법무법인 프런티어
오산 개인정보보호법위반변호사
오산 개인정보보호법위반변호사 | 형사처벌과 과징금, 무엇이 다르고 어떻게 함께 오는지
개인정보보호법위반은 하나의 사실관계에서 형사처벌(벌금·징역)과 행정처분(과징금·과태료·시정명령)이 동시에 문제되는 대표적인 영역입니다. 개인정보보호위원회의 조사·처분과 검찰·경찰의 수사가 별개 절차로 진행되기 때문에, 행정조사 단계에서의 진술이 형사절차에서 불리하게 쓰일 수 있습니다(개인정보보호법 제64조의2, 제70조 내지 제75조). 유출 규모, 고의·과실 여부, 재발방지 조치 이력에 따라 처분 수위가 크게 달라지므로 조사 초기 대응이 결과에 영향을 줍니다.
개인정보보호법위반 | 어떤 행위가 개인정보보호법위반이 되는지
개인정보보호법은 처리 단계별로 여러 금지행위를 열거하고 있고, 각 조항마다 형사처벌 또는 과징금 대상 여부가 다릅니다. 실제 사건에서는 아래 유형 중 여러 개가 동시에 문제되는 경우가 흔합니다.
정보주체의 동의 없이 개인정보를 수집하거나 제3자에게 제공한 경우가 여기에 해당합니다(개인정보보호법 제15조, 제17조). 마케팅 목적의 명의 도용, 협력업체와의 무단 공유가 대표적입니다. 동의 범위를 넘어선 이용도 별도 위반으로 다뤄질 수 있습니다(제18조).
건강정보, 주민등록번호 등 민감정보·고유식별정보는 원칙적으로 별도 동의나 법령상 근거가 있어야 처리할 수 있습니다(개인정보보호법 제23조, 제24조). 이 유형은 처벌 수위가 일반 개인정보 위반보다 무겁게 다뤄지는 경향이 있습니다.
암호화, 접근권한 관리 등 안전조치를 다하지 않아 개인정보가 유출된 경우 안전조치의무 위반이 문제됩니다(개인정보보호법 제29조). 유출 자체가 아니라 '상당한 주의와 감독을 다했는지'가 실무상 핵심 쟁점입니다.
정보통신서비스 제공자 등에게 적용되던 개인정보 이용·제공 관련 특례 조항 위반이 문제되는 경우도 있습니다. 위반 사실이 확인되면 개인정보보호위원회가 자료제출 요구·현장조사에 나설 수 있습니다(개인정보보호법 제63조).
위 행위 중 상당수는 형사처벌 대상으로도 규정되어 있어, 벌금형부터 징역형까지 예정되어 있습니다(개인정보보호법 제71조 내지 제75조). 법인의 경우 실제 행위를 한 개인과 법인이 함께 처벌 대상이 될 수 있습니다(제74조 양벌규정).
양벌규정과 개인 책임의 경계
법인의 대표자나 종업원이 업무 관련하여 위반행위를 하면 법인도 함께 처벌받을 수 있지만, 법인이 위반행위를 방지하기 위해 상당한 주의와 감독을 다한 경우에는 면책될 수 있습니다(개인정보보호법 제74조). 이 면책 요건을 어떻게 입증하는지가 기업 대응의 핵심입니다.
개인정보보호법위반 | 형사절차와 행정절차가 따로 움직이는 구조
개인정보보호법 위반은 하나의 사실관계라도 처리 주체와 절차가 완전히 다른 두 트랙으로 나뉩니다. 이 구조를 이해하지 못하면 한쪽 대응이 다른 쪽에 불리한 증거로 작용할 수 있습니다.
개인정보보호위원회의 조사·처분
개인정보보호위원회는 위반 신고나 정기 점검을 통해 자료제출 요구, 현장조사를 진행하고, 위반이 확인되면 시정명령·과징금·과태료를 부과할 수 있습니다(개인정보보호법 제63조, 제64조, 제64조의2). 이 절차는 형사처벌과 별개로, 행정청이 직접 처분권을 행사하는 구조입니다.
수사기관의 형사절차
같은 사실관계라도 형사처벌 조항에 해당하면 경찰·검찰이 별도로 수사에 착수합니다. 개인정보보호위원회가 위반 사실을 확인하면 수사기관에 고발하는 경우도 있어, 행정처분과 형사고발이 시차를 두고 이어지는 경우가 흔합니다.
두 절차의 시간차와 대응 순서
행정조사가 먼저 시작되고 그 결과가 형사고발로 이어지는 흐름이 일반적입니다. 따라서 행정조사 초기 단계에서 사실관계를 어떻게 정리하고 소명하는지가 이후 형사절차의 방향에도 영향을 줄 수 있습니다.
⚠ 행정조사 진술, 형사절차에서 그대로 쓰일 수 있습니다
개인정보보호위원회 조사 단계에서의 진술서·소명자료는 이후 수사기관에 이관되거나 참고자료로 활용될 수 있습니다. 형사 리스크가 있는 사안이라면 행정조사 답변 단계에서부터 신중하게 접근할 필요가 있습니다.
개인정보보호법위반 | 행위자가 자주 놓치는 위반 상황
실무에서는 '고의로 정보를 팔았다'는 극단적 사례보다, 업무 편의상 관행적으로 해오던 처리방식이 뒤늦게 위반으로 지적되는 경우가 훨씬 많습니다.
동의서 형식은 갖췄지만 범위를 넘긴 경우
수집 시 동의를 받았더라도 당초 고지한 목적·범위를 벗어나 이용하면 별도 위반이 됩니다(개인정보보호법 제18조). '마케팅 동의'를 받아 두고 제3자 제공까지 이어지는 경우가 대표적으로 문제됩니다.
위탁과 제3자 제공의 구분 실패
업무를 위탁하며 개인정보를 넘긴 것인지, 제3자에게 제공한 것인지에 따라 요구되는 절차와 책임 범위가 달라집니다. 위탁 사실을 정보주체에게 제대로 고지하지 않았다면 그 자체로 지적 대상이 될 수 있습니다(개인정보보호법 제26조).
퇴사자·전직원의 개인정보 접근
내부 직원이 업무 범위를 넘어 개인정보를 조회·유출한 경우, 회사의 안전조치의무 위반과 개인의 형사책임이 함께 문제될 수 있습니다. 접근권한 관리 기록이 있는지가 회사 측 면책 여부에 영향을 줍니다.
개인정보보호법위반 | 과징금·과태료는 어떤 기준으로 정해지는지
과징금은 위반행위와 관련된 매출액 등을 기준으로 산정되는 경우가 있어, 형사 벌금보다 액수가 훨씬 커질 수 있습니다. 산정 기준을 이해하면 조사 단계에서 어떤 자료를 준비해야 하는지가 명확해집니다.
과징금 산정의 기본 구조
개인정보보호위원회는 위반행위의 내용·정도, 위반행위로 인한 피해 규모, 위반 기간·횟수, 위반으로 취득한 경제적 이익 등을 고려해 과징금을 산정합니다(개인정보보호법 제64조의2). 관련 매출액이 없거나 산정이 곤란한 경우 별도 기준이 적용될 수 있습니다.
감경 요소로 작용할 수 있는 사정
자진신고 여부, 재발방지 대책 이행, 피해 확산 방지 조치, 위반 인지 후 신속한 통지·조치 여부는 처분 수위를 낮추는 요소로 고려될 수 있습니다. 조사 초기부터 이런 정황을 정리해두는 것이 실무상 중요합니다.
과태료와 과징금의 구분
과징금은 위반행위 자체의 경제적 이익을 환수하는 성격이 강하고, 과태료는 행정절차상 의무(신고·통지 등) 위반에 대한 제재인 경우가 많습니다(개인정보보호법 제75조). 어떤 처분이 예정되어 있는지에 따라 소명 전략이 달라집니다.
개인정보보호법위반 | 조사 통지부터 처분·수사 종결까지
개인정보보호위원회 또는 수사기관으로부터 받은 통지문의 근거 조항과 요구 자료 범위를 먼저 확인합니다. 어느 절차(행정·형사)가 먼저 시작됐는지 파악하는 것이 대응 방향을 정하는 첫 단계입니다.
개인정보 수집 경로, 동의 내역, 접근권한 기록, 유출 경위 등 관련 자료를 시점별로 정리합니다. 이 단계에서 정리한 사실관계가 이후 소명서와 진술의 기초가 됩니다.
행정조사에는 소명서를, 수사기관 조사에는 진술 방향을 준비합니다. 두 절차에서의 답변이 서로 어긋나지 않도록 조율하는 것이 중요합니다.
과징금·과태료·시정명령이 예정된 경우 사전통지 단계에서 의견을 제출할 기회가 주어집니다. 감경 요소를 제시할 수 있는 마지막 단계이므로 놓치지 않도록 합니다.
처분에 이의가 있으면 행정심판·행정소송을, 형사고발이 진행되면 수사·기소 여부에 따라 별도 방어를 준비합니다. 두 절차의 결과가 서로 영향을 줄 수 있어 종합적으로 판단합니다.
개인정보보호법위반 | 형사·행정 대응 비용은 어떻게 산정되는지
행정조사 대응만 맡는 경우와 형사·행정을 함께 대응하는 경우 업무 범위가 달라 착수금 산정 기준도 다릅니다. 조사 단계인지, 이미 처분·기소가 이뤄진 단계인지에 따라서도 차이가 있습니다.
과징금 감경 규모, 무혐의·불기소 등 형사절차의 결과에 따라 성공보수 여부와 기준을 사전에 협의합니다. 결과를 보장할 수 없는 사안의 성격상 구체적 기준은 상담 시 사안별로 안내드립니다.
포렌식 감정, 자료 열람·복사, 전문가 의견서 등이 필요한 경우 별도 실비가 발생할 수 있습니다. 유출 규모가 크거나 기술적 쟁점이 있는 사안일수록 이 비용이 커질 수 있습니다.
행정심판·행정소송과 형사절차가 동시에 진행되는 경우, 절차별로 별도 위임계약이 필요할 수 있습니다. 초기 상담에서 예상되는 절차 개수를 함께 안내받는 것이 좋습니다.
※ 비용은 사건의 난이도와 구체적 사정에 따라 달라지며, 정확한 금액은 상담을 통해 안내해 드립니다. 특정 결과를 보장하지 않습니다.
개인정보보호법위반 | 체크리스트
1️⃣ 조사 통지를 받은 사업자·담당자
- 통지문에 개인정보보호위원회와 수사기관 중 어느 쪽 명의인지 확인했나요?
- 요구받은 자료 범위가 위반 혐의와 어떻게 연결되는지 파악했나요?
- 소명 기한과 의견제출 기한을 놓치지 않았나요?
- 내부 관련 부서 간 진술 내용이 서로 어긋나지 않도록 조율했나요?
2️⃣ 유출 사고 발생 직후 대응
- 유출 인지 시점과 신고·통지 의무 시한을 확인했나요?
- 유출 범위와 원인을 내부적으로 먼저 파악했나요?
- 재발방지 대책을 마련하고 이행 기록을 남기고 있나요?
- 안전조치의무를 다했다는 것을 뒷받침할 자료(암호화, 접근권한 기록 등)가 있나요?
3️⃣ 이미 과징금·과태료 처분을 받은 경우
- 처분 사전통지 단계에서 의견제출 기회를 활용했나요?
- 산정 기준(매출액, 위반 기간 등)에 오류가 없는지 검토했나요?
- 행정심판·행정소송 제기 기간이 남아있는지 확인했나요?
- 감경 요소로 제시할 수 있는 사정을 정리해두었나요?
4️⃣ 형사고발·수사가 진행 중인 경우
- 고발 주체가 개인정보보호위원회인지 제3자(피해자)인지 확인했나요?
- 행정조사 단계 진술과 형사 진술이 일치하는지 점검했나요?
- 법인과 개인(대표자·담당자) 중 누가 피의자로 특정됐는지 확인했나요?
- 양벌규정상 면책 요건(상당한 주의·감독)을 입증할 자료가 있나요?
자주 묻는 질문
공식 참고자료
- 국가법령정보센터 — https://www.law.go.kr
- 찾기쉬운 생활법령정보 — https://easylaw.go.kr
- 대한법률구조공단 — https://www.klac.or.kr
개인정보보호법위반 승소사례
해당 분야 승소사례를 준비 중입니다.
개인정보처리방침
제 1 조 수집하는 개인정보의 항목, 목적, 방법
제 2 조 개인정보의 처리 및 보유기간
제 3 조 개인정보의 제3자 제공
제 4 조 개인정보 처리업무의 위탁
제 5 조 정보주체의 권리·의무 및 그 행사방법
제 6 조 개인정보의 파기
제 7 조 의견수렴 및 불만처리
제 8 조 개인정보 처리방침의 변경
제 9 조 개인정보의 안전성 확보 조치
제 1 조 (수집하는 개인정보의 항목, 목적, 방법)
① 게시판 글 작성 시 필수 항목에 대한 수집목적은 ‘별도의 구체적 상담을 위하여’이며 수집항목은 ‘이름, 이메일, 연락처’입니다.
② 전항 외에 고객의 서비스 이용 과정이나 요청 사항 처리 과정에서 ‘IP주소, 접속로그, 단말기 및 환경정보, 서비스 이용기록, 쿠키’와 같은 정보들이 자동으로 수집 및 저장될 수 있으며, 이 때의 수집목적은 ‘사용자 홈페이지 이용, 사이트 이용에 대한 문의 민원 등 고객 고충 처리’입니다.
③ 사무소는 ‘홈페이지 고객 문의/고충 처리 시 전화 또는 인터넷을 통한 상담’과 같은 방법으로 개인정보를 수집합니다
제 2 조 (개인정보의 처리 및 보유기간)
관계법령의 규정에 따라 개인정보를 보존하여야 하는 의무가 있는 경우가 아닌 한, 정보주체의 개인정보는 원칙적으로 해당 개인정보의 처리목적이 달성될 때까지 보유 및 이용되며, 그 목적이 달성되면 지체 없이 파기됩니다.
제 3 조 (개인정보의 제3자 제공)
사무소는 정보주체의 개인정보를 본 처리방침에서 명시한 목적에 한해서만 처리하며 정보주체의 사전동의가 있는 경우 또는 개인정보보호법 등 관계법령의 규정에 의거한 경우에만 개인정보를 제3자에게 제공합니다. 사무소는 현재 개인정보를 제3자에게 제공하지 않고 있습니다.
제 4 조 (개인정보 처리업무의 위탁)
사무소는 현재 귀하의 개인정보 보호를 위해 귀하의 개인정보를 직접 취급 관리하고 있습니다. 단, 향후 보다 전문적인 서비스를 제공하기 위하여 제3의 전문기관에 귀하의 정보를 위탁할 필요가 있다고 판단되는 경우, 귀하의 사전 동의 하에 개인정보에 대한 취급을 위탁할 수 있습니다.
제 5 조 (정보주체의 권리·의무 및 그 행사방법)
① 정보주체는 개인정보보호법 등 관계법령이 정하는 바에 따라 사무소에 대해 개인정보의 열람, 정정 및 삭제, 처리정지 요구 등 개인정보 보호 관련 권리를 행사할 수 있습니다.
② 제1항에 따른 권리행사는 정보주체의 법정대리인이나 위임을 받은 사람을 통해서도 할 수 있습니다. 다만, 이 경우에는 개인정보보호법 시행규칙에 따른 위임장을 사무소에 제출하여야 합니다.
③ 사무소는 정보주체의 권리행사에 대하여 개인정보보호법 등 관계법령이 정하는 바에 따라 지체 없이 조치하겠습니다.
제 6 조 (개인정보의 파기)
① 사무소는 원칙적으로 개인정보의 처리목적이 달성된 경우 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 해당 개인정보를 파기합니다.
② 사무소가 관계법령의 규정에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리해서 저장·관리 합니다.
③ 사무소는 파기사유가 발생한 개인정보를 선정하여 개인정보 보호책임자의 승인을 받아 해당 개인정보를 파기합니다.
④ 사무소는 파기하여야 할 개인정보가 전자적 파일 형태인 경우 복원이 불가능한 방법으로 영구 삭제하며, 이외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우 파쇄 또는 소각합니다.
제 7 조 (의견수렴 및 불만처리)
정보주체는 개인정보 보호 관련 문의, 불만처리, 피해구제 등에 관한 사항을 아래 개인정보 보호책임자 또는 담당부서에 문의하실 수 있습니다. 사무소는 정보주체의 문의에 대하여 신속하고 충분한 답변을 드릴 것입니다.
개인정보 보호 책임자 : 변호사
연락처 : 02.
제 8 조 (개인정보 처리방침의 변경)
사무소의 개인정보 처리방침은 관련 법령, 지침 및 사무소 내부규정에 따라 변경될 수 있으며, 개인정보 처리방침이 변경되는 경우 관련 법령이 정하는 방법에 따라 공개합니다.
제 9 조 (개인정보의 안전성 확보 조치)
사무소는 개인정보의 안전성 확보를 위해 다음과 같은 조치를 취하고 있습니다.
관리적 조치 : 내부관리계획의 수립 및 시행, 구성원에 대한 정기적인 개인정보 보호교육 등
기술적 조치 : 개인정보처리시스템 등의 접근권한 관리, 접근통제시스템 설치, 고유식별정보 등의 암호화, 보안프로그램의 설치 등
물리적 조치 : 전산실, 자료보관실 등 개인정보 보관장소에 대한 접근통제