과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가

핵심 요약 2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단입니다. 의견제출을 준비한다면 금액과 공표를 나누어 대응할 필요가 있습니다.

개인정보위 처분을 받은 회사가 가장 오래 기억하는 것은 금액이 아닌 경우가 많습니다. 위원회 홈페이지에 회사 이름이 위반행위 내용과 함께 게재되는 결과 공표가 그렇습니다.

2026년 7월 8일 제2소위원회가 같은 날 의결한 세 건이 이 점을 보여줍니다.

금액이 가장 큰 건이 공표를 피했고 가장 작은 건이 공표됐습니다. 그 차이가 어디서 나오는지 의결서와 조문으로 확인해 봅니다.

공표는 과태료에 따라오는 부속 처분입니까?

아닙니다. 법 제66조 제1항은 시정조치 명령, 과징금·과태료 부과 등의 내용과 결과를 위원회가 공표할 수 있다고 정한 재량 규정입니다.

같은 조 제2항은 처분을 받은 자에게 그 사실을 스스로 공표하도록 명하는 공표명령을 따로 두고 있습니다. 위원회가 직접 게재하는 제1항의 공표와 구분됩니다.

위원회는 무엇을 보고 공표를 정합니까?

시행령 제61조 제3항은 위반행위의 내용 및 정도, 위반 기간 및 횟수, 피해의 범위 및 결과 등을 고려하도록 정합니다. 공표 내용에는 위반행위를 한 자, 곧 회사 이름이 포함됩니다(시행령 제61조 제1항).

한편 과태료 자체는 위반 항목별로 산정됩니다. 그 금액이 유출 원인과 무관하게 정해지는 구조는 해킹이 아니라 직원 실수였을 때도 과징금 대상이 되는 이유에서 다뤘습니다.

같은 날 세 건 중 왜 한 건만 공표됐습니까?

공표된 제2026-213-269호는 계약 해지 후 파기하기로 한 개인정보를 파기하지 않아 검색엔진에 노출된 수탁사 사건입니다. 의결서는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)과 당시의 처분결과 공표기준(개인정보보호위원회 지침, 2020년 11월 18일 시행)을 적용했습니다. 과태료 대상 위반행위를 2개 이상 한 경우(제2조 제4호)와 위반상태가 6개월 이상 지속된 경우(같은 조 제5호)에 해당한다는 것이 공표 근거였습니다.

공표기간 1년은 그 뒤 시행된 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023년 10월 11일 시행)이 피심인에게 유리하게 변경된 것을 소급 적용한 결과입니다.

문제는 제2026-213-268호입니다. 이 건도 법 제75조 제2항의 2개 호(제5호·제17호) 위반이고 위반상태가 1년을 넘었지만 공표되지 않았고, 의결서에는 그 이유가 적혀 있지 않습니다. 두 건은 적용 법령도 다르므로, 요건에 해당하면 자동으로 공표된다고 읽을 수는 없습니다.

세 건 모두 유출 통지가 문제됐다는 공통점도 있습니다. 인지 시점부터의 시계가 어떻게 도는지는 유출을 인지한 뒤 72시간 안에 해야 할 일과 하면 안 되는 일에서 정리했습니다.

공표가 결정되기 전에 회사가 할 수 있는 일은 무엇입니까?

시행령 제61조 제4항에 따라 위원회는 공표에 관한 심의·의결 전에 소명자료를 제출하거나 의견을 진술할 기회를 주어야 합니다. 공표명령의 경우에는 공표의 내용·횟수와 매체를 정해 명하면서 공표 문안 등에 관하여 협의할 수 있습니다(시행령 제61조 제2항).

불복 창구와 기간도 서로 다릅니다. 공표에 대한 행정심판·행정소송은 처분을 받은 날부터 90일 이내입니다. 과태료 이의제기는 60일 이내이고, 이의제기가 있으면 과태료 부과처분은 효력을 잃고 관할법원의 과태료 재판 절차로 넘어갑니다.

금액만 다투다 보면 공표를 다툴 기간이 먼저 지나갈 수 있습니다.

공표 이력은 그 뒤 어디에 남습니까?

이 사안의 공표기간은 1년입니다. 그러나 이력의 효과는 더 깁니다. 가명정보 결합전문기관 지정은 최근 3년 이내에 법 제66조 제1항에 따라 공표되거나 같은 조 제2항의 공표명령을 받은 사실이 없을 것을 기준으로 삼습니다(시행령 제29조의2 제1항 제4호).

법령이 자격요건으로 삼는 자리가 그렇다면, 계약 상대방이 보는 자리는 더 넓습니다. B2B 수주 심사와 투자·인수 실사에서 처분 이력은 검색만으로 확인됩니다. 그 이력이 딜에서 매도인의 데이터 항목 진술보증 위반 책임 문제로 이어지는 구조는 별도 글에서 다뤘습니다.

자주 묻는 질문

개인정보위 결과 공표는 과태료 처분에 자동으로 따라오나요?

아닙니다. 개인정보 보호법 제66조 제1항은 공표를 할 수 있다고 정한 재량 규정이어서 과태료 부과와 별개로 판단됩니다. 실제로 2026년 7월 8일 제2소위원회 의결 세 건 중 과태료 900만 원 건은 공표되지 않았고 420만 원 건만 1년간 공표됐습니다.

공표 여부는 무엇을 보고 결정되나요?

시행령 제61조 제3항은 위반행위의 내용 및 정도, 위반 기간 및 횟수, 피해의 범위 및 결과 등을 고려하도록 정합니다. 공표되면 위반행위를 한 자, 곧 회사 이름이 위원회 홈페이지에 게재됩니다. 다만 개별 사건에서 어느 사정이 결정적이었는지는 의결서에 적혀 있지 않은 경우가 있습니다.

공표가 결정되기 전에 회사가 할 수 있는 일이 있나요?

있습니다. 시행령 제61조 제4항에 따라 위원회는 심의·의결 전에 소명자료를 제출하거나 의견을 진술할 기회를 주어야 하고, 공표명령의 경우 공표 문안 등에 관하여 협의할 수 있습니다. 불복 기간도 다릅니다. 공표에 대한 행정심판·행정소송은 처분을 받은 날부터 90일 이내, 과태료 이의제기는 60일 이내입니다.

참고 자료

• 개인정보보호위원회 제2소위원회 의결 제2026-213-267호·제2026-213-268호·제2026-213-269호(각 2026년 7월 8일)
• 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제64조 제1항, 제66조 제1항·제2항·제3항, 제75조 제2항 제5호·제17호·제18호
• 개인정보 보호법 시행령(대통령령 제36340호) 제29조의2 제1항 제4호, 제61조 제1항·제2항·제3항·제4항
• 제2026-213-269호에는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)과 당시의 처분결과 공표기준(개인정보보호위원회 지침, 2020년 11월 18일 시행)이 적용됐고, 공표기간은 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023년 10월 11일 시행)에 따라 1년이 소급 적용됐습니다