과징금제재

카카오페이 사건에서 개인정보위는 동의 없는 제3자 제공에는 특별법인 신용정보법 제32조 제1항이 적용된다고 보고 국외 이전 부분만 개인정보 보호법 제28조의8 제1항으로 처분했고, 금감원은 같은 전송을 신용정보법 제32조 제1항으로 제재했습니다. 롯데카드 사건에서 개인정보위는 주민등록번호 처리(제24조의2)만, 금융위원회는 패치·백신 등 보안대책 전반을 신용정보법·여신전문금융업법으로 처분했고, 로그 속 주민등록번호 암호화 미이행은 두 처분에 모두 들어 있습니다. 두 사건만으로 일반 규칙을 단정할 수는 없지만, 사고 대응에서는 문제된 행위를 두 법의 조문에 각각 대응시켜 보고 한 기관의 처분을 사건의 종결 시점으로 잡지 않는 것이 먼저로 보입니다.

티빙 유출은 2026년 5월에 일어났지만, 9월 11일 당시 안전조치 미비가 남아 있었다면 매출 10% 징벌적 과징금을 적용하는 것이 문언과 법리에 맞는 것으로 판단됩니다. 개정법 부칙 제3조 제2항은 「고의·중과실로 1천만명 이상 피해」 유형에 한해 시행 당시 종료되지 아니한 위반행위에도 적용하도록 정했고, 개인정보위와 법원은 안전조치의무 위반의 위반행위를 유출이 아니라 안전조치 미이행으로 보아 왔습니다. 골프존(제2024-008-182호)·디지털대성(제2024-006-163호) 사건과 대법원 판례로 위반행위의 종료 시점을 확인하고, 피해 정보주체 1,953만명, 고의·중과실, 탈퇴 계정 887만 개 쟁점과 처분 전 기업이 준비할 사항을 정리했습니다.

구글폼 설정 때문에 응답자의 개인정보가 다른 응답자에게 보인 사안에서, 개인정보위는 폼을 만들어 응답을 받은 기관에 안전조치 의무(개인정보 보호법 제29조, 2021년 1건은 구 정보통신망법 제28조) 위반으로 과태료를 부과해 왔습니다. 찾아낸 결정문 8건의 과태료는 180만 원에서 1,400만 원이었고, 노출 시간이 적힌 5건은 약 33분에서 11일이었습니다. 「구글 쪽 오류」라는 주장은 소명되지 않았고, 주민등록번호까지 받은 2건에는 제24조 제3항이 함께 적용됐습니다.

앱이 운영체제의 위치 권한 팝업으로 받은 허용은 정보통신망법 제22조의2의 접근권한 동의이고, 위치정보법 제19조 제1항이 요구하는 위치기반서비스 이용약관 동의와는 근거와 내용이 다릅니다. 방송통신위원회 의결에서 제19조 제1항 위반은 약관 내용이 부족했던 사건과 동의 주체를 빠뜨린 사건으로 나뉘었고, 현행법은 앞의 것을 과태료로, 동의 없는 이용을 과징금과 형벌로 정합니다. 약관 동의가 아예 없는 앱은 무거운 쪽에 가깝다고 보입니다.

건강정보는 민감정보이므로 개인정보 보호법 제23조 제1항 제1호에 따라 다른 개인정보 처리에 대한 동의와 별도로 동의를 받아야 합니다. 회원가입 동의 한 번에 묶어 받으면 동의 방법의 하자를 넘어 민감정보를 동의 없이 처리한 것으로 다뤄질 수 있고, 이 경우 과징금(제64조의2 제1항 제3호)과 형벌(제71조 제4호)의 대상이 됩니다. 개인정보위가 포괄 동의를 제23조 제1항 위반으로 본 의결과, 지적된 뒤 동의 화면·고지·기존 데이터를 어떻게 정리해야 하는지를 정리합니다.

그룹 계열사끼리 맡긴 고객 상담 업무도 개인정보 보호법 제26조의 위탁입니다. 개인정보보호위원회는 2026년 5월 13일 보람상조 계열 사건에서 시스템 운영사와 별도로, 상담 업무를 맡긴 계열 6개사를 각자 피심인으로 삼아 제26조 제4항·제2항 위반을 인정하고 시정명령과 공표명령을 내렸습니다. 수탁자와 한 조직처럼 운영했다는 사정은 위반을 지우지 못하고 과실 평가를 낮추는 데에만 반영됐으며, 과징금이 세 곳에만 부과된 이유는 위반 내용이 아니라 산정 금액의 크기였습니다.

개인정보위가 밝힌 12·6·3개월 처리 원칙, 언론이 전한 평균 조사 기간, 결정문에서 직접 센 기간은 서로 다른 구간을 잰 숫자입니다. 조사 통지를 받은 회사가 충당금·공시·이사회 보고·거래 일정을 어떤 전제로 잡아야 하는지, 준비의 순서를 정리합니다.

보안 인증과 정보보호 투자를 들어 「안전조치를 다했다」고 주장한 사건에서 개인정보보호위원회는 그 노력을 인정하면서도 유출 지점의 보호조치를 따로 따졌고, 다섯 건 어디에서도 인증이 위반을 없애지 않았습니다. 인증과 투자는 과징금 산정에서 반영됐습니다. 쿠팡 Wing 사건에서는 투자공시 업계 1위 등을 들어 30%를 추가 감경했고, 2026년 9월 11일부터는 법 제64조의2 제6항이 투자에 따른 감경을 의무로 정했습니다.

탈퇴한 회원의 정보는 유출 사고에서 대상 특정과 통지 두 자리에서 다시 문제가 됩니다. 쿠팡 의결(제2026-011-075호)은 파기되지 않은 탈퇴회원 884,972개 계정의 배송지 정보 중 100,696개 계정분이 실제 유출됐다고 적었습니다. 엔에이치엔위투는 통지 이메일 512,382건 중 197,012건이 실패했고, 한국고용정보원은 탈퇴회원 198명에게 통지하지 못했다고 대응 경과에 적었습니다. datalaw.kr 제재 DB에서 탈퇴 회원이 사고 사실관계에 나온 의결 12건을 읽고, 사고 전에 점검할 네 가지를 정리했습니다.

개인정보위 공개 결정문 1,018건(2026-10-12 수집분)을 세어 보면, 통지가 늦은 103건에서 과징금은 제29조(안전조치) 위반이 함께 인정된 68건 중 38건에 붙었고 그렇지 않은 35건에서는 1건이었습니다. 유출 규모, 조사 착수 경로, 조사 기간, 의견 제출 기간도 같은 방식으로 맞대 보았고, 2026년 3분기에 의결된 39건의 현황을 덧붙였습니다. 공개 결정문만 센 관찰값이며 인과관계를 뜻하지 않습니다.