본문바로가기

개인정보보호법 위반 시 부과되는 형사처벌 수위와 전체 매출액 기준 과징금·과태료 리스크에 직면하셨나요?

개인정보보호위원회 공문 수령 시 필수 확인 사항부터 위반 항목별 실무 체크포인트, 대표자 양벌규정 리스크 및 대법원 최신 판례 분석까지, 법무법인 민후의 승소 노하우가 담긴 사전·사후 기업 방어 전략을 총정리해 드립니다.

1. 개인정보보호위원회의 공문을 수령했을 때 대응 방법

▣ 개인정보보호위원회의 공문, 어떤 경우에 발송되는가

개인정보보호위원회(이하 ‘개인정보위’)는 개인정보보호법 위반 사실이 의심되는 경우 또는 정기적 실태점검의 일환으로 사업자에게 공식 공문을 발송합니다. 주요 공문 유형은 다음과 같습니다.

· 사전 통지서 : 조사 착수 예정임을 알리고 사실확인 및 소명 기회를 부여
· 시정 권고 : 위법사항이 확인된 경우 자발적 시정을 유도하기 위한 행정지시
· 과태료 부과 사전통지서 : 금전적 제재가 예정되었음을 알리는 공식 문서
· 자료 제출 요구서 : 특정 개인정보 처리 실태와 관련한 자료 요구

이러한 공문은 대부분 기한 내 회신을 요구하며, 응답을 소홀히 할 경우 추가 제재로 이어질 수 있습니다.

▣ 공문 수령 시 즉시 확인해야 할 5가지

공문 수령 후의 초기 대응은 향후 행정조치나 과태료 부과의 경중을 좌우하는 핵심 단계입니다. 회신 기한이 짧은 경우가 많고, 정해진 양식이나 절차를 지키지 않을 경우 불성실 대응으로 간주되어 제재 수위가 높아질 수 있습니다. 또한, 요청 내용이 복잡하거나 민감한 경우 법적 리스크를 정확히 판단하지 못한 채 회신할 경우 기업에 불리한 결과로 이어질 수 있으므로, 공문 수령 직후 신속하고 정확한 확인이 무엇보다 중요합니다.

** 공문을 수령 직후 기업이 실무적으로 먼저 확인해야 할 사항은 무엇일까?

① 발신 주체 및 법적 근거 : 발신기관이 개인정보보호위원회인지, 다른 감독기관인지 확인
② 요구사항 명확화 : 공문이 요구하는 ‘행위’가 무엇인지 정확히 파악
③ 회신 기한 확인 : 일반적으로 7일~14일 이내 회신 요구, 기한 경과 시 불이익 우려
④ 내부 책임자 지정 : 관련 부서 및 책임자를 중심으로 대응체계 마련
⑤ 법률 자문 검토 착수 : 공문 내용에 따라 법적 리스크 진단 및 전략 수립

▣ 수령한 공문 유형별 대응 전략

공문마다 담고 있는 법적 효과와 후속 절차가 다르기 때문에, 유형별로 전략적인 대응이 필요하고 공문 유형에 따라 대응 방식이 달라져야 합니다. 예를 들어, '조사 통지'는 사전 소명 기회로 활용해야 하고, '시정 권고'는 개선 계획이 핵심이며, '과태료 통지'는 감경 사유를 입증하는 것이 중요합니다. 모든 공문을 동일하게 대응하면 불이익을 초래할 수도 있습니다.

· 사전 통지서 : 즉시 법률 검토를 통해 위법 소지 항목을 식별하고, 소명서 초안을 마련해야 합니다.
· 시정 권고 : 단순히 ‘조치 완료’로 회신하지 말고, 구체적 조치내용과 일정, 개선 프로세스를 포함한 회신서를 준비해야 합니다.
· 과태료 사전통지서 : 위반행위의 사실관계 다툼, 과태료 감경 사유 정리, 관련 증빙자료 첨부 등이 중요합니다.
· 자료 제출 요구 : 모든 요구자료를 성실히 제출하되, 영업비밀이나 과도한 정보 요구에 대해서는 ‘부분 제출’ 또는 ‘보호조치 요청’을 병행할 수 있습니다.

한편, 개인정보위의 공문은 구체적 자료 제출을 요구하는 경우가 많습니다. 예를 들어, 개인정보 처리방침 및 내부지침, 개인정보 처리 현황표, 접근기록 및 암호화 이행 내역, 수탁사 관리 내역 및 계약서, 동의서 및 수집·이용 근거자료 등을 요구합니다. 다만 이때도 원본을 제출할 필요는 없으며, 필요 시 비식별화, 요약정리본, 보호조치 확인서 등으로 대체할 수 있습니다.

▣ 개인정보보호위원회 실태점검 대응 실제 조력 사례

법무법인 민후는 개인정보보호위원회의 실태점검을 받은 기업을 다수 조력한 바, 대표적 사례는 다음과 같습니다.

한 앱 서비스 기업의 사례에서는, 개인정보위가 ‘접근기록 미작성’, ‘암호화 미이행’, ‘파기 미조치’, ‘광고성 정보 동의 미흡’ 등이 문제되었고, 본 법인은 ① 접근 통제시스템 개선 및 암호화 이행 방안, ② 접속기록 자동 저장 및 보관 프로세스 수립, ③ 파기 절차 개선 및 자동화 도입, ④ 광고성 정보 수신 동의 이력관리 체계 구축과 같은 방안을 자문하였고, 개인정보위에 제출할 소명자료와 과태료 감경 사유 정리서를 작성해 제공하였습니다.

▣ 위반 항목별 대응 전략 – 유형별 정리와 실무 체크포인트

개인정보위의 공문에 언급되는 개인정보보호법 위반 사항은 반복적으로 특정 유형에 집중되는 경향이 있습니다. 따라서 각 위반 항목별로 구체적인 대응 전략을 사전에 숙지해두는 것이 효과적입니다.

(1) 접근통제 미흡 및 접속기록 미작성
 많은 기업이 개인정보처리시스템에 대한 접근권한을 제대로 관리하지 못하거나, 접속기록을 장기간 보관하지 않아 지적을 받습니다. 이 경우에는 ▲권한 분리 원칙에 따라 최소 권한만 부여되었는지, ▲퇴직자·휴직자 계정이 즉시 차단되었는지, ▲접속기록이 6개월 이상 보존되는 시스템이 구축되어 있는지 등을 점검해야 합니다. 필요시 외부 솔루션 도입도 고려할 수 있습니다.

(2) 개인정보의 암호화 조치 미흡
 특히 휴대전화번호, 계좌번호, 주민등록번호 등 민감정보가 암호화되지 않은 채 저장되었을 경우 강력한 조치를 요구받을 수 있습니다. 데이터베이스 내 암호화 적용 여부, 암호키 관리체계 수립 여부, 저장매체 분실·유출 시 대응계획 수립 여부 등을 포괄적으로 점검해야 합니다.

(3) 개인정보 파기 미이행
 법령상 개인정보는 목적 달성 후 즉시 파기되어야 하나, 실무에서는 탈퇴회원 정보, 미거래 고객 정보, 이벤트 참여 이력 등이 방치되는 경우가 많습니다. 이 경우 ▲파기 대상 기준이 설정되어 있는지, ▲파기 주기 자동화가 되어 있는지, ▲물리적 파기와 전자적 삭제가 이행되는지 등을 확인해야 하며, 조치 결과를 근거 자료로 정리해두는 것이 좋습니다.

(4) 광고성 정보 수신 동의 미분리
 이슈가 자주 발생하는 부분 중 하나가 ‘서비스 이용 동의’와 ‘광고성 정보 수신 동의’를 하나의 체크박스로 통합 운영한 사례입니다. 이는 명백한 위법에 해당하며, 동의 철회 기능이 미비한 경우 더욱 문제가 되고 있습니다. 이를 방지하려면 동의 절차를 명확히 분리하고, 철회 경로를 사용자 UI에 명확히 노출해야 하며, 철회 처리 이력도 기록·보관해야 합니다.

(5) 수탁사 관리 부족
 개인정보를 외부 수탁사에 위탁하는 경우, 수탁사 관리 의무를 다하지 않으면 원사업자에게도 책임이 돌아갑니다. 이에 따라 ▲위탁계약서 내 개인정보 처리 관련 조항이 구체적으로 명시되었는지, ▲정기점검이나 교육 이행 여부, ▲수탁사 목록 및 처리내역 공개 여부 등이 위원회의 주요 점검 대상이 됩니다.

(6) 고유식별정보·민감정보의 별도 관리 미흡
 주민등록번호, 건강정보, 위치정보 등 민감한 정보는 일반정보보다 강화된 보호조치를 적용해야 하며, 별도 저장·암호화·접근제한이 필수입니다. 이를 위반하면 단순 과태료를 넘어 형사책임 가능성도 존재합니다.

▣ 과태료 부과와 리스크 관리, 불복절차 및 법적 구제 수단

개인정보보호법 위반 시 과태료는 최대 3천만원까지 부과될 수 있으며, 심각한 경우 형사처벌까지 이어질 수 있습니다. 그러나 위반행위가 고의가 아닌 실수에 의한 것임을 입증하거나, 위반 직후 즉시 시정 조치하거나, 유사 위반 사례가 없거나, 내부 지침 및 교육체계 운영하는 등의 사유로 감경이 가능할 수 있습니다. 실제 민후의 자문 사례에서도, 위반 사실을 인정하되 진정성 있는 시정계획과 내부관리 체계를 병행 제출함으로써 과태료 감경 효과를 얻을 수 있었습니다.

▣ 개인정보위의 조치에 대한 법적 구제 방법
 (1) 과태료 처분 : 이의제기 및 행정심판 청구 가능
(2) 시정명령 등 행정처분 : 행정소송 제기 가능
(3) 사법절차 전환 시 : 형사고발 전 단계에서 변호인 선임 통한 소명 대응

▣ 기업 실무자가 반드시 기억해야 할 대응 포인트
 · 공문 수령 즉시 내부 공유 및 대응 전담자 지정
· 대응서류 제출 시 기한 엄수 및 전문성 확보
· 단순히 형식적인 회신이 아니라 ‘구체적 계획과 증빙’ 동반
· 위원회 조사에 성실히 협조하되, 필요 시 법적 대응도 고려
· 반복 위반을 막기 위한 내부 교육과 시스템 재정비 병행


2. 개인정보보호법 형사처벌 기준

▣ 형사 처벌 또는 고소 상황의 주요 유형

개인정보보호법상 형사처벌은 위반 유형에 따라 구체적으로 구분되며, 실무에서는 개인정보의 처리 과정에서 발생하는 다양한 행위가 처벌 대상이 될 수 있습니다. 대표적으로는 정보주체의 동의 없이 개인정보를 제3자에게 제공하는 경우, 외부 해킹이나 내부자 행위로 인해 개인정보가 유출되는 경우, 수집 목적을 벗어나 개인정보를 활용하는 경우, 그리고 민감정보나 고유식별정보를 적법한 절차 없이 처리하는 경우 등이 이에 해당합니다. 이러한 유형은 각각 독립적으로 처벌 대상이 될 수 있을 뿐만 아니라, 하나의 사건에서 복합적으로 문제되는 경우도 많아 보다 신중한 법적 검토가 필요합니다.

1) 개인정보 무단 제공
개인정보를 정보주체의 동의 없이 제3자에게 제공하는 행위는 개인정보보호법 위반으로 형사처벌 대상이 됩니다. 특히 고객 데이터를 마케팅이나 영업 목적을 위해 외부에 제공하는 경우에는 위법성이 높게 평가되며, 제휴사와의 정보 공유 과정에서도 적법한 동의가 없으면 책임이 발생할 수 있습니다.

2) 개인정보 유출
 개인정보 유출은 해킹과 같은 외부 공격뿐 아니라 내부 직원에 의한 유출이나 관리 소홀로 인한 사고도 포함됩니다. 보안조치가 미흡하거나 접근 권한 관리가 제대로 이루어지지 않은 경우에는 과실이라도 형사책임이 인정될 수 있으며, 내부자 유출은 더욱 엄격하게 판단되는 경향이 있습니다.

3) 목적 외 이용
 개인정보는 수집 당시 고지된 목적 범위 내에서만 이용해야 하며, 이를 벗어나 활용하는 경우 개인정보보호법 위반이 될 수 있습니다. 예를 들어 회원정보를 별도 동의 없이 광고나 데이터 분석에 사용하는 경우에는 목적 외 이용으로 판단될 가능성이 높습니다.

4) 민감정보·고유식별정보 위반
 주민등록번호, 건강정보, 생체정보 등 민감정보와 고유식별정보는 일반 개인정보보다 엄격하게 보호되며, 이를 위반할 경우 가중처벌이 적용될 수 있습니다. 이러한 정보는 유출 시 피해가 크기 때문에 법원과 수사기관에서도 보다 엄격하게 책임을 판단합니다.

예시 ① 퇴사자의 정보 무단 반출 : 기업 내부의 인사정보, 고객명단, 거래 내역 등을 무단 반출한 경우
예시 ② 정보 판매 및 유통 : 오픈채팅방, 텔레그램 등을 통해 개인정보가 유통되었을 때
예시 ③ 경쟁사의 고발 : 경쟁 업체가 서비스 과정에서의 개인정보 처리 방식에 위법성이 있다고 판단하고 고발하는 경우
예시 ④ 단순한 부주의 : 수집 목적의 범위를 넘긴 정보 활용, 고지 누락 등이 문제가 될 수 있음

개인정보보호법상 형사처벌 기준은 단순한 위반 여부를 넘어 행위의 성격, 고의성, 피해 규모 등을 종합적으로 고려하여 판단됩니다. 특히 개인정보의 무단 제공, 유출, 목적 외 이용과 같이 정보주체의 권리를 직접적으로 침해하는 행위는 형사처벌 대상이 되며, 최근에는 기업의 관리 책임까지 폭넓게 인정되는 경향이 있을 뿐 아니라, 특히 반복적 또는 영리목적의 위반, 조직적 유통행위 등은 중형으로 이어질 수 있습니다.

▣ 개인정보보호법 위반 형사사건 절차

Step 01. 고소 또는 수사 개시

경쟁사 고발, 내부 감사, 유출 사고 보고를 계기로 수사 착수


Step 02. 참고인·피의자 조사

진술 내용이 향후 기소 여부를 좌우


Step 03. 기술적 자료 분석

서버 로그, 접근 기록, 암호화 여부 검토


Step 04. 법리판단

개인정보 해당성, 개인정보 파일 여부, 고의성 판단


Step 05. 처분

무혐의, 기소유예, 벌금형, 실형 가능성까지 분기


▣ 형사 처벌 수위

개인정보보호법은 일정한 위반 행위에 대해 형사처벌을 명시적으로 규정하고 있으며, 특히 개인정보의 유출, 판매, 부정 이용과 같이 정보주체의 권리를 침해하는 행위는 중대한 범죄로 취급됩니다. 법률상 처벌 규정은 주로 고의적인 위반 행위를 중심으로 구성되어 있으나, 관리·감독 의무를 다하지 못한 경우에도 책임이 인정될 수 있다는 점에서 기업의 내부 통제 체계가 중요한 판단 요소로 작용합니다. 또한 동일한 유형의 위반이 반복되거나 피해 규모가 큰 경우에는 처벌 수위가 가중될 수 있습니다.

(1) 형사처벌 (징역 또는 벌금)
- 제71조 : 고의로 제3자에게 제공한 경우 5년 이하의 징역 또는 5천만 원 이하 벌금
- 제70조 : 정당한 권한 없이 개인정보파일을 유출한 경우 5년 이하의 징역 또는 5천만 원 이하 벌금

(2) 과징금
- 제64조의2 : 위반 행위에 대해 전체 매출액의 3% 이내의 과징금 부과 가능

(3) 과태료
- 제75조 제4항 제3호 : 동의 절차 누락 시 1천만 원 이하의 과태료 부과

** 대표적 유형과 개인정보보호법위반 형사처벌 정도

· 정보주체 동의 없이 개인정보를 수집하거나 목적 외 이용한 경우
· 고의로 개인정보를 제3자에게 제공한 경우 : 5년 이하의 징역 또는 5천만 원 이하의 벌금 (개인정보보호법 제71조)
· 보안조치를 하지 않아 개인정보가 유출된 경우
· 고객정보나 내부 데이터 등 개인정보 무단 반출, 유출한 경우 : 동일한 수준의 형사처벌 가능, 영리 목적이나 반복 위반 시 가중 요소로 작용
· 메신저·오픈채팅방·비공식 경로로 개인정보가 유통된 경우
· 동의 절차를 이행하지 않은 경우 : 형사처벌보다는 1천만 원 이하의 과태료 대상이 되는 경우가 많음
· 영리 목적의 반복적 위반 : 형사책임과 별도로 전체 매출액의 3% 이내 과징금 부과 가능


Point !

개인정보보호법 위반에 대한 형사처벌은 행위의 고의성 여부, 위반의 반복성, 그리고 정보의 중요성과 피해 규모 등을 종합적으로 고려하여 결정됩니다. 고의적으로 개인정보를 유출하거나 부정 이용한 경우에는 높은 수준의 처벌이 이루어질 가능성이 크며, 동일하거나 유사한 위반 행위가 반복되는 경우에는 가중처벌이 적용될 수 있습니다. 특히 내부자에 의한 유출은 기업의 관리·감독 책임과 결합되어 평가되기 때문에 보다 엄격하게 판단되는 경향이 있으며, 이러한 점에서 사전적인 내부 통제와 사후 대응 체계 구축이 매우 중요합니다.

3. 과징금·과태료 부과 기준

개인정보보호법 위반 시에는 형사처벌과 별도로 행정제재로서 과징금 또는 과태료가 부과될 수 있으며, 특히 기업의 경우 과징금 부담이 핵심적인 리스크로 작용합니다. 과징금은 위반 행위로 인해 얻은 경제적 이익을 환수하고 재발을 방지하기 위한 제재로서, 매출액을 기준으로 산정된다는 점에서 기업 규모가 클수록 그 영향이 크게 나타납니다.

반면 과태료는 신고 의무 위반이나 절차상 하자와 같은 비교적 경미한 위반에 대해 부과되는 금전적 제재로, 과징금과는 성격과 기준이 구별됩니다. 실제로 한 사건에서 과징금과 과태료가 동시에 부과되는 경우도 있어, 위반 유형에 따른 정확한 구분과 대응이 필요합니다.

▣ 과징금 부과 구조

개인정보 유출 사고가 발생하거나 법에서 정한 개인정보 처리 기준을 위반한 경우, 기업에는 과징금이 부과될 수 있으며 이는 전체 매출액의 일정 비율을 기준으로 산정됩니다. 특히 매출액을 기준으로 산정되기 때문에, 대규모 기업의 경우 과징금 규모가 상당한 수준에 이를 수 있습니다.

과징금은 단순히 위반 사실만으로 결정되는 것이 아니라, 위반 행위의 유형, 관련 매출액, 피해 규모, 고의성 여부, 그리고 내부 관리체계의 적정성 등을 종합적으로 고려하여 산정됩니다. 또한 보안조치 미흡, 내부 통제 부재, 사고 이후 대응 지연 등이 인정되는 경우에는 제재 수준이 강화될 수 있어, 평소 체계적인 개인정보 관리와 사전 대응이 중요합니다.
[개인정보보호법 제64조의2(과징금의 부과)]

① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.

1. 제15조제1항, 제17조제1항, 제18조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다) 또는 제19조를 위반하여 개인정보를 처리한 경우
2. 제22조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 처리한 경우
3. 제23조제1항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 정보주체의 동의를 받지 아니하고 민감정보를 처리한 경우


▣ 과징금 산정 기준

과징금은 단순히 위반 사실만으로 일률적으로 결정되는 것이 아니라, 관련 매출액, 위반이 지속된 기간, 개인정보 유출 또는 침해로 인한 피해 규모, 그리고 동일·유사 위반의 재발 여부 등을 종합적으로 고려하여 산정됩니다. 특히 매출 규모가 클수록 과징금 금액이 비례하여 증가하며, 위반 기간이 장기화되거나 피해 규모가 큰 경우에는 제재 수준이 더욱 강화될 수 있습니다. 또한 과거 유사한 위반 전력이 있는 경우에는 가중 요소로 반영될 수 있어, 기업의 지속적인 관리 체계 유지가 중요한 판단 요소로 작용합니다.


실제 실무 포인트

• IT 기업이나 플랫폼 기업은 매출 기반 구조로 인해 고액 과징금이 부과될 가능성이 높습니다.
• 개인정보 유출 규모가 커질수록 과징금은 급격히 증가하는 경향이 있습니다.
• 내부 관리체계나 보안조치가 미흡한 경우에는 과징금이 가중될 수 있습니다.

▣ 과태료와의 차이


구분

과징금

과태료

성격

행정 제재

질서벌

기준

매출 기반

정액

영향

매우 큼

비교적 경미



과징금은 위반 행위의 경제적 이익을 환수하고 기업 활동에 실질적인 영향을 미치는 제재인 반면, 과태료는 신고 의무 위반이나 절차상 하자 등 비교적 경미한 위반에 대해 부과되는 금전적 제재라는 점에서 차이가 있습니다. 또한 실무에서는 같은 사건에서 두 제재가 함께 부과될 수 있어, 위반 유형에 따른 정확한 구분이 필요합니다.


4. 기업 책임과 대표자 리스크

개인정보보호법 위반은 단순히 개별 직원의 행위로 끝나지 않고, 기업 전체의 관리 책임과 대표자의 감독 의무까지 함께 문제됩니다. 특히 최근에는 개인정보 보호 의무가 기업 경영의 핵심 요소로 인식되면서, 내부 통제 체계의 적정성 여부가 책임 판단에서 중요한 기준으로 작용하고 있습니다.

▣ 대표자 책임

개인정보보호법 위반이 발생한 경우, 대표자는 단순히 직접 행위를 하지 않았더라도 관리·감독 의무를 다하지 못한 경우 형사책임이 인정될 수 있습니다. 특히 내부 직원에 의한 유출이나 위반 행위가 발생했을 때, 사전에 적절한 통제 시스템과 교육, 접근 권한 관리가 이루어지지 않았다면 대표자의 과실이 인정될 가능성이 높습니다. 따라서 대표자 책임은 단순한 형식적 지위가 아니라 실제 관리 체계의 구축 및 운영 여부에 따라 판단됩니다.

▣ 법인 양벌 규정

개인정보보호법에서는 법인의 대표자 또는 종업원이 업무와 관련하여 위반 행위를 한 경우, 해당 행위자뿐만 아니라 법인 자체에도 벌금형을 부과할 수 있도록 규정하고 있습니다. 이는 기업이 조직적으로 개인정보를 처리하는 구조를 고려하여, 위반 책임을 개인에 한정하지 않고 법인 전체에 확장하기 위한 규정입니다. 따라서 기업은 단순히 개인의 일탈로 책임을 회피하기 어렵고, 조직 차원의 관리·감독 체계를 입증하지 못하면 법인 자체가 제재 대상이 될 수 있습니다.
[개인정보보호법 제74조(양벌규정)]

① 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제70조에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인을 7천만원 이하의 벌금에 처한다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.

② 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제71조부터 제73조까지의 어느 하나에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인에게도 해당 조문의 벌금형을 과(科)한다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.


실무 핵심정리

실무에서는 직원 개인의 유출 행위라 하더라도 기업의 관리 책임이 함께 인정되는 경우가 대부분이며, 특히 접근 권한 관리, 로그 기록, 보안 교육 등 기본적인 내부 통제 체계가 제대로 구축되어 있는지가 핵심 판단 요소로 작용합니다. 최근에는 개인정보 보호에 대한 규제와 사회적 요구가 강화되면서 대표자 책임 범위도 확대되는 추세에 있어, 기업 차원의 사전 예방 시스템 구축이 리스크 관리의 핵심으로 평가되고 있습니다.

▣ 개인정보보호법 위반 사건에서 실무자와 대표자 중 누가 처벌되는가
수사기관은 개인정보 형사사건에서 책임 주체를 이분법적으로 나누지 않고, 실무자와 대표자 모두 각각의 책임을 따로 판단합니다.


▣ 실무자의 형사책임 기준
 - 위법성을 인식했는지
- 지시가 있었더라도 거부 가능성이 있었는지
- 개인정보의 성격과 위험성을 인지할 수 있었는지

▶ 단순 지시 이행이라 하더라도, 주의의무 위반이 인정되면 형사책임이 성립할 수 있습니다.



▣ 대표자·관리자의 책임 기준
 - 내부 통제 시스템 존재 여부
- 접근권한 관리, 로그 기록, 교육 체계 구축 여부
- 사고 발생 시 대응 프로세스 마련 여부

▶ 즉, 시스템 부재 자체가 대표자의 과실로 평가될 수 있습니다.


5. 개인정보보호 관련 주요 판례

판례 1 [ 대법원 2025. 3. 13. 선고 2024두55440 판결 ] : 법무법인 민후 승소 사례

** 판결문 본문 발췌

··· (중략) ··· 원고가 페이스북 서비스 이용자의 친구(Friends, 이하 ‘친구’라 한다)의 개인정보를 제3자 앱에 제공한 행위는 구 정보통신망법 제24조의2 제1항이 정한 ‘개인정보를 제3자에게 제공하는 행위’에 해당한다. 3) 설령 제3자 앱에 제공된 개인정보가 친구 스스로 이미 공개한 개인정보라고 하더라도, 원고가 그 개인정보를 제3자 앱에 제공한 행위는 정보주체인 친구의 별도 동의를 받지 않더라도 친구의 동의가 있었다고 객관적으로 인정되는 범위 내에 해당한다고 보기 어렵다. 원고가 친구의 동의 없이 그 개인정보를 제3자 앱에 제공한 것은 친구의 개인정보자기결정권을 침해한 위법한 행위라고 보아야 한다. ··· (중략) ···

원심은 판시와 같은 이유로 ‘피고가 과징금 산정 시 위반행위와 관련한 매출액의 범위를 페이스북 로그인 서비스의 매출액에 한정하지 않았고, 그 관련 매출액을 객관적으로 산정하기 곤란함에도 정액과징금을 부과하지 않았으므로, 이 사건 과징금 처분은 위법하다.’는 취지의 원고 주장을 배척한 다음, 이 사건 과징금 처분에 위반행위의 중대성, 추가적인 가중사유 등 과징금 산정의 기초가 되는 사실을 오인하거나 비례의 원칙을 위반하여 재량권을 일탈·남용한 위법이 없다고 판단하였다. 원심판결 이유를 관련 법리에 비추어 살펴보면, 원심판단에 상고이유 주장과 같이 구 정보통신망법 제64조의3 제1항, 제2항 등이 정한 위반행위와 관련한 매출액의 범위 및 정액과징금 부과사유, 과징금 산정기준과 가중사유, 비례의 원칙, 재량권 일탈·남용 등에 관한 법리를 오해하여 필요한 심리를 다하지 않거나 논리와 경험 법칙을 위반하여 자유심증주의 한계를 벗어나 판결에 영향을 미친 잘못이 없다. ··· (중략) ···

판례 2 [ 2017도15226 정보통신망법상 비밀침해죄 관련 판결 ]

** 판결문 본문 발췌

··· (중략) ··· 정보통신망법 제49조 위반행위의 객체인 ‘정보통신망에 의해 처리·보관 또는 전송되는 타인의 비밀’에는 정보통신망으로 실시간 처리·전송 중인 비밀, 나아가 정보통신망으로 처리·전송이 완료되어 원격지 서버에 저장·보관된 것으로 통신기능을 이용한 처리·전송을 거쳐야만 열람·검색이 가능한 비밀이 포함됨은 당연하다. 그러나 이에 한정되는 것은 아니다. 정보통신망으로 처리·전송이 완료된 다음 사용자의 개인용 컴퓨터(PC)에 저장·보관되어 있더라도, 그 처리·전송과 저장·보관이 서로 밀접하게 연계됨으로써 정보통신망과 관련된 컴퓨터 프로그램을 활용해서만 열람·검색이 가능한 경우 등 정보통신체제 내에서 저장·보관 중인 것으로 볼 수 있는 비밀도 여기서 말하는 ‘타인의 비밀’에 포함된다고 보아야 한다.

··· (중략) ··· 타인의 비밀 ‘누설’이란 타인의 비밀에 관한 일체의 누설행위를 의미하는 것이 아니라, 정보통신망에 의하여 처리·보관 또는 전송되는 타인의 비밀을 정보통신망에 침입하는 등의 부정한 수단 또는 방법으로 취득한 사람이나 그 비밀이 위와 같은 방법으로 취득된 것임을 알고 있는 사람이 그 비밀을 아직 알지 못하는 타인에게 이를 알려주는 행위만을 의미한다.

··· (중략) ··· 정보통신망법 제48조 제1항은 정보통신망에 대한 보호조치를 침해하거나 훼손할 것을 구성요건으로 하지 않고 ‘정당한 접근권한 없이 또는 허용된 접근권한을 넘어’ 정보통신망에 침입하는 행위를 금지하고 있다. 정보통신망법 제49조는 제48조와 달리 정보통신망 자체를 보호하는 것이 아니라 정보통신망에 의하여 처리·보관 또는 전송되는 타인의 정보나 비밀을 보호대상으로 한다. 따라서 정보통신망법 제49조의 ‘타인의 비밀 침해 또는 누설’에서 요구되는 ‘정보통신망에 침입하는 등 부정한 수단 또는 방법’에는 부정하게 취득한 타인의 식별부호(아이디와 비밀번호)를 직접 입력하거나 보호조치에 따른 제한을 면할 수 있게 하는 부정한 명령을 입력하는 등의 행위에 한정되지 않는다. 이러한 행위가 없더라도 사용자가 식별부호를 입력하여 정보통신망에 접속된 상태에 있는 것을 기화로 정당한 접근권한 없는 사람이 사용자 몰래 정보통신망의 장치나 기능을 이용하는 등의 방법으로 타인의 비밀을 취득·누설하는 행위도 포함된다. ··· (중략) ···

판례 3 [대법원 2016. 3. 10. 선고 2015도8766 판결]

대법원 2016. 3. 10. 선고 2015도8766 판결은 개인정보를 업무상 취득한 자가 이를 권한 없이 제3자에게 제공하거나 누설한 경우 개인정보보호법 위반으로 형사처벌 대상이 될 수 있음을 명확히 한 판례입니다. 대법원은 개인정보 보호법 제71조 및 제59조를 근거로, 개인정보 처리자뿐 아니라 업무상 개인정보를 취득한 자도 이를 외부에 제공하거나 이용하도록 한 경우 처벌 대상이 된다고 판단하였으며, 특히 개인정보처리자뿐 아니라 업무상 개인정보를 취득한 자도 처벌 대상이 될 수 있다는 점을 명확히 하였습니다.

이 판례는 개인정보가 단순한 정보가 아니라 보호해야 할 권리라는 점을 전제로, 기업 내부에서 업무상 취득한 정보라 하더라도 권한 없이 외부에 제공하는 경우에는 형사책임이 인정될 수 있음을 보여주며, 실무적으로는 업무상 알게 된 정보라는 이유만으로는 면책이 인정되지 않는다는 중요한 기준을 제시합니다.

** 판결문 본문 발췌

구 개인정보 보호법(2014. 3. 24. 법률 제12504호로 개정되기 전의 것, 이하 ‘개인정보 보호법’이라 한다) 제71조 제1호는 제17조 제1항을 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알고 개인정보를 제공받은 자를 처벌하도록 하고 있고,

제17조 제1항은 ‘개인정보처리자’가 정보주체의 동의를 받은 경우나 수집한 목적 범위 내에서는 개인정보를 제공할 수 있는 것으로 정하고 있어, ‘개인정보처리자’의 개인정보 무단 제공행위 및 그로부터 개인정보를 무단으로 제공받는 행위에 관하여는 제71조 제1호, 제17조 제1항에 의하여 별도로 규제되고 처벌할 수 있는 점,

개인정보 보호법 제59조 제2호의 의무주체는 ‘개인정보를 처리하거나 처리하였던 자’로서 제15조(개인정보의 수집·이용), 제17조(개인정보의 제공), 제18조(개인정보의 목적 외 이용·제공 제한) 등의 의무주체인 ‘개인정보처리자’와는 법문에서 명백히 구별되는 점,

개인정보 보호법이 금지 및 행위규범을 정할 때 일반적으로 개인정보처리자를 규범준수자로 하여 규율함에 따라, 제8장 보칙의 장에 따로 제59조를 두어 ‘개인정보처리자’ 외에도 ‘개인정보를 처리하거나 처리하였던 자’를 의무주체로 하는 금지행위에 관하여 규정함으로써 개인정보처리자 이외의 자에 의하여 이루어지는 개인정보 침해행위로 인한 폐해를 방지하여 사생활의 비밀 보호 등 개인정보 보호법의 입법 목적을 달성하려 한 것으로 볼 수 있는 점 등을 고려하면,

개인정보 보호법 제71조 제5호의 적용대상자로서 제59조 제2호의 의무주체인 ‘개인정보를 처리하거나 처리하였던 자’는 제2조 제5호의 ‘개인정보처리자’ 즉 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등에 한정되지 않고, 업무상 알게 된 제2조 제1호의 ‘개인정보’를 제2조 제2호의 방법으로 ‘처리’하거나 ‘처리’하였던 자를 포함한다. ··· (중략) ···


판례 4 [ 당 법인의 실제 수행 업무 사례 ]

▣ 사건 개요

본 사건은 분양대행 과정에서 개인정보가 무단 수집·유출된 사례입니다. 수분양자들이 참여한 오픈채팅방에서 개인정보 파일이 공유되었고, 해당 파일에는 단순 연락처를 넘어 건강상태, 가족관계, 재산상황 등 민감정보가 포함되어 있었습니다.

▣ 핵심 쟁점

이 사건의 핵심은 단순 유출이 아닌 민감정보를 동의 없이 수집·처리한 행위 자체입니다. 또한 다음과 같은 부분이 쟁점이 되었습니다.

• 민감정보에 해당하는지 여부
• 정보주체 동의 존재 여부
• 위탁 구조에서 고지 의무 위반 여부
• 단순 실수인지, 구조적 위법인지 판단

▣ 핵심 포인트

- 민감정보는 일반 개인정보보다 훨씬 엄격하게 보호됨
- 동의 없는 수집 자체가 형사처벌 대상
- 유출 여부와 관계없이 처리 단계에서 이미 위법 가능
- 위탁 구조 미고지 시 별도 위법

▣ 법무법인 민후의 조력

본 법인은 고소인을 대리하여 대응 전략을 수립하였습니다.

첫째, 민감정보 처리 자체의 위법성을 강조했습니다. 단순 유출이 아니라 수집 단계부터 위법이라는 점을 구조적으로 정리했습니다.
둘째, 위탁 구조를 분석했습니다. 시행사와 분양대행사 간 관계에서 정보주체에게 고지되지 않은 점을 지적하여 법적 책임 범위를 확장했습니다.
셋째, 객관적 증거 확보에 집중했습니다. 실제 파일 내용과 게시 정황을 통해 민감정보가 포함된 사실을 입증했습니다.

▣ 결과

그 결과 검찰은 해당 행위를 개인정보보호법 위반으로 판단하여 구약식 처분(형사처벌)을 하였습니다. 이는 단순 행정제재가 아닌 형사책임이 인정된 사례라는 점에서 의미가 큽니다.

6. 기업 대응 전략 (사전·사후)


개인정보보호법 위반 리스크를 줄이기 위해서는 사전 예방과 사후 대응이 모두 중요하며, 특히 사고 발생 이후의 대응 방식에 따라 형사처벌 여부나 과징금 규모가 크게 달라질 수 있습니다. 따라서 기업은 평소 관리체계를 구축하는 동시에, 사고 발생 시 즉시 대응할 수 있는 체계를 함께 마련해두어야 합니다.

▣ 사전 대응

1) 내부 관리체계 구축
기업은 개인정보 접근 권한을 최소한으로 제한하고, 누가 언제 어떤 정보를 열람하거나 처리했는지 확인할 수 있도록 로그 기록을 체계적으로 관리해야 합니다. 또한 개인정보의 안전성을 확보하기 위해 암호화 등 기술적 보호조치를 적용하는 것이 필수적이며, 이러한 관리체계가 제대로 구축되어 있는지가 위반 여부 판단과 제재 수위에 직접적인 영향을 미칩니다.

2) 개인정보 처리방침 정비
개인정보 처리방침은 단순한 형식적 문서가 아니라 실제 운영 기준으로 작동해야 하며, 수집 목적을 명확히 하고 그 범위를 벗어나지 않도록 관리해야 합니다. 또한 정보주체의 동의 절차를 구체적으로 설계하고, 개인정보의 보관 기간 및 파기 기준을 명확히 설정함으로써 불필요한 보유로 인한 법적 리스크를 줄일 수 있습니다.

▣ 사후 대응

1) 사고 발생 즉시 신고
개인정보 유출 등 사고가 발생한 경우에는 지체 없이 개인정보보호위원회에 신고하고, 정보주체에게 해당 사실을 통지하는 것이 중요합니다. 이러한 초기 대응이 늦어질 경우 추가적인 제재로 이어질 수 있으며, 반대로 신속한 조치는 과징금 감경 요소로 고려될 수 있습니다.

2) 법적 대응 전략
사고 발생 이후에는 형사책임 발생 가능성을 검토하고 이에 대한 대응 전략을 수립해야 하며, 동시에 과징금 부과에 대비한 감경 요소를 적극적으로 확보하는 것이 중요합니다. 또한 피해자와의 합의 및 피해 최소화 조치를 병행함으로써 전체적인 법적 리스크를 줄이는 방향으로 대응이 이루어져야 합니다.

7. 실무 핵심 체크리스트 및 대응 전략

개인정보보호법 위반을 예방하고 대응하기 위해서는 사전에 점검 가능한 요소들을 체계적으로 관리하고, 사고 발생 시 단계별 대응 전략을 명확히 설정해두는 것이 중요합니다.

▣  체크리스트

[ 　 ] 개인정보 수집 동의 확보 여부
[ 　 ] 접근권한 최소화
[ 　 ] 내부 유출 방지 시스템
[ 　 ] 위탁 관리 계약 체결
[ 　 ] 사고 대응 매뉴얼 구축

▣ 단계별 대응 전략

[1단계] 위험 진단
문제가 된 개인정보의 종류와 범위를 파악하고, 어떤 경로로 유출 또는 위반이 발생했는지를 확인하는 것이 첫 단계입니다.

[2단계] 법적 평가
해당 행위가 개인정보보호법 위반에 해당하는지 여부를 검토하고, 형사처벌 또는 행정제재 가능성을 분석합니다.

[3단계] 대응 설계
신고 여부를 결정하고, 수사기관 대응 및 내부 조사 계획을 수립하는 등 구체적인 대응 전략을 마련합니다.

[4단계] 사후 관리
동일한 문제가 재발하지 않도록 내부 통제 체계를 보완하고, 보안 및 관리 수준을 강화하는 조치를 시행해야 합니다.

8. 자주 묻는 질문 (FAQ)

Q1 개인정보 유출되면 무조건 형사처벌인가요?

아닙니다. 고의성, 관리 수준, 피해 규모에 따라 달라집니다. 다만 중대한 과실이 인정되면 형사처벌 가능성이 높습니다.

Q2 내부 직원이 유출하면 회사 책임도 있나요?

네, 있습니다. 관리 감독 의무 위반이 인정되면 회사도 처벌됩니다.

Q3 과징금은 얼마나 나오나요?

매출 기준 최대 3%까지 가능하며, 기업 규모에 따라 매우 큰 금액이 될 수 있습니다.

Q4 해킹 피해도 처벌 대상인가요?

보안조치가 미흡한 경우 책임이 인정될 수 있습니다.

Q5 초기 대응이 중요한 이유는?

초기 대응에 따라 형사처벌 여부, 과징금 규모가 크게 달라집니다.


개인정보보호법 위반 처벌 기준은 단순히 벌금 문제를 넘어 기업 존속과 직결되는 리스크입니다. 특히 최근에는 과징금 규모 확대, 형사처벌 강화, 대표자 책임 확대가 동시에 이루어지고 있어 초기 대응이 무엇보다 중요합니다. 형사처벌 가능성, 과징금 리스크, 기업 이미지 손상까지 종합적으로 판단해야 합니다.

법무법인 민후는 개인정보보호법 위반 사건에서 형사 대응, 과징금 대응, 내부 컴플라이언스 구축까지 전 과정에 걸쳐 체계적인 대응을 제공하고 있습니다. 현재 개인정보 유출 또는 위반 가능성이 있는 상황이라면, 초기 대응 방향을 반드시 전문가와 함께 점검하시기 바랍니다.

9. 개인정보보호 관련 주요 법조문

▣ 개인정보보호법

◐ 제2조 제1호 ~ 제6호(정의)
1. “개인정보”란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.
가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다.
다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 “가명정보”라 한다)
1의2. “가명처리”란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.
2. “처리”란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.
3. “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.
4. “개인정보파일”이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.
5. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.
6. “공공기관”이란 다음 각 목의 기관을 말한다. 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다) 및 그 소속 기관, 지방자치단체 나. 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관

◐ 제15조(개인정보의 수집·이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.

1. 정보주체의 동의를 받은 경우
2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우
4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우 5. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.
7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.
1. 개인정보의 수집ㆍ이용 목적
2. 수집하려는 개인정보의 항목
3. 개인정보의 보유 및 이용 기간
4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

③ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.

◐ 제17조 제1항 제1호(개인정보의 제공)
① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.
1. 정보주체의 동의를 받은 경우

◐ 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지)
① 개인정보처리자가 정보주체 이외로부터 수집한 개인정보를 처리하는 때에는 정보주체의 요구가 있으면 즉시 다음 각 호의 모든 사항을 정보주체에게 알려야 한다.

1. 개인정보의 수집 출처
2. 개인정보의 처리 목적
3. 제37조에 따른 개인정보 처리의 정지를 요구하거나 동의를 철회할 권리가 있다는 사실

② 제1항에도 불구하고 처리하는 개인정보의 종류ㆍ규모, 종업원 수 및 매출액 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 제17조제1항제1호에 따라 정보주체 이외로부터 개인정보를 수집하여 처리하는 때에는 제1항 각 호의 모든 사항을 정보주체에게 알려야 한다. 다만, 개인정보처리자가 수집한 정보에 연락처 등 정보주체에게 알릴 수 있는 개인정보가 포함되지 아니한 경우에는 그러하지 아니하다.

③ 제2항 본문에 따라 알리는 경우 정보주체에게 알리는 시기ㆍ방법 및 절차 등 필요한 사항은 대통령령으로 정한다.

④ 제1항과 제2항 본문은 다음 각 호의 어느 하나에 해당하는 경우에는 적용하지 아니한다. 다만, 이 법에 따른 정보주체의 권리보다 명백히 우선하는 경우에 한한다.
1. 통지를 요구하는 대상이 되는 개인정보가 제32조제2항 각 호의 어느 하나에 해당하는 개인정보파일에 포함되어 있는 경우
2. 통지로 인하여 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

◐ 제26조(업무위탁에 따른 개인정보의 처리 제한)
① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다.
1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항
3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 “위탁자”라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 “수탁자”라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.

③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다.

⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

⑧ 수탁자에 관하여는 제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다. 이 경우 “개인정보처리자”는 “수탁자”로 본다

◐ 제29조(안전조치의무)
개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다

◐ 제37조(개인정보의 처리정지 등)
① 정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다. 이 경우 공공기관에 대해서는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구하거나 개인정보 처리에 대한 동의를 철회할 수 있다.
② 개인정보처리자는 제1항에 따른 처리정지 요구를 받았을 때에는 지체 없이 정보주체의 요구에 따라 개인정보 처리의 전부를 정지하거나 일부를 정지하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체의 처리정지 요구를 거절할 수 있다.

1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
2. 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우
3. 공공기관이 개인정보를 처리하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우
4. 개인정보를 처리하지 아니하면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 아니한 경우

③ 개인정보처리자는 정보주체가 제1항에 따라 동의를 철회한 때에는 지체 없이 수집된 개인정보를 복구ㆍ재생할 수 없도록 파기하는 등 필요한 조치를 하여야 한다. 다만, 제2항 각 호의 어느 하나에 해당하는 경우에는 동의 철회에 따른 조치를 하지 아니할 수 있다.

④ 개인정보처리자는 제2항 단서에 따라 처리정지 요구를 거절하거나 제3항 단서에 따라 동의 철회에 따른 조치를 하지 아니하였을 때에는 정보주체에게 지체 없이 그 사유를 알려야 한다.

⑤ 개인정보처리자는 정보주체의 요구에 따라 처리가 정지된 개인정보에 대하여 지체 없이 해당 개인정보의 파기 등 필요한 조치를 하여야 한다.

⑥ 제1항부터 제5항까지의 규정에 따른 처리정지의 요구, 동의 철회, 처리정지의 거절, 통지 등의 방법 및 절차에 필요한 사항은 대통령령으로 정한다.

◐ 제63조(자료제출 요구 및 검사)
① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다.

1. 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우
2. 이 법 위반에 대한 신고를 받거나 민원이 접수된 경우
3. 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 경우로서 대통령령으로 정하는 경우

② 보호위원회는 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다.

③ 보호위원회는 이 법 등 개인정보 보호와 관련된 법규의 위반행위로 인하여 중대한 개인정보 침해사고가 발생한 경우 신속하고 효과적인 대응을 위하여 다음 각 호의 어느 하나에 해당하는 관계 기관의 장에게 협조를 요청할 수 있다.

1. 중앙행정기관
2. 지방자치단체
3. 그 밖에 법령 또는 자치법규에 따라 행정권한을 가지고 있거나 위임 또는 위탁받은 공공기관

④ 제3항에 따라 협조를 요청받은 관계 기관의 장은 특별한 사정이 없으면 이에 따라야 한다.
⑤ 제1항 및 제2항에 따른 자료제출 요구, 검사 절차 및 방법 등에 관하여 필요한 사항은 보호위원회가 정하여 고시할 수 있다.
⑥ 보호위원회는 제1항 및 제2항에 따라 제출받거나 수집한 서류ㆍ자료 등을 이 법에 따른 경우를 제외하고는 제3자에게 제공하거나 일반에 공개해서는 아니 된다.
⑦ 보호위원회는 정보통신망을 통하여 자료의 제출 등을 받은 경우나 수집한 자료 등을 전자화한 경우에는 개인정보ㆍ영업비밀 등이 유출되지 아니하도록 제도적ㆍ기술적 보완조치를 하여야 한다.

◐ 제64조(시정조치 등)
① 보호위원회는 이 법을 위반한 자(중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 제외한다)에 대하여 다음 각 호에 해당하는 조치를 명할 수 있다.
1. 개인정보 침해행위의 중지
2. 개인정보 처리의 일시적인 정지
3. 그 밖에 개인정보의 보호 및 침해 방지를 위하여 필요한 조치
② 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 그 소속 기관 및 소관 공공기관이 이 법을 위반하였을 때에는 제1항 각 호에 해당하는 조치를 명할 수 있다.
③ 보호위원회는 중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회가 이 법을 위반하였을 때에는 해당 기관의 장에게 제1항 각 호에 해당하는 조치를 하도록 권고할 수 있다. 이 경우 권고를 받은 기관은 특별한 사유가 없으면 이를 존중하여야 한다.

▣ 통신비밀보호법

◐ 제3조(통신 및 대화비밀의 보호) 및 제14조

①누구든지 이 법과 형사소송법 또는 군사법원법의 규정에 의하지 아니하고는 우편물의 검열ㆍ전기통신의 감청 또는 통신사실확인자료의 제공을 하거나 공개되지 아니한 타인간의 대화를 녹음 또는 청취하지 못한다. 다만, 다음 각호의 경우에는 당해 법률이 정하는 바에 의한다.

1. 환부우편물등의 처리 : 우편법 제28조ㆍ제32조ㆍ제35조ㆍ제36조등의 규정에 의하여 폭발물등 우편금제품이 들어 있다고 의심되는 소포우편물(이와 유사한 郵便物을 포함한다) 을 개피하는 경우, 수취인에게 배달할 수 없거나 수취인이 수령을 거부한 우편물을 발송인에게 환부하는 경우, 발송인의 주소ㆍ성명이 누락된 우편물로서 수취인이 수취를 거부하여 환부하는 때에 그 주소ㆍ성명을 알기 위하여 개피하는 경우 또는 유가물이 든 환부불능우편물을 처리하는 경우
2. 수출입우편물에 대한 검사 : 관세법 제256조ㆍ제257조 등의 규정에 의한 신서외의 우편물에 대한 통관검사절차
3. 구속 또는 복역중인 사람에 대한 통신 : 형사소송법 제91조, 군사법원법 제131조, 「형의 집행 및 수용자의 처우에 관한 법률」 제41조ㆍ제43조ㆍ제44조 및 「군에서의 형의 집행 및 군수용자의 처우에 관한 법률」 제42조ㆍ제44조 및 제45조에 따른 구속 또는 복역중인 사람에 대한 통신의 관리
4. 파산선고를 받은 자에 대한 통신 : 「채무자 회생 및 파산에 관한 법률」 제484조의 규정에 의하여 파산선고를 받은 자에게 보내온 통신을 파산관재인이 수령하는 경우
5. 혼신제거등을 위한 전파감시 : 전파법 제49조 내지 제51조의 규정에 의한 혼신제거등 전파질서유지를 위한 전파감시의 경우

②우편물의 검열 또는 전기통신의 감청(이하 “통신제한조치”라 한다)은 범죄수사 또는 국가안전보장을 위하여 보충적인 수단으로 이용되어야 하며, 국민의 통신비밀에 대한 침해가 최소한에 그치도록 노력하여야 한다.

③누구든지 단말기기 고유번호를 제공하거나 제공받아서는 아니된다. 다만, 이동전화단말기 제조업체 또는 이동통신사업자가 단말기의 개통처리 및 수리 등 정당한 업무의 이행을 위하여 제공하거나 제공받는 경우에는 그러하지 아니하다.

◐ 제14조 (타인의 대화비밀 침해금지)

①누구든지 공개되지 아니한 타인간의 대화를 녹음하거나 전자장치 또는 기계적 수단을 이용하여 청취할 수 없다.
②제4조 내지 제8조, 제9조제1항 전단 및 제3항, 제9조의2, 제11조제1항ㆍ제3항ㆍ제4항 및 제12조의 규정은 제1항의 규정에 의한 녹음 또는 청취에 관하여 이를 적용한다.


▣ 정보통신망법, 형법

◐ 정보통신망법 제49조 (비밀 등의보호)

누구든지 정보통신망에 의하여 처리·보관 또는 전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해·도용 또는 누설하여서는 아니된다.

◐ 형법 제316조 (비밀침해)

① 봉함기타 비밀장치한 사람의 편지, 문서 또는 도화를 개봉한 자는 3년 이하의 징역이나 금고 또는 500만원 이하의벌금에 처한다.
② 몽함 기타 비밀장치한 사람의 편지, 문서, 도화 또는 전자기록 등 특수매체기록을 기술적 수단을 이용하여 그 내용을 알아낸 자도 제1항의 항과 같다.


작성자: 김경환 변호사, 양진영 변호사
"IT 및 데이터 법률 분야에서 수많은 혁신 사례를 이끌어온 법무법인 민후는 풍부한 실무 데이터를 바탕으로 기업이 당면한 법적 리스크에 명확한 이정표를 제시합니다.


관련 업무사례
대표 변호사

경험과 전문성을 갖춘 대표 변호사와
전화 상담을 받아보세요.

김경환 대표변호사, 변리사

김경환

대표변호사, 변리사

전화 상담
양진영 대표변호사, 변리사

양진영

대표변호사, 변리사

전화 상담
목록