핵심 요약 — 개인정보보호위원회 제재 처분을 법원에서 다툰 사건의 전수입니다. 결정문 게시판 수록 범위(2020년 11월 이후) 처분 가운데 취소소송이 확인된 것은 20건이고, 행정심판을 거친 사례는 확인되지 않습니다(중앙행심위 공개 재결례 535건 중 0건). 확정된 4건 가운데 2건은 사업자가 이겼고, 상소심이 진행 중인 10건은 1심·2심에서 전부 위원회가 이겼습니다. 사업자가 결론까지 이긴 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778, 처분 전부 취소)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923, 과징금만 취소) 두 갈래뿐입니다. 집행정지는 공표명령·시정명령 부분에서 인용된 예가 여럿입니다. 각 처분의 의결서는 제재 추적기에서, 법원이 위원회와 다르게 판단한 지점은 아래 「법원이 위원회와 갈린 지점」에서 확인할 수 있습니다.
처분을 받은 회사가 가장 먼저 묻는 것은 "다투면 이기는가"입니다. 이 면은 그 질문에 사건 목록으로 답합니다. 건수가 적은 것은 이 표의 한계가 아니라 결론입니다 — 다투는 회사는 적지 않은데, 뒤집힌 처분이 적습니다.
20취소소송이 확인된 처분 (2020년 11월 이후)
61심 계속 중
10상소심 진행(1심·2심 전부 위원회 승소)
4확정 (그중 2건은 사업자 승소)
| 처분 | 제재 | 소송 경과 | 현재 상태 |
|---|---|---|---|
| Facebook Incorporation·Facebook Ireland Limited 2020-11-25 제2020-006-008호 · 추적기 행 | 과징금 67억 4,800만 원 · 과태료 6,600만 원 시정명령 · 고발 친구의 개인정보를 제3자 앱에 제공(구 정보통신망법 제24조의2 제1항) 동의 없는 수집·이용·제공 · 암호화 미조치 · 기타 | 1심 서울행정법원 2021구합57117 2023-10-26
— 원고패 관련 매출액은 로그인 서비스가 아니라 서비스 전체를 기준으로 본다 2심 서울고등법원 2023누64906 2024-09-13
— 항소기각 3심 대법원 2024두55440 2025-03-13
— 상고기각 집행정지: 2021아10523 인용 | 확정(위원회 승소) |
| 이베이코리아 유한회사(현 ㈜지마켓) 2021-05-26 제2021-009-085호 · 추적기 행 취소된 것은 시정조치명령이고 과태료는 다투지 않았다 | 과태료 2,280만 원 시정명령 · 공표 입점 판매자의 오픈마켓 접속에 안전한 인증수단 미적용(제29조) | 1심 서울행정법원 2021구합78848 2022-07-08
— 원고승 판매자는 개인정보취급자가 아니다 — 처분사유 자체가 부정돼 시정조치명령 전부 취소 2심 서울고등법원 2022누54360 2023-09-01
— 항소기각 각공2023하,618. 제3자와 개인정보취급자는 양립할 수 없는 별개의 지위 3심 대법원 2023두54778 2023-12-28
— 상고기각 | 확정(사업자 승소) |
| 네이버 주식회사 2021-05-26 제2021-009-083호 · 추적기 행 취소된 것은 시정조치명령이고 과태료는 다투지 않았다 | 과태료 840만 원 시정명령 · 공표 입점 판매자의 스마트스토어 접속에 안전한 인증수단 미적용(제29조) | 1심 서울행정법원 2021구합79278 2022-07-08
— 원고승 지마켓 사건과 같은 날 같은 취지로 시정명령 취소 2심 서울고등법원 2022누54377
— 항소기각 3심 대법원 2023두54778 2023-12-28
— 상고기각 | 확정(사업자 승소) |
| Google LLC 2022-09-14 제2022-014-104호 · 추적기 행 | 과징금 692억 4,100만 원 시정명령 이용자 동의 없는 타사 행태정보 수집·이용(구법 제39조의3 제1항) 위원회 단계 주장 5개 — 불수용 5 | 1심 서울행정법원 2023구합55191 2025-01-23
— 원고패 수집 주체·동의 유효성·관련 매출액(전체 광고매출 × 한국 활성이용자 비율)·공정거래법 유추·고의 중과실 모두 위원회 지지. 전력 없어 50% 감경은 인정된 상태의 처분 | 항소 중 |
| Meta Platforms, Inc. 2022-09-14 의결서가 결정문 게시판에 공개되지 않아 추적기 표에 없음 | 과징금 308억 600만 원 시정명령 이용자 동의 없는 타사 행태정보 수집·이용(구법 제39조의3 제1항) | 1심 서울행정법원 2023구합54259 2025-01-23
— 원고패 구글 건과 같은 재판부·같은 날. 얼굴인식 사건 전력을 이유로 필수적 감경을 배제하고 3% 상한을 적용한 것도 적법 | 항소 중 |
| Meta Platforms, Inc. 2023-02-08 제2023-002-003호 · 추적기 행 | 과태료 660만 원 시정명령 · 공표명령 필요 최소한 외 개인정보 미제공을 이유로 한 서비스 제공 거부(구법 제39조의3 제3항) 위원회 단계 주장 3개 — 불수용 3 | 1심 서울행정법원 2023구합71018 2025-01-23
— 원고패 일괄동의만 두고 거부 옵션 없이 가입시킨 것은 서비스 제공 거부에 해당. 선행처분과 모순된다는 항변 배척 집행정지: 2023아12057 인용(시정명령·공표명령) | 항소 중 |
| 삼성전자 2023-06-28 제2023-011-114호 · 추적기 행 추적기 표에는 과징금 액수가 「액수 비공개」로 실려 있음(의결서 원문 마스킹). 금액은 판결문 기준 | 과징금 8억 7,558만 3천 원 · 과태료 1,400만 원 시정명령 6차례 유출신고, 침입탐지·차단시스템 운영 미흡(안전조치의무) 유출 통지·신고 해태 | 1심 서울행정법원 2023구합84236 2025-11-06
— 원고패 3차 신고 사건(유출 19명)에 과징금 면제 사유(사소한 부주의·100명 미만)가 존재한다고 인정했으나, 면제는 위원회 재량이고 반복 유출 전력을 고려하면 일탈 아님 | 항소 중 |
| 인크루트 2023-08-30 소위원회 의결로 추정. 의결서가 결정문 게시판에 공개되지 않아 추적기 표에 없음 | 과징금 7,060만 9천 원 장기 위반행위 가중, 개정 시행령상 임의적 감면 미검토, 평등원칙 | 1심 서울행정법원 2023구합81091 2025-03-28
— 원고패 분할 전 회사의 운영 기간까지 포함해 장기 위반으로 본 것도 적법 | 1심 선고(상소 여부 미확인) |
| 건강기능식품 제조·판매사(비실명) 2023-03-08 2023-03-08 의결 19건이 추적기에 있으나 전부 과징금 액수가 비공개라 행을 특정하지 못함 | 과징금 4억 6,457만 3천 원 안전조치의무 위반·유출 | 1심 서울행정법원 2023구합66443 2024-04-18
— 원고패 2심 서울고등법원 2024누41993 2025-12-12
— 항소기각 | 2심 선고(상고 여부 미확인) |
| 초등 온라인학습 서비스 운영자(비실명) 2021-10-27 2021-10~12 의결은 결정문 게시판에 공개되지 않아 추적기 표에 없음 | 과징금 안전조치의무 위반·유출 | 1심 서울행정법원 2022구합61564 2023-01-13
— 원고패 2심 서울고등법원 2023누34486
— 항소기각 3심 대법원 2023두61554 2024-04-03
— 상고기각 | 확정(위원회 승소) |
| 디지털대성 2024-03-27 제2024-006-163호 · 추적기 행 | 과징금 6억 1,300만 원 · 과태료 330만 원 공표명령 신법 제64조의2 제1항 제9호의 '위반기간' — 유출 기간인가 안전조치 미이행 기간인가 안전조치 미흡(일반) · 유출 통지·신고 해태 | 1심 서울행정법원 2024구합70753 2025-08-14
— 원고패 위반기간은 안전조치의무 미이행 기간. 유출 기간으로 보면 해커 공격이 얼마나 이어졌는지 같은 우연한 요소로 과징금이 좌우된다 2심 서울고등법원 2025누8058 2025-12-24
— 항소기각 집행정지: 2024아12120 인용(공표명령) | 2심 선고(상고 여부 미확인) |
| 골프존 2024-05-08 제2024-008-182호 · 추적기 행 | 과징금 75억 400만 원 공표명령 업무망 공유폴더 파일서버에 방치된 개인정보 221만 건 유출. 파일서버가 고시 제6조 제3항의 적용 대상인지, 시뮬레이터 판매 매출이 관련매출액인지 안전조치 미흡(일반) · 암호화 미조치 · 파기 미이행 위원회 단계 주장 4개 — 불수용 2 · 수용 1 · 일부수용 1 | 1심 서울행정법원 2024구합83865 2026-02-12
— 원고패 '개인정보취급자의 컴퓨터 및 모바일 기기 등'은 예시적 열거. 시뮬레이터 판매 매출도 관련매출액에 포함. 위원회 내부 세부판단기준 미공개라도 처분은 적법 집행정지: 2024아13356 인용(공표명령) / 2026아11023 기각(공표명령(2차)) | 1심 선고(항소 여부 미확인) |
| 카카오 2024-05-22 제2024-009-183호 · 추적기 행 | 과징금 151억 4,196만 원 · 과태료 시정명령 · 공표명령 오픈채팅 회원일련번호 유출 — 유출 해당성, 중과실, 관련 매출액 약 1.2조, 비례원칙 안전조치 미흡(일반) · 유출 통지·신고 해태 | 1심 서울행정법원 2024구합86789 2026-01-15
— 원고패 회원일련번호만으로 특정 불가하다는 주장 배척. '관련매출액이 막대한 것은 보호조치 없이 보유해 얻은 이익이 그만큼 크다는 뜻'. 헌재 2024헌바153 인용 | 항소 중 |
| 카카오페이 2025-01-22 제2025-001-002호 · 추적기 행 | 과징금 59억 6,800만 원 시정명령 · 공표명령 알리페이에 대한 이용자 정보(약 1,592만 명, 24개 항목) 국외 이전이 처리위탁인지 제3자 제공인지(제28조의8 제1항) 국외이전 적법근거 흠결 | 1심 서울행정법원 2025구합53645 2026-06-11
— 원고패 알리페이는 카카오페이가 아니라 애플의 수탁자. NSF 점수가 애플의 일괄청구·FDS에 쓰인 이상 애플에 대한 제3자 제공. 단 '구법상 개인정보처리자에 정보통신서비스 제공자가 포함된다'는 위원회 해석은 근거 부족 — 계속범·부칙 제8조 제2항으로 결론 유지 집행정지: 2025아11336 일부 인용(시정명령·공표명령) | 항소 중 |
| SK텔레콤 2025-08-27 제2025-018-243호 · 추적기 행 | 과징금 1,347억 9,100만 원 시정명령 · 공표명령 USIM 인증키 유출(안전조치의무) 보호책임자 지정 미비 · 안전조치 미흡(일반) · 유출 통지·신고 해태 | 1심 서울행정법원
— 계속 중 2026-01-19 제소, 첫 변론 2026-09 예정 | 1심 계속 |
| 우리카드 2025-03-26 제2025-007-021호 · 추적기 행 | 과징금 134억 5,100만 원 목적 외 이용·제공 · 안전조치 미흡(일반) · 주민등록번호 처리 제한 위반 위원회 단계 주장 4개 — 불수용 2 · 수용 1 · 일부수용 1 | 1심 서울행정법원
— 계속 중 | 1심 계속 |
| 비와이엔블랙야크 2025-07-09 제2025-015-229호 · 추적기 행 | 과징금 13억 9,100만 원 안전조치 미흡(일반) | 1심 서울행정법원
— 계속 중 | 1심 계속 |
| 듀오정보 2026-04-22 제2026-007-052호 · 추적기 행 | 과징금 11억 9,700만 원 안전조치 미흡(일반) · 유출 통지·신고 해태 · 주민등록번호 처리 제한 위반 · 파기 미이행 | 1심 서울행정법원
— 계속 중 | 1심 계속 |
| 현대해상화재보험 2024-12-11 제2024-021-251호 · 추적기 행 2024-12-11 의결은 결정문 게시판에 공개되지 않아 추적기 표에 없음 | 과징금 61억 9,800만 원 동의 없는 수집·이용·제공 · 파기 미이행 · 기타 위원회 단계 주장 5개 — 불수용 4 · 일부수용 1 | 1심 서울행정법원
— 계속 중 | 1심 계속 |
| 악사손해보험 2024-12-11 제2024-021-258호 · 추적기 행 2024-12-11 의결은 결정문 게시판에 공개되지 않아 추적기 표에 없음 | 과징금 27억 1,500만 원 파기 미이행 · 기타 위원회 단계 주장 5개 — 불수용 4 · 일부수용 1 | 1심 서울행정법원
— 계속 중 | 1심 계속 |
추적기 수록 시기 밖의 확정 선례
| 사건 | 경과 | 확정된 판단 |
|---|---|---|
| 온라인쇼핑몰(위메프, 방통위 처분 승계) 2019-12-27 처분 과징금·시정명령 | 1심 서울행정법원 2020구합59628 2021-11-12 — 원고 일부승(과징금 취소) 2심 서울고등법원 2021누73975 — 항소기각 3심 대법원 2022두68923 2023-10-12 — 상고기각 확정(과징금만 취소) | 노출 이용자 20명·캐시 정책 적용 기간에 비해 과징금이 과다하고 다른 사업자 사건과 균형을 잃었다 — 비례원칙 위반. 대법원: 관련 매출액은 유출된 개인정보를 보유·관리하는 서비스의 범위를 기준으로 한다 |
| 항공권 판매업체 2020-07-29 처분 과징금 2,437만 5천 원 | 1심 서울행정법원 2020구합3618 2021-06-24 — 원고패 1심 선고 | 소액 과징금도 다투어진 예 |
다투어지는 처분은 무슨 행위였나
표의 「제재」 칸 아래 회색 글씨가 그 답입니다. 결정문 「위법성 판단」 절에서 뽑은 행위 유형이고, 소송이 확인된 처분 중 9건에 붙습니다(나머지는 결정문 본문이 공개되지 않았거나 의결번호가 이어지지 않습니다).
특정 행위가 더 다투어진다는 신호는 없습니다. 9건의 행위 구성은 과징금 처분 전체와 거의 같습니다(과징금 처분 전체는 2026-09-07 수집분 145건 기준).
| 행위 유형 | 과징금 처분 전체 | 다투어진 처분 |
|---|---|---|
| 안전조치 미흡 | 71% | 78% |
| 유출 통지·신고 해태 | 41% | 56% |
| 파기 미이행 | 16% | 22% |
| 주민등록번호 처리 제한 | 12% | 22% |
전부 조금씩 높지만 9건짜리 표본이라 차이라고 부를 수 없습니다. 실무에서 읽을 것은 「이 조문이면 다툴 만하다」가 아닙니다. 무엇을 다투든 안전조치가 함께 걸려 있다는 쪽입니다 — 9건 중 7건이 그렇습니다.
한 가지 눈에 띄는 것은 있습니다. 「보호책임자 지정 미비」는 결정문이 공개된 559건 중 단 한 건뿐인데, 그 한 건이 소송으로 갔습니다(에스케이텔레콤). 선례가 없는 쟁점이 법원에서 먼저 정리될 수 있다는 뜻입니다.
행위 유형별로 어떤 처분이 있었는지는 조문별 제재 사례에서 볼 수 있습니다.
이 표를 어떻게 만들었나
- 소송 사건은 판결문 검색 서비스의 행정사건 검색에서 피고가 개인정보보호위원회인 사건 59건을 전수 확인해, 조세·노동 등 무관 사건과 정보주체가 위원회를 상대로 낸 정보공개·부작위 사건을 뺀 것입니다. 본안 13건과 집행정지 8건이 남고, 아직 선고가 없는 사건은 위원회 보도자료와 언론 보도로 제소 사실만 확인했습니다.
- 판결 내용은 판결문 전문 18건을 읽고 적었습니다. 요약·언론 보도로만 확인한 사건은 결과만 적고 판단 요지를 비워 두었습니다.
- 행정심판은 중앙행정심판위원회 재결례 공개 DB(535건)에서 처분청·검색어로 확인했습니다. 공개분은 선별된 것이라 「재결이 없었다」가 아니라 「공개된 재결이 없다」로 읽어야 합니다.
- 비실명 사건은 판결문이 익명화한 대로 둡니다. 다른 자료를 대조해 회사를 특정하지 않습니다.
법원이 위원회와 갈린 지점
전부 기각된 사건에도 법원이 위원회와 다르게 본 대목이 있습니다. 소송을 검토할 때 실제로 쓸 수 있는 것은 이 부분입니다.
- 위원회 해설서에는 규범력이 없다 — 오픈마켓 사건에서 법원은 「개인정보의 기술적·관리적 보호조치 기준 해설서」에 입점 판매자가 개인정보취급자라고 적혀 있다는 위원회 주장을 두고 "피고 스스로가 발간한 해석을 담은 문서에 불과"해 법령과 달리 취급자 범위를 넓힐 수 없다고 했습니다. 처분 근거가 해설서에서 나온 사건이라면 이 판시가 출발점입니다.
- 과징금은 다른 사업자 사건과의 균형도 본다 — 위메프 사건에서 법원은 노출 이용자 20명·캐시 정책 적용 기간에 비해 과징금이 과다할 뿐 아니라 "다른 정보통신서비스 제공자의 위반행위에 부과된 과징금액과도 균형을 잃었다"고 했습니다. 읽은 판결문 18건 가운데 위원회 내부의 형평이 사법심사 대상이 된 유일한 예입니다.
- 면제 사유는 존재한다, 다만 재량이다 — 삼성전자 사건(2023구합84236)에서 법원은 3차 유출신고(19명)에 과징금 면제 사유가 존재한다고 명시적으로 인정하면서도, 면제는 위원회 재량이고 반복 유출 전력을 고려하면 일탈이 아니라고 했습니다. 감면 주장을 세울 때 인용할 수 있는 판시입니다.
- 구법상 「개인정보처리자」에 정보통신서비스 제공자가 포함된다는 해석은 근거가 부족하다 — 카카오페이 사건(2025구합53645)에서 법원은 2023년 9월 14일 이전 국외 이전분의 근거법령을 따지며 위원회의 이 해석을 받아들이지 않았습니다. 결론은 위반행위가 신법 시행 이후까지 계속됐고 부칙 제8조 제2항이 적용된다는 이유로 유지됐습니다. 위반이 신법 시행 전에 끝난 사건이라면 사정이 다릅니다.
반대로 법원이 일관되게 배척한 항변도 있습니다. "제휴사·웹사이트 운영자가 수집한 것이다", "내부 식별번호라 개인정보가 아니다", "암호화해서 넘겼으니 업무위탁이다", "관련 매출액은 문제된 기능 부분만이다" — 이 네 가지는 구글·메타·카카오·카카오페이·골프존 사건에서 전부 받아들여지지 않았습니다. 특히 관련 매출액에 관해서는 위메프 사건에서 사업자가 얻어낸 법리(「보호조치 없이 보유한 개인정보로 얻은 이익」 기준)가 이후 사건에서 오히려 서비스 전체 매출을 정당화하는 근거로 쓰이고 있습니다.
위원회가 결정문에서 기댄 판례
소송 표가 법원이 위원회 처분을 어떻게 봤는지라면, 이 표는 반대 방향입니다. 위원회가 처분 이유를 쓰면서 어떤 판결을 들고 왔는지를 결정문에서 뽑았습니다. 가장 많이 인용된 것은 대법원 2016도13263 판결로 10건입니다. 같은 쟁점에서 위원회가 되풀이해 기대는 판결을 알면, 의견을 낼 때 무엇에 답해야 하는지가 보입니다.
| 판결 | 인용 | 인용 취지와 인용한 의결 |
|---|---|---|
| 대법원 2016도13263 2017-04-07 선고 | 10건 | 「한편 어떠한 행위가 개인정보의 제공인지 아니면 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리·감독 여부, 정보주체 또는 이용자의 개인정보 보호 필요성에 미치는 영향 및 이러한 개인정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합하여 판단하여야 한다.」 「대법원은 ‘거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 또는 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 뜻하고, ‘거짓이나 그 밖의 부정한 수단이나 방법’으로 동의를 받았는지 여부는 동의받는 행위 그 자체만을 분리하여 개별적으로 판단하여서는 안 되고, 동의를 받게 된 전 과정을 살펴보아 거기에서 드러난 개인정보 수집 등의 동기와 목적, 수집 목적과 수집 대상인 개인정보의 관련성, 수집 등을 위하여 사용한 구체적인 방법, 개인정보 보호법 등 관련 법령을 준수하였는지 및 취득한 개인정보의 내용과 규모, 특히 민감정보·고유식별정보 등의 포함 여부 등을 종합적으로 고려하여 사회통념에 따라 판단하여야 한다고 판시하였다.」
「‘거짓이나 그 밖의 부정한 수단이나 방법’이란 개인정보를 취득하거나 또는 그 처리에 관한 동의를 받기 위하여 사용하는 위계 기타 사회통념상 부정한 방법이라고 인정되는 것으로서 개인정보 취득 또는 그 처리에 동의할지에 관한 정보주체의 의사결정에 영향을 미칠 수 있는 적극적 또는 소극적 행위를 뜻한다. 그리고 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 그 처리에 관한 동의를 받았는지를 판단할 때에는 개인정보처리자가 그에 관한 동의를 받는 행위 자체만을 분리하여 개별적으로 판단하여서는 안 되고, 개인정보처리자가 개인정보를 취득하거나 처리에 관한 … 관련성, 수집 등을 위하여 사용한 구체적인 방법, 개인정보 보호법 등 관련 법령을 준수하였는지 및 취득한 개인정보의 내용과 규모, 특히 민감정보·고유식별정보 등의 포함 여부 등을 종합적으로 고려하여 사회통념에 따라 판단하여야 한다고 판시하였다.」
「(중략) 즉 개인정보처리자는 개인정보를 수집하는 경우에 그 목적에 필요한 최소한의 개인정보를 수집하여야 하고, 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다(제16조 제1항, 제2항). (중략) 이는 개인정보처리자가 정당한 목적으로 개인정보를 수집하는 경우라 하더라도 그 목적에 필요한 최소한의 개인정보 수집에 그쳐야 하고 이에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 안 된다는 개인정보 보호 원칙(개인정보 보호법 제3조 제1항)과 개인정보 보호법 규정에 위반되는 것이다.」 「대법원은 “개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고, 정보제공자의 관리·감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로, 보호법 제17조에 정한 ‘제3자’에 해당하지 않는다”고 판시하고」
|
| 대법원 2014두2638 2016-06-28 선고 | 8건 | 「통상의 이용자라면 용이하게 ‧‧‧ ‘법정 고지사항’의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 한다. 아울러, 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집·제공에 대한 동의 여부를 판단할 수 있어야 하고, 그에 따른 동의의 표시는 이용자가 개인정보의 수집·제공에 …」
「정보통신서비스 제공자가 이용자로부터 개인정보 수집‧제공에 관하여 적법한 동의를 받기 위해서는 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록 ① 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 하며, ② 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집·제공에 대한 동의 여부를 판단할 수 있어야 하고, ③ 그에 따른 동의의 표시는 이용자가 개인정보의 수집·제공에 동의를 한다는 명확한 인식 하에 행하여질 수 있도록 그 실행방법이 마련되어야 한다고 판시하였다.」 「대법원은 인터넷 사이트에서 개인정보를 수집하면서 적법한 동의를 받았는지 문제가 된 사건에서, 적법한 동의를 받기 위한 요건으로 「①통상의 이용자라면 구체적 내용을 쉽게 알아볼 수 있을 정도로 미리 인터넷 사이트에 법정 고지사항 전부를 명확하게 게재하며, ②법정 고지사항 게재 부분과 이용자의 동의 여부 표시 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 동의 여부를 판단할 수 있어야 하고, ③그에 따른 동의 표시는 이용자가 개인정보의 수집·제공에 동의한다는 명확한 인식하에 행해질 수 있도록 실행 방법이 마련되어야 한다」고 판시하면서」
「아울러 법정 고지사항을 게재하는 부분과 이용자의 동의여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하고 확인할 수 있는 상태에서 개인정보 수집‧제공에 대한 동의 여부를 판단할 수 있어야 하고, 그에 따른 동의의 표시는 이용자가 개인정보의 수집‧제공에 동의한다는 명확한 인식 아래 행해질 수 있도록 그 실행방법이 마련되어야 한다.」
|
| 대법원 2014다235080 2016-08-17 선고 | 5건 | 「설령, 일정 부분 공개된 정보로 보더라도, 이를 제3자인 피심인이 취업제한 목적을 위해 사용하는 것은 취재 편의와 출입관리 등 본래의 공개 목적과 이용 범위를 벗어난 행위로, 정보주체의 동의가 있었다고 볼 수 없음」 「개인정보의 성격, 공개 형태와 대상 범위, 그로부터 추단되는 공개 의도 내지 목적, 처리자의 처리 형태와 공개의 대상 범위가 달라졌는지, 정보주체의 원래의 공개 목적과 관련성이 있는지 등을 검토」 「이에 대하여, 피심인은 개인정보보호위원회가 형식적 동의가 일상화되는 것을 우려하면서도 동의의 형식적 요건이 준수되지 않았다는 것을 이유로 제재처분을 하는 것은 모순이며, 공개된 정보에 관하여 고지 없이 적법한 동의가 있다고 본 판례를 고려하면 피심인의 행위가 「개인정보 보호법」 제22조에 위반되지 않는다고 주장한다.」
|
| 대법원 2022두68923 2023-10-12 선고 | 5건 | 「과징금을 부과함으로써 박탈하고자 하는 이득은, 문제 된 위반행위로 인해 증가한 매출액에 따른 이득이 아니라, 오히려 정보통신서비스 제공자가 적절한 보호조치를 취하지 않은 개인정보를 자신의 영업을 위해 보유함으로써 얻은 이득이라 보아야 한다. 이에 따라 위 과징금 부과를 위한 관련 매출액을 산정할 때 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스’의 범위는, 유출사고가 발생한 개인정보를 보유·관리하고 있는 …」 |
| 대법원 2011다24555 2014-05-16 선고 | 4건 | 「개인정보가 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것」 「대법원 역시 개인정보 유출이란 ‘개인정보가 해당 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다’고 하고」
「한편, 대법원은 개인정보의 유출이란 해당 서비스제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다고 판시 한 바 있으며」
「그러나 판례(대법원 2014. 5. 16. 선고, 2011다24555 판결)는 개인정보처리자의 관리·통제권을 벗어나 제3자가 개인정보를 인지한 경우 개인정보 누출(유출)로 보고 있으며, 『표준 개인정보 보호지침』(개인정보보호위원회고시 제2020-1호, 2020. 8. 11. 제정) 제25조는 “개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일이 권한없는 자에게 잘못 전달된 경우”를 개인정보 유출로 명시하고 있다.」
|
| 대법원 2018두56404 2021-08-19 선고 | 4건 | 「대법원도 舊 기술적 보호조치 기준 “제4조제9항에서 정보통신서비스 제공자 등의 의무로 규정하고 있는 조치는 정보통신서비스 제공자 등이 취급 중인 개인정보가 인터넷 홈페이지 등에 대한 해킹 등 침해사고에 의해 유출되지 않도록 개인정보처리시스템과 개인정보취급자의 컴퓨터에 취하여야 할 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치’라고 해석할 수 있”다고 하면서 나아가 정보통신서비스 제공자등이 舊 기술적 보호조치 기준 제4조제9항에서 정한 보호조치를 다하였는지 여부는 해킹 등 침해사고 당시 보편적으로 알려져 있는 정보보안의 기술 수준, 정보통신서비스 제공자의 … 사용된 해킹기술의 수준과 정보보안기술의 발전 정도에 따른 피해 발생의 회피 가능성, 정보통신서비스 제공자등이 수집한 개인정보의 내용과 개인정보의 유출로 이용자가 입게 되는 피해의 정도 등의 사정을 종합적으로 고려하여 판단하여야 한다고 판시한바 있다.」
「대법원은 舊 개인정보의 기술적·관리적 보호조치 기준 (이하 ‘舊 기술적 보호조치 기준’) 제4조제9항(現 고시 제6조제3항)은 내부적 부주의뿐만 아니라 외부로부터의 불법적인 접근(해킹 등)에 의한 개인정보 유출을 방지하기 위한 목적으로 마련되었다고 판단 하면서 제공자의 의무로 규정된 ‘조치’는 해킹 등에 의해 유출되지 않도록 ‘처리시스템과 취급자 PC 등’에 취하여야 할 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치로 아래 판단기준을 제시한 바 있다.」 「대법원은 정보통신서비스 제공자등이 고시 제4조제9항에서 정한 보호조치를 다하였는지 여부는 해킹 등 침해사고 당시 보편적으로 알려져 있는 정보보안의 기술 수준, 정보통신서비스 제공자의 업종·영업규모, 정보통신서비스 제공자등이 인터넷 홈페이지 등의 설계에 반영하여 개발에 적용한 보안대책·보안기술의 내용과 실제 개발된 인터넷 홈페이지 등을 운영·관리하면서 실시한 보안기술의 적정성 검증 및 그에 따른 개선 조치의 내용, 정보보안에 필요한 경제적 비용 및 효용의 정도, 해킹에 의한 개인정보 유출의 경우 이에 실제 사용된 해킹기술의 수준과 정보보안기술의 발전 정도에 따른 피해 발생의 회피 가능성, 정보통신서비스 제공자등이 수집한 개인정보의 내용과 개인정보의 유출로 이용자가 입게 되는 피해의 정도 등의 사정을 종합적으로 고려하여 판단하여야 한다고 판시한바 있다.」
「또한, 일부 처분사유가 불인정되면 중대성을 ‘중대한 위반행위’로 평가한 것은 · 재량권 일탈 남용에 해당하며, 처분청의 재량이 인정되는 과징금 납부명령의 경우 법원은 재량권의 일탈 여부만 판단할 수 있어 전부 취소한다고 판결했다.」
|
| 헌법재판소 2020헌바259 2022-05-26 선고 | 4건 | 「과징금부과조항에서 ‘위반행위와 관련한 매출액’은 ‘위반행위로 인하여 취득한 이익’만이 아니라 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 매출액을 의미하는 것」 |
| 대법원 2014다203410 2018-01-25 선고 | 3건 | 「개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 시스템에 접속한 IP 주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지하고 대응하여야 하며, 이러한 보호조치를 이행하였는지 여부는 보편적으로 알려져 있는 정보보안의 기술 수준, 개인정보처리자가 취하고 있던 전체적인 보안조치의 내용, 정보보안에 필요한 경제적 비용 및 그 효용의 정도, 해킹기술의 수준과 정보보안기술의 발전 정도에 따른 피해 발생의 회피 가능성, 수집한 개인정보의 내용과 개인정보의 누출로 인하여 이용자가 입게 되는 피해의 정도 등 사정을 종합적으로 고려하여 침해사고 당시 사회통념상 합리적으로 기대 가능한 정도의 보호 조치를 다하였는지 여부를 기준으로 판단하여야 한다.」 |
| 대법원 2018도1917 2023-06-29 선고 | 3건 | 「다음으로 정당한 이익 여부와 관련하여 법원은 처리자의 이익의 구체적인 내용‧ 성격, 권리가 제한되는 정보주체의 규모, 수집되는 정보의 종류와 범위, 동의를 받지 못한 이유, 대체가능한 적절한 수단 여부를 종합적으로 고려하여 신중하게 판단할 것을 제시하고 있다.」 |
| 서울고등법원 2019누43964 2020-11-04 선고 | 3건 | 「법원은 2016년 당시에도 크리덴셜 스터핑이 주의나 경각심을 갖지 못할 정도로 생소한 해킹 공격이라고 보기 어렵다고 판시한 바 있음」
「침입차단·침입탐지시스템의 운영이란 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위하여 통상적인 기능과 용법에 맞게 적정하게 활용하는 것을 말한다. 침입차단·침입탐지시스템은 사전에 정해진 정책 설정에 따라 차단·탐지 기능을 수행하므로, 이를 적정하게 활용하려면 상시적인 모니터링, 로그 분석 등을 통한 새로운 위험요소를 인지하고, 시스템에 침입차단 및 침입탐지 정책 재설정 등을 반영하여 개인정보에 대한 불법적 접근을 탐지·차단하여야 한다. 침입차단·탐지시스템의 적정한 운영에는 상시적인 모니터링, 웹 서버 접속 로그기록 등에 대한 로그 분석, 침입차단 및 침입탐지정책 설정 등 조치가 포함된다고 할 것이다.」
「추가로 법원에서는 특정 IP의 반복 로그인 시도가 초당 29건 이하인 경우를 악의적인 행위로 판단한 사례가 확인된다.」
|
| 대법원 2000도2943 2000-08-18 선고 | 1건 | 「판례에 따르면, 형법 제16조에서 ‘자기의 행위가 죄가 되지 아니하는 것으로 오인한 행위는 그 오인에 정당한 이유가 있는 때에 한하여 벌하지 아니한다’고 규정하고 있는데, 그러한 ‘정당한 이유’가 인정되려면 단순히 법률을 오인하는 것으로는 부족하고 행위 당시 법률전문가, 담당 공무원 등에 진지한 자문을 구하고 이를 근거로 그 행위가 적법하다고 믿은 데 귀책이 없어야 한다고 판시하고 있다.」
|
| 대법원 2005도835 2005-06-10 선고 | 1건 | 「판례에 따르면, 형법 제16조에서 ‘자기의 행위가 죄가 되지 아니하는 것으로 오인한 행위는 그 오인에 정당한 이유가 있는 때에 한하여 벌하지 아니한다’고 규정하고 있는데, 그러한 ‘정당한 이유’가 인정되려면 단순히 법률을 오인하는 것으로는 부족하고 행위 당시 법률전문가, 담당 공무원 등에 진지한 자문을 구하고 이를 근거로 그 행위가 적법하다고 믿은 데 귀책이 없어야 한다고 판시하고 있다.」
|
| 대법원 2006다81035 2009-04-23 선고 | 1건 | |
| 대법원 2014두14129 2016-03-10 선고 | 1건 | |
| 대법원 2016두55117 2018-07-12 선고결정문 표기 2016두551178 | 1건 | 「이와 관련하여, 피심인은 이용자로부터 ‘분석의 대상이 되는 메시지’를 ‘신규 서비스 개발’ 목적으로 이용한다는 점에 대해 동의를 받았고, 대법원 2018. 7. 12. 선고 2016두551178 판결에서 수집 목적 내 이용인지 여부를 판단하는 기준으로 이용자 의사와 합치되는지 여부, 이용자의 예상가능성, 이용자가 불측의 손해를 입을 우려 등이 고려되어야 한다고 판시하였는데, 이 판결에서 제시한 기준에 의하면 피심인이 수집 목적 범위 내에서 개인정보를 이용한 것이라고 주장한다.」
|
| 대법원 2020두55220 2021-09-30 선고 | 1건 | 「서울고등법원 2020. 11. 4. 선고 2019누43964 판결은 “침입차단·침입탐지시스템의 운영이란 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위하여 통상적인 기능과 용법에 맞게 적정하게 활용하는 것을 말한다. 침입차단·침입탐지시스템은 사전에 정해진 정책 설정에 따라 차단·탐지 기능을 수행하므로, 이를 적정하게 활용하려면 상시적인 모니터링, 로그 분석 등을 통한 새로운 위험요소를 인지하고, 시스템에 침입차단 및 침입탐지 정책 재설정 등을 반영하여 개인정보에 대한 불법적 접근을 탐지·차단하여야 한다. 침입차단·탐지시스템의 적정한 운영에는 상시적인 … 재분석 대상인 IP 주소 등에는 IP 주소, 포트에 한정되지 않고 웹 서버 접속 로그기록도 포함되고, 웹 서버 접속 로그기록을 실시간으로 분석하거나 사후적으로 분석하는 행위도 침입탐지차단시스템의 운영에 포함된다고 봄이 상당하다”고 판시한 바 있다.」
|
| 대법원 2021도12868 2024-12-12 선고 | 1건 | 「한편, 최근 대법원은 “개개의 사건에 대하여 재판사무를 담당하는 법원(수소법원)은 개인정보처리자에서 제외된다”고 판시하였다.」
|
| 대법원 2024두55440 2025-03-13 선고 | 1건 | |
| 대법원 98두5972 2000-05-26 선고결정문 표기 98두5927 | 1건 | |
| 서울고등법원 2013누14476 2014-01-09 선고 | 1건 | 「대법원은 인터넷 사이트에서 개인정보를 수집하면서 적법한 동의를 받았는지 문제가 된 사건에서, 적법한 동의를 받기 위한 요건으로 「①통상의 이용자라면 구체적 내용을 쉽게 알아볼 수 있을 정도로 미리 인터넷 사이트에 법정 고지사항 전부를 명확하게 게재하며, ②법정 고지사항 게재 부분과 이용자의 동의 여부 표시 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 동의 여부를 판단할 수 있어야 하고, ③그에 따른 동의 표시는 이용자가 개인정보의 수집·제공에 동의한다는 명확한 인식하에 행해질 수 있도록 실행 방법이 마련되어야 한다」고 판시하면서」
|
| 서울고등법원 2015노1998 2017-08-30 선고 | 1건 | 「메신저 대화가 일반적으로 개인정보에 해당하는지 여부에 대하여 명시적으로 판단한 대법원 판례는 없으나, 상고심에서 기각되어 그대로 확정된 2심 판결에서, 법원은 트위터 정보에는 개인정보에 해당하는 정보와 해당하지 않는 정보가 혼재되어 있을 수 있으므로 전부가 개인정보에 해당한다고 할 수는 없으나, 각 트위터 정보가 개인정보에 해당하는 지 사전에 개별적으로 판단하여 「개인정보 보호법」 적용 여부를 달리하는 것은 사실상 불가능한 점과 개인의 일반적인 인격권 및 사생활의 비밀과 자유에 의하여 보장되는 개인정보자기결정권을 두텁게 보호하고자 하는 「개인정보 보 호법」의 입법취지까지 고려하여 보면, 결국 트위터 정보를 전체적으로 개인정보로 취급하여 「개인정보 보호법」에 따라 보호하는 것이 타당하다는 취지로 설 시한 바 있다.」
|
이 표를 읽을 때 주의할 것
- 「원고패」는 처분이 유지됐다는 뜻이고 확정은 아닙니다. 확정된 4건을 뺀 나머지는 대부분 항소심 계속 중입니다. 항소심·상고심 결과가 확인되면 이 표를 고칩니다.
- 소송이 확인되지 않은 처분이 불복하지 않은 처분은 아닙니다. 제소 후 선고 전 사건은 판결문 DB에 나타나지 않습니다. 보도자료·언론으로 제소가 확인된 것만 「1심 계속」으로 적었습니다.
- 추적기 표에 없는 처분이 있습니다. 메타(308억)·인크루트·현대해상·악사손보 등은 위원회가 의결서를 공개하지 않아 제재 추적기에 행이 없습니다. 이 면에서는 판결문과 보도자료를 근거로 적었습니다.
- 구체적 사안은 개별 검토가 필요합니다. 이 면은 공개된 판결과 처분을 정리한 것이고, 특정 사건의 소송 전망을 말하지 않습니다.
자주 묻는 질문
Q. 개인정보위 과징금에 행정심판을 청구할 수 있나요?
법적으로는 가능하지만 실제로 그렇게 한 사례는 확인되지 않습니다. 중앙행정심판위원회가 공개한 재결례 535건 중 처분청이 개인정보보호위원회인 재결은 0건입니다. 공개 재결례는 선별분이라 「한 건도 없었다」고 단정할 수는 없지만, 처분을 받은 사업자들은 예외 없이 서울행정법원에 취소소송을 바로 냈습니다.
Q. 개인정보위 처분 취소소송에서 사업자가 이긴 사례가 있나요?
결론까지 이긴 것은 두 갈래입니다. 하나는 오픈마켓·온라인쇼핑몰에 대한 시정조치명령 사건으로, 입점 판매자는 개인정보취급자가 아니라는 이유로 처분 자체가 취소되고 대법원에서 확정됐습니다(2023두54778). 원고는 이베이코리아(현 지마켓)와 네이버이고, 두 처분 모두 2021년 5월 26일 의결분이라 이 표에 의결서가 있습니다. 다른 하나는 과징금 액수가 비례원칙에 반한다는 이유로 과징금만 취소된 사건입니다(대법원 2022두68923). 그 밖에 상소심이 진행 중인 10건은 1심·2심에서 전부 위원회가 이겼습니다.
Q. 소송 중에도 공표명령은 이행해야 하나요?
집행정지 신청이 인용된 사례가 여럿 있습니다. 메타·골프존·디지털대성 사건에서 공표명령(또는 시정명령) 부분의 집행정지가 인용됐고, 카카오페이 사건은 일부 인용됐습니다. 다만 골프존 사건은 1심 패소 뒤 2차 신청이 기각됐습니다. 과징금 부분의 집행정지는 별개 문제입니다.
더 읽을 것
- 개인정보위 과징금 취소소송, 판결 18건 전수 검토 — 이 표의 판결문을 전문으로 읽고 판시를 사건별로 풀어 쓴 해설
- 개인정보위 제재 추적기 — 의결서 전수 889건
- 개인정보위 결정례 색인 — 처분 이유와 과징금 산정 근거
- 안전조치의무 위반 제재 370여 건