2026년 상반기 개인정보위 제재 정리: 과징금 6,807억 원은 어디에 부과됐나

핵심 요약 개인정보보호위원회는 2026년 상반기(1. 14.~6. 24.) 전체회의를 12차례 열어, 공개된 의결 기준으로 38개 사업자·기관에 제재를 의결했습니다. 과징금 합계는 6,806억 7,100만 원, 과태료 합계는 2억 580만 원입니다. 쿠팡 한 건(6,246억 8,100만 원)이 과징금 총액의 약 92%를 차지하고, 이를 제외한 나머지가 559억 9,000만 원입니다. 위반유형은 안전조치의무 위반이 제재 26건 중 18건으로 가장 많았고, 유출 신고·통지 위반이 10건으로 뒤를 이었습니다. 이 글의 수치는 개인정보위 보도자료와 전체회의 상정안건을 대조해 집계한 것으로, 비공개 안건은 포함되지 않습니다.

개인정보위가 올해 상반기에 누구에게 얼마를 부과했는지, 한눈에 볼 수 있는 자료가 없었습니다. 보도자료는 회의 때마다 따로 나오는 데다 결정문은 의결 후 1년쯤 지나야 공개되기 때문에, 지금 시점에 상반기 전체 그림을 보려면 회의별로 흩어진 보도자료를 하나하나 모아 맞추는 수밖에 없습니다.

그래서 직접 만들었습니다. 상반기 보도자료 149건과 전체회의 12차례의 상정안건을 전부 대조해 표로 정리했습니다.

집계 기준을 먼저 밝혀 둡니다. 보도자료 발행일이 아니라 의결일 기준이고, 비공개 안건은 알 수 없어 빠져 있습니다. 자세한 한계는 글 끝의 방법론에 적었습니다.

상반기에 몇 곳이, 언제 제재를 받았나요

전체회의 12차례 중 10차례에서 제재가 의결됐습니다. 피처분자는 38개 사업자·기관입니다.

2월과 5월이 두드러집니다. 이유가 있습니다.

2월(13곳)은 식음료 분야 실태조사 처분이 몰린 달입니다. 캐치테이블·테이블링 같은 원격 예약 플랫폼부터 스타벅스·버거킹·맥도날드 등 프랜차이즈까지 10개 사업자가 실태조사 결과로 한 번에 처분받았고, 여기에 루이비통·디올·티파니 3사의 유출 사건이 더해져 이런 숫자가 나왔습니다.

5월(12곳)은 공공 쪽 일괄 처분입니다. 행정안전부(정부24), 농촌진흥청과 소속기관 2곳, 수탁업체까지 한 안건으로 묶였고, 보람상조 계열 7개사 처분도 이 달이었습니다.

과징금은 어디에 집중됐나요

한 건이 전체를 지배합니다. 6. 10. 의결된 쿠팡 건의 과징금이 6,246억 8,100만 원으로, 상반기 총액의 약 92%입니다. 약 3,755만 명의 개인정보 유출과 약 1,117만 명의 온라인 활동기록 무단 수집 등이 함께 문제 됐고, 단일 사건 과징금으로는 국내 최대 규모로 판단됩니다.

쿠팡을 제외하고 봐야 나머지 지형이 보입니다.

상위권의 공통점은 대량 유출입니다. 루이비통(약 360만 명)·디올(약 195만 명)은 SaaS 기반 고객관리 시스템의 계정 관리가 뚫렸고, 롯데카드(약 297만 명)는 로그 파일에 주민등록번호를 평문으로 남겨 둔 것이 화근이었습니다.

눈에 띄는 것은 4위입니다. 콜센터 아웃소싱 업체인 케이에스한국고용정보가 35억 3,700만 원을 부과받았습니다. 이름이 널리 알려진 회사가 아니어도, 다크웹 게시까지 이어진 인사서류 유출의 무게는 대기업 수준으로 평가된 셈입니다.

무엇이 가장 많이 걸렸나요: 위반유형 분포

제재 처분 26건의 위반 서술을 유형별로 세면 이렇게 됩니다.

안전조치의무 위반이 26건 중 18건입니다. 접근권한을 IP 주소로 제한하지 않았거나, 외부에서 개인정보처리시스템에 접속할 때 안전한 인증수단을 적용하지 않았거나, 접속기록을 월 1회 이상 점검하지 않는 등 고시가 요구하는 기본 조치가 비어 있던 사례가 회의를 바꿔 가며 되풀이됩니다. 새로운 공격 기법에 당한 회사는 오히려 드뭅니다.

두 번째가 유출 신고·통지 위반(10건)이라는 점을 눈여겨볼 필요가 있습니다. 유출 자체와 별개로, 72시간 내 신고·통지를 놓치거나 통지 항목을 누락하면 과태료와 시정명령이 따로 붙습니다. 디올·티파니·크리스티스·행정안전부가 모두 이 항목으로 추가 처분을 받았습니다. 사고 대응 절차는 유출 신고 72시간 규칙을 정리한 글에서 다뤘습니다.

주민등록번호 무근거 처리도 5건입니다. 결혼정보회사가 정회원 가입 때, 경매회사가 신원 확인 명목으로, 공원묘원이 관행으로 주민등록번호를 받아 왔습니다. 법령상 근거 없는 주민등록번호 수집은 그 자체로 처분 대상인데, 오래된 수집 관행이 유출 사고를 계기로 드러나는 패턴이 반복되고 있습니다.

파기 의무 위반(5건)과 수탁자 관리·감독 위반(5건)도 꾸준합니다. 특히 수탁 구조에서는 위탁자도 함께 처분받습니다. 5월 농촌진흥청 건에서는 위탁자인 기관 3곳이 수탁업체 감독 소홀로 함께 과징금을 받았고, 보람상조 건에서도 계열 위탁사 6곳에 과징금이 나왔습니다.

보관 중 개인정보를 파기하지 않은 문제는 탈퇴회원 개인정보 글을 참고하시기 바랍니다.

유출 사고가 없어도 제재는 나옵니다. 식음료 10개사는 실태조사에서 아동 무동의 수집(버거킹, 9억 2,400만 원)과 마케팅 자동동의(메가MGC커피, 6억 4,200만 원) 등이 적발됐고, 빗썸은 동의 없는 국외이전으로 2억 1,000만 원을 부과받았습니다. 유출 대응만 준비하는 회사는 절반만 준비하는 것으로 보입니다.

공공기관은 어땠나요

상반기 피처분자 38곳 중 7곳이 공공기관입니다. 한국연구재단(7억 300만 원), 공무원연금공단(5억 3,200만 원), 강북구청(3억 7,800만 원), 행정안전부(2억 7,300만 원), 농촌진흥청과 소속기관 2곳이 처분을 받았습니다.

공공 처분에는 민간에 없는 항목이 붙는데, 한국연구재단과 공무원연금공단에는 책임자 징계권고가 의결됐고 연구재단 건에서는 소관 부처인 과기정통부·교육부에 관리·감독 강화를 통보하는 조치까지 함께 나왔습니다.

공공기관 유출에 대한 패널티를 확대하겠다는 방침도 4월에 예고된 상태입니다. 하반기 공공 제재는 더 무거워질 것으로 예상됩니다.

상반기 제재 전체 목록

공개된 의결 기준 전체 목록입니다. 그룹 처분은 보도자료가 합산액만 공개한 경우 묶어서 적었습니다.

* 그룹 합산액. 사업자별 배분은 공개되지 않았습니다.

제재 외의 의결로는 과기정통부에 대한 휴대전화 개통 안면인증 개선권고(5. 27.), 한국수자원공사와 네이버 AI Tab에 대한 사전적정성 검토 의결 2건이 있었습니다.

이 통계를 읽을 때 유의할 점: 방법론과 한계

이 글의 원자료는 ① 2026년 상반기 개인정보위 보도자료 전수(149건 중 제재·의결 관련 18건의 본문)와 ② 전체회의 12차례의 상정안건 목록 두 가지이고, 둘을 회의별로 대조해 공개 안건과 보도자료가 전부 대응하는지 확인한 뒤 보도자료에 총액이 적힌 그룹 처분 6건은 개별 금액의 합이 총액과 일치하는지 검산했습니다.

그래도 이 집계는 전수가 아닙니다. 상정안건 중 비공개로 처리된 제재·권고 안건이 세 묶음 있었고(1월 개선권고 1건, 3월 시정조치 3건, 6월 시정권고 3건), 이들은 보도자료가 없어 집계에 들어 있지 않습니다. 그래서 이 글은 일관되게 “공개된 의결 기준"이라고 적었습니다.

위반 조문도 주의가 필요합니다. 보도자료가 조문을 명시한 것은 4건(제22조의2, 제18조, 제24조의2, 제34조 제1항)뿐이고, 나머지 위반유형 분류는 보도자료의 서술을 기준으로 한 것입니다. 결정문이 공개되면 수치가 일부 달라질 수 있고, 그때 이 글을 갱신하겠습니다. 잘못 집계된 부분을 발견하시면 알려주시기 바랍니다.

종합하면

상반기 제재의 무게중심은 분명합니다. 처분은 기본 의무, 그중에서도 안전조치의무(18건)와 사고 후 신고·통지(10건)에서 나왔습니다. 유출 사고를 겪은 회사의 처분액을 키운 것은 대개 사고 자체보다 그 전후의 관리 상태였던 것으로 보입니다. 접근통제와 접속기록 점검, 72시간 신고·통지 체계, 법적 근거 없는 주민등록번호 수집 여부, 수탁사 감독. 이 네 가지가 상반기 통계가 가리키는 점검 항목으로 판단됩니다.

9월에는 과징금 상한 산정 방식이 바뀐 개정법 시행도 예정되어 있습니다. 제재 수위가 어떻게 달라지는지는 과징금 상한 개정을 다룬 글에서 정리했습니다. 하반기 통계는 연말에 이어서 집계할 예정입니다.

이 글은 일반적인 정보 제공 목적으로 작성됐으며 법률자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.