개인정보보호법위반 성립요건과 처벌수위, 대응 기준

개념 및 성립요건

개인정보보호법위반은 개인정보처리자 또는 개인정보를 처리하거나 처리하였던 사람이 정보주체의 동의나 법률상 근거 없이 개인정보를 수집·이용·제공·누설하거나, 민감정보·고유식별정보·영상정보를 부적법하게 처리하고, 안전조치·유출통지·파기 등 법상 의무를 위반한 경우 문제됩니다. 개인정보 사건은 형사처벌, 과태료·과징금, 시정명령, 민사 손해배상이 함께 진행될 수 있어 위반 유형을 먼저 정확히 나누어야 합니다.

법률상 근거

개인정보 보호법 제2조는 개인정보, 처리, 개인정보파일, 개인정보처리자의 개념을 정합니다.
개인정보 보호법 제15조, 제17조, 제18조는 개인정보의 수집·이용, 제3자 제공, 목적 외 이용·제공 제한을 정합니다.
개인정보 보호법 제23조, 제24조, 제24조의2는 민감정보, 고유식별정보, 주민등록번호 처리 제한을 정합니다.
개인정보 보호법 제25조와 제25조의2는 고정형·이동형 영상정보처리기기 운영 제한을 둡니다.
개인정보 보호법 제34조, 제34조의2, 제39조, 제39조의2는 유출 통지·신고, 노출 개인정보 삭제·차단, 손해배상과 법정손해배상을 정합니다.
개인정보 보호법 제59조, 제70조부터 제75조는 금지행위, 벌칙, 양벌규정, 몰수·추징, 과태료를 정합니다.

성립요건

살아 있는 개인을 알아볼 수 있는 정보 또는 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보가 있어야 합니다.
행위자가 개인정보처리자, 개인정보취급자, 수탁자, 개인정보를 처리하거나 처리하였던 자 등 해당 조항의 의무주체에 해당해야 합니다.
동의, 법령 근거, 계약 이행, 급박한 생명·신체·재산상 이익 등 처리 근거 없이 개인정보를 이용·제공·누설하거나 권한을 초과해야 합니다.
민감정보, 주민등록번호, CCTV 영상, 가명정보, 국외 이전 정보는 별도의 제한과 안전조치가 적용됩니다.
형사처벌은 적용 조항별 고의, 목적, 영리·부정한 목적, 업무 관련성, 양벌규정 적용 여부를 개별적으로 따집니다.

유사 범죄와의 구별

구분	핵심 요건	구별 기준
개인정보보호법위반	개인정보의 부적법한 처리, 제공, 누설, 유출, 안전조치 위반	정보주체의 개인정보자기결정권 침해가 중심입니다.
정보통신망법 위반	정보통신망 침입, 장애 유발, 타인의 비밀 침해·누설	정보통신망 자체의 안전성과 통신상 비밀 보호가 함께 문제됩니다.
컴퓨터등사용사기·사기	개인정보를 이용한 재산상 이익 취득	개인정보 처리 위반과 별도로 편취 고의와 재산상 손해가 필요합니다.
업무상비밀누설·공무상비밀누설	직무상 알게 된 비밀의 누설	보호 대상이 개인정보인지, 직무상 비밀인지에 따라 적용 법률이 달라집니다.
민사 손해배상	개인정보 침해로 인한 손해 발생	형사처벌과 별도로 손해액, 법정손해배상, 위자료가 문제됩니다.

처벌 및 형량

개인정보보호법위반의 법정형은 행위 유형에 따라 크게 다릅니다. 부정한 방법으로 개인정보를 취득해 영리 또는 부정한 목적으로 제공하면 중한 처벌이 가능하고, 목적 외 이용·제공, 업무상 개인정보 누설, 권한 없는 이용·유출, 영상정보처리기기 위반, 자료제출 거부 등은 각 조항별로 형사처벌 또는 과태료 대상이 됩니다.

법정형

부정취득 후 영리·부정 목적 제공: 10년 이하의 징역 또는 1억원 이하의 벌금(개인정보 보호법 제70조)
동의 없는 제3자 제공, 목적 외 이용·제공, 민감정보·고유식별정보 처리, 업무상 개인정보 누설·권한 없는 제공, 권한 없는 이용·유출: 5년 이하의 징역 또는 5천만원 이하의 벌금(개인정보 보호법 제71조)
영상정보처리기기 목적 외 조작·녹음, 부정한 수단의 개인정보 취득, 직무상 비밀 누설: 3년 이하의 징역 또는 3천만원 이하의 벌금(개인정보 보호법 제72조)
정정·삭제·처리정지 요구 불이행 후 계속 이용, 자료제출 거부·거짓자료 제출, 조사방해: 2년 이하의 징역 또는 2천만원 이하의 벌금(개인정보 보호법 제73조)
안전조치·유출통지·신고·파기 등 의무 위반: 사안에 따라 5천만원 이하, 3천만원 이하 등 과태료가 부과될 수 있습니다(개인정보 보호법 제75조).

양형기준표

항목	검토 요소	실무상 의미
정보 성격	주민등록번호, 계좌, 건강정보, CCTV, 위치정보, 아동 정보	민감하거나 식별 위험이 큰 정보일수록 불리하게 평가됩니다.
행위 유형	수집, 목적 외 이용, 제3자 제공, 누설, 유출, 안전조치 위반	벌칙 조항과 과태료 조항이 달라지므로 유형 특정이 중요합니다.
규모와 기간	정보주체 수, 유출 건수, 반복 횟수, 이용 기간	다수 피해자·반복 범행은 벌금액과 징역형 위험을 높입니다.
목적과 이익	영리 목적, 보복·사적 목적, 업무 필요성, 방어권 행사	영리·부정 목적은 중한 처벌이나 목적범 성립에 영향을 줍니다.
피해회복	삭제·회수, 유출통지, 신고, 합의, 재발방지, 보안조치	신속한 회복 조치는 처분과 양형에서 중요한 자료가 됩니다.

주요 판례 처벌 경향

도박사이트 개설을 위해 796명의 성명·계좌번호·휴대전화번호를 무단 이용한 사건: 도박공간개설과 개인정보 무단이용이 인정되어 1심에서 징역 1년이 선고되었습니다(의정부지방법원 남양주지원 2025고단1185).
공무직 채용 면접위원이 응시자의 휴대전화번호를 사적으로 이용한 사건: 개인정보처리자의 사용인 지위가 인정되어 항소심에서 벌금 30만원이 선고되었습니다(서울동부지방법원 2024노737).
아파트 단체대화방에서 반대 의견을 낸 주민의 실명과 동·호수를 게시한 사건: 개인정보 누설이 인정되어 항소심에서 벌금 30만원이 선고되었습니다(서울중앙지방법원 2024노852).
새마을금고 임직원과 소송대리인이 해고 근로자들의 거래자료를 소송자료로 제공·제출한 사건: 개인정보 및 금융거래정보 관련 위반이 인정되어 1심에서 벌금 700만원, 벌금 300만원 등이 선고되었고 항소심에서도 유지되었습니다(인천지방법원 2022노622).
개인정보가 포함된 입주자카드를 법원에 제출한 사건: 항소심에서 벌금 70만원의 선고유예가 내려졌으나, 대법원은 소송상 증명을 위한 제출이 정당행위에 해당할 여지가 있다며 파기환송했습니다(대전지방법원 2021노2102, 대법원 2023도3673).

대표 유형

고객 명단, 회원 DB, 연락처를 동의 없이 제3자에게 넘기거나 마케팅에 이용한 경우
업무상 알게 된 휴대전화번호, 주소, 주민등록번호, 계좌정보를 사적으로 사용한 경우
직원·입주민·응시자·고객의 개인정보를 단체대화방, 게시판, 이메일로 공개한 경우
CCTV 영상을 원래 설치 목적과 다른 징계·감시·분쟁 목적으로 열람하거나 전달한 경우
해킹·유출 사고 후 정보주체 통지, 보호위원회 신고, 피해 최소화 조치를 하지 않은 경우
개인정보 처리업무를 위탁하면서 계약서, 공개, 수탁자 감독, 재위탁 동의 절차를 누락한 경우
주민등록번호, 건강정보, 범죄경력 등 민감하거나 고유식별성이 높은 정보를 부적법하게 처리한 경우

수사·재판 단계 핵심 쟁점

수사단계 쟁점

수사와 조사에서는 개인정보의 내용, 정보주체 수, 취득 경위, 처리 목적, 동의 범위, 업무 관련성, 개인정보처리자·취급자·수탁자 지위, 제3자 제공인지 내부 이용인지, 유출 후 조치가 집중적으로 다루어집니다. 개인정보보호위원회의 조사, 과태료·과징금, 시정명령 절차가 형사절차와 병행될 수 있습니다.

개인정보 처리방침, 동의서, 수집 목적, 이용·제공 내역, 접속기록을 확보합니다.
문제가 된 정보 항목, 대상자 수, 제공받은 사람, 제공 방식, 보관·삭제 상태를 정리합니다.
유출 사고라면 인지 시점, 통지·신고 시점, 차단·회수·재발방지 조치를 시간순으로 남깁니다.
업무 목적의 정당한 이용인지, 목적 외 이용인지, 제3자 제공인지 내부 취급인지 구분합니다.
법인 사건은 임직원 교육, 접근권한 관리, 수탁자 감독 등 상당한 주의·감독 자료가 중요합니다.

재판단계 쟁점

재판에서는 개인정보처리자 해당성, 개인정보의 지배·관리권 이전 여부, 목적 외 이용·누설의 고의, 영리 또는 부정한 목적, 정당행위, 방어권 행사, 양벌규정 적용 여부가 다투어집니다. 최근 판례는 법원·수사기관 제출, 고소·고발, 소송상 증명 목적의 개인정보 제출이 사회상규에 위배되는지 개별 사정별로 판단하고 있습니다.

합의 및 처벌불원

개인정보보호법위반은 친고죄나 반의사불벌죄가 아니므로 피해자와 합의했다고 해서 수사·재판이 당연히 종료되지는 않습니다. 다만 삭제·회수, 유출통지, 신고, 손해배상, 사과, 재발방지 조치는 처분과 양형에서 중요한 정상으로 고려될 수 있습니다.

수사단계

정보주체별 피해 여부와 회복 조치를 정리하고, 유출·누설 자료가 외부에 남아 있다면 삭제·차단·회수 조치를 우선해야 합니다. 합의서에는 민사상 손해배상, 개인정보 삭제·재사용 금지, 추가 유포 방지, 비밀유지 범위를 명확히 적는 것이 좋습니다.

재판단계

합의서, 손해배상 지급자료, 유출통지·신고 자료, 접근권한 개선, 암호화·로그관리, 개인정보보호 교육, 수탁자 점검 자료는 양형자료로 제출될 수 있습니다. 법인 사건은 대표자 개인 합의와 별도로 법인의 관리·감독 체계 개선이 필요합니다.

민사상 책임

개인정보 침해는 형사책임과 별도로 민사 손해배상으로 이어질 수 있습니다. 개인정보 보호법 제39조는 위반행위로 손해가 발생하면 개인정보처리자가 고의 또는 과실이 없음을 입증하지 않는 한 책임을 면하기 어렵게 정하고, 고의 또는 중대한 과실로 유출 등이 발생한 경우 손해액의 5배 범위에서 배상액이 정해질 수 있습니다.

개인정보 보호법 제39조에 따른 손해배상책임과 징벌적 손해배상
개인정보 보호법 제39조의2에 따른 300만원 이하 법정손해배상 청구
유출·누설 정보의 삭제, 차단, 회수와 재발방지 약정
민법 제750조·제751조에 따른 불법행위 손해배상과 위자료
집단 유출 사건의 다수 정보주체 손해배상, 분쟁조정, 개인정보보호위원회 신고 병행

전과·기록이 미치는 영향

개인정보보호법위반으로 벌금형 이상이 확정되면 형사 전과로 남을 수 있고, 법인에는 양벌규정에 따른 벌금, 과태료·과징금, 시정명령, 공표명령, 거래처 계약상 제재가 함께 문제될 수 있습니다. 공공기관, 금융, 의료, 교육, 플랫폼, 인사·채용 부서에서는 내부 징계와 직무상 불이익도 고려해야 합니다.