주식회사 우리카드의 개인정보 보호법 위반 사건을 개인정보보호위원회 결정문(제2025-007-021호, 2025년 3월 26일 의결)에서 옮긴 값으로 정리한 면입니다. 금액·조문·시정명령은 결정문 원문이 정본이며, 원문으로 가는 링크는 아래 표에 있습니다.
한눈에 보기
| 피심인(결정문 표기) | 주식회사 우리카드 |
|---|---|
| 의결일 | 2025-03-26 |
| 의결번호 | 제2025-007-021호 · 사건번호 2024조일0034 |
| 회의체 | 위원회 |
| 위반 조문 | 제18조 개인정보의 목적 외 이용·제공 제한 제24조의2 주민등록번호 처리의 제한 제29조 안전조치의무 제59조 금지행위 |
| 처분 | 과징금 · 시정명령 · 공표 |
| 과징금 | 134억 5,100만 원 |
| 원문 | 개인정보위 결정문 게시물 전수 표의 이 행: /sanctions/#d-2025-007-021 |
무엇을 위반했나
결정문 「위법성 판단」 절이 위반행위마다 붙인 표제를 그대로 옮겼습니다. 괄호 안은 그 행위에 걸린 조문입니다.
- 개인정보를 당초 수집·이용 목적을 벗어나 이용한 사실 (제15조·제18조)
- 주민등록번호 처리의 제한을 하지 않은 사실 (제24조의2)
- 개인정보 안전조치를 소홀히 한 사실 (제29조)
- 업무상 알게 된 개인정보를 권한 없이 다른 사람에게 제공한 행위 (제59조)
같은 조문의 다른 위반행위는 위반행위 표에서 볼 수 있습니다.
시정명령과 권고
결정문 「주문」이 피심인에게 명하거나 권고한 항목입니다. 결정문 문장을 그대로 옮겼습니다.
- 가. 피심인은 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템을 면밀히 검토하고 개인정보취급자에게 필요한 교육 등 관리·감독을 철저히 할 것
- 나. 개인정보처리시스템에 대한 접근권한을 최소화하고, 접속기록을 상시적·주기적으로 점검하며, 업무에 불필요한 개인정보가 화면에 출력·표시되지 않도록 안전조치를 강화할 것
- 다. 피심인은 가.부터 나.까지의 시정명령에 따른 시정조치를 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행 결과를 제출할 것
다른 의결의 시정명령은 시정명령 표의 이 의결에서 이어 볼 수 있습니다.
피심인이 다툰 것
결정문 「피심인의 주장에 대한 검토」 절입니다. 쟁점·주장·판단은 결정문 원문이고, 길면 앞부분만 옮겼습니다.
- 신용정보법 적용 사안이라는 주장 — 위원회 판단: 불수용
피심인 주장 피심인은 본건 처분과 관련된 정보가 모두 개인신용정보이므로 일반법인 보호법이 아닌 ｢신용정보의 이용 및 보호에 관한 법률｣(이하 ‘신용정보법’)이 우선 적용되어야하며, 현재 금융당국의 제재가 예고되어 있는바, 위원회의 제재 처분이 이루어질 경우, 동일 행위에 대한 이중 제재 문제가 발생할 우려가 있다고 주장한다.
위원회 검토 신용정보법에 따르면, 신용정보는 “금융거래 등 상거래에서 거래 상대방의 신용을 판단할 때 필요한 정보로서” 법이 정하는 일정한 정보이고, 개인신용정보는 신용 정보 중에서 개인에 관한 정보를 말한다. 한편, 보호법 제6조제1항에 따라 개인신용정보에 해당하지 않는 개인정보의 처리에 관하여는 보호법이 적용된다. …
- 일부 직원의 일탈로 발생한 사건이라는 주장 — 위원회 판단: 불수용
피심인 주장 피심인은 본 사건이 영업센터 직원의 일탈로 발생한 것으로서 피심인이 예상하기 어려운 사고이며, 합리적으로 기대가능한 수준의 안전성 확보조치를 다하였음에도 본 사건을 예방하기 어려웠다고 주장한다.
위원회 검토 앞서 살펴본 바와 같이 피심인이 가맹점·카드회원 영업과 관리 목적으로 운영 중인 조직에서 카드발급 실적 증대 목적으로 위반행위가 실행되었으며, 피심인의 인천영업센터는 DW 시스템에서 가맹점주 정보를 조회하고 개인정보 파일을 생성하는 등의 작업 매뉴얼을 별도로 작성·공유·활용하는 등 일부 직원에 한정된 것이 아니라 업무 과정에서 조직적으로 위반행위가 이루어진 것으로 확인된다. …
- 주민등록번호 처리는 목적 외 이용의 수단적 행위라는 주장 — 위원회 판단: 수용
피심인 주장 피심인은 보호법이 적용된다고 판단하더라도, 본 건의 주민등록번호 처리는 ‘목적 외 이용’을 위한 수단적 행위에 불과하며 별도 제재 대상으로 보기 어렵다고 주장한다.
위원회 검토 피심인의 인천영업센터가 가맹점주 대상 신용카드 발급 마케팅을 하기 위해 주민등록번호를 조회‧입력 등 처리한 행위는 법적 근거가 있다고 보기 어려운바, 보호법 제24조의2제1항 위반에 해당한다.
- 과징금 산정 — 위원회 판단: 일부수용
피심인 주장 피심인은 전체 매출액에서 본 사건 위반행위와 관련 없는 법인카드, 체크카드, 캐피탈, 카드론 및 현금서비스, 대환, 가맹점수수료 매출액, 일부 수수료 등에서 발생하는 매출액을 제외한 매출액에 한정하여 과징금을 산정할 필요가 있다고 주장한다.
위원회 검토 피심인의 주장 중 법인카드, 체크카드, 캐피탈, 카드론, 대환 등에서 발생하는 매출액은 개인정보 처리와 관련이 없거나, 위반행위와 관련 없는 매출액으로 판단하여 과징금 산정 시 제외한다.
다른 의결의 항변과 판단은 피심인 항변 표에 있습니다.
불복 소송
이 처분을 다툰 취소소송입니다. 상태: 1심 계속
- 서울행정법원 () — 계속 중
심급별 경과와 다른 소송은 취소소송 표의 이 사건에 있습니다.
비슷한 사건
다른 사건 정리
- 쿠팡 제2026-011-075호 · 제2026-011-076호
- SK텔레콤 제2025-018-243호
- GS리테일 제2026-017-107호
- 롯데카드 제2026-004-023호
- 골프존 제2024-008-182호
- LG유플러스 제2023-012-153호
- 테무 제2024-013-193호 · 제2025-011-035호
- 듀오정보 제2026-007-052호
- KS한국고용정보 제2026-006-050호
- 모두투어네트워크 제2025-006-018호
- 보람상조개발 제2026-009-057호
- 클래스유 제2025-008-024호
- 자비스앤빌런즈 제2023-011-116호
- 크리스티스 제2026-006-051호
이 면에 없는 것과 출처
- 이 면의 값은 개인정보보호위원회 결정문 게시판의 의결서에서 기계로 뽑아 옮긴 것입니다. 자문이나 인용의 근거로 쓸 때는 결정문 원문을 확인하십시오 — 원문 게시물.
- 결정문이 가린 부분(비실명 처리된 이름·금액), 보도자료에만 있는 내용, 의결 뒤의 이행 결과와 납부 여부는 싣지 않았습니다.
- 한 사건이 여러 의결로 나뉘었으면 이 면은 의결번호 제2025-007-021호 하나만 다룹니다. 같은 날 같은 사건번호로 처분된 다른 의결은 「비슷한 사건」 절에 있습니다.
자주 묻는 질문
우리카드 개인정보 과징금은 얼마였나요?
개인정보보호위원회는 2025년 3월 26일 제2025-007-021호로 주식회사 우리카드에 과징금 134억 5,100만 원을 부과했습니다. 함께 내린 처분은 시정명령·공표입니다.
우리카드의 위반 내용은 무엇이었나요?
결정문이 든 위반 조문은 제18조(개인정보의 목적 외 이용·제공 제한), 제24조의2(주민등록번호 처리의 제한), 제29조(안전조치의무), 제59조(금지행위)입니다. 결정문이 위반행위마다 붙인 표제는 「개인정보를 당초 수집·이용 목적을 벗어나 이용한 사실」, 「주민등록번호 처리의 제한을 하지 않은 사실」, 「개인정보 안전조치를 소홀히 한 사실」, 「업무상 알게 된 개인정보를 권한 없이 다른 사람에게 제공한 행위」입니다.
우리카드 처분에 대해 취소소송이 제기됐나요?
취소소송이 확인됩니다. 이 사이트의 취소소송 표(기준일 2026-09-30)에 적힌 상태는 「1심 계속」이고, 경과는 서울행정법원 () 계속 중입니다.