유출대응

카카오페이 사건에서 개인정보위는 동의 없는 제3자 제공에는 특별법인 신용정보법 제32조 제1항이 적용된다고 보고 국외 이전 부분만 개인정보 보호법 제28조의8 제1항으로 처분했고, 금감원은 같은 전송을 신용정보법 제32조 제1항으로 제재했습니다. 롯데카드 사건에서 개인정보위는 주민등록번호 처리(제24조의2)만, 금융위원회는 패치·백신 등 보안대책 전반을 신용정보법·여신전문금융업법으로 처분했고, 로그 속 주민등록번호 암호화 미이행은 두 처분에 모두 들어 있습니다. 두 사건만으로 일반 규칙을 단정할 수는 없지만, 사고 대응에서는 문제된 행위를 두 법의 조문에 각각 대응시켜 보고 한 기관의 처분을 사건의 종결 시점으로 잡지 않는 것이 먼저로 보입니다.

티빙 유출은 2026년 5월에 일어났지만, 9월 11일 당시 안전조치 미비가 남아 있었다면 매출 10% 징벌적 과징금을 적용하는 것이 문언과 법리에 맞는 것으로 판단됩니다. 개정법 부칙 제3조 제2항은 「고의·중과실로 1천만명 이상 피해」 유형에 한해 시행 당시 종료되지 아니한 위반행위에도 적용하도록 정했고, 개인정보위와 법원은 안전조치의무 위반의 위반행위를 유출이 아니라 안전조치 미이행으로 보아 왔습니다. 골프존(제2024-008-182호)·디지털대성(제2024-006-163호) 사건과 대법원 판례로 위반행위의 종료 시점을 확인하고, 피해 정보주체 1,953만명, 고의·중과실, 탈퇴 계정 887만 개 쟁점과 처분 전 기업이 준비할 사항을 정리했습니다.

구글폼 설정 때문에 응답자의 개인정보가 다른 응답자에게 보인 사안에서, 개인정보위는 폼을 만들어 응답을 받은 기관에 안전조치 의무(개인정보 보호법 제29조, 2021년 1건은 구 정보통신망법 제28조) 위반으로 과태료를 부과해 왔습니다. 찾아낸 결정문 8건의 과태료는 180만 원에서 1,400만 원이었고, 노출 시간이 적힌 5건은 약 33분에서 11일이었습니다. 「구글 쪽 오류」라는 주장은 소명되지 않았고, 주민등록번호까지 받은 2건에는 제24조 제3항이 함께 적용됐습니다.

가상 사례입니다. 외부 벤더가 공급한 고객상담 AI 에이전트가 상담 창에 입력된 지시문(프롬프트 인젝션)에 따라 고객 주문 정보를 외부 주소로 보낸 사고를 발견부터 72시간까지 시간순으로 따라갑니다. 인지 시점, 유출 가능성 통지, 시행령 제40조 제1항 제3호의 「외부로부터의 불법적인 접근」 해당 여부, 정보통신망법의 24시간 신고, 벤더의 수탁자 지위, 회수·삭제 단서, 통지 문안과 기록에서 회사가 고를 수 있었던 선택지와 그때 남는 기록을 표로 정리했습니다. 프롬프트 인젝션이 제3호에 해당하는지에 관한 개인정보위의 공개 해석은 2026년 10월 15일 기준 확인하지 못했고, 해당한다고 볼 근거와 아니라고 볼 근거가 함께 있습니다.

그룹 계열사끼리 맡긴 고객 상담 업무도 개인정보 보호법 제26조의 위탁입니다. 개인정보보호위원회는 2026년 5월 13일 보람상조 계열 사건에서 시스템 운영사와 별도로, 상담 업무를 맡긴 계열 6개사를 각자 피심인으로 삼아 제26조 제4항·제2항 위반을 인정하고 시정명령과 공표명령을 내렸습니다. 수탁자와 한 조직처럼 운영했다는 사정은 위반을 지우지 못하고 과실 평가를 낮추는 데에만 반영됐으며, 과징금이 세 곳에만 부과된 이유는 위반 내용이 아니라 산정 금액의 크기였습니다.

개인정보위가 밝힌 12·6·3개월 처리 원칙, 언론이 전한 평균 조사 기간, 결정문에서 직접 센 기간은 서로 다른 구간을 잰 숫자입니다. 조사 통지를 받은 회사가 충당금·공시·이사회 보고·거래 일정을 어떤 전제로 잡아야 하는지, 준비의 순서를 정리합니다.

2026년 10월 은행권 유출에서 KB국민은행 119명 건은 개인정보위에, 신한은행 약 2만 5천 명 건은 금융감독원에 신고된 것으로 보도됐습니다. 신고처가 갈린 것은 신용정보법(개인신용정보 1만 명 이상 → 금융위원회·금융감독원)과 개인정보 보호법(1천 명 이상·민감정보·고유식별정보·외부의 불법적인 접근 → 72시간 안에 개인정보위·한국인터넷진흥원)의 기준이 다르기 때문입니다. 1만 명 미만 누설에 개인정보 보호법의 신고 조항이 적용되는지에 관하여 확인되는 공개 해석은 없습니다. 세 은행 공지의 유출 항목을 두 기준에 대어 보았습니다.

보안 인증과 정보보호 투자를 들어 「안전조치를 다했다」고 주장한 사건에서 개인정보보호위원회는 그 노력을 인정하면서도 유출 지점의 보호조치를 따로 따졌고, 다섯 건 어디에서도 인증이 위반을 없애지 않았습니다. 인증과 투자는 과징금 산정에서 반영됐습니다. 쿠팡 Wing 사건에서는 투자공시 업계 1위 등을 들어 30%를 추가 감경했고, 2026년 9월 11일부터는 법 제64조의2 제6항이 투자에 따른 감경을 의무로 정했습니다.

집단소송법은 아직 통과되지 않았습니다. 2026년 10월 25일 현재 제22대 국회에 발의된 집단소송 법안 15건이 모두 법제사법위원회에 계류 중입니다. 우리가 15건의 부칙을 원문으로 읽어 보니 8건이 법 시행 전에 생긴 사유로 인한 손해배상청구에도 적용한다고 정하고 있어, 그런 안이 통과되면 이미 난 유출 사고도 집단소송 안으로 들어올 여지가 있습니다. 어느 안이 어떤 문언으로 통과될지는 알 수 없습니다.

탈퇴한 회원의 정보는 유출 사고에서 대상 특정과 통지 두 자리에서 다시 문제가 됩니다. 쿠팡 의결(제2026-011-075호)은 파기되지 않은 탈퇴회원 884,972개 계정의 배송지 정보 중 100,696개 계정분이 실제 유출됐다고 적었습니다. 엔에이치엔위투는 통지 이메일 512,382건 중 197,012건이 실패했고, 한국고용정보원은 탈퇴회원 198명에게 통지하지 못했다고 대응 경과에 적었습니다. datalaw.kr 제재 DB에서 탈퇴 회원이 사고 사실관계에 나온 의결 12건을 읽고, 사고 전에 점검할 네 가지를 정리했습니다.