외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 두는 구조는 시행령 제32조 제3항 제2호의 지정 대상 범위에 맞지 않을 수 있습니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터는 여기에 과태료가 새로 붙습니다. 기존 지정분을 다시 이사회 의결에 올려야 하는지는 부칙이 답하지 않습니다.
계약을 해지하면서 기한을 정해 삭제하기로 합의하고도 파기하지 않은 수탁사가, 그 데이터가 1년 반 뒤 검색엔진에 노출되자 과태료 420만 원과 1년간의 공표 처분을 받았습니다. 처분은 발주사가 아니라 수탁사에게 왔습니다. 법 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.
매도인에게 물을 수 있다는 것과 얼마를 받느냐는 다른 문제입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 정리한 산정의 두 층(산정 조항이 있으면 그에 따르고, 없으면 주식가치 감소분 또는 매매대금 차액)과, 그 사건에서 손해가 확정되기까지 걸린 시간을 따라가며 개인정보 항목의 산정이 왜 더 어려운지 정리했습니다.
법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾸는 조문을 현행법과 나란히 정리한 대조표입니다. 유출등 정의 확대, 제34조의 항 이동과 가능성 단계 통지 신설, 과징금 가중·감경 규정, 개인정보 보호책임자 지정에 관한 이사회 의결·신고 의무를 조문 단위로 담았고, 시행령 확정에 따라 계속 갱신합니다.
실사에서 개인정보는 체크리스트 한 줄로 지나가고, 진술보증에는 ‘관련 법령을 준수하고 있다’는 한 문장이 들어갑니다. 클로징 뒤에 개인정보보호위원회 처분이 나오면 그 문장이 무슨 일을 하는지, 대법원 2012다64253·2017다6108 판결과 개인정보 보호법 제27조·제64조의2·제66조로 정리했습니다.
콜센터·배송·전산 유지보수 수탁사에서 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 개인정보 보호법 제26조 제4항·제7항과 제64조의2 제1항 제5호가 만드는 책임 구조, 그리고 수탁사 자신의 의무와 배상 이후의 구상 국면까지 정리했습니다.
개인정보 보호법 제64조의2 제1항 제9호는 ‘유출된 경우’ 자체를 과징금 사유로 정할 뿐 해킹인지 담당자 실수인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건의 원인 1위도 업무 과실(53건, 46%)이었습니다. 무엇이 처분 여부를 가르고 무엇이 금액을 가르는지, 메일 오발송 같은 업무 과실 유형에서 신고와 통지가 어떻게 달라지는지를 조문 단위로 정리합니다.
개인정보 유출의 72시간은 사고가 난 때가 아니라 ‘알게 된 때’부터 흐릅니다. 정보주체 통지는 모든 유출에, 보호위원회·KISA 신고는 1천 명 이상·민감정보·외부 불법접근에 걸립니다. 규모를 모르는 상태에서의 우선 통지·우선 신고, 초기에 하면 안 되는 세 가지, 2026년 9월 11일 개정법이 바꾸는 것을 조문 단위로 정리합니다.
9월 11일부터 중대·반복 위반에 매출액 최대 10% 과징금이 시행됩니다. 개인정보위 하반기 업무계획은 여기에 ‘신속 신고 감경(은폐 가중)신고포상금’을 더해, 유출사고를 숨기는 쪽의 셈법을 바꾸고 있습니다. 스타트업이 지금 점검할 것을 정리합니다.
개인정보위가 틱톡에 과징금 103억 원을 부과했습니다. 제재는 틱톡이 받았지만, 픽셀·SDK를 쓰는 기업은 7만여 곳입니다. 스타트업이 지금 점검해야 할 것들을 정리합니다.
이현섭 변호사 · 법무법인 세움 파트너. IT·개인정보·데이터 전문 변호사로, 유출 사고 대응·개인정보위 조사·기업 간 책임 분쟁과 스타트업 자문을 다룹니다.
문의: [email protected] · 02-562-3117 · 변호사 소개
본 블로그의 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.