2026년 9월 11일부터 개인정보보호법 위반 과징금 상한이 매출액 3%에서 10%로 오른다. 적용 요건 세 가지와 40% 감경 기준, GDPR·EU AI Act와의 비교를 정리했다.
댓글은 익명으로 작성되며, 삭제 비밀번호를 설정하면 본인만 삭제할 수 있습니다. 비밀번호를 설정하지 않은 댓글은 누구나 삭제할 수 있습니다.
2026년 6월, 쿠팡은 3,750만 명 유출 건으로 과징금 6,247억 원을 부과받았다. 국내 개인정보 유출 제재 사상 최대 액수였다. 그런데 이 금액은 현행 상한인 매출액 3%를 기준으로 산정된 것이다. 9월 11일부터는 그 상한이 10%가 된다.
개인정보보호법 제64조의2는 과징금을 전체 매출액의 100분의 3 범위에서 매기도록 정해왔다. 다만 같은 조는 산정 단계에서 위반행위와 관련이 없는 매출액을 빼도록 하고 있어, 실무에서는 사고와 직결된 사업 부문 매출이 기준이 된다. 매출액이 없거나 산정이 곤란한 경우의 상한은 20억 원이다.
이 상한은 실제 부과액에 직접 영향을 준다. 위반의 정도와 기간, 피해 회복 노력, 조사 협조 정도를 따져 상한 아래에서 액수가 결정되기 때문이다.
문제는 이 구조에서 기업의 계산이 어느 쪽으로 기우느냐였다. 보호 조치에 드는 비용과 사고가 났을 때 물어낼 금액을 견줬을 때, 후자가 감당할 만하면 투자를 미루는 선택이 합리적으로 보인다. 이재명 대통령이 2026년 7월 16일 청와대 영빈관에서 "개인정보 보호 비용을 훨씬 초과하게 만들어야 실제로 개인정보 보호 활동을 할 것"이라고 말한 배경이 여기에 있다.
개정 개인정보보호법은 2026년 2월 12일 국회 본회의를 통과했다. 후속 시행령 개정안이 6월 1일부터 7월 13일까지 입법예고를 거쳤고, 9월 11일 함께 시행된다. 핵심은 상한을 3%에서 10%로 올린 것이지만, 모든 위반에 10%가 적용되는 것은 아니다. 징벌적 과징금에는 세 가지 방아쇠가 있다.
| 방아쇠 | 내용 |
|---|---|
| 반복 위반 | 고의 또는 중대한 과실로 3년 이내 반복 위반 |
| 대규모 피해 | 고의 또는 중대한 과실로 1천만 명 이상 정보주체에게 피해 |
| 시정명령 불이행 | 시정명령을 이행하지 않은 상태에서 유출 발생 |
매출액이 없거나 산정이 어려운 경우의 상한도 함께 올랐다. 현행법은 이 경우 20억 원을 넘지 않는 범위에서 부과하도록 정하고 있는데, 개정안은 이를 50억 원으로 높였다. 반대 방향의 장치도 있다. 영세·중소기업의 경미한 위반에 대해서는 과징금 면제 요건이 생겼다.
제재 대상은 유출 자체에만 머무르지 않는다. 유출 사실을 숨기거나 신고를 미루면 과징금이 가중된다. 조사 과정에서 자료를 내지 않거나 증거를 훼손하는 행위에는 별도 제재가 붙는다. 조사 비협조에 대응하는 이행강제금과 증거보전명령도 도입된다. 위법 행위를 알린 내부 신고자에게는 부과된 과징금의 일정 범위에서 포상금을 지급할 수 있는 법적 근거가 마련됐다.
상한 10%라는 숫자는 국제적으로 봐도 높은 편이다.
다만 상한이 높다는 것과 실제 부과액이 높다는 것은 다른 이야기다. GDPR도 4% 상한을 두고 있지만 실제 부과는 대부분 그보다 훨씬 낮은 수준에서 이뤄져 왔다. 한국의 10%도 세 가지 방아쇠에 걸리는 사안에 한정된다. 상한선이 올라갔다는 사실이 곧 모든 유출 사건의 과징금이 세 배가 된다는 뜻은 아니다.
개정안은 제재만 강화한 것이 아니라 감경 경로도 함께 뒀다. 개인정보 보호를 위한 예산·인력·설비·장치 투자 규모와 지속성을 인정받으면 과징금을 최대 40%까지 감경받을 수 있다.
단, 고의 또는 중대한 과실로 위반한 경우는 감경 대상에서 빠진다. 사고가 난 뒤 대응을 잘했다는 사정보다, 사고 전에 무엇을 해뒀는지를 보겠다는 설계다. 법정 의무를 넘어선 예방 투자를 한 기업에 감경을 적용한다는 방향도 같은 맥락이다.
책임 주체를 명확히 하는 조항도 들어갔다. 최고경영자와 개인정보보호책임자의 법적 책임이 명문화됐고, 유출 발생 시 기업의 손해배상 책임 원칙을 명시하면서 법정 손해배상 제도를 강화하는 내용이 함께 담겼다.
과징금은 국고로 들어간다. 유출 피해자가 직접 받는 돈이 아니다. 지금까지 개인정보 유출 사건에서 피해자가 체감할 보상이 부족하다는 지적이 반복돼온 이유다.
이번 개편에는 이 지점을 겨냥한 내용이 들어 있다. 징수된 과징금 수입을 국민의 피해 복구와 권리 구제에 쓸 수 있도록 통합기금을 마련한다는 것이다. 함께 강화되는 법정 손해배상 제도는 피해자가 구체적 손해액을 입증하기 어려운 상황에서 배상을 청구할 수 있는 통로에 해당한다.
사건 처리 속도에도 변화가 예고됐다. 100만 건 이상 유출 같은 중요 사건에는 전담조사단을 구성하고, 규모가 작은 사건은 신속 처리 절차를 적용한다.
당장 눈앞의 사례로는 KT 개인정보 유출 과징금 심의가 7월 29일 개인정보보호위원회 전체회의에 오른다. 이 건은 현행 3% 기준으로 심의된다. 9월 11일 이후 발생하는 사건부터 새 상한이 적용되므로, 두 제도의 경계가 어디에 그어지는지 확인할 수 있는 이른 사례가 된다.
상한이 3%에서 10%로 오르는 것이고, 실제 부과액이 자동으로 세 배가 되는 것은 아니다. 10% 상한은 고의·중과실에 의한 반복 위반, 1천만 명 이상 피해, 시정명령 불이행 후 유출이라는 세 가지 요건 중 하나에 해당할 때 적용된다.
과징금은 국고 수입이라 피해자에게 직접 지급되지 않는다. 다만 이번 개편에서 과징금 수입을 피해 복구와 권리 구제에 쓸 수 있도록 통합기금을 마련한다는 방향이 제시됐고, 법정 손해배상 제도도 함께 강화된다.
새 상한은 시행일 이후 사안에 적용된다. 7월 29일 심의가 예정된 KT 건처럼 그 전에 발생하고 처리되는 사건은 현행 3% 기준을 따른다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.