개인정보위 2026년 「안전조치 의무 위반」 처분 보도자료 목록

면책 — 일반 정보 정리이며 법률 자문 아님. 구체적 사안은 변호사 등 전문가 자문을 받으십시오.

기준일자 2026-11-02(열람일). 범위 개인정보보호위원회 누리집 보도자료 게시판(bbsId=BS074)의 2026-01-01 ~ 2026-11-02 게시물.

찾은 방법 게시판 전체 목록 2026년분 221건을 모두 내려받아 제목·작성부서로 제재 보도를 골랐고, 본문 "안전조치" 검색 결과와도 대조했습니다. 고른 20건은 첨부 PDF 원문을 읽어 처분 사유에 안전조치의무 위반(「개인정보 보호법」 제29조)이 들어 있는지 확인했습니다. 1차-PIPC

확인 방법 금액·문구 17곳을 PDF 원문 텍스트와 기계적으로 대조해 모두 일치했습니다. 원문 사본: refs/2026-11-02_pipc_raw/

같은 기간에 앞서 정리한 문서: docs/PIPC_보도_20261029_안전조치위반_과징금_정리.md(아래 17번).

1. 안전조치 의무 위반이 처분 사유에 들어 있는 보도 — 17건

"공격 방식"과 "규모"는 보도자료 표현을 줄여 옮긴 것이며, 정확한 수치·항목은 3장 상세에 원문 그대로 있습니다. 금액은 과징금이고, 과태료는 따로 적었습니다.

주의할 점 - 5번(식음료)은 유출사고가 아닌 실태조사이고, 제29조 위반은 과태료 사유입니다. 과징금은 다른 조항(§22의2, §18) 위반입니다. - 9번(보람상조)·10번(행정안전부 등)·16번(지에스리테일 등)에는 수탁자 감독(§26) 등 다른 위반으로 처분된 곳이 섞여 있습니다. - 13번(KT)은 원문에 조항 번호 없이 "안전조치 의무를 위반"이라는 문구만 있습니다. - 11번(쿠팡)은 유출 건만 안전조치 위반이 들어 있고, 침해 건과 CFS 건은 성격이 다릅니다.

2. 같은 기간 제재 보도이지만 안전조치 위반 사건이 아닌 것 — 3건

관련 참고 (처분이 아닌 보도) — 원문 미열람, 제목만 확인

3. 건별 상세 (원문 추출)

아래는 PDF 원문에서 건별로 뽑은 내용을 그대로 옮긴 것입니다(게시일 순, 안전조치 위반이 아닌 3건 포함).

1. nttId 11775 — 한국연구재단

• 게시일: 2026-01-29 1차-PIPC / 보도시점: 2026. 1. 29.(목) 11:00, 배포 2026. 1. 28.(수) 18:00 1차-PIPC
• 전체회의: 1월 28일(수) 제2회 1차-PIPC
• 제목(게시판): 12만 명 개인정보를 유출한 한국연구재단에 총 7억 780만원 과징금·과태료 부과 1차-PIPC
• 처분 대상·업종: 한국연구재단. 원문 표현은 "국가 핵심 연구기관". 문제가 된 시스템은 온라인논문투고시스템(JAMS) 1차-PIPC
• 사고 경위: '25. 6. 6.(금) 해커가 JAMS 학회페이지 '비밀번호 찾기' URL의 취약점을 악용했습니다. "파라미터 변조 및 이메일 무작위 대입"으로 개인정보를 열람했습니다. 이 취약점은 '13년부터 있었고, 학회페이지 1,600여 개는 취약점 점검을 하지 않았습니다. 6. 17.에는 명의도용이라는 2차 피해가 발생했습니다 1차-PIPC
• 유출 규모·항목: "JAMS 회원 약 12만여명", 성명·ID·이메일·휴대전화번호·계좌번호 등 "44개 항목". 이와 별도로 주민등록번호 116건(회원이 '비고'란에 직접 적어 넣은 것) 1차-PIPC
• 위반 내용: 안전조치의무 위반(법 §29) — 세부 항목은 취약점 점검·개선 누락. 개인정보 유출통지 의무 위반(법 §34①) — 통지하면서 휴대전화번호·계좌번호·연구자등록번호 등을 빠뜨림 1차-PIPC
• 처분: 과징금 7억 300만 원, 과태료 480만 원, 시정명령(취약점 점검 실시·유출 재통지), 개선권고, 징계권고, 공표(개인정보위 홈페이지 1년), 공표명령. 관련 부처인 과기정통부·교육부에는 관리·감독 강화를 요청 1차-PIPC
• 대표 문구: 「연구재단이 안전조치의무를 위반하고 개인정보 유출」 1차-PIPC
• 합계 확인: 7억 300만 + 480만 = 7억 780만. 제목 금액과 일치합니다.
• 분류: A

2. nttId 11776 — 엔에이치엔커머스㈜ ('e나무')

• 게시일: 2026-01-29 / 보도시점: 2026. 1. 29.(목) 11:00, 배포 2026. 1. 28.(수) 18:00 / 전체회의: 1월 28일(수) 제2회 1차-PIPC
• 제목: 엔에이치엔커머스㈜ 구형 쇼핑몰 솔루션('e나무') 개인정보 유출사고 제재 1차-PIPC
• 처분 대상·업종: 엔에이치엔커머스㈜ — 쇼핑몰 이용사업자에게 SaaS 방식 'e나무' 솔루션을 제공. 원문은 이 회사를 "대형 수탁자"로 표현 1차-PIPC
• 사고 경위: '24.9월경 장바구니 관련 웹페이지에 대한 SQL 인젝션 공격. 이 솔루션은 과거에도 유사한 SQL 인젝션으로 과징금을 받은 전력이 있음(방통위 제2019-44-260호 의결) 1차-PIPC
• 유출 규모·항목: 17개 이용사업자 홈페이지에서 "총 122건"의 주문자 개인정보 — 주문자 정보(이름, 전화번호, 휴대폰번호), 배송지 정보, 주문 정보, 상품 정보 등 1차-PIPC
• 위반 내용: 개인정보처리시스템 안전조치의무 미이행(접근통제, §29). 정보주체에 대한 유출통지 미완료를 방기한 행위(§34①) — 이용사업자에게 이메일·전화를 한 번 보낸 뒤 도달 여부를 확인하지 않음 1차-PIPC
• 처분: 과징금 870만 원(안전조치 부분), 과태료 450만 원(유출통지 부분), 공표명령, 개선권고(대체 솔루션 제공·웹사이트 이관 지원) 1차-PIPC
• 대표 문구: 「개인정보 보호법상 안전조치를 불이행한 부분에 대해 과징금 870만 원을」 1차-PIPC
• 분류: A

3. nttId 11777 — ㈜티머니

• 게시일: 2026-01-29 / 보도시점: 2026. 1. 29.(목) 11:00, 배포 "2025. 1. 28.(수) 18:00" / 전체회의: 1월 28일(수) 제2회 1차-PIPC
• 원문 표기 주의 배포일이 "2025. 1. 28.(수)"로 적혀 있습니다. 2025-01-28은 화요일이고, 같은 날 배포된 다른 보도자료와 전체회의 날짜는 2026. 1. 28.(수)입니다. 연도를 잘못 적은 것으로 보입니다.
• 제목: 개인정보위, 개인정보 유출 '티머니'에 과징금 5억 3,400만원 부과 1차-PIPC
• 처분 대상·업종: ㈜티머니 — 선불교통카드·대중교통 요금 정산 등 서비스 운영 1차-PIPC
• 사고 경위: '25. 3. 13. ~ 3. 25. '티머니 카드&페이' 웹사이트에 대한 크리덴셜 스터핑 공격. 국내·외 IP 9,647개를 써서 "총 1,226만 번 이상" 로그인을 시도했습니다. 계정 4,131명분에서 T마일리지 약 14백만원이 탈취됐습니다 1차-PIPC
• 유출 규모·항목: 51,691명, 이름·이메일 주소·휴대폰 번호·주소 1차-PIPC
• 위반 내용: 안전조치의무(접근통제, 보호법 §29) — 침입 탐지·차단과 이상행위 대응을 소홀히 함 1차-PIPC
• 처분: 과징금 5억 3,400만 원, 시정명령(재발방지 대책 수립·시행), 공표명령 1차-PIPC
• 대표 문구: 「1 ㈜티머니 ⦁안전조치의무(접근통제) 보호법 §29」 1차-PIPC
• 분류: A

4. nttId 11817 — 명품브랜드 3개사 (루이비통·디올·티파니)

• 게시일: 2026-02-12 / 보도시점: 2026. 2. 12.(목) 11:00, 배포 2026. 2. 11.(수) 18:00 / 전체회의: 2월 11일(수) 제3회 1차-PIPC
• 제목: 개인정보위, 개인정보 유출 명품브랜드사에 과징금 360억여 원 부과 1차-PIPC
• 처분 대상·업종: 명품브랜드 판매. ①루이비통코리아(유), ②크리스챤디올꾸뛰르코리아 주식회사, ③주식회사 티파니코리아. 세 곳 모두 SaaS 기반 고객관리 서비스를 이용 1차-PIPC

• 합계 확인: 과징금 213억 8,500만 + 122억 3,600만 + 24억 1,200만 = 360억 3,300만(원문 "총 360억 3,300만 원"과 일치). 과태료 360만 + 720만 = 1,080만(원문과 일치)
• 대표 문구: 「⦁안전조치의무 위반(접근통제) 보호법§29」 1차-PIPC
• 분류: A(3개사 모두)

5. nttId 11818 — 식음료 분야 10개 사업자 (실태조사)

• 게시일: 2026-02-12 / 보도시점: 2026. 2. 12.(목) 11:00, 배포 2026. 2. 11.(수) 18:00 / 전체회의: 2월 11일(수) 제3회 1차-PIPC
• 제목: 개인정보위, 식음료 분야 사업자 개인정보 처리 실태 조사 결과 발표 1차-PIPC
• 성격: 유출사고를 신고받아 시작한 조사가 아닙니다. "식음료 분야의 개인정보 처리실태를 조사"한 사건입니다. 대상은 "앱 서비스 이용률 및 안전조치의무 등 … 위반 이력을 고려하여" 골랐습니다 1차-PIPC
• 사고 경위·유출 규모·항목: 특정 유출사고는 원문에 없습니다 미확인. 원문에는 플랫폼 사업자가 "원격 예약 및 현장 대기 고객의 개인정보가 외부에 노출된 상태로 운영"했다는 서술만 있습니다 1차-PIPC
• 처분 대상·위반·처분 1차-PIPC:

• 주의: 과징금 2건은 §29가 아닌 다른 조항 위반에 매겨졌습니다. 버거킹은 §22의2, 메가MGC커피는 §18 위반에 대한 과징금입니다. 안전조치 위반은 "기타 보호법 위반행위"에 대한 과태료 쪽에 포함됩니다 1차-PIPC
• 합계 확인: 과징금 9억2,400만 + 6억4,200만 = 15억 6,600만(원문과 일치). 과태료 합계 1억 1,130만(원문과 일치)
• 대표 문구: 「접속기록 보관 등의 안전조치의무를 소홀히 한 사실이 확인되었다.」 1차-PIPC
• 분류: A. 단, 10개사 중 8개사에 §29가 포함되고 스타벅스·투썸플레이스는 §29가 없습니다. 유출사고 처분이 아닌 실태조사 처분입니다.

6. nttId 11878 — 롯데카드㈜

• 게시일: 2026-03-12 / 보도시점: 2026. 3. 12.(목) 10:00, 배포 2026. 3. 11.(수) 18:00 / 전체회의: 3월 11일(수) 제4회 1차-PIPC
• 제목: 개인정보위, 개인정보 보호 법규 위반 '롯데카드' 제재 1차-PIPC
• 처분 대상·업종: 롯데카드㈜(카드사). 문제가 된 시스템은 온라인 간편결제 시스템 1차-PIPC
• 사고 경위: "온라인 간편결제 시스템 해킹". 구체적인 공격 기법과 시기는 미확인. 금융감독원이 '25.9.22.에 알려와서 조사를 시작 1차-PIPC
• 유출 규모·항목: "로그 파일에 기록된 이용자 약 297만 명의 개인신용정보", 그중 "45만 명의 주민등록번호" 1차-PIPC
• 위반 내용: 주민등록번호 처리제한과 주민등록번호 암호화 위반(보호법 §24의2 ①, ②) — 로그에 주민등록번호를 평문으로 기록했고, 로그 파일 암호화가 불충분했음 1차-PIPC
• 역할 분담: "금융당국은 롯데카드의 개인신용정보 유출과 관련한 안전조치의무를 중심으로 신용정보법 위반 여부를", 개인정보위는 주민등록번호 처리를 중심으로 조사했습니다 1차-PIPC
• 즉 보호법 §29(안전조치의무) 위반은 이 처분의 사유가 아닙니다.
• 처분: 과징금 96억 2,000만 원, 과태료 480만 원, 시정명령(개인정보 보호 체계 전반 정비, CPO 책임·독립성 강화), 공표명령 1차-PIPC
• 대표 문구: 「금융당국은 롯데카드의 개인신용정보 유출과 관련한 안전조치의무를」 1차-PIPC
• 분류: B. 처분 사유는 §24의2 주민등록번호 처리제한·암호화입니다. 주민등록번호 암호화는 안전조치 성격의 의무이지만 §29가 아니며, 안전조치의무 부분은 금융당국 소관(신용정보법)으로 나뉘어 있습니다.

7. nttId 11923 — 공무원연금공단·강북구청

• 게시일: 2026-03-26 / 보도시점: 2026. 3. 26.(목) 11:00, 배포 2026. 3. 25.(수) 18:00 / 전체회의: 3월 25일(수) 제5회 1차-PIPC
• 제목: 개인정보위, 공무원연금공단·강북구청에 과징금·과태료 9억 1,480만 원 부과 1차-PIPC
• 처분 대상: ①공무원연금공단, ②서울특별시 강북구청(공공기관) 1차-PIPC

• 합계 확인: 5억 3,200만 + 3억 7,800만 + 480만 = 9억 1,480만(제목과 일치)
• 대표 문구: 「안전조치의무(접근권한, 접속기록)를 위반한 공무원연금」 / 「안전조치 및 유출통지 의무를 위반한 강북구청에 과징금」 1차-PIPC
• 분류: A(2개 기관 모두)

8. nttId 11974 — 크리스티스 (글로벌 경매 사업자)

• 게시일: 2026-04-09 / 보도시점: 2026. 4. 9.(목) 11:00, 배포 2026. 4. 8.(수) 18:00 / 전체회의: 4월 8일(수) 제6회 1차-PIPC
• 제목: 개인정보위, 개인정보 유출한 글로벌 경매 사업자 크리스티스에 과징금 2억 8,000만 원 부과 1차-PIPC
• 처분 대상·업종: 원문 표기는 "Cristie, Manson & Woods, Ltd."이고, "영국 소재의 글로벌 경매회사"로 소개됩니다 1차-PIPC
• 원문 표기 주의 사업자명 철자 "Cristie"는 원문 그대로 옮긴 것입니다. 다른 자료와 대조하지는 않았습니다.
• 사고 경위: 헬프데스크 직원이 해커의 보이스피싱에 속아 접근 권한을 넘겨줌. 안전한 인증수단 없이 비밀번호를 재발급했고, 계정 전화번호를 해커 번호로 바꿔줌 1차-PIPC. 사고 시기는 미확인이며, 유출 인지일은 '24.5.18.
• 유출 규모·항목: 한국 회원 620명 — 성명, 국적, 주소, 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호) 등 1차-PIPC
• 위반 내용: 안전조치의무(접근권한, 암호화) §29 — 고유식별정보를 암호화하지 않고 저장. 주민등록번호 처리의 제한 §24의2①. 유출 통지·신고 의무 §34①·③ — 인지 '24.5.18. → 신고 '24.5.31.·통지 '24.5.30. 1차-PIPC
• 처분: 과징금 2억 8,000만원, 과태료 720만 원, 공표명령 1차-PIPC
• 대표 문구: 「⦁안전조치의무(접근권한, 암호화)」 1차-PIPC
• 분류: A

9. nttId 12010 — 케이에스한국고용정보·듀오정보·금릉공원묘원

• 게시일: 2026-04-23 / 보도시점: 2026. 4. 23.(목) 11:00, 배포 2026. 4. 22.(수) 18:00 / 전체회의: 4월 22일(수) 제7회 1차-PIPC
• 제목: 개인정보위, 안전조치 의무 위반 3개 사업자 제재 1차-PIPC

• 합계 확인: 과징금 35억 3,700만 + 11억 9,700만 + 5,420만 = 47억 8,820만(원문과 일치). 과태료 420만 + 1,320만 = 1,740만(원문과 일치)
• 대표 문구: 「개인정보처리시스템에 대한 안전조치를 소홀히 하여」 1차-PIPC
• 분류: A(3개사 모두)

10. nttId 12066 — 보람상조 7개사

• 게시일: 2026-05-14 / 보도시점: 2026. 5. 14.(목) 11:00, 배포 2026. 5. 13.(수) 18:00 / 전체회의: 5월 13일(수) 제9회 1차-PIPC
• 제목: 개인정보위, 개인정보 유출한 '보람상조' 제재 1차-PIPC
• 처분 대상·업종: 상조. 보람상조개발(주)(계열사 6곳의 CRM 업무를 맡은 수탁자)과 위탁 계열사 6곳 — 보람상조리더스·라이프·피플·애니콜·실로암·플러스(주) 1차-PIPC
• 사고 경위: 홈페이지 취약점을 이용한 SQL 인젝션 공격으로 통합 DB에 침입. 사고 시기는 미확인이며, 유출 신고 접수일은 '24. 5. 28. 1차-PIPC
• 유출 규모·항목: 규모 미확인. 항목은 "이름, 휴대전화번호, 이메일 등" 1차-PIPC
• 위반·처분 1차-PIPC:

• 합계 확인: 5억 3,100만 + 420만 + 480만 + 250만 = 5억 4,250만(원문 "과징금 총 5억 4,250만 원"과 일치). 계열사 합계 1,150만(원문과 일치)
• 대표 문구: 「보람상조개발에 안전조치의무 위반 등으로 과징금」 1차-PIPC
• 분류: A(보람상조개발). 계열사 6곳은 §26(수탁자 감독) 위반입니다.

11. nttId 12121 — 행정안전부·농촌진흥청 등 5개 기관·업체

• 게시일: 2026-05-28 / 보도시점: 2026. 5. 28.(목) 11:00, 배포 2026. 5. 27.(수) 18:00 / 전체회의: 5월 27일(수) 제10회 1차-PIPC
• 제목: 개인정보위, 안전조치 및 수탁자 감독 의무 위반한 5개 기관·업체 제재 1차-PIPC
• 처분 대상: 행정안전부(2건), 농촌진흥청, 국립농업과학원, 국립축산과학원, ㈜미소테크(수탁업체, 시스템 유지·관리) 1차-PIPC
• 사고 경위·규모 1차-PIPC:
• 정부24: '24년 4월 소스코드 개발 오류(법인 발급 테스트 누락)로 1,233명이 유출됐습니다. 내역은 NEIS 연계 646명(생활기록부·졸업증명서 등 / 성명, 생년월일 또는 주민등록번호, 학교정보)과 납세증명서 587명(법인 대표자 성명·주민등록번호)입니다. 또 '25년 5월 주민등록증 발급상황 조회 서비스의 본인인증 취약점으로 4건이 조회됐습니다(사망자 1인 포함). 유출항목 표기에는 "3명"으로 적혀 있습니다.
• 공유누리: 내부용 '업무게시판' 파일이 구글검색에 노출 — 3,828명(이름, 전화번호, 이메일주소, 소속기관정보)
• ㈜미소테크 NAS: '25. 4. 7. 해커가 탈취해 다크웹에 게시 — "57만 5천여 건(중복 포함)"(이름, 주소, 연락처, 이메일주소, 직장정보, 과학기술인번호, 농장정보 등). 위탁받은 개인정보를 자체 NAS에 무단 보관('20. 5. ~ '25. 4.)했고, 외부 IP로 접근 가능한 상태로 운영('17. 6. ~ '25. 4.)했으며, 관리자 ID·PW만으로 접근할 수 있었음
• 위반·처분 1차-PIPC:

• 합계 확인: 과징금 2억 7,300만 + 1억 6,800만 + 2,310만 + 8,250만 = 5억 4,660만(원문과 일치). 과태료 300만 + 450만 + 450만 = 1,200만(원문과 일치)
• 원문 판단 기준: 시스템의 최종 책임 주체인 공공기관에 안전조치의무 위반 책임이 있으며, "수탁자도 안전조치의무 위반 책임을 물을 수 있다는 판단 기준을 제시"했다고 밝힘 1차-PIPC
• 대표 문구: 「개인정보위는 안전조치의무를 위반하여 개인정보를 유출한 ㈜미소테크에」 1차-PIPC
• 분류: A(행정안전부 2건, ㈜미소테크). 농촌진흥청·국립농업과학원·국립축산과학원은 §26 위반입니다.

12. nttId 12171 — 쿠팡 주식회사·쿠팡풀필먼트서비스(CFS)

• 게시일: 2026-06-11 / 보도시점: 2026. 6. 11.(목) 11:00 (배포 시각 표기 없음) / 전체회의: 6월 10일(수) 제11회. 10:00에 열려 "23:30경 최종 처분안을 확정" 1차-PIPC
• 제목: 개인정보위, 쿠팡 및 계열사의개인정보 유출 및 침해 제재처분 의결 (게시판 표기 그대로) 1차-PIPC
• 처분 대상·업종: 쿠팡 주식회사(원문 표현 "국내 최대의 온라인 플랫폼 사업자"), 쿠팡풀필먼트서비스 유한회사(물류센터 자회사) 1차-PIPC
• 사고 경위(유출): 해커는 대체 인증을 직접 개발했던 전직 직원('24년말 퇴사)입니다. 대체 인증 서명키로 위조 인증토큰을 만들었습니다. '25. 1. 25. 유출 테스트를 거쳐 '25. 4. 14.~6. 25. 배송지 관리 페이지에 약 1억 4,800만회 접근했고, '25. 6. 24.~10. 12. 회원정보 수정 페이지에 34,966,812회 접근했으며, '25. 9. 26.~11. 8. 배송지 수정·주문목록 페이지에 접근했습니다 1차-PIPC
• 유출 규모·항목 1차-PIPC:
• 회원 "33,222,472명"(계정 기준)과 회원이 아닌 정보주체 "최소 4,338,368명"(휴대전화번호 기준). 요약 문구는 "약 3,755만 명"
• 회원정보 수정 페이지: 33,057,012명(이름, 이메일)
• 배송지 관리 페이지: 최소 22,375,359명, 배송지 정보 63,986,351건(이름, 전화번호, 주소, 공동현관 비밀번호(마스킹))
• 배송지 수정 페이지: 2,580명의 마스킹되지 않은 공동현관 비밀번호 4,226건
• 주문 목록 페이지: 회원 58,349명의 주문내역 272,470건
• 원문 표기 주의 33,222,472 + 4,338,368 = 37,560,840입니다. 요약의 "약 3,755만 명"과 1만 명 단위에서 차이가 납니다(올림·버림 차이로 보임).
• 위반 내용(유출 관련) 1차-PIPC:
• 안전조치의무(인증수단 관리, 접근통제) §29 — 서명키를 평문으로 열람할 수 있었고, 해커가 퇴사한 뒤에도 키를 갱신·폐기하지 않음. 차단 임계치 설정이 미흡했고 이상행위를 분석하지 않음
• 유출 통지·신고 §34① — 비회원 정보주체에게 통지하지 않음, 72시간을 넘겨 통지
• 파기 §21①
• CPO 독립적 업무 수행 보장 §31⑥
• 로그 삭제 등 증거자료 폐기 §63②
• 처분 1차-PIPC:
• 쿠팡(유출 관련): 과징금 4,235억 7,500만 원, 과태료 1,680만 원, 시정명령, 결과공표, 공표명령, 개선권고, 고발
• 쿠팡(침해 관련, 타사 온라인 활동기록 11,170,613명분 무단 수집 §15①, 납치광고 관리·감독 소홀 §3①): 과징금 2,011억 600만 원, 시정명령, 공표명령
• CFS(경찰청 출입기자 71명 취업제한 목록 등록 §15①, 임직원 80명 체중정보 법원 제출 §23①): 과징금 2억 4,800만원(내역 2억 2,000만 원 + 2,800만 원)
• 합계 확인: 4,235억 7,500만 + 2,011억 600만 = 6,246억 8,100만(원문 쿠팡 합계와 일치). CFS 2억 2,000만 + 2,800만 = 2억 4,800만(일치)
• 대표 문구: 「⦁안전조치의무(인증수단 관리, 접근통제)」 1차-PIPC
• 분류: A(쿠팡 유출 관련). 같은 보도자료 안의 쿠팡 침해 건과 CFS 건은 B 성격입니다(§15·§3·§23).

13. nttId 12196 — ㈜빗썸

• 게시일: 2026-06-25 / 보도시점: 2026.6.25.(목) 10:00, 배포 2026.6.25.(목) 10:00 / 전체회의: 6월 24일(수) 제12회 1차-PIPC
• 제목: 개인정보위, 개인정보 국외이전 위반 '빗썸' 제재 1차-PIPC
• 처분 대상·업종: ㈜빗썸(가상자산거래소) 1차-PIPC
• 사고 경위: 유출사고가 아닙니다. '25년 국정감사 지적을 계기로 조사했습니다. 2025년 9월~11월 테더(USDT) 마켓에서 오더북을 공유하면서, 정보주체에게는 스텔라 거래소로 이전한다고 동의를 받았지만 실제로는 bingx.com 시스템으로 회원번호·주문정보를 국외이전했습니다. 또 가상자산을 13개 해외 거래소로 옮길 때 송금인·수취인 정보(이름, 지갑주소, 생년월일)를 별도 동의 없이 제공했습니다 1차-PIPC
• 유출 규모: 해당 없음(유출사고 아님). 국외이전된 인원 수는 미확인
• 위반 내용: 개인정보 국외이전 위반 보호법 §28조의8①, 2건(오더북 공유 / 가상자산 이전) 1차-PIPC
• 처분: 과징금 1억 2,000만 원(오더북 공유) + 9,000만 원(가상자산 이전) = 총 2.1억 원, 시정명령. 「블록체인 서비스 개인정보 보호 가이드라인」도 함께 발표 1차-PIPC
• 대표 문구: 「⦁오더북 공유 시 개인정보 국외이전 위반」 1차-PIPC
• 분류: B

14. nttId 12242 — 락앤락·유베이스·썬포토

• 게시일: 2026-07-08 / 보도시점: 2026.7.9(목) 10:00, 배포 2026.7.8.(수) 18:00 / 전체회의: 7월 8일(수) 제13회 1차-PIPC
• 원문 표기 주의 게시판 작성일(2026-07-08)이 PDF 보도시점(7.9)보다 하루 이릅니다.
• 제목: 개인정보위, 안전조치 의무 위반 3개 사업자 제재 1차-PIPC

• 합계 확인: 5억 300만 + 1억 6,800만 + 3,000만 = 7억 100만(원문과 일치)
• 대표 문구: 「개인정보처리시스템에 대한 접근통제 등 안전조치를」 1차-PIPC
• 분류: A(3개사 모두)

15. nttId 12330 — 틱톡·애플

• 게시일: 2026-07-23 / 보도시점: 2026.7.23(목) 10:00, 배포 2026.7.22.(수) 19:30 / 전체회의: 7월 22일(수) 제14회 1차-PIPC
• 제목: 개인정보위, 적법 근거 없이 개인정보수집·이용한 틱톡·애플 제재 1차-PIPC
• 처분 대상: TikTok Pte. Ltd., Apple Distribution International Limited(ADI), Apple Services Pte. Ltd.(ASPL) 1차-PIPC
• 사고 경위: 유출사고가 아닙니다.
• 틱톡: 행태정보 수집 도구(TikTok Pixel, Events SDK, Events API 등)로 타사 행태정보를 수집했고, 필수 동의 형태로 사실상 강제함. 틱톡 라이트의 계열사 이전과 관련된 법정 사항은 공개하지 않음
• 애플: Siri 음성 녹음·전사문을 별도 동의 없이 수집·이용(2019년 8월까지). 2019년 10월 이후에도 전사문은 적법 근거 없이 이용함 1차-PIPC
• 규모: 틱톡은 "945만 명의 국내 활성 이용자"('25.12. 기준), 국내 7만 1천여 개 기업이 수집 도구를 사용. 애플은 미확인 1차-PIPC
• 위반·처분 1차-PIPC:
• TikTok Pte. Ltd.: §15①, §28조의8① — 과징금 103억 600만 원, 시정명령, 공표명령
• 애플(ADI): 舊정보통신망법 §22①, 보호법 §15①, §28조의8① — 과징금 2억 5,200만 원
• 애플(ASPL): §15①, §28조의8① — 시정명령
• 합계 확인: 103억 600만 + 2억 5,200만 = 105억 5,800만(원문과 일치)
• 대표 문구: 「모두 적법 근거를 갖추지 않고 개인정보를 수집·이용 및」 1차-PIPC
• 분류: B

16. nttId 12349 — ㈜KT (펨토셀)

• 게시일: 2026-07-30 / 보도시점: "배포 즉시"(날짜 표기 없음) / 전체회의: 7월 29일(수) 제15회 1차-PIPC
• 제목: 개인정보위, '㈜KT의개인정보 유출사고' 제재처분 의결 (게시판 표기 그대로) 1차-PIPC
• 처분 대상·업종: ㈜KT(이동통신사업자, 원문 표현 "기간통신사업자"). ㈜LGU+는 처분이 아닌 수사의뢰 대상 1차-PIPC
• 사고 경위: 해커가 유실된 KT 펨토셀(소형기지국)에서 인증서를 빼내 자체 제작한 펨토셀에 심었습니다. 이 장비로 KT 내부망에 약 11개월간(2024.10.8. ~ 2025.9.5.) 접속해 단말 송·수신 정보를 가로챘고, ARS·SMS를 탈취해 무단 소액결제를 했습니다. 이와 별도로 2024년 3월 KT 서버 38대가 BPFDoor 등 악성코드에 감염됐고, 로밍렌탈서비스 관리자페이지에 SQL 삽입공격이 있었습니다(임직원·협력사 직원 정보 조회·유출 정황) 1차-PIPC
• 유출 규모·항목: 16,647명(알뜰폰 포함, 중복 제거) — 휴대전화번호, IMSI, IMEI. 당초 신고한 22,227명에서 중복을 제거한 수치. 368명이 약 2.4억 원 무단 소액결제 피해 1차-PIPC
• 위반 내용: "정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위한 안전조치 의무를 위반"(접근통제). 세부는 인증서 유효기간 10년, 접속 IP 제한 없음, 관리서버 우회 경로 존재, Cell ID 미관리, 이상접속 탐지체계 부재. 보도자료에 위반 조항 번호(§29) 표기는 없음 미확인. 조사 방해(거짓 자료 제출 등)는 보호법 제73조(벌칙)에 따른 고발 사유로 기재 1차-PIPC
• 처분: 과징금 539억 7,900만 원, 시정명령(3개월 안에 대책 수립·보고), 개선권고(ISMS-P 인증범위 확대), 공표, 공표명령, 고발. LGU+는 수사의뢰(형법상 공무집행 방해) 1차-PIPC
• 과태료: 원문 기재 없음 미확인
• 대표 문구: 「KT의 불법 펨토셀을 통한 개인정보 유출에 대해 안전조치 의무 위반으로」 1차-PIPC
• 분류: A

17. nttId 12413 — 국가아동권리보장원

• 게시일: 2026-08-27 / 보도시점: 2026. 8. 27.(목) 11:00, 배포 2026. 8. 27.(목) 09:00 / 전체회의: 8월 26일(수) 제17회 1차-PIPC
• 제목: 실종아동과 입양인 개인정보 유출한 국가아동권리보장원 제재 1차-PIPC
• 처분 대상: 국가아동권리보장원(공공기관). 주무기관인 보건복지부에는 개선권고 1차-PIPC
• 사고 경위 1차-PIPC:
• ① 입양기록물 전산화 결과물: 엑셀자료를 담은 CD 1장이 분실됨(인지 2026년 4월)
• ② 실종아동 입소카드 전산화 결과물: 외장하드 1개가 분실됨(인지 2024년 8월). 보조저장매체를 캐비닛·서랍에 보관하면서 관리자 지정·반출입 대장 관리 등 물리적 안전조치를 소홀히 했고, 유출 시점과 경로를 답변하지 못함
• ③ 입양정보공개청구시스템(2026년 3월 16일·4월 30일 개시): 두 신청 메뉴가 같은 DB 테이블과 같은 순차 번호를 쓰도록 설계됐고 테스트가 누락되어, 일련번호가 같은 신청자끼리 서로의 서류를 열람함
• 유출 규모·항목 1차-PIPC:
• ① 입양인 등 약 114만 건(주민등록번호 약 30만 건 포함, 성명·주소·연락처 등)
• ② 실종아동 등 약 3만 건(주민등록번호 약 1.5만 건 포함, 성명·발생일시·장소 등)
• ①+② "총 117만 건 이상"
• ③ 입양인 37명 + 예비양부모 10명 = 47명(성명, 생년월일, 성별 등)
• 위반·처분 1차-PIPC:

• 합계 확인: ①+② 과징금 8억 1,050만, 과태료 2,220만(원문과 일치). 전체 8억 1,050만 + 2,220만 + 5,250만 = 8억 8,520만(부제목과 일치)
• 원문 표기 주의
• 붙임 ③행의 위반 내용은 "안전조치의무 위반"뿐인데 위반 조항 칸에는 "법 §29, 법 §34①"이 함께 적혀 있습니다. 본문 ③에는 유출통지 위반 서술이 없습니다.
• 붙임 ①행의 위반 조항에는 "舊법 §26④"가 있지만 위반 내용 칸에는 위탁 관련 항목이 없습니다. 본문에서는 "보호법 제26조에 대한 위반도 확인"이라고 적었습니다.
• 주민등록번호 미암호화는 본문에서 "고유식별정보 등에 대한 안전조치의무 위반"으로 표현되며, 붙임의 조항은 §24③입니다.
• 대표 문구: 「안전조치의무(접근통제)를 위반한 보장원에 과징금」 1차-PIPC
• 분류: A(①과 ③에 §29 포함. ②는 §24③·§26·§34)

18. nttId 12414 — HD현대그룹 2개사

• 게시일: 2026-08-27 / 보도시점: 2026.8.27.(목) 11:00, 배포 2026.8.27.(목) 09:00 / 전체회의: 8월 26일(수) 제17회 1차-PIPC
• 제목: 개인정보위, 안전조치 의무를 위반한 HD현대그룹 소속 2개 사업자 제재 1차-PIPC
• 처분 대상·업종: HD건설기계㈜(토목공사 및 건설기계 제조), HD한국조선해양㈜(선박용 기자재 제조) 1차-PIPC
• 사고 경위: 2024년 3월경 HD한국조선해양의 모바일 기기 관리 서버 파일 업로드 취약점에 웹 쉘(Web Shell)이 업로드됐습니다. 업무상 연계가 필요 없는데도 접근이 제한되지 않은 HD건설기계 내부 업무용 시스템으로 침투했습니다 1차-PIPC
• 유출 규모·항목: HD건설기계 임직원 및 협력사 직원 9,503명 — 성명, 사번 등 1차-PIPC
• 위반 내용: 두 회사 모두 안전조치의무 위반(접근통제) 보호법 §29 1차-PIPC
• 처분: HD건설기계㈜ 과징금 7,350만 원 / HD한국조선해양㈜ 과태료 480만 원 1차-PIPC. 공표명령은 붙임에 기재 없음
• 대표 문구: 「HD건설기계㈜ ⦁안전조치의무 위반(접근통제)」 1차-PIPC
• 분류: A(2개사 모두)

19. nttId 12425 — ㈜지에스리테일 외 3개사

• 게시일: 2026-08-31 / 보도시점: 2026. 8. 31.(월) 11:00, 배포 2026. 8. 31.(월) 09:00 / 전체회의: 8월 26일(수) 제17회 1차-PIPC
• 제목: 개인정보위, ㈜지에스리테일 유출사고에 대해 과징금 128억 3,600만 원, 과태료 300만 원 부과 1차-PIPC

• 합계 확인: 과징금 128억 3,600만 + 1억 1,844만 = 129억 5,444만(원문과 일치). 과태료 300만 + 360만 + 360만 = 1,020만(원문과 일치)
• 원문 표기 주의 본문은 ㈜지에스리테일에 대해 거버넌스 점검 등을 "시정명령하였다"고 적었지만, 붙임 표의 시정조치(안) 칸에는 "과징금, 과태료, 공표명령"만 있고 시정명령이 빠져 있습니다.
• 대표 문구: 「개인정보처리시스템에 대한 접근통제 등 안전조치를」 1차-PIPC
• 분류: A(지에스리테일, 엔라이즈, 에이토즈). 에스케이텔레콤은 §26·§39의4 위반입니다.

20. nttId 12600 — ㈜대교·의료법인 영훈의료재단

• 게시일: 2026-10-29 / 보도시점: 2026.10.29.(목) 11:00, 배포 2026.10.28.(수) 20:00 / 전체회의: "10월 28일(목) 제21회" 1차-PIPC
• 원문 표기 주의 전체회의 날짜를 "10월 28일(목)"로 적었습니다. 2026-10-28은 수요일이고, 같은 PDF의 배포일 표기도 "2026.10.28.(수)"입니다. 요일을 잘못 적은 것입니다.
• 제목: 개인정보위, 안전조치 의무 위반 2개 사업자에 38억 8,500만 원 과징금 부과 1차-PIPC

• 합계 확인: 32억 5,500만 + 6억 3,000만 = 38억 8,500만(원문과 일치)
• 대표 문구: 「「개인정보 보호법」에 따른 안전조치 의무를 소홀히 한 것으로」 1차-PIPC
• 분류: A(2개사 모두)

종합표

과징금·과태료는 원문 표기를 그대로 옮겼습니다. 대상이 여러 곳이면 합계와 함께 적었습니다.

분류 집계(보도자료 기준 20건): A 17건 · B 3건(11878 롯데카드, 12196 빗썸, 12330 틱톡·애플) · C 0건

원문 표기 주의 모음

1. 11777: 배포일을 "2025. 1. 28.(수)"로 표기 — 연도 오기로 보입니다(2025-01-28은 화요일).
2. 12600: 전체회의를 "10월 28일(목)"로 표기 — 2026-10-28은 수요일이며, 같은 문서 배포일 표기는 "(수)"입니다.
3. 12242: 게시판 작성일 2026-07-08이 PDF 보도시점 2026.7.9보다 하루 이릅니다.
4. 12171: 요약의 "약 3,755만 명"과 세부 수치 합계 37,560,840명 사이에 1만 명 단위 차이가 있습니다.
5. 12413: 붙임 ③행에 위반 내용과 맞지 않는 "법 §34①"가 적혀 있고, ①행에는 "舊법 §26④"에 대응하는 위반 내용 표기가 없습니다.
6. 12425: 본문에는 ㈜지에스리테일 시정명령이 있으나 붙임 표에는 시정명령이 빠져 있습니다.
7. 11974: 사업자명 철자 "Cristie"는 원문 표기 그대로입니다.
8. 12349: 보도시점이 "배포 즉시"로 되어 있어 PDF 안에 날짜가 없습니다. 게시일 2026-07-30은 게시판 기준입니다.