개인정보보호법

카카오페이 사건에서 개인정보위는 동의 없는 제3자 제공에는 특별법인 신용정보법 제32조 제1항이 적용된다고 보고 국외 이전 부분만 개인정보 보호법 제28조의8 제1항으로 처분했고, 금감원은 같은 전송을 신용정보법 제32조 제1항으로 제재했습니다. 롯데카드 사건에서 개인정보위는 주민등록번호 처리(제24조의2)만, 금융위원회는 패치·백신 등 보안대책 전반을 신용정보법·여신전문금융업법으로 처분했고, 로그 속 주민등록번호 암호화 미이행은 두 처분에 모두 들어 있습니다. 두 사건만으로 일반 규칙을 단정할 수는 없지만, 사고 대응에서는 문제된 행위를 두 법의 조문에 각각 대응시켜 보고 한 기관의 처분을 사건의 종결 시점으로 잡지 않는 것이 먼저로 보입니다.

티빙 유출은 2026년 5월에 일어났지만, 9월 11일 당시 안전조치 미비가 남아 있었다면 매출 10% 징벌적 과징금을 적용하는 것이 문언과 법리에 맞는 것으로 판단됩니다. 개정법 부칙 제3조 제2항은 「고의·중과실로 1천만명 이상 피해」 유형에 한해 시행 당시 종료되지 아니한 위반행위에도 적용하도록 정했고, 개인정보위와 법원은 안전조치의무 위반의 위반행위를 유출이 아니라 안전조치 미이행으로 보아 왔습니다. 골프존(제2024-008-182호)·디지털대성(제2024-006-163호) 사건과 대법원 판례로 위반행위의 종료 시점을 확인하고, 피해 정보주체 1,953만명, 고의·중과실, 탈퇴 계정 887만 개 쟁점과 처분 전 기업이 준비할 사항을 정리했습니다.

회사가 서버가 해외에 있는 생성형 AI에 업무 문서를 넣으면 그 안의 개인정보는 국외로 이전됩니다. 흔히 근거로 적는 개인정보 보호법 제28조의8 제1항 제3호는 「정보주체와의 계약의 체결 및 이행을 위하여」 필요한 처리위탁·보관을 요건으로 합니다. 소송 상대방 회사의 대표·담당자는 회사와 계약한 개인이 아니고, 회사가 자기 영업 분석에 쓰는 고객사의 고객 정보는 연결할 계약 이행을 찾기 어렵습니다. 개인정보위 실무는 계약한 이용자가 있는 서비스에서 제3호를 적용해 왔지만, 계약 당사자가 아닌 사람의 정보에도 이 호가 서는지를 직접 다룬 공식 문서는 확인 범위에서 찾지 못했습니다. 회사가 고객사의 수탁자로서 처리하는 경우는 따로 따져야 합니다.

구글폼 설정 때문에 응답자의 개인정보가 다른 응답자에게 보인 사안에서, 개인정보위는 폼을 만들어 응답을 받은 기관에 안전조치 의무(개인정보 보호법 제29조, 2021년 1건은 구 정보통신망법 제28조) 위반으로 과태료를 부과해 왔습니다. 찾아낸 결정문 8건의 과태료는 180만 원에서 1,400만 원이었고, 노출 시간이 적힌 5건은 약 33분에서 11일이었습니다. 「구글 쪽 오류」라는 주장은 소명되지 않았고, 주민등록번호까지 받은 2건에는 제24조 제3항이 함께 적용됐습니다.

건강 상태를 입력받아 여러 후보에게 보여 준 뒤 한 명을 고르게 하는 매칭 플랫폼은 동의를 세 갈래로 설계해야 합니다. 건강 정보는 민감정보라 다른 동의와 별도로 받아야 하고(개인정보 보호법 제23조 제1항 제1호), 성인 정보주체의 동의를 가족이 대신할 수 있다는 규정은 이 법에 없어 보호자의 대리권을 따로 확인해야 하며, 선정 전 후보 열람은 제3자 제공으로 볼 여지가 커서 단계마다 제공받는 자·항목·보유기간을 나누어 알리는 편이 안전합니다.

의료법 제21조 제2항은 병원이 환자 아닌 사람에게 진료기록을 내주는 것을 금지하고, 환자가 지정한 대리인은 시행규칙 제13조의3 제2항의 서류를 갖춘 경우에만 기록을 받을 수 있습니다. 요청자 신분증 사본, 환자가 자필 서명한 동의서(별지 제9호의2서식)와 위임장(별지 제9호의3서식), 환자 신분증 사본이 그 서류이고, 14세 미만 환자라면 동의서와 위임장을 법정대리인이 작성하고 법정대리인임을 확인할 서류를 붙여야 합니다. 환자 대신 기록을 받는 서비스를 설계하는 회사가 서류 수집 단계와 받은 기록의 처리 단계에서 확인할 것, 그리고 개인정보 보호법 제35조의2 전송요구와의 관계를 정리했습니다.

병원의 업무만 병원의 지시·감독 아래 처리하는 병원 연계 데이터 사업자는 개인정보 보호법 제26조의 수탁자로 볼 여지가 큽니다. 다만 같은 앱에서 자기 회원 서비스나 자사 상품 홍보를 함께 하면, 병원 몫 정보를 그 용도로 쓰는 순간 제26조 제5항의 목적 외 이용이 되고 구조 전체가 제3자 제공으로 판단될 위험도 생깁니다. 지위를 회사 단위가 아니라 데이터 흐름 단위로 나누어야 하는 이유와, 병원(위탁자)과 사업자(수탁자)가 각각 갖출 문서·공개·동의를 정리했습니다.

고객사 수백 곳의 개인정보를 처리하는 B2B SaaS가 고객사마다 위수탁 계약서를 따로 맺지 않아도 되는지 정리했습니다. 개인정보위 안내서는 수탁자 서비스를 이용하는 형태의 위탁이면 약관으로 계약할 수 있다고 보지만, 법 제26조 제1항과 시행령 제28조 제1항의 기재 사항이 모두 들어가야 합니다. 재위탁 동의는 범위와 절차를 미리 정해 약관에 둘 수 있고, 재수탁자 목록은 수탁자 처리방침 링크로 공개하는 방식이 안내돼 있습니다. 고객사가 위탁 사실을 공개하지 않은 데 따른 과태료는 위탁자 몫입니다.

투자 실사의 개인정보 항목이 고객 데이터에서 임직원 데이터로 넓어지고 있습니다. 지적이 잘 나오는 곳은 민감정보·고유식별정보를 구분 없이 한 번에 묶어 받은 입사 동의서, 법정 보존기간이 지난 퇴직자 기록, 임직원 처리 내용이 빠진 처리방침 세 곳입니다. 처리방침 정비와 보존기간이 지난 기록의 파기는 클로징 전에 완료할 수 있어 선행조건에 맞고, 이미 지난 처리의 흠은 확약으로 지워지지 않으므로 진술보증이나 면책으로 다뤄야 합니다.

성인의 건강정보는 본인이 정보주체이고, 부모와 자녀라는 관계만으로는 서로를 대신해 동의할 권한이 생기지 않습니다. 개인정보 보호법이 동의 주체로 명시한 법정대리인은 만 14세 미만 아동의 법정대리인뿐이며, 성년후견인이 대신 동의할 수 있는지는 가정법원이 정한 법정대리권과 신상결정 권한의 범위에 따라 달라질 여지가 있습니다. 건강 관리 앱의 가족 공유 기능을 본인 동의 중심으로 설계하는 방법과, 대리 신청을 받을 때 후견등기사항증명서로 권한 범위를 확인하는 방법을 정리합니다.