개인정보위 과징금 통계, 통념과 갈린 여섯 대목 — 공개 결정문 1,018건 · 2026년 3분기 노트

개인정보위 공개 결정문 1,018건(2026-10-12 수집분)을 세어 보면, 통지가 늦은 103건에서 과징금은 제29조(안전조치) 위반이 함께 인정된 68건 중 38건에 붙었고 그렇지 않은 35건에서는 1건이었습니다. 유출 규모, 조사 착수 경로, 조사 기간, 의견 제출 기간도 같은 방식으로 맞대 보았고, 2026년 3분기에 의결된 39건의 현황을 덧붙였습니다. 공개 결정문만 센 관찰값이며 인과관계를 뜻하지 않습니다.

「에이전틱 AI 개인정보 처리 안내서」가 답해야 할 질문 — 해외 규제기관도 아직 숫자로 답하지 않은 보존기간

올해 말 예고된 「(가칭)에이전틱 인공지능 개인정보 처리 안내서」에서 확인할 지위·책임, 승인, 권한, 로그·메모리 질문을 정리합니다. 스페인·홍콩의 기준과 채택 전 유럽평의회 초안을 한국 조문에 대조하고, 발간일에 실제 답변을 기록할 표를 마련했습니다.

침해사고 신고와 개인정보 유출 신고, 둘 다 해야 하나 — 24시간과 72시간이 동시에 도는 회사

해킹으로 개인정보가 빠져나가면 신고 창구가 둘이 됩니다. 정보통신망법 제48조의3 제1항은 24시간, 개인정보 보호법 제34조 제4항과 같은 법 시행령 제40조는 72시간을 정합니다. 갈음은 한 방향으로만 흐르고, 2026년 9월 11일부터는 유출이 확정되지 않은 단계의 통지 의무가, 2026년 10월 1일부터는 이용자에 대한 침해사고 통지 의무가 더 붙었습니다. 정부나 제3자의 연락으로 사고를 알게 된 경우 두 시계가 언제부터 도는지까지 정리했습니다.

경찰이 고객 개인정보를 달라고 하면 줘도 됩니까 — 영장·통신사실 허가서·통신이용자정보 요청서·수사협조 공문부터 가릅니다

수사기관에서 고객 정보를 달라는 문서를 받은 회사가 제출 여부를 판단하는 순서를 정리합니다. 판단은 받은 문서가 압수·수색영장(형사소송법 제215조)인지, 통신사실 확인자료 제공요청 허가서(통신비밀보호법 제13조)인지, 통신이용자정보 제공요청서(전기통신사업법 제83조 제3항)인지, 근거 조문이 적히지 않은 수사협조 공문인지에서 갈립니다. 허가서와 요청서는 전기통신사업자를 상대방으로 정한 제도이므로 회사의 사업 지위를 먼저 확인해야 하고, 민간 회사는 개인정보 보호법 제18조 제2항 제7호(범죄의 수사)를 쓸 수 없어 같은 항 제2호의 「다른 법률」이 있는지가 남습니다. 영장 원본 없이 사본을 팩스로 보내 집행한 사건에서 법원이 그 제공은 구 정보통신망법 위반으로 보면서도 회사의 배상 책임은 부정한 판결도 함께 봅니다.

회사가 고객을 고소하면서 CCTV·회원정보를 첨부해도 됩니까 — 대법원이 정당행위 판단에 든 8가지 고려요소

회사가 부정결제 고객이나 퇴사자를 고소하면서 CCTV 영상·회원정보를 고소장에 첨부하면, 대법원 기준으로는 개인정보 「누설」에 해당하지만(2018도1966) 형법 제20조 정당행위로 위법성이 조각될 수 있습니다(2023도17590·2025도9522). 대법원은 제출 경위·상대방·최소성·비실명화·민감성 등 8가지 고려요소를 들었고, 민사 손해배상에도 같은 기준을 썼습니다(2025다209756). 민간 회사는 제18조 제2항 제7호(범죄의 수사)를 근거로 쓸 수 없습니다. 하급심 3건의 결론과 제출 전 점검 순서를 함께 정리했습니다.

개인정보위 자료제출 요구를 받았습니다 — 첫 회신 전에 맞춰 볼 사실관계와 증빙

개인정보위 자료제출 요구를 처음 받은 회사가 공문의 범위와 기한을 확인하고, 요청항목별 단일 대응표에서 담당자 진술·시스템 원본·제출자료를 대조하는 방법을 정리합니다. 자료 간 충돌을 처리하고 완전성·일관성·추적 가능성을 갖춘 첫 회신을 준비하기 위한 실무 기준입니다.

개인정보 보호책임자를 지정해 두면 되나, 총괄 범위까지 맞춰야 하나

보호책임자를 지정했더라도 일부 개인정보 처리 시스템이 그 책임자의 관할 밖에 있으면 지정 의무를 이행하지 않은 것으로 판단될 수 있습니다. 이 글은 취소소송이 계속 중인 SK텔레콤 의결에서 CPO의 총괄 범위를 문제 삼은 판단을 분석하고, 개인정보 항목·시스템·조직·점검 권한을 대조하는 방법을 정리합니다.

크리덴셜 스터핑을 막았다고 인정받으려면 차단 정책이 있으면 되나, 임계치가 맞아야 하나

남의 사이트에서 새어 나온 비밀번호로 우리 사이트에 로그인당하는 공격에서, 개인정보보호위원회는 차단 정책의 유무가 아니라 임계치가 평상시 트래픽에 비추어 합리적인지를 봅니다. 결정문에 남은 임계치 판단 네 건을 숫자 그대로 놓고, 조사가 시작되기 전에 무엇을 먼저 확인해야 하는지 정리합니다.

유출 통지가 늦어서 과징금이 나오나, 안전조치가 미흡해서 나오나 — 개인정보위 통지 지연 제재의 판정

공개된 유출 통지·신고 위반 의결에서 과징금 부과와 안전조치의무 위반의 동반 여부를 살폈습니다. 이 비교만으로 지연의 영향이 없다고 단정할 수는 없습니다. 통지·신고 위반 자체의 제재와 다른 위반에 대한 과징금 액수 산정을 구분하고, 기한 준수와 사고 당시 증적 보존을 함께 준비하는 방법을 정리합니다.

개인정보보호법