해외 사업자는 개인정보위에 어떻게 처분받나 — 실명 공개분 전수

핵심 요약 — 실명이 공개된 해외 사업자 제재 46건, 사업자 41곳, 14개국입니다. 본사가 직접 피심인인 건이 30건, 외국 본사의 한국 법인이 피심인인 건이 16건입니다. 표에서 세 가지가 드러납니다. 국외이전 조문이 과징금 근거가 된 건은 2건(애플·테무)이고, 두 건 모두 위반은 국외 위탁 사실을 알리지 않은 것이었습니다. 나머지는 동의와 안전조치입니다. 결정문 층 과징금 15건의 합계에서 구글 한 건이 77%를 차지합니다. 그리고 이 집단이 가장 자주 다투는 것은 위법성이 아니라 관련 매출액의 한국 귀속입니다. 🔴 비실명 처분은 셀 수 없으므로 이 표는 하한입니다.

외국계 한국법인의 법무 담당자가 본사에 설명해야 하는 것은 대개 두 가지입니다. 한국 규제기관이 우리 같은 회사를 실제로 처분하는가, 그리고 처분한다면 무엇을 근거로 얼마를 매기는가.

답이 되는 사건들은 이미 있습니다. 다만 결정문 889건 안에 흩어져 있어서 무엇이 반복되는지 보이지 않았습니다. 아래는 그 사건들만 모은 것입니다.

기준일 2026-09-11 · 출처 개인정보위 결정문 게시판과 보도자료(결정문 미공개층). 🔴 「해외 사업자」는 이 표가 붙인 축입니다. 결정문에 그런 구분이 있는 것이 아니라, 법인의 설립지와 모회사 국적을 공개 정보로 확인해 수기로 분류했습니다. 그리고 비실명 처분은 셀 수 없습니다 — 위원회가 가린 이름에 국적을 추정해 붙이지 않으므로 이 표는 하한입니다. 금액은 결정문 층만 합산했습니다. 보도자료 층은 출처가 달라 더할 수 없습니다.

「항변 절 없음」은 결정문이 「피심인의 주장에 대한 검토」 절을 따로 두지 않았다는 뜻이지 다투지 않았다는 뜻이 아닙니다. 주장 전문은 피심인 항변 표에 있습니다. 행 하나를 가리킬 때는 #fg-2026-07-22-n12330-0 형식의 주소를 쓰십시오.

근거가 된 조문

결정문이 공개된 건에서 위반으로 인정된 조문입니다. 보도자료만 있는 건에는 조문이 적혀 있지 않아 빠져 있습니다.

표에서 읽히는 것

• 국외이전 조문이 과징금 근거가 된 건은 애플·테무 두 건입니다(2/46). 국외이전 조문 위반이 인정된 건은 3건인데, 2021년 8월 페이스북 결정(제2021-013-101호)의 국외이전 위반(구 제39조의12)은 과태료로 처리됐고 그 건의 과징금은 구 정보통신망법 제22조(동의 없는 얼굴인식 템플릿 생성)가 근거입니다. 2025년 1월 애플 결정(제2025-001-003호)의 과징금 24억 500만 원은 제28조의8 제1항 위반에 대해 부과됐습니다. 카드 결제 정보를 신용 점수 산출을 위해 국외 수탁자에게 넘기면서 국외 위탁 사실을 정보주체에게 알리지 않은 것이 위반입니다. 2025년 5월 테무 운영사 결정(제2024-013-193호)의 과징금 8억 7,900만 원도 같은 조문이 근거이며, 싱가포르·일본·미국·중국 등으로 처리위탁·보관하면서 처리방침에 국외이전 법정 고지사항을 공개하지 않은 것, 곧 동의 없이 이전할 수 있는 조건(제28조의8 제1항 제3호)을 갖추지 못한 것이 위반입니다. 나머지 과징금은 안전조치의무, 구 정보통신망법의 행태정보 조문, 위탁, 유출 통지가 근거입니다. 국외이전 조항이 2023년 9월에야 현재 형태가 된 사정도 함께 보아야 합니다.
• 금액이 한 건에 몰려 있습니다. 결정문 층 과징금 합계의 77%가 구글 한 건입니다. 「해외 사업자는 과징금이 크다」는 인상은 이 한 건이 만든 것이고, 페이스북 두 건(각 60억 원대)과 악사손해보험·애플(각 20억 원대)을 빼면 나머지는 수억 원 이하입니다. 평균으로 규모를 가늠하면 크게 어긋납니다.
• 가장 자주 다투는 것은 관련 매출액입니다. 전체 매출에 한국 이용자 비율을 곱해야 한다, 특정 서비스로 한정해야 한다는 주장이 반복되고 일부 수용된 예가 여럿입니다. 반대로 의무 주체가 아니라는 주장은 배척됐습니다. 이 경향은 피심인 항변 전수에서 국내 사업자를 포함해 봐도 같습니다.
• 같은 회사가 다시 나옵니다. 애플과 메타가 두 번 이상입니다. 반복 처분은 반복 제재 사업자에 따로 정리했고, 2026년 9월 11일 시행된 개정법은 고의·중과실로 3년 안에 같은 위반을 되풀이하면 과징금 상한을 전체 매출액의 10%로 올리는 조항(제64조의2 제2항)을 신설했습니다.
• 자료 제출을 다투다 고발까지 간 사건이 있습니다. 해외 법인이 조사에 응하지 않을 때 위원회가 쓰는 수단이 무엇인지 보여주는 유일한 사례입니다.

이 표를 읽을 때 조심할 것

• 「해외 사업자」는 이 표가 붙인 축입니다. 결정문에 그런 구분은 없습니다. 법인의 설립지와 모회사 국적을 공개 정보로 확인해 수기로 분류했고, 판정에서 뺀 후보와 그 이유도 함께 관리합니다. 브랜드가 외국이어도 피심인이 국내에서 설립된 법인이면 넣지 않았습니다.
• 비실명 처분은 들어올 수 없습니다. 국적을 추정해 붙이지 않습니다. 표의 건수는 하한입니다.
• 처분 시점 기준으로 분류했습니다. 이후 국내 자본에 매각된 회사가 있습니다.
• 금액을 층을 넘어 더하지 마십시오. 결정문에서 읽은 금액과 보도자료로만 공표된 처분의 금액은 출처가 다릅니다.

함께 볼 자료

• 무슨 주장이 받아들여졌는지는 피심인 항변과 위원회 판정에 종류별 수용률로 있습니다.
• 조사에서 처분까지 걸리는 기간은 결정례 색인에 있습니다.
• 유출 통지 기한을 넘긴 사건은 유출 통지 지연에 있습니다.
• 처분 전체를 조문·회사명으로 찾으려면 제재 추적기로 가십시오.
• 이 표의 영문판은 How Korea’s PIPC sanctions foreign companies에 있습니다. 같은 행을 영문 라벨로 그린 것이라 본사 법무에 그대로 건넬 수 있습니다.

자주 묻는 질문

Q. 해외 사업자는 개인정보 보호법 위반으로 무엇을 근거로 처분받나요?

결정문이 공개된 건에서 가장 많이 인용된 것은 제29조 안전조치의무와 구 정보통신망법에서 넘어온 행태정보 관련 조문입니다. 위탁에 관한 제26조와 유출 통지에 관한 제34조가 그다음입니다. 국외이전 조문(제28조의8 제1항)이 과징금 근거가 된 건은 2025년 1월 애플(24억 500만 원)과 2025년 5월 테무 운영사(8억 7,900만 원) 두 건이고, 두 건 모두 위반은 이전 자체가 아니라 국외 수탁자에게 처리를 맡긴 사실을 정보주체에게 알리지 않은 것이었습니다.

Q. 외국 본사가 직접 처분받나요, 한국 법인이 처분받나요?

둘 다 있고 본사가 직접 피심인이 되는 경우가 더 많습니다. 실명 공개분에서 본사 직접 처분이 30건, 외국 본사의 한국 법인이 피심인인 건이 16건입니다. 어느 쪽이냐에 따라 쟁점이 달라집니다. 본사가 피심인이면 관련 매출액 가운데 한국에 귀속되는 범위가 다투어지고, 한국 법인이 피심인이면 본사 정책의 한국 적용과 위탁 구조가 문제됩니다.

Q. 해외 사업자가 과징금 산정을 다투면 받아들여지나요?

이 집단에서 가장 자주 다투는 쟁점이고 다른 주장보다 반영률이 높습니다. 전체 매출에서 한국 이용자 비율을 곱해야 한다거나 특정 서비스로 한정해야 한다는 주장이 일부 수용된 예가 여럿 있습니다. 반면 자신은 의무 주체가 아니라거나 국외이전에 해당하지 않는다는 주장은 배척됐습니다. 종류별 수용률은 피심인 항변 페이지에 정리되어 있습니다.

Q. 이 표에 없는 해외 사업자는 처분받지 않은 건가요?

아닙니다. 위원회가 피심인을 비실명으로 처리한 처분은 국적을 확인할 방법이 없어 이 표에 넣을 수 없습니다. 위원회가 가린 이름을 다른 자료로 추정해 특정하지 않는 것이 이 사이트의 원칙이므로, 이 표는 해외 사업자 제재의 하한입니다.

내려받기와 출처 표기

이 표는 개인정보보호위원회가 공개한 결정문과 보도자료에서 기계 추출한 것이며, 해외 사업자 분류만 사람이 붙였습니다. 인용하실 때는 원문인 위원회 결정문 게시판을 함께 밝혀 주십시오.

표의 오류를 발견하셨거나, 이의신청·행정소송으로 처분이 취소·변경된 사실을 알고 계시면 hyunsub.lee@seumlaw.com으로 알려 주십시오. 원문을 대조해 확인되는 대로 고치겠습니다.