개인정보보호법

개인정보 보호법 조문 하나를 두고 「정부와 위원회가 이 조문을 어떻게 읽어 왔는가」를 확인할 수 있는 조회 면입니다. 법제처 법령해석례(국가법령정보센터 본문검색으로 개인정보 보호법 조문을 인용한 건), 개인정보 포털의 위원회 해석례·상담 사례집·법령 해설서 발췌, 개인정보보호위원회 「개인정보 질의응답 모음집」을 조문 키로 묶었습니다. 원천마다 무게가 다르므로 정부유권해석·위원회 해석 사례·상담·해설의 세 등급을 표에 그대로 표시하고, 같은 조문의 제재 의결 수와 분쟁조정 인용 수를 옆에 두되 합산하지 않았습니다. 본문은 싣지 않고 제목·조문·출처와 원문 링크만 냅니다.

금융회사와 핀테크 사업자가 개인신용정보와 전자금융거래에서 「이렇게 해도 되는가」를 금융위원회에 물은 기록이 법령해석 회신과 비조치의견서입니다. 금융규제·법령해석포털에 공개된 회신 가운데 신용정보·전자금융·개인정보를 다룬 건을 회신일·구분·인용 조문·쟁점·회답 성격으로 정리했습니다. 회신문 본문은 포털 저작권정책에 따라 싣지 않고 원문 링크만 두었으며, 쟁점과 회답 성격은 기계 분류입니다. 제재 표와 성격이 달라 건수를 합산하면 안 됩니다.

2026년 10월 1일부터 정보통신서비스 제공자는 CISO의 임원 요건을 점검해야 합니다. 같은 날 시행된 시행령(대통령령 제36735호) 제36조의7 제1항은 사업자를 네 가지로 구분했고, 정보보호 업무를 총괄하는 부서의 장을 지정할 수 있는 것은 제3호에 해당하는 중기업뿐입니다. 부서의 장을 신고해 둔 제4호 사업자는 시행령 부칙 제2조에 따라 2027년 3월 31일까지 다시 지정·신고해야 합니다. CISO 지정·신고 위반 조항은 제76조 제2항 제6호의2로 이동했고 상한은 3천만원을 유지합니다.

주식 인수 실사에서는 사고 이력과 함께 파기·국외이전의 현재 상태, 기능별 동의 근거, 과징금 산정에 들어갈 매출연도를 확인해야 합니다. 업력 3년 이상 기업은 위반사업연도 직전 1년 매출과 직전 3년 평균 중 큰 금액을 기준으로 하므로 인수 후 매출이 곧바로 반영되는 것은 아닙니다. 재동의가 필요한 범위와 활용 가능한 데이터 모수를 사업계획에 반영하는 방법을 설명합니다.

개인정보보호위원회 결정문 게시판의 제재 의결 889건을 전수로 훑어, 인공지능이 쟁점이 된 의결 18건을 골라냈습니다. 그중 과징금이나 과태료가 붙은 것은 7건이고 나머지 11건은 권고와 경고로 끝났습니다. 금전 제재 7건을 보면 AI 자체가 아니라 그 옆의 것이 걸렸습니다. 학습에 쓴 원본 데이터의 수집 근거, 생체정보 동의, 국외이전, 평범한 API 취약점입니다. AI 학습을 이유로 과징금이 부과된 사건은 2021년 이루다 한 건뿐이고, 2024년과 2025년의 AI 사전 실태점검에서 위원회는 제15조 제1항 위반 「소지」를 적으면서도 처분하지 않았습니다.

개인정보보호배상책임보험은 정보주체에 대한 법률상 손해배상금을 덮고, 공개된 약관은 과징금·과태료를 명시적으로 제외합니다. 과징금은 일부 상품의 특약으로만 보상되며, 특약도 고의(상품에 따라 고의·중과실) 과징금과 과태료를 면책합니다. 과징금을 회사의 손해로 삼아 이사에게 오는 청구는 임원배상책임보험(D&O)의 영역인데, 공개된 약관 한 종은 벌과금·법인이 제기한 청구·주주대표소송을 면책하거나 특약 대상으로 둡니다. 2026년 9월 11일 개정법이 대표자의 최종 책임과 CPO의 이사회 보고를 명문화한 뒤에는 세 증권의 면책 조항과 이사회 기록을 함께 확인해야 합니다.

2026년 9월 11일 시행 과징금 부과기준 고시 제10조 제2항 제2호는 정보주체의 피해 회복 조치를 이행한 경우 1차 조정 금액의 「100분의 30 이하」를 감경하는 사유로 둡니다. datalaw.kr 제재 DB의 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 10건이고, 6건은 산정에 반영됐고 4건은 반영되지 않았습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있는 반면, 전원에게 보상했는데 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 개정 고시는 신속 대응 감경(40% 이하)을 따로 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다.

실사에서 대상회사가 개인정보 제재를 받은 적이 없다고 답하면, 인수인은 공개 자료로 그 답을 검증하려 합니다. 검증이 되는 처분과 되지 않는 처분이 갈리는 기준은 시기가 아니라 금액입니다. 억대 과징금은 결정문에 회사 이름이 없어도 개인정보보호위원회 보도자료가 회사를 지목합니다. 반대로 과태료와 시정명령은 2024년 11월 이전 구간에서 열 건 중 일곱 건이 결정문에도 공표에도 이름이 남지 않았습니다.

자세·동작을 분석하는 앱은 이용자가 찍은 영상을 자기 모델 학습에 다시 쓰고 싶어 합니다. 얼굴이 찍힌 영상은 개인정보이지만, 특정 개인을 알아볼 목적의 특징정보로 만들지 않는 한 생체인식정보(민감정보)는 아닙니다. 그러나 '서비스 개선' 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 목적 외 이용이 됩니다. 2021년 이루다 사건에서 개인정보위는 '신규 서비스 개발' 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 제재했고, 2025년 1심 법원도 같은 판단으로 위자료를 인정했습니다. 이 글은 생체정보 판정, 동의 설계, 삭제 요구 처리, 저장소 분리까지 실무 순서로 정리합니다.

2026년 9월 11일 시행 개정 개인정보 보호법은 개인정보 보호책임자(CPO)의 법정 업무에 '전문 인력의 관리 및 예산의 확보'와 '대표자·이사회 보고'를 넣었습니다(제31조 제4항 제2호·제3호). 위반해도 과태료는 없습니다. 그런데 같은 개정이 대표자의 예산 지원 책임(제30조의3)과 예방투자 과징금 감경(제64조의2 제6항)을 함께 만들었기 때문에, 예산 권한이 본사에 있는 한국법인의 CPO는 예산을 쥐는 것이 아니라 요구·배정·보고를 문서로 남기는 방식으로 이 의무를 이행하게 됩니다.