개인정보위 조사는 어떻게 시작되고 언제 끝나나 — 제재 절차 전 구간

핵심 요약 — 조사를 받게 된 회사가 묻는 것은 셋입니다. 왜 우리인가 · 얼마나 걸리나 · 언제 무엇을 해야 하나. 결정문은 그 답을 스스로 적어 두는데 절마다 흩어져 있어 읽히지 않았습니다. 이 페이지가 그 조각을 절차 순서대로 잇습니다 — 착수 단서 → 조사 → 사전통지·의견제출 → 의결 → 송달. 🔴 구간마다 분모가 다릅니다. 결정문이 그 날짜를 적은 건에만 값이 있어서, 하나의 표본으로 묶어 읽으면 거짓이 됩니다. 처분의 액수가 어떻게 산정됐는지는 과징금 산정 근거가 담습니다.

개인정보보호위원회 결정문에서 조사 시작일과 의결일이 모두 읽히는 420건(2026-10-26 수집분)의 조사 시작부터 의결까지 소요 기간은 중앙값 322일(최소 61일·최대 1,416일)이고, 사전통지 송부일과 의견제출일이 모두 적힌 474건의 의견제출 기간은 중앙값 14일이다. — 이현섭 변호사(법무법인 세움) 집계

개인정보위 조사는 대부분 회사가 스스로 신고한 사건에서 시작됩니다. 규제기관이 먼저 찾아내 걸리는 그림이 아닙니다. 그 뒤로는 조사·사전통지·의견제출·의결이 이어지고, 서류가 되돌아오면 공고로 갈음됩니다.

조사는 어떻게 시작되나

처분이 어떻게 끝나는지는 표에 있었지만, 어떻게 시작되는지는 어디에도 없었습니다. 결정문은 그것도 스스로 적습니다. 「Ⅱ. 사실조사 결과」의 첫 항이 「조사 배경」이고, 거기에 위원회가 무엇을 계기로 조사에 나섰는지가 한 문장으로 들어 있습니다.

기준일 2026-10-26 · 출처 개인정보위 결정문 — 조사·사전통지·의결 일자. 🔴 분모는 결정문에 「조사 배경」 절이 있는 596건입니다 — 전체 의결 수가 아닙니다. 그 절이 없는 의결에 단서가 없었다는 뜻이 아니라, 결정문이 적지 않았다는 뜻입니다. 「단서 → 의결」은 단서가 생긴 날이 함께 적힌 502건의 중앙값입니다.

입구는 사실상 하나입니다. 단서가 적힌 596건 가운데 346건이 유출 신고에서 시작됐습니다. 회사가 스스로 신고한 사건이 조사의 대부분입니다. 규제기관이 찾아내서 걸리는 그림이 아니라, 신고한 사건을 위원회가 들여다보는 그림입니다.

그래서 신고는 조사의 시작이기도 합니다. 유출 신고로 시작된 사건의 과징금 비율(35%)은 언론 보도(39%)와 함께 건수가 있는 단서 가운데 높은 쪽입니다. 신고했기 때문에 무거워지는 것이 아니라 신고할 일이 생긴 사건, 곧 실제 유출 사고가 여기 모이기 때문입니다. 신고 의무를 지키는 것과 그 뒤에 조사를 받는 것은 별개의 사건이 아니라 한 줄로 이어져 있다고 보는 편이 맞습니다. 며칠 안에 신고해야 하는지는 유출 통지·신고 지연에 일수로 정리해 두었습니다.

제3자가 알린 사건은 결이 다릅니다. 민원·제보·공익신고로 시작된 사건은 건수도 적고 과징금으로 가는 비율도 낮습니다. 처리방침 미공개처럼 밖에서 확인되는 항목이 많아서입니다. 다만 이 경로는 회사가 사고를 인지하지 못한 상태에서 조사가 시작된다는 점에서 대응 시간이 가장 짧습니다.

실태점검과 언론 보도는 빠릅니다. 단서에서 의결까지 중앙값이 실태점검·직권조사 128일, 언론 보도 289일로 유출 신고(432일)보다 짧습니다. 사실관계가 이미 드러나 있거나 위원회가 점검 계획을 세우고 들어간 사건이어서입니다. 반대로 다른 기관이 통보해 온 사건은 중앙값 715일로, 이름 붙은 경로 가운데 가장 오래 걸립니다(「기타」 37건은 167일이지만 성격이 섞인 잔여 칸입니다).

⚠️ 분모를 잊지 마십시오. 이 표는 결정문에 「조사 배경」 절이 있는 의결만 셉니다. 절이 없는 의결에 단서가 없었던 것이 아니라 위원회가 적지 않은 것입니다. 그리고 이 분포는 처분까지 간 사건의 분포이지 신고·민원 접수 전체의 분포가 아닙니다.

착수 경로에 따라 처분이 달랐나

단서 표는 조사가 어떻게 시작됐는지까지만 보여 줍니다. 그 단서를 같은 의결의 처분과 기간에 이어 보면 경로별로 무엇이 달랐는지가 나옵니다. 아래는 「조사 배경」 절이 있는 596건을 착수 단서별로 갈라 과징금·과태료 부과 여부와 단서에서 의결까지 걸린 기간을 센 것입니다.

기준일 2026-10-26 · 출처 개인정보위 결정문 — 조사·사전통지·의결 일자. 괄호 안 비율의 분모는 그 줄의 의결 수이고, 의결이 10건에 못 미치는 줄은 비율을 내지 않았습니다. 분모는 결정문에 「조사 배경」 절이 있는 의결. 「단서 → 의결」은 단서가 생긴 날이 함께 적힌 건의 중앙값이라 분모가 또 다르다.

• 과징금 비율은 유출 신고와 언론 보도 경로가 높습니다. 유출 신고로 시작된 346건 중 121건(35%), 언론 보도로 시작된 54건 중 21건(39%)입니다. 두 경로는 대개 실제 유출 사고가 드러난 사건이어서, 과징금 대상인 안전조치 위반이 함께 걸립니다.
• 제3자 신고·민원 경로는 과징금이 드뭅니다. 83건 중 7건(8%)이고 과태료는 57건(69%)입니다. 처리방침 미공개·동의 방법처럼 밖에서 확인되는 과태료 위반이 이 경로에 모이기 때문입니다.
• 실태점검·직권조사 경로도 과징금은 적습니다. 34건 중 6건(18%)입니다. 위원회가 점검 항목을 정해 들어간 사건이라 유출 사고보다 관리 의무 위반이 많습니다.
• 기간은 경로마다 크게 다릅니다. 단서가 생긴 날부터 의결까지의 중앙값은 실태점검·직권조사 128일이 가장 짧고 타 기관 통보·의뢰 715일이 가장 깁니다. 유출 신고 경로는 432일, 언론 보도 경로는 289일입니다. 다른 기관의 통보는 그 기관의 절차가 끝난 뒤에 넘어오므로 단서일 자체가 늦게 잡힌 것일 수 있습니다.

⚠️ 경로가 처분을 정하는 것이 아닙니다. 경로에 따라 모이는 사건의 성격이 다릅니다 — 유출 신고 경로에는 유출 사고가, 민원 경로에는 공개·동의 위반이 모이고, 과징금 부과 여부는 그 성격에 따라 갈립니다. 업종·법 개정 시점(2023년 9월 과징금 체계 개편)도 경로 안에 섞여 있어 통제하지 못했습니다. 「기타」 37건은 성격이 섞인 잔여 칸이라 비교에서 뺐습니다.

개인정보보호위원회 결정문에 「조사 배경」 절이 있는 의결 596건(2026-10-26 수집분)을 착수 단서별로 보면, 사업자의 유출 신고로 시작된 346건 중 과징금이 부과된 것은 121건, 언론 보도로 시작된 54건 중 21건, 제3자 신고·민원으로 시작된 83건 중 7건, 실태점검·직권조사로 시작된 34건 중 6건이었고, 단서가 생긴 날부터 의결까지의 중앙값은 실태점검·직권조사 128일에서 타 기관 통보·의뢰 715일까지 갈렸다. — 이현섭 변호사(법무법인 세움) 집계

조사를 받으면 언제 끝나나

처분의 내용만큼 자주 받는 질문이 절차에 걸리는 시간입니다. 결정문은 그 날짜를 스스로 적어 둡니다. 조사를 언제부터 언제까지 했는지, 사전통지서를 언제 보냈는지, 피심인이 언제 의견을 냈는지가 본문에 있습니다. 거기에 의결일을 붙이면 절차 전체의 일정이 이어집니다.

기준일 2026-10-26 · 출처 개인정보위 결정문 — 조사·사전통지·의결 일자. 🔴 구간마다 분모가 다릅니다. 결정문이 그 날짜를 적은 건에만 값이 있어서, 조사 기간은 420건 · 사전통지 관련은 660건이 분모입니다. 하나의 표본으로 합쳐 읽지 마십시오.

사전통지를 받으면 며칠 안에 답했나

행정절차법은 의견제출에 상당한 기간을 주도록 하지만, 실제로 며칠 만에 냈는지는 결정문에만 있습니다. 아래는 사전통지 송부일과 의견제출일이 모두 적힌 474건입니다.

최소 0일 · 중앙값 14일 · 최대 382일입니다. 「0일」은 사전통지 당일에 의견을 낸 건입니다. 이 표는 위원회가 준 기한이 아니라 피심인이 실제로 낸 날이므로, 기한이 그만큼이었다는 뜻으로 읽으면 안 됩니다.

전체는 대체로 1년 안팎입니다. 조사 시작에서 의결까지 중앙값이 322일이고, 6개월에서 1년 사이와 1년에서 2년 사이에 대부분이 몰려 있습니다. 다만 최소 61일에서 최대 1,416일까지 폭이 넓어 평균으로 가늠할 수 없습니다.

위원회가 스스로 목표 기간을 내놓았습니다. 개인정보보호위원회는 2026년 10월 2일 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」을 발표하면서 중요사건은 12개월, 일반사건은 6개월, 경미사건은 3개월 이내에 처리하는 것을 원칙으로 삼겠다고 밝혔습니다. 중요사건은 100만 명 이상 유출, 사회적 관심·우려가 큰 사건, 주요 공공시스템 해킹 등입니다. 조사 기간이 연장되면 6개월 또는 12개월 단위로 조사 대상자에게 알리겠다는 내용도 들어 있습니다(개인정보보호위원회 보도자료, 2026. 10. 2.). 다만 이것은 단계적으로 추진하겠다는 방안이고 법령이 정한 처리 기한이 아닙니다. 위 표의 값은 이 방안이 나오기 전에 의결된 사건에서 나온 것입니다.

조사가 끝났다고 절차가 곧 끝나는 것은 아닙니다. 조사 종료에서 의결까지 다시 중앙값 120일이 걸립니다. 사전통지를 받은 뒤로 좁히면 중앙값 68일입니다. 사전통지는 절차의 끝이 아니라 마지막 구간의 시작으로 보는 편이 맞습니다.

의견제출은 1주에서 4주 사이에 몰려 있고, 절반은 2주 안에 냅니다. 이 구간이 회사가 실제로 대응할 수 있는 가장 확실한 시간입니다. 무엇을 다툴지는 피심인 항변과 위원회 판정에서 종류별 수용률을 보고 정하십시오. 위법성을 다투는 주장과 과징금 산정을 다투는 주장의 결과가 크게 갈립니다.

기한의 하한은 고시에 있습니다. 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회 고시 제2026-13호, 2026년 9월 11일 시행) 제16조 제1항은 조사관이 조사결과 보고를 마친 날부터 14일 이내에 사전통지서를 보내고, 14일 이상의 기간을 정해 의견을 낼 기회를 주도록 정합니다. 행정절차법 제21조 제3항의 일반 기준(10일 이상을 고려)보다 깁니다. 위 표의 값은 위원회가 준 기한이 아니라 피심인이 실제로 의견을 낸 날이므로 이 기한과 직접 견주면 안 됩니다.

⚠️ 이 값은 결정문이 날짜를 적은 건에서만 나옵니다. 적지 않은 건이 더 빨랐거나 느렸다는 뜻이 아닙니다.

처분이 송달되지 않으면 어떻게 되나

절차의 마지막 단계는 송달입니다. 주소가 바뀌었거나 문이 닫혀 서류가 되돌아오면 처분이 사라지는 것이 아니라 공고로 갈음됩니다(행정절차법 제14조 제4항). 그 공고는 결정문 게시판이 아니라 별도의 공시송달 게시판에 뜨고, 제재 자료를 결정문만 보고 정리하면 이 단계가 통째로 빠집니다.

기준일 2026-10-26 · 출처 개인정보보호위원회 공시송달 게시판. 🔴 개별 공고로 가는 링크를 걸지 않습니다. 공고 원문에는 대상자의 주소가 번지까지 적혀 있고, 성명과 주민등록번호 앞자리가 함께 있는 건도 있습니다. 위원회가 공개한 문서라도 그것을 검색되는 표로 다시 펴는 것은 다른 일이라고 보아, 이 표에는 주소·사업자등록번호·대상자 이름을 싣지 않고 인용은 공고번호로 합니다.

「과태료 독촉」 공고에는 위반 조문이 적히지 않습니다 — 이미 부과된 과태료를 받지 못해 독촉하는 단계라 근거 법령이 질서위반행위규제법·국세징수법입니다. 본문을 읽지 못한 6건은 첨부가 한글파일이거나 스캔 이미지인 공고입니다.

공고는 절차의 여러 단계에서 나옵니다. 사전통지가 안 되면 사전통지 공고가, 의결서가 안 가면 의결서 정본 공시송달이, 과태료를 안 내면 독촉 공고가 뜹니다. 같은 사업자에게 순서대로 붙기도 합니다.

대상자에 개인이 많습니다. 결정문 게시판 쪽은 법인 중심이라 잘 드러나지 않지만, 이 게시판의 대상자는 상당수가 개인입니다. 조문도 그에 맞게 갈립니다 — 영상정보처리기기 안내판(제25조 제4항), 수집 출처 통지(제20조 제1항), 열람 요구 처리(제35조)처럼 개인이 운영하는 사업장에 적용되는 조문이 상위를 차지합니다.

여기에만 있는 의결이 있습니다. 공고에 안건번호가 적힌 건을 결정문 게시판과 대조하면 게시판에 없는 의결번호가 나옵니다. 위원회가 결정문을 공개하지 않은 처분이 있다는 또 하나의 증거이고, 결정문 미공개층이 보도자료로 복원한 것과 같은 성질의 공백입니다.

⚠️ 이 표는 송달이 안 된 처분만 셉니다. 정상적으로 송달된 처분은 여기 오지 않으므로, 공고 건수를 처분 건수로 읽으면 안 됩니다.

자주 묻는 질문

Q. 개인정보위 조사는 무엇 때문에 시작되나요?

결정문의 「조사 배경」 절에 적힌 것을 세어 보면, 그 절이 있는 의결 596건 가운데 346건(58%)이 「유출 신고」, 곧 사업자 자신의 개인정보 유출 신고에서 시작됐습니다. 그다음이 제3자 신고·민원 83건, 언론 보도 54건, 타 기관 통보·의뢰 41건, 실태점검·직권조사 34건 순입니다. 규제기관이 먼저 찾아내는 경우보다 신고된 사건을 들여다보는 경우가 훨씬 많습니다. 다만 이 분포는 처분까지 간 사건의 분포이지 신고·민원 접수 전체의 분포가 아닙니다.

Q. 개인정보위 조사는 얼마나 걸리나요?

결정문이 날짜를 적은 건 기준으로 조사 시작에서 의결까지 중앙값이 322일입니다. 조사 기간 자체는 중앙값 142일이고, 조사가 끝난 뒤 의결까지 다시 중앙값 120일이 걸립니다. 사전통지를 받은 뒤로 좁히면 중앙값 68일입니다. 다만 구간마다 분모가 다릅니다 — 조사 기간은 결정문이 「조사(A~B)」로 적은 건에만, 사전통지 관련 값은 그 절을 둔 건에만 있습니다. 하나의 표본으로 묶어 읽으면 안 됩니다.

Q. 사전통지를 받으면 며칠 안에 의견을 내야 하나요?

개인정보보호위원회 고시인 「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제16조 제1항은 사전통지를 할 때 14일 이상의 기간을 정해 의견을 낼 기회를 주도록 정합니다(고시 제2026-13호, 2026년 9월 11일 시행 기준). 행정절차법의 일반 기준(10일 이상을 고려, 제21조 제3항)보다 깁니다. 다만 실제로 며칠 만에 냈는지는 결정문에만 있습니다. 사전통지 송부일과 의견제출일이 모두 적힌 474건을 보면 최소 0일, 중앙값 14일, 최대 382일이고 1주에서 4주 사이(8일에서 30일)에 84%가 들어옵니다. 2주 안에 낸 것이 54%입니다. 이 값은 위원회가 준 기한이 아니라 피심인이 실제로 낸 날이므로, 기한이 그만큼이었다는 뜻으로 읽으면 안 됩니다.

Q. 처분 서류가 송달되지 않으면 처분이 없던 일이 되나요?

아닙니다. 주소불명이나 폐문부재로 서류가 되돌아오면 행정절차법 제14조 제4항에 따라 공고로 갈음됩니다. 개인정보보호위원회는 이 공고를 결정문 게시판이 아니라 별도의 공시송달 게시판에 올리고, 사전통지가 안 될 때·의결서가 안 갈 때·과태료를 안 낼 때 각각 공고가 나갑니다.

함께 볼 것

• 과징금 산정 근거 — 왜 그 액수가 됐는가
• 개인정보위 조사, 6개월이면 끝나나 — 12·6·3개월 원칙과 이 표의 기간을 놓고 일정을 어떻게 잡을 것인가
• 피심인 항변과 위원회 판정 — 의견제출에서 무엇을 다툴 것인가
• 시정명령 내용 — 의결 뒤에 무엇을 언제까지 해야 하는가
• 유출 통지·신고 지연 — 조사의 가장 흔한 입구
• 개인정보위 제재 결정문 전수 — 처분 자체의 조회용 표