집단소송법은 아직 통과되지 않았습니다. 2026년 10월 25일 현재 제22대 국회에 발의된 집단소송 법안 15건이 모두 법제사법위원회에 계류 중입니다. 우리가 15건의 부칙을 원문으로 읽어 보니 8건이 법 시행 전에 생긴 사유로 인한 손해배상청구에도 적용한다고 정하고 있어, 그런 안이 통과되면 이미 난 유출 사고도 집단소송 안으로 들어올 여지가 있습니다. 어느 안이 어떤 문언으로 통과될지는 알 수 없습니다.

탈퇴한 회원의 정보는 유출 사고에서 대상 특정과 통지 두 자리에서 다시 문제가 됩니다. 쿠팡 의결(제2026-011-075호)은 파기되지 않은 탈퇴회원 884,972개 계정의 배송지 정보 중 100,696개 계정분이 실제 유출됐다고 적었습니다. 엔에이치엔위투는 통지 이메일 512,382건 중 197,012건이 실패했고, 한국고용정보원은 탈퇴회원 198명에게 통지하지 못했다고 대응 경과에 적었습니다. datalaw.kr 제재 DB에서 탈퇴 회원이 사고 사실관계에 나온 의결 12건을 읽고, 사고 전에 점검할 네 가지를 정리했습니다.

개인정보위 공개 결정문 1,018건(2026-10-12 수집분)을 세어 보면, 통지가 늦은 103건에서 과징금은 제29조(안전조치) 위반이 함께 인정된 68건 중 38건에 붙었고 그렇지 않은 35건에서는 1건이었습니다. 유출 규모, 조사 착수 경로, 조사 기간, 의견 제출 기간도 같은 방식으로 맞대 보았고, 2026년 3분기에 의결된 39건의 현황을 덧붙였습니다. 공개 결정문만 센 관찰값이며 인과관계를 뜻하지 않습니다.

올해 말 예고된 「(가칭)에이전틱 인공지능 개인정보 처리 안내서」에서 확인할 지위·책임, 승인, 권한, 로그·메모리 질문을 정리합니다. 스페인·홍콩의 기준과 채택 전 유럽평의회 초안을 한국 조문에 대조하고, 발간일에 실제 답변을 기록할 표를 마련했습니다.

쿠팡 과징금 두 건(제2026-011-075호 4,235억 7,500만 원·제2026-011-076호 2,011억 600만 원)에서 개인정보위는 쿠팡이츠·쿠팡플레이·B2B·기타 매출을 관련 매출액에서 뺐고, 와우멤버십은 남겼습니다. 직매입의 매입원가·배송비·보관비는 순매출액 기준이라는 이유로 빼지 않았습니다. 2026년 9월 공개된 결정문과 같은 회차 속기록으로 순액법 공방, 위반기간 기산점(유출 시점이 아니라 안전조치 미이행 시점), 처분 횟수, 사무처 원안에서 바뀐 조정률을 정리했습니다. 관련 매출액·부과기준율·기준금액은 결정문에서도 가려져 있고, 법원 판단은 남아 있습니다.

해킹으로 개인정보가 빠져나가면 신고 창구가 둘이 됩니다. 정보통신망법 제48조의3 제1항은 24시간, 개인정보 보호법 제34조 제4항과 같은 법 시행령 제40조는 72시간을 정합니다. 갈음은 한 방향으로만 흐르고, 2026년 9월 11일부터는 유출이 확정되지 않은 단계의 통지 의무가, 2026년 10월 1일부터는 이용자에 대한 침해사고 통지 의무가 더 붙었습니다. 정부나 제3자의 연락으로 사고를 알게 된 경우 두 시계가 언제부터 도는지까지 정리했습니다.

수사기관에서 고객 정보를 달라는 문서를 받은 회사가 제출 여부를 판단하는 순서를 정리합니다. 판단은 받은 문서가 압수·수색영장(형사소송법 제215조)인지, 통신사실 확인자료 제공요청 허가서(통신비밀보호법 제13조)인지, 통신이용자정보 제공요청서(전기통신사업법 제83조 제3항)인지, 근거 조문이 적히지 않은 수사협조 공문인지에서 갈립니다. 허가서와 요청서는 전기통신사업자를 상대방으로 정한 제도이므로 회사의 사업 지위를 먼저 확인해야 하고, 민간 회사는 개인정보 보호법 제18조 제2항 제7호(범죄의 수사)를 쓸 수 없어 같은 항 제2호의 「다른 법률」이 있는지가 남습니다. 영장 원본 없이 사본을 팩스로 보내 집행한 사건에서 법원이 그 제공은 구 정보통신망법 위반으로 보면서도 회사의 배상 책임은 부정한 판결도 함께 봅니다.

회사가 부정결제 고객이나 퇴사자를 고소하면서 CCTV 영상·회원정보를 고소장에 첨부하면, 대법원 기준으로는 개인정보 「누설」에 해당하지만(2018도1966) 형법 제20조 정당행위로 위법성이 조각될 수 있습니다(2023도17590·2025도9522). 대법원은 제출 경위·상대방·최소성·비실명화·민감성 등 8가지 고려요소를 들었고, 민사 손해배상에도 같은 기준을 썼습니다(2025다209756). 민간 회사는 제18조 제2항 제7호(범죄의 수사)를 근거로 쓸 수 없습니다. 하급심 3건의 결론과 제출 전 점검 순서를 함께 정리했습니다.

최근 3년 사이에 선고된 영업비밀 침해 형사사건 무죄 판결 가운데 본문을 확인한 40건을 읽고, 각 사건에서 무죄로 이어진 사유를 저희가 분류해 보았습니다. 무죄 사유는 자료가 영업비밀 요건을 갖추지 못했다는 쪽과 반출·사용·목적의 증명이 부족했다는 쪽으로 갈립니다. 40건 중 10건에서 법원은 비밀관리성(부정경쟁방지 및 영업비밀보호에 관한 법률 제2조 제2호)을 부정했고, 9건에서는 반출이나 사용 행위 자체의 증명이 부족하다고 보았습니다. 경비원과 CCTV, 지문인식기 같은 설비를 두고 전 직원에게 비밀유지서약서를 받아 둔 회사에 대해서도, 법원이 그 설비를 외부인 출입 통제 수단으로 보고 서약서는 대상 정보를 특정하지 않은 포괄적 의무 부여로 본 사례가 있습니다. 개인정보 보호를 목적으로 만든 서약서와 교육을 법원이 따로 평가한 사례도 두 건 확인됩니다. 이 글은 회사 법무·보안 담당자가 자사 자료의 관리 상태를 점검할 때 볼 만한 사정을 판결문에서 추린 것이며, 인용한 판결 중에는 상소심이 계속 중인 미확정 판결과 상소 여부를 확인하지 못한 판결이 함께 있습니다.

개인정보위 자료제출 요구를 처음 받은 회사가 공문의 범위와 기한을 확인하고, 요청항목별 단일 대응표에서 담당자 진술·시스템 원본·제출자료를 대조하는 방법을 정리합니다. 자료 간 충돌을 처리하고 완전성·일관성·추적 가능성을 갖춘 첫 회신을 준비하기 위한 실무 기준입니다.