롯데카드 주식회사의 개인정보 보호법 위반 사건을 개인정보보호위원회 결정문(제2026-004-023호, 2026년 3월 11일 의결)에서 옮긴 값으로 정리한 면입니다. 금액·조문·시정명령은 결정문 원문이 정본이며, 원문으로 가는 링크는 아래 표에 있습니다.

한눈에 보기

피심인(결정문 표기)롯데카드 주식회사
의결일2026-03-11
의결번호제2026-004-023호 · 사건번호 2025조일0053-01
회의체위원회
위반 조문제24조의2 주민등록번호 처리의 제한
처분과징금 · 과태료 · 시정명령 · 공표
과징금96억 2,000만 원
과태료480만 원
원문개인정보위 결정문 게시물
전수 표의 이 행: /sanctions/#d-2026-004-023

무엇을 위반했나

결정문 「위법성 판단」 절이 위반행위마다 붙인 표제를 그대로 옮겼습니다. 괄호 안은 그 행위에 걸린 조문입니다.

  • 법령상 근거 없이 주민등록번호를 처리한 행위 (제24조의2)
  • 주민등록번호에 대한 암호화 조치를 하지 않은 행위 (제24조의2)

같은 조문의 다른 위반행위는 위반행위 표에서 볼 수 있습니다.

과징금은 어떻게 정해졌나

결정문 「이유」 절의 과징금 산정 부분에서 조문별 위반 정도와 가중·감경 비율, 그 사유를 기계로 뽑은 값입니다 — 적용된 기준은 「과징금 부과기준(2023년 개정 이후)」. 비율과 사유는 결정문이 적은 순서대로 따로 옮겼으므로 하나씩 짝지어 읽지 마십시오.

조문위반 정도1차 조정2차 조정
제24조의2매우 중대한 위반행위가중 50% 위반기간 2년 초과
감경 30% 이득 없음		감경 20% 시정 완료, 조사 협력, 인증 보유(ISMS-P 등)

다른 의결의 산정 근거와 나란히 보려면 과징금 산정 근거 표의 이 사건 행으로 가십시오.

시정명령과 권고

결정문 「주문」이 피심인에게 명하거나 권고한 항목입니다. 결정문 문장을 그대로 옮겼습니다.

  • 가. 회사 전반의 개인정보 처리 현황 및 구조를 면밀히 점검하여 주민등록번호를 포함한 개인정보 처리를 최소화할 것
  • 나. 보호법 준수 전반에 대한 개인정보 보호책임자의 책임성과 독립성을 강화하는 등 개인정보 보호 거버넌스 체계를 정비할 것
  • 다. 개인정보 처리와 관련한 내부 검토 및 의사결정을 체계적으로 관리하고, 보호법 관련 준법통제가 체계적으로 이루어질 수 있도록 할 것
  • 라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행결과를 제출할 것

다른 의결의 시정명령은 시정명령 표의 이 의결에서 이어 볼 수 있습니다.

피심인이 다툰 것

결정문 「피심인의 주장에 대한 검토」 절입니다. 쟁점·주장·판단은 결정문 원문이고, 길면 앞부분만 옮겼습니다.

  • 주민등록번호 처리 근거 — 위원회 판단: 불수용

    피심인 주장 피심인은 민원 대응 목적으로 주민등록번호를 로그파일에 기록‧저장하여 처리하는 행위와 관련하여 … 신용정보법 시행령 제37조의2제4항에서 규정하는 ‘금융거래를 위하여 신용정보를 이용하는 사무를 수행하기 위하여 불가피한 경우’에 해당하며, 법령에 근거한 적법한 처리라고 주장한다.

    위원회 검토 피심인이 ｢금융분야 주민등록번호 수집‧이용 가이드라인｣ 상 주민등록번호 처리가 허용되는 업무로 언급한 ‘콜센터 상담 등 금융거래 계약 체결·이행에 수반되는 업무’와 관련하여, 해당 가이드라인은 그 구체적 사례로 ‘전화를 통한 주식매수 주문, 예금잔액 확인 등’만을 제시할 뿐이며, 피심인이 임의로 구성한 내부 시스템에서 발생한 오류의 원인을 확인하기 위한 로그파일에 상시적으로 주민등록번호를 기록‧저장하고 민원 발생 시 조회하는 데 사용할 수 있다는 의미로 확대하여 해석하기는 어렵다. …

  • 주민등록번호 암호화 — 위원회 판단: 불수용

    피심인 주장 피심인은 주민등록번호가 적재된 로그파일에 ‘일 배치 방식’의 암호화 정책을 적용하여 주기적으로 암호화를 수행하였고, 로그파일은 시스템 부하 등 기술적 제약으로 실시간 암호화 적용이 불가능하며 이는 동종·유사 업권에서도 일반적인 방식임을 고려하였을 때, 보호법 제24조의2제2항에 따라 주민등록번호에 대하여 적절한 암호화 조치를 이행하였다고 주장한다.

    위원회 검토 로그파일에는 정보주체의 개인정보를 기록·저장하지 않는 것이 일반적이고, 주민등록번호의 경우에는 그 처리가 엄격히 제한되는 점을 고려하였을 때 더욱이 그러하다. 본 건의 경우 주민등록번호를 로그파일에 기록·저장하였다는 점에서, 일반적으로 주민등록번호가 기재되지 않는 로그 파일과 암호화 기준을 동일하게 적용하는 것은 적절하지 않다. …

  • 과징금 산정 — 위원회 판단: 일부수용

    피심인 주장 피심인은 해커가 공격한 ‘온라인 결제 시스템’이 온라인 간편결제 서비스와 관련하여서만 사용되므로, 과징금 산정 기준 매출액은 해당 시스템을 통해 처리가 이루어지지 않는 다른 서비스들을 통해 발생한 수수료 수익을 제외하고 산정되어야 하며, 가입 및 개인정보 수집 없이 제공되는 서비스(법인무기명카드, 기프트카드, 선불카드 등)나 카드 서비스와 관련이 없는 기타 영업수익은 관련 없는 매출액으로 제외되어야 한다고 주장한다.

    위원회 검토 피심인은 전체 온라인 결제 등록 처리 과정에서 주민등록번호를 법적 근거 없이 처리한 바, 위반행위로 영향을 받는 서비스는 해커에게 침해당한 ‘온라인 결제 시스템’ 관련 서비스(일반·SMS결제, Pay결제) 외에도 ‘페이중계시스템’, ‘로카페이시스템’ 등을 이용하는 서비스( 페이, 로카페이)를 포함한 전체 온라인 결제 서비스에 해당하므로, 전체 온라인 결제 서비스 매출액이 위반행위 관련 매출액에 해당한다.

  • 위반행위의 중대성 — 위원회 판단: 불수용

    피심인 주장 피심인은 본 건 위반과 관련하여, 영리 목적이 없었고 자진 시정하는 등 고의 또는 중과실이 없는 점, 각종 보호조치를 이행하고 ISMS-P 인증을 취득하는 등 개인정보 보호를 위하여 노력해온 바 위반행위의 부당성이 현저히 크거나 상당하지 않은 점, 유출 정보가 일반 공중에 노출되지 않았고 정보주체의 2차 피해 사례도 없었던 점 및 타사와의 형평성 등을 종합적으로 고려하였을 때 ‘보통 위반행위’에 해당한다고 주장한다.

    위원회 검토 피심인이 위반행위와 관련하여 자진하여 시정 완료한 점은 인정되나, 위반 사항과 관련하여 보호법 준수에 대한 검토가 부재하였던 점, 개인정보 처리와 관련한 이력·검토내역 등이 관리되지 않는 등 관련 준법 감시·통제가 미흡한 점, 위반행위를 최소 7년 이상 장기간 지속한 점, 위반사항과 관련하여 약 700만 명의 주민등록번호를 법적 근거 없이 처리한 점, 약 45만 명의 주민등록번호가 평문 형태로 유출되어 전 국민의 불안과 심각한 사회적 혼란을 발생시킨 점 등을 고려하였을 때 위반행위의 중대성은 “매우 중대한 위반행위”에 해당한다.

  • 과징금·과태료 감경 사유 — 위원회 판단: 일부수용

    피심인 주장 피심인은 경제적·비경제적 이득을 취하고자 하는 목적이 없었던 점, 위반행위를 즉시 시정 완료한 점, 조사에 적극 협력한 점, 피해 회복 및 확산 방지 조치를 이행한 점, 개인정보 보호를 위해 보호위원회가 인정하는 인증을 취득하는 등 개인정보 보호를 성실히 수행한 점 등을 고려하여, 1차·2차 조정 시 최대 감경을 적용할 것을 주장한다.

    위원회 검토 위반행위와 관련하여 직접적인 취득 이익이 없는 점, 조사에 협조한 점, 즉각적인 시정조치를 완료한 점, ISMS-P 인증을 취득하는 등 개인정보 보호를 위한 노력 등을 종합적으로 고려하여, 1차·2차 감경을 일부 적용한다.

다른 의결의 항변과 판단은 피심인 항변 표에 있습니다.

비슷한 사건

같은 조문(제24조의2) 위반으로 과징금을 받은 최근 의결

조문별 전수 표: 제24조의2

이 의결을 다룬 글

다른 사건 정리

이 면에 없는 것과 출처

  • 이 면의 값은 개인정보보호위원회 결정문 게시판의 의결서에서 기계로 뽑아 옮긴 것입니다. 자문이나 인용의 근거로 쓸 때는 결정문 원문을 확인하십시오 — 원문 게시물.
  • 결정문이 가린 부분(비실명 처리된 이름·금액), 보도자료에만 있는 내용, 의결 뒤의 이행 결과와 납부 여부는 싣지 않았습니다.
  • 한 사건이 여러 의결로 나뉘었으면 이 면은 의결번호 제2026-004-023호 하나만 다룹니다. 같은 날 같은 사건번호로 처분된 다른 의결은 「비슷한 사건」 절에 있습니다.

제재 표 기준일 2026-10-12 · 위반행위 표 기준일 2026-10-12 · 산정 근거 표 기준일 2026-10-12 · 시정명령 표 기준일 2026-10-12 · 항변 표 기준일 2026-10-12 · 취소소송 표 기준일 2026-09-30 · 출처: 개인정보보호위원회 「위원회 결정문」 게시판

자주 묻는 질문

롯데카드 개인정보 과징금은 얼마였나요?

개인정보보호위원회는 2026년 3월 11일 제2026-004-023호로 롯데카드 주식회사에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 함께 내린 처분은 시정명령·공표입니다.

롯데카드의 위반 내용은 무엇이었나요?

결정문이 든 위반 조문은 제24조의2(주민등록번호 처리의 제한)입니다. 결정문이 위반행위마다 붙인 표제는 「법령상 근거 없이 주민등록번호를 처리한 행위」, 「주민등록번호에 대한 암호화 조치를 하지 않은 행위」입니다.

롯데카드 처분에 대해 취소소송이 제기됐나요?

이 사이트의 취소소송 표(기준일 2026-09-30)에는 이 의결을 다툰 소송이 없습니다. 그 표는 판결문 검색·행정심판 재결례·개인정보위 보도자료로 확인된 사건만 담으므로, 표에 없다는 것이 소송이 없었다는 뜻은 아닙니다.