반복·중대 개인정보 유출에 전체 매출 10% 과징금, 개정 개인정보보호법 9월 11일 시행

무슨 일인가

개인정보보호위원회(개인정보위)는 지난 3월 개정된 개인정보 보호법과 그 위임사항을 구체화한 시행령·고시가 2026년 9월 11일부터 시행된다고 9월 10일 밝혔다.¹ 개인정보위는 생활밀접 분야에서 대규모 개인정보 유출 사고가 잇따르며 국민 불안이 커진 상황에서 사전 예방과 피해 구제를 강화하기 위해 제도를 고쳤다고 설명했다.¹ 개정법의 핵심은 반복적이거나 고의·중과실로 인한 개인정보 유출에 전체 매출액의 10% 이내에서 징벌적 과징금을 부과할 수 있게 한 것이다.¹

자세히: 10% 과징금의 요건과 산정

전체 매출액의 최대 10% 과징금은 세 경우에 적용된다. 고의 또는 중과실로 3년 이내에 위반행위를 반복한 경우, 고의 또는 중과실로 1000만 명 이상의 대규모 피해를 낸 경우, 시정명령을 이행하지 않아 유출 사고가 발생한 경우다.²³ 개정 전 법은 유출 사고를 낸 기업에 전체 매출액의 3%를 넘지 않는 범위에서만 과징금을 부과할 수 있었고, 매출액이 없거나 산정이 어려우면 상한은 50억 원이었다.⁴ 중소기업 부담을 고려해 일반적인 과징금 상한은 기존 3%를 그대로 유지한다.⁵

모든 유출에 일률적으로 10%를 매기는 것은 아니다. 개인정보위는 위반 내용과 정도, 사고 경위, 정보주체 피해 규모를 고려해 기준금액을 정한 뒤 가중·감경을 거쳐 매출액의 10% 이내에서 과징금을 산정한다.⁶ 반복 위반 가중 비율은 기존 1회 15%, 2회 이상 30%에서 1회 20%, 2회 40%, 3회 이상 80%로 올라갔다.³ 법정 기한 안에 유출 신고·통지를 하지 않고 피해 확산 방지 조치도 하지 않으면 최대 30%가 가중된다.³

반대로 사고 전에 예산·인력·보안 설비에 투자한 기업은 과징금 기준금액의 최대 40%를 감경받을 수 있다. 투자 규모와 지속성, CEO·CPO 중심의 보호체계 수준이 평가 대상이다.³ 사고 대응 체계를 갖추고 조기 탐지와 신속한 신고·통지, 피해 확산 방지를 했다면 별도로 최대 40%를 감경한다.³ 다만 기존 감경 항목은 축소됐다. ISMS-P 인증 감경은 최대 50%에서 30%로, 자율규약 감경은 40%에서 20%로, 보호수준 평가 감경은 30%에서 15%로 낮아졌다.⁷ 과징금 기준이 되는 매출 범위에 관해 법무법인 지평의 최정규 변호사는 위반행위와 관련 없는 매출은 사업자가 직접 소명해 제외해야 한다고 설명했다.⁸

경영진 책임과 유출 가능성 통지

개정법은 사업주·대표자(CEO)가 개인정보 보호의 최종 책임자임을 명시했다.¹ 개인정보 보호책임자(CPO)에게는 전문인력 관리와 예산 확보 권한을 주고 이사회 보고 의무를 부여했다.¹ 연 매출 또는 수입이 1800억 원을 넘으면서 100만 명 이상의 개인정보나 5만 명 이상의 민감·고유식별정보를 처리하는 사업자, 재학생 2만 명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관은 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다.⁹ 신고 기한은 사유 발생일부터 6개월이고, 2027년 12월 31일까지 계도기간을 둔다.⁷

유출이 최종 확인되지 않아도 객관적 정황상 유출 가능성이 높다고 합리적으로 판단되면 이를 안 때부터 72시간 안에 정보주체에게 알려야 하는 유출 가능성 통지제도 새로 생겼다.² 통지에는 분쟁조정 신청과 손해배상 청구 방법을 포함해야 하고, 랜섬웨어 등에 의한 개인정보 위조·변조·훼손도 신고·통지 대상에 들어갔다.¹ 공공·민간 중요 개인정보처리자의 ISMS-P 인증 의무화는 준비 기간을 고려해 2027년 7월 1일부터 따로 시행된다.¹

맥락: 통신사·플랫폼 연쇄 유출이 끌어올린 제재 수위

이번 개정은 대형 유출 사고가 이어진 뒤 추진됐다. 개인정보위는 2025년 12월 12일 대통령 업무보고에서 쿠팡 등 유통 분야와 SK텔레콤, KT 등 통신 분야의 대규모 유출 사고를 배경으로 들어 과징금 상한을 매출액 3%에서 최대 10%로 올리는 특례 신설을 발표했다.⁵ 개정안은 2026년 2월 12일 국회 본회의에서 재석 158명 전원 찬성으로 통과됐고, 3월 10일 공포됐다.⁴¹⁰

제재 수준은 법 개정 이전에도 빠르게 높아졌다. 개인정보위는 2025년 8월 28일 가입자 2324만여 명의 유심 정보 등이 유출된 SK텔레콤에 과징금 1347억9100만 원을 부과했는데, 당시 유출 사건 과징금 종전 최대였던 카카오의 151억 원을 크게 넘는 금액이었다.¹¹ 2026년 6월에는 회원 3322만여 명의 정보가 유출된 쿠팡에 역대 최대인 6246억8100만 원의 과징금을 부과했다.¹² 7월 30일에는 분실 펨토셀 인증서 복제로 1만6647명의 정보가 유출되고 소액결제 피해까지 난 KT에 539억7900만 원을 부과했고, 증거 은폐 혐의로 KT를 고발했으며 LG유플러스는 조사 전 서버를 폐기해 공무집행방해로 수사 의뢰하기로 했다.¹³ 송경희 개인정보위 위원장은 KT 처분이 통신 업계 전반의 보안 역량을 강화하는 계기가 돼야 한다고 말했다.¹³

송 위원장은 개정법 시행에 대해 사전예방 중심의 보호 체계가 확립되기를 기대하며, 개인정보 보호 투자가 비용이 아닌 고객 신뢰와 기업 이익을 위한 선제적 투자로 인식되기를 바란다고 밝혔다.²

남은 물음

새 과징금 규정은 시행 이후 위반에만 적용된다. 송 위원장은 2025년 12월 쿠팡 사건에 대한 징벌적 과징금 소급 적용 여부를 묻는 질문에 "법 개정 이전 사건에 적용하기는 어렵다"고 답했다.¹⁴ 따라서 SK텔레콤·쿠팡·KT 처분은 모두 기존 3% 기준 체계에서 이뤄졌으며, 10% 상한이 실제 사건에 처음 적용되는 시점과 금액은 아직 알 수 없다. SK텔레콤은 2026년 1월 과징금 취소 행정소송을 냈고, 쿠팡도 소송 가능성을 거론한 상태여서 기존 기준 과징금의 사법적 판단도 남아 있다.¹²¹⁵

참고한 곳

1. 개인정보보호위원회, 개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행 - https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12459 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

2. 대한민국 정책브리핑, 개인정보 반복·대규모 유출시 '매출액 10%' 내 징벌적 과징금 - https://www.korea.kr/news/policyNewsView.do?newsId=148971656 ↩ ↩² ↩³

3. 서울경제, 개인정보 반복 유출땐 매출 10% 과징금…11일부터 시행 - https://www.sedaily.com/article/20089468 ↩ ↩² ↩³ ↩⁴ ↩⁵

4. 보안뉴스, 개인정보 유출 과징금, 전체 매출 10%까지 부과... 개정안 국회 본회의 통과 - http://www.boannews.com/news/articleView.html?idxno=142162 ↩ ↩²

5. 보안뉴스, 개인정보위, 중대위반 시 '매출 최대 10%' 징벌적과징금 추진 - http://www.boannews.com/news/articleView.html?idxno=140909 ↩ ↩²

6. 데일리안, 반복·중대 개인정보 유출 땐 매출 10% 과징금…11일부터 개보법 강화 - https://www.dailian.co.kr/news/view/1688680 ↩

7. 파이낸셜뉴스(연합뉴스), 개인정보 반복·대규모 유출시 '매출 10%' 징벌적과징금 시행 - https://www.fnnews.com/news/202609101102058892 ↩ ↩²

8. 법률신문, 개인정보 반복 위반 땐 매출 10% 과징금, 이사회 보고도 의무화 - https://www.lawtimes.co.kr/news/articleView.html?idxno=225888 ↩

9. 데일리안, 반복·중대 개인정보 유출 땐 매출 10% 과징금…11일부터 개보법 강화 - https://www.dailian.co.kr/news/view/1688680 ↩

10. 뉴시스, 개인정보 유출되면 최대 매출 10% 과징금…개정法 9월 시행 - https://www.newsis.com/view/NISX20260309_0003540588 ↩

11. 머니투데이, 2324만명 개인정보 유출 SKT…과징금 1348억 '역대 최대' - https://www.mt.co.kr/tech/2025/08/28/2025082808104349505 ↩

12. 아이뉴스24, '대규모 개인정보 유출' 쿠팡, 과징금 6247억 철퇴⋯"법과 원칙 따라 처분" [일문일답] - https://www.inews24.com/view/1975724 ↩ ↩²

13. 머니투데이, 개인정보위, 1만6647명 개인정보 유출 KT에 과징금 540억 - https://www.mt.co.kr/tech/2026/07/30/2026073007400264953 ↩ ↩²

14. 뉴시스, 개인정보위 "쿠팡에 징벌적 과징금 소급적용 어렵다"[일문일답] - https://www.newsis.com/view/NISX20251212_0003438972 ↩

15. 지이코노미, SKT, 1348억 과징금 '못내'…개인정보위 상대 행정소송 - https://www.geconomy.co.kr/mobile/article.html?no=314298 ↩