마이데이터 사업을 하려면 전문기관 지정을 받아야 하나요

데이터를 받는 쪽에는 두 갈래가 있습니다. 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자입니다. 갈림점은 규모가 아니라 목적입니다. 받은 정보로 통합조회·맞춤형 서비스를 하려면 지정 대상이고, 고유 업무에서 수집한 정보의 진위를 확인하는 정도면 일반수신자입니다. 경계를 넘으면 시행령이 금지행위로 규정합니다.

본인전송요구가 들어왔습니다: 며칠 안에 보내야 하고, 거절할 수 있나

개인정보 보호법 시행령은 전송 기한을 며칠이라고 정하지 않고 '지체 없이’라고만 씁니다. 대신 거절할 수 있는 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 거절하더라도 사유를 통지해야 하고, 거절 내역과 사유는 3년간 보관해야 합니다. 요구가 들어온 뒤의 절차를 조문 단위로 정리했습니다.

인수한 회사의 개인정보 위반이 클로징 뒤에도 계속되고 있습니다 — 매도인에게 물을 수 있는 구간은 어디까지인가

대법원은 기업지배권이 이전되는 시점 이전의 사유로 발생한 우발채무를 진술보증 위반의 손해로 보았습니다. 2017다6108 판결입니다. 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 파기하지 않은 데이터나 근거가 정리되지 않은 국외이전 같은 개인정보 위반은 클로징 이후에도 계속됩니다. 구간이 어디서 끊기느냐가 과징금의 기준 매출액과 가중 폭까지 함께 바꾼다는 점을 조문 단위로 정리했습니다.

영국 본사와 데이터를 주고받고 있습니다 — EU와 같은 근거를 쓸 수 있나

영국에서 한국으로 보내는 것과 한국에서 영국으로 보내는 것은 근거가 다릅니다. 영국의 적정성 규정은 EU 결정과 달리 보완규정 조건도 신용정보 제외도 두지 않는 반면, 한국의 동등성 인정 대상에는 영국이 들어 있지 않습니다. EU와 영국 데이터를 같은 절차로 관리하는 회사가 어느 쪽을 놓치고 있는지 방향별로 정리했습니다.

본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일 이후 그대로 둬도 되나

외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 둔 구조는 지정 대상 범위에 맞지 않을 수 있습니다. 기준은 시행령 제32조 제3항 제2호입니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터 여기에 과태료가 새로 붙었습니다. 기존 지정분의 처리는 법률 부칙이 아니라 2026년 9월 10일 공포된 시행령(대통령령 제36671호)의 부칙이 답합니다 — 시행일부터 6개월 안에 신고해야 하며, 신고 기한은 입법예고안의 1개월에서 6개월로 늘었습니다. 대상의 매출 기준도 1,500억 원 이상에서 1,800억 원 초과로 올라 대상이 좁아졌습니다. 형식적으로만 둔 CPO의 대가는 2026년 KT·롯데카드 제재가 보여 줍니다. 위원회는 과징금과 별도로 'CPO의 책임과 역할을 명확히 하는 거버넌스 체계 정비’를 시정명령으로 요구했고, 롯데카드 결정문에서는 CPO가 의사결정 기록을 설명하지 못한 점을 중대성 판단에 반영했습니다.

퇴사자가 고객 데이터를 가지고 나갔습니다 — 우리는 피해자인데 왜 신고 의무자인가

퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 영업비밀 침해의 원고이면서 동시에 개인정보 유출의 통지 의무자입니다. 안전조치를 소홀히 했다면 과징금 대상이기도 합니다. 개인정보보호위원회는 실제로 이런 사안에서 안전조치 위반은 아니라고 보면서도 통지 지연에는 시정조치를 명했습니다(제2026-213-267호). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리는 지점을 조문 단위로 정리했습니다.

위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가

삭제하기로 합의하고도 파기하지 않은 수탁사가 과태료 420만 원과 1년간의 공표 처분을 받았습니다. 그 데이터가 1년 반 뒤 검색엔진에 노출된 사건입니다. 처분은 발주사가 아니라 수탁사에게 왔습니다. 법 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.

진술보증 위반의 손해배상액은 어떻게 산정하나 — 계약에 조항이 있을 때와 없을 때

매도인에게 물을 수 있다는 것과 얼마를 받느냐는 다른 문제입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 정리한 산정의 두 층(산정 조항이 있으면 그에 따르고, 없으면 주식가치 감소분 또는 매매대금 차액)과, 그 사건에서 손해가 확정되기까지 걸린 시간을 따라가며 개인정보 항목의 산정이 왜 더 어려운지 정리했습니다.

우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가

고객 집에 설치된 펨토셀의 실질 운영주체와 관리통제권이 KT에 있다고 개인정보보호위원회가 판단했습니다. 2026년 7월 29일 제15회 전체회의에서 KT에 과징금 539억 7,900만 원을 부과하기로 의결하면서입니다. 장비가 어디에 놓여 있는지가 아니라 인증과 접속통제를 누가 하는지가 기준입니다. 키오스크·단말·온프레미스 설치형 제품을 고객사에 두는 회사에 그대로 적용되는 판단입니다.

수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가

위탁사가 정보주체에게 배상한 뒤 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만입니다. 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(1심·미확정)은 위탁사 30 대 수탁사 70으로 나누어 55억여 원을 인정했는데, 위탁사가 30%를 진 이유는 감독을 소홀히 했기 때문이 아니라 고객정보를 변환하지 않은 원본 그대로 넘겼기 때문입니다.