그룹 공용 상담 시스템이 뚫리면 일을 맡긴 계열사도 처분받나 — 보람상조 계열 7건 의결

핵심 요약: 그룹 계열사끼리 맡긴 고객 상담 업무도 개인정보 보호법 제26조의 위탁이고, 운영을 맡은 계열사의 시스템에서 개인정보가 유출되면 일을 맡긴 계열사도 각자 피심인이 될 수 있습니다. 개인정보보호위원회는 2026년 5월 13일 보람상조 계열 사건(2024조일0040)을 시스템 운영사 1곳과 상담 업무를 맡긴 계열 6곳으로 나누어 7건으로 의결했고(제2026-009-057호부터 063호까지), 6곳 모두에 제26조 제4항(수탁자 관리·감독)과 제2항(위탁 사실 공개) 위반을 인정했습니다. 수탁자와 한 조직처럼 서비스를 운영했다는 사정은 위반을 지우지 못했고, 고의·과실을 낮게 평가하는 데에만 반영됐습니다. 6곳 가운데 3곳에만 과징금이 부과된 이유도 위반 내용의 차이가 아니라, 산정된 금액이 당시 부과기준의 2백만 원 선을 넘었는지 여부였습니다.

가정 사례를 하나 두겠습니다. 그룹 계열사인 A사는 자체 고객센터와 회원 DB를 두지 않습니다. 고객이 A사 홈페이지에서 상담을 신청하면 그 정보는 그룹의 고객센터와 전산을 맡은 계열사 B사의 통합 시스템에 저장되고, B사 상담원이 A사 상품을 안내합니다. 이 구조에서 A사의 개인정보 보호책임자(CPO)는 B사 시스템이 해킹당했을 때 A사도 조사 대상이 되는지, 그리고 「그룹이 한 조직처럼 움직였다」는 설명이 어디까지 받아들여지는지를 확인해 둘 필요가 있습니다. 개인정보보호위원회(이하 "개인정보위")가 2026년 5월 13일 의결한 보람상조 계열 7건에는 이 두 질문에 관한 판단이 적혀 있습니다.

무슨 사건이었나

2024년 3월부터 5월 사이 그룹 통합사이트인 「보람상조 홈페이지」가 SQL 인젝션 공격을 받았고, 홈페이지 통합회원과 온라인 상담회원 등 27,882명(경찰 제공 자료로 확인된 인원)의 이름과 휴대전화번호 등이 유출됐습니다. 경찰은 2024년 5월 27일 유출 정황을 전달했고, 이 사이트를 운영한 보람상조개발은 다음 날 유출을 신고했습니다. 개인정보위의 조사는 이 유출 신고와, 그보다 앞선 2024년 5월 17일에 접수된 운영사의 개인정보 미파기 민원을 계기로 시작됐습니다.

이 그룹에서는 고객이 계열 각사의 홈페이지에서 가입하더라도 통합사이트의 통합 회원이 됐습니다. 리더스·라이프·피플·애니콜·실로암·플러스 6개사는 온라인·전화 상담으로 상조 계약을 유치하고 유지하는 일, 고객 상담, 대표전화 상담과 같은 고객관계관리(CRM) 업무의 개인정보 처리를 보람상조개발에 맡기고 있었습니다. 개인정보위는 이 관계를 위탁으로 보았고, 같은 사건번호 아래에서 운영사와 6개사를 따로 의결했습니다.

운영사인 보람상조개발에는 안전조치(제29조), 파기(제21조 제1항), 유출 통지(제34조 제1항) 위반이 인정됐습니다. 개인정보위는 이 회사가 2022년 1월 새 페이지를 개발하면서 입력값 검증 등 취약점 점검을 소홀히 했고, 2018년 6월에 설치한 웹 방화벽을 유출 시점까지 탐지모드로만 운영했다고 보았습니다. 결정문은 이 회사가 자기 회원의 개인정보처리자이면서 수탁자의 지위에도 있고, 수탁자로서도 제26조 제8항에 따라 위 세 조문이 준용된다고 적었습니다.

일을 맡긴 계열사는 왜 각자 처분받았나

개인정보 보호법 제26조에는 계열사 사이의 위탁을 제외하는 문언이 없습니다. 제26조 제4항은 위탁자가 수탁자를 교육하고 처리 현황 점검 등으로 감독하도록 정하고, 제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 쉽게 확인할 수 있게 공개하도록 정합니다. 개인정보위는 6개사 모두에 두 조항의 위반을 인정했습니다. 첫째로 6개사는 보람상조개발의 처리 현황을 점검하거나 개인정보 보호 교육을 하는 등의 관리·감독을 충실히 하지 않았고, 개인정보위는 그 결과가 유출로 이어졌다고 보았습니다. 둘째로 6개사는 사고 이후 처리방침을 고치면서 2025년 2월 26일 개정분부터 2025년 9월 8일까지 위탁 사실의 일부를 빠뜨린 채 공개했습니다. 피심인들은 담당자의 실수였다고 주장했고, 무엇이 빠졌는지는 결정문에 적혀 있지 않습니다.

과징금은 제26조 제4항 위반에서 나왔습니다. 제64조의2 제1항 제5호는 위탁자가 관리·감독 또는 교육을 소홀히 하여 수탁자가 법을 위반한 경우를 과징금 대상으로 정합니다. 반면 제26조 제2항 위반은 과태료 사안인데, 개인정보위는 누락 기간이 길지 않고 담당자의 부주의에서 비롯됐으며 피해가 경미하고 시정이 끝났다는 사정을 들어 6건 모두 과태료를 부과하지 않았습니다.

이 사건에서 책임은 운영사 한 곳으로 모이지 않았습니다. 6개사는 각자 피심인이 되어 각자 시정명령과 공표명령을 받았습니다. 공표명령에 따라 각 회사는 처분 통지를 받은 날부터 1개월 안에 자기 홈페이지(모바일 앱 포함) 초기화면 팝업창에 전체 화면의 6분의 1 크기로 2일 이상 5일 미만 처분 사실을 게시해야 합니다. 저희가 정리한 개인정보위 결정문 자료에서 제26조 위반이 인정된 의결은 70건이고, 과징금까지 간 의결이 10건, 그 가운데 제26조 하나만으로 과징금이 나온 의결이 6건입니다. 위탁자가 지는 책임의 일반적인 구조는 수탁사 직원의 실수로 개인정보가 유출됐다에서 다루었습니다.

「한 조직처럼 운영했다」는 어떻게 평가됐나

이 사정은 위반 여부를 판단하는 단계가 아니라 과징금을 산정하는 단계에 적혀 있습니다. 개인정보위는 위반행위의 중대성을 네 요소로 평가했고, 6건 모두 네 요소를 「하」로 보아 「약한 위반행위」로 판단했습니다. 고의·과실 요소에서 결정문은 위탁자들이 수탁자와 같은 조직처럼 서비스를 운영하면서 생긴 위반이어서 고의나 중과실로 보기 어렵다고 적었습니다. 부당성 요소에서는 유출된 DB를 수탁자가 구축·운영했고 오랜 기간 수탁자가 책임져 왔으므로 위탁자가 관리·감독의 필요성을 알아차리기 어려웠다는 점이 고려됐습니다. 나머지 두 요소는 유출된 정보의 유형과 피해의 정도였습니다.

따라서 계열사 CPO는 이 대목을 두 방향으로 읽을 필요가 있습니다. 개인정보위는 그룹이 한 조직처럼 움직였다는 사정을 받아들이면서도 제26조 제4항 위반은 그대로 인정했고, 그 사정은 과실의 정도를 낮게 평가하는 데까지만 쓰였습니다. 한편 그룹 구조가 피심인에게 유리하게만 적힌 것도 아닙니다. 개인정보위는 아래의 지급 능력 주장을 판단하면서 그룹·계열사 구조의 특수성을 그 주장을 받아들이지 않는 사정으로 들었습니다.

과징금이 셋은 나오고 셋은 안 나온 이유는 무엇인가

여섯 건은 인정된 위반, 중대성 등급, 가중·감경 비율이 모두 같았습니다. 그런데도 리더스·라이프·피플에는 과징금이 부과됐고 애니콜·실로암·플러스에는 부과되지 않았습니다. 부과되지 않은 세 건의 결정문에는 같은 이유가 적혀 있습니다. 세 회사는 단계별 산정을 마친 금액이 2백만 원 이하였고, 개인정보위는 당시 과징금 부과기준 제11조 제2항을 적용해 그 금액을 부과하지 않았습니다. 금액을 가른 것은 위반의 내용이 아니라 산정액의 크기였던 것으로 판단됩니다.

결정문이 인용한 부과기준 제6조 제1항에 따르면 기준금액은 관련 매출액에 부과기준율을 곱해 정해지는데, 매출액과 부과기준율, 산정액이 결정문에서 모두 가려져 있어 산정액이 회사마다 달랐던 까닭은 확인되지 않습니다. 다만 위반기간은 표에서 확인됩니다. 개인정보위는 위반기간을 위·수탁 계약을 체결한 때부터 세었고, 여섯 건 모두 2년을 넘겨 50% 가중을 받았습니다.

위원회가 받아들이지 않은 주장은 무엇이었나

6개사는 같은 취지의 주장 두 가지를 냈고, 개인정보위는 둘 다 일부만 받아들였습니다. 첫째로 6개사는 여러 해 동안 자본잠식 상태였으므로 과징금을 면제하거나 감경해 달라고 요청했습니다. 개인정보위는 자본잠식이 이어진 것으로 보이기는 하지만 회계감사 의견에 존속능력의 불확실성을 지적한 내용이 없었고, 상조사업과 그룹·계열사 구조의 특수성을 고려하면 객관적으로 과징금을 낼 능력이 없는 경우로 보기 어렵다고 판단했습니다. 이득이 없었다는 점과 시정을 마쳤다는 점만 감경에 반영됐습니다.

둘째로 6개사는 홈페이지를 통해 가입한 상조상품의 매출만 관련 매출로 보아 달라고 주장했습니다. 개인정보위는 홈페이지 운영과 온라인 상담이 상조 서비스와 직접 관련된 업무이므로 상조 서비스 매출 전체가 관련 매출이라고 보았고, 상조와 무관한 임대료나 기타 이용료 등만 제외했습니다. 다만 관련 매출의 범위는 서비스 구조와 사안에 따라 결론이 달라질 수 있습니다.

그룹 단위로 내려진 시정명령은 무엇을 요구하나

6개 위탁자가 받은 시정명령은 문언이 같고 네 가지를 요구합니다. 수탁자를 더 명확하게 공개할 것, 처리 현황 점검과 교육 등 그룹 공통의 수탁자 관리·감독 방안을 마련할 것, 개인정보 보호에 관한 의사결정 체계를 정비하고 준법통제를 개선할 것, 그리고 개인정보위와 협의해 이행한 뒤 90일 안에 결과를 제출할 것입니다. 운영사가 받은 시정명령에도 위탁받아 처리하는 개인정보를 포함한 그룹 전반의 처리 현황 점검과, 그룹 차원의 의사결정 체계 정비가 들어 있습니다. 처분은 법인마다 따로 내려졌으나 시정의 내용은 그룹 단위로 짜여 있다는 점이 이 사건의 특징으로 보입니다.

계열사 간 위탁에서 무엇을 점검할 수 있나

통합 회원, 공용 CRM, IT 계열사 위탁과 같은 구조를 쓰는 회사는 위 시정명령의 문언과 제26조에 비추어 다음 항목을 점검 대상으로 삼을 수 있습니다.

1. 계열사에 맡긴 업무가 제26조 제1항이 정한 문서로 정리되어 있는지 여부
2. 처리방침에 위탁 업무의 내용과 수탁 계열사가 빠짐없이 적혀 있는지, 처리방침을 개정할 때 위탁 항목을 개정 전과 대조하는지 여부
3. 수탁 계열사의 처리 현황 점검과 개인정보 보호 교육이 실제로 이루어지고 기록으로 남는지 여부
4. 위 점검과 교육에 관한 그룹 공통의 수탁자 관리·감독 방안이 마련되어 있는지 여부
5. 개인정보 보호에 관한 의사결정과 준법통제가 그룹 안에서 어느 단위의 책임으로 이루어지는지 여부

위탁자와 수탁자의 지위별 의무는 위탁·수탁 개인정보 책임 지도에, 먼저 배상한 쪽이 상대방에게 돌려받는 문제는 수탁사로부터 돌려받는 금액은 어떻게 결정되는가에 정리되어 있습니다.

이 글이 말하지 않는 것은 무엇인가

우선 금액의 차이를 설명하는 숫자는 공개되어 있지 않습니다. 매출액, 부과기준율, 단계별 산정액이 가려져 있으므로 이 글은 세 회사의 산정액이 왜 2백만 원 이하였는지를 말하지 못하고, 6개사의 금액을 회사 규모의 순서로 읽는 것도 결정문으로는 뒷받침되지 않습니다. 또한 개인정보위가 세 회사에 과징금을 부과하지 않으면서 든 근거는 이 사건에 적용된 당시 부과기준(개인정보보호위원회 고시 제2023-3호) 제11조 제2항이고, 이 글은 그 조항의 요건 전체를 확인하지 않았습니다. 이 글은 그 뒤의 부과기준에서 같은 규정이 어떻게 되어 있는지를 확인하지 않았으므로, 이 사건을 같은 구조의 사건에 과징금이 부과되지 않을 것이라는 근거로 쓸 수는 없습니다.

본문의 제26조와 제64조의2는 2026년 9월 11일 시행 기준의 현행 조문으로 적었습니다. 피심인들이 이 처분에 불복했는지는 확인하지 않았고, 그룹 안의 정보 이동이 위탁이 아닌 다른 관계에 해당하는 경우도 결정문이 다루지 않았으므로 이 글에서 다루지 않습니다. 유출 사고 이후의 대응 전체는 개인정보 유출 대응 가이드에 정리되어 있습니다.

자주 묻는 질문

Q. 그룹 계열사에 고객 상담을 맡긴 것도 개인정보 보호법상 위탁인가요?

Q. 시스템을 직접 운영하지 않은 계열사도 과징금을 받을 수 있나요?

Q. 그룹이 한 조직처럼 운영됐다는 사정은 어떻게 반영됐나요?

이 글은 공개된 결정문과 법령을 근거로 한 일반적인 정리이고, 구체적인 사안에 대한 판단은 사실관계에 따라 별도의 검토가 필요합니다.

참고 자료

• 개인정보보호위원회 의결 제2026-009-057호부터 제2026-009-063호까지(사건번호 2024조일0040, 2026. 5. 13. 의결). 개인정보보호위원회 「위원회 결정문」 게시판의 심의의결서 공개본 7건입니다. 위탁자 여섯 건의 처분 내역은 제26조 제재 사례 면에, 운영사 건을 포함한 일곱 건은 제재 결정 전체 표에 실려 있습니다
• 개인정보 보호법 제26조 제1항·제2항·제4항·제8항, 제64조의2 제1항 제5호(2026. 9. 11. 시행 기준)
• 「개인정보 보호법 위반에 대한 과징금 부과기준」(개인정보보호위원회 고시 제2023-3호) 제6조 제1항·제11조 제2항. 이 사건 결정문이 인용한 당시 기준입니다
• 과태료 부과기준 제3조 제2항. 이 사건 결정문이 제26조 제2항 위반에 과태료를 부과하지 않은 근거로 든 규정입니다