적법하게 수집한 주민등록번호를 로그에 남겼습니다 — 그것이 왜 별개의 위반인가

핵심 요약 — 개인정보보호위원회는 2026년 3월 11일 제4회 전체회의에서 롯데카드에 과징금 96억 2,000만 원, 과태료 480만 원, 시정명령과 공표명령을 의결했습니다(사건번호 2025조일0053-01). 제재의 근거가 된 행위는 해킹을 당한 것이 아니라 신용정보법령에 따라 적법하게 수집한 주민등록번호를 온라인 결제 로그파일에 약 7년간 평문으로 기록·저장한 처리 행위입니다(개인정보 보호법 제24조의2 제1항). 위원회는 수집 근거가 있어도 그 범위를 넘는 처리는 위반이고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 암호화를 하루 한 번 일괄 수행한 것도 같은 조 제2항 위반으로 과태료 대상이 됐습니다.

주민등록번호를 다루는 회사에서 법무 검토는 대개 수집 단계에서 끝납니다. 근거 법령이 있는지, 동의를 받았는지를 확인하고 나면 그다음은 개발과 운영의 영역으로 넘어갑니다. 2026년 3월 의결된 롯데카드 사건은 그 지점을 정면으로 다룹니다. 수집은 적법했지만, 그 번호가 로그에 남은 것이 96억 원짜리 위반이 됐습니다.

무슨 일이 있었나

실태조사가 아니라 사고 조사입니다. 금융당국이 2025년 9월 롯데카드의 개인신용정보 누설 신고 사실을 위원회에 알렸고, 위원회는 9월 22일부터 12월 23일까지 조사했습니다.

해커는 2025년 8월 12일 온라인 결제 서비스 서버에 웹셸을 설치하고, 14일부터 28일까지 로그파일을 외부로 전송했습니다. 침입 경로는 이미 종료된 결제 중계 서비스였습니다. 서비스가 종료되면서 자산 식별 목록에서 빠졌고, 그 서버의 웹 애플리케이션에는 2017년에 패치가 배포된 웹로직 취약점이 그대로 남아 있었습니다. 보안장비의 정책도 그 도메인에는 적용되지 않아 웹셸이 탐지되지 않았습니다. 로그에 기록돼 있던 이용자 약 297만 명의 개인정보가 유출됐고, 그중 약 45만 명은 주민등록번호까지 함께 나갔습니다.

정작 위원회가 위반으로 본 것은 그 앞의 상태입니다. 롯데카드는 이용자가 온라인 결제 서비스에 카드를 등록할 때 승인계 데이터베이스와 계정계 데이터베이스에서 각각 주민등록번호를 불러와 일치 여부를 대조했고, 그 통신 내용을 로그파일에 그대로 적었습니다. 마스킹도 값 암호화도 없는 13자리 전체였습니다. 코드 기록으로 확인된 시점만 2018년 6월이니 최소 7년입니다. 파일 암호화는 하루 한 번, 매일 오전 3시에 일괄로 이루어졌으므로 로그는 24시간에서 48시간 동안 평문으로 서버에 남아 있었습니다.

처분은 무엇이었나

같은 조의 제1항과 제2항 위반인데 하나는 과징금, 다른 하나는 과태료입니다. 제1항 위반에 대해서는 과징금을 부과했으므로 법 제76조의 특례에 따라 과태료를 따로 부과하지 않았고, 암호화 의무인 제2항 위반에만 과태료가 붙었습니다. 시정명령 중 CPO 관련 부분이 무엇을 뜻하는지는 별도 글에서 다뤘습니다.

또 하나 눈여겨볼 것은 기관 사이의 역할 분담입니다. 위원회는 보도자료에서 같은 사고를 두고 금융당국은 신용정보법상 안전조치의무를, 개인정보위는 보호법상 주민등록번호 처리를 각각 조사했다고 밝혔습니다. 개인신용정보에 관하여는 신용정보법이 우선 적용되지만, 신용정보법에 규정되지 않은 처리에는 보호법이 적용된다는 것이 그 근거입니다. 금융회사라고 해서 보호법 제24조의2의 적용을 벗어나지 않습니다.

위원회는 왜 그렇게 판단했나

수집 근거와 처리 범위는 층이 다릅니다. 롯데카드는 신용정보법 시행령 제37조의2 제4항이 금융거래를 위해 불가피한 경우 개인식별번호를 수집·처리할 수 있게 하고 있으므로 적법하다고 주장했습니다. 위원회는 이 주장을 받아들이지 않았습니다. 회사가 든 처리 목적은 주민등록번호 변경으로 생긴 오류에 대한 민원 대응인데, 위원회는 그것이 회사가 임의로 구성한 시스템에서 발생한 오류의 원인을 확인하는 과정일 뿐 '금융거래’와 직접 관련된다고 보기 어렵다고 판단했습니다.

대체 수단이 있으면 '불가피한' 처리가 아닙니다. 위원회는 CI 값이 주민등록번호를 일방향 암호화한 값이므로 그것만으로 불일치를 확인할 수 있고, 불일치 사실을 오류코드로 남기는 방법도 있으며, 민원이 들어오면 데이터베이스를 조회해도 된다고 짚었습니다. 조사 과정에서 회사의 민원 담당자도 로그의 주민등록번호가 반드시 필요한 것은 아니라는 취지로 답했습니다. 사고 직후 회사가 로그에 주민등록번호가 남지 않도록 설정을 바꾼 사실도 '불가피하지 않았다’는 근거로 쓰였습니다.

동의는 근거가 되지 않습니다. 회사는 수집 동의서에 이용 목적으로 '민원 처리’를 적어 두었다고 주장했지만, 위원회는 정보주체의 동의가 제24조의2 제1항의 처리 요건에 해당하지 않는다고 밝혔습니다. 주민등록번호는 동의로 열리는 항목이 아닙니다.

업계 관행과 기술적 제약은 항변이 되지 못했습니다. 일 배치 암호화가 업권에서 일반적이라는 주장에 대해 위원회는, 로그파일에는 개인정보를 남기지 않는 것이 일반적이므로 주민등록번호가 들어 있는 로그에 일반 로그와 같은 기준을 적용할 수 없다고 판단했습니다. 조사관이 다른 카드사를 확인한 결과 로그에 주민등록번호를 저장·조회하지 않는 것으로 나타났다는 점, 15년 경력의 CPO조차 이전 직장에서 그런 방식을 본 적이 없다고 진술한 점이 결정문에 함께 적혀 있습니다.

중대성은 '보통’이라는 주장이 배척됐습니다. 회사는 영리 목적이 없었고 자진 시정했으며 ISMS-P 인증도 보유하고 있다는 이유로 보통 위반행위라고 주장했습니다. 위원회의 판정은 고의·과실 '중', 위반행위의 방법 '중', 처리하는 개인정보의 유형 '상', 피해 규모와 영향 '상’이었고, 고려사항 중 둘 이상이 높은 수준이면 그 수준을 적용하는 기준에 따라 '매우 중대한 위반행위’가 됐습니다. 법 준수 검토가 아예 없었던 점과 개인정보 처리에 관한 검토 이력이 관리되지 않은 점이 '위반행위의 방법’에 반영됐습니다.

회사의 다섯 가지 주장 중 완전히 받아들여진 것은 없고, 관련 없는 매출액의 제외와 감경 사유 두 가지가 일부 수용됐습니다. 1차 조정에서 위반기간 2년 초과로 100분의 50이 가중되고 이득이 없었던 점으로 100분의 30이 감경됐으며, 2차 조정에서 자진 시정·조사 협력·ISMS-P 인증을 함께 고려해 100분의 20이 감경됐습니다. 산정 구조 자체와 다른 사건의 감경률은 과징금 산정과 감경 사유를 다룬 글에 정리해 두었고, 공개된 결정문에서 확인되는 조정률은 산정 근거 표에서 사건별로 볼 수 있습니다.

실무에 무엇이 남나

수집 근거를 확인했다면 다음은 '어디에 남는가’입니다. 주민등록번호를 법령 근거로 처리하는 회사라면 원본 데이터베이스만 관리 대상이 아닙니다. 애플리케이션 로그, 디버그 출력, 모니터링 지표, 데이터 웨어하우스와 분석용 사본, 배치 처리의 중간 파일까지 그 번호가 흘러 들어가는 경로 전체가 제24조의2 제1항의 적용을 받습니다. 이 사건에서 위반 대상이 된 정보주체는 약 700만 명으로, 실제 유출된 45만 명보다 훨씬 많습니다. 유출되지 않아도 처리 자체가 위반이기 때문입니다.

'왜 이렇게 하고 있는지' 설명할 수 있어야 합니다. 이 사건에서 회사는 로그에 주민등록번호를 남기기 시작한 시점도, 그 사유와 적법성 검토 내역도 제시하지 못했습니다. 그 부재가 중대성 판정을 올렸습니다. 개인정보를 다루는 설계 결정에 대해 언제 누가 무엇을 검토했는지 남기는 것은 형식이 아니라 처분의 크기를 바꾸는 기록입니다.

관행은 방어가 되지 않지만, 대체 수단의 존재는 공격이 됩니다. 위원회는 회사가 주민등록번호 없이도 업무를 수행할 수 있었다는 점을 위법성 판단의 핵심 근거로 삼았습니다. 뒤집어 보면 식별자를 최소화하는 설계는 사고가 났을 때 처분의 범위를 좁히는 장치이기도 합니다. 지금 CI나 내부 고객번호로 대체할 수 있는 자리에 주민등록번호가 들어가 있다면, 그 자리가 다음 조사의 시작점이 됩니다.

같은 사고에서 규제기관이 둘일 수 있습니다. 금융·의료처럼 개별법이 있는 분야에서는 개별법상 안전조치 검사와 보호법상 처리 위반 조사가 나란히 진행될 수 있습니다. 한쪽 대응을 마쳤다고 해서 끝난 것이 아닙니다. 유출을 인지한 시점부터의 절차는 72시간 안에 해야 할 일에 정리해 두었습니다.

위원회는 이 사건을 계기로 금융분야 사업자의 주민등록번호 처리 관행에 대한 사전 실태점검을 추진하겠다고 밝혔습니다. 사고가 없어도 같은 질문을 받을 수 있다는 뜻입니다.

위원회는 2026년 8월 27일 그 결과를 공개했습니다. 4월 1일부터 은행, 생명보험, 손해보험, 신용카드, 저축은행, 증권 여섯 분야 220개사를 점검한 결과입니다. 위원회가 들여다본 자리는 금융거래 자체가 아니라 회원정보 관리나 계정관리 같은 일반 업무였습니다. 위원회는 금융거래 없이 온라인 서비스에 회원가입할 때, 아이디를 찾거나 비밀번호를 재설정할 때, 민간인증서를 등록하거나 연계할 때 주민등록번호를 요구하는 것을 법령상 근거가 없는 처리 사례로 꼽았습니다. 그리고 이렇게 확인한 사례를 모두 개선하였다고 밝혔습니다.

민간인증서 대목에서 위원회가 든 논거는 이 글이 앞서 본 판단 구조와 겹칩니다. 위원회는 민간인증서가 연계정보(CI)를 기반으로 동작하므로 주민등록번호가 반드시 필요하다고 보기 어렵다고 했습니다. 대체 수단이 있으면 불가피한 처리가 아니라고 본 제재 사건과 같은 논법입니다. 다만 이번에는 위원회가 그 판단을 처분이 아니라 개선으로 마무리했습니다. 사전 실태점검에서는 사업자가 스스로 조치를 완료하면 위원회가 별도 처분 없이 점검을 종결하기 때문인데, 같은 기준이 제재 사례로 남지 않는 자리에서도 이미 적용되고 있는 셈입니다. 회사로서는 금융거래와 무관한 화면에서 주민등록번호를 받고 있지 않은지 먼저 확인해 볼 일입니다.

선례 확인 — 주민등록번호 처리 제한(보호법 제24조의2) 위반으로 실제 부과된 처분은 주민등록번호 처리 제한 위반 과징금 사례에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다. 같은 조문이 어떤 행위에서 인정돼 왔는지는 결정문 「위법성 판단」 절의 표제를 모은 위반행위 층에 유형별로 정리돼 있습니다(과징금 부과 건 기준).

자주 묻는 질문

Q. 법령에 근거해 수집한 주민등록번호는 회사 내부에서 자유롭게 쓸 수 있나요?

아닙니다. 개인정보 보호법 제24조의2 제1항은 법령이 구체적으로 요구하거나 허용한 경우 등에만 주민등록번호를 처리할 수 있다고 정합니다. 수집이 적법했다는 것과 그 이후의 처리가 허용 범위 안에 있다는 것은 별개입니다. 롯데카드 사건에서 위원회는 신용정보법령에 따라 금융거래 목적으로 수집한 주민등록번호라도, 그것을 민원 대응을 위해 로그파일에 기록·저장하고 조회한 행위는 허용 범위를 벗어난 처리로서 제24조의2 제1항 위반이라고 판단했습니다.

Q. 개인정보 수집 동의서에 '민원 처리’를 목적으로 적어 두었다면 근거가 되나요?

되지 않습니다. 위원회는 정보주체의 동의가 제24조의2 제1항이 정한 주민등록번호 처리 요건에 해당하지 않는다고 명시했습니다. 다른 개인정보와 달리 주민등록번호는 동의로 처리할 수 있는 항목이 아니고, 법령의 구체적 근거나 급박한 생명·신체·재산의 이익 등 법이 열거한 경우에만 처리가 허용됩니다.

Q. 로그 암호화를 하루 한 번 일괄로 하는 것은 업계에서 일반적인데도 문제가 되나요?

롯데카드는 일 배치 방식의 암호화가 동종·유사 업권에서 일반적이라고 주장했지만 위원회는 받아들이지 않았습니다. 로그파일에는 개인정보를 기록하지 않는 것이 일반적이므로, 주민등록번호가 들어 있는 로그에 일반 로그와 같은 암호화 기준을 적용할 수 없다는 이유였습니다. 값 단위 암호화나 마스킹 없이 13자리 전체를 평문으로 남긴 점, 24~48시간 동안 파일 암호화가 되지 않은 점, 복호화 프로그램이 같은 서버에 있어 암호화된 파일까지 유출된 점도 함께 지적됐습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보보호위원회 2026년 3월 11일 제4회 전체회의 의결, 사건번호 2025조일0053-01. 결정문은 안건번호 없이 공개돼 있습니다.
• 보도자료 「개인정보위, 개인정보 보호 법규 위반 '롯데카드' 제재」(2026년 3월 12일). 결정문은 피심인을 비실명으로 공개했으나 위원회가 보도자료로 상호를 공표했으므로 이 글은 그 출처에 따라 적었습니다.
• 보도자료 「개인정보위, 금융분야 불필요한 주민등록번호 처리 관행 개선」(2026년 8월 27일). 금융 6개 분야 220개사 사전 실태점검 결과입니다.
• 적용 법령은 행위 당시의 개인정보 보호법(법률 제19234호, 2023년 3월 14일 일부개정, 2025년 3월 13일 시행)과 시행령(대통령령 제35343호), 「개인정보보호 법규 위반에 대한 과징금 부과기준」(고시 제2023-3호, 현행판은 개인정보 보호법 위반에 대한 과징금 부과기준)입니다. 2026년 5월 19일 시행령 개정으로 매우 중대한 위반행위에 대한 감경 제한 규정이 신설됐으므로, 지금 같은 사안이 의결되면 감경 폭이 달라질 수 있습니다.