개인정보 처리 위탁 위반 제재 사례 50여 건 — 보호법 제26조 위탁자 책임

개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)이 위반으로 인정된 개인정보위 제재 의결 54건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 9건(102억 원), 과태료 35건(1억 원), 금전 부과가 아닌 처분 14건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

개인정보 파기 의무 위반 제재 사례 90여 건 — 보호법 제21조 과태료·과징금

개인정보 보호법 제21조(개인정보의 파기)이 위반으로 인정된 개인정보위 제재 의결 91건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 26건(310억 원, 액수 비공개 2건 제외), 과태료 65건(5억 원, 액수 비공개 3건 제외), 금전 부과가 아닌 처분 22건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

개인정보취급자 감독 의무 위반 제재 사례 30여 건 — 보호법 제28조

개인정보 보호법 제28조(개인정보취급자에 대한 감독)이 위반으로 인정된 개인정보위 제재 의결 31건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 0건(0원), 과태료 10건(3,060만 원), 금전 부과가 아닌 처분 21건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

고유식별정보 처리 제한 위반 과징금 사례 40여 건 — 보호법 제24조

개인정보 보호법 제24조(고유식별정보의 처리 제한)이 위반으로 인정된 개인정보위 제재 의결 43건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 27건(28억 원), 과태료 26건(1억 원), 금전 부과가 아닌 처분 2건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

구 정보통신서비스 제공자 유출 신고 특례 제재 67건 — 구법 제39조의4

개인정보 보호법 제39조의4(개인정보 유출등의 통지·신고에 대한 특례)이 위반으로 인정된 개인정보위 제재 의결 67건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 33건(264억 원, 액수 비공개 12건 제외), 과태료 66건(5억 원, 액수 비공개 5건 제외), 금전 부과가 아닌 처분 1건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

민감정보 처리 제한 위반 제재 사례 20여 건 — 보호법 제23조

개인정보 보호법 제23조(민감정보의 처리 제한)이 위반으로 인정된 개인정보위 제재 의결 20건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 5건(20억 원), 과태료 17건(2억 원), 금전 부과가 아닌 처분 1건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

안전조치의무 위반 과징금·과태료 사례 450여 건 — 개인정보 보호법 제29조 제재

개인정보 보호법 제29조(안전조치의무)이 위반으로 인정된 개인정보위 제재 의결 452건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 99건(2,017억 원, 액수 비공개 21건 제외), 과태료 346건(20억 원, 액수 비공개 17건 제외), 금전 부과가 아닌 처분 89건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

주민등록번호 처리 제한 위반 과징금 사례 50여 건 — 보호법 제24조의2

개인정보 보호법 제24조의2(주민등록번호 처리의 제한)이 위반으로 인정된 개인정보위 제재 의결 57건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 24건(451억 원, 액수 비공개 2건 제외), 과태료 49건(3억 원, 액수 비공개 2건 제외), 금전 부과가 아닌 처분 4건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

본사가 한국 이용자 데이터로 AI를 학습시키겠다고 합니다 — 새 특례로 걷히는 조문과 그대로 남는 국외이전

2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다. 실무에서 중요한 것은 특례를 받으면 무엇이 걷히느냐인데, 적용 제외 목록을 정한 제28조의15는 국외 이전 조항을 '처리위탁하는 경우에 한정한다’고 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 그대로 남습니다.

적법하게 수집한 주민등록번호를 로그에 남겼습니다 — 그것이 왜 별개의 위반인가

개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다.