 | 시행령 | 일부개정안 | 「지방세징수법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 주민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「주민등록법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 재건축초과이익 환수에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「재건축초과이익 환수에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 재건축초과이익 환수에 관한 법률 시행령 | 시행령 | 일부개정안 | 「재건축초과이익 환수에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 녹색건축물 조성 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「녹색건축물 조성 지원법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-28 | 2소위원회 | 인구감소지역 지원 특별법 시행령 | 시행령 | 일부개정안 | 「인구감소지역 지원 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 내수면 가두리양식어업 면허기간 연장불허에 따른 손실보상에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「내수면 가두리양식어업 면허기간 연장불허에 따른 손실보상에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 내수면 가두리양식어업 면허기간 연장불허에 따른 손실보상에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「내수면 가두리양식어업 면허기간 연장불허에 따른 손실보상에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 분산에너지 활성화 특별법 시행령 | 시행령 | 제정안 | 「분산에너지 활성화 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 도시가스사업법 시행규칙 | 시행규칙 | 일부개정안 | 「도시가스사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 기업활력 제고를 위한 특별법 시행령 | 시행령 | 일부개정안 | 「기업활력 제고를 위한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 전파법 시행령 | 시행령 | 일부개정안 | 「전파법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행령 | 시행령 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 장애아동 복지지원법 시행령 | 시행령 | 일부개정안 | 「장애아동 복지지원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 분산에너지활성화 특별법 시행규칙 | 시행규칙 | 제정안 | 「분산에너지활성화 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 전기통신사업법 시행령 | 시행령 | 일부개정안 | 「전기통신사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 형의 실효 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「형의 실효 등에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 수의사법 시행령 | 시행령 | 일부개정안 | 「수의사법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 가상자산 이용자 보호 등에 관한 법률 시행령 | 시행령 | 제정안 | 「가상자산 이용자 보호 등에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 수의사법 시행규칙 | 시행규칙 | 일부개정안 | 「수의사법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 위험물철도운송규칙 | 훈령·고시·규칙 | 일부개정안 | 「위험물철도운송규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 환경오염피해 배상책임 및 구제에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「환경오염피해 배상책임 및 구제에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 환경오염피해 배상책임 및 구제에 관한 법률 시행령 | 시행령 | 일부개정안 | 「환경오염피해 배상책임 및 구제에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 도심융합특구 조성 및 육성에 관한 특별법 시행규칙 | 시행규칙 | 제정안 | 「도심융합특구 조성 및 육성에 관한 특별법 시행규칙」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 도심융합특구 조성 및 육성에 관한 특별법 시행령 | 시행령 | 제정안 | 「도심융합특구 조성 및 육성에 관한 특별법 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 순환경제사회 전환 촉진법 시행령 | 시행령 | 일부개정안 | 「순환경제사회 전환 촉진법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 항공보안법 시행령 | 시행령 | 일부개정안 | 「항공보안법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 지방세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세특례제한법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 주민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「주민등록법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 소하천정비법 시행규칙 | 시행규칙 | 일부개정안 | 「소하천정비법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-02-14 | 2소위원회 | 교원의 지위 향상 및 교육활동 보호를 위한 특별법 시행령 | 시행령 | 일부개정안 | 「교원의 지위 향상 및 교육활동 보호를 위한 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 초·중등교육법 시행규칙 | 시행규칙 | 일부개정안 | 「초·중등교육법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 외국인 투자촉진법 시행령 | 시행령 | 일부개정안 | 「외국인 투자촉진법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 고독사 예방 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「고독사 예방 및 관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 고용정책기본법 시행령 | 시행령 | 일부개정안 | 「고용정책기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 후천성면역결핍증예방법 시행규칙 | 시행규칙 | 일부개정안 | 「후천성면역결핍증예방법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 관광진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「관광진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 장애인복지법 | 법률 | 일부개정안 | 「장애인복지법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 건설폐기물의 재활용촉진에 관한 법률 시행령 | 시행령 | 일부개정안 | 「건설폐기물의 재활용촉진에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 국민체육진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「국민체육진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 국민체육진흥법 시행령 | 시행령 | 일부개정안 | 「국민체육진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 예술인 복지법 시행규칙 | 시행규칙 | 일부개정안 | 「예술인 복지법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 학교폭력예방 및 대책에 관한 법률 시행령 | 시행령 | 일부개정안 | 「학교폭력예방 및 대책에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 자연유산의 보존 및 활용에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「자연유산의 보존 및 활용에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 자연유산의 보존 및 활용에 관한 법률 시행령 | 시행령 | 제정안 | 「자연유산의 보존 및 활용에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 방첩업무 규정 | 훈령·고시·규칙 | 일부개정안 | 「방첩업무 규정」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 관세법 시행령 | 시행령 | 일부개정안 | 「관세법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 산업안전보건법 시행규칙 | 시행규칙 | 일부개정안 | 「산업안전보건법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 고용보험법 시행령 | 시행령 | 일부개정안 | 「고용보험법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-24 | 2소위원회 | 저작권법 시행령 | 시행령 | 일부개정안 | 「저작권법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 인신매매 등 방지 및 피해자보호 등에 관한 법률 | 법률 | 일부개정안 | 「인신매매 등 방지 및 피해자보호 등에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 아동·청소년의 성보호에 관한 법률 | 법률 | 일부개정안 | 「아동·청소년의 성보호에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 5·18민주유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「5·18민주유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 고엽제 후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「고엽제 후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 독립유공자 예우에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「독립유공자 예우에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 공공주택 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「공공주택 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 다중이용업소의 안전관리에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「다중이용업소의 안전관리에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 공간정보의 구축 및 관리 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공간정보의 구축 및 관리 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 건축법 시행규칙 | 시행규칙 | 일부개정안 | 「건축법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 관광진흥법 시행령 | 시행령 | 일부개정안 | 「관광진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 부가가치세법 시행령 | 시행령 | 일부개정안 | 「부가가치세법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 국세징수법 시행령 | 시행령 | 일부개정안 | 「국세징수법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 지방회계법 시행령 | 시행령 | 일부개정안 | 「지방회계법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 군인 재해보상법 시행규칙 | 시행규칙 | 일부개정안 | 「군인 재해보상법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2024-01-10 | 2소위원회 | 군인 재해보상법 시행령 | 시행령 | 일부개정안 | 「군인 재해보상법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 특정중대범죄 피의자 등 신상정보 공개에 관한 법률 시행령 | 시행령 | 제정안 | 「특정중대범죄 피의자 등 신상정보 공개에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | - | 기타 | 일부개정안 | 개인정보 보호법 시행령 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행령 | 시행령 | 일부개정안 | 「사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 국적법 시행규칙 | 시행규칙 | 일부개정안 | 「국적법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 장애인복지법 시행령 | 시행령 | 일부개정안 | 「장애인복지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 건설기술 진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「건설기술 진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 야생생물 보호 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「야생생물 보호 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 가덕도신공항건설공단법 시행령 | 시행령 | 제정안 | 「가덕도신공항건설공단법 시행령」 제정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 주민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「주민등록법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 주택공급에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「주택공급에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | 「도로교통법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 군인연금법 시행규칙 | 시행규칙 | 일부개정안 | 「군인연금법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 군인연금법 시행령 | 시행령 | 일부개정안 | 「군인연금법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 해양환경관리법 시행규칙 | 시행규칙 | 일부개정안 | 「해양환경관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 해양폐기물 및 해양오염퇴적물 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「해양폐기물 및 해양오염퇴적물 관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 비상사태등에 대비하기 위한 해운 및 항만 기능유지에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「비상사태등에 대비하기 위한 해운 및 항만 기능유지에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 양식산업발전법 시행령 | 시행령 | 일부개정안 | 「양식산업발전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-27 | 2소위원회 | 의약품 등의 안전에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「의약품 등의 안전에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | - | 기타 | 일부개정안 | 농어업경영체 육성 및 지원에 관한 법률 시행규칙 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 보훈기금법 시행령 | 시행령 | 일부개정안 | 「보훈기금법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 식물방역법 시행규칙 | 시행규칙 | 일부개정안 | 「식물방역법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 식물방역법 시행령 | 시행령 | 일부개정안 | 「식물방역법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 여권법 시행규칙 | 시행규칙 | 일부개정안 | 「여권법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 소득세법 시행규칙 | 시행규칙 | 일부개정안 | 「소득세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-12-13 | 2소위원회 | 여권법 시행령 | 시행령 | 일부개정안 | 「여권법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 제대군인지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「제대군인지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 농어업고용인력 지원 특별법 시행령 | 시행령 | 제정안 | 「농어업고용인력 지원 특별법 시행령」제정안에 대한 개인정보 침해요인 평가 결과
2023-12-13 | 2소위원회 | 여수ㆍ순천 10ㆍ19사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「여수ㆍ순천 10ㆍ19사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-12-13 | 2소위원회 | 무인도서의 보전 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「무인도서의 보전 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 수산업법 시행령 | 시행령 | 일부개정안 | 「수산업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 예술인 복지법 시행령 | 시행령 | 일부개정안 | 「예술인 복지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 한국해양진흥공사법 시행령 | 시행령 | 일부개정안 | 「한국해양진흥공사법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 건설폐기물의 재활용촉진에 관한 법률 시행령 | 시행령 | 일부개정안 | 「건설폐기물의 재활용촉진에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 평생교육법 시행령 | 시행령 | 일부개정안 | 「평생교육법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 폐기물처리시설 설치촉진 및 주변지역지원 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「폐기물처리시설 설치촉진 및 주변지역지원 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-12-13 | 2소위원회 | 공공주택 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「공공주택 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 소재·부품·장비산업 경쟁력강화를 위한 특별조치법 시행규칙 | 시행규칙 | 일부개정안 | 「소재·부품·장비산업 경쟁력강화를 위한 특별조치법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 해외이주법 시행규칙 | 시행규칙 | 일부개정안 | 「해외이주법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 해외이주법 시행령 | 시행령 | 일부개정안 | 「해외이주법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 지방행정제재ㆍ부과금의 징수 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「지방행정제재ㆍ부과금의 징수 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 보험업법 시행령 | 시행령 | 일부개정안 | 「보험업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 자원의 절약과 재활용촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「자원의 절약과 재활용촉진에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 실내공기질 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「실내공기질 관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 환경보건법 시행규칙 | 시행규칙 | 일부개정안 | 「환경보건법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 대기환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「대기환경보전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 | 법률 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-11-22 | 2소위원회 | 5ㆍ18민주유공자예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「5ㆍ18민주유공자예우 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-11-22 | 2소위원회 | 식품ㆍ의약품 등의 안전기술 진흥법 시행규칙 | 시행규칙 | 전부개정안 | 「식품ㆍ의약품 등의 안전기술 진흥법 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 | 법률 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-11-22 | 2소위원회 | 항만운송사업법 시행령 | 시행령 | 일부개정안 | 「항만운송사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-11-22 | 2소위원회 | 저작권법 시행규칙 | 시행규칙 | 일부개정안 | 「저작권법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 공무원의 노동조합 설립 및 운영 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공무원의 노동조합 설립 및 운영 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 노동조합 및 노동관계조정법 시행규칙 | 시행규칙 | 일부개정안 | 「노동조합 및 노동관계조정법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-22 | 2소위원회 | 항만운송사업법 시행규칙 | 시행규칙 | 일부개정안 | 「항만운송사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 산업집적활성화 및 공장설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「산업집적활성화 및 공장설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 민방위기본법 시행규칙 | 시행규칙 | 일부개정안 | 「민방위기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 기초연금법 시행령 | 시행령 | 일부개정안 | 「기초연금법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 산림문화·휴양에 관한 법률 시행령 | 시행령 | 일부개정안 | 「산림문화·휴양에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 구직자 취업촉진 및 생활안정지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「구직자 취업촉진 및 생활안정지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 공동주택관리법 시행규칙 | 시행규칙 | 일부개정안 | 「공동주택관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 공동주택관리법 시행령 | 시행령 | 일부개정안 | 「공동주택관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 생활물류서비스산업발전법 시행령 | 시행령 | 일부개정안 | 「생활물류서비스산업발전법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 구직자 취업촉진 및 생활안정지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「구직자 취업촉진 및 생활안정지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 병역법 시행규칙 | 시행규칙 | 일부개정안 | 「병역법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 원자력안전법 시행규칙 | 시행규칙 | 일부개정안 | 「원자력안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-11-08 | 2소위원회 | 대한민국재향군인회 수익사업에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「대한민국재향군인회 수익사업에 관한 규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-25 | 2소위원회 | 고등교육법 시행령 | 시행령 | 일부개정안 | 「고등교육법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 전자장치 부착 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「전자장치 부착 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 감염병의 예방 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「감염병의 예방 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 상법 | 법률 | 일부개정안 | 「상법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | 「도로교통법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 해사안전법 시행규칙 | 시행규칙 | 전부개정안 | 「해사안전법 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 전자장치 부착 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「전자장치 부착 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 출입국관리법 시행규칙 | 시행규칙 | 일부개정안 | 「출입국관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 재외동포의 출입국과 법적 지위에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「재외동포의 출입국과 법적 지위에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 도로교통법 시행령 | 시행령 | 일부개정안 | 「도로교통법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 공무원 인사기록ㆍ통계 및 인사사무 처리 규정 | 훈령·고시·규칙 | 일부개정안 | 「공무원 인사기록ㆍ통계 및 인사사무 처리 규정」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 어린이안전관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「어린이안전관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 공무원임용시험령 | 기타 | 일부개정안 | 「공무원임용시험령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 소재ㆍ부품ㆍ장비산업 경쟁력강화를 위한 특별조치법 시행규칙 | 시행규칙 | 일부개정안 | 「소재ㆍ부품ㆍ장비산업 경쟁력강화를 위한 특별조치법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 국민연금법 시행규칙 | 시행규칙 | 일부개정안 | 「국민연금법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 국민연금법 시행령 | 시행령 | 일부개정안 | 「국민연금법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 지방공무원법 | 법률 | 일부개정안 | 「지방공무원법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 화학물질의 등록 및 평가 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「화학물질의 등록 및 평가 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 환경오염시설의 통합관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「환경오염시설의 통합관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 마약류 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「마약류 관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 도시 및 주거환경정비법 시행규칙 | 시행규칙 | 일부개정안 | 「도시 및 주거환경정비법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 도시 및 주거환경정비법 시행령 | 시행령 | 일부개정안 | 「도시 및 주거환경정비법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 30개월 이상 복무한 상등병 만기전역자의 특별진급을 위한 특별법 시행령 | 시행령 | 일부개정안 | 「30개월 이상 복무한 상등병 만기전역자의 특별진급을 위한 특별법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-25 | 2소위원회 | 대규모유통업에서의 거래 공정화에 관한 법률 시행령 | 시행령 | 일부개정안 | 「대규모유통업에서의 거래 공정화에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-25 | 2소위원회 | 성폭력 방지 및 피해자보호 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「성폭력 방지 및 피해자보호 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-25 | 2소위원회 | 대리점거래의 공정화에 관한 법률 시행령 | 시행령 | 일부개정안 | 「대리점거래의 공정화에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-25 | 2소위원회 | 통계법 시행령 | 시행령 | 일부개정안 | 「통계법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 벤처투자 촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「벤처투자 촉진에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 벤처기업육성에 관한 특별조치법 시행령 | 시행령 | 일부개정안 | 「벤처기업육성에 관한 특별조치법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 제대군인지원에 관한 법률 | 법률 | 일부개정안 | 「제대군인지원에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 | 법률 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 군용비행장·군사격장 소음 방지 및 피해 보상에 관한 법률 시행령 | 시행령 | 일부개정안 | 「군용비행장·군사격장 소음 방지 및 피해 보상에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 | 법률 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 전자상거래 등에서의 소비자보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「전자상거래 등에서의 소비자보호에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 평화경제특별구역의 지정 및 운영에 관한 법률 시행령 | 시행령 | 제정안 | 「평화경제특별구역의 지정 및 운영에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 소비자기본법 시행령 | 시행령 | 일부개정안 | 「소비자기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 독점규제 및 공정거래에 관한 법률 시행령 | 시행령 | 일부개정안 | 「독점규제 및 공정거래에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 약관의 규제에 관한 법률 시행령 | 시행령 | 일부개정안 | 「약관의 규제에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법 | 법률 | 일부개정안 | 「제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 엔지니어링산업진흥법 시행령 | 시행령 | 일부개정안 | 「엔지니어링산업진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 공직자윤리법 시행규칙 | 시행규칙 | 일부개정안 | 「공직자윤리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 공직자윤리법 시행령 | 시행령 | 일부개정안 | 「공직자윤리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2023-10-11 | 2소위원회 | 고압가스 안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「고압가스 안전관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 재난 및 안전관리 기본법 | 법률 | 일부개정안 | 「재난 및 안전관리 기본법」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 폐기물관리법 시행규칙 | 시행규칙 | 일부개정안 | 「폐기물관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 어린이 식생활안전관리 특별법 시행령 | 시행령 | 일부개정안 | 「어린이 식생활안전관리 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 야생생물 보호 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「야생생물 보호 및 관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 식품위생 분야 종사자의 건강진단 규칙 | 훈령·고시·규칙 | 일부개정안 | 「식품위생 분야 종사자의 건강진단 규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 순환경제사회 전환 촉진법 시행령 | 시행령 | 전부개정안 | 「순환경제사회 전환 촉진법 시행령」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 순환경제사회 전환 촉진법 시행규칙 | 시행규칙 | 전부개정안 | 「순환경제사회 전환 촉진법 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 부동산 거래신고 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「부동산 거래신고 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 물류정책기본법 시행규칙 | 시행규칙 | 일부개정안 | 「물류정책기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 노인ㆍ장애인 등 사회복지시설의 급식안전 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「노인ㆍ장애인 등 사회복지시설의 급식안전 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 채무자 회생 및 파산에 관한 법률 | 법률 | 일부개정안 | 「채무자 회생 및 파산에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 국제항해선박 및 항만시설의 보안에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국제항해선박 및 항만시설의 보안에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 결핵예방법 시행규칙 | 시행규칙 | 일부개정안 | 「결핵예방법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-10-11 | 2소위원회 | 결핵예방법 시행령 | 시행령 | 일부개정안 | 「결핵예방법 시행령」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 동물원 및 수족관의 관리에 관한 법률 시행령 | 시행령 | 전부개정안 | 「동물원 및 수족관의 관리에 관한 법률 시행령」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 해양경찰수사규칙 | 훈령·고시·규칙 | 일부개정안 | 「해양경찰수사규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 직업안정법 시행규칙 | 시행규칙 | 일부개정안 | 「직업안정법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 직업안정법 시행령 | 시행령 | 일부개정안 | 「직업안정법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 근로자퇴직급여 보장법 시행령 | 시행령 | 일부개정안 | 「근로자퇴직급여 보장법 시행령」 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 청소년복지 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「청소년복지 지원법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-10-11 | 2소위원회 | 동물원 및 수족관의 관리에 관한 법률 시행규칙 | 시행규칙 | 전부개정안 | 「동물원 및 수족관의 관리에 관한 법률 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-09-19 | 위원회 | 국가공무원법 | 법률 | 일부개정안 | ｢국가공무원법｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-09-19 | 위원회 | 연구개발특구의 육성에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | ｢연구개발특구의 육성에 관한 특별법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가에 관한 건
2023-09-19 | 위원회 | 검사와 사법경찰관의 상호협력과 일반적 수사준칙에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | 「검사와 사법경찰관의 상호협력과 일반적 수사준칙에 관한 규정」 일부개정안에 대한 개인정보 침해요인 평가
2023-08-03 | 2소위원회 | 고등교육기관의 평가ㆍ인증 등에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | 「고등교육기관의 평가ㆍ인증 등에 관한 규정」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-08-03 | 2소위원회 | 국민건강보험법 시행규칙 | 시행규칙 | 일부개정안 | 「국민건강보험법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-08-03 | 2소위원회 | 금융소비자 보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「금융소비자 보호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-08-03 | 2소위원회 | 재난관리자원의 관리 등에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「재난관리자원의 관리 등에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가 결과
2023-08-03 | 2소위원회 | 재난관리자원의 관리 등에 관한 법률 시행령 | 시행령 | 제정안 | 「재난관리자원의 관리 등에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가 결과
2023-08-03 | 2소위원회 | 새마을금고법 시행령 | 시행령 | 일부개정안 | 「새마을금고법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 농어업재해보험법 시행령 | 시행령 | 일부개정안 | 「농어업재해보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 종자산업법 시행규칙 | 시행규칙 | 일부개정안 | 「종자산업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 한국주택금융공사법 시행령 | 시행령 | 일부개정안 | 「한국주택금융공사법 시행령」일부개정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 장기 등 이식에 관한 법률 시행령 | 시행령 | 일부개정안 | 「장기 등 이식에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 디지털 인사관리규정 (대통령령) | 훈령·고시·규칙 | 제정안 | 「디지털 인사관리규정 (대통령령)」 제정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 치매관리법 시행령 | 시행령 | 일부개정안 | 「치매관리법 시행령」일부개정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 지능형로봇 개발 및 보급 촉진법 시행규칙 | 시행규칙 | 일부개정안 | 「지능형로봇 개발 및 보급 촉진법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 공무원 징계령 | 기타 | 일부개정안 | 「공무원 징계령」일부개정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행령 | 시행령 | 일부개정안 | 「사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 장애인 건강권 및 의료접근성 보장에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「장애인 건강권 및 의료접근성 보장에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가
2023-07-26 | 2소위원회 | 소득세법 | 법률 | 일부개정안 | 「소득세법」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 국세징수법 | 법률 | 일부개정안 | 「국세징수법」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 관세법 | 법률 | 일부개정안 | 「관세법」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 전자상거래 등에서의 소비자보호에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「전자상거래 등에서의 소비자보호에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 안보범죄등 대응업무규정 | 훈령·고시·규칙 | 제정안 | 「안보범죄등 대응업무규정」 제정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 의료기기법 시행규칙 | 시행규칙 | 일부개정안 | 「의료기기법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 의약품 등의 안전에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「의약품 등의 안전에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 변호사시험법 시행규칙 | 시행규칙 | 일부개정안 | 「변호사시험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 민간임대주택에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「민간임대주택에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 기상법 시행규칙 | 시행규칙 | 일부개정안 | 「기상법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 민간임대주택에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「민간임대주택에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 국가통합교통체계효율화법 시행규칙 | 시행규칙 | 일부개정안 | 「국가통합교통체계효율화법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 감염병의 예방 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「감염병의 예방 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 산림기술 진흥 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산림기술 진흥 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 감염병의 예방 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「감염병의 예방 및 관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 지하안전관리에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「지하안전관리에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 지역보건법 시행령 | 시행령 | 일부개정안 | 「지역보건법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 자동차관리법 시행령 | 시행령 | 일부개정안 | 「자동차관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-26 | 2소위원회 | 전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 전통시장 및 상점가 육성을 위한 특별법 시행령 | 시행령 | 일부개정안 | 「전통시장 및 상점가 육성을 위한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | 「항공안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 공간정보의 구축 및 관리 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공간정보의 구축 및 관리 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 수입식품안전관리 특별법 시행령 | 시행령 | 일부개정안 | 「수입식품안전관리 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 생명윤리 및 안전에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「생명윤리 및 안전에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 우체국예금ㆍ보험에 관한 법률 시행령 | 시행령 | 일부개정안 | 「우체국예금ㆍ보험에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 사회보장급여의 이용·제공 및 수급권자 발굴에 관한 법률 시행령 | 시행령 | 일부개정안 | 「사회보장급여의 이용·제공 및 수급권자 발굴에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 공중위생관리법 시행규칙 | 시행규칙 | 일부개정안 | 「공중위생관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-12 | 2소위원회 | 할부거래에 관한 법률 시행령 | 시행령 | 일부개정안 | 「할부거래에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-07-07 | 2소위원회 | 검찰사건사무규칙 | 훈령·고시·규칙 | 일부개정안 | 「검찰사건사무규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 의료급여법 시행규칙 | 시행규칙 | 일부개정안 | 「의료급여법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 의료급여법 시행령 | 시행령 | 일부개정안 | 「의료급여법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 노인장기요양보험법 시행령 | 시행령 | 일부개정안 | 「노인장기요양보험법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 개인정보 보호법 시행령 | 시행령 | 일부개정안 | 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 벤처투자 촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「벤처투자 촉진에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 벤처투자 촉진에 관한 법률 시행령 | 시행령 | 일부개정안 | 「벤처투자 촉진에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 관광진흥법 시행령 | 시행령 | 일부개정안 | 「관광진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 부동산개발업의 관리 및 육성에 관한 법률 시행령 | 시행령 | 일부개정안 | 「부동산개발업의 관리 및 육성에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 유기성 폐자원을 활용한 바이오가스의 생산 및 이용 촉진법 시행규칙 | 시행규칙 | 제정안 | 「유기성 폐자원을 활용한 바이오가스의 생산 및 이용 촉진법 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 대구경북통합신공항 건설을 위한 특별법 시행규칙 | 시행규칙 | 제정안 | 「대구경북통합신공항 건설을 위한 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 대구경북통합신공항 건설을 위한 특별법 시행령 | 시행령 | 제정안 | 「대구경북통합신공항 건설을 위한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 재산형 등에 관한 검찰 집행사무규칙 | 훈령·고시·규칙 | 일부개정안 | 「재산형 등에 관한 검찰 집행사무규칙 」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-27 | 2소위원회 | 자유형 등에 관한 검찰 집행사무규칙 | 훈령·고시·규칙 | 일부개정안 | 「자유형 등에 관한 검찰 집행사무규칙 」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 사회보장기본법 시행령 | 시행령 | 일부개정안 | 「사회보장기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 호스피스ㆍ완화의료 및 임종과정에 있는 환자의 연명의료결정에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「호스피스ㆍ완화의료 및 임종과정에 있는 환자의 연명의료결정에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 공무원 재해보상법 | 법률 | 일부개정안 | 「공무원 재해보상법」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 부가가치세법 시행규칙 | 시행규칙 | 일부개정안 | 「부가가치세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 소득세법 시행규칙 | 시행규칙 | 일부개정안 | 「소득세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 법인세법 시행규칙 | 시행규칙 | 일부개정안 | 「법인세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | - | 기타 | 일부개정안 | 역사문화권 정비 등에 관한 특별법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 독립유공자예우에 관한 법률 시행령 | 시행령 | 일부개정안 | 「독립유공자예우에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 5·18민주유공자 예우에 관한 법률 시행령 | 시행령 | 일부개정안 | 「5·18민주유공자 예우에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 참전유공자예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「참전유공자예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 국방전직교육원법 시행령 | 시행령 | 일부개정안 | 「국방전직교육원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 국립묘지의 설치 및 운영에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국립묘지의 설치 및 운영에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 체외진단의료기기법 시행규칙 | 시행규칙 | 일부개정안 | 「체외진단의료기기법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 전세사기피해자 지원 및 주거안정에 관한 특별법 시행령 | 시행령 | 제정안 | 「전세사기피해자 지원 및 주거안정에 관한 특별법 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 자원의 절약과 재활용촉진에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「자원의 절약과 재활용촉진에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 모빌리티 혁신 및 활성화 지원에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「모빌리티 혁신 및 활성화 지원에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 모빌리티 혁신 및 활성화 지원에 관한 법률 시행령 | 시행령 | 제정안 | 「모빌리티 혁신 및 활성화 지원에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 아동ㆍ청소년의 성보호에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「아동ㆍ청소년의 성보호에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 아동ㆍ청소년의 성보호에 관한 법률 시행령 | 시행령 | 일부개정안 | 「아동ㆍ청소년의 성보호에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 출입국관리법 시행규칙 | 시행규칙 | 일부개정안 | 「출입국관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 남북 주민 사이의 가족관계와 상속 등에 관한 특례법 | 법률 | 일부개정안 | 「남북 주민 사이의 가족관계와 상속 등에 관한 특례법」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-14 | 2소위원회 | 검찰보존사무규칙 | 훈령·고시·규칙 | 일부개정안 | 「검찰보존사무규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-06-12 | 2소위원회 | 초중등교육법시행령 | 시행령 | 일부개정안 | 「초중등교육법시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | - | 기타 | 일부개정안 | 공무원임용시험령 일부개정안에 대한 개인정보 침해요인 평가결과
2023-05-26 | 2소위원회 | 주민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「주민등록법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 전기용품 및 생활용품 안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「전기용품 및 생활용품 안전관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 지방세법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 5ㆍ18민주화운동 관련자 보상 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「5ㆍ18민주화운동 관련자 보상 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 산업안전보건법 시행령 | 시행령 | 일부개정안 | 「산업안전보건법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 장애인 고용촉진 및 직업재활법 시행규칙 | 시행규칙 | 일부개정안 | ｢장애인 고용촉진 및 직업재활법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 데이터기반행정 활성화에 관한 법률 | 법률 | 일부개정안 | 「데이터기반행정 활성화에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 지하수법 시행규칙 | 시행규칙 | 일부개정안 | 「지하수법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 부동산 거래신고 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「부동산 거래신고 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 부동산 거래신고 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「부동산 거래신고 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙 | 시행규칙 | 제정안 | 「전세사기피해자 지원 및 주거안정에 관한 특별법 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 의료기기 유통 및 판매질서 유지에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「의료기기 유통 및 판매질서 유지에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 지속가능한 연근해어업 발전법 | 법률 | 제정안 | 「지속가능한 연근해어업 발전법」 제정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 진술조력인의 선정 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「진술조력인의 선정 등에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-26 | 2소위원회 | 출입국관리법 | 법률 | 일부개정안 | 「출입국관리법」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-05-10 | 2소위원회 | 통계법 시행령 | 시행령 | 일부개정안 | 「통계법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 독립유공자예우에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「독립유공자예우에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | - | 기타 | 일부개정안 | 소방기본법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | - | 기타 | 일부개정안 | 동물용 의약품등 취급규칙 일부개정안에 대한 개인정보 침해요인 평가
2023-05-10 | 2소위원회 | 고향사랑 기부금에 관한 법률 시행령 | 시행령 | 일부개정안 | 「고향사랑 기부금에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2023-05-10 | 2소위원회 | 전문약사의 자격 인정 등에 관한 규칙 | 훈령·고시·규칙 | 제정안 | 「전문약사의 자격 인정 등에 관한 규칙」 제정안에 대한 개인정보 침해요인 평가
2023-05-10 | 2소위원회 | 공직자 등의 병역사항 신고 및 공개에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공직자 등의 병역사항 신고 및 공개에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 위생용품 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「위생용품 관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 건축법 시행규칙 | 시행규칙 | 일부개정안 | 「건축법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 국민 평생 직업능력 개발법 시행규칙 | 시행규칙 | 일부개정안 | 「국민 평생 직업능력 개발법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 국민 평생 직업능력 개발법 시행령 | 시행령 | 일부개정안 | 「국민 평생 직업능력 개발법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 수산업법시행규칙 | 시행규칙 | 일부개정안 | 「수산업법시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-05-10 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 재난적의료비 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「재난적의료비 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 공직후보자 등에 관한 정보의 수집 및 관리에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | 「공직후보자 등에 관한 정보의 수집 및 관리에 관한 규정」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 부동산등기 특별조치법에 의한 과태료부과·징수규칙 | 훈령·고시·규칙 | 일부개정안 | 「부동산등기 특별조치법에 의한 과태료부과·징수규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 심뇌혈관질환의 예방 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「심뇌혈관질환의 예방 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가결과
2023-04-26 | 2소위원회 | 심뇌혈관질환의 예방 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「심뇌혈관질환의 예방 및 관리에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가결과
2023-04-26 | 2소위원회 | 제대군인지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「제대군인지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 문화재보호법 시행규칙 | 시행규칙 | 일부개정안 | 「문화재보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 산림자원의 조성 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산림자원의 조성 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 산림자원의 조성 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「산림자원의 조성 및 관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 변리사법 시행규칙 | 시행규칙 | 일부개정안 | 「변리사법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 새만금사업 추진 및 지원에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「새만금사업 추진 및 지원에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 새만금사업 추진 및 지원에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「새만금사업 추진 및 지원에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 스토킹방지 및 피해자보호 등에 관한 법률 시행령 | 시행령 | 제정안 | 「스토킹방지 및 피해자보호 등에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 자동차관리법 시행령 | 시행령 | 일부개정안 | 「자동차관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 국민연금법 시행규칙 | 시행규칙 | 일부개정안 | ｢국민연금법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 국민연금법 시행령 | 시행령 | 일부개정안 | 「국민연금법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 의료법 시행규칙 | 시행규칙 | 일부개정안 | 「의료법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 해양환경관리법 시행규칙. | 시행규칙 | 일부개정안 | 「해양환경관리법 시행규칙.」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 선박안전법 시행규칙 | 시행규칙 | 일부개정안 | 「선박안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 주민등록법 | 법률 | 일부개정안 | 「주민등록법」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-26 | 2소위원회 | 양잠산업법 시행령 | 시행령 | 일부개정안 | 「양잠산업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 농수산물 품질관리법 시행규칙 | 시행규칙 | 일부개정안 | 「농수산물 품질관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 농수산물의 원산지 표시 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「농수산물의 원산지 표시 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 중소기업 스마트제조혁신 촉진에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「중소기업 스마트제조혁신 촉진에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가결과
2023-04-12 | 2소위원회 | 중소기업협동조합법 시행령 | 시행령 | 일부개정안 | 「중소기업협동조합법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-04-12 | 2소위원회 | 대기환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「대기환경보전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-04-12 | 2소위원회 | 건설기계관리법 시행규칙 | 시행규칙 | 일부개정안 | 「건설기계관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-04-12 | 2소위원회 | 야생생물 보호 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「야생생물 보호 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 산림복지 진흥에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산림복지 진흥에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 산림복지 진흥에 관한 법률 시행령 | 시행령 | 일부개정안 | 「산림복지 진흥에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 산림보호법 시행규칙 | 시행규칙 | 일부개정안 | 「산림보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 산림보호법 시행령 | 시행령 | 일부개정안 | 「산림보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 재난적의료비 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「재난적의료비 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 형의 실효 등에 관한 법률 | 법률 | 일부개정안 | 「형의 실효 등에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 소방시설공사업법 시행규칙 | 시행규칙 | 일부개정안 | 「소방시설공사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 송ㆍ변전설비 주변지역의 보상 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「송ㆍ변전설비 주변지역의 보상 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 출입국관리법 시행규칙 | 시행규칙 | 일부개정안 | 「출입국관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 출입국관리법 시행령 | 시행령 | 일부개정안 | 「출입국관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 고용보험법 시행령 | 시행령 | 일부개정안 | 「고용보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | ｢고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 산업재해보상보험법 시행령 | 시행령 | 일부개정안 | 「산업재해보상보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 한국교직원공제회법 | 법률 | 일부개정안 | 「한국교직원공제회법」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 해수욕장의 운영 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「해수욕장의 운영 및 관리에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-04-12 | 2소위원회 | 해수욕장의 운영 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「해수욕장의 운영 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 화장품법 시행규칙 | 시행규칙 | 일부개정안 | 「화장품법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 식품위생법 시행령 | 시행령 | 일부개정안 | 「식품위생법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 미세먼지 저감 및 관리에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「미세먼지 저감 및 관리에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | 환경정책기본법 시행령 | 시행령 | 일부개정안 | 「환경정책기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | 잔류성오염물질 관리법 시행규칙 | 시행규칙 | 일부개정안 | 「잔류성오염물질 관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | 잔류성오염물질 관리법 시행령 | 시행령 | 일부개정안 | 「잔류성오염물질 관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | 지방세징수법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세징수법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 감염병의 예방 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「감염병의 예방 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 감염병의 예방 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「감염병의 예방 및 관리에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 자율방범대 설치 및 운영에 관한 법률 시행령 | 시행령 | 제정안 | 「자율방범대 설치 및 운영에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 자율방범대 설치 및 운영에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「자율방범대 설치 및 운영에 관한 법률 시행규칙」제정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 구직자 취업촉진 및 생활안정지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「구직자 취업촉진 및 생활안정지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 에너지법 시행령 | 시행령 | 일부개정안 | 「에너지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | - | 기타 | 일부개정안 | 보험업법 시행령 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | - | 기타 | 일부개정안 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | - | 기타 | 일부개정안 | 여신전문금융업법 시행령 일부개정안에 대한 개인정보 침해요인 평가
2023-03-22 | 2소위원회 | - | 기타 | 일부개정안 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행령 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | - | 기타 | 일부개정안 | 석탄산업법 시행령 일부개정안 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | - | 기타 | 일부개정안 | 원자력안전법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | - | 기타 | - | 사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률 시행령 개인정보 침해요인 평가결과
2023-03-22 | 2소위원회 | 선원법 시행규칙 | 시행규칙 | 일부개정안 | 「선원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-22 | 2소위원회 | 사회재난 구호 및 복구 비용 부담기준 등에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | 「사회재난 구호 및 복구 비용 부담기준 등에 관한 규정」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 관세법 시행규칙 | 시행규칙 | 일부개정안 | 「관세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 과세자료의 제출 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「과세자료의 제출 및 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 주세법 시행규칙 | 시행규칙 | 일부개정안 | 「주세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 개별소비세법 시행규칙 | 시행규칙 | 일부개정안 | 「개별소비세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 농․축산․임․어업용 기자재 및 석유류에 대한 부가가치세 영세율 및 면세 적용 등에 관한 특례규정 시행규칙 | 시행규칙 | 일부개정안 | 「농․축산․임․어업용 기자재 및 석유류에 대한 부가가치세 영세율 및 면세 적용 등에 관한 특례규정 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 종합부동산세법 시행규칙 | 시행규칙 | 일부개정안 | 「종합부동산세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 법인세법 시행규칙 | 시행규칙 | 일부개정안 | 「법인세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 소득세법 시행규칙 | 시행규칙 | 일부개정안 | 「소득세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 국제조세조정에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국제조세조정에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 국세징수법 시행규칙 | 시행규칙 | 일부개정안 | 「국세징수법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 국세기본법 시행규칙 | 시행규칙 | 일부개정안 | 「국세기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 상속세 및 증여세법 시행규칙 | 시행규칙 | 일부개정안 | 「상속세 및 증여세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「조세특례제한법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | - | 기타 | 일부개정안 | 농업기계화촉진법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가결과 통보
2023-03-08 | 2소위원회 | - | 기타 | 일부개정안 | 산업안전보건법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-08 | 2소위원회 | - | 기타 | - | 치료감호등에 관한 법률 시행규칙 개인정보 침해요인 평가결과
2023-03-08 | 2소위원회 | - | 기타 | 일부개정안 | 생활주변방사선 안전관리법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-08 | 2소위원회 | 독점규제 및 공정거래에 관한 법률 | 법률 | 일부개정안 | 「독점규제 및 공정거래에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-08 | 2소위원회 | 자동차손해배상 보장법 시행령 | 시행령 | 일부개정안 | 「자동차손해배상 보장법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-08 | 2소위원회 | 소음ㆍ진동관리법 시행규칙 | 시행규칙 | 일부개정안 | 「소음ㆍ진동관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-08 | 2소위원회 | 소음ㆍ진동관리법 시행령 | 시행령 | 일부개정안 | 「소음ㆍ진동관리법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-03-08 | 2소위원회 | 지방세징수법 시행령 | 시행령 | 일부개정안 | 「지방세징수법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 선박직원법 시행규칙 | 시행규칙 | 일부개정안 | 「선박직원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 선박직원법 시행령 | 시행령 | 일부개정안 | 「선박직원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 항만 대기질 법시행규칙 | 시행규칙 | 일부개정안 | 「항만 대기질 법시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-03-08 | 2소위원회 | 산림문화 · 휴양에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「산림문화 · 휴양에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-22 | 2소위원회 | 교통ㆍ에너지ㆍ환경세법 시행규칙 | 시행규칙 | 일부개정안 | 「교통ㆍ에너지ㆍ환경세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-22 | 2소위원회 | 증권거래세법 시행규칙 | 시행규칙 | 일부개정안 | 「증권거래세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-22 | 2소위원회 | 군인사법 시행규칙 | 시행규칙 | 일부개정안 | 「군인사법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-22 | 2소위원회 | - | 기타 | 일부개정안 | 공무원 재해보상법 시행령 일부개정안에 대한 개인정보 침해요인 평가
2023-02-22 | 2소위원회 | - | 기타 | 제정안 | 전문약사의 자격인정 등에 관한 규칙 제정안에 대한 개인정보 침해요인 평가결과
2023-02-22 | 2소위원회 | - | 기타 | 일부개정안 | 사회보장기본법 시행령 일부개정안에 대한 개인정보 침해요인 평가결과
2023-02-22 | 2소위원회 | - | 기타 | 일부개정안 | 생활주변방사선 안전관리법 시행령 일부개정안에 대한 개인정보 침해요인 평가결과
2023-02-22 | 2소위원회 | 발명진흥법 시행령 | 시행령 | 일부개정안 | 「발명진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-02-22 | 2소위원회 | 기술보증기금법 시행령 | 시행령 | 일부개정안 | 「기술보증기금법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-02-22 | 2소위원회 | 먹는물관리법 시행규칙 | 시행규칙 | 일부개정안 | 「먹는물관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-02-22 | 2소위원회 | 농업농촌공익직불법 시행령 | 시행령 | 일부개정안 | 「농업농촌공익직불법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-22 | 2소위원회 | 경비업법 시행규칙 | 시행규칙 | 일부개정안 | 「경비업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-22 | 2소위원회 | 축산법 시행규칙 | 시행규칙 | 일부개정안 | 「축산법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-06 | 2소위원회 | 군복 및 군용장구의 단속에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「군복 및 군용장구의 단속에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-06 | 2소위원회 | 군복 및 군용장구의 단속에 관한 법률 시행령 | 시행령 | 일부개정안 | 「군복 및 군용장구의 단속에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-02-06 | 2소위원회 | - | 기타 | 일부개정안 | 청소년복지 지원법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가결과
2023-02-06 | 2소위원회 | - | 기타 | 일부개정안 | 도로교통법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가결과
2023-02-06 | 2소위원회 | 건축법 시행규칙 | 시행규칙 | 일부개정안 | 「건축법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-01-30 | 2소위원회 | 관세법 시행령 | 시행령 | 일부개정안 | 「관세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 개별소비세법 시행령 | 시행령 | 일부개정안 | 「개별소비세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 법인세법 시행령 | 시행령 | 일부개정안 | 「법인세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 국세징수법 시행령 | 시행령 | 일부개정안 | 「국세징수법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 국세기본법 시행령 | 시행령 | 일부개정안 | 「국세기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 제대군인지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「제대군인지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 5․18민주유공자예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「5․18민주유공자예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 5․18민주유공자예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「5․18민주유공자예우 및 단체설립에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | - | 기타 | 제정안 | 지역신문발전지원특별법 시행령 제정안에 대한 개인정보 침해요인 평가
2023-01-30 | 2소위원회 | - | 기타 | 일부개정안 | 법률구조법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가
2023-01-30 | 2소위원회 | 노인장기요양보험법 시행규칙 | 시행규칙 | 일부개정안 | 「노인장기요양보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 노인장기요양보험법 시행령 | 시행령 | 일부개정안 | 「노인장기요양보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-30 | 2소위원회 | 드론 활용의 촉진 및 기반조성에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「드론 활용의 촉진 및 기반조성에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 제대군인지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「제대군인지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 5․18민주유공자예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「5․18민주유공자예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 군사경찰 수사규칙안 | 기타 | 제정안 | 「군사경찰 수사규칙안」 제정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | - | 기타 | 일부개정안 | 전자장치 부착 등에 관한 법률 일부개정안에 대한 개인정보 침해요인 평가
2023-01-18 | 2소위원회 | - | 기타 | 일부개정안 | 성폭력범죄의 처벌 등에 관한 특례법 일부개정안에 대한 개인정보 침해요인 평가
2023-01-18 | 2소위원회 | - | 기타 | 일부개정안 | 의료법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가
2023-01-18 | 2소위원회 | - | 기타 | 일부개정안 | 의료법 시행령 일부개정안에 대한 개인정보 침해요인 평가
2023-01-18 | 2소위원회 | - | 기타 | 일부개정안 | 주식회사 등의 외부감사에 관한 법률 시행령 일부개정안에 대한 개인정보 침해요인 평가
2023-01-18 | 2소위원회 | - | 기타 | 일부개정안 | 영화 및 비디오물의 진흥에 관한 법률 시행규칙 일부개정안에 대한 개인정보 침해요인 평가
2023-01-18 | 2소위원회 | - | 기타 | 일부개정안 | 보안관찰법 일부개정안에 대한 개인정보 침해요인 평가
2023-01-18 | 2소위원회 | 공간정보의 구축 및 관리 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공간정보의 구축 및 관리 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-01-18 | 2소위원회 | 소방장비관리법 시행규칙 | 시행규칙 | 일부개정안 | 「소방장비관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2023-01-18 | 2소위원회 | 동물보호법시행령 | 시행령 | 전부개정안 | 「동물보호법시행령」 전부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 동물보호법시행규칙 | 시행규칙 | 전부개정안 | 「동물보호법시행규칙」 전부개정안에 대한 개인정보 침해요인 평가 결과
2023-01-18 | 2소위원회 | 응급의료에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「응급의료에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-28 | 2소위원회 | 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-12-28 | 2소위원회 | 법인세법 시행규칙 | 시행규칙 | 일부개정안 | 「법인세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-28 | 2소위원회 | 소득세법 시행규칙 | 시행규칙 | 일부개정안 | 「소득세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-28 | 2소위원회 | 우주개발 진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「우주개발 진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-28 | 2소위원회 | 개인정보 침해요인 개선을 위한 3개 법령 | 기타 | 일부개정안 | 「개인정보 침해요인 개선을 위한 3개 법령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-28 | 2소위원회 | - | 기타 | 일부개정안 | 주택임대차보호법 일부개정안에 대한 개인정보 침해요인 평가
2022-12-28 | 2소위원회 | - | 기타 | 일부개정안 | 영화 및 비디오물의 진흥에 관한 법률 시행규칙 일부개정안에 대한 개인정보 침해요인 평가
2022-12-28 | 2소위원회 | - | 기타 | 일부개정안 | 관광진흥법 시행규칙 일부개정안 개인정보 침해요인 평가
2022-12-28 | 2소위원회 | - | 기타 | 일부개정안 | 모자보건법 시행규칙 일부개정안에 대한 개인정보 침해요인 평가
2022-12-28 | 2소위원회 | 대중교통의 육성 및 이용촉진에 관한 법률 시행령 | 시행령 | 일부개정안 | 「대중교통의 육성 및 이용촉진에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-12-28 | 2소위원회 | 소방공무원 임용령 | 기타 | 일부개정안 | 「소방공무원 임용령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-12-28 | 2소위원회 | 지방공무원 징계규칙 | 훈령·고시·규칙 | 일부개정안 | 「지방공무원 징계규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-28 | 2소위원회 | 마약류 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「마약류 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-14 | 2소위원회 | 국군포로의 송환 및 대우 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국군포로의 송환 및 대우 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-14 | 2소위원회 | - | 기타 | 일부개정안 | 공무원 징계령 시행규칙 일부개정안 개인정보 침해요인 평가
2022-12-14 | 2소위원회 | 국가사이버안보 기본법 | 법률 | 제정안 | 「국가사이버안보 기본법」 제정안에 대한 개인정보 침해요인 평가 결과
2022-12-14 | 2소위원회 | 화재의 예방 및 안전관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「화재의 예방 및 안전관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-12-14 | 2소위원회 | 식품위생법 시행규칙 | 시행규칙 | 일부개정안 | 「식품위생법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-14 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-14 | 2소위원회 | 수산직불제법 시행규칙 | 시행규칙 | 일부개정안 | 「수산직불제법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-14 | 2소위원회 | 수산직불제법 시행령 | 시행령 | 일부개정안 | 「수산직불제법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-12-14 | 2소위원회 | 농업농촌공익직불법 시행령 | 시행령 | 일부개정안 | 「농업농촌공익직불법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 공공주택 특별법 시행령 | 시행령 | 일부개정안 | 「공공주택 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 수상레저기구의 등록 및 검사에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「수상레저기구의 등록 및 검사에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 수상레저기구의 등록 및 검사에 관한 법률 시행령 | 시행령 | 제정안 | 「수상레저기구의 등록 및 검사에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 수상레저안전법 시행규칙 | 시행규칙 | 전부개정안 | 「수상레저안전법 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 수상레저안전법 시행령 | 시행령 | 전부개정안 | 「수상레저안전법 시행령」 전부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | - | 기타 | 일부개정안 | 국적법시행규칙 일부개정안에 대한 개인정보침해요인평가 결과
2022-11-30 | 2소위원회 | - | 기타 | 일부개정안 | 국적법 시행령 일부개정안 개인정보침해요인 평가결과
2022-11-30 | 2소위원회 | 소방시설공사업법 시행규칙 | 시행규칙 | 일부개정안 | 「소방시설공사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-30 | 2소위원회 | - | 기타 | 일부개정안 | 소년법 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-30 | 2소위원회 | 전파법 시행령 | 시행령 | 일부개정안 | 「전파법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 삼차원프린팅산업 진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「삼차원프린팅산업 진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 삼차원프린팅산업 진흥법 시행령 | 시행령 | 일부개정안 | 「삼차원프린팅산업 진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 지방세징수법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세징수법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 지방세징수법 시행령 | 시행령 | 일부개정안 | 「지방세징수법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 지방자치단체 보조금 관리법 시행령 | 시행령 | 일부개정안 | 「지방자치단체 보조금 관리법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 재난안전산업진흥법 시행규칙 | 시행규칙 | 제정안 | 「재난안전산업진흥법 시행규칙」제정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 지방세법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-30 | 2소위원회 | 수산업협동조합법 | 법률 | 일부개정안 | 「수산업협동조합법」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 중소기업창업 지원법 시행령 | 시행령 | 일부개정안 | 「중소기업창업 지원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-09 | 2소위원회 | 임금채권보장법 시행규칙 | 시행규칙 | 일부개정안 | 「임금채권보장법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-09 | 2소위원회 | 주민등록법 시행규칙 | 시행규칙 | 일부개정안 | 「주민등록법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 국토의 계획 및 이용에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국토의 계획 및 이용에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-09 | 2소위원회 | 청소년복지 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「청소년복지 지원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-09 | 2소위원회 | 물류시설의 개발 및 운영에 관한 법률 시행령 | 시행령 | 일부개정안 | 「물류시설의 개발 및 운영에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-09 | 2소위원회 | 건설기술 진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「건설기술 진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-11-09 | 2소위원회 | 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 대기환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「대기환경보전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 재난적의료비 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「재난적의료비 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 임금채권보장법 | 법률 | 일부개정안 | 「임금채권보장법」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-11-09 | 2소위원회 | 의약품 등의 안전에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「의약품 등의 안전에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-10-26 | 2소위원회 | 법인 아닌 사단ㆍ재단 및 외국인의 부동산등기용 등록번호 부여절차에 관한 규정 시행규칙 | 시행규칙 | 일부개정안 | 「법인 아닌 사단ㆍ재단 및 외국인의 부동산등기용 등록번호 부여절차에 관한 규정 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-26 | 2소위원회 | 외국인근로자의 고용 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「외국인근로자의 고용 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-26 | 2소위원회 | 환경개선비용부담법 시행령 | 시행령 | 개정안 | 「환경개선비용부담법 시행령」 일부 개정안에 대한 개인정보 침해요인 평가 결과
2022-10-26 | 2소위원회 | 물환경보전법 시행령 | 시행령 | 개정안 | 「물환경보전법 시행령」 일부 개정안에 대한 개인정보 침해요인 평가 결과
2022-10-26 | 2소위원회 | 건설산업기본법 시행규칙 | 시행규칙 | 일부개정안 | 「건설산업기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-10-26 | 2소위원회 | 인삼산업법 시행규칙 | 시행규칙 | 일부개정안 | 「인삼산업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 | 법률 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 | 법률 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 | 법률 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 전기통신사업법 시행령 | 시행령 | 일부개정안 | 「전기통신사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 우편법 시행령 | 시행령 | 일부개정안 | 「우편법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 인신매매등방지 및 피해자보호 등에 관한 법률 시행령 | 시행령 | 제정안 | 「인신매매등방지 및 피해자보호 등에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가결과
2022-10-12 | 2소위원회 | 유아교육법 시행규칙 | 시행규칙 | 일부개정안 | 「유아교육법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-10-12 | 2소위원회 | 도시교통정비촉진법 시행규칙 | 시행규칙 | 일부개정안 | 「도시교통정비촉진법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-10-12 | 2소위원회 | 전자정부법 시행규칙 | 시행규칙 | 제정안 | 「전자정부법 시행규칙」제정안에 대한 개인정보 침해요인 평가 결과
2022-09-28 | 2소위원회 | - | 기타 | 전부개정안 | 도서관법 시행규칙 전부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-28 | 2소위원회 | 인신매매등방지 및 피해자보호 등에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「인신매매등방지 및 피해자보호 등에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가결과
2022-09-28 | 2소위원회 | 보건의료인력지원법 시행령 | 시행령 | 개정안 | 「보건의료인력지원법 시행령」 일부 개정안에 대한 개인정보 침해요인 평가 결과
2022-09-28 | 2소위원회 | 전문의의 수련 및 자격 인정 등에 관한 규정 시행규칙 | 시행규칙 | 개정안 | 「전문의의 수련 및 자격 인정 등에 관한 규정 시행규칙」 일부 개정안에 대한 개인정보 침해요인 평가 결과
2022-09-28 | 2소위원회 | 직업안정법 시행령 | 시행령 | 일부개정안 | ｢직업안정법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-28 | 2소위원회 | 농림축산식품부 소관 식품산업진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「농림축산식품부 소관 식품산업진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-28 | 2소위원회 | 해사안전법시행규칙 | 시행규칙 | 일부개정안 | 「해사안전법시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-28 | 2소위원회 | 해사안전법시행령 | 시행령 | 일부개정안 | 「해사안전법시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-14 | 2소위원회 | 종합부동산세법 시행규칙 | 시행규칙 | 일부개정안 | 「종합부동산세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-14 | 2소위원회 | 간선급행버스체계의 건설 및 운영에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「간선급행버스체계의 건설 및 운영에 관한 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-09-14 | 2소위원회 | 원자력안전법 시행규칙 | 시행규칙 | 일부개정안 | 「원자력안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-09-14 | 2소위원회 | - | 기타 | 일부개정안 | 국가공무원법 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-14 | 2소위원회 | 지역상권 상생 및 활성화에 관한 법률 시행규칙 | 시행규칙 | 제정안 | ｢지역상권 상생 및 활성화에 관한 법률 시행규칙｣ 제정안에 대한 개인정보 침해요인 평가결과
2022-09-08 | 2소위원회 | 관보규정 | 훈령·고시·규칙 | 일부개정안 | 「관보규정」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-09-08 | 2소위원회 | 공간정보의 구축 및 관리 등에 관한 법률 시행령 | 시행령 | - | 「공간정보의 구축 및 관리 등에 관한 법률 시행령」에 대한 개인정보 침해요인 평가
2022-09-08 | 2소위원회 | 소방공무원 승진임용규정 시행규칙 | 시행규칙 | 일부개정안 | 「소방공무원 승진임용규정 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-09-08 | 2소위원회 | 약사법 시행령 | 시행령 | 일부개정안 | ｢약사법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-08-10 | 2소위원회 | 군사경찰 수사규칙 | 훈령·고시·규칙 | 제정안 | 「군사경찰 수사규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-08-10 | 2소위원회 | 공공주택 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「공공주택 특별법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-08-10 | 2소위원회 | 의료 해외진출 및 외국인환자 유치 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「의료 해외진출 및 외국인환자 유치 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-08-10 | 2소위원회 | 생활주변방사선 안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「생활주변방사선 안전관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-08-10 | 2소위원회 | 국민영양관리법 시행규칙 | 시행규칙 | 일부개정안 | 「국민영양관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-08-10 | 2소위원회 | 산림복지법시행규칙 | 시행규칙 | 일부개정안 | 「산림복지법시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-08-10 | 2소위원회 | 산업집적활성화 및 공장설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | ｢산업집적활성화 및 공장설립에 관한 법률 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-08-10 | 2소위원회 | 산업안전보건법 시행규칙 | 시행규칙 | 일부개정안 | ｢산업안전보건법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-08-10 | 2소위원회 | 식품위생법 시행규칙 | 시행규칙 | 일부개정안 | ｢식품위생법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-08-10 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | ｢도로교통법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-07-27 | 2소위원회 | 군용비행장ㆍ군사격장 소음 방지 및 피해 보상에 관한 법률 시행령 | 시행령 | 일부개정안 | 「군용비행장ㆍ군사격장 소음 방지 및 피해 보상에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-07-27 | 2소위원회 | 국세징수법 | 법률 | 일부개정안 | 「국세징수법」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-07-27 | 2소위원회 | 숙련기술장려법 시행규칙 | 시행규칙 | 일부개정안 | 「숙련기술장려법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-07-27 | 2소위원회 | 기초연구진흥 및 기술개발지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「기초연구진흥 및 기술개발지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-07-27 | 2소위원회 | 청원경찰법 시행규칙 | 시행규칙 | 일부개정안 | 「청원경찰법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-07-27 | 2소위원회 | 의료 해외진출 및 외국인환자 유치 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「의료 해외진출 및 외국인환자 유치 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-27 | 2소위원회 | 예술인의 지위와 권리의 보장에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「예술인의 지위와 권리의 보장에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-27 | 2소위원회 | 예술인의 지위와 권리의 보장에 관한 법률 시행령 | 시행령 | 일부개정안 | 「예술인의 지위와 권리의 보장에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-27 | 2소위원회 | 국가연구개발혁신법 시행규칙 | 시행규칙 | 일부개정안 | 「국가연구개발혁신법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-27 | 2소위원회 | 국민건강보험법 시행규칙 | 시행규칙 | 일부개정안 | 「국민건강보험법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-27 | 2소위원회 | 국민건강보험법 시행령 | 시행령 | 일부개정안 | 「국민건강보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-27 | 2소위원회 | 청소년활동 진흥법 시행령 | 시행령 | 일부개정안 | 「청소년활동 진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-13 | 2소위원회 | 구직자 취업촉진 및 생활안정지원에 관한 법률 | 법률 | 일부개정안 | ｢구직자 취업촉진 및 생활안정지원에 관한 법률｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-07-13 | 2소위원회 | 해양경찰 수사에 관한 인권보호 규칙 | 훈령·고시·규칙 | 제정안 | ｢해양경찰 수사에 관한 인권보호 규칙｣ 제정안에 대한 개인정보 침해요인 평가
2022-07-13 | 2소위원회 | 전기안전관리법 시행규칙 | 시행규칙 | 일부개정안 | ｢전기안전관리법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-07-13 | 2소위원회 | 군무원인사법 시행규칙 | 시행규칙 | 일부개정안 | 「군무원인사법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-13 | 2소위원회 | 화물자동차 운수사업법 시행규칙 | 시행규칙 | 일부개정안 | 「화물자동차 운수사업법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-07-13 | 2소위원회 | 자동차종합검사의 시행 등에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「자동차종합검사의 시행 등에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-07-13 | 2소위원회 | 자동차관리법 시행규칙 | 시행규칙 | 일부개정안 | 「자동차관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-07-13 | 2소위원회 | 자연공원법 시행령 | 시행령 | 일부개정안 | 「자연공원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-13 | 2소위원회 | 대기환경보전법 시행규칙 | 시행규칙 | 일부개정안 | 「대기환경보전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-07-13 | 2소위원회 | 콘텐츠산업 진흥법 시행령 | 시행령 | 일부개정안 | 「콘텐츠산업 진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-07-13 | 2소위원회 | 해양이용영향평가법 | 법률 | 제정안 | 「해양이용영향평가법」 제정안에 대한 개인정보 침해요인 평가 결과
2022-07-13 | 2소위원회 | 교육공무원 인사기록 및 인사사무처리규칙 | 훈령·고시·규칙 | 일부개정안 | 「교육공무원 인사기록 및 인사사무처리규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 국가기술자격법 시행령 | 시행령 | 일부개정안 | 「국가기술자격법 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2022-06-22 | 2소위원회 | 노인복지법 시행령 | 시행령 | 일부개정안 | 「노인복지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 국민체육진흥법 시행령 | 시행령 | 일부개정안 | 「국민체육진흥법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 외국인보호규칙 | 훈령·고시·규칙 | 일부개정안 | 「외국인보호규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-06-22 | 2소위원회 | 장애인고용촉진 및 직업재활법 시행령 | 시행령 | 일부개정안 | 「장애인고용촉진 및 직업재활법 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2022-06-22 | 2소위원회 | 체육인 복지법 시행규칙 | 시행규칙 | 일부개정안 | 「체육인 복지법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 체육인복지법 시행령 | 시행령 | 일부개정안 | 「체육인복지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 출국대기실 운영규칙 | 훈령·고시·규칙 | 제정안 | 「출국대기실 운영규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 가사소송법 | 법률 | 전부개정 | 「가사소송법」 전부개정법률안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 문화재수리등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「문화재수리등에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 문화재수리등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「문화재수리등에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 재난적의료비 지원에 관한 법률 | 법률 | 일부개정안 | 「재난적의료비 지원에 관한 법률」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-22 | 2소위원회 | 어선원 및 어선 재해보상보험법 시행규칙 | 시행규칙 | 일부개정안 | 「어선원 및 어선 재해보상보험법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-08 | 2소위원회 | 총포·도검·화약류 등의 안전관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「총포·도검·화약류 등의 안전관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2022-06-08 | 2소위원회 | 총포·도검·화약류 등의 안전관리에 관한 법률 | 법률 | 일부개정안 | 「총포·도검·화약류 등의 안전관리에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가
2022-06-08 | 2소위원회 | 화재의 예방 및 안전관리에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「화재의 예방 및 안전관리에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-06-08 | 2소위원회 | 화재의 예방 및 안전관리에 관한 법률 시행령 | 시행령 | 제정안 | 「화재의 예방 및 안전관리에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2022-06-08 | 2소위원회 | 화재예방, 소방시설 설치유지 및 안전관리에 관한 법률 시행규칙 | 시행규칙 | 전부개정안 | 「화재예방, 소방시설 설치유지 및 안전관리에 관한 법률 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-08 | 2소위원회 | 화재예방, 소방시설 설치‧유지 및 안전관리에 관한 법률 시행령 | 시행령 | 전부개정안 | 「화재예방, 소방시설 설치‧유지 및 안전관리에 관한 법률 시행령」 전부개정안에 대한 개인정보 침해요인 평가결과
2022-06-08 | 2소위원회 | 장애인복지법 시행규칙 | 시행규칙 | 일부개정안 | 「장애인복지법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-08 | 2소위원회 | 장애인복지법 시행령 | 시행령 | 일부개정안 | 「장애인복지법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-08 | 2소위원회 | 공공데이터의 제공 및 이용 활성화에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공공데이터의 제공 및 이용 활성화에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-06-08 | 2소위원회 | 세무사법 시행령 | 시행령 | 일부개정안 | 「세무사법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 산업안전보건법 시행규칙 | 시행규칙 | 일부개정안 | 「산업안전보건법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가
2022-05-25 | 2소위원회 | 산업안전보건법 시행령 | 시행령 | 일부개정안 | 「산업안전보건법 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2022-05-25 | 2소위원회 | 전기안전관리법 시행령 | 시행령 | 일부개정안 | ｢전기안전관리법 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-05-25 | 2소위원회 | 한국주택금융공사법 시행령 | 시행령 | 일부개정안 | 「한국주택금융공사법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 공직후보자 등에 관한 정보의 수집 및 관리에 관한 규정 | 훈령·고시·규칙 | 일부개정안 | 「공직후보자 등에 관한 정보의 수집 및 관리에 관한 규정」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 환경분야 시험ㆍ검사 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「환경분야 시험ㆍ검사 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 성폭력범죄의 처벌 등에 관한 특례법 | 법률 | 일부개정안 | 「성폭력범죄의 처벌 등에 관한 특례법」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 국민건강보험법 시행령 | 시행령 | 일부개정안 | 「국민건강보험법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 국립국가폭력트라우마치유센터의 설립 및 운영에 관한 법률 시행령 | 시행령 | 제정안 | 「국립국가폭력트라우마치유센터의 설립 및 운영에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 고향사랑 기부금에 관한 법률 시행령 | 시행령 | 제정안 | 「고향사랑 기부금에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 주민등록법 시행령 | 시행령 | 일부개정안 | 「주민등록법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 자유무역협정의 이행을 위한 관세법의 특례에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「자유무역협정의 이행을 위한 관세법의 특례에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 수상레저안전법 시행규칙 | 시행규칙 | 일부개정안 | 「수상레저안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-25 | 2소위원회 | 유아교육법 시행령 | 시행령 | 일부개정안 | 「유아교육법 시행령」일부개정안에 대한 개인정보 침해요인 평가
2022-05-25 | 2소위원회 | 혈액관리법 시행규칙 | 시행규칙 | 일부개정안 | 「혈액관리법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가
2022-05-25 | 2소위원회 | 항만안전특별법 시행규칙 | 시행규칙 | 일부개정안 | 「항만안전특별법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가
2022-05-25 | 2소위원회 | 선원법 시행규칙 | 시행규칙 | 일부개정안 | 「선원법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가
2022-05-11 | 2소위원회 | 의약품 등의 안전에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | ｢의약품 등의 안전에 관한 규칙｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-05-11 | 2소위원회 | 고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행령 | 시행령 | 일부개정안 | ｢고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가
2022-05-11 | 2소위원회 | 뇌연구 촉진법 시행령 | 시행령 | 일부개정안 | 「뇌연구 촉진법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 기초연구진흥 및 기술개발지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「기초연구진흥 및 기술개발지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 기초연구진흥 및 기술개발지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「기초연구진흥 및 기술개발지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 노후준비 지원법 시행규칙 | 시행규칙 | 일부개정안 | 「노후준비 지원법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 노후준비 지원법 시행령 | 시행령 | 일부개정안 | 「노후준비 지원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 산지관리법 시행규칙 | 시행규칙 | 일부개정안 | 「산지관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 제대군인지원에 관한 법률 | 법률 | 일부개정안 | 「제대군인지원에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 서민의 금융생활 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「서민의 금융생활 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-05-11 | 2소위원회 | 고용보험법 시행규칙 | 시행규칙 | 일부개정 | 「고용보험법 시행규칙」 일부개정정안에 대한 개인정보 침해요인 평가결과
2022-05-11 | 2소위원회 | 정보통신공사업법 시행령 | 시행령 | 일부개정안 | 「정보통신공사업법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 민원 처리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「민원 처리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-05-11 | 2소위원회 | 비료관리법 시행령 | 시행령 | 일부개정안 | 「비료관리법 시행령」일부개정안에 대한 개인정보 침해요인 평가
2022-05-11 | 2소위원회 | 비료관리법 시행규칙 | 시행규칙 | 일부개정안 | 「비료관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-05-11 | 2소위원회 | 수의사법 시행규칙 | 시행규칙 | 일부개정안 | 「수의사법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 산업 디지털 전환 촉진법 시행규칙 | 시행규칙 | 제정안 | 「산업 디지털 전환 촉진법 시행규칙」 제정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 장애인고용촉진 및 직업재활법 시행규칙 | 시행규칙 | 일부개정안 | 「장애인고용촉진 및 직업재활법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 장애인고용촉진 및 직업재활법 시행령 | 시행령 | 일부개정안 | 「장애인고용촉진 및 직업재활법 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 전기안전관리법 시행규칙 | 시행규칙 | 일부개정안 | 「전기안전관리법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 광산피해의 방지 및 복구에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「광산피해의 방지 및 복구에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 광산피해의 방지 및 복구에 관한 법률 시행령 | 시행령 | 일부개정안 | 「광산피해의 방지 및 복구에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 국가첨단전략산업 경쟁력 강화 및 보호에 관한 특별조치법 시행시행규칙 | 시행규칙 | 제정안 | 「국가첨단전략산업 경쟁력 강화 및 보호에 관한 특별조치법 시행시행규칙」 제정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 국가첨단전략산업 경쟁력 강화 및 보호에 관한 특별조치법 시행령 | 시행령 | 제정안 | 「국가첨단전략산업 경쟁력 강화 및 보호에 관한 특별조치법 시행령」 제정안에 대한 개인정보 침해요인 평가
2022-04-27 | 2소위원회 | 병역법 시행규칙 | 시행규칙 | 일부개정안 | 「병역법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 병역법 시행령 | 시행령 | 일부개정안 | 「병역법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 자살예방 및 생명존중문화 조성을 위한 법률 시행령 | 시행령 | 일부개정안 | 「자살예방 및 생명존중문화 조성을 위한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 영유아보육법 시행령 | 시행령 | 일부개정안 | 「영유아보육법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 북한이탈주민의 보호 및 정착지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「북한이탈주민의 보호 및 정착지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 스포츠클럽법 시행규칙 | 시행규칙 | 제정안 | 「스포츠클럽법 시행규칙」 제정안에 대한 개인정보 침해요인 평가결과
2022-04-27 | 2소위원회 | 범죄피해자 보호법 시행규칙 | 시행규칙 | 일부개정안 | 「범죄피해자 보호법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-04-27 | 2소위원회 | 지방자치단체 보조금 관리에 관한 법률 | 법률 | 일부개정 | 「지방자치단체 보조금 관리에 관한 법률」 일부개정법률안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 행정절차법 시행규칙 | 시행규칙 | 일부개정안 | 「행정절차법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 행정절차법 시행령 | 시행령 | 일부개정안 | 「행정절차법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-27 | 2소위원회 | 수산부산물법 시행규칙 | 시행규칙 | 제정안 | 「수산부산물법 시행규칙」제정안에 대한 개인정보 침해요인 평가결과
2022-04-27 | 2소위원회 | 원양산업발전법 | 법률 | 일부개정안 | 「원양산업발전법」일부개정안에 대한 개인정보 침해요인 평가결과
2022-04-13 | 2소위원회 | 전자장치 부착 등에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「전자장치 부착 등에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-04-13 | 2소위원회 | 부패방지 및 국민권익위원회의 설치와 운영에 관한 법률 시행령 | 시행령 | 일부개정안 | 「부패방지 및 국민권익위원회의 설치와 운영에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-04-13 | 2소위원회 | 부정청탁 및 금품등 수수의 금지에 관한 밥률 시행령 | 시행령 | 일부개정안 | 「부정청탁 및 금품등 수수의 금지에 관한 밥률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-04-13 | 2소위원회 | 민사소송 등에서의 전자문서 이용 등에 관한 법률 | 법률 | 일부개정안 | 「민사소송 등에서의 전자문서 이용 등에 관한 법률」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-13 | 2소위원회 | 인감증명서 서식 정비를 위한 국방부 소관 시행규칙 | 시행규칙 | 일부개정안 | 「인감증명서 서식 정비를 위한 국방부 소관 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-13 | 2소위원회 | 문화재보호법 시행규칙 | 시행규칙 | 일부개정안 | 「문화재보호법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-13 | 2소위원회 | 인감증명서 서식 정비를 위한 국방부 소관 시행령 | 시행령 | 일부개정안 | 「인감증명서 서식 정비를 위한 국방부 소관 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-13 | 2소위원회 | 소방의 화재조사에 관한 법률 시행규칙 | 시행규칙 | 제정안 | ｢소방의 화재조사에 관한 법률 시행규칙｣ 제정안에 대한 개인정보 침해요인 평가
2022-04-13 | 2소위원회 | 양육비 이행확보 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「양육비 이행확보 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-04-13 | 2소위원회 | 소방의 화재조사에 관한 법률 시행령 | 시행령 | 제정안 | ｢소방의 화재조사에 관한 법률 시행령｣ 제정안에 대한 개인정보 침해요인 평가
2022-03-23 | 2소위원회 | 전자정부법 시행령 | 시행령 | 일부개정안 | 「전자정부법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 저출산ㆍ고령사회기본법 시행규칙 | 시행규칙 | 제정안 | 「저출산ㆍ고령사회기본법 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 의료법 시행규칙 | 시행규칙 | 일부개정안 | 「의료법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 의료법 시행령 | 시행령 | 일부개정안 | 「의료법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 농어업경영체 육성 및 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「 농어업경영체 육성 및 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 농지법 시행규칙 | 시행규칙 | 일부개정안 | ｢농지법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 중소기업창업 지원법 시행령 | 시행령 | 전부개정안 | 「중소기업창업 지원법 시행령」 전부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 중소기업창업 지원법 시행규칙 | 시행규칙 | 전부개정안 | 「중소기업창업 지원법 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 임업ㆍ산림 공익기능 증진을 위한 직접지불제도 운영에 관한 법률 시행령 | 시행령 | 제정안 | 「임업ㆍ산림 공익기능 증진을 위한 직접지불제도 운영에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2022-03-23 | 2소위원회 | 임업ㆍ산림 공익기능 증진을 위한 직접지불제도 운영에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「임업ㆍ산림 공익기능 증진을 위한 직접지불제도 운영에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 역사문화권 정비 등에 관한 특별법 시행규칙 | 시행규칙 | 일부개정안 | 「역사문화권 정비 등에 관한 특별법 시행규칙 」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-03-10 | 2소위원회 | 해양수산과학기술육성법 | 법률 | 일부개정안 | 「해양수산과학기술육성법」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-03-10 | 2소위원회 | 자유무역협정 체결에 따른 무역조정 지원에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「자유무역협정 체결에 따른 무역조정 지원에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 자유무역협정 체결에 따른 무역조정 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「자유무역협정 체결에 따른 무역조정 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 경륜ㆍ경정법 시행령 | 시행령 | 일부개정안 | 「경륜ㆍ경정법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 국가보훈대상자 의료지원에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「국가보훈대상자 의료지원에 관한 규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 원자력안전 정보공개 및 소통에 관한 법률 시행규칙 | 시행규칙 | 제정안 | 「원자력안전 정보공개 및 소통에 관한 법률 시행규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 원자력안전 정보공개 및 소통에 관한 법률 시행령 | 시행령 | 제정안 | 「원자력안전 정보공개 및 소통에 관한 법률 시행령」 제정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 외교부 소관 비영리법인의 설립 및 감독에 관한 규칙 | 훈령·고시·규칙 | 일부개정안 | 「외교부 소관 비영리법인의 설립 및 감독에 관한 규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 지방세징수법 시행령 | 시행령 | 일부개정안 | 「지방세징수법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「5ㆍ18민주유공자예우 및 단체설립에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령 | 시행령 | 일부개정안 | 「제주4ㆍ3사건 진상규명 및 희생자 명예회복에 관한 특별법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-03-10 | 2소위원회 | 재난 및 안전관리 기본법 시행규칙 | 시행규칙 | 일부개정안 | 「재난 및 안전관리 기본법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 데이터 산업진흥 및 이용촉진에 관한 기본법 시행규칙 | 시행규칙 | 제정안 | 「데이터 산업진흥 및 이용촉진에 관한 기본법 시행규칙」 제정안에 대한 개인정보 침해요인 평가
2022-02-23 | 2소위원회 | 데이터 산업진흥 및 이용촉진에 관한 기본법 시행령 | 시행령 | 제정안 | 「데이터 산업진흥 및 이용촉진에 관한 기본법 시행령」 제정안에 대한 개인정보 침해요인 평가
2022-02-23 | 2소위원회 | 식품위생법 시행규칙 | 시행규칙 | 일부개정안 | 「식품위생법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 주세법 시행규칙 | 시행규칙 | 일부개정안 | 「주세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 과세자료의 제출 및 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「과세자료의 제출 및 관리에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 국제조세조정에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「국제조세조정에 관한 법률 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 국민기초생활 보장법 시행규칙 | 시행규칙 | 일부개정안 | 「 국민기초생활 보장법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가
2022-02-23 | 2소위원회 | 종합부동산세법 시행규칙 | 시행규칙 | 일부개정안 | 「종합부동산세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 상속세 및 증여세법 시행규칙 | 시행규칙 | 일부개정안 | 「상속세 및 증여세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 국민기초생활 보장법 시행령 | 시행령 | 일부개정안 | 「 국민기초생활 보장법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 조세특례제한법 시행규칙 | 시행규칙 | 일부개정안 | 「조세특례제한법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 호스피스ㆍ완화의료 및 임종과정에 있는 환자의 연명의료결정에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「호스피스ㆍ완화의료 및 임종과정에 있는 환자의 연명의료결정에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 국세기본법 시행규칙 | 시행규칙 | 일부개정안 | 「국세기본법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 아동복지법 시행규칙 | 시행규칙 | 일부개정안 | 「아동복지법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 법인세법 시행규칙 | 시행규칙 | 일부개정안 | 「법인세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 특허권 등의 등록령 시행규칙 | 시행규칙 | 일부개정안 | 「특허권 등의 등록령 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 도로교통법 시행령 | 시행령 | 일부개정안 | 「도로교통법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 항만시설관리권 등록령 시행규칙 | 시행규칙 | 일부개정안 | 「항만시설관리권 등록령 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 지방세법 시행규칙 | 시행규칙 | 일부개정안 | 「지방세법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 근로자퇴직급여 보장법 시행령 | 시행령 | 일부개정안 | 「근로자퇴직급여 보장법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 소득세법 시행규칙 | 시행규칙 | 일부개정안 | 「소득세법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-23 | 2소위원회 | 경력단절여성등의 경제활동 촉진법 시행령 | 시행령 | 전부개정안 | 「경력단절여성등의 경제활동 촉진법 시행령」 전부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 경력단절여성등의 경제활동 촉진법 시행규칙 | 시행규칙 | 전부개정안 | 「경력단절여성등의 경제활동 촉진법 시행규칙」 전부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 농어업인의 안전보험 및 안전재해예방에 관한 법률 시행령 | 시행령 | 일부개정안 | 「농어업인의 안전보험 및 안전재해예방에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 개인정보 보호법 시행령 | 시행령 | 일부개정안 | 「개인정보 보호법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 항공안전법 시행규칙 | 시행규칙 | 일부개정안 | 「항공안전법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-23 | 2소위원회 | 안보범죄정보 업무규정 | 훈령·고시·규칙 | 제정안 | 「안보범죄정보 업무규정」 제정안에 대한 개인정보 침해요인 평가결과
2022-02-14 | 2소위원회 | 감염병의 예방 및 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「감염병의 예방 및 관리에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-09 | 2소위원회 | 전기통신사업법 시행령 | 시행령 | 일부개정안 | 「전기통신사업법 시행령」일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-09 | 2소위원회 | 가축전염병 예방법 시행규칙 | 시행규칙 | 일부개정안 | 「가축전염병 예방법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-09 | 2소위원회 | 한국교육방송공사법 시행령 | 시행령 | 일부개정안 | 「한국교육방송공사법 시행령」일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-09 | 2소위원회 | 방송문화진흥회법 시행령 | 시행령 | 일부개정안 | 「방송문화진흥회법 시행령」일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-09 | 2소위원회 | 방송법 시행령 | 시행령 | 일부개정안 | 「방송법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-09 | 2소위원회 | 행정기관의 공모전 운영에 관한 규정 | 훈령·고시·규칙 | 제정안 | 「행정기관의 공모전 운영에 관한 규정」 제정안에 대한 개인정보 침해요인 평가 결과
2022-02-09 | 2소위원회 | 소비자생활협동조합법 시행령 | 시행령 | 일부개정안 | 「소비자생활협동조합법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-02-09 | 2소위원회 | 축산법 시행규칙 | 시행규칙 | 일부개정안 | 「축산법 시행규칙」일부개정안에 대한 개인정보 침해요인 평가결과
2022-02-09 | 2소위원회 | 국가정보원직원법 시행령 | 시행령 | 일부개정안 | 「국가정보원직원법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-01-26 | 2소위원회 | 농림수산식품투자조합 결성 및 운용에 관한 법률 시행령 | 시행령 | 일부개정안 | 「농림수산식품투자조합 결성 및 운용에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 지역상권 상생 및 활성화에 관한 법률 시행령 | 시행령 | 제정안 | 「지역상권 상생 및 활성화에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 교육공무원 징계령 | 기타 | 일부개정안 | 「교육공무원 징계령」일부개정안에 대한 개인정보 침해요인 평가
2022-01-26 | 2소위원회 | 국가교육위원회 설치 및 운영에 관한 법률 시행령 | 시행령 | 제정안 | 「국가교육위원회 설치 및 운영에 관한 법률 시행령」제정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 소금산업 진흥법 시행규칙 | 시행규칙 | 일부개정안 | 「소금산업 진흥법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-01-26 | 2소위원회 | 특허법 시행규칙 | 시행규칙 | 일부개정안 | 「특허법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 법원이 재판권을 가지는 군인 등의 범죄에 대한 수사절차 등에 관한 규정 | 훈령·고시·규칙 | 제정안 | 「법원이 재판권을 가지는 군인 등의 범죄에 대한 수사절차 등에 관한 규정」 제정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 지방세법 시행령 | 시행령 | 일부개정안 | 「지방세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 변리사법 시행령 | 시행령 | 일부개정안 | 「변리사법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 재외동포의 출입국과 법적지위에 관한 법률 시행령 | 시행령 | 일부개정안 | 「재외동포의 출입국과 법적지위에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 재외동포의 출입국과 법직 지위에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | ｢재외동포의 출입국과 법직 지위에 관한 법률 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 출입국관리법 시행규칙 | 시행규칙 | 일부개정안 | ｢출입국관리법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 도로교통법 시행규칙 | 시행규칙 | 일부개정안 | ｢도로교통법 시행규칙｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-26 | 2소위원회 | 도시교통정비 촉진법 시행규칙 | 시행규칙 | 일부개정안 | 「도시교통정비 촉진법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-01-26 | 2소위원회 | 도시교통정비 촉진법 시행령 | 시행령 | 일부개정안 | 「도시교통정비 촉진법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-01-12 | 2소위원회 | 세무사법 시행령 | 시행령 | 일부개정안 | 「세무사법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 주세법 시행령 | 시행령 | 일부개정안 | 「주세법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 국제조세조정에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국제조세조정에 관한 법률 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 상속세 및 증여세법 시행령 | 시행령 | 일부개정안 | 「상속세 및 증여세법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 소득세법 시행령 | 시행령 | 일부개정안 | 「소득세법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 국세징수법 시행령 | 시행령 | 일부개정안 | 「국세징수법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 국민건강증진법 시행규칙 | 시행규칙 | 일부개정안 | 「국민건강증진법 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 공공보건의료에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공공보건의료에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 저출산ㆍ고령사회기본법 시행령 | 시행령 | 일부개정안 | 「저출산ㆍ고령사회기본법 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 국세기본법 시행령 | 시행령 | 일부개정안 | 「국세기본법 시행령」일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 특수임무유공자 예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「특수임무유공자 예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 참전유공자 예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「참전유공자 예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 보훈보상대상자 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「보훈보상대상자 지원에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 독립유공자예우에 관한 법률 시행령 | 시행령 | 일부개정안 | 「독립유공자예우에 관한 법률 시행령 」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 고엽제후유의 등 환자지원 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「고엽제후유의 등 환자지원 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 5.18민주유공자예우 및 단체설립에 관한 법률 시행령 | 시행령 | 일부개정안 | 「5.18민주유공자예우 및 단체설립에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 국가유공자 등 예우 및 지원에 관한 법률 시행령 | 시행령 | 일부개정안 | 「국가유공자 등 예우 및 지원에 관한 법률 시행령 」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 관세법 시행령 | 시행령 | 일부개정안 | 「관세법 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-01-12 | 2소위원회 | 위치정보의 보호 및 이용 등에 관한 법률 시행령 | 시행령 | 일부개정안 | 「위치정보의 보호 및 이용 등에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가결과
2022-01-12 | 2소위원회 | 특례를 둘 수 있는 시·군·구 지정 신청 등의 서식에 관한 규칙 | 훈령·고시·규칙 | 제정안 | 「특례를 둘 수 있는 시·군·구 지정 신청 등의 서식에 관한 규칙」 제정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 공공기록물 관리에 관한 법률 시행규칙 | 시행규칙 | 일부개정안 | 「공공기록물 관리에 관한 법률 시행규칙」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 공공기록물 관리에 관한 법률 시행령 | 시행령 | 일부개정안 | 「공공기록물 관리에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 학교안전사고 예방 및 보상에 관한 법률 시행령 | 시행령 | 일부개정안 | 「학교안전사고 예방 및 보상에 관한 법률 시행령」 일부개정안에 대한 개인정보 침해요인 평가 결과
2022-01-12 | 2소위원회 | 벤처투자 촉진에 관한 법률 시행령 | 시행령 | 일부개정안 | ｢벤처투자 촉진에 관한 법률 시행령｣ 일부개정안에 대한 개인정보 침해요인 평가 결과
## 분모 — 위원회가 한 해에 처리하는 처분 안건과 신고·상담 (https://datalaw.kr/sanctions/#이-표의-건수는-큰-수인가--분모)
- 출처: 개인정보보호위원회 「2026 개인정보 보호 연차보고서」 [표 2-1-2] 개인정보보호위원회 안건처리 현황 · [표 2-3-13] 연도별 개인정보 침해 신고 및 상담 접수 현황 / 기준일 2026-09-05
- 🔴 **단위가 다르다.** 위원회는 「안건」을, 이 사이트는 「의결서」를 센다. 한 안건이 의결서 여러 건으로 갈리기도 하고, 「행정처분 등 관련 건」에는 처분이 아닌 호(의견제시·개선권고 등)가 섞여 있다. **정확한 공개율이 아니다.**
- ⚠️ 「결정문 공개 의결」은 **지금 시점에 게시판에서 읽히는 것**이지 그 해에 공개된 것이 아니다. 공개 시차가 일정하지 않아 연도별 비율이 크게 흔들린다.
- 주의: 2021년 신고 7,809건 중 6,511건은 대통령 후보 경선 관련 문자·전화 발송 등에 따른 침해신고 증가분(연차보고서 [표 2-3-13] 각주)
연도 | 위원회 처분 안건 | 결정문 공개 의결 | 침해 신고 | 상담
2021 | 299 | 159 | 7809* | 47337
2022 | 158 | 120 | 1507 | 48088
2023 | 277 | 184 | 1162 | 42642
2024 | 334 | 148 | 762 | 40035
2025 | 217 | 187 | 956 | 50007
합계(2021~2025) | 1285 | 798 | 12196 | 228109
- 참고: 사전적정성 검토제(사업자가 신설 서비스의 적법성을 위원회에 미리 묻는 제도)의 2025년 주요 사례로 연차보고서가 든 것은 4건이다 — 대규모 언어모델 기반 AI 비서 서비스 운영 시 기술적 보안조치 및 외부 모델 처리 데이터 보호 강화 방안 / SNS 내 유명인 사칭 광고·계정 탐지에 안면인식 기술을 안전하게 활용할 방안 / 통신사가 '보이스피싱 의심 번호' DB를 구축하고 이를 은행의 이상행위탐지시스템(FDS) 운영에 활용하는 방안 / 유·무선 통신사업자가 관리하는 전화번호별 상태정보를 활용하여 스팸문자 방지를 위한 발신 번호 유효성 검증 시스템을 구축하는 방안. 위원회는 검토 결과를 별도 게시판으로 공개하지 않는다.
## 개인정보위 고시의 제·개정 이력 (https://datalaw.kr/timeline/)
- 출처: 개인정보보호위원회 훈령·예규·고시 게시판 / 기준일 2026-09-11 / 게시판 207건 중 고시 66건(39종). 훈령 138건은 위원회 내부 운영규정이라 제외.
- 왜 필요한가: 결정문은 「개인정보보호위원회고시 제2023-9호, 2023. 10. 16. 일부개정」이라고 각주로만 적는다. 같은 이름의 고시가 몇 번 바뀌었고 그 사건에 어느 버전이 적용됐는지는 정리된 곳이 없다. 국가법령정보센터 시행예정법령 데이터에는 **행정규칙이 들어오지 않는다**.
- 🔴 **괄호 안 날짜가 늘 시행일은 아니다** — 「시행」이라고 적힌 것만 시행일이고 나머지는 공포·개정일이거나 구분이 없다. 섞어 읽으면 안 된다.
- ⚠️ 게시판 게시분만이 분모다. 2015년 이전 개정은 여기 없다.
- ⚠️ 「개인정보의 기술적·관리적 보호조치 기준」은 2023-09-22 폐지되어 「개인정보의 안전성 확보조치 기준」으로 통합됐다. 그 이전 사건의 조문 번호를 현행 고시에서 찾으면 맞지 않는다.
고시 | 개정 횟수 | 최신 호수 | 이력(게시일 · 호수 · 구분 · 날짜)
개인정보의 안전성 확보조치 기준 | 5 | 제2026-9호 | 2026-07-02 제2026-9호 - 2026-07-01(시행) / 2025-11-17 제2025-9호 - 2025-10-31(시행) / 2023-09-22 - 일부개정 2023-09-22(공포·개정) / 2021-09-16 제2021-2호 - - / 2020-11-04 - - -
가명정보의 결합 및 반출 등에 관한 고시 | 4 | 제2025-8호 | 2025-11-17 제2025-8호 - 2025-09-09(시행) / 2024-02-02 제2024-2호 일부개정 - / 2021-10-05 제2021-4호 - - / 2020-09-01 - - -
개인정보 영향평가에 관한 고시 | 4 | 제2025-7호 | 2025-09-05 제2025-7호 - 2025-09-05(시행) / 2024-11-04 제2024-10호 일부개정 2024-10-31(시행) / 2024-04-08 제2024-7호 일부개정 2024-04-03(시행) / 2020-11-03 - - -
개인정보 처리 방법에 관한 고시 | 4 | 제2026-10호 | 2026-08-25 제2026-10호 - 2026-08-20(시행) / 2025-04-14 제2025-5호 개정 2025-04-11(시행) / 2023-10-18 - 일부개정 2023-10-16(공포·개정) / 2020-08-19 - - -
정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 | 4 | 제2024-8호 | 2024-07-29 제2024-8호 일부개정 2024-07-24(구분 미표기) / 2023-10-10 - 일부개정 2023-10-05(공포·개정) / 2020-12-29 - - - / 2020-08-19 - - -
표준 개인정보 보호지침 | 3 | 제2025-4호 | 2025-04-14 제2025-4호 개정 2025-04-11(시행) / 2024-01-08 - 일부개정 2024-01-04(공포·개정) / 2020-08-19 - - -
[지침] 개인정보 보호 법규 위반에 대한 고발 기준 | 2 | - | 2026-09-11 - - 2023-10-11(시행) / 2026-09-11 - - 2021-01-27(시행)
[지침] 개인정보 보호법 위반에 대한 과태료 부과기준 | 2 | - | 2026-09-11 - - 2023-03-08(시행) / 2026-09-11 - - 2021-01-27(시행)
개인정보 보호법 위반에 대한 과징금 부과기준 | 2 | 제2026-5호 | 2026-05-22 제2026-5호 개정 2026-05-19(구분 미표기) / 2023-09-19 - 일부개정 2023-09-15(공포·개정)
개인정보 보호수준 평가에 관한 고시 | 2 | 제2026-2호 | 2026-02-20 제2026-2호 일부개정 2026-02-20(시행) / 2024-03-18 제2024-4호 - -
개인정보 보호위원회의 조사 및 처분에 관한 규정 | 2 | - | 2023-10-18 - 일부개정 2023-10-16(공포·개정) / 2020-12-23 - - -
개인정보보호 자율규제단체 지정 등에 관한 규정 | 2 | - | 2022-08-03 - 일부개정 - / 2020-08-19 - - -
개인정보의 기술적·관리적 보호조치 기준 | 2 | - | 2023-09-22 - 폐지 2023-09-22(공포·개정) / 2020-11-04 - - -
공공기관의 가명정보 결합 및 반출 등에 관한 고시 | 2 | 제2022-8호 | 2022-12-30 제2022-8호 폐지 - / 2020-12-02 - - -
한국으로 이전된 개인정보의 처리와 관련한 개인정보 보호법의 해석과 적용을 위한 보완규정 | 2 | - | 2021-03-11 - - - / 2020-09-01 - - -
[지침] 개인정보 보호 법규 위반에 대한 징계권고 기준 | 1 | - | 2026-09-11 - - 2022-12-14(시행)
[지침] 개인정보 보호법 위반에 대한 공표 및 공표명령 지침 | 1 | - | 2026-09-11 - - 2026-09-11(시행)
[지침] 개인정보 보호위원회 처분결과의 공표기준 | 1 | - | 2026-09-11 - - 2020-11-18(시행)
가명정보의 결합 및 반출 등에 관한 고시 일부 | 1 | 제2022-7호 | 2022-12-30 제2022-7호 개정 -
가스 분야 개인정보 전송에 관한 고시 | 1 | 제2026-8호 | 2026-06-06 제2026-8호 제정 2026-06-01(시행)
개인정보 국외 이전 운영 등에 관한 규정 | 1 | - | 2023-10-18 - 제정 2023-10-16(공포·개정)
개인정보보호 법규 위반에 대한 과징금 부과기준 | 1 | - | 2022-10-20 - - -
개인정보보호위원회 사전적정성 검토제 운영규정 | 1 | 제2024-6호 | 2024-04-08 제2024-6호 - 2024-04-02(시행)
개인정보보호 자율규제 단체지정 및 운영 등에 관한 규정 | 1 | 제2025-6호 | 2025-05-23 제2025-6호 개정 2025-05-22(구분 미표기)
개인정보 보호책임자 경력 인정에 관한 고시 | 1 | 제2024-5호 | 2024-04-08 제2024-5호 - 2024-04-02(시행)
개인정보 보호책임자 지정 및 경력 인정에 관한 고시 | 1 | - | 2026-09-11 - - 2026-09-11(시행)
개인정보 분야 전문용어 표준화 | 1 | - | 2023-08-08 - 제정 2023-08-04(공포·개정)
개인정보의 기술적관리적 보호조치 기준 | 1 | 제2021-3호 | 2021-09-16 제2021-3호 - -
개인정보 전송 및 개인정보관리 전문기관 지정 등에 관한 고시 | 1 | 제2025-1호 | 2025-03-05 제2025-1호 제정 2025-03-05(시행)
개인정보 처리방침 평가에 관한 고시 | 1 | 제2024-3호 | 2024-02-27 제2024-3호 - -
국경 간 개인정보보호규칙 인증제도의 운영에 관한 지침 | 1 | 제2026-1호 | 2026-02-03 제2026-1호 - 2026-02-03(구분 미표기)
디지털 포렌식 지원 및 증거 보관 관리 규정 | 1 | 제2026-4호 | 2026-03-23 제2026-4호 제정 2026-03-19(시행)
보건의료 분야 개인정보 전송에 관한 고시 | 1 | 제2025-3호 | 2025-03-13 제2025-3호 제정 2025-03-13(시행)
보건의료 분야 개인정보 전송에 관한 고시 개 | 1 | 제2026-3호 | 2026-03-23 제2026-3호 - 2026-03-18(시행)
자동화된 결정에 대한 개인정보처리자의 조치 기준 | 1 | 제2024-9호 | 2024-09-30 제2024-9호 제정 2024-09-26(시행)
전기 분야 개인정보 전송에 관한 고시 | 1 | 제2026-7호 | 2026-06-06 제2026-7호 제정 2026-06-01(시행)
정보보호 및 개인정보보호 관리체계 인증 등에 관한고시 일부 | 1 | - | 2022-07-21 - 개정 -
주민등록번호 유출 등에 대한 과징금 부과기준 | 1 | - | 2022-10-20 - - -
통신 분야 개인정보 전송에 관한 고시 | 1 | 제2025-2호 | 2025-03-05 제2025-2호 제정 2025-03-13(시행)
## 금감원 제재 중 개인(신용)정보 관련 건 — 신용정보법 축 (https://datalaw.kr/sanctions/fss/)
- 출처: 금융감독원 검사·제재 공시 (제재내용 공개안) / 기준일 2026-09-11 / 심사 1787건 중 관련 55건 · 본문 미수록 287건
- 🔴 **처분청이 개인정보보호위원회가 아니라 금융감독원이고 근거법이 「신용정보의 이용 및 보호에 관한 법률」·전자금융거래법 등이다. 개인정보위 제재 표와 건수·금액을 합산하면 안 된다.**
- 🔴 **금액을 싣지 않았다** — 제재내용 공개안의 처분 표가 PDF 추출에서 열이 흐트러져(「과징금 억 백만원 과태료 백만원 , 129 76 , 48」) 어느 숫자가 과징금인지 가릴 수 없다. 조치 종류만 싣고 금액은 원문 PDF 에 있다.
- 판별은 두 겹이다 — 공개안 본문의 근거법 표지 + **문책 항목 제목**이 개인(신용)정보를 말할 것. 표지만 보면 자금세탁·여신심사 건이 섞인다. 항목 제목에 드러나지 않는 건은 빠지므로 **하한**이다.
- 조치 분포: 과태료 51 · 견책·감봉 25 · 자율처리 23 · 기관주의 22 · 과징금 15 · 기관경고 8 · 주의적경고 6 · 문책경고 3
- 연도별: 2021 6 · 2022 6 · 2023 8 · 2024 22 · 2025 5 · 2026 8
- ⚠️ 개인정보위와 겹치는 사업자는 **수기 승인분만** 표시한다. 이름이 비슷하다고 같은 법인이 아니다(「농협중앙회」와 「농협중앙회 신용협동조합」은 다르다).
조치일 | 금융회사 | 조치 | 개인(신용)정보 관련 지적 | 개인정보위 처분 | 원문
2026-08-25 | 토스뱅크 주식회사 | 과태료·기관주의·견책·감봉·자율처리 | 금융거래정보 제공사실 명의인 통보 의무 및 기록⋅관리 의무 위반 / 신용정보 이용 및 제공에 대한 고객 조회시스템 구축 지연 / 프로그램 변경통제 위반 등 전자금융거래의 안전성 확보의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202400673_03_%ED%86%A0%EC%8A%A4%EB%B1%85%ED%81%AC+%EC%A0%95%EA%B8%B0%EA%B2%80%EC%82%AC+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2026-07-31 | 롯데카드㈜ | 과징금·문책경고·견책·감봉 | 정보처리시스템의 보정(patch) 작업 미실시* / 주민등록번호 및 비밀번호 암호화 미이행* / 신용정보보호 관련 법규 준수 여부에 대한 점검 소홀* | 롯데카드 주식회사 — 제24조의2 과징금 96억 2,000만 원 (2026-03-11 의결) | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202500566_01_260803_%EB%A1%AF%EB%8D%B0%EC%B9%B4%EB%93%9C%E3%88%9C+%EC%88%98%EC%8B%9C%EA%B2%80%EC%82%AC+%EA%B2%80%EC%82%AC%EC%84%9C_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EB%93%B1+%EA%B3%B5%EA%B0%9C%EC%95%88_F.pdf
2026-07-14 | KB증권주식회사 | 과징금·과태료·기관주의·견책·감봉·자율처리 | 신용정보의 정확성·최신성 유지의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202500516_01_KB%EC%A6%9D%EA%B6%8C+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2026-05-07 | 동래농협 | 과태료 | 신용정보 제공·이용자의 사전통지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202500307_01_20260508_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9%EA%B3%B5%EA%B0%9C%EC%95%88_%EB%8F%99%EB%9E%98%EB%86%8D%EC%97%85%ED%98%91%EB%8F%99%EC%A1%B0%ED%95%A9.pdf
2026-04-07 | 광안 | 과태료 | 신용정보의 정확성 및 최신성 유지의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202500411_01_202500411_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9%EA%B3%B5%EA%B0%9C%EC%95%88_%EA%B4%91%EC%95%88%EC%8B%A0%ED%98%91.pdf
2026-01-29 | 오에스비저축은행 | 과태료·견책·감봉 | 신용정보전산시스템 보안대책 수립·시행의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202500102_01_2025-00102_%28%EC%84%9C%EC%9A%B8%29%EC%98%A4%EC%97%90%EC%8A%A4%EB%B9%84%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2026-01-28 | ㈜카카오페이 | 과징금·과태료·기관경고·주의적경고·견책·감봉 | 고객 동의 없는 개인신용정보의 부당제공 / 신용정보전산시스템 관리적 보안대책 등 위반 | ㈜카카오페이 — 제28조의8 국외이전 과징금 59억 6,800만 원 (2025-01-22 의결) (같은 사건) | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202400272_01_260205_%EC%B9%B4%EC%B9%B4%EC%98%A4%ED%8E%98%EC%9D%B4+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2026-01-26 | 모아저축은행 | 과징금·과태료·기관주의·견책·감봉 | 해킹 등 방지대책 운용 의무 위반 / 프로그램 등록 절차 수립·운용 의무 위반 / 암호키 관리 통제 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202400090_01_%EB%AA%A8%EC%95%84%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%88%98%EC%8B%9C%EA%B2%80%EC%82%AC+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2025-12-22 | 페퍼저축은행 | 과태료·문책경고·견책·감봉 | 신용정보 수집 및 처리 원칙 준수 소홀 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202400478_01_%ED%8E%98%ED%8D%BC%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2025-12-15 | NH투자증권 | 과징금·과태료·기관주의·견책·감봉·자율처리 | 프로그램 통제 위반 / 홈페이지 등 공개용 웹서버 관리대책 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202400233_01_NH%ED%88%AC%EC%9E%90%EC%A6%9D%EA%B6%8C%E3%88%9C+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2025-10-28 | 미래에셋증권 주식회사 | 과태료·기관주의·견책·감봉·자율처리 | 정보처리시스템의 성능관리 의무 위반 / 프로그램 변경통제 절차 준수의무 위반 / 신용정보전산시스템 보안대책 수립·시행 의무 위반 / 개인신용정보 누설통지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200587_07_%EB%AF%B8%EB%9E%98%EC%97%90%EC%85%8B%EC%A6%9D%EA%B6%8C%E3%88%9C+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2025-08-14 | 상상인플러스저축은행 | 과태료 | 상거래관계가 종료된 고객의 개인신용정보 분리보관 위반 등 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202400774_02_%EC%83%81%EC%83%81%EC%9D%B8%ED%94%8C%EB%9F%AC%EC%8A%A4%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C_FN.pdf
2025-06-02 | 흥국화재해상보험주식회사 | 과태료·기관주의·자율처리 | 신용정보전산시스템에 대한 보안대책 수립 시행 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300410_02_%ED%9D%A5%EA%B5%AD%ED%99%94%EC%9E%AC%28%EC%A3%BC%29%EC%97%90+%EB%8C%80%ED%95%9C+%EC%88%98%EC%8B%9C%EA%B2%80%EC%82%AC+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EC%8B%9C_%EB%AC%B8%EC%B1%85.pdf
2024-12-27 | 수협은행 | 과태료·기관주의·견책·감봉·자율처리 | 영리목적의 광고성 정보 전송행위에 개인신용정보 부당 이용 등 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300501_06_250103+%EC%88%98%ED%98%91%EC%9D%80%ED%96%89+%EC%A0%95%EA%B8%B0%EA%B2%80%EC%82%AC+%EB%B6%84%EB%A6%AC%EC%B2%98%EB%A6%AC2%EC%B0%A8+%EC%A0%9C%EC%9E%AC%EA%B3%B5%EC%8B%9C%28%EB%AC%B8%EC%B1%85%29_%EC%88%98%EC%A0%95.pdf
2024-12-10 | 신용협동조합중앙회 | 과징금·과태료·기관경고·견책·감봉 | 개인신용정보 업무 목적 외 누설 / 신용정보전산시스템 안전보호 의무위반 등에 따른 개인신용정보 유출 / 전자금융거래 안전성 확보의무 위반(망분리 관련 해킹방지대책 위반) / 개인신용정보 누설 통지 및 누설신고서 제출 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200032_02_2022+%EC%8B%A0%EC%9A%A9%ED%98%91%EB%8F%99%EC%A1%B0%ED%95%A9%EC%A4%91%EC%95%99%ED%9A%8C+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88+F.pdf
2024-12-05 | 호주뉴질랜드 | 과태료·기관주의·자율처리 | 신용정보관리‧보호인 미지정 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300092_01_%ED%98%B8%EC%A3%BC%EB%89%B4%EC%A7%88%EB%9E%9C%EB%93%9C%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_F.pdf
2024-12-05 | BNP파리바 | 과태료·기관주의 | 신용정보전산시스템 보안대책 수립·시행의무 위반 및 신용정보 관리기준 / 신용정보관리‧보호인 미지정 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300093_01_%EB%B9%84%EC%97%94%ED%94%BC%ED%8C%8C%EB%A6%AC%EB%B0%94%EC%9D%80%ED%96%89+%EC%84%9C%EC%9A%B8%EC%A7%80%EC%A0%90+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_F.pdf
2024-12-05 | 모간스탠리은행 | 과태료·기관주의·자율처리 | 신용정보전산시스템 보안대책 수립·시행의무 위반 및 신용정보 관리기준 / 신용정보관리‧보호인 미지정 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300094_01_%EB%AA%A8%EA%B0%84%EC%8A%A4%ED%83%A0%EB%A6%AC%EC%9D%80%ED%96%89+%EC%84%9C%EC%9A%B8%EC%A7%80%EC%A0%90+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_F.pdf
2024-11-28 | 고려저축은행 | 과징금·과태료·기관주의·견책·감봉 | 개인신용정보 부당 제공 / 신용정보 전산시스템 보안대책 수립․시행의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100589_01_%EA%B3%A0%EB%A0%A4%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2024-11-28 | 예가람저축은행 | 과징금·과태료·기관주의·견책·감봉 | 개인신용정보 부당 제공 / 영리목적의 광고성 정보 전송행위에 개인신용정보 부당 이용 / 신용정보 전산시스템 보안대책 수립․시행의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100590_01_%EC%98%88%EA%B0%80%EB%9E%8C%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_F.pdf
2024-11-06 | 전북은행 | 과태료·기관경고·자율처리 | 상거래관계가 종료된 고객의 개인신용정보 삭제 위반 등 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300323_02_20241115+%EC%A0%84%EB%B6%81%EC%9D%80%ED%96%89+%EC%A0%95%EA%B8%B0%EA%B2%80%EC%82%AC+%EC%A0%9C%EC%9E%AC%EC%82%AC%ED%95%AD+%EA%B3%B5%EC%8B%9C.pdf
2024-11-05 | 김천 | 과징금·과태료·기관주의·견책·감봉 | 개인신용정보 업무 부당 처리 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300300_02_%28%EA%B2%BD%EB%B6%81%29%EA%B9%80%EC%B2%9C%EC%8B%A0%EC%9A%A9%ED%98%91%EB%8F%99%EC%A1%B0%ED%95%A9+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2024-10-25 | ㈜비바리퍼블리카 | 과징금·과태료·기관주의·주의적경고·견책·감봉 | 정보집합물 부당결합을 통한 개인신용정보 부당 이용 및 제공·활용 / 신용정보전산시스템 안전보호 의무 위반 / ｢내보험 조회서비스｣ 관련 개인신용정보 부당 수집·이용 및 프로그램 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200059_03_241025_%E3%88%9C%EB%B9%84%EB%B0%94%EB%A6%AC%ED%8D%BC%EB%B8%94%EB%A6%AC%EC%B9%B4_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C.pdf
2024-08-28 | 산림조합중앙회 | 과태료 | 상거래 관계가 종료된 고객의 개인신용정보 미삭제 및 분리보관 미이행 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300737_02_2.+%EC%82%B0%EB%A6%BC%EC%A1%B0%ED%95%A9%EC%A4%91%EC%95%99%ED%9A%8C+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2024-06-10 | 우리금융캐피탈㈜ | 과태료·자율처리 | 신용정보 정확성 및 최신성 유지 의무 위반 / 개인신용정보 분리보관 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300507_01_%28%EC%9A%B0%EB%A6%AC%EA%B8%88%EC%9C%B5%EC%BA%90%ED%94%BC%ED%83%88%29+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C_%EB%AC%B8%EC%B1%85%EC%82%AC%ED%95%AD.pdf
2024-05-08 | 한화생명보험주식회사 | 과태료·자율처리 | 신용정보전산시스템 보안대책 수립·시행 의무 위반 / 신용정보 업무처리기록 보존의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100635_02_240508_%ED%95%9C%ED%99%94%EC%83%9D%EB%AA%85%EB%B3%B4%ED%97%98%28%EC%A3%BC%29+%EB%B6%80%EB%AC%B8%EA%B2%80%EC%82%AC+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2024-04-03 | 오케이저축은행 | 과태료·견책·감봉 | 신용정보의 정확성 및 최신성 유지의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200181_02_240408_%EC%98%A4%EC%BC%80%EC%9D%B4%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_F.pdf
2024-03-08 | 중앙농협 | 과태료 | 신용정보의 정확성 및 최신성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200499_01_202200499_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9%EA%B3%B5%EA%B0%9C%EC%95%88_%EC%9A%B8%EC%82%B0%EC%A4%91%EC%95%99%EB%86%8D%ED%98%91.pdf
2024-03-08 | 신한카드㈜ | 과태료·자율처리 | 신용정보의 정확성 및 최신성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200728_01_240308_%EC%8B%A0%ED%95%9C%EC%B9%B4%EB%93%9C%28%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%29F.pdf
2024-03-08 | 엠캐피탈㈜ | 과태료 | 신용정보의 정확성 및 최신성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200729_01_240308_%EC%97%A0%EC%BA%90%ED%94%BC%ED%83%88%28%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%29F.pdf
2024-03-08 | 도이치파이낸셜㈜ | 과태료 | 신용정보의 정확성 및 최신성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200730_01_240308_%EB%8F%84%EC%9D%B4%EC%B9%98%ED%8C%8C%EC%9D%B4%EB%82%B8%EC%85%9C%28%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%29F.pdf
2024-03-08 | 미래에셋캐피탈㈜ | 과태료 | 신용정보의 정확성 및 최신성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200731_01_240308_%EB%AF%B8%EB%9E%98%EC%97%90%EC%85%8B%EC%BA%90%ED%94%BC%ED%83%88%28%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%29F.pdf
2024-02-29 | 유안타저축은행 | 기관주의 | 신용정보 수집 및 처리 원칙 준수 소홀 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300591_01_202300591_240307_%EC%9C%A0%EC%95%88%ED%83%80%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_%EC%B5%9C%EC%A2%85.pdf
2024-02-23 | 대화(UOB)은행 | 과태료·기관주의·주의적경고·자율처리 | 신용정보전산시스템 보안대책 수립·시행의무 위반 / 신용정보관리·보호인 미지정 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202300441_01_%28%EA%B3%B5%EC%8B%9C%29_%EB%8C%80%ED%99%94%EC%9D%80%ED%96%89+%EC%84%9C%EC%9A%B8%EC%A7%80%EC%A0%90+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C.pdf
2024-01-04 | 우리은행 | 과태료·기관경고·견책·감봉·자율처리 | 영리목적의 광고성 정보 전송행위에 미동의 개인신용정보 이용 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100626_01_%EC%9A%B0%EB%A6%AC%EC%9D%80%ED%96%89+%EC%A2%85%ED%95%A9%EA%B2%80%EC%82%AC+%EB%B0%8F+%EC%88%98%EC%8B%9C%EA%B2%80%EC%82%AC+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2023-11-10 | 페퍼저축은행 | 과징금·과태료·견책·감봉 | 신용정보 전산시스템 보안대책 수립․시행의무 위반 / 신용정보의 정확성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200103_02_231110_%ED%8E%98%ED%8D%BC%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%97%AD+%EA%B3%B5%EA%B0%9C%EC%95%88_F.pdf
2023-11-01 | 한화저축은행 | 과태료 | 신용정보 정확성 유지의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200038_01_231108+%ED%95%9C%ED%99%94%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2023-11-01 | 스마트저축은행 | 과태료 | 신용정보 정확성 유지의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200151_02_2311+%EC%8A%A4%EB%A7%88%ED%8A%B8%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EA%B3%B5%EC%8B%9C%EC%95%88F.pdf
2023-11-01 | 농협자산관리회사 | 과태료 | 신용정보의 정확성 및 최신성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200383_01_%EB%86%8D%ED%98%91%EC%9E%90%EC%82%B0%EA%B4%80%EB%A6%AC%ED%9A%8C%EC%82%AC_%EC%88%98%EC%8B%9C%EA%B2%80%EC%82%AC_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9_231101.pdf
2023-09-13 | 수산업협동조합중앙회 | 과태료 | 신용정보 전산시스템 보안대책 수립·시행의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200524_02_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C_%EC%88%98%ED%98%91%EC%A4%91%EC%95%99%ED%9A%8C.pdf
2023-05-23 | 소시에테제네랄 | 과태료·기관주의·견책·감봉 | 신용정보전산시스템 보안대책 수립·시행 의무 위반 및 신용정보 관리기준 미준수 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200180_02_%EC%86%8C%EC%8B%9C%EC%97%90%ED%85%8C%EC%A0%9C%EB%84%A4%EB%9E%84%EC%9D%80%ED%96%89+%EC%84%9C%EC%9A%B8%EC%A7%80%EC%A0%90+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_Fn.pdf
2023-04-11 | 장목농협 | 과태료 | 신용정보의 정확성 및 최신성 유지 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202200290_01_%EC%9E%A5%EB%AA%A9%EB%86%8D%ED%98%91_%EC%88%98%EC%8B%9C%EA%B2%80%EC%82%AC_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9_230411.pdf
2023-02-24 | DB손해보험주식회사 | 과징금·과태료·기관주의·견책·감봉·자율처리 | 개인신용정보처리시스템 접근권한 통제 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=201900984_02_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9%EA%B3%B5%EA%B0%9C%EC%95%88_%EB%94%94%EB%B9%84%EC%86%90%ED%95%B4%EB%B3%B4%ED%97%98.pdf
2022-12-14 | 국민은행 | 과태료·기관경고·견책·감봉·자율처리 | 영리목적의광고성정보 전송행위에개인신용정보부당이용 등 / 일회성 고객 개인신용정보 미삭제 / 거래정보등의 제공사실 통보 의무 및 기록‧관리 의무 위반 | 주식회사 국민은행 — 제22조 과태료 120만 원 (2023-10-11 의결) | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100317_01_%EA%B5%AD%EB%AF%BC%EC%9D%80%ED%96%89_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2022-10-31 | 하나은행 | 과태료·자율처리 | 상거래관계 종료 고객의 개인신용정보 미삭제 및 분리보관 미이행 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202000328_01_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_%ED%95%98%EB%82%98%EC%9D%80%ED%96%89%28f%29.pdf
2022-08-12 | KB증권주식회사 | 자율처리 | 개인신용정보 부당 제공 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100468_02_KB%EC%A6%9D%EA%B6%8C_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2022-06-10 | 경남중앙 | 기관주의·문책경고·주의적경고 | 개인신용정보 부당 이용 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100321_02_%EA%B2%BD%EB%82%A8%EC%A4%91%EC%95%99%EC%8B%A0%ED%98%91+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2022-02-25 | 오성저축은행 | 과징금·과태료·기관주의·주의적경고 | 신용정보 전산시스템 보안대책 수립․시행의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202100093_01_%40+2202+%EC%98%A4%EC%84%B1%EC%A0%80%EC%B6%95%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC+%EA%B3%B5%EA%B0%9C%EC%95%88_%EC%B5%9C%EC%A2%85.pdf
2022-02-04 | 삼성생명보험주식회사 | 과징금·과태료·기관경고·견책·감봉·자율처리 | 신용정보의 정확성 및 최신성의 유지 위반 / 전자금융거래의 안전성 확보의무 위반(정보처리시스템과 전산실 단말기에 대한 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=201900771_05_%EC%82%BC%EC%84%B1%EC%83%9D%EB%AA%85+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88_021111_F.pdf
2021-09-09 | 한국산업은행 | 과태료·기관주의·자율처리 | 상거래관계가 종료된 고객의 개인신용정보 삭제 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202000351_01_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88%28%ED%95%9C%EA%B5%AD%EC%82%B0%EC%97%85%EC%9D%80%ED%96%89%29.pdf
2021-07-16 | 농협중앙회 | 과태료·기관주의·견책·감봉 | 개인신용정보 부당 조회 / 신용정보전산시스템 보안대책 수립·시행 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=201901074_01_201901074_01_%EB%86%8D%EC%97%85%ED%98%91%EB%8F%99%EC%A1%B0%ED%95%A9%EC%A4%91%EC%95%99%ED%9A%8C+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2021-06-10 | 경남은행 | 과태료 | 상거래관계가 종료된 고객의 개인신용정보 미삭제 / 상거래관계가 종료된 고객의 개인신용정보 분리보관 미이행 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202000609_01_%EA%B2%BD%EB%82%A8%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2021-04-14 | 수협은행 | 과징금·과태료·자율처리 | 개인신용정보 분리·접근권한 강화 및 삭제 의무 위반 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=201900505_01_%EC%88%98%ED%98%91%EC%9D%80%ED%96%89+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
2021-04-06 | 한국스탠다드차타드은행 | 과태료·기관경고·견책·감봉·자율처리 | 거래정보등의 제공사실 통보 의무 및 기록 관리 의무 위반 / 상거래관계가 종료된 고객의 개인신용정보 미삭제 및 분리보관 미이행 / 신용정보 등록업무 불철저 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=202000443_01_202000443+%ED%95%9C%EA%B5%AD%EC%8A%A4%ED%83%A0%EB%8B%A4%EB%93%9C%EC%B0%A8%ED%83%80%EB%93%9C%EC%9D%80%ED%96%89_%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9%EA%B3%B5%EA%B0%9C%EC%95%88_%EB%AC%B8%EC%B1%85%EA%B1%B4.pdf
2021-02-23 | 신한은행 | 과태료·기관경고·주의적경고·견책·감봉·자율처리 | 영리목적의 광고성 정보 전송행위에 개인신용정보 부당 이용 등 / 임직원 등의 신용정보 부당 이용 / 개인신용정보 부당 제공 등 | - | https://www.fss.or.kr/fss.hpdownload?path=/dtm/opn/&file=201901028_01_%EC%8B%A0%ED%95%9C%EC%9D%80%ED%96%89+%EC%A2%85%ED%95%A9%EA%B2%80%EC%82%AC+%EC%A0%9C%EC%9E%AC%EB%82%B4%EC%9A%A9+%EA%B3%B5%EA%B0%9C%EC%95%88.pdf
## 제재의 「사고가 어떻게 났는가」 층 — 결정문 유출 경위·유출 내용 절 (https://datalaw.kr/sanctions/breach/)
- 출처: 개인정보위 결정문 「유출 경위」·「유출 내용」 절 / 기준일 2026-09-11 / 결정문 공개 889건 중 유출 절이 있는 327건(경위 206 · 항목 294)
- 경위 문장은 결정문 **원문**이고, 「유형」은 세기 위해 붙인 축입니다. `/violations/`(위원회가 인정한 위반행위)의 **앞마디**입니다 — 「접근통제 미흡」은 판단이고 「해커가 관리자 계정으로 접근」은 사실입니다.
- 🔴 **분모는 유출 절을 둔 의결이다.** 유출이 아닌 위반(동의·처리방침 등)은 애초에 없다.
- 🔴 **항목은 그 절 안에서만 센다** — 적히지 않은 항목이 유출되지 않았다는 뜻이 아니다.
- 🔴 **과징금 비율을 인과로 읽지 말 것.** 과징금 상한이 관련 매출액 기준이라 규모가 큰 서비스일수록 금액이 커지는데, 큰 서비스가 외부 공격의 표적이 되기도 쉽다.
- 경위 분포: 취약점·설계 결함 60건(과징금 29) · 기타·미상 32건(과징금 5) · 외부 침입·해킹 30건(과징금 17) · 담당자 실수(오발송·오게시) 28건(과징금 6) · 잘못된 게시·노출 25건(과징금 3) · 설정 오류·시스템 장애 9건(과징금 0) · 계정 도용·대입 공격 7건(과징금 1) · 원인 불명·확인 안 됨 5건(과징금 0) · 랜섬웨어 4건(과징금 2) · 문서 분실·파기 미흡 3건(과징금 0) · 사회공학·사칭 2건(과징금 0) · 수탁자·위탁 관계에서 1건(과징금 1)
- 항목 분포: 성명 245 · 연락처 194 · 주소 170 · 이메일 136 · 아이디·비밀번호 98 · 주민등록번호 83 · 생년월일·나이 75 · 계좌·카드번호 35 · IP·접속기록 34 · 소속·직위 29 · 학적·성적 21 · 외국인등록번호·여권번호 13 · 사진·영상 12 · 거래·구매 내역 9 · 건강·진료 정보 7 · 생체정보 1
의결일 | 안건번호 | 피심인 | 경위 유형 | 유출 규모 | 유출 항목 | 경위(원문) | 행 주소
2026-08-26 | 제2026-216-365호 | ㈜위솝 | - | 2003명 | 성명·연락처·이메일 | - | https://datalaw.kr/sanctions/breach/#br-2026-216-365
2026-08-26 | 제2026-216-364호 | 제이엠가정의학과의원 | - | 151명 | 성명·연락처·이메일 | - | https://datalaw.kr/sanctions/breach/#br-2026-216-364
2026-08-26 | 제2026-216-363호 | ㈜포시에스 | - | 2432명 | 성명·연락처·이메일 | - | https://datalaw.kr/sanctions/breach/#br-2026-216-363
2026-08-26 | 제2026-216-362호 | 의료법인 제노플랜 의료재단 | - | - | 성명·건강·진료 정보 | - | https://datalaw.kr/sanctions/breach/#br-2026-216-362
2026-08-26 | 제2026-216-361호 | ㈜온오프믹스 | - | - | 성명·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-216-361
2026-08-26 | 제2026-216-360호 | 순천향대 부속 부천병원 | - | 1명 | 성명·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2026-216-360
2026-08-26 | 제2026-216-354호 | 양평군청 | 기타·미상 | 275명 | 성명·연락처·생년월일·나이·건강·진료 정보 | 1) 법률 제19234호, 2023. 3. 14. 일부개정 - 2 - 정신건강복지센터 소속 직원 황ㅇㅇ은 사업대상자의 개인정보가 포함된 엑셀 파일 (등록관리대장)을 대여한 노트북에 저장한 상태로 해당 노트북을 소유자인 A 에게 인도하였다. 황ㅇㅇ은 정신건강팀에서 계약직으로 근무 (’21. 11. ~ ’22. 1.)하였으며, A의 고발에 따라 양평경찰서에서 수사하였으나, 고의 유출 정황이 없어 무혐의 종결되었다. | https://datalaw.kr/sanctions/breach/#br-2026-216-354
2026-08-26 | 제2026-207-115호 | (사)북한발전연구원 | - | - | 주민등록번호·성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-207-115
2026-08-26 | 제2026-207-114호 | 에너지경제연구원 | 기타·미상 | - | 주민등록번호·성명·연락처·주소 | 북한연은 ’19. 7월부터 9월까지 ‘북한에너지산업 현황 및 유통 상황에 관한 설문 조사’를 실시하고 설문 참여자에게 설문조사 사례비를 지급하였으며, 이후 원천 징수신고를 위하여 설문 참여자의 개인정보가 담긴 엑셀파일을 SD카드에 보관 하였다. 이후 ’22. 5월 북한연은 대북풍선을 살포하였으나 가평군 야산에 낙하하였고, 이를 회수한 경찰이 풍선 안의 SD카드에서 북한연이 실시한 설문조사에 응답한 1) 법률 제14839호, 2017. 7. 26. 시행 | https://datalaw.kr/sanctions/breach/#br-2026-207-114
2026-08-26 | 제2026-017-098호 | HD한국조선해양(주) | 취약점·설계 결함 | - | - | 신원 미상의 자(이하 ‘해커’)는 피심인이 운영하는 MDM 서버의 파일 업로드 취약점을 이용하여 웹쉘(Web Shell) 파일을 서버에 업로드하고 이를 실행하였다. 이후 해커는 MDM 서버를 통해 HD건설기계(주)3)의 장비영업포털에 접속하여 포털 DB에서 개인정보를 추출하였으며, 이를 MDM 서버에 업로드 후 다시 다운 로드받는 방식으로 개인정보를 유출하였다. < 네트워크 구성도 > 3) 당초 HD건설기계(주)와 HD한국조선해양(주)의 사업부문은 현대중공업(주)라는 단일 법인 내에서 운영 | https://datalaw.kr/sanctions/breach/#br-2026-017-098
2026-08-26 | 제2026-017-097호 | HD건설기계(주) | 취약점·설계 결함 | 9503명 | 성명·연락처·소속·직위 | 신원 미상의 자(이하 ‘해커’)는 HD한국조선해양(주)가 운영하는 MDM3) 서버 의 파일 업로드 취약점을 이용하여 웹쉘(Web Shell) 파일을 서버에 업로드하고 이를 실행하였다. 이후, 해커는 MDM 서버를 통해 피심인의 장비영업포털에 접속 하여 장비영업포털의 DB 내 테이블에서 개인정보를 추출하였으며, 이를 MDM 서버에 업로드 후 다시 다운로드받는 방식으로 개인정보를 유출하였다. < 네트워크 구성도 > 3) MDM(Mobile Device Managemen t) : 모바일 기기를 중앙에서 관리·통제하는 시스템으로, 기술 유출 | https://datalaw.kr/sanctions/breach/#br-2026-017-097
2026-08-12 | 제2026-215-336호 | ㈜지에이개발 | - | - | 성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-215-336
2026-08-12 | 제2026-215-335호 | 거여파크 지역주택조합 추진위원회 | - | 5건 | 주민등록번호·연락처 | - | https://datalaw.kr/sanctions/breach/#br-2026-215-335
2026-07-22 | 제2026-214-295호 | 용인시청 | 문서 분실·파기 미흡 | - | 주민등록번호·성명·주소 | 수지구청에서 관리하는 대장 바인더 776권 중 17권이 원인 불명의 사유로 분실되었다. 이번 분실과 관련하여 수사를 담당했던 용인서부경찰서에 따르면 수지구청사 이전(2012년) 과정에서 분실되었을 가능성이 높으며, 경찰은 폐지더미 사이에서 (구)건축물대장 17권을 습득한 자로부터 압수(’25.3.)하였고, 이를 수지구청에 반환(’25.7.) 하였다. | https://datalaw.kr/sanctions/breach/#br-2026-214-295
2026-07-22 | 제2026-214-294호 | 가평군청 | 잘못된 게시·노출 | 5건 | 주민등록번호·외국인등록번호·여권번호·성명·주소 | 피심인 소속 담당자가 ’24.11월부터 ’25.1월 중 공시송달 공고문(자동차세 4건, 양도소득세 1건)을 작성하면서 개인정보를 마스킹 하지 않고 작성한 뒤, 이를 군청 홈페이지＊에 게시하였다. ＊ 가평군 홈페이지 고시공고(https://gp.go.kr/portal/selectgosidata.do) | https://datalaw.kr/sanctions/breach/#br-2026-214-294
2026-07-22 | 제2026-214-293호 | 용인시장학재단 | 외부 침입·해킹 | - | 주민등록번호·성명·연락처·이메일·주소·생년월일·나이 | 중국 해커가 에 관리자로 접근, 이자 지원을 위한 신청서류 등을 열람·다운로드(’24.1.28.) 한 뒤, 관리자 계정정보와 함께 텔레그램에 게시(’24.1.29.)하였다. | https://datalaw.kr/sanctions/breach/#br-2026-214-293
2026-07-22 | 제2026-214-292호 | (재)대구광역시 동구문화재단 | 외부 침입·해킹 | - | 성명·연락처·이메일·주소·생년월일·나이 | 중국 해커가 에 대해 ‘ ’ 공격(’23.12.31.~’24.1.28.)을 하여 DB 내 회원가입자 개인정보를 탈취(176.96.138.211, 독일)하고, 이를 텔레그램에 게시(’24.1.28. 23:40)하였다. | https://datalaw.kr/sanctions/breach/#br-2026-214-292
2026-07-22 | 제2026-214-291호 | 인천광역시청 | 랜섬웨어 | - | 성명·이메일·주소 | 피심인이 보안 정책을 업데이트 하는 과정에서 알 수 없는 이유로 방화벽에 장애(’23.12.26. 11:10∼16:00)가 발생하였고, 이로 인해 방화벽에 설정해 놓은 접근통제 정책＊이 일시적으로 비활성화되었고, 그 사이 신원 미상의 해커(IP:94.156.71.54, 네덜란드)가 개방된 를 통해 원격으로 접속, DB를 삭제(’23.12.26. 12:50)하고 랜섬노트＊＊를 남김 ＊ 피심인은 방화벽에 외부 접근은 모두 차단하는 정책을 적용하고 있었음 ＊＊ 랜섬노트: “데이터를 복구하고 싶으면 0.017비트코인을 내라” | https://datalaw.kr/sanctions/breach/#br-2026-214-291
2026-07-22 | 제2026-214-290호 | 전남대학교 | 계정 도용·대입 공격 | - | 학적·성적 | 재학생 1명이 의 학생 계정 ID가 6자리 학번이고, 비밀번호가 6자리 생년월일이라는 점을 알아낸 뒤 ‘23.3.12. 다른 학생의 계정으로 전남대 포털에 접속하여 해당 학생의 개인정보를 열람하였다. | https://datalaw.kr/sanctions/breach/#br-2026-214-290
2026-07-22 | 제2026-214-289호 | 한국방송통신대학교 | 취약점·설계 결함 | - | 성명·연락처·주소·생년월일·나이 | 입학지원서 전형료 결제 완료 후 이동하는 페이지 에 매개변수 (지원년도·접수번호) 변조 취약점이 존재하였고, 해당 취약점을 인지한 자＊가 다른 입학지원자 36명＊＊의 입학지원서를 열람(’23.12.3.~4.)하였다. 조사 결과, 매개변수 변조 취약점은 피심인이 ’21학년도 서비스를 도입(’20.11.)하면서 발생한 것으로 확인되었다. ＊ 제보자(27.35.19.14), SBS(222.108.25.250, 222.108.25.252), KBS(210.115.223.46) ＊＊ 피심인은 보유기간(10년)이 지났음에도 파기하지 않고, ’11년부터 13년도 입학지원자 약 105만 명의 개인정보를 보관하고 있었음(’23.12.8. 파기 완료) | https://datalaw.kr/sanctions/breach/#br-2026-214-289
2026-07-22 | 제2026-214-269호 | 디자인디비 | - | - | 성명·연락처·이메일·주소·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2026-214-269
2026-07-08 | 제2026-213-271호 | 마스턴투자운용 주식회사 | - | - | 주민등록번호·외국인등록번호·여권번호·성명·연락처·이메일·주소·생년월일·나이·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2026-213-271
2026-07-08 | 제2026-213-270호 | 이데일리㈜ | - | - | 성명·연락처·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-213-270
2026-07-08 | 제2026-213-269호 | ㈜재미스홈 | - | 300명 | 성명·연락처·이메일 | - | https://datalaw.kr/sanctions/breach/#br-2026-213-269
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 외부 침입·해킹 | - | 성명·이메일·주소·아이디·비밀번호 | 피심인은 약학 관련 뉴스 및 정보중개업 등의 서비스를 제공하며, 웹사이트(dailypharm.com)를 운영하고 있다. 신원 미상의 자(이하 ‘해커’)가 알 수 없는 방법으로 획득한 관리자 계정을 통해 피심인의 개인정보 시스템에 접속하였고, 회원DB에 포함된 회원정보 중 일부를 유출하였다. 해커는 관리자 계정 접속 후 DB에서 회원 2명의 정보를 조회하였고, 전체 회원정보에 대한 다운로드를 시도하였지만 시스템 오류로 실패하였으나 회원DB 첫번째 페이지를 열람하였다. | https://datalaw.kr/sanctions/breach/#br-2026-213-268
2026-07-08 | 제2026-213-267호 | 얼굴홈트㈜ | - | 2000건 | 성명·연락처·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-213-267
2026-07-08 | 제2026-213-265호 | 하남도시공사 | 잘못된 게시·노출 | 6658명 | 성명·연락처·생년월일·나이 | 피심인은 강습프로그램 반 변경 공지를 위해 게시물을 홈페이지에 업로드하는 과정에서 담당자가 하남국민체육센터 12월 등록 회원 전원의 정보를 오게시하였다. | https://datalaw.kr/sanctions/breach/#br-2026-213-265
2026-07-08 | 제2026-213-264호 | 서광주세무서 | 담당자 실수(오발송·오게시) | 1명 | 주민등록번호·성명·연락처 | 피심인 소속 담당공무원이 현금영수증 미발급 신고 업무처리 과정에서 미발급 사업자가 아닌 신고자에게 해당 사업자의 개인정보가 담긴 ‘현금영수증 미발급 확인서’ 및 ‘명령서 수령증’이 첨부된 이메일을 오발송하였다.(’24.1.4.16:00경) | https://datalaw.kr/sanctions/breach/#br-2026-213-264
2026-07-08 | 제2026-213-263호 | 법원도서관 | 취약점·설계 결함 | - | - | 신원 미상의 자(이하 ‘해커’)는 ‘21.7.8.~12.20. 법원도서관 홈페이지 내 의 첨부파일 업로드 취약점＊을 이용하여 ( , )을 업로드하고 해당 에 접근하였다. ＊ 파라미터값에 따라 페이지를 호출하여 게시물 작성, 수정, 답변 기능 등을 수행하며, 파일확장자, 사용자 등에 대한 검증이 없어 누구나 임의로 접근이 가능함 ※ 이후 해커는 ’21.7.11.~’22.8.11. 페이지에 ( )을 업로드하고 해당 에 접근하였고, ’22.8.11. 00:48~03:15 와 파일을 외부로 전송하였다. 해커는 전송 직후 해당 파일을 삭제하였으나, 해당 파일 내 개인정보가 포함되었을 것으로 추정 2) 전문업체를 통해 복구 시도하였으나 복구가 불가하였음 닫기 | https://datalaw.kr/sanctions/breach/#br-2026-213-263
2026-07-08 | 제2026-213-262호 | 법원행정처 | 잘못된 게시·노출 | 1명 | 성명·연락처·이메일·주소·생년월일·나이·사진·영상 | 피심인은 위원들만 접속하여 안건 파일을 확인‧심의‧의결할 수 있도록 위원회 홈페이지 내 게시판을 운영하였다. 위원들은 인터넷망에서 별도 아이디와 비밀번호를 부여받아 추가 인증 절차 없이 로그인 후 위원공간 게시판에 접속이 가능했다. 위원공간 게시판의 첨부파일은 WEB‧WAS 서버와는 별개의 ‘첨부파일 서버’(file.scourt.go.kr)에 저장되어 있었으며, 위원공간 게시판의 다운로드 링크를 클릭하면 첨부파일 서버의 파일이 직접 다운로드되는 방식으로 운영되었다. 회생‧파산 관리인‧감사 후보자의 이력서 등 파일은 위원들이 안건 심의‧의결 후 담당 직원이 내부 결재를 받은 뒤 삭제를 해왔다. 이 와중에, ’24.1.12.~’24.1.17. 회생‧파산위원회 담당 직원이 특정 게시물의 조회수가 평소 대비 4∼5배 이상 높아졌음을 인지하고 자체 점검한 결과, 위원공간 게시판에 업로드된 파일 중 2건＊이 삭제 이후에도 알 수 없는 이유로 첨부파일 서버에 남아있었고, 이 중 감사 후보자 의 이력서 PDF 파일 다운로드 링크＊＊가 Microsft Bing 검색 엔진에 노출됨을 확인하였다. ＊ ＊ | https://datalaw.kr/sanctions/breach/#br-2026-213-262
2026-06-24 | 제2026-212-245호 | 농협중앙회 신용협동조합 | - | - | 성명·연락처·이메일·소속·직위 | - | https://datalaw.kr/sanctions/breach/#br-2026-212-245
2026-06-24 | 제2026-212-242호 | 레즈메드헬스케어코리아 | - | 14021건 | 성명·생년월일·나이·건강·진료 정보 | - | https://datalaw.kr/sanctions/breach/#br-2026-212-242
2026-06-24 | 제2026-212-241호 | 전기기술사사이버학원 | - | 12314건 | 성명·연락처·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-212-241
2026-06-24 | 제2026-212-240호 | ㈜맹호 | - | - | 성명·연락처·아이디·비밀번호·계좌·카드번호·거래·구매 내역 | - | https://datalaw.kr/sanctions/breach/#br-2026-212-240
2026-05-27 | 제2026-010-071호 | ㈜미소테크 | 외부 침입·해킹 | 575000건 | 성명·연락처·주소 | 신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다. | https://datalaw.kr/sanctions/breach/#br-2026-010-071
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 외부 침입·해킹 | - | 성명·연락처·주소 | 신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다. | https://datalaw.kr/sanctions/breach/#br-2026-010-070
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 외부 침입·해킹 | 844건 | 성명·연락처·주소 | 신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다. | https://datalaw.kr/sanctions/breach/#br-2026-010-069
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 외부 침입·해킹 | 571000건 | 성명·연락처·주소 | 신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다. | https://datalaw.kr/sanctions/breach/#br-2026-010-068
2026-05-27 | 제2026-010-067호 | 행정안전부 | 잘못된 게시·노출 | - | 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 | 직원이 기관별 담당자 정보를 엑셀로 정리하여 홈페이지 내 ‘업무 게시판＊’에 게시(’25.8.8.)하였는데, ‘업무 게시판’의 내부용 URL이 구글 검색에 노출(’25.8.8.~9.25.)되었다. ＊ 피심인, (수탁기관), (재수탁업체)에만 접근권한 有 | https://datalaw.kr/sanctions/breach/#br-2026-010-067
2026-05-27 | 제2026-010-066호 | 행정안전부 | 수탁자·위탁 관계에서 | 1명 | 주민등록번호·성명·주소·생년월일·나이·학적·성적·사진·영상 | 수탁자 2) 구축사업단: / 계약기간: ‘23.9.12.~’24.5.9. 닫기 중 하나인 는 교육부 연계모듈 37종의 서비스를 통합하기 위한 소스코드를 개발하고, 운영서버에 반영하기 전 테스트를 거쳐(’24.3.25.~28.) 배포(’24.3.28.)하였는데, 정부24로 다수의 민원이 동시에 접수＊됨에 따라 시스템에 부하가 발생하여, 원래 민원인이 아닌 타인의 민원서류가 무작위로 발급(’24.3.28.~4.1.)되었다. ＊ 3.28.20:00부터 4.1. 19:00(95시간)까지 NEIS 연계 민원 434,172건(74.4건/분) 접수 | https://datalaw.kr/sanctions/breach/#br-2026-010-066
2026-05-13 | 제2026-209-153호 | (주)큰사람커넥트 | - | 17605건 | 성명·연락처·이메일·주소·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2026-209-153
2026-05-13 | 제2026-209-152호 | 대야구역재개발조합 | - | - | 주민등록번호·성명·연락처·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2026-209-152
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 취약점·설계 결함 | - | 성명·연락처 | ’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨 | https://datalaw.kr/sanctions/breach/#br-2026-009-063
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 취약점·설계 결함 | - | 성명·연락처 | ’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨 | https://datalaw.kr/sanctions/breach/#br-2026-009-062
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 취약점·설계 결함 | - | 성명·연락처 | ’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨 | https://datalaw.kr/sanctions/breach/#br-2026-009-061
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 취약점·설계 결함 | - | 성명·연락처 | ’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨 | https://datalaw.kr/sanctions/breach/#br-2026-009-060
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 취약점·설계 결함 | - | 성명·연락처 | ’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨 | https://datalaw.kr/sanctions/breach/#br-2026-009-059
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 취약점·설계 결함 | - | 성명·연락처 | ’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨 | https://datalaw.kr/sanctions/breach/#br-2026-009-058
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 취약점·설계 결함 | - | 성명·연락처 | ’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 7) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 8) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨 | https://datalaw.kr/sanctions/breach/#br-2026-009-057
2026-04-22 | 제2026-007-053호 | 재단법인 금릉공원묘원 | 취약점·설계 결함 | - | 주민등록번호·성명·연락처 | 피심인은 묘지, 봉안당 임대·관리 서비스를 제공하며, 관리비 조회/납부 기능이 포함된 웹사이트( )를 ( )년부터 개편하여 운영하고 있다. 신원 미상의 자(이하 ‘해커’)가 ‘25. 7. 5. 피심인이 운영 중인 웹사이트 내 관리비 조회/납부 페이지＊에 존재하는 파라미터 변조 취약점을 악용하여 개인정보를 유출하였다. ＊ 관리비 조회/납부 상태를 조회할 수 있는 페이지에서 입력받는 3종의 파라미터( , , )값을 공란(입력값 없음)으로 설정하여 전송할 경우, 전체 개인정보가 화면으로 출력되는 취약점이 존재하였다. | https://datalaw.kr/sanctions/breach/#br-2026-007-053
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 취약점·설계 결함 | - | 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·소속·직위·사진·영상 | ‘25. 1. 24. 개인정보취급자가 업무망에서 사용하는 관리자PC를 통해 해커가 사전에 감염시킨 웹사이트에 접속하여 악성코드가 설치되었고, ‘25.1.25. ~ 1.28. 해커는 악성프로그램을 통해 DB서버 계정을 탈취한 뒤 회원 DB서버에 접속하여 회원 정보를 다운로드하고 외부로 전송하였다. ① ’25. 1. 24. 개인정보취급자가 업무망에서 관리자 PC를 통해 해커가 사전에 감염시킨 웹사이트에 접속하여 악성코드가 설치되었고, 보안 모듈( ) 취약점 2) 사고 당시 키보드 보안 프로그램 신규 취약점으로, 사고 이후 보안 업데이트 발표(’25. 3. 24.) 닫기 을 악용해 원격 접속프로그램( )이 설치되었다.( ) ② ’25. 1. 25. 해커는 원격으로 악성코드를 설치하고 계정탈취용 악성파일을 이용해 관리자PC를 통해 관련 정보를 수집하였으며, ‘25. 1. 25. ~ 1. 28. 수집된 정보를 통해 DB에 다회 로그인( )을 시도하여 DB계정 로그인에 성공하였다. | https://datalaw.kr/sanctions/breach/#br-2026-007-052
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 취약점·설계 결함 | - | 주민등록번호·성명·연락처·이메일·주소·아이디·비밀번호·계좌·카드번호 | 신원미상의 자(이하 ‘해커’)는 ‘25. 4. 15. 알 수 없는 방법으로 획득한 피심인의 인사관리시스템( ) 관리자 계정( )으로 외부에서 로그인 후, 관리자페이지 내 엑셀 다운로드 기능을 통해 전체 임직원 및 교육생 개인정보를 다운로드하여 유출하였다. ※ 피심인은 방화벽을 설치하였으나 웹서비스 포트( )에 대해 모든 IP의 접속 허용, 웹방화벽 미설치, VPN·OTP 등 미적용으로 ID·PW만으로 외부에서 내부시스템으로 접속 가능하였음 이후, 해커는 인사관리시스템 웹페이지에 존재하는 파일다운로드 취약점을 이용해 ’25. 4. 16. ~ 4. 18. 동안 서버에 접근하여 서버 내 DB백업 파일, 인사서류 파일 등 개인정보를 포함한 자료를 다운로드하여 유출하였다. 또한, 해커는 ‘25. 4. 19. 임직원을 대상으로 DB 등 개인정보 탈취 사실을 알리며 금전을 요구하는 협박메일을 발송하였으며, ’25. 4. 22. 다크웹에 복호화된 개인정보 샘플 및 판매글을 게시하였다. ※ 피심인은 DB 내 개인정보는 암호화하였으나, 인사 증빙서류 내 주민등록번호는 마스킹하거나 암호화하지 않고 서버에 저장하였으며, 해커는 복호화된 DB 샘플을 공개하였음 | https://datalaw.kr/sanctions/breach/#br-2026-006-050
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | - | - | 성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-207-119
2026-04-08 | 제2026-207-118호 | 세종화재해상자동차손해사정(주) | - | - | 주민등록번호·성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-207-118
2026-04-08 | 제2026-207-117호 | ㈜두잉이앤엠 | - | - | 주민등록번호·성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-207-117
2026-04-08 | 제2026-207-113호 | 신정고등학교 | 기타·미상 | - | 성명·연락처·이메일·주소·생년월일·나이·학적·성적 | 피심인 소속 직원이 ’24. 2. 26. 홈페이지에 ‘‘24학년 신학년 교실 책걸상 재배치 인력 신청 글’을 게시하면서 개인정보가 포함된 엑셀파일을 첨부하여 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2026-207-113
2026-04-08 | 제2026-207-112호 | 한국환경산업기술원 | 잘못된 게시·노출 | - | - | 피심인 소속 직원은 홈페이지에 연구개발과제 보고서를 게시하는 과정에서 개인정보가 포함된 보고서 부록을 함께 첨부함에 따라 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2026-207-112
2026-04-08 | 제2026-207-111호 | 양산경찰서 | 설정 오류·시스템 장애 | - | 주민등록번호·성명·연락처·주소 | 피심인 소속 직원은 ’23.11.20. ‘ 등 상환의무 면제 요청 보고’ 공문 및 첨부파일의 비공개 설정 기간이 경과한 후 재설정하지 않음에 따라, 정보공개포털에서 공개로 전환되어 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2026-207-111
2026-04-08 | 제2026-207-110호 | 비공개 | 담당자 실수(오발송·오게시) | - | - | 피심인 소속 직원은 홈페이지 채용공고 게시글을 게재하면서 ‘성범죄 경력 동의서 양식’을 첨부하여야 하나, 개인정보가 포함된 ‘범죄경력 조회 요청서’를 잘못 첨부하여 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2026-207-110
2026-04-08 | 제2026-006-051호 | Cristie, Manson & Woods, Ltd | 외부 침입·해킹 | 620명 | 주민등록번호·외국인등록번호·여권번호·성명·주소 | 해커는 미상의 방법으로 COO(ChiefOperatingOfficer, 최고운영책임자)의 이메일주소를 확보한 후, COO를 사칭하여 헬프데스크를 통해 ‘비밀번호 초기화’ 및 ‘2차 인증 2) 사고 당시, 피심인은 2차 인증 수단을 2가지 유형(1. SMS(문자), 2. (앱))으로 제공하였고, 사고 이후 앱 인증 방식으로만 사용하도록 변경하여 운영 중이라고 설명함 닫기 전화번호 변경(COO번호→해커번호)’을 요청하였다. 이에, 피심인의헬프데스크 담당자는 임직원 여부를 확인하기 위해 입사일 확인, 직함, 소속 부서, 관리자 이름 등을 확인하는 절차를 거쳐야 함에도 이를 누락한 채 ‘초기 비밀번호를 재설정 3) | https://datalaw.kr/sanctions/breach/#br-2026-006-051
2026-03-25 | 제2026-206-093호 | (재)인천문화재단 | - | - | 주민등록번호·성명·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2026-206-093
2026-03-25 | 제2026-206-091호 | 서울특별시 | 기타·미상 | - | 성명·주소·생년월일·나이 | ’23. 10. 13. 피심인 소속 은평병원 직원이 개인정보가 포함된 ‘마약류 중독자 치료보호 연장신청’ 공문의 공개범위를 ‘대국민 공개’로 설정하여, 해당 공문이 에 공개됨으로써 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2026-206-091
2026-03-25 | 제2026-206-089호 | 성남시의료원 | 잘못된 게시·노출 | - | - | 및 내용 피심인이 ’24.9.12. 개인정보가 포함된 감사보고서를 비식별처리 하지 않은 채 홈페이지에 게시함에 따라 정보주체 1인의 이름 및 직종 등 개인정보가 노출되었다. 피심인은 이러한 사실을 ’24.10.15. 인지하고 감사보고서에 포함된 개인정보를 비식별 처리하여 수정 게시하였다. | https://datalaw.kr/sanctions/breach/#br-2026-206-089
2026-03-25 | 제2026-206-088호 | 호원대학교 | 기타·미상 | 1명 | 성명·연락처·이메일·주소 | 피심인은 ’20.5월∼’23.9월 학생들이 홈페이지에 가입할 때 최초 ID와 비밀번호를 학번으로 동일하게 부여해왔다. 이러한 사정을 알고 있던 학생 1명이 ’22.11월∼’23.3월 학생들의 계정 정보로 ‘ ’에 접속하여 DB에 저장되어 있던 입사지원서 등 119명의 개인정보를 다운로드하였다. | https://datalaw.kr/sanctions/breach/#br-2026-206-088
2026-03-25 | 제2026-202-034호 | 한강시스템(주) | 기타·미상 | - | 성명·연락처 | 피심인은 ’18.2월부터 서비스를 운영하면서 ‘22.8월 단축URL을 생성한 후 이를 카카오 알림톡으로 제공하는 기능을 추가하는 과정에서 알림톡 제공 시스템 설계 오류로 이용자에게 중복된 단축URL을 발급하여 타인에게 개인정보가 공개되었다. | https://datalaw.kr/sanctions/breach/#br-2026-202-034
2026-03-25 | 제2026-005-025호 | 강북구청 | 외부 침입·해킹 | - | - | 신원 미상의 자(45.14.71.17., 일본, 이하 ‘해커’)는 ‘24.3.4. 14:54~19:30 피심인이 운영하는 DB 관리자페이지＊를 알 수 없는 방법＊＊으로 접속하여 정보주체의 개인정보를 다운로드 기능(tbl_export.php)을 통해 개인정보를 유출하였다. ＊ DB 관리자페이지 URL : https://cctv.gangbuk.go.kr/phpmyadmin ＊＊ 관리자페이지 및 DB 접속기록 등 부재로 해커가 접속한 관리자페이지 계정정보 확인이 불가함 | https://datalaw.kr/sanctions/breach/#br-2026-005-025
2026-03-25 | 제2025-026-305호 | 공무원연금공단 | 기타·미상 | 1036명 | 주민등록번호·성명·소속·직위 | 정○○는 (’21.1월~2월) 및 (’22.9월)에서 기간제 로 근무하였던 자로서, ’22. 4. 4.부터 ’23. 2. 6.까지 , , , 등 4개 기관 명의로 총 5차례에 걸쳐 연금담당자 등록(변경) 신청서를 위조하여 피심인으로부터 연금담당자 권한을 부여 받았다. 정○○는 피심인으로부터 부여 받은 권한을 이용하여 ’22. 4. 5.부터 ’23. 10. 23.까지 시스템에 62회 접속하여 및 소속 공무원의 개인정보에 접근하였다(조회 8회, 수정 4회, 다운로드 6회). 기관별 연금담당자 등록 신청 및 승인 내역은 아래 표와 같다. 피심인은 정○○가 제출한 신청서에 신청자 서명 및 기관장 직인이 누락, 위조 직인 날인 등 의심 정황이 있었음에도 진위를 제대로 검증하지 않은 채 5차례 모두 정○○에게 기관 연금담당자 권한을 부여하였다. | https://datalaw.kr/sanctions/breach/#br-2025-026-305
2026-01-28 | 제2026-202-036호 | 시민종합사회복지관 | - | - | 주민등록번호·성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2026-202-036
2026-01-28 | 제2026-202-035호 | 디노랩스 | - | - | - | - | https://datalaw.kr/sanctions/breach/#br-2026-202-035
2026-01-28 | 제2026-002-004호 | 엔에이치엔커머스㈜ | - | - | 성명·연락처·주소·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2026-002-004
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 취약점·설계 결함 | 120533명 | 주민등록번호·성명·연락처·이메일·주소·아이디·비밀번호 | 신원 미상의 자(35.216.61.106 외 17개, 이하 ‘해커’)는 ’25.6.6.01:32~17:26 학회페이지를 대상으로 비밀번호 찾기 URL＊ 취약점＊＊을 악용한 파라미터 변조 공격을 수행하여 회원의 개인정보를 열람하였다. ＊ 비밀번호 찾기 페이지 URL : ＊＊ 비밀번호 찾기 페이지 URL 내 이메일주소를 임의로 변경하면, 비밀번호 찾기에 필요한 전체 항목(ID, 이름, 이메일)을 입력하지 않아도 해당 회원의 개인정보 화면이 나타남 | https://datalaw.kr/sanctions/breach/#br-2026-002-003
2025-12-10 | 제2025-223-474호 | 세무법인 동안 | - | - | 주민등록번호·성명 | - | https://datalaw.kr/sanctions/breach/#br-2025-223-474
2025-12-10 | 제2025-223-473호 | ㈜아일로 | - | - | 성명·연락처·이메일·주소·아이디·비밀번호·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-223-473
2025-12-10 | 제2025-223-472호 | 얼굴홈트(주) | - | 1316건 | 이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-223-472
2025-12-10 | 제2025-223-471호 | 강원특별자치도교육청 | 기타·미상 | - | 성명·건강·진료 정보·소속·직위 | 피심인은 산업안전보건법에 따라 현업종사자를 대상으로 매년 실시하는 일반건강진단 수검 독려를 위해 직속기관 및 교육지원청에 검진 독려 및 실시 결과 취합을 위한 공문을 시행하면서 관내 개 기관 소속 현업종사자 명의 개인정보가 포함된 ‘일반건강진단 인원별 실시 현황’(엑셀파일) 자료를 첨부하였다. 피심인은 위 공문에서 각 교육지원처엥 관내 공립학교(단설 유‧초‧중‧고‧특) 및 소속기관에 이첩 시행하고, 취합 결과를 도교육청에 보고할 것을 요청하였다. 위 공문을 수신한 각 교육지원청은 관내 학교에 위 공문을 이첩 시행하면서 ‘일반건강진단 인원별 실시현황’(엘셀파일) 자료를 그대로 첨부하였으며, 공문을 수신한 기관 중 개 기관 소속 교직원 명이 위 첨부파일에 접근함으로써 현업종사자들의 개인정보가 유출되었다. 특히, 강릉 및 양구 지역의 경우 공립학교 뿐만 아니라 일부 사립학교에도 공문이 시행되었으며, 그 중 1개교가 이를 열람하였다. 이로 인해 피심인이 관할하는 기관에 근무하는 현업종사자들의 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2025-223-471
2025-12-10 | 제2025-026-308호 | K Games, Inc | 외부 침입·해킹 | - | 성명·이메일·주소·IP·접속기록 | 해커는 원인 미상의 방법으로 피심인의 헬프데스크 관리직원의 계정정보(ID 및 PW)를 사전에 확보한 후, ’22.9.14.경 안전한 인증수단을 입력 없이 취득한 계정정보만으로 관리자페이지에 접속하였다. 이후, 해커는 ’22.9.20.경 헬프데스크 이용자의 개인정보를 취득한 후 국내 이용자 최소 701명에게 악성코드가 포함된 피싱메일을 발송 2) 해커는 전세계 이용자 기준으로 약 19만 명에게 인증정보 추출목적의 악성 소프트웨어( )의 다운로드 링크가 포함된 피싱메일을 발송하였다고 피심인은 답변하였음. 닫기 하였다. 이에, 피심인은 같은 날 이용자를 대상으로 피싱메일 관련 경고 및 조치사항을 전파하였고, 해커가 접근한 고객지원플랫폼을 임시로 폐쇄 조치하였다. ’22.9.22.경 해커가 헬프데스크 이용자 약 4백만 명의 개인정보 판매글을 다크웹에 게시함에 따라 피심인은 개인정보 유출 사실을 확인하였고, 그 중에서 한국 소재 이용자 최소 12,906명이 포함되었음을 ’22.9.28.경 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2025-026-308
2025-12-10 | 제2025-026-306호 | 국립항공박물관 | 외부 침입·해킹 | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | 신원 미상의 자(이하 ‘해커’)는 미상의 방법으로 사전에 습득한 관리자 계정의 아이디와 비밀번호를 이용하여 경 의 관리자 페이지＊에 접속한 후 회원들에게 악성 앱 주소가 포함된 건의 스미싱 문자를 박물관 교육 안내번호를 발신번호로 하여 발송 시도하였으며, 이 중 건은 전송에 성공하였다. ＊ ※ 해커는 본 건 유출사고 이전에도 사이 총 회 관리자 페이지에 접속한 이력이 있음 또한, 해커는 같은 날 15:30경 관리자 페이지 내 회원 관리 페이지에서 명의 회원정보를 엑셀 파일 형태로 다운로드하였다. | https://datalaw.kr/sanctions/breach/#br-2025-026-306
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | - | - | 주민등록번호·성명·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-222-449
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | - | - | 주민등록번호·성명·연락처·이메일·주소·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-222-448
2025-11-26 | 제2025-222-446호 | 필 리 핀 항공 | 랜섬웨어 | - | 성명·생년월일·나이 | 해커는 피심인의 마일리지 서비스 관련 업무를 위탁받은 악셀리야(이하 ‘수탁사’) 의 항공 어플리케이션 접근용 가상데스크탑(VDI) 서버에 ’22. 7. 18.경 최초 침입한 후, ’22. 7. 24. ~ 8. 3. 동안 해커는 기 침입한 VDI 서버를 통해 다른 서버 및 도메인 컨트롤러에 접속 후 악성코드 구동 등 공격을 시도하였다. ’22. 8. 3.경 해커는 도메인 컨트롤러 및 개인정보가 저장된 파일서버 등에 접근 하여 개인정보가 포함된 내부 데이터를 유출하였고, 랜섬웨어를 실행·배포하여 개인정보가 포함된 내부 데이터를 암호화하였다. | https://datalaw.kr/sanctions/breach/#br-2025-222-446
2025-11-26 | 제2025-222-443호 | ㈜씨아이에스 보험자문중개법인 | - | - | 성명·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-222-443
2025-11-26 | 제2025-024-300호 | ㈜바텍엠시스 | 외부 침입·해킹 | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | 해커는 ‘24.1.6. 알 수 없는 방법으로 획득한 신고인의 관리자 계정( )으로 외부IP( 등)를 통해 처리시스템에 접속한 후 회원정보를 조회하고 다운로드하여 개인정보를 유출하였다. | https://datalaw.kr/sanctions/breach/#br-2025-024-300
2025-11-26 | 제2025-024-299호 | ㈜하스 | 외부 침입·해킹 | 733명 | 성명·이메일 | 해커가 알 수 없는 방법으로 획득한 피심인의 관리자 계정( )으로 관리자 페이지에 접속하여 이용자의 개인정보를 탈취 후 다크웹에 유출(2차례 게시: ’24.2월, ’24.4월)한 것으로 추정된다. 피심인은 ’24. 6월 클라우드 환경으로 시스템을 이관하고 사고가 발생한 이전 시스템의 접속기록＊을 보관하지 않았으나, 유출 당시 운영하였던 관리자 페이지( )는 외부에서 ID, PW 외 안전한 인증수단 없이 접속이 가능하도록 운영되었으며, ’23. 9. 7., ’23. 9. 12., ’24. 4. 4. 비인가 해외 IP＊＊에서 관리자 계정( ) 로그인 성공 이력도 확인되었다. ＊ 시스템을 이관하면서 보관한 DB 백업파일 내에 관리자 계정(관리자 페이지) 접속기록 중 ‘처리한 정보주체’를 제외한 접속기록 일부가 남겨져 있음 ＊＊ 총 3개의 영국, 미국 IP이며, 영국 IP는 유해 IP로 신고된 이력이 확인되었고, 관리자 페이지에는 회원 정보를 엑셀파일로 다운받을 수 있는 기능이 존재하였음 피심인은 이용자의 개인정보가 다크웹에 게시된 사실을 KISA로부터 2차례 안내(’24.2월, ’24.4월)받았음에도 별도 조치하지 않았고, ’24.6월 KISA의 3번째 안내 및 | https://datalaw.kr/sanctions/breach/#br-2025-024-299
2025-11-20 | 제2025-221-440호 | ㈜테난 | - | - | 성명·연락처·이메일·주소·거래·구매 내역 | - | https://datalaw.kr/sanctions/breach/#br-2025-221-440
2025-11-20 | 제2025-221-439호 | 수원상공회의소 | - | 1건 | 주민등록번호·성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-221-439
2025-11-20 | 제2025-221-438호 | 법무법인 산하 | - | 1건 | 주민등록번호·성명·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-221-438
2025-11-20 | 제2025-221-437호 | 정진테크 | - | - | 연락처·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-221-437
2025-11-20 | 제2025-221-436호 | ㈜티노파이브 | - | - | - | - | https://datalaw.kr/sanctions/breach/#br-2025-221-436
2025-11-20 | 제2025-221-435호 | ㈜파우컴퍼니 | - | 6017명 | 연락처·이메일·주소·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2025-221-435
2025-11-20 | 제2025-221-433호 | ㈜씨제이이엔엠 | - | - | 성명·연락처·이메일·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-221-433
2025-11-20 | 제2025-221-430호 | 한국토지주택공사 | 담당자 실수(오발송·오게시) | - | - | 1) 개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행) - 2 - ’25. 4. 23. 18:00경 피심인 소속 직원은 LH청약플러스 홈페이지에 을 게시하는 과정에서 당초 게시하려던 ‘ ’ 대신 내부 검토자료인 ‘ ’을 오첨부하여 공공임대주택 신청자들의 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2025-221-430
2025-11-20 | 제2025-221-429호 | 신남초등학교 | 잘못된 게시·노출 | - | - | 피심인 소속 교무행정사는 ‘25. 2. 28. 16:50경 ’25학년도 각 학년 학급편성 계획을 출력하여 신남초 본관 1층 신발장 위에 게시하였다. 같은 날 17:15경 4학년 학생 한 명과 그 동생 한 명이 들어와 4학년 학급편성 계획을 촬영하여 부모님에게 보여주었다. ’25. 3. 1. 10:00경 자녀가 촬영한 사진을 본 학부모는 이를 학부모회장을 포함한 4명과 공유하였고, 같은 날 10:03경 학부모회장은 학부모회 담당교사에게 개인정보 유출 관련 문제를 제기하였다. 1) 개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행) | https://datalaw.kr/sanctions/breach/#br-2025-221-429
2025-11-20 | 제2025-221-428호 | 광주도시관리공사 | 외부 침입·해킹 | 388명 | 성명 | 수탁업체 직원은 ’24. 3. 7. “ ” 파일을 이메일로 피심인 소속 채용 담당 직원에게 전달하였고, 채용 담당 직원이 첨부파일을 다운로드받는 과정에서 해당 파일이 트로이목마 바이러스에 감염되었다는 ’MS 엣지 브라우저‘의 알림＊이 발생하였다. 수탁업체 직원은 자신의 PC에 보관 중인 “ ” 파일이 트로이목마 바이러스에 감염된 것으로 의심되어 이를 치료하고자 바이러스토털＊＊에 해당 파일을 게시하였다. ＊ 피심인 측에서 PC 백신 검사를 진행한 결과 악성코드는 탐지되지 않았음 | https://datalaw.kr/sanctions/breach/#br-2025-221-428
2025-11-20 | 제2025-221-427호 | 한국외국어대학교 | 기타·미상 | - | 학적·성적 | 한국외대의 개 학과( )는 각 학과 누리집에 외국인 유학생 대상 멘토링 프로그램 신청 안내 공지글을 게시하면서 외국인 유학생의 개인정보가 포함된 엑셀파일도 첨부하여 외국인 유학생 1,775명의 학적정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2025-221-427
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 취약점·설계 결함 | - | 주민등록번호·외국인등록번호·여권번호·성명·연락처·주소·계좌·카드번호·거래·구매 내역 | 신원미상의 자(이하 ‘해커’)는 ‘24. 7. 18. 피심인이 운영 중인 웹페이지에 존재하는 SQL 인젝션 취약점을 이용해 피심인 웹서버의 데이터베이스(DB)에 접근 및 관리자 계정정보를 포함한 계정정보(ID·PW) 개를 탈취하였다. ※ 웹로그(’23.10.27.~‘24.9.20.) 분석 결과, 해커는 ’23. 11. 3.부터 로고스 웹페이지에 존재한 SQL 인젝션 취약점을 통해 다수의 SQL 인젝션 공격 시도가 있었던 것으로 확인됨 해커는 ‘24. 8. 21. 탈취한 계정정보＊를 이용해, 내부 인트라넷 시스템()의 ’사건관리 리스트 웹페이지＊＊‘에 접근하여, 건의 사건관리 리스트(의뢰인명, 소송상대자, 사건명, 사건번호 등)를 엑셀파일로 다운로드하여 유출하였다. ＊ 탈취한 DB 내 관리자 및 개인정보취급자의 동일한 계정정보(ID·PW)를 사용했을 것으로 추정됨 ＊＊ 사건관리 리스트 출력 웹페이지 : 이후, 해커는 ’24. 8. 21. ~ 8. 30. 내부 인트라넷 시스템()의 소송 관련 자료가 저장된 웹페이지＊에 접근하여, 파일 자동 다운로드 프로그램을 통해 개의 소송 자료＊＊를 다운로드＊＊＊하여 유출하였다. ＊ 파일 다운로드 웹페이지 : | https://datalaw.kr/sanctions/breach/#br-2025-023-296
2025-11-20 | 제2025-023-295호 | ㈜레저플러스 | 외부 침입·해킹 | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | 해커는 ‘24. 9. 24. 골프몬 홈페이지 내 개인정보처리방침 페이지 대상 SQL Injection 공격으로 DB( 테이블) 내 예약정보를 유출(1차)하였고, 이후 ’24. 10. 16. 공지사항 페이지 대상으로 SQL Injection 공격으로 DB( 테이블) 내 회원정보를 유출(2차)함 | https://datalaw.kr/sanctions/breach/#br-2025-023-295
2025-11-20 | 제2025-023-294호 | ㈜더존하우징 | 취약점·설계 결함 | - | 성명·연락처·이메일·주소·아이디·비밀번호 | 해커는 ‘23. 12. 25. ~ 29. 기간 동안 피심인 홈페이지 내 검색창에 존재하는 취약점을 이용해 972,890번의 SQL 구문을 입력하였고, 피심인의 DB구조를 파악한 뒤, ’23.12.29. DB조회를 통해 회원정보를 유출하였다. | https://datalaw.kr/sanctions/breach/#br-2025-023-294
2025-11-20 | 제2025-023-293호 | ㈜이젠 | 외부 침입·해킹 | - | 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | 해커는 ‘21. 8. 18. ~ ’24. 8. 28. 동안(약 3년) ㈜이젠 홈페이지 내 페이지 대상으로 SQL Injection 공격을 수행하여 회원 총 69,930명의 개인정보를 유출하였고, 그 중 35,454명은 ‘21. 9. 6. 발생한 SQL 공격으로 암호화되지 않은 주민등록번호가 유출된 사실을 추가 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2025-023-293
2025-10-22 | 제2025-219-398호 | ㈜볼랩 | - | - | 성명·연락처 | - | https://datalaw.kr/sanctions/breach/#br-2025-219-398
2025-10-22 | 제2025-219-393호 | 경기대학교 | 취약점·설계 결함 | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·학적·성적·소속·직위 | 현장실습학기제에 참여하는 학생은 산학협력정보시스템에 접속하여 현 장실습 신청서를 작성‧제출할 수 있다. 그런데 위 시스템은 애플리케이션 및 데이터베이스에서 공백(빈 문자열) 입력을 제한하지 않도록 설정되어 있 었고, 위 시스템에 로그인하여 페이지＊에 접근한 이후에는 로그인 세션을 체크하는 로직이 없어 세션 종료로 로그아웃된 상태에서도 신청서의 작성‧수정‧저장 등이 가능하였다. 그리고 이 경우 해당 신청서의 이용자ID는 당초 로그인한 사용자의 ID가 아닌 공백값으로 저장되었다. | https://datalaw.kr/sanctions/breach/#br-2025-219-393
2025-10-22 | 제2025-022-256호 | 비공개 | 취약점·설계 결함 | - | 성명·연락처·아이디·비밀번호·사진·영상 | ‘25. 1. 9. 개인정보취급자는 업무용 노트북을 통해 해커가 사전에 감염시킨 웹 사이트에 접속하였고, 이때 해커는 노트북에 설치된 보안 프로그램 취약점을 악용하여 원격에서 악성코드 설치 및 계정탈취용 해킹툴로 DB 접속 계정 등을 확보하였다. 해커는 ’25. 1. 17. 해당 노트북을 거점으로 DB에 접속하여 전체 회원 DB를 조회·백업하였고, ‘25. 1. 19. 스토리지 서버(NAS)로 이동하여 이력서 파일, 첨부파일 등을 백업하였고, 백업한 자료는 외부 유출을 위해 인터넷 통신이 가능한 파일서버로 이동시키고, ’25. 1. 19. ~ 2. 23. 동안 외부로 유출하였다. | https://datalaw.kr/sanctions/breach/#br-2025-022-256
2025-09-24 | 제2025-218-378호 | ㈜클래스101 | - | - | 성명·연락처·이메일·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-218-378
2025-09-24 | 제2025-218-374호 | ㈜스마트레이저 | - | - | - | - | https://datalaw.kr/sanctions/breach/#br-2025-218-374
2025-09-24 | 제2025-218-373호 | (사)전국재해구호협회 | - | - | - | - | https://datalaw.kr/sanctions/breach/#br-2025-218-373
2025-09-24 | 제2025-218-372호 | 김해중부경찰서 | 잘못된 게시·노출 | - | 주민등록번호·성명·사진·영상 | 피심인은 ’23. 12. 22. 13:48경 법원의 잠정조치 결정서를 소관 사건의 피 의자에게 문자로 전송하는 과정에서 사전에 피의자의 연락처를 확인하기 위 해 찍어둔 사건수사시스템 화면 사진을 함께 첨부하였고, 이로 인해 피해자와 사건 참고인들의 개인정보가 피의자에게 노출되었다. | https://datalaw.kr/sanctions/breach/#br-2025-218-372
2025-09-10 | 제2025-217-355호 | 다한마케팅 | 취약점·설계 결함 | - | 연락처·이메일·주소·아이디·비밀번호 | 해커는 피심인 홈페이지의 특정URL을 입력하면 ID/PW없이 관리자 페이지 내 회원DB로 접속이 가능한 취약점을 이용하여 ’22. 11. 4. ~ 11. 7. 사이에 피심인의 회원DB를 다운로드 하여 회원정보를 탈취하였다. | https://datalaw.kr/sanctions/breach/#br-2025-217-355
2025-09-10 | 제2025-217-354호 | 타이어뱅크㈜ | - | - | 성명·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-217-354
2025-09-10 | 제2025-217-351호 | 숨수면의원 | - | - | 생체정보·IP·접속기록·사진·영상 | - | https://datalaw.kr/sanctions/breach/#br-2025-217-351
2025-09-10 | 제2025-217-348호 | 마포구 | 문서 분실·파기 미흡 | 8명 | 외국인등록번호·여권번호·성명·연락처·주소 | 피심인 소속의 운영 담당자( )는 ’24. 6. 27. 18:30경 출 장 중에 업무용 휴대전화를 분실하였다. 는 평소 자원봉사자의 신분 확인 및 실비 지급을 위해 현장에서 신분증을 열람하고, 신분증을 지 - 2 - 참하지 않은 사람의 경우에는 이메일이나 문자로 주민등록번호 뒷자리가 가려 진 신분증 사진을 전송 받아 확인하는 식으로 업무를 수행해 왔는데, 분실한 의 업무용 휴대전화에는 전송 받은 자원봉사자 8명의 | https://datalaw.kr/sanctions/breach/#br-2025-217-348
2025-09-10 | 제2025-020-252호 | ㈜몽클레르코리아 | 외부 침입·해킹 | - | 성명·연락처·이메일·주소·생년월일·나이·거래·구매 내역 | 해커는 ’21. 12. 17. ~ ’21. 12. 21. 사이에 미상의 방법2)으로 피심인이 운영하는 개인정보처리시스템 등의 DB 등에 대한 관리자 권한을 보유한 직원 계정(13개)을 탈취하였다. 계정이 탈취된 해당 직원들은 피심인이 운영하는 개인 정보처리시스템 등의 정보통신기술(IT) 지원·서비스를 담당하고 있었다. 이후, 해커는 ’21. 12. 21. 21:09경 해당 계정을 통해 추가적인 인증절차를 거치지 않고 내부 서버에 접속하였고, 획득한 관리자 권한으로 인증·권한 등 보안정책을 관리하는 도메인 컨트롤러 서버에 접속하여 악성 소프트웨어를 배포하였다. ’21. 12. 22. 02:00 ~ 10:00경 해커는 개인정보가 포함된 내부 데이터를 유출하였고, | https://datalaw.kr/sanctions/breach/#br-2025-020-252
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | - | 2.3244649e+07명 | 연락처 | - | https://datalaw.kr/sanctions/breach/#br-2025-018-243
2025-07-23 | 제2025-214-313호 | 이화의대부속서울병원 | - | - | 성명·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-214-313
2025-07-23 | 제2025-214-312호 | ㈜키콕스파트너스 | - | - | 주민등록번호·외국인등록번호·여권번호·성명·연락처·이메일·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-214-312
2025-07-23 | 제2025-016-236호 | (재)전남테크노파크 | 랜섬웨어 | 1261명 | 성명·연락처·이메일·아이디·비밀번호·소속·직위 | 사고 당시 피심인은 운영 중인 의 DBMS 계정에 유추하기 쉬운 아이디( 등)와 비밀번호( 등)를 사용하고 있었고, 신원 미상의 자( , 미국, 이하 ‘해커’라 한다)가 상기 계정 중 일부를 이용하여 외부에서 DB에 불법 접근하여 개인정보를 유출했다고 주장하고 있고, 저장된 개인정보는 삭제·훼손되었다. 해커는 DB 내에 “너의 DB를 백업했다. 복구하고 싶으면 0.0151 비트코인(한화 75만원 상당)을 요구하는 메시지(랜섬노트)를 남긴 것으로 확인되었다. | https://datalaw.kr/sanctions/breach/#br-2025-016-236
2025-07-23 | 제2025-016-235호 | ㈜해성디에스 | 랜섬웨어 | - | - | 신원 미상의 자(이하 ‘해커’)는 피심인이 운영하는 사 의 취약점을 악용하여 VPN에 로그인 후, 프로그램을 통해 사내망에 접근하였다. 해커는 호스트에 접근한 이후 ~ 사이에 내부 시스템 확인 및 개 시스템 접근 후 데이터를 외부로 유출한 것으로 파악되었다. 이후, 해커는 ~ 기간 중 피심인이 운영하는 다수의 시스템에 랜섬웨어 파일을 배포 및 감염시켰다. | https://datalaw.kr/sanctions/breach/#br-2025-016-235
2025-07-09 | 제2025-015-230호 | 비공개 | - | - | 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-015-230
2025-07-09 | 제2025-015-229호 | ㈜비와이엔블랙야크 | 외부 침입·해킹 | - | 성명·연락처·주소·생년월일·나이 | 해커가 ’25. 3. 1. ~ 3. 4. 동안 피심인이 운영 중인 웹사이트 내 고객 상담 페이지 ( )에 SQL Injection 공격으로 DB에 저장된 관리자 계정 정보＊를 탈취하였고, ＊ SQL injection 공격으로 관리자 계정명과 암호화(SHA-256)된 비밀번호(64자리 해시값)를 탈취한 사실은 확인되나, 해커가 평문 비밀번호를 확보한 방법은 확인되지 않음 탈취한 최고 관리자 계정( ) 정보를 악용하여 피심인의 관리자 페이지에 로그인 후, ‘엑셀 다운로드’ 기능으로 이용자의 개인정보를 다운로드 받아 유출하고 | https://datalaw.kr/sanctions/breach/#br-2025-015-229
2025-06-25 | 제2025-212-284호 | ㈜주스 | - | - | 주민등록번호·성명·연락처·이메일·주소·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-212-284
2025-06-25 | 제2025-212-279호 | 국방부 | 취약점·설계 결함 | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | - 2 - 신원 미상의 자는 특수임무수행자보상심의위원회 홈페이지( )에 존재한 SQL인젝션과 파일 업로드 취약점을 악용하여 DB에 저장된 회원정보를 탈취한 것으로 추정된다. 분석에 활용된 로그자료 현황 ▸웹서버 로그(’23. 5. 14. ~ ’23. 8. 11.) 및 웹방화벽 로그(’22.11.11. ~ ’23. 8. 11.) ▸웹방화벽 로그에는 대표 홈페이지 관련 로그가 포함되어 있지 않음 | https://datalaw.kr/sanctions/breach/#br-2025-212-279
2025-06-25 | 제2025-212-278호 | 서울중앙지방법원 | 담당자 실수(오발송·오게시) | - | 주민등록번호·성명·연락처·이메일·주소 | ’23. 12. 19. 13:22경 피심인 소속 형사항소과 직원이 통·번역인 34명에게 “교육 홈페이지 접속 안내 및 수강 매뉴얼”을 이메일로 보내는 과정에서 실수로 ｢‘23년 통·번역인 후보자 명단｣ 파일을 오첨부하여, 통·번역인 후보자 400명의 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2025-212-278
2025-06-25 | 제2025-212-277호 | 경기도화성오산교육지원청 | 기타·미상 | - | 주민등록번호·성명 | ’24. 9. 19. 피심인 소속 직원이 급여작업을 요청하는 과정에서 개인정보가 포함된 조정수당 참고파일을 관내 공립학교 급여 담당자 238명에게 ‘경기도교육청 메신저’를 통해 전송하였다. 수신대상자 238명 중 151명은 해당 메시지를 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2025-212-277
2025-06-25 | 제2025-014-047호 | TELUS International AI, Ltd | 취약점·설계 결함 | - | 성명·이메일·주소 | 피심인은 플랫폼에서 채용 담당자와 관리자 계정으로 채용 공고 지원자의 DB를 호출하여 데이터를 조회할 수 있도록 설계된 API를 업데이트하면서, 해당 API를 사용하는 계정의 권한을 검증하는 절차를 누락한 소스코드를 작성‧배포(’23. 8. 28.)하였다. 이에, 지원자 계정으로도 타 지원자의 개인정보에 접근이 허용되는 취약점이 발생하였다. 해커는 플랫폼에서 지원자 계정을 생성한 후, 상기 취약점을 통해 API의 ‘ ’를 변경 4) 닫기 하여, 지원자인 한국 정보주체의 개인정보(성명, 이메일 주소, 지원자 식별번호, 지원 직무, 지원일 등)를 조회·유출(’23. 9. 8. ~ 11. 1.)하였다. 피심인은 유출 사고 이후 자체점검 과정에서 다른 취약점도 자체적으로 발견하였으며, ’23. 8. 28. 소스코드 배포 전 ‘개인정보를 조회할 때 사용하는 API’의 소스코드 보안 취약점 등을 점검하지 않았다. | https://datalaw.kr/sanctions/breach/#br-2025-014-047
2025-06-25 | 제2025-014-046호 | (재)한국인정지원센터 | - | 161건 | 주민등록번호·성명·연락처·주소·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-014-046
2025-06-11 | 제2025-211-253호 | 한국에이티씨센터㈜ | - | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·소속·직위 | - | https://datalaw.kr/sanctions/breach/#br-2025-211-253
2025-06-11 | 제2025-013-044호 | 비공개 | - | - | 연락처·아이디·비밀번호·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-013-044
2025-06-11 | 제2025-013-043호 | 비공개 | - | - | 연락처·계좌·카드번호·거래·구매 내역 | - | https://datalaw.kr/sanctions/breach/#br-2025-013-043
2025-06-11 | 제2025-013-042호 | 머크㈜ | - | - | 성명·건강·진료 정보 | - | https://datalaw.kr/sanctions/breach/#br-2025-013-042
2025-06-11 | 제2025-013-041호 | 이화여자대학교 | 취약점·설계 결함 | - | 주민등록번호·성명·연락처·이메일·주소·계좌·카드번호·학적·성적·소속·직위 | 신원 미상의 자(이하 ‘해커’)는 ’24. 9. 2. 14:50 ~ 9. 3. 11:55 해외 IP에서 유레카 시스템에 존재하는 DB 트랜잭션( ) 기능의 취약점＊ 을 이용하여 파 라미터 변조 및 무작위 대입을 통해 졸업생 및 학부생의 개인정보를 조회하였 다. ＊ 로 접근하여 개인정보 조회 시 세션값 검증 로직 부재로 세션값과 조회 대상 정보가 불일치하는 경우에도 파라미터 (학번) 변조를 통해 다른 사용자의 개인정보 조회가 가능한 취약점 존재 | https://datalaw.kr/sanctions/breach/#br-2025-013-041
2025-06-11 | 제2025-013-040호 | 전북대학교 | 취약점·설계 결함 | - | 주민등록번호·성명·연락처·학적·성적·소속·직위 | 신원 미상의 자 (이하 ‘해커’)는 ’24. 7. 28. 03:18 ~ 22:14 오아시스 2.0의 기능( )의 취약점 ＊을 이용한 SQL Injection 공 격으로 학번 정보를 약 137만 건 조회하여 유효한 학번 정보를 입수한 후, ’24. 7. 28. 23:23 ~ 7. 29. 05:28 사이에 페이지에서 파라미터 변조 및 무작위 대입하여 학 생 및 평생교육원 홈페이지 회원의 개인정보를 조회하였다. ＊ 하면, | https://datalaw.kr/sanctions/breach/#br-2025-013-040
2025-05-14 | 제2025-209-223호 | 비공개 | - | - | 성명·이메일·주소·소속·직위 | - | https://datalaw.kr/sanctions/breach/#br-2025-209-223
2025-05-14 | 제2025-209-222호 | 비공개 | - | - | 성명·연락처·주소·생년월일·나이·아이디·비밀번호·소속·직위 | - | https://datalaw.kr/sanctions/breach/#br-2025-209-222
2025-05-14 | 제2025-209-220호 | 노원구 | 설정 오류·시스템 장애 | 21명 | 성명·연락처·주소 | 피심인은 관련 다수인 민원을 처리하는 과정에서, ’23. 8. 2. 민원인의 개인정보가 포함된 민원 처리 보고 문서를 대국민 공개로 설정하여 해당 문서가 ‘서울정보소통광장’ 1) 서울특별시 정보공개시스템으로 공공기관 결재문서, 연구용역자료 등 다양한 행정정보 제공 닫기 에 원문 공개되었다. 구체적으로, 관련 다수인 민원 업무 담당자는 기존 문서를 참고하여 민원 처리 보고 문서를 작성하면서 해당 문서에 민원인들의 개인정보가 포함된 가 첨부되어 있음에도 부주의하게 이를 ‘대국민 공개’로 설정하였고, 전결권자의 최종 결재에 이르기까지 해당 문서의 공개 설정에 대한 검토‧확인이 제대로 이루어지지 않았으며, 그 결과 위 문서가 ‘서울정보소통광장’에 그대로 원문 공개되었고 위 문서의 첨부파일에 들어 있던 민원인들의 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2025-209-220
2025-05-14 | 제2025-209-219호 | (재)전라남도정보문화산업진흥원 | 잘못된 게시·노출 | 5명 | 주민등록번호·성명·주소 | 민원인은 ’19.6월 피심인에게 ‘ ’ 교육을 신청하면서 개인정보가 기재된 교육 참가신청서와 주민등록등본을 제출하였다. 이후 민원인이 ’23.3.14. 구글 검색창에 민원인 본인의 성명과 함께 ‘전남’, ‘청년’ 등의 단어를 조합하여 검색하자, 피심인에게 제출한 교육 참가신청서, 주민등록등본이 포함된 URL 링크 주소 2건＊이 노출되었다. ＊① ② | https://datalaw.kr/sanctions/breach/#br-2025-209-219
2025-04-23 | 제2025-208-197호 | ㈜모우다 | - | - | 이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-208-197
2025-04-23 | 제2025-208-196호 | 엘오케이(유) | - | - | IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2025-208-196
2025-04-23 | 제2025-208-195호 | ㈜서울프라퍼티인사이트 | - | - | 성명·생년월일·나이·학적·성적 | - | https://datalaw.kr/sanctions/breach/#br-2025-208-195
2025-04-23 | 제2025-208-192호 | 네츄럴비자 | - | - | 주민등록번호·외국인등록번호·여권번호·성명·연락처·이메일·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-208-192
2025-04-23 | 제2025-208-191호 | 재단법인 우리다문화장학재단 | - | - | 주민등록번호·성명 | - | https://datalaw.kr/sanctions/breach/#br-2025-208-191
2025-04-23 | 제2025-208-190호 | 비공개 | - | - | 주민등록번호·성명·연락처·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-208-190
2025-04-23 | 제2025-208-189호 | 언더독스 주식회사 | - | - | 주민등록번호·성명·연락처·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2025-208-189
2025-04-09 | 제2025-008-025호 | ㈜케이티알파 | - | - | 성명·연락처 | - | https://datalaw.kr/sanctions/breach/#br-2025-008-025
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 외부 침입·해킹 | - | 주민등록번호·외국인등록번호·여권번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호 | 해커가 ’23. 8. 1. ~ ’24. 7. 25. 동안 알 수 없는 방법으로 획득한 개인정보처리시스템(DB) 관리자 계정으로 피심인의 개인정보처리시스템(DB)에 접속하여 DB를 9,831회 조회하고 이용자 정보를 다크웹에 게시하였다.(’24. 7. 8.) 다만, 피심인이 ’22. 3. 18. 시스템을 이전하면서 당시 시스템 담당자(2인)가 개인정보처리시스템(DB) 접속정보가 포함된 파일＊을 깃허브(github) 개인 저장소에 공개 설정으로 저장해두고 운영한 사실이 확인되어, 해커가 해당 경로로 개인정보처리시스템(DB) 접속 정보를 확인 후 접근통제 조치가 되어있지 않은 피심인의 개인정보처리시스템(DB)에 접속하여 개인정보를 유출한 것으로 추정된다. ＊ 환경에서 애플리케이션이 필요로 하는 환경 변수를 저장하는 용도로 사용되며, DB 관리자 계정명과 비밀번호, DB 주소 등 DB 접속에 필요한 정보들이 포함됨 로그분석 결과, 해커는 피심인의 서비스를 이용하는 회원 및 강사의 정보를 관리하는 DB 테이블과 강사 관리용 DB 테이블의 데이터를 조회한 것으로 확인된다. 또한, 강사 관리용 DB 테이블에는 주민등록번호와 계좌번호가 평문으로 저장되어 있었고, 일부 컬럼 | https://datalaw.kr/sanctions/breach/#br-2025-008-024
2025-03-12 | 제2025-205-115호 | ㈜노랑풍선 | - | 6건 | 외국인등록번호·여권번호·성명·연락처·이메일·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-205-115
2025-03-12 | 제2025-205-113호 | 케이알투자증권주식회사 | - | - | 주민등록번호·성명·연락처·이메일·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-205-113
2025-03-12 | 제2025-205-112호 | 안성시육상연맹 | - | - | 성명·연락처·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-205-112
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | - | 3.06e+06건 | 성명·연락처·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2025-006-018
2025-02-26 | 제2025-004-015호 | 엔에이치엔위투㈜ | - | 534903건 | 주민등록번호·성명·연락처·이메일·주소·아이디·비밀번호·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-004-015
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 취약점·설계 결함 | - | 성명·연락처·이메일·생년월일·나이·아이디·비밀번호 | 신원미상의 자(이하 ‘해커’라 한다)가 ‘23. 11. 9. 15:39 ~ 16:20 피심인의 개발시스 템 관리자 로그인 페이지＊에 SQL 인젝션 공격으로 연동된 ‘ ’ 서비스의 운영DB에 보관된 회원정보를 조회하였다. ＊ ※ SQL 인젝션 : DB에 대한 질의값을 조작하여 해커가 원하는 자료를 DB로부터 빼내는 공격 기법 ‘23. 10. 17. ~ 11. 8. 기간동안 외부에 노출된 피심인의 개발시스템에 해커가 ‘웹 스캐닝’을 통해 로그인 페이지의 SQL 인젝션 취약점을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2025-004-014
2025-02-12 | 제2025-203-66호 | ㈜미리디 | - | - | 성명·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-203-66
2025-02-12 | 제2025-203-64호 | ㈜케이티 | - | - | 주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-203-64
2025-02-12 | 제2025-203-63호 | ㈜메이크스타 | - | - | 이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2025-203-63
2025-02-12 | 제2025-003-006호 | ㈜섹타나인 | 계정 도용·대입 공격 | - | 성명·아이디·비밀번호·계좌·카드번호 | 해커가 알 수 없는 방법으로 사전에 획득한 이용자의 아이디와 비밀번호를 이용하여 ‘크리덴셜 스터핑’ 공격 방식을 통해 피심인이 운영중인 앱 API에 무차별 대입 공격을 시도하여, ’22. 10. 5. ~ ’22. 10. 11. 동안 피심인의 시스템에 불법적으로 접근하였고, 국외 IP 주소(6개)를 통해 109,183회 로그인을 시도하여 7,585명의 계정으로 로그인에 성공(성공률 7%) 후 API 응답값에 포함된 개인정보를 탈취하였으며, 이 중 124명의 잔여 포인트를 무단으로 사용＊하였 다. 이 과정에서 동일 IP에서 로그인 시도 횟수는 최대 1분당 5,063회, 1초당 84회 | https://datalaw.kr/sanctions/breach/#br-2025-003-006
2025-01-22 | 제2025-002-005호 | ㈜동행복권 | - | 749114명 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-002-005
2025-01-22 | 제2024-011-187호 | 에스케이스토아㈜ | - | 120000건 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-011-187
2025-01-08 | 제2025-201-28호 | ㈜독립리서치밸류파인더 | - | 3213명 | 성명·연락처·이메일·아이디·비밀번호·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-201-28
2025-01-08 | 제2025-201-27호 | 리스크컨설팅코리아 | - | 599명 | 연락처·이메일·주소·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2025-201-27
2025-01-08 | 제2025-201-25호 | 서산경찰서 | 사회공학·사칭 | 1명 | 주민등록번호·성명·주소 | 경찰관 사칭범이 파출소에 전화를 걸어 조회를 요청해 이에 속은 피심인이 특정인의 정보를 제공하였다. | https://datalaw.kr/sanctions/breach/#br-2025-201-25
2025-01-08 | 제2025-201-24호 | 청주흥덕경찰서 | 사회공학·사칭 | 7명 | 주민등록번호·성명·주소 | 경찰관 사칭범이 지구대에 전화를 걸어 긴급 상황이라며 주민 조회를 요청해 이에 속은 피심인이 특정인의 정보를 제공하였다. | https://datalaw.kr/sanctions/breach/#br-2025-201-24
2025-01-08 | 제2025-001-001호 | 법원행정처 | 외부 침입·해킹 | - | 주민등록번호·성명·연락처·주소·생년월일·나이·건강·진료 정보 | 신원 불상자(경찰, )가 ’21.1.7. 이전 법원의 내‧외부망이 연결된 포트를 이용해 내부망에 악성파일을 설치하고, ’21.6.~’23.1. 서버(스토리지)에 저장된 데이터를 탈취한 것으로 추정되며 - 해킹에 이용된 외부 경유지 서버 8대(국내 4대, 국외 4대)로 약 1,014GB 분량의 데이터가 유출되었으며, 이 중 경찰 수사를 통해 국내 서버 1대에서 4.7GB의 파일(총 유출 데이터의 약 0.46% 분량)을 복원하였다. | https://datalaw.kr/sanctions/breach/#br-2025-001-001
2024-11-27 | 제2024-223-713호 | 비공개 | 원인 불명·확인 안 됨 | 12131명 | 성명·연락처·이메일·주소 | 2023. 8. 20. 신원 미상의 자(IP: )가 피심인의 홈페이지 DBMS 관리자 페이지( )에 로그인하여 회원정보가 담긴 데이터베이스를 삭제하고, 테이터베이스 복구를 위해서는 비트코인을 입금하라는 내용이 담긴 DB 테이블을 신규로 작성하였다. 관리자 계정(root)의 비밀번호가 설정되어 있지 않아, 위 신원 미상의 자가 비밀번호 입력 없이 로그인에 성공한 것으로 추정된다. | https://datalaw.kr/sanctions/breach/#br-2024-223-713
2024-11-27 | 제2024-223-711호 | 비공개 | 담당자 실수(오발송·오게시) | 50명 | 성명 | 피심인은 2024학년도 를 홈페이지에 게시하는 과정에서, 담당자의 실수로 에 게시 대상이 아닌 자료(개인정보가 포함된 자료)를 포함하여 게시하였다. | https://datalaw.kr/sanctions/breach/#br-2024-223-711
2024-11-27 | 제2024-223-710호 | 비공개 | 담당자 실수(오발송·오게시) | 698명 | 성명·생년월일·나이·소속·직위 | 피심인은 결과를 앱에 게시하는 과정에서, 담당자의 실수로 성명 등 개인정보가 포함된 내부용 자료를 게시하였다. | https://datalaw.kr/sanctions/breach/#br-2024-223-710
2024-11-27 | 제2024-019-248호 | 쿠팡㈜ | - | 22440명 | 성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2024-019-248
2024-11-27 | 제2024-019-246호 | 쿠팡㈜ | - | 135603명 | 성명·연락처·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2024-019-246
2024-11-13 | 제2024-019-245호 | 비공개 | 취약점·설계 결함 | 1953명 | 성명·연락처·학적·성적 | 해커가 피심인의 대표 홈페이지＊에 존재하는 웹로직 취약점＊＊(CVE-2017- 10271)을 악용, 내부 저장공간에 악성파일(웹셸)을 업로드하여 개인정보를 탈취 후 텔레그램에 유포하였다. 해커가 공개한 파일을 분석한 결과, 학생 2천여명(4천여건)의 개인정보(이름, 학과, 학번, 휴대전화번호)가 포함된 것으로 확인되었다. ＊ ＊＊ WLS Security 구성 요소에서 부적절한 사용자 입력 값 처리로 인해 인증되지 않은 공격자가 WebLogic의 권한으로 원격 코드 실행이 가능한 잘 알려진 취약점으로 관리자 계정에 로그인 없이, 다양한 명령(업로드, 다운로드 등)를 원격 수행 가능 해커가 업로드한 웹셸(2.jsp)을 통한 다량의 데이터 통신(169.91MB)으로 보이는 웹로그 기록과 피심인 소속 직원과 인터뷰 및 텔레그램에 공개된 파일을 보유중인 파일과 비교해 볼 때, 해당 웹로그 기록은 개인정보 파일이 유출된 정황으로 보인다. | https://datalaw.kr/sanctions/breach/#br-2024-019-245
2024-11-13 | 제2024-019-244호 | 비공개 | 취약점·설계 결함 | 537명 | 주민등록번호·성명·연락처·주소·학적·성적·소속·직위 | 해커가 피심인의 대표 홈페이지＊에 존재하는 웹로직 취약점＊＊(CVE-2017-10271)을 악용, 내부 저장공간에 악성파일(웹셸)을 업로드하여 개인정보를 탈취 후 텔레그램에 유포하였다. 해커가 공개한 파일을 분석한 결과, 학생·교직원 등 20명 이상의 주민등록번호를 포함한 5백여명(2천여건) 이상의 개인정보(이름, 학과, 학번, 주소, 연락처, 소속, 사번 등)가 포함되어 있었다. ＊ ＊＊ WLS Security 구성 요소에서 부적절한 사용자 입력 값 처리로 인해 인증되지 않은 공격자가 WebLogic의 권한으로 원격 코드 실행이 가능한 잘 알려진 취약점으로 관리자 계정에 로그인 없이, 다양한 명령(업로드, 다운로드 등)를 원격 수행 가능 해커가 업로드한 웹셸(5.jsp)을 통한 다량의 데이터 통신(288.32MB)으로 보이는 웹로그 기록과 피심인 소속 직원과 인터뷰 내용 및 텔레그램에 공개된 파일을 비교해 볼 때, 해당 웹로그 기록은 개인정보 파일이 유출된 정황으로 보인다. | https://datalaw.kr/sanctions/breach/#br-2024-019-244
2024-11-04 | 제2024-221-668호 | 비공개 | - | 23355명 | 이메일·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-221-668
2024-11-04 | 제2024-221-667호 | 비공개 | - | 19403명 | 성명·연락처·이메일·주소·아이디·비밀번호·거래·구매 내역 | - | https://datalaw.kr/sanctions/breach/#br-2024-221-667
2024-11-04 | 제2024-221-666호 | 비공개 | - | 22245명 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·소속·직위 | - | https://datalaw.kr/sanctions/breach/#br-2024-221-666
2024-11-04 | 제2024-221-661호 | 비공개 | 원인 불명·확인 안 됨 | - | - | 및 규모 2023. . . 신원 미상의 자가 해외 IP를 통해 웹사이트 관리자 계정에 로그인하여 비밀번호와 휴대전화 번호 및 이메일주소를 변경하였다. 피심인은 위 사고 발생 당시 소속 회원들의 개인정보 조회‧수정‧변경 등 관리자 계정의 접속기록을 보관하지 않아 유출 여부 및 정확한 유출 항목과 규모는 알 수 없다. 다만, 신원 미상자가 2023. . . : 관리자 계정에 로그인하였고, 이틀 뒤인 2023. . . : 관리자 계정의 비밀번호가 변경된 사실을 피심인이 인지하였음에 비추어 보건대, 피심인이 웹사이트를 통해 수집‧보유한 명의 개인정보가 유출되었을 가능성이 없다고 단정할 수는 없다. | https://datalaw.kr/sanctions/breach/#br-2024-221-661
2024-11-04 | 제2024-018-242호 | 비공개 | - | - | 연락처·주소·아이디·비밀번호·계좌·카드번호·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2024-018-242
2024-11-04 | 제2024-018-241호 | 비공개 | - | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-018-241
2024-10-23 | 제2024-220-644호 | 비공개 | - | 1명 | 외국인등록번호·여권번호·성명·연락처·이메일·생년월일·나이·계좌·카드번호·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2024-220-644
2024-10-23 | 제2024-220-643호 | 비공개 | - | 3명 | 성명·연락처·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2024-220-643
2024-10-23 | 제2024-220-642호 | 비공개 | - | 3명 | 성명·연락처·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2024-220-642
2024-10-23 | 제2024-220-640호 | 사회복지법인 월드비전 | - | 1219건 | 성명·연락처·이메일·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2024-220-640
2024-10-23 | 제2024-220-639호 | 주식회사 한독 | - | 10492건 | 성명·연락처·이메일·주소·소속·직위 | - | https://datalaw.kr/sanctions/breach/#br-2024-220-639
2024-10-23 | 제2024-017-240호 | ㈜일학 | - | 10118명 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-017-240
2024-10-23 | 제2024-017-239호 | ㈜네오팜 | - | 293723명 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-017-239
2024-09-25 | 제2024-219-623호 | 비공개 | - | - | 성명·연락처·이메일·주소·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-219-623
2024-09-25 | 제2024-219-622호 | 비공개 | - | - | 성명 | - | https://datalaw.kr/sanctions/breach/#br-2024-219-622
2024-09-25 | 제2024-219-621호 | 비공개 | - | - | 연락처·이메일·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-219-621
2024-09-25 | 제2024-016-232호 | 한국사회복지협의회 | 취약점·설계 결함 | 1.353327e+06명 | 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | 홈페이지의 비밀번호 변경 기능에 존재하는 취약점을 악용하여, 해커가 이용자 계정의 비밀번호를 무단으로 변경하고, 로그인하여 개인정보를 열람하였다. | https://datalaw.kr/sanctions/breach/#br-2024-016-232
2024-08-28 | 제2024-217-572호 | 비공개 | 취약점·설계 결함 | - | 성명·연락처·이메일 | 신원 미상의 자(이하 ‘해커’)가 웹셸＊ 공격으로 피심인이 운영하는 웹사이트에 침입하여 개인정보를 유출한 것으로 추정되며, ＊ 웹셸(Webshell) : 업로드 취약점을 통하여 시스템에 명령을 내릴 수 있는 코드, 웹셸 설치 시 보안 시스템을 피하여 별도의 인증 없이 시스템에 쉽게 접속 가능 해커가 실행한 것으로 추정되는 웹셸 파일기록 등은 남겨져 있으나 접속기록 등이 보존·관리되지 않아 자세한 유출경위·시기는 파악이 불가하였다. 다만, 서비스를 ’14. 7. 21. 종료하였음에도 불구하고, DB 테이블 내 최신 데이터 등록 시점이 ’20. 7. 27. 로 확인되어 ‘20. 7. 27. 직후에 유출된 것으로 추정된다. | https://datalaw.kr/sanctions/breach/#br-2024-217-572
2024-08-28 | 제2024-217-571호 | 비공개 | - | - | 이메일·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-217-571
2024-08-28 | 제2024-217-570호 | 비공개 | 잘못된 게시·노출 | - | 성명·연락처·이메일·생년월일·나이·아이디·비밀번호·계좌·카드번호 | 피심인이 ’22. 6. 11. ~ 6. 12. 웹서버 증설 및 업그레이드 하는 과정에서 서버 설정파일의 디렉터리 공개 옵션(Options)이 활성화되어 디렉터리 리스팅이 발생＊하였다. 이로 인해 이 엑셀로 보관하고 있던 홈페이지 회원들의 미술실기대회 공모전 접수자 명단과 이벤트 당첨자 명단이 인터넷 검색 엔진에 노출되었다. ＊ 웹서버에 있는 특정경로의 파일들을 웹서비스를 통해 디텍토리 형식으로 볼 수 있는 것 | https://datalaw.kr/sanctions/breach/#br-2024-217-570
2024-08-28 | 제2024-014-198호 | 비공개 | - | 181명 | 성명·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2024-014-198
2024-08-28 | 제2024-014-195호 | 비공개 | - | - | 성명·연락처 | - | https://datalaw.kr/sanctions/breach/#br-2024-014-195
2024-07-24 | 제2024-215-540호 | 비공개 | - | - | 아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-215-540
2024-07-24 | 제2024-215-539호 | 비공개 | - | - | 아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-215-539
2024-07-24 | 제2024-215-538호 | 비공개 | - | 11건 | 아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-215-538
2024-07-24 | 제2024-215-537호 | 비공개 | - | - | 아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-215-537
2024-07-10 | 제2024-214-496호 | 비공개 | - | - | 성명·연락처·주소 | - | https://datalaw.kr/sanctions/breach/#br-2024-214-496
2024-07-10 | 제2024-214-495호 | 비공개 | - | 1000건 | 이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2024-214-495
2024-07-10 | 제2024-214-494호 | 비공개 | - | 490건 | 성명·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2024-214-494
2024-06-26 | 제2024-011-188호 | 비공개 | 취약점·설계 결함 | - | 아이디·비밀번호·IP·접속기록 | 해커는 피심인이 운영하는 광고 공모전 페이지( )에 SQL 인젝션 공격(’22. 9. 1. ~ 19.)을 하여 관리자 정보 및 이용자의 개인정보를 획득하였으며, 이후 관리자 페이지( )에 접속하여 주식정보 사이트( )의 유료서비스 이용자 정보를 다운로드하였다. ’22. 9. 8 17:44 해커(61.43.242.68, 한국)가 피심인이 운영하는 광고 공모전 페이지( )에 SQL 인젝션 공격을 통해 DB에 있는 관리자 및 이용자 정보(DB 테이블명·세부항목 및 데이터)를 조회·수집(sqlmap 도구 이용)한 뒤, ’22. 9. 8., ‘22. 9. 10., ’22. 9. 15. 해커가 해외 IP를 통해 관리자 페이지( 를 확인하고, SQL인젝션 공격으로 획득한 관리자 계정정보를 이용하여 해당 페이지에 접속(로그인)하였다. ※ 해커는 9.8. 18:16에 관리자 페이지를 확인 후, SQL인젝션 공격으로 획득한 관리자 계정정보를 이용하여 9.10. 18:21에 관리자 페이지에 접속(로그인) 성공함 또한 ’22. 9. 10. 18:25~18:36 해커가 관리자 페이지에 접속하여 주식정보 사이트( )의 유료서비스 이용자 정보를 엑셀로 다운로드하였다. | https://datalaw.kr/sanctions/breach/#br-2024-011-188
2024-06-12 | 제2024-212-432호 | 비공개 | 담당자 실수(오발송·오게시) | - | 주민등록번호·성명·소속·직위 | 피심인은 결과보고서에 첨부된 자료에 주민등록번호, 번호 등 개인정보가 포함된 사실을 인지하고 첨부자료를 삭제하는 등 결과보고서를 수정하였으나, 홈페이지 등록 과정에서 담당자의 실수로 수정 전 원본 파일을 홈페이지에 게시하여 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2024-212-432
2024-06-12 | 제2024-212-423호 | 비공개 | 기타·미상 | 12명 | 성명·이메일·주소·사진·영상 | 기업회원이 플랫폼에 공고를 등록하면서 이메일 주소를 오기재하여 제3자의 이메일로 의 개인정보가 포함된 안내 메일이 발송되었다. | https://datalaw.kr/sanctions/breach/#br-2024-212-423
2024-06-12 | 제2024-212-422호 | 주식회사 비플스 | - | 163건 | 성명·연락처·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2024-212-422
2024-06-12 | 제2023-019-238호 | 비공개 | - | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호 | - | https://datalaw.kr/sanctions/breach/#br-2023-019-238
2024-05-08 | 제2024-008-182호 | (주)골프존 | 외부 침입·해킹 | 2.216414e+06건 | 주민등록번호·성명·연락처·이메일·생년월일·나이·아이디·비밀번호·계좌·카드번호 | 신원 미상의 자(이하 ‘해커’)는 미상의 방법으로 피심인 직원들의 가상사설망(이하, ‘VPN’) 계정 및 비밀번호를 획득하였으며, 이 계정 중에는 파일서버 및 AD 서버의 관리자 권한이 부여된 계정(이하 ‘관리자 계정’)도 포함되어 있었다. 해커는 탈취한 관리자 계정으로 VPN에 로그인 후, 2023년 11월 22일 다른 네트워크(대전과 청담 사업장)에 존재하는 AD 서버에 각각 원격으로 접속하였고, AD 서버에서 대전과 청담 사업장의 파일서버에 각각 원격으로 접속하여 2024년 11월 22일부터 23일까지 각 파일서버의 자료들을 외부로 전송한 후 다크웹에 공개 5) 현재까지 확인된 유출 파일 용량 : 539GByte(압축파일, 압축 해제 시 1,180Gbyte)다크웹에 공개된 파일은 파일서버에 저장되어 있었던 파일들의 일부인 것으로 확인되며 파일서버의 모든 파일이 유출된 건지 또는 해당 정보만 유출된 것인지는 확인되지 않음 닫기 하였다. 유출된 파일은 피심인의 파일서버에 업로드되어 있던 파일로 통합회원, 문화상품권, VOC, 인사 등 각 전용 DB로부터 추출된 개인정보와 담당자가 수집하여 업무 PC에 저장했던 개인정보가 파일화(xls, doc, pdf, c | https://datalaw.kr/sanctions/breach/#br-2024-008-182
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | - | 1409건 | 주민등록번호·외국인등록번호·여권번호·성명·연락처·이메일·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-007-181
2024-04-24 | 제2024-007-179호 | 비공개 | - | - | 성명·연락처·이메일·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-007-179
2024-04-24 | 제2024-007-178호 | 비공개 | - | - | 성명·주소·아이디·비밀번호·계좌·카드번호·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2024-007-178
2024-04-24 | 제2024-007-177호 | 비공개 | - | 1305건 | 성명·주소·아이디·비밀번호·계좌·카드번호·IP·접속기록 | - | https://datalaw.kr/sanctions/breach/#br-2024-007-177
2024-03-27 | 제2024-006-164호 | 비공개 | - | 25명 | 성명·연락처·이메일·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-006-164
2024-03-27 | 제2024-006-163호 | 비공개 | - | 25명 | 성명·연락처·이메일·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2024-006-163
2024-02-14 | 제2024-003-030호 | TAG HEUER branch of LVMH Swiss Manufactures SA | - | - | 성명·이메일·주소 | - | https://datalaw.kr/sanctions/breach/#br-2024-003-030
2024-01-24 | 제2024-002-009호 | 한국장학재단 | 계정 도용·대입 공격 | 32599명 | 주민등록번호·성명·연락처·이메일·주소·학적·성적 | 신원 불상의 자가 불상의 방법으로 아이디와 패스워드를 획득한 후 다른 사이트에서도 이를 동일하게 사용하였을 것이라는 전제하에 프로그램을 활용하여 성공할 때까지 로그인을 시도하거나 패스워드에 약간의 변화를 주어 로그인을 시도하는 ‘크리덴셜 스터핑’ 방식을 이용하여, ’23.6.21.∼6.27. 피심인의 홈페이지에 불법적으로 접근하였고, 국내외 441,464개의 IP를 통해 총 21,037,622회 로그인을 시도하여 36,748회(중복 제거시 32,599회) 로그인에 성공(성공률 0.17%)하였다. 이 과정에서 1분당 홈페이지 로그인 시도 횟수가 최대 14,440회(1초당 240회)까지 증가하였고, 중국발 트래픽 량이 평소(’23년 1∼8월중 일평균 384,685패킷)보다 최대 36배(6.25. 13,847,468패킷)까지 증가하였으며, ID·PW 입력 오류로 인한 계정 잠김 현상이 평소(’23.6.1.∼6.20. 일평균 78.8회)보다 68배(6.21. 5,418회)까지 증가하는 등 비정상적인 로그인 시도가 급증하였다. 로그 분석 결과 홈페이지의 ‘로그인 페이지’(개인정보 없음)와 ‘마이페이지’(개인정보 13종)에 동일하게 접근한 이력이 확인되었고, 여타 페이 | https://datalaw.kr/sanctions/breach/#br-2024-002-009
2024-01-24 | 제2024-002-008호 | 한국고용정보원 | 계정 도용·대입 공격 | 236527명 | 주민등록번호·성명·연락처·이메일·주소·사진·영상 | 신원 불상의 자가 불상의 방법으로 아이디와 패스워드를 획득한 후 다른 사이트에서도 이를 동일하게 사용하였을 것이라는 전제하에 프로그램을 활용하여 성공할 때까지 로그인을 시도하거나 패스워드에 약간의 변화를 주어 로그인을 시도하는 ‘크리덴셜 스터핑’ 방식을 이용하여, ‘23.6.29.∼7.5. 피심인의 시스템에 불법적으로 접근하였고, 국내외 26개 IP(중국 19개, 한국 7개)를 통해 총 45,110,745회 로그인을 시도하여 21개 IP(중국 15개, 한국 6개)를 통해 564,134회(중복 제거시 236,527회) 로그인에 성공(성공률 1.25%)하였으며, 이 과정에서 1분당 홈페이지 로그인 시도 횟수가 최대 9,997회(평균 4,385회, 초당 73.08회)까지 급증하였다. 로그 분석 결과 신원 불상의 자는 해당 공격을 통해 홈페이지의 ‘회원정보 수정(성명변경)‘ 페이지에 482,619회 접근하였고, ‘이력서·자기소개서 관리’ 페이지에 482,408회 접근한 사실을 확인하였다. ※ 시스템 네트워크 구성도 | https://datalaw.kr/sanctions/breach/#br-2024-002-008
2023-12-13 | 제2023-020-244호 | ㈜스피드옥션 | - | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·소속·직위 | - | https://datalaw.kr/sanctions/breach/#br-2023-020-244
2023-12-13 | 제2023-020-243호 | ㈜코다스디자인 | - | - | 성명·연락처·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2023-020-243
2023-11-08 | 제2023-018-236호 | 비공개 | 기타·미상 | 4779건 | 주민등록번호·성명·연락처 | 피심인은 정보공개 청구인이 정보공개 요청한 관내 학원현황 자료(엑셀 파일)에 관내 학원강사의 주민등록번호가 포함되어 있음을 인지하지 못하고, 정보공개시스템을 통해 해당 자료를 정보공개 청구인에게 공개하여 학원강사의 주민등록번호가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-018-236
2023-11-08 | 제2023-018-235호 | 비공개 | 잘못된 게시·노출 | 4562명 | 주민등록번호·성명·연락처 | 피심인은 ㅇㅇㅇㅇ ㅇㅇㅇ 합격자 발표를 위해 홈페이지에 ‘합격자 발표자료 엑셀파일을 게시하였으며, 합격자 발표를 위한 엑셀파일은 합격여부 조회 대상이 되는 전체 응시생의 성명, 주민등록번호, 합격여부가 포함된 시트와 합격여부를 조회하는 시트로 작성하였다. 피심인은 조회 대상이 되는 시트는 숨기기를 한 후 ‘문서보호’ 암호를 설정하여 홈페이지 팝업창에 ‘합격자 발표자료’를 게시하고, ㅇㅇㅇㅇ 응시생은 합격 여부 확인을 위해 홈페이지에서 ‘합격자 발표자료’를 다운로드하여 조회하는 시트에서 주민등록번호, 학교명, 성명을 입력하여 합격 여부를 확인할 수 있도록 하였으나, 신원 미상의 자가 ‘합격자 발표자료’의 ‘문서보호’ 암호를 해제한 후 인터넷 커뮤니티에 게시하여 ㅇㅇㅇㅇ ㅇㅇㅇ의 주민등록번호, 성명, 연락처 등 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-018-235
2023-11-08 | 제2023-018-234호 | 비공개 | 담당자 실수(오발송·오게시) | 1203명 | 주민등록번호·성명·학적·성적 | 피심인은 「한국장학재단 설립 등에 관한 법률」 제50조의2제10호에 따라 ㅇㅇㅇㅇㅇㅇ 측에서 학자금 대출 상환 및 장학금 환수 등 수혜자 관리 목적으로 학자금 대출 지원자에 대한 학사정보 제출을 요청할 경우 이에 따라야 하며, 이 경우 통상적으로 ㅇㅇㅇㅇ측 전용 시스템에 접속하여 학자금 대출 지원자 관련 주민등록번호를 다운로드한 후 해당 자료에 학사정보를 매칭·현행화하여 다시 시스템에 업로드하는 방식으로 자료를 제출하고 있다. 피심인은 2023. 4. 14. ㅇㅇㅇㅇㅇㅇ 측으로부터 학자금 대출 지원자 학사정보 제출 요청을 받았으며, 이에 따라 ㅇㅇㅇㅇ측 시스템에 접속하여 학자금 지원자 1,203명의 주민등록번호를 다운로드 받아 해당 자료에 학사정보를 매칭·현행화하여 제출용 자료를 가공하였다. 해당 자료를 ㅇㅇㅇㅇㅇㅇ 측에 제출하기 전 학자금 대출 지원자들에게 관련 절차가 진행된다는 사실을 알리기 위해 피심인 홈페이지에 안내 글을 게시하는 과정에서, 담당자 부주의로 ㅇㅇㅇㅇㅇㅇ 측에 제출하기 위해 가공 중이던 엑셀 파일을 잘못 첨부·게시하여, 학자금 대출 지원자들의 성명·주민등록번호가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-018-234
2023-10-25 | 제2023-017-232호 | 주식회사 와이엘랜드 | 외부 침입·해킹 | 229560명 | 연락처·주소 | 신원 미상의 자(이하 ‘해커’라 한다)는 알 수 없는 방법으로 기존에 획득한 웹 관리자 계정을 이용해 `23. 2. 26. ~ `23. 2. 28.에 ‘여유텔레콤’ 홈페이지 관리자페이지에 접속하였으며, 관리자 계정으로 로그인한 후 ‘LGU+ 개통리스트’ 총 13,926개 페이지 등을 검색하여, 이용자(229,600명) 개인정보(이름, 주소, 요금제, 개통번호 등)를 탈취하였다. | https://datalaw.kr/sanctions/breach/#br-2023-017-232
2023-10-25 | 제2023-017-231호 | ㈜오브콜스 | 취약점·설계 결함 | 241241명 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | (유출 경위) 해커는 피심인이 ’17. 11. 27.부터 운영 중인 웹페이지의 파일 업로드 취약점을 이용하여 웹셸 파일을 올린 후 DB 관리도구( )를 이용해 DB에 접근하여 이용자의 개인정보를 유출함 | https://datalaw.kr/sanctions/breach/#br-2023-017-231
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 취약점·설계 결함 | 728680명 | 아이디·비밀번호 | 신원 미상의 자(이하 ‘해커’라 한다)는 ‘22.2.24. ~ 3.19.까지 피심인이 운영 중인 홈페이지에 접근하였으며, 홈페이지 취약점( )을 이용해 웹서버에 웹셸 파일을 올리고 DB관리도구를 통해 DB에 접근한 후 DB를 복사하여 이용자 개인정보를 유출하였다. ※ 피심인은 홈페이지 운영을 위해 프로그램으로 을 이용하면서 ‘19년에 공개된 보안취약점에 대한 패치를 적용(업데이트)하지 않음 | https://datalaw.kr/sanctions/breach/#br-2023-017-230
2023-10-11 | 제2023-016-211호 | 신일전자㈜ | 취약점·설계 결함 | 28472명 | 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 | (유출 경위) ‘19. 1. 17. ~ ’22. 10. 25. 동안 신원 미상의 자의 SQL 인젝션＊ 공격으로 이용자 개인정보 및 관리자 계정＊＊ 등이 유출되었다. ＊ 웹사이트 취약점을 이용해 악의적인 SQL(Structured Query Languange, DB 조회 등을 위해 사용하는 프로그램 언어)문을 실행되게 함으로써 DB를 비정상적으로 조작하는 공격 기법 ＊＊ 온라인 문의 게시판에 사용된 관리자 계정 14개로 확인되며, 평문으로 저장된 비밀번호를 포함한 계정정보(ID/PW)가 다크웹에 공개됨 - 또, 조사과정에서 관리자 페이지가 검색엔진( )에 노출되는 사실을 확인하였는데, 관리자 페이지는 별도의 로그인 절차 없이＊ 접근이 가능하여 이용자의 개인정보가 조회되는 사실을 확인함 ＊ 관리자 페이지 URL을 호출할 경우 로그인 없이 본문 내용을 조회할 수 있었으며, 해당 페이지에 대한 접근통제 조치를 하지 않아 인증과정 없이 관리자 페이지에 접속 가능 | https://datalaw.kr/sanctions/breach/#br-2023-016-211
2023-10-11 | 제2023-016-210호 | 슈나이더일렉트릭코리아 주식회사 | 취약점·설계 결함 | 20681명 | 성명·이메일·주소·아이디·비밀번호 | 신원 미상의 자(이하 ‘해커’라 한다)가 SQL 인젝션＊ 공격(’22. 2. 22. ~ ’22. 3. 8.)을 통해 피심인의 DB에 접근하여 이용자 개인정보 및 관리자 계정정보를 탈취 후, 트위터에 게시하였다. ＊ 웹사이트 취약점을 이용해 악의적인 SQL(Structured Query Languange, DB 조회 등을 위해 사용하는 프로그램 언어)문을 실행되게 함으로써 DB를 비정상적으로 조작하는 공격 기법 | https://datalaw.kr/sanctions/breach/#br-2023-016-210
2023-10-11 | 제2023-016-208호 | 비공개 | 취약점·설계 결함 | 54666명 | 연락처·이메일·주소·생년월일·나이·아이디·비밀번호·학적·성적·소속·직위 | 학생이 ’22. 6. 25. ∼ 7. 21. 피심인의 대표 홈페이지 관리자페이지의 파일 업로드 취약점을 이용하여 웹셸을 업로드하였고, 이를 통해 웹사이트 관리솔루션의 소스코드를 다운로드하여 데이터베이스 연결정보를 발견, SSO(인증시스템) 뷰테이블을 조회하여 회원 정보 데이터를 다운로드함으로써 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-016-208
2023-10-11 | 제2023-016-207호 | 비공개 | 취약점·설계 결함 | 10255건 | 주민등록번호·성명·연락처·아이디·비밀번호 | 학생이 ’22.10.15. 검색엔진(Censys)을 이용하여 피심인의 모의평가 시스템 관리자페이지에 접속하였고, 다양한 패스워드 조합을 시도하여 관리자 계정의 비밀번호를 알아내어 관리자 계정으로 로그인하는 등 관리자 계정 취약점을 이용하여 데이터베이스에 접근, 데이터를 다운로드함으로써 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-016-207
2023-10-11 | 제2023-016-206호 | 비공개 | 취약점·설계 결함 | 34288건 | 아이디·비밀번호·학적·성적 | 학생이 ’22. 7. 19. 피심인의 현장실습관리시스템의 특정 소스코드( )에서 입력된 파라미터에 대한 검증이 누락된 점을 이용하여 웹사이트 관리 솔루션의 주요 소스코드를 다운로드하였고, 이를 통해 발견한 데이터베이스 접속 정보 및 파일 업로드 취약점을 이용하여 웹셸을 업로드하는 방식으로 회원정보 테이블에 접근하여 데이터를 다운로드함으로써 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-016-206
2023-10-11 | 제2023-016-205호 | 비공개 | 외부 침입·해킹 | 3708건 | 성명·연락처·아이디·비밀번호·학적·성적 | 학생이 ’22.6.25. 피심인의 산학협력단 홈페이지의 게시판 섬네일 이미지 업로드 페이지에서 파일 업로드시 관리자 권한 확인 및 파일 확장자 등에 대한 검증 구문이 누락된 것을 이용하여 웹셸을 업로드하였고, 이후 6.26.∼7.19. 웹셸에 접근하여 기숙사 학생 및 교직원 정보가 담긴 테이블과 학생 진로 추천 관련 테이블에 무단으로 접속, 데이터를 다운로드함으로써 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-016-205
2023-10-11 | 제2023-016-204호 | 경북대학교 총동창회 | 외부 침입·해킹 | 11481건 | 연락처·이메일·주소·아이디·비밀번호 | 학생들이 ’22.6.12.(추정) 피심인의 대표 홈페이지에 웹셸 업로드 방식을 통해 무단으로 접속하여 데이터를 다운로드함으로써 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-016-204
2023-10-11 | 제2023-016-203호 | 비공개 | 취약점·설계 결함 | 700054건 | 주민등록번호·학적·성적 | 피심인 소속 학생 2명(보안 동아리 소속, 이하 ‘학생들’)이 보안 취약점을 점검한다는 명분으로 ’21. 8월부터 ’22. 10월까지 자택·기숙사·동아리방 등에서 피심인의 업무시스템 및 웹사이트를 탐색하였고, ①파라미터 변조, ②웹셸 업로드, ③관리자페이지 취약점 이용 등 방법으로 개인정보처리시스템에 무단으로 접속하여 데이터를 다운로드함으로써 개인정보가 유출된 것으로, 세부 유출 경위는 아래 표와 같다. | https://datalaw.kr/sanctions/breach/#br-2023-016-203
2023-07-26 | 제2023-013-182호 | 비공개 | 원인 불명·확인 안 됨 | 15명 | 주민등록번호·성명·연락처·주소·생년월일·나이 | 피심인은 충청북도 청주교육지원청의 요청으로 ’20. 3월에 ‘2020 현황’ 제출을 위해 ‘2020 대상자명단’을 작성하였으며, ＊ 「초·중등교육법」 제25조의2, 「장애인등에 대한 특수교육법」 제8조 및 제22조에 따라 자료를 수집함 학생의 수업 지도 시 학생 특성을 미리 파악하기 위해 명단을 인쇄하였으나, 해당 명단이 학생에게 제공되는 이면지에 섞여 개인정보가 유출되었다. ※ 피심인은 정확한 유출 시기를 특정하기는 어려우나, 2학기 수업 시작 후인 8월 말～9월 초로 추정된다고 소명함 | https://datalaw.kr/sanctions/breach/#br-2023-013-182
2023-07-26 | 제2023-013-181호 | 비공개 | 잘못된 게시·노출 | 1451명 | 주민등록번호·성명·주소·소속·직위 | 피심인의 직원이 사고 발생 당일(’23.01.06.) ‘ 카드＊(엑셀시트)’를 활용하여 ‘6급 이하 조서(엑셀시트)’를 생성한 뒤, ‘ 카드(엑셀시트)’를 삭제하지 않은 채로 ‘ 이하 조서(엑셀파일)’를 내부망 게시판에 업로드하여 주민등록번호를 포함한 개인정보가 유출되었다. ＊ 성명, 주민등록번호, 연고지, 학력, 최초임용일, 전직급임용일 현직급임용일, 경력, 주소, 징계내역 포함 | https://datalaw.kr/sanctions/breach/#br-2023-013-181
2023-07-26 | 제2023-013-180호 | 비공개 | 기타·미상 | 1476명 | 주민등록번호·성명·연락처·주소·생년월일·나이·계좌·카드번호·소속·직위 | 피심인 소속 담당자는 사고 발생 당일(’22.11.1) 시스템＊에서 전체 임직원 정보를 엑셀파일로 다운로드하여 원본시트(‘sheet1＊＊’)를 생성한 후, 해당 시트를 활용하여 신규 직원 목록 시트(‘sheet2＊＊＊’)를 작성하였으며, ＊ 필요한 항목만 필터링해서 다운로드 할 수 있는 기능 부재로 전체 항목이 다운로드 됨 ＊＊ sheet1 : 유출 항목 전체 포함 ＊＊＊ sheet2 : 신규 직원의 사번, 성명, 소속기관, 직급 포함 임직원 정보가 포함된 원본 시트(‘sheet1’)를 삭제하지 않고 ‘초임등급 확정을 위한 증빙자료 제출 안내’ 공문에 첨부하였고, 해당 공문을 내 18개 기관(1개 소속부서 포함)에게 전자결재시스템을 통해 발송하였다. 전자결재시스템에는 개인정보 필터링 솔루션이 운영되고 있어, 해당 전자문서 결재과정에서 개인정보 포함 경고 메시지가 발생＊했으나, 담당자의 인식 부족으로 확인·조치하지 않았다. ＊ 전자문서 개인정보 필터링 솔루션에 해당 전자문서 상신 시(2022.11.1. 10:37), 전자문서 결재 시(2022.11.1. 11:07) 등 2건의 개인정보 포함 경고 메시지 발생 기록 존재 | https://datalaw.kr/sanctions/breach/#br-2023-013-180
2023-07-26 | 제2023-013-179호 | 비공개 | 기타·미상 | 839명 | 주민등록번호·성명·건강·진료 정보 | 피심인이 민간인증서 연결을 위해 행정안전부에서 배포하는 ｢민간인증공통모듈｣ 1.0버전을 1.5버전으로 업그레이드하여 민간인증 2종을 추가하였으나, 주민등록번호를 입력하는 것에서 생년월일을 입력하는 것으로 변경이 있었고, [ 행정안전부 제공 민간인증 공통모듈 버전 비교 ] 이로 인해 1.0버전 당시 로그인 화면과 본인인증 요청화면에서 입력한 주민등록번호 간 일치여부를 확인하는 로직을 적용할 수 없게 되자, 전산업체는 대체 비교수단을 마련하지 않고 해당 로직을 삭제함에 따라, ※ 행안부는 이용기관이 시스템 사양에 맞게 개인정보 처리가 필요함을 안내하였음 로그인 화면의 이용자 인적사항에 타인의 성명과 주민등록번호를 입력하고, 본인인증 시 자신의 정보로 인증을 하면, 타인의 계정으로 로그인이 되는 오류가 발생하였다. ※ 수검기관은 다양한 브라우저 및 핸드폰기기에서 새로운 민간인증이 제대로 작동하는지에 대한 기능테스트는 수행하고, 유출사건과 같은 비정상 케이스에 대한 테스트는 수행하지 않음 | https://datalaw.kr/sanctions/breach/#br-2023-013-179
2023-07-26 | 제2023-013-178호 | 비공개 | 담당자 실수(오발송·오게시) | 2574명 | 주민등록번호·성명·이메일·주소·계좌·카드번호 | 급여담당자가 기간제 직원에게 급여 관련 안내 메일을 보내면서, 당초 근무 일수 입력시 급여를 확인할 수 있는 자동 계산식이 포함된 엑셀 파일(파일명 ‘급여산식’ / 개인정보 미포함)을 보내려 하였으나, 착오로 급여 및 4대보험 산정·납부 작업을 위해 작성한 엑셀파일(파일명 ‘급여계산’ / 개인정보 포함)을 기간제 직원 일부(787명)에게 외부 메일로 발송하여 개인정보가 유출된 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-013-178
2023-07-26 | 제2023-013-177호 | 비공개 | 기타·미상 | 1206명 | 주민등록번호·성명·연락처 | 피심인 소속 직원 A는 ’22.07.24. 11:21 27개 에 ‘코로나19 4차 예방접종 대상자 명단＊’ 작성 및 회신을 요청하였고, 이에 따라 각 이 제출한 의 ‘코로나19 4차 예방접종 대상자 명단’을 하나의 엑셀파일 형태로 취합하였다. ＊ 성명, 주민등록번호, 연락처 등이 기재되어 있지 않은 빈 서식을 이메일에 첨부 직원 A는 ‘코로나19 4차 예방접종 대상자 명단’을 재차 확인하는 과정에서 취합한 ‘코로나19 4차 예방접종 대상자 명단’을 별로 구분하지 않고 전체 명단＊(엑셀파일)을 27개 의 담당자들에게 이메일로 전송함으로써 개인정보가 유출되었다. ＊ 엑셀파일에 비밀번호를 설정하였으나 이메일 본문에 해당 비밀번호를 기재함 | https://datalaw.kr/sanctions/breach/#br-2023-013-177
2023-07-26 | 제2023-013-176호 | 비공개 | 기타·미상 | 1836명 | 주민등록번호·성명 | 피심인이 코로나대응허브시스템에서 다운로드 받은 자료를 재가공하여 관내 코로나19 확진자 1,836명에게 발송할 목적으로 격리통지서를 작성하였고, 온라인 문자 발송 서비스를 활용하여 확진자에게 문자 메시지를 개별 발송하는 과정에서 연락처가 3줄씩 밀려 입력되면서 확진자 전원에게 각기 다른 확진자의 격리통지서를 발송, 개인정보가 유출된 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-013-176
2023-07-26 | 제2023-013-175호 | 비공개 | 담당자 실수(오발송·오게시) | 100명 | 주민등록번호·성명·연락처·주소 | 피심인은 소속 직원의 실수로 문서의 공개 여부를 ‘대국민 공개’로 설정한 채 상신하였고, 그대로 결재가 완료(국장 전결)된 후, 정보공개포털에 원문이 공개되었으며, 허가 문서의 첨부파일에는 임원예정자 및 회원 명단이 포함되어 있었다. ※ 국장급 이상 전결 문서 중 대국민 공개 문서는 정보공개포털에 원문이 공개됨 | https://datalaw.kr/sanctions/breach/#br-2023-013-175
2023-07-26 | 제2023-013-174호 | 비공개 | 담당자 실수(오발송·오게시) | 6568명 | 주민등록번호·성명·소속·직위 | 관내 12개 및 69개 에 코로나19 3차 예방접종 수요를 조사하는 과정에서 주민등록번호 등이 포함된 수요조사 서식을 메일로 발송하였는데, 담당자의 부주의로 12개 및 35개 에 파일을 암호화하지 않고 발송하여 개인정보가 유출된 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-013-174
2023-07-26 | 제2023-013-173호 | 비공개 | 잘못된 게시·노출 | 329명 | 주민등록번호·성명 | 피심인은 주민등록번호가 포함된 기부금품의 모집 및 지출명세서, 결산서류 등을 암호화＊하지 않고 홈페이지에 게시하여 주민등록번호 등 개인정보가 대표 홈페이지 및 구글 검색엔진에 노출되었다. ＊ 피심인은 PC에 DRM을 도입하여 운영하고 있으나, 대표 홈페이지에 공시자료 게시를 위해 해당 4개 파일의 암호화(DRM)를 해제함 | https://datalaw.kr/sanctions/breach/#br-2023-013-173
2023-07-26 | 제2023-013-172호 | 비공개 | 기타·미상 | 8297명 | 주민등록번호·성명·주소·학적·성적 | 피심인이 홈페이지 장학공지 게시판에「2022-1학기 결과 안내」 게시글을 등록하는 과정에서 개인정보가 포함된 첨부파일(엑셀)을 업로드( )하여 개인정보가 유출되었다. 선발결과 시트 외에 개인정보가 포함된 시트(‘ ’)는 [숨기기] 처리되어 있어서 업로드 당시에 담당자는 개인정보가 포함되어 있음을 인지하지 못하였으며, 업로드 이후 숨겨진 정보가 홈페이지 게시판의 ‘첨부파일 미리보기’ 기능을 통해 드러났다. | https://datalaw.kr/sanctions/breach/#br-2023-013-172
2023-07-26 | 제2023-013-171호 | 비공개 | 담당자 실수(오발송·오게시) | 11731명 | 주민등록번호·성명·소속·직위 | 피심인 소속 담당자는 가입자 수를 늘려 를 인하시키기 위해, 중 여부 재조사 과정에서 업무 부주의로 붙임서류(엑셀파일)에 전체직원의 성명, 주민등록번호가 포함된 공문을 전부서·전기관＊ 및 유관기관에 발송하였다. ＊ 수신자 : 등 163개 부서·기관 | https://datalaw.kr/sanctions/breach/#br-2023-013-171
2023-07-26 | 제2023-013-170호 | 비공개 | 담당자 실수(오발송·오게시) | 1150건 | 주민등록번호·성명·연락처·주소 | 합격자 명단을 홈페이지에 게시하면서, 담당자의 부주의로 엑셀파일에 숨김 처리된 시트를 확인하지 않아 해당 시트의 주민등록번호 등 개인정보가 유출(약 7분간 96회 다운로드)된 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-013-170
2023-07-26 | 제2023-013-169호 | 비공개 | 기타·미상 | 2.966485e+06건 | 성명·학적·성적 | 신원 미상의 자가 , 등 누구나 접근 가능한 온라인시스템 공용게시판에서 일반 게시글의 첨부파일 URL을 확인＊하고, 해당 URL의 파일 식별번호(첨부파일ID)를 변경, 인터넷 주소창에 무작위 대입 시도함으로써 성적파일을 다운로드하였다. ＊ 온라인시스템 게시판의 파일 다운로드 링크에 커서를 올려놓으면 URL이 표출됨 다. ‘ ’이 보호법상 민감정보에 해당하는 지 여부 추가 검토 보호법 제23조는 민감정보에 대한 정의를 두는 대신 민감정보의 종류를 열거하고 있으며, 이에 대해 보호법 해설서(157~164쪽)는 보호법령이 민감정보의 대상을 한정적으로 열거하고 있는 것이라는 취지로 설명하고 있어, 이 사건 ‘ ’의 경우 바로 보호법 상 민감정보로 판단하기 곤란한 측면이 있다. | https://datalaw.kr/sanctions/breach/#br-2023-013-169
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | - | 297117건 | 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | - | https://datalaw.kr/sanctions/breach/#br-2023-012-153
2023-07-12 | 제2023-012-151호 | 비공개 | 계정 도용·대입 공격 | - | - | 해커는 피심인의 홈페이지에 크리덴셜 스터핑 공격을 시도하여 로그인에 성공한 계정의 페이지 등 개인정보를 열람하였다. ※ 해커는 2,179,561회 로그인을 시도(중복제거시 2,002,969건)하여, 51,020회(중복제거시 36,458건)를 성공한 후 개인정보 페이지를 38,218회(중복제거 시 35,076건) 열람함. 이때 사용된 IP 주소는 총 확인됨 해커는 동안 1분당 최대 5,062회, 평균 2,555회의 로그인을 시도하였으며, 피심인이 운영 중인 보안장비 등에서는 대량의 로그인 시도를 탐지‧차단하지 못하였다. ※ 공격에 이용된 로그인 시도 횟수는 4,766회 ~ 1,222,845회임 ※ 공격에 이용된 IP 주소 중 에 접속한 IP주소는 접속한 것으로 확인됨 피심인은 사고 발생 전까지 ‘이용자 로그인 페이지’를 대상으로 동일 IP 주소에서 대량으로 로그인을 시도하는 IP 주소 등을 탐지‧차단하는 정책을 적절하게 운영하지 않았다. | https://datalaw.kr/sanctions/breach/#br-2023-012-151
2023-07-12 | 제2023-012-117호 | ㈜비에스씨 | - | - | - | - | https://datalaw.kr/sanctions/breach/#br-2023-012-117
2023-06-28 | 제2023-011-114호 | 비공개 | 기타·미상 | 26명 | - | 및 규모 (1) ’20. 4. 10. 개인정보 유출 신고 관련 ① 유출 경위 피심인은 데이터베이스(이하, ‘DB') 간 데이터 처리방식의 차이에 대한 이해를 소홀히 하고 DB를 교체하여, 기존 이용자의 개인정보가 신규 가입 이용자의 개인정보로 잘못 변경됨에 따라 이용자의 개인정보가 유출되었다. 피심인은 ’20. 3. 8. DB에서 DB로 변경하는 과정에서 두 DB 간 데이터 처리 방식의 차이＊를 인지하지 못하였다. ＊ DB는 ‘NULL’과 공백문자(“ ”) 모두 NULL로 인식하여 저장하는 반면, DB는 공백문자(“ ”)를 별도의 문자로 인식함 ’20. 3. 8.부터 4. 6.까지 만 14세 미만 이용자＊의 개인정보가 DB에 저장되는 과정에서 CI(Connecting Information: 연계 정보)값이 저장되는 DB 필드에 “NULL”이 아닌 공백 문자(“”)가 저장되었으며, 그 결과 CI값이 저장되는 DB 필드에 공백 문자(“”)가 저장되어 있던 기존 만 14세 미만 이용자 계정 260개의 개인정보(이름·생년월일)가 ’20. 3. 8. 이후 가입한 만 14세 미만 가입자 155명의 개인정보로 변경되었고, 이 중 최소 26명의 이용자가 내 ‘개인정보’ 메 | https://datalaw.kr/sanctions/breach/#br-2023-011-114
2023-06-28 | 제2023-006-057호 | 비공개 | 취약점·설계 결함 | 1명 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | 피심인은 홈페이지 운영을 위해 ‘JEUS(제우스) 7 Fix4’ 버전 소프트웨어를 이용하면서 ‘JEUS Session 보안 취약점’에 대한 패치＊를 적용하지 않아 세션 오류가 발생하였고, ＊ 이미 발표된 소프트웨어 제품에서 발견된 사소한 기능 개선 또는 버그나 오류 등을 수정하기 위해 개발자(개발 회사)가 내놓는 업데이트 프로그램 세션 오류로 인해 홈페이지에 접속한 이용자 A가 비슷한 시간대에 접속한 이용자 B의 개인정보를 확인하면서 개인정보 유출 사고가 발생하였다. | https://datalaw.kr/sanctions/breach/#br-2023-006-057
2023-06-28 | 제2023-006-056호 | 비공개 | 취약점·설계 결함 | 46134명 | 성명·연락처·이메일·아이디·비밀번호 | 피심인은 홈페이지( )에 서비스 관련 1:1 상담문의 게시판을 운영하면서, 개인정보처리시스템에 대한 접근 제한 및 유출 탐지, 취약점 점검 및 그에 따른 조치, 안전한 세션 관리 등 접근통제 등의 보호조치를 소홀히하여 해커가 관리자 페이지의 로그인 세션을 탈취하였고, 이를 통해 관리자 페이지에 접속 및 대량의 개인정보를 조회하면서 유출 사고가 발생하였다. | https://datalaw.kr/sanctions/breach/#br-2023-006-056
2023-06-27 | 제2023-213-256호 | 비공개 | 기타·미상 | 1명 | 성명·연락처·주소·아이디·비밀번호·IP·접속기록·사진·영상 | (유출 경위) 쇼핑몰의 서비스 속도 개선을 위해, 캐시서버＊ 설정을 변경하는 과정에서 이용자의 개인정보까지 캐싱하도록 잘못 설정하여, 이용자가 활동 중, 캐시서버에 저장된 다른 이용자의 개인정보를 전달받아, 마이페이지 등으로 접속 시 다른 이용자의 계정으로 로그인 처리되어 개인정보가 유출됨 ＊ 캐시 서버(Cache server) : 서비스 속도 개선을 위해, 이미지/동영상 등 변경되지 않는 데이터를 이용자와 가까운 곳에 임시 저장하여 빠르게 제공해주는 서버로서, 이용자별 변화하는 내용(회원정보 등)은 처리하지 않아야 함 | https://datalaw.kr/sanctions/breach/#br-2023-213-256
2023-06-27 | 제2023-213-255호 | 비공개 | 설정 오류·시스템 장애 | 69명 | 주민등록번호·외국인등록번호·여권번호·성명·이메일·주소·생년월일·나이 | (유출 경위) 피심인은 내부 시스템( 시스템)을 개편하는 과정에서 해당 시스템의 시퀀스 DB 관리테이블에서 시퀀스＊ 값 설정＊＊을 잘못하여, ＊ 유일한 값을 갖도록 숫자를 순서대로 자동으로 생성해주는 명령어 ＊＊ 해당 시퀀스 값 설정 오류에 대한 사전 테스트 검증을 소홀히 한 사실도 확인 - 시퀀스 현재 값(CURR_NO)이 기존에 저장된 운전면허증 사본 파일의 시퀀스 값과 중복되었고, 이로 인해 동안 내부시스템을 통해 고객에게 안내 이메일 발송 시 타인의 운전면허증 사본 파일이 함께 첨부되었음 ※ ※ | https://datalaw.kr/sanctions/breach/#br-2023-213-255
2023-06-27 | 제2023-213-251호 | 비공개 | 잘못된 게시·노출 | 754명 | 성명·생년월일·나이·학적·성적 | 피심인의 교사가 2022년도 학급 배정 결과를 학교 홈페이지에 게재하면서 재학생들의 성명, 생년월일, 성적이 포함된 ‘2022년 학년 반 편성 자료(엑셀파일)’를 게재하여 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-213-251
2023-06-27 | 제2023-213-250호 | 비공개 | 담당자 실수(오발송·오게시) | 1924명 | 성명·연락처·주소·생년월일·나이·소속·직위 | 조합원 실태조사 및 명부 현행화를 위해 지도과 직원 A가 13개 지사무소 실태조사 담당자들에게 전체 조합원 개인정보가 포함된 엑셀파일을 사내 전산망으로 일괄 발송하여, 유가공공장 조합원 실태조사 담당자 B가 해당 파일을 수령하였고, 이후 조합 비상임이사 D가 지사무소 직원 C에게 안부 인사 목적으로 조합원 명부를 요청, C가 B로부터 사내 전산망으로 해당 파일을 받은 후 이를 출력하여 D에게 교부한 사실을 확인하였다. ※ 비상임이사 및 조합원은 성명․주소만 접근가능 | https://datalaw.kr/sanctions/breach/#br-2023-213-250
2023-06-27 | 제2023-213-249호 | 비공개 | 취약점·설계 결함 | 4303명 | 성명·연락처·아이디·비밀번호 | ’○○○○○종합지원센터 홈페이지‘ 내 문자발송 기능과 장난감 대여기능 추가 등 기능개선 용역을 진행하는 과정에서 관리자페이지에 접근을 허용하는 권한 체크 기능이 누락되어 유출이 발생하였다. | https://datalaw.kr/sanctions/breach/#br-2023-213-249
2023-06-27 | 제2023-213-248호 | 비공개 | 취약점·설계 결함 | 31528명 | 성명·연락처·이메일·주소·아이디·비밀번호 | ’○○○○○종합지원센터 홈페이지‘에서 비밀번호 등 사용자가 입력하는 값에 대하여 SQL 구문과 같은 입력값을 제한하지 않고, 게시판에 업로드가 가능한 파일에 대해 검증하지 않아, 해커가 웹취약점을 이용하여 회원정보 31,528건을 탈취하였다. | https://datalaw.kr/sanctions/breach/#br-2023-213-248
2023-06-14 | 제2023-212-221호 | 비공개 | 취약점·설계 결함 | - | 성명·연락처·이메일·주소 | 부터 홈페이지를 통해 데, 시스템 오류로 인해 에게 다른 이용자의 개인정보(이름, 이메일, 휴대전화번호)가 유출되었다. 피심인은 부터 홈페이지 운영에 소프트웨어를 이용하였는데 해당 소프트웨어는 있는 취약점이 있어, 패치가 적용되지 못한 상태로 운영 중이었으며, 접속자 증가로 세션 정보가 잘못 수신되는 해당 오류가 발생하여 이용자의 개인정보가 다른 이용자에게 노출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-212-221
2023-06-14 | 제2023-212-220호 | 비공개 | 잘못된 게시·노출 | 2명 | 성명·연락처·이메일·주소·IP·접속기록 | 쇼핑몰의 기존 회원정보를 신규 쇼핑몰로 이전하면서, 신규 회원의 ‘주문테이블 회원정보’ 항목에 신규 통합회원번호가 아닌 기존 이용자의 회원번호를 업데이트하여, 신규 회원이 통합 쇼핑몰 로그인 시, 기존 이용자의 주문정보＊가 노출되는 오류가 발생하였다. ＊ 주문정보는 단순 구매이력 정보로 결제정보 등은 미포함 | https://datalaw.kr/sanctions/breach/#br-2023-212-220
2023-06-14 | 제2023-212-219호 | 비공개 | 취약점·설계 결함 | 1명 | 성명·연락처·주소 | 피심인은 ‘제품문의 게시글’에 대한 소스코드 설정 오류, 해당 웹페이지에 대한 검색엔진(구글) 크롤링 설정 및 비정상 호출 차단 조치를 소홀히 하여 개인정보가 유출되었다. 피심인은 쇼핑몰 홈페이지 내 제품문의 페이지의 게시글을 타인이 볼 수 없도록 비공개로 설정·운영하였으나, 해당 비공개 설정을 관리자 외의 자가 해제(수정)할 수 없도록 조치＊하지 않았다. ＊ 게시글을 작성자 본인 외의 자가 볼 수 없도록 비공개 설정(lock)하였으나, 누구든지 해당 웹페이지의 ‘개발자 도구’ 설정 항목에서 잠금(lock) 처리된 설정(소스코드)을 해제(수정)할 수 있었음 아울러 피심인은 구글 검색로봇에 의해 제품문의 페이지가 크롤링 되지 않도록 조치하지 않았으며, 해당 페이지에 대한 정상적인 접근＊이 아닐 경우, 제품문의 글이 호출되지 않도록 조치하지 않아 ‘제품문의 게시판’이 구글에 크롤링 되었다. ＊ 해당 페이지를 호출하기 위한 필수 파라미터 값(상품 코드, 페이지 번호, 전체 리스트 개수) 없이 URL(https://www. )을 직접 입력하여 접속할 경우, 정상적인 접근이 아니므로 제품문의 페이지가 호출되지 않아야 함 이에 따라, 제품문의 게시글에 개인정보를 포함해 | https://datalaw.kr/sanctions/breach/#br-2023-212-219
2023-06-14 | 제2023-212-218호 | 비공개 | 취약점·설계 결함 | - | 성명·연락처·이메일 | 피심인은 멤버십 이용 내역에 관한 취약점을 개선하는 과정에서 소스 코드가 잘못 수정되어 에게 의 개인정보(이름, 전화번호, 이메일)가 노출되었다. 피심인은 한정하여 공개하는 를 운영하면서, 화면에서 확인할 수 있어야 하나, 소스코드 오류로 이름, 전화번호, 이메일 주소를 확인할 수 있어 개인정보가 노출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-212-218
2023-06-14 | 제2023-212-217호 | 비공개 | 설정 오류·시스템 장애 | 10명 | 성명·연락처·주소·IP·접속기록 | 피심인의 소스코드 설정 오류＊로 ’21. 11. 2. 09:12부터 ’21. 11. 2. 09:21.까지 주문 목록 페이지( )에 접근한 이용자가 본인의 주문정보뿐만 아니라 로그인된 다른 회원들의 주문정보에도 접근할 수 있게 되어 개인정보가 유출되었다. ＊ 담당자 실수로 $marketPlaceMember[marketPlaceMemberSeq] = 0 ; 코드가 삽입된 채 소스코드가 배포되어 주문 목록 페이지에 접근한 회원의 고유번호가 0으로 변환되면서 당시 로그인된 모든 회원들의 주문정보에 접근이 가능해졌음 1) 유출 경과 및 대응 | https://datalaw.kr/sanctions/breach/#br-2023-212-217
2023-06-14 | 제2023-212-216호 | 비공개 | 잘못된 게시·노출 | 13명 | 이메일·주소 | 피심인은 발송시스템 개선을 위한 소스코드 배포 과정에서 테스트 절차를 소홀히 하여, 동시간에 이메일을 발송한 다른 이용자의 이메일 주소가 노출되는 오류가 발생하였다. ＊ ‘A’가 이메일을 보낼 경우, 보낸사람 칸에 ‘A’ 대신 ‘(동시간에 이메일을 발송한) B가 A를 대신하여’로 입력되어 메일이 발송되었고, 이에 따라 관계없는 ‘B’의 이메일 주소가 노출됨 | https://datalaw.kr/sanctions/breach/#br-2023-212-216
2023-06-14 | 제2023-212-215호 | 비공개 | 기타·미상 | 1명 | 성명·계좌·카드번호·거래·구매 내역·IP·접속기록 | 피심인의 고객센터에서 상담 업무를 수행하던 직원이 고객상담시스템에서 업무상 부여된 권한을 이용하여 무단으로 특정인의 전화번호를 조회하였고, 당시 열람한 정보를 기억해두었다가, 이후 사적 대화방에서 특정인이 사용하는 단말기 종류와 휴대폰 소액결제 방식으로 구매했던 내역을 언급하였다. 나. 유출 항목 및 규모 통신사 이용자(1명)의 이름, 단말기 종류 정보, 소액결제 구매 서비스명이 유출되었다. 다. 경과 및 대응 3. 개인정보보호 법규 위반 행위 사실 가. 개인정보 유출 통지·신고를 지연한 행위 피심인은 시스템 로그 확인을 통해 유출 사실을 인지(’22.6.17.)하였으나, 정당한 사유 없이 24시간을 경과하여 해당 이용자에게 유출 사실을 통지(’22.6.20.)하고 개인정보 포털에 지연 신고(’22.6.22)한 사실이 있다. | https://datalaw.kr/sanctions/breach/#br-2023-212-215
2023-06-14 | 제2023-212-214호 | 비공개 | - | 118명 | 주민등록번호·성명·연락처·이메일·주소·아이디·비밀번호·사진·영상 | - | https://datalaw.kr/sanctions/breach/#br-2023-212-214
2023-06-14 | 제2023-212-213호 | 비공개 | 기타·미상 | 454명 | 이메일·주소 | (유출 경위) 피심인은 ‘22. 9. 14., ’22. 9. 15. 2회에 걸쳐 이용자를 대상으로 이메일을 454명의 이용자에게 동보발송하여 타 이용자의 이메일 주소가 유출됨 | https://datalaw.kr/sanctions/breach/#br-2023-212-213
2023-06-14 | 제2023-010-109호 | 비공개 | 기타·미상 | 10명 | 성명·연락처·주소 | 피심인은 이용자 편의를 위해 모바일 환경(모바일 웹·앱)의 배송지 변경 기능을 개선하면서 개발 오류로 인해 회원인 이용자의 개인정보가 유출되었다. 피심인은 쇼핑몰 회원이 주문 결제 후 배송지 변경 시, 변경할 주소지 직접 입력으로 인한 오류·불편 등을 줄일 수 있도록 ‘지난 배송지 목록’이 자동 호출＊ 되는 기능을 시스템에 추가(’21.11.10.)하였으나, ＊ 피심인은 최대 10건의 정보가 자동 조회될 수 있도록 기본 설정하여 운영함 비회원인 경우, 배송지 관리를 별도로 하지 않으므로 해당 기능이 적용되지 않아야＊ 함에도, 비회원의 배송지 변경 시에도 자동 호출 기능이 작동＊＊되어 개인정보 유출 사고가 발생하였다. ＊ 회원/비회원에 따라 각각 이동하는 URL을 달리해야 하는데, 시스템 개선 작업 중 이동하는 경로를 회원/비회원 모두 동일한 URL(배송지 목록)로 오기입 ＊＊ 비회원이 주문 결제 후 배송지 변경 시, 최근 배송이 완료된 회원 10명의 배송지 정보가 보여짐 | https://datalaw.kr/sanctions/breach/#br-2023-010-109
2023-06-14 | 제2023-010-108호 | 비공개 | 잘못된 게시·노출 | 66702명 | 성명·연락처·이메일·주소·아이디·비밀번호 | 피심인은 ’21. 8. 1. 회원 검색기능 추가 등 관리자 페이지 개선 작업을 진행하는 과정에서 관리자 인증 정보를 확인하는 로직을 누락하였으며, 이로 인해 회원 검색페이지에 누구나 접근이 가능하여 검색엔진에서 특정 아이디와 이름 검색 시 회원 정보가 노출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-010-108
2023-06-14 | 제2023-010-107호 | 비공개 | 설정 오류·시스템 장애 | 285명 | 연락처·IP·접속기록 | 피심인은 운영 인프라 체계 전환＊을 위한 정기 작업 후, 시스템 설정 오류로 인한 장애가 발생하여 이용자의 개인정보가 다른 이용자에게 유출되었다. ＊ 피심인은 ‘＊＊＊＊＊’ 서비스 운영 시스템 인프라를 에 위탁하여 운영하였으나 ’22.7월 이후부터 모든 인프라를 AWS로 이관하여 자체 운영 중임 피심인의 시스템 설정 오류로 인해 신규 가입회원과 소셜 로그인으로 신규 접속한 회원＊의 정보가 운영 DB가 아닌 테스트용 DB에 저장되었으며, 이 과정에서 기존 회원에게 부여되었던 회원번호(member_no＊＊)가 신규 가입자에게 재발급(오류 발생: ’22.3.25. 04:20~08:00경)되었다. ＊ 소셜 로그인 회원의 경우 로그인 시 일치하는 회원 정보가 없으면 신규 가입페이지로 이동하게 되며 이후, 신규 회원가입 절차와 동일하게 처리 후 DB에 저장됨 ＊＊ 테스트용 DB에서 신규 가입자에게 회원번호 발급 시, 운영 DB에 이미 발급한 이력이 있는 회원번호가 중복으로 부여됨 피심인은 설정 오류를 정상 조치(‘22.3.25, 08:00경)하였으나, 오류 시간 동안 테스트용 DB에 회원정보가 저장된 이용자가 로그인 시 운영 DB의 동일한 회원번호를 가진 이용자로 로그 | https://datalaw.kr/sanctions/breach/#br-2023-010-107
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | - | - | 성명·주소·사진·영상 | - | https://datalaw.kr/sanctions/breach/#br-2022-016-127
2023-05-10 | 제2023-008-084호 | 비공개 | 담당자 실수(오발송·오게시) | 1488명 | - | 업무 담당자가 새소식 게시판에 ‘ 건강가정 다문화가족지원센터 운영프로그램 안내’ 자료를 게시하면서, 실수로 ‘ 명단(엑셀)’을 게재(’21.7.22.)하였고, 이후 담당자 본인이 노출 사실을 발견하고 스스로 삭제(’21.8.12.)한 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-008-084
2023-05-10 | 제2023-008-083호 | 비공개 | 담당자 실수(오발송·오게시) | 2명 | 주민등록번호·성명·연락처·주소 | ’22. 8월경 피심인이 별건 민원인들의 제보를 통해 피민원인에게 위반 혐의 농지 처분 명령하자, 피민원인이 피심인( 실)을 방문하여 이의제기 등 민원상담을 하였고, 피민원인에게 행정소송 등 구제절차가 있음을 알려주자, 피민원인이 소송에 활용 가능한 서류를 요청하였는데, 이에 이 보유하고 있던 문서(20p 분량) 중 개인정보가 포함된 부분을 접는 방식으로 표시하여, 비서에게 이를 제외하고 복사하도록 지시하였으나 소통 착오로 비서가 전량을 복사, 이를 그대로 피민원인에게 교부함으로써 개인정보가 유출된 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-008-083
2023-05-10 | 제2023-008-082호 | 비공개 | 기타·미상 | 3155명 | 연락처·이메일·주소 | 피심인은 보관·관리중인 대행업체 정보 중 일부를 ’14.8.12부터 에 등록·연동하여 공개하고 있는데, 당초 자체 계획( )에 따라 대표자 성명, 업체명, 업체 전화번호, 업체 주소 등 4개 항목만 공개하려 하였으나, 최초 항목 등록시 원인 미상의 사유로 대표자 휴대전화번호 및 이메일 주소 등 2개 항목이 추가 포함되어 공개되었으며, 일부 사용자가 을 통해 획득한 해당 정보(2,813건)를 자신의 웹사이트( /폐쇄)에 API 연동 형태로 공개한 사실을 확인하였다. ※ ’14.8.12.∼’21.8.18. 을 통해 105명이 해당 정보를 신청·활용하였으며, 총 124,603건의 대행업체 정보를 조회함 | https://datalaw.kr/sanctions/breach/#br-2023-008-082
2023-05-10 | 제2023-008-081호 | 비공개 | 담당자 실수(오발송·오게시) | 4187건 | 성명·연락처·학적·성적 | 대학교의 교수학습지원센터 담당자가 톡(내부 메신져)을 통해 ‘비교과 프로그램 안내 및 홍보’ 자료를 게재하면서, 실수로 개인정보가 포함된 ‘재학생 연락처’ 파일을 게재한 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-008-081
2023-05-10 | 제2023-008-080호 | 비공개 | 문서 분실·파기 미흡 | 37건 | 주민등록번호·소속·직위 | 기자가 재활용 분리장에 들어가 마대자루 속에 있던 개인정보가 포함된 서류를 발견하고 사진 촬영 후 관련 내용을 기사화하여 보도하면서 개인정보가 유출되었다. 재활용 분리장에서 기자에게 발견된 2개 부서( ) 서류들은 종이류 쓰레기통에 담겨있다가 재활용 분리장까지 반출된 것으로 추정된다. ※ 관련 부서들에는 CCTV가 없거나, 있더라도 종이통 위치를 비추지 않고 있음 2) 유출경과 및 대응 | https://datalaw.kr/sanctions/breach/#br-2023-008-080
2023-05-10 | 제2023-008-079호 | 비공개 | 담당자 실수(오발송·오게시) | 3506명 | 성명·연락처 | 피심인은 ‘2022학년도 시험 감독관 및 종사요원 임명 알림’ 공문을 에 발송하면서, 구분없이 개인정보가 포함된 전체 명단을 첨부하여 일괄 발송하여 각 담당자가 다른 직원들의 개인정보를 열람하도록 한 사실이 있다. | https://datalaw.kr/sanctions/breach/#br-2023-008-079
2023-05-10 | 제2023-008-078호 | 비공개 | 취약점·설계 결함 | 1130건 | 성명·연락처·이메일·아이디·비밀번호·소속·직위 | 해커가 피심인의 ‘ 홈페이지’를 대상으로 SQL 인젝션 공격을 통해 관리자 권한을 탈취한 후 ‘점검시스템’에 웹셀 파일 업로드, 시스템내 개인정보 1,130건을 다운로드한 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-008-078
2023-05-10 | 제2023-008-077호 | 비공개 | 외부 침입·해킹 | 30607명 | 성명·이메일·아이디·비밀번호·학적·성적·소속·직위 | 미상의 해커가 피싱 메일 11종＊을 피심인의 교직원‧학생 등 125개 이메일 계정에 발송(’20.11.4~11.24)하여 이 중 63개 계정에서 비정상＊＊ 로그인 형태를 보였으며, 해커는 탈취한 이메일 계정에 접속하여 VPN 계정＊＊＊, 서버접속 정보 등을 획득한 것으로 추정된다. ＊ (8종) 클릭 시 접속장애 메시지 현출, 이후 다시 이메일 로그인 화면(피싱 페이지)이 뜨면서 ID·PW 입력 유도 (3종) 정보유출을 위한 악성코드가 담긴 첨부파일(v3, 보안플러그인) 설치 유도 ＊＊ ①한 개의 IP에서 30분 내 여러 메일 계정으로 로그인, ②여러 IP에서 동시에 한 메일 계정으로 로그인, ③확보한 악성 IP 그룹에서 로그인 성공(블랙리스트, 특정국가IP, 특정 C&C IP), ④다수국가에서 30분 내 메일 계정으로 로그인 ＊＊＊ 학술정보개발팀 유지보수 계정(kaist_diane813) 탈취한 VPN 계정을 이용하여 전자연구노트시스템이 속한 서버팜 내로 접속한 후 SVN 서버＊를 경유하여 회의시스템 웹서버에 접속하여 DB클라이언트로 ‘연구노트 이용자 정보’ 30,607건 탈취하여 개인정보가 유출되었다. ＊ ‘16년 11월, 외부작업을 위해 KVPN_grou | https://datalaw.kr/sanctions/breach/#br-2023-008-077
2023-05-10 | 제2023-008-076호 | 비공개 | 설정 오류·시스템 장애 | 15460건 | 성명·연락처·주소·아이디·비밀번호 | 대여 신청자 명단 관리자페이지 URL이 접근통제가 해제(해제시기 불상)된 상태로 외부 검색 엔진(MS Bing)에 노출되었으며, 해당 URL을 클릭하면 별도 로그인 과정 없이 관리자페이지로 접근이 가능하였고, 로그 분석 결과 ’21.5.9.∼6.8. 외부 검색 엔진을 통해 165개 페이지의 접근을 허용한 사실을 확인하였다. | https://datalaw.kr/sanctions/breach/#br-2023-008-076
2023-05-10 | 제2023-008-074호 | 비공개 | 잘못된 게시·노출 | 27863명 | 주민등록번호·외국인등록번호·여권번호 | 연계서비스 중 하나인 운영기관 측에서, 본인이 서류를 신청한 경우 본인이라도 주민등록번호가 마스킹되어 발급되는 문제가 있다며, 마스킹을 해제해주면 사안에 따라 측이 마스킹 처리하겠다’고 요청함에 따라, 피심인은 그동안 활성화되어 있지 않던 ‘신청인 구분코드(null)’ 값이 측에 부여되고 있음을 인지하고, 해당 값에 대해 주민등록번호가 마스킹 처리되지 않도록 공통 모듈 소스를 수정하였다. 그러나 해당 신청인 구분코드(null) 값은 뿐만 아니라, 본인 이외의 민원인이 홈페이지를 통해 접근하는 경우에도 동일한 값(null)으로 전달되고 있었고, 변경된 소스의 마스킹 해제 경로를 따라 의 주민등록번호가 마스킹 없이 노출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-008-074
2023-05-10 | 제2023-008-072호 | 비공개 | 취약점·설계 결함 | 652930명 | - | - 신원미상의 자가 피심인의 파일 업로드 취약점을 이용하여 웹셸 1) 공격대상 웹 사이트의 게시판, 자료실 등과 같은 파일 업로드 기능을 이용해 웹셸을 업로드한 후 실행하여 해당 웹서버 정보를 수집하여 공격하는 기법으로 서버 명령을 실행할 수 있는 JSP(Java Server Pages) 등이 이에 해당함 닫기 ( )을 업로드하였고, - 웹셸을 이용하여 웹서버에서 원격데스크톱 서비스로 유휴서버인 서버＊에 연결( )한 후 ＊ 사업 종료( ) 후 네트워크가 연결된 채로 DMZ에 방치됨 | https://datalaw.kr/sanctions/breach/#br-2023-008-072
2023-04-12 | 제2023-006-059호 | 비공개 | 잘못된 게시·노출 | 211건 | 주민등록번호 | (유출 경위) 피심인은 홈페이지 개선과정에서 접근통제 조치를 하지 않아 시스템 오류(로직 오류)＊가 발생했을 때, 이용자의 주민등록번호 등 개인정보가 포함된 신분증( )이 기간 동안 특정 URL에 검색가능한 상태로 노출되어 권한없는 자가 외부에서 접근이 가능토록 함 ＊ | https://datalaw.kr/sanctions/breach/#br-2023-006-059
2023-04-12 | 제2023-006-058호 | 비공개 | 취약점·설계 결함 | - | 주소·IP·접속기록 | (유출 경위) 신원미상의 자(이하 ‘해커’)의 SQL Injection＊ 공격으로 피심인이 운영하는 테스트 서버의 이용자 개인정보가 유출되도록 함 ＊ DB 관리 언어인 SQL(Structured Query Language)을 주입(Injection), 보안취약점을 이용하여 DB의 자료를 뺴내는 공격 - 피심인은 홈페이지 서비스 개발을 위해 실제 이용자 DB와 연동된 테스트 서버를 운영하였는데, 동안＊ 테스트 서버에 웹 방화벽 설정, IP 주소 제한 등 별도의 보안 설정을 하지 않았음 ＊ 테스트 작업 완료 후 접근통제 조치를 하여야 하나 실수로 외부 접근 차단을 누락함 | https://datalaw.kr/sanctions/breach/#br-2023-006-058
2023-04-12 | 제2023-006-051호 | 비공개 | 담당자 실수(오발송·오게시) | 1664명 | 이메일·주소 | 피심인은 ‘○○○○○ 서비스’ 이용 후기 공유요청 메일을 발송하는 과정에서 서비스 이용자의 이메일 주소를 개별 발송하지 않아 타인의 이메일 주소가 다른 이용자에게 유출되었다. 2) 유출 경과 및 대응 - ('22. 5. 27.) 온라인 민원이 제기되어 유출사실 인지 - ('22. 5. 27.) 민원인과 유선 통화로 유출사고 사과, 사후 처리절차 안내 - ('22. 5. 27.) 정보주체에게 유출 사실 통지, 유출사실 공고문 게시 - ('22. 5. 27.) 개인정보보호 포털에 개인정보 유출 신고 | https://datalaw.kr/sanctions/breach/#br-2023-006-051
2023-04-12 | 제2023-006-050호 | 비공개 | 기타·미상 | 1070명 | 성명·연락처 | 졸업생(민○○)이 개인계정으로 시스템에 로그인한 후 이○○ 교사 이름으로 피심인 운영관리자에게 교직원의 접근권한을 요청하였고, 그 권한을 부여받아 회원정보(교사, 학부모, 학생)를 조회하고, 3회에 걸쳐 시스템에서 문자를 발송하였다. 3) 유출경과 및 대응 다. 기초 사실 1) 개인정보에 대한 안전성 확보조치를 소홀히 한 행위 피심인은 운영관리자 및 교사 권한으로 외부에서 관리자페이지에 접속할 경우 아이디와 비밀번호만으로 접속이 가능하도록 운영한 사실이 있다. 피심인은 개인정보처리시스템의 접속기록을 월 1회 이상 점검하지 않은 사실이 있다. | https://datalaw.kr/sanctions/breach/#br-2023-006-050
2023-04-12 | 제2023-006-049호 | 비공개 | 잘못된 게시·노출 | 4087명 | 주민등록번호·성명·주소·생년월일·나이·계좌·카드번호·소속·직위 | 권한 없는 외부인(이하 ‘신고인’)이 ‘21.10.28.~11.15. 기간 동안 구글 검색을 통해 ‘종합관리시스템 내 파일 디렉토리에 직접 접근하여 679건의 문서를 다운로드하였으며, 이중 일부 문서에 개인정보가 포함됨 - 신고인은 URL에 포함된 파일 식별번호 값을 임의로 변경하면 시스템 내 파일에 접근 가능한 사실을 발견하고, 별도의 권한 없이 개인정보가 포함된 비공개 문서를 내려 받음 - 피심인은 신고인의 제보를 통해 이를 인지하였고, 구글 검색에 특정 검색어를 조합하여 지원시스템 내 파일 디렉토리에 직접 접근이 가능한 URL을 찾음 3) (유출항목 및 규모) 종사자의 이름, 주민등록번호＊, 생년월일, 휴대 전화, E-Mail, 주요경력, 소속, 직위, 주소, 학력, 고용형태, 채용구분, 입사일, 계좌번호, 급여정보, 소득정보 등 4,087명 12,375건 ＊ 주민등록번호 유출은 10건이며, 이와 관련하여 피심인은 협약기업이 증빙문서 파일 제출시, 주민등록번호 뒷자리를 마스킹 처리하여 제출할 것을 요청하고 있으나, 일부 기업이 마스킹 처리를 하지 않고 제출하였다고 소명하였음 | https://datalaw.kr/sanctions/breach/#br-2023-006-049
2023-04-12 | 제2023-006-048호 | 비공개 | 잘못된 게시·노출 | 49694명 | 성명·연락처·생년월일·나이·아이디·비밀번호 | 피심인의 홈페이지 특정경로에 접근통제가 적용되어 있지 않아 비인가자의 접근이 허용되어 구글 검색엔진에서 개인정보가 유출되었다. 2) 유출경과 및 대응 - ('21. 1. 29.) 한국인터넷진흥원(KISA) 탐지조사팀의 유선 연락을 받고 로그 분석을 통해 외부자가 조회한 것을 확인하여 개인정보 유출인지 - ('21. 1. 30.) 피심인 홈페이지에 개인정보 유출사실 공지, 개인정보보호 포털에 개인정보 유출 신고, 정보주체에게 유출 사실 통지(문자전송) | https://datalaw.kr/sanctions/breach/#br-2023-006-048
2023-03-22 | 제2023-005-047호 | 비공개 | 설정 오류·시스템 장애 | - | 성명·연락처·주소·IP·접속기록 | (유출 경위) 피심인의 관리자 페이지의 로그인 인증방식을 변경 하면서 개발자의 실수로 시스템 설정 오류＊ 가 발생하여 비정상적인 접근이 허용되어 검색엔진에 관리자 페이지의 주소(URL)가 검색가능한 상태로 노출됨 ＊ 외부에서 관리자페이지를 모바일로 확인하기 위해 로그인 방식을 변경(세션인증→쿠키인증)했는데, 모바일 버전의 관리자 페이지에서 변경할 쿠키 값이 누락되어 모든 이용자에게 접근이 허용됨 | https://datalaw.kr/sanctions/breach/#br-2023-005-047
2023-03-22 | 제2023-005-045호 | 비공개 | 기타·미상 | - | 이메일·주소 | (유출 경위) 피심인은 부터 계열사인 가 별도 승인 없이 피심인의 전체 있도록 개 - 3 - 인정보처리시스템을 운영하였고, 받은 회사 과정에서 접근권한이 없는 피심인의 회원정보를 열람하고 발송 함 | https://datalaw.kr/sanctions/breach/#br-2023-005-045
2023-03-22 | 제2023-005-044호 | 비공개 | 계정 도용·대입 공격 | - | 성명·연락처·이메일·아이디·비밀번호·소속·직위 | (유출 경위) 피심인이 의 테 스트 환경을 구성‧운영하는 과정에서 신원 미상의 자( , )가 알 수 없는 방법으로 획득한 계정정보를 이용하여 및 에 피심인의 데이터베이스에 접속하여 이용자의 개인정보가 유출됨 - 3 - | https://datalaw.kr/sanctions/breach/#br-2023-005-044
2023-03-22 | 제2023-005-043호 | 비공개 | 취약점·설계 결함 | - | 연락처·이메일·아이디·비밀번호·IP·접속기록 | (유출 경위) ①웹서버 설정 오류로 인한 디렉토리 리스팅 취약점＊ 미조치 및 ② 관리자페이지 접근 시 인증절차(로그인 등) 누락으로 개인정보가 외부로 유출됨 ＊ 디렉토리 리스팅 취약점 : 웹 서버의 특정 경로에 있는 파일들을 디렉토리 형식으로 볼 수 있도록 설정하여 외부에서 디렉토리 내에 보유하고 있는 파일 목록 확인 및 접근이 가능 | https://datalaw.kr/sanctions/breach/#br-2023-005-043
2023-03-22 | 제2023-005-042호 | 비공개 | 외부 침입·해킹 | 4.876106e+06명 | 연락처·이메일·주소 | (유출 경위) 해커가 시스템＊(AWS싱가폴)에 저장되어 있던 ‘20. 6. 23.에 생성된 한국인 주문정보 백업파일(약 17GB, 파일명 : )을 유출함 ＊ 개인정보처리방침에 따라 서비스에 대한 개인정보 수집 주체는 피심인이며, ’시스템 유지 보수 등 운영‘ 업무는 피심인 본사( )가 위탁받아 운영하고 있음 ※ 유출 경위는 시스템 운영사이자 수탁자인 피심인의 본사가 사실관계를 파악하고 그 내용을 피심인 으로부터 제출받아 작성됨 - ’21. 3. 26. : 피싱 메일을 통해 이탈리아 매장 PC에 해킹 프로그램(코발트 ＊ | https://datalaw.kr/sanctions/breach/#br-2023-005-042
2023-03-08 | 제2023-004-037호 | 비공개 | 취약점·설계 결함 | - | 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 | (유출 경위) 피심인은 이용자가 본인인증 방식으로 회원가입 시 직접 입력한 이메일 주소에 대한 유효성 확인 절차를 마련하지 않고, 이용자 A가 간편인증 방식( 부터 운영)으로 회원가입 시 이메일 주소만 일치해도 동일한 회원으로 식별되도록 인증 시스템(인증로직)을 잘못 설정하여, ※ - 이미 본인인증 방식으로 회원가입을 완료한 이용자 B의 이메일 주소＊와 중복되었는데도, 이용자 A가 이용자 B의 계정으로 로그인 처리되어 이용자 A에게 이용자 B의 개인정보가 유출되었음 ＊ 이용자 B는 본인인증 방식으로 회원가입 시 이메일 주소를 잘못 입력하여 이용자 B의 본래 이메일 주소가 아닌 이용자 A의 이메일 주소로 등록함 | https://datalaw.kr/sanctions/breach/#br-2023-004-037
2023-03-08 | 제2023-004-036호 | 비공개 | 취약점·설계 결함 | - | - | (유출 경위) 피심인은 을 개편하면서, 디렉토리 리스팅＊ 차단 설정을 누락하여 이용자의 등이 포함된 개인정보 파일이 검색엔진에 노출되었음 ＊ 디렉토리 리스팅 : 특정 디렉토리(폴더)를 웹 브라우저에서 열람하면 해당 디렉토리(폴더) 내 목록과 파일이 직접 조회될 수 있도록 설정하는 옵션 | https://datalaw.kr/sanctions/breach/#br-2023-004-036
2023-03-08 | 제2023-004-035호 | 비공개 | 취약점·설계 결함 | - | 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 | (유출 경위) 해커가 웹셸＊ 공격을 통해 확보한 것으로 추정＊＊되는 계정정보를 통해 개인정보처리시스템에 접속 및 주문정보를 다운로드하여 이용자의 개인정보가 유출됨 ＊ 웹셸(Webshell) : 업로드 취약점을 통하여 시스템에 명령을 내릴 수 있는 악성 코드 ＊＊ 계정정보 탈취 관련 다수의 웹셸 실행로그는 기록되어 있으나, 접속기록 보유기간 경과로 해당 웹셸의 업로드 경위·수행 작업 등은 확인 불가 | https://datalaw.kr/sanctions/breach/#br-2023-004-035
2023-03-08 | 제2023-004-034호 | 비공개 | 외부 침입·해킹 | - | 성명·연락처·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호 | (유출경위) 해커가 온라인 쇼핑몰 문의 게시판에 악성코드 파일(test.php, mysql.php)을 업로드·실행하는 웹셸공격을 통해 개인정보처리시스템에 접속하여, 회원정보와 주문정보를 조회·다운로드하고, 결제정보를 외부 전송하여 이용자 개인정보가 유출됨 | https://datalaw.kr/sanctions/breach/#br-2023-004-034
2023-02-08 | 제2023-002-007호 | (재)한국어린이안전재단 | - | 2412명 | 성명·주소·생년월일·나이 | - | https://datalaw.kr/sanctions/breach/#br-2023-002-007
2023-01-11 | 제2023-001-002호 | 비공개 | 담당자 실수(오발송·오게시) | 51명 | 성명·이메일·아이디·비밀번호·계좌·카드번호·거래·구매 내역 | (유출 경위) 피심인은 고객센터 접수 내역에 대한 분석·대응을 위해 정기적(2~3일)으로 시스템에서 다운로드한 고객센터 문의·답변 파일(엑셀)과 운영 중인 코칭(PT) 서비스 관련 이용자의 요청에 따라 시스템에서 다운로드한 이용자의 1:1 코칭내역 파일(엑셀)을 별도 분리하지 않고 같은 폴더에 저장하여, 상담직원이 1:1 코칭내역을 요청한 이용자에게 고객센터 문의·답변 파일을 이메일로 잘못 첨부·발송하여 이용자의 개인정보가 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2023-001-002
2023-01-11 | 제2023-001-001호 | 비공개 | 설정 오류·시스템 장애 | - | 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 | (유출 경위) 피심인은 ’15. 8월경 시스템을 고도화(정보통신망법 시행령 개정에 따른 조치)하는 과정에서, 휴면 계정 해제 시 비밀번호 확인 없이 아이디 입력만으로도 휴면 계정이 해제될 수 있도록 운영하여 이용자의 개인정보가 유출되었다. - 언론보도 내용인 DI값 중복 설정 오류가 아닌, 휴면 계정 해제 시 아이디와 해당 아이디에 대한 비밀번호를 확인하는 로직이 누락되어, 이용자가 타인의 아이디만을 입력하고 접속을 시도해도 휴면 계정이 해제되는 오류가 발생하였다. ※ 해당 계정이 휴면 계정일 경우에만 발생하는 현상으로, 휴면 계정이 아닐 경우에는 비밀번호 불일치 시 로그인되지 않음 | https://datalaw.kr/sanctions/breach/#br-2023-001-001
2022-11-30 | 제2022-019-163호 | 비공개 | 담당자 실수(오발송·오게시) | - | 성명·주소·IP·접속기록 | (유출경위 ) 피심인이 을 하면서 개발 실수로 이용자가 에 로그인하면 타 이용자의 이름· 주소가 조회됨 | https://datalaw.kr/sanctions/breach/#br-2022-019-163
2022-11-30 | 제2022-019-162호 | 비공개 | 담당자 실수(오발송·오게시) | 82명 | 성명·연락처·주소 | (유출 경위) ’22. 3. 31.부터 ’22. 4. 1.까지 피심인의 물류대행업체(수탁자) 직원 이 실수로 택배 송장 데이터 파일(엑셀)을 편집하는 과정에서 고객의 이름· 주소에 해당 고객의 휴대전화번호가 아닌 다른 고객의 휴대전화번호를 결합한 후, 택배사 배송 시스템에 업로드하여 본인이 아닌 다른 이용자의 이름·주소가 카카오톡 메시지로 전송되었다. | https://datalaw.kr/sanctions/breach/#br-2022-019-162
2022-11-30 | 제2022-019-161호 | 비공개 | 잘못된 게시·노출 | 30명 | 성명·연락처·주소·아이디·비밀번호 | (유출 경위) ’21. 9. 7.부터 ’21. 11. 5.까지 이벤트 참여자의 개인정보가 기재되어 있는 페이지의 읽기 권한을 ‘관리자 ’가 아닌 ‘비회원 이상’으로 설정하여 구 글 등 검색엔진에서 관련 키워드 검색 시 이벤트 참여자 개인정보가 노출 되었다. | https://datalaw.kr/sanctions/breach/#br-2022-019-161
2022-11-30 | 제2022-019-160호 | 비공개 | 기타·미상 | 1명 | 성명·연락처·주소·계좌·카드번호 | (유출 경위) ’21. 11. 1. 피심인이 운영하는 온라인 쇼핑몰에서 이용자가 상품 주문을 위해 배송정보를 입력하고 결제를 완료한 후 배송정보 조회 시 다른 이 용자의 배송정보가 조회되었다. | https://datalaw.kr/sanctions/breach/#br-2022-019-160
2022-11-30 | 제2022-019-159호 | 비공개 | 담당자 실수(오발송·오게시) | - | 성명·연락처·주소·아이디·비밀번호·거래·구매 내역·IP·접속기록 | (유출 경위) 피심인은 페이지를 개발하는 과정에서 담당자의 실수로 테스트 계정으로 로그인한 상태의 인터넷 주소(URL)를 추출하여 고객들에게 안내문자를 발송(약 건)하였고, 해당 인터넷 주소로 접속한 고객 중 이벤트 제품을 구매한 고객의 개인정보가 해당 URL 을 통해 접속한 다른 고객 들에게 노출됨. - 3 - | https://datalaw.kr/sanctions/breach/#br-2022-019-159
2022-11-30 | 제2022-019-158호 | 비공개 | 잘못된 게시·노출 | - | 성명·연락처·이메일·주소·IP·접속기록 | (유출 경위) 피심인은 의 효율적 개발을 위하여 공개용 라이브러리(library)를 이용하였는데 해당 라이브러리 오류로 이용자가 로그인 시 해당 이용자의 정보가 아닌 직전에 로그인한 다른 이용자의 정보를 전송하여 타인에게 개인정보가 노출되는 현상이 발생함 - 3 - | https://datalaw.kr/sanctions/breach/#br-2022-019-158
2022-11-30 | 제2022-019-157호 | 비공개 | 기타·미상 | - | 성명·연락처·주소 | (유출 경위) 피심인은 를 진행하면서 택배 물품의 수취인 송장을 잘못 부착하였으나, 이를 제거하지 않고 새로운 송장을 덧붙여 출고하여 택배를 수령한 고객이 타인의 개인정보를 볼 수 있게 됨 - 3 - | https://datalaw.kr/sanctions/breach/#br-2022-019-157
2022-11-30 | 제2022-019-156호 | 비공개 | 취약점·설계 결함 | 48명 | 아이디·비밀번호 | (유출 경위) 해커는 ’21. 5. 6.부터 ’21. 5. 9.까지 SQL 인젝션 공격을 하여 피 심인이 운영하는 문자발송 서비스의 이용자 계정정보를 탈취한 후 , 스팸문 자(약 29만건 )를 발송하였다. | https://datalaw.kr/sanctions/breach/#br-2022-019-156
2022-11-16 | 제2022-018-153호 | 비공개 | 취약점·설계 결함 | 9명 | 성명·연락처·이메일·아이디·비밀번호 | (유출경위) 해커는 피심인의 문자발송 홈페이지( ) 디렉터리 접근 설정 취약점＊을 이용하여, 웹서버에 접속하고 데이터베이스 연동 설정파일 등을 다운로드＊＊한 후 이용자 계정을 탈취함 ＊ 디렉터리 접근 공격 : 웹브라우저를 이용해 웹서버의 파일 목록과 파일에 접근할 수 있는 취약점 ＊＊ - ’21. 12. 6. 00:29 : 해커가 디렉터리 접근 공격으로 ‘ ’ 홈페이지 웹서버(이하 ‘사고서버’)의 파일( )을 다운로드함 - ’21. 12. 6. 00:35 : 해커는 SSH＊를 통해 사고서버에 ‘ ’ 계정으로 접속 성공함 ＊ SSH(Secure Shell) : 원격 서버(호스트)에 접속하기 위해 사용되는 보안 프로토콜 - ’21. 12. 6. 00:58 : 해커는 디렉터리 접근 공격으로 사고서버에서 데이터베이스 연동정보가 저장되어 있는 ‘ ’ 파일을 다운로드함 - ’21. 12. 6. 02:15 : 해커는 사고서버에 등 웹셸 파일을 생성하여 실행하였고, 이를 통해 데이터베이스 내 계정정보를 탈취한 것으로 추정 | https://datalaw.kr/sanctions/breach/#br-2022-018-153
2022-11-16 | 제2022-018-152호 | 비공개 | 원인 불명·확인 안 됨 | 1명 | 연락처·이메일·주소·아이디·비밀번호·IP·접속기록 | (유출 경위) 이용자가 간편 회원가입 시 알 수 없는 오류로 비정상 식별 값(undefined)이 전송되어 다른 이용자의 계정으로 로그인 처리됨 ’20. 11. 20. : 이용자A는 간편 회원가입을 진행하였고, 계정 연동 과정에서 알 수 없는 오류로 인해 으로부터 비정상 식별 값(undefined)을 전송받아, 시스템에 이용자A의 식별 값이 비정상 값인 ‘undefined’로 그대로 저장되고 회원가입이 완료됨 ’21. 5. 11. : 이용자B가 간편 회원가입을 진행하였으나, 계정연동 오류로 으로부터 비정상 식별 값(undefined)을 전송받으면서 회원가입 되지 않고, 동일한 식별 값(undefined)으로 저장되어 있던 이용자A의 계정으로 로그인 처리되어 이용자A의 개인정보가 이용자B에게 조회됨 | https://datalaw.kr/sanctions/breach/#br-2022-018-152
2022-11-16 | 제2022-018-151호 | 비공개 | 기타·미상 | 6명 | 성명·연락처·이메일·주소·계좌·카드번호 | (유출 경위) 이용자가 ‘ ’ 앱을 통해 에 접속하여 결제단계로 넘어가면 연동 오류가 발생하여 다른 이용자의 개인정보가 조회됨 - 피심인은 서비스를 ‘21. 1. 15.부터＊ 운영하였고, ’ ‘ 앱에서도 이용할 수 있도록 업데이트(’21.2.19.)함 | https://datalaw.kr/sanctions/breach/#br-2022-018-151
2022-09-28 | 제2022-016-135호 | 비공개 | 담당자 실수(오발송·오게시) | - | - | 피심인은 홈페이지 기능 업데이트 과정에서 담당자 실수로 개발 완료되지 않은 소스코드를 적용하였고, ‘ 예약정보 조회 페이지 ’에서 타인의 예약정보가 조회되었다. 그 결과, 외부 IP 가 접속하여 타인의 개인정보 를 조회하였다. 2. 개인정보보호 법규 위반 행위 사실 가. 안전성 확보 조치를 소홀히 한 행위 피심인은 인터넷 홈페이지 ‘ 예약정보 조회 페이지’에 로그인 등 접근통제 없이 접근 가능하게 하였고, 해당 페이지에서 조회 버튼 클릭 시 타인의 예약정보가 조회되게 하였다. | https://datalaw.kr/sanctions/breach/#br-2022-016-135
2022-09-28 | 제2022-016-134호 | 비공개 | 잘못된 게시·노출 | - | - | 홈페이지의 관리자페이지에 관리자 로그인 없이 접근이 가능하도록 운영하는 등 접근 통제에 관한 안전조치를 소홀히 하여 홈페이지 회원의 개인정보가 인터넷에 노출되었으며, 개인정보취급자가 홈페이지 관리자페이지에 접속한 기록을 보관하지 않았다. 2. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 피심인은 운영하고 있는 홈페이지의 관리자페이지에 로그인 등 별도의 접근통제 없이 열람 권한이 없는 자의 접근이 가능하도록 운영하는 등 접근 통제에 관한 안전조치를 소홀히 하였다. 또한 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 보관하지 않았다. | https://datalaw.kr/sanctions/breach/#br-2022-016-134
2022-09-28 | 제2022-016-133호 | 비공개 | 담당자 실수(오발송·오게시) | - | - | 및 규모 피심인은 온라인교육 참여자＊를 대상으로 한 경품이벤트 당첨자를 홈페이지( .co.kr)에 게시하는 과정에서 담당자의 실수로 당첨자( )가 아닌 전체 교육참여자( )의 개인정보 파일(엑셀)을 첨부하였다.＊＊ ＊ ＊＊ 비식별처리된 당첨자 명단만 게시하여야 하나, 전체 참여자의 식별정보를 게시 나. 경과 및 대응 2. 개인정보보호 법규 위반 행위 사실 피심인은 홈페이지에 경품이벤트 당첨자를 공지하는 과정에서 담당자 실수로 전체 참여자( )의 개인정보 파일을 잘못 게시하여 열람권한이 없는 자에게 공개＊되었다. ＊ | https://datalaw.kr/sanctions/breach/#br-2022-016-133
2022-09-28 | 제2022-016-130호 | 비공개 | 기타·미상 | - | - | 및 규모 영업소장이 일반거래처 사용자계정을 생성하여 제3자에게 제공하였고, 제3자는 해당 계정으로 시스템에 접속하여 이름·전화번호를 검색해 전체 거래처에서 발송된 내역을 조회하고 해당 수기 운송장(이미지)에 있는 개인정보를 획득하였고, 고객의 이름, 전화번호, 주소 등 개인정보가 유출되었다. 2. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 피심인은 시스템에서 일반거래처 계정으로 접속할 경우 특정 이름 또는 전화번호를 입력하면 본인 거래처에서 발송된 내역 뿐만 아니라 모든 거래처에서 발송된 목록이 조회되도록 권한을 설정하였다. 그 결과, 수기 운송장(개인정보) 이미지를 볼 수 있었다. | https://datalaw.kr/sanctions/breach/#br-2022-016-130
2022-09-28 | 제2022-016-129호 | 비공개 | 취약점·설계 결함 | - | - | 및 규모 신원 미상자가 홈페이지 게시판( )의 파일 업로드 취약점을 이용하여 웹쉘 파일을 업로드‧실행하여 홈페이지 회원의 이메일주소, 비밀번호 7,187건을 유출하였다. ＊ 게시판에 .php파일이 .jpg파일로 위장되어 업로드됨 나. 경과 및 대응 2. 개인정보보호 법규 위반 행위 사실 피심인은 홈페이지( )를 운영하면서 홈페이지 내 게시판의 파일 업로드 폴더에 실행권한을 차단하지 않고 회원의 비밀번호를 안전하지 않은 암호알고리즘(MD5)으로 암호화하여 저장하여 보관하는 등 개인정보처리시스템의 안전성 확보 조치를 소홀히 하였다. | https://datalaw.kr/sanctions/breach/#br-2022-016-129
2022-09-28 | 제2022-016-128호 | (주)엘지유플러스 | 취약점·설계 결함 | - | - | 및 규모 신원 미상자( )가 내 하위페이지( .php＊)의 취약점을 활용하여 SQL injection 공격을 하여 엘지유플러스의 임직원․대리점직원 등 개인정보(이메일주소, 비밀번호(dummy＊＊, 암호화))가 유출되었다. ＊ ＊＊ 나. 경과 및 대응 2. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 피심인은 홈페이지 내 하위 페이지( .php)를 로그인 없이 접근 가능하도록 운영하였고 해당 페이지에 SQL Injection 공격을 유발할 수 있는 특수 문자를 차단하지 않는 등 접근 통제에 관한 안전조치를 소홀히 하였다. | https://datalaw.kr/sanctions/breach/#br-2022-016-128
2022-08-10 | 제2022-013-103호 | 비공개 | 취약점·설계 결함 | 1.536399e+06건 | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호·IP·접속기록 | (유출경위 ) 해커는 웹 취약점, 접근통제 미흡을 이용해 DB 에 무단 접근하여 개인정보를 조회 ‧유출 - ’16. 1. 29. : 피심인이 온라인 쇼핑몰 서비스 운영을 시작 - ‘22. 3. 10. 10:02 : 해커가 알 수 없는 방법으로 취득한 관리자계정 ( )으로 관리자페이지에 로그인 성공 - ‘22. 3. 10. 10:24 : 해커가 관리자페이지에 원격접속이 가능한 웹셸코드 삽입 - ’22. 3. 10. 11:25 : 해커가 DB관리도구 설치 | https://datalaw.kr/sanctions/breach/#br-2022-013-103
2022-08-10 | 제2022-013-092호 | 비공개 | 설정 오류·시스템 장애 | - | - | 피심인의 0000시스템 고도화 전환을 위한 시스템 내 데이터베이스(DB) 이관작업 중 이관항목에 ID를 포함시키지 않아 원 데이터가 정상적으로 이관되지 않았고, 개인의 메시지함에서 타인의 메시지(메시지 제목, 내용, 발송자 성명 등)가 랜덤하게 노출되는 장애가 발생하였다. 2) 유출경과 및 대응 - (‘21.2.2. 00:00) 0000시스템 고도화작업 완료 후 시스템 오픈 ※ 데이터 이관 오류에 따른 타인의 메시지함 노출 - (‘21.2.2. 04:45) 학부생의 신고로 메시지함 장애 사항 인지 - (’21.2.2. 05:20) API 2) | https://datalaw.kr/sanctions/breach/#br-2022-013-092
2022-07-13 | 제2022-012-087호 | 비공개 | 원인 불명·확인 안 됨 | 6.39527e+06건 | 이메일·아이디·비밀번호·IP·접속기록 | (유출 경위) 신원 미상의 자가 알 수 없는 방법으로 확보한 AWS Access key를 이용하여, ’21. 8. 29. ~ 30. 기간 동안 데이터베이스 임시저장 파일이 보관되어 있던 AWS S3(저장장치)에 접근＊하여 개인정보를 조회·유출함 ＊ ’21. 8. 29. 15:51부터 ’21. 8. 30. 17:41 기간동안 스웨덴IP(80.78.23.194), 독일IP(94.130.19.36)에서 AWS CLI(시스템 운영·관리 프로그램)를 통해 피심인의 AWS S3에 무단 접근한 후 DB 조회·유출 | https://datalaw.kr/sanctions/breach/#br-2022-012-087
2022-06-22 | 제2022-011-066호 | 수원시청 | 기타·미상 | - | - | 및 규모 수원시 권선구 건설과 공무원 박○○은 업무수행을 위해 부여된 권한을 이용하여 흥신소에 2년여간 1,101건의 개인정보를 유출하였다. 16) 닫기 첫째로, 이 사건 공무원은 불법노점단속 업무 수행을 목적으로 자동차시스템을 이용하였다. 차량등록번호(15노＊＊＊＊)를 조회하여 차량 소유주의 개인정보를 검색하여 유출하였으며, 해당 시스템은 주민등록시스템과 연계되어있어 차량을 소유하지 않은 사람도 성명과 주민등록번호 조합으로 조회하여 개인정보 열람 17) 자동차시스템 조회가능항목 : 차량등록번호, 주소(세대주정보 등 포함), 주민번호, 전화번호, 차량 정보 등 닫기 | https://datalaw.kr/sanctions/breach/#br-2022-011-066
2022-05-25 | 제2022-009-061호 | 비공개 | 담당자 실수(오발송·오게시) | - | - | 및 규모 피심인은 ‘ 시스템’ 홈페이지의 관리·운영을 위해 개인정보를 수집·보관하고 있었으며, 내부 업무담당자의 부주의로 시스템 사용자( )의 개인정보 파일이 홈페이지 게시판에 업로드되어 ‘21.7.9(금) ~7.14(수) 13:40 개인정보가 유출되었다. 확인 결과 건의 개인정보가 유출되었으며, 유출 항목은 업체명, 대표자명, 사업자등록번호, 주소, 업종, 업종상세, ID, 사용자 성명, 전자우편, 사용자 연락처, 사무실 연락처, 계정 승인 일자이었다. | https://datalaw.kr/sanctions/breach/#br-2022-009-061
2022-05-25 | 제2022-009-054호 | 비공개 | 취약점·설계 결함 | - | - | 및 규모 피심인은 ‘21.9.2 ~ 9.5 불상의 해커로부터 SQL 인젝션＊ 공격을 받아 홈페이지 및 홈페이지 DB에 저장되어 있던 개인정보가 유출되었다. ＊ SQL 인젝션(Structed Query Language Injection) : 데이터베이스에 대한 질의값을 조작해 해커가 원하는 자료를 데이터베이스로부터 유출하는 공격 기법 접속기록 분석 결과 건의 개인정보가 유출된 것으로 확인되었으며, 은 ID, 비밀번호, 이름, 주소, 집전화번호, 핸드폰번호, 이메일 항목이 유출되었고, 는 ID, 비밀번호, 이름, 생년월일, 주소, 집전화번호, 핸드폰번호, 이메일 항목이 유출되었다. | https://datalaw.kr/sanctions/breach/#br-2022-009-054
2022-05-11 | 제2022-008-052호 | 비공개 | 외부 침입·해킹 | 100건 | 성명·이메일·생년월일·나이·아이디·비밀번호·IP·접속기록 | (유출경위) 피심인이 접근 아이피(IP)를 제한하지 않아 해커가 알 수 없는 방법으로 획득한 데이터베이스 계정으로 데이터베이스 서버에 무단 접근하여 개인정보를 유출한 것으로 추정 ※ 조사 결과, 현장 조사(‘21.10.5.) 시 가 보유한 회원정보는 만건으로 해커가 보유한 것으로 주장하는 개인정보 수치( 만 건)와 유사하였음. 또한, ’21.9.22.에 대량의 정보 전송(약 102Mb/초)이 발생하였고 ‘21.4.26에 미국 아이피(IP)에서 비정상 접속 시도가 있었으나, 세부 로그가 없어 전송된 정보 내 개인정보 포함 여부, 로그인 성공 여부 등은 확인이 불가함 | https://datalaw.kr/sanctions/breach/#br-2022-008-052
2022-05-11 | 제2022-008-051호 | 비공개 | 외부 침입·해킹 | - | 이메일·주소 | (유출경위) 해커는 알 수 없는 방법으로 고객센터가 고객과 상담한 이메일을 취득하여, 수신자로 등록되어있는 이용자 명의 이메일주소로 악성코드가 담긴 피싱메일을 발송＊함 ＊ 해커는 를 발신자 주소로 하여 피싱메일을 발송 1) 유출 경과 및 대응 | https://datalaw.kr/sanctions/breach/#br-2022-008-051
2022-05-11 | 제2022-008-049호 | 비공개 | 계정 도용·대입 공격 | - | 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 | (유출경위) 해커가 알 수 없는 방법으로 획득한 계정정보를 이용하여 데이터베이스 관리도구(phpmyadmin)＊에 접속하고 회원 데이터베이스 테이블을 다운로드함 ＊ MySQL을 웹상에서 관리하기 위해 PHP로 작성된 무료 소프트웨어로, 데이터베이스에 대한 테이블·필드·컬럼의 생성·수정·삭제 및 권한관리, 쿼리 작성 등 다양한 기능 지원 - ’21. 6. 5. 03:14 : 해커( , 한국)가 알 수 없는 방법으로 획득한 파일전송서버(FTP server)의 계정정보(bomastaer)를 이용하여 파일전송서버에 접속하고 웹셸(dd.php, root.php, mysql.php, thanks.php 등 4개)을 업로드＊한 후 데이터베이스 설정파일(database.yml)을 다운로드함 ＊ 해커가 파일전송서버에 웹셸 업로드 및 접속하였으나, 웹셸을 이용하여 개인정보를 조회한 흔적 등은 발견되지 않음 - ’21. 6. 5. 03:15 : 해커가 데이터베이스 관리도구(phpMyadmin)에 접속＊하여 데이터베이스 조회 및 관리자페이지( ) 비밀번호 변경 ＊ 해커가 다운로드한 데이터베이스 설정파일(database.yml)에 데이터베이스 계정정보가 포함되어 있어, 이를 이용하 | https://datalaw.kr/sanctions/breach/#br-2022-008-049
2022-05-11 | 제2022-008-048호 | 비공개 | 외부 침입·해킹 | - | 성명·연락처·이메일·아이디·비밀번호·IP·접속기록 | (유출경위) 해커가 ‘18. 12. 13. 웹서버에 웹셸(_gabia.jpg.php)을 업로드하여 ’20. 5. 31. ~ ’20. 6. 4. 동안 회원 명＊의 개인정보를 데이터베이스에서 조회함 ＊ 피심인의 데이터베이스 로그 보존기간이 일주일로 설정되어 있어, ’20.2.27. 이후에 가입한 회원 중 회원번호가 인 명에 대해 유출 확인됨 | https://datalaw.kr/sanctions/breach/#br-2022-008-048
2022-04-27 | 제2022-007-044호 | 비공개 | 취약점·설계 결함 | 163건 | 주민등록번호·성명·주소·생년월일·나이·사진·영상 | (유출경위) 피심인은 체육 강사를 대상으로 추가 할인을 제공하기 위해 체육 강사 자격증을 업로드 할 수 있는 강사 회원 신청 게시판을 운영하였는데, - 2020. 4. 6. ~ 4. 22. 동안 신원 미상의 자가 인터넷주소에 포함된 파라미터를 변조＊하여 타인의 첨부파일(강사 자격증) 163건을 열람함 ＊ 게시판 파라미터 중 일부(product→gallery)를 변경하면 게시판 유형을 기존 목록형에서 이미지형으로 변경하여 비밀글의 첨부파일이 미리보기 형태로 열람 | https://datalaw.kr/sanctions/breach/#br-2022-007-044
2022-04-27 | 제2022-007-043호 | 비공개 | 기타·미상 | - | 주민등록번호·이메일·아이디·비밀번호 | (유출경위) 유출 추정 시점( )에 운영한 시스템을 현재 보유하고 있지 않아 유출 경위 등을 파악하기는 어려움 - 개인정보 DB의 최종 가입일자( )를 토대로 이후 유출된 것으로 추정함 | https://datalaw.kr/sanctions/breach/#br-2022-007-043
2022-04-27 | 제2022-007-042호 | 비공개 | 담당자 실수(오발송·오게시) | 2건 | 성명 | (유출경위) 시스템 업데이트＊ 시 직원의 인지할 수 없는 실수로 업데이트 직전 월렛 모바일 탑승권을 최종 조회한 이용자 2명의 탑승권 정보가 다른 이용자 106명에게 조회됨 ＊ 월렛 관련 2대의 WAS서버를 업데이트 하면서, 월렛용 모바일탑승권 파일(pass.json)이 쓰기 권한 없이 업로드 됨 | https://datalaw.kr/sanctions/breach/#br-2022-007-042
2022-03-23 | 제2022-005-027호 | 비공개 | 잘못된 게시·노출 | - | - | 및 규모 피심인은 온라인 세미나 신청자가 본인의 개인정보가 검색엔진(구글)에서 검색된다는 문의가 접수되어, 내부 확인 과정을 통해 유출 사실을 인지하였다. 이로 인해 신청자의 성명, 휴대전화번호, 이메일 주소, 직장명이 포함된 개인정보가 유출되었다. 나. 유출 경과 및 대응 - ’21.9.23. 외부 인터넷 검색엔진(구글)에서 본인의 개인정보가 검색되고 있다는 온라인 세미나 신청자의 전화를 받고, 홈페이지 개발 업체 수탁사에 문제 확인 및 수정 요청하고, 접속 페이지를 차단 조치함 - ’21.9.24. 개인정보보호 포털에 유출 신고함 - ’21.9.26. 검색엔진(구글)에서 노출 페이지가 검색되지 않고 최종 삭제된 것을 확인함 - ’21.9.27. 관리자페이지 소스 프로그램을 변경하여 노출 페이지 차단 조치함 | https://datalaw.kr/sanctions/breach/#br-2022-005-027
2022-03-23 | 제2022-005-026호 | 비공개 | 담당자 실수(오발송·오게시) | - | - | 및 규모 피심인의 홈페이지 관리 업체(수탁사)가 oooo 홈페이지 게시판 테스트 작업(’21.1.25) 과정에서 선거인명단 엑셀파일(이하 ‘유출파일’)을 실수로 첨부하였다. 이로 인해 회원들의 면허번호, 성명, 소속의사회명, 주소, 우편번호, 근무처명, 직장전화번호‧팩스번호, 생년월일, 휴대전화번호가 포함된 개인정보가 유출되었다. 나. 유출 경과 및 대응 - ’21.8.26. 선거인명단이 구글에서 검색되고 있다는 제보를 받고, 유출 사실확인 후 홈페이지 유지보수 업체에 게시글 삭제 요청 - ’21.8.30. 개인정보보호 포털에 유출 신고 및 개인정보가 유출된 회원에게 통지(문자, 이메일), 홈페이지 사과 안내문 게시 3. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 | https://datalaw.kr/sanctions/breach/#br-2022-005-026
2022-03-23 | 제2022-005-020호 | 비공개 | 취약점·설계 결함 | - | - | 및 규모 신원 미상자(홍콩 IP)가 홈페이지 취약점을 이용하여 해킹 공격(웹쉘, WebShell) 1) 웹쉘(Web Shell)은 시스템에 명령을 내릴 수 있는 코드로서, 간단한 서버 스크립트로 만드는 방법이 널리 사용되고 있으며 웹서버 취약점을 통해 스크립트가 업로드되면 해커들은 보안 시스템을 피해 별도 인증 없이 시스템에 접속 가능하여 원격으로 해당 웹서버를 조종할 수 있음 닫기 을 통해 서버에 접근, 관리자페이지에 접속 후 회원에게 광고성 스팸 메일을 발송하여 회원의 이메일 주소 건(중복 포함)이 유출되었다. 나. 유출 경과 및 대응 - ’21.7.3. 신원 미상자(홍콩 IP)가 홈페이지 관리자페이지에 접근하여 회원 정보를 조회하고, 관리자페이지의 메일보내기 기능을 이용하여 회원들에게 광고성 스팸메일(건)을 발송 | https://datalaw.kr/sanctions/breach/#br-2022-005-020
## 제재의 「어떤 사업자였는가」 층 — 결정문 기초 사실 절 (https://datalaw.kr/sanctions/parties/)
- 출처: 개인정보위 결정문 「기초 사실」 절 / 기준일 2026-09-11 / 결정문 공개 889건 중 성격을 읽을 수 있는 427건(민간 299 · 공공 128 · 성격구가 남은 것 342)
- 성격구는 결정문 「기초 사실」 절 첫 문장의 **원문**이고, 「업종」은 세기 위해 붙인 축입니다.
- 🔴 **「이 업종 N건」을 「그 업종에서 처분이 N번」으로 읽으면 안 된다.** 비실명 처분은 상호와 함께 성격구까지 지워진 건이 많아 전부 **하한**이다.
- 🔴 **민간 대 공공 비율을 전체 제재의 비율로 읽지 말 것.** 공공기관이 실명 공개 비율이 높아 이 층에 더 많이 들어온다.
- 공공기관 세부는 결정문이 인용한 조문(보호법 제2조제6호 가목·나목)으로만 가른다. 목을 안 적은 건은 「목 미표기」이고 기관 이름으로 추정하지 않는다.
- 업종 분포: 기타·미상 63 · IT·정보서비스 60 · 전자상거래·쇼핑몰 35 · 금융·보험·신용 32 · 제조·유통·도소매 18 · 플랫폼·중개 서비스 17 · 통신·방송 17 · 지방자치단체 16 · 게임·콘텐츠·미디어 14 · 교육·학원 12 · 의료·보건 11 · 교육청·학교·대학 11 · 중앙행정기관·소속기관 8 · 공공기관·공사·출연기관 7 · 부동산·건설·조합 7 · 비영리·협회·조합 7 · 공공 — 제2조제6호 가목(국가기관·지자체) 5 · 국회·법원·헌재 등 3 · 음식·숙박·여가 3 · 공공 — 제2조제6호 나목(공공단체 등) 2 · 인사·채용·아웃소싱 1 · 성격 미기재(공공) 78
의결일 | 안건번호 | 피심인 | 공공/민간 | 업종 | 성격구(원문) | 위반 조문 | 행 주소
2026-08-26 | 제2026-216-365호 | ㈜위솝 | 민간 | IT·정보서비스 | B2B솔루션을 개발·공급하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-216-365
2026-08-26 | 제2026-216-364호 | 제이엠가정의학과의원 | 민간 | 의료·보건 | 병원을 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-216-364
2026-08-26 | 제2026-216-363호 | ㈜포시에스 | 민간 | 플랫폼·중개 서비스 | 전자서명 플랫폼을 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2026-216-363
2026-08-26 | 제2026-216-362호 | 의료법인 제노플랜 의료재단 | 민간 | 의료·보건 | 요양병원 및 카페를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-216-362
2026-08-26 | 제2026-216-361호 | ㈜온오프믹스 | 민간 | 전자상거래·쇼핑몰 | 홈페이지, 프로그램 제작, 전자상거래 및 온라인 유통업 등을 하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-216-361
2026-08-26 | 제2026-216-360호 | 순천향대 부속 부천병원 | 민간 | 의료·보건 | 진료 및 종합건강증진센터를 운영하는 | 제17조 | https://datalaw.kr/sanctions/parties/#pf-2026-216-360
2026-08-26 | 제2026-216-355호 | 경성대학교 | 공공 | 교육청·학교·대학 | ｢고등교육법｣에 따라 설치된 ‘대학’으로 | 제29조·제35조제3항 | https://datalaw.kr/sanctions/parties/#pf-2026-216-355
2026-08-26 | 제2026-216-354호 | 양평군청 | 공공 | 지방자치단체 | ｢지방자치법｣에 따른 지방자치단체로 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-216-354
2026-08-26 | 제2026-207-115호 | (사)북한발전연구원 | 민간 | 제조·유통·도소매 | ｢민법｣ 제32조에 따른 비영리법인으로, ’19. 7월부터 9월까지 ‘북한 에너지산업 현황 및 유통 상황에 관한 설문조사’와 관련하여 에너지경제연구원으로 부터 설문 참여자의 개인정보 처리업무를 위탁받은 수탁자이다. | 제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-207-115
2026-08-26 | 제2026-207-114호 | 에너지경제연구원 | 공공 | 공공기관·공사·출연기관 | ｢공공기관의 운영에 관한 법률｣ 제4조에 따른 공공기관으로 | 제26조제4항 | https://datalaw.kr/sanctions/parties/#pf-2026-207-114
2026-08-26 | 제2026-017-098호 | HD한국조선해양(주) | 민간 | 기타·미상 | HD그룹의 조선부문 중간지주회사로, MDM1) 서비스를 사용하는 임 직원의 개인정보를 처리하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-017-098
2026-08-26 | 제2026-017-097호 | HD건설기계(주) | 민간 | 전자상거래·쇼핑몰 | 굴착기 등 중장비 건설기계를 제조·판매하는 업체로, 내부 업무를 위해 장비영업포털을 운영하며 이를 사용하는 임직원 및 협력사 직원의 개인정보를 처리하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-017-097
2026-08-12 | 제2026-215-336호 | ㈜지에이개발 | 민간 | 부동산·건설·조합 | 주거용 건물을 개발 및 공급하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-215-336
2026-08-12 | 제2026-215-335호 | 거여파크 지역주택조합 추진위원회 | 민간 | 부동산·건설·조합 | 송파 거여 위너스파크 아파트 지역주택조합 추진위원회인 | 제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-215-335
2026-07-22 | 제2026-214-295호 | 용인시청 | 공공 | 지방자치단체 | ｢지방자치법｣에 따른 지방자치단체로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-214-295
2026-07-22 | 제2026-214-294호 | 가평군청 | 공공 | 지방자치단체 | ｢지방자치법｣에 따른 지방자치단체로 | 제24조의2제2항·제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-214-294
2026-07-22 | 제2026-214-293호 | 용인시장학재단 | 공공 | 지방자치단체 | ｢용인시 장학재단 설립 및 운영에 관한 조례｣에 근거하여 설치된 지방자치단체 출연기관으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-214-293
2026-07-22 | 제2026-214-292호 | (재)대구광역시 동구문화재단 | 공공 | 지방자치단체 | ｢대구광역시 동구문화재단 설립 및 운영에 관한 조례｣에 근거하여 설치된 지방자치단체 출연기관으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-214-292
2026-07-22 | 제2026-214-291호 | 인천광역시청 | 공공 | 지방자치단체 | ｢지방자치법｣ 상 지방자치단체로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-214-291
2026-07-22 | 제2026-214-290호 | 전남대학교 | 공공 | 교육청·학교·대학 | ｢고등교육법｣ 상 국립대학으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-214-290
2026-07-22 | 제2026-214-289호 | 한국방송통신대학교 | 공공 | 교육청·학교·대학 | ｢한국방송통신대학교 설립 및 운영에 관한 법률｣에 따른 국립대학으로 | 제21조제1항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-214-289
2026-07-22 | 제2026-214-269호 | 디자인디비 | 민간 | IT·정보서비스 | 온라인 디자인·편집 서비스를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-214-269
2026-07-08 | 제2026-213-271호 | 마스턴투자운용 주식회사 | 민간 | 금융·보험·신용 | 기관투자자 자금으로 부동산 개발·투자·자산관리 사업을 영위하는 자산운용사로서 「신용정보법」에 따른 신용정보제공자이며, 입사지원자 및 임직원의 개인정보를 처리하는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2026-213-271
2026-07-08 | 제2026-213-270호 | 이데일리㈜ | 민간 | 게임·콘텐츠·미디어 | 온라인 뉴스 콘텐츠를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2026-213-270
2026-07-08 | 제2026-213-269호 | ㈜재미스홈 | 민간 | IT·정보서비스 | *와 홈페이지 구축 및 유지보수 계약을 체결하였던 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-213-269
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 민간 | 의료·보건 | 약학 관련 뉴스 서비스를 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-213-268
2026-07-08 | 제2026-213-267호 | 얼굴홈트㈜ | 민간 | IT·정보서비스 | 얼굴 미용 관련 온라인 홈트레이닝 서비스인 얼굴홈트 홈페이지를 운영하는 | 제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-213-267
2026-07-08 | 제2026-213-265호 | 하남도시공사 | 공공 | 공공기관·공사·출연기관 | 「지방공기업법」에 따른 지방공기업으로 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-213-265
2026-07-08 | 제2026-213-264호 | 서광주세무서 | 공공 | 중앙행정기관·소속기관 | 「정부조직법」에 따른 국세청 소속 특별지방행정기관으로 | 제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-213-264
2026-07-08 | 제2026-213-263호 | 법원도서관 | 공공 | 국회·법원·헌재 등 | ｢법원조직법｣ 제22조에 따른 ‘대법원의 기관’으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-213-263
2026-07-08 | 제2026-213-262호 | 법원행정처 | 공공 | 국회·법원·헌재 등 | 「법원조직법」 제19조에 따른 ‘대법원의 기관’으로 | 제21조제1항·제24조의2제2항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-213-262
2026-06-24 | 제2026-212-245호 | 농협중앙회 신용협동조합 | 민간 | 금융·보험·신용 | 범농협 임직원의 복지후생 지원을 위해 농협 소속 임직원이 출자하여 설립한 신협중앙회 소속의 직장신협으로 대출, 복지매장, 웹( ) 쇼핑몰 서비스를 제공하는 | 제26조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-212-245
2026-06-24 | 제2026-212-244호 | 롯데손해보험(주) | 민간 | 금융·보험·신용 | ｢보험업법｣ 상 손해보험업을 영위하는 보험사이며, 보험 가입(예정)자의 개인정보를 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-212-244
2026-06-24 | 제2026-212-242호 | 레즈메드헬스케어코리아 | 민간 | 제조·유통·도소매 | 의료기기 도소매, 수입, 임대 등을 하는 | 제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-212-242
2026-06-24 | 제2026-212-241호 | 전기기술사사이버학원 | 민간 | 교육·학원 | 전기기술사 강의를 제공하는 | 제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-212-241
2026-06-24 | 제2026-212-240호 | ㈜맹호 | 민간 | 비영리·협회·조합 | 로또번호 조합 문자 서비스를 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-212-240
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 민간 | 제조·유통·도소매 | 쿠팡 주식회사의 자회사로, 쿠팡의 물류 공급망에서 입고·보관·출고를 담당하면서 근로자 등 임직원의 개인정보를 처리하는 | 제15조·제23조 | https://datalaw.kr/sanctions/parties/#pf-2026-011-077
2026-05-27 | 제2026-010-071호 | ㈜미소테크 | 민간 | 교육·학원 | 공공기관인 농촌진흥청, 국립농업과학원 및 국립축산과학원으로부터 개인정보 처리 업무를 위탁받은 | 제29조·제21조 | https://datalaw.kr/sanctions/parties/#pf-2026-010-071
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 공공 | 중앙행정기관·소속기관 | ｢정부조직법｣ 상 중앙행정기관의 소속기관으로 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-010-070
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 공공 | 중앙행정기관·소속기관 | ｢정부조직법｣ 상 중앙행정기관의 소속기관으로 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-010-069
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 공공 | 중앙행정기관·소속기관 | ｢정부조직법｣ 상 중앙행정기관으로 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-010-068
2026-05-27 | 제2026-010-067호 | 행정안전부 | 공공 | 중앙행정기관·소속기관 | ｢정부조직법｣ 상 중앙행정기관으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-010-067
2026-05-27 | 제2026-010-066호 | 행정안전부 | 공공 | 중앙행정기관·소속기관 | ｢정부조직법｣ 상 중앙행정기관으로 | 제29조·제26조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-010-066
2026-05-13 | 제2026-209-183호 | 루나데이즈 | 민간 | IT·정보서비스 | 크리에이터와 팬이 소통하는 웹사이트( )를 운영하면서 회원가입·고객지원 등을 위해 정보주체의 개인정보를 수집‧이용하는 | 제30조 | https://datalaw.kr/sanctions/parties/#pf-2026-209-183
2026-05-13 | 제2026-209-182호 | 씨제이올리브네트웍스 주식회사 | 민간 | 기타·미상 | 씨제이올리브네트웍스 주식회사, 주식회사 퍼브컨소시엄, ㈜한국경제신문은 컨소시엄(이하 ‘컨소시엄’)을 구성하여 청년 지원 사업인 ‘리모트인턴십’ 프로그램 을 운영하면서 프로그램에 지원한 정보주체의 개인정보를 수집‧이용하는 | 제30조 | https://datalaw.kr/sanctions/parties/#pf-2026-209-182
2026-05-13 | 제2026-209-153호 | (주)큰사람커넥트 | 민간 | 통신·방송 | 알뜰폰서비스, 인터넷전화, 고객관리프로그램 등을 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-209-153
2026-05-13 | 제2026-209-152호 | 대야구역재개발조합 | 민간 | 부동산·건설·조합 | 대야구역 재개발을 위한 정비사업을 추진하는 | 제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-209-152
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 민간 | 기타·미상 | 상조 서비스를 제공하면서 상조가입자 및 상조가입 희망자 등의 고객 상담 업무와 관련된 개인정보 처리 업무를 보람상조개발㈜(이하 ‘보람상조개발’)에 위탁하여 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-009-063
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 민간 | 기타·미상 | 상조 서비스를 제공하면서 상조가입자 및 상조가입 희망자 등의 고객 상담 업무와 관련된 개인정보 처리 업무를 보람상조개발㈜(이하 ‘보람상조개발’)에 위탁하여 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-009-062
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 민간 | 기타·미상 | 상조 서비스를 제공하면서 상조가입자 및 상조가입 희망자 등의 고객 상담 업무와 관련된 개인정보 처리 업무를 보람상조개발㈜(이하 ‘보람상조개발’)에 위탁하여 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-009-061
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 민간 | 기타·미상 | 상조 서비스를 제공하면서 상조가입자 및 상조가입 희망자 등의 고객 상담 업무와 관련된 개인정보 처리 업무를 보람상조개발㈜(이하 ‘보람상조개발’)에 위탁하여 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-009-060
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 민간 | 기타·미상 | 상조 서비스를 제공하면서 상조가입자 및 상조가입 희망자 등의 고객 상담 업무와 관련된 개인정보 처리 업무를 보람상조개발㈜(이하 ‘보람상조개발’)에 위탁하여 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-009-059
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 민간 | 기타·미상 | 상조 서비스를 제공하면서 상조가입자 및 상조가입 희망자 등의 고객 상담 업무와 관련된 개인정보 처리 업무를 보람상조개발㈜(이하 ‘보람상조개발’)에 위탁하여 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2026-009-058
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 민간 | IT·정보서비스 | 상조 서비스를 제공하면서 상조서비스 가입자 및 보람그룹 홈페이지 통합 회원 등의 개인정보를 처리하는 | 제29조·제21조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-009-057
2026-04-22 | 제2026-007-053호 | 재단법인 금릉공원묘원 | 민간 | 제조·유통·도소매 | 묘지, 봉안당 임대·관리 서비스를 운영하는 | 제24조의2제1항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-007-053
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 민간 | 플랫폼·중개 서비스 | 결혼중개서비스를 운영하면서 회원의 개인정보를 처리하는 | 제21조제1항·제24조의2제1항·제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-007-052
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 민간 | 인사·채용·아웃소싱 | 콜센터 아웃소싱 서비스를 제공하는 | 제21조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-006-050
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | 민간 | 제조·유통·도소매 | 제조식품을 판매·납품하며 민원 응대 등을 위해 개인정보를 수집하는 | 제34조·제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-207-119
2026-04-08 | 제2026-207-118호 | 세종화재해상자동차손해사정(주) | 민간 | 금융·보험·신용 | 손해사정업체인 | 제34조·제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-207-118
2026-04-08 | 제2026-207-117호 | ㈜두잉이앤엠 | 민간 | 제조·유통·도소매 | 사업시설 관리, 사업 지원 및 임대 서비스를 제공하는 | 제34조·제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-207-117
2026-04-08 | 제2026-207-116호 | 국립장기조직혈액관리원 | 공공 | 공공기관·공사·출연기관 | ｢공공기관의 운영에 관한 법률｣ 제4조에 따른 공공기관으로 | 제28조의4제3항 | https://datalaw.kr/sanctions/parties/#pf-2026-207-116
2026-04-08 | 제2026-207-113호 | 신정고등학교 | 공공 | 교육청·학교·대학 | ｢초·중등교육법｣에 따른 각급 학교로 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-207-113
2026-04-08 | 제2026-207-112호 | 한국환경산업기술원 | 공공 | 공공 — 제2조제6호 나목(공공단체 등) | - | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-207-112
2026-04-08 | 제2026-207-111호 | 양산경찰서 | 공공 | 중앙행정기관·소속기관 | ｢정부조직법｣에 따른 중앙행정기관의 소속기관으로서 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-207-111
2026-04-08 | 제2026-207-110호 | 비공개 | 공공 | 지방자치단체 | ｢지방자치법｣에 따른 지방자치단체로 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-207-110
2026-04-08 | 제2026-207-109호 | 영동군청 | 공공 | 지방자치단체 | ｢지방자치법｣에 따른 지방자치단체로 | 제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-207-109
2026-04-08 | 제2026-006-051호 | Cristie, Manson & Woods, Ltd | 민간 | IT·정보서비스 | 글로벌 경매회사로 온라인 경매, 미술품 감정 등 서비스를 제공하면서 신원확인 등 목적으로 개인정보 처리하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-006-051
2026-03-25 | 제2026-206-095호 | 아이디스파워텔(주) | 민간 | 통신·방송 | 무전통신서비스제공사업자로 회원의 개인정보를 처리하는 | 제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-206-095
2026-03-25 | 제2026-206-094호 | 넷플릭스서비시스코리아(유) | 민간 | 게임·콘텐츠·미디어 | 인터넷콘텐츠제공사업자로 개인정보를 처리하는 | 제30조 | https://datalaw.kr/sanctions/parties/#pf-2026-206-094
2026-03-25 | 제2026-206-093호 | (재)인천문화재단 | 민간 | 기타·미상 | 문화예술진흥 지원 사업을 추진하는 | 제24조의2·제28조 | https://datalaw.kr/sanctions/parties/#pf-2026-206-093
2026-03-25 | 제2026-206-092호 | 서울교통공사 | 공공 | 공공기관·공사·출연기관 | ｢서울교통공사 설립 및 운영에 관한 조례｣에 따른 지방공사로 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-206-092
2026-03-25 | 제2026-206-091호 | 서울특별시 | 공공 | 지방자치단체 | ｢지방자치법｣에 따른 광역 지방자치단체로 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-206-091
2026-03-25 | 제2026-206-090호 | 인천광역시 강화군 | 공공 | 지방자치단체 | ｢지방자치법｣에 따른 지방자치단체로 | 제24조의2제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-206-090
2026-03-25 | 제2026-206-089호 | 성남시의료원 | 공공 | 지방자치단체 | ｢지방의료원의 설립 및 운영에 관한 법률｣ 제4조에 따라 설립된 지방자치단체 출연기관으로 | 제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2026-206-089
2026-03-25 | 제2026-206-088호 | 호원대학교 | 공공 | 교육청·학교·대학 | ｢고등교육법｣에 따른 사립대학으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-206-088
2026-03-25 | 제2026-202-034호 | 한강시스템(주) | 민간 | 기타·미상 | 장기요양관리 프로그램( )을 운영하는 자로 회원의 개인정보를 처리하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-202-034
2026-03-25 | 제2026-005-025호 | 강북구청 | 공공 | 지방자치단체 | 「지방자치법」에 따른 기초지방자치단체로 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-005-025
2026-03-25 | 제2025-026-305호 | 공무원연금공단 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-026-305
2026-03-11 | 제2026-004-023호 | 롯데카드 주식회사 | 민간 | 금융·보험·신용 | ｢여신전문금융업법｣에 따라 신용카드업 을 영위하면서 금융거래 계약 등을 목적으로 주민등록번호를 포함한 개인정보를 처리하는 | 제24조의2 | https://datalaw.kr/sanctions/parties/#pf-2026-004-023
2026-01-28 | 제2026-202-036호 | 시민종합사회복지관 | 민간 | 기타·미상 | 주민의 복지증진을 위한 복지 서비스를 제공하는 | 제28조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2026-202-036
2026-01-28 | 제2026-202-035호 | 디노랩스 | 민간 | 기타·미상 | AI 교육, 네트워킹 행사 등 진행하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-202-035
2026-01-28 | 제2026-002-004호 | 엔에이치엔커머스㈜ | 민간 | 전자상거래·쇼핑몰 | 영리를 목적으로 이용사업자와 위·수탁 계약을 맺고 쇼핑몰 솔루션 ‘e나무’ 구독 서비스를 제공하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-002-004
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 공공 | 기타·미상 | 「한국연구재단법」에 따라 설립된 준정부기관으로서 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2026-002-003
2025-12-10 | 제2025-223-472호 | 얼굴홈트(주) | 민간 | IT·정보서비스 | 얼굴 미용 관련 온라인 홈트레이닝 서비스인 얼굴홈트 홈페이지를 운영하는 | 제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-223-472
2025-12-10 | 제2025-223-471호 | 강원특별자치도교육청 | 공공 | 기타·미상 | 「지방교육자치에관한 법률」에 따라 설치된 지방교육행정기관으로서 | 제23조제2항·제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-223-471
2025-12-10 | 제2025-026-308호 | K Games, Inc | 민간 | 게임·콘텐츠·미디어 | 미국소재 컴퓨터 및 비디오게임 회사로, 게임 이용자의 개인정보를 처리하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2025-026-308
2025-12-10 | 제2025-026-307호 | (사)부산국제금융진흥원 | 민간 | 금융·보험·신용 | 금융정책 관련 조사연구, 정책개발 업무를 하는 비영리사단법인으로, 임직원 등의 개인정보를 처리하는 | 제24조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-026-307
2025-12-10 | 제2025-026-306호 | 국립항공박물관 | 공공 | 성격 미기재(공공) | - | 제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-026-306
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | 민간 | 기타·미상 | 장애인복지시설인 | 제28조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-222-449
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | 민간 | 전자상거래·쇼핑몰 | 정밀 및 과학기기를 도매로 판매하는 | 제28조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-222-448
2025-11-26 | 제2025-222-446호 | 필 리 핀 항공 | 민간 | 기타·미상 | 항공 운송업 사업자로서 고객의 개인정보를 처리하는 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2025-222-446
2025-11-26 | 제2025-222-443호 | ㈜씨아이에스 보험자문중개법인 | 민간 | 금융·보험·신용 | 보험 자문·중개 서비스를 제공하며 개인정보를 처리하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-222-443
2025-11-26 | 제2025-024-302호 | Elevate Hong Kong Holdings Limited | 민간 | 제조·유통·도소매 | Starbucks Corporation(이하 ‘스타벅스 본사’)과 계약을 체결하여 윤리구매 평가를 수행하면서 평가 대상 한국 납품회사 임직원의 임금 및 시간 기록표, 인사자료 등의 개인정보를 처리하는 舊 | 제24조의2 | https://datalaw.kr/sanctions/parties/#pf-2025-024-302
2025-11-26 | 제2025-024-301호 | Starbucks Corporation | 민간 | 제조·유통·도소매 | 피심인 또는 주식회사 에스씨케이컴퍼니(이하 ‘스타벅스코리아’) 등 피심인의 상표를 활용하는 라이선시(Licensee)에 제품 등을 납품하는 회사(이하 ‘납품회사’)를 대상으로 윤리구매 평가 를 받도록 하고 있으며, 윤리구매 평가를 위해 피심인은 Elevate Hong Kong Holdings Limited(이하 ‘Elevate’)와 계약을 체결하여 Elevate가 윤리구매 평가에 참여하는 납품회사 임직원의 임금 및 시간 기록표, 인사자료 등을 처리하도록 하였다. 따라서, 피심인은 윤리구매 평가에 참여하는 납품업체 임직원의 개인정보를 처리하는 舊 | 제26조·제3조 | https://datalaw.kr/sanctions/parties/#pf-2025-024-301
2025-11-26 | 제2025-024-300호 | ㈜바텍엠시스 | 민간 | IT·정보서비스 | 의료장비 판매업자로 홈페이지 운영을 통해 회원의 개인정보를 처리하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-024-300
2025-11-26 | 제2025-024-299호 | ㈜하스 | 민간 | 제조·유통·도소매 | 의료기기 제조·판매 서비스를 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-024-299
2025-11-20 | 제2025-221-440호 | ㈜테난 | 민간 | 전자상거래·쇼핑몰 | 의류판매업 및 온라인 쇼핑몰을 운영하는 | 제28조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-221-440
2025-11-20 | 제2025-221-439호 | 수원상공회의소 | 민간 | 기타·미상 | 수원지역 기업현황, 병역지정업체, 무역증명발급 등 안내하는 | 제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-221-439
2025-11-20 | 제2025-221-438호 | 법무법인 산하 | 민간 | 부동산·건설·조합 | 아파트 관리, 재건축/재개발 전문 법무법인인 | 제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-221-438
2025-11-20 | 제2025-221-437호 | 정진테크 | 민간 | IT·정보서비스 | QR코드 형식의 주차번호판 서비스를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-221-437
2025-11-20 | 제2025-221-436호 | ㈜티노파이브 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰( )을 운영한 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-221-436
2025-11-20 | 제2025-221-433호 | ㈜씨제이이엔엠 | 민간 | 통신·방송 | 종합유선방송사업자로 음악 등 유선방송관련 프로그램을 제작하며 개인정보를 수집하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-221-433
2025-11-20 | 제2025-221-430호 | 한국토지주택공사 | 공공 | 기타·미상 | 「한국토지주택공사법」 에 따른 공기업으로 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-221-430
2025-11-20 | 제2025-221-429호 | 신남초등학교 | 공공 | 교육청·학교·대학 | 「초·중등교육법」 에 따라 설립된 각급 학교로서 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-221-429
2025-11-20 | 제2025-221-428호 | 광주도시관리공사 | 민간 | 공공기관·공사·출연기관 | 「지방공기업법」 제49조와 「광주시 광주도시관리공사 설립 및 운영 조례」에 따라 설립된 지방공사로서 | 제26조제2항 | https://datalaw.kr/sanctions/parties/#pf-2025-221-428
2025-11-20 | 제2025-221-427호 | 한국외국어대학교 | 공공 | 교육청·학교·대학 | 「고등교육법」 에 따라 설립된 사립대학으로서 | 제28조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-221-427
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 민간 | 기타·미상 | ｢변호사법｣ 상 변호사의 직무를 전문적·조직적으로 수행함으로써 법률 서비스를 제공하는 | 제21조·제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-023-296
2025-11-20 | 제2025-023-295호 | ㈜레저플러스 | 민간 | 플랫폼·중개 서비스 | 골프장 예약 플랫폼 서비스를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-023-295
2025-11-20 | 제2025-023-294호 | ㈜더존하우징 | 민간 | 부동산·건설·조합 | 건설업을 운영하는 자로 홈페이지에서 회원의 개인정보를 처리하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-023-294
2025-11-20 | 제2025-023-293호 | ㈜이젠 | 민간 | 교육·학원 | 온라인 교육 서비스를 운영하는 | 제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-023-293
2025-10-22 | 제2025-219-398호 | ㈜볼랩 | 민간 | 음식·숙박·여가 | 실내 테니스장을 운영하는 | 제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-219-398
2025-10-22 | 제2025-219-393호 | 경기대학교 | 공공 | 교육청·학교·대학 | 「고등교육법」 에 따라 설립된 사립대학으로서 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-219-393
2025-09-24 | 제2025-218-381호 | 비공개 | 민간 | 음식·숙박·여가 | 아파트 공지 사항 전달 등을 위한 입주민 커뮤니티인 네이버 카페 을 운영하며 개인정보를 수집하는 | 제29조·제3조 | https://datalaw.kr/sanctions/parties/#pf-2025-218-381
2025-09-24 | 제2025-218-380호 | 한국정보보호산업협회 | 민간 | 기타·미상 | 정보보호 조사연구, 산업지원, 인재 육성 및 교육지원 등을 수행하는 | 제28조 | https://datalaw.kr/sanctions/parties/#pf-2025-218-380
2025-09-24 | 제2025-218-379호 | ㈜아파트스토리 | 민간 | IT·정보서비스 | 아파트 관리 및 입주민 커뮤니티 앱을 공급·운영하는 | 제22조 | https://datalaw.kr/sanctions/parties/#pf-2025-218-379
2025-09-24 | 제2025-218-378호 | ㈜클래스101 | 민간 | 교육·학원 | 온라인 강의 서비스를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-218-378
2025-09-24 | 제2025-218-374호 | ㈜스마트레이저 | 민간 | 기타·미상 | 기부자 및 기부금 관리, 기부금 영수증 발행 등의 기능을 제공하는 프로그램 공급업체로 | 제24조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-218-374
2025-09-24 | 제2025-218-373호 | (사)전국재해구호협회 | 민간 | 비영리·협회·조합 | 재해구호활동 등을 수행하는 비영리법인으로 기부자의 개인정보를 처리하는 | 제26조 | https://datalaw.kr/sanctions/parties/#pf-2025-218-373
2025-09-24 | 제2025-218-372호 | 김해중부경찰서 | 공공 | 공공 — 제2조제6호 가목(국가기관·지자체) | - | - | https://datalaw.kr/sanctions/parties/#pf-2025-218-372
2025-09-10 | 제2025-217-355호 | 다한마케팅 | 민간 | IT·정보서비스 | 홈페이지 제작·의뢰 사이트를 운영하는 자로 회원의 개인정보를 처리하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-217-355
2025-09-10 | 제2025-217-351호 | 숨수면의원 | 민간 | 기타·미상 | 수면클리닉을 운영하며 수면 질환 진단 등을 위해 환자들의 개인정보를 처리하는 | 제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-217-351
2025-09-10 | 제2025-217-350호 | 신용보증재단중앙회 | 공공 | 금융·보험·신용 | 「지역신용보증재단법」 제35조에 따라 설립된 법인으로서 | - | https://datalaw.kr/sanctions/parties/#pf-2025-217-350
2025-09-10 | 제2025-217-349호 | 구미교육지원청 | 민간 | 기타·미상 | ｢지방교육자치에 관한 법률｣에 따른 하급교육행정기관으로 | - | https://datalaw.kr/sanctions/parties/#pf-2025-217-349
2025-09-10 | 제2025-217-348호 | 마포구 | 공공 | 공공 — 제2조제6호 가목(국가기관·지자체) | - | 제28조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-217-348
2025-09-10 | 제2025-020-252호 | ㈜몽클레르코리아 | 민간 | 제조·유통·도소매 | 온라인과 오프라인으로 의류를 판매하면서 직원 및 이용자 등의 개인 정보를 처리하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2025-020-252
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 민간 | 통신·방송 | 이동통신 서비스 등을 제공하는 | 제29조·제31조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-018-243
2025-07-23 | 제2025-214-313호 | 이화의대부속서울병원 | 민간 | 의료·보건 | 환자진료정보 등 개인정보를 처리하는 | 제23조 | https://datalaw.kr/sanctions/parties/#pf-2025-214-313
2025-07-23 | 제2025-214-312호 | ㈜키콕스파트너스 | 민간 | 기타·미상 | 시설물 관리업무를 수행하면서 입사 지원자의 개인정보를 처리하는 | 제24조의2제1항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-214-312
2025-07-23 | 제2025-016-241호 | ㈜당근마켓 | 민간 | 금융·보험·신용 | 중고거래, 금융 등의 다양한 서비스를 제공하는 ‘당근’ 앱을 통해 이 용자의 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-016-241
2025-07-23 | 제2025-016-239호 | 쿠팡㈜ | 민간 | 금융·보험·신용 | 쇼핑/금융 등의 다양한 서비스를 제공하는 ‘쿠팡’ 앱을 통해 이용자의 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-016-239
2025-07-23 | 제2025-016-238호 | 네이버㈜ | 민간 | 금융·보험·신용 | 포털/금융/쇼핑 등의 다양한 서비스를 제공하는 ‘네이버’ 앱을 통해 이용자의 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-016-238
2025-07-23 | 제2025-016-237호 | ㈜카카오 | 민간 | 금융·보험·신용 | 메신저를 기반으로 금융/쇼핑/포털 등의 다양한 서비스를 제공하는 ‘카카오톡’ 앱을 통해 이용자의 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-016-237
2025-07-23 | 제2025-016-236호 | (재)전남테크노파크 | 민간 | 지방자치단체 | 지역 중소기업 육성을 위하여 전남도청 등이 출연하는 ｢민법｣ 제32조에 따른 비영리 재단법인으로 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-016-236
2025-07-23 | 제2025-016-235호 | ㈜해성디에스 | 민간 | 제조·유통·도소매 | 반도체 재료의 제조 및 판매업을 영위하면서, 주주 정보, 임직원 정보, 협력사 직원 정보 등의 개인정보를 처리하는 | 제24조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-016-235
2025-07-23 | 제2025-016-234호 | 주식회사 잡보스 | 민간 | IT·정보서비스 | 고용주들의 정보교류를 목적으로 잡보스 홈페이지를 운영하면서, 고용주 및 피고용자의 개인정보를 처리하는 | 제24조의2 | https://datalaw.kr/sanctions/parties/#pf-2025-016-234
2025-07-23 | 제2025-016-233호 | Qookka Entertainment Limited | 민간 | 게임·콘텐츠·미디어 | 모바일 게임 등을 운영하는 | 제24조의2·제24조의2제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-016-233
2025-07-09 | 제2025-015-230호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 온라인 교육 콘텐츠 서비스를 제공하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-015-230
2025-07-09 | 제2025-015-229호 | ㈜비와이엔블랙야크 | 민간 | 제조·유통·도소매 | 의류용품 제조·판매 서비스를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-015-229
2025-07-09 | 제2025-015-228호 | ㈜자비스앤빌런즈 | 민간 | 기타·미상 | 개인을 대상으로 종합소득세 자가신고 및 환급서비스를 제공하면서 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-015-228
2025-07-09 | 제2025-015-227호 | 지엔터프라이즈㈜ | 민간 | 기타·미상 | 개인을 대상으로 종합소득세 자가신고 및 환급서비스를 제공하면서 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-015-227
2025-07-09 | 제2025-015-226호 | 토스인컴㈜ | 민간 | 기타·미상 | 개인을 대상으로 종합소득세 자가신고 및 환급서비스를 제공하면서 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-015-226
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 민간 | IT·정보서비스 | 온라인 사기 범죄 조회 서비스(더치트)를 제공하는 | 제22조 | https://datalaw.kr/sanctions/parties/#pf-2025-015-225
2025-06-25 | 제2025-212-284호 | ㈜주스 | 민간 | 게임·콘텐츠·미디어 | 정보통신망을 통한 인공지능 음원 분석으로 디지털 악보를 생성하고 편집할 수 있으며 직접 만든 악보의 업로드, 판매, 정산 등이 가능한 웹사이트( )를 운영하는 | 제24조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-212-284
2025-06-25 | 제2025-212-279호 | 국방부 | 공공 | 중앙행정기관·소속기관 | ｢정부조직법｣에 따른 중앙행정기관으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-212-279
2025-06-25 | 제2025-212-278호 | 서울중앙지방법원 | 공공 | 국회·법원·헌재 등 | ｢법원조직법｣에 따른 지방법원으로 | 제24조제3항·제29조·제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2025-212-278
2025-06-25 | 제2025-212-277호 | 경기도화성오산교육지원청 | 공공 | 교육청·학교·대학 | ｢교육자치법｣에 따른 하급교육행정기관으로 | 제24조제3항·제29조·제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2025-212-277
2025-06-25 | 제2025-014-047호 | TELUS International AI, Ltd | 민간 | 기타·미상 | 한국 정보주체를 고용하여 AI 학습데이터 가공·평가를 지원하면서, 정보주체의 개인정보를 처리하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-014-047
2025-06-25 | 제2025-014-046호 | (재)한국인정지원센터 | 민간 | 교육·학원 | 경영시스템 인증기관 인정평가 및 교육 서비스를 제공하는 비영리법인 으로 | 제21조·제24조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-014-046
2025-06-11 | 제2025-211-254호 | ㈜기가요 | 민간 | 통신·방송 | 인터넷 TV 가입 서비스를 운영하는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2025-211-254
2025-06-11 | 제2025-211-253호 | 한국에이티씨센터㈜ | 민간 | 교육·학원 | 민간자격시험 운영 목적으로 웹사이트( )를 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-211-253
2025-06-11 | 제2025-211-252호 | ㈜조선호텔앤리조트 조선팰리스강남 | 민간 | 플랫폼·중개 서비스 | 여행객 등을 대상으로 숙박 서비스를 제공하면서 고객의 개인정보를 처리하는 | 제35조 | https://datalaw.kr/sanctions/parties/#pf-2025-211-252
2025-06-11 | 제2025-211-251호 | 더블에스컴퍼니 | 민간 | 기타·미상 | 을 운영하며 크라이오테라피* 등 미용기기 서비스를 제공하면서 개인정보를 처리하는 | 제25조 | https://datalaw.kr/sanctions/parties/#pf-2025-211-251
2025-06-11 | 제2025-013-044호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 중고차 매매 중개 서비스를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2025-013-044
2025-06-11 | 제2025-013-043호 | 비공개 | 민간 | 금융·보험·신용 | 가맹점을 대상으로 온라인 결제대행 서비스를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-013-043
2025-06-11 | 제2025-013-042호 | 머크㈜ | 민간 | 제조·유통·도소매 | 제조 ·판매 하는 의약품에 대한 투약 내역 기록 등 편의 서비스를 제공하 는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2025-013-042
2025-06-11 | 제2025-013-041호 | 이화여자대학교 | 공공 | 교육청·학교·대학 | 「고등교육법」에 따라 설립된 사립대학으로서 | 제24조제3항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-013-041
2025-06-11 | 제2025-013-040호 | 전북대학교 | 공공 | 교육청·학교·대학 | 「고등교육법」에 따라 설치된 국립대학으로서 | 제24조제3항·제24조의2 | https://datalaw.kr/sanctions/parties/#pf-2025-013-040
2025-06-11 | 제2025-013-039호 | 네이버클라우드 주식회사 | 민간 | IT·정보서비스 | 이용사업자가 개인정보처리시스템을 구축‧운영할 수 있도록 클라우드 서비스를 제공하는 사업자로서 | - | https://datalaw.kr/sanctions/parties/#pf-2025-013-039
2025-06-11 | 제2025-013-038호 | 한국마이크로소프트 (유) | 민간 | IT·정보서비스 | 이용사업자가 개인정보처리시스템을 구축‧운영할 수 있도록 클라우드 서비스를 제공하는 사업자로서 | - | https://datalaw.kr/sanctions/parties/#pf-2025-013-038
2025-06-11 | 제2025-013-037호 | 아마존웹서비시즈코리아 유한책임회사 | 민간 | IT·정보서비스 | 이용사업자가 개인정보처리시스템을 구축‧운영할 수 있도록 클라우드 서비스를 제공하는 사업자로서 | - | https://datalaw.kr/sanctions/parties/#pf-2025-013-037
2025-05-14 | 제2025-209-223호 | 비공개 | 민간 | 부동산·건설·조합 | 건설업 관련 조사 및 연구를 수행하는 비영리법인으로 홈페이지를 통해 온라인 소식지 구독을 신청한 자의 개인정보를 처리하고 있어 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-209-223
2025-05-14 | 제2025-209-222호 | 비공개 | 민간 | 비영리·협회·조합 | 비영리사단법인으로서 학술강연 및 교류, 학술지 발간 등을 목적으로 홈페이지를 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-209-222
2025-05-14 | 제2025-209-220호 | 노원구 | 공공 | 공공 — 제2조제6호 가목(국가기관·지자체) | - | 제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-209-220
2025-05-14 | 제2025-209-219호 | (재)전라남도정보문화산업진흥원 | 민간 | 공공기관·공사·출연기관 | 전라남도가 설립한 재단법인으로 | 제21조제1항·제24조의2제2항·제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-209-219
2025-05-14 | 제2025-011-035호 | Elementary Innovation Pte. Ltd | 민간 | 전자상거래·쇼핑몰 | 정보주체에게 전자상거래 서비스인 ‘테무’ 서비스를 제공하면서 개인정보를 처리하는 | 제24조의2 | https://datalaw.kr/sanctions/parties/#pf-2025-011-035
2025-05-14 | 제2025-011-034호 | ㈜더피엔엘 | 민간 | 기타·미상 | 를 제공하는 社로 | 제22조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-011-034
2025-05-14 | 제2025-011-033호 | 비공개 | 민간 | 비영리·협회·조합 | ‘영리목적이 없는 비법인 단체’로 | 제22조·제29조·제30조 | https://datalaw.kr/sanctions/parties/#pf-2025-011-033
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 민간 | 지방자치단체 | 일반현황 > 사업자등록번호 피심인명 대표자 성명 주 소 종업원 수(명) (법인등록번호) 대구광역시 동구 동내로 한국교육학술정보원 64, 1층(동내동) | 제63조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2025-011-028
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 민간 | 전자상거래·쇼핑몰 | 2023년 7월부터 한국 이용자에게 전자상거래 서비스를 제공하면서 개인정보를 처리하는 | 제28조의8·제26조·제31조의2 | https://datalaw.kr/sanctions/parties/#pf-2024-013-193
2025-05-02 | 제2025-010-027호 | SK텔레콤(주) | 민간 | 통신·방송 | 이동통신 서비스를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-010-027
2025-04-23 | 제2025-208-197호 | ㈜모우다 | 민간 | 의료·보건 | 병의원 전용 신용대출상품 등 의료금융 분야에서 대출자와 투자자를 연결하는 플랫폼( )을 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-208-197
2025-04-23 | 제2025-208-196호 | 엘오케이(유) | 민간 | 제조·유통·도소매 | 화장품 판매 서비스를 제공하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-208-196
2025-04-23 | 제2025-208-195호 | ㈜서울프라퍼티인사이트 | 민간 | 플랫폼·중개 서비스 | 온라인 플랫폼( )를 운영하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-208-195
2025-04-23 | 제2025-208-194호 | 바른통신 | 민간 | 통신·방송 | 이동통신 관련 개인정보 처리 업무를 위탁받아 처리하는 | 제21조·제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2025-208-194
2025-04-23 | 제2025-208-193호 | ㈜포피플 | 민간 | 통신·방송 | 이동통신 관련 개인정보 처리 업무를 위탁받아 처리하는 | 제29조·제21조 | https://datalaw.kr/sanctions/parties/#pf-2025-208-193
2025-04-23 | 제2025-208-192호 | 네츄럴비자 | 민간 | 기타·미상 | 비자 발급 대행 업무를 수행하며 신청자들의 개인정보를 처리하는 | 제21조제1항·제24조제3항·제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-208-192
2025-04-23 | 제2025-208-191호 | 재단법인 우리다문화장학재단 | 민간 | 기타·미상 | 장학사업 등을 운영하면서 후원자 및 수혜자 등의 개인정보를 처리하는 | 제24조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-208-191
2025-04-23 | 제2025-208-190호 | 비공개 | 민간 | 기타·미상 | 시장조사 및 여론조사를 수행하면서 임직원 및 아르바이트생 등의 개인정보를 처리하는 | 제24조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-208-190
2025-04-23 | 제2025-208-189호 | 언더독스 주식회사 | 민간 | 기타·미상 | 창업교육 및 컨설팅 서비스 등을 제공하면서 참가자의 개인정보를 처리하는 | 제24조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-208-189
2025-04-09 | 제2025-207-169호 | 가연결혼정보(주) | 민간 | IT·정보서비스 | 결혼 정보 사이트를 운영하는 | 제37조 | https://datalaw.kr/sanctions/parties/#pf-2025-207-169
2025-04-09 | 제2025-207-168호 | 해피컴퍼니 | 민간 | IT·정보서비스 | 광고대행 및 관련 서비스를 운영하는 자로 | 제20조 | https://datalaw.kr/sanctions/parties/#pf-2025-207-168
2025-04-09 | 제2025-207-167호 | 엠제이다이렉트 | 민간 | IT·정보서비스 | 광고대행 및 관련 서비스를 운영하는 자로 | 제20조 | https://datalaw.kr/sanctions/parties/#pf-2025-207-167
2025-04-09 | 제2025-207-166호 | 부스트HCC | 민간 | IT·정보서비스 | 광고대행 및 관련 서비스를 운영하는 자로 | 제20조 | https://datalaw.kr/sanctions/parties/#pf-2025-207-166
2025-04-09 | 제2025-207-165호 | 가온누리소프트웨어 | 민간 | IT·정보서비스 | 광고대행 및 관련 서비스를 운영하는 자로 | 제20조 | https://datalaw.kr/sanctions/parties/#pf-2025-207-165
2025-04-09 | 제2025-008-025호 | ㈜케이티알파 | 민간 | IT·정보서비스 | 모바일 교환권 등 판매 웹·앱 서비스(‘ ’)를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2025-008-025
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 민간 | 교육·학원 | 온라인 교육 서비스를 제공하는 | 제29조·제21조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-008-024
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 민간 | 금융·보험·신용 | ｢여신전문금융업법｣에 따라 신용카드업을 영위하면서 신용카드가맹점 대표자(이하 ‘가맹점주’) 등의 개인정보를 처리하는 | 제18조·제24조의2·제29조·제59조 | https://datalaw.kr/sanctions/parties/#pf-2025-007-021
2025-03-12 | 제2025-205-115호 | ㈜노랑풍선 | 민간 | 플랫폼·중개 서비스 | 국내‧외 여행 정보 및 실시간 예약 서비스를 제공하는 | 제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-205-115
2025-03-12 | 제2025-205-114호 | ㈜위너스매니지먼트 | 민간 | 음식·숙박·여가 | 투자 안내 인터넷 카페를 운영하는 舊 | 제39조의3·제22조 | https://datalaw.kr/sanctions/parties/#pf-2025-205-114
2025-03-12 | 제2025-205-113호 | 케이알투자증권주식회사 | 민간 | 금융·보험·신용 | 금융 컨설팅 및 투자자문 등 금융 관련 서비스를 제공하는 | 제24조제3항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-205-113
2025-03-12 | 제2025-205-111호 | 주식회사 매니저맨코리아 | 민간 | 통신·방송 | 방송‧공연 관련 아웃소싱 서비스를 제공하는 | 제15조제2항·제21조제1항·제22조제4항 | https://datalaw.kr/sanctions/parties/#pf-2025-205-111
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 민간 | 플랫폼·중개 서비스 | 온라인 및 오프라인 여행 중개 서비스(모두투어)를 제공하는 | 제29조·제21조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-006-018
2025-02-26 | 제2025-004-015호 | 엔에이치엔위투㈜ | 민간 | 전자상거래·쇼핑몰 | 영리를 목적으로 웹 (gabangpop.co.kr 등)·앱으로 가방팝 등 쇼핑몰을 운영하는 | 제21조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-004-015
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 민간 | 금융·보험·신용 | 고객사에게 전자세금계산서를 발행해 주는 ‘ ’ 서비스를 운영 하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-004-014
2025-02-12 | 제2025-203-64호 | ㈜케이티 | 민간 | 통신·방송 | 이동통신 서비스 등을 제공하는 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2025-203-64
2025-02-12 | 제2025-003-011호 | Apple Distribution International Limited | 민간 | 기타·미상 | 소셜로그인 서비스*를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-003-011
2025-02-12 | 제2025-003-010호 | Meta Platforms, Inc | 민간 | 기타·미상 | 소셜로그인 서비스*를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-003-010
2025-02-12 | 제2025-003-009호 | Google LLC | 민간 | 기타·미상 | 소셜로그인 서비스*를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-003-009
2025-02-12 | 제2025-003-008호 | 주식회사 카카오 | 민간 | 기타·미상 | 소셜로그인 서비스*를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-003-008
2025-02-12 | 제2025-003-007호 | 네이버 주식회사 | 민간 | 기타·미상 | 소셜로그인 서비스*를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2025-003-007
2025-02-12 | 제2025-003-006호 | ㈜섹타나인 | 민간 | 기타·미상 | 등 멤버십 서비스를 제공하는 | 제29조·제34조 | https://datalaw.kr/sanctions/parties/#pf-2025-003-006
2025-01-22 | 제2025-002-005호 | ㈜동행복권 | 민간 | 금융·보험·신용 | 복권 발행·관리 및 판매, 복권시스템 구축·운영 등 업무와 이와 관련된 개인정보 처리 업무를 복권위원회로부터 위탁받아 처리하는 자로서 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-002-005
2025-01-22 | 제2024-011-187호 | 에스케이스토아㈜ | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰 및 TV 홈쇼핑 서비스를 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-011-187
2025-01-08 | 제2025-201-28호 | ㈜독립리서치밸류파인더 | 민간 | IT·정보서비스 | 웹서비스를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-201-28
2025-01-08 | 제2025-201-25호 | 서산경찰서 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-201-25
2025-01-08 | 제2025-201-24호 | 청주흥덕경찰서 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2025-201-24
2025-01-08 | 제2025-201-22호 | 인천관광공사 | 민간 | 공공기관·공사·출연기관 | 「지방공기업법」 제49조에 따라 설립된 지방공사로서 | 제17조제1항·제21조·제21조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-201-22
2025-01-08 | 제2025-001-001호 | 법원행정처 | 공공 | 공공 — 제2조제6호 가목(국가기관·지자체) | - | 제24조제3항·제24조의2제2항·제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2025-001-001
2024-12-11 | 제2024-021-260호 | 캐롯손해보험㈜ | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-260
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제39조의3·제59조·제31조·제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-259
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제15조·제59조·제31조·제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-258
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제39조의3·제59조·제31조·제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-257
2024-12-11 | 제2024-021-256호 | 흥국화재해상보험㈜ | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-256
2024-12-11 | 제2024-021-255호 | 롯데손해보험(주) | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-255
2024-12-11 | 제2024-021-254호 | 한화손해보험㈜ | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-254
2024-12-11 | 제2024-021-253호 | 메리츠화재해상보험(주) | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-253
2024-12-11 | 제2024-021-252호 | ㈜KB손해보험 | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-252
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제39조의3·제59조·제31조·제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-251
2024-12-11 | 제2024-021-250호 | DB손해보험㈜ | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-250
2024-12-11 | 제2024-021-249호 | ㈜삼성화재해상보험 | 민간 | 금융·보험·신용 | 다이렉트 자동차 보험을 판매하면서 개인정보를 처리하고 있는 | 제21조 | https://datalaw.kr/sanctions/parties/#pf-2024-021-249
2024-11-27 | 제2024-223-713호 | 비공개 | 민간 | 기타·미상 | 에 따라 설립된 법인으로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-223-713
2024-11-27 | 제2024-223-712호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제35조제3항 | https://datalaw.kr/sanctions/parties/#pf-2024-223-712
2024-11-27 | 제2024-223-711호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제23조제2항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-223-711
2024-11-27 | 제2024-223-710호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제23조제2항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-223-710
2024-11-27 | 제2024-019-248호 | 쿠팡㈜ | 민간 | 전자상거래·쇼핑몰 | 이용자를 대상으로 웹(coupang.com)·앱 (’쿠팡‘)으로 오픈마켓 서비스를 제공하면서 판매를 위해 입점한 판매자를 대상으로 별도의 전용시스템(윙시스템, wing.coupang.com, 이하 ’Wing‘이라 한다)을 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-019-248
2024-11-13 | 제2024-019-245호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-019-245
2024-11-13 | 제2024-019-244호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제29조·제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2024-019-244
2024-11-04 | 제2024-221-668호 | 비공개 | 민간 | IT·정보서비스 | 컴퓨터 관련 교육 강의 홈페이지( )를 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-221-668
2024-11-04 | 제2024-221-667호 | 비공개 | 민간 | IT·정보서비스 | 해외구매대행 서비스 홈페이지( )를 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-221-667
2024-11-04 | 제2024-221-666호 | 비공개 | 민간 | 비영리·협회·조합 | 66개 학회의 홈페이지와 42개 학회의 논문 투고 시스템을 구축‧운영 하는 | 제29조·제34조·제37조 | https://datalaw.kr/sanctions/parties/#pf-2024-221-666
2024-11-04 | 제2024-221-665호 | 비공개 | 민간 | 기타·미상 | ‘ ’ 유지·보수 및 관리를 위해 입주민의 개인정보를 처리하는 | 제35조 | https://datalaw.kr/sanctions/parties/#pf-2024-221-665
2024-11-04 | 제2024-221-661호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조·제26조 | https://datalaw.kr/sanctions/parties/#pf-2024-221-661
2024-11-04 | 제2024-221-660호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-221-660
2024-11-04 | 제2024-221-659호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-221-659
2024-11-04 | 제2024-018-241호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 재테크·부동산 관련 온라인 동영상 서비스( )를 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-018-241
2024-10-23 | 제2024-220-644호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 여행 상품, 항공권, 호텔 등 예약 서비스를 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-220-644
2024-10-23 | 제2024-220-643호 | 비공개 | 민간 | 기타·미상 | 2023년 을 개최하면서 입장티켓 발송 등 행사 업무를 에 위탁한 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2024-220-643
2024-10-23 | 제2024-220-642호 | 비공개 | 민간 | IT·정보서비스 | 위탁으로 입장티켓 발송 등 행사 시스템을 개발‧운영한 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-220-642
2024-10-23 | 제2024-220-640호 | 사회복지법인 월드비전 | 민간 | 비영리·협회·조합 | 사회복지사업을 운영하는 비영리단체로, 후원 등의 업무를 목적으로 대표 홈페이지 이용자의 개인정보를 처리하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-220-640
2024-10-23 | 제2024-220-639호 | 주식회사 한독 | 민간 | 제조·유통·도소매 | 의약품 제조 및 판매업을 하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-220-639
2024-10-23 | 제2024-220-638호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조의2제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-220-638
2024-10-23 | 제2024-220-637호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조의2제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-220-637
2024-10-23 | 제2024-017-240호 | ㈜일학 | 민간 | 전자상거래·쇼핑몰 | 낚시용품 등 제품 판매 온라인 쇼핑몰(ilhak.co.kr, ‘군계일학’)을 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-017-240
2024-10-23 | 제2024-017-239호 | ㈜네오팜 | 민간 | 전자상거래·쇼핑몰 | 화장품 등 제품 판매 온라인 쇼핑몰(네오팜샵, neopharmshop.co.kr을 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-017-239
2024-09-25 | 제2024-219-623호 | 비공개 | 민간 | IT·정보서비스 | 온라인 수학 강의 홈페이지( )를 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-219-623
2024-09-25 | 제2024-219-622호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 웹( )·앱( )으로 여행상품 예약 서비스를 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-219-622
2024-09-25 | 제2024-219-621호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 카페트 쇼핑몰( )을 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-219-621
2024-09-25 | 제2024-016-235호 | 비공개 | 민간 | 금융·보험·신용 | 가상자산 지갑 애플리케이션인 ( , ‘ 앱’)을 개발·운영 하면서 서비스 이용자의 개인정보를 처리하는 | 제28조의8 | https://datalaw.kr/sanctions/parties/#pf-2024-016-235
2024-09-25 | 제2024-016-234호 | 비공개 | 민간 | 기타·미상 | (이하 ‘ ’)의 발행·판매 및 수단 개발·보급 등 재화 또는 서비스를 제공하면서 등 개인정보를 처리하는 | 제23조·제28조의8·제38조 | https://datalaw.kr/sanctions/parties/#pf-2024-016-234
2024-09-25 | 제2024-016-233호 | 비공개 | 민간 | IT·정보서비스 | 온라인 데이팅 앱 서비스를 제공하는 | 제18조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-016-233
2024-08-28 | 제2024-217-572호 | 비공개 | 민간 | IT·정보서비스 | 야구 홈페이지( )를 운영하는 | 제21조제1항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-217-572
2024-08-28 | 제2024-217-571호 | 비공개 | 민간 | IT·정보서비스 | 온라인 광고 대행을 위한 무료채팅 홈페이지( )를 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-217-571
2024-08-28 | 제2024-217-570호 | 비공개 | 민간 | IT·정보서비스 | 온라인 홈페이지 ‘ ’( )을 운영하는 | 제21조제1항·제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-217-570
2024-08-28 | 제2024-217-565호 | 비공개 | 민간 | 기타·미상 | 메신저, 채팅 및 화상 전화 서비스를 제공하는 사업자로, 업무를 목적으로 고객의 개인정보를 처리하는 | 제31조의2·제63조 | https://datalaw.kr/sanctions/parties/#pf-2024-217-565
2024-08-28 | 제2024-217-564호 | 비공개 | 민간 | 제조·유통·도소매 | 일본의 캐주얼 의류 브랜드인 의 한국 사업을 운영하는 | 제63조 | https://datalaw.kr/sanctions/parties/#pf-2024-217-564
2024-08-28 | 제2024-217-563호 | 비공개 | 민간 | 제조·유통·도소매 | 국제물류 주선 및 무역업을 하는 | 제35조·제25조 | https://datalaw.kr/sanctions/parties/#pf-2024-217-563
2024-08-28 | 제2024-014-198호 | 비공개 | 민간 | IT·정보서비스 | 차량 홍보, 구매 견적·상담, 고객 지원 앱( ) 서비스를 제공하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-014-198
2024-08-28 | 제2024-014-197호 | 비공개 | 민간 | 제조·유통·도소매 | 차량 제조‧판매와 관련한 홍보 등을 위해 고객의 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-014-197
2024-08-28 | 제2024-014-196호 | 비공개 | 민간 | IT·정보서비스 | 커플 대상 SNS 서비스 ‘ ’ 을 운영하는 | 제29조·제35조 | https://datalaw.kr/sanctions/parties/#pf-2024-014-196
2024-08-28 | 제2024-014-195호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 온라인 숙박 예약을 위한 웹( )·앱 서비스를 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-014-195
2024-07-24 | 제2024-215-541호 | 비공개 | 민간 | IT·정보서비스 | 온라인으로 유사 투자자문 서비스를 제공( 하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-215-541
2024-07-24 | 제2024-215-540호 | 비공개 | 민간 | IT·정보서비스 | 온라인으로 유사 투자자문 서비스를 제공( )하는 | 제27조 | https://datalaw.kr/sanctions/parties/#pf-2024-215-540
2024-07-24 | 제2024-215-539호 | 비공개 | 민간 | IT·정보서비스 | 온라인으로 유사 투자자문 서비스를 제공( )하는 | 제27조 | https://datalaw.kr/sanctions/parties/#pf-2024-215-539
2024-07-24 | 제2024-215-538호 | 비공개 | 민간 | IT·정보서비스 | 온라인으로 유사 투자자문 서비스를 제공( )하는 | 제27조 | https://datalaw.kr/sanctions/parties/#pf-2024-215-538
2024-07-24 | 제2024-215-537호 | 비공개 | 민간 | IT·정보서비스 | 온라인으로 유사 투자자문 서비스를 제공( )하는 | 제27조 | https://datalaw.kr/sanctions/parties/#pf-2024-215-537
2024-07-24 | 제2024-215-535호 | 비공개 | 민간 | 통신·방송 | 인터넷 방송 중개 서비스( )를 운영하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-215-535
2024-07-24 | 제2024-013-192호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 2016년 7월부터 한국 이용자에게 전자상거래 서비스를 제공하면서 개인정보를 처리하는 | 제28조의8·제31조의2·제38조 | https://datalaw.kr/sanctions/parties/#pf-2024-013-192
2024-07-10 | 제2024-214-498호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제21조제1항·제18조제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-214-498
2024-07-10 | 제2024-214-495호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰 을 운영하는 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2024-214-495
2024-06-26 | 제2024-011-188호 | 비공개 | 민간 | 통신·방송 | 방송 프로그램을 제작·공급 하면서 공식 홈페이지( )를 운영하는 | 제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-011-188
2024-06-12 | 제2024-212-432호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-212-432
2024-06-12 | 제2024-212-431호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 배달중개플랫폼 ‘ ’ 서비스를 앱으로 제공하는 ｢개인 1) 정보 보호법｣ (이하 ‘보호법’이라 한다)에 따른 | - | https://datalaw.kr/sanctions/parties/#pf-2024-212-431
2024-06-12 | 제2024-212-430호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 배달중개플랫폼 ‘ ’ 서비스를 앱으로 제공하는 ｢개인정보 1) 보호법｣ (이하 ‘보호법’이라 한다)에 따른 | - | https://datalaw.kr/sanctions/parties/#pf-2024-212-430
2024-06-12 | 제2024-212-429호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 배달중개플랫폼 ‘ ’ 서비스를 앱으로 제공하는 ｢개인정보 1) 보호법｣ (이하 ‘보호법’이라 한다)에 따른 | - | https://datalaw.kr/sanctions/parties/#pf-2024-212-429
2024-06-12 | 제2024-212-423호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 온라인 플랫폼을 운영하는 사업자로 고객의 개인정보를 처리하는 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2024-212-423
2024-06-12 | 제2024-212-422호 | 주식회사 비플스 | 민간 | IT·정보서비스 | 청첩장 제작·판매 서비스를 제공하는 홈페이지를 운영하는 사업자로, 의 개인정보를 처리하는 | 제21조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-212-422
2024-06-12 | 제2024-010-185호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 공개된 이미지 기반 생성형 인공지능(이하 ‘AI’)에 기술을 활용하여 누구나 스마트폰 카메라로 촬영한 이미지를 자유롭게 편집하고, 해당 이미지들을 기반으로 더욱 다양한 이미지들을 만들어내는 콘텐츠 도구를 제공하는 스노우 서비스를 제공하면서 개인정보를 처리하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-010-185
2024-06-12 | 제2024-010-184호 | 비공개 | 민간 | 기타·미상 | 인공지능(이하 ‘AI’)에 기반하여 통화녹음, 통화녹음을 텍스트로 변환, 통화 내용 요약 및 검색, 실시간 통역 기능을 제공하는 서비스를 이용 자에게 제공하면서 개인정보를 처리하는 | 제63조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2024-010-184
2024-06-12 | 제2023-019-238호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 영리를 목적으로 웹( )으로 조립PC 등을 판매하는 쇼핑몰 서비스를 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-019-238
2024-05-22 | 제2024-009-183호 | 비공개 | 민간 | IT·정보서비스 | 일반 현황 온라인 메신저 서비스(카카오톡) 등을 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2024-009-183
2024-05-08 | 제2024-008-182호 | (주)골프존 | 민간 | 기타·미상 | 정보주체에게 재화 또는 서비스를 제공하면서 개인정보를 처리하는 | 제21조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-008-182
2024-04-24 | 제2024-007-180호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 영리를 목적으로 웹( ‧앱으로 등을 판매하 ) 는 온라인 쇼핑몰을 운영하며 | - | https://datalaw.kr/sanctions/parties/#pf-2024-007-180
2024-04-24 | 제2024-007-179호 | 비공개 | 민간 | 기타·미상 | 서비스( 를 운영하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-007-179
2024-04-24 | 제2024-007-176호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제28조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-007-176
2024-04-24 | 제2023-013-183호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제28조의4제2항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-183
2024-03-27 | 제2024-006-164호 | 비공개 | 민간 | 교육·학원 | 수험생 대상 온라인 강의 서비스( )를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2024-006-164
2024-03-27 | 제2024-006-163호 | 비공개 | 민간 | 교육·학원 | 수험생 대상 온라인 강의 서비스( )를 제공하는 | 제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2024-006-163
2024-02-14 | 제2024-003-041호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제15조제1항제7호 | https://datalaw.kr/sanctions/parties/#pf-2024-003-041
2024-02-14 | 제2024-003-040호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제15조제1항제7호 | https://datalaw.kr/sanctions/parties/#pf-2024-003-040
2024-02-14 | 제2024-003-039호 | 비공개 | 공공 | 성격 미기재(공공) | - | - | https://datalaw.kr/sanctions/parties/#pf-2024-003-039
2024-02-14 | 제2024-003-038호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2024-003-038
2024-02-14 | 제2024-003-037호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-003-037
2024-02-14 | 제2024-003-036호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-003-036
2024-02-14 | 제2024-003-035호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-003-035
2024-02-14 | 제2024-003-034호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-003-034
2024-02-14 | 제2024-003-033호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-003-033
2024-02-14 | 제2024-003-032호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2024-003-032
2024-01-24 | 제2024-002-012호 | 비공개 | 민간 | 기타·미상 | 소재 주택에 거주하는 개인으로 | 제25조 | https://datalaw.kr/sanctions/parties/#pf-2024-002-012
2024-01-24 | 제2024-002-011호 | 비공개 | 민간 | 기타·미상 | 소재 주택에 거주하는 개인으로 | 제25조 | https://datalaw.kr/sanctions/parties/#pf-2024-002-011
2024-01-24 | 제2024-002-010호 | 비공개 | 민간 | 기타·미상 | (이하 ‘피심인’)는 ( ), 공동주택( )에 거주하는 개인으로 | 제25조 | https://datalaw.kr/sanctions/parties/#pf-2024-002-010
2024-01-24 | 제2024-002-009호 | 한국장학재단 | 공공 | 성격 미기재(공공) | - | 제29조·제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2024-002-009
2024-01-24 | 제2024-002-008호 | 한국고용정보원 | 공공 | 성격 미기재(공공) | - | 제29조·제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2024-002-008
2024-01-10 | 제2024-001-005호 | 비공개 | 민간 | IT·정보서비스 | 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 ‘EMR’이라 한다) 시스템을 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-001-005
2024-01-10 | 제2024-001-004호 | 비공개 | 민간 | IT·정보서비스 | 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 ‘EMR’이라 한다) 시스템을 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-001-004
2024-01-10 | 제2024-001-003호 | 비공개 | 민간 | IT·정보서비스 | 영리를 목적으로 의료기관에게 클라우드형 전자의무기록(Electronic Medical Record, 이하 ‘EMR’이라 한다) 시스템을 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-001-003
2024-01-10 | 제2024-001-002호 | 비공개 | 민간 | IT·정보서비스 | 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 ‘EMR’이라 한다) 시스템을 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-001-002
2024-01-10 | 제2024-001-001호 | 비공개 | 민간 | IT·정보서비스 | 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 ‘EMR’이라 한다) 시스템을 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2024-001-001
2023-12-13 | 제2023-020-244호 | ㈜스피드옥션 | 민간 | 부동산·건설·조합 | 부동산 경매정보 제공 사이트( )를 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-020-244
2023-12-13 | 제2023-020-243호 | ㈜코다스디자인 | 민간 | 전자상거래·쇼핑몰 | 가구 쇼핑몰 홈페이지( )를 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-020-243
2023-11-08 | 제2023-018-236호 | 비공개 | 민간 | 기타·미상 | ㅇㅇㅇㅇㅇㅇㅇ 소속 ㅇㅇ행정기관으로 | 제24조제3항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-018-236
2023-11-08 | 제2023-018-235호 | 비공개 | 공공 | 기타·미상 | ㅇㅇㅇ에 소속된 공공기관으로 | 제24조제3항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-018-235
2023-11-08 | 제2023-018-234호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-018-234
2023-10-25 | 제2023-017-232호 | 주식회사 와이엘랜드 | 민간 | 통신·방송 | 알뜰폰(MVNO) 이동통신 서비스를 제공하는 | 제29조·제21조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-017-232
2023-10-25 | 제2023-017-231호 | ㈜오브콜스 | 민간 | IT·정보서비스 | 웹사이트( )를 통해 청첩장 제작·판매 서비스를 제공하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-017-231
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 민간 | 기타·미상 | 자동차 정비 프랜차이즈업을 운영하는 | 제29조·제21조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-017-230
2023-10-11 | 제2023-016-212호 | 주식회사 국민은행 | 민간 | 금융·보험·신용 | 금융 및 보험, 알뜰폰(MVNO) 이동통신 서비스 등을 제공하는 | 제22조 | https://datalaw.kr/sanctions/parties/#pf-2023-016-212
2023-10-11 | 제2023-016-211호 | 신일전자㈜ | 민간 | IT·정보서비스 | 온라인 제품·민원 관련 문의 서비스를 제공하는 | 제29조·제21조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-016-211
2023-10-11 | 제2023-016-208호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-016-208
2023-10-11 | 제2023-016-207호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제34조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-016-207
2023-10-11 | 제2023-016-206호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-016-206
2023-10-11 | 제2023-016-205호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-016-205
2023-10-11 | 제2023-016-204호 | 경북대학교 총동창회 | 민간 | 비영리·협회·조합 | 동문 관리 및 관련 행사 개최 등을 위한 비영리법인으로서 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-016-204
2023-10-11 | 제2023-016-203호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-016-203
2023-07-26 | 제2023-013-182호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제23조제2항·제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-182
2023-07-26 | 제2023-013-181호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-181
2023-07-26 | 제2023-013-180호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-180
2023-07-26 | 제2023-013-179호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-179
2023-07-26 | 제2023-013-178호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-178
2023-07-26 | 제2023-013-177호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-177
2023-07-26 | 제2023-013-176호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-176
2023-07-26 | 제2023-013-175호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-175
2023-07-26 | 제2023-013-174호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-174
2023-07-26 | 제2023-013-172호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-172
2023-07-26 | 제2023-013-171호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-171
2023-07-26 | 제2023-013-170호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-170
2023-07-26 | 제2023-013-169호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조·제21조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-013-169
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 민간 | 기타·미상 | 유‧무선통신업 등을 운영하는 | 제21조·제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-012-153
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 민간 | 기타·미상 | 삼쩜삼 서비스를 제공하는 | 제17조·제23조·제24조의2·제30조·제39조의3·제39조의6 | https://datalaw.kr/sanctions/parties/#pf-2023-011-116
2023-06-28 | 제2023-011-114호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 등을 통해 클라우드 서비스, 온라인 쇼핑몰 서비스 등을 제공하는 | 정보통신망법 제28조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-011-114
2023-06-28 | 제2023-006-057호 | 비공개 | 민간 | 통신·방송 | 케이블TV, 초고속인터넷, 인터넷전화 서비스를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-006-057
2023-06-28 | 제2023-006-056호 | 비공개 | 민간 | 기타·미상 | 등의 서비스를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-006-056
2023-06-27 | 제2023-213-256호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰을 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-213-256
2023-06-27 | 제2023-213-255호 | 비공개 | 민간 | IT·정보서비스 | 온라인 서비스 등을 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-213-255
2023-06-14 | 제2023-212-221호 | 비공개 | 민간 | IT·정보서비스 | 등을 위해 홈페이지 를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-212-221
2023-06-14 | 제2023-212-220호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 의류 쇼핑몰을 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-212-220
2023-06-14 | 제2023-212-219호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 화장품 쇼핑몰 서비스 등을 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-212-219
2023-06-14 | 제2023-212-217호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | PC 등을 판매하는 온라인 쇼핑몰을 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-212-217
2023-06-14 | 제2023-212-216호 | 비공개 | 민간 | IT·정보서비스 | 사이트를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-212-216
2023-06-14 | 제2023-212-214호 | 비공개 | 민간 | 플랫폼·중개 서비스 | 예약 웹사이트를 운영하는 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-212-214
2023-06-14 | 제2023-212-213호 | 비공개 | 민간 | IT·정보서비스 | 온라인 서비스 등을 운영하는 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-212-213
2023-06-14 | 제2023-010-109호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 의류·생활용품 쇼핑몰 서비스를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-010-109
2023-06-14 | 제2023-010-108호 | 비공개 | 민간 | 교육·학원 | 온라인 교육 서비스를 제공하는 | 제29조·제39조의4·제39조의6 | https://datalaw.kr/sanctions/parties/#pf-2023-010-108
2023-06-14 | 제2023-010-107호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 음원 스트리밍 서비스를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-010-107
2023-05-26 | 제2023-210-174호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰을 운영하는 | - | https://datalaw.kr/sanctions/parties/#pf-2023-210-174
2023-05-10 | 제2023-008-092호 | 비공개 | 민간 | 의료·보건 | 영리를 목적으로 앱·웹을 통해 “ ”라는 비대면 진료 중개 서 비스를 제공하는 | 제22조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-092
2023-05-10 | 제2023-008-091호 | 비공개 | 민간 | 의료·보건 | 영리를 목적으로 앱·웹을 통해 “ ”라는 비대면 진료 중개 서 비스를 제공하는 | 제22조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-091
2023-05-10 | 제2023-008-090호 | 비공개 | 민간 | 의료·보건 | 영리를 목적으로 앱·웹을 통해 “ ”라는 비대면 진료 중개 서비스를 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-090
2023-05-10 | 제2023-008-089호 | 비공개 | 민간 | 의료·보건 | 영리를 목적으로 앱·웹을 통해 “ ”라는 비대면 진료 중개 서 비스를 제공하는 | 제22조·제24조의2·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-089
2023-05-10 | 제2023-008-088호 | 비공개 | 민간 | 의료·보건 | 영리를 목적으로 앱·웹을 통해 “ ”이라는 비대면 진료 중개 서 비스를 제공하는 | 제22조·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-088
2023-05-10 | 제2023-008-087호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제21조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-087
2023-05-10 | 제2023-008-086호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제15조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-086
2023-05-10 | 제2023-008-085호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제15조제1항·제21조제1항·제26조제2항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-085
2023-05-10 | 제2023-008-084호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조의2제2항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-084
2023-05-10 | 제2023-008-083호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-083
2023-05-10 | 제2023-008-082호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-082
2023-05-10 | 제2023-008-081호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-081
2023-05-10 | 제2023-008-080호 | 비공개 | 공공 | 공공 — 제2조제6호 가목(국가기관·지자체) | - | 제23조제2항·제24조제3항·제29조·제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-080
2023-05-10 | 제2023-008-079호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제23조제2항·제29조·제34조제1항·제34조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-079
2023-05-10 | 제2023-008-078호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-078
2023-05-10 | 제2023-008-077호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-077
2023-05-10 | 제2023-008-076호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-076
2023-05-10 | 제2023-008-075호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-008-075
2023-05-10 | 제2023-008-074호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제24조제3항 | https://datalaw.kr/sanctions/parties/#pf-2023-008-074
2023-04-12 | 제2023-006-066호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 콘텐츠 서비스를 제공하는 | 제22조·제39조의3 | https://datalaw.kr/sanctions/parties/#pf-2023-006-066
2023-04-12 | 제2023-006-065호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 콘텐츠 서비스를 제공하는 | 제22조·제39조의3 | https://datalaw.kr/sanctions/parties/#pf-2023-006-065
2023-04-12 | 제2023-006-064호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 콘텐츠 서비스를 제공하는 | 제22조·제39조의3 | https://datalaw.kr/sanctions/parties/#pf-2023-006-064
2023-04-12 | 제2023-006-063호 | 비공개 | 민간 | 통신·방송 | 방송서비스를 제공하는 | 제22조·제39조의3 | https://datalaw.kr/sanctions/parties/#pf-2023-006-063
2023-04-12 | 제2023-006-062호 | 비공개 | 민간 | 통신·방송 | 방송서비스를 제공하는 | 제22조·제39조의3 | https://datalaw.kr/sanctions/parties/#pf-2023-006-062
2023-04-12 | 제2023-006-061호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 콘텐츠 서비스를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2023-006-061
2023-04-12 | 제2023-006-060호 | 비공개 | 민간 | 게임·콘텐츠·미디어 | 콘텐츠 서비스를 제공하는 | - | https://datalaw.kr/sanctions/parties/#pf-2023-006-060
2023-04-12 | 제2023-006-054호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제15조제2항·제23조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-006-054
2023-04-12 | 제2023-006-053호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제34조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-006-053
2023-04-12 | 제2023-006-052호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제32조제1항·제21조제1항 | https://datalaw.kr/sanctions/parties/#pf-2023-006-052
2023-04-12 | 제2023-006-051호 | 비공개 | 공공 | 성격 미기재(공공) | - | - | https://datalaw.kr/sanctions/parties/#pf-2023-006-051
2023-04-12 | 제2023-006-048호 | 비공개 | 공공 | 공공 — 제2조제6호 나목(공공단체 등) | - | 제21조제1항·제26조제4항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-006-048
2023-03-22 | 제2023-005-047호 | 비공개 | 민간 | 기타·미상 | 서비스 등을 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-005-047
2023-03-22 | 제2023-005-044호 | 비공개 | 민간 | 기타·미상 | 를 운영하 는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-005-044
2023-03-22 | 제2023-005-043호 | 비공개 | 민간 | IT·정보서비스 | 웹사이트를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-005-043
2023-03-08 | 제2023-004-035호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰을 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-004-035
2023-03-08 | 제2023-004-034호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰을 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2023-004-034
2023-03-08 | 제2023-004-030호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-030
2023-03-08 | 제2023-004-029호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-029
2023-03-08 | 제2023-004-028호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-028
2023-03-08 | 제2023-004-027호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-027
2023-03-08 | 제2023-004-026호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-026
2023-03-08 | 제2023-004-025호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-025
2023-03-08 | 제2023-004-024호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-024
2023-03-08 | 제2023-004-023호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-023
2023-03-08 | 제2023-004-022호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-022
2023-03-08 | 제2023-004-021호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-021
2023-03-08 | 제2023-004-020호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-020
2023-03-08 | 제2023-004-019호 | 비공개 | 공공 | 성격 미기재(공공) | - | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-004-019
2023-01-11 | 제2023-001-002호 | 비공개 | 민간 | IT·정보서비스 | 맞춤 운동 추천, 식단·운동기록의 1:1 코칭 서비스 등을 웹사이트 및 모바일 앱을 통해 제공하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2023-001-002
2023-01-11 | 제2023-001-001호 | 비공개 | 민간 | IT·정보서비스 | ｢(舊)정보통신망 이용촉진 및 정보보호 등에 관한 법률｣(2020. 8. 5. 법률 제16955호로 개정‧시행되기 이전, 이하 ‘정보통신망법’이라 한다)에 따른 | 정보통신망법 제28조·정보통신망법 제27조의3 | https://datalaw.kr/sanctions/parties/#pf-2023-001-001
2022-11-30 | 제2022-019-162호 | 비공개 | 민간 | 교육·학원 | 교육 서비스( )를 운영하는 | 제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2022-019-162
2022-11-30 | 제2022-019-161호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰( )를 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2022-019-161
2022-11-30 | 제2022-019-160호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 온라인 쇼핑몰( )를 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2022-019-160
2022-11-30 | 제2022-019-156호 | 비공개 | 민간 | 기타·미상 | 문자발송 서비스( )를 운영하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2022-019-156
2022-11-16 | 제2022-018-154호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 사업자 전용(B2B) 휴대폰 액세서리 쇼핑몰을 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2022-018-154
2022-11-16 | 제2022-018-153호 | 비공개 | 민간 | IT·정보서비스 | 사업자 전용(B2B) 문자발송 웹사이트를 운영하는 | 제29조·제39조의4제1항 | https://datalaw.kr/sanctions/parties/#pf-2022-018-153
2022-09-14 | 제2022-014-121호 | 비공개 | 민간 | 지방자치단체 | ｢지방자치법｣ 제2조에 따른 지방자치단체로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2022-014-121
2022-09-14 | 제2022-014-108호 | 비공개 | 민간 | 지방자치단체 | ｢지방자치법｣ 제2조에 따른 지방자치단체로 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2022-014-108
2022-09-14 | 제2022-014-104호 | Google Limited Liability Company | 민간 | 기타·미상 | ①이용자 식별자 또는 ②기기 식별자 기반으로 타사 행태정보를 수집·이용하고 있다. ①피심인은 검색, 지도, 맞춤형 광고, 서비스 개선 등을 위해 이용자 식별자 기반으로 피심인 회원의 타사 행태정보를 수집·이용하고 있 | 제39조의3제1항 | https://datalaw.kr/sanctions/parties/#pf-2022-014-104
2022-08-10 | 제2022-013-103호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 영리를 목적으로 웹( )‧앱 온라인 쇼핑몰 서비스를 제공하는 | 제29조·제39조의4 | https://datalaw.kr/sanctions/parties/#pf-2022-013-103
2022-07-13 | 제2022-012-088호 | 비공개 | 민간 | 기타·미상 | ㅇㅇㅇ ㅇㅇ ㅇㅇㅇㅇ 서비스를 제공하는 | 제29조·제39조의6 | https://datalaw.kr/sanctions/parties/#pf-2022-012-088
2022-07-13 | 제2022-012-087호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 쇼핑몰( , ) 및 쇼핑앱( )을 운영하는 | 제21조제1항·제29조 | https://datalaw.kr/sanctions/parties/#pf-2022-012-087
2022-05-11 | 제2022-008-050호 | 비공개 | 민간 | IT·정보서비스 | 웹사이트를 운영하는 | 제29조 | https://datalaw.kr/sanctions/parties/#pf-2022-008-050
2022-04-27 | 제2022-007-045호 | 비공개 | 민간 | 교육·학원 | 공무원 임용 등 강의 서비스를 제공하는 | 제28조의3제1항 | https://datalaw.kr/sanctions/parties/#pf-2022-007-045
2022-04-27 | 제2022-007-044호 | 비공개 | 민간 | 전자상거래·쇼핑몰 | 의류업 및 쇼핑몰을 운영하는 | 정보통신망법 제23조의2제1항·정보통신망법 제27조의3제1항 | https://datalaw.kr/sanctions/parties/#pf-2022-007-044
2022-04-13 | 제2022-006-030호 | 비공개 | 민간 | 기타·미상 | 주식회사 ◎◎◎◎◎◎(이하 ‘피심인’)는 | 제35조 | https://datalaw.kr/sanctions/parties/#pf-2022-006-030
2022-02-23 | 제2022-004-013호 | 비공개 | 민간 | IT·정보서비스 | 소개팅앱 ‘ ’을 운영하는 | 제21조·제23조·제24조의2·제29조·제39조의4·제39조의6 | https://datalaw.kr/sanctions/parties/#pf-2022-004-013
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | 민간 | IT·정보서비스 | 항공권 특가정보 서비스 웹사이트(www.playwings.co.kr) 및 앱을 운영하는 「 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률」 ( ) ((2020. 8. 5. 법률 제16955호로 ‧ 개정 시행되기 이전의 것, 이하 ‘정보통신망법’이라 한다) 제 2조제 1항제3호에 따른 | 정보통신망법 제28조제1항·정보통신망법 제29조제2항 | https://datalaw.kr/sanctions/parties/#pf-2021-016-186
2021-09-29 | 제2021-016-185호 | ㈜집꾸미기 | 민간 | 플랫폼·중개 서비스 | 펜션 예약중개 서비스인 야놀자 펜션(www.yapen.co.kr 야놀자펜션 App*)을 운영하는 「 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률」 ( ) ((2020. 8. 5. 법률 ‧ 제 16955 호로 개정 시행되기 이전의 것 , 이하 ‘정보통신망법’이라 한다) 제 2 조제 1항 제 3호에 따른 | 정보통신망법 제27조의3제1항·정보통신망법 제28조제1항·정보통신망법 제29조제2항 | https://datalaw.kr/sanctions/parties/#pf-2021-016-185
2021-09-29 | 제2021-016-184호 | ㈜스타일쉐어 | 민간 | 통신·방송 | 패션 관련 소셜 및 쇼핑몰서비스(www.styleshare.kr)를 운영하는 「 구 정보 ( ) 통신망 이용촉진 및 정보보호 등에 관한 법률 」 ((2020. 8. 5. 법률 제 16955 호로 개정 ‧ 시행되기 이전의 것 , 이하 ‘정보통신망법’이라 한다) 제 2 조제 1항제 3호에 따른 정보 통신서비스 제공자이고 | 정보통신망법 제28조제1항·정보통신망법 제29조제2항 | https://datalaw.kr/sanctions/parties/#pf-2021-016-184
2021-09-29 | 제2021-016-183호 | ㈜야놀자 | 민간 | 플랫폼·중개 서비스 | 펜션 예약중개 서비스인 야놀자 펜션(www.yapen.co.kr 야놀자펜션 App*)을 운영하는 「 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률」 ( ) ((2020. 8. 5. 법률 ‧ 제 16955 호로 개정 시행되기 이전의 것 , 이하 ‘정보통신망법’이라 한다) 제 2 조제 1항 제 3호에 따른 | 정보통신망법 제28조제1항·정보통신망법 제29조제2항 | https://datalaw.kr/sanctions/parties/#pf-2021-016-183
2021-07-14 | 제2021-011-097호 | 비공개 | 민간 | 금융·보험·신용 | 가상자산 거래소( )를 운영하는 | 제39조의3 | https://datalaw.kr/sanctions/parties/#pf-2021-011-097
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 민간 | IT·정보서비스 | 영리를 목적으로 ‘텍스트앳’, ‘연애의 과학’ 등의 앱 서비스를 제공하 는 | 제18조·제21조·제22조·제23조·제28조의2·제39조의6 | https://datalaw.kr/sanctions/parties/#pf-2021-007-072
## 일괄 처분 묶음 — 한 사건번호에서 함께 처분된 의결 (https://datalaw.kr/sanctions/batch/)
- 출처: 개인정보위 결정문 게시판 (사건번호 기준) / 기준일 2026-09-11 / 사건번호가 있는 의결 654건 중 543건이 116개 묶음
- 🔴 **제재 표의 행은 서로 독립된 사건이 아니다.** 의결 건수를 사건 수로 읽으면 실제보다 부풀려진다 — 한 묶음에 최대 30건이 들어 있다.
- 🔴 **사건번호가 같다는 것이 「같은 사고」라는 뜻은 아니다.** 한 사고의 관련자(위탁자·수탁자·계열사) 묶음과, 한 조사에서 함께 처분된 서로 무관한 사업자 묶음이 섞여 있다.
- 주의: 사건번호가 적히지 않은 의결 235건은 묶을 수 없어 분모 밖이다. 묶음 금액은 그 묶음 안에서만 더한 값이고 묶음끼리 더하면 전체 합계와 겹친다.
사건번호 | 의결 수 | 첫 의결일 | 묶음 과징금(원) | 묶음 과태료(원) | 함께 처분된 피심인 | 행 주소
2020조총0006～0035, 지방자치단체 30개 | 30 | 2021-01-27 | - | - | 계룡시청, 성동구청, 전남곡성군청, 의성군청, 철원군청, 서울특별시중구청, 화천군청, 동두천시청, 영주시청, 달성군청, 영월군청, 성주군청, 강남구청, 양구군청, 태백시청, 칠곡군청, 강원도청, 금천구청, 안산시청, 삼척시청, 영덕군청, 옹진군청, 오산시청, 대전광역시청, 양양군청, 청도군청, 영천시청, 경상북도청, 영암군청, 담양군청 | https://datalaw.kr/sanctions/batch/#bt-2020조총00060035지방자치단체30개
2021조일0148~0181 | 20 | 2023-07-12 | - | 19000000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), ㈜비에스씨 | https://datalaw.kr/sanctions/batch/#bt-2021조일01480181
2021조총0002~0013 등 19건 | 19 | 2021-09-08 | - | 93600000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조총00020013등19건
2021조총0048 등 16건 | 16 | 2022-09-14 | - | 51000000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조총0048등16건
202301조총0001 등 14건 | 14 | 2023-05-10 | 25000000 | 61400000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-202301조총0001등14건
2023조총0008 등 14건 | 14 | 2023-07-26 | 151250000 | 42600000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조총0008등14건
2021조일0063 등 12건 | 12 | 2022-03-23 | 12500000 | 51000000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), 성보공업(주) | https://datalaw.kr/sanctions/batch/#bt-2021조일0063등12건
2022조총0035 등 12건 | 12 | 2023-03-08 | - | 39000000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조총0035등12건
2021조일0036 등 11건 | 11 | 2022-11-30 | - | 41000000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조일0036등11건
2021조이0087 등 10건 | 10 | 2022-11-30 | - | 25200000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조이0087등10건
2022조이0038 등 10건 | 10 | 2023-04-12 | - | 30000000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조이0038등10건
202308조일0074~0085 | 10 | 2024-12-11 | 6219700000 | 5400000 | 캐롯손해보험㈜, 엠지손해보험㈜, 흥국화재해상보험㈜, 롯데손해보험(주), 한화손해보험㈜, 메리츠화재해상보험(주), ㈜KB손해보험, 현대해상화재보험㈜, DB손해보험㈜, ㈜삼성화재해상보험 | https://datalaw.kr/sanctions/batch/#bt-202308조일00740085
2021조일0069 등 9건 | 9 | 2022-06-22 | - | 13000000 | 강원도, (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조일0069등9건
2020조총0044 등 8건 | 8 | 2022-05-25 | - | 40500000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2020조총0044등8건
2022조일0026 등 8건 | 8 | 2022-09-28 | - | 31200000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (주)엘지유플러스 | https://datalaw.kr/sanctions/batch/#bt-2022조일0026등8건
2021조총0022 등 8건 | 8 | 2023-04-12 | - | 26800000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조총0022등8건
2021조총0029 등 7건 | 7 | 2022-08-10 | - | 21600000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조총0029등7건
2021조이0152 등 7건 | 7 | 2023-02-22 | - | - | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조이0152등7건
2021조총0034 등 7건 | 7 | 2023-06-27 | - | 22200000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조총0034등7건
2022조일0005 등 7건 | 7 | 2023-07-26 | - | 64800000 | 학교법인 건국대학교, (비실명), 학교법인 동은학원, 학교법인 일송학원, 학교법인 고려중앙학원, 학교법인 연세대학교, 학교법인 가톨릭학원 | https://datalaw.kr/sanctions/batch/#bt-2022조일0005등7건
2025조이0091 등 8건 | 7 | 2025-11-20 | - | 25800000 | ㈜테난, 수원상공회의소, 법무법인 산하, 정진테크, ㈜티노파이브, ㈜파우컴퍼니, ㈜씨제이이엔엠 | https://datalaw.kr/sanctions/batch/#bt-2025조이0091등8건
2024조일0040 | 7 | 2026-05-13 | 542500000 | 11400000 | 보람상조플러스 주식회사, 보람상조실로암 주식회사, 보람상조애니콜 주식회사, 보람상조피플 주식회사, 보람상조라이프 주식회사, 보람상조리더스 주식회사, 보람상조개발 주식회사 | https://datalaw.kr/sanctions/batch/#bt-2024조일0040
2021조이0085 등 6건 | 6 | 2023-03-22 | 98000000 | 13800000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조이0085등6건
2022조이0057 등 6건 | 6 | 2023-06-14 | - | 24000000 | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조이0057등6건
2022조총0066 등 6건 | 6 | 2023-10-11 | 95000000 | 25800000 | (비실명), (비실명), (비실명), (비실명), 경북대학교 총동창회, (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조총0066등6건
2023조삼0025 등 6건 | 6 | 2024-01-10 | - | - | (비실명), (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조삼0025등6건
2024조총0034-01 등 6건 | 6 | 2026-05-27 | 546600000 | 12000000 | ㈜미소테크, 국립축산과학원, 국립농업과학원, 농촌진흥청, 행정안전부, 행정안전부 | https://datalaw.kr/sanctions/batch/#bt-2024조총003401등6건
2020조이0024 등 5건 | 5 | 2022-05-11 | - | 3600000 | (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2020조이0024등5건
2021조일0028 | 5 | 2022-09-14 | 69241000000 | 6600000 | (비실명), (비실명), (비실명), Meta Platforms, Inc, Google Limited Liability Company | https://datalaw.kr/sanctions/batch/#bt-2021조일0028
2022조삼0014 등 5건 | 5 | 2023-05-10 | - | 36600000 | (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조삼0014등5건
2023조이0013 등 5건 | 5 | 2024-04-24 | 162431000 | 43500000 | ㈜하이플레이, (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이0013등5건
2022조이0042 등 5건 | 5 | 2024-07-24 | - | 17400000 | (비실명), (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조이0042등5건
2024조삼0003-01~2024조삼0003-05 | 5 | 2025-02-12 | - | - | Apple Distribution International Limited, Meta Platforms, Inc, Google LLC, 주식회사 카카오, 네이버 주식회사 | https://datalaw.kr/sanctions/batch/#bt-2024조삼0003012024조삼000305
2025조이0017 등 6건 | 5 | 2025-04-09 | - | 17100000 | 가연결혼정보(주), 해피컴퍼니, 엠제이다이렉트, 부스트HCC, 가온누리소프트웨어 | https://datalaw.kr/sanctions/batch/#bt-2025조이0017등6건
2024조삼0001-01∼05 | 5 | 2025-07-23 | - | - | ㈜당근마켓, ㈜우아한형제들, 쿠팡㈜, 네이버㈜, ㈜카카오 | https://datalaw.kr/sanctions/batch/#bt-2024조삼00010105
2021조이0038 등 4건 | 4 | 2021-09-29 | 185300000 | 83000000 | ㈜스퀘어랩, ㈜집꾸미기, ㈜스타일쉐어, ㈜야놀자 | https://datalaw.kr/sanctions/batch/#bt-2021조이0038등4건
2019조일0006 등 4건 | 4 | 2022-03-23 | 11200000 | 41000000 | ㈜하우빌드, Fluke Corporation, Zynga Game Ireland Limited, Canva PTY Ltd | https://datalaw.kr/sanctions/batch/#bt-2019조일0006등4건
2020조이0020 등 4건 | 4 | 2022-04-27 | - | - | (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2020조이0020등4건
2022조일0041 등 3건 | 4 | 2022-08-10 | - | 17000000 | (비실명), (비실명), 경주정보고등학교, 평창군시설관리공단 | https://datalaw.kr/sanctions/batch/#bt-2022조일0041등3건
2021조이0080 등 4건 | 4 | 2022-11-16 | - | 15000000 | (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조이0080등4건
2022조일0059 등 4건 | 4 | 2023-02-08 | - | 16000000 | (재)한국어린이안전재단, (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조일0059등4건
2022조이0069 등 4건 | 4 | 2023-03-08 | - | 16800000 | (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조이0069등4건
2023조일0008 등 4건 | 4 | 2023-03-22 | - | 13000000 | (비실명), (비실명), 리앤리성형외과, 마노성형외과의원 | https://datalaw.kr/sanctions/batch/#bt-2023조일0008등4건
2022조일0037 등 4건 | 4 | 2023-04-26 | 48750000 | 12600000 | (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조일0037등4건
2023조이0124 등 4건 | 4 | 2024-08-28 | 3298000 | 15600000 | (비실명), (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이0124등4건
2023조일0092 등 4건 | 4 | 2025-04-23 | - | 11400000 | 네츄럴비자, 재단법인 우리다문화장학재단, (비실명), 언더독스 주식회사 | https://datalaw.kr/sanctions/batch/#bt-2023조일0092등4건
2023조이0008, 2024조이0066, 2024조이0067, 2024조이0050 | 4 | 2025-07-09 | - | 4800000 | ㈜자비스앤빌런즈, 지엔터프라이즈㈜, 토스인컴㈜, 더치트㈜ | https://datalaw.kr/sanctions/batch/#bt-2023조이00082024조이00662024
2025조이0022 등 4건 | 4 | 2025-09-24 | - | 4500000 | (비실명), 한국정보보호산업협회, ㈜아파트스토리, ㈜클래스101 | https://datalaw.kr/sanctions/batch/#bt-2025조이0022등4건
2025조이0129-01 등 3건 | 4 | 2026-03-25 | - | 9000000 | 아이디스파워텔(주), 넷플릭스서비시스코리아(유), (재)인천문화재단, 한강시스템(주) | https://datalaw.kr/sanctions/batch/#bt-2025조이012901등3건
2026조일0012 등 4건 | 4 | 2026-05-13 | - | 1800000 | (재)경기도평생교육진흥원, 사단법인 새롭고하나된조국을위한모임, 루나데이즈, 씨제이올리브네트웍스 주식회사 | https://datalaw.kr/sanctions/batch/#bt-2026조일0012등4건
2024조이0063 등 4건 | 4 | 2026-07-08 | - | 23100000 | 이데일리㈜, ㈜재미스홈, ㈜데일리팜, 얼굴홈트㈜ | https://datalaw.kr/sanctions/batch/#bt-2024조이0063등4건
2022조일0053 등 3건 | 3 | 2023-03-08 | - | 9000000 | (비실명), ㈜지마켓, (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조일0053등3건
2023조이0011 등 3건 | 3 | 2023-06-14 | - | 11400000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이0011등3건
2022조이0019 등 3건 | 3 | 2023-06-14 | - | - | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조이0019등3건
2022조이0086 등 3건 | 3 | 2023-06-14 | - | 27600000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조이0086등3건
2022조이0070 등 3건 | 3 | 2023-10-11 | 231996000 | 16200000 | 주식회사 국민은행, 신일전자㈜, 슈나이더일렉트릭코리아 주식회사 | https://datalaw.kr/sanctions/batch/#bt-2022조이0070등3건
2023조이0020 등 3건 | 3 | 2023-10-25 | 197209000 | 27300000 | 주식회사 와이엘랜드, ㈜오브콜스, 주식회사 자동차공임나라 | https://datalaw.kr/sanctions/batch/#bt-2023조이0020등3건
2023조총0017 등 3건 | 3 | 2023-11-08 | 28750000 | 3600000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조총0017등3건
2022조일0047 등 15건 | 3 | 2024-01-24 | - | - | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조일0047등15건
2023조삼0051-01 등 3건 | 3 | 2024-06-12 | - | - | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조삼005101등3건
2024조이0034 등 3건 | 3 | 2024-07-10 | - | 4800000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2024조이0034등3건
2023조이0058 등 3건 | 3 | 2024-08-28 | - | 20400000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이0058등3건
2024조일0050 등 3건 | 3 | 2024-08-28 | - | 25000000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2024조일0050등3건
2023조이0039 등 3건 | 3 | 2024-09-25 | - | 20100000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이0039등3건
2024조이0019등 2건 | 3 | 2024-10-23 | - | 7800000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2024조이0019등2건
2023조이0101 등 3건 | 3 | 2024-11-04 | - | 12300000 | (비실명), (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이0101등3건
2021조이0163 등 3건 | 3 | 2024-11-27 | 1588651000 | 10800000 | 쿠팡㈜, 테크놀로지인프라스트럭처코리아(유), 쿠팡㈜ | https://datalaw.kr/sanctions/batch/#bt-2021조이0163등3건
2024조삼0005 등 3건 | 3 | 2025-01-22 | 8373000000 | 2200000 | Alipay Singapore E-Commerce Private Limited, Apple Distribution International Limited, ㈜카카오페이 | https://datalaw.kr/sanctions/batch/#bt-2024조삼0005등3건
2024조일0018 등 3건 | 3 | 2025-03-12 | - | 7200000 | 케이알투자증권주식회사, 안성시육상연맹, 주식회사 매니저맨코리아 | https://datalaw.kr/sanctions/batch/#bt-2024조일0018등3건
2025조총0020, 0021, 0025 | 3 | 2025-05-14 | - | 12000000 | ㈜더피엔엘, (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2025조총002000210025
2024조이0010, 2023조이0055-01, 02 | 3 | 2025-06-11 | 112423000 | 14400000 | (비실명), (비실명), 머크㈜ | https://datalaw.kr/sanctions/batch/#bt-2024조이00102023조이00550102
2024조삼0004-01~03 | 3 | 2025-06-11 | - | - | 네이버클라우드 주식회사, 한국마이크로소프트 (유), 아마존웹서비시즈코리아 유한책임회사 | https://datalaw.kr/sanctions/batch/#bt-2024조삼00040103
2024조이0109 등 3건 | 3 | 2025-11-20 | 177600000 | 5400000 | ㈜레저플러스, ㈜더존하우징, ㈜이젠 | https://datalaw.kr/sanctions/batch/#bt-2024조이0109등3건
2023조일0035 등 3건 | 3 | 2025-11-26 | - | - | umanle S.R.L, Elevate Hong Kong Holdings Limited, Starbucks Corporation | https://datalaw.kr/sanctions/batch/#bt-2023조일0035등3건
2024조이0062 등 3건 | 3 | 2025-12-10 | - | - | 세무법인 동안, ㈜아일로, 얼굴홈트(주) | https://datalaw.kr/sanctions/batch/#bt-2024조이0062등3건
2024조총0009 등 3건 | 3 | 2025-12-10 | 388019000 | 10800000 | K Games, Inc, (사)부산국제금융진흥원, 국립항공박물관 | https://datalaw.kr/sanctions/batch/#bt-2024조총0009등3건
2024조이0041 등 3건 | 3 | 2026-06-24 | - | 7800000 | 레즈메드헬스케어코리아, 전기기술사사이버학원, ㈜맹호 | https://datalaw.kr/sanctions/batch/#bt-2024조이0041등3건
2020조이0007 등 2건 | 2 | 2022-02-09 | 204435000 | 1000000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2020조이0007등2건
2021조일0144 등 2건 | 2 | 2022-04-13 | - | 10000000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조일0144등2건
2021조일0101 등 2건 | 2 | 2022-04-13 | - | 2000000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조일0101등2건
2021조이0162 등 2건 | 2 | 2022-07-13 | - | 7800000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조이0162등2건
2022조이0058 등 2건 | 2 | 2023-01-11 | - | 13000000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조이0058등2건
2021조일0117 등 2건 | 2 | 2023-06-14 | - | 8600000 | (비실명), 빌박닷컴(주) | https://datalaw.kr/sanctions/batch/#bt-2021조일0117등2건
2023조이0027 등 2건 | 2 | 2023-06-27 | - | 13800000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이0027등2건
2022조일0069, 2022조이0052 | 2 | 2023-06-28 | 1131786000 | 17400000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2022조일00692022조이0052
2023조이0057 등 2건 | 2 | 2023-12-13 | - | 14400000 | ㈜스피드옥션, ㈜코다스디자인 | https://datalaw.kr/sanctions/batch/#bt-2023조이0057등2건
2023조총0027 등 2건 | 2 | 2024-01-24 | - | 16800000 | 한국장학재단, 한국고용정보원 | https://datalaw.kr/sanctions/batch/#bt-2023조총0027등2건
2024조이0016 등 2건 | 2 | 2024-03-27 | 613000000 | 13500000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2024조이0016등2건
2021조총0072 등 2건 | 2 | 2024-04-24 | - | 6400000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2021조총0072등2건
2023조일0068 등 5건 | 2 | 2024-06-12 | - | 8100000 | (비실명), 주식회사 비플스 | https://datalaw.kr/sanctions/batch/#bt-2023조일0068등5건
2024조일0012 | 2 | 2024-09-25 | 1104000000 | - | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2024조일0012
2024조총0003, 2023조이0078 | 2 | 2024-09-25 | 707000000 | 5400000 | (비실명), 한국사회복지협의회 | https://datalaw.kr/sanctions/batch/#bt-2024조총00032023조이0078
2023조일0052 등 3건 | 2 | 2024-10-23 | - | 7800000 | 사회복지법인 월드비전, 주식회사 한독 | https://datalaw.kr/sanctions/batch/#bt-2023조일0052등3건
2024조이0011, 2024조이0008 | 2 | 2024-10-23 | 123173000 | 10800000 | ㈜일학, ㈜네오팜 | https://datalaw.kr/sanctions/batch/#bt-2024조이00112024조이0008
2023조이0115, 2023조이0035 | 2 | 2024-11-04 | 60691000 | 10800000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2023조이01152023조이0035
2024조총0010 등 2건 | 2 | 2024-11-13 | 235800000 | 6600000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-2024조총0010등2건
2023조이0130 등 2건 | 2 | 2025-01-22 | 1935000000 | 7800000 | ㈜동행복권, 에스케이스토아㈜ | https://datalaw.kr/sanctions/batch/#bt-2023조이0130등2건
2023조이0128, 2023조삼0046 | 2 | 2025-02-26 | 198100000 | 12300000 | 엔에이치엔위투㈜, ㈜비즈니스온커뮤니케이션 | https://datalaw.kr/sanctions/batch/#bt-2023조이01282023조삼0046
2024조이0089 등 2건 | 2 | 2025-03-12 | - | 6600000 | ㈜노랑풍선, ㈜위너스매니지먼트 | https://datalaw.kr/sanctions/batch/#bt-2024조이0089등2건
2024조이0081, 2023조이0014 | 2 | 2025-04-09 | 58515000 | 14100000 | ㈜케이티알파, ㈜클래스유 | https://datalaw.kr/sanctions/batch/#bt-2024조이00812023조이0014
202312조일0104 등 2건 | 2 | 2025-05-14 | - | 9000000 | (비실명), (비실명) | https://datalaw.kr/sanctions/batch/#bt-202312조일0104등2건
2024조일0013, 2025조일0025 | 2 | 2025-05-14 | 1369000000 | 17600000 | Elementary Innovation Pte. Ltd, Whaleco Technology Limited | https://datalaw.kr/sanctions/batch/#bt-2024조일00132025조일0025
2024조총0059, 0067 | 2 | 2025-06-11 | 966000000 | 5400000 | 이화여자대학교, 전북대학교 | https://datalaw.kr/sanctions/batch/#bt-2024조총00590067
2023조일0021, 2024조일0027 | 2 | 2025-06-25 | 137200000 | 13200000 | TELUS International AI, Ltd, (재)한국인정지원센터 | https://datalaw.kr/sanctions/batch/#bt-2023조일00212024조일0027
2025조이0032, 2024조이0090 | 2 | 2025-07-09 | 1414000000 | 2700000 | (비실명), ㈜비와이엔블랙야크 | https://datalaw.kr/sanctions/batch/#bt-2025조이00322024조이0090
2024조일0043, 2023조총0051 | 2 | 2025-07-23 | 441000000 | 3600000 | (재)전남테크노파크, ㈜해성디에스 | https://datalaw.kr/sanctions/batch/#bt-2024조일00432023조총0051
2024조이0002 | 2 | 2025-09-10 | - | 13800000 | 다한마케팅, 타이어뱅크㈜ | https://datalaw.kr/sanctions/batch/#bt-2024조이0002
2024조일008201 등 3건 | 2 | 2025-09-10 | - | 13500000 | (비실명), 숨수면의원 | https://datalaw.kr/sanctions/batch/#bt-2024조일008201등3건
2025조일0004-01 등 5건 | 2 | 2025-09-24 | - | 3000000 | ㈜스마트레이저, (사)전국재해구호협회 | https://datalaw.kr/sanctions/batch/#bt-2025조일000401등5건
2025조이0144 등 3건 | 2 | 2025-11-26 | - | 1800000 | 가온들찬빛, 퀴아젠코리아(유) | https://datalaw.kr/sanctions/batch/#bt-2025조이0144등3건
2024조일0009 등 5건 | 2 | 2025-11-26 | - | 13200000 | 필 리 핀 항공, ㈜씨아이에스 보험자문중개법인 | https://datalaw.kr/sanctions/batch/#bt-2024조일0009등5건
2024조이0080 등 2건 | 2 | 2025-11-26 | 188200000 | 7800000 | ㈜바텍엠시스, ㈜하스 | https://datalaw.kr/sanctions/batch/#bt-2024조이0080등2건
2025조일0050 등 10건 | 2 | 2025-12-10 | - | 6900000 | 강원특별자치도교육청, 홈스디자인 | https://datalaw.kr/sanctions/batch/#bt-2025조일0050등10건
2024조이0058 등 3건 | 2 | 2026-01-28 | - | 3600000 | 시민종합사회복지관, 디노랩스 | https://datalaw.kr/sanctions/batch/#bt-2024조이0058등3건
2023조총0042, 2024조총0025 | 2 | 2026-03-25 | 910000000 | 4800000 | 강북구청, 공무원연금공단 | https://datalaw.kr/sanctions/batch/#bt-2023조총00422024조총0025
2025조이0019, 0096 | 2 | 2026-04-22 | 1251200000 | 13200000 | 재단법인 금릉공원묘원, 듀오정보 주식회사 | https://datalaw.kr/sanctions/batch/#bt-2025조이00190096
## 제재의 「무엇을 하라고 했는가」 층 — 결정문 주문 절 (https://datalaw.kr/orders/)
- 출처: 개인정보위 결정문 「주문」 절 / 기준일 2026-09-11 / 결정문 공개 889건 중 주문에 시정 항목이 있는 377건 · 실질 항목 640개
- 항목 문장은 결정문 「주문」 절 **원문 그대로**이고, 「유형」은 세기 위해 붙인 축입니다.
- 🔴 **「이행결과 제출」 항목은 유형 집계의 분모에서 빠져 있다.** 실질 조치가 아니라 보고 의무이고 항목의 3분의 1이 그것이라, 같이 세면 「가장 흔한 명령은 결과 제출」이라는 거짓이 나온다.
- 이행결과 제출 기한: 7일 1건 · 30일 10건 · 40일 18건 · 60일 219건 · 90일 93건 · 180일 9건 (기산점은 의결일이 아니라 **심의의결서를 통지받은 날**).
- 피심인 홈페이지 공표명령 32건. 게시 기간: 2일 이상 5일 미만 16건 · 5일 이상 7일 미만 6건 · 7일 이상 10일 미만 3건 · 10일 이상 12일 미만 2건 · 4일간 2건. 위치·크기는 대부분 「초기화면 팝업창에 전체화면의 6분의 1」이고, 위원회 홈페이지 공표(1년)와는 별개의 처분입니다.
- 주의: 과징금·과태료만 부과한 의결에는 주문에 시정 항목이 없어 이 표에 없습니다. 이행 여부와 결과는 공개되지 않습니다.
의결일 | 안건번호 | 피심인 | 유형 | 명령 원문 | 행 주소
2026-08-26 | 제2026-216-360호 | 순천향대 부속 부천병원 | 교육 | 피심인은 개인정보를 동의없이 제3자 제공하는 사례가 재발하지 않도록 개인정보 관리 체계 정비 및 취급자 교육 등 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-216-360
2026-08-26 | 제2026-216-355호 | 경성대학교 | 안전조치(일반) | 개인정보취급자가 개인정보 포함 파일을 외부 저장매체 (USB)에 복사‧저장‧ 반출 시 이를 안전하게 관리할 수 있는 보안 솔루션을 도입할 것 | https://datalaw.kr/orders/#o-2026-216-355
2026-08-26 | 제2026-216-355호 | 경성대학교 | 기타 | 공익신고인에게 인사기록카드 열람 및 사본 교부 조치를 신속하게 할 것 | https://datalaw.kr/orders/#o-2026-216-355
2026-08-26 | 제2026-216-354호 | 양평군청 | 내부관리계획·규정·매뉴얼 | 직원의 업무용 자료 반출 통제 등 개인정보취급자에 대한 관리‧감독 강화 방안을 마련·시행할 것. | https://datalaw.kr/orders/#o-2026-216-354
2026-08-26 | 제2026-207-114호 | 에너지경제연구원 | 수탁자 관리·감독 | 재발 방지를 위하여 개인정보의 처리 업무 수탁자에 대한 관리‧감독 강화 방안을 마련·시행할 것. | https://datalaw.kr/orders/#o-2026-207-114
2026-08-12 | 제2026-215-335호 | 거여파크 지역주택조합 추진위원회 | 유출 통지·신고 체계 | 피심인에게 개인정보 유출 신고‧통지 체계를 재검토하여 대책을 마련하여야 한다. | https://datalaw.kr/orders/#o-2026-215-335
2026-07-22 | 제2026-214-295호 | 용인시청 | 재발방지대책 수립 | 재발 방지를 위하여 피심인 및 소속 기관들이 관리하고 있는 문서고 등 개인정보를 보관하는 장소들에 대하여 시건장치, 출입대장 비치·작성 및 CCTV 설치 등 물리적 안전조치 실태를 재점검하고 점검결과에 따라 필요한 보완 조치를 이행할 것 | https://datalaw.kr/orders/#o-2026-214-295
2026-07-22 | 제2026-214-294호 | 가평군청 | 내부관리계획·규정·매뉴얼 | 재발방지를 위하여 공시송달 등 개인정보가 포함된 홈페이지 게시물 작성 절차에 관한 매뉴얼을 수립·시행할 것. | https://datalaw.kr/orders/#o-2026-214-294
2026-07-22 | 제2026-214-290호 | 전남대학교 | 암호화 | 피심인이 시스템 관련 DB 등에 보관하고 있는 비밀번호의 암호화 방식을 보다 안전한 암호화 알고리즘으로 변경할 것 | https://datalaw.kr/orders/#o-2026-214-290
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 접근권한·접근통제 | 피심인은 개인정보보호 강화 및 유출사고 재발 방지를 위해, 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지 등을 위한 안전조치를 강화하여야 한다. | https://datalaw.kr/orders/#o-2026-213-268
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 접속기록 점검·보관 | 피심인은 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관·관리하고 접속기록 등을 월 1회 이상 점검하며 접속기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 강화하여야 한다. | https://datalaw.kr/orders/#o-2026-213-268
2026-07-08 | 제2026-213-267호 | 얼굴홈트㈜ | 유출 통지·신고 체계 | 개인정보 유출 통지를 포함한 사고 대응 체계를 마련하여야 한다. | https://datalaw.kr/orders/#o-2026-213-267
2026-07-08 | 제2026-213-265호 | 하남도시공사 | 내부관리계획·규정·매뉴얼 | 재발방지를 위하여 홈페이지 개인정보가 포함된 게시물 작성 절차에 관한 매뉴얼을 수립·시행할 것. | https://datalaw.kr/orders/#o-2026-213-265
2026-07-08 | 제2026-213-262호 | 법원행정처 | 파기·삭제 | 코드메일 DB에 보관된 주민등록번호는 모두 삭제할 것. | https://datalaw.kr/orders/#o-2026-213-262
2026-07-08 | 제2026-213-262호 | 법원행정처 | 주민등록번호·고유식별정보 | 코트메일 계정 발급과 관련한 신규 가입자의 주민등록번호 확인 절차를 개선할 것. | https://datalaw.kr/orders/#o-2026-213-262
2026-06-24 | 제2026-212-242호 | 레즈메드헬스케어코리아 | 교육 | 피심인은 유츌사고 재발 방지를 위해 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-212-242
2026-06-24 | 제2026-212-241호 | 전기기술사사이버학원 | 교육 | 피심인은 유츌사고 재발 방지를 위해 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-212-241
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 수탁자 관리·감독 | 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것 | https://datalaw.kr/orders/#o-2026-010-070
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 수탁자 관리·감독 | 용역기간 중 수탁자 소속 직원이 사용할 PC 및 보조저장장치 등은 필요 최소한으로 제한하고, 장비마다 DRM, 매체제어솔루션 등을 설치·운영하며, 반·출입대장을 작성·관리할 것 | https://datalaw.kr/orders/#o-2026-010-070
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 접속기록 점검·보관 | 수시로 미리 승인한 PC 및 보조저장매체 등의 이용기록, 불필요한 개인정보의 저장 여부 및 승인하지 않은 장비를 사용하는지 여부를 점검할 것 | https://datalaw.kr/orders/#o-2026-010-070
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 파기·삭제 | 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검 하고 증빙자료를 수령하여 보관할 것 | https://datalaw.kr/orders/#o-2026-010-070
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | 내부관리계획·규정·매뉴얼 | 가.부터 라.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것 | https://datalaw.kr/orders/#o-2026-010-070
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 수탁자 관리·감독 | 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것 | https://datalaw.kr/orders/#o-2026-010-069
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 수탁자 관리·감독 | 용역기간 중 수탁자 소속 직원이 사용할 PC 및 보조저장장치 등은 필요 최소한으로 제한하고, 장비마다 DRM, 매체제어솔루션 등을 설치·운영하며, 반·출입대장을 작성·관리할 것 | https://datalaw.kr/orders/#o-2026-010-069
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 접속기록 점검·보관 | 수시로 미리 승인한 PC 및 보조저장매체 등의 이용기록, 불필요한 개인정보의 저장 여부 및 승인하지 않은 장비를 사용하는지 여부를 점검할 것 | https://datalaw.kr/orders/#o-2026-010-069
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 파기·삭제 | 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검 하고 증빙자료를 수령하여 보관할 것 | https://datalaw.kr/orders/#o-2026-010-069
2026-05-27 | 제2026-010-069호 | 국립농업과학원 | 내부관리계획·규정·매뉴얼 | 가.부터 라.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것 | https://datalaw.kr/orders/#o-2026-010-069
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 수탁자 관리·감독 | 수탁자에 대한 점검은 용역기간 중 1회 이상 소속 직원을 통해 직접 현장점검 방식으로 실시할 것 | https://datalaw.kr/orders/#o-2026-010-068
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 수탁자 관리·감독 | 용역기간 중 수탁자 소속 직원이 사용할 PC 및 보조저장장치 등은 필요 최소한으로 제한하고, 장비마다 DRM, 매체제어솔루션 등을 설치·운영하며, 반·출입대장을 작성·관리할 것 | https://datalaw.kr/orders/#o-2026-010-068
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 접속기록 점검·보관 | 수시로 미리 승인한 PC 및 보조저장매체 등의 이용기록, 불필요한 개인정보의 저장 여부 및 승인하지 않은 장비를 사용하는지 여부를 점검할 것 | https://datalaw.kr/orders/#o-2026-010-068
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 파기·삭제 | 용역 종료 시 불필요해진 개인정보를 반납 또는 파기하는지 소속 직원을 통해 직접 점검 하고 증빙자료를 수령하여 보관할 것 | https://datalaw.kr/orders/#o-2026-010-068
2026-05-27 | 제2026-010-068호 | 농촌진흥청 | 내부관리계획·규정·매뉴얼 | 가.부터 라.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것 | https://datalaw.kr/orders/#o-2026-010-068
2026-05-27 | 제2026-010-066호 | 행정안전부 | 악성프로그램·취약점 조치 | 개인정보처리시스템 관련 신규 프로그램 개발 또는 기존 프로그램 개선(소스코드 개발 포함) 작업 후 운영서버 반영 전 취약점 점검, 무결성 테스트 및 부하 테스트 등 사전검토 절차를 충실히 이행할 것 | https://datalaw.kr/orders/#o-2026-010-066
2026-05-27 | 제2026-010-066호 | 행정안전부 | 수탁자 관리·감독 | 수탁자의 소프트웨어 개발에 대한 점검 강화 방안을 수립·시행할 것 | https://datalaw.kr/orders/#o-2026-010-066
2026-05-27 | 제2026-010-066호 | 행정안전부 | 내부관리계획·규정·매뉴얼 | 가.와 나.의 내용을 기관 및 개인정보처리시스템별 내부관리계획에 반영하고 시행할 것 | https://datalaw.kr/orders/#o-2026-010-066
2026-05-13 | 제2026-209-153호 | (주)큰사람커넥트 | 악성프로그램·취약점 조치 | 피심인은 유출 사고가 재발하지 않도록 프로그램 사용 전 취약점 점검 및 테스트 절차를 마련하여야 한다. | https://datalaw.kr/orders/#o-2026-209-153
2026-05-13 | 제2026-209-152호 | 대야구역재개발조합 | 유출 통지·신고 체계 | 피심인에게 개인정보 유출 신고‧통지 체계를 재검토하여 대책을 마련하여야 한다. | https://datalaw.kr/orders/#o-2026-209-152
2026-05-13 | 제2026-209-151호 | 한화엔진 | 기타 | 담당자의 업무처리 과정에서 채용 지원자 정보 안내 이메일을 타인에게 발송한 피심인의 행위에 대해 개인정보 처리업무 전반 재검토 및 개선을 권고한다. | https://datalaw.kr/orders/#o-2026-209-151
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 수탁자 관리·감독 | 개인정보 처리 업무를 위탁하는 경우, 보호법 제26조를 준수하여 수탁자를 보다 명확하게 공개할 것 | https://datalaw.kr/orders/#o-2026-009-063
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 수탁자 관리·감독 | 개인정보 처리 현황 점검, 개인정보 보호 교육 등 그룹 공통의 수탁자 관리·감독 방안을 마련할 것 | https://datalaw.kr/orders/#o-2026-009-063
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 내부관리계획·규정·매뉴얼 | 개인정보 보호 관련 의사결정 체계 등을 정비하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 개선할 것 | https://datalaw.kr/orders/#o-2026-009-063
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 수탁자 관리·감독 | 개인정보 처리 업무를 위탁하는 경우, 보호법 제26조를 준수하여 수탁자를 보다 명확하게 공개할 것 | https://datalaw.kr/orders/#o-2026-009-062
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 수탁자 관리·감독 | 개인정보 처리 현황 점검, 개인정보 보호 교육 등 그룹 공통의 수탁자 관리·감독 방안을 마련할 것 | https://datalaw.kr/orders/#o-2026-009-062
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 내부관리계획·규정·매뉴얼 | 개인정보 보호 관련 의사결정 체계 등을 정비하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 개선할 것 | https://datalaw.kr/orders/#o-2026-009-062
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 수탁자 관리·감독 | 개인정보 처리 업무를 위탁하는 경우, 보호법 제26조를 준수하여 수탁자를 보다 명확하게 공개할 것 | https://datalaw.kr/orders/#o-2026-009-061
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 수탁자 관리·감독 | 개인정보 처리 현황 점검, 개인정보 보호 교육 등 그룹 공통의 수탁자 관리·감독 방안을 마련할 것 | https://datalaw.kr/orders/#o-2026-009-061
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 내부관리계획·규정·매뉴얼 | 개인정보 보호 관련 의사결정 체계 등을 정비하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 개선할 것 | https://datalaw.kr/orders/#o-2026-009-061
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 수탁자 관리·감독 | 개인정보 처리 업무를 위탁하는 경우, 보호법 제26조를 준수하여 수탁자를 보다 명확하게 공개할 것 | https://datalaw.kr/orders/#o-2026-009-060
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 수탁자 관리·감독 | 개인정보 처리 현황 점검, 개인정보 보호 교육 등 그룹 공통의 수탁자 관리·감독 방안을 마련할 것 | https://datalaw.kr/orders/#o-2026-009-060
2026-05-13 | 제2026-009-060호 | 보람상조피플 주식회사 | 내부관리계획·규정·매뉴얼 | 개인정보 보호 관련 의사결정 체계 등을 정비하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 개선할 것 | https://datalaw.kr/orders/#o-2026-009-060
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 수탁자 관리·감독 | 개인정보 처리 업무를 위탁하는 경우, 보호법 제26조를 준수하여 수탁자를 보다 명확하게 공개할 것 | https://datalaw.kr/orders/#o-2026-009-059
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 수탁자 관리·감독 | 개인정보 처리 현황 점검, 개인정보 보호 교육 등 그룹 공통의 수탁자 관리·감독 방안을 마련할 것 | https://datalaw.kr/orders/#o-2026-009-059
2026-05-13 | 제2026-009-059호 | 보람상조라이프 주식회사 | 내부관리계획·규정·매뉴얼 | 개인정보 보호 관련 의사결정 체계 등을 정비하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 개선할 것 | https://datalaw.kr/orders/#o-2026-009-059
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 수탁자 관리·감독 | 개인정보 처리 업무를 위탁하는 경우, 보호법 제26조를 준수하여 수탁자를 보다 명확하게 공개할 것 | https://datalaw.kr/orders/#o-2026-009-058
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 수탁자 관리·감독 | 개인정보 처리 현황 점검, 개인정보 보호 교육 등 그룹 공통의 수탁자 관리·감독 방안을 마련할 것 | https://datalaw.kr/orders/#o-2026-009-058
2026-05-13 | 제2026-009-058호 | 보람상조리더스 주식회사 | 내부관리계획·규정·매뉴얼 | 개인정보 보호 관련 의사결정 체계 등을 정비하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 개선할 것 | https://datalaw.kr/orders/#o-2026-009-058
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 수탁자 관리·감독 | 위탁받아 처리하는 개인정보를 포함하여, 그룹 전반의 개인정보 처리 현황을 면밀히 점검하여 불필요한 개인정보 처리를 최소화하고 개인정보처리시스템에 대한 안전조치를 강화할 것 | https://datalaw.kr/orders/#o-2026-009-057
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 악성프로그램·취약점 조치 | 주기적인 보안취약점 점검 및 개선이 이루어질 수 있도록 개인정보 내부관리계획을 보완하여 마련할 것 | https://datalaw.kr/orders/#o-2026-009-057
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 내부관리계획·규정·매뉴얼 | 그룹 차원에서 개인정보 보호 관련 의사결정 체계 등을 정비하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 개선할 것 | https://datalaw.kr/orders/#o-2026-009-057
2026-04-22 | 제2026-007-053호 | 재단법인 금릉공원묘원 | 접근권한·접근통제 | 개인정보처리시스템에 대한 불법적인 접근 가능 경로 및 취약점 등 침해사고 위험 요소를 점검하고 그 결과를 반영할 것 | https://datalaw.kr/orders/#o-2026-007-053
2026-04-22 | 제2026-007-053호 | 재단법인 금릉공원묘원 | 주민등록번호·고유식별정보 | 주민등록번호 처리 제한 등 개인정보 처리 과정 전반에서 보호법 준수를 위한 내부 관리‧감독 체계를 마련하고 이행할 것 | https://datalaw.kr/orders/#o-2026-007-053
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 유출 통지·신고 체계 | 개별 정보주체에게 개인정보 유출 경위, 유출된 개인정보 항목, 정보주체 피해구제 절차 등 개인정보 보호법 제34조제1항에 따른 유출통지를 즉각 실시할 것 | https://datalaw.kr/orders/#o-2026-007-052
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 접근권한·접근통제 | 개인정보보호 강화 및 유출사고 재발 방지를 위해, 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지 등을 위한 안전조치를 강화할 것 | https://datalaw.kr/orders/#o-2026-007-052
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 파기·삭제 | 보관 중인 개인정보에 대한 보유기간 및 처리목적 달성 등에 대한 기준을 명확히 하여 보호법 제21조 제1항에 따라 적시에 파기될 수 있도록 개인정보 파기 지침을 수립 및 운영하고, 정보주체로부터 수집하는 개인정보가 서비스 제공과 관련하여 필요최소한의 개인정보인지 여부 등 개인정보 처리 방식을 점검 및 개선 할 것 | https://datalaw.kr/orders/#o-2026-007-052
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 접속기록 점검·보관 | 개인정보취급자의 개인정보처리시스템에 대한 접속기록 및 개인정보 다운로드 상황을 확인하고, 점검하는 주기ㆍ방법ㆍ사후조치절차 등을 내부 관리계획으로 정하고 이행할 것 | https://datalaw.kr/orders/#o-2026-006-050
2026-04-22 | 제2026-006-050호 | 주식회사 케이에스한국고용정보 | 파기·삭제 | 처리하는 개인정보에 대한 보유기간 및 처리목적 달성 등에 대한 기준을 명확히 하여 보호법 제21조 제1항에 따라 적시에 파기될 수 있도록 개인정보 파기 지침을 수립 및 운영할 것 | https://datalaw.kr/orders/#o-2026-006-050
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | 교육 | 피심인은 유출사고 재발 방지를 위해 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-207-119
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | 안전조치(일반) | 민원업무 처리를 위해 보안이 강화된 업무용 협업툴 사용 등 개인정보 처리업무를 재검토하고 개선하여야 한다. | https://datalaw.kr/orders/#o-2026-207-119
2026-04-08 | 제2026-207-118호 | 세종화재해상자동차손해사정(주) | 교육 | 피심인은 유츌사고 재발 방지를 위해 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-207-118
2026-04-08 | 제2026-207-117호 | ㈜두잉이앤엠 | 교육 | 피심인은 유츌사고 재발 방지를 위해 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-207-117
2026-04-08 | 제2026-207-116호 | 국립장기조직혈액관리원 | 내부관리계획·규정·매뉴얼 | 향후 가명정보 제3자 제공 시 연령을 범주화하여 제공하는 방안을 마련할 것. | https://datalaw.kr/orders/#o-2026-207-116
2026-04-08 | 제2026-207-113호 | 신정고등학교 | 노출 탐지·점검 체계 | 피심인은 유사사례가 재발하지 않도록 홈페이지에 대하여 정기적인 개인정보 노출 탐지 계획을 수립·시행하고, 관련 업무매뉴얼을 작성·배포할 것. | https://datalaw.kr/orders/#o-2026-207-113
2026-04-08 | 제2026-207-112호 | 한국환경산업기술원 | 노출 탐지·점검 체계 | 피심인은 유사사례가 재발하지 않도록 홈페이지에 대하여 정기적인 개인정보 노출 탐지 계획을 수립·시행하고, 관련 업무매뉴얼을 작성·배포할 것. | https://datalaw.kr/orders/#o-2026-207-112
2026-04-08 | 제2026-207-111호 | 양산경찰서 | 노출 탐지·점검 체계 | 피심인은 유사사례가 재발하지 않도록 홈페이지에 대하여 정기적인 개인정보 노출 탐지 계획을 수립·시행하고, 관련 업무매뉴얼을 작성·배포할 것. | https://datalaw.kr/orders/#o-2026-207-111
2026-04-08 | 제2026-207-110호 | 비공개 | 노출 탐지·점검 체계 | 피심인은 유사사례가 재발하지 않도록 홈페이지에 대하여 정기적인 개인정보 노출 탐지 계획을 수립·시행하고, 관련 업무매뉴얼을 작성·배포할 것. | https://datalaw.kr/orders/#o-2026-207-110
2026-04-08 | 제2026-207-109호 | 영동군청 | 교육 | 피심인은 유사사례가 재발하지 않도록 개인정보보호책임자와 취급자 대상 개인정보보호 교육 계획을 수립·시행할 것. | https://datalaw.kr/orders/#o-2026-207-109
2026-04-08 | 제2026-207-109호 | 영동군청 | 동의·고지 절차 정비 | 피심인은 향후 사업계획을 마련하면서 개인정보 수집·동의 시 고지항목을 포함하도록 관련 업무지침을 마련·시행할 것 | https://datalaw.kr/orders/#o-2026-207-109
2026-03-25 | 제2026-206-095호 | 아이디스파워텔(주) | 기타 | 신고인PC에 저장된 피심인의 개인정보 파일을 회수하여야 한다. | https://datalaw.kr/orders/#o-2026-206-095
2026-03-25 | 제2026-206-095호 | 아이디스파워텔(주) | 내부관리계획·규정·매뉴얼 | 재발방지를 위해 개인정보 취급자에 대한 적절한 관리․감독 방안을 마련하여야 한다. | https://datalaw.kr/orders/#o-2026-206-095
2026-03-25 | 제2026-206-094호 | 넷플릭스서비시스코리아(유) | 처리방침·공개 항목 | 개인정보 처리방침에 대해 번역으로 인한 어색한 표현 등을 정보주체가 쉽게 이해할 수 있는 용어와 문장으로 변경하여 가독성을 개선하여야 한다. | https://datalaw.kr/orders/#o-2026-206-094
2026-03-25 | 제2026-206-094호 | 넷플릭스서비시스코리아(유) | 수탁자 관리·감독 | 개인정보 처리방침 내 ’공개‘, ’공유‘, ’제공‘ 등의 용어를 ’이전‘, ’제3자 제공‘, ’처리·위탁‘ 등 국내 개인정보 보호법상 법적 용어로 명확히 표현하여야 한다. | https://datalaw.kr/orders/#o-2026-206-094
2026-03-25 | 제2026-206-094호 | 넷플릭스서비시스코리아(유) | 기타 | 개인정보 보유기간 관련 탈퇴 후 10개월 보관하는 것의 적절성에 대해 검토하여야 한다. | https://datalaw.kr/orders/#o-2026-206-094
2026-03-25 | 제2026-206-093호 | (재)인천문화재단 | 교육 | 피심인은 유츌사고 재발 방지를 위해 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-206-093
2026-03-25 | 제2026-206-092호 | 서울교통공사 | 교육 | 피심인은 개인정보가 사내 메신저를 통해 공유되는 사례가 있는지 전수조사하고 개인정보보호책임자와 취급자 대상 개인정보보호 교육을 강화할 것. | https://datalaw.kr/orders/#o-2026-206-092
2026-03-25 | 제2026-206-092호 | 서울교통공사 | 기타 | 피심인은 유사사례가 재발하지 않도록 공식적인 절차로만 인사발령이 이루어지도록 관련 규정·제도를 정비할 것. | https://datalaw.kr/orders/#o-2026-206-092
2026-03-25 | 제2026-206-091호 | 서울특별시 | 교육 | 피심인은 유사사례가 재발하지 않도록 개인정보보호책임자와 취급자 대상 개인정보보호 교육 계획을 수립·시행할 것. | https://datalaw.kr/orders/#o-2026-206-091
2026-03-25 | 제2026-206-089호 | 성남시의료원 | 교육 | 피심인은 유사사례가 재발하지 않도록 개인정보 처리 전반에 대한 안전조치의무 준수 여부 점검 및 재발방지 대책을 수립하고, 개인정보보호책임자와 취급자 대상 개인정보보호 교육 계획을 수립·시행할 것. | https://datalaw.kr/orders/#o-2026-206-089
2026-03-25 | 제2026-202-034호 | 한강시스템(주) | 내부관리계획·규정·매뉴얼 | 서비스 개발·업데이트 과정에서 개인정보 유출이 발생하지 않도록 서비스의 안전성을 검증하는 절차를 마련하여야 한다. | https://datalaw.kr/orders/#o-2026-202-034
2026-03-25 | 제2026-005-025호 | 강북구청 | 유출 통지·신고 체계 | 피심인은 유출통지 시 생략한 내용에 대하여 유출대상자에게 통지할 것. | https://datalaw.kr/orders/#o-2026-005-025
2026-03-11 | 제2026-004-023호 | 롯데카드 주식회사 | 주민등록번호·고유식별정보 | 회사 전반의 개인정보 처리 현황 및 구조를 면밀히 점검하여 주민등록번호를 포함한 개인정보 처리를 최소화할 것 | https://datalaw.kr/orders/#o-2026-004-023
2026-03-11 | 제2026-004-023호 | 롯데카드 주식회사 | 보호책임자·보호조직 | 보호법 준수 전반에 대한 개인정보 보호책임자의 책임성과 독립성을 강화하는 등 개인정보 보호 거버넌스 체계를 정비할 것 | https://datalaw.kr/orders/#o-2026-004-023
2026-03-11 | 제2026-004-023호 | 롯데카드 주식회사 | 내부관리계획·규정·매뉴얼 | 개인정보 처리와 관련한 내부 검토 및 의사결정을 체계적으로 관리하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 할 것 | https://datalaw.kr/orders/#o-2026-004-023
2026-01-28 | 제2026-202-036호 | 시민종합사회복지관 | 교육 | 피심인은 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-202-036
2026-01-28 | 제2026-202-035호 | 디노랩스 | 교육 | 피심인은 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2026-202-035
2026-01-28 | 제2026-202-035호 | 디노랩스 | 접근권한·접근통제 | 피심인은 DB에 대한 접속 권한을 IP 주소 등으로 제한하는 등 불법적인 접근 및 침해사고 방지를 위한 정책 설정 및 운영하는 등 안전조치 의무를 준수해야 한다. | https://datalaw.kr/orders/#o-2026-202-035
2026-01-28 | 제2026-002-004호 | 엔에이치엔커머스㈜ | 기타 | 피심인은 임대형/무료형 ‘e나무’ 솔루션의 기존 이용사업자 중 웹사이트를 계속 운영하려는 자에게는 대체 솔루션을 제공하고 해당 이용사업자의 웹사이트 이관 작업을 지원할 것 | https://datalaw.kr/orders/#o-2026-002-004
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 악성프로그램·취약점 조치 | 피심인은 요청 범위를 넘는 개인정보가 응답되지 않도록 시스템 설계 단계부터 철저히 수행하고, 포털과 학회페이지에 대한 모의해킹 등 취약점 점검을 실시할 것. | https://datalaw.kr/orders/#o-2026-002-003
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 기타 | 피심인은 웹방화벽에서 탐지된 내역에 대하여 오탐으로 간주하여 저장하는 방식으로 운영하지 않고 실제 오탐인지 여부를 확인한 후 필요 시 조치할 것. | https://datalaw.kr/orders/#o-2026-002-003
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 유출 통지·신고 체계 | 피심인은 유출통지 시 생략한 유출 항목에 대하여 유출대상자에게 통지하고, 생략한 개인정보 중 개인 식별성이 높은 항목(계좌번호, 국가연구자번호 등)에 대하여 정보주체의 피해가 확산되지 않도록 조치 방안을 안내할 것. | https://datalaw.kr/orders/#o-2026-002-003
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 보호책임자·보호조직 | 피심인은 ISMS-P를 받거나 이에 준하는 수준으로 기관의 개인정보보호 관리체계를 점검하고, 기관 내 개인정보 전담인력과 전체 예산 중 개인정보보호 예산 비율을 확대하고 내부관리계획을 내실화하는 등 기관의 개인정보보호 수준을 제고하는 방안을 마련할 것. | https://datalaw.kr/orders/#o-2026-002-003
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 주민등록번호·고유식별정보 | 피심인은 유사 사례 재발 방지를 위하여 에 주민등록번호를 입력하지 않도록 소속 학회 및 회원 전체에 대해 안내·교육을 강화하고, DB 내 주민등록번호 등 개인정보 입력 실태를 정기적으로 점검하고 정비할 것. | https://datalaw.kr/orders/#o-2026-002-003
2025-12-10 | 제2025-223-474호 | 세무법인 동안 | 주민등록번호·고유식별정보 | 주민등록번호를 포함한 개인정보 처리 전반에 대해 개인정보 보호법 제29조(안전조치의무) 준수 여부를 자체적으로 점검하고, 재발방지대책을 수립한다. | https://datalaw.kr/orders/#o-2025-223-474
2025-12-10 | 제2025-223-474호 | 세무법인 동안 | 교육 | 개인정보 보호책임자 및 취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시한다. | https://datalaw.kr/orders/#o-2025-223-474
2025-12-10 | 제2025-223-473호 | ㈜아일로 | 재발방지대책 수립 | 피심인은 개인정보 유출사고 재발 방지를 위해 개인정보 처리 전반에 대해 「개인정보 보호법」 제29조(안전조치의무) 준수 여부를 자체적으로 점검‧재발방지 대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2025-223-473
2025-12-10 | 제2025-223-472호 | 얼굴홈트(주) | 유출 통지·신고 체계 | 개인정보 유출 통지를 포함한 사고 대응 체계를 마련하여야 한다. | https://datalaw.kr/orders/#o-2025-223-472
2025-12-10 | 제2025-223-471호 | 강원특별자치도교육청 | 유출 통지·신고 체계 | 피심인은 ’23.11.30.자 ’23년 일반건강진단 실시 독려 및 행정사항 안내‘ 공문 시행으로 개인정보가 유출된 정보주체 5,207명에게 「개인정보 보호법」제34조제1항에 따라 유출 통지를 할 것 | https://datalaw.kr/orders/#o-2025-223-471
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | 교육 | 피심인은 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2025-222-449
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | 유출 통지·신고 체계 | 피심인은 개인정보 유출 신고를 포함한 사고 대응 체계를 마련하여야 한다. | https://datalaw.kr/orders/#o-2025-222-449
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | 교육 | 피심인은 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2025-222-448
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | 유출 통지·신고 체계 | 피심인은 개인정보 유출 통지를 포함한 사고 대응 체계를 마련하여야 한다. | https://datalaw.kr/orders/#o-2025-222-448
2025-11-26 | 제2025-222-443호 | ㈜씨아이에스 보험자문중개법인 | 유출 통지·신고 체계 | 개인정보 유출과 관련하여 정보주체에게 법 제34조제1항 각 호에서 정하는 사항을 통지하거나, 통지를 갈음하는 조치를 취할 것 | https://datalaw.kr/orders/#o-2025-222-443
2025-11-26 | 제2025-024-302호 | Elevate Hong Kong Holdings Limited | 주민등록번호·고유식별정보 | 개인정보 보호법 제24조의2제1항을 준수하여 법적 근거 없이 Starbucks Corporation의 윤리구매 평가 업무 등을 위해 주민등록번호를 처리하지 말 것 | https://datalaw.kr/orders/#o-2025-024-302
2025-11-26 | 제2025-024-302호 | Elevate Hong Kong Holdings Limited | 기타 | Starbucks Corporation의 윤리구매 평가시, 개인정보 보호법을 준수하는 방안을 Starbucks Corporation 및 주식회사 에스씨케이컴퍼니와 협의할 것 | https://datalaw.kr/orders/#o-2025-024-302
2025-11-26 | 제2025-024-302호 | Elevate Hong Kong Holdings Limited | 기타 | 윤리구매 평가 목적에 필요한 최소한의 개인정보만 수집·이용하고, 익명 또는 가명으로 처리하여도 목적 달성이 가능한 경우에는 익명 또는 가명 처리된 정보를 수집·이용할 것 | https://datalaw.kr/orders/#o-2025-024-302
2025-11-26 | 제2025-024-301호 | Starbucks Corporation | 수탁자 관리·감독 | 개인정보의 처리가 수반되는 윤리구매 평가 업무를 제3자에게 위탁하는 경우, 개인정보 보호법 제26조제1항을 준수하여 법정 항목이 모두 포함된 문서에 의해 계약할 것 | https://datalaw.kr/orders/#o-2025-024-301
2025-11-26 | 제2025-024-301호 | Starbucks Corporation | 주민등록번호·고유식별정보 | 수탁자가 불필요하게 개인정보를 과다 수집‧처리하는 등 개인정보 보호법을 위반하지 않도록 법적 근거 없이 주민등록번호를 처리하거나 불필요하게 개인정보를 처리하는 등 보호법을 위반하지 않도록 개인정보 보호법 제26조제4항에 따라 수탁자 교육 등 관리‧감독할 것 | https://datalaw.kr/orders/#o-2025-024-301
2025-11-26 | 제2025-024-301호 | Starbucks Corporation | 기타 | 한국 정보주체의 개인정보를 처리하는 경우, 처리 목적에 필요한 최소한의 개인정보만을 수집·이용할 것 | https://datalaw.kr/orders/#o-2025-024-301
2025-11-26 | 제2025-024-301호 | Starbucks Corporation | 기타 | 익명 또는 가명으로 처리하여도 수집 목적 달성이 가능한 경우에는 개인정보를 익명 또는 가명 처리 후 수집·이용하는 등 개인정보 보호법을 준수할 수 있도록 스타벅스코리아와 적극 협력할 것 | https://datalaw.kr/orders/#o-2025-024-301
2025-11-20 | 제2025-221-440호 | ㈜테난 | 교육 | 피심인은 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2025-221-440
2025-11-20 | 제2025-221-437호 | 정진테크 | 재발방지대책 수립 | 피심인은 개인정보 유출사고를 예방할 수 있도록 내부 개인정보 보호 체계를 정비하는 등 재발방지대책을 수립·시행하여야 한다. | https://datalaw.kr/orders/#o-2025-221-437
2025-11-20 | 제2025-221-430호 | 한국토지주택공사 | 내부관리계획·규정·매뉴얼 | 피심인은 홈페이지 공고글 작성 방법 및 절차에 관한 매뉴얼을 수립· 시행할 것 | https://datalaw.kr/orders/#o-2025-221-430
2025-11-20 | 제2025-221-429호 | 신남초등학교 | 처리방침·공개 항목 | 피심인은 학급편성 결과 공개 방법 및 절차에 관한 매뉴얼을 수립· 시행할 것 | https://datalaw.kr/orders/#o-2025-221-429
2025-11-20 | 제2025-221-428호 | 광주도시관리공사 | 수탁자 관리·감독 | 피심인은 개인정보 처리업무 위탁 시 수탁업체에 대한 관리·감독 및 교육대책을 수립·시행할 것 | https://datalaw.kr/orders/#o-2025-221-428
2025-11-20 | 제2025-221-427호 | 한국외국어대학교 | 내부관리계획·규정·매뉴얼 | 피심인은 홈페이지 게시물 작성 절차에 관한 매뉴얼을 작성할 것 | https://datalaw.kr/orders/#o-2025-221-427
2025-11-20 | 제2025-221-427호 | 한국외국어대학교 | 노출 탐지·점검 체계 | 피심인은 대학이 운영하는 홈페이지에 대하여 정기적으로 개인정보 유·노출 탐지 및 삭제 조치를 위한 솔루션을 도입·운영할 것 | https://datalaw.kr/orders/#o-2025-221-427
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 접근권한·접근통제 | 피심인은 민감한 개인정보를 대규모 보유하고 있는 법률서비스 제공자로서, 개인정보보호 강화 및 유출사고 재발 방지를 위해, 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지 등을 위한 안전조치를 강화할 것 | https://datalaw.kr/orders/#o-2025-023-296
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 암호화 | 피심인은 이용자의 고유식별번호, 계좌번호, 신용카드번호가 포함된 자료를 암호화하여 저장하고, 개인정보취급자의 비밀번호 등을 일방향 암호화하여 저장하는 등 개인정보를 안전하게 관리할 수 있도록 관리체계를 강화할 것 | https://datalaw.kr/orders/#o-2025-023-296
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 암호화 | 피심인은 보관 중인 개인정보에 대한 보유기간 및 처리목적 달성 등에 대한 기준을 명확히 하여 보호법 제21조 제1항에 따라 적시에 파기될 수 있도록 개인정보 파기 지침을 수립 및 운영할 것 (예시: 판결이 확정되어 종결된 사건 관련 자료의 경우 오프라인 DB에 저장하거나, 암호화 후 필요시 복원하는 방식 등 안전한 관리 방안 마련) | https://datalaw.kr/orders/#o-2025-023-296
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 암호화 | 피심인은 개인정보 유출 통지를 포함한 전반적인 사고 대응체계를 정립하고, 안전조치 의무, 암호화, 파기 및 유출사고 대응체계를 포함한 내부관리계획을 재정비하여 재발 방지 대책을 마련·시행할 것 | https://datalaw.kr/orders/#o-2025-023-296
2025-11-20 | 제2025-023-292호 | 해양경찰청 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-292
2025-11-20 | 제2025-023-291호 | 한국특허정보원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-291
2025-11-20 | 제2025-023-290호 | 한국토지주택공사 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-290
2025-11-20 | 제2025-023-289호 | 한국지역정보개발원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-289
2025-11-20 | 제2025-023-288호 | 한국전력공사 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-288
2025-11-20 | 제2025-023-287호 | 한국재정정보원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-287
2025-11-20 | 제2025-023-286호 | 한국장애인고용공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-286
2025-11-20 | 제2025-023-285호 | 한국자활복지개발원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-285
2025-11-20 | 제2025-023-284호 | 한국에너지공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-284
2025-11-20 | 제2025-023-283호 | 한국산업안전보건공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-283
2025-11-20 | 제2025-023-282호 | 한국사회복지협의회 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-282
2025-11-20 | 제2025-023-281호 | 한국노인인력개발원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-281
2025-11-20 | 제2025-023-280호 | 한국교통안전공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-280
2025-11-20 | 제2025-023-279호 | 한국관세정보원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-279
2025-11-20 | 제2025-023-278호 | 한국과학기술기획평가원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-278
2025-11-20 | 제2025-023-277호 | 한국건강증진개발원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-277
2025-11-20 | 제2025-023-276호 | 질병관리청 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-276
2025-11-20 | 제2025-023-275호 | 인천공항출입국‧외국인청 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-275
2025-11-20 | 제2025-023-274호 | 소방청 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-274
2025-11-20 | 제2025-023-273호 | 병무청 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-273
2025-11-20 | 제2025-023-272호 | 법무부 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-272
2025-11-20 | 제2025-023-271호 | 농림축산검역본부 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-271
2025-11-20 | 제2025-023-270호 | 근로복지공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-270
2025-11-20 | 제2025-023-269호 | 국토교통부 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-269
2025-11-20 | 제2025-023-268호 | 국방부 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-268
2025-11-20 | 제2025-023-267호 | 국민연금공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-267
2025-11-20 | 제2025-023-266호 | 국민권익위원회 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-266
2025-11-20 | 제2025-023-265호 | 국민건강보험공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-265
2025-11-20 | 제2025-023-264호 | 국립장기조직혈액관리원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-264
2025-11-20 | 제2025-023-263호 | 국군재정관리단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-263
2025-11-20 | 제2025-023-262호 | 국가생명윤리정책원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-262
2025-11-20 | 제2025-023-261호 | 국가보훈부 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-261
2025-11-20 | 제2025-023-260호 | 공무원연금공단 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-260
2025-11-20 | 제2025-023-259호 | 경찰청 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-259
2025-11-20 | 제2025-023-258호 | 대검찰청 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것 | https://datalaw.kr/orders/#o-2025-023-258
2025-11-20 | 제2025-023-257호 | 건강보험심사평가원 | 공공시스템 10대 과제 점검 | 피심인은 운영중인 공공시스템(집중관리시스템)에 대해 보호법 시행령 제30조의2에 따른 10대 과제 점검 결과, 이행이 미흡한 사항에 대해 시정할 것. | https://datalaw.kr/orders/#o-2025-023-257
2025-10-22 | 제2025-219-398호 | ㈜볼랩 | 교육 | 피심인은 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2025-219-398
2025-10-22 | 제2025-219-398호 | ㈜볼랩 | 접근권한·접근통제 | 피심인은 관리자 페이지에 대하여 외부에 노출되지 않도록 운영하거나 권한이 없는 사용자가 접근 불가능하도록 설정하는 등 안전조치 의무를 준수해야 한다. | https://datalaw.kr/orders/#o-2025-219-398
2025-10-22 | 제2025-022-256호 | 비공개 | 보호책임자·보호조직 | 피심인은 전문 CPO 신규 지정 및 책임 명확화, 피해 정보주체에 대한 회복 지원 등을 포함한 구체적인 재발방지 계획을 수립·시행하여야 한다. | https://datalaw.kr/orders/#o-2025-022-256
2025-09-24 | 제2025-218-381호 | 비공개 | 안전조치(일반) | 피심인은 카페 회원가입 시 닉네임에 동-호수를 함께 표기하도록 한 것은 개인정보 보호 원칙 위반의 소지가 있으므로 닉네임 정책을 개선한다. | https://datalaw.kr/orders/#o-2025-218-381
2025-09-24 | 제2025-218-380호 | 한국정보보호산업협회 | 교육 | 피심인은 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2025-218-380
2025-09-24 | 제2025-218-372호 | 김해중부경찰서 | 내부관리계획·규정·매뉴얼 | 피심인은 형사사법정보시스템 화면 촬영 제한에 관한 내용을 내부관리계획에 명시하고, 잠정조치의 집행 실태를 포함하여 개인정보 보호 실태를 점검하고 미흡한 사항을 개선할 것 | https://datalaw.kr/orders/#o-2025-218-372
2025-09-24 | 제2025-218-372호 | 김해중부경찰서 | 교육 | 피심인은 수사관 대상 개인정보 보호 교육을 정기적으로 실시할 것 | https://datalaw.kr/orders/#o-2025-218-372
2025-09-10 | 제2025-217-350호 | 신용보증재단중앙회 | 교육 | 피심인은 개인정보 보호에 관한 내부 규정을 정비하고 임직원 대상 개인정보 보호 교육을 정기적으로 실시할 것 | https://datalaw.kr/orders/#o-2025-217-350
2025-09-10 | 제2025-217-349호 | 구미교육지원청 | 내부관리계획·규정·매뉴얼 | 피심인은 포상금 지급 관련 업무지침을 마련·시행할 것 | https://datalaw.kr/orders/#o-2025-217-349
2025-09-10 | 제2025-217-349호 | 구미교육지원청 | 교육 | 피심인은 소속 직원을 대상으로 정기적인 개인정보보호 교육을 실시할 것 | https://datalaw.kr/orders/#o-2025-217-349
2025-09-10 | 제2025-217-348호 | 마포구 | 교육 | 피심인은 「마포구 개인정보보호 내부관리계획」의 이행 현황을 주기적으로 점검하고, 개인정보취급자에 대한 개인정보 보호 교육을 정기적으로 실시할 것 | https://datalaw.kr/orders/#o-2025-217-348
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 접근권한·접근통제 | 개인정보 처리 현황을 면밀히 파악하여 이동통신망 내 개인정보처리시스템에 대한 불법적인 접근 가능 경로 및 취약점 등 침해사고 위험 요소를 사전에 분석‧차단하는 등 안전조치를 강화할 것 | https://datalaw.kr/orders/#o-2025-018-243
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 보호책임자·보호조직 | 회사 전반의 개인정보 처리 업무를 총괄하도록, 안전조치를 포함한 개인정보 보호법 준수에 대한 개인정보 보호책임자의 책임과 역할을 명확히 정립하고 개인정보 보호에 필요한 조치가 충실히 이행될 수 있도록 거버넌스 체계를 구축 및 정비할 것 | https://datalaw.kr/orders/#o-2025-018-243
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 수탁자 관리·감독 | 개인정보 처리 전 과정에서 안전조치가 준수될 수 있도록 수탁자(협력사, 대리점·판매점 등)에 대한 강화된 관리·감독 체계를 마련하고 이행할 것 | https://datalaw.kr/orders/#o-2025-018-243
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 기타 | 개인정보 유출 및 피심인의 미흡한 대응 등으로 정보주체 및 사회 전반, 국가적으로 피해가 발생한바, 사회경제적 손실을 회복하고 이동통신 서비스의 신뢰를 회복할 수 있도록 개인정보 보호 강화를 위한 노력을 다할 것 | https://datalaw.kr/orders/#o-2025-018-243
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 안전조치(일반) | 피심인은 개인정보 보호 관리체계(ISMS-P) 인증 범위를 이동통신 인프라 영역으로 확대하여, 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고할 것 | https://datalaw.kr/orders/#o-2025-018-243
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 내부관리계획·규정·매뉴얼 | 피심인은 이동통신 인프라 영역 전반에 대해서도 실질적으로 적용될 수 있는 내부 관리계획을 수립·시행 및 점검할 것 | https://datalaw.kr/orders/#o-2025-018-243
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 접근권한·접근통제 | 피심인은 가상 데스크톱 인프라( ) 운영과 관련하여, 개인정보취급자의 접근권한 및 접속기록 등 관리 실태를 점검 및 개선할 것 | https://datalaw.kr/orders/#o-2025-018-243
2025-07-23 | 제2025-016-241호 | ㈜당근마켓 | 동의·고지 절차 정비 | 계약 체결·이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것 | https://datalaw.kr/orders/#o-2025-016-241
2025-07-23 | 제2025-016-241호 | ㈜당근마켓 | 수탁자 관리·감독 | 피심인이 이용자의 개인정보를 제3자에게 처리 위탁할 경우 보호법 제26조 제1항에 규정된 사항을 포함한 문서체계를 갖출 것 | https://datalaw.kr/orders/#o-2025-016-241
2025-07-23 | 제2025-016-241호 | ㈜당근마켓 | 접근권한·접근통제 | DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존·관리의무를 지속 이행할 것 | https://datalaw.kr/orders/#o-2025-016-241
2025-07-23 | 제2025-016-241호 | ㈜당근마켓 | 동의·고지 절차 정비 | 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에 포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것 | https://datalaw.kr/orders/#o-2025-016-241
2025-07-23 | 제2025-016-240호 | ㈜우아한형제들 | 동의·고지 절차 정비 | 계약 체결·이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것 | https://datalaw.kr/orders/#o-2025-016-240
2025-07-23 | 제2025-016-240호 | ㈜우아한형제들 | 동의·고지 절차 정비 | 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에 포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것 | https://datalaw.kr/orders/#o-2025-016-240
2025-07-23 | 제2025-016-239호 | 쿠팡㈜ | 동의·고지 절차 정비 | 계약 체결·이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것 | https://datalaw.kr/orders/#o-2025-016-239
2025-07-23 | 제2025-016-239호 | 쿠팡㈜ | 기타 | API 생성·배포·연동 과정에 대한 개인정보 보호 부서의 관리 절차를 체계 화할 것 | https://datalaw.kr/orders/#o-2025-016-239
2025-07-23 | 제2025-016-239호 | 쿠팡㈜ | 동의·고지 절차 정비 | 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에 포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것 | https://datalaw.kr/orders/#o-2025-016-239
2025-07-23 | 제2025-016-238호 | 네이버㈜ | 동의·고지 절차 정비 | 계약 체결·이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것 | https://datalaw.kr/orders/#o-2025-016-238
2025-07-23 | 제2025-016-238호 | 네이버㈜ | 기타 | API 생성·배포·연동 과정에 대한 개인정보 보호 부서의 관리 절차를 체계 화할 것 | https://datalaw.kr/orders/#o-2025-016-238
2025-07-23 | 제2025-016-238호 | 네이버㈜ | 동의·고지 절차 정비 | 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에 포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것 | https://datalaw.kr/orders/#o-2025-016-238
2025-07-23 | 제2025-016-237호 | ㈜카카오 | 동의·고지 절차 정비 | 계약 체결·이행 등을 위해 동의 없이 처리할 수 있는 개인정보에 대해 필수 동의 대체방안(정보주체에게 고지 등)을 마련할 것 | https://datalaw.kr/orders/#o-2025-016-237
2025-07-23 | 제2025-016-237호 | ㈜카카오 | 접근권한·접근통제 | DW 접근권한 부여 시 개인정보 보호부서에 의한 내부통제를 체계화하고, DW에 대한 개인정보취급자 접속기록 보존·관리의무를 지속 이행할 것 | https://datalaw.kr/orders/#o-2025-016-237
2025-07-23 | 제2025-016-237호 | ㈜카카오 | 동의·고지 절차 정비 | 개별 탈퇴 가능ㆍ불가능한 서비스를 이용약관ㆍ 관련기능ㆍ안내문 등에 포함하여 알리고, 처리정지 요구권 행사에 필요한 기능을 마련하거나 방법을 이용자에게 안내할 것 | https://datalaw.kr/orders/#o-2025-016-237
2025-07-23 | 제2025-016-234호 | 주식회사 잡보스 | 주민등록번호·고유식별정보 | 개인정보를 처리하고자 하는 경우, 정보주체의 동의를 받는 등 개인정보 보호법을 준수하고 법적 근거 없이 주민등록번호를 처리하지 말 것 | https://datalaw.kr/orders/#o-2025-016-234
2025-07-23 | 제2025-016-234호 | 주식회사 잡보스 | 교육 | 대표자를 비롯한 개인정보처리자 및 취급자 등을 대상으로 개인정보 보호에 대한 인식 제고를 위해 정기적인 개인정보 보호교육을 실시할 것 | https://datalaw.kr/orders/#o-2025-016-234
2025-07-23 | 제2025-016-233호 | Qookka Entertainment Limited | 주민등록번호·고유식별정보 | 향후 이벤트 진행 등 업무 수행 시 법적 근거 없이 한국 정보주체의 주민등록번호가 처리되지 않도록 조치할 것 | https://datalaw.kr/orders/#o-2025-016-233
2025-07-09 | 제2025-015-228호 | ㈜자비스앤빌런즈 | 주민등록번호·고유식별정보 | 서비스 이용시, 주민등록번호 직접 입력 최소화하는 방안 마련을 검토할 것 | https://datalaw.kr/orders/#o-2025-015-228
2025-07-09 | 제2025-015-227호 | 지엔터프라이즈㈜ | 주민등록번호·고유식별정보 | 서비스 이용시, 주민등록번호 직접 입력 최소화하는 방안 마련을 검토할 것 | https://datalaw.kr/orders/#o-2025-015-227
2025-07-09 | 제2025-015-227호 | 지엔터프라이즈㈜ | 처리방침·공개 항목 | 개인정보 처리방침 작성지침에 따라 개인정보 처리 및 보유기간에서 구체적인 법률 조항을 기재할 것 | https://datalaw.kr/orders/#o-2025-015-227
2025-07-09 | 제2025-015-226호 | 토스인컴㈜ | 주민등록번호·고유식별정보 | 서비스 이용시, 주민등록번호 직접 입력 최소화하는 방안 마련을 검토할 것 | https://datalaw.kr/orders/#o-2025-015-226
2025-07-09 | 제2025-015-226호 | 토스인컴㈜ | 처리방침·공개 항목 | 개인정보 처리방침 작성지침에 따라 개인정보 처리 및 보유기간에서 구체적인 법률 조항을 기재할 것 | https://datalaw.kr/orders/#o-2025-015-226
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 동의·고지 절차 정비 | 피심인은 더치트 회원가입 및 피해사례 등록 시 정보주체가 각각의 동의사항을 구분하여 이를 명확하게 인지할 수 있도록 알리고 동의를 받을 것 | https://datalaw.kr/orders/#o-2025-015-225
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 동의·고지 절차 정비 | 피심인은 자사의 개인정보처리방침을 개인정보 보호법 제30조에 따른 법정 고지 항목을 포함하도록 개선하여 공개할 것 | https://datalaw.kr/orders/#o-2025-015-225
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 목적 외 이용·제공 제한 | 사기 의심자 관련 개인정보를 사기 피해 방지 목적의 범위 내에서 제한적으로 이용하고, 해당 목적 범위 외로 광범위하게 이용·제공하지 않을 것 | https://datalaw.kr/orders/#o-2025-015-225
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 파기·삭제 | 피심인은 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하고, 법령에 규정된 보존기간을 준수하거나, 필요 최소한의 보유기간을 설정하도록 파기 절차 개선방안을 마련할 것 | https://datalaw.kr/orders/#o-2025-015-225
2025-07-09 | 제2025-015-225호 | 더치트㈜ | 내부관리계획·규정·매뉴얼 | 피해 사례 공개기간을 필요 최소한으로 정할 수 있도록 정기적으로 검토하고, 정보주체가 개인정보 삭제를 요청하는 사례 관련 소명이 완료된 경우 등에는 개인정보를 삭제하는 등 필요한 조치 절차를 마련할 것 | https://datalaw.kr/orders/#o-2025-015-225
2025-06-25 | 제2025-212-279호 | 국방부 | 악성프로그램·취약점 조치 | 피심인은 민간 웹호스팅 또는 클라우드서비스를 이용하고 있는 소관 개인정보처리시스템 전체에 대해 웹방화벽(WAF), 침입탐지시스템(IDS) 및 침입 차단시스템(IPS) 등 보안 프로그램 옵션을 선택·적용하고 있는지 점검하고 미흡사항을 개선할 것 | https://datalaw.kr/orders/#o-2025-212-279
2025-06-25 | 제2025-212-279호 | 국방부 | 수탁자 관리·감독 | 피심인은 상기 시스템에 대해 문서에 의한 위탁, 위탁사실 점검 및 수탁자에 대한 교육 이나 관리·감독 등 보호법 제26조의 내용을 이행하고 있는지 점검하고, 미흡사항을 개선할 것. | https://datalaw.kr/orders/#o-2025-212-279
2025-06-25 | 제2025-212-278호 | 서울중앙지방법원 | 교육 | 피심인은 소속 직원을 대상으로 개인정보보호 교육을 실시할 것 | https://datalaw.kr/orders/#o-2025-212-278
2025-06-25 | 제2025-212-277호 | 경기도화성오산교육지원청 | 교육 | 피심인은 소속 직원을 대상으로 개인정보보호 교육을 실시할 것 | https://datalaw.kr/orders/#o-2025-212-277
2025-06-11 | 제2025-013-043호 | 비공개 | 재발방지대책 수립 | 향후 개인정보 유출 사고를 예방할 수 있도록 내부 개인정보 보호 체계를 정비하는 등 재발방지대책을 수립·시행하여야 한다. | https://datalaw.kr/orders/#o-2025-013-043
2025-06-11 | 제2025-013-041호 | 이화여자대학교 | 접근권한·접근통제 | 피심인은 학사행정정보시스템에 대한 불법적인 접근 및 유출사고 방지를 위하여 모의해킹 등 소스코드 취약점 점검을 강화하고, 비인가 접근이나 유출시도 발생 시 즉각적으로 탐지‧대응하는 상시 모니터링 시스템을 구축‧운영할 것 | https://datalaw.kr/orders/#o-2025-013-041
2025-06-11 | 제2025-013-041호 | 이화여자대학교 | 주민등록번호·고유식별정보 | 피심인은 주민등록번호 관리 강화 방안을 마련하고 소속 개인정보취급자에 대한 개인정보 보호 교육을 정기적으로 실시할 것 | https://datalaw.kr/orders/#o-2025-013-041
2025-06-11 | 제2025-013-040호 | 전북대학교 | 접근권한·접근통제 | 피심인은 학사행정정보시스템에 대한 불법적인 접근 및 유출사고 방지를 위하여 모의해킹 등 소스코드 취약점 점검을 강화하고, 비인가 접근이나 유출시도 발생 시 즉각적으로 탐지‧대응하는 상시 모니터링 시스템을 구축‧ 운영할 것 | https://datalaw.kr/orders/#o-2025-013-040
2025-06-11 | 제2025-013-040호 | 전북대학교 | 주민등록번호·고유식별정보 | 피심인은 주민등록번호 관리 강화 방안을 마련하고 소속 개인정보취급자에 대한 개인정보 보호 교육을 정기적으로 실시할 것 | https://datalaw.kr/orders/#o-2025-013-040
2025-05-14 | 제2025-209-220호 | 노원구 | 유출 통지·신고 체계 | 피심인은 2023. 8. 2.자 ‘ ’ 결재문서의 원문 공개로 개인정보가 유출된 정보주체 21명에게 「개인정보 보호법」제34조제1항에 따라 유출 통지를 할 것 | https://datalaw.kr/orders/#o-2025-209-220
2025-05-14 | 제2025-011-035호 | Elementary Innovation Pte. Ltd | 주민등록번호·고유식별정보 | 테무 서비스 제공 과정에서 법적 근거 없이 한국 정보주체의 주민등록번호가 처리되지 않도록 조치할 것 | https://datalaw.kr/orders/#o-2025-011-035
2025-05-14 | 제2025-011-035호 | Elementary Innovation Pte. Ltd | 기타 | 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변경 시 신속하게 현행화할 것 | https://datalaw.kr/orders/#o-2025-011-035
2025-05-14 | 제2025-011-033호 | 비공개 | 처리방침·공개 항목 | 개인정보 수집･제공 등 개인정보 처리 전 과정을 점검하고, 개인정보의 처리목적, 처리하는 개인정보 항목, 제3자 제공에 관한 사항 등을 개인정보 처리방침에 공개할 것 | https://datalaw.kr/orders/#o-2025-011-033
2025-05-14 | 제2025-011-033호 | 비공개 | 안전조치(일반) | DB관리시스템에 접속한 기록을 생성･보관하는 등 개인정보가 유출되지 않도록 제반 안전조치의무를 준수할 것 | https://datalaw.kr/orders/#o-2025-011-033
2025-05-14 | 제2025-011-032호 | 비공개 | 접근권한·접근통제 | 피심인은 보호법 제29조(안전조치의무)에 따라 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 개인정보에 대한 불법적인 접근을 통제하기 위한 조치를 하여야 한다. | https://datalaw.kr/orders/#o-2025-011-032
2025-05-14 | 제2025-011-032호 | 비공개 | 처리방침·공개 항목 | 피심인은 보호법 제30조(개인정보처리방침 수립‧공개)제2항에 따라 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 개인정보처리자의 인터넷 홈페이지에 지속적으로 게재하여야 한다. | https://datalaw.kr/orders/#o-2025-011-032
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 동의·고지 절차 정비 | AI 디지털 교과서 통합포털의 개인정보 수집·이용·제공 시 처리되는 개인정보 항목, 목적, 보유기간 등을 동의서 또는 개인정보처리방침 등에 명확히 고지할 것 | https://datalaw.kr/orders/#o-2025-011-028
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 기타 | 국가수준학습데이터셋 76종 개인정보의 항목별 처리 목적을 명확하게 정립하고, 처리하기로 결정한 개인정보에 대해서는 개인정보보호법에 따라 정확성· 완전성·최신성을 보장할 것 | https://datalaw.kr/orders/#o-2025-011-028
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 내부관리계획·규정·매뉴얼 | AI 디지털교과서 통합포털 시스템에 대해 ISMS-P 인증을 취득하여 개인정보의 안전성 확보조치 수준을 제고하되, 과목별 웹사이트가 연동되어 있는 점을 고려하여 개발사와 공동으로 신청·취득·유지 할 수 있는 방안을 마련할 것 | https://datalaw.kr/orders/#o-2025-011-028
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 공공시스템 10대 과제 점검 | AI 디지털교과서 통합포털 시스템 대상 개인정보영향평가를 재 실시 하고 개인정보보호법상 공공시스템(집중관리시스템)에 준하는 안전성 확보조치 의무를 준수할 것 | https://datalaw.kr/orders/#o-2025-011-028
2025-05-14 | 제2025-011-028호 | 한국교육학술정보원 | 기타 | 정보주체 권리행사(민원요청 등) 시 대응 체계(예: 통합CS)를 정비하고, 학습 이력 기록정보의 정확성·완전성·최신성 확보 방안을 개발사와 공동으로 마련할 것 | https://datalaw.kr/orders/#o-2025-011-028
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 수탁자 관리·감독 | 피심인은 국내‧외 개인정보 처리위탁‧보관 현황을 개인정보 처리방침에 투명하게 공개할 것 | https://datalaw.kr/orders/#o-2024-013-193
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 수탁자 관리·감독 | 개인정보 처리 수탁자를 대상으로 정기적 교육 및 현황 점검‧개선 등 관리‧감독을 실시할 것 | https://datalaw.kr/orders/#o-2024-013-193
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 처리방침·공개 항목 | 피심인은 정보주체가 회원탈퇴를 포함하여 권리행사를 쉽게 할 수 있도록 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개할 것 | https://datalaw.kr/orders/#o-2024-013-193
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 기타 | 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변경 시 신속하게 현행화할 것 | https://datalaw.kr/orders/#o-2024-013-193
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 내부관리계획·규정·매뉴얼 | 개정 보호법(시행 ’25.10.2.)에 따라 피심인의 한국 법인을 국내대리인으로 지정하고 개인정보 보호를 위한 실질적 운영 노력을 기울일 것. 특히 개인정보 처리와 관련한 불만의 처리 및 피해 구제를 위한 구체적인 방안을 마련하고 시행할 것 | https://datalaw.kr/orders/#o-2024-013-193
2025-05-14 | 제2024-013-193호 | Whaleco Technology Limited | 기타 | 보호법상 원칙에 따라 수집하는 개인정보를 최소화할 것 | https://datalaw.kr/orders/#o-2024-013-193
2025-05-02 | 제2025-010-027호 | SK텔레콤(주) | 유출 통지·신고 체계 | 유출이 확인된 이용자는 물론 유출 가능성이 있는 모든 이용자(SKT 망 사용 알뜰폰 이용자 포함)에 대하여 법정 사항*을 갖추어 신속히 유출 통지**할 것 * 1. 유출등이 된 개인정보 항목, 2. 유출등이 된 시점과 그 경위, 3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, | https://datalaw.kr/orders/#o-2025-010-027
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 파기·삭제 | 개인정보의 국외 이전 시 적법 근거를 마련하고, 불필요하게 이전된 개인 정보는 파기할 것 | https://datalaw.kr/orders/#o-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 처리방침·공개 항목 | 보호법에 따른 항목을 포함한 한국어 처리방침을 공개하고 서비스의 투명성을 지속적으로 확보할 것 | https://datalaw.kr/orders/#o-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 주민등록번호·고유식별정보 | 한국인터넷진흥원이 제공하는 주민등록번호 등 개인정보 포함 URL을 학습데이터에서 제외하는 등 강화된 개인정보 보호조치 방안을 마련할 것 | https://datalaw.kr/orders/#o-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 파기·삭제 | 아동 개인정보 수집 여부를 확인하여 파기 등 적절한 조치를 취할 것 | https://datalaw.kr/orders/#o-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 악성프로그램·취약점 조치 | 개인정보처리시스템 전반을 점검하고 취약점을 조치하는 등 안전조치를 강화할 것 | https://datalaw.kr/orders/#o-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 기타 | 시정 및 개선권고의 이행, 기타 보호법 준수 및 한국 정보주체의 권리 보호 등을 위해 국내대리인을 지정할 것 | https://datalaw.kr/orders/#o-2025-009-026
2025-04-09 | 제2025-207-169호 | 가연결혼정보(주) | 동의·고지 절차 정비 | 피심인이 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2025-207-169
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 악성프로그램·취약점 조치 | 피심인은 처리 중인 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보 안전성 확보를 위하여 전문기관을 통한 보안 취약점 점검·조치를 이행하고, 「개인정보 보호법」 제29조 및 개인정보 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호)을 준수하여 개인정보 보호 강화 계획을 수립·시행하여야 한다. | https://datalaw.kr/orders/#o-2025-008-024
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 교육 | 피심인은 개인정보처리시스템 접속정보 외부 노출 방지 등 보안 관리를 철저히 할 수 있도록 개인정보 보호책임자 및 개인정보취급자 대상 정기적인 교육을 실시하여야 한다. | https://datalaw.kr/orders/#o-2025-008-024
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 교육 | 피심인은 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템을 면밀히 검토하고 개인정보취급자에게 필요한 교육 등 관리·감독을 철저히 할 것 | https://datalaw.kr/orders/#o-2025-007-021
2025-03-26 | 제2025-007-021호 | 주식회사 우리카드 | 접근권한·접근통제 | 개인정보처리시스템에 대한 접근권한을 최소화하고, 접속기록을 상시적·주기적으로 점검하며, 업무에 불필요한 개인정보가 화면에 출력·표시되지 않도록 안전조치를 강화할 것 | https://datalaw.kr/orders/#o-2025-007-021
2025-03-12 | 제2025-205-114호 | ㈜위너스매니지먼트 | 동의·고지 절차 정비 | 피심인은 개인정보 수집‧이용 시 개인정보의 보유 및 이용 기간 등을 알리고 동의받아야 한다. | https://datalaw.kr/orders/#o-2025-205-114
2025-03-12 | 제2025-205-114호 | ㈜위너스매니지먼트 | 동의·고지 절차 정비 | 피심인은 인터넷카페 가입을 위한 개인정보 수집‧이용 동의와 서비스 홍보에 대한 동의 사항을 구분하고 별도 동의받아야 한다. | https://datalaw.kr/orders/#o-2025-205-114
2025-03-12 | 제2025-205-113호 | 케이알투자증권주식회사 | 재발방지대책 수립 | 개인정보처리 전반에 대해 「개인정보 보호법」 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2025-205-113
2025-03-12 | 제2025-205-113호 | 케이알투자증권주식회사 | 교육 | 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2025-205-113
2025-03-12 | 제2025-205-112호 | 안성시육상연맹 | 재발방지대책 수립 | 개인정보처리 전반에 대해 「개인정보 보호법」 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2025-205-112
2025-03-12 | 제2025-205-112호 | 안성시육상연맹 | 교육 | 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2025-205-112
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 유출 통지·신고 체계 | 피심인은 신속한 개인정보 유출 통지가 이루어질 수 있도록 개인정보 유출 사고 대응 정책 강화 등 내부 개인정보 보호 체계를 개선할 것 | https://datalaw.kr/orders/#o-2025-006-018
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 파기·삭제 | 피심인은 개인정보 보호법 제21조제1항에 따라, 보유기간이 경과된 회원· 비회원 개인정보가 적시에 파기될 수 있도록 개인정보 파기 정책을 정비할 것 | https://datalaw.kr/orders/#o-2025-006-018
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 접근권한·접근통제 | 피심인은 「개인정보 보호법」제29조(안전조치 의무), 같은 법 시행령 제 30조(개인정보의 안전성 확보조치), 「개인정보의 안전성확보조치 기준」 (개인정보보호위원회 고시 2023-6호) 제6조(접근통제)를 준수하여야 한다. | https://datalaw.kr/orders/#o-2025-004-014
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 재발방지대책 수립 | 향후 유사 사고가 발생하지 않도록 재발방지 대책을 수립·이행하여야 한다. | https://datalaw.kr/orders/#o-2025-004-014
2025-01-22 | 제2025-001-004호 | Alipay Singapore E-Commerce Private Limited | 파기·삭제 | 피심인은 ㈜카카오페이 이용자의 동의 없이 ㈜카카오페이로부터 제공받은 이용자의 개인정보로 구축·이용된 바, 「개인정보의 안전성 확보조치 기준 (제2023-6호, 2023.9.22. 시행)」 제13조(개인정보의 파기)에 따라 파기하여야 한다. | https://datalaw.kr/orders/#o-2025-001-004
2025-01-22 | 제2025-001-003호 | Apple Distribution International Limited | 수탁자 관리·감독 | 피심인은 정보주체의 개인정보 처리 업무를 위탁하는 경우, 「개인정보 보호법」 제26조제2항에 따라 위탁 사실을 정보주체가 인지할 수 있도록 공개하여야 한다. | https://datalaw.kr/orders/#o-2025-001-003
2025-01-22 | 제2025-001-003호 | Apple Distribution International Limited | 국외이전 | 피심인은 정보주체의 개인정보 처리를 국외 수탁자에게 위탁할 경우, 「개인정보 보호법」 제28조의8제1항에 따른 국외 이전 사실을 정보주체가 인지 할 수 있도록 알려야 한다. | https://datalaw.kr/orders/#o-2025-001-003
2025-01-22 | 제2025-001-002호 | ㈜카카오페이 | 국외이전 | 피심인은 정보주체의 개인정보를 국외로 이전할 경우, 「개인정보 보호법」 제28조의8제1항을 준수하는 방안을 개인정보보호위원회와 협의하여 마련하고 이를 이행하여야 한다. | https://datalaw.kr/orders/#o-2025-001-002
2025-01-22 | 제2025-001-002호 | ㈜카카오페이 | 재발방지대책 수립 | 피심인은 향후 유사 사고가 발생하지 않도록 재발방지 대책을 수립·이행하여야 한다. | https://datalaw.kr/orders/#o-2025-001-002
2025-01-08 | 제2025-201-25호 | 서산경찰서 | 내부관리계획·규정·매뉴얼 | 경찰청과 협의하여 경찰관 간 유선으로 수사 협조하는 경우에 대한 확인 절차를 내부관리계획에 마련한다. | https://datalaw.kr/orders/#o-2025-201-25
2025-01-08 | 제2025-201-25호 | 서산경찰서 | 교육 | 개인정보책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시한다. | https://datalaw.kr/orders/#o-2025-201-25
2025-01-08 | 제2025-201-24호 | 청주흥덕경찰서 | 내부관리계획·규정·매뉴얼 | 경찰청과 협의하여 경찰관 간 유선으로 수사 협조하는 경우에 대한 확인 절차를 내부관리계획에 마련한다. | https://datalaw.kr/orders/#o-2025-201-24
2025-01-08 | 제2025-201-24호 | 청주흥덕경찰서 | 교육 | 개인정보책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시한다. | https://datalaw.kr/orders/#o-2025-201-24
2025-01-08 | 제2025-201-22호 | 인천관광공사 | 처리방침·공개 항목 | 피심인은 퇴직자의 개인정보가 보유 목적에 필요한 최소한의 범위에서 처리될 수 있도록 개인정보 보호법령 및 개인정보 보호 가이드라인에 따라 퇴직자의 개인정보 보유 항목 및 보유 기간에 관한 내부 기준을 정비하고, 이를 개인정보 처리방침에 작성‧공개한다. | https://datalaw.kr/orders/#o-2025-201-22
2025-01-08 | 제2025-201-22호 | 인천관광공사 | 파기·삭제 | 피심인은 위 가.에 따라 정비된 기준에 맞추어 현재 보유하고 있는 퇴직자의 개인정보 중 불필요한 정보를 모두 삭제한다. | https://datalaw.kr/orders/#o-2025-201-22
2025-01-08 | 제2025-001-001호 | 법원행정처 | 내부관리계획·규정·매뉴얼 | 피심인은 개인정보처리시스템 운영체계 및 조직‧인력‧예산, 관련 규정 등 보호체계 전반에 걸쳐 안전조치 실태를 점검하고, 개인정보 보호조치 수준 향상 방안을 마련할 것. | https://datalaw.kr/orders/#o-2025-001-001
2024-12-11 | 제2024-021-260호 | 캐롯손해보험㈜ | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-260
2024-12-11 | 제2024-021-260호 | 캐롯손해보험㈜ | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-260
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 기타 | 피심인은 온라인 보험 계산 및 가입 과정에서 정보주체의 개인정보를 처리하는 경우 보호법 제15조제1항을 준수할 것 | https://datalaw.kr/orders/#o-2024-021-259
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-259
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제시스템을 마련하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-259
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 기타 | 피심인은 온라인 보험 계산 및 가입 과정에서 정보주체의 개인정보를 처리하는 경우 보호법 제15조제1항을 준수할 것 | https://datalaw.kr/orders/#o-2024-021-258
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-258
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제시스템을 마련하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-258
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 기타 | 피심인은 온라인 보험 계산 및 가입 과정에서 정보주체의 개인정보를 처리하는 경우 보호법 제15조제1항을 준수할 것 | https://datalaw.kr/orders/#o-2024-021-257
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-257
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제시스템을 마련하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-257
2024-12-11 | 제2024-021-256호 | 흥국화재해상보험㈜ | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-256
2024-12-11 | 제2024-021-256호 | 흥국화재해상보험㈜ | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-256
2024-12-11 | 제2024-021-255호 | 롯데손해보험(주) | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-255
2024-12-11 | 제2024-021-255호 | 롯데손해보험(주) | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-255
2024-12-11 | 제2024-021-254호 | 한화손해보험㈜ | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-254
2024-12-11 | 제2024-021-254호 | 한화손해보험㈜ | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-254
2024-12-11 | 제2024-021-253호 | 메리츠화재해상보험(주) | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-253
2024-12-11 | 제2024-021-253호 | 메리츠화재해상보험(주) | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-253
2024-12-11 | 제2024-021-252호 | ㈜KB손해보험 | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-252
2024-12-11 | 제2024-021-252호 | ㈜KB손해보험 | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-252
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 기타 | 피심인은 온라인 보험 계산 및 가입 과정에서 정보주체의 개인정보를 처리하는 경우 보호법 제15조제1항을 준수할 것 | https://datalaw.kr/orders/#o-2024-021-251
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-251
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제시스템을 마련하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-251
2024-12-11 | 제2024-021-250호 | DB손해보험㈜ | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-250
2024-12-11 | 제2024-021-250호 | DB손해보험㈜ | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-250
2024-12-11 | 제2024-021-249호 | ㈜삼성화재해상보험 | 파기·삭제 | 자동차 보험료 계산을 중단하거나 계약을 미체결한 이용자의 정보를 처리목적 달성시 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2024-021-249
2024-12-11 | 제2024-021-249호 | ㈜삼성화재해상보험 | 보호책임자·보호조직 | 피심인은 개인정보 보호를 위한 내부통제를 강화하고, 개인정보 보호책임자에게 독립적인 업무수행 권한 부여 등 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-021-249
2024-11-27 | 제2024-019-247호 | 테크놀로지인프라스트럭처코리아(유) | 파기·삭제 | 피심인은 ｢舊 개인정보 보호법｣1)(이하 ‘舊 보호법’) 제21조(개인정보의 파기)를 준수하여야 한다. | https://datalaw.kr/orders/#o-2024-019-247
2024-11-27 | 제2024-019-247호 | 테크놀로지인프라스트럭처코리아(유) | 재발방지대책 수립 | 향후 유사 사고 예방을 위해 재발방지 대책을 수립·시행하여야 한다. | https://datalaw.kr/orders/#o-2024-019-247
2024-11-27 | 제2024-019-246호 | 쿠팡㈜ | 내부관리계획·규정·매뉴얼 | 피심인은 음식점에서 사용하는 별도의 주문정보관리시스템과 피심인의 개인정보처리시스템의 안전한 연동 및 책임추적성 강화를 위하여 ‘연동 협약’을 체결하는 등 개선방안을 마련할 것 | https://datalaw.kr/orders/#o-2024-019-246
2024-11-13 | 제2024-019-245호 | 비공개 | 기타 | 피심인은 개인정보처리시스템에 대해 개인정보 보호대책 전반에 대한 정비를 실시한다. | https://datalaw.kr/orders/#o-2024-019-245
2024-11-13 | 제2024-019-244호 | 비공개 | 악성프로그램·취약점 조치 | 피심인은 개인정보처리시스템에 침입탐지시스템(IDS), 침입방지시스템(IPS) 등 보안 프로그램을 설치·운영한다. | https://datalaw.kr/orders/#o-2024-019-244
2024-11-13 | 제2024-019-244호 | 비공개 | 기타 | 피심인은 오라클이 ’17.10월 배포한 보안패치를 개인정보처리시스템에 설치·적용한다. | https://datalaw.kr/orders/#o-2024-019-244
2024-11-13 | 제2024-019-244호 | 비공개 | 암호화 | 피심인은 주민등록번호가 포함된 증빙자료를 암호화 하여 내부 저장공간에 보관한다. | https://datalaw.kr/orders/#o-2024-019-244
2024-11-13 | 제2024-019-244호 | 비공개 | 기타 | 피심인은 개인정보처리시스템에 대해 개인정보 보호대책 전반에 대한 정비를 실시한다. | https://datalaw.kr/orders/#o-2024-019-244
2024-11-04 | 제2024-221-668호 | 비공개 | 암호화 | 피심인은 개인정보처리시스템에 대한 접근통제, 이용자의 비밀번호 일방향 암호화 조치 등 보호법 제29조를 준수해야 한다. | https://datalaw.kr/orders/#o-2024-221-668
2024-11-04 | 제2024-221-668호 | 비공개 | 동의·고지 절차 정비 | 피심인은 舊 보호법 제39조의4제1항을 준수하여 이번 유출사고 피해 정보주체에게 법정고지사항을 통지하여야 한다. | https://datalaw.kr/orders/#o-2024-221-668
2024-11-04 | 제2024-221-666호 | 비공개 | 암호화 | 피심인은 개인정보처리시스템에 대한 접근통제, 접근권한 제한, 접속기록 보존·관리, 비밀번호 일방향 암호화 조치 등 보호법 제29조를 준수해야 한다. | https://datalaw.kr/orders/#o-2024-221-666
2024-11-04 | 제2024-221-666호 | 비공개 | 동의·고지 절차 정비 | 피심인은 보호법 제37조제1항을 준수하여 회원 탈퇴(동의철회) 기능을 마련해야 한다. | https://datalaw.kr/orders/#o-2024-221-666
2024-10-23 | 제2024-220-643호 | 비공개 | 기타 | 개인정보 유출이 확인된 정보주체에게 개인정보 유출 사실을 통지하여야 한다. | https://datalaw.kr/orders/#o-2024-220-643
2024-10-23 | 제2024-220-642호 | 비공개 | 악성프로그램·취약점 조치 | 행사안내 알림톡을 발송하는 등 행사 관련 시스템을 운영할 경우, 시스템의 보안취약점 점검 및 개선 등 재발방지 대책을 마련하여야 한다. | https://datalaw.kr/orders/#o-2024-220-642
2024-09-25 | 제2024-016-235호 | 비공개 | 파기·삭제 | 피심인은 App 내 연령 확인 절차를 도입하고, 이용자가 만 14세 미만 아동으로 확인되는 경우 법정대리인의 동의를 받거나 해당 이용자의 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2024-016-235
2024-09-25 | 제2024-016-235호 | 비공개 | 국외이전 | 피심인은 개인정보를 국외로 처리위탁·보관할 때 보호법 제28조의8제2항 각 호의 사항을 구체적으로 개인정보 처리방침에 공개하거나, 전자우편 등의 방법으로 정보주체에게 알릴 것 | https://datalaw.kr/orders/#o-2024-016-235
2024-09-25 | 제2024-016-234호 | 비공개 | 안전조치(일반) | 피심인은 수집 시 정보주체에게 삭제절차·방법을 함께 안내하고, 처리 과정에서 최초 수집 목적( 서비스 제공) 외로 사용되지 않도록 안전조치에 만전을 기할 것 | https://datalaw.kr/orders/#o-2024-016-234
2024-09-25 | 제2024-016-234호 | 비공개 | 국외이전 | 피심인은 개인정보를 국외로 처리위탁·보관할 때 보호법 제28조의8제2항 각 호의 사항을 구체적으로 개인정보 처리방침에 공개하거나, 전자우편 등의 방법으로 정보주체에게 알릴 것 | https://datalaw.kr/orders/#o-2024-016-234
2024-09-25 | 제2024-016-234호 | 비공개 | 동의·고지 절차 정비 | 피심인은 등 민감정보 수집·이용에 대한 동의를 받을 때, 정보주체가 수집·이용 목적 등 법정 고지사항을 명확히 인지할 수 있도록 충실히 안내할 것 | https://datalaw.kr/orders/#o-2024-016-234
2024-09-25 | 제2024-016-233호 | 비공개 | 목적 외 이용·제공 제한 | 피심인은 허위계정 생성에 프로필 사진이 이용된 회원에게 자신의 프로필 사진이 목적 외로 이용된 사실을 통지할 것 | https://datalaw.kr/orders/#o-2024-016-233
2024-09-25 | 제2024-016-232호 | 한국사회복지협의회 | 접근권한·접근통제 | 피심인은 전반에 걸쳐 개인정보 보호 실태를 점검하고 개선할 것 (예: 불법적인 접근 시도 대비를 위한 임계치 분석·조정 등 시스템 보안정책 정비, 파라미터 변조·특수문자 입력 등 취약점 점검 등) | https://datalaw.kr/orders/#o-2024-016-232
2024-09-25 | 제2024-016-232호 | 한국사회복지협의회 | 교육 | 피심인은 소속 개인정보취급자에 대해 개인정보 보호 교육을 정기적으로 실시할 것 | https://datalaw.kr/orders/#o-2024-016-232
2024-09-11 | 제2024-015-229호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-229
2024-09-11 | 제2024-015-228호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-228
2024-09-11 | 제2024-015-227호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-227
2024-09-11 | 제2024-015-226호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-226
2024-09-11 | 제2024-015-225호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-225
2024-09-11 | 제2024-015-224호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-224
2024-09-11 | 제2024-015-223호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-223
2024-09-11 | 제2024-015-222호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-222
2024-09-11 | 제2024-015-221호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-221
2024-09-11 | 제2024-015-220호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-220
2024-09-11 | 제2024-015-219호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-219
2024-09-11 | 제2024-015-218호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-218
2024-09-11 | 제2024-015-217호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-217
2024-09-11 | 제2024-015-216호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-216
2024-09-11 | 제2024-015-215호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-215
2024-09-11 | 제2024-015-214호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-214
2024-09-11 | 제2024-015-213호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-213
2024-09-11 | 제2024-015-212호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-212
2024-09-11 | 제2024-015-211호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-211
2024-09-11 | 제2024-015-210호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-210
2024-09-11 | 제2024-015-209호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-209
2024-09-11 | 제2024-015-208호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-208
2024-09-11 | 제2024-015-207호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-207
2024-09-11 | 제2024-015-206호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-206
2024-09-11 | 제2024-015-205호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-205
2024-09-11 | 제2024-015-204호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-204
2024-09-11 | 제2024-015-203호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-203
2024-09-11 | 제2024-015-202호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-202
2024-09-11 | 제2024-015-201호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-201
2024-09-11 | 제2024-015-200호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-200
2024-09-11 | 제2024-015-199호 | 비공개 | 공공시스템 10대 과제 점검 | 피심인은 집중관리시스템별 ‘10대 과제’ 미흡사항을 개선 한다. | https://datalaw.kr/orders/#o-2024-015-199
2024-08-28 | 제2024-217-564호 | 비공개 | 국외이전 | 온라인스토어 가입시 국외이전 및 제3자 제공(선택사항) 관련 사항을 명확하게 기재하고, 통합회원에 가입하지 않은 이용자의 바코드가 온라인스토어 회원정보와 결합되지 않도록 이용자의 개인정보 보호를 강화하는 방안을 마련·이행할 것 | https://datalaw.kr/orders/#o-2024-217-564
2024-08-28 | 제2024-217-564호 | 비공개 | 기타 | 의결서를 통지받은 날로부터 60일 이내에 위 가.의 개선계획을 마련하여 개인정보보호위원회에 제출할 것 | https://datalaw.kr/orders/#o-2024-217-564
2024-08-28 | 제2024-014-196호 | 비공개 | 동의·고지 절차 정비 | 만 14세 미만 아동 대상 서비스를 제공하지 않는 경우에는 회원가입 시 가입 대상자가 실제 만 14세 이상인지 확인할 수 있도록 절차를 개선하고, 만 14세 미만 아동 대상 서비스를 제공하는 경우에는 법정대리인의 동의를 받고, 법정대리인의 동의 여부를 확인하여야 한다. | https://datalaw.kr/orders/#o-2024-014-196
2024-08-28 | 제2024-014-196호 | 비공개 | 내부관리계획·규정·매뉴얼 | 이용자의 개인정보 열람 청구를 위한 방법과 절차를 마련하여야 한다. | https://datalaw.kr/orders/#o-2024-014-196
2024-07-24 | 제2024-215-541호 | 비공개 | 유출 통지·신고 체계 | 피심인은 보호법 제34조제1항에 따라 ‘유출 가능성이 있는 개인정보의 항목’, ‘유출 가능성이 있는 시점과 그 경위’, ‘유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보’, ‘개인정보처리자의 대응조치 및 피해 구제절차’, ‘정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처’를 피심인의 인터넷 홈페이지에 30일 이상 게시하여야 한다. | https://datalaw.kr/orders/#o-2024-215-541
2024-07-24 | 제2024-215-541호 | 비공개 | 유출 통지·신고 체계 | 피심인은 보호법 제34조제2항에 따라 개인정보 유출 및 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치*를 하여야 한다. * 유출 대응체계 구축, 피해 최소화 및 긴급 조치, 피해 구제 및 재발 방지 등 ※ 자세한 사항은 「개인정보 유출 등 사고대응 매뉴얼」(2023.9.) 참고 (개인정보 포털(www.privacy.go.kr) → 자료 → 자료보기(지침자료)에서 검색 가능) | https://datalaw.kr/orders/#o-2024-215-541
2024-07-24 | 제2024-215-540호 | 비공개 | 유출 통지·신고 체계 | 피심인은 舊 보호법 제39조의4제1항(개인정보 유출등의 통지·신고에 대한 특례)를 준수하여야 한다. | https://datalaw.kr/orders/#o-2024-215-540
2024-07-24 | 제2024-215-540호 | 비공개 | 유출 통지·신고 체계 | 피심인은 보호법 제34조제2항에 따라 개인정보 유출 및 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치*를 하여야 한다. * 유출 대응체계 구축, 피해 최소화 및 긴급 조치, 피해 구제 및 재발 방지 등 ※ 자세한 사항은 「개인정보 유출 등 사고대응 매뉴얼」(2023.9.) 참고 (개인정보 포털(www.privacy.go.kr) → 자료 → 자료보기(지침자료)에서 검색 가능) | https://datalaw.kr/orders/#o-2024-215-540
2024-07-24 | 제2024-215-539호 | 비공개 | 유출 통지·신고 체계 | 피심인은 舊 보호법 제39조의4제1항(개인정보 유출등의 통지·신고에 대한 특례)를 준수하여야 한다. | https://datalaw.kr/orders/#o-2024-215-539
2024-07-24 | 제2024-215-539호 | 비공개 | 유출 통지·신고 체계 | 피심인은 보호법 제34조제2항에 따라 개인정보 유출 및 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치*를 하여야 한다. * 유출 대응체계 구축, 피해 최소화 및 긴급 조치, 피해 구제 및 재발 방지 등 ※ 자세한 사항은 「개인정보 유출 등 사고대응 매뉴얼」(2023.9.) 참고 (개인정보 포털(www.privacy.go.kr) → 자료 → 자료보기(지침자료)에서 검색 가능) | https://datalaw.kr/orders/#o-2024-215-539
2024-07-24 | 제2024-215-538호 | 비공개 | 유출 통지·신고 체계 | 피심인은 보호법 제34조제2항에 따라 개인정보 유출 및 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치*를 하여야 한다. * 유출 대응체계 구축, 피해 최소화 및 긴급 조치, 피해 구제 및 재발 방지 등 ※ 자세한 사항은 「개인정보 유출 등 사고대응 매뉴얼」(2023.9.) 참고 (개인정보 포털(www.privacy.go.kr) → 자료 → 자료보기(지침자료)에서 검색 가능) | https://datalaw.kr/orders/#o-2024-215-538
2024-07-24 | 제2024-215-537호 | 비공개 | 유출 통지·신고 체계 | 피심인은 보호법 제34조제2항에 따라 개인정보 유출 및 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치*를 하여야 한다. * 유출 대응체계 구축, 피해 최소화 및 긴급 조치, 피해 구제 및 재발 방지 등 ※ 자세한 사항은 「개인정보 유출 등 사고대응 매뉴얼」(2023.9.) 참고 (개인정보 포털(www.privacy.go.kr) → 자료 → 자료보기(지침자료)에서 검색 가능) | https://datalaw.kr/orders/#o-2024-215-537
2024-07-24 | 제2024-013-192호 | 비공개 | 기타 | 피심인은 개인정보 처리 흐름을 최대한 투명하고 알기 쉽게 정보주체에게 공개하고, 변동시 신속하게 현행화할 것 | https://datalaw.kr/orders/#o-2024-013-192
2024-07-24 | 제2024-013-192호 | 비공개 | 내부관리계획·규정·매뉴얼 | 국내대리인의 단순 지정을 넘어 개인정보 보호를 위한 실질적 운영 노력을 기울일 것. 특히 개인정보 처리와 관련한 불만의 처리 및 피해를 구제할 수 있도록 구체적인 방안을 마련하고 시행할 것 | https://datalaw.kr/orders/#o-2024-013-192
2024-07-24 | 제2024-013-192호 | 비공개 | 기타 | ｢개인정보 보호법｣상 원칙에 따라 수집하는 개인정보를 최소화하고, 국내 이커머스 기업들이 운영 중인 민관협력 자율규약에 참여하거나 그에 준하는 수준의 개인정보보호를 제공할 것 | https://datalaw.kr/orders/#o-2024-013-192
2024-07-24 | 제2024-013-192호 | 비공개 | 국외이전 | 피심인은 개인정보의 국외 이전과 관련한 ｢개인정보 보호법｣의 규정을 준수하는 한편, 국외 판매자 등에 의한 개인정보 오남용을 예방하고 침해에 대응할 수 있도록 보호법상 요구되는 조치를 마련‧시행하고, 이를 계약 내용 등에 반영할 것 | https://datalaw.kr/orders/#o-2024-013-192
2024-07-24 | 제2024-013-192호 | 비공개 | 처리방침·공개 항목 | 피심인은 정보주체가 회원탈퇴를 포함하여 권리행사를 쉽게 할 수 있도록 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개할 것 | https://datalaw.kr/orders/#o-2024-013-192
2024-07-10 | 제2024-214-496호 | 비공개 | 교육 | 피심인은 배달 근무자를 포함한 개인정보취급자에 대한 개인정보보호 교육을 정기적으로 실시하는 등 개인정보가 안전하게 처리될 수 있도록 관리‧감독을 철저히 해야 한다. | https://datalaw.kr/orders/#o-2024-214-496
2024-06-12 | 제2024-212-431호 | 비공개 | 동의·고지 절차 정비 | 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하고, 동의 이외의 사유(예: 계약 이행)를 근거로 하는 경우 개인정보의 보관기간을 합리적으로 설정하여야 한다. | https://datalaw.kr/orders/#o-2024-212-431
2024-06-12 | 제2024-212-430호 | 비공개 | 동의·고지 절차 정비 | 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하고, 동의 이외의 사유(예: 계약 이행)를 근거로 하는 경우 개인정보의 보관기간을 합리적으로 설정하여야 한다. | https://datalaw.kr/orders/#o-2024-212-430
2024-06-12 | 제2024-212-429호 | 비공개 | 동의·고지 절차 정비 | 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하고, 동의 이외의 사유(예: 계약 이행)를 근거로 하는 경우 개인정보의 보관기간을 합리적으로 설정하여야 한다. | https://datalaw.kr/orders/#o-2024-212-429
2024-06-12 | 제2024-212-429호 | 비공개 | 처리방침·공개 항목 | 배달원 개인정보를 계열사 간 역할분담 하에 수집·이용·제공·위수탁하는 근거를 개인정보 처리방침 등을 통해 정보주체가 이해하기 쉬운 설명으로 제공하여야 한다. | https://datalaw.kr/orders/#o-2024-212-429
2024-06-12 | 제2024-010-185호 | 비공개 | 기타 | 피심인은 외부 SDK(Software Development Kit)를 사용하여 개인정보를 처리하는 경우, 의도되지 않은 개인정보 전송 여부를 점검하는 등 안전성 및 적법성을 검토할 것 | https://datalaw.kr/orders/#o-2024-010-185
2024-06-12 | 제2024-010-185호 | 비공개 | 기타 | 피심인은 개인정보를 서버로 전송하여 처리하는 경우, 이용자가 이를 쉽게 인지할 수 있도록 투명성을 제고할 것 | https://datalaw.kr/orders/#o-2024-010-185
2024-06-12 | 제2024-010-184호 | 비공개 | 접속기록 점검·보관 | 피심인은 개인정보취급자가 정보주체의 통화녹음 파일 및 텍스트 등을 처리하는 시스템 등에 대한 접속기록의 보관‧점검과 관련하여 개인정보의 안전성 확보조치 기준 제8조를 준수할 것 | https://datalaw.kr/orders/#o-2024-010-184
2024-06-12 | 제2024-010-184호 | 비공개 | 기타 | 피심인은 서버에 보관하는 이용자의 통화 요약 등에 대한 보관 기간을 최소화하고, 학습데이터에 포함될 수 있는 개인정보에 대한 비식별조치를 강화하는 한편 서비스의 내용에 대해 정보주체들이 명확히 이해할 수 있는 조치를 마련‧시행할 것 | https://datalaw.kr/orders/#o-2024-010-184
2024-06-12 | 제2023-019-238호 | 비공개 | 안전조치(일반) | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 개정된 「개인정보 보호법1) 」 제29조(안전조치의무), 같은 법 시행령2) 제30조 (개인정보의 안전성 확보 조치), 「개인정보의 안전성 확보조치 기준3)」 제6조제3항을 준수하는 주기적인 계획을 수립하고 이행하여야 한다. | https://datalaw.kr/orders/#o-2023-019-238
2024-06-12 | 제2023-019-238호 | 비공개 | 교육 | 피심인은 대표자를 비롯하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 정기적인 교육을 실시하여야 한다. 1) 개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행) 2) 개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행) 3) 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시 제2023-6호, 2023. 9. 22. 시행) | https://datalaw.kr/orders/#o-2023-019-238
2024-05-22 | 제2024-009-183호 | 비공개 | 유출 통지·신고 체계 | 피심인은 이용자 대상 개인정보 유출 통지를 실시하여야 한다. | https://datalaw.kr/orders/#o-2024-009-183
2024-05-08 | 제2024-008-182호 | (주)골프존 | 보호책임자·보호조직 | 피심인은 회사 내 처리되는 개인정보 처리 흐름을 면밀히 분석하여 내부관리계획을 재정립하고, 공유설정 등을 통해 개인정보가 유출되지 않도록 조치하는 등 제반 안전조치의무를 준수하는 한편 피심인이 관리하는 개인정보가 안전하게 처리될 수 있도록 개인정보 보호책임자의 위상과 역할을 강화할 것 | https://datalaw.kr/orders/#o-2024-008-182
2024-05-08 | 제2024-008-182호 | (주)골프존 | 교육 | 전 직원을 대상으로 개인정보 보호 교육을 주기적으로 실시할 것 | https://datalaw.kr/orders/#o-2024-008-182
2024-04-24 | 제2024-007-176호 | 비공개 | 수탁자 관리·감독 | 피심인은 참여 들이 가명정보 처리 관련 기록을 작성·보관 하도록 지도·감독한다. | https://datalaw.kr/orders/#o-2024-007-176
2024-04-24 | 제2024-007-176호 | 비공개 | 수탁자 관리·감독 | 피심인은 가명정보 처리시 ｢가명정보 처리 가이드라인｣에 따른 가명처리 단계별 절차 (사전준비→위험성 검토→가명처리→적정성 검토→안전한 관리 등 5단계)를 준수하는 등 가명정보에 대한 안전성 확보 조치*를 이행하도록 지도·감독한다. * (예시) 가명정보 처리기록 작성·보관, 원본정보와 분리 보관, 가명정보 안전조치 및 재식별 금지, 내부관리계획 수립, ’가명처리 단계별 절차‘ 이행, 가명정보의 처리에 관한 사항을 처리 방침에 공개 등 | https://datalaw.kr/orders/#o-2024-007-176
2024-04-24 | 제2024-007-176호 | 비공개 | 접근권한·접근통제 | 피심인은 시스템에 대한 접근권한 부여 현황을 재검토하여, 관리자페이지에 접근할 수 있는 ’참여 소속 ‘와 각각의 들이 보유한 접근권한을 필요최소한으로 조정한다. | https://datalaw.kr/orders/#o-2024-007-176
2024-04-24 | 제2024-007-176호 | 비공개 | 교육 | 피심인은 참여 소속 개인정보취급자에 대해 가명정보 처리 관련 교육을 실시한다. | https://datalaw.kr/orders/#o-2024-007-176
2024-04-24 | 제2023-013-183호 | 비공개 | 교육 | 향후 유사한 사례가 재발되지 않도록 개인정보취급자가 개인정보를 처리 하는 과정 전반에 대해 관리·감독(정상적인 결재 절차 이행 등)을 강화하고, 개인 정보 보호 관련 교육을 실시한다. | https://datalaw.kr/orders/#o-2023-013-183
2024-04-24 | 제2023-013-183호 | 비공개 | 기타 | 피심인은 가명정보 처리시 ｢가명정보 처리 가이드라인(’24.2월)｣에 따른 가명처리 단계별 절차 (사전준비→위험성 검토→가명처리→적정성 검토→안전한 관리 등 5단계)를 준수한다. | https://datalaw.kr/orders/#o-2023-013-183
2024-02-14 | 제2024-003-039호 | 비공개 | 안전조치(일반) | 피심인은 ｢개인정보 보호법｣(이하 ‘보호법’이라 한다) 제3장 개인정보의 처리, 제4장 개인정보의 안전한 관리 등 개인정보의 안전한 처리를 위해 그 실태를 개선하여야 한다. | https://datalaw.kr/orders/#o-2024-003-039
2024-01-24 | 제2024-002-012호 | 비공개 | 기타 | 피심인은 공개된 장소에 고정형 영상정보처리기기를 설치·운영할 경우 정보주체가 쉽게 인식할 수 있도록 설치 목적 및 장소, 촬영 범위 및 시간, 관리책임자의 연락처 등이 포함된 안내판을 설치하는 등 필요한 조치를 하여야 한다. | https://datalaw.kr/orders/#o-2024-002-012
2024-01-24 | 제2024-002-011호 | 비공개 | 기타 | 피심인은 공개된 장소에 고정형 영상정보처리기기를 설치·운영할 경우 정보주체가 쉽게 인식할 수 있도록 설치 목적 및 장소, 촬영 범위 및 시간, 관리책임자의 연락처 등이 포함된 안내판을 설치하는 등 필요한 조치를 하여야 한다. | https://datalaw.kr/orders/#o-2024-002-011
2024-01-24 | 제2024-002-010호 | 비공개 | 기타 | 피심인은 공개된 장소에 고정형 영상정보처리기기를 설치·운영할 경우 정보주체가 쉽게 인식할 수 있도록 설치 목적 및 장소, 촬영 범위 및 시간, 관리책임자의 연락처 등이 포함된 안내판을 설치하는 등 필요한 조치를 하여야 한다. | https://datalaw.kr/orders/#o-2024-002-010
2024-01-24 | 제2024-002-009호 | 한국장학재단 | 접근권한·접근통제 | 피심인은 시스템의 특성을 감안하여 각종 불법적인 접근 시도 가능성에 대비할 수 있도록 임계치 분석·조정 등 시스템 보안 정책 전반을 정비한다. | https://datalaw.kr/orders/#o-2024-002-009
2024-01-24 | 제2024-002-009호 | 한국장학재단 | 암호화 | 피심인은 연계 서버를 포함한 시스템 전반의 주민등록번호 보관 상황을 점검하고, 주민등록번호를 암호화하여 안전하게 보관한다. | https://datalaw.kr/orders/#o-2024-002-009
2024-01-24 | 제2024-002-008호 | 한국고용정보원 | 접근권한·접근통제 | 피심인은 시스템의 특성을 감안하여 각종 불법적인 접근 시도 가능성에 대비할 수 있도록 임계치 분석·조정 등 시스템 보안 정책 전반을 정비한다. | https://datalaw.kr/orders/#o-2024-002-008
2024-01-24 | 제2024-002-008호 | 한국고용정보원 | 암호화 | 피심인은 연계 서버를 포함한 시스템 전반의 주민등록번호 보관 상황을 점검하고, 주민등록번호를 암호화하여 안전하게 보관한다. | https://datalaw.kr/orders/#o-2024-002-008
2023-11-22 | 제2023-019-241호 | 비공개 | 동의·고지 절차 정비 | 이용자(고객)의 개인정보를 수집할 때 필요한 최소한의 정보만 수집하고, 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 재화 또는 서비스의 제공을 거부하지 말 것 | https://datalaw.kr/orders/#o-2023-019-241
2023-11-22 | 제2023-019-241호 | 비공개 | 기타 | 피심인은 통지를 받은 날로부터 60일 이내에 개선계획을 개인정보보호위원회에 제출할 것 | https://datalaw.kr/orders/#o-2023-019-241
2023-11-08 | 제2023-018-236호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 주민등록번호 처리와 관련된 보호실태를 점검하여 적법한 절차와 수단을 마련하는 등 미흡한 사항을 개선하고, 개인정보취급자 등을 대상으로 정기적인 개인정보 보호교육을 실시하여야 한다. | https://datalaw.kr/orders/#o-2023-018-236
2023-11-08 | 제2023-018-235호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 주민등록번호 처리와 관련된 보호실태를 점검하여 적법한 절차와 수단을 마련하는 등 미흡한 사항을 개선하고, 개인정보취급자 등을 대상으로 정기적인 개인정보 보호교육을 실시하여야 한다. | https://datalaw.kr/orders/#o-2023-018-235
2023-11-08 | 제2023-018-234호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 주민등록번호 처리와 관련된 보호실태를 점검하여 적법한 절차와 수단을 마련하는 등 미흡한 사항을 개선하고, 개인정보취급자 등을 대상으로 정기적인 개인정보 보호교육을 실시하여야 한다. | https://datalaw.kr/orders/#o-2023-018-234
2023-10-25 | 제2023-017-232호 | 주식회사 와이엘랜드 | 파기·삭제 | 피심인은 다른 법령에 따라 보존하여야 하는 경우를 제외하고 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. | https://datalaw.kr/orders/#o-2023-017-232
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 암호화 | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 아이피(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한하여야 하고, 처리중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터와 모바일 기기에 조치를 취하여야 한다. 2) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존·관리하여야 한다. 3) 비밀번호가 복호화되지 아니하도록 안전한 암호화 알고리듬으로 일방향 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2023-017-230
2023-10-25 | 제2023-017-230호 | 주식회사 자동차공임나라 | 파기·삭제 | 피심인은 다른 법령에 따라 보존하여야 하는 경우를 제외하고 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. | https://datalaw.kr/orders/#o-2023-017-230
2023-10-11 | 제2023-016-212호 | 주식회사 국민은행 | 동의·고지 절차 정비 | 피심인은 「개인정보 보호법」 (이하 ‘보호법’) 제22조(동의를 받는 방법)제1항에 따라, 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 하고, 보호법 제3조(개인정보 보호 원칙)제1항에 따라 각각의 목적에 필요한 최소한의 개인정보를 수집하여야 한다. | https://datalaw.kr/orders/#o-2023-016-212
2023-10-11 | 제2023-016-209호 | 비공개 | 처리방침·공개 항목 | 「개인정보 보호법」 제31조의2제3항 각 호의 국내대리인에 관한 사항을 개인정보 처리방침에 정확하게 포함시킬 것 | https://datalaw.kr/orders/#o-2023-016-209
2023-10-11 | 제2023-016-209호 | 비공개 | 안전조치(일반) | 상주직원을 통해 민원을 접수하고, ‘음성녹음·리턴콜’기능 등으로 ARS를 통한 민원 접수가 용이하도록 개선할 것 | https://datalaw.kr/orders/#o-2023-016-209
2023-10-11 | 제2023-016-209호 | 비공개 | 교육 | 민원 담당 직원들이 국내대리인의 역할을 숙지하고 민원을 응대할 수 있도록 관련 교육을 실시할 것 | https://datalaw.kr/orders/#o-2023-016-209
2023-07-26 | 제2023-013-169호 | 비공개 | 안전조치(일반) | 피심인이 보유한 개인정보처리시스템 전반에 대해 점검한다. | https://datalaw.kr/orders/#o-2023-013-169
2023-07-26 | 제2023-013-169호 | 비공개 | 교육 | 개인정보 보호체계(거버넌스) 및 관련 매뉴얼을 정비하고, 개인정보취급자에 대한 교육을 강화한다. | https://datalaw.kr/orders/#o-2023-013-169
2023-07-26 | 제2023-013-164호 | 학교법인 건국대학교 | 재발방지대책 수립 | 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2023-013-164
2023-07-26 | 제2023-013-164호 | 학교법인 건국대학교 | 교육 | 대표자를 비롯한 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-013-164
2023-07-26 | 제2023-013-163호 | 비공개 | 내부관리계획·규정·매뉴얼 | 민감정보 등을 처리하는 개인정보처리시스템 접속이 가능한 PC 등을 설치한 장소에 대해서는 출입통제 절차를 수립·운영하여 개인정보 유출이 발생하지 않도록 할 것 | https://datalaw.kr/orders/#o-2023-013-163
2023-07-26 | 제2023-013-162호 | 학교법인 동은학원 | 재발방지대책 수립 | 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2023-013-162
2023-07-26 | 제2023-013-162호 | 학교법인 동은학원 | 교육 | 대표자를 비롯한 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-013-162
2023-07-26 | 제2023-013-161호 | 학교법인 일송학원 | 재발방지대책 수립 | 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2023-013-161
2023-07-26 | 제2023-013-161호 | 학교법인 일송학원 | 교육 | 대표자를 비롯한 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-013-161
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 재발방지대책 수립 | 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2023-013-160
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 교육 | 대표자를 비롯한 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-013-160
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 재발방지대책 수립 | 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2023-013-160
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 교육 | 대표자를 비롯한 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-013-160
2023-07-26 | 제2023-013-160호 | 학교법인 고려중앙학원 | 내부관리계획·규정·매뉴얼 | 민감정보 등을 처리하는 개인정보처리시스템 접속이 가능한 PC 등을 설치한 장소에 대해서는 출입통제 절차를 수립·운영하여 개인정보 유출이 발생하지 않도록 할 것 | https://datalaw.kr/orders/#o-2023-013-160
2023-07-26 | 제2023-013-159호 | 학교법인 연세대학교 | 재발방지대책 수립 | 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2023-013-159
2023-07-26 | 제2023-013-159호 | 학교법인 연세대학교 | 교육 | 대표자를 비롯한 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-013-159
2023-07-26 | 제2023-013-158호 | 학교법인 가톨릭학원 | 재발방지대책 수립 | 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치 의무) 준수 여부를 자체적으로 점검하고, 재발방지 대책을 수립할 것 | https://datalaw.kr/orders/#o-2023-013-158
2023-07-26 | 제2023-013-158호 | 학교법인 가톨릭학원 | 교육 | 대표자를 비롯한 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호에 대한 인식 제고를 위한 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-013-158
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 안전조치(일반) | 운영 중인 개인정보처리시스템 전반에 대해 「개인정보 보호법」 제29조(안전조치 의무), 같은 법 시행령 제48조의2(개인정보의 안전성 확보조치)를 준수하고 취약 부분을 개선할 것 | https://datalaw.kr/orders/#o-2023-012-153
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 내부관리계획·규정·매뉴얼 | 전사적 차원에서 개인정보 내부관리계획(거버넌스)을 재정립(권한·책임 명확화)할 것 | https://datalaw.kr/orders/#o-2023-012-153
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 보호책임자·보호조직 | 개인정보 보호책임자의 역할과 위상(CEO 직속 조직구성 등) 및 전문성을 강화 할 것 | https://datalaw.kr/orders/#o-2023-012-153
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 교육 | 전 직원을 대상으로 정기적인 개인정보 보호 교육 계획을 수립하고 실시할 것 | https://datalaw.kr/orders/#o-2023-012-153
2023-07-12 | 제2023-012-153호 | ㈜엘지유플러스 | 파기·삭제 | 개인정보처리시스템 내에 법령상 보관 의무가 없거나 처리 목적 달성 등으로 불필요하게 보관하고 있는 개인정보를 모두 파기할 것 | https://datalaw.kr/orders/#o-2023-012-153
2023-07-12 | 제2023-012-136호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-136
2023-07-12 | 제2023-012-135호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-135
2023-07-12 | 제2023-012-134호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-134
2023-07-12 | 제2023-012-133호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-133
2023-07-12 | 제2023-012-132호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-132
2023-07-12 | 제2023-012-131호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-131
2023-07-12 | 제2023-012-130호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-130
2023-07-12 | 제2023-012-129호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-129
2023-07-12 | 제2023-012-128호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-128
2023-07-12 | 제2023-012-127호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-127
2023-07-12 | 제2023-012-126호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-126
2023-07-12 | 제2023-012-125호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-125
2023-07-12 | 제2023-012-124호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-124
2023-07-12 | 제2023-012-123호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-123
2023-07-12 | 제2023-012-122호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-122
2023-07-12 | 제2023-012-121호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-121
2023-07-12 | 제2023-012-120호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-120
2023-07-12 | 제2023-012-119호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-119
2023-07-12 | 제2023-012-118호 | 비공개 | 수탁자 관리·감독 | 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)제4항을 준수하여 업무 위탁으로 인하여 정보주체의 개인정보가 유출되지 아니하도록 수탁자를 교육하고 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 절차를 자체적으로 마련하여 이를 시행할 것 | https://datalaw.kr/orders/#o-2023-012-118
2023-07-12 | 제2023-012-117호 | ㈜비에스씨 | 파기·삭제 | 「개인정보 보호법」 제21조(개인정보의 파기)를 준수하여 채용 인적성 검사 수행에 필요한 최소한의 개인정보만 보유하고 이외 불필요한 개인정보나 정보주체에게 고지한 보유기간이 경과된 개인정보 등은 지체없이 파기할 것 | https://datalaw.kr/orders/#o-2023-012-117
2023-07-12 | 제2023-012-117호 | ㈜비에스씨 | 접근권한·접근통제 | 「개인정보 보호법」 제29조(안전조치의무)를 준수하여 취급 중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 유출되지 않도록 개인정보처리시스템 등에 접근 통제 등에 관한 조치를 할 것 | https://datalaw.kr/orders/#o-2023-012-117
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 파기·삭제 | 피심인은 주민등록번호는 정보주체의 명시적인 위임을 받아 주민등록번호가 포함된 종합소득세 신고서의 단순 작성·제출에만 사용한 후 파기하여야 하며, 파일 등으로 저장·보유하지 않아야 하고, ’20.4.29. 이후 수집·보관 중인 주민등록번호는 즉시 파기하여야 한다. | https://datalaw.kr/orders/#o-2023-011-116
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 기타 | 피심인은 복수의 회원가입 방법을 마련하여야 한다. | https://datalaw.kr/orders/#o-2023-011-116
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 동의·고지 절차 정비 | 피심인은 이용자에게 개인정보 수집·이용·제공 관련 동의를 받을 때 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-011-116
2023-06-28 | 제2023-011-116호 | ㈜자비스앤빌런즈 | 파기·삭제 | 피심인은 개인정보 처리 목적을 명확히 하고, 처리 목적이 달성된 개인정보를 파기하여야 한다. | https://datalaw.kr/orders/#o-2023-011-116
2023-06-28 | 제2023-011-114호 | 비공개 | 교육 | 피심인은 전사적 차원에서 개인정보 내부관리계획을 재정립하고, 정기적인 개인정보보호 교육 계획을 수립·이행하여야 한다. | https://datalaw.kr/orders/#o-2023-011-114
2023-06-28 | 제2023-011-114호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보 유출이 발생한 개인정보처리시스템을 포함하여 피심인이 운영 중인 개인정보처리시스템 전반에 대해 ｢개인정보 보호법｣ 제29조(안전조치의무) 준수 여부를 자체적으로 점검하고, 재발방지대책을 수립하여야 한다. 특히, 피심인은 침해사고 방지를 위해 개인정보처리시스템에 대한 불법적인 접근이 의심되는 IP주소 및 도용이 의심되는 계정 등을 재분석하여 개인정보 유출 시도를 탐지·차단하여야 한다. | https://datalaw.kr/orders/#o-2023-011-114
2023-06-14 | 제2023-212-214호 | 비공개 | 주민등록번호·고유식별정보 | 「개인정보 보호법」제24조의2(주민등록번호 처리의 제한)을 준수하여야 한다. | https://datalaw.kr/orders/#o-2023-212-214
2023-06-14 | 제2023-212-214호 | 비공개 | 안전조치(일반) | 「개인정보 보호법」제29조(안전조치의무)를 준수하여야 한다. | https://datalaw.kr/orders/#o-2023-212-214
2023-06-14 | 제2023-212-212호 | 비공개 | 기타 | 피심인이 운용하는 대해서 타인에게 개인정보가 노출될 수 있는 부분에 대해 최근 새롭게 개선한 사항을 유지하고, 앞으로도 타인에 의한 개인정보 침해가 없도록 이용자 본인 확인을 철저히 할 것 | https://datalaw.kr/orders/#o-2023-212-212
2023-06-14 | 제2023-212-211호 | 비공개 | 기타 | 피심인이 운용하는 대해서 타인에게 개인정보가 노출될 수 있는 부분에 대해 최근 새롭게 개선한 사항을 유지하고, 앞으로도 타인에 의한 개인정보 침해가 없도록 이용자 본인 확인을 철저히 할 것 | https://datalaw.kr/orders/#o-2023-212-211
2023-06-14 | 제2023-212-210호 | 비공개 | 기타 | 피심인이 운용하는 대해서 타인에게 개인정보가 노출될 수 있는 부분에 대해 최근 새롭게 개선한 사항을 유지하고, 앞으로도 타인에 의한 개인정보 침해가 없도록 이용자 본인 확인을 철저히 할 것 | https://datalaw.kr/orders/#o-2023-212-210
2023-06-14 | 제2023-010-108호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 유출 사실을 안 때에는 지체 없이 유출된 개인정보 항목, 유출이 발생한 시점, 이용자가 취할 수 있는 조치, 정보통신서비스 제공자등의 대응 조치, 이용자가 상담 등을 접수할 수 있는 부서 및 연락처 등을 해당 이용자에게 알려야 한다. | https://datalaw.kr/orders/#o-2023-010-108
2023-06-14 | 제2023-010-108호 | 비공개 | 파기·삭제 | 피심인은 정보통신서비스를 1년의 기간 동안 이용하지 않은 이용자의 개인정보를 해당 기간 경과 후 즉시 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장·관리하여야 한다. | https://datalaw.kr/orders/#o-2023-010-108
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 유출 통지·신고 체계 | 「개인정보 보호법」 제34조(개인정보 유출 통지 등)제1항을 준수하여 정보주체에게 유출 사실을 알릴 것 | https://datalaw.kr/orders/#o-2022-016-127
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 재발방지대책 수립 | 「개인정보 보호법」 제29조(안전조치의무) 위반행위 관련 재발방지 대책을 마련할 것 | https://datalaw.kr/orders/#o-2022-016-127
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 기타 | 「개인정보 보호법」 제3조제3항·제6항에 따라 개인정보의 수집·이용 목적 범위에서 정확한 정보를 정보주체의 사생활 침해가 최소화되는 방법으로 처리하도록 노력할 것 | https://datalaw.kr/orders/#o-2022-016-127
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 동의·고지 절차 정비 | 정보주체 이외로부터 수집한 개인정보를 처리할 때에는「개인정보 보호법」 제20조 및 제37조에 따른 정보주체의 권리가 보장되도록, 정보주체의 요구가 있을 시 △개인정보의 수집 출처, △개인정보의 처리 목적, △개인정보 처리 정지를 요구할 권리가 있다는 사실을 알리는 절차 및 방법을 마련할 것 | https://datalaw.kr/orders/#o-2022-016-127
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 기타 | 개선권고 통지를 받은 날로부터 90일 이내에 이행 노력 결과를 제출할 것 | https://datalaw.kr/orders/#o-2022-016-127
2023-05-26 | 제2023-210-174호 | 비공개 | 내부관리계획·규정·매뉴얼 | 피심인은 열람청구권 등 정보주체의 권리를 보장하여야 한다. 1) 피심인은 체계적인 개인정보 열람청구 대응절차를 마련하여야 한다. | https://datalaw.kr/orders/#o-2023-210-174
2023-05-10 | 제2023-008-092호 | 비공개 | 동의·고지 절차 정비 | 피심인은 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-008-092
2023-05-10 | 제2023-008-092호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 법률· 대통령령 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우, 정보주체 또는 제 3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 및 이에 준하여 주민등록번호의 처리가 불가피한 경우로서 개인정보 보호위원회가 고시로 정하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. | https://datalaw.kr/orders/#o-2023-008-092
2023-05-10 | 제2023-008-092호 | 비공개 | 암호화 | 피심인은 개인정보의 분실· 도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적· 관리적 ·물리적 보호 조치를 취하여야 한다. 1) 피심인은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증수단을 적용하여야 한다. 2) 피심인은 개인정보처리시스템에 접근할 수 있는 개인정보취급자의 비밀번호는 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성, 연속적인 숫자나 생일 , 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고 , 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경하는 사항 등을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용 ·운용하여야 한다. 3) 피심인은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 유지되도록 최대 접속시간 제한 등의 조치를 취하여야 한다. 4) 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인· 감독하여야 하며, 시스템 이상 유무의 확인을 위해 최소 1년 이상 접속기록을 보존 ·관리하여야 한다. 5) 피심인은 주민등록번호 등에 대해서 안전한 암호화 알고리듬으로 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2023-008-092
2023-05-10 | 제2023-008-092호 | 비공개 | 파기·삭제 | 피심인은 처방전을 약국으로 전송한 후에는 처방전에 포함된 주민등록번호를 마스킹 처리하여 보관하고, 유효기간 경과 시 처방전을 파기하여야 한다 . | https://datalaw.kr/orders/#o-2023-008-092
2023-05-10 | 제2023-008-092호 | 비공개 | 암호화 | 피심인은 이용자가 플랫폼을 통해 처방전을 약국으로 전송할 경우, 주민등록번호의 안전성이 확보될 수 있도록 하여야 한다. | https://datalaw.kr/orders/#o-2023-008-092
2023-05-10 | 제2023-008-091호 | 비공개 | 동의·고지 절차 정비 | 피심인은 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-008-091
2023-05-10 | 제2023-008-091호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 법률· 대통령령 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우, 정보주체 또는 제 3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 및 이에 준하여 주민등록번호의 처리가 불가피한 경우로서 개인정보 보호위원회가 고시로 정하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. | https://datalaw.kr/orders/#o-2023-008-091
2023-05-10 | 제2023-008-091호 | 비공개 | 암호화 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적 ·관리적·물리적 보호 조치를 취하여야 한다. 1) 피심인은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증수단을 적용하여야 한다. 2) 피심인은 개인정보처리시스템에 접근할 수 있는 개인정보취급자의 비밀번호는 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성, 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고, 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경하는 사항 등을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용 ·운용하여야 한다. 3) 피심인은 주민등록번호, 계좌번호 등에 대해서 안전한 암호화 알고리듬으로 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2023-008-091
2023-05-10 | 제2023-008-091호 | 비공개 | 파기·삭제 | 피심인은 처방전을 약국으로 전송한 후에는 처방전에 포함된 주민등록번호를 마스킹 처리하여 보관하고, 유효기간 경과 시 처방전을 파기하여야 한다 . | https://datalaw.kr/orders/#o-2023-008-091
2023-05-10 | 제2023-008-091호 | 비공개 | 암호화 | 피심인은 이용자가 플랫폼을 통해 처방전을 약국으로 전송할 경우, 주민등록번호의 안전성이 확보될 수 있도록 하여야 한다. | https://datalaw.kr/orders/#o-2023-008-091
2023-05-10 | 제2023-008-090호 | 비공개 | 암호화 | 피심인은 개인정보의 분실 ·도난 ·유출 ·위조 ·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적 ·관리적·물리적 보호 조치를 취하여야 한다. 1) 피심인은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증수단을 적용하여야 한다. 2) 피심인은 개인정보처리시스템에 접근할 수 있는 개인정보취급자의 비밀번호는 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성, 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고, 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경하는 사항 등을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용 ·운용하여야 한다. 3) 피심인은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 유지되도록 최대 접속시간 제한 등의 조치를 취하여야 한다. 4) 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인· 감독하여야 하며, 시스템 이상 유무의 확인을 위해 최소 1년 이상 접속기록을 보존 ·관리하여야 한다. 5) 피심인은 비밀번호가 복호화되지 않도록 일방향 암호화하여 저장하여야 하며, 주민등록번호 등에 대해서 안전한 암호화 알고리듬으로 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2023-008-090
2023-05-10 | 제2023-008-090호 | 비공개 | 파기·삭제 | 피심인은 처방전을 약국으로 전송한 후에는 처방전에 포함된 주민등록번호를 마스킹 처리하여 보관하고, 유효기간 경과 시 처방전을 파기하여야 한다 . | https://datalaw.kr/orders/#o-2023-008-090
2023-05-10 | 제2023-008-090호 | 비공개 | 암호화 | 피심인은 이용자가 플랫폼을 통해 처방전을 약국으로 전송할 경우, 주민등록번호의 안전성이 확보될 수 있도록 하여야 한다. | https://datalaw.kr/orders/#o-2023-008-090
2023-05-10 | 제2023-008-089호 | 비공개 | 동의·고지 절차 정비 | 피심인은 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-008-089
2023-05-10 | 제2023-008-089호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 법률· 대통령령 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우, 정보주체 또는 제 3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 및 이에 준하여 주민등록번호의 처리가 불가피한 경우로서 개인정보 보호위원회가 고시로 정하는 경우를 제외하고는 주민등록번호를 처리할 수 없다. | https://datalaw.kr/orders/#o-2023-008-089
2023-05-10 | 제2023-008-089호 | 비공개 | 암호화 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적 ·관리적·물리적 보호 조치를 취하여야 한다. 1) 피심인은 개인정보취급자에 대한 개인정보처리시스템의 접근권한 부여, 변경 또는 말소 내역을 기록하고, 그 기록을 최소 5년간 보관하여야 한다. 2) 피심인은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증수단을 적용하여야 한다. 3) 피심인은 개인정보처리시스템에 접근할 수 있는 개인정보취급자의 비밀번호는 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성, 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고, 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경하는 사항 등을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용 ·운용하여야 한다. 4) 피심인은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 유지되도록 최대 접속시간 제한 등의 조치를 취하여야 한다. 5) 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인· 감독하여야 하며, 시스템 이상 유무의 확인을 위해 최소 1년 이상 접속기록을 보존 ·관리하여야 한다. 6) 피심인은 주민등록번호, 계좌번호 등에 대해서 안전한 암호화 알고리듬으로 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2023-008-089
2023-05-10 | 제2023-008-089호 | 비공개 | 파기·삭제 | 피심인은 처방전을 약국으로 전송한 후에는 처방전에 포함된 주민등록번호를 마스킹 처리하여 보관하고, 유효기간 경과 시 처방전을 파기하여야 한다 . | https://datalaw.kr/orders/#o-2023-008-089
2023-05-10 | 제2023-008-089호 | 비공개 | 암호화 | 피심인은 이용자가 플랫폼을 통해 처방전을 약국으로 전송할 경우, 주민등록번호의 안전성이 확보될 수 있도록 하여야 한다. | https://datalaw.kr/orders/#o-2023-008-089
2023-05-10 | 제2023-008-088호 | 비공개 | 동의·고지 절차 정비 | 피심인은 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-008-088
2023-05-10 | 제2023-008-088호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적 ·관리적·물리적 보호 조치를 취하여야 한다. 1) 피심인은 개인정보취급자에 대한 개인정보처리시스템의 접근권한 부여, 변경 또는 말소 내역을 기록하고, 그 기록을 최소 5년간 보관하여야 한다. 2) 피심인은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증수단을 적용하여야 한다. 3) 피심인은 개인정보처리시스템에 접근할 수 있는 개인정보취급자의 비밀번호는 영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성, 연속적인 숫자나 생일 , 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고 , 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경하는 사항 등을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용 ·운용하여야 한다. 4) 피심인은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 유지되도록 최대 접속시간 제한 등의 조치를 취하여야 한다. 5) 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존 ·관리하여야 한다. | https://datalaw.kr/orders/#o-2023-008-088
2023-05-10 | 제2023-008-086호 | 비공개 | 동의·고지 절차 정비 | 민감정보 수집 필요시 정보주체에게 별도로 동의를 받는다. | https://datalaw.kr/orders/#o-2023-008-086
2023-05-10 | 제2023-008-075호 | 비공개 | 재발방지대책 수립 | 피심인은 보유 시스템 전반에 대하여 「공공기관 개인정보 유출방지 대책」(’22.7월)에 따라 개인정보 처리 전반에 대한 점검을 실시하고, 재발방지 대책을 수립하여 이행한다. | https://datalaw.kr/orders/#o-2023-008-075
2023-05-10 | 제2023-008-075호 | 비공개 | 교육 | 피심인은 개인정보책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시한다. | https://datalaw.kr/orders/#o-2023-008-075
2023-04-12 | 제2023-006-061호 | 비공개 | 안전조치(일반) | 만 14세 미만 아동 대상 서비스를 제공하지 않는 경우, 회원가입 시 가입 대상자가 실제 만 14세 이상인지 확인할 수 있도록 절차를 개선하여야 한다. | https://datalaw.kr/orders/#o-2023-006-061
2023-04-12 | 제2023-006-061호 | 비공개 | 동의·고지 절차 정비 | 만 14세 미만 아동 대상 서비스를 제공하는 경우, 개인정보 보호법에 따른 법정대리인의 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-006-061
2023-04-12 | 제2023-006-060호 | 비공개 | 안전조치(일반) | 만 14세 미만 아동 대상 서비스를 제공하지 않는 경우, 회원가입 시 가입 대상자가 실제 만 14세 이상인지 확인할 수 있도록 절차를 개선하여야 한다. | https://datalaw.kr/orders/#o-2023-006-060
2023-04-12 | 제2023-006-060호 | 비공개 | 동의·고지 절차 정비 | 만 14세 미만 아동 대상 서비스를 제공하는 경우, 개인정보 보호법에 따른 법정대리인의 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-006-060
2023-04-12 | 제2023-006-054호 | 비공개 | 동의·고지 절차 정비 | 개인정보 수집․이용에 대한 동의를 받을 때 정보주체에게 개인정보의 수집․이용 목적, 항목, 보유 및 이용기간 등을 알리고 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-006-054
2023-04-12 | 제2023-006-054호 | 비공개 | 동의·고지 절차 정비 | 피심인은 민감정보를 수집할 때 정보주체에게 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2023-006-054
2023-04-12 | 제2023-006-052호 | 비공개 | 기타 | 피심인은 홈페이지 운영을 위한 개인정보파일을 보호위원회에 등록하여야 한다. | https://datalaw.kr/orders/#o-2023-006-052
2023-04-12 | 제2023-006-052호 | 비공개 | 교육 | 피심인은 재발방지를 위한 개인정보 처리 절차와 수단을 마련하고, 개인정보보호책임자와 개인정보취급자를 대상으로 정기적인 개인정보보호 교육을 실시하여야 한다. | https://datalaw.kr/orders/#o-2023-006-052
2023-04-12 | 제2023-006-051호 | 비공개 | 재발방지대책 수립 | 피심인은 향후 유사 사건 재발 방지를 위하여 개인정보처리 절차와 수단을 마련하여야 한다. | https://datalaw.kr/orders/#o-2023-006-051
2023-04-12 | 제2023-006-051호 | 비공개 | 교육 | 피심인은 개인정보보호책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시하여야 한다. | https://datalaw.kr/orders/#o-2023-006-051
2023-04-12 | 제2023-006-048호 | 비공개 | 수탁자 관리·감독 | 피심인은 수탁자가 개인정보를 안전하게 처리하는지 처리현황 점검 등 감독하여야 한다. | https://datalaw.kr/orders/#o-2023-006-048
2023-04-12 | 제2023-006-048호 | 비공개 | 교육 | 피심인은 재발방지를 위한 개인정보 처리 절차와 수단을 마련하고, 개인정보보호책임자와 개인정보취급자를 대상으로 정기적인 개인정보 보호교육을 실시하여야 한다. | https://datalaw.kr/orders/#o-2023-006-048
2023-03-22 | 제2023-005-041호 | 비공개 | 목적 외 이용·제공 제한 | 「개인정보 보호법」 제18조(개인정보의 목적 외 이용·제공 제한) 제1항을 준수하여 사업장에 설치된 영상정보처리기기를 통해 수집한 개인 영상정보를 수집 목적 범위를 초과하여 이용하지 말 것 | https://datalaw.kr/orders/#o-2023-005-041
2023-03-22 | 제2023-005-039호 | 리앤리성형외과 | 기타 | 「개인정보 보호법」 제25조(영상정보처리기기의 설치·운영 제한) 제2항을 준수하여 장소 명칭을 불문하고 탈의 등 개인의 사생활을 침해할 우려가 있는 장소에는 영상정보처리기기를 설치·운영하지 말 것 | https://datalaw.kr/orders/#o-2023-005-039
2023-03-22 | 제2023-005-038호 | 마노성형외과의원 | 기타 | 「개인정보 보호법」 제25조(영상정보처리기기의 설치·운영 제한) 제2항을 준수하여 장소 명칭을 불문하고 탈의 등 개인의 사생활을 침해할 우려가 있는 장소에는 영상정보처리기기를 설치·운영하지 말 것 | https://datalaw.kr/orders/#o-2023-005-038
2023-03-08 | 제2023-004-035호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 유출 사실을 안 때에는 지체없이 유출된 개인정보 항목, 유출이 발생한 시점, 이용자가 취할 수 있는 조치, 정보통신서비스 제공자등의 대응 조치, 이용자가 상담 등을 접수할 수 있는 부서 및 연락처 등을 해당 이용자에게 알려야 한다. | https://datalaw.kr/orders/#o-2023-004-035
2023-03-08 | 제2023-004-033호 | 비공개 | 기타 | 피심인은 「개인정보 보호법」제35조 및 같은 법 시행령 제41조를 준수하여 개인정보 열람 요구 방법을 개인정보 수집 방법보다 어렵지 않도록 하여야 한다. | https://datalaw.kr/orders/#o-2023-004-033
2023-02-22 | 제2023-003-015호 | 비공개 | 파기·삭제 | 피심인은 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. | https://datalaw.kr/orders/#o-2023-003-015
2023-02-22 | 제2023-003-014호 | 비공개 | 파기·삭제 | 피심인은 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. | https://datalaw.kr/orders/#o-2023-003-014
2023-02-22 | 제2023-003-014호 | 비공개 | 암호화 | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 개인정보처리자는 고유식별정보, 비밀번호, 생체인식정보를 정보통신망을 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 한다. 2) 개인정보취급자( )가 개인정보처리시스템에 접속한 기록을 1년 이상 보관ㆍ관리하여야 한다. | https://datalaw.kr/orders/#o-2023-003-014
2023-02-22 | 제2023-003-013호 | 비공개 | 파기·삭제 | 피심인은 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. | https://datalaw.kr/orders/#o-2023-003-013
2023-02-22 | 제2023-003-012호 | 비공개 | 파기·삭제 | 피심인은 의 를 다른 법령에 따라 파기하지 않고 보존할 때에는 다른 개인정보와 분리하여 저장·관리해야 한다. | https://datalaw.kr/orders/#o-2023-003-012
2023-02-22 | 제2023-003-011호 | 비공개 | 파기·삭제 | 피심인은 의 를 다른 법령에 따라 파기하지 않고 보존할 때에는 다른 개인정보와 분리하여 저장·관리해야 한다. | https://datalaw.kr/orders/#o-2023-003-011
2023-02-22 | 제2023-003-010호 | 비공개 | 안전조치(일반) | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 개인정보취급자( )가 개인정보처리시스템에 접속한 기록을 1년 이상 보관ㆍ관리하여야 한다. | https://datalaw.kr/orders/#o-2023-003-010
2023-02-08 | 제2023-002-003호 | Meta Platforms, Inc | 기타 | 피심인은 이용자가 이용자의 타사 행태정보에 대한 제공을 거부하더라도 페이스북 및 인스타그램 서비스를 가입하고 이용할 수 있도록 하여야 한다. | https://datalaw.kr/orders/#o-2023-002-003
2022-11-30 | 제2022-019-176호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-176
2022-11-30 | 제2022-019-176호 | 비공개 | 암호화 | 주민등록번호가 안전하게 저장·전송될 수 있도록 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 암호화하여 저장할 것 | https://datalaw.kr/orders/#o-2022-019-176
2022-11-30 | 제2022-019-175호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-175
2022-11-30 | 제2022-019-175호 | 비공개 | 암호화 | 주민등록번호가 안전하게 저장·전송될 수 있도록 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 암호화하여 저장할 것 | https://datalaw.kr/orders/#o-2022-019-175
2022-11-30 | 제2022-019-174호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-174
2022-11-30 | 제2022-019-174호 | 비공개 | 암호화 | 주민등록번호가 안전하게 저장·전송될 수 있도록 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 암호화하여 저장할 것 | https://datalaw.kr/orders/#o-2022-019-174
2022-11-30 | 제2022-019-174호 | 비공개 | 기타 | 개인정보가 포함된 서류, 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관할 것 | https://datalaw.kr/orders/#o-2022-019-174
2022-11-30 | 제2022-019-172호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-172
2022-11-30 | 제2022-019-172호 | 비공개 | 암호화 | 주민등록번호가 안전하게 저장·전송될 수 있도록 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 암호화하여 저장할 것 | https://datalaw.kr/orders/#o-2022-019-172
2022-11-30 | 제2022-019-171호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-171
2022-11-30 | 제2022-019-171호 | 비공개 | 암호화 | 주민등록번호가 안전하게 저장·전송될 수 있도록 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 암호화하여 저장할 것 | https://datalaw.kr/orders/#o-2022-019-171
2022-11-30 | 제2022-019-170호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-170
2022-11-30 | 제2022-019-170호 | 비공개 | 암호화 | 주민등록번호가 안전하게 저장·전송될 수 있도록 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 암호화하여 저장할 것 | https://datalaw.kr/orders/#o-2022-019-170
2022-11-30 | 제2022-019-169호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-169
2022-11-30 | 제2022-019-169호 | 비공개 | 암호화 | 주민등록번호가 안전하게 저장·전송될 수 있도록 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 암호화하여 저장할 것 | https://datalaw.kr/orders/#o-2022-019-169
2022-11-30 | 제2022-019-168호 | 비공개 | 파기·삭제 | 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기할 것 | https://datalaw.kr/orders/#o-2022-019-168
2022-11-30 | 제2022-019-167호 | 비공개 | 동의·고지 절차 정비 | 개인정보를 이용하려고 수집하는 경우에는 정보주체의 동의를 받을 것 | https://datalaw.kr/orders/#o-2022-019-167
2022-11-30 | 제2022-019-156호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 유출 사실을 안 때에는 지체 없이 유출된 개인정보 항목, 유출이 발생한 시점, 이용자가 취할 수 있는 조치, 정보통신서비스 제공자등의 대응 조치, 이용자가 상담 등을 접수할 수 있는 부서 및 연락처 등을 해당 이용자에게 알려야 한다. | https://datalaw.kr/orders/#o-2022-019-156
2022-11-16 | 제2022-018-153호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 분실·도난·유출(이하 “유출등”이라 한다) 사실을 안 때에는 지체없이 ‘유출등이 된 개인정보 항목’, ‘유출등이 발생한 시점’, ‘이용자가 취할 수 있는 조치’, ‘정보통신서비스 제공자등의 대응조치’, ‘이용자 상담 등을 접수할 수 있는 부서 및 연락처’의 사항을 해당 이용자에게 알려야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지‧신고해서는 아니 된다. | https://datalaw.kr/orders/#o-2022-018-153
2022-09-14 | 제2022-014-121호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-121
2022-09-14 | 제2022-014-120호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-120
2022-09-14 | 제2022-014-119호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-119
2022-09-14 | 제2022-014-118호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-118
2022-09-14 | 제2022-014-117호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-117
2022-09-14 | 제2022-014-116호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-116
2022-09-14 | 제2022-014-115호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-115
2022-09-14 | 제2022-014-114호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-114
2022-09-14 | 제2022-014-113호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행한다. | https://datalaw.kr/orders/#o-2022-014-113
2022-09-14 | 제2022-014-112호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-112
2022-09-14 | 제2022-014-111호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-111
2022-09-14 | 제2022-014-110호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-110
2022-09-14 | 제2022-014-109호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행한다. | https://datalaw.kr/orders/#o-2022-014-109
2022-09-14 | 제2022-014-108호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-108
2022-09-14 | 제2022-014-107호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행한다. | https://datalaw.kr/orders/#o-2022-014-107
2022-09-14 | 제2022-014-106호 | 비공개 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보 취급자를 대상으로 개인정보 보호 의식 및 역량 제고를 위한 정기적인 교육계획을 세워 제출하고 이에 따라 정기적인 교육을 수행하여야 한다. | https://datalaw.kr/orders/#o-2022-014-106
2022-09-14 | 제2022-014-104호 | Google Limited Liability Company | 동의·고지 절차 정비 | 피심인은 이용자의 타사 행태정보를 수집·이용하려면 이용자가 자유로운 결정권을 행사하고 쉽고 명확하게 인지할 수 있도록 이용자에게 알리고 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2022-014-104
2022-08-10 | 제2022-013-103호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보를 처리할 때는 개인정보의 분실 ·도난 ·유출 ·위조· 변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적· 관리적 보호조치를 취하여야 한다. 1) 정보통신서비스 제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 한다. 2) 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하거나 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지하는 등 침입차단‧탐지시스템을 운영하여야 한다. 3) 처리중인 개인정보가 열람 권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템에 조치를 취하여야 한다. | https://datalaw.kr/orders/#o-2022-013-103
2022-08-10 | 제2022-013-103호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 유출 사실을 인지한 때로부터 24시간 이내에 유출 사실을 통지‧신고하여야 하고, 유출 사실에 대한 이용자 통지 시 법정 통지 항목을 모두 포함하여 통지하여야 한다. | https://datalaw.kr/orders/#o-2022-013-103
2022-08-10 | 제2022-013-097호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2022-013-097
2022-06-22 | 제2022-011-066호 | 수원시청 | 목적 외 이용·제공 제한 | 수원시청은 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 자동차관리정보시스템상 개인정보를 법상 정의된 목적 외로 이용하지 않도록 할 것 | https://datalaw.kr/orders/#o-2022-011-066
2022-06-22 | 제2022-011-066호 | 수원시청 | 접근권한·접근통제 | 건설기계관리정보시스템에서 건설면허발급업무를 수행하는 자에게 발급업무 이상의 권한을 부여하지 않는 등 개인정보처리시스템을 통한 업무 수행시 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 접근권한을 부여하고, 인사발령으로 개인정보취급자가 변경되었을 경우 지체없이 접근권한을 변경하도록 할 것 | https://datalaw.kr/orders/#o-2022-011-066
2022-06-22 | 제2022-011-066호 | 수원시청 | 접속기록 점검·보관 | 개인정보취급자가 이용하는 개인정보처리시스템의 접속기록을 점검할 수 있는 체계를 마련하고 접속기록을 월1회 점검할 것 | https://datalaw.kr/orders/#o-2022-011-066
2022-06-22 | 제2022-011-066호 | 수원시청 | 접근권한·접근통제 | 개인정보취급자가 개인정보 관련 교육을 이수하고, 접근권한을 소관 업무 외의 용도로 불법적으로 사용하지 않도록 하는 등 적절한 관리·감독을 수행할 것 | https://datalaw.kr/orders/#o-2022-011-066
2022-06-22 | 제2022-011-066호 | 수원시청 | 목적 외 이용·제공 제한 | 목적 외 이용 제한 1) 법상 적격요건(자동차관리법 제69조 제2항)을 갖추는 경우를 제외하고는 운영 중인 자동차관리정보시스템상 개인정보를 이용기관이 법상 정의된 목적 외로 이용하지 않도록 점검할 것. 이와 관련하여 지자체에서 불법노점단속 업무시 자동차관리정보시스템을 이용하는 현황을 파악하고 개선대책을 마련할 것 | https://datalaw.kr/orders/#o-2022-011-066
2022-06-22 | 제2022-011-066호 | 수원시청 | 접근권한·접근통제 | 접근권한 최소 부여 1) 자동차관리정보시스템 및 건설기계관리정보시스템에 대한 접근권한 관리체계를 점검하여 지자체 등 이용기관의 개인정보취급자가 업무 수행에 필요한 최소한의 개인정보에만 접근할 수 있도록 할 것 2) 자동차관리정보시스템 및 건설기계관리정보시스템에서 개인정보 조회시 전 국민의 개인정보가 아닌 자동차등록, 면허발급 등 해당 업무 대상자에 한해서만 개인정보 조회가 가능하도록 개선할 것 | https://datalaw.kr/orders/#o-2022-011-066
2022-06-22 | 제2022-011-066호 | 수원시청 | 접근권한·접근통제 | 접속기록 조회 기능 구현 1) 이용기관이 소속 개인정보취급자의 접속기록을 쉽게 점검할 수 있도록 이용기관의 접근권한 관리자 화면에서 소속 개인정보취급자의 접속기록을 조회할 수 있는 기능을 조속히 구현할 것 | https://datalaw.kr/orders/#o-2022-011-066
2022-05-25 | 제2022-009-057호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2022-009-057
2022-05-11 | 제2022-008-052호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 아이피(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한하여야 한다. 2) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존·관리하여야 한다. | https://datalaw.kr/orders/#o-2022-008-052
2022-05-11 | 제2022-008-051호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 분실·도난·유출(이하 “유출등”이라 한다) 사실을 안 때에는 지체없이 ‘유출등이 된 개인정보 항목’, ‘유출등이 발생한 시점’, ‘이용자가 취할 수 있는 조치’, ‘정보통신서비스 제공자등의 대응조치’, ‘이용자 상담 등을 접수할 수 있는 부서 및 연락처’ 등 모든 사항을 해당 이용자에게 알려야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지‧신고해서는 아니 된다. | https://datalaw.kr/orders/#o-2022-008-051
2022-05-11 | 제2022-008-051호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 처리중인 개인정보가 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템에 조치를 취하여야 한다. | https://datalaw.kr/orders/#o-2022-008-051
2022-05-11 | 제2022-008-049호 | 비공개 | 암호화 | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증수단을 적용하여야 하고, 개인정보처리시스템에 대한 접속 권한을 아이피(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한하여야 한다. 2) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존·관리하여야 한다. 3) 피심인은 비밀번호가 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2022-008-049
2022-05-11 | 제2022-008-048호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 아이피(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한하고 개인정보처리시스템에 접속한 아이피(IP) 주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지하는 기능을 포함한 시스템을 설치·운영하여야 하며, 처리중인 개인정보가 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템에 조치를 취하여야 한다. 2) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존·관리하여야 한다. | https://datalaw.kr/orders/#o-2022-008-048
2022-04-27 | 제2022-007-044호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 법령에서 허용하는 경우 등을 제외하고는 이용자의 주민등록번호를 처리하지 아니하여야 한다. | https://datalaw.kr/orders/#o-2022-007-044
2022-04-27 | 제2022-007-044호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 분실·도난·유출(이하 “유출등”이라 한다) 사실을 안 때에는 지체없이 ‘유출등이 된 개인정보 항목’, ‘유출등이 발생한 시점’, ‘이용자가 취할 수 있는 조치’, ‘정보통신서비스 제공자등의 대응조치’, ‘이용자 상담 등을 접수할 수 있는 부서 및 연락처’ 등 모든 사항을 해당 이용자에게 알려야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지‧신고해서는 아니 된다. | https://datalaw.kr/orders/#o-2022-007-044
2022-04-27 | 제2022-007-043호 | 비공개 | 안전조치(일반) | 피심인은 개인정보의 분실·도난·유출(이하 “유출등”이라 한다) 사실을 안 때에는 지체 없이 ‘유출등이 된 개인정보 항목’, ‘유출등이 발생한 시점’, ‘이용자가 취할 수 있는 조치’, ‘정보통신서비스 제공자등의 대응조치’, ‘이용자 상담 등을 접수할 수 있는 부서 및 연락처’의 사항을 해당 이용자에게 알려야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지해서는 아니 된다. | https://datalaw.kr/orders/#o-2022-007-043
2022-04-27 | 제2022-007-042호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 분실·도난·유출(이하 “유출등”이라 한다) 사실을 안 때에는 지체없이 ‘유출등이 된 개인정보 항목’, ‘유출등이 발생한 시점’, ‘이용자가 취할 수 있는 조치’, ‘정보통신서비스 제공자등의 대응조치’, ‘이용자 상담 등을 접수할 수 있는 부서 및 연락처’ 등 모든 사항을 해당 이용자에게 알려야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지‧신고해서는 아니 된다. | https://datalaw.kr/orders/#o-2022-007-042
2022-03-23 | 제2022-005-017호 | ㈜하우빌드 | 주민등록번호·고유식별정보 | 「개인정보 보호법」 제24조의2(주민등록번호 처리의 제한)제1항을 준수할 것 | https://datalaw.kr/orders/#o-2022-005-017
2022-03-23 | 제2022-005-017호 | ㈜하우빌드 | 파기·삭제 | 법률 등에 근거 없이 수집·저장·보유한 주민등록번호를 지체 없이 파기할 것 | https://datalaw.kr/orders/#o-2022-005-017
2022-03-23 | 제2022-005-014호 | Canva PTY Ltd | 재발방지대책 수립 | 피심인은 개인정보처리시스템에 허용되지 않은 접근이 발생하지 않도록 적절히 관리하는 등 재발 방지 대책을 마련할 것 | https://datalaw.kr/orders/#o-2022-005-014
2022-02-23 | 제2022-004-013호 | 비공개 | 파기·삭제 | 피심인은 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. | https://datalaw.kr/orders/#o-2022-004-013
2022-02-23 | 제2022-004-013호 | 비공개 | 동의·고지 절차 정비 | 피심인은 법령에서 민감정보의 처리를 요구하거나 허용하는 경우 또는 이용자에게 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우가 아니면 민감정보를 처리하지 아니하여야 한다. | https://datalaw.kr/orders/#o-2022-004-013
2022-02-23 | 제2022-004-013호 | 비공개 | 주민등록번호·고유식별정보 | 피심인은 법령 등에서 주민등록번호의 처리를 요구하거나 허용한 경우 등을 제외하고는 이용자의 주민등록번호를 처리하지 아니하여야 한다. | https://datalaw.kr/orders/#o-2022-004-013
2022-02-23 | 제2022-004-013호 | 비공개 | 암호화 | 피심인은 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 보호조치를 취하여야 한다. 1) 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 안전한 인증수단을 적용하여야 한다. 2) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하여야 한다. 3) 처리중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터와 모바일 기기에 조치를 취하여야 한다. 4) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존·관리하여야 한다. 5) 주민등록번호에 대해서는 안전한 암호알고리듬으로 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2022-004-013
2022-02-23 | 제2022-004-013호 | 비공개 | 유출 통지·신고 체계 | 피심인은 개인정보의 유출 사실을 안 때에는 지체 없이 유출된 개인정보 항목, 유출이 발생한 시점, 이용자가 취할 수 있는 조치, 정보통신서비스 제공자등의 대응 조치, 이용자가 상담 등을 접수할 수 있는 부서 및 연락처 등을 해당 이용자에게 알려야 한다. | https://datalaw.kr/orders/#o-2022-004-013
2022-02-23 | 제2022-004-013호 | 비공개 | 파기·삭제 | 피심인은 정보통신서비스를 1년의 기간 동안 이용하지 않은 이용자의 개인정보를 해당 기간 경과 후 즉시 파기하거나 다른 이용자의 개인정보와 분리하여 별도로 저장·관리하여야 한다. | https://datalaw.kr/orders/#o-2022-004-013
2022-02-23 | 제2022-004-012호 | 비공개 | 기타 | 향후, 이번 사안과 관련된 서비스 개발 시 서비스 이용자가 게시물 등의 공개 여부를 능동적으로 선택할 수 있도록 하되, 불가피하게 기본값을 설정할 때에는 사생활 침해가 최소화되는 방법으로 할 것 | https://datalaw.kr/orders/#o-2022-004-012
2022-02-23 | 제2022-004-012호 | 비공개 | 기타 | 설정 변경 방법은 최초 설정보다 어렵지 않도록 최초 설정 방법과 유사한 수준으로 할 것 | https://datalaw.kr/orders/#o-2022-004-012
2022-01-12 | 제2022-001-002호 | 비공개 | 안전조치(일반) | 피심인은 개인정보를 처리할 때는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 조치를 취하여야 한다. 1) 블로그 주소가 무작위로 자동 생성 되거나, 이용자가 주소를 직접 입력하는 등의 방식을 통하여 이용자의 ID가 노출되지 않도록 블로그 서비스 주소 체계를 개선하여야 한다. | https://datalaw.kr/orders/#o-2022-001-002
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | 암호화 | 개인정보를 처리할 때에는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적 · 관리적 보호조치를 취하여야 한다. 1) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 ⅰ 개인정보) 처리시스템에 대한 접속권한을 IP주소 등으로 제한하여 인가받지 않은 접근 제한, ⅱ 개인정보처리시스템에 접속한) 주소 등을 재분석하여 불법적인 IP 개인정보 유출시도 탐지 등의 기능을 포함한 시스템을 설치 운영하여야 한다. ․ 2) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적 · 으로 확인 감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존 관리하여야 한다. · 3) 비밀번호는 복호화되지 아니하도록 안전한 암호알고리즘을 이용하여 일방향 암호화하여 저장하여야 하며, 정보통신망을 통해 이용자의 개인정보를 송 · 수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화하여야 한다. | https://datalaw.kr/orders/#o-2021-016-186
2021-09-29 | 제2021-016-186호 | ㈜스퀘어랩 | 파기·삭제 | 1년 이상 서비스를 이용하지 아니하는 이용자의 개인정보를 보호하기 위해 파기 또는 분리보관 등의 조치를 취하여야 한다. | https://datalaw.kr/orders/#o-2021-016-186
2021-09-29 | 제2021-016-185호 | ㈜집꾸미기 | 암호화 | 개인정보를 처리할 때에는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적 · 관리적 보호조치를 취하여야 한다. 1) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 ⅰ 개인정보) 처리시스템에 대한 접속권한을 IP주소 등으로 제한하여 인가받지 않은 접근 제한, ⅱ 개인정보처리시스템에 접속한) 주소 등을 재분석하여 불법적인 IP 개인정보 유출시도 탐지 등의 기능을 포함한 시스템을 설치 운영하여야 한다. ․ 2) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적 · 으로 확인 감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 1년 이상 접속기록을 보존 관리하여야 한다. · 3) 비밀번호는 복호화되지 아니하도록 안전한 암호알고리즘을 이용하여 일방향 암호화하여 저장하여야 하며, 정보통신망을 통해 이용자의 개인정보를 송 · 수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화하여야 한다. | https://datalaw.kr/orders/#o-2021-016-185
2021-09-29 | 제2021-016-185호 | ㈜집꾸미기 | 파기·삭제 | 1년 이상 서비스를 이용하지 아니하는 이용자의 개인정보를 보호하기 위해 파기 또는 분리보관 등의 조치를 취하여야 한다. | https://datalaw.kr/orders/#o-2021-016-185
2021-09-29 | 제2021-016-183호 | ㈜야놀자 | 암호화 | 개인정보를 처리할 때에는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적 · 관리적 보호조치를 취하여야 한다. 1) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 ⅰ 개인정보) 처리시스템에 대한 접속권한을 IP주소 등으로 제한하여 인가받지 않은 접근 제한, ⅱ 개인정보처리시스템에 접속한) 주소 등을 재분석하여 불법적인 IP 개인정보 유출시도 탐지 등의 기능을 포함한 시스템을 설치 운영하여야 한다. ․ 2) 개인정보취급자를 대상으로 비밀번호 작성규칙을 수립하고, 이를 적용 운용 · 하여야 한다. 3) 비밀번호는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2021-016-183
2021-09-29 | 제2021-016-183호 | ㈜야놀자 | 파기·삭제 | 1년 이상 서비스를 이용하지 아니하는 이용자의 개인정보를 보호하기 위해 파기 또는 분리보관 등의 조치를 취하여야 한다. | https://datalaw.kr/orders/#o-2021-016-183
2021-09-08 | 제2021-015-174호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-174
2021-09-08 | 제2021-015-173호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1) 개인정보처리시스템의 접근권한 등록, 변경, 말소에 대한 내역을 기록하고 3년간 보관하여야 한다. 2) 개인정보취급자가 개인정보처리시스템에 접속한 기록을 항목누락 없이 보관·관리하여야 한다. | https://datalaw.kr/orders/#o-2021-015-173
2021-09-08 | 제2021-015-173호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-173
2021-09-08 | 제2021-015-172호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-172
2021-09-08 | 제2021-015-171호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-171
2021-09-08 | 제2021-015-170호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-170
2021-09-08 | 제2021-015-169호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1) 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다. | https://datalaw.kr/orders/#o-2021-015-169
2021-09-08 | 제2021-015-169호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-169
2021-09-08 | 제2021-015-168호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-168
2021-09-08 | 제2021-015-167호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-167
2021-09-08 | 제2021-015-166호 | 비공개 | 암호화 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1) 개인정보처리자는 비밀번호를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여 저장하여야 한다. | https://datalaw.kr/orders/#o-2021-015-166
2021-09-08 | 제2021-015-166호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-166
2021-09-08 | 제2021-015-165호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-165
2021-09-08 | 제2021-015-164호 | 비공개 | 접속기록 점검·보관 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1) 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위해 개인정보처리시스템의 접속기록을 월 1회 이상 점검해야 한다. | https://datalaw.kr/orders/#o-2021-015-164
2021-09-08 | 제2021-015-164호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-164
2021-09-08 | 제2021-015-163호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1). 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다. | https://datalaw.kr/orders/#o-2021-015-163
2021-09-08 | 제2021-015-163호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-163
2021-09-08 | 제2021-015-162호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-162
2021-09-08 | 제2021-015-161호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-161
2021-09-08 | 제2021-015-160호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1) 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다 | https://datalaw.kr/orders/#o-2021-015-160
2021-09-08 | 제2021-015-160호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-160
2021-09-08 | 제2021-015-159호 | 비공개 | 재발방지대책 수립 | 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-159
2021-09-08 | 제2021-015-158호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-158
2021-09-08 | 제2021-015-157호 | 비공개 | 악성프로그램·취약점 조치 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1) 피심인은 인터넷 홈페이지를 통해 고유식별정보를 처리함에 있어서 연 1회 이상 취약점 점검하고 필요한 보완조치를 하여야 한다. 2) 피심인은 개인정보처리시스템에 접속한 기록을 보관·관리하여야 한다. | https://datalaw.kr/orders/#o-2021-015-157
2021-09-08 | 제2021-015-157호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-157
2021-09-08 | 제2021-015-156호 | 비공개 | 접근권한·접근통제 | 피심인은 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 다음과 같은 기술적·관리적 및 물리적 보호조치를 하여야 한다. 1) 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다. | https://datalaw.kr/orders/#o-2021-015-156
2021-09-08 | 제2021-015-156호 | 비공개 | 재발방지대책 수립 | 피심인은 위반행위와 관련하여 향후 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-015-156
2021-08-25 | 제2021-013-103호 | 비공개 | 파기·삭제 | 동의없이 수집한 개인정보를 파기하거나 이용자에게 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2021-013-103
2021-08-25 | 제2021-013-102호 | 비공개 | 동의·고지 절차 정비 | 결제정보, 직장‧학력, 연락처 등 추가정보 입력 시 법정 고지사항을 이용자가 명확히 알 수 있도록 하여야 한다. | https://datalaw.kr/orders/#o-2021-013-102
2021-08-25 | 제2021-013-102호 | 비공개 | 국외이전 | 개인정보를 국외 이전받는 자의 이용목적에 맞게 이전되는 개인정보 항목을 구체적으로 명시하도록 하여야 한다. | https://datalaw.kr/orders/#o-2021-013-102
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | 파기·삭제 | 피심인 Facebook Incorporation, Facebook Ireland Limited는 이용자의 동의를 받지 않고 수집된 ‘얼굴인식 템플릿’을 파기하거나 이용자에게 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2021-013-101
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | 동의·고지 절차 정비 | 피심인 Facebook Ireland Limited는 정보통신서비스제공자 변경에 따른 개인정보를 이전하려는 사실, 이전 받는 자의 성명(법인명)․주소․전화번호 및 그 밖의 연락처, 개인정보 이전을 원하지 않는 경우 동의를 철회할 수 있는 방법을 인터넷 홈페이지 게시, 전자우편 등의 방법으로 이용자에게 알려야 한다. | https://datalaw.kr/orders/#o-2021-013-101
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | 파기·삭제 | 피심인 Facebook Incorporation은 다음과 같은 사항을 이행하여야 한다. 1) 법적 근거 없이 주민등록번호가 처리되지 않도록 조치하고, 이미 수집된 주민등록번호는 파기하여야 한다. 2) 개인정보를 이전받은 사실 및 이전받는 자의 성명(법인명)․주소․전화번호 및 그 밖의 연락처를 인터넷 홈페이지 게시, 전자우편 등의 방법으로 이용자에게 알려야 한다. 3) 페이스북의 개인정보 처리업무를 위탁하는 경우 위탁하는 업무의 내용과 개인정보 처리업무를 위탁받아 처리하는 자(수탁자)를 인터넷 홈페이지에 게재하여야 한다. 4) 국외 이전하는 개인정보 항목, 이전되는 국가, 이전일시 및 이전방법, 이전받는 자의 성명(법인명), 이전받은 자의 개인정보 이용목적 및 보유․이용기간을 개인정보 처리방침에 공개하거나 전자우편 등의 방법으로 이용자에게 알려야 한다. | https://datalaw.kr/orders/#o-2021-013-101
2021-08-25 | 제2021-013-101호 | Facebook Incorporation | 동의·고지 절차 정비 | “카드 추가” 화면에서 카드번호 수집과 관련한 법정 고지사항을 이용자가 쉽게 확인할 수 있도록 하여야 한다. | https://datalaw.kr/orders/#o-2021-013-101
2021-07-14 | 제2021-011-097호 | 비공개 | 동의·고지 절차 정비 | 피심인은 이용자가 필요한 최소한의 개인정보 이외의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부해서는 아니 된다. | https://datalaw.kr/orders/#o-2021-011-097
2021-07-14 | 제2021-011-097호 | 비공개 | 교육 | 피심인은 대표자를 비롯하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 정기적인 교육을 실시하고, 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-011-097
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 동의·고지 절차 정비 | ‘텍스트앳’과 ‘연애의 과학’ 앱 회원가입 과정에서 이용자 개인정보의 처리에 대한 동의를 받을 때에는 각각의 동의사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받는 절차를 마련하여야 한다. | https://datalaw.kr/orders/#o-2021-007-072
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 동의·고지 절차 정비 | ‘텍스트앳’과 ‘연애의 과학’ 앱 회원가입 과정에서 만 14세 미만인 아동의 개인정보를 수집하는 경우 법정대리인의 동의를 받고 법정대리인 동의 여부를 확인할 수 있는 절차를 마련하여야 한다. | https://datalaw.kr/orders/#o-2021-007-072
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 동의·고지 절차 정비 | ‘연애의 과학’ 앱에서 민감정보를 수집하는 경우 회원가입 또는 서비스 제공 시 정보주체로부터 별도의 동의를 받을 수 있는 절차를 마련하여야 한다. | https://datalaw.kr/orders/#o-2021-007-072
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 파기·삭제 | ‘이루다’ 개발 및 운영에 이용된 카카오톡 대화 정보 중 회원탈퇴한 이용자의 정보를 파기하는 방안을 개인정보보호위원회와 협의하여 마련하고 이를 이행하여야 한다. | https://datalaw.kr/orders/#o-2021-007-072
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 파기·삭제 | ‘텍스트앳’과 ‘연애의 과학’ 서비스를 1년 이상 사용하지 않은 이용자의 개인정보를 파기하거나 분리·보관하여야 한다. | https://datalaw.kr/orders/#o-2021-007-072
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 기타 | Github에서 공유되고 있는 카카오톡 대화를 삭제하는 방안을 개인정보보호위원회와 협의하여 마련하고 이를 이행하여야 한다. | https://datalaw.kr/orders/#o-2021-007-072
2021-04-28 | 제2021-007-072호 | 주식회사 스캐터랩 | 교육 | 대표자를 비롯하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 정기적인 교육을 실시하고, 개인정보보호위원회와 협의하여 재발방지대책을 수립하여야 한다. | https://datalaw.kr/orders/#o-2021-007-072
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | 동의·고지 절차 정비 | 이용자의 개인정보를 제3자에게 제공하려면 개인정보를 제공받는 자, 개인정보를 제공받는 자의 개인정보 이용 목적, 제공하는 개인정보의 항목, 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간을 이용자에게 알리고 동의를 받아야 한다. | https://datalaw.kr/orders/#o-2020-006-008
2020-11-25 | 제2020-006-008호 | Facebook Incorporation·Facebook Ireland Limited | 기타 | 제3자 앱에 제공된 개인정보를 삭제하는 방안을 개인정보보호위원회와 협의하여 이행하여야 한다. | https://datalaw.kr/orders/#o-2020-006-008
## 개인정보 형사 처벌 — 판결 형량과 위원회 고발 (https://datalaw.kr/sanctions/criminal/)
- 출처: 형사 판결문 검색 결과(죄명이 개인정보보호법위반 단독인 사건) / 기준일 2026-09-11 / 대상 기간 2025-09-01~2026-08-31
- 🔴 **표본은 죄명이 「개인정보보호법위반」 단독인 사건이다.** 다른 죄명과 병합 기소된 사건은 주문을 개인정보 위반에 귀속시킬 수 없어 뺐다 — 그중에는 징역 9년·12년짜리가 있고, 섞어 세면 「개인정보 위반으로 징역 12년」이라는 없는 사실이 생긴다.
- 🔴 **전국 전수가 아니다.** 판결문 검색 서비스 수록분이고 약식명령으로 끝난 사건은 판결이 없어 들어올 수 없다. 실제 처벌 건수는 더 많다.
- 1년치 단독 175건(1심 113 · 항소 54 · 상고 8). 1심 주문: 벌금 64 · 선고유예 24 · 무죄 18 · 징역·집행유예 5 · 징역 실형 2. 벌금 중앙값 100만 원(범위 30~700만 원, 100만원 이하 36건). 항소심 54건 중 항소기각 33건.
- 🔴 **위원회 고발은 결정문 전체에서 4건뿐이다**(고발유예 5건 별도). 형사 리스크는 위원회 경로가 아니라 수사기관 직접 수사로 온다. 그리고 최다 적용 조문의 성질상 **피고인은 회사가 아니라 개인**이다.
벌칙 조문 | 건수 | 무엇을 한 것인가 | 의무 조문 | 법정형
제71조 제2호 | 28 | 목적 외 이용·제3자 제공 | 제18조·제19조 등 | 5년 이하 징역 또는 5천만원 이하 벌금
제71조 제1호 | 22 | 동의 없이 제3자에게 제공 | 제17조제1항제1호 | 5년 이하 징역 또는 5천만원 이하 벌금
제71조 제9호 | 20 | 업무상 알게 된 개인정보 누설·권한 없는 제공 | 제59조제2호 | 5년 이하 징역 또는 5천만원 이하 벌금
제71조 제10호 | 13 | 다른 사람의 개인정보 이용·훼손·멸실·변경·위조·유출 | 제59조제3호 | 5년 이하 징역 또는 5천만원 이하 벌금
제72조 제2호 | 6 | 거짓·부정한 수단으로 취득하거나 동의를 받는 행위 | 제59조제1호 | 3년 이하 징역 또는 3천만원 이하 벌금
제72조 제1호 | 4 | 고정형 영상정보처리기기 임의 조작·다른 곳 촬영 | 제25조제5항 | 3년 이하 징역 또는 3천만원 이하 벌금
제71조 제5호 | 2 | 고유식별정보 처리 | 제24조제1항 | 5년 이하 징역 또는 5천만원 이하 벌금
제70조 제2호 | 1 | 부정 취득한 개인정보를 영리·부정 목적으로 제3자에게 제공 | — | 10년 이하 징역 또는 1억원 이하 벌금
위원회 고발 의결: 의결일 | 안건번호 | 피심인 | 구분 | 조문 | 위원회가 적은 이유
2025-11-26 | 제2025-024-303호 | umanle S.R.L | 고발 | 제63조제1항 | 위법 사항이 발견됐는데도 자료제출 요구를 은폐·축소 목적으로 거부했다
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 고발유예 | 제59조제1호 | 재유도 창으로 이용자의 오인을 유도해 선택사항 동의를 받은 행위가 제59조제1호·제72조제2호에 해당할 소지가 있어 고발 검토가 가능했으나, 조사과정에서 위반행위를 중단해 유예
2024-12-11 | 제2024-021-258호 | 악사손해보험㈜ | 고발유예 | 제59조제1호 | 재유도 창으로 이용자의 오인을 유도해 선택사항 동의를 받은 행위가 제59조제1호·제72조제2호에 해당할 소지가 있어 고발 검토가 가능했으나, 조사과정에서 위반행위를 중단해 유예
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 고발유예 | 제59조제1호 | 재유도 창으로 이용자의 오인을 유도해 선택사항 동의를 받은 행위가 제59조제1호·제72조제2호에 해당할 소지가 있어 고발 검토가 가능했으나, 조사과정에서 위반행위를 중단해 유예
2024-12-11 | 제2024-021-251호 | 현대해상화재보험㈜ | 고발유예 | 제59조제1호 | 재유도 창으로 이용자의 오인을 유도해 선택사항 동의를 받은 행위가 제59조제1호·제72조제2호에 해당할 소지가 있어 고발 검토가 가능했으나, 조사과정에서 위반행위를 중단해 유예
2024-09-25 | 제2024-016-233호 | 비실명 | 고발 | 제18조 | 목적 외 이용이 제59조제3호 금지행위에도 해당할 수 있어 고발기준 제2조·제3조에 따라 고발
2023-07-26 | 제2023-013-156호 | 비실명 | 고발유예 | 제59조 | 고발 대상에는 해당하나 3개월 내 자진 시정을 조건으로 유예. 미시정 시 다시 상정
2022-02-23 | 제2022-004-013호 | 비실명 | 고발 | 제21조·제23조·제29조 | 파기 미이행·민감정보 별도동의 흠결·안전조치 미비로 유출. 고발기준 제3조제2항제3호
2020-11-25 | 제2020-006-008호 | 페이스북 | 고발 | 제17조·제39조의3 등 | 동의 없이 친구 개인정보를 다른 사업자에게 제공. 과징금 67억 4,800만 원과 함께 수사기관 고발. 2026-09 첨부 PDF 수집으로 결정문이 본표에 들어왔다
## 해외 사업자 제재 (https://datalaw.kr/sanctions/foreign/)
- 출처: 개인정보위 결정문 게시판과 보도자료(결정문 미공개층) / 기준일 2026-09-11 / 의결 46건 · 사업자 41곳 · 14개국
- 🔴 **「해외 사업자」는 이 표가 붙인 축입니다** — 결정문에 그런 구분은 없고, 법인의 설립지와 모회사 국적을 공개 정보로 확인해 수기로 분류했습니다. 브랜드가 외국이어도 피심인이 국내 설립 법인이면 뺐습니다.
- 🔴 **비실명 처분은 셀 수 없어 하한입니다.** 위원회가 가린 이름에 국적을 추정해 붙이지 않습니다.
- 🔴 **국외이전 조문(제28조의8)이 과징금 근거가 된 건은 3건입니다** — 애플 제2025-001-003호(2025-01-22) 과징금 24억 500만 원과 테무 제2024-013-193호(2025-05-14) 과징금 8억 7,900만 원. 둘 다 위반 내용은 국외 수탁자에게 처리를 맡긴 사실을 정보주체에게 알리지 않은 것. 나머지 과징금의 근거는 안전조치의무(제29조)·구 정보통신망법 행태정보 조문·위탁(제26조)·유출 통지(제34조)입니다.
- 결정문 층 과징금 15건 합계에서 **구글 한 건이 94%**입니다. 평균으로 규모를 가늠하지 마십시오. 금액을 보도자료 층과 더하지 마십시오.
피심인 | 국가 | 구분 | 의결일 | 안건번호 | 층 | 위반 조문 | 과징금 | 과태료 | 항변과 판정 | 행 주소
TikTok Pte. Ltd. | 싱가포르 | 본사 직접 | 2026-07-22 | - | 보도자료(결정문 미공개) | - | 103억 600만 원 | - | - | https://datalaw.kr/sanctions/foreign/#fg-2026-07-22-n12330-0
Apple Distribution International Limited | 아일랜드 | 본사 직접 | 2026-07-22 | - | 보도자료(결정문 미공개) | - | 2억 5,200만 원 | - | - | https://datalaw.kr/sanctions/foreign/#fg-2026-07-22-n12330-1-0
Apple Services Pte. Ltd. | 싱가포르 | 본사 직접 | 2026-07-22 | - | 보도자료(결정문 미공개) | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2026-07-22-n12330-1-1
레즈메드헬스케어코리아 | 미국 | 한국 법인 | 2026-06-24 | 제2026-212-242호 | 결정문 | 제28조 | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2026-212-242
Cristie, Manson & Woods, Ltd | 영국 | 본사 직접 | 2026-04-08 | 제2026-006-051호 | 결정문 | 제29조·제34조 | 2억 8,000만 원 | 720만 원 | 과징금 부과 및 산정=일부수용 ; 시정명령 및 공표명령 부과=일부수용 | https://datalaw.kr/sanctions/foreign/#fg-2026-006-051
넷플릭스서비시스코리아(유) | 미국 | 한국 법인 | 2026-03-25 | 제2026-206-094호 | 결정문 | 제30조 | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2026-206-094
루이비통코리아(유) | 프랑스 | 한국 법인 | 2026-02-11 | - | 보도자료(결정문 미공개) | - | 213억 8,500만 원 | - | - | https://datalaw.kr/sanctions/foreign/#fg-2026-02-11-n11817-0
크리스챤디올꾸뛰르코리아 주식회사 | 프랑스 | 한국 법인 | 2026-02-11 | - | 보도자료(결정문 미공개) | - | 122억 3,600만 원 | 360만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2026-02-11-n11817-1
주식회사 티파니코리아 | 프랑스 | 한국 법인 | 2026-02-11 | - | 보도자료(결정문 미공개) | - | 24억 1,200만 원 | 720만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2026-02-11-n11817-2
K Games, Inc | 미국 | 본사 직접 | 2025-12-10 | 제2025-026-308호 | 결정문 | 제29조·제39조의4 | 1억 9,451만 9,000 원 | 720만 원 | 과징금 산정 — 관련 매출액=일부수용 | https://datalaw.kr/sanctions/foreign/#fg-2025-026-308
퀴아젠코리아(유) | 네덜란드 | 한국 법인 | 2025-11-26 | 제2025-222-448호 | 결정문 | 제28조·제34조 | - | 180만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2025-222-448
umanle S.R.L | 파라과이 | 본사 직접 | 2025-11-26 | 제2025-024-303호 | 결정문 | 제63조 | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-024-303
Elevate Hong Kong Holdings Limited | 홍콩 | 본사 직접 | 2025-11-26 | 제2025-024-302호 | 결정문 | 제24조의2 | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-024-302
Starbucks Corporation | 미국 | 본사 직접 | 2025-11-26 | 제2025-024-301호 | 결정문 | 제26조·제3조 | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-024-301
㈜몽클레르코리아 | 이탈리아 | 한국 법인 | 2025-09-10 | 제2025-020-252호 | 결정문 | 제29조·제39조의4 | 8,101만 7,000 원 | 720만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2025-020-252
Qookka Entertainment Limited | 홍콩 | 본사 직접 | 2025-07-23 | 제2025-016-233호 | 결정문 | 제24조의2 | 9,370만 원 | - | 기타=일부수용 | https://datalaw.kr/sanctions/foreign/#fg-2025-016-233
TELUS International AI, Ltd | 캐나다 | 본사 직접 | 2025-06-25 | 제2025-014-047호 | 결정문 | 제29조·제34조 | 8,200만 원 | 720만 원 | 과징금 산정 — 관련 매출액=불수용 | https://datalaw.kr/sanctions/foreign/#fg-2025-014-047
한국마이크로소프트 (유) | 미국 | 한국 법인 | 2025-06-11 | 제2025-013-038호 | 결정문 | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-013-038
아마존웹서비시즈코리아 유한책임회사 | 미국 | 한국 법인 | 2025-06-11 | 제2025-013-037호 | 결정문 | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-013-037
Elementary Innovation Pte. Ltd | 싱가포르 | 본사 직접 | 2025-05-14 | 제2025-011-035호 | 결정문 | 제24조의2 | 4억 9,000만 원 | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-011-035
Whaleco Technology Limited | 아일랜드 | 본사 직접 | 2025-05-14 | 제2024-013-193호 | 결정문 | 제26조·제28조의8·제31조의2 | 8억 7,900만 원 | 1,760만 원 | 국외이전의 법적 근거=불수용 ; 수탁사 교육‧감독=불수용 ; 권리행사 방법=불수용 ; 자료 미제출=수용 ; 관련 매출액 산정=불수용 | https://datalaw.kr/sanctions/foreign/#fg-2024-013-193
Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 중국 | 본사 직접 | 2025-04-23 | 제2025-009-026호 | 결정문 | 제63조의2 | - | - | 개인정보 처리방침=불수용 ; 개인정보의 국외 이전=일부수용 ; AI 개발 및 이용자 프롬프트 입력 정보 학습=불수용 ; 안전조치=일부수용 | https://datalaw.kr/sanctions/foreign/#fg-2025-009-026
Apple Distribution International Limited | 아일랜드 | 본사 직접 | 2025-02-12 | 제2025-003-011호 | 결정문 | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-003-011
Meta Platforms, Inc | 미국 | 본사 직접 | 2025-02-12 | 제2025-003-010호 | 결정문 | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-003-010
Google LLC | 미국 | 본사 직접 | 2025-02-12 | 제2025-003-009호 | 결정문 | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-003-009
Alipay Singapore E-Commerce Private Limited | 싱가포르 | 본사 직접 | 2025-01-22 | 제2025-001-004호 | 결정문 | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2025-001-004
Apple Distribution International Limited | 아일랜드 | 본사 직접 | 2025-01-22 | 제2025-001-003호 | 결정문 | 제26조·제28조의8 | 24억 500만 원 | 220만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2025-001-003
악사손해보험㈜ | 프랑스 | 한국 법인 | 2024-12-11 | 제2024-021-258호 | 결정문 | 제15조·제21조·제31조·제59조 | 27억 1,500만 원 | - | 재유도 창을 통해 받은 동의의 유효성에 대해서=불수용 ; 재유도 창의 행위가 보호법 제59조제1호에 해당하는지에 대해서=불수용 ; 과징금 부과와 관련하여=불수용 ; 파기의무 위반과 관련하여=일부수용 ; CPO의 업무수행 소홀 행위=불수용 | https://datalaw.kr/sanctions/foreign/#fg-2024-021-258
테크놀로지인프라스트럭처코리아(유) | 영국 (본사 미국) | 한국 법인 | 2024-11-27 | 제2024-019-247호 | 결정문 | 제21조 | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2024-019-247
TAG HEUER branch of LVMH Swiss Manufactures SA | 스위스 | 본사 직접 | 2024-02-14 | 제2024-003-030호 | 결정문 | 제29조·제39조의4 | 1억 2,600만 원 | 780만 원 | 개인정보 유출 및 안전조치의무 위반=불수용 ; 과징금·과태료 산정=일부수용 ; 공표 처분=불수용 | https://datalaw.kr/sanctions/foreign/#fg-2024-003-030
슈나이더일렉트릭코리아 주식회사 | 프랑스 | 한국 법인 | 2023-10-11 | 제2023-016-210호 | 결정문 | 제29조 | 799만 6,000 원 | 420만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2023-016-210
Qoo10 Pte. Ltd. | 싱가포르 | 본사 직접 | 2023-05-24 | - | 보도자료(결정문 미공개) | - | - | 360만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2023-05-24-n8878-8
Meta Platforms, Inc | 미국 | 본사 직접 | 2023-02-08 | 제2023-002-003호 | 결정문 | 제39조의3 | - | 660만 원 | 타사 행태정보는 본질적 기능을 수행하기 위해 반드시 필요한 정보에 해당한다는 주장=불수용 ; 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향을 고려할 필요가 있다는 주장=불수용 ; 절차적 쟁점에 대한 피심인의 주장=불수용 | https://datalaw.kr/sanctions/foreign/#fg-2023-002-003
Google Limited Liability Company | 미국 | 본사 직접 | 2022-09-14 | 제2022-014-104호 | 결정문 | 제39조의3 | 692억 4,100만 원 | - | 행태정보를 수집하는 개인정보처리자는 “사업자”라는 주장=불수용 ; 피심인이 타사 행태정보 수집‧이용에 대한 동의를 받았다는 주장=불수용 ; 사전통지서의 입장은 정책적 측면에서 심각한 문제가 있다는 의견=불수용 ; 과징금 부과와 관련한 의견=불수용 ; 프랑스 CNIL의 처분(2019. 1. 21.자 CNIL 의결, 의결번호 SAN-2019-001)이 이번 위원회의 조사‧처분과 관련이 있는지=불수용 | https://datalaw.kr/sanctions/foreign/#fg-2022-014-104
Meta Platforms, Inc. | 미국 | 본사 직접 | 2022-09-14 | - | 보도자료(결정문 미공개) | - | 308억 600만 원 | - | - | https://datalaw.kr/sanctions/foreign/#fg-2022-09-14-n8221-0
Fluke Corporation | 미국 | 본사 직접 | 2022-03-23 | 제2022-005-016호 | 결정문 | 제29조·제34조 | - | 900만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2022-005-016
Zynga Game Ireland Limited | 아일랜드 | 본사 직접 | 2022-03-23 | 제2022-005-015호 | 결정문 | 정보통신망법 제27조의3·정보통신망법 제28조 | 530만 원 | 1,300만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2022-005-015
Canva PTY Ltd | 호주 | 본사 직접 | 2022-03-23 | 제2022-005-014호 | 결정문 | 정보통신망법 제27조의3·정보통신망법 제28조 | - | 1,000만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2022-005-014
Instagram, LLC | 미국 | 본사 직접 | 2021-12-08 | - | 보도자료(결정문 미공개) | - | - | 500만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2021-12-08-n7739-1
샤넬코리아(유) | 영국 | 한국 법인 | 2021-10-27 | - | 보도자료(결정문 미공개) | - | 1억 2,616만 원 | 1,860만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2021-10-27-n7630-0
Facebook Incorporation | 미국 | 본사 직접 | 2021-08-25 | 제2021-013-101호 | 결정문 | 제24조의2·제26조·제39조의12·정보통신망법 제22조·정보통신망법 제26조 | 64억 4,300만 원 | 2,600만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2021-013-101
마이크로소프트 | 미국 | 본사 직접 | 2021-06-09 | - | 보도자료(결정문 미공개) | - | 340만 원 | 1,300만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2021-06-09-n7368-0
이베이코리아 유한회사 | 미국 | 한국 법인 | 2021-05-26 | 제2021-009-085호 | 결정문 | 제29조 | - | 2,280만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2021-009-085
테슬라코리아(유) | 미국 | 한국 법인 | 2021-01-27 | - | 보도자료(결정문 미공개) | - | - | - | - | https://datalaw.kr/sanctions/foreign/#fg-2021-01-27-n7123-2
㈜씨트립코리아 | 케이맨제도 (본사 중국) | 한국 법인 | 2021-01-27 | - | 보도자료(결정문 미공개) | - | - | 500만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2021-01-27-n7123-3
Facebook Incorporation·Facebook Ireland Limited | 아일랜드 (유럽 본사 · 모회사 미국) | 본사 직접 | 2020-11-25 | 제2020-006-008호 | 결정문 | 정보통신망법 제24조의2·정보통신망법 제28조·정보통신망법 제30조의2 | 67억 4,800만 원 | 6,600만 원 | - | https://datalaw.kr/sanctions/foreign/#fg-2020-006-008
## 두 번 이상 처분받은 사업자 (https://datalaw.kr/sanctions/repeat/)
- 출처: 개인정보위 결정문 게시판과 보도자료(결정문 미공개층) / 기준일 2026-09-11 / 사업자 22곳 · 처분 56건
- 🔴 **반복 처분을 받은 사업자 전부가 아닙니다.** 위원회가 실명으로 공개한 처분만 셀 수 있고, 비실명 처분은 같은 회사인지 확인할 방법이 없습니다. 이 숫자는 하한입니다.
- ⚠️ 같은 날 의결된 여러 건은 반복이 아니라 같은 회차입니다 — 「의결일 수」로 가릅니다(의결일이 다른 곳 20곳).
- ⚠️ 금액을 합산하지 마십시오. 결정문 층과 보도자료 층은 출처가 다릅니다. 보도자료 층에는 위반 조문이 없어 「같은 조문 반복」이 비는 경우가 있습니다.
사업자 | 처분 건수 | 의결일 수 | 같은 조문 반복 | 처분 경과(의결일·안건번호·조문·금액) | 행 주소
㈜케이티 | 5 | 4 | - | 2026-07-29 과징금 539억 7,900만 원 (결정문 미공개 · 보도자료 기준) ; 2025-02-12 제2025-203-65호 제39조의12 과태료 240만 원 ; 2025-02-12 제2025-203-64호 제39조의4 과태료 390만 원 ; 2021-11-24 제2021-019-286호 정보통신망법 제28조 과징금 5,000만 원 ; 2021-05-12 제2021-008-079호 제21조 과태료 360만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/케이티
쿠팡㈜ | 5 | 4 | 제29조 | 2026-06-10 과징금 6,246억 8,100만 원 과태료 1,680만 원 (결정문 미공개 · 보도자료 기준) ; 2025-07-23 제2025-016-239호 개선권고 ; 2024-11-27 제2024-019-248호 제29조 과징금 13억 1,000만 원 ; 2024-11-27 제2024-019-246호 제29조·제39조의4 과징금 2억 7,865만 1,000 원 과태료 1,080만 원 ; 2021-05-26 제2021-009-082호 제29조 과태료 360만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/쿠팡
㈜엘지유플러스 | 4 | 4 | 제21조·제29조 | 2023-07-12 제2023-012-153호 제21조·제29조·제39조의4 과징금 68억 45만 2,000 원 과태료 2,700만 원 ; 2022-09-28 제2022-016-128호 제29조 과태료 600만 원 ; 2021-05-12 제2021-008-080호 제21조 과태료 360만 원 ; 2020-12-09 제2020-008-011호 정보통신망법 제25조·제28조 과징금 1,160만 원 과태료 1,000만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/엘지유플러스
Apple Distribution International Limited | 3 | 3 | - | 2026-07-22 과징금 2억 5,200만 원 (결정문 미공개 · 보도자료 기준) ; 2025-02-12 제2025-003-011호 개선권고 ; 2025-01-22 제2025-001-003호 제26조·제28조의8 과징금 24억 500만 원 과태료 220만 원 | https://datalaw.kr/sanctions/repeat/#rp-global/appledistributioninternational
Meta Platforms, Inc. | 3 | 3 | - | 2025-02-12 제2025-003-010호 개선권고 ; 2023-02-08 제2023-002-003호 제39조의3 과태료 660만 원 ; 2022-09-14 과징금 308억 600만 원 (결정문 미공개 · 보도자료 기준) | https://datalaw.kr/sanctions/repeat/#rp-global/meta
네이버㈜ | 3 | 3 | - | 2025-07-23 제2025-016-238호 개선권고 ; 2025-02-12 제2025-003-007호 개선권고 ; 2021-05-26 제2021-009-083호 제29조 과태료 840만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/네이버
에스케이텔레콤 주식회사 | 3 | 3 | - | 2026-08-26 과태료 360만 원 (결정문 미공개 · 보도자료 기준) ; 2025-08-27 제2025-018-243호 제29조·제31조·제34조 과징금 1,347억 9,100만 원 과태료 960만 원 ; 2025-05-02 제2025-010-027호 개선권고 | https://datalaw.kr/sanctions/repeat/#rp-kr/에스케이텔레콤
Google LLC | 2 | 2 | - | 2025-02-12 제2025-003-009호 개선권고 ; 2022-09-14 제2022-014-104호 제39조의3 과징금 692억 4,100만 원 | https://datalaw.kr/sanctions/repeat/#rp-global/google
㈜자비스앤빌런즈 | 2 | 2 | - | 2025-07-09 제2025-015-228호 개선권고 ; 2023-06-28 제2023-011-116호 제17조·제23조·제24조의2·제30조·제39조의3·제39조의6 과징금 8억 5,410만 6,000 원 과태료 1,200만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/자비스앤빌런즈
㈜지마켓 | 2 | 2 | - | 2023-03-08 제2023-004-032호 제35조 과태료 300만 원 ; 2022-12-14 과태료 360만 원 (결정문 미공개 · 보도자료 기준) | https://datalaw.kr/sanctions/repeat/#rp-kr/지마켓
㈜지에스리테일 | 2 | 2 | - | 2026-08-26 과징금 128억 3,600만 원 과태료 300만 원 (결정문 미공개 · 보도자료 기준) ; 2021-11-10 과태료 700만 원 (결정문 미공개 · 보도자료 기준) | https://datalaw.kr/sanctions/repeat/#rp-kr/지에스리테일
㈜카카오 | 2 | 2 | - | 2025-07-23 제2025-016-237호 개선권고 ; 2025-02-12 제2025-003-008호 개선권고 | https://datalaw.kr/sanctions/repeat/#rp-kr/카카오
㈜케이티알파 | 2 | 2 | - | 2025-04-09 제2025-008-025호 제29조·제39조의4 과징금 491만 5,000 원 과태료 690만 원 ; 2021-11-10 과태료 420만 원 (결정문 미공개 · 보도자료 기준) | https://datalaw.kr/sanctions/repeat/#rp-kr/케이티알파
공무원연금공단 | 2 | 2 | 제29조 | 2026-03-25 제2025-026-305호 제24조·제29조 과징금 5억 3,200만 원 ; 2025-11-20 제2025-023-260호 제29조 시정권고·공표 | https://datalaw.kr/sanctions/repeat/#rp-kr/공무원연금공단
국립장기조직혈액관리원 | 2 | 2 | - | 2026-04-08 제2026-207-116호 제28조의4 과태료 120만 원 ; 2025-11-20 제2025-023-264호 제29조 시정권고·공표 | https://datalaw.kr/sanctions/repeat/#rp-kr/국립장기조직혈액관리원
국방부 | 2 | 2 | 제29조 | 2025-11-20 제2025-023-268호 제29조 시정권고·공표 ; 2025-06-25 제2025-212-279호 제29조 과태료 420만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/국방부
롯데손해보험(주) | 2 | 2 | - | 2026-06-24 제2026-212-244호 제26조 경고 ; 2024-12-11 제2024-021-255호 제21조 과태료 540만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/롯데손해보험
법원행정처 | 2 | 2 | 제24조의2·제29조 | 2026-07-08 제2026-213-262호 제21조·제24조의2·제29조 과태료 810만 원 ; 2025-01-08 제2025-001-001호 제24조·제24조의2·제29조·제34조 과징금 2억 700만 원 과태료 600만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/법원행정처
얼굴홈트㈜ | 2 | 2 | 제34조 | 2026-07-08 제2026-213-267호 제34조 시정명령 ; 2025-12-10 제2025-223-472호 제34조 시정명령 | https://datalaw.kr/sanctions/repeat/#rp-kr/얼굴홈트
한국사회복지협의회 | 2 | 2 | 제29조 | 2025-11-20 제2025-023-282호 제29조 시정권고·공표 ; 2024-09-25 제2024-016-232호 제24조의2·제29조 과징금 4억 8,300만 원 과태료 540만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/한국사회복지협의회
한국토지주택공사 | 2 | 1 | - | 2025-11-20 제2025-221-430호 제28조 시정명령·공표 1년 ; 2025-11-20 제2025-023-290호 제29조 시정권고·공표 | https://datalaw.kr/sanctions/repeat/#rp-kr/한국토지주택공사
행정안전부 | 2 | 1 | 제29조 | 2026-05-27 제2026-010-067호 제29조 과태료 450만 원 ; 2026-05-27 제2026-010-066호 제26조·제29조·제34조 과징금 2억 7,300만 원 과태료 300만 원 | https://datalaw.kr/sanctions/repeat/#rp-kr/행정안전부
## 개인정보위가 결정문에서 인용한 판례 (https://datalaw.kr/sanctions/litigation/#위원회가-결정문에서-기댄-판례)
- 출처: 개인정보위 결정문 본문·각주의 판결 인용 / 기준일 2026-09-11 / 결정문 744건 중 판결 번호를 적은 것 32건, 판결 21종
- ⚠️ 「인용 취지」는 결정문이 그 판결을 근거로 든 문장(판결에 제목을 달아 옮긴 인용문, 괄호·각주가 붙은 문장, 따옴표 속 판시)입니다. 판결 요지 원문이 아니라 위원회가 판결을 요약·인용한 문장이고, 같은 문장으로 인용한 의결은 한 줄로 묶었습니다. 「피심인 주장」 표시는 피심인이 자기 주장의 근거로 든 판결입니다.
판결 | 선고일 | 인용 의결 수 | 인용 취지 | 이 취지로 인용한 의결(의결일 안건번호 — 인용 자리) | 행 주소
대법원 2016도13263 | 2017-04-07 | 10 | 한편 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리·감독 여부, 정보주체 또는 이용자의 개인정보 보호 필요성에 미치는 영향 및 이러한 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합하여 판단하여야 한다. | 2025-01-22 제2025-001-004호 — 사업자 간 관계 및 개인정보 보호법상 법적 지위 ; 2025-01-22 제2025-001-003호 — 사업자 간 관계 및 개인정보 보호법상 법적 지위 ; 2025-01-22 제2025-001-002호 — 사업자 간 관계 및 개인정보 보호법상 법적 지위 | https://datalaw.kr/sanctions/litigation/#ct-2016도13263
대법원 2016도13263 | 2017-04-07 | 10 | 대법원은 ‘거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 또는 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 뜻하고, ‘거짓이나 그 밖의 부정한 수단이나 방법’으로 동의를 받았는지 여부는 동의받는 행위 그 자체만을 분리하여 개별적으로 판단하여서는 안 되고, 동의를 받게 된 전 과정을 살펴보아 거기에서 드러난 개인정보 수집 등의 동기와 목적, 수집 목적과 수집 대상인 개인정보의 관련성, 수집 등을 위하여 사용한 구체적인 방법, 개인정보 보호법 등 관련 법령을 준수하였는지 및 취득한 개인정보의 내용과 규모, 특히 민감정보·고유식별정보 등의 포함 여부 등을 종합적으로 고려하여 사회통념에 따라 판단하여야 한다고 판시하였다. | 2024-12-11 제2024-021-259호 — 법정 고지사항을 이용자에게 명확히 알리지 않고 동의 받은 행위 ; 2024-12-11 제2024-021-258호 — 적법 근거 없이 개인정보를 수집·이용한 행위 ; 2024-12-11 제2024-021-257호 — 법정 고지사항을 이용자에게 명확히 알리고 동의를 받지 않은 행위 ; 2024-12-11 제2024-021-251호 — 법정 고지사항을 이용자에게 명확히 알리지 않고 동의 받은 행위 | https://datalaw.kr/sanctions/litigation/#ct-2016도13263
대법원 2016도13263 | 2017-04-07 | 10 | ‘거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 또는 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 뜻한다. 그리고 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 그 처리에 관한 동의를 받았는지를 판단할 때에는 개인정보처리자가 그에 관한 동의를 받는 행위 자체만을 분리하여 개별적으로 판단하여서는 안 되고, 개인정보처리자가 개인정보를 취득하거나 처리에 관한 … 관련성, 수집 등을 위하여 사용한 구체적인 방법, 개인정보 보호법 등 관련 법령을 준수하였는지 및 취득한 개인정보의 내용과 규모, 특히 민감정보·고유식별정보 등의 포함 여부 등을 종합적으로 고려하여 사회통념에 따라 판단하여야 한다고 판시하였다. | 2023-07-26 제2023-013-156호 | https://datalaw.kr/sanctions/litigation/#ct-2016도13263
대법원 2016도13263 | 2017-04-07 | 10 | (중략) 즉 개인정보처리자는 개인정보를 수집하는 경우에 그 목적에 필요한 최소한의 개인정보를 수집하여야 하고, 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다(제16조 제1항, 제2항). (중략) 이는 개인정보처리자가 정당한 목적으로 개인정보를 수집하는 경우라 하더라도 그 목적에 필요한 최소한의 개인정보 수집에 그쳐야 하고 이에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 안 된다는 개인정보 보호 원칙(개인정보 보호법 제3조 제1항)과 개인정보 보호법 규정에 위반되는 것이다. | 2023-02-08 제2023-002-003호 — 보호법상 ‘필요한 최소한의 개인정보’ | https://datalaw.kr/sanctions/litigation/#ct-2016도13263
대법원 2016도13263 | 2017-04-07 | 10 | 대법원은 “개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리·감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로, 보호법 제17조에 정한 ‘제3자’에 해당하지 않는다”고 판시하고 | 2022-04-27 제2022-007-046호 — 처분의 사전통지 및 의견 수렴 | https://datalaw.kr/sanctions/litigation/#ct-2016도13263
대법원 2014두2638 | 2016-06-28 | 8 | 통상의 이용자라면 용이하게 ‧‧‧ ‘법정 고지사항’의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 한다. 아울러, 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집·제공에 대한 동의 여부를 판단할 수 있어야 하고, 그에 따른 동의의 표시는 이용자가 개인정보의 수집·제공에 … | 2024-12-11 제2024-021-259호 — 법정 고지사항을 이용자에게 명확히 알리지 않고 동의 받은 행위 ; 2024-12-11 제2024-021-258호 — 적법 근거 없이 개인정보를 수집·이용한 행위 ; 2024-12-11 제2024-021-257호 — 법정 고지사항을 이용자에게 명확히 알리고 동의를 받지 않은 행위 ; 2024-12-11 제2024-021-251호 — 법정 고지사항을 이용자에게 명확히 알리지 않고 동의 받은 행위 | https://datalaw.kr/sanctions/litigation/#ct-2014두2638
대법원 2014두2638 | 2016-06-28 | 8 | 정보통신서비스 제공자가 이용자로부터 개인정보 수집‧제공에 관하여 적법한 동의를 받기 위해서는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록 ① 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 하며, ② 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집·제공에 대한 동의 여부를 판단할 수 있어야 하고, ③ 그에 따른 동의의 표시는 이용자가 개인정보의 수집·제공에 동의를 한다는 명확한 인식 하에 행하여질 수 있도록 그 실행방법이 마련되어야 한다고 판시하였다. | 2023-07-26 제2023-013-155호 — 舊정보통신망법상 ‘이용자’의 동의 ; 2023-07-26 제2023-013-154호 — 舊정보통신망법상 ‘이용자’의 동의 | https://datalaw.kr/sanctions/litigation/#ct-2014두2638
대법원 2014두2638 | 2016-06-28 | 8 | 대법원은 인터넷 사이트에서 개인정보를 수집하면서 적법한 동의를 받았는지 문제가 된 사건에서, 적법한 동의를 받기 위한 요건으로 「①통상의 이용자라면 구체적 내용을 쉽게 알아볼 수 있을 정도로 미리 인터넷 사이트에 법정 고지사항 전부를 명확하게 게재하며, ②법정 고지사항 게재 부분과 이용자의 동의 여부 표시 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 동의 여부를 판단할 수 있어야 하고, ③그에 따른 동의 표시는 이용자가 개인정보의 수집·제공에 동의한다는 명확한 인식하에 행해질 수 있도록 실행 방법이 마련되어야 한다」고 판시하면서 | 2021-08-25 제2021-013-101호 — 이용자 동의 없이 「얼굴 인식 템플릿」을 생성․수집한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2014두2638
대법원 2014두2638 | 2016-06-28 | 8 | 아울러 법정 고지사항을 게재하는 부분과 이용자의 동의여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하고 확인할 수 있는 상태에서 개인정보 수집‧제공에 대한 동의 여부를 판단할 수 있어야 하고, 그에 따른 동의의 표시는 이용자가 개인정보의 수집‧제공에 동의한다는 명확한 인식 아래 행해질 수 있도록 그 실행방법이 마련되어야 한다. | 2020-11-25 제2020-006-008호 — 개인정보를 동의 없이 제3자에게 제공한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2014두2638
대법원 2014다235080 | 2016-08-17 | 5 | 설령, 일정 부분 공개된 정보로 보더라도, 이를 제3자인 피심인이 취업제한 목적을 위해 사용하는 것은 취재 편의와 출입관리 등 본래의 공개 목적과 이용 범위를 벗어난 행위로, 정보주체의 동의가 있었다고 볼 수 없음 | 2026-06-10 제2026-011-077호 — 과징금 부과 및 산정에 대하여 | https://datalaw.kr/sanctions/litigation/#ct-2014다235080
대법원 2014다235080 | 2016-08-17 | 5 | 개인정보의 성격, 공개 형태와 대상 범위, 그로부터 추단되는 공개 의도 내지 목적, 처리자의 처리 형태와 공개의 대상 범위가 달라졌는지, 정보주체의 원래의 공개 목적과 관련성이 있는지 등을 검토 | 2024-03-27 제2024-006-172호 — 공개된 데이터에 포함된 개인정보의 처리 관련 ; 2024-03-27 제2024-006-170호 — 공개된 데이터에 포함된 개인정보의 처리 관련 ; 2024-03-27 제2024-006-169호 — 공개된 데이터에 포함된 개인정보의 처리 관련 | https://datalaw.kr/sanctions/litigation/#ct-2014다235080
대법원 2014다235080 | 2016-08-17 | 5 | 이에 대하여, 피심인은 개인정보보호위원회가 형식적 동의가 일상화되는 것을 우려하면서도 동의의 형식적 요건이 준수되지 않았다는 것을 이유로 제재처분을 하는 것은 모순이며, 공개된 정보에 관하여 고지 없이 적법한 동의가 있다고 본 판례를 고려하면 피심인의 행위가 「개인정보 보호법」 제22조에 위반되지 않는다고 주장한다. | 2021-04-28 제2021-007-072호 — 처분의 사전통지 및 의견수렴 | https://datalaw.kr/sanctions/litigation/#ct-2014다235080
대법원 2022두68923 | 2023-10-12 | 5 | 과징금을 부과함으로써 박탈하고자 하는 이득은, 문제 된 위반행위로 인해 증가한 매출액에 따른 이득이 아니라, 오히려 정보통신서비스 제공자가 적절한 보호조치를 취하지 않은 개인정보를 자신의 영업을 위해 보유함으로써 얻은 이득이라 보아야 한다. 이에 따라 위 과징금 부과를 위한 관련 매출액을 산정할 때 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스’의 범위는, 유출사고가 발생한 개인정보를 보유·관리하고 있는 … | 2024-12-11 제2024-021-259호 — 과징금 부과와 관련하여 ; 2024-12-11 제2024-021-258호 — 과징금 부과와 관련하여 ; 2024-12-11 제2024-021-257호 — 과징금 부과와 관련하여 ; 2024-12-11 제2024-021-251호 — 과징금 부과와 관련하여 | https://datalaw.kr/sanctions/litigation/#ct-2022두68923
대법원 2022두68923 | 2023-10-12 | 5 | 크리덴셜 스터핑과 관련한 매출액이 없다는 주장과 관련하여 대법원은 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 범위는 유출사고가 발생한 개인정보를 보유‧관리하고 있는 서비스의 범위를 기준으로 판단”하여야 한다고 판시하였다. | 2023-10-25 제2023-017-216호 — 과징금 부과 시 매출액 산정 관련 | https://datalaw.kr/sanctions/litigation/#ct-2022두68923
대법원 2011다24555 | 2014-05-16 | 4 | 개인정보가 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것 | 2026-05-27 제2026-010-066호 — 개인정보 유출에 대하여 | https://datalaw.kr/sanctions/litigation/#ct-2011다24555
대법원 2011다24555 | 2014-05-16 | 4 | 대법원 역시 개인정보 유출이란 ‘개인정보가 해당 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다’고 하고 | 2024-05-22 제2024-009-183호 — 개인정보 해당성 | https://datalaw.kr/sanctions/litigation/#ct-2011다24555
대법원 2011다24555 | 2014-05-16 | 4 | 한편, 대법원은 개인정보의 유출이란 해당 서비스제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다고 판시 한 바 있으며 | 2024-04-24 제2023-013-183호 — 정보 전달행위의 유출 여부 판단 | https://datalaw.kr/sanctions/litigation/#ct-2011다24555
대법원 2011다24555 | 2014-05-16 | 4 | 그러나 판례(대법원 2014. 5. 16. 선고, 2011다24555 판결)는 개인정보처리자의 관리·통제권을 벗어나 제3자가 개인정보를 인지한 경우 개인정보 누출(유출)로 보고 있으며, 『표준 개인정보 보호지침』(개인정보보호위원회고시 제2020-1호, 2020. 8. 11. 제정) 제25조는 “개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일이 권한없는 자에게 잘못 전달된 경우”를 개인정보 유출로 명시하고 있다. | 2023-04-12 제2023-006-053호 — 개인정보의 유출 통지 의무를 소홀히 한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2011다24555
대법원 2018두56404 | 2021-08-19 | 4 | 대법원도 舊 기술적 보호조치 기준 “제4조제9항에서 정보통신서비스 제공자 등의 의무로 규정하고 있는 조치는 정보통신서비스 제공자 등이 취급 중인 개인정보가 인터넷 홈페이지 등에 대한 해킹 등 침해사고에 의해 유출되지 않도록 개인정보처리시스템과 개인정보취급자의 컴퓨터에 취하여야 할 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치’라고 해석할 수 있”다고 하면서 나아가 정보통신서비스 제공자등이 舊 기술적 보호조치 기준 제4조제9항에서 정한 보호조치를 다하였는지 여부는 해킹 등 침해사고 당시 보편적으로 알려져 있는 정보보안의 기술 수준, 정보통신서비스 제공자의 … 사용된 해킹기술의 수준과 정보보안기술의 발전 정도에 따른 피해 발생의 회피 가능성, 정보통신서비스 제공자등이 수집한 개인정보의 내용과 개인정보의 유출로 이용자가 입게 되는 피해의 정도 등의 사정을 종합적으로 고려하여 판단하여야 한다고 판시한바 있다. | 2024-05-22 제2024-009-183호 — 개인정보 유·노출 방지조치 소홀 | https://datalaw.kr/sanctions/litigation/#ct-2018두56404
대법원 2018두56404 | 2021-08-19 | 4 | 대법원은 舊 개인정보의 기술적·관리적 보호조치 기준 (이하 ‘舊 기술적 보호조치 기준’) 제4조제9항(現 고시 제6조제3항)은 내부적 부주의뿐만 아니라 외부로부터의 불법적인 접근(해킹 등)에 의한 개인정보 유출을 방지하기 위한 목적으로 마련되었다고 판단 하면서 제공자의 의무로 규정된 ‘조치’는 해킹 등에 의해 유출되지 않도록 ‘처리시스템과 취급자 PC 등’에 취하여야 할 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치로 아래 판단기준을 제시한 바 있다. | 2024-05-08 제2024-008-182호 — 개인정보 안전성 확보에 필요한 조치를 소홀히 한 사실 | https://datalaw.kr/sanctions/litigation/#ct-2018두56404
대법원 2018두56404 | 2021-08-19 | 4 | 대법원은 정보통신서비스 제공자등이 고시 제4조제9항에서 정한 보호조치를 다하였는지 여부는 해킹 등 침해사고 당시 보편적으로 알려져 있는 정보보안의 기술 수준, 정보통신서비스 제공자의 업종·영업규모, 정보통신서비스 제공자등이 인터넷 홈페이지 등의 설계에 반영하여 개발에 적용한 보안대책·보안기술의 내용과 실제 개발된 인터넷 홈페이지 등을 운영·관리하면서 실시한 보안기술의 적정성 검증 및 그에 따른 개선 조치의 내용, 정보보안에 필요한 경제적 비용 및 효용의 정도, 해킹에 의한 개인정보 유출의 경우 이에 실제 사용된 해킹기술의 수준과 정보보안기술의 발전 정도에 따른 피해 발생의 회피 가능성, 정보통신서비스 제공자등이 수집한 개인정보의 내용과 개인정보의 유출로 이용자가 입게 되는 피해의 정도 등의 사정을 종합적으로 고려하여 판단하여야 한다고 판시한바 있다. | 2023-07-12 제2023-012-151호 — 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2018두56404
대법원 2018두56404 | 2021-08-19 | 4 | 또한, 일부 처분사유가 불인정되면 중대성을 ‘중대한 위반행위’로 평가한 것은 · 재량권 일탈 남용에 해당하며, 처분청의 재량이 인정되는 과징금 납부명령의 경우 법원은 재량권의 일탈 여부만 판단할 수 있어 전부 취소한다고 판결했다. | 2021-11-24 제2021-019-286호 — 납부장소 : 한국은행 국고수납 대리점 | https://datalaw.kr/sanctions/litigation/#ct-2018두56404
헌법재판소 2020헌바259 | 2022-05-26 | 4 | 과징금부과조항에서 ‘위반행위와 관련한 매출액’은 ‘위반행위로 인하여 취득한 이익’만이 아니라 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 매출액을 의미하는 것 | 2024-12-11 제2024-021-259호 — 과징금 부과와 관련하여 ; 2024-12-11 제2024-021-258호 — 과징금 부과와 관련하여 ; 2024-12-11 제2024-021-257호 — 과징금 부과와 관련하여 ; 2024-12-11 제2024-021-251호 — 과징금 부과와 관련하여 | https://datalaw.kr/sanctions/litigation/#ct-2020헌바259
대법원 2014다203410 | 2018-01-25 | 3 | 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 시스템에 접속한 IP 주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지하고 대응하여야 하며, 이러한 보호조치를 이행하였는지 여부는 보편적으로 알려져 있는 정보보안의 기술 수준, 개인정보처리자가 취하고 있던 전체적인 보안조치의 내용, 정보보안에 필요한 경제적 비용 및 그 효용의 정도, 해킹기술의 수준과 정보보안기술의 발전 정도에 따른 피해 발생의 회피 가능성, 수집한 개인정보의 내용과 개인정보의 누출로 인하여 이용자가 입게 되는 피해의 정도 등 사정을 종합적으로 고려하여 침해사고 당시 사회통념상 합리적으로 기대 가능한 정도의 보호 조치를 다하였는지 여부를 기준으로 판단하여야 한다. | 2025-02-12 제2025-003-006호 — 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 ; 2024-01-24 제2024-002-009호 — 개인정보의 안전성 확보 조치를 소홀히 한 행위 ; 2024-01-24 제2024-002-008호 — 개인정보의 안전성 확보 조치를 소홀히 한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2014다203410
대법원 2018도1917 | 2023-06-29 | 3 | 다음으로 정당한 이익 여부와 관련하여 법원은 처리자의 이익의 구체적인 내용‧ 성격, 권리가 제한되는 정보주체의 규모, 수집되는 정보의 종류와 범위, 동의를 받지 못한 이유, 대체가능한 적절한 수단 여부를 종합적으로 고려하여 신중하게 판단할 것을 제시하고 있다. | 2024-03-27 제2024-006-172호 — 공개된 데이터에 포함된 개인정보의 처리 관련 ; 2024-03-27 제2024-006-170호 — 공개된 데이터에 포함된 개인정보의 처리 관련 ; 2024-03-27 제2024-006-169호 — 공개된 데이터에 포함된 개인정보의 처리 관련 | https://datalaw.kr/sanctions/litigation/#ct-2018도1917
서울고등법원 2019누43964 | 2020-11-04 | 3 | 법원은 2016년 당시에도 크리덴셜 스터핑이 주의나 경각심을 갖지 못할 정도로 생소한 해킹 공격이라고 보기 어렵다고 판시한 바 있음 | 2025-02-12 제2025-003-006호 — 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 사실 | https://datalaw.kr/sanctions/litigation/#ct-2019누43964
서울고등법원 2019누43964 | 2020-11-04 | 3 | 침입차단·침입탐지시스템의 운영이란 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위하여 통상적인 기능과 용법에 맞게 적정하게 활용하는 것을 말한다. 침입차단·침입탐지시스템은 사전에 정해진 정책 설정에 따라 차단·탐지 기능을 수행하므로, 이를 적정하게 활용하려면 상시적인 모니터링, 로그 분석 등을 통한 새로운 위험요소를 인지하고, 시스템에 침입차단 및 침입탐지 정책 재설정 등을 반영하여 개인정보에 대한 불법적 접근을 탐지·차단하여야 한다. 침입차단·탐지시스템의 적정한 운영에는 상시적인 모니터링, 웹 서버 접속 로그기록 등에 대한 로그 분석, 침입차단 및 침입탐지정책 설정 등 조치가 포함된다고 할 것이다. | 2024-05-22 제2024-009-183호 — 접근 제한 및 유출 탐지 기능의 운영 소홀 | https://datalaw.kr/sanctions/litigation/#ct-2019누43964
서울고등법원 2019누43964 | 2020-11-04 | 3 | 추가로 법원에서는 특정 IP의 반복 로그인 시도가 초당 29건 이하인 경우를 악의적인 행위로 판단한 사례가 확인된다. | 2024-01-24 제2024-002-008호 — 개인정보의 안전성 확보 조치를 소홀히 한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2019누43964
대법원 2000도2943 | 2000-08-18 | 1 | 판례에 따르면, 형법 제16조에서 ‘자기의 행위가 죄가 되지 아니하는 것으로 오인한 행위는 그 오인에 정당한 이유가 있는 때에 한하여 벌하지 아니한다’고 규정하고 있는데, 그러한 ‘정당한 이유’가 인정되려면 단순히 법률을 오인하는 것으로는 부족하고 행위 당시 법률전문가, 담당 공무원 등에 진지한 자문을 구하고 이를 근거로 그 행위가 적법하다고 믿은 데 귀책이 없어야 한다고 판시하고 있다. | 2024-04-24 제2023-013-183호 — 이 사건 정보에 대한 안전조치의무 등 적용여부 | https://datalaw.kr/sanctions/litigation/#ct-2000도2943
대법원 2005도835 | 2005-06-10 | 1 | 판례에 따르면, 형법 제16조에서 ‘자기의 행위가 죄가 되지 아니하는 것으로 오인한 행위는 그 오인에 정당한 이유가 있는 때에 한하여 벌하지 아니한다’고 규정하고 있는데, 그러한 ‘정당한 이유’가 인정되려면 단순히 법률을 오인하는 것으로는 부족하고 행위 당시 법률전문가, 담당 공무원 등에 진지한 자문을 구하고 이를 근거로 그 행위가 적법하다고 믿은 데 귀책이 없어야 한다고 판시하고 있다. | 2024-04-24 제2023-013-183호 — 이 사건 정보에 대한 안전조치의무 등 적용여부 | https://datalaw.kr/sanctions/litigation/#ct-2005도835
대법원 2006다81035 | 2009-04-23 | 1 | 보호법 제64조의2제1항제9호의 문언은 본문에서 개인정보 유출 등이 된 경우를 ‘결과 요건’으로 하여 과징금을 부과하도록 하고, 제29조에 따른 안전성 확보조치를 다 한 경우 그러하지 아니한다고 규정하여 그 단서의 ‘행위 요건’으로 면책시키는 구조로 되어 있다. | 2024-05-08 제2024-008-182호 — 위반행위 기간에 대하여 | https://datalaw.kr/sanctions/litigation/#ct-2006다81035
대법원 2014두14129 | 2016-03-10 | 1 | 더욱이, 작위의무를 이행하지 않은 위법은 그 이행 시까지 계속되는 것이라는 법리에 비추어 보건대, 농진청의 ㈜미소테크에 대한 수탁자 관리· 감독 의무 위반은 적어도 “정보화 용역사업 보안 강화계획”을 수립한 ’25.5.까지 지속되고 있던 것으로 볼 수 있으므로 ’23.9.15.부터 시행된 보호법이 적용되는 것이 타당하다. | 2026-05-27 제2026-010-068호 — 본 사건에 적용할 보호법규에 대하여 | https://datalaw.kr/sanctions/litigation/#ct-2014두14129
대법원 2016두55117 (결정문 표기 2016두551178) | 2018-07-12 | 1 | 이와 관련하여, 피심인은 이용자로부터 ‘분석의 대상이 되는 메시지’를 ‘신규 서비스 개발’ 목적으로 이용한다는 점에 대해 동의를 받았고, 대법원 2018. 7. 12. 선고 2016두551178 판결에서 수집 목적 내 이용인지 여부를 판단하는 기준으로 이용자 의사와 합치되는지 여부, 이용자의 예상가능성, 이용자가 불측의 손해를 입을 우려 등이 고려되어야 한다고 판시하였는데, 이 판결에서 제시한 기준에 의하면 피심인이 수집 목적 범위 내에서 개인정보를 이용한 것이라고 주장한다. | 2021-04-28 제2021-007-072호 — 수집 목적 외로 ‘이루다 ’ 개발 운영에 카카오톡 대화문장을 이용한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2016두55117
대법원 2020두55220 | 2021-09-30 | 1 | 서울고등법원 2020. 11. 4. 선고 2019누43964 판결은 “침입차단·침입탐지시스템의 운영이란 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위하여 통상적인 기능과 용법에 맞게 적정하게 활용하는 것을 말한다. 침입차단·침입탐지시스템은 사전에 정해진 정책 설정에 따라 차단·탐지 기능을 수행하므로, 이를 적정하게 활용하려면 상시적인 모니터링, 로그 분석 등을 통한 새로운 위험요소를 인지하고, 시스템에 침입차단 및 침입탐지 정책 재설정 등을 반영하여 개인정보에 대한 불법적 접근을 탐지·차단하여야 한다. 침입차단·탐지시스템의 적정한 운영에는 상시적인 … 재분석 대상인 IP 주소 등에는 IP 주소, 포트에 한정되지 않고 웹 서버 접속 로그기록도 포함되고, 웹 서버 접속 로그기록을 실시간으로 분석하거나 사후적으로 분석하는 행위도 침입탐지차단시스템의 운영에 포함된다고 봄이 상당하다”고 판시한 바 있다. | 2024-05-22 제2024-009-183호 — 접근 제한 및 유출 탐지 기능의 운영 소홀 | https://datalaw.kr/sanctions/litigation/#ct-2020두55220
대법원 2021도12868 | 2024-12-12 | 1 | 한편, 최근 대법원은 “개개의 사건에 대하여 재판사무를 담당하는 법원(수소법원)은 개인정보처리자에서 제외된다”고 판시하였다. | 2025-01-08 제2025-001-001호 — 유출 통지‧신고 의무(§34①‧③) 위반 | https://datalaw.kr/sanctions/litigation/#ct-2021도12868
대법원 2024두55440 | 2025-03-13 | 1 | 설령, 일정 부분 공개된 정보로 보더라도, 이를 제3자인 피심인이 취업제한 목적을 위해 사용하는 것은 취재 편의와 출입관리 등 본래의 공개 목적과 이용 범위를 벗어난 행위로, 정보주체의 동의가 있었다고 볼 수 없음 | 2026-06-10 제2026-011-077호 — 과징금 부과 및 산정에 대하여 | https://datalaw.kr/sanctions/litigation/#ct-2024두55440
대법원 98두5972 (결정문 표기 98두5927) | 2000-05-26 | 1 | 정당행위는 형사처벌에서 적용되는 형법 제20조의 위법성 조각사유로 행정제재에서 직접 적용되지 않으나, 행정법규 위반에 대하여도 위반자의 의무해태를 탓할 수 없는 정당한 사유가 있는 경우에는 행정제재를 부과하지 않을 수 있다는 판례의 취지를 고려하여 정당행위 적용에 대한 피심인의 주장을 판단함 | 2026-06-10 제2026-011-077호 — 과징금 부과 및 산정에 대하여 | https://datalaw.kr/sanctions/litigation/#ct-98두5972
서울고등법원 2013누14476 | 2014-01-09 | 1 | 대법원은 인터넷 사이트에서 개인정보를 수집하면서 적법한 동의를 받았는지 문제가 된 사건에서, 적법한 동의를 받기 위한 요건으로 「①통상의 이용자라면 구체적 내용을 쉽게 알아볼 수 있을 정도로 미리 인터넷 사이트에 법정 고지사항 전부를 명확하게 게재하며, ②법정 고지사항 게재 부분과 이용자의 동의 여부 표시 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 동의 여부를 판단할 수 있어야 하고, ③그에 따른 동의 표시는 이용자가 개인정보의 수집·제공에 동의한다는 명확한 인식하에 행해질 수 있도록 실행 방법이 마련되어야 한다」고 판시하면서 | 2021-08-25 제2021-013-101호 — 이용자 동의 없이 「얼굴 인식 템플릿」을 생성․수집한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2013누14476
서울고등법원 2015노1998 | 2017-08-30 | 1 | 메신저 대화가 일반적으로 개인정보에 해당하는지 여부에 대하여 명시적으로 판단한 대법원 판례는 없으나, 상고심에서 기각되어 그대로 확정된 2심 판결에서, 법원은 트위터 정보에는 개인정보에 해당하는 정보와 해당하지 않는 정보가 혼재되어 있을 수 있으므로 전부가 개인정보에 해당한다고 할 수는 없으나, 각 트위터 정보가 개인정보에 해당하는 지 사전에 개별적으로 판단하여 「개인정보 보호법」 적용 여부를 달리하는 것은 사실상 불가능한 점과 개인의 일반적인 인격권 및 사생활의 비밀과 자유에 의하여 보장되는 개인정보자기결정권을 두텁게 보호하고자 하는 「개인정보 보 호법」의 입법취지까지 고려하여 보면, 결국 트위터 정보를 전체적으로 개인정보로 취급하여 「개인정보 보호법」에 따라 보호하는 것이 타당하다는 취지로 설 시한 바 있다. | 2021-04-28 제2021-007-072호 — 수집 목적 외로 ‘이루다 ’ 개발 운영에 카카오톡 대화문장을 이용한 행위 | https://datalaw.kr/sanctions/litigation/#ct-2015노1998
## 개인정보위 심의에서 피심인이 낸 주장과 위원회의 판정 (https://datalaw.kr/sanctions/defenses/)
- 출처: 개인정보위 결정문 「피심인의 주장에 대한 검토」 절 / 기준일 2026-09-11 / 결정문 889건 중 「피심인의 주장에 대한 검토」 절을 둔 56건, 주장 141개
- 🔴 **이 수용률은 제재 전체의 승률이 아닙니다.** 항변 절이 실렸다는 것은 다툼이 있었다는 뜻이라 표본이 한쪽으로 쏠려 있고, 나머지 사건에서 항변이 없었다는 뜻도 아닙니다.
- 표본을 넓힐 근거도 없습니다: 「처분의 사전통지 및 의견수렴」 절이 있는 결정문 630건 중 의견 제출 599건, 그 내용까지 적은 것 122건(위반 인정·시정·선처 117 · 다툼 5), 수용 여부를 적은 곳은 항변 절뿐입니다.
- 판정이 낱말로 적힌 주장 140개 기준 — 수용 14 · 일부수용 46 · 불수용 80(그대로 수용 10%, 일부라도 반영 43%). 판정을 적지 않은 주장 1개는 분모에서 뺐고 불수용으로 세지 않았습니다.
- 종류별로 크게 갈립니다: 기타 26개(일부라도 반영 8%) / 과징금 산정 — 관련 매출액 22개(일부라도 반영 73%) / 과징금 산정 — 그 밖의 사유 19개(일부라도 반영 74%) / 동의를 받았다 17개(일부라도 반영 35%) / 의무 이행 주장 — 안전조치를 했다 13개(일부라도 반영 15%) / 의무 주체가 아니다 10개(일부라도 반영 20%) / 과태료 산정 9개(일부라도 반영 100%) / 의무 이행 주장 — 파기했다 8개(일부라도 반영 88%) / 개인정보가 아니다 7개(일부라도 반영 0%) / 위반 인정 — 감경·선처만 요청 3개(일부라도 반영 100%) / 고의·과실이 없다 2개(일부라도 반영 0%) / 과징금 산정 — 위반기간 2개(일부라도 반영 0%) / 의무 이행 주장 — 통지·신고를 했다 2개(일부라도 반영 0%) / 시정을 완료했다 1개(일부라도 반영 0%)
- 「종류」는 세기 위해 붙인 축이고 쟁점·주장·판단은 결정문 원문에서 옮겼습니다. 주장·판단은 각주·쪽번호를 걷고 문장 경계에서 줄였으며(「…」), 판단 가운데 「다만,」 문장은 「 / 다만,」으로 이어 붙였습니다. 위원회 의결에는 선례 구속력이 없습니다.
의결일 | 안건번호 | 피심인 | 쟁점 | 주장의 종류 | 판정 | 피심인의 주장 | 위원회의 판단 | 행 주소
2026-08-26 | 제2026-216-355호 | 경성대학교 | (쟁점 표제 없음) | 기타 | 불수용 | 피심인은 신고인이 요구한 인사기록카드가 인사발령 이력 ‧ 경고 ‧ 징계 ‧ 포상 등 내부 인사정보가 광범위하게 포함된 자료로서 당시 신고인이 팀장에서 팀원으로의 인사발령에 불복해 부산지방노동위원회에서 구제신청(’25. 9. 25.)이 진행 중인 만큼 … | 신고인은 자신의 인사기록카드 열람 및 사본 교부를 요구한 것이므로 피심인이 비공개 사유로 제시한 ‘제공의무 없음’, ‘법인의 경영상 ‧ 영업상 비밀로 공개 시 정당한 이익을 현저히 해할 우려가 있음’을 인정하기 어려운 점 … 만약 신고인의 인사기록카드에 다른 사람의 개인정보 ‧ 평가자 정보 등 공개하기 어려운 내용이 있다면 이를 가리고 부분 공개할 수 있음에도 전면 비공개하였으므로 피심인의 주장을 받아들이지 않는다. ※ 피심인은 ’26. 5. 18. 국민권익위원회로부터 신고인 보호조치에 따른 징계 ‧ 보직해임 취소 및 인사기록카드 발급을 결정받았으며, 이에 대한 행정소송을 진행 중임 | https://datalaw.kr/sanctions/defenses/#df-2026-216-355
2026-08-26 | 제2026-017-098호 | HD한국조선해양(주) | 과태료 산정 | 과태료 산정 | 일부수용 | 피심인은 사고 당시 기술적·관리적 보호 조치를 적절히 이행하고 있었으나, MDM 서버의 취약점은 제로데이 취약점이므로 통상적인 취약점 관리 방식으로 사전 식별이 구조적으로 불가능한 사고라고 주장한다. … | 피심인은 제로데이 취약점을 주장하나, 본 사고에 악용된 웹쉘 공격은 고도화된 취약점이 아닌 잘 알려진 파일 업로드 공격 방식에 해당하는 점, 이에 파일 업로드 경로가 노출되지 않도록 조치하거나 파일 확장자를 제한하여 웹쉘 업로드를 차단하는 등을 통해 해커의 공격을 차단할 수 있는 점, 피심인 또한 당시 관제 시스템 오류로 인해 해커가 업로드한 웹쉘에 대한 관제 탐지 이벤트가 수신되지 않아 유출의 경로가 되었다고 답변하고 있으므로 이를 새로운 취약점 또는 즉시 대응이 어려운 취약점이라 보기 어렵다. / 다만, 피심인의 사고 이후 시정조치 노력에 대해 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ 제6조 및 [별표 2] 과태료의 감경기준에 따라 과태료를 감경한다. | https://datalaw.kr/sanctions/defenses/#df-2026-017-098
2026-08-26 | 제2026-017-097호 | HD건설기계(주) | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 MDM 서버의 취약점은 제로데이 취약점이므로 개인정보 유출은 단순한 업무상 부주의 또는 과실에 의한 것이고, 유출된 정보에 대해 고유식별정보나 민감정보가 포함되어 있지 않은 점, 정보주체에게 2차 피해가 발생하지 않은 점을 고려하여 과징금 면제를 주장한다. … | 본 사고에 악용된 웹쉘 공격은 고도화된 취약점이 아닌 잘 알려진 파일 업로드 공격 방식에 해당하는 점, 이에 HD한국조선해양(주) 역시 개인정보 유출을 인지한 당일 파일 업로드 경로가 노출되지 않도록 조치하거나 파일 확장자를 제한하여 웹쉘 업로드를 차단하는 등 취약점을 개선 조치한 점, 조사기간 동안 제로데이 취약점을 주장하지 않다가 사전통지 이후 이를 주장한 점 등을 고려 시 이를 새로운 취약점 또는 즉시 대응이 어려운 제로데이 취약점이라 보기 어렵다. … / 다만, 피심인의 매출은 B2B 형태로 발생하므로 이용자 등의 개인정보 처리를 수반하지 않는 점, 고객사가 장비를 주문하기 위해 이용하는 시스템이 아닌 점 … 과징금 산정 기준이 되는 매출액이 없거나 산정이 곤란한 경우에 해당하여 피심인의 주장과 같이 정액 과징금을 부과한다. … | https://datalaw.kr/sanctions/defenses/#df-2026-017-097
2026-07-22 | 제2026-214-290호 | 전남대학교 | 비밀번호 작성 규칙 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 초기 학생 비밀번호는 즉시 변경하는 임시값이고, 생년월일 6자리를 초기 비밀번호로 생성·부여했다는 사실만으로 안전조치의무 위반을 판단하는 것이 아닌 인증·접근통제 체계를 종합하여 판단하는 것이 타당하다고 주장한다. | 피심인은 안전한 비밀번호 작성규칙을 수립·운용하면서 이를 준수하지 않고 초기 학생의 비밀번호를 생년월일 6자리로 설정하였으며, 이는 舊 고시 제5조제5항을 위반한 것이 명백하므로 피심인의 주장은 받아 들이지 않는다. | https://datalaw.kr/sanctions/defenses/#df-2026-214-290
2026-07-22 | 제2026-214-290호 | 전남대학교 | 비밀번호 암호화 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 비밀번호 암호화에 사용된 MD4 방식 역시 복호화되지 않는 일방향 암호화이므로 보호법 제29조를 위반이 아니라고 주장한다. | 보호법 제29조, 시행령 제30조제1항제4호 및 고시 제7조제1항은 비밀번호를 안전하게 저장하기 위한 일방향 암호화 의무를 부여하고 있다. 피심인이 사용하고 있는 MD4의 경우 일방향 암호화 방식이나 국내·외 암호 연구 관련 기관에서 추천하는 안전한 암호화 알고리즘이 아니므로 피심인의 주장은 받아 들이지 않는다. ※ 개인정보의 안전성 확보조치 기준 안내서(’24.10.) 80쪽 참조 | https://datalaw.kr/sanctions/defenses/#df-2026-214-290
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 취업제한 목록 작성(경찰청 출입기자 명단 수집) — 정당한 이익에 따른 수집 | 기타 | 불수용 | 먼저, 피심인은 불법잠입취재 대응을 위한 헌법 제15조(직업의 자유)·제23조 (재산권)에 따라 보호되는 정당한 인사권 행사인 점, 영업 활동 보호 및 안전사고 예방 목적인 점 등을 고려하여 ‘목적이 정당’하며 … 정보주체의 사회적·경제적 불이익이 없는 점 등 고려할 때 피심인의 ‘정당한 이익이 정보주체의 권리에 우선’하므로 “보호법 제15조제1항제6호에 따른 적법 처리”라고 주장한다. | 출입기자의 경우, 근로관계에서 왜곡 보도 등을 하였다거나 근로 지원을 통해 그러한 위험성이 구체적으로 확인되지 않은 점 등을 고려할 때 목적의 정당성이 있다고 보기 어렵고, 소관 부처의 취재 편의 … 정보주체인 취재 기자들은 예측할 수 없는 상태에서 개인정보가 수집·이용되어 취업제한 목록에 등록되는 것만으로도 개인정보자기결정권, 직업 선택의 자유 등이 직접 침해될 수 있어 피심인의 이익이 정보주체의 권리에 명백히 우선한다고도 볼 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-011-077
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 취업제한 목록 작성(경찰청 출입기자 명단 수집) — 과징금 부과 및 산정 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 목적의 정당성, 수집의 불가피성 등 정당한 이익에 따른 처리로 인식하여 위법성이 없다고 인식할 만한 정당한 사유가 존재하고, 공개된 개인정보로써 71명의 이름·전화번호를 내부 업무용으로 활용한 것은 위반행위의 내용·정도가 경미하며 … | 앞에서 살펴본 것과 같이 정당한 이익에 따른 수집으로 보기 어려운 점 … / 다만, 출입기자를 취업제한 목록에 등재한 행위로 인하여 직‧간접적으로 영향을 받는 매출액이 없는 점을 인정하여 정액과징금을 부과한다. | https://datalaw.kr/sanctions/defenses/#df-2026-011-077
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 민감정보(근로자 체중정보) 처리 — 개인정보 및 민감정보 여부 | 개인정보가 아니다 | 불수용 | ‘본건 근로자 체중정보 자료’는 비식별화하여 더 이상 개인을 알아볼 수 없는 정보에 해당하고, 법원은 해당 자료를 통해 피심인의 근로자를 알아볼 수 없어 개인정보에 해당하지 않으며, 설령, 개인정보에 해당하더라도 체중 자료는 단순한 신체 계측치에 불과하므로 건강에 관한 정보인 민감정보로 보기 어렵다. | 그간 개인정보보호위원회 및 관련 판례는 ‘처리하는 자’의 입장에서 개인정보 여부를 판단해 왔으며, 이에 피심인이 제출한 성명 등을 삭제한 체중분석 자료는 정보 수령자인 법원이 아닌 개인정보처리자인 피심인을 기준으로 판단해야 하는 것으로, 피심인은 보유 중인 건강검진 원본 자료 간 결합을 통해 개인 식별이 가능하다. … | https://datalaw.kr/sanctions/defenses/#df-2026-011-077
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 민감정보(근로자 체중정보) 처리 — 정당행위에 따른 처리 | 기타 | 불수용 | 본 건 자료를 법원에 제출한 행위는 헌법이 보장하는 재판상 방어권 행사를 위한 것으로 형법 제20조에 따라 위법성이 조각되는 정당행위에 해당하여 행정상 제재처분의 원인이 되는 위법행위로 인정될 수 없다고 주장한다. | ‘임직원 건강 관리’ 목적으로 건강검진기관으로부터 제공받은 정보를 산업재해 관련 손해배상소송에서 ‘방어권 행사’ 목적으로 법원에 해당 근로자의 식별자(이름, 일부 로그인 아이디)를 마스킹하여 제출하였으나, 해당 자료를 통계화하여 제출할 수 있는 점, 사망자가 근무한 센터에서 동일한 업무를 수행한 근로자의 건강 (민감)정보인 점, 근로자의 동의를 받아 제출하는 등 비교적 수월하게 정당행위로 인정될만한 다른 수단이나 방법이 존재하는 점 등을 고려 시 피심인의 정당행위 관련 주장을 수용하지 아니한다. | https://datalaw.kr/sanctions/defenses/#df-2026-011-077
2026-06-10 | 제2026-011-077호 | 쿠팡풀필먼트서비스 유한회사 | 민감정보(근로자 체중정보) 처리 — 과징금 부과 및 산정 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 소송상 방어권 행사를 위한 자료 제출의 불가피성과 비식별화 조치를 고려시 위법성이 없다고 인식할 만한 정당한 사유가 존재하고, 그 외 영리 목적이 없고 해당 재판부에 단발성으로만 제출한 점은 위반행위의 내용·정도가 경미하며, 정보주체의 실질적 피해가 없거나 경미하며 이미 위반행위가 종료된 점을 근거로 과징금 부과기준 제4조에 따른 과징금 면제 대상임을 주장한다. … | 앞에서 살펴본 것과 같이 피심인의 행위를 정당행위로 인정하기 어렵고, 피심인이 자신의 위법의 가능성에 대해 심사숙고하거나 자신의 지적능력을 다하여 이를 회피하기 위한 진지한 노력을 다했다고 보기 어려워 위법하지 않다고 오인할 만한 정당한 사유가 인정되기 어려운 점, 민감정보를 제공받은 목적 외로 이용한 행위를 경미하거나, 부주의 또는 오류로 보기 어려운 점 등을 고려 시 과징금 면제 요건에 부합한다고 보기 어려우므로 수용하지 아니한다. / 다만, 체중분석 등 임직원 개인정보 처리 관련 매출액이 없는 점을 고려하여 정액과징금을 부과한다. | https://datalaw.kr/sanctions/defenses/#df-2026-011-077
2026-05-27 | 제2026-010-071호 (산정 근거 1차 가중 50% · 1차 감경 10·30% · 2차 감경 20%) | ㈜미소테크 | 안전조치의무 위반 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 본 사고와 관련된 NAS를 외부 IP를 통해 접근 가능하도록 운영한 것은 보수 작업을 위해 한시적으로 허용하였다가 담당자의 과실로 일부 기간 유지된 것이고 관리자 계정과 인가된 사용자 계정의 아이디와 비밀번호를 통해 접근통제 조치하였다고 주장한다. | 농촌진흥청의 제출자료 중 국가정보원 강평 내용에 따르면, ①NAS 상단에 보안장비 부재, ②NAS에 대한 접근제한 부실(ID·PW만 입력하면 접속 가능), ③취약한 비밀번호( ) 사용, ④비밀번호 입력제한 미설정 등 안전조치 미흡사항이 지적되고 있어 피심인이 NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치가 충분히 이뤄졌다고 보기 어렵다. 또한, 피심인은 외부 접근을 한시적으로 허용한 것이라고 하나 이와 관련하여 제출된 증빙자료가 없으므로 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-071
2026-05-27 | 제2026-010-071호 (산정 근거 1차 가중 50% · 1차 감경 10·30% · 2차 감경 20%) | ㈜미소테크 | 개인정보 파기 의무 위반 | 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 용역계약이 형식적으로 종료되었다는 사실만으로 모든 처리 목적이 즉시 소멸했다고 단정하기 어렵고, 하자 보수, 최종 검수 및 분쟁 대비 등 부수적인 목적이 남아있는 한 파기 의무의 이행 시점은 유예될 수 있다고 주장한다. | 피심인이 농촌진흥청, 국립농업과학원 및 국립축산과학원 등과 체결한 위탁 계약서에는 계약 해지, 계약기간 만료 시 위탁업무 관련 개인정보를 즉시 파기·반납이 규정되어 있고 별도의 예외 규정은 없으나, 조달청 일반용역계약에 하자담보책임기간 1년 특약이 규정된 점을 고려하여 개인정보 파기 의무 위반의 시점을 당초 17.6.부터에서 ’20.5.부터로 정정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-071
2026-05-27 | 제2026-010-071호 (산정 근거 1차 가중 50% · 1차 감경 10·30% · 2차 감경 20%) | ㈜미소테크 | 보호법 제29조 위반행위 기간 | 과징금 산정 — 위반기간 | 불수용 | 피심인은 보호위원회가 피심인의 보호법 제29조 위반기간을 ’17.6.부터 ’25.4.까지 장기간으로 판단하는 것은 부당하고, 안전조치의무 위반이 실제로 발생한 시점부터 종료 시점까지로 보아야 한다고 주장한다. | 보호위원회는 피심인의 보호법 제29조 위반기간을 피심인이 NAS를 이용했다고 제출한 ’17.6.부터 ’25.4.까지로 판단하였으며, 이에 대해 피심인은 구체적인 반박을 하지 못하고 있다. 또한, 보호법 제64조의2제1항제9호는 안전조치의무를 다한 경우 과징금을 부과하지 않도록 규정하고, 기존 개인정보 유출사고에 대한 선례 또한 일관되게 안전조치의무 위반행위의 기간을 위반행위의 기간으로 산정하고 있어 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-071
2026-05-27 | 제2026-010-071호 (산정 근거 1차 가중 50% · 1차 감경 10·30% · 2차 감경 20%) | ㈜미소테크 | 기준금액 | 과징금 산정 — 관련 매출액 | 수용 | 피심인은 ’22.~’24. 3년 동안 다수의 거래처와 총 114건의 계약을 체결하여 용역을 수행하는 과정에서, 각 발주처의 사업마다 별도의 담당자를 두었고, 개인정보 또한 각 계약건별로 구분하여 관리하였으므로 이 사건에서 문제되는 위반행위 관련 3개의 거래처(농촌진흥청, 국립농업과학원, 국립축산과학원)와 계약건에 한하여 관련 매출액으로 산정하여야 한다고 주장한다. | 이번 유출사고는 농촌진흥청, 국립농업과학원 및 국립축산과학원 등 3개 기관의 정보화사업을 위탁받아 수행하는 과정에서 발생하였으므로 전체 매출액 중 상기 3개 기관이 아닌 발주처와 거래에서 발생한 매출액은 시행령 제60조의2제3항제2호에 따른 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 재화 또는 서비스의 매출액’이 아닌 것으로 보고 관련 매출액에서 제외한다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-071
2026-05-27 | 제2026-010-070호 | 국립축산과학원 | (쟁점 표제 없음) | 의무 주체가 아니다 | 수용 | 피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약 기간은 ’20.3.~9.로 피심인의 수탁자 관리·감독 의무도 위탁계약 종료와 함께 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다. | 피심인이 ㈜미소테크와 체결한 축사로시스템 관련 위탁계약은 ’20.9월 종료되었고, 이후에는 ㈜엠엠소프트와 체결되었으므로 ’20.9월에 피심인의 수탁자 관리·감독 의무도 위탁계약 종료로 소멸된 것으로 봄이 타당하므로, 본 유출 사고에 舊 보호법 (법률 제16930호)을 적용한다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-070
2026-05-27 | 제2026-010-069호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 국립농업과학원 | 본 사건에 적용할 보호법규 | 의무 주체가 아니다 | 불수용 | 피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약이 ’22.12.22.종료되었으므로 피심인의 수탁자 관리·감독 의무도 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다. | 수탁업체인 ㈜미소테크는 피심인이 운영하는 시스템 구축 과정에서 확보한 ’22년 회원정보를 무단으로 보관하다 ’25.4. 해킹으로 유출하였다. 그러나 피심인은 ’22.12. 계약 종료 시 저장매체 보관 현황 등을 직접 확인·점검하지 아니하였다. … | https://datalaw.kr/sanctions/defenses/#df-2026-010-069
2026-05-27 | 제2026-010-069호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 국립농업과학원 | 수탁자 관리·감독 의무 이행여부 판단 | 의무 주체가 아니다 | 불수용 | 피심인은 ’22년도 시스템 관련 정보화사업은 청사 내부에서 이루어졌고, 피심인은 ㈜미소테크가 작업하던 사무실에 대한 보안점검을 철저히 이행하였으나, 사고발생 장소가 청사 외부인 ㈜미소테크의 전주지사에서 발생하여 보안점검이 사실상 불가했던 사정을 고려해야 한다고 주장한다. | ㈜미소테크가 NAS에 무단 보관하다 해킹으로 유출된 개인정보에 피심인이 운용하는 시스템의 회원정보가 포함되어 있었다. 이는 해당 회원정보가 ㈜미소테크에 의해 해당 NAS로 이전·보관되는 행위 자체를 사전에 인지·통제하지 못하였다는 의미이고, 동시에 농과원이 수탁자에 대한 관리·감독을 실효적으로 이행하지 못한 것으로 판단되어 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-069
2026-05-27 | 제2026-010-068호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 농촌진흥청 | 본 사건에 적용할 보호법규 | 의무 주체가 아니다 | 불수용 | 피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약이 ’22.12.21.종료되었으므로 피심인의 수탁자 관리·감독 의무도 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다. | 먼저, 피심인이 증빙자료로 제출한 새한제이소프트㈜의 ‘자료미보유확약서’는 ㈜미소테크에 대한 피심인의 수탁자 관리·감독 의무가 종료되었음을 입증하지 못한다. 더욱이, 작위의무를 이행하지 않은 위법은 그 이행 시까지 계속되는 것이라는 법리에 비추어 보건대, 농진청의 ㈜미소테크에 대한 수탁자 관리· 감독 의무 위반은 적어도 “정보화 용역사업 보안 강화계획”을 수립한 ’25.5.까지 지속되고 있던 것으로 볼 수 있으므로 ’23.9.15.부터 시행된 보호법이 적용되는 것이 타당하다. … | https://datalaw.kr/sanctions/defenses/#df-2026-010-068
2026-05-27 | 제2026-010-068호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 농촌진흥청 | 과징금 산정 | 위반 인정 — 감경·선처만 요청 | 수용 | 피심인은 내부관리계획 개정, 수탁자 관리·감독 체계 강화 등 자발적 시정 조치를 이행한 점, 유출 정황만으로도 관계기관 신고를 이행한 점, 적극적으로 사고 수습에 대응한 점 등을 고려하여 선처를 요청한다. | 피심인이 주장하는 내부관리계획 개정 등 관련 내용은 과징금 부과 금액 산정 절차에 반영한다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-068
2026-05-27 | 제2026-010-067호 | 행정안전부 | 안전조치의무 위반 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 홈페이지 운영 시 국가 전용망인 국가통신망을 이용중이고, 국가정보자원관리원의 보안관리 체계(침입탐지·차단시스템) 내에서 운영하고 있으며, 위탁계약 체결 시 수탁자의 법적의무를 명시하고 정기교육 실시, 내부관리계획 수립, 소스코드 변경 시 사전 보고체계 마련 등 관리적·기술적 조치를 지속적으로 이행하여 왔음을 고려해 달라고 주장한다. | 피심인은 내부용으로 사용할 ‘업무 게시판’에 처리하는 개인정보가 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 필요한 조치를 미흡하게 한 안전조치의무 위반이 확인되므로 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-067
2026-05-27 | 제2026-010-067호 | 행정안전부 | 수탁자 준용 규정 | 의무 주체가 아니다 | 불수용 | 피심인은 본 사고의 경우 수탁자인 소속 직원이 공유누리 홈페이지 내 게시판에 개인정보가 포함된 엑셀파일을 부주의하게 업로드하였고, 수탁자가 게시판의 설정과 인증 차단을 누락한 과실에 기인한 것이며, ’23.9.15.부터 시행된 보호법은 수탁자도 개인정보처리자와 동일한 책임을 지도록 하고 있으므로 수탁자를 처분해야 한다고 주장한다. | 그러나 첫째, 홈페이지 운영은 ｢전자정부법｣ 상 ‘정보화 사업’으로 공공기관의 소관 업무라는 점, 둘째, 복권위원회로부터 복권 발행·관리 및 판매 등의 업무를 위탁 받아 처리하는 ㈜동행복권의 사례와 달리 정보화사업은 수탁자의 업무 수행에 독자성이 매우 적은 점, 셋째, 이에 따라 정보화사업의 경우 위탁자의 관리·감독의 중요성이 보다 더 크다는 점 등을 종합 고려할 때, 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-067
2026-05-27 | 제2026-010-067호 | 행정안전부 | 과징금 부과 여부 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 본 사고의 경우 국정원의 보안 취약점 신고 포상제 등 공익적 신고 경로를 통해 최초 확인된 사안으로, 외부 영리 목적의 유포가 아닌 민·관 협력 차원의 정보보호 활동 중 발견되어 즉시 조치된 사안으로 외부 공격자가 시스템을 침해하거나 개인정보를 대량 수집·악용한 정황은 없으므로 일반적인 대규모 개인정보 유출 사고와 구분하여 판단해 달라고 주장한다. | 개인정보가 사실상 공익적 신고인 1명에게만 유출된 점이 확인되고, 위반행위의 내용 및 정도와 피해발생 정도 등을 종합 고려하여 보호법 제64조의2제5항에 따라 과징금은 부과하지 않되, 안전조치의무 위반에 대해 과태료를 부과한다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-067
2026-05-27 | 제2026-010-066호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 행정안전부 | 개인정보 유출 | 개인정보가 아니다 | 불수용 | 피심인은 국세청 연계 민원서류 오발급 관련 법인 대표자 587명의 성명과 주민등록번호는 당초 대표의 개인정보를 알고 있던 자에게 개인정보가 노출된 것으로 개인정보 유출로 보기 어렵고, 정부24 홈페이지 해킹 관련 ‘주민등록증 발급 신청일자’는 개인정보가 아니므로 개인정보 유출로 볼 수 없다고 주장한다. | 개인정보 유출은 “개인정보가 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것”으로 … 주민등록증 발급 신청일자 및 처리완료 여부에 대하여 피의자가 정부24에 존재하는 본인인증 기능의 취약점을 이용하여 타인의 주민등록증 발급 신청일자와 처리완료 결과 등을 조회·유출한 바, 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-066
2026-05-27 | 제2026-010-066호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 행정안전부 | 안전조치의무 위반 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 타인의 인증서를 이용한 접근의 경우 이는 시스템 설계상 보완이 필요한 영역일 수는 있으나 이를 곧바로 안전조치의무 위반에 해당해 개인정보 보호법을 위반한 것으로 보기 어렵다고 주장한다. | 주민등록증 발급상황 조회 서비스에서 제공하는 의 모듈 검증방식은 조회를 위해 입력한 개인정보와 본인인증을 위해 입력한 개인정보간 동일성 검증 절차를 누락한 취약점으로, 기존 개인정보 유출사고에 대한 선례 또한 일관되게 인증 요청자의 정보와 실제 본인인증 절차를 거친 정보 간의 동일성을 확인하지 않은 행위는 안전조치의무 위반으로 보고 있어, 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-066
2026-05-27 | 제2026-010-066호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 행정안전부 | 개인정보 유출 통지 의무 | 의무 이행 주장 — 통지·신고를 했다 | 불수용 | 피심인은 교육부 연계 민원서류 오발급 건과 관련하여 유출 기간(’24.3.28.~4.1.) 중 발급한 424,172건의 PDF 파일을 모두 검사하여 유출 통지 대상자를 특정하는데 많은 시간이 소요되었음을 감안해야 한다고 주장한다. | 이런 경우 피심인은 시행령 제39조제3항에 따라 정부24 홈페이지에 유출 사실을 30일 이상 게시하는 방법으로 유출 통지 의무를 이행할 수 있었으므로 피심인의 의견은 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-066
2026-05-27 | 제2026-010-066호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 행정안전부 | 과징금 부과 횟수 | 과징금 산정 — 그 밖의 사유 | 수용 | 피심인은 교육부 및 국세청 연계 민원서류 오발급 관련 개인정보 유출 2건은 피심인의 에서 유사한 시기에 발생한 동일 의무 위반행위라는 점에서 하나의 위반행위로 볼 수 있다고 주장한다. | 교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건과 주민등록증 발급상황 조회 서비스의 본인인증 취약점에 의한 개인정보 유출 건은 모두 피심인이 운영하고 있는 개인정보처리시스템인 에서 발생하였고, 3건 모두 동일한 안전조치의무(고시 제6조제3항에 다른 ‘접근통제’)를 위반한 건임을 종합 고려하여 통합 처분한다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-066
2026-05-27 | 제2026-010-066호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 행정안전부 | 안전조치의무 위반 및 과징금 부과 여부 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건은 사소한 부주의에 의해 경미한 위반행위가 발생한 것으로서 이로 인한 피해가 없고 피심인은 후속조치를 다하였으므로 과징금 면제를 주장한다. | 국세 납세증명서 서식변경과 관련하여 ‘개인 발급’ 및 ‘법인 발급’ 두 가지 경우 중 ‘개인 발급’에 대해서만 테스트한 행위는 사소한 부주의 또는 경미한 위반으로 보기 어려워 피심인의 의견은 수용할 수 없다. / 다만, 교육부 연계 민원 오발급의 경우 ①피심인은 프로그램 배포 전 테스트를 실시하였고 특별한 오류가 발견되지 않은 점, ②1:1 미스매칭으로 해커의 불법침입에 활용되는 취약점은 아닌 점 등을 종합 고려할 때, 안전조치의무 위반으로 처분할 만한 사안으로 보기는 어렵다. | https://datalaw.kr/sanctions/defenses/#df-2026-010-066
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 위탁 사실 공개 미흡 | 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-063
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 수탁자 관리·감독 소홀 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고는 보기 어렵다. / 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 종합적으로 고려하여 과징금을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-063
2026-05-13 | 제2026-009-063호 | 보람상조플러스 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. / 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-063
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 위탁 사실 공개 미흡 | 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-062
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 수탁자 관리·감독 소홀 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고는 보기 어렵다. / 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 종합적으로 고려하여 과징금을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-062
2026-05-13 | 제2026-009-062호 | 보람상조실로암 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. / 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-062
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 위탁 사실 공개 미흡 | 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-061
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 수탁자 관리·감독 소홀 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고는 보기 어렵다. / 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 종합적으로 고려하여 과징금을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-061
2026-05-13 | 제2026-009-061호 | 보람상조애니콜 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. / 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-061
2026-05-13 | 제2026-009-060호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조피플 주식회사 | 위탁 사실 공개 미흡 | 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-060
2026-05-13 | 제2026-009-060호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조피플 주식회사 | 수탁자 관리·감독 소홀 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고 보기 어렵다. / 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 과징금 산정 시 종합적으로 고려하여 감경을 적용한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-060
2026-05-13 | 제2026-009-060호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조피플 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. / 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-060
2026-05-13 | 제2026-009-059호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조라이프 주식회사 | 위탁 사실 공개 미흡 | 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-059
2026-05-13 | 제2026-009-059호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조라이프 주식회사 | 수탁자 관리·감독 소홀 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고 보기 어렵다. / 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 과징금 산정 시 종합적으로 고려하여 감경을 적용한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-059
2026-05-13 | 제2026-009-059호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조라이프 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. / 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-059
2026-05-13 | 제2026-009-058호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조리더스 주식회사 | 위탁 사실 공개 미흡 | 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-058
2026-05-13 | 제2026-009-058호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조리더스 주식회사 | 수탁자 관리·감독 소홀 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’21년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고 보기 어렵다. / 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 과징금 산정 시 종합적으로 고려하여 감경을 적용한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-058
2026-05-13 | 제2026-009-058호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조리더스 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 ’24년 발생한 유출을 그 위반행위로 하는 것이므로 ’24년도의 직전 3개 사업연도인 ’21년에서 ’23년의 연평균 매출액을 전체 매출액으로 할 것과 유출사고는 홈페이지와 관련된 것이므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 피심인은 수탁자인 보람상조개발에 대한 관리·감독과 관련한 위반행위를 ’25년에 시정한 것으로 확인되는 바, 위반행위의 직전 3개 사업연도인 ’22년에서 ’24년을 기준으로 연평균 매출액을 산정한다. 또한, 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. / 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-058
2026-05-13 | 제2026-009-057호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조개발 주식회사 | 개인정보 유출 통지 | 의무 이행 주장 — 통지·신고를 했다 | 불수용 | 피심인은 ’24. 5. 28. 13:33에야 강원경찰청으로부터 개인정보 유출을 확인하는 근거가 되는 데이터 일부를 전달받았으며, 내부 DB와의 대조 및 검증 절차를 거쳐 ’24. 5. 28. 17:24에 유출 정황이나 가능성이 아닌, 명시적인 개인정보 유출사실을 인지하였으며, 이로부터 72시간이 경과하지 않은 ’24. 5. 31. 15:00경부터 유출통지를 시작하여 보호법에 따른 적법한 통지를 하였다고 주장한다. | 피심인이 조사 과정에서 제출한 자료 등에 따르면, 피심인은 ’24. 5. 27. 오전 9시경 강원경찰청으로부터 개인정보 유출 정황을 통보받아 같은 날 17시 37분경 로그 확인 및 내부 테스트 등을 거쳐 유출 가능성을 확인한 후, 같은 날 18시 30분경 웹 방화벽 로그 분석을 통해 인젝션 공격 등 비정상적 접근을 확인하였으며, 같은 날 19시경 침해가 발생한 DB 내 개인정보가 저장된 테이블 등까지 확인한 사실이 있다. … | https://datalaw.kr/sanctions/defenses/#df-2026-009-057
2026-05-13 | 제2026-009-057호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | 보람상조개발 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 ’24년 발생한 유출을 그 위반행위로 하는 것이므로 ’24년도의 직전 3개 사업연도인 ’21년에서 ’23년의 연평균 매출액을 전체 매출액으로 할 것과, 유출사고는 홈페이지와 관련된 것이므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 피심인의 안전조치의무 관련 위반행위의 종료 시점인 ’24년을 기준으로 직전 3개 사업연도인 ’21년에서 ’23년을 기준으로 연평균 매출액을 산정한다. 한편, 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. / 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. | https://datalaw.kr/sanctions/defenses/#df-2026-009-057
2026-04-08 | 제2026-006-051호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | Cristie, Manson & Woods, Ltd | 과징금 부과 및 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 보호법 제24조의2제1항 및 제29조 위반행위에 대해 ｢개인정보보호법 위반에 대한 과징금 부과기준 ｣(이하 ‘과징금 부과기준’) 관련하여, 2개의 위반행위 중 1개의 행위에 대해서만 과징금을 부과할 것을 주장하였다. … | 피심인의 위반한 2개의 행위는 별개 행위로 각 과징금 부과 사안에 해당하므로 피심인의 주장을 불수용하나, 관련 없는 매출액 주장 등 기준 금액 산정 및 감경 요건 관련 피심인의 주장은 수용한다. | https://datalaw.kr/sanctions/defenses/#df-2026-006-051
2026-04-08 | 제2026-006-051호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) | Cristie, Manson & Woods, Ltd | 시정명령 및 공표명령 부과 | 의무 이행 주장 — 안전조치를 했다 | 일부수용 | 피심인은 위반행위 관련 시정이 완료된 점, 본 사건 관련 한국 고객의 규모가 극히 제한적인 점 등을 고려하여 관련 처분을 부과하지 아니할 것을 요구하였다. | 피심인의 위반행위는 시정이 완료된 점을 고려하여 시정명령을 부과하지 아니하되, ｢개인정보 보호법 위반에 대한 공표 및 공표명령 지침」제6조제1항제5호에 따라 보호법 제75조제2항 각 호의 위반행위 3개 이상인 경우로써 공표명령 요건에 해당하므로 공표명령을 부과한다. | https://datalaw.kr/sanctions/defenses/#df-2026-006-051
2026-03-11 | 제2026-004-023호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 20%) | 롯데카드 주식회사 | 주민등록번호 처리 근거 | 동의를 받았다 | 불수용 | 피심인은 민원 대응 목적으로 주민등록번호를 로그파일에 기록‧저장하여 처리하는 행위와 관련하여 … 신용정보법 시행령 제37조의2제4항에서 규정하는 ‘금융거래를 위하여 신용정보를 이용하는 사무를 수행하기 위하여 불가피한 경우’에 해당하며, 법령에 근거한 적법한 처리라고 주장한다. | 피심인이 ｢금융분야 주민등록번호 수집‧이용 가이드라인｣ 상 주민등록번호 처리가 허용되는 업무로 언급한 ‘콜센터 상담 등 금융거래 계약 체결·이행에 수반되는 업무’와 관련하여, 해당 가이드라인은 그 구체적 사례로 ‘전화를 통한 주식매수 주문, 예금잔액 확인 등’만을 제시할 뿐이며, 피심인이 임의로 구성한 내부 시스템에서 발생한 오류의 원인을 확인하기 위한 로그파일에 상시적으로 주민등록번호를 기록‧저장하고 민원 발생 시 조회하는 데 사용할 수 있다는 의미로 확대하여 해석하기는 어렵다. … | https://datalaw.kr/sanctions/defenses/#df-2026-004-023
2026-03-11 | 제2026-004-023호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 20%) | 롯데카드 주식회사 | 주민등록번호 암호화 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 주민등록번호가 적재된 로그파일에 ‘일 배치 방식’의 암호화 정책을 적용하여 주기적으로 암호화를 수행하였고, 로그파일은 시스템 부하 등 기술적 제약으로 실시간 암호화 적용이 불가능하며 이는 동종·유사 업권에서도 일반적인 방식임을 고려하였을 때, 보호법 제24조의2제2항에 따라 주민등록번호에 대하여 적절한 암호화 조치를 이행하였다고 주장한다. | 로그파일에는 정보주체의 개인정보를 기록·저장하지 않는 것이 일반적이고, 주민등록번호의 경우에는 그 처리가 엄격히 제한되는 점을 고려하였을 때 더욱이 그러하다. 본 건의 경우 주민등록번호를 로그파일에 기록·저장하였다는 점에서, 일반적으로 주민등록번호가 기재되지 않는 로그 파일과 암호화 기준을 동일하게 적용하는 것은 적절하지 않다. … | https://datalaw.kr/sanctions/defenses/#df-2026-004-023
2026-03-11 | 제2026-004-023호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 20%) | 롯데카드 주식회사 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 해커가 공격한 ‘온라인 결제 시스템’이 온라인 간편결제 서비스와 관련하여서만 사용되므로, 과징금 산정 기준 매출액은 해당 시스템을 통해 처리가 이루어지지 않는 다른 서비스들을 통해 발생한 수수료 수익을 제외하고 산정되어야 하며, 가입 및 개인정보 수집 없이 제공되는 서비스(법인무기명카드, 기프트카드, 선불카드 등)나 카드 서비스와 관련이 없는 기타 영업수익은 관련 없는 매출액으로 제외되어야 한다고 주장한다. | 피심인은 전체 온라인 결제 등록 처리 과정에서 주민등록번호를 법적 근거 없이 처리한 바, 위반행위로 영향을 받는 서비스는 해커에게 침해당한 ‘온라인 결제 시스템’ 관련 서비스(일반·SMS결제, Pay결제) 외에도 ‘페이중계시스템’, ‘로카페이시스템’ 등을 이용하는 서비스( 페이, 로카페이)를 포함한 전체 온라인 결제 서비스에 해당하므로, 전체 온라인 결제 서비스 매출액이 위반행위 관련 매출액에 해당한다. / 다만, 법인무기명카드·기프트카드·선불카드 등 개인정보 수집 없이 제공되는 서비스 및 카드 서비스와 무관한 기타 영업수익의 경우에는 주민등록번호 처리와 무관한 점 등을 고려하여 관련이 없는 매출액으로 판단하여 제외한다. | https://datalaw.kr/sanctions/defenses/#df-2026-004-023
2026-03-11 | 제2026-004-023호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 20%) | 롯데카드 주식회사 | 위반행위의 중대성 | 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 본 건 위반과 관련하여, 영리 목적이 없었고 자진 시정하는 등 고의 또는 중과실이 없는 점, 각종 보호조치를 이행하고 ISMS-P 인증을 취득하는 등 개인정보 보호를 위하여 노력해온 바 위반행위의 부당성이 현저히 크거나 상당하지 않은 점, 유출 정보가 일반 공중에 노출되지 않았고 정보주체의 2차 피해 사례도 없었던 점 및 타사와의 형평성 등을 종합적으로 고려하였을 때 ‘보통 위반행위’에 해당한다고 주장한다. | 피심인이 위반행위와 관련하여 자진하여 시정 완료한 점은 인정되나, 위반 사항과 관련하여 보호법 준수에 대한 검토가 부재하였던 점, 개인정보 처리와 관련한 이력·검토내역 등이 관리되지 않는 등 관련 준법 감시·통제가 미흡한 점, 위반행위를 최소 7년 이상 장기간 지속한 점, 위반사항과 관련하여 약 700만 명의 주민등록번호를 법적 근거 없이 처리한 점, 약 45만 명의 주민등록번호가 평문 형태로 유출되어 전 국민의 불안과 심각한 사회적 혼란을 발생시킨 점 등을 고려하였을 때 위반행위의 중대성은 “매우 중대한 위반행위”에 해당한다. | https://datalaw.kr/sanctions/defenses/#df-2026-004-023
2026-03-11 | 제2026-004-023호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 20%) | 롯데카드 주식회사 | 과징금·과태료 감경 사유 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 경제적·비경제적 이득을 취하고자 하는 목적이 없었던 점, 위반행위를 즉시 시정 완료한 점, 조사에 적극 협력한 점, 피해 회복 및 확산 방지 조치를 이행한 점, 개인정보 보호를 위해 보호위원회가 인정하는 인증을 취득하는 등 개인정보 보호를 성실히 수행한 점 등을 고려하여, 1차·2차 조정 시 최대 감경을 적용할 것을 주장한다. | 위반행위와 관련하여 직접적인 취득 이익이 없는 점, 조사에 협조한 점, 즉각적인 시정조치를 완료한 점, ISMS-P 인증을 취득하는 등 개인정보 보호를 위한 노력 등을 종합적으로 고려하여, 1차·2차 감경을 일부 적용한다. | https://datalaw.kr/sanctions/defenses/#df-2026-004-023
2025-12-10 | 제2025-026-308호 (산정 근거 1차 가중 50% · 1차 감경 50% · 2차 감경 20%) | K Games, Inc | (쟁점 표제 없음) | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 본 유출사고가 발생한 헬프데스크 서비스는 전체 게임 이용자가 아닌 고객지원 문의를 목적으로 한 이용자로 제한되므로, 과징금 산정시에 관련 매출액에 한국의 게임 이용자(2023년 회계연도 기준, 약 만 명) 중 유출로 영향받은 헬프데스크 이용자(12,906명)의 비율을 반영하여 줄 것을 주장하였다. | 그러나, 헬프데스크 서비스는 피심인의 주요 서비스인 게임 서비스의 계정접근·오류·개선의견 등 관련 문의처리를 위한 수단인 점, 해당 내용에 대해서도 이용약관을 통해 안내하는 점 등을 고려할 때, 게임 서비스가 아닌 헬프데스크 서비스만으로 관련 매출액을 한정하기는 어려우므로 관련 주장은 불수용한다. / 다만, 사고에 영향을 받은 한국 이용자의 유출에 대한 피해로 한정하여야 한다는 주장을 수용하여 관련 매출액은 국내 게임 매출액으로 한정한다. | https://datalaw.kr/sanctions/defenses/#df-2025-026-308
2025-09-10 | 제2025-217-351호 | 숨수면의원 | (쟁점 표제 없음) | 위반 인정 — 감경·선처만 요청 | 일부수용 | 피심인은 본 건 위법사실을 인정하고 있으나, 해당 CCTV는 촬영된 영상이 중국 소재 서버에 주기적으로 백업되고, 본 건 유출은 해당 백업 서버의 계정이 탈취된 것이 원인으로 단순히 해당 CCTV 제품을 설치해 운영하고 있는 피심인에게 온전한 과실 책임을 묻는 것은 부당하며, 유출된 정보는 민감·고유식별정보나 인증정보에 해당하지 않아 과태료 산정 시 다양한 감경 사유가 존재한다는 점 등을 적극 고려하여 선처를 요청하였다. | 본 건 유출 원인은 시스템 로그가 삭제되어 유출 원인을 명확하게 특정하지 못하였고, ’중국으로 백업되는 서버의 계정 유출’은 추측 가능한 다수의 유출 원인 중 하나인 반면, 유출로 이어질 수 있는 피심인의 안전조치 의무 소홀에 대한 과실은 명확하다. / 다만, 피심인이 위반행위로 인한 경제적‧비경제적 이득을 취하지 아니한 점, 조사에 적극 협력한 점, 사전통지 및 의견제출 기간이 종료되기 전에 위반행위를 중지하는 등 시정을 완료한 점 등을 종합적으로 고려하여 피심인의 주장을 일부 수용한다. | https://datalaw.kr/sanctions/defenses/#df-2025-217-351
2025-07-23 | 제2025-016-233호 (산정 근거 1차 감경 30%) | Qookka Entertainment Limited | (쟁점 표제 없음) | 기타 | 일부수용 | 피심인은 주민등록번호 처리와 관련하여 당첨자의 나이·본인 여부 확인, 소득세 원천징수 목적으로 주민등록번호를 처리하였으며, 개인정보보호위원회에서 발간한 ｢개인정보 보호 가이드라인–온라인 경품행사편(’23.5.)｣에 따라 필요한 시점에 주민등록번호를 확인하여 법령 해석과 선례에도 부합하므로 법적근거 없이 주민등록번호를 처리하지 않았다고 소명하였다. | 그러나, 피심인이 주장하는 ｢청소년 보호법｣에서는 유해약물등(주류 포함)을 배포하고자 할 때 상대방의 나이 및 본인 여부를 확인하도록 할 뿐, 주민등록번호 수집‧확인 등을 허용하는 규정이라고 볼 수 없다. 설령, 피심인의 주류 경품 제공 행위를 ｢주류의 통신판매에 관한 명령위임 고시｣에서 정의하는 주류 통신판매 행위로 보더라도 피심인은 해당 고시가 규정한 성인인증 방법(휴대전화·아이핀·전자서명)을 따르지 않았다. … / 다만, 피심인이 제출한 의견 가운데 위반행위의 중대성 판단시에 수집 규모, 위반 기간, 정보주체에게 피해가 발생하지 않은 점에 대한 고려가 필요한 점, 이 사건과 관련된 이벤트가 진행되지 않은 한국 외의 다른 국가에서 발생한 매출액 ‘위반행위와 관련이 없는 매출액’으로 보아야 한다는 주장은 수용한다. | https://datalaw.kr/sanctions/defenses/#df-2025-016-233
2025-06-25 | 제2025-014-047호 (산정 근거 1차 감경 30% · 2차 감경 30%) | TELUS International AI, Ltd | (쟁점 표제 없음) | 과징금 산정 — 관련 매출액 | 불수용 | 피심인은 본 유출사고의 유출 항목이 기여자의 개인정보로서 임직원의 개인정보와 그 성격이 유사하므로 이로 인해 직접적으로 발생되는 수익은 없으며, 법인 간 분업구조에 따라 기업고객으로부터 발생하는 수익은 피심인이 아닌 피심인의 계열사로 귀속되므로, 보호법 제64조의2제1항 단서 및 같은법 시행령 제60조의2제2항제2호에 따라 “재해 등으로 인하여 매출액 산정자료가 소멸되거나 훼손되는 등 객관적인 매출액의 산정이 곤란한 경우”에 해당한다고 주장한다. … | 그러나, 피심인의 플랫폼은 기여자의 노동력을 확보하여 계열사 및 기업고객 등 타 사의 업무 지원에 활용하는 방식으로 매출이 발생하고 있고, 일부는 기여자가 생성한 데이터를 제공받아 타 사의 AI 학습에 이용하고 있어, 기여자의 개인정보 처리와 피심인의 매출 사이에 관련성이 없다고 볼 수 없으므로 매출액이 없거나 매출액의 산정이 곤란한 경우로 보기 어렵다. … | https://datalaw.kr/sanctions/defenses/#df-2025-014-047
2025-06-11 | 제2025-211-251호 | 더블에스컴퍼니 | (쟁점 표제 없음) | 기타 | 불수용(판단 내용으로 읽음) | 피심인은 미용기기가 설치된 장소에 CCTV를 설치·운영한 목적은 미용기기 이용 도중 발생할 수 있는 안전사고에 대비하기 위한 것이고, 신고인에게 CCTV가 설치되어 있다고 알렸을 뿐만 아니라, 커튼을 이용하여 탈의 및 환복 중에 CCTV에 촬영되지 않도록 주의할 것을 고지하였다는 의견을 제출하며 선처를 호소하였다. | 안전사고 발생 우려와 CCTV 설치여부에 대한 고지는 舊 보호법 제25조제2항 및 같은 법 시행령 (이하 ‘舊 시행령’) 제22조제1항 각 호에서 규정하고 있는 탈의실 등 장소에서의 CCTV 설치·운영 제한 예외 사유에 해당한다고 보기 어렵다. | https://datalaw.kr/sanctions/defenses/#df-2025-211-251
2025-05-14 | 제2024-013-193호 (산정 근거 1차 가중 25% · 2차 가중 30%) | Whaleco Technology Limited | 국외이전의 법적 근거 | 의무 주체가 아니다 | 불수용 | 피심인은 처리위탁‧보관과 관련한 국외 이전사항을 개인정보 처리방침에 공개하지 않은 위법행위는 인정하면서 위원회 자료제출 요구서 수령 후 2024년 3월 22일 개인정보 처리방침을 개정하여 시정하였다고 소명하고 있다. 또한, 중국 계열사 에 대해서는 정보 이전이 단발적이고, 등 자회사는 개인정보를 ‘처리’하는 것이 아니므로 개인정보 처리방침 공개 의무가 없어 시정명령 대상이 아님을 주장하고 있다. | 그러나 피심인은 에 장애해결 및 컴플라이언스 준수 등 목적으로 개인정보를 이전하고 있는바, 이는 위탁 기간이 지속되는 업무이므로, 보호법 해설서에서 안내하고 있는 위탁업무가 일회성으로 이루어지는 경우로 볼 수 없다. 또한, 등 자회사는 피심인이 제공한 응용프로그램을 통해 한국 이용자의 개인정보가 저장된 서버에 접근하여 송장을 출력하고 상품에 부착하고 있는바, 단순 ‘도관’ 사업자로 볼 수 없으므로 피심인의 주장을 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2024-013-193
2025-05-14 | 제2024-013-193호 (산정 근거 1차 가중 25% · 2차 가중 30%) | Whaleco Technology Limited | 수탁사 교육‧감독 | 기타 | 불수용 | 피심인은 2023년 7월부터 한국 내 서비스를 시작하여 사업 기간이 짧으며, 따라서 관련 규정 및 안내서 등에 비추어 법 위반이라고 볼 수 없다고 주장하고 있다. | 그러나 업무 위탁 특성에 따라 개인정보가 실제 위탁되기 전부터 주의사항 교육 등이 필요할 수 있고, 개인정보 처리 업무 위탁 시 교육 및 감독 의무는 업무 위탁 시점부터 발생하는 것이므로, 사업 기간이 짧아 법 위반이라고 볼 수 없다는 주장은 수용할 수 없다. 참고로 피심인은 한국에서 사업을 시작한 2023년 7월 이전부터 전 세계 대상으로 개인정보 처리 업무를 위탁하고 있었으며, 2024년 6월 기준 국내 월간 활성 이용자 수가 만 명에 달하는 국내 이커머스 상위 사업자이다. | https://datalaw.kr/sanctions/defenses/#df-2024-013-193
2025-05-14 | 제2024-013-193호 (산정 근거 1차 가중 25% · 2차 가중 30%) | Whaleco Technology Limited | 권리행사 방법 | 시정을 완료했다 | 불수용 | 피심인은 다른 사업자에 비해 회원탈퇴 절차가 명확하고 간단하며, 그럼에도 불구하고 회원탈퇴 절차를 더욱 간소화한바, 시정명령 대상이 아님을 주장한다. | 그러나, 이용자가 계정삭제 이유까지 입력하였음에도 탈퇴 의사를 확인하는 추가 화면을 구성한 것은 회원탈퇴를 제한하기 위해 의도적으로 절차를 추가한 것으로 위법하고, 권리행사의 방법 및 절차를 정보주체가 알 수 있도록 공개할 필요가 있는 점 등을 고려할 때 피심인의 주장을 수용할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2024-013-193
2025-05-14 | 제2024-013-193호 (산정 근거 1차 가중 25% · 2차 가중 30%) | Whaleco Technology Limited | 자료 미제출 | 과태료 산정 | 수용 | 피심인은 자료제출 기한에 맞추어 성실히 제출하였고, 위원회의 모든 요청사항을 제출 기한까지 제출하였다는 점에서 자료 미제출에 따른 과태료 부과는 부적절하다고 주장한다. | 피심인은 당초 일부 계열사 등에 대한 사항을 누락하고 자료를 제출하였으나, 사전통지서에 대한 의견제출 기한까지 추가 자료를 제출한 점을 고려하면, 보호법 제75조제2항제25호에 따른 자료 미제출 행위로 판단하기에는 무리가 있어 피심인의 주장을 수용한다. / 다만, 피심인이 개인정보가 처리되는 국가 관련 자료 요구에 대해 ‘중국’ 내 계열사 및 자회사에 대한 사항을 제외하고 자료를 제출한 사실은 자료제출의 외형은 갖추었으나 실제는 갖추지 못한 것으로서, 명확한 증거를 제대로 제출하지 않은 조사 방해 행위로 보아 과징금 산정 가산 사유에 해당한다고 판단하였다. | https://datalaw.kr/sanctions/defenses/#df-2024-013-193
2025-05-14 | 제2024-013-193호 (산정 근거 1차 가중 25% · 2차 가중 30%) | Whaleco Technology Limited | 관련 매출액 산정 | 과징금 산정 — 관련 매출액 | 불수용(판단 내용으로 읽음) | 피심인은 특수관계자 거래로부터 발생하는 매출은 한국 이용자 정보는 물론 한국 이용자를 대상으로 하는 서비스나 영업 활동과는 무관한 매출로, 그룹 내 효율적인 사업 운영을 위해 계열사 간 거래에서 발생하는 매출액이라고 주장한다. | 그러나, 피심인이 제출한 특수관계자 거래 관련 계약서에 따르면, 형식상 상위그룹인 계열사(, 이하 ‘ ’)에 조달 대행 서비스제공 대가로 수취하는 것으로 보여지나, 실질적으로 유럽에서 큰 손실 없이 원활하게 테무 서비스 운영을 유지할 수 있도록 자금을 지원받는 것이고, 조달 대행 서비스의 실질은 없는 것으로 판단된다. … / 다만, 피심인이 공식 재무제표와 테무 한국 사이트를 통해 진행된 모든 거래의 상세 내역을 제출하였고, 한국 이용자의 개인정보는 테무의 한국 서비스(제품판매, 배송 등)를 위해서 처리된바, 전체 매출액에서 한국 매출액이 차지하는 비율(’23년 %, ’24년 %)을 반영한 매출액을 과징금 부과기준으로 삼았다. | https://datalaw.kr/sanctions/defenses/#df-2024-013-193
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 개인정보 처리방침 | 기타 | 불수용(판단 내용으로 읽음) | 피심인은 실태점검 과정에서 개인정보 처리의 법적 근거, 가명정보 처리, 업무 위탁, 개인정보의 보유 및 이용 기간, 파기 절차 및 방법, 정보주체의 권리, 개인정보보호 책임자 등 보호법에 따른 사항을 포함하는 한국어로 작성된 처리방침을 2025년 3월 28일 제출하였고, 기존 처리방침에도 보호법상 주요 사항을 포함하고 있었음을 고려할 것을 요청하였다. | 앞서 살펴본 바와 같이, 해외사업자가 보호법이 적용되는 서비스의 처리방침을 수립‧공개할 때는 한국 정보주체가 쉽게 알 수 있도록 한국어로 작성하여야 하고, 보호법에서 정한 내용에 따라 작성‧공개하여야 한다고 안내하고 있다. … | https://datalaw.kr/sanctions/defenses/#df-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 개인정보의 국외 이전 | 의무 주체가 아니다 | 일부수용(판단 내용으로 읽음) | 피심인은 한국 이용자에게 적용되는 처리방침에 개인정보 국외 이전에 관한 사항을 구체적으로 기재하였고, 이용자 프롬프트 입력 정보는 2025년 4월 10일 더 이상 로 이전되지 않도록 조치하였다고 소명하였다. 특히, 는 서비스 안전성 유지 및 기능 개선 목적으로 이용자의 개인정보 처리 업무를 위탁하는 것이며, 해당 목적 외 마케팅을 위한 분석 목적으로 이전하지 않는다는 의견과 관련 약관을 제출하였다. | 피심인이 다수 국외 회사에 개인정보를 이전하면서 한국 이용자에게 적용되는 처리방침에 해당 사항을 기재하는 등 조치하겠다고 계획을 제출하였다. 로 정보를 전송한 것과 관련하여 피심인이 DeepSeek 서비스에서 오류가 발생하는 경우 이를 조치하고, UI/UX를 개선하기 위한 목적이 있으며, 해당 정보에 대한 통제권 또한 피심인에게 있다는 점은 일부 소명된다. / 다만, 에 이전한 정보 중 이용자가 프롬프트에 입력한 정보는 피심인이 소명한 이전 목적인 ‘서비스 개선’ 등에 비춰 볼 때, 그 필요성이 불분명하다. … | https://datalaw.kr/sanctions/defenses/#df-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | AI 개발 및 이용자 프롬프트 입력 정보 학습 | 개인정보가 아니다 | 불수용(판단 내용으로 읽음) | 피심인은 이용자가 프롬프트에 입력한 정보 등은 식별자 제거, 데이터 각색 및 데이터 내 개인정보 제거한 후 이용하므로, 개인정보 이용에 해당하지 않으며 … 정당한 이익 달성을 위해 필요한 경우로서 명백하게 정보주체의 권리보다 우선하므로 AI 학습에 이용할 수 있다고 주장한다. | 이용자가 프롬프트에 입력한 정보와 관련하여 이용자 식별자 등을 제거하더라도 피심인이 보관하고 있는 개인정보 파일에서 ‘이용자 프롬프트 입력 정보’ 자체만으로 어떤 이용자가 해당 데이터를 입력(질의)했는지 알 수 있다. 또한, AI 학습은 데이터를 알고리즘에 학습시키는 것뿐만 아니라, 이를 위한 인적 검토, 데이터 각색 및 개인정보 제거 등 전처리 과정 또한 포함되므로 이를 개인정보를 이용한 것이 아니라고 볼 수 없다. … / 다만, 사전 실태점검 과정에서 이용자가 AI 학습을 거부할 수 있는 기능 (opt-out)을 마련하였고, 입력 데이터 삭제도 가능하며 … 위법성을 입증하여 판단하는 것 보다, 지난해 주요 AI 사전 실태점검 결과를 바탕으로 마련한 강화된 개인정보 보호조치 방안을 적용할 필요가 있다. | https://datalaw.kr/sanctions/defenses/#df-2025-009-026
2025-04-23 | 제2025-009-026호 | Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 안전조치 | 의무 이행 주장 — 안전조치를 했다 | 일부수용(판단 내용으로 읽음) | 피심인은 언론에서 문제가 된 데이터베이스는 개인정보가 보관되지 않은 단순 테스트 정보이고, 보안 취약점을 통해 접근 가능한 정보는 공식 웹사이트에서 접근 가능한 공개된 정보이며, 이용자의 개인정보가 유출된 사실은 없다고 주장하면서, 개인정보 보호를 위해 여러 개인정보 보호조치를 시행하고 있다고 관련 정책 및 지침 및 기술적 조치를 제출하였다. | 개발 서버라고 하더라도 데이터베이스 접근을 제한하지 않고, 디렉터리 리스팅 취약점이 노출된 것은 기본적인 안전조치가 미흡한 것으로 평가할 수 있으나, 피심인의 주장대로 개인정보 유출 등과 직접적인 관련이 없는 점을 고려할 때, 해당 사실만으로 보호법 위반이라고 평가하기는 어려운 측면도 존재한다. / 다만, 불법적인 접근 등으로부터 이용자의 개인정보를 보호하기 위해 피심인 스스로 개인정보 처리시스템 전반의 안전조치를 점검하여 발견되는 취약점 등에 대해 조치할 필요성은 있다. | https://datalaw.kr/sanctions/defenses/#df-2025-009-026
2025-03-26 | 제2025-007-021호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 주식회사 우리카드 | 신용정보법 적용 사안이라는 주장 | 기타 | 불수용 | 피심인은 본건 처분과 관련된 정보가 모두 개인신용정보이므로 일반법인 보호법이 아닌 ｢신용정보의 이용 및 보호에 관한 법률｣(이하 ‘신용정보법’)이 우선 적용되어야하며, 현재 금융당국의 제재가 예고되어 있는바, 위원회의 제재 처분이 이루어질 경우, 동일 행위에 대한 이중 제재 문제가 발생할 우려가 있다고 주장한다. | 신용정보법에 따르면, 신용정보는 “금융거래 등 상거래에서 거래 상대방의 신용을 판단할 때 필요한 정보로서” 법이 정하는 일정한 정보이고, 개인신용정보는 신용 정보 중에서 개인에 관한 정보를 말한다. 한편, 보호법 제6조제1항에 따라 개인신용정보에 해당하지 않는 개인정보의 처리에 관하여는 보호법이 적용된다. … | https://datalaw.kr/sanctions/defenses/#df-2025-007-021
2025-03-26 | 제2025-007-021호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 주식회사 우리카드 | 일부 직원의 일탈로 발생한 사건이라는 주장 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 본 사건이 영업센터 직원의 일탈로 발생한 것으로서 피심인이 예상하기 어려운 사고이며, 합리적으로 기대가능한 수준의 안전성 확보조치를 다하였음에도 본 사건을 예방하기 어려웠다고 주장한다. | 앞서 살펴본 바와 같이 피심인이 가맹점·카드회원 영업과 관리 목적으로 운영 중인 조직에서 카드발급 실적 증대 목적으로 위반행위가 실행되었으며, 피심인의 인천영업센터는 DW 시스템에서 가맹점주 정보를 조회하고 개인정보 파일을 생성하는 등의 작업 매뉴얼을 별도로 작성·공유·활용하는 등 일부 직원에 한정된 것이 아니라 업무 과정에서 조직적으로 위반행위가 이루어진 것으로 확인된다. … | https://datalaw.kr/sanctions/defenses/#df-2025-007-021
2025-03-26 | 제2025-007-021호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 주식회사 우리카드 | 주민등록번호 처리는 목적 외 이용의 수단적 행위라는 주장 | 기타 | 수용 | 피심인은 보호법이 적용된다고 판단하더라도, 본 건의 주민등록번호 처리는 ‘목적 외 이용’을 위한 수단적 행위에 불과하며 별도 제재 대상으로 보기 어렵다고 주장한다. | 피심인의 인천영업센터가 가맹점주 대상 신용카드 발급 마케팅을 하기 위해 주민등록번호를 조회‧입력 등 처리한 행위는 법적 근거가 있다고 보기 어려운바, 보호법 제24조의2제1항 위반에 해당한다. / 다만, 피심인의 주장과 같이 가맹점주의 정보를 당초 동의받은 수집·이용 목적 범위 외 목적으로 이용하는 과정에서 수단적 행위로 주민등록번호를 이용한 것으로 확인되는바, ‘하나의 행위’라는 피심인의 주장을 수용한다. | https://datalaw.kr/sanctions/defenses/#df-2025-007-021
2025-03-26 | 제2025-007-021호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 주식회사 우리카드 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 전체 매출액에서 본 사건 위반행위와 관련 없는 법인카드, 체크카드, 캐피탈, 카드론 및 현금서비스, 대환, 가맹점수수료 매출액, 일부 수수료 등에서 발생하는 매출액을 제외한 매출액에 한정하여 과징금을 산정할 필요가 있다고 주장한다. | 피심인의 주장 중 법인카드, 체크카드, 캐피탈, 카드론, 대환 등에서 발생하는 매출액은 개인정보 처리와 관련이 없거나, 위반행위와 관련 없는 매출액으로 판단하여 과징금 산정 시 제외한다. / 다만, 가맹점수수료 매출액은 개인정보가 침해된 가맹점주로부터 발생한 매출액이므로, 이 사건 개인정보가 침해된 정보주체가 가맹점주임을 고려할 때, 위반행위와 관련 없는 매출로 볼 수 없고 … | https://datalaw.kr/sanctions/defenses/#df-2025-007-021
2024-12-11 | 제2024-021-260호 | 캐롯손해보험㈜ | (쟁점 표제 없음) | 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 등의 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 조회 동의 점검에 대응하기 위해 1년간 보유했어야 한다는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-260
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 재유도 창을 통해 받은 동의의 유효성에 대해서 | 동의를 받았다 | 불수용 | 피심인은 선택 동의서를 통해 보호법의 요건에 따라 관련 항목을 분명히 고지하여 이에 대해 명시적 동의를 받았고, 판례도 법정 고지사항과 동의를 받는 창이 반드시 같은 페이지에 있어야 한다고 해석하고 있는 것은 아니며, 재유도 창을 통해 마케팅 동의를 받은 행위가 위법하다고 가정하더라도 동의받는 방법 위반에 불과 하다고 주장한다. | 피심인은 적법한 동의서를 제시했다고 하나, 앞서 살펴본 바와 같이 피심인이 말하는 적법한 동의서 또는 법정 고지사항은 개인정보 “고객 동의” 화면에서 “(선택)상품 소개를 위한 동의” 하단에 “수집‧이용에 관한 사항”, “제공에 관한 사항” 옆에 표기된 “>”를 클릭하여야만 볼 수 있는데 … 재유도 창이 나타나면 개인정보 “고객 동의” 화면이 비활성화되고, 변경된 사항에 대한 이용자의 확인 없이 다음 절차가 진행되는 점 등을 고려할 때, 이용자가 제대로 확인할 수 있었다고 볼 수 없다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-259
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 재유도 창의 행위가 보호법 제59조제1호에 해당하는지에 대해서 | 동의를 받았다 | 불수용 | 판례나 위원회의 기존 해석례를 고려할 때, 피심인의 재유도 창은 거짓이나 그 밖의 부정한 수단이나 방법에 해당하지 아니하고 당사가 전 과정에 걸쳐 관련 내용을 명확하고 구체적으로 고지하였다는 점을 고려해야하며, 수집 동기와 목적을 고려하더라도 이용자의 착오 오인을 유발할 목적이 없었을 뿐만 아니라 일반적인 이용자라면 문구를 주의 깊게 읽고 착오할 가능성이 현저히 낮다고 주장한다. … | 피심인이 재유도 창을 제시하는 행위 자체만으로 위법하다고 보기는 어려우나, 피심인의 재유도 창이 실행되는 과정, 재유도 창의 내용과 구성, 재유도 창에서 이용자가 ‘확인’ 버튼을 클릭한 이후 진행, 그 적법성 등을 전체적으로 고려할 때 피심인의 재유도 창 운영 방식에는 이용자의 의사결정에 영향을 미칠 수 있는 행위가 있었고, 그 행위가 사회 일반의 관념상 부정한 방법이라고 볼 수 있다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-259
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 과징금 부과와 관련하여 | 과징금 산정 — 관련 매출액 | 불수용 | 보험료 계산 서비스는 피심인이 이용자 편의 목적으로 제공하는 서비스로 계약 절차와는 구분되고, 완전히 무료로 서비스되고 있으며, 마케팅 동의를 선택적으로 받는 것 이외에 특별한 대가를 지급받은 사실이 없으므로 관련 매출액이 없는 경우에 해당하고, 재유도 창을 통해 마케팅 동의를 받은 이용자가 어느 정도 비율로 보험계약을 체결하였는지 파악할 수 없어 객관적 매출액 산정이 곤란하므로 정액 과징금을 부과하여야 한다고 주장한다. … | ‘다이렉트 보험’은 보험 가입 설계(보험료 계산)와 보험 가입이 동일한 웹사이트 또는 앱에서 이루어지고, 보험 가입 설계(보험료 계산) 과정 없이 보험 가입 계약을 체결할 수 없다. 또한, 보험 가입 설계 과정에서 계산된 보험료가 가입 시 그대로 반영되는 특성이 있어 보험 가입 설계(보험료 계산)와 보험 가입을 별도 서비스로 보기는 어려우며, 최소한 직‧간접적으로 영향을 받는 서비스에 해당한다고 보는 것이 타당하다. … / 다만, 舊 개인정보보호 법규 위반에 대한 과징금 부과기준 (이하 舊 ‘과징금 부과기준’) 제4조제1항에서 서비스의 범위를 ‘전기통신사업법’ 제5조를 기준으로 판단하도록 하고 있어, 오히려 관련 매출액 산정을 위한 서비스의 범위를 정보 통신 서비스 매출액으로 한정한 것이다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-259
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | 파기의무 위반과 관련하여 | 의무 이행 주장 — 파기했다 | 일부수용 | 피심인이 사용한 동의서에는 ‘보험계약 상담’ 목적이 명시되어 있었고, 계산 중단 또는 계약 미체결이라고 하여도 ‘상담’의 목적까지 달성되었다고 단정하기 어려우며, 파기 의무 위반에 해당하더라도 한국신용정보원 또는 금융감독 당국의 행정지도에 따라 1년간 보유할 수 밖에 없었으며, 이는 전 손해보험업권의 관행으로 위법성을 인지할 수 없었다고 주장한다. | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측할 수 없다. … / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-259
2024-12-11 | 제2024-021-259호 | 하나손해보험(주) | CPO의 업무수행 소홀 행위 | 동의를 받았다 | 불수용 | 피심인은 보호법은 CPO의 업무로 개인정보 보호와 관련된 전반적인 관리 감독 업무를 부여할 뿐이고, 세세한 동의 프로세스까지 관여할 것을 요구하고 있지 아니하며, 본 선택동의서에 관하여 법적의무를 충실히 이행하여 선택동의서가 한국신용정보원의 동의등급을 부여 받았다는 점을 확인한 이상 그 이후 동의 여부를 재확인하는 세세한 절차까지 관여할 필요가 없고, 개별동의서 마련 절차 위반까지 CPO의 책임으로 포섭하는 것은 과도하다고 주장한다. | 일반‧추상적인 규범인 법률의 특성상, 법 문언에서는 포괄적인 의무를 부여할 수밖에 없는 것이고, 의무에 따른 업무 수행에 관한 고의나 과실이 있었는지 여부는 구체적인 사안별로 확인하여야 하는 것이므로, 법 문언이 포괄적인 의무를 부여하고 있다는 점과 귀책 사유의 판단은 별개의 문제이다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-259
2024-12-11 | 제2024-021-258호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 악사손해보험㈜ | 재유도 창을 통해 받은 동의의 유효성에 대해서 | 동의를 받았다 | 불수용 | 피심인은 보호법에 따른 법정 고지사항을 정보주체에게 모두 알려 동의를 받았고, 선택 동의화면에서 법정 고지사항을 안내받은 정보주체들이 재유도 창에서 ‘확인’ 버튼을 선택한 것은 법정 고지사항을 명확하게 인식하고 확인한 상태에서 내린 실질적인 동의에 해당하는 것이라고 주장한다. | 피심인은 적법한 동의서를 제시했다고 하나, 앞서 살펴본 바와 같이 피심인이 말하는 적법한 동의서 또는 법정 고지사항은 “보험료 계산을 위해 약관에 동의해주세요” 화면에서 “상품소개 및 혜택 안내 동의(선택)“ 하단의 “개인(신용)정보의 수집 … 재유도 창이 나타나면 “개인정보 수집‧이용 및 조회 동의” 화면이 비활성화되고, 변경된 사항에 대한 이용자의 확인 없이 다음 절차가 진행되는 점 등을 고려할 때, 이용자가 제대로 확인할 수 있었다고 볼 수 없다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-258
2024-12-11 | 제2024-021-258호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 악사손해보험㈜ | 재유도 창의 행위가 보호법 제59조제1호에 해당하는지에 대해서 | 동의를 받았다 | 불수용 | 재유도 창의 내용은 사실에 부합하고, 재유도 창의 운영으로 정보주체의 의사결정이 실질적으로 방해되었다고 보기 어려우며, 개정·시행될 전자상거래법은 재유도 창 제시가 항상 불법이 아님을 전제하고 있는 상황에서 해당 법 시행 이전 해당 재유도 창 운영이 부정한 수단이었다고 쉽게 간주되어서는 안된다고 주장한다. … | 피심인이 재유도 창을 제시하는 행위 자체만으로 위법하다고 보기는 어려우나, 피심인의 재유도 창이 실행되는 과정, 재유도 창의 내용과 구성, 재유도 창에서 이용자가 ‘확인’ 버튼을 클릭한 이후 진행, 그 적법성 등을 전체적으로 고려할 때 피심인의 재유도 창 운영 방식에는 이용자의 의사결정에 영향을 미칠 수 있는 행위가 있었고, 그 행위가 사회 일반의 관념상 부정한 방법이라고 볼 수 있다. 참고로 위원회는 피심인의 행위가 보호법에 위반되는지 여부를 판단한 것으로, ‘다크패턴’이나 ‘반복 간섭’의 정의에 해당하는지 여부와는 관련이 없다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-258
2024-12-11 | 제2024-021-258호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 악사손해보험㈜ | 과징금 부과와 관련하여 | 과징금 산정 — 관련 매출액 | 불수용 | 피심인은 보험료 계산 서비스는 무료 서비스로 매출이 발생하지 않는 서비스이므로 정액과징금이 부과되어야 한다고 주장한다. 만일 정률과징금이 부과되더라도 피심인이 선택동의를 한 이용자의 개인정보를 이용하여 수행한 ‘마케팅’은 자동차보험 또는 운전자보험에 한정된 마케팅인 점에 비추어 재유도 창을 통해 선택 동의를 받은 이용자에 대하여 마케팅을 하여 얻은 매출과 무관한 매출액은 제외되어야 한다고 주장한다. | ‘다이렉트 보험’은 보험 가입 설계(보험료 계산)와 보험 가입이 동일한 웹사이트 또는 앱에서 이루어지고, 보험 가입 설계(보험료 계산) 과정 없이 보험 가입 계약을 체결할 수 없다. 또한, 보험 가입 설계 과정에서 계산된 보험료가 가입 시 그대로 반영되는 특성이 있어 보험 가입 설계(보험료 계산)와 보험 가입을 별도 서비스로 보기는 어려우며, 최소한 직‧간접적으로 영향을 받는 서비스에 해당한다고 보는 것이 타당하다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-258
2024-12-11 | 제2024-021-258호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 악사손해보험㈜ | 파기의무 위반과 관련하여 | 의무 이행 주장 — 파기했다 | 일부수용 | 피심인이 사용한 동의서에는 ‘보험계약 상담’ 목적이 명시되어 있었고, 계산 중단 또는 계약 미체결이라고 하여도 ‘상담’의 목적까지 달성되었다고 단정하기 어려우며, 파기 의무 위반에 해당하더라도 한국신용정보원과 보험개발원의 적법한 동의취득여부 점검에 대응하기 위해 1년간 보유가 필요하다고 주장한다. | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측하기 어렵다. … / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-258
2024-12-11 | 제2024-021-258호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 악사손해보험㈜ | CPO의 업무수행 소홀 행위 | 고의·과실이 없다 | 불수용 | 개인정보 보호책임자의 해석이 결과적으로 잘못되었다고 하더라도 그것만으로 곧바로 개인정보 보호책임자에게 업무수행에 관한 고의나 과실이 있다고 할 수 없을 것이라고 주장한다. | 위원회는 피심인의 CPO가 단순히 현업부서 질의에 대한 답변이 결과적으로 잘못되었다고 해서 보호법을 위반하였다고 판단한 것이 아니고, 피심인이 지정한 CPO의 자격 … 전자상거래법상 다크패턴 규제 조항 개정에 따라 창 삭제를 검토하였다고 한 점 등을 고려하였을 때, 피심인의 CPO는 개인정보 보호와 관련한 적법한 업무를 수행하지 못하는 것으로 보이는바, 보호법 제31조제3항 위반에 해당한다고 판단한 것이다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-258
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 재유도 창을 통해 받은 동의에 대해서 | 동의를 받았다 | 불수용 | 일반적인 이용자가 재유도 창에서 무엇에 대한 ‘미동의’ 또는 ‘동의’인지 알지 못한 채 선택하였다고 보기 어렵고, 오히려 최초 동의 시 선택사항을 미선택한 이용자가 선택 동의의 대상에 대해 더 이해도 높게 인지한 후 기존의 선택을 변경하여 재동의한 것으로 봄이 타당하며, 선택사항 동의율 제고를 위해 재유도 창을 도입하였음에도 불구하고 상당한 비율의 이용자가 여전히 동의하지 않고 보험료 계산 서비스를 이용할 수 있었다고 주장한다. | 재유도 창의 문구는 다양한 서비스, 이벤트 안내, 다양한 서비스 등 추상적인 수집·이용 목적을 기재하고 있고, 수집하는 개인정보의 항목, 보유·이용기간도 없으며, 무엇보다 앞서 살펴본 바와 같이 이용자로서는 ‘동의’의 대상이 개인정보 수집·이용 및 제공 동의라고 예측하기 어렵다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-257
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | 파기의무 위반과 관련하여 | 의무 이행 주장 — 파기했다 | 일부수용 | 피심인이 사용한 동의서에는 ‘보험계약 상담’ 목적이 명시되어 있었고, 계산 중단 또는 계약 미체결이라고 하여도 ‘상담’의 목적까지 달성되었다고 단정하기 어려우며, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었다고 주장하였다. | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측할 수 없다. … / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-257
2024-12-11 | 제2024-021-257호 | 엠지손해보험㈜ | CPO의 업무수행 소홀 행위 | 의무 이행 주장 — 파기했다 | 불수용 | 피심인은 재유도 창 및 개인정보 미파기 행위에 대한 위반 여부를 단정짓기 어려운 상황에서 개인정보 보호책임자의 업무수행 소홀에 대해 법위반으로 보는 것은 부당한 면이 있다고 주장한다. | 위원회는 피심인의 행위를 법 위반으로 판단하고 있고 일반‧추상적인 규범인 법률의 특성상, 법 문언에서는 포괄적인 의무를 부여할 수밖에 없는 것이며, 의무에 따른 업무 수행에 관한 고의나 과실이 있었는지 여부는 구체적인 사안별로 확인하여야 하는 것이다. 피심인은 준법감시인이 신용정보관리‧보호인, CPO를 겸하고 있고, 피심인이 제출한 개인정보 보호책임자 결재내역의 대부분은 신용정보 조회 적정성 점검, 보험모집 업무수탁자 점검 등에 관한 사항이다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-257
2024-12-11 | 제2024-021-256호 | 흥국화재해상보험㈜ | (쟁점 표제 없음) | 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 등의 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 조회 동의 점검에 대응하기 위해 1년간 보유했어야 한 바, 자신의 행위가 위법하지 아니한 것으로 오인하였고 그 오인에 정당한 사유가 있었다는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-256
2024-12-11 | 제2024-021-255호 | 롯데손해보험(주) | (쟁점 표제 없음) | 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 보험료 계산을 중단하거나 계산 완료 후 계약을 미체결한 이용자의 정보를 1년간 보유·이용한 행위에 대해 손해보험협회가 배포한 표준동의서에 따라 개인정보를 처리하고 있으며, 향후 개선안을 마련하겠다는 의견을 제출하였다. 보유기간이 경과한 이용자의 정보를 파기하지 않은 행위에 대해서는 전산 프로그램에 폐기 대상 기간 정보를 일부 반영하지 않은 부주의로 발생한 행위이고, 발견 즉시 프로그램을 수정하여 파기하였음을 참작하여 주길 요청하였다. … | 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점, 손해보험협회와 피심인이 개선 방안을 마련한 점 등을 고려할 때, 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-255
2024-12-11 | 제2024-021-254호 | 한화손해보험㈜ | (쟁점 표제 없음) | 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 등의 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 점검에 대응하기 위해 1년간 보유했어야 한다는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-254
2024-12-11 | 제2024-021-253호 | 메리츠화재해상보험(주) | (쟁점 표제 없음) | 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 자동차 보험료 가입설계 과정에서 최종적으로 보험에 가입하지 아니한 고객의 개인신용정보는 3개월 경과 시점에 모두 파기하고 있고 … 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었음을 고려해 달라는 의견을 제출하였다. | 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-253
2024-12-11 | 제2024-021-252호 | ㈜KB손해보험 | (쟁점 표제 없음) | 동의를 받았다 | 일부수용 | 피심인은 일반적으로 이용자들은 여러 보험사에서 보험료를 비교한 후 가입하므로 보험갱신 기한인 1년 이내에 다시 보험료를 산출해보고 이에 대해 문의를 할 가능성이 높은 바, 이용자의 개인정보를 보험계약 상담 등의 목적으로 이용 할만 한 사정이 존재하였고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었음을 고려해 달라는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-252
2024-12-11 | 제2024-021-251호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 현대해상화재보험㈜ | 재유도 창을 통해 받은 동의의 유효성에 대해서 | 동의를 받았다 | 불수용 | 피심인은 보호법상 적법한 양식에 따른 마케팅 동의서를 이용하여 선택 동의를 취득하였고, 재유도 창의 문구는 오인의 소지가 없는 명시적인 문구이며, 이용자는 이를 명확히 인식하고 선택하였으므로 자유로운 의사에 근거한 실질적 동의를 취득한 것이라고 주장한다. … | 피심인은 적법한 동의서를 제시했다고 하나, 앞서 살펴본 바와 같이 피심인이 말하는 적법한 동의서 또는 법정 고지사항은 “개인정보 동의” 화면에서 “개인 (신용)정보의 수집‧이용에 관한 사항”과 “개인(신용)정보의 제공에 관한 사항” 옆에 표기된 “>”를 클릭하여야만 볼 수 있는데 … 재유도 창이 나타나면 “개인정보 동의” 화면이 비활성화되고, 변경된 사항에 대한 이용자의 확인 없이 다음 절차가 진행되는 점 등을 고려할 때, 이용자가 제대로 확인할 수 있었다고 볼 수 없다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-251
2024-12-11 | 제2024-021-251호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 현대해상화재보험㈜ | 재유도 창의 행위가 보호법 제59조제1호에 해당하는지에 대해서 | 기타 | 불수용 | 피심인은 재유도 창을 이용한 행위가 인터넷 피싱이나 보이스피싱과 같은 적극적인 사기 또는 기망행위가 아니라는 점은 명백하고, 재유도 창의 사용 전후 사정과 문구 내용상 오인 내지 착각 유발 염려도 적어 해당 규정 위반이라고 단정하기 어려우며, 보호법상 ‘다크패턴’에 대한 명확한 금지규정도 없으므로 본 재유도 창의 사용 행위를 ‘다크패턴’으로 규정하여 제재하는 것도 합당하지 않고, 재유도 창은 개정 전자상거래법상 ‘반복 간섭’에도 해당하지 않는다고 주장한다. | 피심인이 재유도 창을 제시하는 행위 자체만으로 위법하다고 보기는 어려우나, 피심인의 재유도 창이 실행되는 과정, 재유도 창의 내용과 구성, 재유도 창에서 이용자가 ‘확인’ 버튼을 클릭한 이후 진행, 그 적법성 등을 전체적으로 고려할 때 피심인의 재유도 창 운영 방식에는 이용자의 의사결정에 영향을 미칠 수 있는 행위가 있었고, 그 행위가 사회 일반의 관념상 부정한 방법이라고 볼 수 있다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-251
2024-12-11 | 제2024-021-251호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 현대해상화재보험㈜ | 과징금 부과와 관련하여 | 과징금 산정 — 관련 매출액 | 불수용 | 다이렉트 자동차 ‘보험 가입 설계 서비스’는 다이렉트 ‘보험 가입 절차’와는 명확히 구분되고, 다이렉트 자동차 보험 가입 설계 서비스에서 발생하는 관련 매출은 없으며, 재유도 창으로 인해 발생한 관련 매출액을 정확하게 산정할 수도 없으므로 정액 과징금이 부과되어야 한다고 주장한다. … | ‘다이렉트 보험’은 보험 가입 설계(보험료 계산)와 보험 가입이 동일한 웹사이트 또는 앱에서 이루어지고, 보험 가입 설계(보험료 계산) 과정 없이 보험 가입 계약을 체결할 수 없다. 또한, 보험 가입 설계 과정에서 계산된 보험료가 가입 시 그대로 반영되는 특성이 있어 보험 가입 설계(보험료 계산)와 보험 가입을 별도 서비스로 보기는 어려우며, 최소한 직‧간접적으로 영향을 받는 서비스에 해당한다고 보는 것이 타당하다. … / 다만, 舊 개인정보보호 법규 위반에 대한 과징금 부과기준 (이하 舊 ‘과징금 부과기준’) 제4조제1항에서 서비스의 범위를 ‘전기통신사업법’ 제5조를 기준으로 판단하도록 하고 있어, 오히려 관련 매출액 산정을 위한 서비스의 범위를 정보 통신 서비스 매출액으로 한정한 것이다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-251
2024-12-11 | 제2024-021-251호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 현대해상화재보험㈜ | 파기 의무 위반과 관련하여 | 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 필수 동의서에 개인정보 수집‧이용 목적에 ‘보험 계약 상담’을 명시하였고, 이는 단순히 보험료 산출 서비스만을 의미하는 것이 아니며, 보험료 산출 결과에 대한 문의 대응, 보험료 산출 이후 당해 보험료를 기반으로 한 보험계약 가입 상담 등 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적이 포함되어 있어, 계산 중단 또는 계약 미체결 이용자에 대하여 해당 처리 목적이 달성되었다고 단정하기 어려운 면이 있다고 주장한다. … | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측할 수 없다. … / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-251
2024-12-11 | 제2024-021-251호 (행정소송 서울행정법원 1심 계속 중 · 1심 계속) | 현대해상화재보험㈜ | CPO의 업무 수행 소홀 행위 | 동의를 받았다 | 불수용 | 피심인은 CPO가 법령상 업무를 충실히 이행할 수 있도록 내규 및 업무시스템을 마련해 두었고, CPO는 이에 기반하여 업무를 충실하게 수행하였다고 주장한다. … | 일반‧추상적인 규범인 법률의 특성상, 법 문언에서는 포괄적인 의무를 부여할 수밖에 없는 것이고, 의무에 따른 업무 수행에 관한 고의나 과실이 있었는지 여부는 구체적인 사안별로 확인하여야 하는 것이므로, 법 문언이 포괄적인 의무를 부여하고 있다는 점과 귀책 사유의 판단은 별개의 문제이다. … | https://datalaw.kr/sanctions/defenses/#df-2024-021-251
2024-12-11 | 제2024-021-250호 | DB손해보험㈜ | (쟁점 표제 없음) | 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 및 ‘민원 및 분쟁관련 대응’ 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 점검에 대응하기 위해 1년간 보유했어야 함을 고려해 달라는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-250
2024-12-11 | 제2024-021-249호 | ㈜삼성화재해상보험 | (쟁점 표제 없음) | 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 조회 동의 점검에 대응하기 위해 1년간 보유했어야 하는 등 행위 사실이 위법하지 않다고 오인할만한 정당한 사유가 있었음을 고려해 달라고 하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. / 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. | https://datalaw.kr/sanctions/defenses/#df-2024-021-249
2024-09-25 | 제2024-016-235호 (산정 근거 1차 가중 50% · 2차 감경 30%) | 비공개 | 국외 이전의 적법 근거 | 기타 | 불수용 | 피심인은 국외 사업자로서 개인정보를 국외에서 직접 수집하므로 개인정보가 국외로 이전되는 것이 아니하고 주장하며, 설령 개인정보의 국외 이전에 해당하더라도 현재는 법정 고지사항을 처리방침에 공개하는 등 개인정보를 적법하게 국외로 이전하고 있다고 주장한다. … | 그러나, 피심인은 국내 이용자의 개인정보를 ( ) 등 다른 국외 사업자에게 처리위탁·보관(이전)하고 있으며, 이는 보호법 상 명백히 개인정보의 국외 이전에 해당한다. 특히, 위원회 조사 시점에는 개인정보의 국외 이전 관련 보호법상 고지사항이 전부 누락되어 있었으며, 일부 개선된 개인정보 처리방침도 피심인의 해외 자회사인와 구분하지 않고 수립·공개하고 있어 개인정보의 국외 이전 등 개인정보 처리에 관한 내용을 정보주체가 쉽게 확인할 수 없는바, 현재는 개인정보를 적법하게 국외로 이전하고 있다고 하는 주장 또한 인정할 수 없다. | https://datalaw.kr/sanctions/defenses/#df-2024-016-235
2024-09-25 | 제2024-016-235호 (산정 근거 1차 가중 50% · 2차 감경 30%) | 비공개 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 불수용 | 피심인은 앱 가입자 명 중 한국 국적 가입자는 명(약. %, ’.. .기준)이므로, 피심인의 전체 매출에서 해당 비율을 곱한 금액만 과징금 부과의 기준 금액으로 산정되어야 한다고 주장한다. | 그러나, 피심인의 매출은 특정 범주의 정보주체에 대한 재화의 판매 또는 광고 수익 등을 통해 발생하는 것이 아니라, 모두 이 전 세계 이용자를 대상으로 제공하는 서비스의 업무위탁 대가로서 발생하고 있으므로, 특정 국가의 가입자 수의 다과와 직접적으로 연동되거나 비례적으로 증감한다고 볼 수 없어, 한국 가입자 비율을 곱한 금액이 아닌 전체매출액을 기준금액으로 산정한다. … | https://datalaw.kr/sanctions/defenses/#df-2024-016-235
2024-09-25 | 제2024-016-234호 (산정 근거 1차 가중 25% · 2차 감경 30%) | 비공개 | 민감정보 처리의 적법 근거 | 개인정보가 아니다 | 불수용 | 피심인은 가 ( ), ( ) ( ) 등의 비식별 처리를 거친 보호법 상의 ‘익명정보’로서 개인정보에 해당하지 않으며 … 설령 를 민감정보로 보더라도 동의를 거쳐 적법하게 처리하고 있다고 주장한다. | 그러나, 피심인이 생성·수집한 는 개인의 신체적 특징( )에 관한 정보로서 특정 개인을 알아볼 목적(기인증 여부 검증)으로 일정한 기술적 수단(알고리즘으로 변환)을 통해 생성한 보호법상 민감정보인 생체인식정보 정의에 그대로 부합하며, 피심인은 가 원본 이미지로의 복원이 어렵다고 주장하나, 보호법상 생체인식정보의 개인(민감)정보 여부는 원본 정보로의 복원 여부를 기준으로 판단하는 것이 아니라 개개인의 유일성을 표현하는지 여부 및 이를 통해 개인을 인증·식별할 목적으로 처리되는지를 기준으로 판단하여야 한다. … | https://datalaw.kr/sanctions/defenses/#df-2024-016-234
2024-09-25 | 제2024-016-234호 (산정 근거 1차 가중 25% · 2차 감경 30%) | 비공개 | 국외 이전의 적법 근거 | 기타 | 불수용 | 피심인은 국외 사업자로서 를 국외에서 직접 수집하므로 개인정보가 국외로 이전되는 것이 아니하고 주장하며, 설령 개인정보의 국외 이전에 해당하더라도 현재는 법정 고지사항을 처리방침에 공개하는 등 개인정보( 등)를 적법하게 국외로 이전하고 있다고 주장한다. … | 그러나, 피심인은 국내 이용자의 개인정보를 다른 국외 사업자(, 등)에게 처리위탁 및 보관하고 있으며, 이는 보호법상 명백히 개인정보의 국외 이전에 해당한다. … | https://datalaw.kr/sanctions/defenses/#df-2024-016-234
2024-09-25 | 제2024-016-234호 (산정 근거 1차 가중 25% · 2차 감경 30%) | 비공개 | 과징금 산정 | 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 자신이 영리 목적이 없고 위반행위를 통해 어떠한 이득도 취한 바 없으며, 과징금 부과 원인이 되는 2개의 위반행위는 ‘ 처리’라는 하나의 행위에 해당하므로「개인정보보호 법규 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제5조제2항에 따라 각 위반행위 별로 산정된 과징금 중 더 높은 금액의 과징금만 부과되어야 한다고 주장한다. | 피심인은 비영리법인으로 매출은 자산 성격인 를 에 따라 (, )에게 제공하는 과정 등에서 발생한 것이며, 그 외 매출은 확인되지 않았다. 따라서, 외관상 피심인의 매출은 존재하나, 법인에 등을 판매한 매출은 이용자에게 제공하는 서비스 및 의 생성·수집과는 별개의 성격이며, 이는 ‘전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(시행령 §60의2②, 과징금 부과기준 §6③ 제2호)’ 및 ‘매출액이 없거나 매출액의 산정이 곤란한 경우(보호법 §64의2①)’에 해당하므로 정액과징금을 부과한다. … | https://datalaw.kr/sanctions/defenses/#df-2024-016-234
2024-07-24 | 제2024-013-192호 (산정 근거 1차 가중 50% · 2차 가중 20% · 2차 감경 30%) | 비공개 | 국외 이전의 적법 근거 | 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 법정 고지사항 중 일부 항목을 누락 하였을 뿐이며, 이는 과징금 부과 사유에 해당하지 않는다고 주장한다. 특히 국가, 연락처 두 가지 항목만 누락하였으며, 누락한 항목은 이용자가 구매 진행화면에서 업체 정보 등을 통해 확인할 수 있었고, 중개서비스 사업의 특성상 이용자는 자신의 개인정보가 판매자에게 제공될 수 있었음을 예측 가능하였다고 주장한다. | 그러나, 보호법은 개인정보의 국외이전을 원칙적으로 금지한 후 정보주체의 동의 등 특정 요건을 갖춘 경우에만 허용하고 있어 이때의 동의는 법이 정한 고지사항을 충실히 갖춰 실질적 동의를 받아야 하는 사안이다. 보호법 체계상 제28조의8제2항의 법정 고지사항은 그 자체로 독립적으로 적용되기보다 정보주체의 동의 등 특정 요건에 수반 및 결합되어 그 적법 여부를 판단하는 주요한 요소이므로, 국외이전 동의시 알려야 하는 사항을 충실히 알리지 않아 동의를 받았다고 볼 수 없다고 판단될 경우 동의 의무 위반으로 과징금 부과 대상이 된다. … | https://datalaw.kr/sanctions/defenses/#df-2024-013-192
2024-07-24 | 제2024-013-192호 (산정 근거 1차 가중 50% · 2차 가중 20% · 2차 감경 30%) | 비공개 | 국외 이전 시 보호조치 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 이용자 개인정보 보호조치에 관한 내용을 해외 판매자와의 계약 등에 포함시켰고, 판매자의 아이디‧비밀번호만을 사용하여 판매자 시스템에 로그인할 수 있도록 한 것만으로 안전성 확보조치를 위반하였다고 보기 어렵다고 주장한다. | 그러나, 통상 국내 사업자는 국내 판매자에게 개인정보를 제공할 때 법령에 따른 조치는 물론 ‘목적 외 이용금지’, ‘목적 달성 시 파기’ 등 보호법 준수와 관련한 약관을 마련하고 별도로 교육 등을 진행하는 경우도 있으며, 판매자가 시스템에 접속하는 경우 아이디, 비밀번호 외에 안전한 인증수단을 도입하고 있다. 피심인은 판매자와 체결하는 약관에 이러한 내용을 포함하지 않았고, 위원회 조사 과정에서 판매자에게 관련 보호조치를 안내하기 시작한바, 피심인의 주장은 수용하기 어렵다. | https://datalaw.kr/sanctions/defenses/#df-2024-013-192
2024-05-08 | 제2024-008-182호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) (행정소송 서울행정법원 1심 원고패 · 1심 선고(항소 여부 미확인)) | (주)골프존 | 개인정보 유출 및 안전조치의무 위반 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인의 파일서버는 개인정보를 처리하기 위한 목적으로 구성된 시스템도 아니고 데이터베이스와 연동되어 있지 않으므로 고시상(제5조제1항, 제6조제1항제1호 및 제2호, 제6조제2항 등) 각종 안전성 확보조치 적용 대상이 되는 개인정보처리시스템에 해당하지 않는다고 주장한다. … | 위원회는 피심인의 파일서버를 공유설정 등을 통해 공개‧유출 가능한 요인을 점검하고 이를 방지하기 위한 조치를 취해야 하는 기기 등에 해당하는 것으로 보고, 이에 대한 어떠한 보호조치도 하지 않은 피심인이 고시 제6조제3항을 위반한 것으로 판단하였으며, 그 판단은 파일서버의 개인정보처리시스템 여부와 전혀 무관하다. 오히려, 피심인의 주장은 파일서버에 221만 명의 개인정보와 주민등록번호 등 중요 개인정보를 보관하고 있음에도 개인정보처리시스템인 경우 적용하여야 하는 안전조치를 적용하지 않았다는 것을 자인하는 것으로 볼 수 있다. … | https://datalaw.kr/sanctions/defenses/#df-2024-008-182
2024-05-08 | 제2024-008-182호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) (행정소송 서울행정법원 1심 원고패 · 1심 선고(항소 여부 미확인)) | (주)골프존 | 과징금 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 준회원과 통합회원의 개인정보 처리로 매출액이 발생하기 때문에 준회원 또는 통합회원의 개인정보 처리가 발생하는 매출액 외의 매출액을 전체 매출액에서 제외하여야 한다고 하면서, 스크린골프 사업자들에게 시뮬레이터를 판매하여 발생하는 매출은 사업자들로부터 발생하는 매출로 개인정보의 처리가 발생하지 않으며 서비스 이용이 아닌 기기의 판매에서 발생하는 매출이라는 점에서 제외되어야 한다고 주장한다. … | 피심인이 국내에서 제공하는 스크린골프 서비스는 이용자들이 피심인의 웹사이트 또는 앱(Golfzon, GDR 등)을 통해 회원으로 가입하여 스크린골프장 등에서 시뮬레이터로 로그인한 후 서비스를 이용하고, 시뮬레이터를 통해서 처리되는 경기 결과, 스윙 영상 등 서비스 이용 결과를 이용자가 다시 웹사이트 또는 앱에서 볼 수 있으므로, 시뮬레이터가 개인정보를 이용한 서비스와 별개의 것으로 보기 어렵다. … | https://datalaw.kr/sanctions/defenses/#df-2024-008-182
2024-05-08 | 제2024-008-182호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) (행정소송 서울행정법원 1심 원고패 · 1심 선고(항소 여부 미확인)) | (주)골프존 | 위반행위 기간 | 과징금 산정 — 위반기간 | 불수용 | 피심인은 개인정보 유출 사고가 2023년 11월 23일 해커의 공격으로 발생하여 위반 기간이 1년을 초과하지 않는다고 주장한다. | 보호법 제64조의2제1항제9호는 안전조치의무를 다한 경우, 과징금을 부과하지 않도록 규정하고, 기존 개인정보 유출 사고에 대한 선례 또한 일관되게 안전조치의무 위반행위의 기간을 위반행위 기간으로 산정한바, 피심인의 주장을 불수용한다. 법률 해석은 문리해석을 원칙으로 하되, 입법 취지와 목적, 개정연혁, 다른 법령과의 관계 등을 고려하는 체계적‧논리적 해석을 보충적으로 할 수 있다. … | https://datalaw.kr/sanctions/defenses/#df-2024-008-182
2024-05-08 | 제2024-008-182호 (산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30%) (행정소송 서울행정법원 1심 원고패 · 1심 선고(항소 여부 미확인)) | (주)골프존 | 과징금·과태료 감경사유 | 과징금 산정 — 그 밖의 사유 | 수용 | 피심인은 현장 조사 및 비대면 조사에 성실히 임하였으며, 자료제출 요구에도 적시에 응하는 등 일관되게 행위 사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력하였으므로 감경 사유에 해당한다고 주장한다. | 피심인이 조사 기간에 위원회의 현장 조사와 자료제출 요구에 대체로 성실히 응하고 행위 사실을 인정한바, 조사에 협력한 것이 인정된다. | https://datalaw.kr/sanctions/defenses/#df-2024-008-182
2024-03-27 | 제2024-006-172호 | 비공개 | 한국 보호법 관할이 아니라는 주장 | 기타 | 불수용(판단 내용으로 읽음) | 피심인은 LLM 학습 목적의 공개된 정보 수집 및 이용은 모두 한국 영토 밖에서 이뤄지고, 국내 정보주체에게 ‘직접적이고 상당하며 합리적으로 예측 가능한’ 영향을 미치지 않으며, 오픈 소스 형태로 제공 중인데 이를 제3자(예 : 한국의 개발자)가 다운로드해 사용할 수는 있으나, 관련 통제 조치 및 의무를 준수할 책임은 해당 제3자에게 있다고 주장한다. … | 피심인의 LLM은 한국어에 최적화되어 있지 않다고 하지만 한국어로 답변할 수 있고, 한국의 웹사이트를 배제하지 않고 크롤링한 데이터를 학습한 것이 확인된다. 또한, 이를 오픈 소스 형태로 배포하여 누구나 피심인의 LLM 기반 서비스를 만들 수 있도록 하였고, 오픈 소스 머신러닝 모델을 클라우드 API를 통해 실행하는 플랫폼에서 이를 사용해 볼 수도 있으며, 실제 한국에서 피심인의 LLM을 미세 조정한 모델을 개발한 것이 확인된다. … | https://datalaw.kr/sanctions/defenses/#df-2024-006-172
2024-03-27 | 제2024-006-172호 | 비공개 | 보호법 제15조 제1항 위반이 아니라는 주장 | 개인정보가 아니다 | 불수용(판단 내용으로 읽음) | 피심인은 해당 개인정보의 경우 정보주체가 공개한 정보로서 대부분 민감하지 않아 객관적 동의 의사가 있었다고 볼 수 있으며, 그렇지 않다 하더라도 사생활 침해 가능성은 낮은 반면 일반 공중‧사회에 제공하는 편익‧복지는 매우 큰 점을 고려해 줄 것을 요청하였다. … | 피심인은 정보주체의 객관적인 동의 의사가 추단되거나 정당한 이익이 있다고 주장하나, 이에 대해서는 앞서 위법성 판단 시 검토한 바와 같이 고유식별정보 등 개인정보는 관리자 또는 이용자의 부주의, 설계 또는 개발 오류, 검색엔진 등을 통해 정보주체의 의사와 무관하게 수시 노출되므로 동의 의사가 추단될 수 없으며, AI 서비스를 통한 노출 등 침해 가능성을 배제하기 어려운바, 해당 정보에 대한 강화된 조치가 필요하다고 보았다. … / 다만, 이번 점검은 사전 실태점검 방식으로 진행된바, 피심인이 학습데이터를 수집한 Common Crawl에 개인정보가 포함되어 있고 LLM 학습에 해당 정보를 사용하고 있다는 것만 확인하였을 뿐 … 실제 국내 정보주체의 개인정보가 유‧노출로까지 이어진 사례는 아직 확인되지 않는다. … | https://datalaw.kr/sanctions/defenses/#df-2024-006-172
2024-03-27 | 제2024-006-170호 | 비공개 | 개인정보처리자가 아니라는 주장 | 의무 주체가 아니다 | 불수용 | 피심인은 공개된 데이터에 포함된 개인정보에 대하여 개인정보파일을 운용하고 있지 않으며, 공개된 데이터에 포함된 개인정보를 우연히 처리하는 것에 불과하므로 개인정보 처리의 일정한 목적성이 인정되지 않으므로 개인정보처리자에 해당하지 않는다고 주장한다. | 피심인은 LLM 모델 기반 AI 서비스 제공을 위해 서비스 이용자의 개인정보를 수집‧이용하는 개인정보처리자로 이는 논란의 여지가 없다. 또한, 피심인은 LLM 모델을 개발하기 위해 수집한 공개된 데이터에 개인정보가 포함된 것을 알고 있고, LLM 학습 과정은 알고리즘(일정한 규칙)에 따라 정보를 암기‧처리하는 방식으로, 그 결과 생성된 AI 모델을 통해 개인정보를 쉽게 검색할 수도 있으며, AI 서비스 이용자가 서비스 이용 과정에서 개인을 검색하거나 식별할 의도를 충분히 가질 수 있으므로, ‘개인정보파일’에 해당할 수 있다. … | https://datalaw.kr/sanctions/defenses/#df-2024-006-170
2024-03-27 | 제2024-006-170호 | 비공개 | 보호법 제15조 제1항 위반이 아니라는 주장 | 개인정보가 아니다 | 불수용(판단 내용으로 읽음) | 피심인은 해당 개인정보의 경우 정보주체가 공개한 정보로서 대부분 민감하지 않아 객관적 동의 의사가 있었다고 볼 수 있으며, 그렇지 않다 하더라도 사생활 침해 가능성은 낮은 반면 일반 공중‧사회에 제공하는 편익‧복지는 매우 큰 점을 고려해 줄 것을 요청하였다. … | 피심인은 정보주체의 객관적인 동의 의사가 추단되거나 정당한 이익이 있다고 주장하나, 이에 대해서는 앞서 위법성 판단 시 검토한 바와 같이 고유식별정보 등 개인정보는 관리자 또는 이용자의 부주의, 설계 또는 개발 오류, 검색엔진 등을 통해 정보주체의 의사와 무관하게 수시 노출되므로 동의 의사가 추단될 수 없으며, AI 서비스를 통한 노출 등 침해 가능성을 배제하기 어려운바, 해당 정보에 대한 강화된 조치가 필요하다고 보았다. … / 다만, 이번 점검은 사전 실태점검 방식으로 진행된바, 피심인이 학습데이터를 수집한 Common Crawl에 개인정보가 포함되어 있고 LLM 학습에 해당 정보를 사용하고 있다는 것만 확인하였을 뿐 … 실제 국내 정보주체의 개인정보가 유‧노출로까지 이어진 사례는 아직 확인되지 않는다. … | https://datalaw.kr/sanctions/defenses/#df-2024-006-170
2024-03-27 | 제2024-006-169호 | 비공개 | 개인정보처리자가 아니라는 주장 | 의무 주체가 아니다 | 불수용(판단 내용으로 읽음) | 피심인은 공개된 데이터에 포함된 개인정보에 대하여 개인정보파일을 운용하고 있지 않으며, 공개된 데이터에 포함된 개인정보를 우연히 처리하는 것에 불과하므로 개인정보 처리의 일정한 목적성이 인정되지 않으므로 개인정보처리자에 해당하지 않는다고 주장한다. | 피심인은 LLM 모델 기반 AI 서비스 제공을 위해 서비스 이용자의 개인정보를 수집‧이용하는 개인정보처리자로 이는 논란의 여지가 없다. 또한, 피심인은 LLM 모델을 개발하기 위해 수집한 공개된 데이터에 개인정보가 포함된 것을 알고 있고, LLM 학습 과정은 알고리즘(일정한 규칙)에 따라 정보를 암기‧처리하는 방식으로, 그 결과 생성된 AI 모델을 통해 개인정보를 쉽게 검색할 수도 있으며, AI 서비스 이용자가 서비스 이용 과정에서 개인을 검색하거나 식별할 의도를 충분히 가질 수 있으므로, ‘개인정보파일’에 해당할 수 있다. … | https://datalaw.kr/sanctions/defenses/#df-2024-006-169
2024-03-27 | 제2024-006-169호 | 비공개 | 보호법 제15조 제1항 위반이 아니라는 주장 | 개인정보가 아니다 | 불수용(판단 내용으로 읽음) | 피심인은 해당 개인정보의 경우 정보주체가 공개한 정보로서 대부분 민감하지 않아 객관적 동의 의사가 있었다고 볼 수 있으며, 그렇지 않다 하더라도 사생활 침해 가능성은 낮은 반면 일반 공중‧사회에 제공하는 편익‧복지는 매우 큰 점을 고려해 줄 것을 요청하였다. … | 피심인은 정보주체의 객관적인 동의 의사가 추단되거나 정당한 이익이 있다고 주장하나, 이에 대해서는 앞서 위법성 판단 시 검토한 바와 같이 고유식별정보 등 개인정보는 관리자 또는 이용자의 부주의, 설계 또는 개발 오류, 검색엔진 등을 통해 정보주체의 의사와 무관하게 수시 노출되므로 동의 의사가 추단될 수 없으며, AI 서비스를 통한 노출 등 침해 가능성을 배제하기 어려운바, 해당 정보에 대한 강화된 조치가 필요하다고 보았다. … / 다만, 이번 점검은 사전 실태점검 방식으로 진행된바, 피심인이 학습데이터를 수집한 Common Crawl에 개인정보가 포함되어 있고 LLM 학습에 해당 정보를 사용하고 있다는 것만 확인하였을 뿐 … 실제 국내 정보주체의 개인정보가 유‧노출로까지 이어진 사례는 아직 확인되지 않는다. … | https://datalaw.kr/sanctions/defenses/#df-2024-006-169
2024-03-27 | 제2024-006-164호 | 비공개 | 개인정보 유출 및 안전조치의무 위반 | 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 이 사건 개인정보 유출사고가 발생한 서비스를 통하여 개인정보를 수집하지 아니하였고, 오프라인 강의의 부수적·보조적 수단으로 운영하여 舊 보호법상 정보통신서비스 제공자에 해당하지 않아 제39조의4제1항에 따른 24시간 이내 유출 통지·신고의무와 제39조의15제1항제5호에 따른 과징금 부담의 책임을 지지 않는다고 주장한다. | 피심인은 교육 서비스를 제공하기 위해 현장 강의와 구분하여 웹사이트를 개설하고 강의 영상 등을 게시·공유하여 정보통신망을 통해 정보를 제공하였으며, 수강생의 개인정보를 이용하여 회원 계정을 생성하여 지급하고, 수강생은 영상을 시청하는 등 서비스를 이용하여 정보통신서비스 이용관계가 성립하므로 피심인은 舊 보호법상 정보통신서비스 제공자에 해당하여 제39조의4 제1항에 따른 24시간 이내 유출 통지·신고의무와 제39조의15제1항제5호에 따른 과징금 부담의 책임을 진다. | https://datalaw.kr/sanctions/defenses/#df-2024-006-164
2024-03-27 | 제2024-006-164호 | 비공개 | 과징금·과태료 산정 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 를 통하여 매출이 발생하지 않아 본건 위반행위는 매출액이 없는 경우에 해당하여 정액과징금 대상이라고 주장하며, 최근 3년간 법 제39조의15제1항 각 호에 해당하는 행위로 과징금 처분을 받은 적이 없는 경우로 최초 위반행위인 점 및 조사 적극 협력 등 감경을 요청하고, 과태료 산정과 관련하여, 정보주체에게 피해가 발생하지 않았으며 조사협조 및 자진시정 등 감경을 요청하였다. | 피심인의 위반행위가 발생한 정보통신서비스는 과금체계가 없는 등 매출이 있다고 보기 어려우므로, 정액과징금 대상이라는 주장은 수용한다. / 다만, 피심인은 위원회 자료제출 요구에 대해 회신하였으나 일부 누락된 자료가 있어 수차례 자료제출 요구가 이루어지는 등 성실하고 충실한 답변 및 조사에 협조하였다고 보기 어려우므로, 조사에 적극 협력하였다는 피심인의 주장을 수용하지 않는다. | https://datalaw.kr/sanctions/defenses/#df-2024-006-164
2024-02-14 | 제2024-003-030호 (산정 근거 1차 감경 50% · 2차 감경 10%) | TAG HEUER branch of LVMH Swiss Manufactures SA | 개인정보 유출 및 안전조치의무 위반 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 이 사건 개인정보 유출사고는 담당자의 사소한 실수로 인해 발생한 것으로 다른 서버나 시스템에 아무런 영향을 미치지 못한 경미한 사고이고 실질적인 피해가 발생한 것으로 보기 어려우며, 이득을 얻거나 얻으려고 한 목적도 없다고 주장한다. | 피심인이 접근통제 조치가 약 11개월(2019.12.1.∼2020.10.29.) 동안 적용되지 않은 사실을 알지 못한 것은 단순 담당자의 실수로 보기 어려우며, 해커에게 개인정보가 유출된 사실이 경미하거나, 이용자에게 실질적 피해가 발생하지 않았다고 볼 수 없으므로 피심인의 주장을 불수용한다. | https://datalaw.kr/sanctions/defenses/#df-2024-003-030
2024-02-14 | 제2024-003-030호 (산정 근거 1차 감경 50% · 2차 감경 10%) | TAG HEUER branch of LVMH Swiss Manufactures SA | 과징금·과태료 산정 | 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 안전조치 관련 위반행위가 경미하여 과징금‧과태료 면제에 해당하거나 감경 대상이고, 과징금은 부과되더라도 정액 과징금 대상이며, 보통 위반행위 및 조사 적극 협력, 자진신고, 개인정보 보호를 위한 노력 등에 대한 추가적 감경을 요청하였다. | 피심인의 위반행위가 종료된 2020년 10월 29일 이전에는 웹사이트를 통한 시계 판매가 없어 관련 매출이 발생하지 않는 등 정보통신서비스의 매출이 있다고 보기 어려우므로, 정액 과징금 부과 대상이라는 주장은 수용한다. / 다만, 안전조치를 위반하여 해커에게 개인정보가 유출된 사안이 경미하거나 중과실이 없다고 볼 수 없으며, 유출 당시 기준 보유한 한국 이용자 명 중 명(. %)의 개인정보가 유출되어 중대한 위반행위에 해당한다. … | https://datalaw.kr/sanctions/defenses/#df-2024-003-030
2024-02-14 | 제2024-003-030호 (산정 근거 1차 감경 50% · 2차 감경 10%) | TAG HEUER branch of LVMH Swiss Manufactures SA | 공표 처분 | 고의·과실이 없다 | 불수용 | 피심인은 공표 처분과 관련하여 고의성이 없고, 개인정보의 침해 정도나 피해 규모가 크지 않으며, 추가 피해 방지를 위한 조치를 완료한 점 등을 고려해줄 것을 요청하였다. | 개인정보 침해의 정도 및 피해규모를 고려하였을 때, 피심인의 위반행위가 경미하다고 보기 어려우며, 舊 ｢개인정보 보호위원회 처분 결과 공표기준｣ 제2조에 따른 공표요건에 해당하여 피심인의 요청을 불수용한다. | https://datalaw.kr/sanctions/defenses/#df-2024-003-030
2023-11-22 | 제2023-019-241호 | 비공개 | 필요한 최소한의 개인정보 | 기타 | 불수용 | 피심인은 14세 이상 여부의 확인 및 외국인 고객 응대를 위해 생년월일과 거주지역(국가) 정보가 필요하며, 동시 입장 고객 수를 효율적으로 관리하고 코로나19 방역을 위해 동행인의 개인정보가 필요하다고 주장하였다. | 만14세 이상 여부 확인을 위해 모든 대기고객의 생년월일을 수집하고 저장할 필요는 없고, 외국인 고객 응대는 거주지역 또는 사용언어를 선택정보로 수집하여도 목적을 달성할 수 있으므로 피심인이 생년월일과 거주지역을 필수적으로 수집하는 합리적 사유로 인정하기 어렵다. 매장에 입장하는 고객의 수를 예측하고 관리하는 목적은 동행인의 수를 수집하는 방법으로도 달성할 수 있고, 방역 패스 의무화 방침의 종료로 코로나19 관련 주장도 수용하기 어렵다. | https://datalaw.kr/sanctions/defenses/#df-2023-019-241
2023-11-22 | 제2023-019-241호 | 비공개 | 과태료 감경 | 과태료 산정 | 수용 | 법 위반상태로 지적된 사항들을 신속하게 자진시정 완료한 점, 위원회의 사실조사에 성실히 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 사실이 있는 점을 감안하여 감경을 요청하였다. | 피심인이 자진시정 완료한 점, 조사에 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 점 등에 대해서는 감경을 인정한다. | https://datalaw.kr/sanctions/defenses/#df-2023-019-241
2023-11-22 | 제2023-019-241호 | 비공개 | 공표 | 기타 | 불수용 | 피심인이 과도한 개인정보 수집을 통해 이익을 취하려 한 사안이 아닌 점, 정보주체의 사생활과 관련되거나 민감한 정보는 포함되지 않은 점, 정보주체에게 특별한 피해가 발생되지 않은 점 등을 고려했을 때, 위반 사실 공표 시 피심인의 이미지나 평판에 심대한 손상 등 가혹한 결과를 초래하므로 공표 처분 재고를 요청하였다. | 피심인의 위반행위는 舊 개인정보보호위원회 처분결과 공표기준 (이하 ‘舊 공표 기준’) 제2조(공표요건)에 해당하여 피심인의 주장을 불수용한다. | https://datalaw.kr/sanctions/defenses/#df-2023-019-241
2023-10-25 | 제2023-017-216호 (산정 근거 1차 가중 50% · 1차 감경 50% · 2차 감경 10%) | 비공개 | 개인정보의 안전조치의무 위반 | 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 개별적 조치에 일부 미흡한 사항들이 발견되더라도, 전체적으로 사고발생을 방지하기 위한 보안조치를 성실하게 취한 경우 제29조의 안전조치의무를 위반하지 않은 것으로 판단하여야 한다고 주장한다. 이와 관련하여 피심인은 ISO 27001 를 비롯한 다수의 정보보호 인증을 취득하고 PCI 및 FIDO 등 결제 및 로그인에 관한 국제 보안 표준 마련 하였음을 소명하였다. … | 피심인의 소명을 검토하였을 때, 피심인이 다수의 정보보호 인증을 취득하고, 개인정보 유출 방지 등을 위해 다양한 보호조치를 하였으며, PCI 및 FIDO 등 정보보호 관련 국제 보안 표준 마련에 기여하는 등 피심인의 정보보호 노력은 인정할 수 있다. … | https://datalaw.kr/sanctions/defenses/#df-2023-017-216
2023-10-25 | 제2023-017-216호 (산정 근거 1차 가중 50% · 1차 감경 50% · 2차 감경 10%) | 비공개 | 과징금 부과 시 매출액 산정 관련 : 불수용 | 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 송금 기능 관련 매출액을 별도로 제출하고, 직원 피싱 및 크리덴셜 스터핑과 관련한 매출액은 없다고 소명하였다. 또한, 피심인은 고의‧중과실이 없고, 어떠한 이익을 얻지도 않았으며, 피해를 시정하기 위해 상당한 자원을 투자한 점, 위반행위로 처벌받은 적이 없는 점, 조사에 적극 협력한 점 등을 고려해줄 것을 요청하였다. | 크리덴셜 스터핑과 관련한 매출액이 없다는 주장과 관련하여 대법원은 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 범위는 유출사고가 발생한 개인정보를 보유‧관리하고 있는 서비스의 범위를 기준으로 판단”하여야 한다고 판시하였다. 따라서 이 사건 개인정보 유출사고가 발생한 개인정보를 보유‧관리하고 있는 서비스는 서비스이므로 피심인의 주장은 타당하지 않다. / 다만, 피심인이 자료제출 요구 등 조사에 적극 협력한 점은 인정되므로, 과징금 산정 시 이를 반영하여 추가적으로 감경한다. | https://datalaw.kr/sanctions/defenses/#df-2023-017-216
2023-07-26 | 제2023-013-157호 | 비공개 | (쟁점 표제 없음) | 위반 인정 — 감경·선처만 요청 | (결정문 미기재) | 피심인은 위반행위를 인정하며, 과태료 감경 등 선처를 요청하였다. | - | https://datalaw.kr/sanctions/defenses/#df-2023-013-157
2023-07-26 | 제2023-013-155호 (산정 근거 1차 가중 50%) | 비공개 | 를 대상으로 한 조사 결과는 피심인에게 처분을 내리는 근거가 될 수 없다는 주장 | 기타 | 불수용 | 피심인은 위원회 조사·처분 규정 제10조의2 에 따라 를 조사하면서 확인한 정보는 다른 사업자에 대한 제재 근거가 될 수 없다고 주장하며 사전통지서상 타사 행태정보 수집 기간 및 수는 조사 불충분 및 적법절차를 거치지 않았다는 점을 보여주는 예시라고 주장한다. | 그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집‧이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건으로 사건번호도 같고, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였으며, 특히, 피심인은 가 지분 전량을 소유하고 있고, 소재지도 같으며, 2022년 4월 18일 는 자료 제출과정에서 피심인과 협의하였다고 답변하기도 한바, 피심인의 해당 주장은 타당하지 않다. … | https://datalaw.kr/sanctions/defenses/#df-2023-013-155
2023-07-26 | 제2023-013-155호 (산정 근거 1차 가중 50%) | 비공개 | 의견제출 기한 연장을 불허한 것은 정당한 절차를 결여하였고, 방어권 행사 기회를 박탈한 것이라는 주장 | 기타 | 불수용 | 피심인은 의견제출에 있어 2주는 불충분한 기간이고, 행위 시점으로부터 5년 이상 지났으며 번역, 시차와 같은 내부 검토 및 승인에 어려움이 있다고 주장한다. 또한, 피심인은 사전통지서에 기재된 연장 불가 사유 중 2022년 9월 14일 의 동일 사실관계에 대한 위법성을 판단한 바 있다는 내용은 피심인이 별도 법인이라는 점을 간과하고 검증 없이 서비스가 2015년부터 동일한 것으로 전제하는 문제가 있다고 주장한다. | 그러나, 위원회는 피심인에 조사·처분 규정에 따라 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다. 또한, 피심인은 2015년부터 픽셀·SDK 등을 통해 타사 행태정보를 수집한 것을 인정하였는바, 2022년 사전통지서상 사실관계와 차이가 없으며, 특히, 통지한 조사 결과에 대해 구체적인 의견을 제시 또는 반박 없이, 확인되지 않은 사실 또는 근거 제시가 없다는 막연한 주장은 수용하기 곤란하다. | https://datalaw.kr/sanctions/defenses/#df-2023-013-155
2023-07-26 | 제2023-013-154호 (산정 근거 1차 가중 50%) | 비공개 | 피심인에 대한 조사의 수행을 누락하였다는 주장 | 기타 | 불수용 | 피심인은 2022년 사전통지가 회사에 통지되기 전까지, 회사는 어떠한 자료제출도 요구받지 않았고, 확인되지 않은 가정들에 근거하여, 회사에 대한 부당한 판단을 내렸으므로 적법절차의 원칙에 위배되고, 절차적 정당성을 완전히 상실한 것으로서, 정의 관념의 기본적 원칙에 명백히 위반하는 행위라고 주장한다. … | 그러나, 피심인은 2008년 10월 6일부터 2018년 7월 14일까지 한국에서 서비스를 제공하였고, 는 당시 다른 국가에서 서비스를 제공하였던 피심인의 모회사이다. 는 2010년 4월부터 이용자의 타사 행태정보를 수집하였다고 자료를 제출하였고, 피심인이 한국에 서비스를 제공하던 당시 서비스의 가입과정 및 데이터 정책 등은 피심인에게 다시 제출받지 않고도 확인 가능하였던바, 피심인이 이용자의 동의 없이 타사 행태정보를 수집‧이용한 위반행위는 충분히 입증되었다. … | https://datalaw.kr/sanctions/defenses/#df-2023-013-154
2023-07-26 | 제2023-013-154호 (산정 근거 1차 가중 50%) | 비공개 | 위원회가 별건 조사 자료의 이용 제한을 위반하였다는 주장 | 기타 | 불수용 | 피심인은 조사·처분 규정 제10조의2 및 보호법 제60조 제1호에 근거하여 에 대한 조사과정에서 알게 된 정보를 피심인에 대한 이 사건 사전통지 또는 처분을 내릴 목적으로 사용하는 것은 위법하다고 주장한다. | 그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집·이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건이며, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였다. 따라서, 이 사건 사전통지 또는 처분을 내릴 목적으로 에 대한 조사과정에서 알게 된 정보를 사용한 것이 보호법 제60조 위반에 해당한다는 피심인의 주장은 타당하지 않다. | https://datalaw.kr/sanctions/defenses/#df-2023-013-154
2023-07-26 | 제2023-013-154호 (산정 근거 1차 가중 50%) | 비공개 | 이 사건 사전통지에 적용 법령을 누락, 오기재하였다는 주장 | 기타 | 불수용(판단 내용으로 읽음) | 피심인은 위원회가 사전통지의 적용법령에 처분하고자 하는 내용 일부에 대응하는 적용법령을 누락하였고, 정보통신망법의 연혁 법령을 기재하지 않아 방어권이 침해되었다고 주장한다. | 그러나 피심인에게 적용되는 법령을 별도 항목으로 구분하지 않았을 뿐 기재되어 있고, 정보통신망법 연혁 법령은 법조문 제정 이후 변경된 사실이 없어 방어권이 침해되었다고 보기 어려우나, 그럼에도 불구하고 정정하여 알려주고 의견제출 기한을 연장한 바 있다. | https://datalaw.kr/sanctions/defenses/#df-2023-013-154
2023-07-26 | 제2023-013-154호 (산정 근거 1차 가중 50%) | 비공개 | 행정조사 기본원칙을 위반하였다는 주장 | 기타 | 불수용(판단 내용으로 읽음) | 피심인은 에 더하여 한국에 서비스를 제공하지 않는 피심인에 대해 조사를 확대하는 것은 조사목적을 달성하는 데 필요한 최소한의 범위를 초과한 것으로 「행정조사기본법」 제4조 제1항 및 제4조 제4항에 위배된다고 주장한다. | 그러나, 위원회는 서비스의 타사 행태정보 수집·이용 관련 사실관계를 조사한 것이고, 조사과정에서 확인된 피심인의 위반행위를 처분하지 않는 것이 오히려 적법하지 않을 수 있다. | https://datalaw.kr/sanctions/defenses/#df-2023-013-154
2023-07-26 | 제2023-013-154호 (산정 근거 1차 가중 50%) | 비공개 | 제출기한 연장 불허는 절차적 정당성 결여 및 방어권 침해라는 주장 | 기타 | 불수용 | 피심인은 외국기업으로 사전통지에 대응하기 위해 모든 문서를 번역하고 다른 시간대에 있는 이해당사자들과 협의하는 데 2주 이상의 시간이 소요되므로 의견 제출 기한에 대한 연장은 불가하다고 명시한 것은 이례적이고 방어권을 심각하게 제한하며 절차적 정당성이 결여되었음을 보여주는 것이라고 주장한다. | 그러나 위원회는 조사·처분 규정에 따라 피심인에게 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다. 또한, 피심인은 법률대리인과의 계약 문제로 추가 행위에 관한 위임장 작성이 필요하다고 요청하여 2023년 6월 23일까지 의견제출 기한을 연장한 바 있다. | https://datalaw.kr/sanctions/defenses/#df-2023-013-154
2023-02-08 | 제2023-002-003호 (행정소송 서울행정법원 1심 원고패 · 항소 중) | Meta Platforms, Inc | 타사 행태정보는 본질적 기능을 수행하기 위해 반드시 필요한 정보에 해당한다는 주장 | 기타 | 불수용 | 가. 이용자 관점에서의 SNS 이용 목적 등을 볼 때, 타사 행태정보를 이용한 ‘맞춤형 광고’를 본질적 기능으로 보기 어려움 피심인은 서비스 약관 등을 통해 맞춤형 광고에 대해 안내하고 있고, 맞춤형 광고가 서비스를 무료로 제공할 수 있는 재원을 마련함에 있어 본질적 기능에 해당한다고 주장하고 있다. | 그러나, 이용자는 일상생활을 지인과 공유하고 기록하기 위해 SNS를 이용하고 있을 뿐, 피심인이 제공하는 맞춤형 광고를 보기 위해 페이스북 및 인스타그램을 이용하는 것으로 볼 수 없다. 피심인이 해당 서비스를 이용함으로써 맞춤형 광고에 개인정보를 활용하는 것에 ‘동의’하는 것이라고 서비스 약관에 명시하고, 개인정보 처리방침 등을 통해 맞춤형 광고 관련 내용을 안내한 사실은 있으나, 서비스 약관 및 개인정보 처리방침에 기재된 방대한 내용을 이용자가 읽고 명확히 이해한 상태에서 동의할 것을 기대할 수 없다. … | https://datalaw.kr/sanctions/defenses/#df-2023-002-003
2023-02-08 | 제2023-002-003호 (행정소송 서울행정법원 1심 원고패 · 항소 중) | Meta Platforms, Inc | 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향을 고려할 필요가 있다는 주장 | 기타 | 불수용(판단 내용으로 읽음) | 피심인은 이용자에게 타사 행태정보 수집에 대한 선택권을 부여하게 되면 실질적으로 타사 행태정보를 수집하지 못하게 될 것이라고 주장한다. | 위원회는 행태정보 수집 도구를 통해 다른 웹‧앱의 행태정보를 수집하는 것 자체를 금지하는 것이 아니며, 이용자 식별 기반의 타사 행태정보 수집‧이용 시 해당 이용자에게 선택권을 부여하라는 의미이므로, 그 주장은 전제가 잘못되어 있다. … | https://datalaw.kr/sanctions/defenses/#df-2023-002-003
2023-02-08 | 제2023-002-003호 (행정소송 서울행정법원 1심 원고패 · 항소 중) | Meta Platforms, Inc | 절차적 쟁점에 대한 피심인의 주장 | 기타 | 불수용(판단 내용으로 읽음) | 가. 사전통지서에 사실관계가 기재되어 있지 않다는 주장 및 사실관계에 대한 조사를 진행하지 않았다는 주장은 사실과 다름 피심인은 사전통지서에 처분의 전제가 되는 사실관계가 기재되어 있지 않다고 주장한다. | 위원회는 2022년 8월 3일 피심인에게 발급한 사전통지서에 페이스북 및 인스타그램 등의 가입자가 다른 웹사이트 및 앱을 사용한 행태정보는 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보가 아님에도 그 정보를 제공하지 아니한다는 이유로 서비스 제공을 거부한 행위가 있었다고 사실관계를 명시하였다. … | https://datalaw.kr/sanctions/defenses/#df-2023-002-003
2022-09-14 | 제2022-014-104호 (산정 근거 1차 가중 50% · 1차 감경 50%) (행정소송 서울행정법원 1심 원고패 · 항소 중) | Google Limited Liability Company | 행태정보를 수집하는 개인정보처리자는 “사업자”라는 주장 | 의무 주체가 아니다 | 불수용(판단 내용으로 읽음) | 피심인은 사업자가 웹‧앱 서비스를 제공하는 정보통신서비스 제공자이므로 해당 웹‧앱에 접속한 이용자의 행태정보는 사업자가 수집 주체라고 주장한다. | 피심인이 수집한 타사 행태정보는 피심인이 서비스를 제공하면서 정보통신서비스 이용관계(약관 동의 및 개인정보 수집‧이용 동의)를 맺고 계정을 생성한 이용자의 ‘온라인 활동기록’으로, 사업자와 해당 이용자 사이에 이용관계를 맺었는지 여부를 불문하고 피심인과의 이용관계에 따라 수집·이용된다. … | https://datalaw.kr/sanctions/defenses/#df-2022-014-104
2022-09-14 | 제2022-014-104호 (산정 근거 1차 가중 50% · 1차 감경 50%) (행정소송 서울행정법원 1심 원고패 · 항소 중) | Google Limited Liability Company | 피심인이 타사 행태정보 수집‧이용에 대한 동의를 받았다는 주장 | 동의를 받았다 | 불수용 | 보호법 제39조의3 제1항 및 관련 법령 규정의 문언‧체계‧취지는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록 하기 위함이다. … | 피심인이 “옵션 더보기”에서 “웹 및 앱 활동”, “광고 개인 최적화”를 안내하고 선택권을 부여한 상황 등을 봤을 때, 피심인은 타사 행태정보의 특수성을 인지하였고 이용자의 명시적 동의가 필요하다는 점을 알고 있는 것으로 판단된다. 그럼에도 타사 행태정보 수집‧이용에 대한 명시적인 동의를 받지 않고, 기본 값을 ‘동의’로 설정한 후 이를 가려놓은 행위는 이용자의 개인정보 자기결정권 보다 피심인의 광고 수익 극대화를 우선순위로 둔 행위로 평가된다. … | https://datalaw.kr/sanctions/defenses/#df-2022-014-104
2022-09-14 | 제2022-014-104호 (산정 근거 1차 가중 50% · 1차 감경 50%) (행정소송 서울행정법원 1심 원고패 · 항소 중) | Google Limited Liability Company | 사전통지서의 입장은 정책적 측면에서 심각한 문제가 있다는 의견 | 기타 | 불수용 | 피심인은 위원회가 동의 받을 주체에 대한 구체적 판단기준을 정립한 바 없고, 기준으로 삼을 수 있는 판례 또는 사례가 없다고 주장한다. | 방통위에서 ’17년 발간한 「온라인 맞춤형 광고 개인정보 보호 가이드라인」은 광고 사업자가 행태정보와 개인 식별정보를 결합할 경우에는 해당 이용자로부터 사전에 동의를 받아야 한다고 안내하고 있으며, 위원회가 ’20년 발간한 「온라인 개인정보 처리 가이드라인」에서도 동의 받는 주체가 이용자와 서비스 제공 계약을 맺은 자로서 쿠키를 통해 해당 이용자의 행태정보를 수집하는 자임을 전제하는 동시에 위 온라인 맞춤형 광고 개인정보보호 가이드라인을 참고하도록 하고 있다. … | https://datalaw.kr/sanctions/defenses/#df-2022-014-104
2022-09-14 | 제2022-014-104호 (산정 근거 1차 가중 50% · 1차 감경 50%) (행정소송 서울행정법원 1심 원고패 · 항소 중) | Google Limited Liability Company | 과징금 부과와 관련한 의견 | 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 행태정보가 개인정보에 해당하는지, 동의 받을 의무를 부담하는 주체가 누구인지 등에 관한 선결적인 쟁점에 대해 전혀 논의가 이루어지지 않은 상태에서 과징금을 부과하는 것은 부당하다고 주장한다. | 앞서 살펴본 바와 같이 「온라인 맞춤형 광고 개인정보 보호 가이드라인」 및 「온라인 개인정보 처리 가이드라인」에서 이미 안내하고 있던 사항으로, 피심인이 두 가지 선결적인 쟁점에 대해 전혀 논의가 이루어지지 않은 상태라고 주장하는 것은 사실과 부합하지 않는다. … | https://datalaw.kr/sanctions/defenses/#df-2022-014-104
2022-09-14 | 제2022-014-104호 (산정 근거 1차 가중 50% · 1차 감경 50%) (행정소송 서울행정법원 1심 원고패 · 항소 중) | Google Limited Liability Company | 프랑스 CNIL의 처분(2019. 1. 21.자 CNIL 의결, 의결번호 SAN-2019-001)이 이번 위원회의 조사‧처분과 관련이 있는지 | 동의를 받았다 | 불수용(판단 내용으로 읽음) | 피심인은 “옵션 더보기”의 맞춤형 광고 설정이 미리 체크되어 있었던 부분 때문에 CNIL로부터 처분을 받았다는 것을 인정하면서, 이는 맞춤형 광고라는 특정한 목적에 대해 별도의 옵트인 동의를 받지 않아, CNIL이 GDPR에서 요구하는 구체적인 형식적 요건을 충족하지 못한다고 본 것이라고 답변하면서, 보호법은 이와 다르다고 주장하였다. | 그러나, CNIL은 단순 형식적 요건의 충족 여부를 본 것이 아니라, 여러 근거를 들어 구글의 주장을 반박한 것으로, 사용자는 수집되는 데이터의 성격과 양을 적절히 인식할 수도 없고, 맞춤형 광고 처리에 대한 정보제공이 사전에 충분히 이루어지지 않았으며, GDPR 제4조(11)에 따른 동의(진술 또는 명백한 적극적 행위를 통해 자유롭고, 구체적으로, 결과에 대해 인지하여 분명하게 나타낸 의사표시)가 없었다고 판단하고 있다. 따라서 CNIL의 판단은 ‘적법한 동의’ 여부를 조사함에 있어 참고할 여지가 있다. | https://datalaw.kr/sanctions/defenses/#df-2022-014-104
## 유출 통지·신고가 며칠 늦어 처분됐는가 (https://datalaw.kr/sanctions/breach-notice/)
- 출처: 개인정보위 결정문 — 유출 통지·신고 의무 위반 사실 / 기준일 2026-09-11 / 제34조·구 제39조의4가 인정된 의결 102건 중 위반의 모습을 읽을 수 있는 88건
- 일수는 결정문이 적은 **인지일과 통지·신고일의 간격**이고 위원회가 허용한 기간이 아닙니다. 통지 지연 50건 최소 1일·중앙값 14일·최대 667일, 신고 지연 36건 최소 1일·중앙값 6일.
- 주의: **적용 기한이 사건마다 다릅니다.** 현행 개인정보 보호법 제34조와 시행령 제39조·제40조는 72시간(41건), 2020년 8월부터 2023년 9월까지 정보통신서비스 제공자에게 적용된 구 개인정보 보호법 제39조의4(특례)는 24시간(34건)입니다. 24시간 기준 사건의 지연 일수를 72시간 기준으로 읽지 마십시오.
- 주의: 「미이행」(9건)은 개별 통지나 신고를 하지 않은 건이라 일수가 없고(개별 통지 없이 뒤늦게 공지만 한 건은 「미통지(N일 경과 후 공지)」로 적고 지연 분포에서 뺐습니다), 「기재사항 누락」(2건)은 **기한 안에 통지했으나 법정 기재사항을 빠뜨린 건**이라 지연이 아닙니다. 「날짜 미기재」는 결정문이 기한을 넘겼다고만 적고 날짜를 적지 않은 것으로, 지연이 없었다는 뜻이 아닙니다.
- 정보주체에 대한 통지와 위원회에 대한 신고는 상대방이 다른 의무라 칸을 나누었습니다. 한쪽만 늦은 사건과, 신고만 하고 통지는 하지 않은 사건이 모두 있습니다.
의결일 | 안건번호 | 피심인 | 유형 | 적용 기한 | 근거 조문 | 인지일 | 통지일 | 통지 지연(일) | 신고일 | 신고 지연(일) | 과징금 | 과태료 | 결정문이 적은 사실 | 행 주소
2026-08-26 | 제2026-216-364호 | 제이엠가정의학과의원 | 미이행 | - | 보호법 제34조 | - | - | - | - | - | - | 720만 원 | 피심인은 의원급 수준에서 개별적으로 전화나 이메일로 고지하기에는 시간적, 인력적으로 한계가 있다고 판단하여 개별 통지는 진행하지 않다고 소명함 | https://datalaw.kr/sanctions/breach-notice/#n-2026-216-364
2026-08-26 | 제2026-216-363호 | ㈜포시에스 | 미이행 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-02-06 | 미통지(511일 경과 후 2024-07-01 공지) | - | - | - | - | 720만 원 | 피심인은 `23. 2. 6. 유출 사실 인지하였으나, 24시간을 경과한 ‘24. 7. 1. 홈페이지를 통해 유출 공지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-216-363
2026-08-12 | 제2026-215-336호 | ㈜지에이개발 | 지연 | 72시간 | 보호법 제34조 | 2025-12-13 | 2026-01-02 | 20 | - | - | - | 180만 원 | 피심인은 ’25. 12. 13. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 ’26. 1. 2.에 유출통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-215-336
2026-08-12 | 제2026-215-335호 | 거여파크 지역주택조합 추진위원회 | 지연 | 72시간 | 보호법 제34조 | 2025-10-18 | - | - | 2025-10-22 | 4 | - | - | 피심인은 ’25. 10. 18. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 ’25. 10. 22.에 유출신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-215-335
2026-07-08 | 제2026-213-270호 | 이데일리㈜ | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-05-01 | 2022-05-04 | 3 | 2022-05-04 | 3 | - | 990만 원 | 피심인은 ’22. 5. 1. 09:55 개인정보 유출 사실을 인지하였으나, 정당한 사유 없이 24시간을 경과하여 ‘22. 5. 4. 17:23 이용자 대상 유출 통지를 하고, ‘22. 5. 4. 20:12 유출신고 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-213-270
2026-07-08 | 제2026-213-269호 | ㈜재미스홈 | 미이행 | 5일 | 보호법 제34조 | - | - | - | - | - | - | 420만 원 | 피심인은 ’22. 7. 25. 를 통하여 개인정보 유출 사실을 인지 후 정당한 사유 없이 유출신고·통지 기한(처리자 기준 5일) 내 유출 신고·통지하지 않은 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-213-269
2026-07-08 | 제2026-213-268호 | ㈜데일리팜 | 지연 | 72시간 | 보호법 제34조 | 2024-01-28 | 2025-11-25 | 667 | - | - | - | 900만 원 | 피심인은 `24. 1. 28. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 `25. 11. 25.에 유출통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-213-268
2026-07-08 | 제2026-213-267호 | 얼굴홈트㈜ | 지연 | 72시간 | 보호법 제34조 | - | - | - | - | - | - | - | 피심인은 ’24. 1. 29. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-213-267
2026-06-24 | 제2026-212-240호 | ㈜맹호 | 지연 | 72시간 | 보호법 제34조 | 2024-02-19 | 2024-03-09 | 19 | - | - | - | 780만 원 | 피심인은 `24. 2. 19. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 `24. 3. 9.에 유출통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-212-240
2026-05-27 | 제2026-010-066호 | 행정안전부 | 지연 | - | 보호법 제34조 | 2024-04-01 | 2024-04-11 | 10 | - | - | 2억 7,300만 원 | 300만 원 | 피심인은 교육부 연계 민원서류 오발급으로 개인정보가 유출되었다는 사실을 ’24.4.1. 인지하였음에도 10일이 지난 ’24.4.11.에서야 유출 통지를 시작하였으므로 보호법 제34조제1항을 위반하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-010-066
2026-05-13 | 제2026-209-152호 | 대야구역재개발조합 | 지연 | 72시간 | 보호법 제34조 | 2026-01-28 | 2026-02-04 | 7 | 2026-02-05 | 8 | - | - | 피심인은 ’26. 1. 28. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 ‘26. 2. 4.에 유출통지 하였고, ’26. 2. 5.에 유출신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-209-152
2026-05-13 | 제2026-009-057호 | 보람상조개발 주식회사 | 지연 | 72시간 | 보호법 제34조 | 2024-05-27 | 2024-05-31 | 4 | - | - | 5억 3,100만 원 | 1,140만 원 | 피심인은 ’24. 5. 27. 19시 강원경찰청 사이버수사대로부터 유출 정황을 전달받아 확인 후 개인정보가 유출된 사실을 인지하였으나, 정당한 사유없이 72시간을 경과하여 ’24. 5. 31. 15시경부터 정보주체에게 유출 사실을 통지하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-009-057
2026-04-22 | 제2026-007-052호 | 듀오정보 주식회사 | 지연 | 72시간 | 보호법 제34조 | 2025-01-30 | 미이행 | - | 2025-02-04 | 5 | 11억 9,700만 원 | 1,320만 원 | 피심인은 ’25. 1. 30. 19:00 개인정보 유출인지 후 ’26.4.22.(의결일).까지 정보주체에게 보호법상 개인정보 유출통지를 실시하지 않고, 정당한 사유없이 72시간을 경과하여 ’25. 2. 4. 18:00 유출 신고하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-007-052
2026-04-08 | 제2026-207-119호 | 키다리식품(주) | 지연 | 72시간 | 보호법 제34조 | 2024-12-11 | 2025-01-02 | 22 | - | - | - | 180만 원 | 피심인은 ’24. 12. 11. 개인정보보호위원회로부터 개인정보 유출 민원이 접수되었다는 사실을 통보받아 유출 사실을 인지했음에도 정당한 사유 없이 72시간이 경과한 ‘25. 1. 2. 개인정보 유출 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-207-119
2026-04-08 | 제2026-207-118호 | 세종화재해상자동차손해사정(주) | 지연 | 72시간 | 보호법 제34조 | 2025-10-21 | 2025-11-07 | 17 | 2025-11-06 | 16 | - | 180만 원 | 피심인은 ’25. 10. 21. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 ‘25. 11. 6.에 유출신고 하였고, ’25. 11. 7.에 유출통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-207-118
2026-04-08 | 제2026-207-117호 | ㈜두잉이앤엠 | 지연 | 72시간 | 보호법 제34조 | 2025-10-17 | 2025-11-06 | 20 | 2025-11-07 | 21 | - | 360만 원 | 피심인은 ’25. 10. 17. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 ‘25. 11. 6.에 유출통지 하였고, ’25. 11. 7.에 유출신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-207-117
2026-04-08 | 제2026-006-051호 | Cristie, Manson & Woods, Ltd | 지연 | 72시간 | 보호법 제34조 | 2024-05-18 | 2024-05-30 | 12 | 2024-05-31 | 13 | 2억 8,000만 원 | 720만 원 | 피심인은 2024년 5월 18일 개인정보 유출 사실을 인지한 후, 72시간을 경과하여 2024년 5월 31일에 신고하고 및 2024년 5월 30일 및 6월 26일에 통지하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-006-051
2026-03-25 | 제2026-202-034호 | 한강시스템(주) | 지연 | 72시간 | 보호법 제34조 | 2024-04-29 | 2024-05-10 | 11 | 2024-05-13 | 14 | - | 540만 원 | 피심인은 ’24. 4. 29. 유출 사실 인지 후, 정당한 사유 없이 72시간이 경과한 ‘24. 5. 10.에 유출통지 하였고, ’24. 5. 13.에 유출신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-202-034
2026-03-25 | 제2026-005-025호 | 강북구청 | 기재사항 누락 | 72시간 | 보호법 제34조 | - | - | - | - | - | 3억 7,800만 원 | 480만 원 | 피심인은 ’24.3.8. 정보주체들에게 유출 사실을 통지하면서 ‘유출등이 된 개인정보 항목’, ‘유출등이 된 시점과 그 경위’ 및 ‘개인정보처리자의 대응조치 및 피해 구제절차’를 누락한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-005-025
2026-01-28 | 제2026-202-035호 | 디노랩스 | 지연 | 72시간 | 보호법 제34조 | 2025-02-16 | 미통지(30일 경과 후 2025-03-18 공지) | - | 2025-03-20 | 32 | - | - | 피심인은 ’25. 2. 16. 웹사이트 컨텐츠가 정상적으로 표시되지 않아 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ’25. 3. 18. 이용자 대상 유출 공지하고 ‘25. 3. 20. 유출 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-202-035
2026-01-28 | 제2026-002-004호 | 엔에이치엔커머스㈜ | 미이행 | 72시간 | 보호법 제34조 | - | - | - | - | - | 870만 원 | 450만 원 | 피심인이 ‘24. 10. 11. 로그 분석을 통해 유출 대상 및 규모를 확인하여 개인정보 유출 사실을 인지했음에도 17개 이용사업자에게 유출사실 및 정보주체 통지 등 안내 메일·전화를 일회성 발송하는데 그쳤을 뿐, 그 통지의 도달 사실을 제대로 확인하지 않았으며, 이후 상황을 인식하지 못한 일부 이용사업자들이 있음을 알았음에도 불구하고 유효한 후속조치를 취하지 아니하여 정보주체에 대한 유출 통지가 72시간 내 완료되도록 하지 못한 행위는 보호법 제34조제1항을 위반한 것이다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-002-004
2026-01-28 | 제2026-002-003호 | 한국연구재단 | 기재사항 누락 | 72시간 | 보호법 제34조 | - | - | - | - | - | 7억 300만 원 | 480만 원 | 피심인은 유출통지 시 생략한 유출 항목에 대하여 유출대상자에게 통지하고, 생략한 개인정보 중 개인 식별성이 높은 항목(계좌번호, 국가연구자번호 등)에 대하여 정보주체의 피해가 확산되지 않도록 조치 방안을 안내할 것. 라. 피심인은 가.부터 다 | https://datalaw.kr/sanctions/breach-notice/#n-2026-002-003
2025-12-10 | 제2025-223-473호 | ㈜아일로 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-01-15 | 2023-01-16 | 1 | 2023-01-16 | 1 | - | - | 피심인은 ’23. 1. 15. 14:00 개인정보 유출 사실을 인지하였음에도 불구하고 정당한 사유 없이 24시간 이상 경과한 ‘23. 1. 16. 22:00 개인정보 포털에 유출신고하고, ’23. 1. 16. 23:15 유출통지한 행위는 舊 보호법 제39조의4제1항을 위반한 것이다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-223-473
2025-12-10 | 제2025-223-472호 | 얼굴홈트(주) | 지연 | 72시간 | 보호법 제34조 | 2024-01-29 | 2024-04-16 | 78 | - | - | - | - | 피심인은 ’24. 1. 29. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간이 경과한 ‘24. 4. 16. 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-223-472
2025-12-10 | 제2025-026-308호 | K Games, Inc | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-09-28 | 2022-10-06 | 8 | 2022-10-08 | 10 | 1억 9,451만 9,000 원 | 720만 원 | 피심인은 ’22. 9. 28. 피싱이메일 수신자 및 다크웹 판매글에 피심인의 한국 이용자 최소 12,906명이 포함된 사실을 확인·인지하였으나, 정당한 사유 없이 24시간을 경과한 ’22. 10. 6.에 해당 이용자를 대상으로 유출 통지하고, ’22. 10. 8.에 개인정보보호위원회에 유출 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-026-308
2025-11-26 | 제2025-222-449호 | 가온들찬빛 | 지연 | 72시간 | 보호법 제34조 | 2025-08-22 | - | - | 2025-08-26 | 4 | - | - | 피심인은 ’25. 8. 22. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 ‘25. 8. 26. 유출 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-222-449
2025-11-26 | 제2025-222-448호 | 퀴아젠코리아(유) | 지연 | 72시간 | 보호법 제34조 | 2025-08-07 | 2025-08-27 | 20 | 2025-08-27 | 20 | - | 180만 원 | 피심인은 ’25. 8. 7. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 ‘25. 8. 27. 유출 통지 및 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-222-448
2025-11-26 | 제2025-222-446호 | 필 리 핀 항공 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-09-05 | 2022-09-10 | 5 | 2022-09-11 | 6 | - | 360만 원 | 피심인은 수탁자로부터 랜섬웨어 관련 사실을 전달받아 유출 사실을 인지(’22. 9. 5.) 하고도, 정당한 사유없이 24시간을 경과하여 유출신고(’22. 9. 11.) 및 유출통지(’22. 9. 10. ~ 12.)한 행위는 舊 보호법 제39조의4제1항 위반에 해당한다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-222-446
2025-11-26 | 제2025-222-443호 | ㈜씨아이에스 보험자문중개법인 | 미이행 | - | 보호법 제34조 | - | - | - | - | - | - | 960만 원 | 다만, 일부 정보주체의 전화번호 등 연락처를 보유＊하였음에도 유출 사실을 개별 통지하지 않았으며, 웹사이트 내 공지도 30일 이상 게시하지 않았다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-222-443
2025-11-26 | 제2025-024-299호 | ㈜하스 | 지연 | 72시간 | 보호법 제34조 | 2024-02-13 | 2025-02-07 | 360 | 2024-06-25 | 133 | 1억 3,300만 원 | 780만 원 | 피심인은 ’24. 2. 13. KISA로부터 이용자의 개인정보가 다크웹에 게시된 사실, 다크웹의 URL, 유출된 정보의 샘플 이미지, 개인정보 유출 신고 안내 관련 내용 등을 전달받아 실제 DB 데이터와 비교 등을 통해 개인정보 유출을 충분히 인지할 수 있는 상황에도 불구하고, 정당한 사유 없이 72시간 경과한 ’24. 6. 25. 유출 신고하였으며, ’25. 2. 7. 이용자 대상 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-024-299
2025-11-20 | 제2025-221-440호 | ㈜테난 | 지연 | 72시간 | 보호법 제34조 | 2024-06-04 | 2024-06-18 | 14 | - | - | - | 270만 원 | 피심인은 ’24. 6. 4. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 ‘24. 6. 18. 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-221-440
2025-11-20 | 제2025-221-439호 | 수원상공회의소 | 지연 | 72시간 | 보호법 제34조 | 2025-04-16 | 2025-04-23 | 7 | 2025-04-22 | 6 | - | 360만 원 | 피심인은 ’25. 4. 16. 민원이 접수되어 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ‘25. 4. 22. 유출 신고하고 ’25. 4. 23. 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-221-439
2025-11-20 | 제2025-221-438호 | 법무법인 산하 | 지연 | 72시간 | 보호법 제34조 | 2024-12-05 | - | - | 2025-01-16 | 42 | - | 270만 원 | 피심인은 ’24. 12. 5. 민원이 접수되어 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ‘25. 1. 16. 유출 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-221-438
2025-11-20 | 제2025-023-296호 | 법무법인(유)로고스 | 지연 | 72시간 | 보호법 제34조 | 2024-09-05 | 2025-09-29 | 389 | - | - | 5억 2,300만 원 | 600만 원 | 피심인은 ’24. 9. 5. 해커가 다크웹에 피심인의 사건 관리 리스트 샘플 파일이 게시된 사실을 확인하여 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과하여 ‘25. 9. 29. ~ 9. 30. 개인정보 유출 통지를 실시한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-023-296
2025-09-10 | 제2025-217-354호 | 타이어뱅크㈜ | 지연 | 72시간 | 보호법 제34조 | 2024-12-03 | 2025-02-28 | 87 | - | - | - | 900만 원 | 피심인은 ’24. 12. 3. 민원이 접수되어 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ’25. 2. 28. 이용자 대상 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-217-354
2025-09-10 | 제2025-020-252호 | ㈜몽클레르코리아 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-01-17 | 2022-01-20 | 3 | 2022-01-22 | 5 | 8,101만 7,000 원 | 720만 원 | 피심인은 ’22. 1. 17. 민원을 통해 이용자의 개인정보 유출을 인지하였으나, 정당한 사유 없이 24시간을 경과한 ’22. 1. 20.에 고객 대상 유출 통지하고, ’22. 1. 22.에 개인정보보호위원회에 유출 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-020-252
2025-08-27 | 제2025-018-243호 | 에스케이텔레콤 주식회사 | 지연 | 72시간 | 보호법 제34조 | - | - | - | - | - | 1,347억 9,100만 원 | 960만 원 | 개인정보 유출 통지를 지연한 행위 [보호법 제34조(개인정보 유출 등의 통지·신고)제1항] 보호법은 개인정보 유출 피해를 사전에 방지하고 정보주체로 하여금 유출 피해에 대응할 수 있도록 하기 위해, “유출 되었음을 알게 된 때”에는 지체 없이 72시간 이내에 유출 항목, 시점, 경위, 피해 최소화 방법, 피해 구제절차 등을 정보주체에게 통지하도록 의무를 부과하고 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-018-243
2025-07-23 | 제2025-016-236호 | (재)전남테크노파크 | 지연 | 72시간 | 보호법 제34조 | - | - | - | - | - | 9,800만 원 | 360만 원 | 피심인은 유출 인지 후 전남경찰청 사이버수사대에 신고하고 한국지역정보개발원에 사고신고서를 접수하는 등 피해 확산 방지 등을 위해 노력하였으나 보호법 상의 통지 기한을 엄수하지 못했다고 소명 닫기 72시간을 경과하여 홈페이지에 유출 사실을 게시하고, 개인정보 유출을 신고한 행위는 보호법 제34조제1항 및 제3항 위반에 해당한다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-016-236
2025-07-09 | 제2025-015-230호 | 비공개 | 지연 | 72시간 | 보호법 제34조 | 2024-08-23 | 2024-08-30 | 7 | - | - | 2,300만 원 | 270만 원 | 피심인은 ‘24. 8. 23. 17:00경 텔레그램 채널에 게시된 회원정보 파일을 자사 DB 내 데이터와 비교 후 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과한 ’24. 8. 30. ~ 9. 6. 개인정보 유출 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-015-230
2025-06-25 | 제2025-014-047호 | TELUS International AI, Ltd | 지연 | 72시간 | 보호법 제34조 | 2023-11-02 | 2023-12-08 | 36 | 2023-11-14 | 12 | 8,200만 원 | 720만 원 | 피심인이 ’23. 11. 2. 한국 정보주체의 개인정보 유출 사실을 인지하였으나, 정당한 사유 없이 72시간을 경과한 ’23. 11. 14. 개인정보보호위원회에 유출 신고하고, 이후 ’23. 12. 8.에 정보주체 대상 유출 통지를 한 행위는 보호법 제34조제1항 및 시행령 제39조제1항과 보호법 제34조제3항 및 시행령 제40조제1항을 위반한 것이다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-014-047
2025-06-11 | 제2025-211-253호 | 한국에이티씨센터㈜ | 지연 | 72시간 | 보호법 제34조 | 2024-08-21 | 2025-03-26 | 217 | - | - | - | 540만 원 | 피심인은 ’24. 8. 21. 경찰청 제보로 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과한 ‘25. 3. 26. 개인정보 유출 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-211-253
2025-06-11 | 제2025-013-044호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 3,242만 3,000 원 | 840만 원 | 피심인은 ’22. 7. 19. 한국인터넷진흥원으로부터 침해사고 분석보고서 수신 후 개인정보 유출 사실을 인지헀음에도 유출 신고를 하지 않은 행위와 정당한 사유 없이 24시간을 경과하여 유출 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-013-044
2025-06-11 | 제2025-013-042호 | 머크㈜ | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-03-29 | 2024-04-18 | 386 | - | - | 8,000만 원 | 600만 원 | 피심인은 ‘23. 3. 29. 민원을 통해 이용자의 개인정보 유출을 인지하였으나, 정당한 사유 없이 24시간을 경과한 ‘24. 4. 18. 이용자 대상 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-013-042
2025-05-14 | 제2025-209-222호 | 비공개 | 지연 | 72시간 | 보호법 제34조 | 2023-10-18 | 2023-10-26 | 8 | 2023-10-24 | 6 | - | 720만 원 | 피심인은 ’23. 10. 18. 오후에 유출 사실을 인지하였으나, 정당한 사유 없이 72시간을 경과하여 ’23. 10. 24.에 유출 신고하였고, ’23. 10. 26.에 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-209-222
2025-04-23 | 제2025-208-197호 | ㈜모우다 | 지연 | 72시간 | 보호법 제34조 | - | - | - | - | - | - | 540만 원 | 피심인은 ’24. 5. 7. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 유출을 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-208-197
2025-04-23 | 제2025-208-195호 | ㈜서울프라퍼티인사이트 | 지연 | 72시간 | 보호법 제34조 | 2024-10-10 | 2025-02-11 | 124 | 2024-10-16 | 6 | - | 720만 원 | 피심인은 ’24. 10. 10. 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과한 ‘24. 10. 16. 개인정보 유출 신고 및 ’24. 10. 17.(1명), ‘25. 2. 11.(2명) 개인정보 유출 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-208-195
2025-04-09 | 제2025-008-025호 | ㈜케이티알파 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-02-06 | 2023-12-14 | 311 | - | - | 491만 5,000 원 | 690만 원 | 피심인은 ‘23. 2. 6. 17:50 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여 ’23. 12. 14. 15:42 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-008-025
2025-04-09 | 제2025-008-024호 | ㈜클래스유 | 지연 | 72시간 | 보호법 제34조 | 2024-07-10 | 2024-09-12 | 64 | - | - | 5,360만 원 | 720만 원 | 피심인은 ’24. 7. 10. 14:41 한국인터넷진흥원으로부터 전달받은 다크웹에 게시된 샘플 자료가 내부 DB 데이터와 일치하여 개인정보 유출을 인지하였으나, 정당한 사유 없이 72시간 경과한 ’24. 9. 12. 15:00 이용자 대상 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-008-024
2025-03-12 | 제2025-205-115호 | ㈜노랑풍선 | 지연 | 72시간 | 보호법 제34조 | 2024-05-20 | 2024-05-24 | 4 | 2024-05-23 | 3 | - | 540만 원 | 피심인은 ’24. 5. 20. 13시경, 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 초과한 ’24. 5. 23. 15:47 유출 신고하고, ’24. 5. 23. 18:20(2명), ‘24. 5 . 24.(4명) 유출 통지를 완료한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-205-115
2025-03-12 | 제2025-006-018호 | ㈜모두투어네트워크 | 지연 | 72시간 | 보호법 제34조 | 2024-07-09 | 2024-09-12 | 65 | - | - | 7억 4,700만 원 | 1,020만 원 | 피심인은 ‘24. 7. 9. 17:00 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 72시간을 경과하여 ’24. 9. 12. ~ 9. 27. 동안 유출된 정보주체 대상 유출 통지를 지연한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-006-018
2025-02-26 | 제2025-004-014호 | ㈜비즈니스온커뮤니케이션 | 지연 | 72시간 | 보호법 제34조 | 2023-11-09 | 2023-11-12 | 3 | 2023-11-13 | 4 | 1억 3,700만 원 | 270만 원 | 피심인은 ‘23. 11. 09. 18:00에 유출 사실을 인지하고 ‘23. 11. 12. 05:26 유출 통 지하였으나, 정당한 사유 없이 72시간이 경과하여 ‘23. 11. 13. 10:31에 유출 신고 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-004-014
2025-02-12 | 제2025-203-64호 | ㈜케이티 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-06-22 | 2024-02-26 | 249 | 2023-08-04 | 43 | - | 390만 원 | 피심인은 ‘23. 6. 22. 피심인의 대리점인 로부터 본 건＊에 대한 ’사건·사고 발생 보고 문건‘을 보고 받아 개인정보 유출 사실을 인지하였음에도 24시간을 경과하여 ’23. 8. 4. 유출 신고＊＊ 및 ‘24. 2. 26. 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-203-64
2025-02-12 | 제2025-203-63호 | ㈜메이크스타 | 지연 | 72시간 | 보호법 제34조 | 2024-08-12 | 2024-08-19 | 7 | 2024-08-21 | 9 | - | 180만 원 | 피심인은 ’24. 8. 12. 개인정보 유출 사고가 발생한 사실을 인지하였음에도 불구하고 정당한 사유 없이 72시간을 경과하여 ‘24. 8. 19. 유출 통지하고, ’24. 8. 21. 유출 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-203-63
2025-02-12 | 제2025-003-006호 | ㈜섹타나인 | 지연 | 72시간 | 보호법 제34조 | 2023-10-30 | - | - | 2023-11-04 | 5 | 14억 7,700만 원 | 720만 원 | 피심인은 ’23. 10. 30. 19:40 해커의 크리덴셜 스터핑 공격으로 이용자의 개인정보가 유출된 사실을 인지하였으나, 정당한 사유 없이 72시간이 경과한 ’23. 11. 4. 16:55 유출 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2025-003-006
2024-11-27 | 제2024-019-246호 | 쿠팡㈜ | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2021-11-23 | 2021-11-27 | 4 | 2021-11-27 | 4 | 2억 7,865만 1,000 원 | 1,080만 원 | 피심인은 ‘21. 11. 23. 16:06 음식점으로부터 배달원의 개인정보가 노출된다는 문의를 접수받아 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여, ’21. 11. 27. 12:41 개인정보 유출 신고 및 ‘21. 11. 27. 19:00 이용자 대상 유출통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-019-246
2024-11-04 | 제2024-221-666호 | 비공개 | 지연 | 7일 | 보호법 제34조 | - | - | - | - | - | - | - | 피심인이 유출 사실 인지 후 유출통지 기한(처리자 기준 7일)을 경과하여 학회에 유출된 정보주체 명단, 유출 규모, 유출 항목 등을 메일로 알리고, 일부 학회 회원에게만 직접 유출통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-221-666
2024-11-04 | 제2024-018-242호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-02-28 | 2023-03-02 | 2 | - | - | 959만 1,000 원 | 810만 원 | 피심인은 ‘23. 2. 28. 개인정보 유출 사실을 인지하였고, 이용자의 연락처를 알고 있었음에도 정당한 사유 없이 24시간을 경과하여 ’23. 3. 2. 이용자 대상 개별 유출통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-018-242
2024-10-23 | 제2024-220-643호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | - | 420만 원 | 피심인은 유출 신고하지 않았고 수탁자에게 유출 통지할 것을 요구했다가 정확한 유출 건수 파악이 불가능하고 알려진 피해 사례도 없어 유출 통지를 보류한 후 현재까지 유출 통지하지 않은 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-220-643
2024-07-10 | 제2024-214-495호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-01-30 | - | - | 2023-02-06 | 7 | - | 180만 원 | 피심인은 ‘23. 1. 30. 개인정보가 유출된 사실을 인지하였으나 정당한 사유 없이 24시간을 경과한 ’23. 2. 6. 개인정보 유출 신고를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-214-495
2024-07-10 | 제2024-214-494호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-06-26 | 2024-04-11 | 290 | - | - | - | 300만 원 | 피심인은 ‘23. 6. 26. 09:11 개인정보가 유출된 사실을 인지하고 ’23. 6. 26. 19:45 개인정보 유출 통지 이메일을 발송하는 과정에서 발송 시스템 오류 등으로 일부 이용자에 대한 유출 통지가 누락되었음에도 정당한 사유 없이 인지 후 24시간이 경과한 ‘24. 4. 11. 누락된 대상자를 포함하여 유출 통지를 완료한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-214-494
2024-06-12 | 제2024-212-423호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | - | 210만 원 | 피심인은 2023.1.31.에 한국인터넷진흥원으로부터 공문을 받아 유출 사실을 인지하였으나, 유출 통지 및 신고를 24시간 이상 지연한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-212-423
2024-05-22 | 제2024-009-183호 | 비공개 | 미이행 | - | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 151억 4,196만 원 | 780만 원 | 피심인은 개인정보보호위원회가 2024. 2. 16. 피심인에게 개인정보 유출 신고·통지 소홀로 인한 과태료 부과 등에 관한 사전통지서를 송부하고 이 사건 의결에 이르기까지 개인정보 유출 신고와 개인정보가 유출된 이용자를 대상으로 유출 통지를 하지 않은 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-009-183
2024-04-24 | 제2024-007-181호 | ㈜하이플레이 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 액수 비공개 | 1,200만 원 | 피심인은 `22. 12. 14. 14:39 개인정보 유출 사실을 인지했음에도 정당한 사유 가. 과징금 상한액 없이 24시간을 경과하여 유출 신고 및 이용자 대상 유출 통지를 한 행위는 舊 보호법 제39조의4제1항을 위반한 것이다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-007-181
2024-04-24 | 제2024-007-177호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2021-09-07 | 2021-09-08 | 1 | - | - | 6,419만 3,000 원 | 1,080만 원 | 피심인은 ’21. 9. 7.에 개인정보가 유출된 사실을 인지하고 ‘21. 9. 8.에 유출 통 지하면서 정확한 유출 규모 파악 없이 98명에게만 유출 통지하였고, 이 중 6명 에게는 유출 통지에 실패하였음에도 홈페이지에 유출 사실을 공지하지 않았으며, ’23. 11. 16.에 조사 과정에서 추가로 홈페이지에 개인정보 유출 사실을 공지 하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-007-177
2024-03-27 | 제2024-006-164호 | 비공개 | 지연 | 72시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2024-01-16 | 2024-03-03 | 47 | - | - | - | 1,020만 원 | 피심인은 ’24. 1. 12. 발생한 크리덴셜 스터핑 공격으로 회원 1명의 개인정보 (ID, 이름)가 유출된 사실을 ’24. 1. 16. 15시경 인지하였고, 이후 분석을 통해 직원 정보도 유출된 사실을 충분히 알 수 있었음에도, 정당한 사유 없이 72시간을 경과하여 ’24. 3. 3.에 유출 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-006-164
2024-02-14 | 제2024-003-030호 | TAG HEUER branch of LVMH Swiss Manufactures SA | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2023-05-25 | 2023-05-27 | 2 | 2023-05-29 | 4 | 1억 2,600만 원 | 780만 원 | 피심인은 적어도 2023년 5월 25일에는 개인정보의 유출 사실을 확인한 것으로 판단되나, 24시간을 경과하여 2023년 5월 27일 1시에 해당 사실을 이용자에게 통지하였고, 2023년 5월 29일 20시 53분에 개인정보 포털에 해당 사실을 신고하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2024-003-030
2023-12-13 | 제2023-020-244호 | ㈜스피드옥션 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 액수 비공개 | 780만 원 | 피심인은 에 개인정보 유출 사실을 인지하였으나, 정당한 사유 없이 24시간을 경과하여 유출 신고 및 유출 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-020-244
2023-10-25 | 제2023-017-216호 | 비공개 | 지연 | - | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2021-11-29 | 2021-12-07 | 8 | 2021-12-07 | 8 | 9억 600만 원 | 1,620만 원 | 피심인은 송금 기능 해킹 관련 유출은 2021년 11월 29일에 인지하였고, 직원 이메일 피싱과 관련한 유출을 2021년 11월 6일에 인지하였음에도 약 1개월이 지난 2021년 12월 7일에 통지‧신고하였으며, 크리덴셜 스터핑 공격 관련 유출은 2022년 12월 20일에 인지하였음에도 10일 이상 지연하여 2023년 1월 2일에 통지‧신고하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-017-216
2023-06-28 | 제2023-006-057호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | - | 720만 원 | 피심인이 ’22. 2. 11. 10:40에 콜센터 1:1 채팅 상담을 통해 유출 사실을 인지하였음에도 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 이용자에게 통지하고 신고한 행위는 보호법 제39조의4제1항을 위반한 것이다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-006-057
2023-06-28 | 제2023-006-056호 | 비공개 | 지연 | - | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-06-09 | 2022-06-15 | 6 | 2022-06-15 | 6 | 11억 3,178만 6,000 원 | 1,020만 원 | 피심인은 ’22. 6. 9. 유출 사실을 인지하고 ’22. 6. 10. 및 ‘22. 6. 15. 유출 신고를 하였으나, ’22. 6. 15. 이용자에게 유출 사실을 통지하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-006-056
2023-06-27 | 제2023-213-255호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | - | 780만 원 | 피심인은 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여 이용자 대상 유출 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-213-255
2023-06-14 | 제2023-212-215호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-06-17 | 2022-06-20 | 3 | 2022-06-22 | 5 | - | 360만 원 | 피심인은 시스템 로그 확인을 통해 유출 사실을 인지(’22.6.17.)하였으나, 정당한 사유 없이 24시간을 경과하여 해당 이용자에게 유출 사실을 통지(’22.6.20.)하고 개인정보 포털에 지연 신고(’22.6.22)한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-212-215
2023-06-14 | 제2023-212-214호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | - | 360만 원 | 피심인은 ‘21. 11. 18. 한국인터넷진흥원, 서울경찰청 사이버수사대로부터 다크웹 상 자사 이용자의 개인정보 판매 관련 안내메일을 수신하고, 이용자의 개인정보를 확인하여 개인정보 유출을 인지하였으나, 정당한 사유 없이 24시간을 경과하도록 신고·통지를 지연한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-212-214
2023-06-14 | 제2023-212-213호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-09-20 | 2023-03-09 | 170 | 2022-09-21 | 1 | - | 420만 원 | 피심인은 ’22. 9. 20. 12:55 개인정보 유출 사실을 인지하였음에도 정당한 사유 없이 24시간을 경과하여 ‘22. 9. 21. 14:45 유출 신고 및 ’23. 3. 9. 12:19 ~ 12:57 이용자에게 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-212-213
2023-06-14 | 제2023-010-109호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-04-11 | 2022-04-13 | 2 | 2022-04-13 | 2 | - | 1,080만 원 | 피심인이 ’22. 4. 11.에 확인한 민원 내용＊을 즉시 처리하지 않고 하루 경과 후 관련 부서로 전달하여 ’22. 4. 13.에 통지·신고하는 등 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 이용자에게 통지하고 신고한 행위는 보호법 제39조의4제1항을 위반한 것이다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-010-109
2023-06-14 | 제2023-010-108호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 액수 비공개 | 1,080만 원 | 피심인이 정당한 사유 없이 유출 사실을 안 때부터 일부 이용자(6,848명)에 대해서는 개인정보의 유출 사실을 안 때부터 24시간을 경과하여 유출 통지하고, 1년 이상 서비스를 이용하지 않은 이용자에 대해서는 유출 통지를 하지 않은 행위는 보호법 제39조의4제1항을 위반한 것이다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-010-108
2023-06-14 | 제2022-016-127호 | 빌박닷컴(주) | 미이행 | 지체 없이 | 보호법 제34조 | - | - | - | - | - | - | 660만 원 | 피심인은 유출된 개인정보 중 회원 정보에 대해서는 정보주체에게 유출 사실을 통지하였으나( ), 연예인 등의 부동산정보에 대해서는 정보주체에게 유출 사실을 통지하지 않았다 | https://datalaw.kr/sanctions/breach-notice/#n-2022-016-127
2023-03-22 | 제2023-005-045호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 액수 비공개 | 액수 비공개 | 피심인은 개인정보 유출 인지 후 24시간을 초과하여 개인정보 유출을 신고 하고 유출통지 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-005-045
2023-03-22 | 제2023-005-042호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2021-06-03 | 2021-06-19 | 16 | 2021-06-11 | 8 | 액수 비공개 | 1,020만 원 | 피심인은 개인정보 유출 인지(’21. 6. 3.) 후, 24시간을 경과하여 개인정보 유출신고 (’21. 6. 11.) 및 유출통지(’21. 6. 19.)한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-005-042
2023-03-08 | 제2023-004-037호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | - | 액수 비공개 | 피심인은 개인정보 유출 사실을 인지하였음에도 정당한 사유 없이 24시간을 경과하여 유출 신고 및 이용자에게 통지를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-004-037
2023-03-08 | 제2023-004-036호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 액수 비공개 | 액수 비공개 | 피심인은 한국인터넷진흥원을 통해 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 24시간을 경과하여 개인정보 유출 신고를 한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-004-036
2023-03-08 | 제2023-004-035호 | 비공개 | 미이행 | - | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 액수 비공개 | 960만 원 | 피심인은 ’21. 6. 3. 한국인터넷진흥원 기술지원 보고서를 통해 개인정보 유출 인지 후, 유출된 이용자가 특정되지 않아 홈페이지 공지사항을 통해 유출통지한 바 있으나, 조사과정에서 유출이 확인된 이용자 명을 대상으로 개별 유출통지하지 않은 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-004-035
2023-03-08 | 제2023-004-034호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | 2022-10-14 | 2022-10-19 | 5 | 2022-10-18 | 4 | 액수 비공개 | 720만 원 | 피심인은 ’22. 10. 14. 17시경 한국인터넷진흥원으로부터 개인정보가 저장된 DB 테이블이 유출되었고, 개인정보 유출 등을 신고 및 통지할 것을 안내하는 내용의 ‘중소기업 피해지원 긴급 대응 방안 안내’ 메일을 수신하고 회원정보임을 확인하는 등 유출을 인지하였음에도, 추가 유출이 확인된 회원정보에 대하여 ‘22. 10. 18. 16:13에 이르러서야 유출을 신고하고, ’22. 10. 19. 12:40 회원들에게 유출을 통지하는 등 정당한 사유 없이 24시간을 경과하여 신고·통지를 지연한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-004-034
2023-02-08 | 제2023-002-007호 | (재)한국어린이안전재단 | 지연 | - | 보호법 제34조 | 2022-09-01 | 2022-11-18 | 78 | - | - | - | 900만 원 | 나. 개인정보 유출 사실의 통지를 지연한 행위 ㅇ ’22.9.1. 정보주체(2,412명)의 개인정보 유출사실을 인지하였으나 ’22.11.18. 정보주체에게 유출 통지하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2023-002-007
2022-11-30 | 제2022-019-156호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | - | 840만 원 | 피심인은 유출된 계정 48개 중 30개 계정 이용자에게 유출 통지를 하지 않았으며, 정당한 사유 없이 유출 사실을 안 때부터 24시간을 경과하여 신고한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2022-019-156
2022-08-10 | 제2022-013-103호 | 비공개 | 지연 | 24시간 | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 액수 비공개 | 1,440만 원 | 피심인은 유출 사실에 대한 이용자 통지 시 법정 통지항목을 모두 포함하여 통지하여야 하나 , ‘22. 4. 7. 추가 유출과 관련하여 ① 유출된 개인정보 항목과 ② 유출이 발생한 시점을 누락하여 통지한 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2022-013-103
2022-03-23 | 제2022-005-018호 | 성보공업(주) | 지연 | 지체 없이 | 보호법 제34조 | - | - | - | - | - | 1,250만 원 | 900만 원 | 피심인은 입사지원이 종료되거나 홈페이지 입사지원 기능이 삭제되어 불필요하게 된 입사지원자의 개인정보 건을 파기하지 않고 DB서버에 보관하였다 | https://datalaw.kr/sanctions/breach-notice/#n-2022-005-018
2022-02-23 | 제2022-004-013호 | 비공개 | 미이행 | - | 구 보호법 제39조의4(특례, 2020-08~2023-09) | - | - | - | - | - | 1억 2,979만 원 | 1,860만 원 | 피심인은 유출된 개인정보 항목, 유출이 발생한 시점, 이용자가 취할 수 있는 조치 등을 이용자에게 알리지 않은 사실이 있다 | https://datalaw.kr/sanctions/breach-notice/#n-2022-004-013
## 결정문이 공개되지 않은 제재 (보도자료 재구성 층 — 위 표와 출처가 다르므로 합산하지 않음)
- 출처: 개인정보보호위원회 보도자료 (pipc.go.kr, 보도·해명 게시판) / 기준일 2026-09-03 / 결정문이 아니라 보도자료이므로 위반 조문·감경률은 없고 금액은 보도자료가 적은 범위까지입니다.
의결일 | 구분 | 의결 요지 | 피심인과 처분 | 보도자료
2021-01-27 | 미공개 | 네이처리퍼블릭·에스디생명공학·테슬라코리아·씨트립코리아 — 유출신고·민원 계기 조사. 시정명령과 과징금·과태료. | ㈜네이처리퍼블릭 과징금 21200000원 과태료 10000000원; ㈜에스디생명공학; 테슬라코리아(유); ㈜씨트립코리아 과태료 5000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7123
2021-02-24 | 미공개 | 디엔팩토리·챔프스터디·영진직업전문학교·에이엠플러스피에프브이강남 — 동의 없는 수집 등, 과태료. | 디엔팩토리; 챔프스터디; 영진직업전문학교; 에이엠플러스피에프브이강남 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7184
2021-03-10 | 미공개 | (사)대우세계경영연구회·의료법인 하나로의료재단 — 주민등록번호 유출 등. 과징금·과태료 합계 6,625만 원. | (사)대우세계경영연구회; 의료법인 하나로의료재단 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7204
2021-04-14 | 미공개 | CCTV 설치·운영 위반 23개 사업자 — 일부 과태료, 나머지 시정명령. | | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7262
2021-06-09 | 미공개 | 마이크로소프트·㈜그라운드원 등 6개 사업자 — 안전조치 위반 등. 과징금·과태료 합계 8,440만 원. 과징금 3곳, 개선권고 3곳. | 마이크로소프트 과징금 3400000원 과태료 13000000원 (공표); ㈜그라운드원 (개선권고) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7368
2021-10-27 | 실명 미공개 | 의료분야 12개 사업자 — 안전조치 미흡·미파기·담당자 실수 유출. 과징금·과태료 합계 1억 223만 원. | 연세의료원 과태료 3000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7631
2021-10-27 | 실명 미공개 | 해킹 등으로 개인정보가 유출된 9개 사업자 — 안전조치의무·유출 통지·신고 위반. | 샤넬코리아(유) 과징금 126160000원 과태료 18600000원 (시정명령·공표); ㈜천재교과서 과징금 903350000원 과태료 17400000원 (시정명령·공표); ㈜천재교육 과태료 5400000원; ㈜지지옥션 과태료 17000000원; ㈜크라운컴퍼니; (유)핸디코리아; ㈜박코치소리영어훈련소 과징금 4560000원 과태료 15000000원; 에이치제이컬쳐㈜ 과태료 9000000원; ㈜디어유 과태료 5400000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7630
2021-11-10 | 미공개 | 유출신고 7개 사업자 — 안전조치(접근통제) 위반. 사소한 실수·피해 미미로 과징금은 비례원칙상 면제, 과태료·시정명령. | ㈜무신사 과태료 4200000원; ㈜위버스컴퍼니 과태료 7000000원; 동아오츠카㈜ 과태료 7000000원; ㈜한국신용데이터 과태료 3600000원; 디엘이앤씨㈜ 과태료 4200000원; ㈜지에스리테일 과태료 7000000원; 케이티알파㈜ 과태료 4200000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7655
2021-11-24 | 실명 미공개 | ㈜케이티·㈜이스트소프트 — 방통위 과징금이 대법원 판결로 전부 취소된 뒤 감액 재처분. 케이티 5,000만 원(2026-09-10 결정문 공개 확인 — 제2021-019-286호, 본표 수록), 이스트소프트 9,800만 원(구 정보통신망법)은 첨부가 스캔본이라 미수록. | ㈜이스트소프트 과징금 98000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7710
2021-11-24 | 실명 미공개 | 열람·파기 의무 위반 5곳 — 과태료 합계 1,450만 원. | ㈜유비케어 과태료 3000000원; 안과의원(비실명) 과태료 1000000원; 학원(비실명) 과태료 3000000원; ㈜한신 과태료 3000000원; 한화생명보험㈜ 과태료 4500000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7709
2021-12-08 | 실명 미공개 | 안전조치 미흡·담당자 실수 유출 8개 사업자 — 과태료 합계 3,320만 원. | ㈜대연 과태료 3000000원; Instagram, LLC 과태료 5000000원; ㈜창의와탐구 과태료 3000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7739
2022-01-26 | 실명 미공개 | ㈜플라이팝콘·피씨유·알럽스킨 — 웹호스팅 이용 쇼핑몰의 접근통제·암호화 미흡. 과태료 합계 2,680만 원·시정명령. | ㈜플라이팝콘 과태료 10000000원; 피씨유 과태료 6000000원; 알럽스킨 과태료 10800000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=7825
2022-06-08 | 미공개 | ㈜위더스교육·㈜뉴지스탁·㈜창비 — 웹셸·SQL 주입 해킹 유출. 과징금 3,700만 원, 과태료 합계 2,140만 원. | ㈜위더스교육 과징금 37000000원 과태료 10000000원 (공표); ㈜뉴지스탁 과태료 3600000원 (시정명령); ㈜창비 과태료 7800000원 (시정명령·공표) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8065
2022-09-14 | 미공개(부분) | 같은 날 구글 의결과 지자체 16곳 의결은 결정문이 공개됐는데, 이 5개 사업자 의결은 없다. 과징금 1,210만 원, 과태료 합계 5,340만 원. | ㈜에이전트소프트 과징금 12100000원 과태료 10200000원; ㈜디에스앤지 과태료 11400000원; 지비에이㈜ 과태료 21000000원; ㈜제이웍스코리아 과태료 7200000원; 한국금융투자협회 금융투자교육원 과태료 3600000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8223
2022-09-14 | 미공개(부분) | 메타 — 동의 없는 타사 행태정보 수집·이용(구법 제39조의3 제1항). 과징금 308억 600만 원·시정명령. 같은 날 구글(692억 4,100만 원)은 결정문이 공개돼 추적기에 있으나 메타 의결서는 없다. | Meta Platforms, Inc. 과징금 30806000000원 (시정명령) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8221
2022-11-16 | 미공개 | 제18회 전체회의에서 10개 사업자·개인에게 과태료 합계 3,200만 원. 결정문 게시판에는 같은 날 의결 중 4건(제2022-018-151호~154호, 사건번호 2021조이0080 등 4건)만 공개돼 있고 모두 안전조치의무(제29조) 위반이다. 여기에는 그 4건에 해당할 수 없는, 위반조항에 제29조가 없는 7곳만 싣는다. | 한국외식업중앙회 과태료 3000000원; ○○○내과의원 과태료 3000000원; 최○○(양도인) 과태료 1000000원; 정○○(양수인) 과태료 1000000원; 금호익스프레스㈜ 과태료 3000000원; 유○○ 과태료 3000000원; 이○○ 과태료 3000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8324
2022-12-14 | 미공개 | ㈜지마켓·㈜더블유컨셉코리아·㈜티알엔 — 안전조치·유출 통지·신고 위반. 과징금 3억 6,084만 원, 과태료 합계 1,320만 원. | ㈜지마켓 과태료 3600000원; ㈜더블유컨셉코리아 과징금 360840000원 과태료 6600000원 (시정명령·공표); ㈜티알엔 과태료 3000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8357
2022-12-14 | 미공개 | ㈜매그니프·㈜인포스케이프·㈜현대백화점·㈜교보문고·교촌에프앤비㈜ — 접근통제 미흡, 설문 이벤트 개인정보 노출. 과징금 413만 원, 과태료 합계 2,280만 원. | ㈜매그니프 과징금 4130000원 과태료 6600000원; ㈜인포스케이프 과태료 3600000원; ㈜현대백화점 과태료 3600000원; ㈜교보문고 과태료 6000000원; 교촌에프앤비㈜ 과태료 3000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8356
2023-05-24 | 미공개 | 11개 사업자 — 안전조치의무 위반 10곳, 동의 방법 위반 1곳. 과징금 5,162만 원(티맵모빌리티), 과태료 합계 5,100만 원. | 티맵모빌리티㈜ 과징금 51620000원 과태료 6000000원; 한국필립모리스㈜ 과태료 3000000원; ㈜그린카 과태료 3000000원; ㈜창마루 과태료 4200000원; ㈜펫박스 과태료 7800000원; ㈜시크먼트 과태료 7800000원; ㈜라라잡 과태료 7800000원; ㈜마케팅이즈; Qoo10 Pte. Ltd. 과태료 3600000원; ㈜제이티통신 과태료 4200000원; ㈜인티그레이션 과태료 3600000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8878
2024-03-13 | 미공개 | 참좋은여행㈜·루안코리아㈜·㈜디에이치인터내셔널 — 2차 인증·침입탐지 미적용 해킹 유출. 과징금 합계 3억 3,907만 원, 과태료 1,800만 원, 공표. | 참좋은여행㈜ 과징금 174380000원 과태료 3600000원; 루안코리아㈜ 과징금 152190000원 과태료 7200000원; ㈜디에이치인터내셔널 과징금 12500000원 과태료 7200000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=9988
2025-09-24 | 미공개(부분) | ㈜테라스타(랜섬웨어로 개인정보 훼손, 백업 없음) 과징금 500만 원·과태료 300만 원 / ㈜아이스트로(백업으로 복구) 과태료 480만 원. 같은 날 소위원회 의결은 공개됐고 전체회의 2건만 없다. | ㈜테라스타 과징금 5000000원 과태료 3000000원; ㈜아이스트로 과태료 4800000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11506
2026-01-28 | 미공개(부분) | ㈜티머니 — ‘티머니 카드&페이’ 웹사이트 크리덴셜 스터핑 침입(2025.3.13.~3.25.)으로 51,691명 유출. 안전조치의무(접근통제, §29) 위반. 과징금 5억 3,400만 원, 재발방지 대책 시정명령, 공표명령. | ㈜티머니 과징금 534000000원 (시정명령·공표명령) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11777
2026-02-11 | 공개 시차 | 식음료 10개 사업자 — 아동 동의(제22조의2), 목적 외 이용(제18조), 미파기, 접근통제 등. 과징금 합계 15억 6,600만 원, 과태료 합계 1억 1,130만 원, 시정·공표명령. | ㈜비케이알(버거킹) 과징금 924000000원 과태료 15300000원; ㈜엠지씨글로벌(메가MGC커피) 과징금 642000000원 과태료 15300000원; ㈜와드(캐치테이블) 과태료 8100000원; 테이블링㈜ 과태료 12000000원; ㈜야놀자에프앤비솔루션 과태료 15000000원; ㈜에스씨케이컴퍼니(스타벅스); 한국맥도날드(유) 과태료 11400000원; 투썸플레이스㈜; ㈜이디야; ㈜더본코리아(빽다방) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11818
2026-02-11 | 공개 시차 | 루이비통코리아·크리스챤디올꾸뛰르코리아·티파니코리아 — SaaS 고객관리 서비스 이용 중 유출, 안전조치·통지 위반. 과징금 합계 360억 3,300만 원, 과태료 1,080만 원, 공표명령. | 루이비통코리아(유) 과징금 21385000000원; 크리스챤디올꾸뛰르코리아 주식회사 과징금 12236000000원 과태료 3600000원; 주식회사 티파니코리아 과징금 2412000000원 과태료 7200000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11817
2026-06-10 | 공개 시차 | 쿠팡 — 유출(약 3,755만 명) 과징금 4,235억 7,500만 원 + 적법 근거 없는 수집 과징금 2,011억 600만 원, 과태료 1,680만 원, 시정명령·공표. 같은 날 의결된 쿠팡풀필먼트서비스(과징금 2억 4,800만 원)는 결정문이 공개돼 본표 제2026-011-077호로 옮겼다(2026-09-11). | 쿠팡 주식회사 과징금 624681000000원 과태료 16800000원 (시정명령·결과공표·공표명령) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12171
2026-06-24 | 공개 시차 | ㈜빗썸 — 해외 거래소와 오더북 공유·가상자산 이전 시 별도 동의 없는 국외이전(제28조의8 제1항). 과징금 합계 2억 1,000만 원(1억 2,000만 + 9,000만)·시정명령. | ㈜빗썸 과징금 210000000원 (시정명령) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12196
2026-07-08 | 공개 시차 | ㈜락앤락·㈜유베이스·썬포토㈜ — 접근통제·접속기록 위반 해킹 유출. 과징금 합계 7억 100만 원, 과태료 540만 원, 공표명령. | ㈜락앤락 과징금 503000000원 과태료 5400000원; ㈜유베이스 과징금 168000000원; 썬포토㈜ 과징금 30000000원 | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12242
2026-07-22 | 공개 시차 | 틱톡 — 적법 근거 없는 타사 행태정보 수집·국외이전, 과징금 103억 600만 원·시정·공표명령 / 애플(ADI·ASPL) — Siri 음성·전사문 동의 없는 수집, 과징금 2억 5,200만 원·시정명령. | TikTok Pte. Ltd. 과징금 10306000000원; Apple Distribution International Limited 과징금 252000000원; Apple Services Pte. Ltd. | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12330
2026-07-29 | 공개 시차 | ㈜KT — 불법 펨토셀을 통한 네트워크 접근통제 소홀로 16,647명 유출·소액결제 탈취. 과징금 539억 7,900만 원, 시정명령·개선권고·공표. | ㈜KT 과징금 53979000000원 (시정명령·개선권고·결과공표·공표명령) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12349
2026-08-26 | 공개 시차 | ㈜지에스리테일 — GS SHOP·GS25 크리덴셜 스터핑 유출(1,581,025명·79,128명), 접근통제·내부관리계획(§29)·유출통지 지연(§34①). 과징금 128억 3,600만 원, 과태료 300만 원, 시정명령(재발방지·전담인력·CPO 권한)·공표명령 / ㈜엔라이즈 — 데이팅 앱 본인인증 취약점 736계정 유출(구법 §29), 과징금 1억 1,844만 원·과태료 360만 원 / 에스케이텔레콤㈜ — 수탁사 관리·감독(구법 §26)·유출 통지·신고 지연(구법 §39의4①), 과태료 360만 원·시정명령 / ㈜에이토즈 — 관리자 페이지 노출 1,140명(구법 §29), 경고. | ㈜지에스리테일 과징금 12836000000원 과태료 3000000원 (시정명령·공표명령); ㈜엔라이즈 과징금 118440000원 과태료 3600000원; 에스케이텔레콤㈜ 과태료 3600000원 (시정명령); ㈜에이토즈 (경고) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12425
2026-08-26 | 공개 시차 | 국가아동권리보장원 — 입양기록물·실종아동 입소카드 전산화 결과물(보조저장매체) 유출 등 3건, 약 117만 건. 안전조치·고유식별정보·위탁·유출 통지·신고 위반. 과징금 합계 8억 6,300만 원(5억+3억 1,050만+5,250만), 과태료 합계 2,220만 원(1,200만+1,020만), 시정명령·징계권고·개선권고·공표. 보건복지부에 개선권고. | 국가아동권리보장원 과징금 863000000원 과태료 22200000원 (시정명령·징계권고·개선권고·공표) | https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12413
## 처분에 대한 취소소송 전수 (https://datalaw.kr/sanctions/litigation/)
- 기준일 2026-09-10 / 행정심판 재결 확인 0건 / 1심·2심 선고는 전부 위원회 승소 / 사업자 승소 확정은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778)와 「과징금 비례원칙 위반」(대법원 2022두68923) 두 갈래
피심인 | 의결일 | 제재 | 소송 경과 | 현재 상태 | 행 주소
Facebook Incorporation·Facebook Ireland Limited | 2020-11-25 | 과징금 67억 4,800만 원·과태료 6,600만 원·시정명령·고발 | 1심 서울행정법원 2021구합57117 2023-10-26 원고패 → 2심 서울고등법원 2023누64906 2024-09-13 항소기각 → 3심 대법원 2024두55440 2025-03-13 상고기각 | 확정(위원회 승소) | https://datalaw.kr/sanctions/litigation/#lit-facebook-2020
이베이코리아 유한회사(현 ㈜지마켓) | 2021-05-26 | 시정명령·과태료 2,280만 원·공표 | 1심 서울행정법원 2021구합78848 2022-07-08 원고승 → 2심 서울고등법원 2022누54360 2023-09-01 항소기각 → 3심 대법원 2023두54778 2023-12-28 상고기각 | 확정(사업자 승소) | https://datalaw.kr/sanctions/litigation/#lit-gmarket-2021
네이버 주식회사 | 2021-05-26 | 시정명령·과태료 840만 원·공표 | 1심 서울행정법원 2021구합79278 2022-07-08 원고승 → 2심 서울고등법원 2022누54377 항소기각 → 3심 대법원 2023두54778 2023-12-28 상고기각 | 확정(사업자 승소) | https://datalaw.kr/sanctions/litigation/#lit-naver-2021
Google LLC | 2022-09-14 | 과징금 692억 4,100만 원·시정명령 | 1심 서울행정법원 2023구합55191 2025-01-23 원고패 | 항소 중 | https://datalaw.kr/sanctions/litigation/#lit-google-2022
Meta Platforms, Inc. | 2022-09-14 | 과징금 308억 600만 원·시정명령 | 1심 서울행정법원 2023구합54259 2025-01-23 원고패 | 항소 중 | https://datalaw.kr/sanctions/litigation/#lit-meta-2022
Meta Platforms, Inc. | 2023-02-08 | 시정명령·공표명령·과태료 660만 원 | 1심 서울행정법원 2023구합71018 2025-01-23 원고패 | 항소 중 | https://datalaw.kr/sanctions/litigation/#lit-meta-2023
삼성전자 | 2023-06-28 | 과징금 8억 7,558만 3천 원·과태료 1,400만 원·시정명령 | 1심 서울행정법원 2023구합84236 2025-11-06 원고패 | 항소 중 | https://datalaw.kr/sanctions/litigation/#lit-samsung-2023
인크루트 | 2023-08-30 | 과징금 7,060만 9천 원 | 1심 서울행정법원 2023구합81091 2025-03-28 원고패 | 1심 선고(상소 여부 미확인) | https://datalaw.kr/sanctions/litigation/#lit-incruit-2023
건강기능식품 제조·판매사(비실명) | 2023-03-08 | 과징금 4억 6,457만 3천 원 | 1심 서울행정법원 2023구합66443 2024-04-18 원고패 → 2심 서울고등법원 2024누41993 2025-12-12 항소기각 | 2심 선고(상고 여부 미확인) | https://datalaw.kr/sanctions/litigation/#lit-healthfood-2023
초등 온라인학습 서비스 운영자(비실명) | 2021-10-27 | 과징금 | 1심 서울행정법원 2022구합61564 2023-01-13 원고패 → 2심 서울고등법원 2023누34486 항소기각 → 3심 대법원 2023두61554 2024-04-03 상고기각 | 확정(위원회 승소) | https://datalaw.kr/sanctions/litigation/#lit-edu-2021
디지털대성 | 2024-03-27 | 과징금 6억 1,300만 원·과태료 330만 원·공표명령 | 1심 서울행정법원 2024구합70753 2025-08-14 원고패 → 2심 서울고등법원 2025누8058 2025-12-24 항소기각 | 2심 선고(상고 여부 미확인) | https://datalaw.kr/sanctions/litigation/#lit-digitaldaesung-2024
골프존 | 2024-05-08 | 과징금 75억 400만 원·공표명령 | 1심 서울행정법원 2024구합83865 2026-02-12 원고패 | 1심 선고(항소 여부 미확인) | https://datalaw.kr/sanctions/litigation/#lit-golfzon-2024
카카오 | 2024-05-22 | 과징금 151억 4,196만 원·과태료·시정명령·공표명령 | 1심 서울행정법원 2024구합86789 2026-01-15 원고패 | 항소 중 | https://datalaw.kr/sanctions/litigation/#lit-kakao-2024
카카오페이 | 2025-01-22 | 과징금 59억 6,800만 원·시정명령·공표명령 | 1심 서울행정법원 2025구합53645 2026-06-11 원고패 | 항소 중 | https://datalaw.kr/sanctions/litigation/#lit-kakaopay-2025
SK텔레콤 | 2025-08-27 | 과징금 1,347억 9,100만 원·시정명령·공표명령 | 1심 서울행정법원 계속 중 | 1심 계속 | https://datalaw.kr/sanctions/litigation/#lit-skt-2025
우리카드 | 2025-03-26 | 과징금 134억 5,100만 원 | 1심 서울행정법원 계속 중 | 1심 계속 | https://datalaw.kr/sanctions/litigation/#lit-wooricard-2025
비와이엔블랙야크 | 2025-07-09 | 과징금 13억 9,100만 원 | 1심 서울행정법원 계속 중 | 1심 계속 | https://datalaw.kr/sanctions/litigation/#lit-blackyak-2025
듀오정보 | 2026-04-22 | 과징금 11억 9,700만 원 | 1심 서울행정법원 계속 중 | 1심 계속 | https://datalaw.kr/sanctions/litigation/#lit-duo-2026
현대해상화재보험 | 2024-12-11 | 과징금 61억 9,800만 원 | 1심 서울행정법원 계속 중 | 1심 계속 | https://datalaw.kr/sanctions/litigation/#lit-hyundaimarine-2024
악사손해보험 | 2024-12-11 | 과징금 27억 1,500만 원 | 1심 서울행정법원 계속 중 | 1심 계속 | https://datalaw.kr/sanctions/litigation/#lit-axa-2024
## 개인정보위 이전의 처분 — 방송통신위원회 의결서 (https://datalaw.kr/sanctions/kmcc/)
- 출처: 방송미디어통신위원회 심결정보 게시판 / 기준일 2026-08-21 / 수록 348건 / 기간 2008-06-24~2023-06-28
- 주의: **처분청과 근거법이 위 표와 다릅니다.** 처분청은 방송통신위원회(2025-10-01 폐지, 방송미디어통신위원회가 승계)이고 근거법은 구 정보통신망법 제4장과 위치정보법입니다. 조문 번호 체계가 현행 개인정보 보호법과 달라 **위 표와 합산하거나 조문을 대조하지 마십시오** — 같은 「제28조」가 두 법에서 다른 조문입니다. 그래서 조문에 법령명을 붙여 두었습니다.
- 주의: 2009~2016년 개인정보 의결서가 게시판에 없습니다(그 시기 게시물 187건은 전부 알뜰폰·단말기유통법·IPTV·불법스팸). 처분이 없었다는 뜻이 아닙니다. 피심인 실명은 2008년 의결 14건에만 있고 **의결 당시 상호**입니다. 날짜는 게시일이 아니라 의결서 본문의 의결일입니다.
의결일 | 안건번호 | 피심인 | 위반 조문 | 처분 | 과징금(원) | 과태료(원) | 행 주소
2023-06-28 | 제2023-21-055호 | 비공개 | 위치정보법 제19조 제1항·제2항·제3항 | 시정명령,과태료 | - | 4200000 | https://datalaw.kr/sanctions/kmcc/#k-2023-21-055
2023-06-28 | 제2023-21-054호 | 비공개 | 위치정보법 제19조 제3항 | 시정명령,과태료 | - | 900000 | https://datalaw.kr/sanctions/kmcc/#k-2023-21-054
2023-06-28 | 제2023-21-053호 | 비공개 | 위치정보법 제19조 제2항·제3항 | 시정명령,과태료 | - | 4200000 | https://datalaw.kr/sanctions/kmcc/#k-2023-21-053
2023-06-28 | 제2023-21-052호 | 비공개 | 위치정보법 제19조 제1항·제2항·제3항; 위치정보법 제9조 제1항 | 시정명령,과태료 | - | 4200000 | https://datalaw.kr/sanctions/kmcc/#k-2023-21-052
2023-06-28 | 제2023-21-051호 | 비공개 | 위치정보법 제19조 제1항·제2항·제3항 | 시정명령,과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2023-21-051
2023-03-21 | 제2023-08-027호 | 비공개 | 위치정보법 제7조 제1항 | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2023-08-027
2023-03-21 | 제2023-08-026호 | 비공개 | 위치정보법 제16조 제1항 | 과징금 | 13038560 | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-026
2023-03-21 | 제2023-08-025호 | 비공개 | 위치정보법 제5조 제1항; 위치정보법 제9조 제1항 | 미고발 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-025
2023-03-21 | 제2023-08-024호 | 비공개 | 위치정보법 제5조 제1항; 위치정보법 제9조 제1항 | 미고발 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-024
2023-03-21 | 제2023-08-023호 | 비공개 | 위치정보법 제5조 제1항 | 미고발 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-023
2023-03-21 | 제2023-08-022호 | 비공개 | 위치정보법 제5조 제1항; 위치정보법 제9조 제1항 | 미고발 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-022
2023-03-21 | 제2023-08-021호 | 비공개 | 위치정보법 제5조 제1항 | 미고발 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-021
2023-03-21 | 제2023-08-020호 | 비공개 | 위치정보법 제18조 제1항 | 과태료 | - | 1500000 | https://datalaw.kr/sanctions/kmcc/#k-2023-08-020
2023-03-21 | 제2023-08-019호 | 비공개 | 위치정보법 제18조 제1항 | 과태료 | - | 1500000 | https://datalaw.kr/sanctions/kmcc/#k-2023-08-019
2023-03-21 | 제2023-08-018호 | 비공개 | 위치정보법 제5조 제1항 | 미고발 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-018
2023-03-21 | 제2023-08-017호 | 비공개 | 위치정보법 제9조 제1항 | 미고발 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2023-08-017
2023-03-21 | 제2023-08-016호 | 비공개 | 위치정보법 제12조 제1항; 위치정보법 제25조 제1항 | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2023-08-016
2023-03-21 | 제2023-08-015호 | 비공개 | 위치정보법 제25조 제1항 | 과태료 | - | 1500000 | https://datalaw.kr/sanctions/kmcc/#k-2023-08-015
2023-03-21 | 제2023-08-014호 | 비공개 | 위치정보법 제12조 제1항; 위치정보법 제36조 제2항 | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2023-08-014
2022-09-14 | 제2022-46-173호 | 비공개 | 위치정보법 제11조 | 과태료 | - | 1800000 | https://datalaw.kr/sanctions/kmcc/#k-2022-46-173
2022-09-14 | 제2022-46-172호 | 비공개 | 위치정보법 제8조 | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/kmcc/#k-2022-46-172
2022-09-14 | 제2022-46-171호 | 비공개 | 위치정보법 제8조 | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2022-46-171
2022-09-14 | 제2022-46-170호 | 비공개 | 위치정보법 제8조 | 과태료 | - | 3600000 | https://datalaw.kr/sanctions/kmcc/#k-2022-46-170
2022-09-14 | 제2022-46-169호 | 비공개 | 위치정보법 제8조 | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2022-46-169
2020-07-15 | 제2020-41-210호 | 비공개 | 정보통신망법 제31조 제1항; 정보통신망법 제63조 제2항 | 시정명령,과태료,과징금 | 180000000 | 6000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-41-210
2020-06-24 | 제2020-38-187호 | 비공개 | 정보통신망법 제26조 제1항 | 시정명령,과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-187
2020-06-24 | 제2020-38-186호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-186
2020-06-24 | 제2020-38-185호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-185
2020-06-24 | 제2020-38-184호 | 비공개 | 정보통신망법 제25조 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제30조 제6항 | 시정명령,과태료,과징금 | 76400000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-184
2020-06-24 | 제2020-38-183호 | 비공개 | 정보통신망법 제25조 제7항 | 시정명령,과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-183
2020-06-24 | 제2020-38-182호 | 비공개 | 정보통신망법 제22조의2 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2020-38-182
2020-06-24 | 제2020-38-181호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-181
2020-06-24 | 제2020-38-180호 | 비공개 | 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-180
2020-06-24 | 제2020-38-179호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-179
2020-06-24 | 제2020-38-178호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금,공표 | 11800000 | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-178
2020-06-24 | 제2020-38-177호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-177
2020-06-24 | 제2020-38-176호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금 | 6900000 | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-176
2020-06-24 | 제2020-38-175호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-175
2020-06-24 | 제2020-38-174호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-174
2020-06-24 | 제2020-38-173호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,고발,과태료,과징금,공표 | 954000000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-173
2020-06-24 | 제2020-38-172호 | 비공개 | 정보통신망법 제27조의3 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 21000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-172
2020-06-24 | 제2020-38-171호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-171
2020-06-24 | 제2020-38-170호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 494000000 | 33000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-38-170
2020-06-04 | 제2020-33-161호 | 비공개 | 위치정보법 제18조 제1항; 위치정보법 제19조 제1항 | 시정권고,과태료,과징금 | 25100000 | 1500000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-161
2020-06-04 | 제2020-33-160호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-160
2020-06-04 | 제2020-33-159호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-159
2020-06-04 | 제2020-33-158호 | 비공개 | 정보통신망법 제63조 제3항 | 시정명령,과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-158
2020-06-04 | 제2020-33-157호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-157
2020-06-04 | 제2020-33-156호 | 비공개 | 위치정보법 제18조 제1항 | 시정권고,과징금 | 4000000 | - | https://datalaw.kr/sanctions/kmcc/#k-2020-33-156
2020-06-04 | 제2020-33-155호 | 비공개 | 정보통신망법 제27조 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-155
2020-06-04 | 제2020-33-154호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-154
2020-06-04 | 제2020-33-153호 | 비공개 | 위치정보법 제19조 제1항; 위치정보법 제9조 제1항; 정보통신망법 제26조 제2항; 정보통신망법 제29조 제1항; 정보통신망법 제31조 제1항 | 시정명령,과태료 | - | 4500000 | https://datalaw.kr/sanctions/kmcc/#k-2020-33-153
2020-05-19 | 제2020-28-126호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금 | 45300000 | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-126
2020-05-19 | 제2020-28-125호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-125
2020-05-19 | 제2020-28-124호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 20900000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-124
2020-05-19 | 제2020-28-123호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-123
2020-05-19 | 제2020-28-122호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금,공표 | 3100000 | 22000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-122
2020-05-19 | 제2020-28-121호 | 비공개 | 정보통신망법 제27조; 정보통신망법 제27조의3; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 18000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-121
2020-05-19 | 제2020-28-120호 | 비공개 | 정보통신망법 제26조 제2항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 14000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-120
2020-05-19 | 제2020-28-119호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-28-119
2020-04-29 | 제2020-23-112호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 27200000 | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-112
2020-04-29 | 제2020-23-111호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-111
2020-04-29 | 제2020-23-110호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-110
2020-04-29 | 제2020-23-109호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 21000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-109
2020-04-29 | 제2020-23-108호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 18000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-108
2020-04-29 | 제2020-23-107호 | 비공개 | 정보통신망법 제25조; 정보통신망법 제28조 | 시정명령,과태료 | - | 25500000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-107
2020-04-29 | 제2020-23-106호 | 비공개 | 정보통신망법 제27조의3; 정보통신망법 제28조; 정보통신망법 제29조 | 시정명령,과태료 | - | 31000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-106
2020-04-29 | 제2020-23-105호 | 비공개 | 정보통신망법 제28조; 정보통신망법 제29조 | 시정명령,과태료,과징금,공표 | 22800000 | 18000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-23-105
2020-03-11 | 제2020-13-085호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과징금,공표 | 459000000 | - | https://datalaw.kr/sanctions/kmcc/#k-2020-13-085
2020-03-11 | 제2020-13-084호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,공표 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-084
2020-03-11 | 제2020-13-083호 | 비공개 | 정보통신망법 제27조; 정보통신망법 제27조의3; 정보통신망법 제28조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2020-13-083
2020-03-11 | 제2020-13-082호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 23000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-082
2020-03-11 | 제2020-13-081호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-081
2020-03-11 | 제2020-13-079호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 8000000 | 12000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-079
2020-03-11 | 제2020-13-078호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료,과징금,공표 | 6800000 | 18000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-078
2020-03-11 | 제2020-13-077호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-077
2020-03-11 | 제2020-13-076호 | 비공개 | - | 시정권고 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2020-13-076
2020-03-11 | 제2020-13-075호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 3000000 | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-075
2020-03-11 | 제2020-13-074호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 3800000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-074
2020-03-11 | 제2020-13-073호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-073
2020-03-11 | 제2020-13-072호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-13-072
2020-01-22 | 제2020-04-016호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-016
2020-01-22 | 제2020-04-015호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-015
2020-01-22 | 제2020-04-014호 | 비공개 | 정보통신망법 제29조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2020-04-014
2020-01-22 | 제2020-04-013호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-013
2020-01-22 | 제2020-04-012호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-012
2020-01-22 | 제2020-04-011호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 23000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-011
2020-01-22 | 제2020-04-010호 | 비공개 | 정보통신망법 제23조; 정보통신망법 제23조의2; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-010
2020-01-22 | 제2020-04-009호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-009
2020-01-22 | 제2020-04-008호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-008
2020-01-22 | 제2020-04-007호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-007
2020-01-22 | 제2020-04-006호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2020-04-006
2019-11-22 | 제2019-57-304호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-304
2019-11-22 | 제2019-57-303호 | 비공개 | 정보통신망법 제27조의3 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 18000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-303
2019-11-22 | 제2019-57-302호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 1852000000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-302
2019-11-22 | 제2019-57-301호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-301
2019-11-22 | 제2019-57-300호 | 비공개 | 정보통신망법 제23조의2; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-300
2019-11-22 | 제2019-57-299호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-299
2019-11-22 | 제2019-57-298호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-298
2019-11-22 | 제2019-57-297호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-297
2019-11-22 | 제2019-57-296호 | 비공개 | 정보통신망법 제29조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2019-57-296
2019-11-22 | 제2019-57-295호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-295
2019-11-22 | 제2019-57-294호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-57-294
2019-09-06 | 제2019-44-267호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금 | 5000000 | 14000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-44-267
2019-09-06 | 제2019-44-264호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금 | 41100000 | 24000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-44-264
2019-09-06 | 제2019-44-263호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 81200000 | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-44-263
2019-09-06 | 제2019-44-260호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 18900000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-44-260
2019-09-06 | 제2019-44-257호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-44-257
2019-08-23 | 제2019-41-239호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-239
2019-08-23 | 제2019-41-238호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-238
2019-08-23 | 제2019-41-237호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-237
2019-08-23 | 제2019-41-236호 | 비공개 | 정보통신망법 제27조의3 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-236
2019-08-23 | 제2019-41-235호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-235
2019-08-23 | 제2019-41-234호 | 비공개 | 정보통신망법 제27조의3 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-234
2019-08-23 | 제2019-41-233호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-233
2019-08-23 | 제2019-41-232호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-232
2019-08-23 | 제2019-41-231호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-231
2019-08-23 | 제2019-41-230호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-230
2019-08-23 | 제2019-41-229호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 4300000 | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-229
2019-08-23 | 제2019-41-228호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-228
2019-08-23 | 제2019-41-227호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-227
2019-08-23 | 제2019-41-226호 | 비공개 | 정보통신망법 제27조의3 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-226
2019-08-23 | 제2019-41-225호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-225
2019-08-23 | 제2019-41-224호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-224
2019-08-23 | 제2019-41-223호 | 비공개 | 정보통신망법 제27조; 정보통신망법 제27조의3; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 18000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-223
2019-08-23 | 제2019-41-222호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-222
2019-08-23 | 제2019-41-221호 | 비공개 | 정보통신망법 제27조의3 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 14000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-221
2019-08-23 | 제2019-41-220호 | 비공개 | 정보통신망법 제27조의3; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 18000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-220
2019-08-23 | 제2019-41-219호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-219
2019-08-23 | 제2019-41-218호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-218
2019-08-23 | 제2019-41-217호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-217
2019-08-23 | 제2019-41-216호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-216
2019-08-23 | 제2019-41-215호 | 비공개 | 정보통신망법 제27조의3 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-215
2019-08-23 | 제2019-41-214호 | 비공개 | 정보통신망법 제27조의3 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-214
2019-08-23 | 제2019-41-213호 | 비공개 | 정보통신망법 제27조; 정보통신망법 제27조의3; 정보통신망법 제28조 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-213
2019-08-23 | 제2019-41-212호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-212
2019-08-23 | 제2019-41-210호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-210
2019-08-23 | 제2019-41-209호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금 | 4800000 | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-209
2019-08-23 | 제2019-41-208호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-208
2019-08-23 | 제2019-41-207호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 5400000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-207
2019-08-23 | 제2019-41-206호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-206
2019-08-23 | 제2019-41-205호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-205
2019-08-23 | 제2019-41-203호 | 비공개 | 정보통신망법 제27조의3; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-203
2019-08-23 | 제2019-41-202호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 23000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-202
2019-08-23 | 제2019-41-201호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-201
2019-08-23 | 제2019-41-199호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료,과징금 | 9500000 | 38000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-199
2019-08-23 | 제2019-41-198호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-198
2019-08-23 | 제2019-41-197호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 71100000 | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-197
2019-08-23 | 제2019-41-196호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-196
2019-08-23 | 제2019-41-195호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-195
2019-08-23 | 제2019-41-194호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-194
2019-08-23 | 제2019-41-193호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-193
2019-08-23 | 제2019-41-192호 | 비공개 | 정보통신망법 제28조; 정보통신망법 제29조 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-192
2019-08-23 | 제2019-41-191호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-191
2019-08-23 | 제2019-41-190호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-190
2019-08-23 | 제2019-41-189호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-189
2019-08-23 | 제2019-41-188호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-188
2019-08-23 | 제2019-41-187호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 35000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-187
2019-08-23 | 제2019-41-186호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-186
2019-08-23 | 제2019-41-184호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-184
2019-08-23 | 제2019-41-183호 | 비공개 | 정보통신망법 제27조의3 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-183
2019-08-23 | 제2019-41-182호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 9000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-182
2019-08-23 | 제2019-41-181호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 7300000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-181
2019-08-23 | 제2019-41-180호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 23000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-180
2019-08-23 | 제2019-41-179호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-179
2019-08-23 | 제2019-41-178호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-178
2019-08-23 | 제2019-41-177호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-177
2019-08-23 | 제2019-41-176호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 53800000 | 28000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-176
2019-08-23 | 제2019-41-175호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-175
2019-08-23 | 제2019-41-174호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 23000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-174
2019-08-23 | 제2019-41-173호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 9000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-173
2019-08-23 | 제2019-41-172호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-172
2019-08-23 | 제2019-41-170호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 7000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-170
2019-08-23 | 제2019-41-169호 | 비공개 | 정보통신망법 제27조의3 제1항 | 시정명령,과태료 | - | 23000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-169
2019-08-23 | 제2019-41-168호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금 | 13400000 | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-168
2019-08-23 | 제2019-41-167호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 33000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-167
2019-08-23 | 제2019-41-166호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과징금 | 14200000 | - | https://datalaw.kr/sanctions/kmcc/#k-2019-41-166
2019-08-23 | 제2019-41-165호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-165
2019-08-23 | 제2019-41-164호 | 비공개 | 정보통신망법 제27조의3; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-164
2019-08-23 | 제2019-41-163호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-163
2019-08-23 | 제2019-41-162호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 13000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-41-162
2019-06-12 | 제2019-28-118호 | 비공개 | 위치정보법 제19조 제1항; 정보통신망법 제25조 제2항; 정보통신망법 제30조 제6항 | 시정명령,과태료,과징금 | 1900000 | 14200000 | https://datalaw.kr/sanctions/kmcc/#k-2019-28-118
2019-06-12 | 제2019-28-117호 | 비공개 | 위치정보법 제24조 제2항; 정보통신망법 제25조 제2항; 정보통신망법 제30조 제6항 | 시정명령,과태료,과징금 | 21900000 | 14200000 | https://datalaw.kr/sanctions/kmcc/#k-2019-28-117
2019-06-12 | 제2019-28-116호 | 비공개 | 정보통신망법 제22조 제1항; 정보통신망법 제30조 제6항 | 시정명령,과태료,과징금,공표 | 900000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-28-116
2019-01-29 | 제2019-05-024호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-024
2019-01-29 | 제2019-05-023호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-023
2019-01-29 | 제2019-05-022호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제30조 제6항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-022
2019-01-29 | 제2019-05-021호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-021
2019-01-29 | 제2019-05-020호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-020
2019-01-29 | 제2019-05-019호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 7000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-019
2019-01-29 | 제2019-05-018호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-018
2019-01-29 | 제2019-05-017호 | 비공개 | 정보통신망법 제30조 제6항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-017
2019-01-29 | 제2019-05-016호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 7000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-016
2019-01-29 | 제2019-05-015호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제30조 | 시정명령,과태료 | - | 14000000 | https://datalaw.kr/sanctions/kmcc/#k-2019-05-015
2018-12-19 | 제2018-71-585호 | 비공개 | 정보통신망법 제24조; 정보통신망법 제25조 제3항; 정보통신망법 제67조 제2항 | 시정명령,과태료,과징금 | 62000000 | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-71-585
2018-11-28 | 제2018-67-566호 | 비공개 | 정보통신망법 제29조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2018-67-566
2018-11-28 | 제2018-67-565호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-67-565
2018-11-28 | 제2018-67-564호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-67-564
2018-11-28 | 제2018-67-563호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 7000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-67-563
2018-11-28 | 제2018-67-562호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-67-562
2018-11-28 | 제2018-67-560호 | 비공개 | 정보통신망법 제29조 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2018-67-560
2018-11-28 | 제2018-67-559호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-67-559
2018-11-28 | 제2018-67-558호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 7000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-67-558
2018-11-28 | 제2018-67-557호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-67-557
2018-11-26 | 제2018-67-561호 | 비공개 | 정보통신망법 제29조 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2018-67-561
2018-09-04 | 제2018-47-444호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 283000000 | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-444
2018-09-04 | 제2018-47-443호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-443
2018-09-04 | 제2018-47-442호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 14000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-442
2018-09-04 | 제2018-47-441호 | 비공개 | 정보통신망법 제23조; 정보통신망법 제23조의2 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-441
2018-09-04 | 제2018-47-440호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 8000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-440
2018-09-04 | 제2018-47-439호 | 비공개 | 정보통신망법 제23조; 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-439
2018-09-04 | 제2018-47-438호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제63조 제2항 | 시정명령,과태료 | - | 17800000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-438
2018-09-04 | 제2018-47-437호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-437
2018-09-04 | 제2018-47-436호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-436
2018-09-04 | 제2018-47-435호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-435
2018-09-04 | 제2018-47-434호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-434
2018-09-04 | 제2018-47-433호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-433
2018-09-04 | 제2018-47-432호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-432
2018-09-04 | 제2018-47-431호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-431
2018-09-04 | 제2018-47-430호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-430
2018-09-04 | 제2018-47-429호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-47-429
2018-09-04 | 제2018-47-428호 | 비공개 | 정보통신망법 제29조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2018-47-428
2018-07-11 | 제2018-35-391호 | 비공개 | 정보통신망법 제23조; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-391
2018-07-11 | 제2018-35-390호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-390
2018-07-11 | 제2018-35-389호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-389
2018-07-11 | 제2018-35-388호 | 비공개 | 정보통신망법 제28조 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-388
2018-07-11 | 제2018-35-387호 | 비공개 | 정보통신망법 제27조; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 35000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-387
2018-07-11 | 제2018-35-386호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-386
2018-07-11 | 제2018-35-385호 | 비공개 | 정보통신망법 제27조의3 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 35000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-385
2018-07-11 | 제2018-35-384호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-384
2018-07-11 | 제2018-35-383호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-35-383
2018-07-11 | 제2018-35-382호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제64조 제3항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2018-35-382
2018-05-30 | 제2018-26-351호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-351
2018-05-30 | 제2018-26-350호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-350
2018-05-30 | 제2018-26-349호 | 비공개 | 정보통신망법 제27조의3 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-349
2018-05-30 | 제2018-26-348호 | 비공개 | 정보통신망법 제27조의3 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-348
2018-05-30 | 제2018-26-347호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-347
2018-05-30 | 제2018-26-346호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-346
2018-05-30 | 제2018-26-345호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-345
2018-05-30 | 제2018-26-344호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-26-344
2018-03-28 | 제2018-14-100호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 112000000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-14-100
2018-02-21 | 제2018-09-064호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-064
2018-02-21 | 제2018-09-063호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-063
2018-02-21 | 제2018-09-062호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-062
2018-02-21 | 제2018-09-061호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-061
2018-02-21 | 제2018-09-060호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-060
2018-02-21 | 제2018-09-059호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-059
2018-02-21 | 제2018-09-058호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-058
2018-02-21 | 제2018-09-057호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-057
2018-02-21 | 제2018-09-056호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-056
2018-02-21 | 제2018-09-055호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-055
2018-02-21 | 제2018-09-054호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-054
2018-02-21 | 제2018-09-053호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-09-053
2018-01-24 | 제2018-05-024호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-024
2018-01-24 | 제2018-05-023호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-023
2018-01-24 | 제2018-05-022호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제63조 제2항 | 시정명령,과태료 | - | 21000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-022
2018-01-24 | 제2018-05-021호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-021
2018-01-24 | 제2018-05-020호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-020
2018-01-24 | 제2018-05-019호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-019
2018-01-24 | 제2018-05-018호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-018
2018-01-24 | 제2018-05-017호 | 비공개 | 정보통신망법 제30조 제6항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2018-05-017
2017-12-21 | 제2017-48-314호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-314
2017-12-21 | 제2017-48-313호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-313
2017-12-21 | 제2017-48-312호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-312
2017-12-21 | 제2017-48-311호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-311
2017-12-21 | 제2017-48-310호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-310
2017-12-21 | 제2017-48-309호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-309
2017-12-21 | 제2017-48-308호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-308
2017-12-21 | 제2017-48-307호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-307
2017-12-21 | 제2017-48-306호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-306
2017-12-21 | 제2017-48-305호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-305
2017-12-21 | 제2017-48-304호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-304
2017-12-21 | 제2017-48-303호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-303
2017-12-21 | 제2017-48-302호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-302
2017-12-21 | 제2017-48-301호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-301
2017-12-21 | 제2017-48-300호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-300
2017-12-21 | 제2017-48-299호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-299
2017-12-21 | 제2017-48-298호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-298
2017-12-21 | 제2017-48-297호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-297
2017-12-21 | 제2017-48-296호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-296
2017-12-21 | 제2017-48-295호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-295
2017-12-21 | 제2017-48-294호 | 비공개 | 정보통신망법 제29조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2017-48-294
2017-12-21 | 제2017-48-293호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-293
2017-12-21 | 제2017-48-292호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-292
2017-12-21 | 제2017-48-291호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-48-291
2017-12-12 | 제2017-45-276호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,공표 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-276
2017-12-12 | 제2017-45-275호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-275
2017-12-12 | 제2017-45-274호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-274
2017-12-12 | 제2017-45-273호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-273
2017-12-12 | 제2017-45-272호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-272
2017-12-12 | 제2017-45-271호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-271
2017-12-12 | 제2017-45-270호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-270
2017-12-12 | 제2017-45-269호 | 비공개 | 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-45-269
2017-10-12 | 제2017-36-224호 | 비공개 | 정보통신망법 제29조 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-224
2017-10-12 | 제2017-36-223호 | 비공개 | 정보통신망법 제26조 제1항 | 시정명령,과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-223
2017-10-12 | 제2017-36-222호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-222
2017-10-12 | 제2017-36-221호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-221
2017-10-12 | 제2017-36-220호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-220
2017-10-12 | 제2017-36-219호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-219
2017-10-12 | 제2017-36-218호 | 비공개 | 정보통신망법 제27조의3 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-218
2017-10-12 | 제2017-36-217호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-217
2017-10-12 | 제2017-36-216호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-216
2017-10-12 | 제2017-36-215호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-36-215
2017-09-08 | 제2017-30-162호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제2항 | 시정명령,과태료,공표 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-30-162
2017-08-08 | 제2017-22-132호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2017-22-132
2017-08-08 | 제2017-22-131호 | 비공개 | 위치정보법 제15조 제1항 | 과태료 | - | 3000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-22-131
2017-08-08 | 제2017-22-130호 | 비공개 | 정보통신망법 제23조의2 제1항; 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-22-130
2017-08-08 | 제2017-22-129호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2017-22-129
2017-08-08 | 제2017-22-128호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-22-128
2017-08-08 | 제2017-22-127호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-22-127
2017-08-08 | 제2017-22-126호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-22-126
2017-08-08 | 제2017-22-125호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 15000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-22-125
2017-07-04 | 제2017-33-377호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료,과징금,공표 | 219000000 | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-33-377
2017-03-15 | 제2017-13-079호 | 비공개 | 정보통신망법 제23조 제3항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2017-13-079
2017-03-15 | 제2017-13-078호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-078
2017-03-15 | 제2017-13-077호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-077
2017-03-15 | 제2017-13-076호 | 비공개 | 정보통신망법 제28조 제1항; 정보통신망법 제29조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-076
2017-03-15 | 제2017-13-075호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-075
2017-03-15 | 제2017-13-074호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-074
2017-03-15 | 제2017-13-073호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-073
2017-03-15 | 제2017-13-072호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-072
2017-03-15 | 제2017-13-071호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-13-071
2017-02-07 | 제2017-05-035호 | 비공개 | 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-05-035
2017-02-07 | 제2017-05-034호 | 비공개 | 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-05-034
2017-02-07 | 제2017-05-033호 | 비공개 | 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-05-033
2017-02-07 | 제2017-05-032호 | 비공개 | 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-05-032
2017-02-07 | 제2017-05-031호 | 비공개 | 정보통신망법 제29조 제2항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-05-031
2017-01-26 | 제2017-04-030호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령 | - | - | https://datalaw.kr/sanctions/kmcc/#k-2017-04-030
2017-01-26 | 제2017-04-029호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-04-029
2017-01-26 | 제2017-04-028호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 5000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-04-028
2017-01-26 | 제2017-04-027호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-04-027
2017-01-26 | 제2017-04-026호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-04-026
2017-01-26 | 제2017-04-025호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 21000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-04-025
2017-01-26 | 제2017-04-024호 | 비공개 | 정보통신망법 제28조 제1항 | 시정명령,과태료 | - | 25000000 | https://datalaw.kr/sanctions/kmcc/#k-2017-04-024
2008-12-30 | 제2008-48-260호 | (주)엘지텔레콤 | 정보통신망법 제24조; 정보통신망법 제25조; 정보통신망법 제28조; 정보통신망법 제29조; 정보통신망법 제30조; 정보통신망법 제55조; 정보통신망법 제62조; 정보통신망법 제64조 | 시정명령,과태료 | - | 50000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-48-260
2008-12-30 | 제2008-48-259호 | (주)케이티프리텔 | 정보통신망법 제24조; 정보통신망법 제25조; 정보통신망법 제30조; 정보통신망법 제31조; 정보통신망법 제64조 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-48-259
2008-12-30 | 제2008-48-258호 | 에스케이텔레콤(주) | 정보통신망법 제24조; 정보통신망법 제25조; 정보통신망법 제27조의2; 정보통신망법 제29조; 정보통신망법 제30조; 정보통신망법 제31조; 정보통신망법 제55조; 정보통신망법 제62조; 정보통신망법 제64조 | 시정명령,과태료 | - | 50000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-48-258
2008-11-14 | 제2008-37-168호 | 야후코리아(유) | 정보통신망법 제28조; 정보통신망법 제31조 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-37-168
2008-11-14 | 제2008-37-167호 | SK커뮤니케이션즈(주) | 정보통신망법 제76조 | 시정명령,과태료 | - | 20000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-37-167
2008-11-14 | 제2008-37-165~166호 | (주)다음커뮤니케이션 | 정보통신망법 제25조 제1항; 정보통신망법 제28조; 정보통신망법 제31조 제1항 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-37-165166
2008-11-14 | 제2008-37-164호 | NHN(주) | 정보통신망법 제28조; 정보통신망법 제29조; 정보통신망법 제31조 제1항 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-37-164
2008-11-14 | 제2008-37-162호 | (주)큐릭스 | 정보통신망법 제25조 제1항; 정보통신망법 제28조; 정보통신망법 제29조; 정보통신망법 제55조; 정보통신망법 제64조 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-37-162
2008-11-14 | 제2008-37-160호 | (주)씨앤앰 | 정보통신망법 제76조 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-37-160
2008-11-14 | 제2008-37-158호 | (주)씨제이헬로비전 | 정보통신망법 제28조 | 시정명령,과징금 | 10000000 | - | https://datalaw.kr/sanctions/kmcc/#k-2008-37-158
2008-11-14 | 제2008-37-156호 | (주)티브로드한빛방송 | 정보통신망법 제76조 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-37-156
2008-08-25 | 제2008-27-115호 | (주)LG파워콤 | 정보통신망법 제22조; 정보통신망법 제24조; 정보통신망법 제25조 제1항; 정보통신망법 제26조의2; 정보통신망법 제28조; 정보통신망법 제29조; 정보통신망법 제30조 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-27-115
2008-08-25 | 제2008-27-113호 | (주)KT | 정보통신망법 제24조; 정보통신망법 제25조; 정보통신망법 제30조 제3항 | 시정명령,과태료 | - | 10000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-27-113
2008-06-24 | 제2008-15-041호 | 하나로텔레콤(주) | 정보통신망법 제22조; 정보통신망법 제24조; 정보통신망법 제25조 제1항; 정보통신망법 제26조의2; 정보통신망법 제28조; 정보통신망법 제29조; 정보통신망법 제30조 | 시정명령,과태료 | - | 30000000 | https://datalaw.kr/sanctions/kmcc/#k-2008-15-041