금감원·금융위 제재를 받았는데 개인정보위도 처분하나요? 같은 사건 두 건이 보여 준 경계

금융감독원(이하 "금감원")이나 금융위원회의 제재를 받은 사고에 대하여 개인정보보호위원회(이하 "개인정보위")가 따로 처분한 사례는 공개 자료로 확인됩니다. 다만 같은 사건임이 확인되는 카카오페이 사건과 롯데카드 사건에서 두 기관이 근거로 삼은 조문은 서로 달랐습니다. 개인정보위는 국외 이전과 주민등록번호 처리에 개인정보 보호법을 적용했고, 금융위원회와 금감원(이하 "금융당국")은 제공 동의와 보안대책에 「신용정보의 이용 및 보호에 관한 법률」(이하 "신용정보법")을 적용했습니다. 사고 직후 대응 계획을 세우는 금융회사의 개인정보 보호책임자(CPO)와 법무팀장은 이 경계를 먼저 확인할 필요가 있어 보입니다.

핵심 요약 금감원이 2021년부터 2026년까지 공시한 제재 공개안 1,787건(2026-10-26 수집분)에서 개인(신용)정보 관련 제재 55건을 추렸고, 그중 같은 회사가 개인정보위 처분도 받은 것이 확인된 곳은 7곳, 같은 사건으로 확인된 곳은 카카오페이·롯데카드 2곳입니다. 두 사건에서 개인정보위는 국외 이전과 주민등록번호 처리에 개인정보 보호법을 적용했고, 금융당국은 제공 동의와 보안대책에 신용정보법을 적용했습니다. 따라서 사고 대응에서는 문제된 행위를 두 법의 조문에 각각 대응시켜 보고, 한 기관의 처분을 사건의 종결 시점으로 잡지 않는 것이 먼저로 판단됩니다.

금감원 제재를 받은 금융회사 가운데 개인정보위 처분도 받은 곳은 몇 곳인가요?

금감원 검사·제재 공시에서 2021년부터 2026년까지의 공개안 1,787건(2026-10-26 수집분)을 훑어 개인(신용)정보 관련 제재 55건을 추렸습니다. 그중 같은 회사가 개인정보위 처분도 받은 것이 확인된 곳은 7곳이고, 두 처분이 같은 사건에 관한 것으로 확인된 곳은 카카오페이와 롯데카드 2곳입니다. 제재 건별 내용은 금감원 제재 표에 있습니다.

「다른 행위」는 금감원 공개안과 개인정보위 결정문을 대조해 두 처분이 문제 삼은 위반행위가 서로 다르다는 것을 확인했다는 표시입니다. 예컨대 흥국화재해상보험과 DB손해보험에 대한 개인정보위 처분은 다이렉트 자동차보험에서 계약하지 않은 이용자의 정보를 1년간 보관한 행위였고, 금감원 처분은 그와 다른 보안대책·정보 관리 위반이었습니다. 하나은행에 대한 개인정보위 조사는 금감원이 파생결합펀드(DLF) 현장검사에서 발견해 2020년 3월 행정안전부에 통보한 사건에서 시작됐지만, 표에 적은 금감원 처분과는 위반행위가 다릅니다. 한화생명보험은 개인정보위 결정문이 회사 이름을 가린 스캔본이어서 보도자료로만 대조했습니다. 이 집계는 이현섭 변호사(법무법인 세움)가 금감원 검사·제재 공시를 기준으로 2026-10-26 수집분에서 센 것이고, 처분청과 근거법이 다르므로 두 기관의 금액과 건수는 합산하지 않았습니다.

금융회사의 개인정보는 금감원만 본다는 믿음은 사실에 부합하나요?

금융회사의 개인정보는 신용정보법이 규율하므로 금감원만 본다고 흔히 생각합니다. 반대로 두 기관이 같은 사고를 두 번 처벌한다고 우려하는 경우도 있습니다. 같은 사건 두 건에서는 두 기관이 모두 처분했고, 두 기관이 근거로 삼은 조문은 서로 달랐습니다. 이렇게 갈린 이유는 신용정보법 제3조의2의 구조에 있는 것으로 보입니다. 같은 조 제1항은 신용정보의 이용·보호에 관하여 다른 법률에 특별한 규정이 없으면 신용정보법을 적용한다고 정하고, 제2항은 개인정보의 보호에 관하여 신용정보법에 특별한 규정이 있는 경우를 제외하고는 개인정보 보호법을 적용한다고 정합니다.

카카오페이 사건에서 두 기관은 같은 전송을 어떤 조문으로 처분했나요?

카카오페이는 애플 결제수단 연동에 필요한 NSF 점수(잔액 부족 가능성을 판단하는 점수)를 산출하기 위해 알리페이에 이용자 정보를 보냈습니다. 개인정보위 결정문에 따르면 카카오페이는 2019년 6월 27일부터 2024년 5월 20일까지 매일 전체 이용자 약 4,045만 명의 정보 24개 항목(누적 542억 건)을 이용자의 동의나 국외 이전 고지 없이 보냈고, 그 전인 2018년에도 세 차례 최소 약 1,592만 명의 정보를 보냈습니다. 위원회는 알리페이를 애플의 수탁자로 보았고, 이 전송을 애플(수탁사 알리페이)에 대한 제3자 제공으로 판단했습니다(대법원 2017. 4. 7. 선고 2016도13263 판결 인용).

위원회는 동의 없는 제3자 제공이 개인정보 보호법 제18조 제1항 위반에 해당한다고 보면서도, 같은 행위가 특별법인 신용정보법 제32조 제1항이 적용되는 개인신용정보 무단 제공에도 해당한다고 적었습니다. 따라서 위원회는 별도 동의 없이 국외로 이전한 행위에만 개인정보 보호법 제28조의8 제1항 위반을 적용했고, 2025년 1월 22일 과징금 59억 6,800만 원과 시정명령·공표명령을 의결했습니다(제2025-001-002호). 금감원의 제재내용 공개안(제재조치일 2026년 1월 28일)은 위원회가 남겨 둔 제공 부분을 다뤘습니다. 공개안에 따르면 금감원은 2018년 4월 27일부터 2024년 5월 21일까지 개인신용정보 542억 건(누적 4,045만 명)을 고객 동의 없이 전송한 행위에 신용정보법 제32조 제1항과 전자금융거래법 제26조를 적용했고, 신용정보관리·보호인이 지정된 2020년 10월 8일 이후 위법 제공을 점검하지 않은 점에 신용정보법 제19조 제1항을 적용했습니다. 조치는 기관경고, 과징금 129억 7,600만 원, 과태료 4,800만 원이며 임직원 제재는 따로 있습니다.

두 처분의 금전 제재를 단순히 더하면 189억 9,200만 원입니다. 한편 카카오페이는 개인정보위 처분에 행정소송을 냈고, 1심은 2026년 6월 11일 원고 패소로 판결하면서 알리페이를 애플의 수탁자로 본 위원회 판단을 유지했습니다(서울행정법원 2025구합53645). 카카오페이는 2026년 6월 24일 항소했고, 항소심(서울고등법원 2026누4926)은 2026년 10월 26일 나의 사건검색 조회 기준으로 기일이 지정되지 않은 채 계속 중이어서 처분은 아직 확정되지 않았습니다.

롯데카드 사건에서 두 기관은 같은 해킹을 어떤 조문으로 처분했나요?

2025년 8월 해커는 롯데카드 온라인 결제 서버의 웹로직 취약점을 이용해 웹셸을 설치하고 결제 로그파일을 빼냈습니다. 개인정보위 결정문 기준으로 2,974,778명의 정보가 유출됐고, 그중 452,313명의 정보에는 주민등록번호가 들어 있었습니다. 개인정보위의 조사는 금융위원회가 롯데카드의 개인신용정보 누설 신고 사실을 위원회에 알려 오면서 시작됐습니다. 이 신고 경로는 금융회사의 유출 신고처를 다룬 글에서 살펴보았습니다.

개인정보위는 주민등록번호 처리에 관한 사항에는 개인정보 보호법이 적용된다고 보았고, 그 근거의 하나로 금융위원회의 「금융분야 개인신용정보보호 가이드라인」(2025년 5월)도 주민등록번호 처리 제한에 제24조의2를 적용한다고 설명한다는 점을 들었습니다. 위원회는 롯데카드가 금융거래 목적으로 수집한 주민등록번호를 로그파일에 평문으로 기록하고 민원 대응에 조회한 행위를 제24조의2 제1항 위반으로, 로그를 평문으로 두고 암호화 파일도 쉽게 복호화되게 한 행위를 같은 조 제2항 위반으로 판단했습니다. 위원회는 2026년 3월 11일 과징금 96억 2,000만 원, 과태료 480만 원, 시정명령, 공표명령을 의결했습니다(제2026-004-023호). 위원회가 로그 속 주민등록번호를 위반으로 본 논리는 롯데카드 사건을 다룬 글에서 자세히 살펴보았습니다.

금융위원회는 2026년 7월 31일 같은 해킹에 대하여 업무 일부정지 1.5개월과 과징금 50억 원을 의결했고, 금감원 공개안도 같은 날을 제재조치일로 적었습니다. 금감원 공개안은 근거 법령으로 신용정보법 제19조·제20조와 여신전문금융업법 제54조의4·제54조의5를 들고, 여기에 여신전문금융업감독규정과 전자금융감독규정을 더했습니다. 공개안에 따르면 롯데카드의 온라인결제시스템 보안대책은 2023년 1월 1일부터 2025년 8월 28일까지 부적정했고, 세부 사유는 보안 패치 미실시, 침입차단·탐지 미설치, 주민등록번호 및 비밀번호 암호화 미이행, 서버 백신 미설치, 신용정보관리·보호인의 점검 소홀 다섯 가지입니다.

두 처분이 겹치는 자리는 로그 속 주민등록번호를 바로 암호화하지 않은 사실입니다. 금융당국은 이 사실을 신용정보법상 보안대책 위반의 한 항목으로 다뤘고(신용정보법 제19조, 신용정보업감독규정 별표3 「개인신용정보의 암호화」 등), 개인정보위는 같은 사실을 개인정보 보호법 제24조의2 제2항 위반으로 다뤘습니다. 보안 패치를 하지 않은 점, 침입탐지 장비와 서버 백신을 갖추지 않은 점은 금융위원회가 처분 사유로 들었지만, 개인정보위가 처분 근거로 삼은 조문은 제24조의2 하나였습니다. 두 처분의 금전 제재를 단순히 더하면 146억 2,480만 원입니다.

그래서 사고·조사 대응에서 무엇을 먼저 준비하나요?

두 사건에서 개인정보위는 국외 이전과 주민등록번호 처리를 근거로 처분했습니다. 카카오페이 결정문은 제공 부분을 신용정보법 적용 대상으로 보아 처분에서 뺐다고 적었고, 롯데카드 사건에서 패치·침입탐지·백신 같은 보안대책 미비는 금융위원회의 처분 사유에만 들어 있었습니다. 이 모습은 신용정보법에 특별한 규정이 없는 범위에서 개인정보 보호법이 적용된다는 신용정보법 제3조의2 제2항의 구조로 설명될 여지가 있습니다. 다만 롯데카드 사건의 주민등록번호 암호화처럼 두 법이 함께 적용된 자리도 있었고, 같은 사건으로 확인된 사례가 두 건뿐이므로, 이 두 건을 근거로 어느 행위가 어느 기관의 처분 대상이 되는지에 관한 일반 규칙을 단정할 수는 없습니다.

이 두 사건을 기준으로 보면 사고·조사 대응에서 먼저 준비할 것은 세 가지로 보입니다. 첫째 문제된 행위를 신용정보법 조문과 개인정보 보호법 조문에 각각 대응시켜 보고, 두 사건에서 개인정보위가 개인정보 보호법으로 처분한 유형(국외 이전과 주민등록번호 처리)에 해당하는 행위를 따로 표시해 두는 것입니다. 둘째 한 기관의 처분을 사건이 끝나는 시점으로 잡지 않는 것입니다. 카카오페이 사건에서 두 처분의 간격은 약 1년, 롯데카드 사건에서는 약 4개월 반이었고, 두 사건 모두 개인정보위의 의결이 금융당국의 처분보다 먼저 나왔습니다. 셋째 롯데카드 사건의 주민등록번호 암호화처럼 같은 사실이 두 법에 동시에 걸리는 자리에서는 두 절차에 내는 설명이 서로 어긋나지 않도록 준비하는 것입니다. 어느 행위가 신용정보법의 특별한 규정에 해당하는지는 사안에 따라 결론이 달라질 수 있습니다. 유출을 인지한 뒤의 절차는 개인정보 유출 대응 가이드에 정리해 두었습니다.

이 글이 말하지 않은 것

공개 자료로 같은 사건임이 확인된 사례는 카카오페이와 롯데카드 두 건뿐입니다. 표의 나머지 회사는 원문을 대조한 결과 두 처분의 위반행위가 서로 달랐습니다. 다만 한화생명보험은 결정문이 아니라 보도자료로 대조한 것입니다. 집계는 공개된 처분, 그리고 회사 이름이 확인되는 처분에 한정됩니다. 카카오페이에 대한 개인정보위 처분은 1심에서 원고가 패소했으나 항소 중이어서 확정되지 않았습니다.

두 사건의 금전 제재를 더한 금액은 처분청과 근거법이 다른 처분을 비교하기 위한 단순 합일 뿐입니다. 나아가 신용정보법과 개인정보 보호법 사이에서 과징금이 중복 배제되는지는 이 글에서 다루지 않았고, 정보통신망법과 개인정보 보호법 사이의 과징금 중복 배제는 별도 글에서 다뤘습니다.

자주 묻는 질문

Q. 금감원·금융위 제재를 받았는데 개인정보위도 처분하나요?

공개 자료로 같은 사건임이 확인되는 카카오페이·롯데카드 두 건에서는 두 기관이 모두 처분했습니다. 개인정보위는 국외 이전(개인정보 보호법 제28조의8 제1항)과 주민등록번호 처리(제24조의2)에 개인정보 보호법을 적용했고, 제공 동의와 보안대책은 금융당국이 신용정보법으로 처분했습니다. 두 사건 모두 개인정보위의 의결이 금융당국의 처분보다 먼저 나왔으므로, 순서가 반대일 수도 있다는 점을 염두에 둘 필요가 있습니다. 따라서 문제된 행위를 두 법의 조문에 각각 대응시켜 보고 한 기관의 처분을 사건의 종결 시점으로 잡지 않는 것이 먼저로 판단됩니다. 다만 두 건만으로 일반 규칙을 단정할 수는 없습니다.

Q. 두 기관이 같은 사고를 두 번 처벌하는 것인가요?

같은 사건 두 건에서 두 기관은 서로 다른 조문으로 처분했습니다. 카카오페이 결정문은 동의 없는 제3자 제공이 개인정보 보호법 제18조 제1항 위반에 해당하지만 특별법인 신용정보법 제32조 제1항이 적용된다고 보아 국외 이전 부분만 처분했고, 금감원은 같은 전송을 신용정보법 제32조 제1항으로 제재했습니다. 다만 롯데카드 사건에서는 두 처분이 같은 사실을 함께 문제 삼았습니다. 주민등록번호가 담긴 로그를 바로 암호화하지 않은 점을 금융당국은 신용정보법상 보안대책 위반의 하나로 보았고, 개인정보위는 개인정보 보호법 제24조의2 제2항 위반으로 보았습니다. 두 처분 사이에서 과징금이 중복 배제되는지는 이 글에서 다루지 않았습니다.

Q. 금감원 제재를 받은 금융회사 가운데 개인정보위 처분도 받은 곳은 몇 곳인가요?

2021년부터 2026년까지 금감원이 공시한 개인(신용)정보 관련 제재 55건(2026-10-26 수집분) 가운데 같은 회사가 개인정보위 처분도 받은 것이 확인된 곳은 7곳이고, 그중 같은 사건으로 확인된 곳은 2곳입니다. 나머지 회사는 원문을 대조한 결과 두 처분이 문제 삼은 위반행위가 서로 달랐습니다.

이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.

참고 자료

• 개인정보보호위원회 의결 제2025-001-002호(2025. 1. 22., 전체회의, 카카오페이, 과징금 59억 6,800만 원·시정명령·공표명령)
• 개인정보보호위원회 의결 제2026-004-023호(2026. 3. 11., 제4회 전체회의, 롯데카드, 과징금 96억 2,000만 원·과태료 480만 원·시정명령·공표명령)
• 금융감독원 제재내용 공개안: 카카오페이(202400272, 제재조치일 2026. 1. 28.), 롯데카드(202500566, 제재조치일 2026. 7. 31.)
• 금융위원회, 「롯데카드(주)의 정보유출 관련 1.5개월 업무정지 및 50억원 과징금 부과」, 보도참고자료, 2026. 7. 31. 제14차 금융위원회 조치 의결
• 신용정보법 제3조의2·제19조·제32조, 개인정보 보호법 제18조·제24조의2·제28조의8
• 서울행정법원 2026. 6. 11. 선고 2025구합53645 판결(카카오페이, 원고 패소) · 항소심 서울고등법원 2026누4926(2026. 10. 26. 나의 사건검색 기준 계속 중)
• 금감원 제재 표(2026-10-26 수집분)