과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가

핵심 요약 2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단입니다. 두 건을 가른 것은 금액이 아니라 위반행위가 끝난 시점입니다. 2023년 9월 15일 전에 끝난 위반에는 「과태료 대상 위반 2개 이상」「위반상태 6개월 이상」까지 요건으로 둔 옛 처분결과 공표기준이, 그 뒤에 끝난 위반에는 고발·최근 3년 내 처분 2회 이상·공공기관만 요건으로 둔 현행 지침이 적용됩니다. 의견제출을 준비한다면 금액과 공표를 나누어 대응할 필요가 있습니다. 공표명령은 위원회 단계의 제66조 제2항 면제와 법원 단계의 집행정지로 따로 다툴 수 있지만, 집행정지는 유예일 뿐입니다. 공표명령 집행정지가 인용된 사건의 본안은 원고 패소로 확정됐습니다.

개인정보위 처분을 받은 회사가 가장 오래 기억하는 것은 금액이 아닌 경우가 많습니다. 위원회 홈페이지에 회사 이름이 위반행위 내용과 함께 게재되는 결과 공표가 그렇습니다.

2026년 7월 8일 제2소위원회가 같은 날 의결한 세 건이 이 점을 보여줍니다.

금액이 가장 큰 건이 공표를 피했고 가장 작은 건이 공표됐습니다. 그 차이가 어디서 나오는지 의결서와 조문으로 확인해 봅니다.

공표는 과태료에 따라오는 부속 처분입니까?

아닙니다. 법 제66조 제1항은 시정조치 명령, 과징금·과태료 부과 등의 내용과 결과를 위원회가 공표할 수 있다고 정한 재량 규정입니다.

같은 조 제2항은 처분을 받은 자에게 그 사실을 스스로 공표하도록 명하는 공표명령을 따로 두고 있습니다. 위원회가 직접 게재하는 제1항의 공표와 구분됩니다. 이 제2항의 공표명령은 위원회 단계에서 면제받는 길과 법원 단계에서 그 부분만 집행정지하는 길이 따로 있습니다. 두 경로와 각각의 한계는 뒤에서 사례로 봅니다.

위원회는 무엇을 보고 공표를 정합니까?

시행령 제61조 제3항은 위반행위의 내용 및 정도, 위반 기간 및 횟수, 피해의 범위 및 결과 등을 고려하도록 정합니다. 공표 내용에는 위반행위를 한 자, 곧 회사 이름이 포함됩니다(시행령 제61조 제1항).

이 고려사항을 공표 요건으로 옮겨 적은 것은 위원회 지침입니다. 여기서 먼저 확인할 것은 어느 판의 기준이 적용되느냐입니다. 요건표가 두 개이기 때문입니다.

경계선은 지침 부칙이 긋습니다. 지침은 시행 전에 종료된 위반행위에도 적용되지만, 2023년 9월 15일 전에 종료된 위반행위의 공표 기준만은 종전 공표기준 제2조를 따릅니다(2023. 10. 11. 제정 지침 부칙 제2조, 이후 개정 지침도 같은 경과조치를 둡니다). 2023년 9월 15일은 법률 제19234호가 시행된 날입니다. 요건이 여덟에서 둘로 줄었다가 2025년 7월 공공기관 요건이 더해져 셋이 되는 사이에 「과태료 대상 위반 2개 이상」과 「위반상태 6개월 이상 지속」은 새 기준에서 빠졌습니다. 어느 표든 요건에 해당하면 공표할 수 있다는 구조이고, 현행 지침은 해당하더라도 고의성·피해 규모·자진시정 등을 종합해 공표하지 않을 수 있다고 정합니다(제3조 제2항).

한편 과태료 자체는 위반 항목별로 산정됩니다. 그 금액이 유출 원인과 무관하게 정해지는 구조는 해킹이 아니라 직원 실수였을 때도 과징금 대상이 되는 이유에서 다뤘습니다.

같은 날 세 건 중 왜 한 건만 공표됐습니까?

공표된 제2026-213-269호는 계약 해지 후 파기하기로 한 개인정보를 파기하지 않아 검색엔진에 노출된 수탁사 사건입니다. 의결서는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)과 당시의 처분결과 공표기준(개인정보보호위원회 지침, 2020년 11월 18일 시행)을 적용했습니다. 과태료 대상 위반행위를 2개 이상 한 경우(제2조 제4호)와 위반상태가 6개월 이상 지속된 경우(같은 조 제5호)에 해당한다는 것이 공표 근거였습니다.

공표기간 1년은 그 뒤 시행된 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023년 10월 11일 시행)이 피심인에게 유리하게 변경된 것을 소급 적용한 결과입니다.

제2026-213-268호는 사정이 다릅니다. 이 건도 법 제75조 제2항의 2개 호(제5호·제17호) 위반이고 위반상태가 1년을 넘었습니다. 옛 공표기준이었다면 269호와 같은 두 요건에 걸렸을 사안입니다. 그러나 의결서가 적용한 법은 법률 제19234호(2023년 9월 15일 시행)이고, 인정된 위반기간도 모두 2023년 9월 15일 이후에 끝났습니다. 접근권한 차등 부여 등 안전조치 위반은 2022년 9월부터 2024년 2월 26일까지였고, 유출 통지는 2024년 1월 28일 인지한 뒤 2025년 11월 25일에야 이루어졌습니다.

그러면 지침 부칙에 따라 옛 공표기준이 아니라 현행 지침 제3조가 기준이 됩니다. 거기에는 과태료 대상 위반의 개수나 위반 지속기간이 요건으로 없고, 이 건은 고발 사건도 공공기관 사건도 아닙니다. 의결서가 공표를 아예 다루지 않은 것도 이 구조와 맞습니다. 같은 법을 적용한 제2026-213-267호(시정조치 명령)도 마찬가지입니다.

다만 의결서는 공표하지 않은 이유를 적지 않았으므로, 위 설명은 의결서의 적용 법령·위반기간과 지침 부칙을 대조해 얻은 것입니다. 최근 3년 내 처분 2회 이상 요건에 대해서도 의결서는 최근 3년간 같은 위반행위로 과태료 처분을 받은 사실이 없다고만 적었습니다.

정리하면 금액이 공표를 가른 것이 아니라, 위반행위가 언제 끝났느냐가 어느 요건표를 쓸지를 갈랐습니다. 2023년 9월 15일 전에 끝난 위반은 지금 처분되더라도 과태료가 작든 크든 옛 요건으로 공표될 수 있습니다. 그 뒤에 끝난 위반은 고발·반복 처분·공공기관 가운데 하나에 해당하지 않으면 결과 공표 요건에 걸리지 않습니다.

세 건 모두 유출 통지가 문제됐다는 공통점도 있습니다. 인지 시점부터의 시계가 어떻게 도는지는 유출을 인지한 뒤 72시간 안에 해야 할 일과 하면 안 되는 일에서 정리했습니다. 같은 기간의 처분이 전체적으로 어디에 얼마나 부과됐는지는 2026년 상반기 개인정보위 제재 정리에 모아 두었습니다.

공표가 결정되기 전에 회사가 할 수 있는 일은 무엇입니까?

시행령 제61조 제4항에 따라 위원회는 공표에 관한 심의·의결 전에 소명자료를 제출하거나 의견을 진술할 기회를 주어야 합니다. 공표명령의 경우에는 공표의 내용·횟수와 매체를 정해 명하면서 공표 문안 등에 관하여 협의할 수 있습니다(시행령 제61조 제2항).

불복 창구와 기간도 서로 다릅니다. 공표에 대한 행정심판·행정소송은 처분을 받은 날부터 90일 이내입니다. 과태료 이의제기는 60일 이내이고, 이의제기가 있으면 과태료 부과처분은 효력을 잃고 관할법원의 과태료 재판 절차로 넘어갑니다.

금액만 다투다 보면 공표를 다툴 기간이 먼저 지나갈 수 있습니다. 그 기간을 놓치지 않았을 때 실제로 어디까지 갈 수 있는지는 아래 절에서 사례로 확인할 수 있습니다.

공표 이력은 그 뒤 어디에 남습니까?

이 사안의 공표기간은 1년입니다. 그러나 이력의 효과는 더 깁니다. 가명정보 결합전문기관 지정은 최근 3년 이내에 법 제66조 제1항에 따라 공표되거나 같은 조 제2항의 공표명령을 받은 사실이 없을 것을 기준으로 삼습니다(시행령 제29조의2 제1항 제4호).

공표와 별개로 의결서가 공개되면 그쪽에도 이력이 남습니다. 결정문 게시판에 본문이 공개된 제재 의결은 개인정보위 제재 추적기에 899건을 모아 두었습니다.

법령이 자격요건으로 삼는 자리가 그렇다면, 계약 상대방이 보는 자리는 더 넓습니다. B2B 수주 심사와 투자·인수 실사에서 처분 이력은 검색만으로 확인됩니다. 그 이력이 딜에서 매도인의 데이터 항목 진술보증 위반 책임 문제로 이어지는 구조는 별도 글에서 다뤘습니다.

공표만 따로 다툴 수 있나 — 두 경로와 한계

제재를 받은 회사가 "공표는 안 되게 할 수 없느냐"고 따로 묻는 데는 이유가 있습니다. 과징금은 금액이 정해지면 그것으로 끝나지만, 공표는 검색 결과에 남고 거래처와 투자자가 봅니다. 결론부터 적으면 다툴 수 있습니다. 다만 어느 단계에서 다투느냐에 따라 얻는 것이 다릅니다.

경로 1 — 위원회 단계: 제66조 제2항 면제

가장 확실한 것은 애초에 공표명령이 나오지 않게 하는 것입니다. 제66조 제2항은 공표를 명할 수 있다고 정하고 있을 뿐이므로, 위원회가 명하지 않을 여지가 있습니다.

어떤 사건에 공표명령이 검토되는지는 위원회의 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」이 정합니다. 제6조 제1항은 요건을 11개로 적었습니다. 조사를 거부·방해한 경우, 1천 명 이상의 고유식별정보·민감정보가 유출등이 되어 처분을 받은 경우, 과징금 사건에서 중대성이 「매우 중대한 위반행위」로 판정된 경우, 법 제75조 제1항 위반, 제75조 제2항 위반 3개 이상, 위반상태가 3년을 넘어 지속된 경우, 피해 정보주체가 10만 명 이상인 경우, 공공시스템 운영기관인 경우 등입니다. 같은 조 제2항은 요건에 해당하더라도 고의성, 피해 규모, 결과 제거 노력, 조사 협력과 자진시정 여부 등을 종합해 공표명령을 하지 않을 수 있다고 정합니다. 면제를 구할 때 기댈 문언이 이것입니다.

이 지침은 2026년 9월 4일 개정돼 9월 11일부터 시행됐습니다. 실질이 달라진 곳은 제6조 제1항 제3호 하나입니다. 종전에는 법 제64조의2 제1항에 따라 과징금을 부과받은 경우만 적었는데, 개정 지침은 같은 조 제2항을 함께 적었습니다. 제2항은 같은 날 시행된 전체 매출액 100분의 10 가중 구간입니다. 따라서 10% 구간으로 과징금을 받으면서 중대성이 「매우 중대한 위반행위」로 판정되면 공표명령 요건에도 해당합니다. 나머지 개정은 조문 인용 번호를 바로잡고 「처벌」을 「처분」으로 고친 정비입니다.

실제 문언이 드러난 의결이 있습니다. 2025년 11월 20일 「공공시스템 운영기관 실태점검 결과 및 시정조치에 관한 건」에서 위원회는, 피심인이 시행령 제30조의2 제1항의 공공시스템 운영기관이므로 법 제66조 제2항과 공표 지침 제6조 제1항 제11호에 따라 공표명령 대상에 해당하지만, 「개인정보 유출·침해사고와 무관한 사전 실태점검 결과 이행 미흡사항에 대한 시정권고 조치라는 점을 고려하여」 같은 조 제2항에 따라 공표명령은 면제한다고 적었습니다.

면제의 근거로 든 사정은 셋입니다.

1. 유출·침해사고와 무관할 것
2. 사전 실태점검(법 제63조의2)의 결과일 것
3. 처분 수준이 시정권고에 그칠 것

세 가지가 겹치는 국면에서 면제가 나왔다는 뜻이고, 뒤집어 보면 유출사고가 있거나 시정명령·과징금 수준의 처분이라면 면제를 기대하기 어렵다는 뜻이기도 합니다.

주의할 점이 있습니다. 이 의결에서 제1항의 결과 공표는 그대로 이루어졌고, 위원회 홈페이지에 1년간 공표한다고 명시되어 있습니다. 면제된 것은 피심인이 스스로 공표해야 하는 부담이지, 공표 자체가 없어진 것이 아닙니다.

경로 2 — 법원 단계: 공표명령만 떼어낸 집행정지

처분이 이미 나왔다면 행정소송과 함께 집행정지를 구하게 됩니다. 실무적으로 의미 있는 것은 공표명령만 골라 정지를 구할 수 있다는 점입니다.

서울행정법원 제14부는 2024. 7. 3.자 2024아12120 결정으로, 개인정보보호위원회가 2024. 3. 27. 신청인에게 한 처분 중 별지 목록 제2항 기재 공표명령의 효력을 본안 사건 판결 선고일부터 30일이 되는 날까지 정지했습니다. 이유는 집행정지의 일반 요건 그대로입니다. 처분으로 인해 회복하기 어려운 손해를 예방하기 위하여 효력을 정지할 긴급한 필요가 인정되고, 정지하더라도 공공복리에 중대한 영향을 미칠 우려가 있다고 보이지 않는다는 것입니다.

공표명령에서 이 요건이 어떻게 작동하는지는 생각해 둘 만합니다. 공표는 한번 집행되면 되돌릴 수 없고, 나중에 처분이 취소되어도 이미 알려진 사실은 회수되지 않습니다. 반면 과징금은 납부한 뒤 처분이 취소되면 환급받을 수 있는 금전 부담입니다. 「회복하기 어려운 손해」라는 같은 요건 아래에서 두 처분이 다르게 평가될 여지가 여기에 있습니다. 다만 위 결정문만으로는 신청인이 과징금까지 정지를 구했는지, 구했으나 받아들여지지 않은 것인지는 알 수 없습니다. 주문에는 공표명령에 대한 정지만 적혀 있습니다.

집행정지가 인용되면 공표를 피할 수 있나

여기가 가장 중요한 부분입니다. 위 집행정지 사건의 본안은 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결입니다. 결과는 원고 패소였고, 항소심인 서울고등법원 2025누8058도 항소를 기각해 그대로 확정됐습니다. 이 사건을 포함해 위원회 처분을 다툰 판결을 한자리에 모아 법원과 위원회의 판단이 갈린 대목만 추린 것은 개인정보위 과징금 취소소송 판결 전수 검토입니다.

즉 공표명령의 효력은 2024년 7월부터 본안 선고 후 30일까지 정지됐지만, 본안에서 진 이상 공표는 결국 이루어집니다. 집행정지로 얻은 것은 약 1년 2개월의 시간이었습니다. 이 시간이 무의미하다는 뜻은 아닙니다. 투자 유치나 입찰이 걸려 있다면 1년의 유예는 실질적인 가치가 있습니다. 다만 집행정지를 공표를 면하는 수단으로 설명해서는 안 됩니다. 본안 승산이 없으면 늦춰질 뿐입니다.

본안 사건 자체도 안전조치의무 쪽에서 읽어 둘 만합니다. 원고는 인터넷강의 웹사이트를 운영하며 개인정보 약 113만 건을 보유하고 있었습니다. 해커가 크리덴셜 스터핑으로 회원계정에 로그인한 뒤, 그 계정으로 「불법이용신고 게시판」에 XSS 명령어가 포함된 게시글을 올렸고, 이를 열람한 직원의 세션정보가 탈취되어 직원 25명과 회원 95,171명의 개인정보가 유출됐습니다. 법원은 XSS가 대표적인 해킹 기법으로 예방 대책이 널리 알려져 있고, 게시물 작성 단계에서 입력값을 검증해 악의적 명령어가 등록되지 않도록 차단하는 것은 대표적인 안전성 확보조치라고 보았습니다. 원고가 해당 게시판에 입력값 검증을 시행하지 않은 점 등을 들어 법 제29조 위반을 인정했고, 과징금 산정의 기준이 되는 위반기간은 개인정보처리자가 안전조치의무를 위반한 기간이라고 판단해 과징금 6억 1,300만 원 부과처분을 적법하다고 했습니다.

이 처분은 제재 추적기의 제2024-006-163호(2024. 3. 27., 제29조·제34조 제1항, 과징금 6억 1,300만 원)입니다. 표에는 피심인이 「비공개」로 되어 있고, 판결문에서도 회사명은 익명 처리되어 있습니다.

정리하면 이렇습니다. 공표를 실질적으로 막으려면 위원회 단계에서 의견제출 때 제66조 제2항 면제를 정면으로 구하고, 유출사고와의 무관성과 처분 수준을 논거로 세우는 편이 낫습니다. 집행정지는 시간을 사는 것이고, 공표명령만 떼어내 구하는 것이 인용 가능성 면에서 유리해 보이지만 본안에서 지면 공표는 이루어집니다. 그리고 공표명령이 면제되어도 제1항의 위원회 홈페이지 공표는 남을 수 있습니다.

자주 묻는 질문

개인정보위 결과 공표는 과태료 처분에 자동으로 따라오나요?

아닙니다. 개인정보 보호법 제66조 제1항은 공표를 할 수 있다고 정한 재량 규정이어서 과태료 부과와 별개로 판단됩니다. 실제로 2026년 7월 8일 제2소위원회 의결 세 건 중 과태료 900만 원 건은 공표되지 않았고 420만 원 건만 1년간 공표됐습니다. 420만 원 건은 2023년 9월 15일 전에 끝난 위반이라 요건이 넓은 옛 처분결과 공표기준이 적용됐고, 900만 원 건은 그 뒤에 끝난 위반이라 현행 지침의 요건이 기준이었습니다.

공표 여부는 무엇을 보고 결정되나요?

시행령 제61조 제3항은 위반행위의 내용 및 정도, 위반 기간 및 횟수, 피해의 범위 및 결과 등을 고려하도록 정합니다. 이를 요건으로 옮긴 위원회 지침은 위반행위가 끝난 시점에 따라 둘로 갈립니다. 2023년 9월 15일 전에 종료된 위반에는 옛 처분결과 공표기준(2020. 11. 18. 시행) 제2조의 여덟 가지 요건(제75조 제2항 위반 2개 이상, 위반상태 6개월 이상 지속 등 포함)이, 그 뒤에 종료된 위반에는 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」 제3조의 세 가지 요건(고발, 최근 3년 내 처분 2회 이상, 공공기관)이 적용됩니다. 공표되면 위반행위를 한 자, 곧 회사 이름이 위원회 홈페이지에 게재됩니다. 다만 개별 사건에서 공표하지 않은 이유는 의결서에 적혀 있지 않은 경우가 있습니다.

공표가 결정되기 전에 회사가 할 수 있는 일이 있나요?

있습니다. 시행령 제61조 제4항에 따라 위원회는 심의·의결 전에 소명자료를 제출하거나 의견을 진술할 기회를 주어야 하고, 공표명령의 경우 공표 문안 등에 관하여 협의할 수 있습니다. 불복 기간도 다릅니다. 공표에 대한 행정심판·행정소송은 처분을 받은 날부터 90일 이내, 과태료 이의제기는 60일 이내입니다.

공표명령만 집행정지를 받을 수 있나요?

실제 사례가 있습니다. 서울행정법원은 2024. 7. 3.자 2024아12120 결정으로 개인정보보호위원회가 2024. 3. 27. 한 처분 중 공표명령의 효력을 본안 판결 선고일부터 30일이 되는 날까지 정지했습니다. 공표는 한번 집행되면 되돌릴 수 없어 '회복하기 어려운 손해' 요건에서 금전 처분과 달리 평가될 여지가 있습니다. 다만 집행정지는 본안의 결론을 정하지 않습니다.

집행정지를 받으면 공표를 피할 수 있나요?

아닙니다. 위 사건의 본안인 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결은 원고 패소로 끝났고, 항소심(서울고등법원 2025누8058)도 항소를 기각해 확정됐습니다. 집행정지로 확보한 것은 약 1년 2개월의 시간이었을 뿐입니다. 공표를 실질적으로 피하려면 위원회 단계에서 면제 사유를 세우는 편이 낫습니다.

공표는 처분 절차의 마지막 단계입니다. 그 앞의 인지·통지·신고·조사가 어떻게 이어지는지는 개인정보 유출 사고 대응 — 인지부터 처분·구상까지에 있습니다.

참고 자료

• 개인정보보호위원회 제2소위원회 의결 제2026-213-267호·제2026-213-268호·제2026-213-269호(각 2026년 7월 8일) — 위원회 결정문 게시판
• 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제64조 제1항, 제66조 제1항·제2항·제3항, 제75조 제2항 제5호·제17호·제18호
• 개인정보 보호법 시행령(대통령령 제36340호) 제29조의2 제1항 제4호, 제61조 제1항·제2항·제3항·제4항
• 개인정보보호위원회 의결 「공공시스템 운영기관 실태점검 결과 및 시정조치에 관한 건」(2025년 11월 20일) — 법 제66조 제2항 공표명령 면제 사례
• 개인정보보호위원회 의결 제2024-006-163호(2024년 3월 27일, 과징금 6억 1,300만 원) — 제재 추적기
• 서울행정법원 2024. 7. 3.자 2024아12120 결정(공표명령 집행정지), 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결, 서울고등법원 2025누8058 판결(항소기각, 확정)
• 제2026-213-269호에는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)과 당시의 처분결과 공표기준(개인정보보호위원회 지침, 2020년 11월 18일 시행)이 적용됐고, 공표기간은 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023년 10월 11일 시행)에 따라 1년이 소급 적용됐습니다
• 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2026. 9. 4. 개정, 2026. 9. 11. 시행) — 개인정보위 훈령·예규·고시 게시판 첨부본. 직전 판(2025. 7. 1. 시행, 같은 게시판 nttId=11325)과 조문을 대조했습니다
• 「개인정보 보호위원회 처분결과 공표기준」(개인정보보호위원회 지침, 2020. 11. 18. 시행) — 개인정보위 훈령·예규·고시 게시판(bbsId=BS216, nttId=12451) 첨부 원문으로 제2조(공표요건) 8개 호를 확인했습니다
• 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」(2023. 10. 11. 시행) — 같은 게시판(nttId=10776) 첨부 원문. 제3조(공표요건)와 부칙 제2조(2023. 9. 15. 전에 종료된 위반행위에 대한 종전 공표기준 적용)를 확인했습니다. 공공기관 요건은 2025. 7. 1. 시행 개정판에서 추가됐습니다
• 제2026-213-268호 의결서의 적용 법령(법률 제19234호)과 위반기간(안전조치 2022. 9.~2024. 2. 26., 유출 통지 2024. 1. 28. 인지·2025. 11. 25. 통지)은 개인정보위 결정문 게시판 공개본 기준입니다. 의결서에는 결과 공표에 관한 판단이 적혀 있지 않습니다

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.