글

투자 실사의 개인정보 항목이 고객 데이터에서 임직원 데이터로 넓어지고 있습니다. 지적이 잘 나오는 곳은 민감정보·고유식별정보를 구분 없이 한 번에 묶어 받은 입사 동의서, 법정 보존기간이 지난 퇴직자 기록, 임직원 처리 내용이 빠진 처리방침 세 곳입니다. 처리방침 정비와 보존기간이 지난 기록의 파기는 클로징 전에 완료할 수 있어 선행조건에 맞고, 이미 지난 처리의 흠은 확약으로 지워지지 않으므로 진술보증이나 면책으로 다뤄야 합니다.

성인의 건강정보는 본인이 정보주체이고, 부모와 자녀라는 관계만으로는 서로를 대신해 동의할 권한이 생기지 않습니다. 개인정보 보호법이 동의 주체로 명시한 법정대리인은 만 14세 미만 아동의 법정대리인뿐이며, 성년후견인이 대신 동의할 수 있는지는 가정법원이 정한 법정대리권과 신상결정 권한의 범위에 따라 달라질 여지가 있습니다. 건강 관리 앱의 가족 공유 기능을 본인 동의 중심으로 설계하는 방법과, 대리 신청을 받을 때 후견등기사항증명서로 권한 범위를 확인하는 방법을 정리합니다.

건강정보는 민감정보이므로 개인정보 보호법 제23조 제1항 제1호에 따라 다른 개인정보 처리에 대한 동의와 별도로 동의를 받아야 합니다. 회원가입 동의 한 번에 묶어 받으면 동의 방법의 하자를 넘어 민감정보를 동의 없이 처리한 것으로 다뤄질 수 있고, 이 경우 과징금(제64조의2 제1항 제3호)과 형벌(제71조 제4호)의 대상이 됩니다. 개인정보위가 포괄 동의를 제23조 제1항 위반으로 본 의결과, 지적된 뒤 동의 화면·고지·기존 데이터를 어떻게 정리해야 하는지를 정리합니다.

가상 사례입니다. 외부 벤더가 공급한 고객상담 AI 에이전트가 상담 창에 입력된 지시문(프롬프트 인젝션)에 따라 고객 주문 정보를 외부 주소로 보낸 사고를 발견부터 72시간까지 시간순으로 따라갑니다. 인지 시점, 유출 가능성 통지, 시행령 제40조 제1항 제3호의 「외부로부터의 불법적인 접근」 해당 여부, 정보통신망법의 24시간 신고, 벤더의 수탁자 지위, 회수·삭제 단서, 통지 문안과 기록에서 회사가 고를 수 있었던 선택지와 그때 남는 기록을 표로 정리했습니다. 프롬프트 인젝션이 제3호에 해당하는지에 관한 개인정보위의 공개 해석은 2026년 10월 15일 기준 확인하지 못했고, 해당한다고 볼 근거와 아니라고 볼 근거가 함께 있습니다.

CCTV 영상을 외부로 내보내지 않고 들여다본 뒤 그 내용을 말로 전해 징계 자료로 쓴 행위도 대법원은 개인정보의 「이용」이라고 보았습니다(대법원 2025. 6. 26. 선고 2023도18539 판결). 다만 이 판결은 파기환송이고 유죄 확정이 아니며, 그 이용이 수집 목적의 범위를 넘었는지와 영상을 본 사람이 개인정보처리자인지는 환송심에 남았습니다. 회사가 설치 목적과 개인정보 보호법 제18조 제2항의 근거를 어떤 순서로 확인할지, 그리고 목적 밖의 이용이나 동의 없는 제공을 다른 법률의 규정으로 정당화하려 한 공공기관 행정사건 두 건에서 결론이 어떻게 갈렸는지를 정리합니다.

그룹 계열사끼리 맡긴 고객 상담 업무도 개인정보 보호법 제26조의 위탁입니다. 개인정보보호위원회는 2026년 5월 13일 보람상조 계열 사건에서 시스템 운영사와 별도로, 상담 업무를 맡긴 계열 6개사를 각자 피심인으로 삼아 제26조 제4항·제2항 위반을 인정하고 시정명령과 공표명령을 내렸습니다. 수탁자와 한 조직처럼 운영했다는 사정은 위반을 지우지 못하고 과실 평가를 낮추는 데에만 반영됐으며, 과징금이 세 곳에만 부과된 이유는 위반 내용이 아니라 산정 금액의 크기였습니다.

고객의 예금·정산금·가상자산에 대한 압류명령을 받은 회사(제3채무자)가 법원에 내는 진술서에 무엇을 적어야 하는지를 개인정보 제공 범위의 관점에서 정리합니다. 진술할 사항은 민사집행법 제237조 제1항의 네 호가 정하고, 가상자산이전청구권은 2026년 10월 12일 공포된 민사집행규칙 일부개정규칙(대법원규칙 제3280호, 2026년 11월 1일 시행) 제175조의4의 네 호가 정합니다. 네 호에 직접 대응하지 않는 거래내역 전체·입출금 상대방·본인확인 자료는 자동으로 진술의무에 포함되지 않으므로 진술 사항과의 관련성·필요성과 별도 제공 근거를 따로 확인해야 하고, 민간 회사는 개인정보 보호법 제18조 제2항 제8호(법원의 재판업무 수행)를 근거로 쓸 수 없습니다.

개인정보위가 밝힌 12·6·3개월 처리 원칙, 언론이 전한 평균 조사 기간, 결정문에서 직접 센 기간은 서로 다른 구간을 잰 숫자입니다. 조사 통지를 받은 회사가 충당금·공시·이사회 보고·거래 일정을 어떤 전제로 잡아야 하는지, 준비의 순서를 정리합니다.

2026년 10월 은행권 유출에서 KB국민은행 119명 건은 개인정보위에, 신한은행 약 2만 5천 명 건은 금융감독원에 신고된 것으로 보도됐습니다. 신고처가 갈린 것은 신용정보법(개인신용정보 1만 명 이상 → 금융위원회·금융감독원)과 개인정보 보호법(1천 명 이상·민감정보·고유식별정보·외부의 불법적인 접근 → 72시간 안에 개인정보위·한국인터넷진흥원)의 기준이 다르기 때문입니다. 1만 명 미만 누설에 개인정보 보호법의 신고 조항이 적용되는지에 관하여 확인되는 공개 해석은 없습니다. 세 은행 공지의 유출 항목을 두 기준에 대어 보았습니다.

보안 인증과 정보보호 투자를 들어 「안전조치를 다했다」고 주장한 사건에서 개인정보보호위원회는 그 노력을 인정하면서도 유출 지점의 보호조치를 따로 따졌고, 다섯 건 어디에서도 인증이 위반을 없애지 않았습니다. 인증과 투자는 과징금 산정에서 반영됐습니다. 쿠팡 Wing 사건에서는 투자공시 업계 1위 등을 들어 30%를 추가 감경했고, 2026년 9월 11일부터는 법 제64조의2 제6항이 투자에 따른 감경을 의무로 정했습니다.