프랑스: Free Mobile·Free에 합계 4200만 유로

프랑스 당국은 통신사 Free Mobile과 Free에 총 4200만 유로의 과징금을 부과했다. 이 가운데 Free Mobile에 부과된 과징금은 2700만 유로로, 가입자 개인정보 보안 문제가 2분기 주요 집행 사례로 떠올랐다.

이탈리아: Intesa Sanpaolo에 3180만 유로

이탈리아 개인정보보호 당국은 고객 금융정보 보호와 관련한 미흡한 조치를 이유로 Intesa Sanpaolo에 3180만 유로의 과징금을 부과했다.

은행과 금융기관은 신원정보, 계좌정보, 거래정보 등 대규모 개인정보를 처리한다. 이에 따라 접근권한 관리, 보안 통제, 적법한 처리와 관련한 취약점이 상당한 제재로 이어질 수 있다.

영국: Reddit에 1447만 파운드

영국 정보 commissioner’s office(ICO)는 Reddit이 아동의 개인정보를 적법하게 이용하지 않았고, 강력한 연령 확인 절차를 마련하지 못했다고 판단해 1447만 파운드의 과징금을 부과했다. ICO는 Reddit의 미흡한 조치가 아동을 위험에 노출시킬 수 있다고 지적했다. Reddit은 이후 해당 금전 제재 통지에 항소했다.

이 사건은 플랫폼이 효과적인 연령 확인과 아동 개인정보의 적절한 처리를 입증하지 못할 경우, 아동·청소년 이용자 보호 의무가 상당한 집행 리스크로 이어질 수 있음을 보여준다.

과징금 급증을 이끈 주요 위반 유형

2분기 주요 사건에서 반복적으로 나타난 쟁점은 개인정보 보안 실패와 충분한 법적 근거 없는 개인정보 처리였다. 여기에 Yango 사건은 효과적인 보호조치가 없는 국제 데이터 이전 역시 대규모 제재를 초래할 수 있다는 점을 더했다.

개인정보 처리방침과 내부 문서를 갖추고 있다는 사실만으로는 충분하지 않다. 실제 보안 통제가 개인정보를 보호하지 못하거나, 처리 목적을 뒷받침할 법적 근거가 부족하거나, 적절한 보호체계가 없는 국가로 데이터가 계속 이전된다면 기업은 제재 대상이 될 수 있다.

어떤 업종의 노출도가 높았나

집행 분석에 따르면 미디어와 금융 업종은 2분기 최대 과징금 10건 가운데 6건을 차지했다. 대규모 개인정보를 처리하면서 소비자와 직접 관계를 맺고, 광고 또는 금융 규제의 적용까지 받는 업종에서 규제 리스크가 특히 크게 나타난 것이다.

프랑스의 Free 제재를 통해 통신업도 주요 집행 대상에 포함됐다. 기술·플랫폼 기업은 국제 데이터 이전과 아동 개인정보 처리 문제로 조사를 받았다. 물론 특정 업종의 모든 기업이 과징금을 받는다는 의미는 아니다. 다만 대규모 개인정보 처리와 소비자 영향이 결합된 영역에서 규제당국이 높은 위험과 중대한 위반을 발견할 가능성이 커진다는 점을 시사한다.

유럽 사업자가 우선 점검할 사항

이번 분기 집행 흐름은 GDPR 준수를 개인정보보호 부서만의 법률 과제가 아니라 재무·운영 리스크로 관리해야 한다는 점을 보여준다. 기업은 다음 다섯 가지를 우선 점검할 필요가 있다.

• 처리의 법적 근거를 정리할 것: 주요 개인정보 처리 활동별 법적 근거를 문서화하고, 동의가 필요한 경우 동의가 유효한지 재검토해야 한다.
• 보안 통제를 실제로 시험할 것: 개인정보를 보호하기 위한 기술적·관리적 조치를 마련하는 데 그치지 말고, 해당 통제가 실제 환경에서 작동하는지 확인해야 한다.
• 연령 확인과 아동 보호를 강화할 것: 아동이 서비스에 접근할 가능성이 있는 영역을 파악하고, 비례적인 연령 확인 절차와 미성년자 정보에 대한 제한을 적용해야 한다.
• 국제 데이터 이전을 재검토할 것: 제3국으로 이전되는 모든 데이터 흐름을 파악하고, 이전 위험 평가와 목적지 국가에서도 효과가 유지되는 보호조치를 마련해야 한다.
• 고위험 처리를 경영진에 보고할 것: 주요 국외 이전, 민감정보, 아동 개인정보, 대규모 프로파일링 및 소비자 데이터 처리에 대해 이사회와 고위 경영진이 상황을 파악하도록 해야 한다.

결론

2026년 2분기의 2억2588만 유로 GDPR 과징금은 단순히 분기별 금액이 커졌다는 의미에 그치지 않는다. 이번 집계에는 대규모 국제 데이터 이전 사건과 함께 개인정보 보안, 적법한 처리, 아동 개인정보 보호와 관련한 제재가 함께 포함됐다. 2분기 과징금이 1분기보다 약 230% 늘고 상반기 누적액이 약 2억9500만 유로에 이른 만큼, 개인정보보호 실패가 빠르게 중대한 사업상 손실로 전환될 수 있다는 점이 핵심 메시지다.

다만 분기 총액의 상당 부분은 예외적으로 큰 단일 사건의 영향을 받았다. 그럼에도 이번 집행 사례들은 유럽에서 사업하는 기업에 일관된 과제를 제시한다. 개인정보를 적법하게 처리하고, 보안이 실제로 작동한다는 점을 입증하며, 아동의 정보를 책임 있게 다루고, 국제 데이터 이전을 지속적이고 문서화된 절차로 관리해야 한다.

프랑스: Free Mobile·Free에 합계 4200만 유로

프랑스 당국은 통신사 Free Mobile과 Free에 총 4200만 유로의 과징금을 부과했다. 이 가운데 Free Mobile에 부과된 과징금은 2700만 유로로, 가입자 개인정보 보안 문제가 2분기 주요 집행 사례로 떠올랐다.

이탈리아: Intesa Sanpaolo에 3180만 유로

이탈리아 개인정보보호 당국은 고객 금융정보 보호와 관련한 미흡한 조치를 이유로 Intesa Sanpaolo에 3180만 유로의 과징금을 부과했다.

은행과 금융기관은 신원정보, 계좌정보, 거래정보 등 대규모 개인정보를 처리한다. 이에 따라 접근권한 관리, 보안 통제, 적법한 처리와 관련한 취약점이 상당한 제재로 이어질 수 있다.

영국: Reddit에 1447만 파운드

영국 정보 commissioner’s office(ICO)는 Reddit이 아동의 개인정보를 적법하게 이용하지 않았고, 강력한 연령 확인 절차를 마련하지 못했다고 판단해 1447만 파운드의 과징금을 부과했다. ICO는 Reddit의 미흡한 조치가 아동을 위험에 노출시킬 수 있다고 지적했다. Reddit은 이후 해당 금전 제재 통지에 항소했다.

이 사건은 플랫폼이 효과적인 연령 확인과 아동 개인정보의 적절한 처리를 입증하지 못할 경우, 아동·청소년 이용자 보호 의무가 상당한 집행 리스크로 이어질 수 있음을 보여준다.

과징금 급증을 이끈 주요 위반 유형

2분기 주요 사건에서 반복적으로 나타난 쟁점은 개인정보 보안 실패와 충분한 법적 근거 없는 개인정보 처리였다. 여기에 Yango 사건은 효과적인 보호조치가 없는 국제 데이터 이전 역시 대규모 제재를 초래할 수 있다는 점을 더했다.

개인정보 처리방침과 내부 문서를 갖추고 있다는 사실만으로는 충분하지 않다. 실제 보안 통제가 개인정보를 보호하지 못하거나, 처리 목적을 뒷받침할 법적 근거가 부족하거나, 적절한 보호체계가 없는 국가로 데이터가 계속 이전된다면 기업은 제재 대상이 될 수 있다.

어떤 업종의 노출도가 높았나

집행 분석에 따르면 미디어와 금융 업종은 2분기 최대 과징금 10건 가운데 6건을 차지했다. 대규모 개인정보를 처리하면서 소비자와 직접 관계를 맺고, 광고 또는 금융 규제의 적용까지 받는 업종에서 규제 리스크가 특히 크게 나타난 것이다.

프랑스의 Free 제재를 통해 통신업도 주요 집행 대상에 포함됐다. 기술·플랫폼 기업은 국제 데이터 이전과 아동 개인정보 처리 문제로 조사를 받았다. 물론 특정 업종의 모든 기업이 과징금을 받는다는 의미는 아니다. 다만 대규모 개인정보 처리와 소비자 영향이 결합된 영역에서 규제당국이 높은 위험과 중대한 위반을 발견할 가능성이 커진다는 점을 시사한다.

유럽 사업자가 우선 점검할 사항

이번 분기 집행 흐름은 GDPR 준수를 개인정보보호 부서만의 법률 과제가 아니라 재무·운영 리스크로 관리해야 한다는 점을 보여준다. 기업은 다음 다섯 가지를 우선 점검할 필요가 있다.

• 처리의 법적 근거를 정리할 것: 주요 개인정보 처리 활동별 법적 근거를 문서화하고, 동의가 필요한 경우 동의가 유효한지 재검토해야 한다.
• 보안 통제를 실제로 시험할 것: 개인정보를 보호하기 위한 기술적·관리적 조치를 마련하는 데 그치지 말고, 해당 통제가 실제 환경에서 작동하는지 확인해야 한다.
• 연령 확인과 아동 보호를 강화할 것: 아동이 서비스에 접근할 가능성이 있는 영역을 파악하고, 비례적인 연령 확인 절차와 미성년자 정보에 대한 제한을 적용해야 한다.
• 국제 데이터 이전을 재검토할 것: 제3국으로 이전되는 모든 데이터 흐름을 파악하고, 이전 위험 평가와 목적지 국가에서도 효과가 유지되는 보호조치를 마련해야 한다.
• 고위험 처리를 경영진에 보고할 것: 주요 국외 이전, 민감정보, 아동 개인정보, 대규모 프로파일링 및 소비자 데이터 처리에 대해 이사회와 고위 경영진이 상황을 파악하도록 해야 한다.

결론

2026년 2분기의 2억2588만 유로 GDPR 과징금은 단순히 분기별 금액이 커졌다는 의미에 그치지 않는다. 이번 집계에는 대규모 국제 데이터 이전 사건과 함께 개인정보 보안, 적법한 처리, 아동 개인정보 보호와 관련한 제재가 함께 포함됐다. 2분기 과징금이 1분기보다 약 230% 늘고 상반기 누적액이 약 2억9500만 유로에 이른 만큼, 개인정보보호 실패가 빠르게 중대한 사업상 손실로 전환될 수 있다는 점이 핵심 메시지다.

다만 분기 총액의 상당 부분은 예외적으로 큰 단일 사건의 영향을 받았다. 그럼에도 이번 집행 사례들은 유럽에서 사업하는 기업에 일관된 과제를 제시한다. 개인정보를 적법하게 처리하고, 보안이 실제로 작동한다는 점을 입증하며, 아동의 정보를 책임 있게 다루고, 국제 데이터 이전을 지속적이고 문서화된 절차로 관리해야 한다.