핵심 요약: 개인정보보호위원회 제재 처분에 대한 취소소송 판결문 18건을 전부 읽었습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778, 2023. 12. 28.)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923, 2023. 10. 12.) 두 갈래뿐입니다. 그 둘을 뺀 나머지 사건의 1심·2심 선고는 전부 위원회가 이겼습니다. 전부 기각된 판결 안에서도 법원은 위원회 해설서의 규범력을 부정했고, 삼성전자 사건에서 과징금 면제 사유가 존재한다고 인정했으며, 카카오페이 사건에서 구법상 정보통신서비스 제공자가 개인정보처리자에 포함된다는 위원회 해석의 근거가 부족하다고 봤습니다. 이 판시들은 소송이 아니라 조사·의견진술 단계에서 논거로 먼저 쓰입니다.

처분 통지를 받은 회사의 첫 회의에서 대표는 "다투면 뒤집히는가"를 묻습니다. 사건 목록과 심급별 결과는 소송 전수 표에 따로 정리했고, 이 글은 법원이 위원회와 다르게 본 대목과 그 실무적 쓰임만 다룹니다.

개인정보위 처분을 다퉈서 이긴 회사가 있나

있지만 두 갈래뿐입니다. 개인정보위 집계로 2026년 7월 기준 취소소송 17건이 진행 중이고, 1심 선고가 난 사건은 전부 위원회가 이겼습니다. 구글(서울행정법원 2023구합55191, 2025. 1. 23., 과징금 692억 4,100만 원), 카카오(2024구합86789, 2026. 1. 15., 151억 4,196만 원), 골프존(2024구합83865, 2026. 2. 12., 75억 400만 원)이 모두 원고 패소였습니다.

사업자가 결론까지 이긴 사건은 둘입니다. 오픈마켓·온라인쇼핑몰 사건(서울행정법원 2021구합78848·2021구합79278, 2022. 7. 8.)에서 법원은 시정조치명령을 전부 취소했고 대법원 2023두54778 판결로 확정됐습니다. 위메프 사건(서울행정법원 2020구합59628, 2021. 11. 12.)에서 법원은 시정명령은 유지하고 과징금 부과처분만 취소했으며 대법원 2022두68923 판결로 확정됐습니다.

법원은 위원회 해설서를 어떻게 봤나

오픈마켓 사건에서 위원회는 입점 판매자가 플랫폼의 「개인정보취급자」라고 봤고, 그 근거로 KISA와 함께 낸 「개인정보의 기술적·관리적 보호조치 기준 해설서」를 들었습니다.

서울행정법원은 이 주장을 정면으로 배척했습니다. 법원은 "위 해설서는 피고 스스로가 발간한 해석을 담은 문서에 불과하므로, 이에 근거하여 법령에서 규정하는 내용과 달리 '개인정보취급자’의 범위를 확장할 수는 없다"고 했습니다. 항소심(서울고법 2022누54360·2022누54377)은 제공받은 '제3자’와 '개인정보취급자’는 양립할 수 없는 별개의 지위이고 판매자는 그 자체로 별개의 개인정보처리자라고 정리했습니다.

위원회가 처분 근거를 법령이 아니라 해설서·가이드라인에서 끌어온 사건이라면 여기서 출발하게 됩니다. 다만 골프존 사건에서 법원은 고시 제6조 제3항의 예측가능성이 위원회 해설서와 KISA 랜섬웨어 가이드로 보완된다고 했으므로, 해설서가 처분의 직접 근거인지 고시를 해석하는 보조 자료인지는 구분해야 합니다.

과징금 액수는 법원에서 줄어드나

위메프 사건이 액수를 문제 삼아 이긴 유일한 사건입니다. 위원회(방통위 처분 승계)는 관련 매출액을 쇼핑몰 전체 매출(직전 3개년 연평균 3,528억 원)로 잡았습니다. 법원은 노출된 개인정보 규모(이용자 20명)와 원인이 된 캐시 정책의 적용 기간에 비추어 액수가 지나치게 과다하고, "다른 정보통신서비스 제공자의 위반행위에 부과된 과징금액과도 균형을 잃었다"고 봤습니다. 대법원은 과징금이 박탈하려는 이득은 「적절한 보호조치를 하지 않은 개인정보를 자신의 영업을 위해 보유함으로써 얻은 이득」이고, 관련 매출액은 유출된 개인정보를 보유·관리하는 서비스를 기준으로 정해야 한다는 법리를 세웠습니다.

여기에 역설이 있습니다. 법원은 사업자가 얻어낸 이 법리를 이후 사건에서 위원회를 지지하는 근거로 썼습니다. 페이스북(2021구합57117)·메타(2023구합54259)·카카오(2024구합86789) 사건에서 법원은 개인정보를 보유·관리하는 것은 서비스 전체이므로 전체 매출이 관련 매출액이라고 판단했습니다. 골프존 사건에서는 시뮬레이터 판매 매출 1,650억 원까지 관련 매출액에 들어갔습니다.

전부 기각된 판결에서도 건질 것이 있나

삼성전자 사건(서울행정법원 2023구합84236, 2025. 11. 6.)이 대표적입니다. 위원회는 6차례 반복된 유출신고를 이유로 과징금 8억 7,558만 3천 원을 부과했습니다. 법원은 청구를 기각하면서도, 3차 신고 사건(온라인스토어, 유출 19명)에 관해서는 구 과징금 부과기준 제9조 제2항 제2호 나·다목(사소한 부주의, 유출 100명 미만)의 면제 사유가 존재한다고 명시적으로 인정했습니다. 결론이 유지된 이유는 면제가 위원회의 재량이고, 반복 유출 전력과 온라인스토어 매출(약 1,800억 원)을 고려하면 재량권 일탈이 아니라는 것이었습니다. 감경 사유의 구조는 과징금 감경 사유 글에서 따로 다뤘습니다.

카카오페이 사건(2025구합53645)에서는 근거법령이 문제됐습니다. 알리페이로의 정보 이전은 2018. 4. 27.부터 2024. 5. 21.까지 이어졌는데, 과징금 조항인 제28조의8은 2023. 9. 14.에 시행됐습니다. 위원회는 그 이전 구간을 구법상 「개인정보처리자」에 정보통신서비스 제공자가 포함된다는 전제에서 구법 제17조 제3항으로 의율했습니다. 법원은 "피고가 주장하는 것과 같이 구 법률상 개인정보처리자의 개념에 정보통신서비스 제공자가 포함된다고 해석할 명확한 근거도 부족하다"고 했습니다.

그런데도 처분은 유지됐습니다. 위반행위가 2023. 9. 14. 이후까지 계속됐고, 개정법 부칙 제8조 제2항(시행 당시 종료되지 않은 위반행위의 과징금은 신법에 따른다)이 적용된다는 이유였습니다. 뒤집어 읽으면, 위반행위가 2023. 9. 14. 이전에 종료된 사건이라면 결론이 달랐을 수 있습니다. 위원회가 구법 제17조 제3항으로 의율하려는 사건에서 이 1심 판단은 그대로 방어 논거가 됩니다.

법원이 일관되게 배척한 항변은 무엇인가

네 유형입니다. 첫째, "제휴사·웹사이트 운영자가 수집한 것이다"라는 항변입니다. 구글·메타 사건에서 법원은 광고도구를 설계하고 추적·수집·결합을 직접 수행한 플랫폼이 수집 주체라고 봤습니다. 둘째, "내부 식별번호라 개인정보가 아니다"라는 항변입니다. 카카오 사건에서 법원은 휴대전화번호·프로필명과 결합된 DB가 공개·판매된 이상 유출이라고 봤습니다.

셋째, "암호화해서 넘겼으니 업무위탁이다"라는 항변입니다. 카카오페이 사건에서 법원은 이익 귀속, 지배·관리권, 정보주체 영향을 종합해 제3자 제공이라고 판단했고, 위탁문서가 없고 수탁자를 공개하지 않은 점이 위탁 주장을 스스로 무너뜨렸다고 봤습니다. 넷째, "관련 매출액은 문제된 기능 부분만이다"라는 항변입니다. 앞서 본 대로 현행법 아래에서 한 번도 통하지 않았습니다. 법원은 형식이 아니라 실질적 처리 주체와 목적 결정자를 기준으로 봅니다.

이 판결들은 조사·처분 단계에서 어떻게 쓰이나

위 판시들은 소송보다 조사와 의견진술 단계에서 먼저 쓰입니다. 조사 단계에서는 위원회가 제시하는 위반 근거가 법령·고시인지 해설서인지를 자료 요청 답변부터 구분해 기록해 두는 것이 좋습니다.

의견진술서에는 두 가지를 넣어 두는 편이 좋습니다. 하나는 면제 사유입니다. 유출 규모·과실 정도·신고 경위를 조문 요건에 맞춰 적어 두면 처분 단계의 감경과 이후 다툼의 기초가 함께 마련됩니다. 다른 하나는 위반행위의 종료 시점입니다. 카카오페이 판결 뒤로는 위반이 2023. 9. 14. 이전에 끝났는지가 근거법령을 가르는 사실이 됐으므로, 언제 어떤 조치로 위반 상태가 끝났는지를 증빙과 함께 정리해야 합니다. 유출 사고라면 그 출발점은 유출 72시간 대응의 신고·통지 기록입니다.

반대로 위 네 유형의 항변은 의견진술 단계에서도 힘이 없습니다. 위원회가 같은 쟁점을 어떻게 판단해 왔는지는 결정례 색인에서, 처분 전수는 제재 추적기에서 확인할 수 있습니다. 구체적 사안은 사실관계와 적용 조문에 따라 달라지므로 개별 검토가 필요합니다.

자주 묻는 질문

Q. 개인정보위 처분을 취소소송으로 다퉈서 뒤집은 사례가 있나요?

두 갈래입니다. 오픈마켓·온라인쇼핑몰 사건에서는 입점 판매자가 개인정보취급자가 아니라는 이유로 시정조치명령이 전부 취소되어 대법원에서 확정됐습니다(2023두54778). 위메프 사건에서는 과징금이 비례원칙에 반한다는 이유로 과징금 부과처분만 취소됐습니다(대법원 2022두68923). 그 둘을 뺀 나머지 사건은 1심·2심에서 전부 위원회가 이겼고 대부분 항소심이 진행 중입니다.

Q. 개인정보위 해설서를 지키지 않았다는 이유로 처분할 수 있나요?

법원은 해설서 자체에는 규범력이 없다고 봤습니다. 오픈마켓 사건에서 서울행정법원은 보호조치 기준 해설서를 피고 스스로가 발간한 해석을 담은 문서에 불과하다고 보고, 법령과 달리 개인정보취급자의 범위를 넓힐 수 없다고 판단했습니다. 다만 골프존 사건에서는 고시의 예측가능성을 보완하는 자료로 해설서를 인정했으므로, 해설서가 처분의 직접 근거인지 보조 자료인지를 구분해야 합니다.

Q. 과징금 액수는 법원에서 줄어드나요?

2021년 이후 처분 사건에서 액수가 줄어든 예는 없습니다. 위메프 사건에서 대법원이 「보호조치 없이 보유한 개인정보로 얻은 이득」을 기준으로 관련 매출액을 정하라는 법리를 세웠지만, 이후 페이스북·메타·카카오 사건에서 법원은 같은 법리로 서비스 전체 매출을 관련 매출액으로 인정했습니다. 삼성전자 사건에서는 법원이 면제 사유의 존재를 인정하고도 면제는 위원회 재량이라며 액수를 그대로 뒀습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

  • 대법원 2023. 10. 12. 선고 2022두68923 판결 — 국가법령정보센터 (위메프 — 과징금 부과처분 취소, 관련 매출액 법리)
  • 대법원 2023. 12. 28. 선고 2023두54778 판결 — 오픈마켓·온라인쇼핑몰 시정조치명령 취소 확정. 하급심은 서울행정법원 2022. 7. 8. 선고 2021구합78848·2021구합79278 판결
  • 서울행정법원 2025. 1. 23. 선고 2023구합55191 판결(구글), 2026. 1. 15. 선고 2024구합86789 판결(카카오), 2026. 2. 12. 선고 2024구합83865 판결(골프존), 2021. 11. 12. 선고 2020구합59628 판결(위메프) 등 — 본문에 인용한 판결은 판결문 전문 기준
  • 개인정보 보호법 제64조의2(과징금의 부과) — 국가법령정보센터