개인정보위 조사, 6개월이면 끝나나 — 신속조사 방안과 결정문의 실측 기간

핵심 요약: 개인정보보호위원회 결정문 공개분 가운데 조사 시작일과 의결일이 모두 적힌 420건(2026-10-12 수집분)에서 조사 시작부터 의결까지 걸린 기간의 중앙값은 322일이고, 6개월 이하로 끝난 사건은 88건, 1년을 넘긴 사건은 178건입니다. 위원회의 12·6·3개월 원칙은 앞으로 추진하겠다는 계획이고, 보도된 평균 조사 기간은 조사 완료까지만 잰 값입니다. 다만 이 집계는 전부 방안 이전에 의결된 사건이고 일반사건만 추린 값도 아닙니다. 따라서 조사 통지를 받은 회사는 6개월을 확정된 기한으로 두기보다 과거 분포의 폭을 함께 놓고 내부 일정을 잡는 편이 안전하다고 판단됩니다.

개인정보보호위원회(이하 "개인정보위")로부터 조사 통지를 받은 회사는 의결이 언제 나올지를 가늠해야 충당금 검토, 공시 검토, 이사회 보고의 시점을 정할 수 있습니다. 개인정보위가 2026년 10월 2일 사건 처리 기간의 원칙을 밝혔으므로, 회사는 6개월을 전제로 일정을 잡아도 되는지를 검토하게 됩니다.

조사 시작부터 의결까지 실제로 얼마나 걸렸나

개인정보위 결정문 공개분 가운데 조사 시작일과 의결일이 모두 적힌 420건(2026-10-12 수집분)에서 조사 시작부터 의결까지 걸린 기간의 중앙값은 322일이고, 6개월 이하로 끝난 사건은 88건, 1년을 넘긴 사건은 178건입니다. 가장 짧은 사건은 61일, 가장 긴 사건은 1,416일이 걸렸습니다. 아래 표의 위 세 줄은 누적 건수입니다.

단계별 날짜를 이어 붙인 표는 개인정보위 조사는 어떻게 시작되고 언제 끝나나에 있습니다.

개인정보보호위원회 결정문에서 조사 시작일과 의결일이 모두 읽히는 420건(2026-10-12 수집분)의 조사 시작부터 의결까지 소요 기간은 중앙값 322일(최소 61일·최대 1,416일)이고, 사전통지 송부일과 의견제출일이 모두 적힌 471건의 의견제출 기간은 중앙값 14일이다. — 이현섭 변호사(법무법인 세움) 집계

「6개월이면 끝난다」는 전제는 맞나

조사가 반년 남짓이면 끝난다고 볼 근거로 삼을 만한 공개 자료는 두 가지입니다. 하나는 개인정보위가 2026년 10월 2일 낸 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」(이하 "방안")이 일반사건을 6개월 이내에 처리하는 것을 원칙으로 삼겠다고 밝힌 점이고, 다른 하나는 평균 조사 기간이 8개월가량이라는 보도입니다. 그러나 결정문에서 조사 시작부터 의결까지를 세면 위 표와 같이 420건 중 178건이 1년을 넘겼습니다. 숫자가 갈리는 이유는 세 숫자가 같은 구간을 잰 값이 아니기 때문입니다. 보도된 평균은 조사 완료까지를, 결정문 집계는 의결까지를 재고, 방안의 6개월은 어느 구간을 재는지가 적혀 있지 않습니다.

우선 보도된 평균은 조사가 끝나는 날까지만 잽니다. 국회예산정책처의 「2025회계연도 결산 위원회별 분석 [정무위원회]」(이하 "결산 분석 보고서")는 개인정보위 제출자료를 근거로, 의결이 완료된 사건의 평균 조사기간을 2025년 239.4일로 적었습니다. 결산 분석 보고서는 이 값이 조사 착수부터 조사 완료까지를 평균한 것이라고 표의 주석에 밝혔고, 2026년 7월의 「평균 8개월」 보도는 이 수치를 옮긴 것입니다. 조사가 끝난 뒤에는 사전통지와 위원회 의결이 남습니다. 보도된 값은 한 해에 처분된 사건의 평균이고 결정문 집계는 중앙값이어서 두 값을 그대로 견줄 수는 없으나, 결정문 집계에서도 조사 시작부터 조사 종료까지의 중앙값은 142일이었고, 조사 종료부터 의결까지의 중앙값이 다시 120일이었습니다.

결산 분석 보고서는 공개된 의결서로 별도의 집계도 냈습니다. 2020년 11월부터 2026년 4월까지 의결된 사건에서 조사 착수부터 처분(의결)까지는 전체 409건 기준 평균 348.4일(중위 272.0일), 기획조사와 사전 실태점검 사건을 뺀 328건 기준 평균 378.3일(중위 319.5일)이었습니다. 이 글의 집계와는 집계 기간과 대상 사건의 범위가 같지 않으므로 두 값을 같은 표본의 결과로 읽어서는 안 됩니다. 다만 두 집계 모두에서 조사 착수부터 의결까지의 중앙값은 6개월보다 길었습니다. 나아가 같은 보고서에 따르면 신고부터 조사 착수까지는 기획조사와 사전 실태점검 사건을 뺀 기준으로 평균 90.1일(중위 25.0일)이 걸렸습니다. 이 글의 집계는 조사 시작일부터 세므로, 신고일부터 세면 기간은 더 길어집니다.

한편 개인정보위가 방안과 함께 낸 「조사·처분 현황」 표(2026. 6. 30. 기준)는 의결까지를 잽니다. 이 표에 적힌 조사 착수부터 의결까지의 소요기간은 2025년 345일, 2026년 6월 369일입니다. 나아가 방안의 12개월(중요사건)·6개월(일반사건)·3개월(경미사건)은 앞으로 그렇게 처리하겠다는 계획이고 법령이나 고시가 정한 처리 기한이 아닙니다. 보도자료는 이 기간을 어느 날부터 어느 날까지 세는지도 적지 않았습니다. 따라서 회사가 「6개월」을 의결일까지의 기간으로 읽을 근거는 공개된 자료로는 확인이 어렵습니다.

그러면 회사는 일정을 어떻게 잡아야 하나

첫째로 회사는 충당금 검토, 공시 검토, 이사회 보고, 거래 일정처럼 의결 시점에 걸리는 일정을 6개월 하나에 맞추기보다 과거 분포의 폭을 함께 놓고 잡는 편이 안전해 보입니다. 1년 이하로 끝난 사건이 242건, 1년을 넘긴 사건이 178건이었으므로, 일정표에 의결이 1년 안에 나오는 경우와 1년을 넘기는 경우를 모두 두는 방법을 검토할 수 있습니다. 둘째로 회사는 조사가 끝난 뒤의 구간을 따로 계산해야 합니다. 「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제16조 제1항에 따라 조사관은 조사결과 보고를 마친 날부터 14일 이내에 사전통지서를 보내야 하고, 14일 이상의 기간을 정해 의견을 낼 기회를 주어야 합니다. 조사·처분 절차의 전체 흐름은 유출 통지·신고를 마친 다음의 여섯 단계에서 확인할 수 있습니다.

셋째로 회사는 의견제출 준비를 사전통지 전에 시작하는 편이 안전해 보입니다. 사전통지 뒤의 의견제출 기간은 회사가 처분 내용에 대해 직접 의견을 낼 수 있는 구간인데, 사전통지 송부일과 의견제출일이 모두 적힌 471건에서 피심인이 실제로 의견을 낸 날까지의 중앙값은 14일이었습니다. 이 값은 개인정보위가 정해 준 기한이 아니라 피심인이 실제로 낸 날이지만, 사전통지 뒤에 쓸 수 있는 시간이 길지 않았다는 점은 보여 줍니다. 사전통지 송부부터 의결까지의 중앙값은 68일(653건 기준)이었고, 이 두 값은 위 표와 분모가 다릅니다. 따라서 회사는 자료제출 요구를 받은 첫 대응 단계부터 증적을 정리해 두고, 무엇을 다툴지는 피심인 항변과 위원회 판정을 참고해 미리 검토해 둘 수 있습니다. 넷째로 방안이 시행되면 연장 통지가 일정 재산정의 기준점이 될 수 있습니다. 개인정보위는 조사 기간이 연장되면 6개월 또는 12개월 단위로 조사 대상자에게 알리겠다고 밝혔습니다.

다만 이 순서가 모든 사건에 맞는 것은 아닙니다. 개인정보위는 사안이 경미해 조사에 착수하지 않고 종결하는 경우 그 사실을 알리겠다고 밝혔고, 그러한 사건에는 위 일정 설계가 필요하지 않습니다. 한편 「조사 진행 중」인 회사를 Legal DD에서 확인한 인수·투자 측은 선행조건(CP)에 적는 「조사 종결」이 조사 완료를 뜻하는지 개인정보위 의결을 뜻하는지를 먼저 정해야 합니다. 의결을 뜻하는 것으로 정하면 거래 일정이 의결 시점에 묶일 여지가 있습니다. 어느 방식이 적절한지는 계약 구조와 사안에 따라 결론이 달라질 수 있습니다.

이 집계가 말하지 않는 것은 무엇인가

위 420건은 전부 방안이 나오기 전에 의결된 사건입니다. 따라서 이 집계는 개인정보위가 12·6·3개월 원칙을 지킬지에 대해서는 아무것도 말해 주지 않습니다. 결정문은 사건을 중요·일반·경미로 나누어 적지 않으므로, 방안의 세 갈래와 일대일로 견줄 수도 없습니다.

표본에도 제약이 있습니다. 이 집계는 결정문이 조사 시작일과 종료일을 일자까지 적은 사건만 세었습니다. 기간을 월 단위로만 적은 결정문과 현장조사 방문 기간만 적은 결정문은 넣지 않았습니다. 스캔 이미지로만 공개된 2020년부터 2022년까지의 의결서는 조사 기간이 적힌 쪽을 눈으로 읽어 넣었습니다. 날짜를 적지 않은 사건이 더 빨랐거나 느렸다는 뜻은 아닙니다. 또한 결정문 공개분에 한정되며 처분까지 간 사건만 들어 있어, 조사 뒤 처분 없이 끝난 사건은 포함되지 않습니다. 위 수치는 과거의 분포이므로 개별 사건의 기간을 예측하는 값으로 쓰기 어렵습니다. 유출 사고 이후의 대응 전체는 개인정보 유출 대응 가이드에 정리되어 있습니다.

자주 묻는 질문

Q. 개인정보위 조사는 6개월이면 끝나나요?

Q. 평균 8개월이라는 보도와 왜 다른가요?

Q. 이 집계로 우리 사건 기간을 가늠할 수 있나요?

이 글은 공개된 보도자료와 결정문을 근거로 한 일반적인 정리이고, 구체적인 사안의 일정은 사실관계에 따라 별도의 검토가 필요합니다.

참고 자료

• 개인정보보호위원회 보도자료 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」(2026. 10. 2.)
• 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회 고시 제2026-13호, 2026. 9. 11. 시행) 제16조 제1항
• 국회예산정책처 「2025회계연도 결산 위원회별 분석 [정무위원회]」 227~233쪽(개인정보보호위원회 사고조사 소요기간). 2026년 7월 26일 연합뉴스의 「평균 8개월」 보도가 인용한 보고서입니다

2026년 10월 12일 수정: 집계에서 빠져 있던 결정문 92건을 확인해 넣었습니다. 조사 기간의 끝 날짜에 연도를 생략해 적은 결정문 34건, 여러 의결서를 한 파일로 묶어 공개한 2021년 결정문 15건, 스캔 이미지로만 공개된 2020년부터 2022년까지의 의결서 43건입니다. 이에 따라 대상 건수와 중앙값이 328건·360일에서 420건·322일로 바뀌었고, 본문의 다른 건수도 함께 바뀌었습니다. 누락은 국회예산정책처 결산 분석 보고서의 집계와 대조하는 과정에서 확인했습니다.