과징금제재

개인정보 보호법 제39조의4(개인정보 유출등의 통지·신고에 대한 특례)이 위반으로 인정된 개인정보위 제재 의결 67건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 33건(264억 원, 액수 비공개 12건 제외), 과태료 66건(5억 원, 액수 비공개 5건 제외), 금전 부과가 아닌 처분 1건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

개인정보 보호법 제23조(민감정보의 처리 제한)이 위반으로 인정된 개인정보위 제재 의결 20건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 5건(20억 원), 과태료 17건(2억 원), 금전 부과가 아닌 처분 1건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

개인정보 보호법 제29조(안전조치의무)이 위반으로 인정된 개인정보위 제재 의결 452건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 99건(2,017억 원, 액수 비공개 21건 제외), 과태료 346건(20억 원, 액수 비공개 17건 제외), 금전 부과가 아닌 처분 89건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

개인정보 보호법 제24조의2(주민등록번호 처리의 제한)이 위반으로 인정된 개인정보위 제재 의결 57건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 24건(451억 원, 액수 비공개 2건 제외), 과태료 49건(3억 원, 액수 비공개 2건 제외), 금전 부과가 아닌 처분 4건이며 2021년부터 2026년까지의 의결입니다. 결정문 게시판에 본문이 공개된 건만 수록했습니다.

개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다.

개인정보 보호법상 과징금은 유출 인원수가 아니라 '전체 매출액 × 중대성 × 조정’의 4단계 공식으로 정해집니다. 2026년 공개된 결정문 세 건(롯데카드·KS한국고용정보·듀오정보)을 보면 관련 없는 매출액 제외, 이득 없음(−30%), 중기업 해당(합산 −55%), 자진시정·협조·인증(−20~40%)이 실제로 금액을 깎았습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반’에는 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경 규정이 시행되고, 2026년 9월 10일 공포된 시행령이 그 감경을 기준금액의 40% 이내 독립 단계로 두었습니다. 조사 단계에서 무엇을 다투고 무엇을 입증할지가 결과를 크게 좌우하는 구조입니다.

대상회사의 과거 개인정보 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 개정법 부칙 제3조 제1항이 시행 이후 발생한 위반행위로 받은 과징금 부과처분부터 재위반 가중을 적용하기 때문입니다. 반면 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 그래서 실사에서는 처분의 유무가 아니라 처분의 종류와 근거 호, 날짜, 그리고 지금도 이어지는 위반 상태를 확인해야 합니다.

실사에서 개인정보 지적이 나오면 그다음은 계약 조항 배치의 문제가 됩니다. 갈림은 지적의 중요도가 아니라 클로징 전에 완료 상태를 만들 수 있는지입니다. 위탁 문서 체결이나 손해배상책임 보험 가입은 선행조건으로 잡히지만, 동의 없이 이미 제공되거나 국외로 나간 데이터는 소급해 적법하게 만들 수 없어 확약으로 밀립니다. 확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.

인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).

2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단이고, 어느 공표 요건이 적용되는지는 위반행위가 2023년 9월 15일 전에 끝났는지로 갈립니다. 공표를 다투는 길도 따로 있습니다. 위원회 단계의 제66조 제2항 공표명령 면제와 법원 단계의 공표명령만 떼어낸 집행정지(서울행정법원 2024아12120)가 그것인데, 집행정지는 유예일 뿐 본안에서 지면 공표는 이루어집니다.