개인정보보호법

건강정보는 민감정보이므로 개인정보 보호법 제23조 제1항 제1호에 따라 다른 개인정보 처리에 대한 동의와 별도로 동의를 받아야 합니다. 회원가입 동의 한 번에 묶어 받으면 동의 방법의 하자를 넘어 민감정보를 동의 없이 처리한 것으로 다뤄질 수 있고, 이 경우 과징금(제64조의2 제1항 제3호)과 형벌(제71조 제4호)의 대상이 됩니다. 개인정보위가 포괄 동의를 제23조 제1항 위반으로 본 의결과, 지적된 뒤 동의 화면·고지·기존 데이터를 어떻게 정리해야 하는지를 정리합니다.

가상 사례입니다. 외부 벤더가 공급한 고객상담 AI 에이전트가 상담 창에 입력된 지시문(프롬프트 인젝션)에 따라 고객 주문 정보를 외부 주소로 보낸 사고를 발견부터 72시간까지 시간순으로 따라갑니다. 인지 시점, 유출 가능성 통지, 시행령 제40조 제1항 제3호의 「외부로부터의 불법적인 접근」 해당 여부, 정보통신망법의 24시간 신고, 벤더의 수탁자 지위, 회수·삭제 단서, 통지 문안과 기록에서 회사가 고를 수 있었던 선택지와 그때 남는 기록을 표로 정리했습니다. 프롬프트 인젝션이 제3호에 해당하는지에 관한 개인정보위의 공개 해석은 2026년 10월 15일 기준 확인하지 못했고, 해당한다고 볼 근거와 아니라고 볼 근거가 함께 있습니다.

CCTV 영상을 외부로 내보내지 않고 들여다본 뒤 그 내용을 말로 전해 징계 자료로 쓴 행위도 대법원은 개인정보의 「이용」이라고 보았습니다(대법원 2025. 6. 26. 선고 2023도18539 판결). 다만 이 판결은 파기환송이고 유죄 확정이 아니며, 그 이용이 수집 목적의 범위를 넘었는지와 영상을 본 사람이 개인정보처리자인지는 환송심에 남았습니다. 회사가 설치 목적과 개인정보 보호법 제18조 제2항의 근거를 어떤 순서로 확인할지, 그리고 목적 밖의 이용이나 동의 없는 제공을 다른 법률의 규정으로 정당화하려 한 공공기관 행정사건 두 건에서 결론이 어떻게 갈렸는지를 정리합니다.

그룹 계열사끼리 맡긴 고객 상담 업무도 개인정보 보호법 제26조의 위탁입니다. 개인정보보호위원회는 2026년 5월 13일 보람상조 계열 사건에서 시스템 운영사와 별도로, 상담 업무를 맡긴 계열 6개사를 각자 피심인으로 삼아 제26조 제4항·제2항 위반을 인정하고 시정명령과 공표명령을 내렸습니다. 수탁자와 한 조직처럼 운영했다는 사정은 위반을 지우지 못하고 과실 평가를 낮추는 데에만 반영됐으며, 과징금이 세 곳에만 부과된 이유는 위반 내용이 아니라 산정 금액의 크기였습니다.

고객의 예금·정산금·가상자산에 대한 압류명령을 받은 회사(제3채무자)가 법원에 내는 진술서에 무엇을 적어야 하는지를 개인정보 제공 범위의 관점에서 정리합니다. 진술할 사항은 민사집행법 제237조 제1항의 네 호가 정하고, 가상자산이전청구권은 2026년 10월 12일 공포된 민사집행규칙 일부개정규칙(대법원규칙 제3280호, 2026년 11월 1일 시행) 제175조의4의 네 호가 정합니다. 네 호에 직접 대응하지 않는 거래내역 전체·입출금 상대방·본인확인 자료는 자동으로 진술의무에 포함되지 않으므로 진술 사항과의 관련성·필요성과 별도 제공 근거를 따로 확인해야 하고, 민간 회사는 개인정보 보호법 제18조 제2항 제8호(법원의 재판업무 수행)를 근거로 쓸 수 없습니다.

개인정보위가 밝힌 12·6·3개월 처리 원칙, 언론이 전한 평균 조사 기간, 결정문에서 직접 센 기간은 서로 다른 구간을 잰 숫자입니다. 조사 통지를 받은 회사가 충당금·공시·이사회 보고·거래 일정을 어떤 전제로 잡아야 하는지, 준비의 순서를 정리합니다.

2026년 10월 은행권 유출에서 KB국민은행 119명 건은 개인정보위에, 신한은행 약 2만 5천 명 건은 금융감독원에 신고된 것으로 보도됐습니다. 신고처가 갈린 것은 신용정보법(개인신용정보 1만 명 이상 → 금융위원회·금융감독원)과 개인정보 보호법(1천 명 이상·민감정보·고유식별정보·외부의 불법적인 접근 → 72시간 안에 개인정보위·한국인터넷진흥원)의 기준이 다르기 때문입니다. 1만 명 미만 누설에 개인정보 보호법의 신고 조항이 적용되는지에 관하여 확인되는 공개 해석은 없습니다. 세 은행 공지의 유출 항목을 두 기준에 대어 보았습니다.

보안 인증과 정보보호 투자를 들어 「안전조치를 다했다」고 주장한 사건에서 개인정보보호위원회는 그 노력을 인정하면서도 유출 지점의 보호조치를 따로 따졌고, 다섯 건 어디에서도 인증이 위반을 없애지 않았습니다. 인증과 투자는 과징금 산정에서 반영됐습니다. 쿠팡 Wing 사건에서는 투자공시 업계 1위 등을 들어 30%를 추가 감경했고, 2026년 9월 11일부터는 법 제64조의2 제6항이 투자에 따른 감경을 의무로 정했습니다.

집단소송법은 아직 통과되지 않았습니다. 2026년 10월 25일 현재 제22대 국회에 발의된 집단소송 법안 15건이 모두 법제사법위원회에 계류 중입니다. 우리가 15건의 부칙을 원문으로 읽어 보니 8건이 법 시행 전에 생긴 사유로 인한 손해배상청구에도 적용한다고 정하고 있어, 그런 안이 통과되면 이미 난 유출 사고도 집단소송 안으로 들어올 여지가 있습니다. 어느 안이 어떤 문언으로 통과될지는 알 수 없습니다.

탈퇴한 회원의 정보는 유출 사고에서 대상 특정과 통지 두 자리에서 다시 문제가 됩니다. 쿠팡 의결(제2026-011-075호)은 파기되지 않은 탈퇴회원 884,972개 계정의 배송지 정보 중 100,696개 계정분이 실제 유출됐다고 적었습니다. 엔에이치엔위투는 통지 이메일 512,382건 중 197,012건이 실패했고, 한국고용정보원은 탈퇴회원 198명에게 통지하지 못했다고 대응 경과에 적었습니다. datalaw.kr 제재 DB에서 탈퇴 회원이 사고 사실관계에 나온 의결 12건을 읽고, 사고 전에 점검할 네 가지를 정리했습니다.