핵심 요약 계약을 해지하면서 기한을 정해 삭제하기로 합의하고도 파기하지 않은 수탁사가, 그 데이터가 검색엔진에 노출되자 과태료 420만 원과 1년간의 공표 처분을 받았습니다(개인정보보호위원회 2026년 7월 8일 의결). 처분은 발주사가 아니라 수탁사에게 왔습니다. 끝난 계약에 남은 데이터를 누가 무엇으로 책임지는지 조문 단위로 정리했습니다.
수탁사는 2021년 8월 20일 발주사와 홈페이지 구축 및 유지보수 계약을 맺었고, 발주사는 2022년 1월 3일 이를 해지했습니다. 양사는 구축한 홈페이지와 제공·연계 자료, 회원정보 등을 같은 달 5일까지 삭제·폐기하기로 합의했습니다.
그러나 수탁사는 구축 당시의 웹페이지와 자료를 파기하지 않고 그대로 두었습니다. 2023년 7월 웹호스팅 업체가 제공하는 도메인 주소가 검색엔진에 노출됐고, 시험 응시생 정보를 조회하는 페이지로 확인됐습니다.
회원 약 300명의 성명, 휴대폰번호, 이메일에 유출 가능성이 있었고 침해 신고내역으로 유출이 확인된 사람은 4명이었습니다. 발주사가 2023년 8월 10일 유출을 신고했고, 개인정보위 조사는 2024년 2월부터 10월까지 이어졌습니다.
과태료를 낸 것은 발주사인가, 수탁사인가?
과태료 합계 420만 원과 1년간의 공표는 수탁사에 부과됐습니다. 실무에서는 위탁하면 1차 책임이 위탁사에 있다고 알려져 있지만, 조문은 그렇게 돼 있지 않습니다.
법 제26조 제8항은 제21조(파기), 제29조(안전조치), 제34조(통지·신고)를 수탁자에게 준용하면서 개인정보처리자를 수탁자로 본다고 정합니다. 과태료 조항인 법 제75조 제2항도 제4호, 제5호, 제17호, 제18호에서 제26조 제8항에 따라 준용되는 경우를 포함한다고 문언으로 적고 있습니다.
수탁사는 위탁사를 거치지 않고 직접 과태료 수범자가 됩니다. 그렇다고 위탁사가 빠지는 것도 아닙니다. 위탁사는 제26조 제4항의 교육·감독 의무를 그대로 지므로, 수탁사 사고에서 위탁사가 어디까지 책임지는지는 별개의 전선으로 남습니다.
계약서에 종료 시 파기 조항을 넣어 두면 되는 것 아닌가?
두 가지를 나눠 볼 필요가 있습니다. 법 제26조 제1항이 정한 세 개 호에도, 그 제3호가 위임한 시행령 제28조 제1항의 다섯 개 호에도 위탁 종료 시 반환·파기는 들어 있지 않습니다. 계약서에 넣는 것은 실무 권고이지 법정 필수 기재사항이 아닙니다.
그런데도 파기 의무 자체는 존재합니다. 법 제21조 제1항이 처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없는 파기를 요구하고, 제26조 제8항이 이를 수탁자에게 준용하기 때문입니다.
계약서에 쓰지 않아도 의무는 있고, 계약서에 써도 파기가 확인되지 않으면 이행된 것이 아닙니다. 이 사안에서는 계약서를 넘어 별도 합의로 기한까지 정했는데도 데이터가 남았습니다.
파기하지 않은 것 자체로 처분받았나?
그렇지 않습니다. 이 의결에서 인정된 위반은 제29조의 안전조치 의무와 제34조 제1항·제3항의 통지·신고 의무였습니다. 서버에 대한 불법적인 접근을 막는 침입탐지·차단시스템을 두지 않았고 관리자 페이지 접근통제가 소홀했다는 것, 그리고 인지 후 당시 기한 내에 신고·통지하지 않았다는 것입니다.
남아 있던 데이터가 노출되는 순간 수탁사는 안전조치 의무와 통지·신고 의무의 수범자가 됐습니다. 끝난 프로젝트의 데이터가 위험한 이유는 그것이 어딘가 조용히 있어서가 아니라, 관리 대상 목록에서 빠진 채로 살아 있기 때문입니다.
시행령 제16조 제1항 제1호는 전자적 파일을 복원이 불가능한 방법으로 영구 삭제하도록 정합니다. 서버에서 화면만 내리고 파일이 남아 있는 상태는 이 기준을 만족하지 않습니다.
규모가 작으면 넘어가나?
같은 날 같은 소위원회에서 의결된 세 건은 규모가 서로 달랐습니다. 유출이 확인된 사람이 4명인 건, 22명인 건, 그리고 규모를 확정하지 못한 약 2,000건인 건입니다. 세 건 모두 제34조 제1항의 통지 지연이 인정됐습니다.
22명이 유출된 사안(제2026-213-268호)에서는 접근권한을 최소한의 범위로 차등 부여하지 않은 점과 접속기록을 1년 이상 보존하지 않은 점 등이 함께 인정돼 과태료 900만 원과 시정명령이 내려졌습니다.
눈여겨볼 것은 세 번째 사안(제2026-213-267호)입니다. 퇴사하는 직원이 PC 하드디스크와 종전 홈페이지 관리자 계정을 탈취한 건인데, 개인정보위는 정당한 권한을 가진 직원의 고의에 의한 탈취인 점을 고려할 때 제29조 위반으로 처분할 만한 위반행위는 아니라고 판단했습니다. 그러면서도 유출을 인지하고 72시간을 넘겨 통지한 데 대해서는 법 제64조 제1항에 따라 시정조치를 명했습니다. 이 사안의 구조는 퇴사자가 고객 데이터를 가지고 나갔을 때 회사가 지는 통지 의무에서 따로 다뤘습니다.
사고의 원인에서 벗어나더라도 통지 의무는 남습니다. 유출을 인지한 뒤 72시간 안에 해야 할 일과 하면 안 되는 일이 원인 규명과 별개의 시계로 돌아가는 이유입니다.
지금 무엇을 확인해야 하나?
위탁사 쪽에서는 종료된 위탁계약이 몇 건이고 각 건에 파기 확인 증적이 남아 있는지입니다. 파기를 요구한 기록과 확인한 기록은 사고 뒤 제26조 제4항의 감독 의무 이행을 다투는 자료가 됩니다. 먼저 배상한 뒤 수탁사에 구상할 때 금액이 무엇으로 갈리는지에도 이 기록이 영향을 줍니다.
수탁사 쪽에서는 끝난 프로젝트의 테스트 서버, 호스팅 계정, 백업본입니다. 처분은 자기 이름으로 오고, 공표는 1년간 남아 거래처가 볼 수 있는 자리에 놓입니다. 서버가 아니라 물리적 장비가 고객 사업장에 남아 있는 구조라면 책임 구도가 또 달라지는데, 이는 우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가에서 다뤘습니다.
이 사안은 통지·신고 기한이 개인정보처리자 기준 5일이던 시기의 것입니다. 현행 기준으로는 통지가 시행령 제39조 제1항의 72시간이고, 신고는 1천 명 이상, 민감정보 또는 고유식별정보, 외부로부터의 불법적인 접근이라는 시행령 제40조 제1항의 세 요건 중 하나에 해당할 때 72시간입니다. 외부 침입이 없는 소규모 노출이 신고 요건에 걸리는지는 경로에 따라 다툼의 여지가 있으나, 통지 의무는 규모 요건 없이 남습니다.
자주 묻는 질문
계약서에 파기 조항을 넣어 두었는데도 위탁사가 책임을 지나요?
조항만으로는 부족합니다. 위탁자는 법 제26조 제4항에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독할 의무를 집니다. 조항을 넣었다는 사실이 아니라 파기를 요구하고 확인한 기록이 그 의무의 이행 여부를 가르는데, 이 사안에서도 기한을 정한 합의는 있었지만 실제 파기로 이어지지는 않았습니다.
발주사가 삭제를 요청하지 않았는데도 수탁사가 파기해야 하나요?
요청이 없어도 의무는 성립합니다. 법 제21조 제1항은 처리 목적이 달성되는 등 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 정하고 있고, 법 제26조 제8항이 이 조항을 수탁자에게 준용합니다. 위반하면 법 제75조 제2항 제4호의 과태료 대상이 되는데, 이 호는 제26조 제8항에 따라 준용되는 경우를 포함한다고 문언으로 적고 있습니다.
유출 확인이 4명뿐인데도 통지와 신고를 해야 하나요?
통지는 규모와 무관합니다. 법 제34조 제1항과 시행령 제39조 제1항은 유출을 알게 된 때부터 72시간 이내에 정보주체에게 알리도록 하면서 인원 요건을 두지 않습니다. 신고는 요건이 달라서, 시행령 제40조 제1항이 정한 1천 명 이상, 민감정보 또는 고유식별정보, 외부로부터의 불법적인 접근 중 하나에 해당해야 하므로 유출 경로에 따라 판단이 갈릴 수 있습니다.
참고 자료
- 개인정보보호위원회 제2소위원회 의결 제2026-213-269호(2026년 7월 8일, 주 사례), 제2026-213-267호, 제2026-213-268호(각 2026년 7월 8일)
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제21조 제1항·제2항, 제26조 제1항·제4항·제8항, 제29조, 제34조 제1항·제3항, 제64조 제1항, 제66조 제1항, 제75조 제2항 제4호·제5호·제17호·제18호
- 개인정보 보호법 시행령(대통령령 제36340호) 제16조 제1항, 제28조 제1항, 제39조 제1항, 제40조 제1항
- 주 사례의 처분에는 행위 당시의 개인정보 보호법(법률 제16930호, 2020년 8월 5일 시행)이 적용됐고, 당시 유출 신고·통지 기한은 개인정보처리자 기준 5일이었습니다