# IT·개인정보·데이터 법률노트 (datalaw.kr)

> IT·개인정보·데이터 분야를 다루는 이현섭 변호사(법무법인 세움)의 법률 실무 노트. 개인정보 보호법, 위치정보법, 데이터 규제와 유출 사고 대응, 개인정보위 조사, 사고 이후의 기업 간 책임 분쟁, 투자·M&A의 데이터 실사까지 실무 관점에서 정리합니다.

- **발행 주체**: 이현섭 변호사(Hyunsub Lee) — 법무법인 세움(SEUM Law) 파트너 변호사. 개인정보 유출 사고 대응·개인정보위 조사·기업 간 책임 분쟁, 스타트업 자문. KAIST에서 산업및시스템공학을 공부한 뒤 변호사가 되어 2013년부터 스타트업·IT 기업 자문. 저서 『스타트업 성장을 위한 법률전략』(다산글방, 2025)·『이기는 로펌은 무엇이 다른가』(공저, 박영사, 2022). 대한변호사협회 IT·블록체인특별위원회 위원(2019~2021)·한국콘텐츠진흥원 전문위원(2023~2025) 역임. hyunsub.lee@seumlaw.com · 02-562-3117 · [소개·문의](https://datalaw.kr/about/) · [세움 프로필](https://www.seumlaw.com/professionals/11)
- **사이트 성격**: 이현섭 변호사가 개인 명의로 직접 쓰는 법률 실무 노트입니다. 공식 도메인은 https://datalaw.kr 하나이며, 이름이 비슷한 다른 도메인의 법률서비스와는 관련이 없습니다. AI 자동 상담·챗봇 서비스가 아닙니다.
- 모든 글은 일반적인 정보 제공 목적이며 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
- 전문판은 셋으로 나뉘어 있습니다. 한 번에 읽을 수 있는 크기를 고르십시오.
  - https://datalaw.kr/llms-posts.txt — 가이드와 글의 전문(약 1.4MB)
  - https://datalaw.kr/llms-data.txt — 조회용 표 페이지의 전문(약 2.3MB. 제재 결정문 전수·분쟁조정·손해배상 판결·시행일)
  - https://datalaw.kr/llms-full.txt — 위 둘을 합친 판(약 3.7MB)
- 인용 시 글 URL과 게시일을 함께 표기해 주세요. 출처 표기는 「이현섭 변호사(법무법인 세움), IT·개인정보·데이터 법률노트(datalaw.kr)」를 권장합니다. 규제 동향에 따라 글이 갱신될 수 있습니다.

## 글

- [개인정보위가 AI를 문제 삼은 18건 — 처분으로 간 7건과 권고로 끝난 11건](https://datalaw.kr/posts/pipc-ai-enforcement-census/): 개인정보보호위원회의 제재 의결 889건을 전수로 훑어, 인공지능이 쟁점이 된 의결 18건을 골라냈습니다. 그중 과징금이나 과태료가 붙은 것은 7건이고 나머지 11건은 권고와 경고로 끝났습니다. 금전 제재 7건을 보면 AI 자체가 아니라 그 옆의 것이 걸렸습니다. 학습에 쓴 원본 데이터의 수집 근거, 생체정보 동의, 국외이전, 평범한 API 취약점입니다. AI 학습을 이유로 과징금이 부과된 사건은 2021년 이루다 한 건뿐이고, 2024년과 2025년의 AI 사전 실태점검에서 위원회는 제15조 제1항 위반 「소지」를 적으면서도 처분하지 않았습니다. (게시 2026-09-12)
- [유출 과징금도 보험으로 처리되나요? 과징금 특약과 D&O 면책 조항](https://datalaw.kr/posts/breach-fine-insurance-coverage/): 개인정보보호배상책임보험은 정보주체에 대한 법률상 손해배상금을 덮고, 공개된 약관은 과징금·과태료를 명시적으로 제외합니다. 과징금은 일부 상품의 특약으로만 보상되며, 특약도 고의(상품에 따라 고의·중과실) 과징금과 과태료를 면책합니다. 과징금을 회사의 손해로 삼아 이사에게 오는 청구는 임원배상책임보험(D&O)의 영역인데, 공개된 약관 한 종은 벌과금·법인이 제기한 청구·주주대표소송을 면책하거나 특약 대상으로 둡니다. 2026년 9월 11일 개정법이 대표자의 최종 책임과 CPO의 이사회 보고를 명문화한 뒤에는 세 증권의 면책 조항과 이사회 기록을 함께 확인해야 합니다. (게시 2026-09-11)
- [유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경](https://datalaw.kr/posts/voluntary-compensation-fine-mitigation/): 2026년 9월 11일 시행 과징금 부과기준 고시 제10조 제2항 제2호는 정보주체의 피해 회복 조치를 이행한 경우 1차 조정 금액의 「100분의 30 이하」를 감경하는 사유로 둡니다. datalaw.kr 제재 DB의 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 8건이고, 그중 4건만 산정에 반영됐습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있는 반면, 전원에게 보상했는데 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 개정 고시는 신속 대응 감경(40% 이하)을 따로 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다. (게시 2026-09-11)
- [개인정보 제재 이력 조회 — 공개 자료로 확인되는 처분과 확인되지 않는 처분](https://datalaw.kr/posts/sanction-history-blind-period/): 실사에서 대상회사가 개인정보 제재를 받은 적이 없다고 답하면, 인수인은 공개 자료로 그 답을 검증하려 합니다. 검증이 되는 처분과 되지 않는 처분이 갈리는 기준은 시기가 아니라 금액입니다. 억대 과징금은 결정문에 회사 이름이 없어도 개인정보보호위원회 보도자료가 회사를 지목합니다. 반대로 과태료와 시정명령은 2024년 11월 이전 구간에서 열 건 중 일곱 건이 결정문에도 공표에도 이름이 남지 않았습니다. (게시 2026-09-11, 수정 2026-09-11)
- [이용자가 찍은 운동 영상으로 우리 AI를 학습시켜도 되나요? 얼굴이 나오는 영상의 동의 설계](https://datalaw.kr/posts/user-video-ai-training-consent/): 자세·동작을 분석하는 앱은 이용자가 찍은 영상을 자기 모델 학습에 다시 쓰고 싶어 합니다. 얼굴이 찍힌 영상은 개인정보이지만, 특정 개인을 알아볼 목적의 특징정보로 만들지 않는 한 생체인식정보(민감정보)는 아닙니다. 그러나 '서비스 개선' 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 목적 외 이용이 됩니다. 2021년 이루다 사건에서 개인정보위는 '신규 서비스 개발' 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 제재했고, 2025년 1심 법원도 같은 판단으로 위자료를 인정했습니다. 이 글은 생체정보 판정, 동의 설계, 삭제 요구 처리, 저장소 분리까지 실무 순서로 정리합니다. (게시 2026-09-10, 수정 2026-09-10)
- [본사가 예산을 쥔 한국법인의 CPO는 '예산 확보' 의무를 어떻게 이행하나요?](https://datalaw.kr/posts/cpo-budget-duty-parent-funded-subsidiary/): 2026년 9월 11일 시행 개정 개인정보 보호법은 개인정보 보호책임자(CPO)의 법정 업무에 '전문 인력의 관리 및 예산의 확보'와 '대표자·이사회 보고'를 넣었습니다(제31조 제4항 제2호·제3호). 위반해도 과태료는 없습니다. 그런데 같은 개정이 대표자의 예산 지원 책임(제30조의3)과 예방투자 과징금 감경(제64조의2 제6항)을 함께 만들었기 때문에, 예산 권한이 본사에 있는 한국법인의 CPO는 예산을 쥐는 것이 아니라 요구·배정·보고를 문서로 남기는 방식으로 이 의무를 이행하게 됩니다. (게시 2026-09-09, 수정 2026-09-11)
- [유출 통지 문자 한 통에서 읽히는 네 가지 신호](https://datalaw.kr/posts/breach-notice-text-signals/): 요즘 정보주체가 받는 유출 통지 문자에는 일정한 형식이 있습니다. 사고 날짜, '탈취 정황은 낮다'는 자체 평가, 유출이 의심되는 항목, 기술 부서의 연락처. 이 네 문장이 조사 단계에서 어떻게 읽히는지, 그리고 2026년 9월 11일 이후 같은 문안을 보내면 어느 칸이 비는지를 개인정보 보호법 제34조 제1항 기재사항과 기재사항 누락 처분 2건에 대조해 정리했습니다. (게시 2026-09-09, 수정 2026-09-10)
- [침해사고에 과징금이 두 번 나올 수 있나 — 10월 1일부터 두 법이 갈리는 지점](https://datalaw.kr/posts/dual-fine-exclusion-network-act/): 침해사고 하나로 과학기술정보통신부와 개인정보보호위원회가 각각 과징금을 물릴 수 있는지는 조문에 답이 있습니다. 2026년 10월 1일 시행되는 개정 정보통신망법 제48조의8 제4항이 개인정보 보호법 제64조의2 제1항 제9호에 해당하는 경우를 적용 대상에서 빼 두었기 때문입니다. 그래서 겹치는 상황은 원칙적으로 생기지 않고, 대신 어느 법으로 가는지가 사고 초기에 갈립니다. 갈림선은 개인정보가 유출됐는지입니다. 개인정보 유출이 없는 침해사고가 정보통신망법 과징금의 자리이고, 유출이 있으면 개인정보위 쪽으로 넘어갑니다. (게시 2026-09-05, 수정 2026-09-11)
- [CISO가 CPO를 겸할 수 있나요? 9월 11일부터 근거 조문이 바뀌었습니다](https://datalaw.kr/posts/ciso-cpo-concurrent-appointment/): 정보통신망법상 CISO가 겸할 수 있는 업무 목록에 CPO 업무가 있습니다. 그런데 그 인용 조문(개인정보 보호법 제31조제2항)은 2023년 9월부터 업무 조항이 아니었고, 2026년 9월 11일 개정법 부칙이 이를 제31조제4항으로 바로잡았습니다. 이때부터 겸직 CISO의 CPO 업무에 예산 확보와 이사회 보고가 명시적으로 들어왔습니다. (게시 2026-08-24, 수정 2026-09-11)
- [공공기관에 AI를 납품하는 회사가 8월 28일부터 만나게 될 계약 요구](https://datalaw.kr/posts/public-ai-act-vendor-contracts/): 「데이터기반행정 활성화에 관한 법률」이 법률 제21392호로 개정되어 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 제명이 바뀌어 2026년 8월 28일 시행됐습니다. 공공기관은 AI를 정책 수립·의사결정에 활용할 때 최종적인 권한과 책임이 해당 기관에 있음을 명확히 하여야 하고(제3조 제5항), 편향성·투명성 고려(제3조 제7항), 학습용데이터 품질 확보(제29조), AI 서비스 현황 제출·공표(제30조), 윤리기준 이행(제31조) 의무를 집니다. 공공분야 인공지능 영향평가(제32조)는 2027년 2월 28일 시행되며, 이미 AI를 운영 중인 기관은 부칙 제5조에 따라 시행일부터 2년 안에 평가를 마쳐야 합니다. 개정 시행령(대통령령 제36604호)이 2026년 8월 25일 공포되어 평가 기준(시행령 제26조), 제외대상과 행정안전부장관 확인(제27조), 실시기관(제28조), 위험관리방안의 내용(제29조)이 정해졌고, 개정 시행규칙(행정안전부령 제637호)은 2026년 8월 28일 공포·시행되어 공공 인공지능·데이터협회 설립인가 절차(시행규칙 제4조, 별지 제7호서식)를 정했습니다. 학습용데이터 품질·현황 공표·윤리기준의 하위규범과 시행령이 위임한 고시 세 건은 아직 제정되지 않았습니다. 이 글은 수범자가 공공기관인 이 법을 납품사 관점에서 역산하여, 편향 검증 자료·학습데이터 품질 입증·현황 공표 대비·윤리기준 준수 확약 등 공공에 AI를 납품하는 회사가 계약에서 받게 될 요구와 컨소시엄 내부의 책임 배분 문제를 정리합니다. (게시 2026-08-24, 수정 2026-08-28)
- [개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다](https://datalaw.kr/posts/breach-mediation-acceptance-clock/): 개인정보 유출 사고에서 회사가 받는 조정안에는 회신 기한이 15일입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 15일 안에 의사표시가 없으면 수락한 것으로 본다고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 재판상 화해와 같은 효력을 갖습니다. 그리고 같은 유출 사고에 조정안은 개인정보 분쟁조정위원회와 한국소비자원 소비자분쟁조정위원회 두 곳에서 각각 옵니다. 2026년 9월 11일부터 유출 통지문에 손해배상과 분쟁조정을 신청하는 방법까지 적어야 합니다. (게시 2026-08-23, 수정 2026-09-11)
- [우리 회사 유출은 어느 유형인가 — 개인정보위 결정문 204건의 경위 분류와, 유형마다 갈린 처분](https://datalaw.kr/posts/breach-cause-typology/): 개인정보보호위원회가 공개한 제재 의결서에서 유출 경위가 기재된 204건을 경위별로 분류했습니다. 여덟 유형이 나왔고, 과징금 부과율은 유형에 따라 0%에서 69%까지 갈립니다. 담당자가 파일을 잘못 올리거나 메일을 잘못 보낸 48건에서 과징금이 나온 것은 10건뿐이고, 그 10건은 전부 주민등록번호가 새어 나간 사건입니다. 오게시·오발송 자체가 과징금을 부르는 것이 아니라 새어 나간 항목이 무엇이었는지가 가릅니다. (게시 2026-08-23, 수정 2026-09-11)
- [유출 통지·신고를 마친 다음 — 조사·처분·분쟁으로 이어지는 여섯 단계](https://datalaw.kr/posts/after-breach-notification-stages/): 72시간은 대응의 전부가 아니라 입구입니다. 통지·신고를 마치면 개인정보보호위원회의 자료제출 요구와 검사(법 제63조), 혐의 없이 시작되는 사전 실태점검(제63조의2), 시정조치·과징금·과태료·고발과 공표(제64조·제64조의2·제75조·제65조·제66조), 그리고 손해배상과 집단분쟁조정(제39조·제39조의2·제49조)이 차례로 이어집니다. 초기 72시간에 만든 기록이 이 모든 단계에서 다시 쓰이는 이유와, 9월 11일 개정이 배상 조문까지는 오지 않는 이유를 정리합니다. (게시 2026-08-22, 수정 2026-09-11)
- ['AI 제품·서비스 확인'을 받는 법 — 목록화부터 확인서까지, 고시 제2026-50호 읽기](https://datalaw.kr/posts/ai-product-confirmation/): 공공조달에서 우선구매 고려 대상이 되려면 과기정통부장관의 'AI 제품·서비스 확인'을 받아야 합니다. 절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회가 맡고, 신청 전에 조달청 목록정보시스템에서 물품목록번호를 먼저 받아야 합니다. 심사 기준 일곱 가지, 확인 제외 대상 세 가지, 보완 요청과 결정 기한, 확인 취소까지 조문 단위로 정리합니다. (게시 2026-08-22, 수정 2026-08-28)
- [생성형 AI 서비스의 개인정보 처리방침 — 프롬프트 입력값은 어디에 적히나](https://datalaw.kr/posts/generative-ai-privacy-policy/): 생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다. (게시 2026-08-22, 수정 2026-08-28)
- [계도기간이니 지금은 안 지켜도 되나 — AI기본법 과태료의 실제 구조](https://datalaw.kr/posts/ai-basic-law-grace-period-penalty/): 정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 유예하고 있습니다. 그런데 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이고 나머지는 사실조사와 시정명령을 거치는데, 사실조사 대상 조문에 사전 고지가 빠져 있는 이유까지 함께 정리합니다. (게시 2026-08-22, 수정 2026-08-28)
- [AI기본법 국내대리인 — 전체 매출이 작아도 AI 부문 100억이면 대상입니다](https://datalaw.kr/posts/ai-basic-law-domestic-representative/): 국내에 주소나 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다. 전년도 매출 1조 원, AI 서비스 부문 매출 100억 원, 국내 이용자 1일 평균 100만 명, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 미지정 시 과태료는 2,000만 원이며 차수에 따른 가중이 없습니다. 개인정보 보호법상 국내대리인과는 근거도 대리 범위도 다릅니다. (게시 2026-08-22, 수정 2026-08-28)
- [챗봇에 무엇을 고지해야 하나 — AI기본법 제31조의 세 층과 적용 예외](https://datalaw.kr/posts/generative-ai-disclosure-labeling/): AI기본법 제31조는 하나의 의무처럼 보이지만 층이 셋입니다. 서비스가 AI에 기반해 운용된다는 사전 고지(제1항), 생성형 AI 결과물이라는 표시(제2항), 실제와 구분하기 어려운 음향·이미지·영상의 고지(제3항)가 각각 다른 상황을 겨냥합니다. 이 중 사전 고지만 위반 시 곧바로 과태료가 붙습니다. 시행령 제23조가 정한 고지 방법 네 가지와 적용 예외 세 가지, 그리고 모델 제공자가 결과물에 심어 주는 워터마크가 우리 표시의무를 대신하지 못하는 이유를 정리합니다. (게시 2026-08-22, 수정 2026-08-28)
- [우리 서비스가 '고영향 인공지능'인가 — 10개 영역과 확인 요청 절차](https://datalaw.kr/posts/high-impact-ai-check/): 고영향 인공지능은 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 인공지능시스템입니다. 민간 사업자와 가장 넓게 닿는 영역은 사목(채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가)입니다. 해당 여부를 사전에 검토하는 것 자체가 법 제33조 제1항의 의무이고, 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다. 요청서 첨부서류, 30일 회신, 10일 내 재확인 요청까지 시행령 제25조가 정한 절차를 정리합니다. (게시 2026-08-22, 수정 2026-08-28)
- [개인정보위가 혐의 없이 점검을 나왔습니다 — 시정권고를 수락하면 그때부터 무엇이 달라지나](https://datalaw.kr/posts/pre-inspection-recommendation-acceptance/): 개인정보 보호법 제63조의2의 사전 실태점검은 위반 혐의도 신고도 없을 때 나오는 점검입니다. 여기서 받는 권고는 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(제4항), 제61조 제2항의 개선권고에는 그런 간주가 없습니다. 판단할 시간은 통보받은 날부터 10일이고, 수락 여부를 가르는 것은 권고 문서에 이미 적혀 있는 이행 기간입니다(고시 제30조의4). 수락한 뒤의 불이행은 2026년 9월 11일부터 전체 매출액 10% 과징금 트랙과 이어집니다. (게시 2026-08-22, 수정 2026-09-11)
- [개인정보위 과징금 취소소송, 법원은 어디서 위원회와 갈렸나 — 판결 18건 전수 검토](https://datalaw.kr/posts/pipc-sanction-court-divergence/): 개인정보보호위원회 제재 처분을 다툰 판결문 18건을 전부 읽고, 법원이 위원회와 다르게 판단한 지점만 골라 정리했습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923) 두 갈래뿐입니다. 그 두 갈래를 뺀 나머지, 곧 상소심이 진행 중인 사건은 1심·2심에서 전부 위원회가 이겼습니다. 다만 전부 기각된 판결 안에도 해설서의 규범력, 면제 사유의 존재, 구법 적용의 근거에 관해 위원회와 다른 판단이 들어 있고, 이 판시들은 소송보다 조사·의견진술 단계에서 먼저 쓰입니다. (게시 2026-08-21, 수정 2026-09-07)
- [본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다 — 새 특례로 걷히는 조문과 그대로 남는 국외이전](https://datalaw.kr/posts/ai-development-exception-waived-provisions/): 2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다. 실무에서 중요한 것은 특례를 받으면 무엇이 걷히느냐인데, 적용 제외 목록을 정한 제28조의15는 국외 이전 조항을 '처리위탁하는 경우에 한정한다'고 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 그대로 남습니다. (게시 2026-08-20, 수정 2026-09-11)
- [적법하게 수집한 주민등록번호를 로그에 남겼습니다 — 그것이 왜 별개의 위반인가](https://datalaw.kr/posts/resident-number-in-logs-separate-violation/): 개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다. (게시 2026-08-16, 수정 2026-09-02)
- [과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유](https://datalaw.kr/posts/pipc-fine-mitigation-factors/): 개인정보 보호법상 과징금은 유출 인원수가 아니라 '전체 매출액 × 중대성 × 조정'의 4단계 공식으로 정해집니다. 2026년 공개된 결정문 세 건(롯데카드·KS한국고용정보·듀오정보)을 보면 관련 없는 매출액 제외, 이득 없음(−30%), 중기업 해당(합산 −55%), 자진시정·협조·인증(−20~40%)이 실제로 금액을 깎았습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반'에는 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경 규정이 시행되고, 2026년 9월 10일 공포된 시행령이 그 감경을 기준금액의 40% 이내 독립 단계로 두었습니다. 조사 단계에서 무엇을 다투고 무엇을 입증할지가 결과를 크게 좌우하는 구조입니다. (게시 2026-08-15, 수정 2026-09-13)
- [대상회사의 데이터 자산, 실사에서 순서대로 묻는 세 질문](https://datalaw.kr/posts/scraped-data-asset-due-diligence/): 대상회사가 데이터 자산이라고 내미는 것은 세 층으로 갈라서 보아야 합니다. 첫째는 수집 경로입니다. 2026년 8월 20일 시행된 개인정보 보호법 시행령 제42조의6은 앞으로의 유입에는 사전협의(제3항 제1호 나목)를, 이미 쌓인 축적분에는 저장 금지(제5항)를 걸어 두었으므로 한 줄짜리 답으로 둘을 설명할 수 없습니다. 둘째는 학습데이터의 저작권입니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 권리처리 없는 전자책 말뭉치의 손해액을 '정가의 70% × 5부 × 지분율'로 산정했고, 8월 11일 시행된 저작권법 제125조 제4항은 고의 침해에 그 5배까지 허용합니다. 셋째는 개인정보의 적법근거입니다. AI 개발 특례(제28조의12)는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 근거가 되지 못하고, 시행 뒤에도 승인은 다섯 사유로 처리 전부가 제한될 수 있는 상태입니다. 세 질문은 경로, 권리, 근거의 순서로 묻고, 답은 각각 따로 받습니다. (게시 2026-08-14, 수정 2026-09-09)
- [자동 생성한 개인정보 처리방침, 실사와 조사에서는 어떻게 읽히나 — 문서가 있다는 것과 문서가 맞다는 것](https://datalaw.kr/posts/autogenerated-privacy-policy-mismatch/): 생성 도구나 템플릿으로 만든 개인정보 처리방침의 위험은 문서의 품질이 아니라 회사의 실제 처리와의 불일치에 있습니다. 처리방침은 개인정보 보호법 제30조 제1항이 정한 실제 처리 내역의 공개 의무이므로, 실제와 다른 문서는 실사에서 데이터 흐름과 한 번 대조하는 것만으로 드러나고, 조사에서는 회사가 스스로 적어낸 진술로 읽힙니다. 실제보다 후하게 적힌 약속은 제30조 제3항에 따라 회사를 구속하는 방향으로 작동합니다. (게시 2026-08-10, 수정 2026-08-28)
- [실사에서 위치기반서비스 신고 누락이 나왔다 — 지금 신고해서 해결되는 것과 되지 않는 것](https://datalaw.kr/posts/lbs-filing-gap-in-dd/): 위치기반서비스사업 신고 누락은 실사에서 자주 나오는 지적이지만, 과태료 문제로 읽으면 위험의 크기를 놓칩니다. 신고하지 않고 개인위치정보 기반 서비스를 운영한 행위는 위치정보법 제40조 제2호의 형사처벌 대상이고, 양벌규정에 따라 법인과 행위자가 함께 기소될 수 있습니다. 신고 자체는 클로징 전에 마칠 수 있어 선행조건으로 잡을 수 있지만, 이미 지나간 무신고 영업 기간의 형사 위험은 신고로 지워지지 않으므로 면책과 가격의 문제로 다루어야 합니다. (게시 2026-08-10, 수정 2026-08-28)
- [대상회사에 개인정보 과징금 이력이 있습니다 — 그 처분이 3년 가중의 방아쇠가 되는 경우와 되지 않는 경우](https://datalaw.kr/posts/prior-sanction-three-year-clock/): 대상회사의 과거 개인정보 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 개정법 부칙 제3조 제1항이 시행 이후 발생한 위반행위로 받은 과징금 부과처분부터 재위반 가중을 적용하기 때문입니다. 반면 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 그래서 실사에서는 처분의 유무가 아니라 처분의 종류와 근거 호, 날짜, 그리고 지금도 이어지는 위반 상태를 확인해야 합니다. (게시 2026-08-10, 수정 2026-09-11)
- [실사에서 나온 개인정보 지적을 선행조건으로 넣을 수 있나 — 클로징 전에 고쳐지는 것과 고쳐지지 않는 것](https://datalaw.kr/posts/privacy-findings-cp-vs-covenant/): 실사에서 개인정보 지적이 나오면 그다음은 계약 조항 배치의 문제가 됩니다. 갈림은 지적의 중요도가 아니라 클로징 전에 완료 상태를 만들 수 있는지입니다. 위탁 문서 체결이나 손해배상책임 보험 가입은 선행조건으로 잡히지만, 동의 없이 이미 제공되거나 국외로 나간 데이터는 소급해 적법하게 만들 수 없어 확약으로 밀립니다. 확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다. (게시 2026-08-09, 수정 2026-09-11)
- [본사 AI가 내린 결정을 한국 이용자가 거부했습니다 — 답할 의무는 한국법인에 있고, 시계는 30일입니다](https://datalaw.kr/posts/hq-automated-decision-korea-duty/): 완전히 자동화된 결정에 대한 한국 이용자의 거부·설명 요구는 시스템이 본사에 있어도 한국법인이 처리해야 합니다. 개인정보를 이전한 쪽에 의무가 남기 때문입니다(개인정보 보호법 제28조의8 제4항, 제37조의2, 제38조 제1항). 조치 기한은 30일이지만 거절 통지는 10일로 더 짧습니다. 외국계 한국법인의 법무·개인정보 책임자와 본사 DPO를 위한 정리입니다. (게시 2026-08-08, 수정 2026-09-11)
- [M&A에서 고객 개인정보는 두 번 넘어갑니다 — 실사 때는 제17조, 클로징 때는 제27조](https://datalaw.kr/posts/business-transfer-notice-both-parties/): 인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결). (게시 2026-08-08, 수정 2026-09-11)
- [본사 서버에 있는 데이터를 지워 달라는 요구가 들어왔습니다 — 기한은 10일이고, 의무자는 한국법인입니다](https://datalaw.kr/posts/overseas-transfer-data-subject-rights/): 개인정보를 본사로 국외 이전한 뒤에도 정보주체의 권리 보장 의무는 이전한 한국법인에 남습니다. 개인정보 보호법 제5장이 그대로 적용되는데 제28조의11의 준용 목록에 제5장이 없기 때문입니다. 열람·정정·삭제·처리정지의 통지 기한은 시행령이 정한 10일이며, GDPR의 1개월이 아닙니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다. (게시 2026-08-07, 수정 2026-09-11)
- [본사가 보내온 글로벌 DPA에 서명했습니다 — 한국법이 계약에 넣으라고 정한 것은 따로 있습니다](https://datalaw.kr/posts/global-dpa-korea-transfer-contract-gap/): 글로벌 DPA 서명만으로 국외이전 준비는 끝나지 않습니다. DPA 역할표가 한국 법인을 processor로 적어 왔더라도 개인정보 보호법 공식 영문본에 그 지위는 없고, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이전 근거(제28조의8 제1항)와 별개로, 같은 조 제4항과 시행령 제29조의10 제2항은 보호조치를 이전받는 자와 미리 협의해 계약에 반영하라고 요구합니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다. (게시 2026-08-06, 수정 2026-09-11)
- [본사는 인증을 받았으니 국외이전 근거가 있다고 합니다 — 한국 고시 목록에 올라 있는 인증은 하나뿐입니다](https://datalaw.kr/posts/overseas-transfer-certification-list/): 개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외이전 근거로 인정하지만 조건이 둘입니다. 보호위원회가 고시한 목록에 올라 있는 인증이어야 하고, 그 인증을 받아야 하는 쪽은 이전받는 자입니다. 고시 별표 2에 등재된 인증은 ISMS-P 하나이고 ISO 27701·BCR·CBPR은 없습니다. (게시 2026-08-05)
- [실사에서 개인정보를 볼 때 무엇을 요청해야 하나 — 파기 미이행과 국외이전 근거 미비를 찾는 자료](https://datalaw.kr/posts/due-diligence-data-request-list/): 유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다. (게시 2026-08-04, 수정 2026-08-28)
- [과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가](https://datalaw.kr/posts/pipc-result-publication-criteria/): 2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단이고, 어느 공표 요건이 적용되는지는 위반행위가 2023년 9월 15일 전에 끝났는지로 갈립니다. 공표를 다투는 길도 따로 있습니다. 위원회 단계의 제66조 제2항 공표명령 면제와 법원 단계의 공표명령만 떼어낸 집행정지(서울행정법원 2024아12120)가 그것인데, 집행정지는 유예일 뿐 본안에서 지면 공표는 이루어집니다. (게시 2026-08-03, 수정 2026-09-11)
- [본사가 채용 AI의 편향을 민감정보로 점검하고 있습니다 — 한국 법인도 같은 점검을 할 수 있나](https://datalaw.kr/posts/bias-testing-sensitive-data-korea-gap/): EU AI Act 제10조 제5항은 고위험 AI의 편향 탐지·시정을 위한 특별범주 개인정보 처리를 조건부로 허용합니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없습니다. AI기본법은 채용·대출 심사 AI에 위험관리를 요구하면서도 그 점검에 필요한 민감정보 처리를 허용하는 문언을 두지 않았습니다. (게시 2026-08-03, 수정 2026-08-22)
- [처리방침에 SDK를 모두 '위탁'으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가](https://datalaw.kr/posts/sdk-processor-vs-third-party-transfer/): 국외이전의 근거를 처리방침에 적을 때 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 '처리위탁·보관'만 대상으로 하고 '제공'은 빠져 있기 때문입니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있을 수 있습니다. 위탁으로 정리된 구글 애널리틱스류 분석 도구도 제3호의 '계약 이행에 필요한'이 벤더가 아니라 정보주체와의 계약을 가리키므로, 서비스 개선 목적의 행동 분석은 제1호의 별도 동의가 필요할 수 있습니다. (게시 2026-08-02, 수정 2026-09-09)
- [개인정보보호법 영문본은 어디서 받나 — 현행(법률 제21445호)과 영문본이 반영한 판 구별법](https://datalaw.kr/posts/english-pipa-version-gap/): 개인정보보호법 영문본은 국가법령정보센터(law.go.kr) 영문법령과 한국법제연구원(elaw.klri.re.kr)에서 무료로 받을 수 있고, 현행은 2026년 9월 11일 시행된 법률 제21445호이고, 영문본은 2026-09-11 확인 기준 아직 제20897호 판을 반영합니다. 한국법제연구원에는 2020년판·2023년판·2025년판이 어느 것이 현행인지 표시 없이 공존하고, 본사가 2020년판을 읽으면 국외이전 동의의 과잉 준수와 신설 의무의 미준수가 동시에 생깁니다. 버전 판별법과 조문 대비를 정리했습니다. (게시 2026-08-02, 수정 2026-09-11)
- [본사는 legitimate interest로 처리하고 있습니다 — 한국에서 같은 근거가 어디까지 통하나](https://datalaw.kr/posts/lawful-basis-gdpr-korea-gap/): 한국 개인정보 보호법에도 정당한 이익 근거가 있습니다(제15조 제1항 제6호). 다만 GDPR과 구조가 다릅니다. 한국법은 근거 목록을 수집·이용(제15조)과 제3자 제공(제17조)으로 나눠 두었고, 제공 쪽 목록은 수집 쪽 목록을 그대로 옮기지 않습니다. 계약 이행을 근거로 수집한 정보를 같은 근거로 제3자에게 제공하는 경로는 제17조 제1항에 없습니다. 본사 LIA 문서를 옮겨 오기 전에 확인해야 할 지점을 조문 단위로 정리했습니다. (게시 2026-08-01, 수정 2026-09-11)
- [한국에 자회사가 있는데 국내대리인은 로펌입니다 — 재지정 기한은 2026년 4월에 이미 지났습니다](https://datalaw.kr/posts/domestic-representative-redesignation/): 로펌이나 컨설팅사를 국내대리인으로 두고 있던 구조는 재지정 대상입니다. 개인정보 보호법 제31조의2 제2항이 2025년 10월 2일부터 국내에 설립한 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 바꿨고, 부칙이 준 6개월은 2026년 4월 2일에 끝났습니다. 지정 대상 기준, 지배적 영향력의 범위, 새로 붙은 관리·감독 의무, 그리고 9월 11일부터 넓어진 대리 업무를 조문 단위로 정리했습니다. (게시 2026-08-01, 수정 2026-09-12)
- [본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다 — 9월 11일 전에 다시 봐야 할 아홉 지점](https://datalaw.kr/posts/global-policy-korea-gap-map/): 본사가 GDPR을 기준으로 만든 정책·절차서를 번역해 두면 한국법도 지켜진다고 보기 쉽지만, 깨지는 지점이 따로 있습니다. 그리고 그 지점들은 대개 문서 내용이 아니라 누가 결정하는지와 무엇을 밖에 알리는지에 걸립니다. 개인정보 보호책임자 지정에 이사회 의결이 들어오고(2026년 9월 11일), 국내 법인이 있으면 국내대리인을 그 법인 중에서 지정해야 하며(2025년 10월 2일 시행, 경과기간 만료), 수탁자 목록은 공개 대상입니다. 본사 산출물 아홉 개를 조문과 하나씩 대조했습니다. (게시 2026-08-01, 수정 2026-09-11)
- [(가칭)아동·청소년 개인정보 보호법은 어떻게 됐나 — 입법이 멈춘 자리에 사전 실태점검이 왔습니다](https://datalaw.kr/posts/child-privacy-law-vs-inspection/): (가칭)아동·청소년 개인정보 보호법은 2026년 8월 현재 없습니다. 2022년 관계부처 합동 「아동·청소년 개인정보 보호 기본계획」은 보호 연령을 18세 미만으로 넓히고 맞춤형 광고를 제한하는 이 법을 2024년에 제정하겠다고 했습니다. 개인정보 보호법 제22조의2의 기준선은 여전히 만 14세 미만입니다. 그 사이 정책 문서에서 이 법의 자리는 계속 줄었고, 실제로 아동 정보를 들여다보기 시작한 것은 입법이 아니라 법 제63조의2의 사전 실태점검입니다. (게시 2026-08-01, 수정 2026-08-22)
- [우리 앱은 아동용이 아닙니다 — 그런데 왜 아동 개인정보로 과징금 9억 2천만 원이 나왔나](https://datalaw.kr/posts/child-data-sanction-without-breach/): ㈜비케이알(버거킹)이 만 14세 미만 아동의 법정대리인 동의 위반으로 과징금 9억 2,400만 원을 받았습니다. 유출 사고가 없었는데도 나온 처분입니다. 개인정보보호위원회가 2026년 2월 11일 식음료 10개사 실태조사 결과를 의결하면서 부과했습니다. 같은 조사에서 8개사는 과태료에 그쳤는데, 그 차이는 개인정보 보호법 제64조의2 제1항이 과징금 대상을 열거해 둔 구조에서 나옵니다. 아동 조문은 유출이 없어도 과징금이 나오는 몇 안 되는 경로입니다. (게시 2026-08-01, 수정 2026-09-07)
- [마이데이터 사업을 하려면 전문기관 지정을 받아야 하나요](https://datalaw.kr/posts/mydata-receiver-designation-or-not/): 데이터를 받는 쪽에는 두 갈래가 있습니다. 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자입니다. 갈림점은 규모가 아니라 목적입니다. 받은 정보로 통합조회·맞춤형 서비스를 하려면 지정 대상이고, 고유 업무에서 수집한 정보의 진위를 확인하는 정도면 일반수신자입니다. 경계를 넘으면 시행령이 금지행위로 규정합니다. (게시 2026-08-01, 수정 2026-09-11)
- [본인전송요구가 들어왔습니다: 며칠 안에 보내야 하고, 거절할 수 있나](https://datalaw.kr/posts/mydata-request-deadline-and-refusal/): 개인정보 보호법 시행령은 전송 기한을 며칠이라고 정하지 않고 '지체 없이'라고만 씁니다. 대신 거절할 수 있는 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 거절하더라도 사유를 통지해야 하고, 거절 내역과 사유는 3년간 보관해야 합니다. 요구가 들어온 뒤의 절차를 조문 단위로 정리했습니다. (게시 2026-08-01, 수정 2026-09-11)
- [인수한 회사의 개인정보 위반이 클로징 뒤에도 계속되고 있습니다 — 매도인에게 물을 수 있는 구간은 어디까지인가](https://datalaw.kr/posts/reps-warranties-pre-closing-cause/): 대법원은 기업지배권이 이전되는 시점 이전의 사유로 발생한 우발채무를 진술보증 위반의 손해로 보았습니다. 2017다6108 판결입니다. 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 파기하지 않은 데이터나 근거가 정리되지 않은 국외이전 같은 개인정보 위반은 클로징 이후에도 계속됩니다. 구간이 어디서 끊기느냐가 과징금의 기준 매출액과 가중 폭까지 함께 바꾼다는 점을 조문 단위로 정리했습니다. (게시 2026-08-01, 수정 2026-08-17)
- [영국 본사와 데이터를 주고받고 있습니다 — EU와 같은 근거를 쓸 수 있나](https://datalaw.kr/posts/uk-korea-transfer-basis-gap/): 영국에서 한국으로 보내는 것과 한국에서 영국으로 보내는 것은 근거가 다릅니다. 영국의 적정성 규정은 EU 결정과 달리 보완규정 조건도 신용정보 제외도 두지 않는 반면, 한국의 동등성 인정 대상에는 영국이 들어 있지 않습니다. EU와 영국 데이터를 같은 절차로 관리하는 회사가 어느 쪽을 놓치고 있는지 방향별로 정리했습니다. (게시 2026-07-31, 수정 2026-08-17)
- [본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일 이후 그대로 둬도 되나](https://datalaw.kr/posts/foreign-subsidiary-cpo-designation/): 외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 둔 구조는 지정 대상 범위에 맞지 않을 수 있습니다. 기준은 시행령 제32조 제3항 제2호입니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터 여기에 과태료가 새로 붙었습니다. 기존 지정분의 처리는 법률 부칙이 아니라 2026년 9월 10일 공포된 시행령(대통령령 제36671호)의 부칙이 답합니다 — 시행일부터 6개월 안에 신고해야 하며, 신고 기한은 입법예고안의 1개월에서 6개월로 늘었습니다. 대상의 매출 기준도 1,500억 원 이상에서 1,800억 원 초과로 올라 대상이 좁아졌습니다. 형식적으로만 둔 CPO의 대가는 2026년 KT·롯데카드 제재가 보여 줍니다. 위원회는 과징금과 별도로 'CPO의 책임과 역할을 명확히 하는 거버넌스 체계 정비'를 시정명령으로 요구했고, 롯데카드 결정문에서는 CPO가 의사결정 기록을 설명하지 못한 점을 중대성 판단에 반영했습니다. (게시 2026-07-31, 수정 2026-09-11)
- [퇴사자가 고객 데이터를 가지고 나갔습니다 — 우리는 피해자인데 왜 신고 의무자인가](https://datalaw.kr/posts/employee-data-exfiltration-dual-duty/): 퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 영업비밀 침해의 원고이면서 동시에 개인정보 유출의 통지 의무자입니다. 안전조치를 소홀히 했다면 과징금 대상이기도 합니다. 개인정보보호위원회는 실제로 이런 사안에서 안전조치 위반은 아니라고 보면서도 통지 지연에는 시정조치를 명했습니다(제2026-213-267호). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리는 지점을 조문 단위로 정리했습니다. (게시 2026-07-31, 수정 2026-09-11)
- [위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가](https://datalaw.kr/posts/vendor-data-after-contract-ends/): 삭제하기로 합의하고도 파기하지 않은 수탁사가 과태료 420만 원과 1년간의 공표 처분을 받았습니다. 그 데이터가 1년 반 뒤 검색엔진에 노출된 사건입니다. 처분은 발주사가 아니라 수탁사에게 왔습니다. 법 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다. (게시 2026-07-31, 수정 2026-08-16)
- [진술보증 위반의 손해배상액은 어떻게 산정하나 — 계약에 조항이 있을 때와 없을 때](https://datalaw.kr/posts/reps-warranties-damage-calculation/): 매도인에게 물을 수 있다는 것과 얼마를 받느냐는 다른 문제입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 정리한 산정의 두 층(산정 조항이 있으면 그에 따르고, 없으면 주식가치 감소분 또는 매매대금 차액)과, 그 사건에서 손해가 확정되기까지 걸린 시간을 따라가며 개인정보 항목의 산정이 왜 더 어려운지 정리했습니다. (게시 2026-07-30, 수정 2026-09-10)
- [우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가](https://datalaw.kr/posts/who-controls-devices-at-customer-sites/): 고객 집에 설치된 펨토셀의 실질 운영주체와 관리통제권이 KT에 있다고 개인정보보호위원회가 판단했습니다. 2026년 7월 29일 제15회 전체회의에서 KT에 과징금 539억 7,900만 원을 부과하기로 의결하면서입니다. 장비가 어디에 놓여 있는지가 아니라 인증과 접속통제를 누가 하는지가 기준입니다. 키오스크·단말·온프레미스 설치형 제품을 고객사에 두는 회사에 그대로 적용되는 판단입니다. (게시 2026-07-30, 수정 2026-08-28)
- [수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가](https://datalaw.kr/posts/processor-indemnity-recourse-ratio/): 위탁사가 정보주체에게 배상한 뒤 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만입니다. 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(1심·미확정)은 위탁사 30 대 수탁사 70으로 나누어 55억여 원을 인정했는데, 위탁사가 30%를 진 이유는 감독을 소홀히 했기 때문이 아니라 고객정보를 변환하지 않은 원본 그대로 넘겼기 때문입니다. (게시 2026-07-30, 수정 2026-08-28)
- [2026년 9월 11일 시행 개정 개인정보 보호법 — 신구조문 대조표](https://datalaw.kr/posts/pipa-2026-amendment-comparison/): 법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾼 조문을 개정 전 조문과 나란히 정리한 대조표입니다. 유출등 정의 확대, 제34조의 항 이동과 가능성 단계 통지 신설, 과징금 가중·감경 규정, 개인정보 보호책임자 지정에 관한 이사회 의결·신고 의무를 조문 단위로 담았고, 시행령 확정에 따라 계속 갱신합니다. (게시 2026-07-29, 수정 2026-09-11)
- [제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가](https://datalaw.kr/posts/api-response-unrequested-personal-data/): 안심번호만 받기로 정책을 바꾼 회사의 API가 실제로는 휴대전화번호까지 전송했습니다. 받는 쪽 시스템에는 13.5만 명분이 보관돼 있었습니다(개인정보위가 2026년 7월 8일 공개한 사례). 요청한 적 없는 항목을 받아 두고 있을 때 받은 쪽이 어떤 조문의 수범자가 되는지, 사고가 나면 누가 신고 의무자인지를 조문 단위로 정리했습니다. (게시 2026-07-29, 수정 2026-08-23)
- [인수한 회사에 개인정보 과징금이 나왔습니다 — 매도인에게 데이터 항목 진술보증 위반 책임을 물을 수 있나](https://datalaw.kr/posts/ma-reps-warranties-privacy-claims/): 실사에서 개인정보는 체크리스트 한 줄로 지나가고, 진술보증에는 '관련 법령을 준수하고 있다'는 한 문장이 들어갑니다. 클로징 뒤에 개인정보보호위원회 처분이 나오면 그 문장이 무슨 일을 하는지, 대법원 2012다64253·2017다6108 판결과 개인정보 보호법 제27조·제64조의2·제66조로 정리했습니다. (게시 2026-07-29, 수정 2026-09-11)
- [랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나: 9월 11일부터 달라진 '유출등'의 범위](https://datalaw.kr/posts/ransomware-corruption-breach-notification/): 2026년 9월 11일 시행 개정 개인정보 보호법은 통지·신고 대상인 '유출등'에 위조·변조·훼손을 추가했습니다. 데이터가 밖으로 나간 것이 확인되지 않아도 랜섬웨어 암호화만으로 72시간 시계가 돌 수 있습니다. 개정 전과의 차이, 정의 조문의 위치가 남긴 쟁점, 대응 시계의 기산점을 조문 단위로 정리했습니다. (게시 2026-07-29, 수정 2026-09-11)
- [본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가](https://datalaw.kr/posts/mydata-transfer-right-who-and-when/): 매출 1,800억원 초과 민간 기업이 전송 요구를 받는 것은 2027년 2월 20일부터입니다. 개정 시행령(대통령령 제36121호)이 2026년 8월 20일 시행됐지만 그렇습니다. 반면 스크래핑으로 데이터를 받아가는 대리인 측에는 8월 20일부터 사전협의 의무와 저장 금지가 걸립니다. 정보를 보내는 쪽과 받는 쪽에 각각 걸리는 날짜와 의무를 조문 단위로 정리했습니다. (게시 2026-07-29, 수정 2026-09-11)
- [수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나](https://datalaw.kr/posts/processor-breach-consignor-liability/): 콜센터·배송·전산 유지보수 수탁사에서 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 개인정보 보호법 제26조 제4항·제7항과 제64조의2 제1항 제5호가 만드는 책임 구조, 그리고 수탁사 자신의 의무와 배상 이후의 구상 국면까지 정리했습니다. (게시 2026-07-28, 수정 2026-08-28)
- [본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나 — GDPR 통지 기준이 한국법과 어긋나는 지점](https://datalaw.kr/posts/global-breach-playbook-korea-gap/): 본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다. (게시 2026-07-28, 수정 2026-09-11)
- [해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가](https://datalaw.kr/posts/human-error-breach-sanctions/): 개인정보 보호법 제64조의2 제1항 제9호는 '유출된 경우' 자체를 과징금 사유로 정할 뿐 해킹인지 담당자 실수인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건의 원인 1위도 업무 과실(53건, 46%)이었습니다. 무엇이 처분 여부를 가르고 무엇이 금액을 가르는지, 메일 오발송 같은 업무 과실 유형에서 신고와 통지가 어떻게 달라지는지를 조문 단위로 정리합니다. (게시 2026-07-27, 수정 2026-09-11)
- [EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요? — 적정성 결정 첫 재검토(2026.7.23)가 바꾼 것과 바꾸지 않은 것](https://datalaw.kr/posts/eu-korea-adequacy-first-review/): EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다. EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다(COM(2026) 384 final). 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, '글로벌 CBPR 인증을 받으면 국외이전이 된다'는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 반대 방향인 한국에서 EU로의 이전도 2025년 9월 16일 동등성 인정(공고 제2025-68호) 이후 별도 동의 없이 가능하되, 주민등록번호·개인신용정보는 빠지고 처리방침의 이전 근거 기재는 그대로 남습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다. (게시 2026-07-27, 수정 2026-08-28)
- ["우리 서비스도 허위조작정보 규제 대상인가요?" — 7월 7일 시행 정보통신망법, 100만 명 기준과 그 바깥](https://datalaw.kr/posts/misinformation-platform-duties/): 개정 정보통신망법이 2026년 7월 7일 시행됐습니다. 자율운영정책 수립과 6개월 1회 보고서 공표 의무는 '하루 평균 이용자 100만 명 이상'인 대규모 정보통신서비스 제공자에게만 적용되지만, 허위조작정보 유통 금지와 5배 징벌적 손해배상은 규모와 무관하게 적용됩니다. 우리 회사가 어느 쪽인지 가르는 기준을 조문으로 정리합니다. (게시 2026-07-26, 수정 2026-08-28)
- [우리가 도입한 AI가 무단 학습을 했다면 책임은 누구에게 있나 — AI 도입 기업의 저작권 리스크](https://datalaw.kr/posts/ai-training-data-copyright/): 외부 LLM API를 붙여 서비스를 만든 회사가 가장 자주 묻는 질문입니다. 학습 단계의 복제 책임은 원칙적으로 학습한 자에게 있지만, 파인튜닝을 하는 순간 도입 기업이 학습 주체가 되고, 출력물이 원작과 실질적으로 유사하면 그 출력물을 쓴 쪽이 침해 주체가 됩니다. 한국에는 TDM 면책 규정이 없어 공정이용(저작권법 제35조의5)이 유일한 통로이며, 문체부·저작권위원회가 2026년 2월 26일 그 판단 기준을 안내서로 내놨습니다. (게시 2026-07-26, 수정 2026-08-28)
- [우리 회사도 '인공지능사업자'인가 — AI기본법 의무 지도](https://datalaw.kr/posts/ai-basic-law-business-duties/): AI기본법과 시행령은 2026년 1월 22일 함께 시행됐습니다. 모델을 직접 만들지 않고 외부 AI를 갖다 쓰는 회사도 '인공지능사업자'입니다(법 제2조 제7호). 이 글은 우리 회사가 의무 주체인지, 어느 조문이 걸리고 어느 조문은 애초에 해당하지 않는지를 한 장의 지도로 정리합니다. 투명성 고지, 고영향 인공지능 책무, 국내대리인, 계도기간과 과태료는 각각 별도의 글에서 자세히 다룹니다. (게시 2026-07-26, 수정 2026-09-09)
- [개인정보처리방침 필수 기재사항 — 2026년 기준 15개 항목과 2023년 이후 늘어난 것](https://datalaw.kr/posts/privacy-policy-checklist-2026/): 개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정하고 있고, 국내대리인 기재까지 더하면 현행 기준 15개 항목입니다. 그 목록이 2023년 이후 네 차례 늘어, 2023년 초에 만든 처리방침은 지금 기준으로 항목이 비어 있을 가능성이 높습니다. 필수 항목과 신설 시점, 공개 방법, 과태료와 처리방침 평가제를 정리합니다. AI로 심사·추천을 자동화했다면 15개 항목을 다 채워도 빠지는 것이 하나 더 있습니다. 법 제30조 목록 밖에 있는 자동화된 결정의 공개 의무(법 제37조의2 제4항, 시행령 제44조의4의 다섯 항목)로, 거부권이 없는 경우에도 공개 의무는 남습니다. 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 각각의 글로 넘깁니다. (게시 2026-07-26, 수정 2026-09-11)
- [회원이 탈퇴하면 개인정보를 바로 지워야 하나요: 파기 의무와 법정 보존기간이 충돌할 때](https://datalaw.kr/posts/retention-vs-destruction/): 회원 탈퇴·거래 종료·직원 퇴사 후 개인정보는 지체 없이 파기하는 것이 원칙입니다. 근거는 개인정보 보호법 제21조입니다. 전자상거래법·근로기준법·세법이 정한 법정 보존기간은 그 예외입니다. 무엇을 언제까지 남기고, 남기는 동안 어떻게 관리해야 하는지 대표 보존기간표와 함께 정리합니다. (게시 2026-07-26, 수정 2026-08-28)
- [개인정보처리방침 영어로 만들기 — 번역본이면 되는 경우와 별개의 Privacy Policy가 필요한 경우](https://datalaw.kr/posts/privacy-policy-two-documents/): 개인정보처리방침을 영어로 만들 때 답은 독자가 누구인지로 갈립니다. 한국 안의 외국인 이용자를 위한 것이면 국문 처리방침의 영문 번역본이 맞고(공식 영문본의 명칭은 privacy policy, 제30조 제1항 각 호 그대로), 해외 이용자를 위한 것이면 GDPR 등 진출국 법이 요구하는 별개의 Privacy Policy가 필요합니다. 하나를 번역해서 둘을 대신하면 양쪽 모두에서 구멍이 납니다. 영문 용어 대응표와 두 문서를 관리하는 점검 항목을 정리했습니다. (게시 2026-07-26, 수정 2026-08-28)
- [14세 미만 법정대리인 동의, 가입 화면 한 줄로 끝나지 않는 이유](https://datalaw.kr/posts/under-14-signup-consent/): 만 14세 미만 아동의 개인정보는 법정대리인의 동의를 받고 동의했는지 '확인'까지 해야 수집할 수 있으며, 아동 대상 서비스가 아니어도 아동 이용을 인식했다면 조치 의무가 생깁니다. 아동을 받지 않는 서비스라면 '만 14세 미만 이용 불가'를 가입 화면에 분명히 표시하고 이용자 본인이 이를 별도로 확인하게 해야 합니다. 자녀 위치 앱처럼 위치정보가 얽히면 위치정보법 제25조가 따로 적용되어 법정대리인 동의 외에 아동 본인의 동의와 매회 통보 의무가 추가됩니다. 동의 확인 방법 7가지, 제재 수위, 2023년 자녀안심 앱 5곳 처분까지 정리합니다. (게시 2026-07-26, 수정 2026-09-11)
- [2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로, 그리고 '조용히 수습'의 가격](https://datalaw.kr/posts/breach-response-calculus-shift/): 9월 11일부터 중대·반복 위반에 매출액 최대 10% 과징금이 시행됐습니다. 개인정보위 하반기 업무계획은 여기에 '신속 신고 감경(은폐 가중)신고포상금'을 더해, 유출사고를 숨기는 쪽의 셈법을 바꾸고 있습니다. 스타트업이 지금 점검할 것을 정리합니다. (게시 2026-07-26, 수정 2026-09-11)
- [국가기관의 AI 제품 우선구매 고려 의무 — 확인 대상과 조달 우대 범위](https://datalaw.kr/posts/ai-basic-law-procurement/): 2026년 7월 21일 시행된 개정 AI기본법에 따라 국가·지방자치단체·공공기관은 제품·서비스를 구매하거나 용역을 발주할 때 AI 제품·서비스를 우선적으로 고려해야 하고(법 제16조 제3항), 구매 담당자는 고의·중과실이 없는 한 배상책임을 지지 않습니다(같은 조 제4항). 다만 우선구매 고려의 대상은 과기정통부장관의 확인을 받은 제품·서비스로 한정됩니다. 확인을 받으면 물품 다수공급자계약의 진입 요건 완화·신용평가등급확인서 면제와 물품 적격심사 신인도 1.5점이 붙지만, 이 우대는 물품 트랙에만 있고 용역·상용소프트웨어 다수공급자계약 규정에는 없습니다. 확인 절차, 규정별 우대 유무, 납품 전에 점검할 AI기본법 의무로 이어지는 순서를 한 장으로 정리합니다. (게시 2026-07-25, 수정 2026-09-10)
- [웹사이트에 심은 광고 픽셀이 수집하는 행태정보도 개인정보인가 — 틱톡 과징금 103억 원이 확인한 것](https://datalaw.kr/posts/tiktok-pixel-behavioral-data/): 개인정보위가 틱톡에 과징금 103억 원을 부과했습니다. 제재는 틱톡이 받았지만, 픽셀·SDK를 쓰는 기업은 7만여 곳입니다. 스타트업이 지금 점검해야 할 것들을 정리합니다. (게시 2026-07-25, 수정 2026-08-28)

## 가이드 (주제별로 여러 글을 순서대로 묶은 페이지)

- [2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나](https://datalaw.kr/guides/pipa-2026-amendment/): 법률 제21445호가 2026년 9월 11일 시행됐습니다. 유출등 정의에 위조·변조·훼손이 들어오고, 신고의 근거 조문이 제34조 제3항에서 제4항으로 이동하며, 중대·반복 위반의 과징금 상한이 전체 매출액의 10%가 됐고, 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙었습니다. 후속 시행령도 2026년 9월 10일 대통령령 제36671호로 공포되어 같은 날 함께 시행됐습니다. 시행령은 보호책임자 신고 기한 6개월, 기존 지정자의 시행일부터 6개월 내 신고, 유출 가능성 통지 72시간, 투자감경 40% 이내, 과태료 전 구간 상향을 담았습니다. 같은 날 과징금 부과기준 고시 개정(개인정보보호위원회고시 제2026-12호)과 과태료 부과기준 고시 제정(제2026-14호), 보호책임자 신고서 서식 신설(제2026-11호)도 시행돼 투자감경·가중의 세부 기준이 확정됐습니다. 조문 단위 개정 전후 대조표와 함께, 시행으로 이미 걸린 의무와 2027년까지 아직 남은 일정을 나누어 정리했습니다. — 묶은 글 15편
- [AI 서비스 규제 지도 — AI기본법과 개인정보 보호법이 각각 어디에서 걸리나](https://datalaw.kr/guides/ai-basic-law/): AI를 붙인 서비스에 걸리는 규제는 한 법에 모여 있지 않습니다. AI기본법은 사업자 유형 판별(제2조 제7호), 고영향 해당 여부 사전 검토(제33조), 고영향 책무 여섯 가지(제34조), 영향평가(제35조), 투명성 고지(제31조), 국내대리인(제36조)을 걸고, 개인정보 보호법은 자동화 결정 대응과 민감정보 처리를 따로 겁니다. 학습 데이터에는 저작권법이 붙고, 공공기관에 납품하면 조달 쪽 확인 절차가 하나 더 붙습니다. 어느 국면에서 어느 조문이 걸리고 어느 글을 읽어야 하는지를 판별 순서대로 묶은 지도입니다. — 묶은 글 14편
- [개인정보 유출 사고 대응 — 인지부터 처분·구상까지](https://datalaw.kr/guides/data-breach-response/): 유출 사고는 인지·통지·신고·조사·처분·책임 배분 순으로 진행되고, 단계마다 걸리는 조문과 판단 기준이 다릅니다. 각 단계에서 어느 글을 읽어야 하는지를 사고 진행 순서대로 묶은 지도입니다 — 무엇이 '유출등'에 해당하는지, 원인이 직원 실수·퇴사자 반출·수탁사 과실일 때 누가 신고 의무자가 되는지, 처분과 공표는 무엇으로 갈리는지, 배상한 뒤 수탁사에 얼마나 구상할 수 있는지. 인지 후 72시간의 절차 — 규모를 모르는 상태의 우선 통지·우선 신고, 통지와 신고가 다른 유예 사유, 로그 미보전 같은 하면 안 되는 일, 그 기록이 과징금과 배상액에서 다시 쓰이는 경로 — 는 이 페이지 2단계에서 조문 단위로 다룹니다. — 묶은 글 19편
- [위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나](https://datalaw.kr/guides/outsourcing-liability/): 본사 DPA가 적어 보낸 processor라는 명칭을 한국법 어느 자리에 놓느냐에서 위탁 관계의 판단이 갈립니다. 우리가 위탁자인지 수탁자인지, 어떤 도구가 '위탁'이고 어떤 것이 '제공'인지, 사고가 났을 때와 계약이 끝난 뒤에 처분이 어느 쪽으로 가는지, 먼저 배상한 쪽은 얼마나 돌려받는지 — 다섯 국면에서 어느 글을 읽어야 하는지를 계약 진행 순서대로 묶은 지도입니다. — 묶은 글 8편


## 결정례 색인 (의결 단위로 조회하는 페이지)

- [개인정보위 결정례 색인](https://datalaw.kr/decisions/): 개인정보보호위원회 의결의 처분 이유와 절차를 정리한 페이지입니다. 위층은 처분 이유를 조문 단위로 해설한 의결의 색인이고, 아래층은 결정문 「이유」 절에서 과징금 가중·감경률과 그 사유를 그대로 뽑은 산정 근거 표입니다. 과징금 사건마다 중대성 등급, 1차·2차 조정에서 몇 %가 오르내렸는지, 무엇이 그 이유로 적혔는지를 볼 수 있고, 현행 과징금 부과기준으로 산정한 45개 사건과 옛 기준(정보통신서비스 특례·주민등록번호 유출 기준 등)으로 산정한 사건을 구분해 표시합니다. 절차 쪽으로는 무엇이 조사를 시작시켰는지(조사 착수 단서), 조사에서 의결까지 얼마나 걸리는지, 사전통지를 받고 며칠 만에 의견을 냈는지, 그리고 처분 서류가 송달되지 않아 공고로 갈음된 건까지 담습니다. 게시판에서 본문을 읽을 수 있는 제재 의결서 전수를 조회하려면 제재 추적기를 보십시오. — 해설이 붙은 의결 33건(해설 12편). 절차(조사 착수·소요 기간·송달)는 https://datalaw.kr/sanctions/procedure/ 로 옮겼습니다. 과징금 산정 근거 표(조문 단위)의 CSV는 https://datalaw.kr/decisions/pipc-fine-mitigation.csv 에 있습니다

## 제재 위반행위 (결정문 「위법성 판단」 절 — 어떤 조문이 무슨 행위에서 인정됐는가)

- [개인정보위 제재 위반행위 — 결정문 「위법성 판단」 절 전수](https://datalaw.kr/violations/): 「제29조 위반」이라는 말은 무엇이 문제였는지를 알려주지 않습니다. 접근통제가 없었던 것과 비밀번호를 평문으로 둔 것과 접속기록을 안 남긴 것이 모두 제29조입니다. 이 페이지는 개인정보보호위원회 결정문의 「위법성 판단」 절 표제를 전수로 옮겨, 어떤 조문이 실제로 무슨 행위에서 인정됐는지를 유형별로 모아 놓은 것입니다. 유형마다 결정문이 쓴 표제 전부와 그 유형이 인정된 의결 목록을 함께 볼 수 있습니다. 처분의 액수가 어떻게 산정됐는지는 과징금 산정 근거 페이지가 따로 담습니다. — 결정문 공개 889건 중 판단 절을 읽을 수 있는 590건에서 위반행위 라벨을 뽑았습니다(기준일 2026-09-11, 행위 유형 35종). 유형별 앵커는 https://datalaw.kr/violations/#act-… 이고, 표 전문은 https://datalaw.kr/llms-full.txt 에 있습니다

## 과징금·과태료 산정 계산기 (법령·고시 산식 계산 도구 — 처분 예측이 아니다)

- [개인정보 과징금·과태료 계산기 — 산정 기준과 금액표](https://datalaw.kr/fine-calculator/): 개인정보 보호법 위반의 과징금과 과태료가 어떤 산식으로 정해지는지 직접 넣어 볼 수 있는 계산기입니다. 위반행위가 끝난 날로 적용 기준을 고르고, 매출액만 넣으면 중대성 등급별 금액이 나란히 나옵니다. 자세히 모드에서는 기준금액부터 투자감경, 1차·2차 조정, 법정 상한, 단수 처리까지 단계별 금액을 보여 줍니다. 과태료는 시행령 별표 2의 항목별 금액으로 계산합니다. 개인정보보호위원회가 공개한 결정문에서 조문·위반행위 유형·유출 경위가 비슷한 의결을 찾아 처분 내용과 산정 근거를 함께 볼 수도 있습니다. 결과는 산식의 계산이며 처분을 예측하지 않습니다. — 규칙 기준일 2026-09-12. 과징금은 위반행위 종료일로 고시 판(제2023-3호·제2026-5호·제2026-12호)을 고르고, 과태료는 시행령 별표 2 항목 48개로 계산합니다. 선례 찾기는 공개 결정문 889건을 조문·위반행위 유형·유출 경위로 거릅니다(기준일 2026-09-11). 산식 본문(부과기준율·가중·감경 사유표·과태료 금액표)은 그 페이지에 서버 렌더되어 있습니다

## 유출 통지·신고 판정기 (법 제34조·영 제39조~제40조 요건 대입 도구 — 처분 예측이 아니다)

- [유출 통지·신고 판정기 — 72시간 안에 누구에게 무엇을 알려야 하나](https://datalaw.kr/breach-check/): 유출 사고가 났을 때 가장 먼저 갈리는 것은 「통지를 해야 하나」가 아니라 「무엇을 언제까지, 누구에게」입니다. 통지는 규모와 무관하게 알게 된 때부터 72시간, 신고는 1천 명 이상·민감정보나 고유식별정보·외부의 불법적인 접근 셋 중 하나면 72시간입니다. 2026년 9월 11일 시행 개정으로 두 가지가 새로 들어왔습니다. 유출된 사실이 아직 확인되지 않아도 「가능성」을 알게 된 때 통지해야 하는 경우가 생겼고, 통지문에 손해배상·분쟁조정 같은 정보주체의 권리를 안내하는 항목이 추가됐습니다. 넣은 값은 전송되지 않으며, 판정은 법령 요건의 대입이지 처분 예측이 아닙니다. — 기준일 2026-09-11. 통지는 알게 된 때부터 72시간이고 규모 요건이 없으며, 신고는 ① 1천 명 이상 ② 민감정보·고유식별정보 ③ 외부의 불법적인 접근 셋 중 하나면 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 합니다. 2026-09-11 시행 개정으로 유출 「가능성」 통지(법 제34조 제2항·영 제39조의2)와 회수·삭제로 침해 가능성이 현저히 낮아진 경우의 신고 면제 단서(영 제40조 제1항 단서)가 신설됐습니다

## 금감원 제재 중 개인(신용)정보 관련 건 (처분청이 개인정보위가 아니다)

- [금융회사는 어디서 처분받나 — 금감원 제재 중 개인신용정보 관련 건](https://datalaw.kr/sanctions/fss/): 개인정보 제재 사례를 찾는 금융회사가 개인정보보호위원회 결정문에서 자기 업권을 잘 못 찾는 이유는 처분이 없어서가 아니라 처분청이 다르기 때문입니다. 금융회사의 개인신용정보는 신용정보법이 규율하고 처분은 금융감독원이 합니다. 이 페이지는 2021년 이후 금감원 제재 1,787건을 전수로 읽어 개인(신용)정보 관련 55건을 추린 표입니다. 문책 항목의 제목과 처분 금액이 공개안 원문 그대로 실려 있어 무엇이 지적됐고 얼마가 부과됐는지 바로 볼 수 있습니다. 과징금은 14건 313억 원, 과태료는 49건 113억 원이고 최대는 카카오페이 129억 7,600만 원입니다. 같은 회사가 두 기관에서 각각 처분받은 사례도 표시했습니다. — 금감원 공시 제재 1787건을 전수로 읽어 개인(신용)정보 관련 55건을 추렸습니다(기준일 2026-09-11). 🔴 처분청과 근거법이 달라 개인정보위 제재 표와 **합산하면 안 됩니다**

## 제재 절차 (조사 착수 → 조사 → 사전통지 → 의결 → 송달)

- [개인정보위 조사는 어떻게 시작되고 언제 끝나나 — 제재 절차 전 구간](https://datalaw.kr/sanctions/procedure/): 개인정보위 조사를 받게 된 회사가 묻는 것은 셋입니다. 왜 우리인가, 얼마나 걸리나, 언제 무엇을 해야 하나. 결정문은 그 답을 스스로 적어 두는데 흩어져 있어 읽히지 않았습니다. 이 페이지는 결정문의 「조사 배경」 절에서 착수 단서를, 사실 절에서 조사 기간과 사전통지·의견제출 일자를 뽑아 절차의 전 구간을 잇습니다. 조사의 입구는 사실상 하나입니다 — 단서가 적힌 의결의 절반 이상이 사업자 자신의 유출 신고에서 시작됐습니다. 처분 서류가 송달되지 않아 공고로 갈음된 건도 함께 담습니다. — 조사 착수 단서 468건(유출 신고 261), 조사 시작→의결 중앙값 369일, 사전통지→의견제출 중앙값 14일, 송달이 안 되어 공고로 갈음된 처분 21건. 🔴 구간마다 분모가 다릅니다

## 유출 사고 (결정문 「유출 경위」·「유출 내용」 절 — 어떻게 새나갔고 무엇이 나갔나)

- [유출 사고는 어떻게 일어나고 무엇이 새나갔나 — 개인정보위 결정문 사실 절 전수](https://datalaw.kr/sanctions/breach/): 「제29조 위반, 과징금 얼마」는 위원회의 판단이고, 그 앞에는 사고가 있습니다. 이 페이지는 개인정보보호위원회 결정문의 「유출 경위」·「유출 내용」 절을 읽어 사고가 실제로 어떻게 일어났고 어떤 항목이 새나갔는지를 모은 것입니다. 경위는 취약점과 외부 공격이 가장 많고, 담당자 실수로 잘못 보내거나 잘못 올린 사고가 그다음입니다. 외부 공격 사고는 과징금으로 이어진 비율이 높고 담당자 실수는 낮은데, 사고 규모와 사업 규모가 함께 얽혀 있어 인과로 읽으면 안 됩니다. — 결정문이 유출 절을 둔 의결 327건(경위 206 · 항목 294)을 경위 12종으로 갈랐습니다(기준일 2026-09-11). 경위 문장은 결정문 원문이고 유형은 세기 위해 붙인 축입니다. 과징금 비율의 차이를 인과로 읽으면 안 됩니다

## 피심인 성격 (결정문 「기초 사실」 절 — 어떤 사업자가 처분받았나)

- [어떤 사업자가 처분받았나 — 개인정보위 제재의 피심인 성격](https://datalaw.kr/sanctions/parties/): 「우리 업종에서도 제재가 있었나」는 개인정보 제재 자료에 가장 먼저 묻는 질문인데, 제재 표에는 업종 칸이 없었습니다. 그 값은 결정문 「기초 사실」 절 첫 문장에 있고 위원회가 직접 적어 둡니다. 이 페이지는 그 문장에서 피심인의 성격을 원문 그대로 옮겨 업종별로 모은 것입니다. 다만 분모는 결정문이 성격을 적은 의결이지 전체 의결이 아닙니다 — 비실명 처분은 상호와 함께 성격구까지 지워진 건이 많습니다. — 결정문이 성격을 적은 의결 427건(민간 299·공공 128)을 업종 22종으로 갈랐습니다(기준일 2026-09-11). 성격구는 결정문 원문이고 업종은 세기 위해 붙인 축입니다. 건수가 적다고 그 업종에 제재가 드문 것이 아닙니다 — 비실명 처분은 성격구까지 지워집니다

## 일괄 처분 묶음 (한 사건번호에서 함께 처분된 의결)

- [한 사건에서 몇 곳이 함께 처분되나 — 개인정보위 일괄 처분 묶음](https://datalaw.kr/sanctions/batch/): 제재 표의 행은 서로 독립된 사건이 아닙니다. 개인정보보호위원회 결정문이 공개된 의결 889건 가운데 543건이 116개 묶음에 속합니다. 한 조사에서 스무 곳이 한꺼번에 처분되기도 하고, 하나의 유출 사고에서 위탁자와 수탁자가 나란히 처분되기도 합니다. 이 페이지는 결정문이 적은 사건번호를 기준으로 그 묶음을 정리한 표입니다. 다만 사건번호가 같다는 것이 같은 사고라는 뜻은 아닙니다. — 사건번호가 있는 의결 654건 중 543건이 116개 묶음에 속합니다(기준일 2026-09-11, 한 묶음 최다 30건). 사건번호가 같다는 것이 같은 사고라는 뜻은 아닙니다

## 제재 시정명령 (결정문 「주문」 절 — 무엇을 하라고 명했는가)

- [개인정보위 시정명령 — 결정문 「주문」 절이 실제로 명한 것](https://datalaw.kr/orders/): 제재를 받으면 과징금만 내고 끝나는 것이 아닙니다. 결정문이 공개된 의결의 절반 가까이에는 시정조치 명령이나 개선권고가 함께 붙어 있고, 회사가 실제로 해야 하는 일은 그 항목들입니다. 이 페이지는 개인정보보호위원회 결정문의 「주문」 절을 읽어 위원회가 항목별로 무엇을 하라고 명했는지를 원문 그대로 모으고, 유형별로 세어 놓은 것입니다. 이행결과를 며칠 안에 제출해야 하는지, 홈페이지 공표는 어디에 얼마나 크게 며칠 동안 걸어야 하는지도 함께 볼 수 있습니다. — 주문에 시정 항목이 있는 의결 377건에서 실질 항목 640개를 뽑았습니다(기준일 2026-09-11, 유형 20종). 이행결과 제출 기한은 60일 219건·90일 93건이고, 피심인 홈페이지 공표명령이 32건에 붙어 있습니다. 표 전문은 https://datalaw.kr/llms-full.txt 에 있습니다

## 시행일 캘린더 (향후 12개월 IT·개인정보 법령 시행 예정)

- [IT·개인정보 법령 시행일 캘린더](https://datalaw.kr/timeline/): 앞으로 12개월 동안 시행되는 IT·개인정보·데이터 법령을 한 표로 정리한 캘린더입니다. 국가법령정보센터 시행예정법령 전수를 걸러 시행일 순으로 싣고, 부칙이 시행일을 나눈 단계 시행과 타법개정으로 조용히 바뀌는 조문까지 표시합니다. 2026년 10월 1일 정보통신망법, 2027년 2월 28일 공공분야 AI 영향평가, 2027년 7월 1일 개인정보 보호법 2단계처럼 실무에 걸리는 시행일이 언제 오는지, 그날 무엇이 바뀌는지를 확인할 수 있습니다. 시행예정법령 데이터에 들어오지 않는 개인정보위 고시의 제·개정 이력도 함께 실었습니다 — 결정문이 인용한 고시가 몇 호인지 확인할 때 씁니다. — 수록 25건(기준일 2026-09-11, 전수 937건 대조). 같은 면에 개인정보위 **고시 제·개정 이력** 66건(39종)이 함께 있습니다 — 시행예정법령 데이터에는 행정규칙이 안 들어오기 때문입니다. 표 전문은 https://datalaw.kr/llms-full.txt 에 있습니다

## 인공지능기본법 조문 지도 (전 조문 + 조문별 시행일·과태료·하위법령 위임)

- [인공지능기본법 조문 지도 — 조문별 시행일·과태료·하위법령 위임](https://datalaw.kr/ai-act/): 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(인공지능기본법)의 전 조문을 한 표에 놓고, 조문마다 세 가지를 함께 답니다. 언제부터 적용됐는지, 위반하면 이 법의 과태료가 붙는지, 하위법령에 위임했다면 시행령이 그것을 실제로 정했는지입니다. 법은 2026년 1월 22일 시행됐고 일부 조항은 2026년 7월 21일부터 적용됐습니다. 이 법 자체의 과태료가 붙는 조문은 셋뿐입니다 — 투명성 고지(제31조 제1항), 국내대리인 지정(제36조 제1항), 중지·시정명령 불이행(제40조 제3항)이고 모두 3천만원 이하입니다. 나머지 의무 조문은 위반해도 이 법에는 벌칙이 없고 사실조사와 시정명령을 거쳐 그 명령 불이행에서 과태료로 이어지는 구조입니다. — 조문 46개(기준일 2026-09-12). 이 법의 과태료가 붙는 조문은 3개, 하위법령에 위임한 조문은 33개이고 그중 30개는 시행령이 정했습니다. 조문 하나는 https://datalaw.kr/ai-act/#art-34 형식으로 가리킵니다

## 유출 통지문 코퍼스 (사업자가 실제로 보낸 통지 문안)

- [유출 통지문에는 실제로 무엇이 적혀 있나 — 공개 통지문 모음](https://datalaw.kr/breach-notices/): 개인정보가 유출됐을 때 회사가 보내는 통지문이 실제로 어떻게 생겼는지는 정리된 곳이 없었습니다. 시행령이 요구하는 홈페이지 게시 기간은 30일뿐이어서, 그 기간이 지나면 문안이 사라지기 때문입니다. 이 페이지는 사라지기 전에 붙잡아 둔 통지문을 모은 것입니다. 통지문 원문과 언론이 인용한 문안, 사과문을 갈라 담고, 법 제34조 제1항의 기재사항이 실제로 얼마나 확인되는지를 통지문 원문만을 분모로 집계했습니다. 2026년 9월 11일부터 새로 들어가는 손해배상·분쟁조정 안내는 그 전 통지문에서 거의 확인되지 않습니다. — 수록 56건(기준일 2026-09-10). 통지문 원문 28건 · 언론 인용 20건 · 사과문·입장문 8건이고, 원문을 못 구한 사건 19건은 사유와 함께 실었습니다. 법 제34조 제1항 기재사항의 확인 비율은 통지문 원문만을 분모로 냅니다 — ① 유출 항목 96% · ② 시점·경위 96% · ③ 피해 최소화 79% · ④ 대응조치 100% · ⑤ 접수 부서·연락처 75% · ⑥ 손해배상·분쟁조정 안내(2026-09-11 시행 개정 신설) 14%. ⑥의 낮은 값은 위반이 아니라 개정 전 통지라서입니다. 개별 사업자의 기재 결손은 행에 표시하지 않습니다. 표 전문은 https://datalaw.kr/llms-full.txt 에 있습니다

## 분쟁조정 사례 조회 (개인정보분쟁조정위원회 공개 사례 전수)

- [개인정보 분쟁조정 사례 조회](https://datalaw.kr/mediation/): 개인정보 분쟁조정을 신청하면 어떤 결과가 나오는지를 위원회 공개 사례 전수로 정리한 페이지입니다. 개인정보분쟁조정위원회 사례 게시판이 공개한 조정결정 사례 전수를 연도·침해유형·위원회 판단 문구와 함께 표로 싣고, 손해배상 금액이 명시된 사례를 골라 볼 수 있게 했습니다. 소송까지 가지 않고 끝나는 개인정보 분쟁의 실제 모습 — 무엇이 인정되고 금액이 어느 수준인지 — 을 한 자리에서 비교할 수 있습니다. — 수록 771건(기준일 2026-09-11), 판단 문구에 금액이 확인되는 사례 218건. 표 전문은 https://datalaw.kr/llms-full.txt 에 있습니다

## 유출 손해배상 판결 정리 (민사 — 위자료 인정액과 심급 경과)

- [개인정보 유출 손해배상 판결 정리](https://datalaw.kr/damages/): 개인정보가 유출되면 위자료가 얼마나 인정되는지를 판결문 원문으로 정리한 페이지입니다. 온라인게임·은행·카드사·포털·앱 해킹과 경품행사 제3자 제공 같은 대량 유출 사건, 그리고 직원·기관이 특정인의 정보를 조회·누설한 내부자 누설 사건을 사고 단위로 싣고, 1인당 인정액과 심급 경과, 인용과 기각을 가른 판단 요소를 표로 보여줍니다. 대량 유출의 인정액은 대체로 1인당 수만 원에서 수십만 원이고, 유출 사실만으로 인정되는 것이 아니라 유통 여부와 열람 가능성이 결과를 가릅니다. 피해자 개인의 사정을 따지는 내부자 누설은 인정액의 폭이 훨씬 넓습니다. — 수록 사고 34건(작성 기준일 2026-09-12). 표 전문은 https://datalaw.kr/llms-full.txt 에 있습니다

## English summaries (영문 요약 모음 — 본사 법무·글로벌 DPO·딜 팀 대상)

- [Korean Data Protection Law — English Notes and Summaries](https://datalaw.kr/en/): Plain-English summaries of Korean personal information law, written for headquarters legal teams, global DPOs and deal teams. Most entries are summaries that sit at the end of a full article in Korean; two are self-contained English notes and one is an English data table. They cover cross-border transfers, breach notification, data subject rights, CPO and domestic-representative appointment, AI, enforcement against foreign companies, and privacy findings in M&A diligence. Written by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul. — 개별 글 말미의 영문 요약으로 연결되는 색인입니다. 전문 번역이 아니며 한국어 본문이 정본입니다

- [Appointing a Domestic Representative under Korea's PIPA — the 2025 restriction, the deadline that has passed, and the 11 September 2026 expansion](https://datalaw.kr/en/domestic-representative/): Since 2 October 2025, a foreign processor that has a Korean corporation it established, or a Korean corporation over which it exercises dominant influence, must appoint its domestic representative from among those corporations. Law firms and consultancies no longer qualify for those processors, and the six-month transitional period expired on 2 April 2026. The same amendment added a supervision duty and a privacy-policy disclosure duty, each with its own administrative fine. Since 11 September 2026 the representative's statutory remit has included the new notification of the likelihood of a breach. Written for headquarters legal teams and global DPOs by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul. — 한국어 글의 요약이 아니라 독립된 영문 해설입니다


- [How Korea's PIPC Sanctions Foreign Companies — every published decision against a non-Korean operator, in one table](https://datalaw.kr/en/pipc-enforcement-foreign-companies/): Korea's largest privacy penalties — KRW 69.2 billion against Google, KRW 30.8 billion against Meta — were imposed on foreign companies, but the decisions have never been collected in one place. This page tabulates every Personal Information Protection Commission decision against a named foreign operator. Three things stand out. Cross-border transfer was the basis of a surcharge in two decisions, Apple's and Temu's, and in both the breach was a failure to tell data subjects about processing outsourced abroad; every other surcharge rested on consent or safeguards. One decision accounts for more than three quarters of the surcharges in published decisions. And the point foreign respondents contest most often is not the violation but how much of their turnover counts as Korean. Written for headquarters legal teams and global DPOs by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul. — 46 decisions, 41 companies, 14 countries (as of 2026-09-11); same rows as https://datalaw.kr/sanctions/foreign/ with English labels


- [Korea PIPC Enforcement Tracker — every published decision, searchable in English](https://datalaw.kr/en/enforcement/): Korea's Personal Information Protection Commission publishes the full text of its sanction decisions, but its board is searchable by title only, and almost every sanction decision carries the same title. Nobody outside Korea can answer a question as basic as how often art. 29 has been enforced. This page is the whole published record — [[total]] decisions — in one filterable table with English labels for provisions, sanction types and committee bodies, over the same data as the Korean tracker. Administrative fines are the norm and penalty surcharges the exception; the safety-measures duty in art. 29 is behind about half the decisions; and the surcharge total is dominated by a handful of cases. Maintained by Hyunsub Lee, a Korean-qualified lawyer at SEUM Law in Seoul. — the whole published record, 889 decisions (as of 2026-09-11); same rows as https://datalaw.kr/sanctions/ with English labels for provisions, sanction types and committee bodies. Respondent names are not romanised: an English name is shown only where the organisation uses one itself

## 제재 추적기 (게시판에서 본문을 읽을 수 있는 제재 의결서 전수 조회)

- [개인정보 과징금·과태료 사례 800여 건 — 개인정보위 제재 결정문 전수 DB](https://datalaw.kr/sanctions/): 개인정보보호위원회 결정문 게시판에서 본문을 읽을 수 있는 제재 의결서 889건을 안건번호·의결일·피심인·위반 조문·처분·금액으로 정리한 조회용 표입니다. 위원회 홈페이지 검색창은 제목만 색인해서 조문이나 회사명으로는 선례를 찾을 수 없는데, 여기서는 조문으로 걸러 확인할 수 있습니다. 결정문 공개에는 수개월 이상의 시차가 있어 2026년 상반기 구간은 보도자료 기준으로 따로 집계했는데, 38개 사업자·기관에 과징금 6,806억 7,100만 원이 부과됐고 쿠팡 한 건이 약 92%를 차지합니다. 게시판 목록에는 올라와 있으나 HTML 미리보기가 비어 첨부파일에서 읽어 온 의결이 270건, 미리보기 없이 첨부 PDF만 올라온 출범기(2020~2022년) 의결도 포함돼 있으며, 위원회가 결정문 전문을 공개하지 않고 「결과의 공표」만 한 사건도 이 표에 없습니다. — 수록 889건(기준일 2026-09-11). 표 전문은 https://datalaw.kr/llms-full.txt 에, CSV는 https://datalaw.kr/sanctions/pipc-sanctions.csv 에 있습니다
- 결정문이 공개되지 않은 제재(보도자료 재구성 층): 의결일 25개, 보도자료 31건. 쿠팡·KT·메타·루이비통 등 금액이 큰 사건이 이 층에 있습니다. 본표와 출처가 달라 합산하지 않습니다: https://datalaw.kr/sanctions/unpublished/
- 개인정보위 이전의 처분(방송통신위원회가 구 정보통신망법·위치정보법으로 한 의결) 348건, 2008-06-24~2023-06-28. 처분청·근거법이 달라 본표와 합산하지 않습니다: https://datalaw.kr/sanctions/kmcc/ (CSV: https://datalaw.kr/sanctions/kmcc/kmcc-sanctions.csv)
- 유출 통지·신고가 며칠 늦어 처분됐는지(88건). 결정문이 적은 인지일과 통지일의 간격이고, 통지 지연 중앙값 14일·최소 1일, 신고 지연 중앙값 6일입니다. 기한 안에 통지하고도 법정 기재사항을 빠뜨려 처분된 건이 따로 있습니다. 적용 기한이 현행 72시간과 구 정보통신망법 24시간으로 갈리므로 기준 칸을 함께 보아야 합니다: https://datalaw.kr/sanctions/breach-notice/
- 개인정보 형사 처벌 — 🔴 **위원회 고발은 결정문 전체에서 4건뿐**이고(고발유예 5건 별도), 형사 리스크는 수사기관 직접 수사로 온다. 죄명이 개인정보보호법위반 **단독**인 판결 1년치 175건 중 1심 113건: 벌금 64·선고유예 24·무죄 18·징역 7. 벌금 중앙값 100만 원. 최다 조문은 목적 외 이용(제71조 제2호)·동의 없는 제3자 제공(제1호)·업무상 누설(제9호)이고 **피고인은 회사가 아니라 개인**이다. 🔴 병합 기소 사건은 뺐다(주문을 개인정보 위반에 귀속시킬 수 없다) — 「개인정보 위반으로 징역 9년」 같은 수치를 만들지 말 것: https://datalaw.kr/sanctions/criminal/
- 해외 사업자 제재 46건(41곳·14개국). 본사 직접 피심인 30건·외국 본사의 한국 법인 16건. 🔴 **국외이전 조문(제28조의8)이 과징금 근거가 된 건은 3건**(애플 제2025-001-003호·테무 제2024-013-193호, 둘 다 국외 위탁 사실을 정보주체에게 알리지 않은 것)이고 나머지 과징금은 동의·안전조치가 근거이며, 결정문 층 과징금의 94%가 구글 한 건입니다. 가장 자주 다투는 쟁점은 관련 매출액의 한국 귀속입니다. 🔴 비실명 처분은 국적을 확인할 수 없어 빠지므로 **하한**입니다: https://datalaw.kr/sanctions/foreign/
- 두 번 이상 처분받은 사업자 22곳(처분 56건, 의결일이 다른 곳 20곳, 같은 조문을 다시 위반한 것이 확인되는 곳 8곳). 과태료 기준금액은 최근 3년간 같은 위반행위 횟수로 갈리고 2026-09-11 시행 개정법이 반복 위반 가중을 법률에 올립니다. 🔴 실명이 공개된 처분만 셀 수 있어 **반복 처분의 하한**입니다 — 표에 없다고 반복이 없었다는 뜻이 아닙니다: https://datalaw.kr/sanctions/repeat/
- 개인정보위 심의에서 피심인이 낸 주장과 위원회의 판정(56개 의결·주장 141개). 판정이 적힌 140개 기준으로 그대로 수용 10%·일부라도 반영 43%인데, **종류에 따라 크게 갈립니다** — 과징금 산정(관련 매출액)을 다툰 주장은 대부분 반영되고 위법성 자체를 다툰 주장은 거의 배척됩니다. 🔴 항변 절을 둔 결정문이 889건 중 56건뿐이라 이 비율은 제재 전체의 승률이 아닙니다: https://datalaw.kr/sanctions/defenses/
- 처분에 대한 취소소송 전수 20건(행정심판 재결 확인 0건, 1심·2심 선고는 전부 위원회 승소, 사업자 승소 확정은 두 갈래): https://datalaw.kr/sanctions/litigation/


### 제재 추적기 하위 면 (조문별로 거른 표 · 취소소송 경과 · 개인정보위 이전의 처분)

아래 면 가운데 /sanctions/kmcc/ 하나만 처분청이 방송통신위원회(현 방송미디어통신위원회)이고 근거법이 구 정보통신망법·위치정보법입니다. 나머지는 전부 개인정보보호위원회가 개인정보 보호법으로 한 처분입니다.

- [개인정보 동의 방법 위반 제재 사례 20여 건 — 보호법 제22조 과태료](https://datalaw.kr/sanctions/article-22/): 개인정보 보호법 제22조(동의를 받는 방법)이 위반으로 인정된 개인정보위 제재 의결 20건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 5건(5,550만 원, 액수 비공개 4건 제외), 과태료 19건(1억 원, 액수 비공개 1건 제외), 금전 부과가 아닌 처분 1건이며 2021년부터 2025년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [개인정보 유출 통지·신고 위반 제재 사례 80여 건 — 보호법 제34조 과태료·과징금](https://datalaw.kr/sanctions/article-34/): 개인정보 보호법 제34조(개인정보 유출 등의 통지·신고)이 위반으로 인정된 개인정보위 제재 의결 81건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 30건(1,427억 원), 과태료 71건(4억 원), 금전 부과가 아닌 처분 9건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [개인정보 처리 위탁 위반 제재 사례 50여 건 — 보호법 제26조 위탁자 책임](https://datalaw.kr/sanctions/article-26/): 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)이 위반으로 인정된 개인정보위 제재 의결 54건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 9건(102억 원), 과태료 35건(1억 원), 금전 부과가 아닌 처분 14건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [개인정보 파기 의무 위반 제재 사례 90여 건 — 보호법 제21조 과태료·과징금](https://datalaw.kr/sanctions/article-21/): 개인정보 보호법 제21조(개인정보의 파기)이 위반으로 인정된 개인정보위 제재 의결 91건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 26건(310억 원, 액수 비공개 2건 제외), 과태료 65건(5억 원, 액수 비공개 3건 제외), 금전 부과가 아닌 처분 22건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [개인정보로 형사처벌을 받나 — 판결 형량과 위원회 고발 전수](https://datalaw.kr/sanctions/criminal/): 개인정보 사고에서 회사가 가장 두려워하는 것은 형사처벌인데, 그 리스크가 실제로 어디에서 오는지는 잘못 알려져 있습니다. 개인정보보호위원회가 결정문으로 고발을 의결한 것은 889건 가운데 네 건뿐이고(2020년 페이스북 건을 포함합니다), 고발 대상이지만 유예한 의결이 다섯 건 따로 있습니다. 반면 개인정보보호법위반으로 기소되어 판결까지 간 사건은 1년에 수백 건이고, 처벌받는 쪽은 회사가 아니라 직원 개인입니다. 형은 벌금 100만원대에 몰려 있고 1심 무죄가 16%입니다. 위원회 과징금과는 자릿수도 대상도 다릅니다.
- [개인정보위 조사는 어떻게 시작되고 언제 끝나나 — 제재 절차 전 구간](https://datalaw.kr/sanctions/procedure/): 개인정보위 조사를 받게 된 회사가 묻는 것은 셋입니다. 왜 우리인가, 얼마나 걸리나, 언제 무엇을 해야 하나. 결정문은 그 답을 스스로 적어 두는데 흩어져 있어 읽히지 않았습니다. 이 페이지는 결정문의 「조사 배경」 절에서 착수 단서를, 사실 절에서 조사 기간과 사전통지·의견제출 일자를 뽑아 절차의 전 구간을 잇습니다. 조사의 입구는 사실상 하나입니다 — 단서가 적힌 의결의 절반 이상이 사업자 자신의 유출 신고에서 시작됐습니다. 처분 서류가 송달되지 않아 공고로 갈음된 건도 함께 담습니다.
- [개인정보위 조사에서 어떤 주장이 받아들여졌나 — 피심인 항변과 위원회 판정 전수](https://datalaw.kr/sanctions/defenses/): 개인정보보호위원회 조사를 받는 회사가 가장 먼저 묻는 것은 다투면 되느냐입니다. 이 페이지는 결정문에 실린 피심인의 주장과 위원회의 판정을 전수로 옮긴 표입니다. 갈리는 곳이 분명합니다. 안전조치를 했다거나 자신은 의무 주체가 아니라는 위법성 자체를 다투는 주장은 열에 한두 건꼴로만 반영되는 반면, 과징금 산정의 기준이 되는 매출액 범위를 다투는 주장은 대부분 전부 또는 일부 받아들여졌습니다. 다만 항변 절을 따로 둔 결정문이 전체의 일부뿐이어서 이 비율을 제재 전체의 승률로 읽으면 안 됩니다.
- [개인정보위 처분에 불복하면 어떻게 되나 — 과징금 취소소송 전수 20건과 확정 선례](https://datalaw.kr/sanctions/litigation/): 개인정보보호위원회 제재 처분을 행정소송으로 다툰 사건 전수입니다. 결정문 게시판 수록 범위(2020년 11월 이후) 처분 가운데 취소소송이 확인된 20건의 심급별 결과, 집행정지 결정, 그리고 사업자가 결론까지 이긴 확정 선례를 표로 정리했습니다. 행정심판 재결은 확인되지 않고, 확정된 4건 중 2건은 사업자가 이겼으며, 상소심이 진행 중인 10건은 1심·2심에서 전부 위원회가 이겼습니다. 사업자가 이긴 것은 「입점 판매자는 개인정보취급자가 아니다」와 「과징금이 비례원칙에 반한다」 두 갈래뿐입니다.
- [개인정보취급자 감독 의무 위반 제재 사례 30여 건 — 보호법 제28조](https://datalaw.kr/sanctions/article-28/): 개인정보 보호법 제28조(개인정보취급자에 대한 감독)이 위반으로 인정된 개인정보위 제재 의결 31건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 0건(0원), 과태료 10건(3,060만 원), 금전 부과가 아닌 처분 21건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [결정문이 공개되지 않은 개인정보위 제재 — 쿠팡·KT·메타 등 보도자료로 재구성한 32건](https://datalaw.kr/sanctions/unpublished/): 개인정보보호위원회가 제재를 의결하고 보도자료까지 냈지만 결정문 게시판에 의결서를 올리지 않았거나, 의결서는 있어도 비실명이라 이름이 보도자료에만 있는 의결일 25개를, 위원회 보도자료 32건으로 재구성한 표입니다. 쿠팡 6,246억 원·KT 540억 원·메타 308억 원·루이비통 214억 원처럼 실무에서 자주 묻는 사건이 여기 들어 있습니다. 결정문 전수 표에서 특정 조문이나 업종이 0건으로 나올 때, 그것이 선례가 없다는 뜻인지 결정문이 공개되지 않았을 뿐인지를 이 표로 가를 수 있습니다.
- [고유식별정보 처리 제한 위반 과징금 사례 40여 건 — 보호법 제24조](https://datalaw.kr/sanctions/article-24/): 개인정보 보호법 제24조(고유식별정보의 처리 제한)이 위반으로 인정된 개인정보위 제재 의결 43건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 27건(28억 원), 과태료 26건(1억 원), 금전 부과가 아닌 처분 2건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [구 정보통신서비스 제공자 유출 신고 특례 제재 67건 — 구법 제39조의4](https://datalaw.kr/sanctions/article-39-4/): 개인정보 보호법 제39조의4(개인정보 유출등의 통지·신고에 대한 특례)이 위반으로 인정된 개인정보위 제재 의결 67건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 33건(264억 원, 액수 비공개 12건 제외), 과태료 66건(5억 원, 액수 비공개 5건 제외), 금전 부과가 아닌 처분 1건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [금융회사는 어디서 처분받나 — 금감원 제재 중 개인신용정보 관련 건](https://datalaw.kr/sanctions/fss/): 개인정보 제재 사례를 찾는 금융회사가 개인정보보호위원회 결정문에서 자기 업권을 잘 못 찾는 이유는 처분이 없어서가 아니라 처분청이 다르기 때문입니다. 금융회사의 개인신용정보는 신용정보법이 규율하고 처분은 금융감독원이 합니다. 이 페이지는 2021년 이후 금감원 제재 1,787건을 전수로 읽어 개인(신용)정보 관련 55건을 추린 표입니다. 문책 항목의 제목과 처분 금액이 공개안 원문 그대로 실려 있어 무엇이 지적됐고 얼마가 부과됐는지 바로 볼 수 있습니다. 과징금은 14건 313억 원, 과태료는 49건 113억 원이고 최대는 카카오페이 129억 7,600만 원입니다. 같은 회사가 두 기관에서 각각 처분받은 사례도 표시했습니다.
- [두 번 처분받으면 어떻게 되나 — 개인정보위 반복 제재 사업자 전수](https://datalaw.kr/sanctions/repeat/): 개인정보 처분을 한 번 받은 회사가 다음에 묻는 것은 두 번째는 얼마나 무거워지느냐입니다. 과태료 부과기준은 이미 최근 3년간 같은 위반행위를 몇 번 했는지로 기준금액을 나누고 있고, 2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 과징금 부과처분을 받은 날부터 3년 안에 고의·중과실로 같은 호의 위반을 되풀이하면 과징금 상한을 전체 매출액의 3%에서 10%로 올리는 조항(제64조의2 제2항 제1호)을 신설했습니다. 시행 이후의 첫 처분부터 셉니다(부칙 제3조). 과태료 쪽의 별표 2 기준은 바뀌지 않았습니다. 이 페이지는 실제로 두 번 이상 처분받은 사업자를 전수로 정리한 표입니다. 다만 위원회가 피심인을 실명으로 공개한 처분만 셀 수 있어, 이 표의 숫자는 반복 처분의 하한입니다.
- [민감정보 처리 제한 위반 제재 사례 20여 건 — 보호법 제23조](https://datalaw.kr/sanctions/article-23/): 개인정보 보호법 제23조(민감정보의 처리 제한)이 위반으로 인정된 개인정보위 제재 의결 20건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 5건(20억 원), 과태료 17건(2억 원), 금전 부과가 아닌 처분 1건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [방송통신위원회 개인정보 제재 의결서 348건 — 2008년부터 2023년까지, 개인정보위 출범 전의 개인정보 처분과 그 뒤의 위치정보 처분](https://datalaw.kr/sanctions/kmcc/): 개인정보보호위원회가 개인정보 처분을 맡기 전에는 방송통신위원회가 정보통신망법으로 처분했습니다. 그 의결서 348건을 안건번호·의결일·위반 조문·처분·금액으로 정리한 표입니다. 2008년 6월 24일부터 2023년 6월 28일까지이고, 과태료 321건 43억 4,970만 원과 과징금 41건 52억 5,784만 원이 담겨 있습니다. 시정명령과 별개로 중앙일간지 공표를 명한 건이 19건입니다. 최다 위반 조문은 구 정보통신망법 제28조 제1항(기술적·관리적 보호조치) 207건으로, 현행 개인정보 보호법 제29조 안전조치의무에 해당합니다.
- [안전조치의무 위반 과징금·과태료 사례 450여 건 — 개인정보 보호법 제29조 제재](https://datalaw.kr/sanctions/article-29/): 개인정보 보호법 제29조(안전조치의무)이 위반으로 인정된 개인정보위 제재 의결 452건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 99건(2,017억 원, 액수 비공개 21건 제외), 과태료 346건(20억 원, 액수 비공개 17건 제외), 금전 부과가 아닌 처분 89건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [어떤 사업자가 처분받았나 — 개인정보위 제재의 피심인 성격](https://datalaw.kr/sanctions/parties/): 「우리 업종에서도 제재가 있었나」는 개인정보 제재 자료에 가장 먼저 묻는 질문인데, 제재 표에는 업종 칸이 없었습니다. 그 값은 결정문 「기초 사실」 절 첫 문장에 있고 위원회가 직접 적어 둡니다. 이 페이지는 그 문장에서 피심인의 성격을 원문 그대로 옮겨 업종별로 모은 것입니다. 다만 분모는 결정문이 성격을 적은 의결이지 전체 의결이 아닙니다 — 비실명 처분은 상호와 함께 성격구까지 지워진 건이 많습니다.
- [유출 사고는 어떻게 일어나고 무엇이 새나갔나 — 개인정보위 결정문 사실 절 전수](https://datalaw.kr/sanctions/breach/): 「제29조 위반, 과징금 얼마」는 위원회의 판단이고, 그 앞에는 사고가 있습니다. 이 페이지는 개인정보보호위원회 결정문의 「유출 경위」·「유출 내용」 절을 읽어 사고가 실제로 어떻게 일어났고 어떤 항목이 새나갔는지를 모은 것입니다. 경위는 취약점과 외부 공격이 가장 많고, 담당자 실수로 잘못 보내거나 잘못 올린 사고가 그다음입니다. 외부 공격 사고는 과징금으로 이어진 비율이 높고 담당자 실수는 낮은데, 사고 규모와 사업 규모가 함께 얽혀 있어 인과로 읽으면 안 됩니다.
- [유출 통지 72시간, 며칠 늦으면 처분되나 — 개인정보위 통지·신고 지연 제재 전수](https://datalaw.kr/sanctions/breach-notice/): 개인정보가 유출되면 72시간 안에 알려야 한다는 것은 알려져 있지만, 그 기한을 넘긴 회사들이 실제로 며칠 늦었고 얼마를 물었는지는 정리된 곳이 없었습니다. 이 페이지는 개인정보보호위원회 결정문에서 인지일과 통지일을 그대로 뽑아 간격을 계산한 표입니다. 통지 지연은 짧게는 하루에서 길게는 1년을 넘기고, 기한 안에 통지하고도 기재사항을 빠뜨려 처분된 건이 따로 있습니다. 정보주체에 대한 통지와 위원회에 대한 신고는 상대방이 다른 의무여서 지연 양상도 갈립니다. 2026년 9월 11일 시행된 개정법도 72시간 기한은 시행령에 두고 통지 기재사항을 늘렸으므로, 여기 처분들이 그대로 기준선입니다.
- [주민등록번호 처리 제한 위반 과징금 사례 50여 건 — 보호법 제24조의2](https://datalaw.kr/sanctions/article-24-2/): 개인정보 보호법 제24조의2(주민등록번호 처리의 제한)이 위반으로 인정된 개인정보위 제재 의결 57건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 24건(451억 원, 액수 비공개 2건 제외), 과태료 49건(3억 원, 액수 비공개 2건 제외), 금전 부과가 아닌 처분 4건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.
- [한 사건에서 몇 곳이 함께 처분되나 — 개인정보위 일괄 처분 묶음](https://datalaw.kr/sanctions/batch/): 제재 표의 행은 서로 독립된 사건이 아닙니다. 개인정보보호위원회 결정문이 공개된 의결 889건 가운데 543건이 116개 묶음에 속합니다. 한 조사에서 스무 곳이 한꺼번에 처분되기도 하고, 하나의 유출 사고에서 위탁자와 수탁자가 나란히 처분되기도 합니다. 이 페이지는 결정문이 적은 사건번호를 기준으로 그 묶음을 정리한 표입니다. 다만 사건번호가 같다는 것이 같은 사고라는 뜻은 아닙니다.
- [해외 사업자는 개인정보위에 어떻게 처분받나 — 실명 공개분 전수](https://datalaw.kr/sanctions/foreign/): 구글 692억, 메타 308억처럼 금액이 큰 개인정보 제재는 해외 사업자에게 몰려 있는데, 그 사건들이 한 곳에 모여 있지 않아 무엇이 반복되는지 보이지 않았습니다. 이 페이지는 실명이 공개된 해외 사업자 제재를 전수로 모은 표입니다. 국외이전 조문이 과징금 근거가 된 건은 애플·테무 두 건이고 둘 다 국외 위탁 사실을 알리지 않은 것이었다는 것, 결정문 층 과징금의 4분의 3 이상이 한 건에서 나온다는 것, 그리고 이 집단이 가장 자주 다투는 쟁점이 관련 매출액의 한국 귀속이라는 것이 표에서 드러납니다. 비실명 처분은 셀 수 없어 하한입니다.

## 페이지

- [자료 갱신 이력](https://datalaw.kr/updates/): 이 사이트의 자료 표 20개가 각각 몇 건이고 언제 자랐는지. 인용할 때 기준일을 확인하는 자리이고, 표가 줄어든 날에는 왜 줄었는지를 함께 적습니다(자료를 지운 것이 아니라 어느 표에 속하는지가 바뀐 것입니다)
- [개인정보처리방침](https://datalaw.kr/privacy/): 이 사이트가 처리하는 개인정보의 항목·목적·보유기간과 위탁·국외이전. 항목마다 그렇게 쓴 근거 조문과 판단을 접힌 주석으로 붙여 두었습니다
- [소개·문의](https://datalaw.kr/about/): 이현섭 변호사 이력·저서·연락처 (hyunsub.lee@seumlaw.com, 02-562-3117)