개인정보위 자료제출 요구를 받았습니다 — 첫 회신 전에 맞춰 볼 사실관계와 증빙

핵심 요약: 개인정보위 자료제출 요구에 대한 첫 회신은 설명문을 빨리 완성하는 작업이 아닙니다. 먼저 공문에 적힌 조사목적·요청항목·대상기간·제출기한·제출방식을 확인하고, 모든 요청항목을 하나의 대응표에서 관리해야 합니다. 담당자의 기억은 시스템 원본과 대조하고, 자료가 서로 맞지 않으면 차이를 숨기거나 임의로 하나를 선택하지 말고 충돌 내용과 확인 결과를 남겨야 합니다. 첫 회신의 기준은 자료의 양보다 완전성·일관성·추적 가능성입니다.

개인정보위의 자료제출 요구 공문을 처음 받으면 회사는 대개 답변 문안부터 작성하려고 합니다. 법무팀은 경위를 정리하고, 개발팀은 로그를 내보내며, 보안팀은 사고보고서를 수정하는 식입니다. 그러나 각 부서가 별도의 문서에서 작업하면 같은 시점과 행위에 관한 설명이 서로 달라질 수 있습니다.

따라서 첫 회신을 작성하기 전에 회사가 먼저 해야 할 일은 요청항목별 사실과 증빙을 한곳에서 맞추는 것입니다. 특히 담당자의 기억, 시스템에 남은 기록, 이미 작성된 내부 보고서가 같은 내용을 말하는지 확인해야 합니다.

지금은 조사 단계인가 처분 사전통지 단계인가

개인정보 보호법 제63조 제1항은 개인정보위가 법 위반 사항을 발견하거나 혐의를 알게 된 경우, 신고나 민원을 접수한 경우 등 법에서 정한 사유가 있으면 개인정보처리자에게 관계 물품·서류 등의 제출을 요구할 수 있도록 합니다. 자료를 제출하지 않거나 법 위반 사실이 있다고 인정되면 개인정보위는 제63조 제2항에 따라 사무소·사업장에 출입하여 업무 상황과 장부·서류 등을 검사할 수 있습니다.

지금 받은 공문이 자료제출 요구라면 아직 처분에 관한 의견서를 내는 단계와는 구별해야 합니다. 조사 단계에서는 요청받은 사실과 자료를 정확하게 확인하는 것이 우선이고, 처분 사전통지 단계에서는 개인정보위가 적시한 사실과 적용 조문을 기준으로 의견과 증거를 다시 구성하게 됩니다.

전체 조사·처분 절차의 위치는 유출 통지·신고를 마친 다음 이어지는 단계에 정리했습니다. 이 글은 그중에서도 자료제출 요구를 받은 시점부터 첫 회신을 제출하기 전까지의 작업에 한정합니다.

공문에서 먼저 확인할 범위와 기한

「개인정보 보호위원회의 조사 및 처분에 관한 규정」(이하 "조사규정") 제8조에 따르면 조사관은 조사공문에 기재된 조사목적의 범위 안에서 조사해야 합니다. 따라서 회사도 내부 자료를 모으기 전에 공문에 적힌 조사목적과 개별 요청항목의 관계를 먼저 확인해야 합니다.

조사규정 제9조는 자료제출 요구 공문에 다음 사항을 기재하도록 정하고 있습니다.

1. 제출요청 사유
2. 자료를 제출할 자
3. 제출할 자료
4. 제출기한과 제출 장소
5. 제출방식
6. 요구에 따르지 않을 경우의 제재 내용

공문을 받으면 위 항목이 어떻게 기재되어 있는지 확인하고, 요청사항을 회사가 익숙한 표현으로 지나치게 요약하지 않아야 합니다. 예를 들어 공문이 특정 기간의 접근권한 변경 내역을 요구하는데 내부 작업표에는 단순히 "권한 자료"라고 적으면 대상기간과 변경 이력이 빠질 수 있습니다.

기준시점도 별도로 표시해야 합니다. 회원 수, 처리 중인 개인정보의 범위, 시스템 설정값처럼 시간이 지나면서 달라지는 정보는 어느 날짜를 기준으로 추출했는지에 따라 내용이 달라질 수 있기 때문입니다.

요청항목별 대응표는 왜 하나로 관리해야 하나

여러 부서가 각자 답변을 작성하는 대신, 공문의 요청항목을 행 단위로 옮긴 하나의 대응표를 운영해야 합니다. 아래 표는 개인정보위에 제출해야 하는 법정 서식이 아니라, 회사가 첫 회신의 정확성과 일관성을 확인하기 위한 내부 작업표입니다.

대응표는 공문의 항목 번호를 유지해야 합니다. 하나의 요청에 여러 시스템이나 기간이 포함되어 있다면 하위 행을 추가하되, 원래 요청항목과의 연결이 끊어지지 않도록 관리해야 합니다.

담당자와 최종 확인자도 구분해야 합니다. 자료를 추출한 사람이 그 자료의 법적 의미까지 판단한다고 전제하거나, 법무팀이 시스템 기록의 생성 방식을 추정하면 사실과 해석이 섞일 수 있습니다.

담당자 진술은 시스템 원본과 어떻게 대조하나

담당자 인터뷰는 사실관계를 찾는 출발점이지만 그 자체가 시스템 기록을 대신하지는 않습니다. 담당자가 기억하는 작업 시점과 로그에 표시된 시점이 다르거나, 현행 설정이 당시 설정과 달라졌을 수 있습니다.

인터뷰에서는 적어도 다음 내용을 구분하여 기록해야 합니다.

• 담당자가 직접 수행하거나 확인한 사실
• 다른 사람에게 전달받은 사실
• 통상적인 업무 절차를 근거로 추정한 내용
• 현재는 기억하지 못하거나 추가 확인이 필요한 내용

그다음 회사는 인터뷰 결과를 로그, 관리자 화면, 설정 이력, 업무 티켓, 버전 기록, 계약서, 내부 보고서 등 당시 또는 해당 시스템에서 생성된 자료와 대조해야 합니다. 자료를 추출할 때에는 대상 시스템, 추출 조건, 대상기간, 추출일과 파일명을 함께 남겨 두면 나중에 동일한 자료가 어떻게 만들어졌는지 확인하기 쉽습니다.

화면 캡처만으로 충분한지, 원시 로그나 별도 내보내기 파일이 필요한지는 요청항목과 시스템 구조에 따라 달라질 수 있습니다. 중요한 것은 제출자료의 출처와 생성 과정을 나중에도 설명할 수 있도록 하는 것입니다.

조사 단계의 범위와 숫자가 처분소송에서 다시 문제되는 이유

2026년 9월 현재 공개 판례에서는 개인정보 보호법 제63조의 자료제출 요구나 현장검사의 범위·절차 자체를 직접 판단한 사례를 찾기 어렵습니다. 다만 개인정보위 처분의 취소를 구한 사건들을 보면, 조사 단계에서 확인한 서비스·시스템의 범위, 개인정보의 수, 처리 목적, 자료 흐름과 매출 자료가 이후 과징금 산정과 처분의 적법성을 판단하는 자료로 다시 쓰일 수 있습니다.

서울고등법원 2023누34486 판결은 초등 온라인 학습서비스와 중·고등 학습서비스가 별도로 운영된 사안에서, 유출된 개인정보를 보유·관리한 서비스와 관련 개인정보의 범위를 기준으로 과징금 산정의 기초를 판단했습니다. 이 판결은 대법원 2023두61554 심리불속행 기각으로 확정되었습니다. 첫 회신에서 회원 수나 개인정보 수를 제출할 때에는 전체 회사 수치만 적지 말고, 어떤 서비스·DB·기간을 기준으로 계산했는지도 함께 고정해야 합니다.

서울행정법원 2023구합54259 판결은 메타가 약 19개월 동안 아홉 차례 자료제출 요구에 충실히 응했다고 주장한 사안에서, 그 사정만으로 개인정보위가 추가 감경을 하지 않은 것이 재량권 일탈·남용이라고 볼 수 없다고 판단했습니다. 이 판결은 2026년 9월 현재 항소심(서울고등법원 2025누6020) 계속 중입니다. 자료를 여러 번 많이 제출했다는 사실 자체보다, 각 자료가 쟁점별 사실과 어떻게 연결되고 서로 일치하는지가 더 중요하다는 점을 보여 줍니다.

대법원 2022두68923 판결은 유출된 개인정보를 보유·관리한 서비스의 매출액을 관련 매출액으로 보아야 한다고 판단하면서, 위반행위의 기간·규모, 다음 날 이루어진 신고, 구조적 문제의 유무 등을 과징금 재량 판단의 요소로 확인했습니다. 따라서 첫 대응표에는 서비스와 DB의 범위뿐 아니라 위반 지속기간, 영향받은 정보주체 수, 인지·신고 시점과 구조적 원인도 같은 기준시점으로 정리해야 합니다.

이 판결들은 제63조에 따른 첫 회신의 형식이나 제출 범위를 직접 정한 선례는 아닙니다. 다만 조사 단계에서 제출한 범위와 숫자가 뒤의 처분 및 소송에서 다시 검토될 수 있다는 점에서, 첫 회신 때부터 산출 기준과 근거자료를 함께 남겨야 할 이유를 보여 줍니다.

자료가 서로 다를 때 무엇을 남겨야 하나

조사 대응 과정에서는 자료 간 충돌이 드물지 않습니다. 사고보고서에는 최초 인지 시각이 오전 10시로 적혀 있지만 보안 알림은 오전 9시 42분에 발생했거나, 처리방침의 설명과 실제 시스템 설정이 다를 수 있습니다.

이 경우 기존 문서를 조용히 수정하여 차이를 없애서는 안 됩니다. 대응표의 "다른 자료와 충돌" 열에 다음 사항을 기록하고, 어떤 자료를 기준으로 사실을 정리했는지와 그 이유를 남겨야 합니다.

1. 서로 다른 자료의 명칭과 작성·생성 시점
2. 충돌하는 내용
3. 차이가 발생한 것으로 보이는 원인
4. 추가로 확인한 자료와 담당자
5. 최종적으로 확인된 사실과 아직 확인되지 않은 부분

예를 들어 처리방침과 실제 처리 현황이 일치하지 않는다면 공문 회신을 위해 문구만 맞추기보다, 어느 시점부터 어떤 차이가 있었는지 확인해야 합니다. 관련 쟁점은 자동 생성 개인정보 처리방침과 실제 처리의 불일치에서 별도로 다뤘습니다.

아직 확인되지 않은 사실은 확정된 것처럼 적지 않아야 합니다. 확인 중인 항목, 확인 방법과 예상 일정, 추가 제출 필요 여부를 분리하면 현재 답변의 범위가 더 분명해집니다.

제출기한이 부족하면 언제 연장을 검토해야 하나

자료의 범위가 넓거나 해외 본사·외부 수탁자에게서 자료를 받아야 하는 경우에는 제출기한 안에 모든 사실을 확인하기 어려울 수 있습니다. 조사규정 제12조의2에 따르면 부득이한 사유로 제출기한 연장이 필요하면 제출기한이 지나기 전에 그 사유와 내용을 개인정보위에 알릴 수 있고, 개인정보위는 조사목적의 범위 안에서 연장을 허용할 수 있습니다.

연장은 회사가 통지만 하면 자동으로 발생하는 것이 아닙니다. 따라서 회사는 연장이 필요한 요청항목, 현재까지 확보한 자료, 남은 확인사항, 필요한 추가 기간과 사유를 구체적으로 정리해야 합니다.

조사 일시의 변경이 필요한 경우에도 같은 조에 따라 조사 개시 전에 사유와 내용을 알릴 수 있습니다. 담당자는 공문에 표시된 연락 방법과 제출방식을 확인하고, 개인정보위와 협의한 내용을 내부 기록으로 남겨야 합니다.

답변서와 증빙목록을 어떻게 연결하나

제출본을 만들 때에는 답변 문안, 증빙자료와 대응표에 같은 항목 번호를 사용해야 합니다. 조사관이 답변의 근거자료를 찾을 수 있고, 회사도 특정 설명이 어느 자료에 근거했는지 다시 확인할 수 있기 때문입니다.

제출 패키지는 사안에 따라 다음 항목을 조합합니다.

1. 공문 요청항목별 답변서
2. 제출자료 목록
3. 항목 번호가 표시된 개별 증빙
4. 파일명·대상기간·추출일 등 증빙의 기본 정보
5. 확인 중인 사항과 추가 제출 계획에 관한 설명

내부 대응표의 "제출본·제외본" 열에는 실제 제출 파일과 내부 검토용 파일을 구분하고 그 이유를 적습니다. 다만 요청받은 자료를 회사가 일방적으로 범위 밖이라고 판단하여 제외하기보다는 공문의 조사목적과 요청 문언을 기준으로 검토하고, 범위가 불분명하면 개인정보위에 확인하는 편이 적절합니다.

개인정보 보호법 제63조 제6항은 개인정보위가 제출받거나 수집한 서류·자료를 법에 따른 경우 외에는 제3자에게 제공하거나 일반에 공개하지 못하도록 합니다. 조사규정 제14조도 조사관의 비밀 엄수와 조사 과정에서 알게 된 정보의 목적 외 사용 제한을 정하고 있습니다. 회사는 이러한 규정을 전제로 하되, 제출자료에 영업비밀이나 제3자의 정보가 포함되어 있다면 해당 부분의 성격과 제출 필요성을 함께 식별해 두는 것이 좋습니다.

조사 단계에서 변호인은 언제 참여할 수 있나

조사규정 제13조에 따르면 회사가 신청한 경우 원칙적으로 변호인이 조사에 참여할 수 있습니다. 다만 변호인이 조사를 지연하거나 방해하는 경우, 허가 없이 개입하거나 조사 대상자를 대신하여 답변하는 경우, 허가 없이 촬영·녹음하는 경우 등에는 참여가 제한될 수 있습니다.

변호인 참여 여부와 관계없이 실제 시스템과 업무 과정을 설명할 담당자는 별도로 준비해야 합니다. 변호인이 기술 담당자의 사실확인을 대신할 수는 없으므로, 각 참석자의 역할과 답변 범위를 사전에 구분해야 합니다.

첫 회신과 사전통지 의견서는 왜 분리해야 하나

자료제출 요구에 대한 첫 회신은 조사관이 요청한 사실과 자료를 제출하는 단계입니다. 이때 회사가 예상되는 처분에 관한 주장을 먼저 길게 작성하면 확인된 사실, 법률적 평가와 방어 논리가 한 문서에 섞일 수 있습니다.

조사규정 제16조에 따른 처분 사전통지를 받은 뒤에는 제16조의2에 따라 서면이나 전자문서로 의견과 증거를 제출할 수 있습니다. 과징금 사건에서는 같은 조가 정하는 매출액 입증자료 제출도 별도로 검토해야 합니다.

따라서 첫 회신에서는 요청항목별 사실과 증빙을 정확하게 맞추고, 사전통지 단계에서는 사전통지서에 기재된 사실과 적용 조문별로 의견과 증거를 다시 배열해야 합니다. 처분 단계에서 검토할 논점은 개인정보 제재 방어 논리 전수 표에 유형별로 정리했습니다.

제출 전 확인할 세 가지

첫째는 완전성입니다. 공문의 모든 요청항목과 대상기간이 대응표에 들어갔는지, 일부 시스템이나 법인·조직의 자료가 빠지지 않았는지 확인해야 합니다.

둘째는 일관성입니다. 답변서, 증빙자료, 기존 사고보고서, 신고·통지 내용과 담당자 진술이 같은 사실에 관하여 다른 설명을 하고 있지 않은지 대조해야 합니다. 유출 사고에 관한 자료제출 요구라면 초기 신고·통지 자료는 개인정보 유출 인지 후 72시간 대응 가이드와 함께 점검합니다.

셋째는 추적 가능성입니다. 각 답변이 어느 원본 증빙에 근거하는지, 해당 증빙을 누가 어떤 조건으로 추출했는지, 자료 간 차이를 어떻게 확인했는지 기록되어 있어야 합니다. 이 세 가지가 맞아야 첫 회신 이후의 추가 질의에서도 회사의 사실관계가 달라지지 않습니다.

자주 묻는 질문

Q. 개인정보위에 제출할 법정 대응표가 따로 있나요?

이 글의 요청항목별 대응표는 법정 서식이 아닙니다. 회사가 공문의 모든 요청사항을 빠짐없이 관리하고, 담당자 진술과 시스템 원본을 대조하기 위한 내부 작업표입니다. 실제 제출 형식과 방식은 자료제출 요구 공문에 기재된 내용을 우선 확인해야 합니다.

Q. 자료를 제출기한까지 모두 확인하기 어려우면 어떻게 해야 하나요?

조사규정 제12조의2에 따르면 부득이한 사유가 있는 경우 제출기한이 지나기 전에 연장이 필요한 사유와 내용을 알릴 수 있고, 개인정보위는 조사목적의 범위 안에서 연장을 허용할 수 있습니다. 연장이 자동으로 인정되는 것은 아니므로 현재 확보한 자료, 남은 확인사항, 필요한 추가 기간과 사유를 구체적으로 정리할 필요가 있습니다.

Q. 자료제출 요구에 대한 회신과 처분 사전통지 의견서는 같은 문서인가요?

아닙니다. 자료제출 요구는 조사 단계에서 사실과 자료를 확인하는 절차이고, 처분 사전통지는 조사 후 예정된 처분의 원인이 되는 사실과 법적 근거에 관하여 의견과 증거를 제출하는 단계입니다. 첫 회신 단계에서는 확인된 사실과 원본 증빙을 일관되게 정리하는 일을 우선해야 합니다.

첫 회신의 목적은 많은 자료를 한꺼번에 제출하거나 유리한 결론을 먼저 주장하는 데 있지 않습니다. 요청항목별로 확인된 사실과 미확인 사실을 구분하고, 원본 증빙과 설명을 연결하여 자료의 완전성·일관성·추적 가능성을 갖추는 데 있습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 공문의 문언과 조사 대상 사실에 따라 제출 범위와 대응 방법이 달라질 수 있으므로 개별 사안은 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제63조(자료제출 요구 및 검사) — 국가법령정보센터, 법률 제21445호, 2026. 9. 11. 시행
• 개인정보 보호위원회의 조사 및 처분에 관한 규정 제8조·제9조·제12조의2·제13조·제14조·제16조·제16조의2 — 개인정보보호위원회고시 제2026-13호, 2026. 9. 11. 시행
• 서울고등법원 2023. 11. 2. 선고 2023누34486 판결 요지 — 대법원 2023두61554 심리불속행 기각으로 확정
• 서울행정법원 2025. 1. 23. 선고 2023구합54259 판결문 — 2026년 9월 현재 항소심 서울고등법원 2025누6020 계속 중
• 대법원 2023. 10. 12. 선고 2022두68923 판결 — 개인정보 유출 관련 과징금 처분 취소 사건