제2026-206-094호

안건번호 : 제2026-206-094호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 넷플릭스서비시스코리아(유) (사업자등록번호 : )
의결연월일 : 2026. 3. 25.

1. 피심인에 대하여 다음과 같이 개선 권고하고 경고한다.
가. 개인정보 처리방침에 대해 번역으로 인한 어색한 표현 등을 정보주체가 쉽게 이해할 수 있는 용어와 문장으로 변경하여 가독성을 개선하여야 한다.
나. 개인정보 처리방침 내 ’공개', ’공유', ’제공' 등의 용어를 ’이전', ’제3자 제공', ’처리ㆍ위탁' 등 국내 개인정보 보호법상 법적 용어로 명확히 표현하여야 한다.
다. 개인정보 보유기간 관련 탈퇴 후 10개월 보관하는 것의 적절성에 대해 검토하여야 한다.
라. 피심인은 가.부터 다.까지의 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 인터넷콘텐츠제공사업자로 개인정보를 처리하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)상의 개인정보처리자로서 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=164218377" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 피심인에 대한 개인정보 처리방침 관련 공익신고를 접수(’24. 6. 3.)함에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('24. 6. 5. ~ '25. 11. 25.)하였으며, 다음과 같은 사실을 확인하였다.
<img src="/LSW/flDownload.do?flSeq=164218379" alt="2번째 이미지"></img>
2. 행위 사실

가. 개인정보 수집현황

피심인은 인터넷콘텐츠서비스(넷플릭스)를 제공하면서 ’24. 6. 1. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=164218381" alt="3번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계

가. 개인정보 처리방침 관련

피심인은 처리방침을 통해 '개인정보 보관’ 및 '넷플릭스 계정 삭제’를 안내하면서 회원탈퇴 후 10개월간 보유한다고 명시하고 있으며, 피심인은 처리방을 통해 ’개인정보의 제3자 제공 대상'을 기업명, 연락처, 제공 목적, 제공 항목, 보유 및 이용 기간 등에 대해서 명시하고 있고, 피심인은 처리방침을 통해 개인정보 보호담당부서의 명칭과 연락처( 를 고지하고 있음을 확인하였다.

다만, 이용자 관점에서 피심인의 개인정보 처리방침에 대해 이용자 편의성을 위한 가독성 개선이 필요한 부분이 확인되었다.

Ⅲ. 위법성 판단

1. 관련 법 규정

가. 보호법 제30조 제1항은 “개인정보처리자는 다음 각 호의 사항이 포함된 개인정보의 처리 방침을 정하여야 한다. 이 경우 공공기관은 제32조에 따라 등록대상이 되는 개인정보파일에 대하여 개인정보 처리방침을 정한다.“라고 규정하고 있다. 다음 각 호의 사항은 제1호 개인정보의 처리 목적, 제2호 개인정보의 처리 및 보유 기간, 제3호 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다), 제3호의2 개인정보의 파기절차 및 파기방법(제21조제1항 단서에 따라 개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다), 제3호의3 제23조제3항에 따른 민감정보의 공개 가능성 및 비공개를 선택하는 방법(해당되는 경우에만 정한다), 제4호 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다), 제4호의2 제28조의2 및 제28조의3에 따른 가명정보의 처리 등에 관한 사항(해당되는 경우에만 정한다), 제5호 정보주체와 법정대리인의 권리ㆍ의무 및 그 행사방법에 관한 사항, 제6호 제31조에 따른 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처, 제7호 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치ㆍ운영 및 그 거부에 관한 사항(해당하는 경우에만 정한다) 및 제8호 그 밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항라고 규정하고 있다.

2. 위법성 판단

가. 개인정보 처리방침의 법정 사항을 공개하고 있는지 여부
[보호법 제30조(개인정보처리방침의 수립 및 공개)]

피심인의 개인정보 처리방침은 보호법에서 정한 개인정보 보유기간, 개인정보 제3자 제공, 개인정보 담당자 등을 포함하여 공개하고 있어 법률상 정한 사항을 처리방침에 규율하고 있는바, 피심인의 개인정보 처리방침은 보호법 위반으로 보기 어렵다.

다만, 이용자 관점에서 피심인의 개인정보 처리방침에 대해 이용자 편의성을 위한 가독성 개선 및 국내 개인정보 보호법상 법정 용어 명확화 등 개인정보 처리방침에 대한 검토가 필요한 부분이 존재하여 재발 방지를 위한 경고 및 개선이 필요하다.

Ⅳ. 시정조치(안)

피심인에게 보호법 위반사항이 존재한다고 보기 어려우나, 보호법 제30조 입법 취지를 고려할 때 법 제61조에 따라 다음과 같이 개인정보 처리의 실태를 개선하도록 권고하고 관련 사항에 대해 경고한다.

가. 개인정보 처리방침에 대해 번역으로 인한 어색한 표현 등을 정보주체가 쉽게 이해할 수 있는 용어와 문장으로 변경하여 가독성을 개선할 것

나. 개인정보 처리방침 내 ’공개', ’공유', ’제공' 등의 용어를 ’이전', ’제3자 제공', ’처리ㆍ위탁' 등 국내 개인정보 보호법상 법적 용어로 명확히 표현할 것

다. 개인정보 보유기간 관련 탈퇴 후 10개월 보관하는 것의 적절성에 대해 검토할 것

라. 피심인은 가.부터 다.까지의 조치를 이행하고, 개선권고 통지를 받은 날로부터 60일 이내에 개인정보보호위원회에 이행 결과 및 계획을 제출할 것

Ⅴ. 결론

피심인의 보호법 제30조(개인정보 처리방침의 수립 및 공개) 위반에 대하여 제61조(의견제시 및 개선권고) 등에 따라 개선 권고 및 경고를 주문과 같이 의결한다.

피심인은 이 시정조치 명령에 불복이 있는 경우, 「행정심판법」제27조 및 「행정소송법」제20조의 규정에 따라 처분을 받은 날로부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.