개인정보보호위원회(PIPC)로부터 "귀사 개인정보 처리 실태에 대해 조사를 실시할 예정입니다"라는 공문이 도착하면 어떻게 해야 할까요?
당황하는 것은 자연스럽지만, 대응 방법을 미리 알아두면 불필요한 처분을 피할 수 있습니다. 대부분의 조사는 협조를 잘 하면 시정권고나 과태료 감경으로 마무리됩니다.
조사가 시작되는 경로
1. 민원·신고
가장 흔한 경로입니다. 이용자가 PIPC에 직접 신고하거나, 개인정보 침해신고센터(privacy.go.kr)에 민원을 제기합니다.
흔한 신고 유형:
- 탈퇴 후에도 개인정보가 삭제되지 않음
- 동의 없이 마케팅 문자·이메일 발송
- 개인정보 유출 후 미통보
- 수신 거부 요청 미처리
2. 직권 조사
PIPC가 언론 보도, 정기 점검, 타 기관 통보 등을 계기로 직접 조사를 개시합니다.
3. 정기 실태 점검
업종별·규모별로 정기적으로 실태 점검을 실시합니다. 전자상거래, 의료, 교육, 금융 업종이 자주 대상이 됩니다.
조사 단계별 대응
1단계: 자료 제출 요청 (사전 조사)
공문으로 개인정보 처리 현황에 대한 자료 제출을 요구합니다.
주요 요구 자료:
□ 개인정보처리방침 사본 (현행 + 최근 3년 변경 이력)
□ 개인정보 처리 현황 목록 (수집 항목, 목적, 보유 기간)
□ 내부 관리 계획 문서
□ 개인정보 처리 위탁 계약서 목록
□ 직원 교육 실시 이력
□ 신고된 민원의 처리 이력 (해당 시)
대응 요령:
- 제출 기한 내에 성실히 제출
- 자료가 없는 항목은 "미비하여 개선 중"임을 명시
- 제출 전 법무 검토를 거치는 것이 권장됨
2단계: 현장 조사
필요 시 사업장을 직접 방문하여 시스템, 서류, 담당자를 확인합니다.
현장 조사 당일 준비사항:
□ 개인정보 보호책임자(CPO) 또는 담당자 대기
□ 관련 시스템 접근 계정 준비
□ 주요 문서 사본 준비
□ 응대 담당자 사전 브리핑 (일관된 답변 유지)
현장 조사 시 주의사항:
- 조사관의 질문에 즉답이 어려우면 "확인 후 서면 답변" 요청 가능
- 관련 없는 자료까지 과도하게 제공하지 않아도 됨
- 조사관의 신분과 조사 범위를 확인하는 것은 권리
3단계: 의견 진술
조사 결과에 따라 위반 사항이 발견되면 의견 진술 기회를 줍니다.
의견 진술서 작성 핵심:
- 위반 사실 인정 여부 명확히 기재
- 발생 경위 객관적으로 서술 (의도적 위반이 아님을 강조)
- 개선 조치 이미 취한 것과 계획 중인 것을 구체적으로 기재
- 감경 사유 명시 — 자진 시정, 피해 최소화 노력, 중소기업 여부 등
처분 종류와 수위
처분 유형
| 처분 | 설명 | 위반 수위 | |------|------|----------| | 시정권고 | 기간 내 개선 권고, 강제력 없음 | 경미 | | 시정명령 | 기간 내 개선 명령, 불이행 시 제재 | 중간 | | 과태료 | 행위별 최대 3,000만 원 | 중간~높음 | | 과징금 | 관련 매출액의 최대 3% | 높음 | | 형사고발 | 검찰에 수사 의뢰 | 최고 |
주요 위반과 과태료 기준
| 위반 행위 | 과태료 상한 | |----------|-----------| | 처리방침 미공개 또는 중요 사항 누락 | 1,000만 원 | | 동의 없는 개인정보 수집·이용 | 3,000만 원 | | 수신 거부 미처리 (정보통신망법) | 3,000만 원 | | 안전조치 의무 위반 | 3,000만 원 | | 파기 의무 위반 | 3,000만 원 | | 유출 신고·통지 의무 위반 | 3,000만 원 |
과태료 감경 사유
개인정보보호법 시행령 제68조에 따라 다음 경우 과태료를 최대 50% 감경받을 수 있습니다:
- 위반 행위를 자진 신고한 경우
- 조사에 적극 협조한 경우
- 피해를 자진 시정하고 피해자에게 보상한 경우
- 소규모 사업자 (상시 근로자 100인 미만 또는 연 매출 10억 원 미만)
- 위반 행위가 과실에 의한 경우
신고를 예방하는 핵심 조치
통계적으로 가장 많은 신고를 유발하는 상황은 다음과 같습니다.
TOP 1: 탈퇴 후 미삭제
예방:
회원 탈퇴 요청 접수
↓ (즉시~5영업일 이내)
개인정보 삭제 또는 파기
↓
탈퇴 완료 확인 이메일 발송
↓
파기 이력 DB 기록
TOP 2: 마케팅 수신 거부 미처리
예방:
- 수신 거부 링크를 모든 마케팅 이메일·문자에 포함
- 거부 요청 영업일 2일 이내 처리
- 처리 이력을 로그로 보관
TOP 3: 개인정보 유출 미통보
1,000명 이상 유출 시 72시간 이내 PIPC 신고 의무. 발견 즉시 신고하는 것이 처분 감경에 유리합니다.
실무 체크리스트: 조사 대비
문서 준비
- [ ] 개인정보처리방침을 최신 상태로 유지한다
- [ ] 내부 관리 계획 문서가 있다
- [ ] 처리 위탁 계약서가 체결·보관되어 있다
- [ ] 직원 교육 이력이 기록되어 있다
프로세스
- [ ] 탈퇴 후 개인정보 파기 이력을 기록한다
- [ ] 수신 거부 처리 이력을 보관한다
- [ ] 민원·신고 처리 담당자가 지정되어 있다
- [ ] CPO(개인정보 보호책임자)가 지정·공개되어 있다
대응 준비
- [ ] 조사 시 응대할 담당자가 PIPA 주요 내용을 숙지하고 있다
- [ ] 법무 자문을 받을 수 있는 채널이 있다
PipaGuard로 조사 대비 자가 점검
PIPC 조사에서 가장 많이 지적되는 항목들을 미리 점검하고 싶다면 PipaGuard를 이용해 보세요. 처리방침 누락 항목, 프로세스 공백, 문서 미비 사항을 자동으로 찾아드립니다.
pipaguard.vercel.app에서 무료로 시작할 수 있습니다.