개인정보 유출 과징금의 상한이 9월 11일부터 전체 매출액의 10%로 올라갔다. 3월에 개정된 개인정보 보호법과 위임사항을 담은 시행령이 6개월의 유예를 거쳐 이날 함께 시행됐고, 개인정보보호위원회는 하루 전 미디어 브리핑을 열어 산정 절차를 설명했다.
그런데 10%는 모든 유출에 붙는 숫자가 아니다. 원칙적인 상한은 종전대로 3%이고, 10%는 세 가지 경우에만 열린다. 반대 방향으로는 기준금액을 깎아 주는 감경 장치가 두 겹으로 새로 들어왔다. 기사 제목에 붙은 숫자보다 그 숫자가 언제 켜지는지가 실제로 중요하므로, 제도가 어떻게 생겼는지부터 본다.
개인정보 유출 과징금은 무엇을 기준으로 매기나
과징금은 벌금이나 과태료와 달리 위반 상태를 시정시키고 부당한 이득을 거두어들이는 행정처분이다. 개인정보 분야에서는 개인정보 보호법 제64조의2가 근거 조문이고, 금액은 정액이 아니라 매출액에 비율을 곱해 정한다.
기준이 되는 매출액은 회사 전체 매출이 아니다. 전체 매출액에서 위반행위와 관련이 없는 매출액을 뺀 금액이 출발점이다(같은 조 제3항). 다만 정당한 사유 없이 매출액 산정자료 제출을 거부하거나 거짓 자료를 내면 전체 매출액을 기준으로 삼을 수 있다(같은 조 제4항). 자료를 내지 않는 선택 자체가 기준 금액을 키우는 방향으로 설계돼 있다.
| 구분 | 상한 비율 | 매출액이 없거나 산정이 곤란할 때 |
|---|---|---|
| 원칙 (제64조의2제1항) | 전체 매출액의 3% | 20억 원 |
| 특례 (제64조의2제2항) | 전체 매출액의 10% | 50억 원 |
기준: 2026년 9월 11일 시행 개인정보 보호법. 비율은 위반행위와 관련 없는 매출액을 제외한 금액에 적용된다.
전체 매출액 10%가 열리는 세 가지 경우
특례 상한은 아래 세 요건 중 하나에만 해당해도 적용될 수 있다. 세 가지를 동시에 충족해야 하는 구조가 아니라는 점을 개인정보위가 브리핑에서 따로 짚었다.
| 요건 | 내용 |
|---|---|
| 반복 위반 | 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 유형의 위반을 다시 한 경우. 각각 고의 또는 중대한 과실이 있어야 한다 |
| 대규모 피해 | 고의 또는 중대한 과실로 피해를 입은 정보주체가 1,000만 명 이상인 경우 |
| 시정명령 불이행 | 시정조치 명령을 따르지 않아 개인정보가 유출된 경우 |
기준: 개인정보 보호법 제64조의2제2항, 2026년 9월 11일 시행.
상한이 10%로 열려도 실제 부과율이 곧바로 10%가 되지는 않는다. 시행령은 이 구간에서 부과기준율에 가중비율을 곱한 값이 8.91%를 넘지 못하도록 했고, 매출액 산정이 곤란한 경우의 기준금액도 45억 원을 한도로 뒀다. 법이 정한 상한과 시행령이 정한 실제 계산 한도가 다른 층위라는 뜻이다.
가중과 감경은 어떤 순서로 적용되나
산정은 기준금액을 먼저 구한 뒤 투자 감경, 1차 조정, 2차 조정을 차례로 거쳐 부과액을 정한다. 투자 감경이 조정 단계보다 앞에 있는 별도 단계라는 점이 이번 개정의 특징이다.
| 항목 | 개정 전 | 2026년 9월 11일부터 |
|---|---|---|
| 반복 위반 가중 | 1회 15%, 2회 이상 30% | 1회 20%, 2회 40%, 3회 이상 80% |
| 신고·통지 미이행 가중 | 없음 | 최대 30% 가중 |
| 사전 보호 투자 감경 | 없음 | 최대 40% 감경 |
| 사고 후 신속 회복 감경 | 없음 | 최대 40% 감경 |
| ISMS-P 인증 감경 | 최대 50% | 최대 30% |
| 자율규약 시행 감경 | 최대 40% | 최대 20% |
| 보호수준 평가 등 감경 | 최대 30% | 최대 15% |
기준: 개정 개인정보 보호법 시행령, 2026년 9월 11일 시행. 가중·감경률은 과징금 기준금액에 적용된다.
신고·통지 가중은 유출 신고와 통지를 법정기한 안에 하지 않고 피해 확산 방지 조치도 하지 않은 경우에 붙는다. 신고하지 않는 쪽이 오히려 가벼운 처분을 받던 구조를 뒤집은 조항이다.
감경 쪽은 두 갈래다. 사고 이전의 예산·인력·설비 투자와 대표자·개인정보 보호책임자(CPO)의 역할, 법정 기준을 넘어선 안전조치가 한 갈래이고, 사고 이후의 조기 탐지·신속 통지·원인 개선이 다른 갈래다. 개인정보위 사무처장은 두 감경을 합치면 80%가 넘는 금액이 깎일 수 있다고 설명했다. 다만 투자 감경은 고의 또는 중대한 과실로 인한 위반에는 적용되지 않고, 심사는 위반행위 발생 전 3개 사업연도의 투자 실적을 본다. 인증서를 갖췄다는 사실만으로 자동 감경되는 구조는 아니고, ISMS-P 같은 기존 인증의 감경률은 오히려 낮아졌다.
제재 수준을 매출액 비율에 묶고 기업의 평소 관리 상태를 반영하는 방식은 국내만의 흐름은 아니다. AI 생성물 출처 표시를 두고 EU가 매출 연동 제재를 설계한 방식과 같은 계열이다.
유출 통지와 CPO 신고에서 내가 해당하는지
이번 개정은 과징금만 손대지 않았다. 유출 사실이 확정되기 전이라도 객관적인 정황이 있으면 알리도록 하는 유출 가능성 통지제가 새로 생겼고, 랜섬웨어처럼 개인정보를 위조·변조·훼손한 사고도 신고·통지 대상에 포함됐다. 통지문에는 분쟁조정 신청과 손해배상 청구 방법까지 적어야 한다.
개인정보를 다루는 쪽이라면 아래 항목으로 자기 위치를 가늠할 수 있다.
- 개인정보처리시스템에 불법적인 접근이 있었음을 알게 됐는데 유출된 정보주체를 특정하기 어렵다면, 그 사실을 안 때부터 72시간 안에 통지해야 하는 경우에 해당한다.
- 처리 중인 개인정보가 불법 거래·유통되는 사실이 확인됐고 확인된 사람 외에도 유출 가능성이 높다면, 같은 72시간 규정이 적용된다.
- 연 매출액 또는 수입이 1,800억 원 이상이면서 개인정보 100만 명분 이상 또는 민감정보·고유식별정보 5만 명분 이상을 처리한다면, CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관도 같은 대상이다.
- 이미 CPO를 지정해 둔 신고 대상 기관은 시행일부터 6개월 안에 신고를 마쳐야 한다. 개인정보위는 2027년 12월 31일까지 계도기간을 두어 미지정·이사회 의결 누락에 대한 과태료를 유예한다.
개인정보 보호를 위탁받아 수행하는 수탁자에게도 CPO 관련 의무가 준용되므로, 직접 고객 개인정보를 모으지 않는 외주 업체라도 대상에서 자동으로 빠지지는 않는다.
정리하면
개인정보 유출 과징금의 상한은 2026년 9월 11일부터 원칙 3%, 특례 10%의 두 층으로 나뉜다. 10%는 반복 위반, 1,000만 명 이상 피해, 시정명령 불이행 중 하나에 해당할 때 열리고, 실제 부과율은 시행령의 8.91% 한도 안에서 정해진다. 사전 투자와 사고 후 대응으로 각각 최대 40%를 깎을 수 있는 대신 신고·통지를 미루면 최대 30%가 붙는다.
같은 규모의 유출이라도 평소 무엇을 기록해 뒀는지와 사고 직후 며칠을 어떻게 썼는지에 따라 결과가 달라지는 구조다. 다만 중요 개인정보처리자에 대한 ISMS-P 인증 의무화는 이번에 함께 시행되지 않고 2027년 7월 1일로 미뤄져 있어, 인증을 전제로 한 준비 일정은 아직 확정 구간이 아니다.
| 시점 | 무엇이 적용되나 |
|---|---|
| 2026년 9월 11일 | 개정 개인정보 보호법·시행령 시행. 과징금 특례, 가중·감경, 유출 가능성 통지제 |
| 2027년 3월 11일 | 기존 지정 CPO의 신고 기한 (시행일부터 6개월) |
| 2027년 7월 1일 | 중요 개인정보처리자의 ISMS-P 인증 의무화 |
| 2027년 12월 31일 | CPO 지정·신고 관련 과태료 계도기간 종료 |
기준: 개인정보보호위원회 2026년 9월 10일 보도자료 및 미디어 브리핑.
참고
- https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12459
- https://www.lawtimes.co.kr/news/articleView.html?idxno=226177
- https://www.bloter.net/news/articleView.html?idxno=673291
- https://www.boannews.com/news/articleView.html?idxno=145772