https://datalaw.kr/posts/Recent content in 글 on IT·개인정보·데이터 법률노트https://datalaw.kr/og/default.pnghttps://datalaw.kr/og/default.pngHugoko-KRTue, 22 Sep 2026 17:52:00 +0900https://datalaw.kr/posts/pipc-information-request-first-response-evidence/Tue, 22 Sep 2026 10:50:00 +0900https://datalaw.kr/posts/pipc-information-request-first-response-evidence/개인정보위 자료제출 요구를 처음 받은 회사가 공문의 범위와 기한을 확인하고, 요청항목별 단일 대응표에서 담당자 진술·시스템 원본·제출자료를 대조하는 방법을 정리합니다. 자료 간 충돌을 처리하고 완전성·일관성·추적 가능성을 갖춘 첫 회신을 준비하기 위한 실무 기준입니다.https://datalaw.kr/posts/cpo-designation-scope-gap/Fri, 18 Sep 2026 22:10:00 +0900https://datalaw.kr/posts/cpo-designation-scope-gap/보호책임자를 지정했더라도 일부 개인정보 처리 시스템이 그 책임자의 관할 밖에 있으면 지정 의무를 이행하지 않은 것으로 판단될 수 있습니다. 이 글은 취소소송이 계속 중인 SK텔레콤 의결에서 CPO의 총괄 범위를 문제 삼은 판단을 분석하고, 개인정보 항목·시스템·조직·점검 권한을 대조하는 방법을 정리합니다.https://datalaw.kr/posts/credential-stuffing-threshold-standard/Fri, 18 Sep 2026 22:05:00 +0900https://datalaw.kr/posts/credential-stuffing-threshold-standard/남의 사이트에서 새어 나온 비밀번호로 우리 사이트에 로그인당하는 공격에서, 개인정보보호위원회는 차단 정책의 유무가 아니라 임계치가 평상시 트래픽에 비추어 합리적인지를 봅니다. 결정문에 남은 임계치 판단 네 건을 숫자 그대로 놓고, 조사가 시작되기 전에 무엇을 먼저 확인해야 하는지 정리합니다.https://datalaw.kr/posts/trade-secret-secrecy-management/Fri, 18 Sep 2026 10:36:36 +0900https://datalaw.kr/posts/trade-secret-secrecy-management/반도체 부품 제조사의 기술유출 형사사건 항소심(서울중앙지방법원 2026. 5. 15. 선고 2025노3463 판결)은 반출 자료 가운데 열처리 레시피 파일 등은 영업비밀로 인정하면서도, 단순 노무자를 제외한 직원 모두가 그룹웨어에서 열람·인쇄할 수 있었고 비밀표시가 없던 일일생산현황 자료는 영업비밀이 아니라고 보아 그 부분을 무죄로 판단했습니다. 법원은 그 자료로 경쟁사가 공정관리 노하우를 얻을 수 있다는 점은 인정했으므로, 유무죄를 가른 것은 비밀관리성 요건(부정경쟁방지법 제2조 제2호)이었습니다. 전 직원에게 포괄적으로 비밀유지의무를 지운 사정만으로는 비밀로 관리했다고 보기 어렵다는 것이 판시이고, 형이 징역 2년 6월에서 2년 4월로 바뀐 것도 유죄로 인정된 범위가 줄어든 데 따른 것입니다. 상고심(대법원 2026도8798)이 계속 중인 미확정 판결입니다.https://datalaw.kr/posts/breach-notification-delay-vs-safeguards/Thu, 17 Sep 2026 20:00:00 +0900https://datalaw.kr/posts/breach-notification-delay-vs-safeguards/공개된 유출 통지·신고 위반 의결에서 과징금 부과와 안전조치의무 위반의 동반 여부를 살폈습니다. 이 비교만으로 지연의 영향이 없다고 단정할 수는 없습니다. 통지·신고 위반 자체의 제재와 다른 위반에 대한 과징금 액수 산정을 구분하고, 기한 준수와 사고 당시 증적 보존을 함께 준비하는 방법을 정리합니다.https://datalaw.kr/posts/ciso-must-be-officer/Wed, 16 Sep 2026 07:10:00 +0900https://datalaw.kr/posts/ciso-must-be-officer/2026년 10월 1일부터 중기업을 제외한 정보통신서비스 제공자는 CISO의 임원 요건을 점검해야 합니다. 2026년 9월 22일 현재 후속 시행령의 공포 사실은 확인되지 않아 중기업의 별도 지정기준은 아직 확정된 기준으로 적용할 수 없습니다. 같은 날 CISO 지정·신고 위반 조항은 제76조 제2항 제6호의2로 이동하고 상한은 3천만원을 유지합니다.https://datalaw.kr/posts/network-act-repeat-incident-clock/Wed, 16 Sep 2026 07:05:00 +0900https://datalaw.kr/posts/network-act-repeat-incident-clock/2026년 10월 1일 시행되는 정보통신망법 제48조의8은 5년 이내 2회 이상의 침해사고에 매출액 3% 과징금을 부과합니다. 부칙 제7조 제1항은 시행 이후 최초로 2회 이상 발생한 경우부터 적용한다고 정했는데, 이 문언이 시행 전 사고를 횟수에 넣는지 넣지 않는지를 갈라 주지 않습니다. 같은 문제를 다룬 개인정보 보호법 부칙은 앞의 처분을 명시적으로 한정했으나 정보통신망법 부칙에는 그 한정이 없습니다. 두 부칙을 나란히 놓고 읽는 두 가지 방법과, 실사·사고대응에서 지금 확인해 둘 것을 정리했습니다.https://datalaw.kr/posts/dd-data-valuation-three-risks/Tue, 15 Sep 2026 07:20:00 +0900https://datalaw.kr/posts/dd-data-valuation-three-risks/주식 인수 실사에서는 사고 이력과 함께 파기·국외이전의 현재 상태, 기능별 동의 근거, 과징금 산정에 들어갈 매출연도를 확인해야 합니다. 업력 3년 이상 기업은 위반사업연도 직전 1년 매출과 직전 3년 평균 중 큰 금액을 기준으로 하므로 인수 후 매출이 곧바로 반영되는 것은 아닙니다. 재동의가 필요한 범위와 활용 가능한 데이터 모수를 사업계획에 반영하는 방법을 설명합니다.https://datalaw.kr/posts/pipc-ai-enforcement-census/Sat, 12 Sep 2026 16:30:00 +0900https://datalaw.kr/posts/pipc-ai-enforcement-census/개인정보보호위원회 결정문 게시판의 제재 의결 889건을 전수로 훑어, 인공지능이 쟁점이 된 의결 18건을 골라냈습니다. 그중 과징금이나 과태료가 붙은 것은 7건이고 나머지 11건은 권고와 경고로 끝났습니다. 금전 제재 7건을 보면 AI 자체가 아니라 그 옆의 것이 걸렸습니다. 학습에 쓴 원본 데이터의 수집 근거, 생체정보 동의, 국외이전, 평범한 API 취약점입니다. AI 학습을 이유로 과징금이 부과된 사건은 2021년 이루다 한 건뿐이고, 2024년과 2025년의 AI 사전 실태점검에서 위원회는 제15조 제1항 위반 「소지」를 적으면서도 처분하지 않았습니다.https://datalaw.kr/posts/breach-fine-insurance-coverage/Fri, 11 Sep 2026 12:55:00 +0900https://datalaw.kr/posts/breach-fine-insurance-coverage/개인정보보호배상책임보험은 정보주체에 대한 법률상 손해배상금을 덮고, 공개된 약관은 과징금·과태료를 명시적으로 제외합니다. 과징금은 일부 상품의 특약으로만 보상되며, 특약도 고의(상품에 따라 고의·중과실) 과징금과 과태료를 면책합니다. 과징금을 회사의 손해로 삼아 이사에게 오는 청구는 임원배상책임보험(D&O)의 영역인데, 공개된 약관 한 종은 벌과금·법인이 제기한 청구·주주대표소송을 면책하거나 특약 대상으로 둡니다. 2026년 9월 11일 개정법이 대표자의 최종 책임과 CPO의 이사회 보고를 명문화한 뒤에는 세 증권의 면책 조항과 이사회 기록을 함께 확인해야 합니다.https://datalaw.kr/posts/voluntary-compensation-fine-mitigation/Fri, 11 Sep 2026 12:50:00 +0900https://datalaw.kr/posts/voluntary-compensation-fine-mitigation/2026년 9월 11일 시행 과징금 부과기준 고시 제10조 제2항 제2호는 정보주체의 피해 회복 조치를 이행한 경우 1차 조정 금액의 「100분의 30 이하」를 감경하는 사유로 둡니다. datalaw.kr 제재 DB의 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 8건이고, 그중 4건만 산정에 반영됐습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있는 반면, 전원에게 보상했는데 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 개정 고시는 신속 대응 감경(40% 이하)을 따로 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다.https://datalaw.kr/posts/sanction-history-blind-period/Fri, 11 Sep 2026 07:54:00 +0900https://datalaw.kr/posts/sanction-history-blind-period/실사에서 대상회사가 개인정보 제재를 받은 적이 없다고 답하면, 인수인은 공개 자료로 그 답을 검증하려 합니다. 검증이 되는 처분과 되지 않는 처분이 갈리는 기준은 시기가 아니라 금액입니다. 억대 과징금은 결정문에 회사 이름이 없어도 개인정보보호위원회 보도자료가 회사를 지목합니다. 반대로 과태료와 시정명령은 2024년 11월 이전 구간에서 열 건 중 일곱 건이 결정문에도 공표에도 이름이 남지 않았습니다.https://datalaw.kr/posts/user-video-ai-training-consent/Thu, 10 Sep 2026 00:10:00 +0900https://datalaw.kr/posts/user-video-ai-training-consent/자세·동작을 분석하는 앱은 이용자가 찍은 영상을 자기 모델 학습에 다시 쓰고 싶어 합니다. 얼굴이 찍힌 영상은 개인정보이지만, 특정 개인을 알아볼 목적의 특징정보로 만들지 않는 한 생체인식정보(민감정보)는 아닙니다. 그러나 '서비스 개선' 목적 기재와 약관의 콘텐츠 라이선스 조항만으로 모델 학습에 쓰면 목적 외 이용이 됩니다. 2021년 이루다 사건에서 개인정보위는 '신규 서비스 개발' 기재만으로는 이용자가 예상할 수 없다고 보아 제18조 제1항 위반으로 제재했고, 2025년 1심 법원도 같은 판단으로 위자료를 인정했습니다. 이 글은 생체정보 판정, 동의 설계, 삭제 요구 처리, 저장소 분리까지 실무 순서로 정리합니다.https://datalaw.kr/posts/cpo-budget-duty-parent-funded-subsidiary/Wed, 09 Sep 2026 23:00:00 +0900https://datalaw.kr/posts/cpo-budget-duty-parent-funded-subsidiary/2026년 9월 11일 시행 개정 개인정보 보호법은 개인정보 보호책임자(CPO)의 법정 업무에 '전문 인력의 관리 및 예산의 확보’와 '대표자·이사회 보고’를 넣었습니다(제31조 제4항 제2호·제3호). 위반해도 과태료는 없습니다. 그런데 같은 개정이 대표자의 예산 지원 책임(제30조의3)과 예방투자 과징금 감경(제64조의2 제6항)을 함께 만들었기 때문에, 예산 권한이 본사에 있는 한국법인의 CPO는 예산을 쥐는 것이 아니라 요구·배정·보고를 문서로 남기는 방식으로 이 의무를 이행하게 됩니다.https://datalaw.kr/posts/breach-notice-text-signals/Wed, 09 Sep 2026 06:50:00 +0900https://datalaw.kr/posts/breach-notice-text-signals/요즘 정보주체가 받는 유출 통지 문자에는 일정한 형식이 있습니다. 사고 날짜, '탈취 정황은 낮다’는 자체 평가, 유출이 의심되는 항목, 기술 부서의 연락처. 이 네 문장이 조사 단계에서 어떻게 읽히는지, 그리고 2026년 9월 11일 이후 같은 문안을 보내면 어느 칸이 비는지를 개인정보 보호법 제34조 제1항 기재사항과 기재사항 누락 처분 2건에 대조해 정리했습니다.https://datalaw.kr/posts/dual-fine-exclusion-network-act/Sat, 05 Sep 2026 08:31:24 +0900https://datalaw.kr/posts/dual-fine-exclusion-network-act/침해사고 하나로 과학기술정보통신부와 개인정보보호위원회가 각각 과징금을 물릴 수 있는지는 조문에 답이 있습니다. 2026년 10월 1일 시행되는 개정 정보통신망법 제48조의8 제4항이 개인정보 보호법 제64조의2 제1항 제9호에 해당하는 경우를 적용 대상에서 빼 두었기 때문입니다. 그래서 겹치는 상황은 원칙적으로 생기지 않고, 대신 어느 법으로 가는지가 사고 초기에 갈립니다. 갈림선은 개인정보가 유출됐는지입니다. 개인정보 유출이 없는 침해사고가 정보통신망법 과징금의 자리이고, 유출이 있으면 개인정보위 쪽으로 넘어갑니다.https://datalaw.kr/posts/ciso-cpo-concurrent-appointment/Mon, 24 Aug 2026 19:30:00 +0900https://datalaw.kr/posts/ciso-cpo-concurrent-appointment/정보통신망법상 CISO가 겸할 수 있는 업무 목록에 CPO 업무가 있습니다. 그런데 그 인용 조문(개인정보 보호법 제31조제2항)은 2023년 9월부터 업무 조항이 아니었고, 2026년 9월 11일 개정법 부칙이 이를 제31조제4항으로 바로잡았습니다. 이때부터 겸직 CISO의 CPO 업무에 예산 확보와 이사회 보고가 명시적으로 들어왔습니다.https://datalaw.kr/posts/public-ai-act-vendor-contracts/Mon, 24 Aug 2026 12:00:00 +0900https://datalaw.kr/posts/public-ai-act-vendor-contracts/「데이터기반행정 활성화에 관한 법률」이 법률 제21392호로 개정되어 「인공지능 및 데이터 기반 행정 활성화에 관한 법률」로 제명이 바뀌어 2026년 8월 28일 시행됐습니다. 공공기관은 AI를 정책 수립·의사결정에 활용할 때 최종적인 권한과 책임이 해당 기관에 있음을 명확히 하여야 하고(제3조 제5항), 편향성·투명성 고려(제3조 제7항), 학습용데이터 품질 확보(제29조), AI 서비스 현황 제출·공표(제30조), 윤리기준 이행(제31조) 의무를 집니다. 공공분야 인공지능 영향평가(제32조)는 2027년 2월 28일 시행되며, 이미 AI를 운영 중인 기관은 부칙 제5조에 따라 시행일부터 2년 안에 평가를 마쳐야 합니다. 개정 시행령(대통령령 제36604호)이 2026년 8월 25일 공포되어 평가 기준(시행령 제26조), 제외대상과 행정안전부장관 확인(제27조), 실시기관(제28조), 위험관리방안의 내용(제29조)이 정해졌고, 개정 시행규칙(행정안전부령 제637호)은 2026년 8월 28일 공포·시행되어 공공 인공지능·데이터협회 설립인가 절차(시행규칙 제4조, 별지 제7호서식)를 정했습니다. 학습용데이터 품질·현황 공표·윤리기준의 하위규범과 시행령이 위임한 고시 세 건은 아직 제정되지 않았습니다. 이 글은 수범자가 공공기관인 이 법을 납품사 관점에서 역산하여, 편향 검증 자료·학습데이터 품질 입증·현황 공표 대비·윤리기준 준수 확약 등 공공에 AI를 납품하는 회사가 계약에서 받게 될 요구와 컨소시엄 내부의 책임 배분 문제를 정리합니다.https://datalaw.kr/posts/breach-mediation-acceptance-clock/Sun, 23 Aug 2026 02:20:00 +0900https://datalaw.kr/posts/breach-mediation-acceptance-clock/개인정보 유출 사고에서 회사가 받는 조정안에는 회신 기한이 15일입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 15일 안에 의사표시가 없으면 수락한 것으로 본다고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 재판상 화해와 같은 효력을 갖습니다. 그리고 같은 유출 사고에 조정안은 개인정보 분쟁조정위원회와 한국소비자원 소비자분쟁조정위원회 두 곳에서 각각 옵니다. 2026년 9월 11일부터 유출 통지문에 손해배상과 분쟁조정을 신청하는 방법까지 적어야 합니다.https://datalaw.kr/posts/breach-cause-typology/Sun, 23 Aug 2026 00:10:00 +0900https://datalaw.kr/posts/breach-cause-typology/개인정보보호위원회가 공개한 제재 의결서에서 유출 경위가 기재된 204건을 경위별로 분류했습니다. 여덟 유형이 나왔고, 과징금 부과율은 유형에 따라 0%에서 69%까지 갈립니다. 담당자가 파일을 잘못 올리거나 메일을 잘못 보낸 48건에서 과징금이 나온 것은 10건뿐이고, 그 10건은 전부 주민등록번호가 새어 나간 사건입니다. 오게시·오발송 자체가 과징금을 부르는 것이 아니라 새어 나간 항목이 무엇이었는지가 가릅니다.https://datalaw.kr/posts/after-breach-notification-stages/Sat, 22 Aug 2026 22:45:00 +0900https://datalaw.kr/posts/after-breach-notification-stages/72시간은 대응의 전부가 아니라 입구입니다. 통지·신고를 마치면 개인정보보호위원회의 자료제출 요구와 검사(법 제63조), 혐의 없이 시작되는 사전 실태점검(제63조의2), 시정조치·과징금·과태료·고발과 공표(제64조·제64조의2·제75조·제65조·제66조), 그리고 손해배상과 집단분쟁조정(제39조·제39조의2·제49조)이 차례로 이어집니다. 초기 72시간에 만든 기록이 이 모든 단계에서 다시 쓰이는 이유와, 9월 11일 개정이 배상 조문까지는 오지 않는 이유를 정리합니다.https://datalaw.kr/posts/ai-product-confirmation/Sat, 22 Aug 2026 22:30:00 +0900https://datalaw.kr/posts/ai-product-confirmation/공공조달에서 우선구매 고려 대상이 되려면 과기정통부장관의 'AI 제품·서비스 확인’을 받아야 합니다. 절차는 「인공지능제품ㆍ서비스 확인 절차 운영에 관한 고시」(과기정통부 고시 제2026-50호, 2026년 7월 21일 시행)가 정합니다. 확인기관은 한국인공지능진흥협회, 기술 심사는 한국정보통신기술협회가 맡고, 신청 전에 조달청 목록정보시스템에서 물품목록번호를 먼저 받아야 합니다. 심사 기준 일곱 가지, 확인 제외 대상 세 가지, 보완 요청과 결정 기한, 확인 취소까지 조문 단위로 정리합니다.https://datalaw.kr/posts/generative-ai-privacy-policy/Sat, 22 Aug 2026 22:20:00 +0900https://datalaw.kr/posts/generative-ai-privacy-policy/생성형 AI 기능을 붙이면 처리방침에서 두 곳이 새로 채워져야 합니다. 이용자가 입력한 내용과 생성된 결과물이 수집·저장되는지(처리 항목), 그리고 그것이 어느 나라 어느 회사로 가는지(국외이전)입니다. 외부 LLM API를 호출하는 구조라면 프롬프트가 국경을 넘는 순간 국외이전이 되고, 이전의 근거와 법 제28조의8 제2항 각 호의 사항을 적어야 합니다. 딥시크 시정권고가 이 구조를 그대로 보여 줍니다.https://datalaw.kr/posts/ai-basic-law-grace-period-penalty/Sat, 22 Aug 2026 21:40:00 +0900https://datalaw.kr/posts/ai-basic-law-grace-period-penalty/정부는 AI기본법 시행과 함께 최소 1년 이상의 계도기간을 두어 사실조사와 과태료 부과를 유예하고 있습니다. 그런데 계도기간은 법령에 근거한 의무 유예가 아니라 행정 운영 방침입니다. 의무 자체는 2026년 1월 22일부터 발생해 있습니다. 과태료가 직접 붙는 위반은 사전 고지 미이행과 국내대리인 미지정 둘뿐이고 나머지는 사실조사와 시정명령을 거치는데, 사실조사 대상 조문에 사전 고지가 빠져 있는 이유까지 함께 정리합니다.https://datalaw.kr/posts/ai-basic-law-domestic-representative/Sat, 22 Aug 2026 21:30:00 +0900https://datalaw.kr/posts/ai-basic-law-domestic-representative/국내에 주소나 영업소가 없는 인공지능사업자 중 시행령 제29조 제1항의 네 가지 기준 중 하나에 해당하면 국내대리인을 서면으로 지정하고 과기정통부장관에게 신고해야 합니다. 전년도 매출 1조 원, AI 서비스 부문 매출 100억 원, 국내 이용자 1일 평균 100만 명, 그리고 시정명령 불이행 과태료를 부과받은 사실입니다. 미지정 시 과태료는 2,000만 원이며 차수에 따른 가중이 없습니다. 개인정보 보호법상 국내대리인과는 근거도 대리 범위도 다릅니다.https://datalaw.kr/posts/generative-ai-disclosure-labeling/Sat, 22 Aug 2026 21:20:00 +0900https://datalaw.kr/posts/generative-ai-disclosure-labeling/AI기본법 제31조는 하나의 의무처럼 보이지만 층이 셋입니다. 서비스가 AI에 기반해 운용된다는 사전 고지(제1항), 생성형 AI 결과물이라는 표시(제2항), 실제와 구분하기 어려운 음향·이미지·영상의 고지(제3항)가 각각 다른 상황을 겨냥합니다. 이 중 사전 고지만 위반 시 곧바로 과태료가 붙습니다. 시행령 제23조가 정한 고지 방법 네 가지와 적용 예외 세 가지, 그리고 모델 제공자가 결과물에 심어 주는 워터마크가 우리 표시의무를 대신하지 못하는 이유를 정리합니다.https://datalaw.kr/posts/high-impact-ai-check/Sat, 22 Aug 2026 21:10:00 +0900https://datalaw.kr/posts/high-impact-ai-check/고영향 인공지능은 법 제2조 제4호 가목부터 차목까지 10개 영역에서 활용되는 인공지능시스템입니다. 민간 사업자와 가장 넓게 닿는 영역은 사목(채용, 대출 심사 등 개인의 권리·의무 관계에 중대한 영향을 미치는 판단 또는 평가)입니다. 해당 여부를 사전에 검토하는 것 자체가 법 제33조 제1항의 의무이고, 판단이 서지 않으면 과기정통부장관에게 확인을 요청할 수 있습니다. 요청서 첨부서류, 30일 회신, 10일 내 재확인 요청까지 시행령 제25조가 정한 절차를 정리합니다.https://datalaw.kr/posts/pre-inspection-recommendation-acceptance/Sat, 22 Aug 2026 17:40:00 +0900https://datalaw.kr/posts/pre-inspection-recommendation-acceptance/개인정보 보호법 제63조의2의 사전 실태점검은 위반 혐의도 신고도 없을 때 나오는 점검입니다. 여기서 받는 권고는 두 갈래이고 효과가 전혀 다릅니다. 제63조의2 제2항의 시정권고를 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 보지만(제4항), 제61조 제2항의 개선권고에는 그런 간주가 없습니다. 판단할 시간은 통보받은 날부터 10일이고, 수락 여부를 가르는 것은 권고 문서에 이미 적혀 있는 이행 기간입니다(고시 제30조의4). 수락한 뒤의 불이행은 2026년 9월 11일부터 전체 매출액 10% 과징금 트랙과 이어집니다.https://datalaw.kr/posts/pipc-sanction-court-divergence/Fri, 21 Aug 2026 17:30:00 +0900https://datalaw.kr/posts/pipc-sanction-court-divergence/개인정보보호위원회 제재 처분을 다툰 판결문 18건을 전부 읽고, 법원이 위원회와 다르게 판단한 지점만 골라 정리했습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923) 두 갈래뿐입니다. 그 두 갈래를 뺀 나머지, 곧 상소심이 진행 중인 사건은 1심·2심에서 전부 위원회가 이겼습니다. 다만 전부 기각된 판결 안에도 해설서의 규범력, 면제 사유의 존재, 구법 적용의 근거에 관해 위원회와 다른 판단이 들어 있고, 이 판시들은 소송보다 조사·의견진술 단계에서 먼저 쓰입니다.https://datalaw.kr/posts/ai-development-exception-waived-provisions/Thu, 20 Aug 2026 17:55:00 +0900https://datalaw.kr/posts/ai-development-exception-waived-provisions/2026년 9월 8일 공포된 개인정보 보호법 개정법(법률 제21910호, 2027년 3월 9일 시행)은 인공지능기술 개발을 위한 개인정보 처리의 특례를 신설했습니다. 요건 세 가지를 모두 갖추고 보호위원회의 심의·의결을 거치면 적법하게 수집한 개인정보를 당초 목적 외로 이용할 수 있습니다. 실무에서 중요한 것은 특례를 받으면 무엇이 걷히느냐인데, 적용 제외 목록을 정한 제28조의15는 국외 이전 조항을 '처리위탁하는 경우에 한정한다’고 묶었습니다. 본사에 데이터를 제공하거나 보관시키는 구조라면 특례를 받아도 국외이전 규율은 그대로 남습니다.https://datalaw.kr/posts/resident-number-in-logs-separate-violation/Sun, 16 Aug 2026 20:20:00 +0900https://datalaw.kr/posts/resident-number-in-logs-separate-violation/개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다.https://datalaw.kr/posts/pipc-fine-mitigation-factors/Sat, 15 Aug 2026 00:30:00 +0900https://datalaw.kr/posts/pipc-fine-mitigation-factors/개인정보 보호법상 과징금은 유출 인원수가 아니라 '전체 매출액 × 중대성 × 조정’의 4단계 공식으로 정해집니다. 2026년 공개된 결정문 세 건(롯데카드·KS한국고용정보·듀오정보)을 보면 관련 없는 매출액 제외, 이득 없음(−30%), 중기업 해당(합산 −55%), 자진시정·협조·인증(−20~40%)이 실제로 금액을 깎았습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반’에는 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경 규정이 시행되고, 2026년 9월 10일 공포된 시행령이 그 감경을 기준금액의 40% 이내 독립 단계로 두었습니다. 조사 단계에서 무엇을 다투고 무엇을 입증할지가 결과를 크게 좌우하는 구조입니다.https://datalaw.kr/posts/scraped-data-asset-due-diligence/Fri, 14 Aug 2026 09:40:00 +0900https://datalaw.kr/posts/scraped-data-asset-due-diligence/대상회사가 데이터 자산이라고 내미는 것은 세 층으로 갈라서 보아야 합니다. 첫째는 수집 경로입니다. 2026년 8월 20일 시행된 개인정보 보호법 시행령 제42조의6은 앞으로의 유입에는 사전협의(제3항 제1호 나목)를, 이미 쌓인 축적분에는 저장 금지(제5항)를 걸어 두었으므로 한 줄짜리 답으로 둘을 설명할 수 없습니다. 둘째는 학습데이터의 저작권입니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 권리처리 없는 전자책 말뭉치의 손해액을 '정가의 70% × 5부 × 지분율’로 산정했고, 8월 11일 시행된 저작권법 제125조 제4항은 고의 침해에 그 5배까지 허용합니다. 셋째는 개인정보의 적법근거입니다. AI 개발 특례(제28조의12)는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 근거가 되지 못하고, 시행 뒤에도 승인은 다섯 사유로 처리 전부가 제한될 수 있는 상태입니다. 세 질문은 경로, 권리, 근거의 순서로 묻고, 답은 각각 따로 받습니다.https://datalaw.kr/posts/autogenerated-privacy-policy-mismatch/Mon, 10 Aug 2026 14:30:00 +0900https://datalaw.kr/posts/autogenerated-privacy-policy-mismatch/생성 도구나 템플릿으로 만든 개인정보 처리방침의 위험은 문서의 품질이 아니라 회사의 실제 처리와의 불일치에 있습니다. 처리방침은 개인정보 보호법 제30조 제1항이 정한 실제 처리 내역의 공개 의무이므로, 실제와 다른 문서는 실사에서 데이터 흐름과 한 번 대조하는 것만으로 드러나고, 조사에서는 회사가 스스로 적어낸 진술로 읽힙니다. 실제보다 후하게 적힌 약속은 제30조 제3항에 따라 회사를 구속하는 방향으로 작동합니다.https://datalaw.kr/posts/lbs-filing-gap-in-dd/Mon, 10 Aug 2026 14:00:00 +0900https://datalaw.kr/posts/lbs-filing-gap-in-dd/위치기반서비스사업 신고 누락은 실사에서 자주 나오는 지적이지만, 과태료 문제로 읽으면 위험의 크기를 놓칩니다. 신고하지 않고 개인위치정보 기반 서비스를 운영한 행위는 위치정보법 제40조 제2호의 형사처벌 대상이고, 양벌규정에 따라 법인과 행위자가 함께 기소될 수 있습니다. 신고 자체는 클로징 전에 마칠 수 있어 선행조건으로 잡을 수 있지만, 이미 지나간 무신고 영업 기간의 형사 위험은 신고로 지워지지 않으므로 면책과 가격의 문제로 다루어야 합니다.https://datalaw.kr/posts/prior-sanction-three-year-clock/Mon, 10 Aug 2026 07:20:00 +0900https://datalaw.kr/posts/prior-sanction-three-year-clock/대상회사의 과거 개인정보 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 개정법 부칙 제3조 제1항이 시행 이후 발생한 위반행위로 받은 과징금 부과처분부터 재위반 가중을 적용하기 때문입니다. 반면 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 그래서 실사에서는 처분의 유무가 아니라 처분의 종류와 근거 호, 날짜, 그리고 지금도 이어지는 위반 상태를 확인해야 합니다.https://datalaw.kr/posts/privacy-findings-cp-vs-covenant/Sun, 09 Aug 2026 07:20:00 +0900https://datalaw.kr/posts/privacy-findings-cp-vs-covenant/실사에서 개인정보 지적이 나오면 그다음은 계약 조항 배치의 문제가 됩니다. 갈림은 지적의 중요도가 아니라 클로징 전에 완료 상태를 만들 수 있는지입니다. 위탁 문서 체결이나 손해배상책임 보험 가입은 선행조건으로 잡히지만, 동의 없이 이미 제공되거나 국외로 나간 데이터는 소급해 적법하게 만들 수 없어 확약으로 밀립니다. 확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.https://datalaw.kr/posts/hq-automated-decision-korea-duty/Sat, 08 Aug 2026 07:05:00 +0900https://datalaw.kr/posts/hq-automated-decision-korea-duty/완전히 자동화된 결정에 대한 한국 이용자의 거부·설명 요구는 시스템이 본사에 있어도 한국법인이 처리해야 합니다. 개인정보를 이전한 쪽에 의무가 남기 때문입니다(개인정보 보호법 제28조의8 제4항, 제37조의2, 제38조 제1항). 조치 기한은 30일이지만 거절 통지는 10일로 더 짧습니다. 외국계 한국법인의 법무·개인정보 책임자와 본사 DPO를 위한 정리입니다.https://datalaw.kr/posts/business-transfer-notice-both-parties/Sat, 08 Aug 2026 00:50:00 +0900https://datalaw.kr/posts/business-transfer-notice-both-parties/인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).https://datalaw.kr/posts/overseas-transfer-data-subject-rights/Fri, 07 Aug 2026 07:15:00 +0900https://datalaw.kr/posts/overseas-transfer-data-subject-rights/개인정보를 본사로 국외 이전한 뒤에도 정보주체의 권리 보장 의무는 이전한 한국법인에 남습니다. 개인정보 보호법 제5장이 그대로 적용되는데 제28조의11의 준용 목록에 제5장이 없기 때문입니다. 열람·정정·삭제·처리정지의 통지 기한은 시행령이 정한 10일이며, GDPR의 1개월이 아닙니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.https://datalaw.kr/posts/global-dpa-korea-transfer-contract-gap/Thu, 06 Aug 2026 07:10:00 +0900https://datalaw.kr/posts/global-dpa-korea-transfer-contract-gap/글로벌 DPA 서명만으로 국외이전 준비는 끝나지 않습니다. DPA의 processor 표기만으로 한국법상 지위와 의무가 정해지지는 않으며, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이전 근거(제28조의8 제1항)와 별개로, 같은 조 제4항과 시행령 제29조의10 제2항은 보호조치를 이전받는 자와 미리 협의해 계약에 반영하라고 요구합니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.https://datalaw.kr/posts/overseas-transfer-certification-list/Wed, 05 Aug 2026 07:15:00 +0900https://datalaw.kr/posts/overseas-transfer-certification-list/개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외이전 근거로 인정하지만 조건이 둘입니다. 보호위원회가 고시한 목록에 올라 있는 인증이어야 하고, 그 인증을 받아야 하는 쪽은 이전받는 자입니다. 고시 별표 2에 등재된 인증은 ISMS-P 하나이고 ISO 27701·BCR·CBPR은 없습니다.https://datalaw.kr/posts/due-diligence-data-request-list/Tue, 04 Aug 2026 07:15:00 +0900https://datalaw.kr/posts/due-diligence-data-request-list/유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다.https://datalaw.kr/posts/pipc-result-publication-criteria/Mon, 03 Aug 2026 09:45:00 +0900https://datalaw.kr/posts/pipc-result-publication-criteria/2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단이고, 어느 공표 요건이 적용되는지는 위반행위가 2023년 9월 15일 전에 끝났는지로 갈립니다. 공표를 다투는 길도 따로 있습니다. 위원회 단계의 제66조 제2항 공표명령 면제와 법원 단계의 공표명령만 떼어낸 집행정지(서울행정법원 2024아12120)가 그것인데, 집행정지는 유예일 뿐 본안에서 지면 공표는 이루어집니다.https://datalaw.kr/posts/bias-testing-sensitive-data-korea-gap/Mon, 03 Aug 2026 07:15:00 +0900https://datalaw.kr/posts/bias-testing-sensitive-data-korea-gap/EU AI Act 제10조 제5항은 고위험 AI의 편향 탐지·시정을 위한 특별범주 개인정보 처리를 조건부로 허용합니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없습니다. AI기본법은 채용·대출 심사 AI에 위험관리를 요구하면서도 그 점검에 필요한 민감정보 처리를 허용하는 문언을 두지 않았습니다.https://datalaw.kr/posts/sdk-processor-vs-third-party-transfer/Sun, 02 Aug 2026 09:00:00 +0900https://datalaw.kr/posts/sdk-processor-vs-third-party-transfer/국외이전의 근거를 처리방침에 적을 때 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 '처리위탁·보관’만 대상으로 하고 '제공’은 빠져 있기 때문입니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있을 수 있습니다. 위탁으로 정리된 구글 애널리틱스류 분석 도구도 제3호의 '계약 이행에 필요한’이 벤더가 아니라 정보주체와의 계약을 가리키므로, 서비스 개선 목적의 행동 분석은 제1호의 별도 동의가 필요할 수 있습니다.https://datalaw.kr/posts/english-pipa-version-gap/Sun, 02 Aug 2026 07:15:00 +0900https://datalaw.kr/posts/english-pipa-version-gap/개인정보보호법 영문본은 국가법령정보센터(law.go.kr) 영문법령과 한국법제연구원(elaw.klri.re.kr)에서 무료로 받을 수 있고, 현행은 2026년 9월 11일 시행된 법률 제21445호이고, 영문본은 2026-09-11 확인 기준 아직 제20897호 판을 반영합니다. 한국법제연구원에는 2020년판·2023년판·2025년판이 어느 것이 현행인지 표시 없이 공존하고, 본사가 2020년판을 읽으면 국외이전 동의의 과잉 준수와 신설 의무의 미준수가 동시에 생깁니다. 버전 판별법과 조문 대비를 정리했습니다.https://datalaw.kr/posts/lawful-basis-gdpr-korea-gap/Sat, 01 Aug 2026 18:58:00 +0900https://datalaw.kr/posts/lawful-basis-gdpr-korea-gap/한국 개인정보 보호법에도 정당한 이익 근거가 있습니다(제15조 제1항 제6호). 다만 GDPR과 구조가 다릅니다. 한국법은 근거 목록을 수집·이용(제15조)과 제3자 제공(제17조)으로 나눠 두었고, 제공 쪽 목록은 수집 쪽 목록을 그대로 옮기지 않습니다. 계약 이행을 근거로 수집한 정보를 같은 근거로 제3자에게 제공하는 경로는 제17조 제1항에 없습니다. 본사 LIA 문서를 옮겨 오기 전에 확인해야 할 지점을 조문 단위로 정리했습니다.https://datalaw.kr/posts/domestic-representative-redesignation/Sat, 01 Aug 2026 18:52:00 +0900https://datalaw.kr/posts/domestic-representative-redesignation/로펌이나 컨설팅사를 국내대리인으로 두고 있던 구조는 재지정 대상입니다. 개인정보 보호법 제31조의2 제2항이 2025년 10월 2일부터 국내에 설립한 법인이나 지배적 영향력을 행사하는 국내 법인이 있으면 그 법인 중에서 지정하도록 바꿨고, 부칙이 준 6개월은 2026년 4월 2일에 끝났습니다. 지정 대상 기준, 지배적 영향력의 범위, 새로 붙은 관리·감독 의무, 그리고 9월 11일부터 넓어진 대리 업무를 조문 단위로 정리했습니다.https://datalaw.kr/posts/global-policy-korea-gap-map/Sat, 01 Aug 2026 17:38:00 +0900https://datalaw.kr/posts/global-policy-korea-gap-map/본사가 GDPR을 기준으로 만든 정책·절차서를 번역해 두면 한국법도 지켜진다고 보기 쉽지만, 깨지는 지점이 따로 있습니다. 그리고 그 지점들은 대개 문서 내용이 아니라 누가 결정하는지와 무엇을 밖에 알리는지에 걸립니다. 개인정보 보호책임자 지정에 이사회 의결이 들어오고(2026년 9월 11일), 국내 법인이 있으면 국내대리인을 그 법인 중에서 지정해야 하며(2025년 10월 2일 시행, 경과기간 만료), 수탁자 목록은 공개 대상입니다. 본사 산출물 아홉 개를 조문과 하나씩 대조했습니다.https://datalaw.kr/posts/child-privacy-law-vs-inspection/Sat, 01 Aug 2026 14:12:00 +0900https://datalaw.kr/posts/child-privacy-law-vs-inspection/(가칭)아동·청소년 개인정보 보호법은 2026년 8월 현재 없습니다. 2022년 관계부처 합동 「아동·청소년 개인정보 보호 기본계획」은 보호 연령을 18세 미만으로 넓히고 맞춤형 광고를 제한하는 이 법을 2024년에 제정하겠다고 했습니다. 개인정보 보호법 제22조의2의 기준선은 여전히 만 14세 미만입니다. 그 사이 정책 문서에서 이 법의 자리는 계속 줄었고, 실제로 아동 정보를 들여다보기 시작한 것은 입법이 아니라 법 제63조의2의 사전 실태점검입니다.https://datalaw.kr/posts/child-data-sanction-without-breach/Sat, 01 Aug 2026 13:32:00 +0900https://datalaw.kr/posts/child-data-sanction-without-breach/㈜비케이알(버거킹)이 만 14세 미만 아동의 법정대리인 동의 위반으로 과징금 9억 2,400만 원을 받았습니다. 유출 사고가 없었는데도 나온 처분입니다. 개인정보보호위원회가 2026년 2월 11일 식음료 10개사 실태조사 결과를 의결하면서 부과했습니다. 같은 조사에서 8개사는 과태료에 그쳤는데, 그 차이는 개인정보 보호법 제64조의2 제1항이 과징금 대상을 열거해 둔 구조에서 나옵니다. 아동 조문은 유출이 없어도 과징금이 나오는 몇 안 되는 경로입니다.https://datalaw.kr/posts/mydata-receiver-designation-or-not/Sat, 01 Aug 2026 11:35:00 +0900https://datalaw.kr/posts/mydata-receiver-designation-or-not/데이터를 받는 쪽에는 두 갈래가 있습니다. 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자입니다. 갈림점은 규모가 아니라 목적입니다. 받은 정보로 통합조회·맞춤형 서비스를 하려면 지정 대상이고, 고유 업무에서 수집한 정보의 진위를 확인하는 정도면 일반수신자입니다. 경계를 넘으면 시행령이 금지행위로 규정합니다.https://datalaw.kr/posts/mydata-request-deadline-and-refusal/Sat, 01 Aug 2026 11:20:00 +0900https://datalaw.kr/posts/mydata-request-deadline-and-refusal/개인정보 보호법 시행령은 전송 기한을 며칠이라고 정하지 않고 '지체 없이’라고만 씁니다. 대신 거절할 수 있는 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 거절하더라도 사유를 통지해야 하고, 거절 내역과 사유는 3년간 보관해야 합니다. 요구가 들어온 뒤의 절차를 조문 단위로 정리했습니다.https://datalaw.kr/posts/reps-warranties-pre-closing-cause/Sat, 01 Aug 2026 07:00:00 +0900https://datalaw.kr/posts/reps-warranties-pre-closing-cause/대법원은 기업지배권이 이전되는 시점 이전의 사유로 발생한 우발채무를 진술보증 위반의 손해로 보았습니다. 2017다6108 판결입니다. 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 파기하지 않은 데이터나 근거가 정리되지 않은 국외이전 같은 개인정보 위반은 클로징 이후에도 계속됩니다. 구간이 어디서 끊기느냐가 과징금의 기준 매출액과 가중 폭까지 함께 바꾼다는 점을 조문 단위로 정리했습니다.https://datalaw.kr/posts/uk-korea-transfer-basis-gap/Fri, 31 Jul 2026 11:40:00 +0900https://datalaw.kr/posts/uk-korea-transfer-basis-gap/영국에서 한국으로 보내는 것과 한국에서 영국으로 보내는 것은 근거가 다릅니다. 영국의 적정성 규정은 EU 결정과 달리 보완규정 조건도 신용정보 제외도 두지 않는 반면, 한국의 동등성 인정 대상에는 영국이 들어 있지 않습니다. EU와 영국 데이터를 같은 절차로 관리하는 회사가 어느 쪽을 놓치고 있는지 방향별로 정리했습니다.https://datalaw.kr/posts/foreign-subsidiary-cpo-designation/Fri, 31 Jul 2026 09:40:00 +0900https://datalaw.kr/posts/foreign-subsidiary-cpo-designation/외국계 한국법인이 본사 프라이버시 총괄을 한국 개인정보 보호책임자로 올려 둔 구조는 지정 대상 범위에 맞지 않을 수 있습니다. 기준은 시행령 제32조 제3항 제2호입니다. 지정 대상과 경력 자격요건은 2024년 3월부터 이미 시행 중이고, 2026년 9월 11일부터 여기에 과태료가 새로 붙었습니다. 기존 지정분의 처리는 법률 부칙이 아니라 2026년 9월 10일 공포된 시행령(대통령령 제36671호)의 부칙이 답합니다 — 시행일부터 6개월 안에 신고해야 하며, 신고 기한은 입법예고안의 1개월에서 6개월로 늘었습니다. 대상의 매출 기준도 1,500억 원 이상에서 1,800억 원 초과로 올라 대상이 좁아졌습니다. 형식적으로만 둔 CPO의 대가는 2026년 KT·롯데카드 제재가 보여 줍니다. 위원회는 과징금과 별도로 'CPO의 책임과 역할을 명확히 하는 거버넌스 체계 정비’를 시정명령으로 요구했고, 롯데카드 결정문에서는 CPO가 의사결정 기록을 설명하지 못한 점을 중대성 판단에 반영했습니다.https://datalaw.kr/posts/employee-data-exfiltration-dual-duty/Fri, 31 Jul 2026 09:00:00 +0900https://datalaw.kr/posts/employee-data-exfiltration-dual-duty/퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 영업비밀 침해의 원고이면서 동시에 개인정보 유출의 통지 의무자입니다. 안전조치를 소홀히 했다면 과징금 대상이기도 합니다. 개인정보보호위원회는 실제로 이런 사안에서 안전조치 위반은 아니라고 보면서도 통지 지연에는 시정조치를 명했습니다(제2026-213-267호). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리는 지점을 조문 단위로 정리했습니다.https://datalaw.kr/posts/vendor-data-after-contract-ends/Fri, 31 Jul 2026 08:50:00 +0900https://datalaw.kr/posts/vendor-data-after-contract-ends/삭제하기로 합의하고도 파기하지 않은 수탁사가 과태료 420만 원과 1년간의 공표 처분을 받았습니다. 그 데이터가 1년 반 뒤 검색엔진에 노출된 사건입니다. 처분은 발주사가 아니라 수탁사에게 왔습니다. 법 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.https://datalaw.kr/posts/reps-warranties-damage-calculation/Thu, 30 Jul 2026 14:10:00 +0900https://datalaw.kr/posts/reps-warranties-damage-calculation/매도인에게 물을 수 있다는 것과 얼마를 받느냐는 다른 문제입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 정리한 산정의 두 층(산정 조항이 있으면 그에 따르고, 없으면 주식가치 감소분 또는 매매대금 차액)과, 그 사건에서 손해가 확정되기까지 걸린 시간을 따라가며 개인정보 항목의 산정이 왜 더 어려운지 정리했습니다.https://datalaw.kr/posts/who-controls-devices-at-customer-sites/Thu, 30 Jul 2026 13:50:00 +0900https://datalaw.kr/posts/who-controls-devices-at-customer-sites/고객 집에 설치된 펨토셀의 실질 운영주체와 관리통제권이 KT에 있다고 개인정보보호위원회가 판단했습니다. 2026년 7월 29일 제15회 전체회의에서 KT에 과징금 539억 7,900만 원을 부과하기로 의결하면서입니다. 장비가 어디에 놓여 있는지가 아니라 인증과 접속통제를 누가 하는지가 기준입니다. 키오스크·단말·온프레미스 설치형 제품을 고객사에 두는 회사에 그대로 적용되는 판단입니다.https://datalaw.kr/posts/processor-indemnity-recourse-ratio/Thu, 30 Jul 2026 00:05:00 +0900https://datalaw.kr/posts/processor-indemnity-recourse-ratio/위탁사가 정보주체에게 배상한 뒤 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만입니다. 서울중앙지방법원 2025. 9. 4. 선고 2022가합550574 판결(1심·미확정)은 위탁사 30 대 수탁사 70으로 나누어 55억여 원을 인정했는데, 위탁사가 30%를 진 이유는 감독을 소홀히 했기 때문이 아니라 고객정보를 변환하지 않은 원본 그대로 넘겼기 때문입니다.https://datalaw.kr/posts/pipa-2026-amendment-comparison/Wed, 29 Jul 2026 21:40:00 +0900https://datalaw.kr/posts/pipa-2026-amendment-comparison/법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾼 조문을 개정 전 조문과 나란히 정리한 대조표입니다. 유출등 정의 확대, 제34조의 항 이동과 가능성 단계 통지 신설, 과징금 가중·감경 규정, 개인정보 보호책임자 지정에 관한 이사회 의결·신고 의무를 조문 단위로 담았고, 시행령 확정에 따라 계속 갱신합니다.https://datalaw.kr/posts/api-response-unrequested-personal-data/Wed, 29 Jul 2026 20:00:00 +0900https://datalaw.kr/posts/api-response-unrequested-personal-data/안심번호만 받기로 정책을 바꾼 회사의 API가 실제로는 휴대전화번호까지 전송했습니다. 받는 쪽 시스템에는 13.5만 명분이 보관돼 있었습니다(개인정보위가 2026년 7월 8일 공개한 사례). 요청한 적 없는 항목을 받아 두고 있을 때 받은 쪽이 어떤 조문의 수범자가 되는지, 사고가 나면 누가 신고 의무자인지를 조문 단위로 정리했습니다.https://datalaw.kr/posts/ma-reps-warranties-privacy-claims/Wed, 29 Jul 2026 07:20:00 +0900https://datalaw.kr/posts/ma-reps-warranties-privacy-claims/실사에서 개인정보는 체크리스트 한 줄로 지나가고, 진술보증에는 '관련 법령을 준수하고 있다’는 한 문장이 들어갑니다. 클로징 뒤에 개인정보보호위원회 처분이 나오면 그 문장이 무슨 일을 하는지, 대법원 2012다64253·2017다6108 판결과 개인정보 보호법 제27조·제64조의2·제66조로 정리했습니다.https://datalaw.kr/posts/ransomware-corruption-breach-notification/Wed, 29 Jul 2026 01:20:00 +0900https://datalaw.kr/posts/ransomware-corruption-breach-notification/2026년 9월 11일 시행 개정 개인정보 보호법은 통지·신고 대상인 '유출등’에 위조·변조·훼손을 추가했습니다. 데이터가 밖으로 나간 것이 확인되지 않아도 랜섬웨어 암호화만으로 72시간 시계가 돌 수 있습니다. 개정 전과의 차이, 정의 조문의 위치가 남긴 쟁점, 대응 시계의 기산점을 조문 단위로 정리했습니다.https://datalaw.kr/posts/mydata-transfer-right-who-and-when/Wed, 29 Jul 2026 00:10:00 +0900https://datalaw.kr/posts/mydata-transfer-right-who-and-when/매출 1,800억원 초과 민간 기업이 전송 요구를 받는 것은 2027년 2월 20일부터입니다. 개정 시행령(대통령령 제36121호)이 2026년 8월 20일 시행됐지만 그렇습니다. 반면 스크래핑으로 데이터를 받아가는 대리인 측에는 8월 20일부터 사전협의 의무와 저장 금지가 걸립니다. 정보를 보내는 쪽과 받는 쪽에 각각 걸리는 날짜와 의무를 조문 단위로 정리했습니다.https://datalaw.kr/posts/processor-breach-consignor-liability/Tue, 28 Jul 2026 23:20:00 +0900https://datalaw.kr/posts/processor-breach-consignor-liability/콜센터·배송·전산 유지보수 수탁사에서 사고가 나면 위탁사의 교육·관리감독 소홀 여부와 수탁사 자신의 의무를 함께 확인해야 합니다. 개인정보 보호법 제26조 제4항·제7항과 제64조의2 제1항 제5호가 만드는 책임 구조, 일반 과징금 상한 3%와 2026년 9월 11일 시행된 10% 가중요건, 수탁사 자신의 의무와 배상 이후의 구상 국면까지 정리했습니다.https://datalaw.kr/posts/global-breach-playbook-korea-gap/Tue, 28 Jul 2026 07:49:00 +0900https://datalaw.kr/posts/global-breach-playbook-korea-gap/본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다.https://datalaw.kr/posts/human-error-breach-sanctions/Mon, 27 Jul 2026 23:40:00 +0900https://datalaw.kr/posts/human-error-breach-sanctions/개인정보 보호법 제64조의2 제1항 제9호는 '유출된 경우' 자체를 과징금 사유로 정할 뿐 해킹인지 담당자 실수인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건의 원인 1위도 업무 과실(53건, 46%)이었습니다. 무엇이 처분 여부를 가르고 무엇이 금액을 가르는지, 메일 오발송 같은 업무 과실 유형에서 신고와 통지가 어떻게 달라지는지를 조문 단위로 정리합니다.https://datalaw.kr/posts/eu-korea-adequacy-first-review/Mon, 27 Jul 2026 00:50:00 +0900https://datalaw.kr/posts/eu-korea-adequacy-first-review/EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다. EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다(COM(2026) 384 final). 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, '글로벌 CBPR 인증을 받으면 국외이전이 된다’는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 반대 방향인 한국에서 EU로의 이전도 2025년 9월 16일 동등성 인정(공고 제2025-68호) 이후 별도 동의 없이 가능하되, 주민등록번호·개인신용정보는 빠지고 처리방침의 이전 근거 기재는 그대로 남습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다.https://datalaw.kr/posts/misinformation-platform-duties/Sun, 26 Jul 2026 21:20:00 +0900https://datalaw.kr/posts/misinformation-platform-duties/개정 정보통신망법이 2026년 7월 7일 시행됐습니다. 자율운영정책 수립과 6개월 1회 보고서 공표 의무는 '하루 평균 이용자 100만 명 이상’인 대규모 정보통신서비스 제공자에게만 적용되지만, 허위조작정보 유통 금지와 5배 징벌적 손해배상은 규모와 무관하게 적용됩니다. 우리 회사가 어느 쪽인지 가르는 기준을 조문으로 정리합니다.https://datalaw.kr/posts/ai-training-data-copyright/Sun, 26 Jul 2026 21:10:00 +0900https://datalaw.kr/posts/ai-training-data-copyright/외부 LLM API를 붙여 서비스를 만든 회사가 가장 자주 묻는 질문입니다. 학습 단계의 복제 책임은 원칙적으로 학습한 자에게 있지만, 파인튜닝을 하는 순간 도입 기업이 학습 주체가 되고, 출력물이 원작과 실질적으로 유사하면 그 출력물을 쓴 쪽이 침해 주체가 됩니다. 한국에는 TDM 면책 규정이 없어 공정이용(저작권법 제35조의5)이 유일한 통로이며, 문체부·저작권위원회가 2026년 2월 26일 그 판단 기준을 안내서로 내놨습니다.https://datalaw.kr/posts/ai-basic-law-business-duties/Sun, 26 Jul 2026 21:05:00 +0900https://datalaw.kr/posts/ai-basic-law-business-duties/AI기본법과 시행령은 2026년 1월 22일 함께 시행됐습니다. 모델을 직접 만들지 않고 외부 AI를 갖다 쓰는 회사도 '인공지능사업자’입니다(법 제2조 제7호). 이 글은 우리 회사가 의무 주체인지, 어느 조문이 걸리고 어느 조문은 애초에 해당하지 않는지를 한 장의 지도로 정리합니다. 투명성 고지, 고영향 인공지능 책무, 국내대리인, 계도기간과 과태료는 각각 별도의 글에서 자세히 다룹니다.https://datalaw.kr/posts/privacy-policy-checklist-2026/Sun, 26 Jul 2026 20:50:00 +0900https://datalaw.kr/posts/privacy-policy-checklist-2026/개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정하고 있고, 국내대리인 기재까지 더하면 현행 기준 15개 항목입니다. 그 목록이 2023년 이후 네 차례 늘어, 2023년 초에 만든 처리방침은 지금 기준으로 항목이 비어 있을 가능성이 높습니다. 필수 항목과 신설 시점, 공개 방법, 과태료와 처리방침 평가제를 정리합니다. AI로 심사·추천을 자동화했다면 15개 항목을 다 채워도 빠지는 것이 하나 더 있습니다. 법 제30조 목록 밖에 있는 자동화된 결정의 공개 의무(법 제37조의2 제4항, 시행령 제44조의4의 다섯 항목)로, 거부권이 없는 경우에도 공개 의무는 남습니다. 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 각각의 글로 넘깁니다.https://datalaw.kr/posts/retention-vs-destruction/Sun, 26 Jul 2026 15:10:00 +0900https://datalaw.kr/posts/retention-vs-destruction/회원 탈퇴·거래 종료·직원 퇴사 후 개인정보는 지체 없이 파기하는 것이 원칙입니다. 근거는 개인정보 보호법 제21조입니다. 전자상거래법·근로기준법·세법이 정한 법정 보존기간은 그 예외입니다. 무엇을 언제까지 남기고, 남기는 동안 어떻게 관리해야 하는지 대표 보존기간표와 함께 정리합니다.https://datalaw.kr/posts/privacy-policy-two-documents/Sun, 26 Jul 2026 15:00:00 +0900https://datalaw.kr/posts/privacy-policy-two-documents/개인정보처리방침을 영어로 만들 때 답은 독자가 누구인지로 갈립니다. 한국 안의 외국인 이용자를 위한 것이면 국문 처리방침의 영문 번역본이 맞고(공식 영문본의 명칭은 privacy policy, 제30조 제1항 각 호 그대로), 해외 이용자를 위한 것이면 GDPR 등 진출국 법이 요구하는 별개의 Privacy Policy가 필요합니다. 하나를 번역해서 둘을 대신하면 양쪽 모두에서 구멍이 납니다. 영문 용어 대응표와 두 문서를 관리하는 점검 항목을 정리했습니다.https://datalaw.kr/posts/under-14-signup-consent/Sun, 26 Jul 2026 14:30:00 +0900https://datalaw.kr/posts/under-14-signup-consent/만 14세 미만 아동의 개인정보는 법정대리인의 동의를 받고 동의했는지 '확인’까지 해야 수집할 수 있으며, 아동 대상 서비스가 아니어도 아동 이용을 인식했다면 조치 의무가 생깁니다. 아동을 받지 않는 서비스라면 '만 14세 미만 이용 불가’를 가입 화면에 분명히 표시하고 이용자 본인이 이를 별도로 확인하게 해야 합니다. 자녀 위치 앱처럼 위치정보가 얽히면 위치정보법 제25조가 따로 적용되어 법정대리인 동의 외에 아동 본인의 동의와 매회 통보 의무가 추가됩니다. 동의 확인 방법 7가지, 제재 수위, 2023년 자녀안심 앱 5곳 처분까지 정리합니다.https://datalaw.kr/posts/breach-response-calculus-shift/Sun, 26 Jul 2026 11:00:00 +0900https://datalaw.kr/posts/breach-response-calculus-shift/9월 11일부터 중대·반복 위반에 매출액 최대 10% 과징금이 시행됐습니다. 개인정보위 하반기 업무계획은 여기에 '신속 신고 감경(은폐 가중)신고포상금’을 더해, 유출사고를 숨기는 쪽의 셈법을 바꾸고 있습니다. 스타트업이 지금 점검할 것을 정리합니다.https://datalaw.kr/posts/ai-basic-law-procurement/Sat, 25 Jul 2026 17:00:00 +0900https://datalaw.kr/posts/ai-basic-law-procurement/2026년 7월 21일 시행된 개정 AI기본법에 따라 국가·지방자치단체·공공기관은 제품·서비스를 구매하거나 용역을 발주할 때 AI 제품·서비스를 우선적으로 고려해야 하고(법 제16조 제3항), 구매 담당자는 고의·중과실이 없는 한 배상책임을 지지 않습니다(같은 조 제4항). 다만 우선구매 고려의 대상은 과기정통부장관의 확인을 받은 제품·서비스로 한정됩니다. 확인을 받으면 물품 다수공급자계약의 진입 요건 완화·신용평가등급확인서 면제와 물품 적격심사 신인도 1.5점이 붙지만, 이 우대는 물품 트랙에만 있고 용역·상용소프트웨어 다수공급자계약 규정에는 없습니다. 확인 절차, 규정별 우대 유무, 납품 전에 점검할 AI기본법 의무로 이어지는 순서를 한 장으로 정리합니다.https://datalaw.kr/posts/tiktok-pixel-behavioral-data/Sat, 25 Jul 2026 09:00:00 +0900https://datalaw.kr/posts/tiktok-pixel-behavioral-data/개인정보위가 틱톡에 과징금 103억 원을 부과했습니다. 제재는 틱톡이 받았지만, 픽셀·SDK를 쓰는 기업은 7만여 곳입니다. 스타트업이 지금 점검해야 할 것들을 정리합니다.