우리 앱은 아동용이 아닙니다 — 그런데 왜 아동 개인정보로 과징금 9억 2천만 원이 나왔나

핵심 요약. 개인정보보호위원회는 2026년 2월 11일 제3회 전체회의에서 식음료 분야 10개 사업자에 대한 실태조사 결과를 의결하고, 총 15억 6,600만 원의 과징금과 1억 1,130만 원의 과태료, 시정명령과 공표명령을 부과했습니다. 이 중 ㈜비케이알(버거킹)은 법정대리인의 동의 없이 만 14세 미만 아동의 개인정보를 수집·이용한 행위(개인정보 보호법 제22조의2 위반)로 9억 2,400만 원의 과징금을 받았고, ㈜엠지씨글로벌(메가MGC커피)은 동의 없는 목적 외 이용(제18조 위반)으로 6억 4,200만 원을 받았습니다. 유출 사고에 따른 처분이 아니라 실태조사 결과입니다. 나머지 8개사는 파기 미이행·접근통제·수탁자 관리감독 등으로 과태료에 그쳤는데, 이 차이는 법 제64조의2 제1항이 과징금 대상을 아홉 가지로 열거해 둔 구조에서 나옵니다. 유출을 전제로 하는 것은 그중 제9호뿐이고, 아동 조문(제2호)과 목적 외 이용(제1호)은 유출과 무관하게 목록에 있습니다.

“우리는 아동용 서비스가 아닌데요.”

만 14세 미만 아동 개인정보 이야기를 꺼내면 대부분 이렇게 반응합니다. 교육이나 게임이 아니면 남의 일이라는 감각입니다.

2026년 2월에 그 감각을 정면으로 흔드는 처분이 나왔습니다. 햄버거 프랜차이즈가 아동 개인정보 조문으로 9억 2,400만 원을 물었습니다.

더 눈여겨볼 것은 그 처분이 나온 경로입니다. 사고가 없었습니다.

사고가 없었는데 조사는 어떻게 시작됐나

개인정보보호위원회가 2026년 2월 12일 배포한 보도자료 「식음료 분야 사업자 개인정보 처리 실태 조사 결과 발표」에 경위가 적혀 있습니다.

위원회는 음식점·카페에서 원격 예약·대기와 키오스크 주문처럼 대규모 개인정보 처리를 수반하는 서비스가 확산됨에 따라 식음료 분야의 처리 실태를 조사했다고 밝혔습니다. 유출 신고가 들어와서 시작된 조사가 아닙니다.

대상 선정 기준도 공개했습니다. 앱 서비스 이용률과 안전조치 의무 등 개인정보 보호법 위반 이력을 고려해 원격 예약·대기 플랫폼 앱과 프랜차이즈 사업자를 골랐다고 했습니다.

조사 대상은 10개사였습니다. 플랫폼 쪽이 ㈜와드(캐치테이블), 테이블링㈜(테이블링), ㈜야놀자에프앤비솔루션(도도포인트·나우웨이팅)이고, 프랜차이즈 쪽이 ㈜에스씨케이컴퍼니(스타벅스), ㈜비케이알(버거킹), ㈜엠지씨글로벌(메가MGC커피), 한국맥도날드(유), 투썸플레이스㈜, ㈜이디야, ㈜더본코리아(빽다방)입니다.

이 목록에서 읽어야 할 것은 업종보다 선정 논리 쪽입니다. 이용자가 많은 앱을 운영하고 과거 위반 이력이 있으면 사고를 내지 않아도 조사 대상이 됩니다. 사고가 나면 그때 대응하겠다는 계획으로 유출 대응 체계만 세워 두고 가입 절차나 보유 데이터 같은 평시 처리 항목을 뒤로 미뤄 둔 회사가 이 구조에서 가장 불리한 자리에 서게 됩니다.

아동용 앱이 아닌데 왜 아동 조문에 걸렸나

법 제22조의2 제1항은 적용 대상을 아동 대상 서비스로 한정하지 않습니다.

개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 하며, 법정대리인이 동의하였는지를 확인하여야 한다.

주어가 “개인정보처리자"입니다. 아동을 겨냥했는지, 아동이 주 이용자인지를 묻지 않습니다. 만 14세 미만 아동의 개인정보를 실제로 처리하고 있으면 그 시점에 의무가 붙습니다.

조사 대상 10개사 중 아동 대상 서비스는 없습니다. 예약 앱과 커피·햄버거 프랜차이즈 앱입니다. 그런데도 이 조문이 작동했습니다.

아동 대상이 아닌 서비스에도 의무가 미친다는 것 자체는 이미 알려진 해석입니다. 그 원칙과 가입 화면에서의 연령 확인 설계, 법정대리인 동의를 받는 일곱 가지 방법은 약관 한 줄로는 해결되지 않는 아동 개인정보 문제에서 이미 정리했습니다.

이번에 달라진 것은 그 원칙에 금액이 붙었다는 점입니다. 9억 2,400만 원은 이번 10개사 처분 가운데 가장 큰 금액이고, 과태료를 받은 8개사의 합산 총액(1억 1,130만 원)의 여덟 배가 넘습니다.

같은 조사인데 왜 한 곳만 9억이고 나머지는 과태료인가

여기가 이 사건에서 가장 실무적인 대목입니다.

보도자료에 따르면 조사에서 확인된 위반은 여러 갈래였습니다. 대부분의 사업자가 보유기간이 지나거나 처리목적을 달성한 개인정보를 파기하지 않고 있었고, 플랫폼 사업자 쪽에서는 API 설계·운영 미흡 등 접근통제 위반이, 프랜차이즈 쪽에서는 수탁자 관리·감독 소홀과 이용·제공 내역 통지 누락이 확인됐습니다. 투썸플레이스는 매장 주문 시 휴대전화번호를 입력하지 않으면 주문·결제가 불가능하도록 운영한 점이, 더본코리아는 별도로 받아야 할 동의를 포괄적으로 받은 점이 지적됐습니다.

그런데 과징금이 부과된 것은 두 건뿐입니다. 아동(제22조의2)과 목적 외 이용(제18조)입니다.

이유는 법 제64조의2 제1항에 있습니다. 이 조항은 과징금을 부과할 수 있는 경우를 아홉 가지로 열거합니다.

파기 의무(제21조)와 안전조치 의무(제29조)는 이 목록에 없습니다. 두 조문은 과태료 사유로 따로 규정되어 있습니다(제75조 제2항 제4호·제5호). 위탁 문서 작성·공개 의무 위반도 과태료입니다(제75조 제4항 제4호·제5호).

유출이 없으면 닫히는 문이 있습니다

안전조치를 소홀히 한 회사가 과징금을 무는 경로는 제9호인데, 이 호는 개인정보가 실제로 분실·도난·유출·위조·변조·훼손된 경우를 부과 요건으로 삼으면서 안전성 확보에 필요한 조치를 다한 경우에는 부과하지 않는다는 단서까지 함께 달고 있습니다.

이 구조를 뒤집어 읽으면 이렇게 됩니다. 유출 사고가 없으면 안전조치 위반은 제9호로 들어갈 수 없습니다. 실태조사에서 아무리 접근통제 부실이 확인되어도 과징금 트랙이 아니라 과태료 트랙으로 갑니다.

이번 사건이 정확히 그 모습입니다. 8개사의 안전조치·파기 위반은 합쳐서 1억 1,130만 원의 과태료가 됐습니다.

반면 아동 조문은 제2호에 있습니다. 유출이 있었는지, 아동이 실제로 피해를 입었는지를 요건으로 삼지 않습니다. 법정대리인 동의 없이 처리한 사실 자체가 부과 사유입니다.

그래서 이렇게 정리됩니다. 아동 조문은 유출 없이도 과징금이 나오는 몇 안 되는 경로 중 하나입니다. 사고 대비만으로는 이 위험이 줄지 않습니다.

제5호도 함께 볼 만합니다. 수탁자 관리·감독을 소홀히 한 경우가 과징금 목록에 있기는 한데, “소홀히 하여 수탁자가 이 법의 규정을 위반한 경우"라는 결과 요건이 붙어 있습니다. 이번에 수탁자 관리·감독이 지적된 회사가 과태료에 그친 것이 이 요건 때문인지는 보도자료만으로 알 수 없습니다.

9억 2,400만 원은 어떻게 계산됐나

이 부분은 지금 단정할 수 없습니다.

법 제64조의2 제1항은 전체 매출액의 100분의 3을 초과하지 않는 범위라고 정하고, 제2항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 산정하라고 정합니다. 어느 매출을 관련 매출로 보았는지, 몇 명분의 아동 개인정보가 확인됐는지, 어떤 감경이 적용됐는지는 의결서를 봐야 알 수 있습니다.

그 의결서는 아직 공개되지 않았습니다. 개인정보위 위원회 결정문 DB를 확인한 결과 2026년 2월 11일 의결 중 공개된 것은 다른 안건 한 건뿐이고, 이 식음료 실태조사 건은 올라와 있지 않습니다. 의결에서 결정문 공개까지는 통상 수개월 이상 걸립니다.

그래서 이 글은 보도자료 전문과 법령 원문의 범위에서만 쓴 것입니다. 산정 근거와 회사의 소명 내용은 결정문이 공개되면 다시 확인할 부분입니다.

다만 산정 방식을 몰라도 확인되는 사실이 하나 있습니다. 위원회가 아동 조문 위반 한 건에 매긴 금액이, 같은 조사에서 나온 다른 모든 과태료의 합보다 훨씬 크다는 것입니다.

지금 확인할 것

연령 확인 절차를 어떻게 설계할지는 앞선 글에 정리했으므로, 여기서는 이번 사건이 새로 드러낸 지점만 짚습니다.

이미 쌓여 있는 계정을 봅니다. 연령 게이트를 나중에 넣은 회사가 흔합니다. 게이트를 넣기 전에 가입한 계정에는 아무 확인 절차가 없었고, 그 계정들이 지금도 남아 있습니다. 실태조사는 앞으로의 가입 흐름이 아니라 지금 보유한 데이터를 봅니다.

파기하지 않은 개인정보의 규모를 셉니다. 이번 조사에서 대부분의 사업자가 걸린 항목이 파기 미이행이었습니다. 그 자체는 과태료에 그치지만, 보유기간이 지나고도 파기하지 않은 채 쌓아 둔 데이터 안에 만 14세 미만 아동의 정보가 섞여 있다면 같은 데이터가 과태료 사유이면서 동시에 과징금 사유가 됩니다. 두 위반이 겹치는 자리가 가장 비쌉니다.

아동 이용을 인식할 수 있었던 흔적을 확인합니다. 고객 문의, 결제 취소, 리뷰, 매장 응대 기록에 아동 이용 정황이 남아 있는데 계정을 그대로 둔 상태라면 설명이 어려워집니다.

위탁사에 넘긴 데이터도 같이 봅니다. 예약·대기 플랫폼과 프랜차이즈가 함께 조사받은 구조에서 보듯, 앱 운영과 데이터 처리를 나눠 맡는 경우 양쪽이 같은 조사에 들어옵니다. 수탁자에게 넘어간 회원 데이터에 아동 정보가 포함되는지는 위탁사가 확인해야 할 몫입니다. 위·수탁 관계에서 책임이 어떻게 갈리는지는 수탁사 직원의 실수로 개인정보가 유출됐을 때 위탁사의 책임 범위에서 다뤘습니다.

자주 묻는 질문

Q. 유출 사고가 없었는데도 과징금이 나올 수 있나요?

나올 수 있습니다. 개인정보 보호법 제64조의2 제1항은 과징금 부과 대상을 아홉 가지로 열거하는데, 유출등을 이유로 하는 것은 제9호 하나뿐입니다. 나머지 여덟 가지는 유출 여부와 무관한 처리 단계의 위반입니다. 만 14세 미만 아동의 법정대리인 동의 위반(제22조의2 제1항)은 제2호, 목적 외 이용(제18조)은 제1호에 각각 열거되어 있습니다. 실제로 개인정보보호위원회는 2026년 2월 11일 제3회 전체회의에서 유출 사고가 아닌 실태조사 결과를 근거로 ㈜비케이알에 9억 2,400만 원, ㈜엠지씨글로벌에 6억 4,200만 원의 과징금을 의결했습니다.

Q. 아동을 대상으로 하지 않는 서비스인데도 아동 개인정보 규정이 적용되나요?

적용됩니다. 법 제22조의2 제1항은 적용 범위를 아동 대상 서비스로 한정하지 않고, 만 14세 미만 아동의 개인정보를 처리하면서 이 법에 따른 동의를 받아야 할 때에는 법정대리인의 동의를 받고 동의 여부를 확인하라고 정합니다. 2026년 2월 조사에서 과징금을 받은 곳은 햄버거 프랜차이즈이고, 함께 조사받은 10개사는 예약·대기 플랫폼과 식음료 프랜차이즈로 어느 곳도 아동 대상 서비스가 아닙니다.

Q. 같은 조사를 받았는데 왜 어떤 회사는 과징금이고 어떤 회사는 과태료인가요?

위반한 조문이 과징금 대상 목록에 있는지에 따라 갈립니다. 파기 의무 위반(제21조 제1항)과 안전조치 의무 위반(제29조)은 과태료 사유로 규정되어 있고(제75조 제2항 제4호·제5호), 제64조의2 제1항의 과징금 대상 목록에는 그 자체로 올라 있지 않습니다. 안전조치 위반이 과징금으로 연결되는 통로는 개인정보가 실제로 유출등이 된 경우를 정한 제9호인데, 유출 사고가 없는 실태조사에서는 그 통로가 열리지 않습니다. 반면 아동 조문과 목적 외 이용은 결과와 무관하게 목록에 있습니다.

마무리

아동 개인정보 규정을 키즈 서비스의 문제로 분류해 둔 회사가 많습니다. 이번 처분은 그 분류에 9억 2,400만 원짜리 가격표를 붙였습니다.

그리고 이 처분에는 사고가 없었다는 점을 다시 짚어 둡니다. 위원회가 분야를 정해 들어와 앱 가입 절차와 보유 데이터를 들여다본 결과입니다. 사고가 나야 조사가 시작된다는 전제로 대비를 설계해 두었다면, 이 사건에서 그 전제는 작동하지 않았습니다.

2026년 상반기 개인정보위 제재 전체에서 이 건이 어디쯤 놓이는지는 상반기 제재 통계에서 확인할 수 있습니다.

이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.

참고 자료

• 개인정보보호위원회 보도자료 「개인정보위, 식음료 분야 사업자 개인정보 처리 실태 조사 결과 발표」(2026. 2. 12. 배포, 조사2과). 2026년 2월 11일 제3회 전체회의 의결분
• 개인정보 보호법 제18조, 제21조, 제22조의2, 제29조, 제64조의2, 제75조 — 국가법령정보센터
• ⚠️ 이 사건의 의결서(결정문)는 2026년 8월 1일 기준 미공개입니다. 개인정보위 위원회 결정문 DB에서 2026년 2월 11일 의결 중 공개된 것은 별건 1건뿐입니다. 과징금 산정 근거와 소명 내용은 결정문 공개 후 확인이 필요합니다