개인정보보호법

개인정보보호위원회가 공개한 제재 의결서에서 유출 경위가 기재된 204건을 경위별로 분류했습니다. 여덟 유형이 나왔고, 과징금 부과율은 유형에 따라 0%에서 69%까지 갈립니다. 담당자가 파일을 잘못 올리거나 메일을 잘못 보낸 48건에서 과징금이 나온 것은 10건뿐이고, 그 10건은 전부 주민등록번호가 새어 나간 사건입니다. 오게시·오발송 자체가 과징금을 부르는 것이 아니라 새어 나간 항목이 무엇이었는지가 가릅니다.

72시간은 대응의 전부가 아니라 입구입니다. 통지·신고를 마치면 개인정보보호위원회의 자료제출 요구와 검사(법 제63조), 혐의 없이 시작되는 사전 실태점검(제63조의2), 시정조치·과징금·과태료·고발과 공표(제64조·제64조의2·제75조·제65조·제66조), 그리고 손해배상과 집단분쟁조정(제39조·제39조의2·제49조)이 차례로 이어집니다. 초기 72시간에 만든 기록이 이 모든 단계에서 다시 쓰이는 이유와, 9월 11일 개정이 배상 조문까지는 오지 않는 이유를 정리합니다.

생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.

개인정보 보호법 제63조의2의 사전 실태점검은 위반 혐의도 신고도 없을 때 나오는 점검입니다. 여기서 받는 권고는 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(제4항), 제61조 제2항의 개선권고에는 그런 간주가 없습니다. 판단할 시간은 통보받은 날부터 10일이고, 수락 여부를 가르는 것은 권고 문서에 이미 적혀 있는 이행 기간입니다(고시 제30조의4). 수락한 뒤의 불이행은 2026년 9월 11일부터 전체 매출액 10% 과징금 트랙과 이어집니다.

개인정보보호위원회가 제재를 의결하고 보도자료까지 냈지만 결정문 게시판에 의결서를 올리지 않았거나, 의결서는 있어도 비실명이라 이름이 보도자료에만 있는 의결일 25개를, 위원회 보도자료 32건으로 재구성한 표입니다. 쿠팡 6,246억 원·KT 540억 원·메타 308억 원·루이비통 214억 원처럼 실무에서 자주 묻는 사건이 여기 들어 있습니다. 결정문 전수 표에서 특정 조문이나 업종이 0건으로 나올 때, 그것이 선례가 없다는 뜻인지 결정문이 공개되지 않았을 뿐인지를 이 표로 가를 수 있습니다.

개인정보보호위원회가 개인정보 처분을 맡기 전에는 방송통신위원회가 정보통신망법으로 처분했습니다. 그 의결서 348건을 안건번호·의결일·위반 조문·처분·금액으로 정리한 표입니다. 2008년 6월 24일부터 2023년 6월 28일까지이고, 과태료 321건 43억 4,970만 원과 과징금 41건 52억 5,784만 원이 담겨 있습니다. 시정명령과 별개로 중앙일간지 공표를 명한 건이 19건입니다. 최다 위반 조문은 구 정보통신망법 제28조 제1항(기술적·관리적 보호조치) 207건으로, 현행 개인정보 보호법 제29조 안전조치의무에 해당합니다.

개인정보보호위원회 제재 처분을 다툰 판결문 18건을 전부 읽고, 법원이 위원회와 다르게 판단한 지점만 골라 정리했습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923) 두 갈래뿐입니다. 그 두 갈래를 뺀 나머지, 곧 상소심이 진행 중인 사건은 1심·2심에서 전부 위원회가 이겼습니다. 다만 전부 기각된 판결 안에도 해설서의 규범력, 면제 사유의 존재, 구법 적용의 근거에 관해 위원회와 다른 판단이 들어 있고, 이 판시들은 소송보다 조사·의견진술 단계에서 먼저 쓰입니다.

개인정보보호위원회 제재 처분을 행정소송으로 다툰 사건 전수입니다. 결정문 게시판 수록 범위(2020년 11월 이후) 처분 가운데 취소소송이 확인된 20건의 심급별 결과, 집행정지 결정, 그리고 사업자가 결론까지 이긴 확정 선례를 표로 정리했습니다. 행정심판 재결은 확인되지 않고, 확정된 4건 중 2건은 사업자가 이겼으며, 상소심이 진행 중인 10건은 1심·2심에서 전부 위원회가 이겼습니다. 사업자가 이긴 것은 「입점 판매자는 개인정보취급자가 아니다」와 「과징금이 비례원칙에 반한다」 두 갈래뿐입니다.

개인정보 보호법 제22조(동의를 받는 방법)이 위반으로 인정된 개인정보위 제재 의결 20건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 5건(5,550만 원, 액수 비공개 4건 제외), 과태료 19건(1억 원, 액수 비공개 1건 제외), 금전 부과가 아닌 처분 1건이며 2021년부터 2025년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

개인정보 보호법 제34조(개인정보 유출 등의 통지·신고)이 위반으로 인정된 개인정보위 제재 의결 81건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 30건(1,427억 원), 과태료 71건(4억 원), 금전 부과가 아닌 처분 9건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.