개인정보위가 혐의 없이 점검을 나왔습니다 — 시정권고를 수락하면 그때부터 무엇이 달라지나

핵심 요약: 개인정보 보호법 제63조의2의 사전 실태점검은 제63조 제1항 각 호에 해당하지 아니하는 경우, 곧 위반 혐의도 신고도 민원도 없을 때 하는 점검입니다. 문제는 그다음입니다. 점검에서 나오는 권고가 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(같은 조 제4항), 제61조 제2항의 개선권고에는 그런 간주 규정이 없고 성실하게 노력할 의무만 있습니다. 회사가 판단할 시간은 통보받은 날부터 10일입니다(제63조의2 제3항). 무엇을 보고 판단하는지도 이미 정해져 있습니다. 고시 제30조의4는 시정방안에 수락하는 경우의 이행 기간을 포함하도록 하고 있어서, 그 기간이 권고 문서 안에 적혀 옵니다. 그리고 2026년 9월 11일부터는 시정조치 명령에 따르지 아니하여 유출등에 이른 경우가 전체 매출액 100분의 10 과징금 구간에 들어갑니다(개정 제64조의2 제2항 제3호).

사고가 난 적도 없고 민원이 들어온 적도 없는데 개인정보보호위원회에서 자료 요청이 옵니다. 담당자가 가장 먼저 하는 질문은 대개 같습니다.

"우리가 뭘 잘못한 게 있나요?"

이 절차에서는 그 질문이 출발점이 되지 못합니다. 잘못한 것이 확인되지 않았다는 사정이 점검의 전제이기 때문입니다.

혐의가 없는데 왜 점검을 나오나

조사의 문은 원래 제63조 제1항이 엽니다. 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우(제1호), 위반에 대한 신고를 받거나 민원이 접수된 경우(제2호), 그 밖에 대통령령으로 정하는 경우(제3호)입니다.

제63조의2 제1항은 그 세 가지에 해당하지 아니하는 경우를 전제로 합니다. 대신 침해사고 발생의 위험성이 높고 개인정보 보호의 취약점을 사전에 점검할 필요성이 인정될 것을 요구합니다. 무엇을 잘못했느냐가 아니라 어느 자리에 있느냐가 기준입니다. 회사가 결백을 소명해도 대상에서 빠지지 않습니다.

관계 중앙행정기관의 장과 합동으로 점검하는 것도 가능합니다(같은 조 제6항). 2026년 5월 예고된 에듀테크 7개 서비스 점검이 개인정보위와 교육부의 합동 점검입니다. 이 업무를 전담하는 사전실태점검과는 2025년 12월 23일 국무회의의 직제 개정 의결로 신설됐습니다. 조직이 생긴 시점이 곧 점검이 늘어난 시점인데, 그 사정은 아래에서 따로 봅니다.

실제로 누가 점검을 받았나

이 조문은 2023년 9월 15일부터 시행됐습니다. 그 뒤 개인정보위가 보도자료로 공개한 사전 실태점검 가운데 주요한 것은 다음과 같습니다.

이 절차는 지금 막 늘어나기 시작했습니다

숫자만 보면 반대로 읽을 수도 있습니다. 실제로 2025년 10월 국정감사에서 이 제도는 정반대 평가를 받았습니다.

국회 정무위원회 강민국 의원실이 개인정보위로부터 받은 자료에 따르면, 2023년 9월 시행 이후 2년간 사전 실태점검은 6회에 그쳤고 대상은 18개 기업·기관이었습니다. 같은 기간 조사와 사전 실태점검을 거쳐 나온 처분 806건 가운데 사전 실태점검에서 나온 것은 24건, 비율로는 2.98%였습니다. 금융·통신·유통 분야 점검은 한 건도 없었습니다. 기사 제목은 「유명무실한 개인정보위 사전 실태점검」이었습니다.

그 지적이 나온 뒤의 석 달이 이 글의 배경입니다.

• 2025년 11월 20일, 공공 집중관리시스템 38개 기관 점검에서 36곳이 시정권고를 받았습니다. 한 건의 대상 수가 앞선 2년치 여섯 건 전체를 넘어섰습니다.
• 2025년 12월 23일, 국무회의가 개인정보위 직제 개정을 의결해 사전실태점검과가 신설됐습니다. 예방조정심의관과 함께 1관 1과, 조사관 6명을 포함해 17명이 늘었습니다. 그때까지 개인정보위 조사 인력은 4년 연속 31명이었습니다.
• 2026년 1월 14일, 개인정보위는 제1회 전체회의에서 「2026년 개인정보 조사업무 추진 방향」을 확정하고, 사고 발생 후 제재 중심에서 위험 기반 사전 점검으로 전환한다고 밝혔습니다. 중점 조사 6대 분야는 ① 대규모 개인정보처리자 ② 영상·생체 등 고위험 개인정보 ③ 다크패턴 등 과잉수집 ④ AI·블록체인 ⑤ 공공부문 ⑥ 기업결합(M&A)·파산·회생 과정의 개인정보 이전·파기입니다. 추진 과제에는 정기적 사전 실태점검을 위한 법적 근거 마련이 들어 있습니다.

조직과 인력이 붙었고, 대상 분야가 여섯으로 명시됐고, 정기화를 위한 입법까지 예고됐습니다. 2026년에 상조·금융·고객센터로 대상이 번지는 것은 그 결과입니다. 6건이라는 숫자는 이 제도의 크기가 아니라 출발점입니다.

대상은 어떻게 골라지나

여기서 눈에 띄는 것은 대상을 고르는 방식입니다. 2026년 3월 롯데카드 제재 보도자료는 금융 분야 주민등록번호 처리에 대한 사전 실태점검 추진을 함께 알렸고, 2026년 5월 보람상조 제재 보도자료는 상조 분야 전반의 점검이 이미 진행 중이라고 밝혔습니다. 같은 업종에서 제재가 하나 나오면 그 업종 전체가 점검 범위로 언급되는 형태가 반복되고 있습니다.

2026년 4월 고객센터 점검은 이 방식을 더 짧은 경로로 보여 줍니다. 배달 플랫폼 상담사가 업무 중 알게 된 고객 주소를 무단 조회해 범죄에 쓴 사건 하나가 계기였고, 점검 대상은 그 회사가 아니라 상담업무를 외부에 위탁하는 5개 분야 전체로 잡혔습니다. 사고를 낸 곳이 아니라 같은 구조를 쓰는 곳이 대상입니다. 우리 회사에 사고가 없었다는 사실이 대상에서 벗어나는 근거가 되지 못하는 이유가 여기 있습니다.

2025년 6월 클라우드 3개사 점검은 또 다른 경로를 보여 줍니다. 개인정보위는 클라우드 위에 개인정보처리시스템을 올리는 이용사업자 약 65만 곳, 그중에서도 중소기업·스타트업·소상공인이 안전조치 기능의 존재를 몰라 위반에 노출되는 것을 막겠다는 이유로, 그들이 아니라 그들이 쓰는 사업자를 점검했습니다. 자기 회사가 점검 대상이 아니어도 자기 회사가 쓰는 서비스가 대상이 될 수 있다는 뜻입니다.

롯데카드 사건에서 위원회가 무엇을 문제 삼았는지는 적법하게 수집한 주민등록번호를 로그에 남겼습니다에서 조문 단위로 다뤘습니다. 아동 정보 쪽에서 이 절차가 어떻게 쓰이는지는 (가칭)아동·청소년 개인정보 보호법은 어떻게 됐나에서 에듀테크 합동 점검을 사례로 다뤘습니다.

권고가 두 갈래입니다

점검이 끝나고 오는 문서를 받으면 근거 조문부터 봐야 합니다. 개인정보위는 사전 실태점검 결과로 두 가지 권고를 내고, 둘의 법적 효과가 다릅니다.

이 구분은 개인정보위 의결에서 반복적으로 확인됩니다.

같은 회사 안에서 갈린 경우. 2024년 6월 의결에서 개인정보위는 SKT에 대해 접속기록 보관 점검이라는 안전조치 의무 준수를 시정권고하면서, 보관 기간 최소화와 비식별 처리 강화는 개선권고로 나누어 의결했습니다. 같은 회사에 같은 날 나간 결과 안에서 두 갈래가 갈린 것입니다. 2025년 4월 딥시크 건도 같습니다. 국외 이전의 적법 근거 구비와 이미 이전된 프롬프트 입력 내용의 파기, 한국어 처리방침 공개는 시정권고로, 아동 개인정보 확인·파기와 국내대리인 지정 등은 개선권고로 갈랐습니다.

당사자별로 갈린 경우. 2025년 5월 AI 디지털교과서 의결이 더 선명합니다. 개인정보위는 처리방침·동의서 구체화와 정보주체 권리행사 명확화를 이유로 KERIS에는 시정권고를, 검정 심사기준과 개발 가이드라인에 안전조치 의무를 반영하라는 취지로 교육부에는 개선권고를 했습니다. 같은 점검, 같은 날 의결인데 받은 문서의 성격이 기관마다 다릅니다.

그러니 "우리도 같이 점검받았고 같이 권고를 받았다"는 사실만으로는 아무것도 정해지지 않습니다. 받은 문서에 "개선을 권고한다"고만 적혀 있으면 제61조 제2항일 가능성이 있고, 그때는 아래 이야기가 적용되지 않습니다. 반대로 수락 여부를 10일 안에 통지하라는 문구가 있으면 제63조의2 제2항입니다.

수락은 협조가 아니라 지위 변경입니다

제63조의2 제4항의 문언은 이렇습니다. 시정권고를 받은 자가 해당 권고를 수락한 때에는 제64조 제1항에 따른 시정조치 명령을 받은 것으로 본다.

제64조 제1항의 시정조치 명령은 개인정보 침해행위의 중지, 개인정보 처리의 일시적인 정지, 그 밖에 개인정보의 보호 및 침해 방지를 위하여 필요한 조치를 명하는 처분입니다. 수락하는 순간 회사는 권고를 받은 자가 아니라 그 명령을 받은 자가 됩니다. 문서 한 장에 서명하는 일로 보이지만 법적 지위가 바뀝니다.

여기서 두 갈래가 열립니다.

첫째, 제75조 제2항 제27호는 제64조 제1항에 따른 시정조치 명령에 따르지 아니한 자에게 3천만 원 이하의 과태료를 부과하도록 정합니다. 간주된 명령을 이행하지 않는 것이 이 호에 해당하는지에 관한 공개된 선례는 확인되지 않지만, 제63조의2 제4항이 명령을 받은 것으로 본다고 정한 이상 조문 구조상 그 방향으로 읽힐 여지가 큽니다.

둘째가 더 무겁습니다. 2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 제64조의2 제2항 제3호로 제64조 제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항 제9호의 위반행위를 한 경우를 전체 매출액 100분의 10 과징금 구간에 넣었습니다. 제1항 제9호는 개인정보가 분실·도난·유출·위조·변조·훼손된 경우이므로 요건은 두 겹입니다. 명령을 이행하지 않았을 것, 그리고 그로 인해 유출등에 이르렀을 것. 10% 구간의 나머지 두 갈래와 산정·감경 구조는 2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나에, 과거 처분 이력이 언제 방아쇠가 되는지는 대상회사에 개인정보 과징금 이력이 있습니다에 정리해 두었습니다.

여기에 층이 하나 더 예고돼 있습니다. 앞서 본 「2026년 개인정보 조사업무 추진 방향」은 시정명령의 활용 범위를 직접적인 침해행위 중지에서 예방조치 필요 사항으로 넓히고, 시정명령 불이행 시 이행강제금 도입을 검토하겠다고 밝혔습니다. 아직 법령이 아니라 추진 과제이지만, 방향은 명령의 범위를 넓히고 불이행의 값을 올리는 쪽입니다.

여기서 눈여겨볼 것은 이 갈래들이 모두 불이행을 방아쇠로 삼는다는 점입니다. 수락 자체는 어느 쪽 요건도 건드리지 않습니다. 따라서 수락 자체가 위험한 것이 아니라, 이행하지 못할 내용을 수락하는 것이 위험합니다.

이행 기간은 이미 그 문서 안에 적혀 있습니다

그러면 이행할 수 있는지를 무엇을 보고 판단하는가. 답이 하위 규범에 있습니다.

「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회고시 제2023-9호) 제30조의4는 사전 실태점검에서 위반 사항을 발견한 경우 피심인에 대하여 시정방안(피심인이 해당 권고를 수락하는 경우의 해당 권고의 이행 기간을 포함한다)을 정하여 이에 따를 것을 권고할 수 있다고 정합니다.

괄호 안이 핵심입니다. 이행 기간이 권고 문서 안에 이미 들어 있습니다. 수락하는 순간 그 기간은 협의 대상이 아니라 간주된 시정조치 명령의 이행 기한이 됩니다. 10일 안에 판단할 것은 권고 내용이 타당한지가 아니라, 거기 적힌 기간 안에 그것을 끝낼 수 있는지입니다.

이행 결과 보고는 그와 별개로 돕니다. 개인정보위는 사전 실태점검 보도자료에서 시정권고와 개선권고의 이행 결과를 60일 이내에 보고하도록 일관되게 요구해 왔습니다(딥시크, AI 디지털교과서 등). 딥시크 건에서는 그 뒤 최소 2회 이상 이행 여부를 점검하겠다고 밝혔습니다.

수락 통지 10일, 이행 결과 보고 60일, 그리고 문서에 적힌 이행 기간. 세 개의 시계가 동시에 돕니다. 내부 결재 한 번이 이 중 어느 하나를 넘기면 그때부터는 불이행 쪽 이야기가 됩니다.

수락하지 않으면 어떻게 되나

제63조의2 제5항은 시정권고를 수락하지 아니하거나 이행하지 아니한 경우 개인정보위가 제63조 제2항에 따른 검사를 할 수 있도록 정합니다. 소속 공무원이 사무소나 사업장에 출입해 업무 상황, 장부, 서류를 검사하는 절차입니다.

수락하지 않는 것 자체에는 과태료가 붙지 않습니다. 거절에 대한 제재 조항이 없습니다. 대신 절차의 성격이 바뀝니다.

바뀐 뒤의 자리를 정확히 볼 필요가 있습니다. 검사에서 위반이 확인되면 그때는 사전 실태점검 트랙이 아니라 일반 조사·처분 트랙입니다. 시정조치 명령(제64조)이 권고가 아니라 처분으로 나오고, 요건이 맞으면 과징금(제64조의2)과 과태료(제75조)가 함께 붙으며, 결과 공표(제66조)의 대상이 됩니다. 거절은 위험을 없애는 선택이 아니라 판단을 개인정보위에 되돌려 주는 선택입니다.

그래서 두 갈래는 이렇게 갈립니다. 권고 내용을 기간 안에 끝낼 수 있다면 수락이 낫습니다. 이행이 확인되는 한 과징금 부과 절차로 넘어갈 계기가 생기지 않습니다. 끝낼 수 없다면, 이행하지 못할 내용을 명령으로 바꿔 놓는 것보다 검사를 받는 편이 낫습니다. 판단의 축은 협조적으로 보이는지가 아니라 이행 가능성 하나입니다.

주의할 것은 제5항이 수락하지 아니한 경우와 이행하지 아니한 경우를 나란히 들고 있다는 점입니다. 수락한 뒤 이행하지 않아도 검사의 사유가 됩니다. 즉 수락으로 상황을 일단 넘기는 선택은 시간을 벌어 주지 못합니다. 검사는 그대로 열려 있고, 거기에 간주된 명령의 불이행이라는 사정이 하나 더 얹힐 뿐입니다.

점검 중에 고치면 어떻게 되나

2024년 6월 의결에 참고할 만한 장면이 있습니다. DeepL은 이용자가 무료 서비스에 입력한 정보를 AI 학습과 인적 검토에 쓰면서 그 사실을 명확하게 공개하지 않았습니다. 그런데 개인정보위는 별도의 개선권고를 하지 않기로 했습니다. 점검이 진행되는 동안 회사가 입력 화면에 안내를 넣고 인적 검토 사실을 처리방침에 반영했기 때문입니다.

같은 의결에서 뷰노는 위반 사항이 발견되지 않아 아무 조치도 받지 않았고, SKT는 점검 기간 중 국외이전 고지를 구체화하고 학습데이터 보관 기간을 단축한 사실이 결과에 함께 적혔습니다.

점검이 시작된 뒤에도 결과를 바꿀 구간이 남아 있다는 뜻입니다. 권고 문서를 받은 다음에 대응을 시작하면 그 구간은 이미 지나가 있습니다. 자료 요청이 오는 시점이 사실상의 출발선입니다.

이 트랙은 공개 기록에 거의 남지 않습니다 — 다만 전혀 없지는 않습니다

사전 실태점검의 결과는 제재 의결이 아니라 권고입니다. 그래서 결정문 게시판에 올라오는 것도 대부분 과징금·과태료 사건이고 권고 의결은 좀처럼 보이지 않습니다. 다만 전혀 없지는 않습니다. 본문이 공개된 제재 의결서 889건을 근거 조문으로 전수 검색하면 제63조의2 제2항을 든 의결이 세 건 나옵니다 — 딥시크(제2025-009-026호, 2025년 4월 23일), 한국교육학술정보원(제2025-011-028호, 2025년 5월 14일), 그리고 피심인이 비실명 처리된 한 건(제2024-010-184호, 2024년 6월 12일)입니다. 셋 다 과징금과 과태료 없이 시정권고·개선권고만 있고, 게시물에 미리보기 없이 PDF로만 올라와 있어 목록 검색으로는 잡히지 않습니다.

그래서 정확히 말하면 「의결서가 공개되지 않는다」가 아니라 찾기 어렵게 공개된다입니다. 위 표의 딥시크는 결정문이 있고, AI 디지털교과서와 집중관리시스템 38개 기관 건은 전체회의 심의·의결을 거쳤으나 아직 결정문으로 확인되지 않고 보도자료로만 남아 있습니다.

결정문이 나오지 않은 건에서 이 트랙을 확인할 수 있는 자료는 보도자료뿐이고, 그마저 점검 대상과 개선 내용을 요약하는 수준입니다. 어느 회사가 수락했고 어느 회사가 거절했는지, 각 건의 이행 기간을 얼마로 정했는지는 공개되지 않습니다. 그 기간은 권고를 받은 회사만 자기 문서에서 볼 수 있습니다.

다만 이행 여부는 나중에 따로 집계됩니다. 개인정보위는 2026년 5월 13일 제9회 전체회의에서 2025년 7월부터 12월까지 의결된 처분 중 이행 기간이 도래한 시정명령(권고)·개선권고·공표명령 222건을 점검해 211건(약 95.0%)이 이행되거나 이행계획이 제출됐다고 보고했습니다. 그 앞 회차인 2025년 12월 10일 제26회 전체회의에서는 2024년 10월부터 2025년 6월까지의 의결분 108건 중 103건(약 95.3%)이었습니다.

사전 실태점검에서 나간 권고도 이 집계에 함께 들어갑니다. 2025년 2월 소셜로그인 5개사와 6월 클라우드 3개사가 받은 개선권고는 2025년 12월 이행점검에서, 7월 슈퍼앱 5개사가 받은 개선권고는 2026년 5월 이행점검에서 모두 이행으로 확인됐습니다. 어느 회사가 무엇을 어떻게 고쳤는지가 회사 이름과 함께 보도자료에 적힙니다. 수락으로 끝나는 것이 아니라 이행점검이 뒤따르고, 그 결과가 공표된다는 뜻입니다.

공표가 처분과 별개의 재량 판단이라는 점은 과태료가 더 많은 쪽은 공표되지 않았습니다에서 다뤘습니다.

10일 안에 확인할 것

• 근거 조문을 먼저 봅니다. 제63조의2 제2항인지 제61조 제2항인지에 따라 수락의 의미가 달라집니다. 같은 점검에서 회사마다, 심지어 한 회사 안에서도 두 갈래가 함께 나올 수 있으므로 문서를 항목별로 봅니다.
• 문서에 적힌 이행 기간을 찾습니다. 고시 제30조의4에 따라 시정방안에는 이행 기간이 포함됩니다. 수락하면 이 기간이 곧 명령의 이행 기한이 됩니다.
• 그 기간 안에 실제로 끝낼 수 있는지 검토합니다. 이행 가능성이 판단의 중심이고, 협조적으로 보이는지는 중심이 아닙니다.
• 이행에 필요한 예산과 인력을 누가 승인하는지 확인합니다. 수락 통지는 10일 안에 나가야 하는데 내부 결재가 그보다 오래 걸리는 경우가 많습니다. 10일은 검토 기간이 아니라 결재까지 끝내야 하는 기간입니다.
• 이행 결과 보고 일정을 같이 잡습니다. 제63조의2 제3항은 이행 결과를 고시로 정하는 바에 따라 알리도록 하고 있고, 개인정보위 실무는 60일 이내 보고입니다. 그 뒤 이행점검이 따로 옵니다.
• 같은 업종의 최근 제재 보도자료를 확인합니다. 그 업종 전반에 대한 점검 계획이 함께 적혀 있는 경우가 있습니다.
• 개인정보위가 매년 1월 발표하는 중점 조사 분야에 우리가 들어 있는지 봅니다. 2026년은 여섯 분야가 명시됐고, 그중 하나가 M&A·파산·회생 과정의 개인정보 이전·파기입니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

자주 묻는 질문

Q. 위반 혐의가 없는데도 개인정보위가 점검을 나올 수 있나요?

나올 수 있습니다. 개인정보 보호법 제63조의2 제1항은 제63조 제1항 각 호에 해당하지 아니하는 경우, 즉 위반 사항을 발견하거나 혐의를 알게 된 경우도 아니고 신고나 민원이 접수된 경우도 아닐 때를 전제로 합니다. 침해사고 발생의 위험성이 높고 취약점을 사전에 점검할 필요성이 인정되면 그것만으로 점검 대상이 됩니다. 개인정보위는 2024년 3월 대규모 언어모델 사업자 6곳과 6월 인공지능 응용서비스 4곳을 시작으로, 2025년에만 소셜로그인 5곳(2월), 딥시크(4월), AI 디지털교과서(5월), 클라우드 3곳(6월), 슈퍼앱 5곳(7월), 공공 집중관리시스템 57개·운영기관 38곳(11월)을 이 절차로 점검했습니다. 2026년에는 상조 분야 전반과 고객센터 상담업무 위탁 5개 분야가 진행 중입니다. 개인정보위는 2026년 1월 중점 조사 6대 분야로 대규모 개인정보처리자, 영상·생체 등 고위험 개인정보, 다크패턴 등 과잉수집, AI·블록체인, 공공부문, 기업결합·파산·회생 과정의 개인정보 이전·파기를 제시했고, 정기적 사전 실태점검을 위한 법적 근거 마련도 추진 과제로 밝혔습니다.

Q. 사전 실태점검에서 받은 권고를 수락하면 무엇이 달라지나요?

지위가 달라집니다. 제63조의2 제4항은 시정권고를 수락한 때에는 제64조 제1항에 따른 시정조치 명령을 받은 것으로 본다고 정합니다. 수락하는 순간 권고를 받은 자가 아니라 시정조치 명령을 받은 자가 되고, 그 뒤의 불이행은 제75조 제2항 제27호가 정한 시정조치 명령 불이행의 문제가 됩니다. 2026년 9월 11일 시행된 개정법은 여기에 한 층을 더했습니다. 시정조치 명령에 따르지 아니하여 개인정보가 유출등이 된 경우를 전체 매출액 100분의 10 과징금 대상으로 새로 규정했기 때문입니다(개정 제64조의2 제2항 제3호, 법률 제21445호). 다만 두 갈래 모두 방아쇠는 수락이 아니라 불이행입니다. 그래서 판단의 중심은 이행 가능성입니다. 「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제30조의4에 따라 시정방안에는 수락하는 경우의 이행 기간이 포함되므로, 그 기간은 권고 문서 안에서 이미 확인할 수 있습니다.

Q. 권고를 수락하지 않으면 어떻게 되나요?

제63조의2 제5항에 따라 개인정보위가 제63조 제2항의 검사를 할 수 있습니다. 사무소나 사업장에 출입해 업무 상황과 장부, 서류를 검사하는 절차입니다. 수락하지 않는 것 자체에 과태료가 붙지는 않지만, 점검이 검사로 성격을 바꾸는 결과가 됩니다. 검사에서 위반이 확인되면 그때부터는 사전 실태점검 트랙이 아니라 시정조치 명령·과징금·과태료·결과 공표가 가능한 일반 조사·처분 트랙입니다. 수락과 거절 중 어느 쪽이 유리한지는 권고 내용을 문서에 적힌 이행 기간 안에 실제로 끝낼 수 있는지에 따라 갈립니다.

참고 자료

• 조문은 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 원문을 기준으로 했습니다. 제61조(의견제시 및 개선권고), 제63조(자료제출 요구 및 검사), 제63조의2(사전 실태점검), 제64조(시정조치 등), 제66조(결과의 공표), 제75조 제2항 제27호입니다.
• 2026년 9월 11일 시행된 개정법은 법률 제21445호입니다. 제64조의2 제2항 제3호가 신설된 반면 제63조의2의 문언은 이 개정으로 바뀌지 않았습니다.
• 사전 실태점검의 절차는 개인정보 보호위원회의 조사 및 처분에 관한 규정(개인정보보호위원회고시 제2023-9호, 2023년 10월 16일 시행)에 있습니다. 본문에 인용한 제30조의4(시정권고) 외에 제30조의2(합동 사전 실태점검), 제30조의3(시정권고안의 작성)이 같은 절에 있습니다.
• 사전 실태점검 사례는 개인정보보호위원회 보도자료를 근거로 했습니다. 「주요 인공지능(AI) 서비스 사전 실태점검 결과 발표」(2024년 3월 28일, 3월 27일 제6회 전체회의 의결), 「에이닷 등 인공지능(AI) 응용서비스 사전 실태점검 결과 발표」(2024년 6월 13일, 6월 12일 제10회 전체회의 의결), 「소셜로그인 실태점검 결과 발표」(2025년 2월 13일, 2월 12일 의결. 점검 기간은 2024년 4월부터 11월까지), 「딥시크 서비스 사전 실태점검 결과 발표」(2025년 4월 23일 제9회 전체회의 의결), 「AI 디지털교과서 사전 실태점검 결과 발표」(2025년 5월 21일, 5월 14일 제11회 전체회의 의결), 「클라우드 분야 사전 실태점검 결과 발표」(2025년 6월 12일, 6월 11일 제13회 전체회의 의결), 「슈퍼앱 등 5개 주요앱 대상 개인정보 관리 사전 실태점검 실시」(2025년 7월 24일, 7월 23일 제16회 전체회의 의결), 공공분야 집중관리시스템 전수점검 결과(2025년 11월 20일 제23회 전체회의 의결), 고객센터 상담업무 위탁 사전 실태점검 착수(2026년 4월 6일)입니다.
• 이행 결과를 60일 이내에 보고하도록 하는 것은 위 딥시크·AI 디지털교과서 보도자료에 명시된 내용이고, 최소 2회 이상 이행점검은 딥시크 보도자료에 있습니다.
• 이행점검 수치는 「’25년 하반기 시정명령 등 이행점검 결과 발표」(2026년 5월 14일, 5월 13일 제9회 전체회의 보고)와 「’25년 상반기 시정명령 등 이행점검 결과 발표」(2025년 12월 11일, 12월 10일 제26회 전체회의 보고)에서 가져왔습니다. 각 회차의 모집단은 이행 기간이 도래한 처분이되 의결 시기로 구획되며, 앞의 것은 2025년 7월부터 12월까지의 의결분, 뒤의 것은 2024년 10월부터 2025년 6월까지의 의결분입니다. 슈퍼앱 5개사의 이행 확인은 앞의 보도자료에, 소셜로그인 5개사와 클라우드 3개사의 이행 확인은 뒤의 보도자료에 있습니다.
• 2년간 6회·18개 기업기관·처분 806건 중 24건(2.98%)이라는 수치는 국회 정무위원회 강민국 의원실이 개인정보위로부터 제출받은 「2023년~2025년 사전 실태점검 실시 내역」과 「조사·사전실태점검 처분 통계」를 인용한 2025년 10월 14일 보도입니다.
• 사전실태점검과와 예방조정심의관 신설은 2025년 12월 23일 국무회의 직제 의결입니다. 1관 1과와 17명(조사관 6명 포함) 확충이고, 그전까지 조사 인력은 4년 연속 31명이었습니다.
• 「2026년 개인정보 조사업무 추진 방향」은 2026년 1월 14일 제1회 전체회의에서 확정돼 1월 15일 발표됐습니다. 중점 조사 6대 분야, 정기적 사전 실태점검을 위한 법적 근거 마련, 시정명령 활용 범위 확장 및 시정명령 불이행 시 이행강제금 도입 검토가 여기에 있습니다. 이행강제금은 아직 법령이 아니라 추진 과제입니다.
• 에듀테크 7개 서비스 합동 점검은 2026년 5월 18일 개인정보위·교육부 예고분으로, 자세한 내용은 본문에서 링크한 아동·청소년 개인정보 보호법 글에 있습니다.
• 공공 집중관리시스템 건은 점검 대상 38개 기관 중 36개 기관이 시정권고를 받았다는 2025년 11월 발표를 따랐습니다. 2026년 5월 이행점검 보도자료는 같은 건을 「시정권고를 받은 38개 기관 중 33개 기관이 이행 및 계획 제출 완료」로 적고 있어 기관 수 표기가 서로 다릅니다.
• 업종별 점검 계획은 「개인정보 보호 법규 위반 ‘롯데카드’ 제재」(2026년 3월 12일)와 「개인정보 유출한 ‘보람상조’ 제재」(2026년 5월 14일) 보도자료에 적힌 내용입니다.
• 본문의 제63조의2 제2항 근거 의결 세 건은 이 사이트가 수집한 공개 결정문 전수(수집일 2026년 9월 10일)를 근거 조문으로 검색한 결과입니다. 🔴 2026년 9월 10일에 수집 범위를 넓히기 전에는 같은 검색이 「없음」으로 나왔습니다 — 세 건 모두 미리보기 없이 PDF로만 올라온 게시물이라 목록 검색에 걸리지 않았습니다.