과징금제재

개인정보 보호법 제29조(안전조치의무) 위반이 인정된 개인정보위 제재 의결 529건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 121건(6,940억 원, 액수 비공개 28건 제외), 과태료 417건(23억 원, 액수 비공개 18건 제외), 금전 부과가 아닌 처분 93건이며 2021년부터 2026년까지의 의결입니다. 결정문 본문이 공개된 건만 수록했습니다(게시판에 없는 의결은 국가법령정보센터 결정문으로 보충).

개인정보 보호법 제24조의2(주민등록번호 처리의 제한) 위반이 인정된 개인정보위 제재 의결 60건을 의결일·안건번호·피심인·처분·금액으로 정리한 표입니다. 과징금 25건(451억 원, 액수 비공개 3건 제외), 과태료 52건(4억 원, 액수 비공개 2건 제외), 금전 부과가 아닌 처분 4건이며 2021년부터 2026년까지의 의결입니다. 결정문 본문이 공개된 건만 수록했습니다(게시판에 없는 의결은 국가법령정보센터 결정문으로 보충).

개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다.

개인정보 보호법상 과징금은 유출 인원수가 아니라 '전체 매출액 × 중대성 × 조정'의 단계별 공식으로 정해집니다(아래 결정문 당시 4단계, 2026년 9월 11일부터 5단계). 2026년 공개된 결정문 세 건(롯데카드·KS한국고용정보·듀오정보)을 보면 관련 없는 매출액 제외, 이득 없음(−30%), 중기업 해당(합산 −55%), 자진시정·협조·인증(−20~40%)이 실제로 금액을 깎았습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반'에는 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경 규정이 시행됐고, 2026년 9월 10일 공포된 시행령이 그 감경을 기준금액의 40% 이내 독립 단계로 두었습니다. 조사 단계에서 무엇을 다투고 무엇을 입증할지가 결과를 크게 좌우하는 구조입니다.

대상회사의 과거 개인정보 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 개정법 부칙 제3조 제1항이 시행 이후 발생한 위반행위로 받은 과징금 부과처분부터 재위반 가중을 적용하기 때문입니다. 반면 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 그래서 실사에서는 처분의 유무가 아니라 처분의 종류와 근거 호, 날짜, 그리고 지금도 이어지는 위반 상태를 확인해야 합니다.

실사에서 개인정보 지적이 나오면 그다음은 계약 조항 배치의 문제가 됩니다. 갈림은 지적의 중요도가 아니라 클로징 전에 완료 상태를 만들 수 있는지입니다. 위탁 문서 체결이나 손해배상책임 보험 가입은 선행조건으로 잡히지만, 동의 없이 이미 제공되거나 국외로 나간 데이터는 소급해 적법하게 만들 수 없어 확약으로 밀립니다. 확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.

인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).

2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단이고, 어느 공표 요건이 적용되는지는 위반행위가 2023년 9월 15일 전에 끝났는지로 갈립니다. 공표를 다투는 길도 따로 있습니다. 위원회 단계의 제66조 제2항 공표명령 면제와 법원 단계의 공표명령만 떼어낸 집행정지(서울행정법원 2024아12120)가 그것인데, 집행정지는 유예일 뿐 본안에서 지면 공표는 이루어집니다.

㈜비케이알(버거킹)이 만 14세 미만 아동의 법정대리인 동의 위반으로 과징금 9억 2,400만 원을 받았습니다. 유출 사고가 없었는데도 나온 처분입니다. 개인정보보호위원회가 2026년 2월 11일 식음료 10개사 실태조사 결과를 의결하면서 부과했습니다. 같은 조사에서 8개사는 과태료에 그쳤는데, 그 차이는 개인정보 보호법 제64조의2 제1항이 과징금 대상을 열거해 둔 구조에서 나옵니다. 아동 조문은 유출이 없어도 과징금이 나오는 몇 안 되는 경로입니다.

대법원은 기업지배권이 이전되는 시점 이전의 사유로 발생한 우발채무를 진술보증 위반의 손해로 보았습니다. 2017다6108 판결입니다. 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 파기하지 않은 데이터나 근거가 정리되지 않은 국외이전 같은 개인정보 위반은 클로징 이후에도 계속됩니다. 구간이 어디서 끊기느냐가 과징금의 기준 매출액과 가중 폭까지 함께 바꾼다는 점을 조문 단위로 정리했습니다.