핵심 요약 — 건강·성생활·유전정보·범죄경력 같은 민감정보를 별도 동의나 법령 근거 없이 처리한 건(제1항)과, 민감정보에 안전조치를 다하지 않은 건(제2항)입니다. 20건으로 표본이 작습니다. 아래 표는 개인정보보호위원회 결정문 게시판에 본문이 공개된 제재 의결서 가운데 이 조문이 인정된 20건입니다. 과징금 5건(20억 원) · 과태료 17건(2억 원) · 금전 부과가 아닌 처분 1건이고, 피심인 실명이 공개된 건은 12건입니다. 전체 889건을 조문 구분 없이 보려면 개인정보위 제재 추적기로 가십시오.
| 피심인 | 의결일 | 위반 조문 | 처분과 금액 |
|---|---|---|---|
| 쿠팡풀필먼트서비스 유한회사 제2026-011-077호 · 위원회 원문 | 2026-06-10 | 제15조 개인정보의 수집·이용 제23조 민감정보의 처리 제한 | 과징금 2억 4,800만 원 |
| 강원특별자치도교육청 제2025-223-471호 · 제2소위원회 원문 사건번호 2025조일0050 등 10건 | 2025-12-10 | 제23조 제2항 민감정보의 처리 제한 제29조 안전조치의무 제34조 제1항 개인정보 유출 등의 통지·신고 | 과태료 690만 원 시정권고 · 공표 1년 |
| 이화의대부속서울병원 제2025-214-313호 · 제2소위원회 원문 | 2025-07-23 | 제23조 민감정보의 처리 제한 | 과태료 120만 원 공표 1년 |
| 비공개 제2024-223-711호 · 제2소위원회 원문 | 2024-11-27 | 제23조 제2항 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 180만 원 |
| 비공개 제2024-223-710호 · 제2소위원회 원문 | 2024-11-27 | 제23조 제2항 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 180만 원 |
| 비공개 제2024-016-234호 · 위원회 원문 사건번호 2024조일0012 | 2024-09-25 | 제23조 민감정보의 처리 제한 제28조의8 개인정보의 국외 이전 제38조 권리행사의 방법 및 절차 | 과징금 7억 2,500만 원 시정명령 · 개선권고 |
| 비공개 제2023-013-182호 · 위원회 원문 사건번호 2023조총0008 등 14건 | 2023-07-26 | 제23조 제2항 민감정보의 처리 제한 제24조 제3항 고유식별정보의 처리 제한 | 과태료 300만 원 |
| 학교법인 건국대학교 제2023-013-164호 · 위원회 원문 사건번호 2022조일0005 등 7건 | 2023-07-26 | 제23조 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 420만 원 개선권고 · 공표 |
| 학교법인 동은학원 제2023-013-162호 · 위원회 원문 사건번호 2022조일0005 등 7건 | 2023-07-26 | 제23조 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 420만 원 개선권고 · 공표 |
| 학교법인 일송학원 제2023-013-161호 · 위원회 원문 사건번호 2022조일0005 등 7건 | 2023-07-26 | 제23조 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 1,680만 원 개선권고 · 공표 |
| 학교법인 고려중앙학원 제2023-013-160호 · 위원회 원문 사건번호 2022조일0005 등 7건 | 2023-07-26 | 제23조 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 1,080만 원 개선권고 · 공표 |
| 학교법인 연세대학교 제2023-013-159호 · 위원회 원문 사건번호 2022조일0005 등 7건 | 2023-07-26 | 제23조 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 720만 원 개선권고 · 공표 |
| 학교법인 가톨릭학원 제2023-013-158호 · 위원회 원문 사건번호 2022조일0005 등 7건 | 2023-07-26 | 제23조 민감정보의 처리 제한 제29조 안전조치의무 | 과태료 2,160만 원 개선권고 · 공표 |
| ㈜자비스앤빌런즈 제2023-011-116호 · 위원회 원문 사건번호 2022조이0028 | 2023-06-28 | 제17조 개인정보의 제공 제23조 민감정보의 처리 제한 제24조의2 주민등록번호 처리의 제한 제30조 개인정보 처리방침의 수립 및 공개 제39조의3 개인정보의 수집·이용 동의 등에 대한 특례 제39조의6 개인정보의 파기에 대한 특례 | 과징금 8억 5,410만 6,000 원 과태료 1,200만 원 시정명령 · 개선권고 · 공표 |
| 비공개 제2023-008-080호 · 위원회 원문 사건번호 202301조총0001 등 14건 | 2023-05-10 | 제23조 제2항 민감정보의 처리 제한 제24조 제3항 고유식별정보의 처리 제한 제29조 안전조치의무 제34조 제1항 개인정보 유출 등의 통지·신고 | 과태료 600만 원 공표 |
| 비공개 제2023-008-079호 · 위원회 원문 사건번호 202301조총0001 등 14건 | 2023-05-10 | 제23조 제2항 민감정보의 처리 제한 제29조 안전조치의무 제34조 제1항·제3항 개인정보 유출 등의 통지·신고 | 과태료 900만 원 공표 |
| 비공개 제2023-006-054호 · 위원회 원문 사건번호 2021조총0022 등 8건 | 2023-04-12 | 제15조 제2항 개인정보의 수집·이용 제23조 제1항 민감정보의 처리 제한 | 시정명령 · 시정권고 |
| 비공개 제2022-004-013호 · 위원회 원문 사건번호 2021조이0152 | 2022-02-23 | 제21조 개인정보의 파기 제23조 민감정보의 처리 제한 제24조의2 주민등록번호 처리의 제한 제29조 안전조치의무 제39조의4 개인정보 유출등의 통지·신고에 대한 특례 제39조의6 개인정보의 파기에 대한 특례 | 과징금 1억 2,979만 원 과태료 1,860만 원 시정명령 · 고발 · 공표 |
| 의료법인 메디피아 메디피움의원 제2021-008-076호 · 위원회 원문 사건번호 2021조일0023 | 2021-05-12 | 제23조 민감정보의 처리 제한 제34조 개인정보 유출 등의 통지·신고 | 과태료 900만 원 공표 |
| 주식회사 스캐터랩 제2021-007-072호 · 위원회 원문 사건번호 2021조이0013 | 2021-04-28 | 제18조 개인정보의 목적 외 이용·제공 제한 제21조 개인정보의 파기 제22조 동의를 받는 방법 제23조 민감정보의 처리 제한 제28조의2 가명정보의 처리 등 제39조의6 개인정보의 파기에 대한 특례 | 과징금 5,550만 원 과태료 4,780만 원 시정명령 해설: 이용자가 찍은 운동 영상으로 우리 AI를 학습시켜도 … 해설: 개인정보위가 AI를 문제 삼은 18건 — 처분으로 … |
| 거른 조건에 맞는 의결이 없습니다. 여기서 0건인 것과 선례가 없는 것은 다릅니다. 이 표의 출처는 위원회 결정문 게시판 하나입니다 — 결정문이 공개되지 않은 미공개 제재, 2020년 8월 이전 방통위 처분, 분쟁조정 사례를 함께 보십시오. 조문 번호는 「제29조」처럼 붙여 쓰고, 회사명은 상호 일부만 넣는 편이 잘 걸립니다. | |||
이 조문 위반은 실제로 무슨 행위였나
민감정보는 별도 동의를 빠뜨린 건과 처리 근거 자체가 없던 건이 다릅니다. 아래는 결정문이 어느 쪽을 인정했는지입니다.
| 행위 유형 | 건 | |
|---|---|---|
| 민감정보 별도동의 흠결 | 14 | |
| 안전조치 미흡(일반) | 6 |
| 결정문이 쓴 표제 | 건 |
|---|---|
| 민감정보의 처리 제한 위반 | 7 |
| 개인정보(민감정보 포함)의 안전성 확보 조치를 소홀히 한 행위 | 2 |
| 민감정보 수집시 동의 | 2 |
| 개인정보의 안전성 확보 조치를 소홀히 한 행위 | 1 |
| 민감정보 등 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 1 |
| 민감정보 및 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 | 1 |
| 민감정보 수집 시 별도로 동의받지 않은 행위 | 1 |
| 민감정보 수집시 별도 동의를 받지 않은 행위 | 1 |
| 구체적으로 무엇이 미흡했나 | 문장 | |
|---|---|---|
| 접근통제 미흡 | 5 | |
| 출력·복사 통제 | 4 | |
| 접속기록 미보관·미점검 | 2 | |
| 암호화 미흡 | 1 | |
| 접근권한 관리 미흡 | 1 |
사건별로 보기 — 결정문이 적은 표제와 그 아래 위반 문장
쿠팡풀필먼트서비스 유한회사 2026-06-10 · 제2026-011-077호 · 과징금 2억 4,800만 원 원문 ↗
- 법적 근거 없이 정보주체의 민감정보를 처리한 행위 제23조
피심인 주장에 대한 검토 — 취업제한 목록 작성(경찰청 출입기자 명단 수집) 관련: 불수용 · 민감정보(근로자 체중정보) 처리 관련: 불수용
강원특별자치도교육청 2025-12-10 · 제2025-223-471호 원문 ↗
- 개인정보의 안전성 확보 조치를 소홀히 한 행위 제23조 · 제29조
- 산업안전보건법에 따른 일반건강진단 실시 업무를 위해 관내 현업종사자들의 개인정보를 처리하는 개인정보처리자로서, 보호법 제29조에 따라 자신이 처리하는 개인정보가 권한 없는 자에게 공개되거나 … 일부 사립학교를 포함하여 관계기관에 일괄 발송함으로써 개인정보를 유출한 것
이화의대부속서울병원 2025-07-23 · 제2025-214-313호 원문 ↗
- 민감정보의 안전성 확보에 필요한 조치를 소홀히 한 행위 제23조
- 민감정보를 포함한 개인정보에 대한 접근 통제 조치와 보안 프로그램의 최신성을 유지하지 않아, 환자의 민감정보 가 포함된 개인정보가 유출되었으며, 민감정보에 해당하는 건강정보에 대한 안전관리를 소홀히 한 행위 (접근통제 미흡)
㈜자비스앤빌런즈 2025-07-09 · 제2025-015-228호 원문 ↗
- 민감정보 수집시 동의 제23조
지엔터프라이즈㈜ 2025-07-09 · 제2025-015-227호 원문 ↗
- 민감정보 수집시 동의 제23조
피심인 비공개 2024-11-27 · 제2024-223-711호 · 유출 50명 원문 ↗
- 개인정보(민감정보 포함)의 안전성 확보 조치를 소홀히 한 행위 제23조 · 제29조
- 개인정보처리자는 처리하는 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 조치를 하여야 하나, 피심인이 업무 부주의로 개인정보가 포함된 자료를 홈페이지에 게시하여 열람 권한이 없는 제3자에게 공개되도록 한 행위 (접근통제 미흡)
피심인 비공개 2024-11-27 · 제2024-223-710호 · 유출 698명 원문 ↗
- 개인정보(민감정보 포함)의 안전성 확보 조치를 소홀히 한 행위 제23조 · 제29조
- 개인정보처리자는 처리하는 개인정보가 열람 권한이 없는 자에게 공개되거나 유출되지 않도록 접근통제 조치를 하여야 하나, 피심인이 업무 부주의로 개인정보가 포함된 자료를 앱에 게시하여 열람 권한이 없는 제3자에게 공개되도록 한 행위 (접근통제 미흡)
피심인 비공개 2024-09-25 · 제2024-016-234호 · 과징금 7억 2,500만 원 원문 ↗
- 민감정보를 처리하면서 적법 근거를 갖추지 않은 사실 제23조
- 이용자의 생체인식정보를 수집·처리하면서 의 수집·이용 목적 및 보유·이용 기간 등 법정 고지사항을 알리지 않은 행위
피심인 비공개 2023-07-26 · 제2023-013-182호 · 유출 15명 원문 ↗
- 민감정보 및 고유식별정보 안전성 확보에 필요한 조치를 소홀히 한 행위 제23조 · 제24조 · 제29조
- 대상자명단’을 학생에게 이면지로 제공한 행위
학교법인 건국대학교 2023-07-26 · 제2023-013-164호 · 유출 485명 원문 ↗
- 민감정보의 처리 제한 위반 제23조
- 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 (출력·복사 통제)
- USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
학교법인 동은학원 2023-07-26 · 제2023-013-162호 · 유출 2,366명 원문 ↗
- 민감정보의 처리 제한 위반 제23조
- 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 (출력·복사 통제)
- USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
학교법인 일송학원 2023-07-26 · 제2023-013-161호 · 유출 19,044명 원문 ↗
- 민감정보의 처리 제한 위반 제23조
- 개인정보취급자가 변경되었을 때 접근 권한 부여, 변경 또는 말소 내역에 관한 기록을 3년 이상 보관하지 않은 행위 (접근권한 관리 미흡)
- 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 (출력·복사 통제)
- 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위는 보호법 제23조제2항과 제29조, 같은 법 시행령 제30조제1항 및 고시 제8조제2항 … USB 등 보조저장매체 반출·입 통제를 위한 보안대책을 마련하지 않은 행위
학교법인 고려중앙학원 2023-07-26 · 제2023-013-160호 · 유출 29,822명 원문 ↗
- 민감정보의 처리 제한 위반 제23조
- 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않은 피심인 산하 3개 병원의 행위
학교법인 연세대학교 2023-07-26 · 제2023-013-159호 · 유출 57,912명 원문 ↗
- 민감정보의 처리 제한 위반 제23조
- 개인정보취급자가 개인정보처리시스템에 접속한 기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 (출력·복사 통제)
학교법인 가톨릭학원 2023-07-26 · 제2023-013-158호 · 유출 66,949명 원문 ↗
- 민감정보의 처리 제한 위반 제23조
- 개인정보취급자가 개인정보처리시스템에 접속한 기록을 2년 이상 보관·관리하지 않은 행위
- 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 점검하지 않거나, 접속기록 일부(개인정보 다운로드 사유 등)를 누락한 행위 (접속기록 미보관·미점검)
㈜자비스앤빌런즈 2023-06-28 · 제2023-011-116호 · 과징금 8억 5,410만 6,000 원 원문 ↗
- 이용자의 별도 동의 없이 민감정보를 처리한 행위 제23조
- 민감정보 수집 항목, 민감정보 수집·이용 목적 등을 명확하게 알리지 않고 정보주체의 별도 동의 없이 민감정보에 해당하는 장애인 여부 등의 개인정보를 처리한 행위
피심인 비공개 2023-05-10 · 제2023-008-086호 원문 ↗
- 민감정보 수집시 별도 동의를 받지 않은 행위 제15조 · 제17조 · 제23조
- 개인정보처리자는 정보주체로부터 별도 동의를 받거나, 법령에서 처리를 요구하거나 허용하는 경우 민감정보를 수집·처리할 수 있으나, 피심인이 정보주체로부터 별도 동의를 받거나 법적 근거 없이 용역업체에서 채용한 근로자들의 민감정보를 수집한 행위
피심인 비공개 2023-05-10 · 제2023-008-079호 · 유출 3,506명 원문 ↗
- 민감정보 등 개인정보 안전성 확보에 필요한 조치를 소홀히 한 행위 제23조 · 제29조
- 개인정보처리자는 처리하는 민감정보가 유출되지 않도록 안전성 확보에 필요한 조치를 하여야 하며, 취급중인 개인정보가 인터넷 홈페이지 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 … 구분없이 암호화된 파일의 비밀번호를 공문에 명시하여 에 일괄 발송한 행위 (접근통제 미흡)
피심인 비공개 2023-04-12 · 제2023-006-054호 원문 ↗
- 민감정보 수집 시 별도로 동의받지 않은 행위 제15조 · 제23조
- 민감정보를 처리할 때 보호법 제23조제1항에 따라 정보주체에게 제15조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받아야 하나, 피심인이 ○○○○ 상담을 위한 민감정보 수집 시 별도로 동의를 받지 않고 포괄적으로 동의를 받은 행위
피심인 비공개 2022-02-23 · 제2022-004-013호 · 과징금 1억 2,979만 원 · 유출 143,435명 원문 ↗
- 민감정보의 처리 제한 위반 제23조
- 서비스를 탈퇴한 이용자의 개인정보를 파기하지 않은 행위
- 법령에서 민감정보의 처리를 요구하거나 허용하는 경우가 아님에도 불구하고 민감정보인 종교 정보를 별도 동의를 받지 않고 처리한 행위
- 법령 등에서 주민등록번호의 처리를 요구하거나 허용한 경우 등이 아님에도 불구하고 주민등록번호가 포함된 인증서류를 수집·저장한 행위
- AWS를 이용하면서 추가 인증수단을 적용하지 않고, 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하지 않고, 일부 AWS S3에 대한 접근통제를 공개로 설정하여 운영한 행위 (접근통제 미흡)
- 접속기록을 1년 이상 보존·관리하지 않은 행위 (접속기록 미보관·미점검)
- 주민등록번호가 포함된 인증서류를 수집한 후 주민등록번호를 암호화하지 않고 저장한 행위 (암호화 미흡)
이 조문에서 처분이 갈리는 지점
- 거의 항상 다른 조문과 함께 인정됩니다. 20건 중 19건에 다른 조문이 붙어 있고 단독 인정은 1건뿐입니다. 동반 1위는 제29조(12건)입니다.
- 과징금은 5건, 합계 20억 원입니다. 최고액은 ㈜자비스앤빌런즈 8억 5,410만 6,000 원입니다.
- 표본이 작아 경향으로 읽기 어렵습니다. 20건은 조문별 면을 둔 10개 조문 가운데 가장 적고, 개별 사건의 사실관계 차이가 통계보다 크게 작용합니다.
함께 인정된 조문
제재 의결은 조문 하나로 끝나는 일이 드뭅니다. 제23조이 인정된 20건에서 함께 인정된 조문은 다음과 같습니다.
| 조문 | 함께 인정된 건수 |
|---|---|
| 제29조(안전조치의무) | 12건 |
| 제34조(개인정보 유출 등의 통지·신고) | 4건 |
| 제39조의6(개인정보의 파기에 대한 특례) | 3건 |
| 제15조(개인정보의 수집·이용) | 2건 |
이 표를 읽을 때 주의할 것
여기서 0건이라고 선례가 없는 것이 아닙니다. 출처가 위원회 결정문 게시판 하나여서, 의결서가 아직(또는 끝내) 공개되지 않은 사건과 「결과의 공표」에만 있는 사건이 빠집니다 — 전자는 결정문 미공개 제재에 보도자료로 재구성해 두었고, 범위와 한계 전부는 제재 추적기의 「이 표에 없는 것」에 있습니다.
금액은 주문에 적힌 부과액이라 이의제기·행정소송으로 이후 달라진 결과는 반영돼 있지 않고, 피심인 「비공개」는 위원회가 비실명 처리한 것입니다(다른 자료를 대조해 특정하지 않습니다). 기계 추출한 요약이므로 근거로 쓸 때는 결정문 원문을 확인하십시오.
자주 묻는 질문
Q. 민감정보를 별도 동의 없이 처리하면 과징금이 나오나요?
결정문이 공개된 20건 중 과징금은 5건입니다. 그중 안전조치의무(제29조)가 함께 인정된 건은 1건이고, 나머지 4건은 민감정보를 동의 없이 처리한 행위 자체(제23조 제1항)를 근거로 과징금이 부과됐습니다 — 현행 제64조의2 제1항 제3호, 구법 제39조의15 제1항 제3호가 그 근거입니다.
Q. 어떤 정보가 민감정보인가요?
사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활에 관한 정보와 유전정보·범죄경력자료 등 대통령령으로 정하는 정보입니다.