핵심 요약 — 개인정보보호위원회 결정문에 실린 피심인의 주장 141개와 위원회의 판정을 전수로 옮겼습니다. 갈리는 곳이 분명합니다. 위법성 자체를 다투는 주장은 거의 배척되고, 과징금 산정을 다투는 주장은 대부분 반영됩니다. 관련 매출액 범위를 다툰 주장은 판정된 22개 중 73%가 전부 또는 일부 받아들여진 반면, 안전조치를 이행했다는 주장은 13개 중 15%에 그쳤습니다. 전체로는 그대로 받아들여진 것이 10%, 일부라도 반영된 것이 43%입니다. 다만 항변 절을 둔 결정문이 889건 중 56건뿐이라 이 비율은 승률이 아닙니다. 소송 단계는 처분 취소소송 전수에서 보십시오.
사전통지를 받은 회사가 의견제출 기한 안에 판단해야 하는 것은 하나입니다. 무엇을 다툴 것인가.
결정문은 그 답의 재료를 갖고 있습니다. 위원회는 항변이 있었던 사건에서 「피심인의 주장에 대한 검토」라는 절을 따로 두고, 주장을 그대로 옮긴 뒤 「검토의견 : 불수용」처럼 판정을 낱말로 적습니다. 아래는 그 절을 전수로 옮긴 것입니다.
56항변 절이 있는 의결
141피심인이 낸 주장
10%그대로 받아들여진 비율
43%일부라도 반영된 비율
어떤 종류의 주장이 받아들여졌나
가장 크게 갈리는 곳은 「위법이 아니다」와 「액수가 과하다」의 사이입니다. 의무를 이행했다거나 자신은 의무 주체가 아니라는 주장은 거의 받아들여지지 않는 반면, 과징금 산정의 기준이 되는 매출액 범위를 다투는 주장은 대부분 전부 또는 일부 반영됐습니다.
| 주장의 종류 | 주장 | 수용 | 일부수용 | 불수용 | 판정 미기재 | 일부라도 반영 |
|---|---|---|---|---|---|---|
| 기타 | 26 | 1 | 1 | 24 | — | 8% (2/26) |
| 과징금 산정 — 관련 매출액 | 22 | 1 | 15 | 6 | — | 73% (16/22) |
| 과징금 산정 — 그 밖의 사유 | 19 | 2 | 12 | 5 | — | 74% (14/19) |
| 동의를 받았다 | 17 | 0 | 6 | 11 | — | 35% (6/17) |
| 의무 이행 주장 — 안전조치를 했다 | 13 | 0 | 2 | 11 | — | 15% (2/13) |
| 의무 주체가 아니다 | 10 | 1 | 1 | 8 | — | 20% (2/10) |
| 과태료 산정 | 9 | 8 | 1 | 0 | — | 100% (9/9) |
| 의무 이행 주장 — 파기했다 | 8 | 0 | 7 | 1 | — | 88% (7/8) |
| 개인정보가 아니다 | 7 | 0 | 0 | 7 | — | 0% (0/7) |
| 위반 인정 — 감경·선처만 요청 | 3 | 1 | 1 | 0 | 1 | 100% (2/2) |
| 고의·과실이 없다 | 2 | 0 | 0 | 2 | — | 0% (0/2) |
| 과징금 산정 — 위반기간 | 2 | 0 | 0 | 2 | — | 0% (0/2) |
| 의무 이행 주장 — 통지·신고를 했다 | 2 | 0 | 0 | 2 | — | 0% (0/2) |
| 시정을 완료했다 | 1 | 0 | 0 | 1 | — | 0% (0/1) |
의결별 주장과 판정
주장과 판단 이유는 결정문 원문에서 옮겼습니다. 긴 문장은 앞뒤를 남기고 가운데를 「…」로 줄였고, 판단 가운데 「다만,」으로 시작하는 문장은 따로 한 줄로 뺐습니다. 일부 수용이나 감경의 이유가 대개 그 문장에 있기 때문입니다. 쟁점 표제가 비어 있는 건은 결정문이 쟁점을 따로 나누지 않고 한 절에 이어 쓴 편제입니다.
| 의결 | 쟁점 | 판정 | 피심인의 주장 | 위원회의 판단 |
|---|---|---|---|---|
| 2026-08-26 제2026-216-355호 원문 ↗ 경성대학교 과태료 1,350만 원 | 쟁점 표제 없음 기타 | 불수용 | 피심인은 신고인이 요구한 인사기록카드가 인사발령 이력 ‧ 경고 ‧ 징계 ‧ 포상 등 내부 인사정보가 광범위하게 포함된 자료로서 당시 신고인이 팀장에서 팀원으로의 인사발령에 불복해 부산지방노동위원회에서 구제신청(’25. 9. 25.)이 진행 중인 만큼 … | 신고인은 자신의 인사기록카드 열람 및 사본 교부를 요구한 것이므로 피심인이 비공개 사유로 제시한 ‘제공의무 없음’, ‘법인의 경영상 ‧ 영업상 비밀로 공개 시 정당한 이익을 현저히 해할 우려가 있음’을 인정하기 어려운 점 … 만약 신고인의 인사기록카드에 다른 사람의 개인정보 ‧ 평가자 정보 등 공개하기 어려운 내용이 있다면 이를 가리고 부분 공개할 수 있음에도 전면 비공개하였으므로 피심인의 주장을 받아들이지 않는다. ※ 피심인은 ’26. 5. 18. 국민권익위원회로부터 신고인 보호조치에 따른 징계 ‧ 보직해임 취소 및 인사기록카드 발급을 결정받았으며, 이에 대한 행정소송을 진행 중임 |
| 2026-08-26 제2026-017-098호 원문 ↗ HD한국조선해양(주) 과태료 480만 원 | 과태료 산정 과태료 산정 | 일부수용 | 피심인은 사고 당시 기술적·관리적 보호 조치를 적절히 이행하고 있었으나, MDM 서버의 취약점은 제로데이 취약점이므로 통상적인 취약점 관리 방식으로 사전 식별이 구조적으로 불가능한 사고라고 주장한다. … | 피심인은 제로데이 취약점을 주장하나, 본 사고에 악용된 웹쉘 공격은 고도화된 취약점이 아닌 잘 알려진 파일 업로드 공격 방식에 해당하는 점, 이에 파일 업로드 경로가 노출되지 않도록 조치하거나 파일 확장자를 제한하여 웹쉘 업로드를 차단하는 등을 통해 해커의 공격을 차단할 수 있는 점, 피심인 또한 당시 관제 시스템 오류로 인해 해커가 업로드한 웹쉘에 대한 관제 탐지 이벤트가 수신되지 않아 유출의 경로가 되었다고 답변하고 있으므로 이를 새로운 취약점 또는 즉시 대응이 어려운 취약점이라 보기 어렵다. 다만, 피심인의 사고 이후 시정조치 노력에 대해 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ 제6조 및 [별표 2] 과태료의 감경기준에 따라 과태료를 감경한다. |
| 2026-08-26 제2026-017-097호 원문 ↗ HD건설기계(주) 과징금 7,350만 원 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 MDM 서버의 취약점은 제로데이 취약점이므로 개인정보 유출은 단순한 업무상 부주의 또는 과실에 의한 것이고, 유출된 정보에 대해 고유식별정보나 민감정보가 포함되어 있지 않은 점, 정보주체에게 2차 피해가 발생하지 않은 점을 고려하여 과징금 면제를 주장한다. … | 본 사고에 악용된 웹쉘 공격은 고도화된 취약점이 아닌 잘 알려진 파일 업로드 공격 방식에 해당하는 점, 이에 HD한국조선해양(주) 역시 개인정보 유출을 인지한 당일 파일 업로드 경로가 노출되지 않도록 조치하거나 파일 확장자를 제한하여 웹쉘 업로드를 차단하는 등 취약점을 개선 조치한 점, 조사기간 동안 제로데이 취약점을 주장하지 않다가 사전통지 이후 이를 주장한 점 등을 고려 시 이를 새로운 취약점 또는 즉시 대응이 어려운 제로데이 취약점이라 보기 어렵다. … 다만, 피심인의 매출은 B2B 형태로 발생하므로 이용자 등의 개인정보 처리를 수반하지 않는 점, 고객사가 장비를 주문하기 위해 이용하는 시스템이 아닌 점 … 과징금 산정 기준이 되는 매출액이 없거나 산정이 곤란한 경우에 해당하여 피심인의 주장과 같이 정액 과징금을 부과한다. … |
| 2026-07-22 제2026-214-290호 원문 ↗ 전남대학교 과태료 750만 원 | 비밀번호 작성 규칙 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 초기 학생 비밀번호는 즉시 변경하는 임시값이고, 생년월일 6자리를 초기 비밀번호로 생성·부여했다는 사실만으로 안전조치의무 위반을 판단하는 것이 아닌 인증·접근통제 체계를 종합하여 판단하는 것이 타당하다고 주장한다. | 피심인은 안전한 비밀번호 작성규칙을 수립·운용하면서 이를 준수하지 않고 초기 학생의 비밀번호를 생년월일 6자리로 설정하였으며, 이는 舊 고시 제5조제5항을 위반한 것이 명백하므로 피심인의 주장은 받아 들이지 않는다. |
| 2026-07-22 제2026-214-290호 원문 ↗ 전남대학교 | 비밀번호 암호화 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 비밀번호 암호화에 사용된 MD4 방식 역시 복호화되지 않는 일방향 암호화이므로 보호법 제29조를 위반이 아니라고 주장한다. | 보호법 제29조, 시행령 제30조제1항제4호 및 고시 제7조제1항은 비밀번호를 안전하게 저장하기 위한 일방향 암호화 의무를 부여하고 있다. 피심인이 사용하고 있는 MD4의 경우 일방향 암호화 방식이나 국내·외 암호 연구 관련 기관에서 추천하는 안전한 암호화 알고리즘이 아니므로 피심인의 주장은 받아 들이지 않는다. ※ 개인정보의 안전성 확보조치 기준 안내서(’24.10.) 80쪽 참조 |
| 2026-06-10 제2026-011-077호 원문 ↗ 쿠팡풀필먼트서비스 유한회사 과징금 2억 4,800만 원 | 취업제한 목록 작성(경찰청 출입기자 명단 수집) — 정당한 이익에 따른 수집 기타 | 불수용 | 먼저, 피심인은 불법잠입취재 대응을 위한 헌법 제15조(직업의 자유)·제23조 (재산권)에 따라 보호되는 정당한 인사권 행사인 점, 영업 활동 보호 및 안전사고 예방 목적인 점 등을 고려하여 ‘목적이 정당’하며 … 정보주체의 사회적·경제적 불이익이 없는 점 등 고려할 때 피심인의 ‘정당한 이익이 정보주체의 권리에 우선’하므로 “보호법 제15조제1항제6호에 따른 적법 처리”라고 주장한다. | 출입기자의 경우, 근로관계에서 왜곡 보도 등을 하였다거나 근로 지원을 통해 그러한 위험성이 구체적으로 확인되지 않은 점 등을 고려할 때 목적의 정당성이 있다고 보기 어렵고, 소관 부처의 취재 편의 … 정보주체인 취재 기자들은 예측할 수 없는 상태에서 개인정보가 수집·이용되어 취업제한 목록에 등록되는 것만으로도 개인정보자기결정권, 직업 선택의 자유 등이 직접 침해될 수 있어 피심인의 이익이 정보주체의 권리에 명백히 우선한다고도 볼 수 없다. |
| 2026-06-10 제2026-011-077호 원문 ↗ 쿠팡풀필먼트서비스 유한회사 | 취업제한 목록 작성(경찰청 출입기자 명단 수집) — 과징금 부과 및 산정 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 목적의 정당성, 수집의 불가피성 등 정당한 이익에 따른 처리로 인식하여 위법성이 없다고 인식할 만한 정당한 사유가 존재하고, 공개된 개인정보로써 71명의 이름·전화번호를 내부 업무용으로 활용한 것은 위반행위의 내용·정도가 경미하며 … | 앞에서 살펴본 것과 같이 정당한 이익에 따른 수집으로 보기 어려운 점 … 다만, 출입기자를 취업제한 목록에 등재한 행위로 인하여 직‧간접적으로 영향을 받는 매출액이 없는 점을 인정하여 정액과징금을 부과한다. |
| 2026-06-10 제2026-011-077호 원문 ↗ 쿠팡풀필먼트서비스 유한회사 | 민감정보(근로자 체중정보) 처리 — 개인정보 및 민감정보 여부 개인정보가 아니다 | 불수용 | ‘본건 근로자 체중정보 자료’는 비식별화하여 더 이상 개인을 알아볼 수 없는 정보에 해당하고, 법원은 해당 자료를 통해 피심인의 근로자를 알아볼 수 없어 개인정보에 해당하지 않으며, 설령, 개인정보에 해당하더라도 체중 자료는 단순한 신체 계측치에 불과하므로 건강에 관한 정보인 민감정보로 보기 어렵다. | 그간 개인정보보호위원회 및 관련 판례는 ‘처리하는 자’의 입장에서 개인정보 여부를 판단해 왔으며, 이에 피심인이 제출한 성명 등을 삭제한 체중분석 자료는 정보 수령자인 법원이 아닌 개인정보처리자인 피심인을 기준으로 판단해야 하는 것으로, 피심인은 보유 중인 건강검진 원본 자료 간 결합을 통해 개인 식별이 가능하다. … |
| 2026-06-10 제2026-011-077호 원문 ↗ 쿠팡풀필먼트서비스 유한회사 | 민감정보(근로자 체중정보) 처리 — 정당행위에 따른 처리 기타 | 불수용 | 본 건 자료를 법원에 제출한 행위는 헌법이 보장하는 재판상 방어권 행사를 위한 것으로 형법 제20조에 따라 위법성이 조각되는 정당행위에 해당하여 행정상 제재처분의 원인이 되는 위법행위로 인정될 수 없다고 주장한다. | ‘임직원 건강 관리’ 목적으로 건강검진기관으로부터 제공받은 정보를 산업재해 관련 손해배상소송에서 ‘방어권 행사’ 목적으로 법원에 해당 근로자의 식별자(이름, 일부 로그인 아이디)를 마스킹하여 제출하였으나, 해당 자료를 통계화하여 제출할 수 있는 점, 사망자가 근무한 센터에서 동일한 업무를 수행한 근로자의 건강 (민감)정보인 점, 근로자의 동의를 받아 제출하는 등 비교적 수월하게 정당행위로 인정될만한 다른 수단이나 방법이 존재하는 점 등을 고려 시 피심인의 정당행위 관련 주장을 수용하지 아니한다. |
| 2026-06-10 제2026-011-077호 원문 ↗ 쿠팡풀필먼트서비스 유한회사 | 민감정보(근로자 체중정보) 처리 — 과징금 부과 및 산정 과징금 산정 — 그 밖의 사유 | 일부수용 | 소송상 방어권 행사를 위한 자료 제출의 불가피성과 비식별화 조치를 고려시 위법성이 없다고 인식할 만한 정당한 사유가 존재하고, 그 외 영리 목적이 없고 해당 재판부에 단발성으로만 제출한 점은 위반행위의 내용·정도가 경미하며, 정보주체의 실질적 피해가 없거나 경미하며 이미 위반행위가 종료된 점을 근거로 과징금 부과기준 제4조에 따른 과징금 면제 대상임을 주장한다. … | 앞에서 살펴본 것과 같이 피심인의 행위를 정당행위로 인정하기 어렵고, 피심인이 자신의 위법의 가능성에 대해 심사숙고하거나 자신의 지적능력을 다하여 이를 회피하기 위한 진지한 노력을 다했다고 보기 어려워 위법하지 않다고 오인할 만한 정당한 사유가 인정되기 어려운 점, 민감정보를 제공받은 목적 외로 이용한 행위를 경미하거나, 부주의 또는 오류로 보기 어려운 점 등을 고려 시 과징금 면제 요건에 부합한다고 보기 어려우므로 수용하지 아니한다. 다만, 체중분석 등 임직원 개인정보 처리 관련 매출액이 없는 점을 고려하여 정액과징금을 부과한다. |
| 2026-05-27 제2026-010-071호 원문 ↗ ㈜미소테크 과징금 8,250만 원 과태료 450만 원 산정 근거 1차 가중 50% · 1차 감경 10·30% · 2차 감경 20% | 안전조치의무 위반 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 본 사고와 관련된 NAS를 외부 IP를 통해 접근 가능하도록 운영한 것은 보수 작업을 위해 한시적으로 허용하였다가 담당자의 과실로 일부 기간 유지된 것이고 관리자 계정과 인가된 사용자 계정의 아이디와 비밀번호를 통해 접근통제 조치하였다고 주장한다. | 농촌진흥청의 제출자료 중 국가정보원 강평 내용에 따르면, ①NAS 상단에 보안장비 부재, ②NAS에 대한 접근제한 부실(ID·PW만 입력하면 접속 가능), ③취약한 비밀번호( ) 사용, ④비밀번호 입력제한 미설정 등 안전조치 미흡사항이 지적되고 있어 피심인이 NAS에 보관중인 개인정보가 권한 없는 자에게 공개되거나 유출되지 않도록 필요한 조치가 충분히 이뤄졌다고 보기 어렵다. 또한, 피심인은 외부 접근을 한시적으로 허용한 것이라고 하나 이와 관련하여 제출된 증빙자료가 없으므로 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-071호 원문 ↗ ㈜미소테크 | 개인정보 파기 의무 위반 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 용역계약이 형식적으로 종료되었다는 사실만으로 모든 처리 목적이 즉시 소멸했다고 단정하기 어렵고, 하자 보수, 최종 검수 및 분쟁 대비 등 부수적인 목적이 남아있는 한 파기 의무의 이행 시점은 유예될 수 있다고 주장한다. | 피심인이 농촌진흥청, 국립농업과학원 및 국립축산과학원 등과 체결한 위탁 계약서에는 계약 해지, 계약기간 만료 시 위탁업무 관련 개인정보를 즉시 파기·반납이 규정되어 있고 별도의 예외 규정은 없으나, 조달청 일반용역계약에 하자담보책임기간 1년 특약이 규정된 점을 고려하여 개인정보 파기 의무 위반의 시점을 당초 17.6.부터에서 ’20.5.부터로 정정한다. |
| 2026-05-27 제2026-010-071호 원문 ↗ ㈜미소테크 | 보호법 제29조 위반행위 기간 과징금 산정 — 위반기간 | 불수용 | 피심인은 보호위원회가 피심인의 보호법 제29조 위반기간을 ’17.6.부터 ’25.4.까지 장기간으로 판단하는 것은 부당하고, 안전조치의무 위반이 실제로 발생한 시점부터 종료 시점까지로 보아야 한다고 주장한다. | 보호위원회는 피심인의 보호법 제29조 위반기간을 피심인이 NAS를 이용했다고 제출한 ’17.6.부터 ’25.4.까지로 판단하였으며, 이에 대해 피심인은 구체적인 반박을 하지 못하고 있다. 또한, 보호법 제64조의2제1항제9호는 안전조치의무를 다한 경우 과징금을 부과하지 않도록 규정하고, 기존 개인정보 유출사고에 대한 선례 또한 일관되게 안전조치의무 위반행위의 기간을 위반행위의 기간으로 산정하고 있어 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-071호 원문 ↗ ㈜미소테크 | 기준금액 과징금 산정 — 관련 매출액 | 수용 | 피심인은 ’22.~’24. 3년 동안 다수의 거래처와 총 114건의 계약을 체결하여 용역을 수행하는 과정에서, 각 발주처의 사업마다 별도의 담당자를 두었고, 개인정보 또한 각 계약건별로 구분하여 관리하였으므로 이 사건에서 문제되는 위반행위 관련 3개의 거래처(농촌진흥청, 국립농업과학원, 국립축산과학원)와 계약건에 한하여 관련 매출액으로 산정하여야 한다고 주장한다. | 이번 유출사고는 농촌진흥청, 국립농업과학원 및 국립축산과학원 등 3개 기관의 정보화사업을 위탁받아 수행하는 과정에서 발생하였으므로 전체 매출액 중 상기 3개 기관이 아닌 발주처와 거래에서 발생한 매출액은 시행령 제60조의2제3항제2호에 따른 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 재화 또는 서비스의 매출액’이 아닌 것으로 보고 관련 매출액에서 제외한다. |
| 2026-05-27 제2026-010-070호 원문 ↗ 국립축산과학원 | 쟁점 표제 없음 의무 주체가 아니다 | 수용 | 피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약 기간은 ’20.3.~9.로 피심인의 수탁자 관리·감독 의무도 위탁계약 종료와 함께 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다. | 피심인이 ㈜미소테크와 체결한 축사로시스템 관련 위탁계약은 ’20.9월 종료되었고, 이후에는 ㈜엠엠소프트와 체결되었으므로 ’20.9월에 피심인의 수탁자 관리·감독 의무도 위탁계약 종료로 소멸된 것으로 봄이 타당하므로, 본 유출 사고에 舊 보호법 (법률 제16930호)을 적용한다. |
| 2026-05-27 제2026-010-069호 원문 ↗ 국립농업과학원 과징금 2,310만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 본 사건에 적용할 보호법규 의무 주체가 아니다 | 불수용 | 피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약이 ’22.12.22.종료되었으므로 피심인의 수탁자 관리·감독 의무도 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다. | 수탁업체인 ㈜미소테크는 피심인이 운영하는 시스템 구축 과정에서 확보한 ’22년 회원정보를 무단으로 보관하다 ’25.4. 해킹으로 유출하였다. 그러나 피심인은 ’22.12. 계약 종료 시 저장매체 보관 현황 등을 직접 확인·점검하지 아니하였다. … |
| 2026-05-27 제2026-010-069호 원문 ↗ 국립농업과학원 | 수탁자 관리·감독 의무 이행여부 판단 의무 주체가 아니다 | 불수용 | 피심인은 ’22년도 시스템 관련 정보화사업은 청사 내부에서 이루어졌고, 피심인은 ㈜미소테크가 작업하던 사무실에 대한 보안점검을 철저히 이행하였으나, 사고발생 장소가 청사 외부인 ㈜미소테크의 전주지사에서 발생하여 보안점검이 사실상 불가했던 사정을 고려해야 한다고 주장한다. | ㈜미소테크가 NAS에 무단 보관하다 해킹으로 유출된 개인정보에 피심인이 운용하는 시스템의 회원정보가 포함되어 있었다. 이는 해당 회원정보가 ㈜미소테크에 의해 해당 NAS로 이전·보관되는 행위 자체를 사전에 인지·통제하지 못하였다는 의미이고, 동시에 농과원이 수탁자에 대한 관리·감독을 실효적으로 이행하지 못한 것으로 판단되어 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-068호 원문 ↗ 농촌진흥청 과징금 1억 6,800만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 본 사건에 적용할 보호법규 의무 주체가 아니다 | 불수용 | 피심인은 본 사고와 관련된 ㈜미소테크와 위탁계약이 ’22.12.21.종료되었으므로 피심인의 수탁자 관리·감독 의무도 소멸된 것으로 보아, ’23.9.15.字로 시행되기 이전의 舊 보호법(법률 제16930호)이 적용되어야 한다고 주장한다. | 먼저, 피심인이 증빙자료로 제출한 새한제이소프트㈜의 ‘자료미보유확약서’는 ㈜미소테크에 대한 피심인의 수탁자 관리·감독 의무가 종료되었음을 입증하지 못한다. 더욱이, 작위의무를 이행하지 않은 위법은 그 이행 시까지 계속되는 것이라는 법리에 비추어 보건대, 농진청의 ㈜미소테크에 대한 수탁자 관리· 감독 의무 위반은 적어도 “정보화 용역사업 보안 강화계획”을 수립한 ’25.5.까지 지속되고 있던 것으로 볼 수 있으므로 ’23.9.15.부터 시행된 보호법이 적용되는 것이 타당하다. … |
| 2026-05-27 제2026-010-068호 원문 ↗ 농촌진흥청 | 과징금 산정 위반 인정 — 감경·선처만 요청 | 수용 | 피심인은 내부관리계획 개정, 수탁자 관리·감독 체계 강화 등 자발적 시정 조치를 이행한 점, 유출 정황만으로도 관계기관 신고를 이행한 점, 적극적으로 사고 수습에 대응한 점 등을 고려하여 선처를 요청한다. | 피심인이 주장하는 내부관리계획 개정 등 관련 내용은 과징금 부과 금액 산정 절차에 반영한다. |
| 2026-05-27 제2026-010-067호 원문 ↗ 행정안전부 과태료 450만 원 | 안전조치의무 위반 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 홈페이지 운영 시 국가 전용망인 국가통신망을 이용중이고, 국가정보자원관리원의 보안관리 체계(침입탐지·차단시스템) 내에서 운영하고 있으며, 위탁계약 체결 시 수탁자의 법적의무를 명시하고 정기교육 실시, 내부관리계획 수립, 소스코드 변경 시 사전 보고체계 마련 등 관리적·기술적 조치를 지속적으로 이행하여 왔음을 고려해 달라고 주장한다. | 피심인은 내부용으로 사용할 ‘업무 게시판’에 처리하는 개인정보가 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템 등에 필요한 조치를 미흡하게 한 안전조치의무 위반이 확인되므로 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-067호 원문 ↗ 행정안전부 | 수탁자 준용 규정 의무 주체가 아니다 | 불수용 | 피심인은 본 사고의 경우 수탁자인 소속 직원이 공유누리 홈페이지 내 게시판에 개인정보가 포함된 엑셀파일을 부주의하게 업로드하였고, 수탁자가 게시판의 설정과 인증 차단을 누락한 과실에 기인한 것이며, ’23.9.15.부터 시행된 보호법은 수탁자도 개인정보처리자와 동일한 책임을 지도록 하고 있으므로 수탁자를 처분해야 한다고 주장한다. | 그러나 첫째, 홈페이지 운영은 ｢전자정부법｣ 상 ‘정보화 사업’으로 공공기관의 소관 업무라는 점, 둘째, 복권위원회로부터 복권 발행·관리 및 판매 등의 업무를 위탁 받아 처리하는 ㈜동행복권의 사례와 달리 정보화사업은 수탁자의 업무 수행에 독자성이 매우 적은 점, 셋째, 이에 따라 정보화사업의 경우 위탁자의 관리·감독의 중요성이 보다 더 크다는 점 등을 종합 고려할 때, 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-067호 원문 ↗ 행정안전부 | 과징금 부과 여부 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 본 사고의 경우 국정원의 보안 취약점 신고 포상제 등 공익적 신고 경로를 통해 최초 확인된 사안으로, 외부 영리 목적의 유포가 아닌 민·관 협력 차원의 정보보호 활동 중 발견되어 즉시 조치된 사안으로 외부 공격자가 시스템을 침해하거나 개인정보를 대량 수집·악용한 정황은 없으므로 일반적인 대규모 개인정보 유출 사고와 구분하여 판단해 달라고 주장한다. | 개인정보가 사실상 공익적 신고인 1명에게만 유출된 점이 확인되고, 위반행위의 내용 및 정도와 피해발생 정도 등을 종합 고려하여 보호법 제64조의2제5항에 따라 과징금은 부과하지 않되, 안전조치의무 위반에 대해 과태료를 부과한다. |
| 2026-05-27 제2026-010-066호 원문 ↗ 행정안전부 과징금 2억 7,300만 원 과태료 300만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 개인정보 유출 개인정보가 아니다 | 불수용 | 피심인은 국세청 연계 민원서류 오발급 관련 법인 대표자 587명의 성명과 주민등록번호는 당초 대표의 개인정보를 알고 있던 자에게 개인정보가 노출된 것으로 개인정보 유출로 보기 어렵고, 정부24 홈페이지 해킹 관련 ‘주민등록증 발급 신청일자’는 개인정보가 아니므로 개인정보 유출로 볼 수 없다고 주장한다. | 개인정보 유출은 “개인정보가 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것”으로 … 주민등록증 발급 신청일자 및 처리완료 여부에 대하여 피의자가 정부24에 존재하는 본인인증 기능의 취약점을 이용하여 타인의 주민등록증 발급 신청일자와 처리완료 결과 등을 조회·유출한 바, 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-066호 원문 ↗ 행정안전부 | 안전조치의무 위반 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 타인의 인증서를 이용한 접근의 경우 이는 시스템 설계상 보완이 필요한 영역일 수는 있으나 이를 곧바로 안전조치의무 위반에 해당해 개인정보 보호법을 위반한 것으로 보기 어렵다고 주장한다. | 주민등록증 발급상황 조회 서비스에서 제공하는 의 모듈 검증방식은 조회를 위해 입력한 개인정보와 본인인증을 위해 입력한 개인정보간 동일성 검증 절차를 누락한 취약점으로, 기존 개인정보 유출사고에 대한 선례 또한 일관되게 인증 요청자의 정보와 실제 본인인증 절차를 거친 정보 간의 동일성을 확인하지 않은 행위는 안전조치의무 위반으로 보고 있어, 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-066호 원문 ↗ 행정안전부 | 개인정보 유출 통지 의무 의무 이행 주장 — 통지·신고를 했다 | 불수용 | 피심인은 교육부 연계 민원서류 오발급 건과 관련하여 유출 기간(’24.3.28.~4.1.) 중 발급한 424,172건의 PDF 파일을 모두 검사하여 유출 통지 대상자를 특정하는데 많은 시간이 소요되었음을 감안해야 한다고 주장한다. | 이런 경우 피심인은 시행령 제39조제3항에 따라 정부24 홈페이지에 유출 사실을 30일 이상 게시하는 방법으로 유출 통지 의무를 이행할 수 있었으므로 피심인의 의견은 수용할 수 없다. |
| 2026-05-27 제2026-010-066호 원문 ↗ 행정안전부 | 과징금 부과 횟수 과징금 산정 — 그 밖의 사유 | 수용 | 피심인은 교육부 및 국세청 연계 민원서류 오발급 관련 개인정보 유출 2건은 피심인의 에서 유사한 시기에 발생한 동일 의무 위반행위라는 점에서 하나의 위반행위로 볼 수 있다고 주장한다. | 교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건과 주민등록증 발급상황 조회 서비스의 본인인증 취약점에 의한 개인정보 유출 건은 모두 피심인이 운영하고 있는 개인정보처리시스템인 에서 발생하였고, 3건 모두 동일한 안전조치의무(고시 제6조제3항에 다른 ‘접근통제’)를 위반한 건임을 종합 고려하여 통합 처분한다. |
| 2026-05-27 제2026-010-066호 원문 ↗ 행정안전부 | 안전조치의무 위반 및 과징금 부과 여부 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 교육부 및 국세청 연계 민원서류 오발급에 의한 개인정보 유출 2건은 사소한 부주의에 의해 경미한 위반행위가 발생한 것으로서 이로 인한 피해가 없고 피심인은 후속조치를 다하였으므로 과징금 면제를 주장한다. | 국세 납세증명서 서식변경과 관련하여 ‘개인 발급’ 및 ‘법인 발급’ 두 가지 경우 중 ‘개인 발급’에 대해서만 테스트한 행위는 사소한 부주의 또는 경미한 위반으로 보기 어려워 피심인의 의견은 수용할 수 없다. 다만, 교육부 연계 민원 오발급의 경우 ①피심인은 프로그램 배포 전 테스트를 실시하였고 특별한 오류가 발견되지 않은 점, ②1:1 미스매칭으로 해커의 불법침입에 활용되는 취약점은 아닌 점 등을 종합 고려할 때, 안전조치의무 위반으로 처분할 만한 사안으로 보기는 어렵다. |
| 2026-05-13 제2026-009-063호 원문 ↗ 보람상조플러스 주식회사 | 위탁 사실 공개 미흡 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. |
| 2026-05-13 제2026-009-063호 원문 ↗ 보람상조플러스 주식회사 | 수탁자 관리·감독 소홀 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고는 보기 어렵다. 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 종합적으로 고려하여 과징금을 산정한다. |
| 2026-05-13 제2026-009-063호 원문 ↗ 보람상조플러스 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. |
| 2026-05-13 제2026-009-062호 원문 ↗ 보람상조실로암 주식회사 | 위탁 사실 공개 미흡 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. |
| 2026-05-13 제2026-009-062호 원문 ↗ 보람상조실로암 주식회사 | 수탁자 관리·감독 소홀 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고는 보기 어렵다. 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 종합적으로 고려하여 과징금을 산정한다. |
| 2026-05-13 제2026-009-062호 원문 ↗ 보람상조실로암 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. |
| 2026-05-13 제2026-009-061호 원문 ↗ 보람상조애니콜 주식회사 | 위탁 사실 공개 미흡 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. |
| 2026-05-13 제2026-009-061호 원문 ↗ 보람상조애니콜 주식회사 | 수탁자 관리·감독 소홀 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고는 보기 어렵다. 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 종합적으로 고려하여 과징금을 산정한다. |
| 2026-05-13 제2026-009-061호 원문 ↗ 보람상조애니콜 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. |
| 2026-05-13 제2026-009-060호 원문 ↗ 보람상조피플 주식회사 과징금 250만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 위탁 사실 공개 미흡 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. |
| 2026-05-13 제2026-009-060호 원문 ↗ 보람상조피플 주식회사 | 수탁자 관리·감독 소홀 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고 보기 어렵다. 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 과징금 산정 시 종합적으로 고려하여 감경을 적용한다. |
| 2026-05-13 제2026-009-060호 원문 ↗ 보람상조피플 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. |
| 2026-05-13 제2026-009-059호 원문 ↗ 보람상조라이프 주식회사 과징금 480만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 위탁 사실 공개 미흡 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. |
| 2026-05-13 제2026-009-059호 원문 ↗ 보람상조라이프 주식회사 | 수탁자 관리·감독 소홀 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’22년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고 보기 어렵다. 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 과징금 산정 시 종합적으로 고려하여 감경을 적용한다. |
| 2026-05-13 제2026-009-059호 원문 ↗ 보람상조라이프 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 본 건 위반행위로 직·간접적 영향을 받는 서비스는 홈페이지를 통해 가입한 상조상품 관련 서비스로 한정되므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. |
| 2026-05-13 제2026-009-058호 원문 ↗ 보람상조리더스 주식회사 과징금 420만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 위탁 사실 공개 미흡 과태료 산정 | 수용 | 피심인은 개인정보 처리방침에 계속해서 보람상조개발에 대한 고객관리 업무 위탁 사실을 공개하여 왔으나 사고 이후 개선 과정(’25.2.26. 개정)에서 담당자의 실수로 일부가 누락된 것에 불과한 점, 내용 일부가 누락된 것으로 기간도 7개월(’25.2.26.~9.8.)로 위반 정도가 경미한 점, 위반 사실을 인지한 후 즉시 시정한 점 등을 고려하여 과태료 감면을 요청하였다. | 피심인이 약 7개월간 개인정보 처리방침에 보람상조개발에 대한 위탁과 관련하여 미흡하게 공개한 사실은 인정되나, 위반행위의 기간이 길지 않고 일부 내용을 누락한 것에 불과한 점, 사고 이후 개선 과정에서 담당자의 부주의·오류로 인한 것인 점, 정보주체의 피해가 경미한 경우로서 위반행위를 시정한 경우에 해당하는 점 등을 종합적으로 고려하여 ｢개인정보 보호법 위반에 대한 과태료 부과기준｣ (이하 ‘과태료 부과기준’) 제3조제2항에 따라 과태료를 면제한다. |
| 2026-05-13 제2026-009-058호 원문 ↗ 보람상조리더스 주식회사 | 수탁자 관리·감독 소홀 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 보람상조개발에 개인정보 처리 업무를 위탁하면서 관리·감독을 미흡하게 하여 유출로 이어진 점에 대하여는 다투지 않으나, 피심인이 ’21년 내지 ’24년 동안 지속적으로 자본잠식 상태에 빠져있었던 점 등을 고려하여 과징금을 면제하거나, 위반행위로 인하여 경제적·비경제적 이익을 취하지 않은 점이나 시정을 완료한 점 등을 고려하여 과징금을 감경해줄 것을 요청하였다. | 재무제표에 따르면, 피심인의 자본잠식 상태가 지속되어 온 것으로 보이기는 하나, 회계감사 의견 등에서 재무 위험성 및 계속기업으로서의 존속능력 불확실성에 대한 지적 등은 없었던 점이나, 상조사업 및 보람 그룹·계열사 구조의 특수성 등을 고려하였을 때 「개인정보 보호법 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제11조 제2항에서 규정하는 “위반행위자가 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우”에 해당한다고 보기 어렵다. 다만, 위반행위로 인한 직접적인 취득 이익이 있다고 보기 어려운 점, 시정을 완료한 점 등은 과징금 산정 시 종합적으로 고려하여 감경을 적용한다. |
| 2026-05-13 제2026-009-058호 원문 ↗ 보람상조리더스 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 ’24년 발생한 유출을 그 위반행위로 하는 것이므로 ’24년도의 직전 3개 사업연도인 ’21년에서 ’23년의 연평균 매출액을 전체 매출액으로 할 것과 유출사고는 홈페이지와 관련된 것이므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 피심인은 수탁자인 보람상조개발에 대한 관리·감독과 관련한 위반행위를 ’25년에 시정한 것으로 확인되는 바, 위반행위의 직전 3개 사업연도인 ’22년에서 ’24년을 기준으로 연평균 매출액을 산정한다. 또한, 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. |
| 2026-05-13 제2026-009-057호 원문 ↗ 보람상조개발 주식회사 과징금 5억 3,100만 원 과태료 1,140만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 개인정보 유출 통지 의무 이행 주장 — 통지·신고를 했다 | 불수용 | 피심인은 ’24. 5. 28. 13:33에야 강원경찰청으로부터 개인정보 유출을 확인하는 근거가 되는 데이터 일부를 전달받았으며, 내부 DB와의 대조 및 검증 절차를 거쳐 ’24. 5. 28. 17:24에 유출 정황이나 가능성이 아닌, 명시적인 개인정보 유출사실을 인지하였으며, 이로부터 72시간이 경과하지 않은 ’24. 5. 31. 15:00경부터 유출통지를 시작하여 보호법에 따른 적법한 통지를 하였다고 주장한다. | 피심인이 조사 과정에서 제출한 자료 등에 따르면, 피심인은 ’24. 5. 27. 오전 9시경 강원경찰청으로부터 개인정보 유출 정황을 통보받아 같은 날 17시 37분경 로그 확인 및 내부 테스트 등을 거쳐 유출 가능성을 확인한 후, 같은 날 18시 30분경 웹 방화벽 로그 분석을 통해 인젝션 공격 등 비정상적 접근을 확인하였으며, 같은 날 19시경 침해가 발생한 DB 내 개인정보가 저장된 테이블 등까지 확인한 사실이 있다. … |
| 2026-05-13 제2026-009-057호 원문 ↗ 보람상조개발 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 과징금 부과 기준이 되는 매출액 산정과 관련하여 ’24년 발생한 유출을 그 위반행위로 하는 것이므로 ’24년도의 직전 3개 사업연도인 ’21년에서 ’23년의 연평균 매출액을 전체 매출액으로 할 것과, 유출사고는 홈페이지와 관련된 것이므로 홈페이지를 통하여 가입이 발생한 상조상품 외 매출액은 관련 매출액에서 제외할 것을 주장한다. | 피심인의 안전조치의무 관련 위반행위의 종료 시점인 ’24년을 기준으로 직전 3개 사업연도인 ’21년에서 ’23년을 기준으로 연평균 매출액을 산정한다. 한편, 홈페이지 운영 및 그를 통한 온라인 상담 제공은 피심인이 제공하는 상조 서비스와 직접적으로 관련되는 업무임을 고려하였을 때, 피심인의 상조 서비스와 관련하여 발생하는 매출액은 위반행위 관련 매출액에 해당한다. 다만, 상조 서비스와는 무관한 단순 임대료, 기타 서비스 이용료 등은 본 건 위반행위와 관련이 없는 점 등을 고려하여 관련 매출액을 산정한다. |
| 2026-04-08 제2026-006-051호 원문 ↗ Cristie, Manson & Woods, Ltd 과징금 2억 8,000만 원 과태료 720만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% | 과징금 부과 및 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 보호법 제24조의2제1항 및 제29조 위반행위에 대해 ｢개인정보보호법 위반에 대한 과징금 부과기준 ｣(이하 ‘과징금 부과기준’) 관련하여, 2개의 위반행위 중 1개의 행위에 대해서만 과징금을 부과할 것을 주장하였다. … | 피심인의 위반한 2개의 행위는 별개 행위로 각 과징금 부과 사안에 해당하므로 피심인의 주장을 불수용하나, 관련 없는 매출액 주장 등 기준 금액 산정 및 감경 요건 관련 피심인의 주장은 수용한다. |
| 2026-04-08 제2026-006-051호 원문 ↗ Cristie, Manson & Woods, Ltd | 시정명령 및 공표명령 부과 의무 이행 주장 — 안전조치를 했다 | 일부수용 | 피심인은 위반행위 관련 시정이 완료된 점, 본 사건 관련 한국 고객의 규모가 극히 제한적인 점 등을 고려하여 관련 처분을 부과하지 아니할 것을 요구하였다. | 피심인의 위반행위는 시정이 완료된 점을 고려하여 시정명령을 부과하지 아니하되, ｢개인정보 보호법 위반에 대한 공표 및 공표명령 지침」제6조제1항제5호에 따라 보호법 제75조제2항 각 호의 위반행위 3개 이상인 경우로써 공표명령 요건에 해당하므로 공표명령을 부과한다. |
| 2026-03-11 제2026-004-023호 원문 ↗ 롯데카드 주식회사 과징금 96억 2,000만 원 과태료 480만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 20% | 주민등록번호 처리 근거 동의를 받았다 | 불수용 | 피심인은 민원 대응 목적으로 주민등록번호를 로그파일에 기록‧저장하여 처리하는 행위와 관련하여 … 신용정보법 시행령 제37조의2제4항에서 규정하는 ‘금융거래를 위하여 신용정보를 이용하는 사무를 수행하기 위하여 불가피한 경우’에 해당하며, 법령에 근거한 적법한 처리라고 주장한다. | 피심인이 ｢금융분야 주민등록번호 수집‧이용 가이드라인｣ 상 주민등록번호 처리가 허용되는 업무로 언급한 ‘콜센터 상담 등 금융거래 계약 체결·이행에 수반되는 업무’와 관련하여, 해당 가이드라인은 그 구체적 사례로 ‘전화를 통한 주식매수 주문, 예금잔액 확인 등’만을 제시할 뿐이며, 피심인이 임의로 구성한 내부 시스템에서 발생한 오류의 원인을 확인하기 위한 로그파일에 상시적으로 주민등록번호를 기록‧저장하고 민원 발생 시 조회하는 데 사용할 수 있다는 의미로 확대하여 해석하기는 어렵다. … |
| 2026-03-11 제2026-004-023호 원문 ↗ 롯데카드 주식회사 | 주민등록번호 암호화 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 주민등록번호가 적재된 로그파일에 ‘일 배치 방식’의 암호화 정책을 적용하여 주기적으로 암호화를 수행하였고, 로그파일은 시스템 부하 등 기술적 제약으로 실시간 암호화 적용이 불가능하며 이는 동종·유사 업권에서도 일반적인 방식임을 고려하였을 때, 보호법 제24조의2제2항에 따라 주민등록번호에 대하여 적절한 암호화 조치를 이행하였다고 주장한다. | 로그파일에는 정보주체의 개인정보를 기록·저장하지 않는 것이 일반적이고, 주민등록번호의 경우에는 그 처리가 엄격히 제한되는 점을 고려하였을 때 더욱이 그러하다. 본 건의 경우 주민등록번호를 로그파일에 기록·저장하였다는 점에서, 일반적으로 주민등록번호가 기재되지 않는 로그 파일과 암호화 기준을 동일하게 적용하는 것은 적절하지 않다. … |
| 2026-03-11 제2026-004-023호 원문 ↗ 롯데카드 주식회사 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 해커가 공격한 ‘온라인 결제 시스템’이 온라인 간편결제 서비스와 관련하여서만 사용되므로, 과징금 산정 기준 매출액은 해당 시스템을 통해 처리가 이루어지지 않는 다른 서비스들을 통해 발생한 수수료 수익을 제외하고 산정되어야 하며, 가입 및 개인정보 수집 없이 제공되는 서비스(법인무기명카드, 기프트카드, 선불카드 등)나 카드 서비스와 관련이 없는 기타 영업수익은 관련 없는 매출액으로 제외되어야 한다고 주장한다. | 피심인은 전체 온라인 결제 등록 처리 과정에서 주민등록번호를 법적 근거 없이 처리한 바, 위반행위로 영향을 받는 서비스는 해커에게 침해당한 ‘온라인 결제 시스템’ 관련 서비스(일반·SMS결제, Pay결제) 외에도 ‘페이중계시스템’, ‘로카페이시스템’ 등을 이용하는 서비스( 페이, 로카페이)를 포함한 전체 온라인 결제 서비스에 해당하므로, 전체 온라인 결제 서비스 매출액이 위반행위 관련 매출액에 해당한다. 다만, 법인무기명카드·기프트카드·선불카드 등 개인정보 수집 없이 제공되는 서비스 및 카드 서비스와 무관한 기타 영업수익의 경우에는 주민등록번호 처리와 무관한 점 등을 고려하여 관련이 없는 매출액으로 판단하여 제외한다. |
| 2026-03-11 제2026-004-023호 원문 ↗ 롯데카드 주식회사 | 위반행위의 중대성 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 본 건 위반과 관련하여, 영리 목적이 없었고 자진 시정하는 등 고의 또는 중과실이 없는 점, 각종 보호조치를 이행하고 ISMS-P 인증을 취득하는 등 개인정보 보호를 위하여 노력해온 바 위반행위의 부당성이 현저히 크거나 상당하지 않은 점, 유출 정보가 일반 공중에 노출되지 않았고 정보주체의 2차 피해 사례도 없었던 점 및 타사와의 형평성 등을 종합적으로 고려하였을 때 ‘보통 위반행위’에 해당한다고 주장한다. | 피심인이 위반행위와 관련하여 자진하여 시정 완료한 점은 인정되나, 위반 사항과 관련하여 보호법 준수에 대한 검토가 부재하였던 점, 개인정보 처리와 관련한 이력·검토내역 등이 관리되지 않는 등 관련 준법 감시·통제가 미흡한 점, 위반행위를 최소 7년 이상 장기간 지속한 점, 위반사항과 관련하여 약 700만 명의 주민등록번호를 법적 근거 없이 처리한 점, 약 45만 명의 주민등록번호가 평문 형태로 유출되어 전 국민의 불안과 심각한 사회적 혼란을 발생시킨 점 등을 고려하였을 때 위반행위의 중대성은 “매우 중대한 위반행위”에 해당한다. |
| 2026-03-11 제2026-004-023호 원문 ↗ 롯데카드 주식회사 | 과징금·과태료 감경 사유 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 경제적·비경제적 이득을 취하고자 하는 목적이 없었던 점, 위반행위를 즉시 시정 완료한 점, 조사에 적극 협력한 점, 피해 회복 및 확산 방지 조치를 이행한 점, 개인정보 보호를 위해 보호위원회가 인정하는 인증을 취득하는 등 개인정보 보호를 성실히 수행한 점 등을 고려하여, 1차·2차 조정 시 최대 감경을 적용할 것을 주장한다. | 위반행위와 관련하여 직접적인 취득 이익이 없는 점, 조사에 협조한 점, 즉각적인 시정조치를 완료한 점, ISMS-P 인증을 취득하는 등 개인정보 보호를 위한 노력 등을 종합적으로 고려하여, 1차·2차 감경을 일부 적용한다. |
| 2025-12-10 제2025-026-308호 원문 ↗ K Games, Inc 과징금 1억 9,451만 9,000 원 과태료 720만 원 산정 근거 1차 가중 50% · 1차 감경 50% · 2차 감경 20% | 쟁점 표제 없음 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 본 유출사고가 발생한 헬프데스크 서비스는 전체 게임 이용자가 아닌 고객지원 문의를 목적으로 한 이용자로 제한되므로, 과징금 산정시에 관련 매출액에 한국의 게임 이용자(2023년 회계연도 기준, 약 만 명) 중 유출로 영향받은 헬프데스크 이용자(12,906명)의 비율을 반영하여 줄 것을 주장하였다. | 그러나, 헬프데스크 서비스는 피심인의 주요 서비스인 게임 서비스의 계정접근·오류·개선의견 등 관련 문의처리를 위한 수단인 점, 해당 내용에 대해서도 이용약관을 통해 안내하는 점 등을 고려할 때, 게임 서비스가 아닌 헬프데스크 서비스만으로 관련 매출액을 한정하기는 어려우므로 관련 주장은 불수용한다. 다만, 사고에 영향을 받은 한국 이용자의 유출에 대한 피해로 한정하여야 한다는 주장을 수용하여 관련 매출액은 국내 게임 매출액으로 한정한다. |
| 2025-09-10 제2025-217-351호 원문 ↗ 숨수면의원 과태료 1,350만 원 | 쟁점 표제 없음 위반 인정 — 감경·선처만 요청 | 일부수용 | 피심인은 본 건 위법사실을 인정하고 있으나, 해당 CCTV는 촬영된 영상이 중국 소재 서버에 주기적으로 백업되고, 본 건 유출은 해당 백업 서버의 계정이 탈취된 것이 원인으로 단순히 해당 CCTV 제품을 설치해 운영하고 있는 피심인에게 온전한 과실 책임을 묻는 것은 부당하며, 유출된 정보는 민감·고유식별정보나 인증정보에 해당하지 않아 과태료 산정 시 다양한 감경 사유가 존재한다는 점 등을 적극 고려하여 선처를 요청하였다. | 본 건 유출 원인은 시스템 로그가 삭제되어 유출 원인을 명확하게 특정하지 못하였고, ’중국으로 백업되는 서버의 계정 유출’은 추측 가능한 다수의 유출 원인 중 하나인 반면, 유출로 이어질 수 있는 피심인의 안전조치 의무 소홀에 대한 과실은 명확하다. 다만, 피심인이 위반행위로 인한 경제적‧비경제적 이득을 취하지 아니한 점, 조사에 적극 협력한 점, 사전통지 및 의견제출 기간이 종료되기 전에 위반행위를 중지하는 등 시정을 완료한 점 등을 종합적으로 고려하여 피심인의 주장을 일부 수용한다. |
| 2025-07-23 제2025-016-233호 원문 ↗ Qookka Entertainment Limited 과징금 9,370만 원 산정 근거 1차 감경 30% | 쟁점 표제 없음 기타 | 일부수용 | 피심인은 주민등록번호 처리와 관련하여 당첨자의 나이·본인 여부 확인, 소득세 원천징수 목적으로 주민등록번호를 처리하였으며, 개인정보보호위원회에서 발간한 ｢개인정보 보호 가이드라인–온라인 경품행사편(’23.5.)｣에 따라 필요한 시점에 주민등록번호를 확인하여 법령 해석과 선례에도 부합하므로 법적근거 없이 주민등록번호를 처리하지 않았다고 소명하였다. | 그러나, 피심인이 주장하는 ｢청소년 보호법｣에서는 유해약물등(주류 포함)을 배포하고자 할 때 상대방의 나이 및 본인 여부를 확인하도록 할 뿐, 주민등록번호 수집‧확인 등을 허용하는 규정이라고 볼 수 없다. 설령, 피심인의 주류 경품 제공 행위를 ｢주류의 통신판매에 관한 명령위임 고시｣에서 정의하는 주류 통신판매 행위로 보더라도 피심인은 해당 고시가 규정한 성인인증 방법(휴대전화·아이핀·전자서명)을 따르지 않았다. … 다만, 피심인이 제출한 의견 가운데 위반행위의 중대성 판단시에 수집 규모, 위반 기간, 정보주체에게 피해가 발생하지 않은 점에 대한 고려가 필요한 점, 이 사건과 관련된 이벤트가 진행되지 않은 한국 외의 다른 국가에서 발생한 매출액 ‘위반행위와 관련이 없는 매출액’으로 보아야 한다는 주장은 수용한다. |
| 2025-06-25 제2025-014-047호 원문 ↗ TELUS International AI, Ltd 과징금 8,200만 원 과태료 720만 원 산정 근거 1차 감경 30% · 2차 감경 30% | 쟁점 표제 없음 과징금 산정 — 관련 매출액 | 불수용 | 피심인은 본 유출사고의 유출 항목이 기여자의 개인정보로서 임직원의 개인정보와 그 성격이 유사하므로 이로 인해 직접적으로 발생되는 수익은 없으며, 법인 간 분업구조에 따라 기업고객으로부터 발생하는 수익은 피심인이 아닌 피심인의 계열사로 귀속되므로, 보호법 제64조의2제1항 단서 및 같은법 시행령 제60조의2제2항제2호에 따라 “재해 등으로 인하여 매출액 산정자료가 소멸되거나 훼손되는 등 객관적인 매출액의 산정이 곤란한 경우”에 해당한다고 주장한다. … | 그러나, 피심인의 플랫폼은 기여자의 노동력을 확보하여 계열사 및 기업고객 등 타 사의 업무 지원에 활용하는 방식으로 매출이 발생하고 있고, 일부는 기여자가 생성한 데이터를 제공받아 타 사의 AI 학습에 이용하고 있어, 기여자의 개인정보 처리와 피심인의 매출 사이에 관련성이 없다고 볼 수 없으므로 매출액이 없거나 매출액의 산정이 곤란한 경우로 보기 어렵다. … |
| 2025-06-11 제2025-211-251호 원문 ↗ 더블에스컴퍼니 과태료 450만 원 | 쟁점 표제 없음 기타 | 불수용 판단 내용으로 읽음 | 피심인은 미용기기가 설치된 장소에 CCTV를 설치·운영한 목적은 미용기기 이용 도중 발생할 수 있는 안전사고에 대비하기 위한 것이고, 신고인에게 CCTV가 설치되어 있다고 알렸을 뿐만 아니라, 커튼을 이용하여 탈의 및 환복 중에 CCTV에 촬영되지 않도록 주의할 것을 고지하였다는 의견을 제출하며 선처를 호소하였다. | 안전사고 발생 우려와 CCTV 설치여부에 대한 고지는 舊 보호법 제25조제2항 및 같은 법 시행령 (이하 ‘舊 시행령’) 제22조제1항 각 호에서 규정하고 있는 탈의실 등 장소에서의 CCTV 설치·운영 제한 예외 사유에 해당한다고 보기 어렵다. |
| 2025-05-14 제2024-013-193호 원문 ↗ Whaleco Technology Limited 과징금 8억 7,900만 원 과태료 1,760만 원 산정 근거 1차 가중 25% · 2차 가중 30% | 국외이전의 법적 근거 의무 주체가 아니다 | 불수용 | 피심인은 처리위탁‧보관과 관련한 국외 이전사항을 개인정보 처리방침에 공개하지 않은 위법행위는 인정하면서 위원회 자료제출 요구서 수령 후 2024년 3월 22일 개인정보 처리방침을 개정하여 시정하였다고 소명하고 있다. 또한, 중국 계열사 에 대해서는 정보 이전이 단발적이고, 등 자회사는 개인정보를 ‘처리’하는 것이 아니므로 개인정보 처리방침 공개 의무가 없어 시정명령 대상이 아님을 주장하고 있다. | 그러나 피심인은 에 장애해결 및 컴플라이언스 준수 등 목적으로 개인정보를 이전하고 있는바, 이는 위탁 기간이 지속되는 업무이므로, 보호법 해설서에서 안내하고 있는 위탁업무가 일회성으로 이루어지는 경우로 볼 수 없다. 또한, 등 자회사는 피심인이 제공한 응용프로그램을 통해 한국 이용자의 개인정보가 저장된 서버에 접근하여 송장을 출력하고 상품에 부착하고 있는바, 단순 ‘도관’ 사업자로 볼 수 없으므로 피심인의 주장을 수용할 수 없다. |
| 2025-05-14 제2024-013-193호 원문 ↗ Whaleco Technology Limited | 수탁사 교육‧감독 기타 | 불수용 | 피심인은 2023년 7월부터 한국 내 서비스를 시작하여 사업 기간이 짧으며, 따라서 관련 규정 및 안내서 등에 비추어 법 위반이라고 볼 수 없다고 주장하고 있다. | 그러나 업무 위탁 특성에 따라 개인정보가 실제 위탁되기 전부터 주의사항 교육 등이 필요할 수 있고, 개인정보 처리 업무 위탁 시 교육 및 감독 의무는 업무 위탁 시점부터 발생하는 것이므로, 사업 기간이 짧아 법 위반이라고 볼 수 없다는 주장은 수용할 수 없다. 참고로 피심인은 한국에서 사업을 시작한 2023년 7월 이전부터 전 세계 대상으로 개인정보 처리 업무를 위탁하고 있었으며, 2024년 6월 기준 국내 월간 활성 이용자 수가 만 명에 달하는 국내 이커머스 상위 사업자이다. |
| 2025-05-14 제2024-013-193호 원문 ↗ Whaleco Technology Limited | 권리행사 방법 시정을 완료했다 | 불수용 | 피심인은 다른 사업자에 비해 회원탈퇴 절차가 명확하고 간단하며, 그럼에도 불구하고 회원탈퇴 절차를 더욱 간소화한바, 시정명령 대상이 아님을 주장한다. | 그러나, 이용자가 계정삭제 이유까지 입력하였음에도 탈퇴 의사를 확인하는 추가 화면을 구성한 것은 회원탈퇴를 제한하기 위해 의도적으로 절차를 추가한 것으로 위법하고, 권리행사의 방법 및 절차를 정보주체가 알 수 있도록 공개할 필요가 있는 점 등을 고려할 때 피심인의 주장을 수용할 수 없다. |
| 2025-05-14 제2024-013-193호 원문 ↗ Whaleco Technology Limited | 자료 미제출 과태료 산정 | 수용 | 피심인은 자료제출 기한에 맞추어 성실히 제출하였고, 위원회의 모든 요청사항을 제출 기한까지 제출하였다는 점에서 자료 미제출에 따른 과태료 부과는 부적절하다고 주장한다. | 피심인은 당초 일부 계열사 등에 대한 사항을 누락하고 자료를 제출하였으나, 사전통지서에 대한 의견제출 기한까지 추가 자료를 제출한 점을 고려하면, 보호법 제75조제2항제25호에 따른 자료 미제출 행위로 판단하기에는 무리가 있어 피심인의 주장을 수용한다. 다만, 피심인이 개인정보가 처리되는 국가 관련 자료 요구에 대해 ‘중국’ 내 계열사 및 자회사에 대한 사항을 제외하고 자료를 제출한 사실은 자료제출의 외형은 갖추었으나 실제는 갖추지 못한 것으로서, 명확한 증거를 제대로 제출하지 않은 조사 방해 행위로 보아 과징금 산정 가산 사유에 해당한다고 판단하였다. |
| 2025-05-14 제2024-013-193호 원문 ↗ Whaleco Technology Limited | 관련 매출액 산정 과징금 산정 — 관련 매출액 | 불수용 판단 내용으로 읽음 | 피심인은 특수관계자 거래로부터 발생하는 매출은 한국 이용자 정보는 물론 한국 이용자를 대상으로 하는 서비스나 영업 활동과는 무관한 매출로, 그룹 내 효율적인 사업 운영을 위해 계열사 간 거래에서 발생하는 매출액이라고 주장한다. | 그러나, 피심인이 제출한 특수관계자 거래 관련 계약서에 따르면, 형식상 상위그룹인 계열사(, 이하 ‘ ’)에 조달 대행 서비스제공 대가로 수취하는 것으로 보여지나, 실질적으로 유럽에서 큰 손실 없이 원활하게 테무 서비스 운영을 유지할 수 있도록 자금을 지원받는 것이고, 조달 대행 서비스의 실질은 없는 것으로 판단된다. … 다만, 피심인이 공식 재무제표와 테무 한국 사이트를 통해 진행된 모든 거래의 상세 내역을 제출하였고, 한국 이용자의 개인정보는 테무의 한국 서비스(제품판매, 배송 등)를 위해서 처리된바, 전체 매출액에서 한국 매출액이 차지하는 비율(’23년 %, ’24년 %)을 반영한 매출액을 과징금 부과기준으로 삼았다. |
| 2025-04-23 제2025-009-026호 원문 ↗ Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 개인정보 처리방침 기타 | 불수용 판단 내용으로 읽음 | 피심인은 실태점검 과정에서 개인정보 처리의 법적 근거, 가명정보 처리, 업무 위탁, 개인정보의 보유 및 이용 기간, 파기 절차 및 방법, 정보주체의 권리, 개인정보보호 책임자 등 보호법에 따른 사항을 포함하는 한국어로 작성된 처리방침을 2025년 3월 28일 제출하였고, 기존 처리방침에도 보호법상 주요 사항을 포함하고 있었음을 고려할 것을 요청하였다. | 앞서 살펴본 바와 같이, 해외사업자가 보호법이 적용되는 서비스의 처리방침을 수립‧공개할 때는 한국 정보주체가 쉽게 알 수 있도록 한국어로 작성하여야 하고, 보호법에서 정한 내용에 따라 작성‧공개하여야 한다고 안내하고 있다. … |
| 2025-04-23 제2025-009-026호 원문 ↗ Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 개인정보의 국외 이전 의무 주체가 아니다 | 일부수용 판단 내용으로 읽음 | 피심인은 한국 이용자에게 적용되는 처리방침에 개인정보 국외 이전에 관한 사항을 구체적으로 기재하였고, 이용자 프롬프트 입력 정보는 2025년 4월 10일 더 이상 로 이전되지 않도록 조치하였다고 소명하였다. 특히, 는 서비스 안전성 유지 및 기능 개선 목적으로 이용자의 개인정보 처리 업무를 위탁하는 것이며, 해당 목적 외 마케팅을 위한 분석 목적으로 이전하지 않는다는 의견과 관련 약관을 제출하였다. | 피심인이 다수 국외 회사에 개인정보를 이전하면서 한국 이용자에게 적용되는 처리방침에 해당 사항을 기재하는 등 조치하겠다고 계획을 제출하였다. 로 정보를 전송한 것과 관련하여 피심인이 DeepSeek 서비스에서 오류가 발생하는 경우 이를 조치하고, UI/UX를 개선하기 위한 목적이 있으며, 해당 정보에 대한 통제권 또한 피심인에게 있다는 점은 일부 소명된다. 다만, 에 이전한 정보 중 이용자가 프롬프트에 입력한 정보는 피심인이 소명한 이전 목적인 ‘서비스 개선’ 등에 비춰 볼 때, 그 필요성이 불분명하다. … |
| 2025-04-23 제2025-009-026호 원문 ↗ Hangzhou DeepSeek Artificial Intelligence Co., Ltd | AI 개발 및 이용자 프롬프트 입력 정보 학습 개인정보가 아니다 | 불수용 판단 내용으로 읽음 | 피심인은 이용자가 프롬프트에 입력한 정보 등은 식별자 제거, 데이터 각색 및 데이터 내 개인정보 제거한 후 이용하므로, 개인정보 이용에 해당하지 않으며 … 정당한 이익 달성을 위해 필요한 경우로서 명백하게 정보주체의 권리보다 우선하므로 AI 학습에 이용할 수 있다고 주장한다. | 이용자가 프롬프트에 입력한 정보와 관련하여 이용자 식별자 등을 제거하더라도 피심인이 보관하고 있는 개인정보 파일에서 ‘이용자 프롬프트 입력 정보’ 자체만으로 어떤 이용자가 해당 데이터를 입력(질의)했는지 알 수 있다. 또한, AI 학습은 데이터를 알고리즘에 학습시키는 것뿐만 아니라, 이를 위한 인적 검토, 데이터 각색 및 개인정보 제거 등 전처리 과정 또한 포함되므로 이를 개인정보를 이용한 것이 아니라고 볼 수 없다. … 다만, 사전 실태점검 과정에서 이용자가 AI 학습을 거부할 수 있는 기능 (opt-out)을 마련하였고, 입력 데이터 삭제도 가능하며 … 위법성을 입증하여 판단하는 것 보다, 지난해 주요 AI 사전 실태점검 결과를 바탕으로 마련한 강화된 개인정보 보호조치 방안을 적용할 필요가 있다. |
| 2025-04-23 제2025-009-026호 원문 ↗ Hangzhou DeepSeek Artificial Intelligence Co., Ltd | 안전조치 의무 이행 주장 — 안전조치를 했다 | 일부수용 판단 내용으로 읽음 | 피심인은 언론에서 문제가 된 데이터베이스는 개인정보가 보관되지 않은 단순 테스트 정보이고, 보안 취약점을 통해 접근 가능한 정보는 공식 웹사이트에서 접근 가능한 공개된 정보이며, 이용자의 개인정보가 유출된 사실은 없다고 주장하면서, 개인정보 보호를 위해 여러 개인정보 보호조치를 시행하고 있다고 관련 정책 및 지침 및 기술적 조치를 제출하였다. | 개발 서버라고 하더라도 데이터베이스 접근을 제한하지 않고, 디렉터리 리스팅 취약점이 노출된 것은 기본적인 안전조치가 미흡한 것으로 평가할 수 있으나, 피심인의 주장대로 개인정보 유출 등과 직접적인 관련이 없는 점을 고려할 때, 해당 사실만으로 보호법 위반이라고 평가하기는 어려운 측면도 존재한다. 다만, 불법적인 접근 등으로부터 이용자의 개인정보를 보호하기 위해 피심인 스스로 개인정보 처리시스템 전반의 안전조치를 점검하여 발견되는 취약점 등에 대해 조치할 필요성은 있다. |
| 2025-03-26 제2025-007-021호 원문 ↗ 주식회사 우리카드 과징금 134억 5,100만 원 소송 1심 계속 | 신용정보법 적용 사안이라는 주장 기타 | 불수용 | 피심인은 본건 처분과 관련된 정보가 모두 개인신용정보이므로 일반법인 보호법이 아닌 ｢신용정보의 이용 및 보호에 관한 법률｣(이하 ‘신용정보법’)이 우선 적용되어야하며, 현재 금융당국의 제재가 예고되어 있는바, 위원회의 제재 처분이 이루어질 경우, 동일 행위에 대한 이중 제재 문제가 발생할 우려가 있다고 주장한다. | 신용정보법에 따르면, 신용정보는 “금융거래 등 상거래에서 거래 상대방의 신용을 판단할 때 필요한 정보로서” 법이 정하는 일정한 정보이고, 개인신용정보는 신용 정보 중에서 개인에 관한 정보를 말한다. 한편, 보호법 제6조제1항에 따라 개인신용정보에 해당하지 않는 개인정보의 처리에 관하여는 보호법이 적용된다. … |
| 2025-03-26 제2025-007-021호 원문 ↗ 주식회사 우리카드 | 일부 직원의 일탈로 발생한 사건이라는 주장 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 본 사건이 영업센터 직원의 일탈로 발생한 것으로서 피심인이 예상하기 어려운 사고이며, 합리적으로 기대가능한 수준의 안전성 확보조치를 다하였음에도 본 사건을 예방하기 어려웠다고 주장한다. | 앞서 살펴본 바와 같이 피심인이 가맹점·카드회원 영업과 관리 목적으로 운영 중인 조직에서 카드발급 실적 증대 목적으로 위반행위가 실행되었으며, 피심인의 인천영업센터는 DW 시스템에서 가맹점주 정보를 조회하고 개인정보 파일을 생성하는 등의 작업 매뉴얼을 별도로 작성·공유·활용하는 등 일부 직원에 한정된 것이 아니라 업무 과정에서 조직적으로 위반행위가 이루어진 것으로 확인된다. … |
| 2025-03-26 제2025-007-021호 원문 ↗ 주식회사 우리카드 | 주민등록번호 처리는 목적 외 이용의 수단적 행위라는 주장 기타 | 수용 | 피심인은 보호법이 적용된다고 판단하더라도, 본 건의 주민등록번호 처리는 ‘목적 외 이용’을 위한 수단적 행위에 불과하며 별도 제재 대상으로 보기 어렵다고 주장한다. | 피심인의 인천영업센터가 가맹점주 대상 신용카드 발급 마케팅을 하기 위해 주민등록번호를 조회‧입력 등 처리한 행위는 법적 근거가 있다고 보기 어려운바, 보호법 제24조의2제1항 위반에 해당한다. 다만, 피심인의 주장과 같이 가맹점주의 정보를 당초 동의받은 수집·이용 목적 범위 외 목적으로 이용하는 과정에서 수단적 행위로 주민등록번호를 이용한 것으로 확인되는바, ‘하나의 행위’라는 피심인의 주장을 수용한다. |
| 2025-03-26 제2025-007-021호 원문 ↗ 주식회사 우리카드 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 전체 매출액에서 본 사건 위반행위와 관련 없는 법인카드, 체크카드, 캐피탈, 카드론 및 현금서비스, 대환, 가맹점수수료 매출액, 일부 수수료 등에서 발생하는 매출액을 제외한 매출액에 한정하여 과징금을 산정할 필요가 있다고 주장한다. | 피심인의 주장 중 법인카드, 체크카드, 캐피탈, 카드론, 대환 등에서 발생하는 매출액은 개인정보 처리와 관련이 없거나, 위반행위와 관련 없는 매출액으로 판단하여 과징금 산정 시 제외한다. 다만, 가맹점수수료 매출액은 개인정보가 침해된 가맹점주로부터 발생한 매출액이므로, 이 사건 개인정보가 침해된 정보주체가 가맹점주임을 고려할 때, 위반행위와 관련 없는 매출로 볼 수 없고 … |
| 2024-12-11 제2024-021-260호 원문 ↗ 캐롯손해보험㈜ | 쟁점 표제 없음 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 등의 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 조회 동의 점검에 대응하기 위해 1년간 보유했어야 한다는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-259호 원문 ↗ 하나손해보험(주) 과징금 2억 7,300만 원 | 재유도 창을 통해 받은 동의의 유효성에 대해서 동의를 받았다 | 불수용 | 피심인은 선택 동의서를 통해 보호법의 요건에 따라 관련 항목을 분명히 고지하여 이에 대해 명시적 동의를 받았고, 판례도 법정 고지사항과 동의를 받는 창이 반드시 같은 페이지에 있어야 한다고 해석하고 있는 것은 아니며, 재유도 창을 통해 마케팅 동의를 받은 행위가 위법하다고 가정하더라도 동의받는 방법 위반에 불과 하다고 주장한다. | 피심인은 적법한 동의서를 제시했다고 하나, 앞서 살펴본 바와 같이 피심인이 말하는 적법한 동의서 또는 법정 고지사항은 개인정보 “고객 동의” 화면에서 “(선택)상품 소개를 위한 동의” 하단에 “수집‧이용에 관한 사항”, “제공에 관한 사항” 옆에 표기된 “>”를 클릭하여야만 볼 수 있는데 … 재유도 창이 나타나면 개인정보 “고객 동의” 화면이 비활성화되고, 변경된 사항에 대한 이용자의 확인 없이 다음 절차가 진행되는 점 등을 고려할 때, 이용자가 제대로 확인할 수 있었다고 볼 수 없다. … |
| 2024-12-11 제2024-021-259호 원문 ↗ 하나손해보험(주) | 재유도 창의 행위가 보호법 제59조제1호에 해당하는지에 대해서 동의를 받았다 | 불수용 | 판례나 위원회의 기존 해석례를 고려할 때, 피심인의 재유도 창은 거짓이나 그 밖의 부정한 수단이나 방법에 해당하지 아니하고 당사가 전 과정에 걸쳐 관련 내용을 명확하고 구체적으로 고지하였다는 점을 고려해야하며, 수집 동기와 목적을 고려하더라도 이용자의 착오 오인을 유발할 목적이 없었을 뿐만 아니라 일반적인 이용자라면 문구를 주의 깊게 읽고 착오할 가능성이 현저히 낮다고 주장한다. … | 피심인이 재유도 창을 제시하는 행위 자체만으로 위법하다고 보기는 어려우나, 피심인의 재유도 창이 실행되는 과정, 재유도 창의 내용과 구성, 재유도 창에서 이용자가 ‘확인’ 버튼을 클릭한 이후 진행, 그 적법성 등을 전체적으로 고려할 때 피심인의 재유도 창 운영 방식에는 이용자의 의사결정에 영향을 미칠 수 있는 행위가 있었고, 그 행위가 사회 일반의 관념상 부정한 방법이라고 볼 수 있다. … |
| 2024-12-11 제2024-021-259호 원문 ↗ 하나손해보험(주) | 과징금 부과와 관련하여 과징금 산정 — 관련 매출액 | 불수용 | 보험료 계산 서비스는 피심인이 이용자 편의 목적으로 제공하는 서비스로 계약 절차와는 구분되고, 완전히 무료로 서비스되고 있으며, 마케팅 동의를 선택적으로 받는 것 이외에 특별한 대가를 지급받은 사실이 없으므로 관련 매출액이 없는 경우에 해당하고, 재유도 창을 통해 마케팅 동의를 받은 이용자가 어느 정도 비율로 보험계약을 체결하였는지 파악할 수 없어 객관적 매출액 산정이 곤란하므로 정액 과징금을 부과하여야 한다고 주장한다. … | ‘다이렉트 보험’은 보험 가입 설계(보험료 계산)와 보험 가입이 동일한 웹사이트 또는 앱에서 이루어지고, 보험 가입 설계(보험료 계산) 과정 없이 보험 가입 계약을 체결할 수 없다. 또한, 보험 가입 설계 과정에서 계산된 보험료가 가입 시 그대로 반영되는 특성이 있어 보험 가입 설계(보험료 계산)와 보험 가입을 별도 서비스로 보기는 어려우며, 최소한 직‧간접적으로 영향을 받는 서비스에 해당한다고 보는 것이 타당하다. … 다만, 舊 개인정보보호 법규 위반에 대한 과징금 부과기준 (이하 舊 ‘과징금 부과기준’) 제4조제1항에서 서비스의 범위를 ‘전기통신사업법’ 제5조를 기준으로 판단하도록 하고 있어, 오히려 관련 매출액 산정을 위한 서비스의 범위를 정보 통신 서비스 매출액으로 한정한 것이다. |
| 2024-12-11 제2024-021-259호 원문 ↗ 하나손해보험(주) | 파기의무 위반과 관련하여 의무 이행 주장 — 파기했다 | 일부수용 | 피심인이 사용한 동의서에는 ‘보험계약 상담’ 목적이 명시되어 있었고, 계산 중단 또는 계약 미체결이라고 하여도 ‘상담’의 목적까지 달성되었다고 단정하기 어려우며, 파기 의무 위반에 해당하더라도 한국신용정보원 또는 금융감독 당국의 행정지도에 따라 1년간 보유할 수 밖에 없었으며, 이는 전 손해보험업권의 관행으로 위법성을 인지할 수 없었다고 주장한다. | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측할 수 없다. … 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-259호 원문 ↗ 하나손해보험(주) | CPO의 업무수행 소홀 행위 동의를 받았다 | 불수용 | 피심인은 보호법은 CPO의 업무로 개인정보 보호와 관련된 전반적인 관리 감독 업무를 부여할 뿐이고, 세세한 동의 프로세스까지 관여할 것을 요구하고 있지 아니하며, 본 선택동의서에 관하여 법적의무를 충실히 이행하여 선택동의서가 한국신용정보원의 동의등급을 부여 받았다는 점을 확인한 이상 그 이후 동의 여부를 재확인하는 세세한 절차까지 관여할 필요가 없고, 개별동의서 마련 절차 위반까지 CPO의 책임으로 포섭하는 것은 과도하다고 주장한다. | 일반‧추상적인 규범인 법률의 특성상, 법 문언에서는 포괄적인 의무를 부여할 수밖에 없는 것이고, 의무에 따른 업무 수행에 관한 고의나 과실이 있었는지 여부는 구체적인 사안별로 확인하여야 하는 것이므로, 법 문언이 포괄적인 의무를 부여하고 있다는 점과 귀책 사유의 판단은 별개의 문제이다. … |
| 2024-12-11 제2024-021-258호 원문 ↗ 악사손해보험㈜ 과징금 27억 1,500만 원 소송 1심 계속 | 재유도 창을 통해 받은 동의의 유효성에 대해서 동의를 받았다 | 불수용 | 피심인은 보호법에 따른 법정 고지사항을 정보주체에게 모두 알려 동의를 받았고, 선택 동의화면에서 법정 고지사항을 안내받은 정보주체들이 재유도 창에서 ‘확인’ 버튼을 선택한 것은 법정 고지사항을 명확하게 인식하고 확인한 상태에서 내린 실질적인 동의에 해당하는 것이라고 주장한다. | 피심인은 적법한 동의서를 제시했다고 하나, 앞서 살펴본 바와 같이 피심인이 말하는 적법한 동의서 또는 법정 고지사항은 “보험료 계산을 위해 약관에 동의해주세요” 화면에서 “상품소개 및 혜택 안내 동의(선택)“ 하단의 “개인(신용)정보의 수집 … 재유도 창이 나타나면 “개인정보 수집‧이용 및 조회 동의” 화면이 비활성화되고, 변경된 사항에 대한 이용자의 확인 없이 다음 절차가 진행되는 점 등을 고려할 때, 이용자가 제대로 확인할 수 있었다고 볼 수 없다. … |
| 2024-12-11 제2024-021-258호 원문 ↗ 악사손해보험㈜ | 재유도 창의 행위가 보호법 제59조제1호에 해당하는지에 대해서 동의를 받았다 | 불수용 | 재유도 창의 내용은 사실에 부합하고, 재유도 창의 운영으로 정보주체의 의사결정이 실질적으로 방해되었다고 보기 어려우며, 개정·시행될 전자상거래법은 재유도 창 제시가 항상 불법이 아님을 전제하고 있는 상황에서 해당 법 시행 이전 해당 재유도 창 운영이 부정한 수단이었다고 쉽게 간주되어서는 안된다고 주장한다. … | 피심인이 재유도 창을 제시하는 행위 자체만으로 위법하다고 보기는 어려우나, 피심인의 재유도 창이 실행되는 과정, 재유도 창의 내용과 구성, 재유도 창에서 이용자가 ‘확인’ 버튼을 클릭한 이후 진행, 그 적법성 등을 전체적으로 고려할 때 피심인의 재유도 창 운영 방식에는 이용자의 의사결정에 영향을 미칠 수 있는 행위가 있었고, 그 행위가 사회 일반의 관념상 부정한 방법이라고 볼 수 있다. 참고로 위원회는 피심인의 행위가 보호법에 위반되는지 여부를 판단한 것으로, ‘다크패턴’이나 ‘반복 간섭’의 정의에 해당하는지 여부와는 관련이 없다. |
| 2024-12-11 제2024-021-258호 원문 ↗ 악사손해보험㈜ | 과징금 부과와 관련하여 과징금 산정 — 관련 매출액 | 불수용 | 피심인은 보험료 계산 서비스는 무료 서비스로 매출이 발생하지 않는 서비스이므로 정액과징금이 부과되어야 한다고 주장한다. 만일 정률과징금이 부과되더라도 피심인이 선택동의를 한 이용자의 개인정보를 이용하여 수행한 ‘마케팅’은 자동차보험 또는 운전자보험에 한정된 마케팅인 점에 비추어 재유도 창을 통해 선택 동의를 받은 이용자에 대하여 마케팅을 하여 얻은 매출과 무관한 매출액은 제외되어야 한다고 주장한다. | ‘다이렉트 보험’은 보험 가입 설계(보험료 계산)와 보험 가입이 동일한 웹사이트 또는 앱에서 이루어지고, 보험 가입 설계(보험료 계산) 과정 없이 보험 가입 계약을 체결할 수 없다. 또한, 보험 가입 설계 과정에서 계산된 보험료가 가입 시 그대로 반영되는 특성이 있어 보험 가입 설계(보험료 계산)와 보험 가입을 별도 서비스로 보기는 어려우며, 최소한 직‧간접적으로 영향을 받는 서비스에 해당한다고 보는 것이 타당하다. … |
| 2024-12-11 제2024-021-258호 원문 ↗ 악사손해보험㈜ | 파기의무 위반과 관련하여 의무 이행 주장 — 파기했다 | 일부수용 | 피심인이 사용한 동의서에는 ‘보험계약 상담’ 목적이 명시되어 있었고, 계산 중단 또는 계약 미체결이라고 하여도 ‘상담’의 목적까지 달성되었다고 단정하기 어려우며, 파기 의무 위반에 해당하더라도 한국신용정보원과 보험개발원의 적법한 동의취득여부 점검에 대응하기 위해 1년간 보유가 필요하다고 주장한다. | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측하기 어렵다. … 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-258호 원문 ↗ 악사손해보험㈜ | CPO의 업무수행 소홀 행위 고의·과실이 없다 | 불수용 | 개인정보 보호책임자의 해석이 결과적으로 잘못되었다고 하더라도 그것만으로 곧바로 개인정보 보호책임자에게 업무수행에 관한 고의나 과실이 있다고 할 수 없을 것이라고 주장한다. | 위원회는 피심인의 CPO가 단순히 현업부서 질의에 대한 답변이 결과적으로 잘못되었다고 해서 보호법을 위반하였다고 판단한 것이 아니고, 피심인이 지정한 CPO의 자격 … 전자상거래법상 다크패턴 규제 조항 개정에 따라 창 삭제를 검토하였다고 한 점 등을 고려하였을 때, 피심인의 CPO는 개인정보 보호와 관련한 적법한 업무를 수행하지 못하는 것으로 보이는바, 보호법 제31조제3항 위반에 해당한다고 판단한 것이다. |
| 2024-12-11 제2024-021-257호 원문 ↗ 엠지손해보험㈜ 과징금 2,170만 원 | 재유도 창을 통해 받은 동의에 대해서 동의를 받았다 | 불수용 | 일반적인 이용자가 재유도 창에서 무엇에 대한 ‘미동의’ 또는 ‘동의’인지 알지 못한 채 선택하였다고 보기 어렵고, 오히려 최초 동의 시 선택사항을 미선택한 이용자가 선택 동의의 대상에 대해 더 이해도 높게 인지한 후 기존의 선택을 변경하여 재동의한 것으로 봄이 타당하며, 선택사항 동의율 제고를 위해 재유도 창을 도입하였음에도 불구하고 상당한 비율의 이용자가 여전히 동의하지 않고 보험료 계산 서비스를 이용할 수 있었다고 주장한다. | 재유도 창의 문구는 다양한 서비스, 이벤트 안내, 다양한 서비스 등 추상적인 수집·이용 목적을 기재하고 있고, 수집하는 개인정보의 항목, 보유·이용기간도 없으며, 무엇보다 앞서 살펴본 바와 같이 이용자로서는 ‘동의’의 대상이 개인정보 수집·이용 및 제공 동의라고 예측하기 어렵다. … |
| 2024-12-11 제2024-021-257호 원문 ↗ 엠지손해보험㈜ | 파기의무 위반과 관련하여 의무 이행 주장 — 파기했다 | 일부수용 | 피심인이 사용한 동의서에는 ‘보험계약 상담’ 목적이 명시되어 있었고, 계산 중단 또는 계약 미체결이라고 하여도 ‘상담’의 목적까지 달성되었다고 단정하기 어려우며, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었다고 주장하였다. | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측할 수 없다. … 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-257호 원문 ↗ 엠지손해보험㈜ | CPO의 업무수행 소홀 행위 의무 이행 주장 — 파기했다 | 불수용 | 피심인은 재유도 창 및 개인정보 미파기 행위에 대한 위반 여부를 단정짓기 어려운 상황에서 개인정보 보호책임자의 업무수행 소홀에 대해 법위반으로 보는 것은 부당한 면이 있다고 주장한다. | 위원회는 피심인의 행위를 법 위반으로 판단하고 있고 일반‧추상적인 규범인 법률의 특성상, 법 문언에서는 포괄적인 의무를 부여할 수밖에 없는 것이며, 의무에 따른 업무 수행에 관한 고의나 과실이 있었는지 여부는 구체적인 사안별로 확인하여야 하는 것이다. 피심인은 준법감시인이 신용정보관리‧보호인, CPO를 겸하고 있고, 피심인이 제출한 개인정보 보호책임자 결재내역의 대부분은 신용정보 조회 적정성 점검, 보험모집 업무수탁자 점검 등에 관한 사항이다. … |
| 2024-12-11 제2024-021-256호 원문 ↗ 흥국화재해상보험㈜ | 쟁점 표제 없음 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 등의 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 조회 동의 점검에 대응하기 위해 1년간 보유했어야 한 바, 자신의 행위가 위법하지 아니한 것으로 오인하였고 그 오인에 정당한 사유가 있었다는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-255호 원문 ↗ 롯데손해보험(주) 과태료 540만 원 | 쟁점 표제 없음 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 보험료 계산을 중단하거나 계산 완료 후 계약을 미체결한 이용자의 정보를 1년간 보유·이용한 행위에 대해 손해보험협회가 배포한 표준동의서에 따라 개인정보를 처리하고 있으며, 향후 개선안을 마련하겠다는 의견을 제출하였다. 보유기간이 경과한 이용자의 정보를 파기하지 않은 행위에 대해서는 전산 프로그램에 폐기 대상 기간 정보를 일부 반영하지 않은 부주의로 발생한 행위이고, 발견 즉시 프로그램을 수정하여 파기하였음을 참작하여 주길 요청하였다. … | 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점, 손해보험협회와 피심인이 개선 방안을 마련한 점 등을 고려할 때, 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-254호 원문 ↗ 한화손해보험㈜ | 쟁점 표제 없음 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 등의 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 점검에 대응하기 위해 1년간 보유했어야 한다는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-253호 원문 ↗ 메리츠화재해상보험(주) | 쟁점 표제 없음 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 자동차 보험료 가입설계 과정에서 최종적으로 보험에 가입하지 아니한 고객의 개인신용정보는 3개월 경과 시점에 모두 파기하고 있고 … 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었음을 고려해 달라는 의견을 제출하였다. | 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-252호 원문 ↗ ㈜KB손해보험 | 쟁점 표제 없음 동의를 받았다 | 일부수용 | 피심인은 일반적으로 이용자들은 여러 보험사에서 보험료를 비교한 후 가입하므로 보험갱신 기한인 1년 이내에 다시 보험료를 산출해보고 이에 대해 문의를 할 가능성이 높은 바, 이용자의 개인정보를 보험계약 상담 등의 목적으로 이용 할만 한 사정이 존재하였고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었음을 고려해 달라는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-251호 원문 ↗ 현대해상화재보험㈜ 과징금 61억 9,800만 원 소송 1심 계속 | 재유도 창을 통해 받은 동의의 유효성에 대해서 동의를 받았다 | 불수용 | 피심인은 보호법상 적법한 양식에 따른 마케팅 동의서를 이용하여 선택 동의를 취득하였고, 재유도 창의 문구는 오인의 소지가 없는 명시적인 문구이며, 이용자는 이를 명확히 인식하고 선택하였으므로 자유로운 의사에 근거한 실질적 동의를 취득한 것이라고 주장한다. … | 피심인은 적법한 동의서를 제시했다고 하나, 앞서 살펴본 바와 같이 피심인이 말하는 적법한 동의서 또는 법정 고지사항은 “개인정보 동의” 화면에서 “개인 (신용)정보의 수집‧이용에 관한 사항”과 “개인(신용)정보의 제공에 관한 사항” 옆에 표기된 “>”를 클릭하여야만 볼 수 있는데 … 재유도 창이 나타나면 “개인정보 동의” 화면이 비활성화되고, 변경된 사항에 대한 이용자의 확인 없이 다음 절차가 진행되는 점 등을 고려할 때, 이용자가 제대로 확인할 수 있었다고 볼 수 없다. … |
| 2024-12-11 제2024-021-251호 원문 ↗ 현대해상화재보험㈜ | 재유도 창의 행위가 보호법 제59조제1호에 해당하는지에 대해서 기타 | 불수용 | 피심인은 재유도 창을 이용한 행위가 인터넷 피싱이나 보이스피싱과 같은 적극적인 사기 또는 기망행위가 아니라는 점은 명백하고, 재유도 창의 사용 전후 사정과 문구 내용상 오인 내지 착각 유발 염려도 적어 해당 규정 위반이라고 단정하기 어려우며, 보호법상 ‘다크패턴’에 대한 명확한 금지규정도 없으므로 본 재유도 창의 사용 행위를 ‘다크패턴’으로 규정하여 제재하는 것도 합당하지 않고, 재유도 창은 개정 전자상거래법상 ‘반복 간섭’에도 해당하지 않는다고 주장한다. | 피심인이 재유도 창을 제시하는 행위 자체만으로 위법하다고 보기는 어려우나, 피심인의 재유도 창이 실행되는 과정, 재유도 창의 내용과 구성, 재유도 창에서 이용자가 ‘확인’ 버튼을 클릭한 이후 진행, 그 적법성 등을 전체적으로 고려할 때 피심인의 재유도 창 운영 방식에는 이용자의 의사결정에 영향을 미칠 수 있는 행위가 있었고, 그 행위가 사회 일반의 관념상 부정한 방법이라고 볼 수 있다. … |
| 2024-12-11 제2024-021-251호 원문 ↗ 현대해상화재보험㈜ | 과징금 부과와 관련하여 과징금 산정 — 관련 매출액 | 불수용 | 다이렉트 자동차 ‘보험 가입 설계 서비스’는 다이렉트 ‘보험 가입 절차’와는 명확히 구분되고, 다이렉트 자동차 보험 가입 설계 서비스에서 발생하는 관련 매출은 없으며, 재유도 창으로 인해 발생한 관련 매출액을 정확하게 산정할 수도 없으므로 정액 과징금이 부과되어야 한다고 주장한다. … | ‘다이렉트 보험’은 보험 가입 설계(보험료 계산)와 보험 가입이 동일한 웹사이트 또는 앱에서 이루어지고, 보험 가입 설계(보험료 계산) 과정 없이 보험 가입 계약을 체결할 수 없다. 또한, 보험 가입 설계 과정에서 계산된 보험료가 가입 시 그대로 반영되는 특성이 있어 보험 가입 설계(보험료 계산)와 보험 가입을 별도 서비스로 보기는 어려우며, 최소한 직‧간접적으로 영향을 받는 서비스에 해당한다고 보는 것이 타당하다. … 다만, 舊 개인정보보호 법규 위반에 대한 과징금 부과기준 (이하 舊 ‘과징금 부과기준’) 제4조제1항에서 서비스의 범위를 ‘전기통신사업법’ 제5조를 기준으로 판단하도록 하고 있어, 오히려 관련 매출액 산정을 위한 서비스의 범위를 정보 통신 서비스 매출액으로 한정한 것이다. |
| 2024-12-11 제2024-021-251호 원문 ↗ 현대해상화재보험㈜ | 파기 의무 위반과 관련하여 의무 이행 주장 — 파기했다 | 일부수용 | 피심인은 필수 동의서에 개인정보 수집‧이용 목적에 ‘보험 계약 상담’을 명시하였고, 이는 단순히 보험료 산출 서비스만을 의미하는 것이 아니며, 보험료 산출 결과에 대한 문의 대응, 보험료 산출 이후 당해 보험료를 기반으로 한 보험계약 가입 상담 등 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적이 포함되어 있어, 계산 중단 또는 계약 미체결 이용자에 대하여 해당 처리 목적이 달성되었다고 단정하기 어려운 면이 있다고 주장한다. … | 앞서 살펴본 바와 같이, 피심인이 제시한 동의서 내용상 보험료 계산을 중단하거나 계약을 체결하지 않는 경우라도 개인정보가 수집되어 1년간 보관될 수 있다는 내용이 없고, 통상 인터넷 서비스는 이용자가 회원가입 절차 등을 중단하면 개인정보를 수집하거나 보관하지 않는 점 등을 고려할 때, 보험료 계산을 중단하거나 계약을 체결하지 않은 이용자는 피심인이 자신의 개인정보를 1년간 보유하는 것을 예측할 수 없다. … 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-251호 원문 ↗ 현대해상화재보험㈜ | CPO의 업무 수행 소홀 행위 동의를 받았다 | 불수용 | 피심인은 CPO가 법령상 업무를 충실히 이행할 수 있도록 내규 및 업무시스템을 마련해 두었고, CPO는 이에 기반하여 업무를 충실하게 수행하였다고 주장한다. … | 일반‧추상적인 규범인 법률의 특성상, 법 문언에서는 포괄적인 의무를 부여할 수밖에 없는 것이고, 의무에 따른 업무 수행에 관한 고의나 과실이 있었는지 여부는 구체적인 사안별로 확인하여야 하는 것이므로, 법 문언이 포괄적인 의무를 부여하고 있다는 점과 귀책 사유의 판단은 별개의 문제이다. … |
| 2024-12-11 제2024-021-250호 원문 ↗ DB손해보험㈜ | 쟁점 표제 없음 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 및 ‘민원 및 분쟁관련 대응’ 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 점검에 대응하기 위해 1년간 보유했어야 함을 고려해 달라는 의견을 제출하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-12-11 제2024-021-249호 원문 ↗ ㈜삼성화재해상보험 | 쟁점 표제 없음 동의를 받았다 | 일부수용 | 피심인은 ‘보험계약 상담’ 목적으로 이용자의 정보를 보유할 필요가 있었고, 보험업계가 행정안전부·금융위원회·금융감독원과 협의하여 마련한 표준동의서에 따라 이용자의 동의를 받고 개인정보를 처리하고 있었으며, 한국신용정보원과 보험개발원의 조회 동의 점검에 대응하기 위해 1년간 보유했어야 하는 등 행위 사실이 위법하지 않다고 오인할만한 정당한 사유가 있었음을 고려해 달라고 하였다. | 피심인이 주장하는 예상 보험료 산출에 기반한 이용자 상담 내지 안내의 업무 목적을 감안하더라도 이용자에게 보험료 계산값이 지속적으로 유효하지 않은 점 등을 고려하였을 때 1년간 해당 정보를 보유할 필요성이 있다고 볼 수 없고, 다이렉트 자동차 보험 가입 과정에서 홈페이지 및 앱을 통해서만 개인정보 수집 등 절차를 진행하고 있는바, 한국신용정보원의 동의 수령 여부 확인‧점검 대응을 위해 이를 1년간 보관할 필요성이 있다고 보기도 어렵다. 다만, 당시 행정안전부, 금융위원회, 금융감독원이 협의하여 손해보험협회가 배포한 표준동의서를 그대로 활용하면서 부당성에 대한 인식 없이 오랜 관행으로 운영되어 온 점, 모든 보험사가 동일한 점 … 피심인의 행위는 질서위반행위규제법 제8조(위법성의 착오)에 따라 자신의 행위가 위법하지 아니한 것으로 오인한 것에 정당한 이유가 있는 것으로 판단한다. |
| 2024-09-25 제2024-016-235호 원문 ↗ 비실명 과징금 3억 7,900만 원 산정 근거 1차 가중 50% · 2차 감경 30% | 국외 이전의 적법 근거 기타 | 불수용 | 피심인은 국외 사업자로서 개인정보를 국외에서 직접 수집하므로 개인정보가 국외로 이전되는 것이 아니하고 주장하며, 설령 개인정보의 국외 이전에 해당하더라도 현재는 법정 고지사항을 처리방침에 공개하는 등 개인정보를 적법하게 국외로 이전하고 있다고 주장한다. … | 그러나, 피심인은 국내 이용자의 개인정보를 ( ) 등 다른 국외 사업자에게 처리위탁·보관(이전)하고 있으며, 이는 보호법 상 명백히 개인정보의 국외 이전에 해당한다. 특히, 위원회 조사 시점에는 개인정보의 국외 이전 관련 보호법상 고지사항이 전부 누락되어 있었으며, 일부 개선된 개인정보 처리방침도 피심인의 해외 자회사인와 구분하지 않고 수립·공개하고 있어 개인정보의 국외 이전 등 개인정보 처리에 관한 내용을 정보주체가 쉽게 확인할 수 없는바, 현재는 개인정보를 적법하게 국외로 이전하고 있다고 하는 주장 또한 인정할 수 없다. |
| 2024-09-25 제2024-016-235호 원문 ↗ 비실명 | 과징금 산정 과징금 산정 — 관련 매출액 | 불수용 | 피심인은 앱 가입자 명 중 한국 국적 가입자는 명(약. %, ’.. .기준)이므로, 피심인의 전체 매출에서 해당 비율을 곱한 금액만 과징금 부과의 기준 금액으로 산정되어야 한다고 주장한다. | 그러나, 피심인의 매출은 특정 범주의 정보주체에 대한 재화의 판매 또는 광고 수익 등을 통해 발생하는 것이 아니라, 모두 이 전 세계 이용자를 대상으로 제공하는 서비스의 업무위탁 대가로서 발생하고 있으므로, 특정 국가의 가입자 수의 다과와 직접적으로 연동되거나 비례적으로 증감한다고 볼 수 없어, 한국 가입자 비율을 곱한 금액이 아닌 전체매출액을 기준금액으로 산정한다. … |
| 2024-09-25 제2024-016-234호 원문 ↗ 비실명 과징금 7억 2,500만 원 산정 근거 1차 가중 25% · 2차 감경 30% | 민감정보 처리의 적법 근거 개인정보가 아니다 | 불수용 | 피심인은 가 ( ), ( ) ( ) 등의 비식별 처리를 거친 보호법 상의 ‘익명정보’로서 개인정보에 해당하지 않으며 … 설령 를 민감정보로 보더라도 동의를 거쳐 적법하게 처리하고 있다고 주장한다. | 그러나, 피심인이 생성·수집한 는 개인의 신체적 특징( )에 관한 정보로서 특정 개인을 알아볼 목적(기인증 여부 검증)으로 일정한 기술적 수단(알고리즘으로 변환)을 통해 생성한 보호법상 민감정보인 생체인식정보 정의에 그대로 부합하며, 피심인은 가 원본 이미지로의 복원이 어렵다고 주장하나, 보호법상 생체인식정보의 개인(민감)정보 여부는 원본 정보로의 복원 여부를 기준으로 판단하는 것이 아니라 개개인의 유일성을 표현하는지 여부 및 이를 통해 개인을 인증·식별할 목적으로 처리되는지를 기준으로 판단하여야 한다. … |
| 2024-09-25 제2024-016-234호 원문 ↗ 비실명 | 국외 이전의 적법 근거 기타 | 불수용 | 피심인은 국외 사업자로서 를 국외에서 직접 수집하므로 개인정보가 국외로 이전되는 것이 아니하고 주장하며, 설령 개인정보의 국외 이전에 해당하더라도 현재는 법정 고지사항을 처리방침에 공개하는 등 개인정보( 등)를 적법하게 국외로 이전하고 있다고 주장한다. … | 그러나, 피심인은 국내 이용자의 개인정보를 다른 국외 사업자(, 등)에게 처리위탁 및 보관하고 있으며, 이는 보호법상 명백히 개인정보의 국외 이전에 해당한다. … |
| 2024-09-25 제2024-016-234호 원문 ↗ 비실명 | 과징금 산정 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 자신이 영리 목적이 없고 위반행위를 통해 어떠한 이득도 취한 바 없으며, 과징금 부과 원인이 되는 2개의 위반행위는 ‘ 처리’라는 하나의 행위에 해당하므로「개인정보보호 법규 위반에 대한 과징금 부과기준」(이하 ‘과징금 부과기준’) 제5조제2항에 따라 각 위반행위 별로 산정된 과징금 중 더 높은 금액의 과징금만 부과되어야 한다고 주장한다. | 피심인은 비영리법인으로 매출은 자산 성격인 를 에 따라 (, )에게 제공하는 과정 등에서 발생한 것이며, 그 외 매출은 확인되지 않았다. 따라서, 외관상 피심인의 매출은 존재하나, 법인에 등을 판매한 매출은 이용자에게 제공하는 서비스 및 의 생성·수집과는 별개의 성격이며, 이는 ‘전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 결과 산정된 매출액이 없는 경우(시행령 §60의2②, 과징금 부과기준 §6③ 제2호)’ 및 ‘매출액이 없거나 매출액의 산정이 곤란한 경우(보호법 §64의2①)’에 해당하므로 정액과징금을 부과한다. … |
| 2024-07-24 제2024-013-192호 원문 ↗ 비실명 과징금 19억 7,800만 원 과태료 780만 원 산정 근거 1차 가중 50% · 2차 가중 20% · 2차 감경 30% | 국외 이전의 적법 근거 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 법정 고지사항 중 일부 항목을 누락 하였을 뿐이며, 이는 과징금 부과 사유에 해당하지 않는다고 주장한다. 특히 국가, 연락처 두 가지 항목만 누락하였으며, 누락한 항목은 이용자가 구매 진행화면에서 업체 정보 등을 통해 확인할 수 있었고, 중개서비스 사업의 특성상 이용자는 자신의 개인정보가 판매자에게 제공될 수 있었음을 예측 가능하였다고 주장한다. | 그러나, 보호법은 개인정보의 국외이전을 원칙적으로 금지한 후 정보주체의 동의 등 특정 요건을 갖춘 경우에만 허용하고 있어 이때의 동의는 법이 정한 고지사항을 충실히 갖춰 실질적 동의를 받아야 하는 사안이다. 보호법 체계상 제28조의8제2항의 법정 고지사항은 그 자체로 독립적으로 적용되기보다 정보주체의 동의 등 특정 요건에 수반 및 결합되어 그 적법 여부를 판단하는 주요한 요소이므로, 국외이전 동의시 알려야 하는 사항을 충실히 알리지 않아 동의를 받았다고 볼 수 없다고 판단될 경우 동의 의무 위반으로 과징금 부과 대상이 된다. … |
| 2024-07-24 제2024-013-192호 원문 ↗ 비실명 | 국외 이전 시 보호조치 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 이용자 개인정보 보호조치에 관한 내용을 해외 판매자와의 계약 등에 포함시켰고, 판매자의 아이디‧비밀번호만을 사용하여 판매자 시스템에 로그인할 수 있도록 한 것만으로 안전성 확보조치를 위반하였다고 보기 어렵다고 주장한다. | 그러나, 통상 국내 사업자는 국내 판매자에게 개인정보를 제공할 때 법령에 따른 조치는 물론 ‘목적 외 이용금지’, ‘목적 달성 시 파기’ 등 보호법 준수와 관련한 약관을 마련하고 별도로 교육 등을 진행하는 경우도 있으며, 판매자가 시스템에 접속하는 경우 아이디, 비밀번호 외에 안전한 인증수단을 도입하고 있다. 피심인은 판매자와 체결하는 약관에 이러한 내용을 포함하지 않았고, 위원회 조사 과정에서 판매자에게 관련 보호조치를 안내하기 시작한바, 피심인의 주장은 수용하기 어렵다. |
| 2024-05-08 제2024-008-182호 원문 ↗ (주)골프존 과징금 75억 400만 원 과태료 540만 원 산정 근거 1차 가중 50% · 1차 감경 30% · 2차 감경 30% 소송 서울행정법원 1심 원고패 · 1심 선고(항소 여부 미확인) | 개인정보 유출 및 안전조치의무 위반 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인의 파일서버는 개인정보를 처리하기 위한 목적으로 구성된 시스템도 아니고 데이터베이스와 연동되어 있지 않으므로 고시상(제5조제1항, 제6조제1항제1호 및 제2호, 제6조제2항 등) 각종 안전성 확보조치 적용 대상이 되는 개인정보처리시스템에 해당하지 않는다고 주장한다. … | 위원회는 피심인의 파일서버를 공유설정 등을 통해 공개‧유출 가능한 요인을 점검하고 이를 방지하기 위한 조치를 취해야 하는 기기 등에 해당하는 것으로 보고, 이에 대한 어떠한 보호조치도 하지 않은 피심인이 고시 제6조제3항을 위반한 것으로 판단하였으며, 그 판단은 파일서버의 개인정보처리시스템 여부와 전혀 무관하다. 오히려, 피심인의 주장은 파일서버에 221만 명의 개인정보와 주민등록번호 등 중요 개인정보를 보관하고 있음에도 개인정보처리시스템인 경우 적용하여야 하는 안전조치를 적용하지 않았다는 것을 자인하는 것으로 볼 수 있다. … |
| 2024-05-08 제2024-008-182호 원문 ↗ (주)골프존 | 과징금 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 준회원과 통합회원의 개인정보 처리로 매출액이 발생하기 때문에 준회원 또는 통합회원의 개인정보 처리가 발생하는 매출액 외의 매출액을 전체 매출액에서 제외하여야 한다고 하면서, 스크린골프 사업자들에게 시뮬레이터를 판매하여 발생하는 매출은 사업자들로부터 발생하는 매출로 개인정보의 처리가 발생하지 않으며 서비스 이용이 아닌 기기의 판매에서 발생하는 매출이라는 점에서 제외되어야 한다고 주장한다. … | 피심인이 국내에서 제공하는 스크린골프 서비스는 이용자들이 피심인의 웹사이트 또는 앱(Golfzon, GDR 등)을 통해 회원으로 가입하여 스크린골프장 등에서 시뮬레이터로 로그인한 후 서비스를 이용하고, 시뮬레이터를 통해서 처리되는 경기 결과, 스윙 영상 등 서비스 이용 결과를 이용자가 다시 웹사이트 또는 앱에서 볼 수 있으므로, 시뮬레이터가 개인정보를 이용한 서비스와 별개의 것으로 보기 어렵다. … |
| 2024-05-08 제2024-008-182호 원문 ↗ (주)골프존 | 위반행위 기간 과징금 산정 — 위반기간 | 불수용 | 피심인은 개인정보 유출 사고가 2023년 11월 23일 해커의 공격으로 발생하여 위반 기간이 1년을 초과하지 않는다고 주장한다. | 보호법 제64조의2제1항제9호는 안전조치의무를 다한 경우, 과징금을 부과하지 않도록 규정하고, 기존 개인정보 유출 사고에 대한 선례 또한 일관되게 안전조치의무 위반행위의 기간을 위반행위 기간으로 산정한바, 피심인의 주장을 불수용한다. 법률 해석은 문리해석을 원칙으로 하되, 입법 취지와 목적, 개정연혁, 다른 법령과의 관계 등을 고려하는 체계적‧논리적 해석을 보충적으로 할 수 있다. … |
| 2024-05-08 제2024-008-182호 원문 ↗ (주)골프존 | 과징금·과태료 감경사유 과징금 산정 — 그 밖의 사유 | 수용 | 피심인은 현장 조사 및 비대면 조사에 성실히 임하였으며, 자료제출 요구에도 적시에 응하는 등 일관되게 행위 사실을 인정하면서 위법성 판단에 도움이 되는 자료를 제출하거나 진술하는 등 조사에 적극 협력하였으므로 감경 사유에 해당한다고 주장한다. | 피심인이 조사 기간에 위원회의 현장 조사와 자료제출 요구에 대체로 성실히 응하고 행위 사실을 인정한바, 조사에 협력한 것이 인정된다. |
| 2024-03-27 제2024-006-172호 원문 ↗ 비실명 | 한국 보호법 관할이 아니라는 주장 기타 | 불수용 판단 내용으로 읽음 | 피심인은 LLM 학습 목적의 공개된 정보 수집 및 이용은 모두 한국 영토 밖에서 이뤄지고, 국내 정보주체에게 ‘직접적이고 상당하며 합리적으로 예측 가능한’ 영향을 미치지 않으며, 오픈 소스 형태로 제공 중인데 이를 제3자(예 : 한국의 개발자)가 다운로드해 사용할 수는 있으나, 관련 통제 조치 및 의무를 준수할 책임은 해당 제3자에게 있다고 주장한다. … | 피심인의 LLM은 한국어에 최적화되어 있지 않다고 하지만 한국어로 답변할 수 있고, 한국의 웹사이트를 배제하지 않고 크롤링한 데이터를 학습한 것이 확인된다. 또한, 이를 오픈 소스 형태로 배포하여 누구나 피심인의 LLM 기반 서비스를 만들 수 있도록 하였고, 오픈 소스 머신러닝 모델을 클라우드 API를 통해 실행하는 플랫폼에서 이를 사용해 볼 수도 있으며, 실제 한국에서 피심인의 LLM을 미세 조정한 모델을 개발한 것이 확인된다. … |
| 2024-03-27 제2024-006-172호 원문 ↗ 비실명 | 보호법 제15조 제1항 위반이 아니라는 주장 개인정보가 아니다 | 불수용 판단 내용으로 읽음 | 피심인은 해당 개인정보의 경우 정보주체가 공개한 정보로서 대부분 민감하지 않아 객관적 동의 의사가 있었다고 볼 수 있으며, 그렇지 않다 하더라도 사생활 침해 가능성은 낮은 반면 일반 공중‧사회에 제공하는 편익‧복지는 매우 큰 점을 고려해 줄 것을 요청하였다. … | 피심인은 정보주체의 객관적인 동의 의사가 추단되거나 정당한 이익이 있다고 주장하나, 이에 대해서는 앞서 위법성 판단 시 검토한 바와 같이 고유식별정보 등 개인정보는 관리자 또는 이용자의 부주의, 설계 또는 개발 오류, 검색엔진 등을 통해 정보주체의 의사와 무관하게 수시 노출되므로 동의 의사가 추단될 수 없으며, AI 서비스를 통한 노출 등 침해 가능성을 배제하기 어려운바, 해당 정보에 대한 강화된 조치가 필요하다고 보았다. … 다만, 이번 점검은 사전 실태점검 방식으로 진행된바, 피심인이 학습데이터를 수집한 Common Crawl에 개인정보가 포함되어 있고 LLM 학습에 해당 정보를 사용하고 있다는 것만 확인하였을 뿐 … 실제 국내 정보주체의 개인정보가 유‧노출로까지 이어진 사례는 아직 확인되지 않는다. … |
| 2024-03-27 제2024-006-170호 원문 ↗ 비실명 | 개인정보처리자가 아니라는 주장 의무 주체가 아니다 | 불수용 | 피심인은 공개된 데이터에 포함된 개인정보에 대하여 개인정보파일을 운용하고 있지 않으며, 공개된 데이터에 포함된 개인정보를 우연히 처리하는 것에 불과하므로 개인정보 처리의 일정한 목적성이 인정되지 않으므로 개인정보처리자에 해당하지 않는다고 주장한다. | 피심인은 LLM 모델 기반 AI 서비스 제공을 위해 서비스 이용자의 개인정보를 수집‧이용하는 개인정보처리자로 이는 논란의 여지가 없다. 또한, 피심인은 LLM 모델을 개발하기 위해 수집한 공개된 데이터에 개인정보가 포함된 것을 알고 있고, LLM 학습 과정은 알고리즘(일정한 규칙)에 따라 정보를 암기‧처리하는 방식으로, 그 결과 생성된 AI 모델을 통해 개인정보를 쉽게 검색할 수도 있으며, AI 서비스 이용자가 서비스 이용 과정에서 개인을 검색하거나 식별할 의도를 충분히 가질 수 있으므로, ‘개인정보파일’에 해당할 수 있다. … |
| 2024-03-27 제2024-006-170호 원문 ↗ 비실명 | 보호법 제15조 제1항 위반이 아니라는 주장 개인정보가 아니다 | 불수용 판단 내용으로 읽음 | 피심인은 해당 개인정보의 경우 정보주체가 공개한 정보로서 대부분 민감하지 않아 객관적 동의 의사가 있었다고 볼 수 있으며, 그렇지 않다 하더라도 사생활 침해 가능성은 낮은 반면 일반 공중‧사회에 제공하는 편익‧복지는 매우 큰 점을 고려해 줄 것을 요청하였다. … | 피심인은 정보주체의 객관적인 동의 의사가 추단되거나 정당한 이익이 있다고 주장하나, 이에 대해서는 앞서 위법성 판단 시 검토한 바와 같이 고유식별정보 등 개인정보는 관리자 또는 이용자의 부주의, 설계 또는 개발 오류, 검색엔진 등을 통해 정보주체의 의사와 무관하게 수시 노출되므로 동의 의사가 추단될 수 없으며, AI 서비스를 통한 노출 등 침해 가능성을 배제하기 어려운바, 해당 정보에 대한 강화된 조치가 필요하다고 보았다. … 다만, 이번 점검은 사전 실태점검 방식으로 진행된바, 피심인이 학습데이터를 수집한 Common Crawl에 개인정보가 포함되어 있고 LLM 학습에 해당 정보를 사용하고 있다는 것만 확인하였을 뿐 … 실제 국내 정보주체의 개인정보가 유‧노출로까지 이어진 사례는 아직 확인되지 않는다. … |
| 2024-03-27 제2024-006-169호 원문 ↗ 비실명 | 개인정보처리자가 아니라는 주장 의무 주체가 아니다 | 불수용 판단 내용으로 읽음 | 피심인은 공개된 데이터에 포함된 개인정보에 대하여 개인정보파일을 운용하고 있지 않으며, 공개된 데이터에 포함된 개인정보를 우연히 처리하는 것에 불과하므로 개인정보 처리의 일정한 목적성이 인정되지 않으므로 개인정보처리자에 해당하지 않는다고 주장한다. | 피심인은 LLM 모델 기반 AI 서비스 제공을 위해 서비스 이용자의 개인정보를 수집‧이용하는 개인정보처리자로 이는 논란의 여지가 없다. 또한, 피심인은 LLM 모델을 개발하기 위해 수집한 공개된 데이터에 개인정보가 포함된 것을 알고 있고, LLM 학습 과정은 알고리즘(일정한 규칙)에 따라 정보를 암기‧처리하는 방식으로, 그 결과 생성된 AI 모델을 통해 개인정보를 쉽게 검색할 수도 있으며, AI 서비스 이용자가 서비스 이용 과정에서 개인을 검색하거나 식별할 의도를 충분히 가질 수 있으므로, ‘개인정보파일’에 해당할 수 있다. … |
| 2024-03-27 제2024-006-169호 원문 ↗ 비실명 | 보호법 제15조 제1항 위반이 아니라는 주장 개인정보가 아니다 | 불수용 판단 내용으로 읽음 | 피심인은 해당 개인정보의 경우 정보주체가 공개한 정보로서 대부분 민감하지 않아 객관적 동의 의사가 있었다고 볼 수 있으며, 그렇지 않다 하더라도 사생활 침해 가능성은 낮은 반면 일반 공중‧사회에 제공하는 편익‧복지는 매우 큰 점을 고려해 줄 것을 요청하였다. … | 피심인은 정보주체의 객관적인 동의 의사가 추단되거나 정당한 이익이 있다고 주장하나, 이에 대해서는 앞서 위법성 판단 시 검토한 바와 같이 고유식별정보 등 개인정보는 관리자 또는 이용자의 부주의, 설계 또는 개발 오류, 검색엔진 등을 통해 정보주체의 의사와 무관하게 수시 노출되므로 동의 의사가 추단될 수 없으며, AI 서비스를 통한 노출 등 침해 가능성을 배제하기 어려운바, 해당 정보에 대한 강화된 조치가 필요하다고 보았다. … 다만, 이번 점검은 사전 실태점검 방식으로 진행된바, 피심인이 학습데이터를 수집한 Common Crawl에 개인정보가 포함되어 있고 LLM 학습에 해당 정보를 사용하고 있다는 것만 확인하였을 뿐 … 실제 국내 정보주체의 개인정보가 유‧노출로까지 이어진 사례는 아직 확인되지 않는다. … |
| 2024-03-27 제2024-006-164호 원문 ↗ 비실명 과태료 1,020만 원 | 개인정보 유출 및 안전조치의무 위반 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 이 사건 개인정보 유출사고가 발생한 서비스를 통하여 개인정보를 수집하지 아니하였고, 오프라인 강의의 부수적·보조적 수단으로 운영하여 舊 보호법상 정보통신서비스 제공자에 해당하지 않아 제39조의4제1항에 따른 24시간 이내 유출 통지·신고의무와 제39조의15제1항제5호에 따른 과징금 부담의 책임을 지지 않는다고 주장한다. | 피심인은 교육 서비스를 제공하기 위해 현장 강의와 구분하여 웹사이트를 개설하고 강의 영상 등을 게시·공유하여 정보통신망을 통해 정보를 제공하였으며, 수강생의 개인정보를 이용하여 회원 계정을 생성하여 지급하고, 수강생은 영상을 시청하는 등 서비스를 이용하여 정보통신서비스 이용관계가 성립하므로 피심인은 舊 보호법상 정보통신서비스 제공자에 해당하여 제39조의4 제1항에 따른 24시간 이내 유출 통지·신고의무와 제39조의15제1항제5호에 따른 과징금 부담의 책임을 진다. |
| 2024-03-27 제2024-006-164호 원문 ↗ 비실명 | 과징금·과태료 산정 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 를 통하여 매출이 발생하지 않아 본건 위반행위는 매출액이 없는 경우에 해당하여 정액과징금 대상이라고 주장하며, 최근 3년간 법 제39조의15제1항 각 호에 해당하는 행위로 과징금 처분을 받은 적이 없는 경우로 최초 위반행위인 점 및 조사 적극 협력 등 감경을 요청하고, 과태료 산정과 관련하여, 정보주체에게 피해가 발생하지 않았으며 조사협조 및 자진시정 등 감경을 요청하였다. | 피심인의 위반행위가 발생한 정보통신서비스는 과금체계가 없는 등 매출이 있다고 보기 어려우므로, 정액과징금 대상이라는 주장은 수용한다. 다만, 피심인은 위원회 자료제출 요구에 대해 회신하였으나 일부 누락된 자료가 있어 수차례 자료제출 요구가 이루어지는 등 성실하고 충실한 답변 및 조사에 협조하였다고 보기 어려우므로, 조사에 적극 협력하였다는 피심인의 주장을 수용하지 않는다. |
| 2024-02-14 제2024-003-030호 원문 ↗ TAG HEUER branch of LVMH Swiss Manufactures SA 과징금 1억 2,600만 원 과태료 780만 원 산정 근거 1차 감경 50% · 2차 감경 10% | 개인정보 유출 및 안전조치의무 위반 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 이 사건 개인정보 유출사고는 담당자의 사소한 실수로 인해 발생한 것으로 다른 서버나 시스템에 아무런 영향을 미치지 못한 경미한 사고이고 실질적인 피해가 발생한 것으로 보기 어려우며, 이득을 얻거나 얻으려고 한 목적도 없다고 주장한다. | 피심인이 접근통제 조치가 약 11개월(2019.12.1.∼2020.10.29.) 동안 적용되지 않은 사실을 알지 못한 것은 단순 담당자의 실수로 보기 어려우며, 해커에게 개인정보가 유출된 사실이 경미하거나, 이용자에게 실질적 피해가 발생하지 않았다고 볼 수 없으므로 피심인의 주장을 불수용한다. |
| 2024-02-14 제2024-003-030호 원문 ↗ TAG HEUER branch of LVMH Swiss Manufactures SA | 과징금·과태료 산정 과징금 산정 — 그 밖의 사유 | 일부수용 | 피심인은 안전조치 관련 위반행위가 경미하여 과징금‧과태료 면제에 해당하거나 감경 대상이고, 과징금은 부과되더라도 정액 과징금 대상이며, 보통 위반행위 및 조사 적극 협력, 자진신고, 개인정보 보호를 위한 노력 등에 대한 추가적 감경을 요청하였다. | 피심인의 위반행위가 종료된 2020년 10월 29일 이전에는 웹사이트를 통한 시계 판매가 없어 관련 매출이 발생하지 않는 등 정보통신서비스의 매출이 있다고 보기 어려우므로, 정액 과징금 부과 대상이라는 주장은 수용한다. 다만, 안전조치를 위반하여 해커에게 개인정보가 유출된 사안이 경미하거나 중과실이 없다고 볼 수 없으며, 유출 당시 기준 보유한 한국 이용자 명 중 명(. %)의 개인정보가 유출되어 중대한 위반행위에 해당한다. … |
| 2024-02-14 제2024-003-030호 원문 ↗ TAG HEUER branch of LVMH Swiss Manufactures SA | 공표 처분 고의·과실이 없다 | 불수용 | 피심인은 공표 처분과 관련하여 고의성이 없고, 개인정보의 침해 정도나 피해 규모가 크지 않으며, 추가 피해 방지를 위한 조치를 완료한 점 등을 고려해줄 것을 요청하였다. | 개인정보 침해의 정도 및 피해규모를 고려하였을 때, 피심인의 위반행위가 경미하다고 보기 어려우며, 舊 ｢개인정보 보호위원회 처분 결과 공표기준｣ 제2조에 따른 공표요건에 해당하여 피심인의 요청을 불수용한다. |
| 2023-11-22 제2023-019-241호 원문 ↗ 비실명 과태료 360만 원 | 필요한 최소한의 개인정보 기타 | 불수용 | 피심인은 14세 이상 여부의 확인 및 외국인 고객 응대를 위해 생년월일과 거주지역(국가) 정보가 필요하며, 동시 입장 고객 수를 효율적으로 관리하고 코로나19 방역을 위해 동행인의 개인정보가 필요하다고 주장하였다. | 만14세 이상 여부 확인을 위해 모든 대기고객의 생년월일을 수집하고 저장할 필요는 없고, 외국인 고객 응대는 거주지역 또는 사용언어를 선택정보로 수집하여도 목적을 달성할 수 있으므로 피심인이 생년월일과 거주지역을 필수적으로 수집하는 합리적 사유로 인정하기 어렵다. 매장에 입장하는 고객의 수를 예측하고 관리하는 목적은 동행인의 수를 수집하는 방법으로도 달성할 수 있고, 방역 패스 의무화 방침의 종료로 코로나19 관련 주장도 수용하기 어렵다. |
| 2023-11-22 제2023-019-241호 원문 ↗ 비실명 | 과태료 감경 과태료 산정 | 수용 | 법 위반상태로 지적된 사항들을 신속하게 자진시정 완료한 점, 위원회의 사실조사에 성실히 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 사실이 있는 점을 감안하여 감경을 요청하였다. | 피심인이 자진시정 완료한 점, 조사에 협조한 점, 정보보호 관리체계(ISMS)인증을 받은 점 등에 대해서는 감경을 인정한다. |
| 2023-11-22 제2023-019-241호 원문 ↗ 비실명 | 공표 기타 | 불수용 | 피심인이 과도한 개인정보 수집을 통해 이익을 취하려 한 사안이 아닌 점, 정보주체의 사생활과 관련되거나 민감한 정보는 포함되지 않은 점, 정보주체에게 특별한 피해가 발생되지 않은 점 등을 고려했을 때, 위반 사실 공표 시 피심인의 이미지나 평판에 심대한 손상 등 가혹한 결과를 초래하므로 공표 처분 재고를 요청하였다. | 피심인의 위반행위는 舊 개인정보보호위원회 처분결과 공표기준 (이하 ‘舊 공표 기준’) 제2조(공표요건)에 해당하여 피심인의 주장을 불수용한다. |
| 2023-10-25 제2023-017-216호 원문 ↗ 비실명 과징금 9억 600만 원 과태료 1,620만 원 산정 근거 1차 가중 50% · 1차 감경 50% · 2차 감경 10% | 개인정보의 안전조치의무 위반 의무 이행 주장 — 안전조치를 했다 | 불수용 | 피심인은 개별적 조치에 일부 미흡한 사항들이 발견되더라도, 전체적으로 사고발생을 방지하기 위한 보안조치를 성실하게 취한 경우 제29조의 안전조치의무를 위반하지 않은 것으로 판단하여야 한다고 주장한다. 이와 관련하여 피심인은 ISO 27001 를 비롯한 다수의 정보보호 인증을 취득하고 PCI 및 FIDO 등 결제 및 로그인에 관한 국제 보안 표준 마련 하였음을 소명하였다. … | 피심인의 소명을 검토하였을 때, 피심인이 다수의 정보보호 인증을 취득하고, 개인정보 유출 방지 등을 위해 다양한 보호조치를 하였으며, PCI 및 FIDO 등 정보보호 관련 국제 보안 표준 마련에 기여하는 등 피심인의 정보보호 노력은 인정할 수 있다. … |
| 2023-10-25 제2023-017-216호 원문 ↗ 비실명 | 과징금 부과 시 매출액 산정 관련 과징금 산정 — 관련 매출액 | 일부수용 | 피심인은 송금 기능 관련 매출액을 별도로 제출하고, 직원 피싱 및 크리덴셜 스터핑과 관련한 매출액은 없다고 소명하였다. 또한, 피심인은 고의‧중과실이 없고, 어떠한 이익을 얻지도 않았으며, 피해를 시정하기 위해 상당한 자원을 투자한 점, 위반행위로 처벌받은 적이 없는 점, 조사에 적극 협력한 점 등을 고려해줄 것을 요청하였다. | 크리덴셜 스터핑과 관련한 매출액이 없다는 주장과 관련하여 대법원은 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 범위는 유출사고가 발생한 개인정보를 보유‧관리하고 있는 서비스의 범위를 기준으로 판단”하여야 한다고 판시하였다. 따라서 이 사건 개인정보 유출사고가 발생한 개인정보를 보유‧관리하고 있는 서비스는 서비스이므로 피심인의 주장은 타당하지 않다. 다만, 피심인이 자료제출 요구 등 조사에 적극 협력한 점은 인정되므로, 과징금 산정 시 이를 반영하여 추가적으로 감경한다. |
| 2023-07-26 제2023-013-157호 원문 ↗ 비실명 과태료 360만 원 | 쟁점 표제 없음 위반 인정 — 감경·선처만 요청 | 결정문 미기재 | 피심인은 위반행위를 인정하며, 과태료 감경 등 선처를 요청하였다. | — |
| 2023-07-26 제2023-013-155호 원문 ↗ 비실명 과징금 액수 비공개 산정 근거 1차 가중 50% | 를 대상으로 한 조사 결과는 피심인에게 처분을 내리는 근거가 될 수 없다는 주장 기타 | 불수용 | 피심인은 위원회 조사·처분 규정 제10조의2 에 따라 를 조사하면서 확인한 정보는 다른 사업자에 대한 제재 근거가 될 수 없다고 주장하며 사전통지서상 타사 행태정보 수집 기간 및 수는 조사 불충분 및 적법절차를 거치지 않았다는 점을 보여주는 예시라고 주장한다. | 그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집‧이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건으로 사건번호도 같고, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였으며, 특히, 피심인은 가 지분 전량을 소유하고 있고, 소재지도 같으며, 2022년 4월 18일 는 자료 제출과정에서 피심인과 협의하였다고 답변하기도 한바, 피심인의 해당 주장은 타당하지 않다. … |
| 2023-07-26 제2023-013-155호 원문 ↗ 비실명 | 의견제출 기한 연장을 불허한 것은 정당한 절차를 결여하였고, 방어권 행사 기회를 박탈한 것이라는 주장 기타 | 불수용 | 피심인은 의견제출에 있어 2주는 불충분한 기간이고, 행위 시점으로부터 5년 이상 지났으며 번역, 시차와 같은 내부 검토 및 승인에 어려움이 있다고 주장한다. 또한, 피심인은 사전통지서에 기재된 연장 불가 사유 중 2022년 9월 14일 의 동일 사실관계에 대한 위법성을 판단한 바 있다는 내용은 피심인이 별도 법인이라는 점을 간과하고 검증 없이 서비스가 2015년부터 동일한 것으로 전제하는 문제가 있다고 주장한다. | 그러나, 위원회는 피심인에 조사·처분 규정에 따라 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다. 또한, 피심인은 2015년부터 픽셀·SDK 등을 통해 타사 행태정보를 수집한 것을 인정하였는바, 2022년 사전통지서상 사실관계와 차이가 없으며, 특히, 통지한 조사 결과에 대해 구체적인 의견을 제시 또는 반박 없이, 확인되지 않은 사실 또는 근거 제시가 없다는 막연한 주장은 수용하기 곤란하다. |
| 2023-07-26 제2023-013-154호 원문 ↗ 비실명 과징금 액수 비공개 산정 근거 1차 가중 50% | 피심인에 대한 조사의 수행을 누락하였다는 주장 기타 | 불수용 | 피심인은 2022년 사전통지가 회사에 통지되기 전까지, 회사는 어떠한 자료제출도 요구받지 않았고, 확인되지 않은 가정들에 근거하여, 회사에 대한 부당한 판단을 내렸으므로 적법절차의 원칙에 위배되고, 절차적 정당성을 완전히 상실한 것으로서, 정의 관념의 기본적 원칙에 명백히 위반하는 행위라고 주장한다. … | 그러나, 피심인은 2008년 10월 6일부터 2018년 7월 14일까지 한국에서 서비스를 제공하였고, 는 당시 다른 국가에서 서비스를 제공하였던 피심인의 모회사이다. 는 2010년 4월부터 이용자의 타사 행태정보를 수집하였다고 자료를 제출하였고, 피심인이 한국에 서비스를 제공하던 당시 서비스의 가입과정 및 데이터 정책 등은 피심인에게 다시 제출받지 않고도 확인 가능하였던바, 피심인이 이용자의 동의 없이 타사 행태정보를 수집‧이용한 위반행위는 충분히 입증되었다. … |
| 2023-07-26 제2023-013-154호 원문 ↗ 비실명 | 위원회가 별건 조사 자료의 이용 제한을 위반하였다는 주장 기타 | 불수용 | 피심인은 조사·처분 규정 제10조의2 및 보호법 제60조 제1호에 근거하여 에 대한 조사과정에서 알게 된 정보를 피심인에 대한 이 사건 사전통지 또는 처분을 내릴 목적으로 사용하는 것은 위법하다고 주장한다. | 그러나 에 대한 조사와 피심인에 대한 조사는 서비스의 타사 행태정보 수집·이용 관련 사실관계를 조사한 것으로 같은 서비스를 조사한 사건이며, 해당 사실관계에 대해 피심인에게 직접 확인하는 조사절차도 진행하였다. 따라서, 이 사건 사전통지 또는 처분을 내릴 목적으로 에 대한 조사과정에서 알게 된 정보를 사용한 것이 보호법 제60조 위반에 해당한다는 피심인의 주장은 타당하지 않다. |
| 2023-07-26 제2023-013-154호 원문 ↗ 비실명 | 이 사건 사전통지에 적용 법령을 누락, 오기재하였다는 주장 기타 | 불수용 판단 내용으로 읽음 | 피심인은 위원회가 사전통지의 적용법령에 처분하고자 하는 내용 일부에 대응하는 적용법령을 누락하였고, 정보통신망법의 연혁 법령을 기재하지 않아 방어권이 침해되었다고 주장한다. | 그러나 피심인에게 적용되는 법령을 별도 항목으로 구분하지 않았을 뿐 기재되어 있고, 정보통신망법 연혁 법령은 법조문 제정 이후 변경된 사실이 없어 방어권이 침해되었다고 보기 어려우나, 그럼에도 불구하고 정정하여 알려주고 의견제출 기한을 연장한 바 있다. |
| 2023-07-26 제2023-013-154호 원문 ↗ 비실명 | 행정조사 기본원칙을 위반하였다는 주장 기타 | 불수용 판단 내용으로 읽음 | 피심인은 에 더하여 한국에 서비스를 제공하지 않는 피심인에 대해 조사를 확대하는 것은 조사목적을 달성하는 데 필요한 최소한의 범위를 초과한 것으로 「행정조사기본법」 제4조 제1항 및 제4조 제4항에 위배된다고 주장한다. | 그러나, 위원회는 서비스의 타사 행태정보 수집·이용 관련 사실관계를 조사한 것이고, 조사과정에서 확인된 피심인의 위반행위를 처분하지 않는 것이 오히려 적법하지 않을 수 있다. |
| 2023-07-26 제2023-013-154호 원문 ↗ 비실명 | 제출기한 연장 불허는 절차적 정당성 결여 및 방어권 침해라는 주장 기타 | 불수용 | 피심인은 외국기업으로 사전통지에 대응하기 위해 모든 문서를 번역하고 다른 시간대에 있는 이해당사자들과 협의하는 데 2주 이상의 시간이 소요되므로 의견 제출 기한에 대한 연장은 불가하다고 명시한 것은 이례적이고 방어권을 심각하게 제한하며 절차적 정당성이 결여되었음을 보여주는 것이라고 주장한다. | 그러나 위원회는 조사·처분 규정에 따라 피심인에게 사전통지서에 대한 의견제출 기한을 14일(’23.5.31. 통지/’23.6.16. 限) 이상 부여하였는바, 절차상 하자가 있다고 볼 수 없다. 또한, 피심인은 법률대리인과의 계약 문제로 추가 행위에 관한 위임장 작성이 필요하다고 요청하여 2023년 6월 23일까지 의견제출 기한을 연장한 바 있다. |
| 2023-02-08 제2023-002-003호 원문 ↗ Meta Platforms, Inc 과태료 660만 원 소송 서울행정법원 1심 원고패 · 항소 중 | 타사 행태정보는 본질적 기능을 수행하기 위해 반드시 필요한 정보에 해당한다는 주장 기타 | 불수용 | 가. 이용자 관점에서의 SNS 이용 목적 등을 볼 때, 타사 행태정보를 이용한 ‘맞춤형 광고’를 본질적 기능으로 보기 어려움 피심인은 서비스 약관 등을 통해 맞춤형 광고에 대해 안내하고 있고, 맞춤형 광고가 서비스를 무료로 제공할 수 있는 재원을 마련함에 있어 본질적 기능에 해당한다고 주장하고 있다. | 그러나, 이용자는 일상생활을 지인과 공유하고 기록하기 위해 SNS를 이용하고 있을 뿐, 피심인이 제공하는 맞춤형 광고를 보기 위해 페이스북 및 인스타그램을 이용하는 것으로 볼 수 없다. 피심인이 해당 서비스를 이용함으로써 맞춤형 광고에 개인정보를 활용하는 것에 ‘동의’하는 것이라고 서비스 약관에 명시하고, 개인정보 처리방침 등을 통해 맞춤형 광고 관련 내용을 안내한 사실은 있으나, 서비스 약관 및 개인정보 처리방침에 기재된 방대한 내용을 이용자가 읽고 명확히 이해한 상태에서 동의할 것을 기대할 수 없다. … |
| 2023-02-08 제2023-002-003호 원문 ↗ Meta Platforms, Inc | 위원회 결정에 따른 잠재적 경제적, 정치적, 사회적 영향을 고려할 필요가 있다는 주장 기타 | 불수용 판단 내용으로 읽음 | 피심인은 이용자에게 타사 행태정보 수집에 대한 선택권을 부여하게 되면 실질적으로 타사 행태정보를 수집하지 못하게 될 것이라고 주장한다. | 위원회는 행태정보 수집 도구를 통해 다른 웹‧앱의 행태정보를 수집하는 것 자체를 금지하는 것이 아니며, 이용자 식별 기반의 타사 행태정보 수집‧이용 시 해당 이용자에게 선택권을 부여하라는 의미이므로, 그 주장은 전제가 잘못되어 있다. … |
| 2023-02-08 제2023-002-003호 원문 ↗ Meta Platforms, Inc | 절차적 쟁점에 대한 피심인의 주장 기타 | 불수용 판단 내용으로 읽음 | 가. 사전통지서에 사실관계가 기재되어 있지 않다는 주장 및 사실관계에 대한 조사를 진행하지 않았다는 주장은 사실과 다름 피심인은 사전통지서에 처분의 전제가 되는 사실관계가 기재되어 있지 않다고 주장한다. | 위원회는 2022년 8월 3일 피심인에게 발급한 사전통지서에 페이스북 및 인스타그램 등의 가입자가 다른 웹사이트 및 앱을 사용한 행태정보는 서비스의 본질적 기능을 수행하기 위하여 반드시 필요한 정보가 아님에도 그 정보를 제공하지 아니한다는 이유로 서비스 제공을 거부한 행위가 있었다고 사실관계를 명시하였다. … |
| 2022-09-14 제2022-014-104호 원문 ↗ Google Limited Liability Company 과징금 692억 4,100만 원 산정 근거 1차 가중 50% · 1차 감경 50% 소송 서울행정법원 1심 원고패 · 항소 중 | 행태정보를 수집하는 개인정보처리자는 “사업자”라는 주장 의무 주체가 아니다 | 불수용 판단 내용으로 읽음 | 피심인은 사업자가 웹‧앱 서비스를 제공하는 정보통신서비스 제공자이므로 해당 웹‧앱에 접속한 이용자의 행태정보는 사업자가 수집 주체라고 주장한다. | 피심인이 수집한 타사 행태정보는 피심인이 서비스를 제공하면서 정보통신서비스 이용관계(약관 동의 및 개인정보 수집‧이용 동의)를 맺고 계정을 생성한 이용자의 ‘온라인 활동기록’으로, 사업자와 해당 이용자 사이에 이용관계를 맺었는지 여부를 불문하고 피심인과의 이용관계에 따라 수집·이용된다. … |
| 2022-09-14 제2022-014-104호 원문 ↗ Google Limited Liability Company | 피심인이 타사 행태정보 수집‧이용에 대한 동의를 받았다는 주장 동의를 받았다 | 불수용 | 보호법 제39조의3 제1항 및 관련 법령 규정의 문언‧체계‧취지는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록 하기 위함이다. … | 피심인이 “옵션 더보기”에서 “웹 및 앱 활동”, “광고 개인 최적화”를 안내하고 선택권을 부여한 상황 등을 봤을 때, 피심인은 타사 행태정보의 특수성을 인지하였고 이용자의 명시적 동의가 필요하다는 점을 알고 있는 것으로 판단된다. 그럼에도 타사 행태정보 수집‧이용에 대한 명시적인 동의를 받지 않고, 기본 값을 ‘동의’로 설정한 후 이를 가려놓은 행위는 이용자의 개인정보 자기결정권 보다 피심인의 광고 수익 극대화를 우선순위로 둔 행위로 평가된다. … |
| 2022-09-14 제2022-014-104호 원문 ↗ Google Limited Liability Company | 사전통지서의 입장은 정책적 측면에서 심각한 문제가 있다는 의견 기타 | 불수용 | 피심인은 위원회가 동의 받을 주체에 대한 구체적 판단기준을 정립한 바 없고, 기준으로 삼을 수 있는 판례 또는 사례가 없다고 주장한다. | 방통위에서 ’17년 발간한 「온라인 맞춤형 광고 개인정보 보호 가이드라인」은 광고 사업자가 행태정보와 개인 식별정보를 결합할 경우에는 해당 이용자로부터 사전에 동의를 받아야 한다고 안내하고 있으며, 위원회가 ’20년 발간한 「온라인 개인정보 처리 가이드라인」에서도 동의 받는 주체가 이용자와 서비스 제공 계약을 맺은 자로서 쿠키를 통해 해당 이용자의 행태정보를 수집하는 자임을 전제하는 동시에 위 온라인 맞춤형 광고 개인정보보호 가이드라인을 참고하도록 하고 있다. … |
| 2022-09-14 제2022-014-104호 원문 ↗ Google Limited Liability Company | 과징금 부과와 관련한 의견 과징금 산정 — 그 밖의 사유 | 불수용 | 피심인은 행태정보가 개인정보에 해당하는지, 동의 받을 의무를 부담하는 주체가 누구인지 등에 관한 선결적인 쟁점에 대해 전혀 논의가 이루어지지 않은 상태에서 과징금을 부과하는 것은 부당하다고 주장한다. | 앞서 살펴본 바와 같이 「온라인 맞춤형 광고 개인정보 보호 가이드라인」 및 「온라인 개인정보 처리 가이드라인」에서 이미 안내하고 있던 사항으로, 피심인이 두 가지 선결적인 쟁점에 대해 전혀 논의가 이루어지지 않은 상태라고 주장하는 것은 사실과 부합하지 않는다. … |
| 2022-09-14 제2022-014-104호 원문 ↗ Google Limited Liability Company | 프랑스 CNIL의 처분(2019. 1. 21.자 CNIL 의결, 의결번호 SAN-2019-001)이 이번 위원회의 조사‧처분과 관련이 있는지 동의를 받았다 | 불수용 판단 내용으로 읽음 | 피심인은 “옵션 더보기”의 맞춤형 광고 설정이 미리 체크되어 있었던 부분 때문에 CNIL로부터 처분을 받았다는 것을 인정하면서, 이는 맞춤형 광고라는 특정한 목적에 대해 별도의 옵트인 동의를 받지 않아, CNIL이 GDPR에서 요구하는 구체적인 형식적 요건을 충족하지 못한다고 본 것이라고 답변하면서, 보호법은 이와 다르다고 주장하였다. | 그러나, CNIL은 단순 형식적 요건의 충족 여부를 본 것이 아니라, 여러 근거를 들어 구글의 주장을 반박한 것으로, 사용자는 수집되는 데이터의 성격과 양을 적절히 인식할 수도 없고, 맞춤형 광고 처리에 대한 정보제공이 사전에 충분히 이루어지지 않았으며, GDPR 제4조(11)에 따른 동의(진술 또는 명백한 적극적 행위를 통해 자유롭고, 구체적으로, 결과에 대해 인지하여 분명하게 나타낸 의사표시)가 없었다고 판단하고 있다. 따라서 CNIL의 판단은 ‘적법한 동의’ 여부를 조사함에 있어 참고할 여지가 있다. |
표에서 읽히는 것
- 위법성은 좀처럼 뒤집히지 않습니다. 안전조치를 이행했다는 주장은 판정된 13개 중 15%, 의무 주체가 아니라는 주장은 10개 중 20%만 일부라도 반영됐습니다. 위원회는 조사 단계에서 이미 자료를 확보한 상태이고, 항변 단계에서 새로 제출되는 것은 대개 평가의 문제이기 때문입니다.
- 액수는 다툴 여지가 큽니다. 관련 매출액의 범위, 위반행위와 직접 관련 없는 사업 부문의 매출 제외, 여러 유출을 하나의 위반행위로 볼 것인지 같은 산정 쟁점에서 피심인의 주장이 자주 반영됐습니다.
- 다만 산정 주장은 자료가 있어야 먹힙니다. 한국 가입자 비율만큼만 관련 매출이라고 주장했지만 매출이 가입자 수와 연동한다는 근거가 없어 전체 매출을 기준으로 삼은 사건이 있습니다(제2024-016-235호). 매출 구분을 미리 만들어 두지 않으면 주장할 수 없습니다.
- 위반을 인정하고 감경만 구하는 선택지가 실제로 쓰입니다. 다투지 않고 자진시정과 조사 협력을 근거로 선처를 요청한 사건이 있고, 그 사유들은 과징금 산정 근거 표의 감경 사유와 이어집니다.
- 판정을 낱말로 적지 않은 주장이 있습니다. 위원회가 「수용」「불수용」이라고 쓰지 않고 판단 문장만 적은 경우입니다. 그중 판단 문장이 결론을 분명히 적은 17개는 원문을 읽어 판정을 채우고 표에 「판단 내용으로 읽음」이라고 표시했습니다. 결론을 읽을 수 없는 1개는 「결정문 미기재」로 두고 수용률 분모에서 뺐습니다.
이 표를 읽을 때 조심할 것
- 분모가 제재 전체가 아닙니다. 항변 절을 둔 결정문만 대상이고, 그 절이 실렸다는 것 자체가 다툼이 있었다는 표시입니다. 나머지 사건에서 항변이 없었다는 뜻이 아니라 결정문이 그 절을 따로 두지 않았다는 뜻입니다.
- 다른 결정문에서 항변을 찾아 표본을 넓힐 수는 없었습니다. 결정문 전수를 읽으면 「처분의 사전통지 및 의견수렴」 절이 있는 630건 가운데 피심인이 의견을 냈다고 적힌 것이 599건입니다. 그러나 결정문이 그 의견의 내용까지 적은 것은 122건이고, 그중 117건은 위반을 인정하고 시정·선처를 구한 것이며 다툰 것은 5건입니다. 위원회가 받아들였는지를 적은 곳은 항변 절뿐이어서, 수용률은 항변 절이 있는 56건에서만 셀 수 있습니다.
- 주장의 종류는 우리가 붙인 축입니다. 쟁점 표제와 주장·판단 이유는 결정문 원문이지만, 그것을 묶어 세기 위한 분류는 이 표가 만든 것입니다.
- 한 사건의 판정이 다른 사건을 구속하지 않습니다. 위원회 의결에는 선례 구속력이 없습니다. 같은 종류의 주장이 반대로 판단된 예가 표 안에 있습니다.
함께 볼 자료
- 처분에 불복해 법원으로 간 뒤의 결과는 처분 취소소송 전수에 있습니다.
- 위원회가 배척한 주장이 법원에서는 어떻게 다뤄졌는지는 판결 18건 전수 검토에 있습니다.
- 과징금이 실제로 얼마나 오르내렸는지는 과징금 산정 근거 표에 있습니다.
- 무슨 행위로 처분을 받았는지는 위반행위 유형에 있습니다.
- 처분 전체를 조문·회사명으로 찾으려면 제재 추적기로 가십시오.
자주 묻는 질문
Q. 개인정보위 조사에서 의견을 내면 받아들여지나요?
무엇을 다투는지에 따라 크게 갈립니다. 결정문에 판정이 적힌 주장 140개를 보면 그대로 받아들여진 것이 10%, 일부라도 반영된 것이 43%입니다. 다만 종류별로 보면 과징금 산정의 기준이 되는 매출액 범위를 다투는 주장은 22개 중 73%가 전부 또는 일부 반영된 반면, 안전조치를 이행했다는 주장은 13개 중 15%, 자신이 의무 주체가 아니라는 주장은 10개 중 20%에 그쳤습니다. 위법성 자체를 뒤집기는 어렵고 액수를 줄이는 쪽이 훨씬 잘 먹힙니다.
Q. 위법성을 다투는 것과 과징금을 다투는 것 중 무엇이 유리한가요?
표에 나타난 결과만 보면 과징금 산정을 다투는 쪽입니다. 위원회는 위반 사실 자체에 대해서는 조사 결과를 유지하는 경향이 뚜렷하고, 반대로 관련 매출액의 범위, 위반행위와 직접 관련 없는 사업 부문의 매출 제외, 과징금 부과 횟수를 하나로 볼 것인지 같은 산정 쟁점에서는 피심인의 자료를 받아들여 기준금액을 조정한 예가 많습니다. 다만 산정 주장이 받아들여지려면 매출 구분의 근거 자료를 제시해야 합니다. 한국 가입자 비율만큼만 관련 매출이라고 주장했지만 매출이 가입자 수와 연동한다는 근거가 없어 전체 매출을 기준으로 삼은 사건이 있습니다.
Q. 이 수용률을 우리 사건의 승산으로 봐도 되나요?
그렇게 보시면 안 됩니다. 결정문 889건 가운데 「피심인의 주장에 대한 검토」 절을 따로 둔 것은 56건뿐입니다. 항변 절이 실렸다는 것은 다툼이 있었다는 뜻이므로 표본이 처음부터 한쪽으로 쏠려 있고, 나머지 사건에서 항변이 없었다는 뜻도 아닙니다. 이 표는 승률표가 아니라 어떤 종류의 주장이 어떤 이유로 배척되고 받아들여졌는지를 원문으로 보여주는 자료입니다.
Q. 위원회에서 진 뒤 소송으로 다투면 어떻게 되나요?
행정소송 결과는 별도로 정리되어 있습니다. 상소심이 진행 중인 사건은 1심·2심에서 전부 위원회가 이겼고, 확정된 것 가운데 사업자가 결론까지 이긴 것은 입점 판매자가 개인정보취급자가 아니라는 사건과 과징금이 비례원칙에 반한다는 사건 두 갈래뿐입니다. 위원회 단계에서 나타난 경향과 같은 방향입니다.
내려받기와 출처 표기
이 표는 개인정보보호위원회가 공개한 결정문에서 기계 추출한 것입니다. 인용하실 때는 원문인 위원회 결정문 게시판을 함께 밝혀 주십시오.
표의 오류를 발견하셨거나, 이의신청·행정소송으로 처분이 취소·변경된 사실을 알고 계시면 hyunsub.lee@seumlaw.com으로 알려 주십시오. 원문을 대조해 확인되는 대로 고치겠습니다.