개인정보 유출 과징금 최대 매출 10%…모든 사고에 적용되나

9월 11, 2026 윤지연 기자

개정 개인정보보호법 9월 11일 시행…반복·중대 침해 제재 강화

전체 매출액 10%는 ‘최대 상한’…모든 개인정보 유출에 자동 적용 아냐

보안 예산·인력·설비 등 사전투자 감경…고의·중과실이면 적용 제외

개인정보를 대규모로 유출한 기업에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 한 개정 개인정보보호법이 9월 11일부터 시행됐다. 기존 최대 3%였던 과징금 상한이 일부 중대한 위반행위에 대해 크게 높아지면서 개인정보 유출 사고를 낸 기업의 부담도 커질 전망이다.

그러나 앞으로 개인정보가 유출되기만 하면 기업 매출액의 10%를 곧바로 과징금으로 내야 하는 것은 아니다. 최대 10% 과징금은 반복적인 위반이나 고의·중대한 과실에 따른 대규모 피해, 시정명령 불이행 뒤 개인정보 유출 등 법에서 정한 중대한 사유에 해당할 때 적용할 수 있는 상한이다.

개정법은 제재만 강화한 것도 아니다. 사고가 발생하기 전에 기업이 개인정보 보호를 위해 예산과 인력, 설비 등에 투자했다면 과징금을 의무적으로 감경할 수 있도록 했다. 다만 고의 또는 중대한 과실로 위반행위를 한 경우에는 이런 예방투자에 따른 감경을 받을 수 없다.

매출 10% 과징금, 모든 사고에 적용되는 것은 아니다

이번 개정에서 가장 주목받는 부분은 전체 매출액의 최대 10%까지 부과할 수 있는 이른바 징벌적 과징금이다.

기존 개인정보보호법에서는 위반행위에 대해 전체 매출액의 3% 이하에서 과징금을 부과할 수 있었다. 개정법은 반복적이거나 피해 규모가 매우 큰 개인정보 침해에 대해 기존 수준보다 강한 제재가 필요하다고 보고 최대 상한을 10%까지 높이는 특례를 마련했다.

다만 10%는 기본 과징금률이 아니라 법률상 최대 한도다.

실제 과징금은 위반행위의 내용과 정도, 개인정보의 유형, 피해 규모, 기업의 보호 노력과 사고 이후 조치 등 여러 요소를 고려해 산정된다. 국가법령정보센터에 공개된 개정법에서도 개인정보처리자의 업무 형태와 규모, 처리하는 개인정보의 유형, 정보주체에게 미친 영향, 피해 규모, 개인정보 보호 노력 등을 과징금 산정 요소로 규정하고 있다.

따라서 ‘개인정보 유출=매출 10% 과징금’이라는 등식으로 이해하면 실제 제도와 차이가 있다.

첫 번째 기준은 ‘3년 안에 반복된 중대한 위반’

개인정보보호위원회가 공개한 개정법 설명에 따르면 강화된 과징금 적용을 검토할 수 있는 대표적인 경우 가운데 하나는 최근 3년 동안 고의 또는 중대한 과실로 개인정보보호법 위반행위를 반복한 경우다.

핵심은 단순히 과거에 개인정보 사고가 있었다는 사실만이 아니다.

같은 기업이 반복적으로 위반행위를 하고 그 과정에 고의나 중대한 과실이 인정되는지가 중요하다. 이전 사고를 경험하고도 충분한 보호조치를 하지 않아 다시 중대한 침해가 발생했다면 기업의 관리책임을 더 무겁게 볼 수 있다는 취지다.

이는 개인정보 유출을 일회성 사고로만 처리하지 않고 기업의 반복적인 관리 실패까지 제재의 대상으로 삼겠다는 의미다.

과거 사고 이후 개인정보 처리 시스템을 어떻게 개선했는지, 동일한 취약점이 다시 발생했는지, 보호조치 의무를 제대로 이행했는지가 향후 과징금 판단에서 더욱 중요해질 수 있다.

1000만명 이상 피해에도 ‘고의·중과실’ 조건

두 번째는 대규모 피해다.

개인정보보호위원회는 고의 또는 중대한 과실로 1000만명 이상의 피해를 초래한 경우를 강화된 과징금 적용대상으로 제시했다.

여기서도 ‘1000만명’이라는 피해 규모만으로 최대 10% 과징금이 자동 적용되는 것은 아니다.

고의 또는 중대한 과실이라는 책임 정도가 함께 판단된다. 기업이 합리적으로 예상하기 어려운 공격을 당했는지, 아니면 기본적인 보호조치를 하지 않거나 알려진 취약점을 장기간 방치했는지에 따라 책임의 정도가 달라질 수 있다.

개인정보의 민감성도 중요하다.

단순한 연락처와 건강정보, 금융정보, 생체정보가 유출됐을 때 정보주체가 입을 수 있는 피해는 서로 다르다. 개정법이 과징금 산정과정에서 처리하는 개인정보의 유형과 정보주체에게 미치는 영향을 함께 고려하도록 한 것도 이 때문이다.

시정명령 무시한 뒤 유출되면 책임 더 무거워질 수 있어

세 번째 주요 대상은 개인정보보호위원회의 시정명령을 이행하지 않은 상태에서 개인정보 유출 등의 사고가 발생한 경우다.

감독기관이 이미 개인정보 처리방식에 문제가 있다고 판단해 개선을 요구했는데도 이를 이행하지 않고 사고가 발생했다면 일반적인 사고와 책임의 성격이 다르다는 판단이다.

기업 입장에서는 개인정보위의 조사나 시정명령 이후 후속조치가 더욱 중요해진다.

기존에는 과징금이나 시정명령을 개별적인 행정처분으로 인식할 수 있었지만 앞으로는 과거의 개선 요구를 이행하지 않은 사실이 이후 사고에서 더 높은 제재로 연결될 수 있다.

개인정보 사고가 발생한 뒤 일시적으로 보안을 강화하는 것보다 감독기관의 시정 요구를 지속적으로 이행하는 관리체계가 필요하다는 의미다.

보안투자 많이 하면 과징금 줄어드나

개정법에서 징벌적 과징금과 함께 주목해야 하는 부분은 개인정보 보호를 위한 ‘사전예방 투자’다.

개정 개인정보보호법은 개인정보 보호를 위해 예산과 인력, 설비, 장치 등을 투자하고 운영한 경우 과징금을 감경하도록 했다. 기업이 사고가 발생하기 전에 개인정보 보호에 실제로 투자하도록 유도하기 위한 장치다.

단순히 보안제품을 구매했다는 이유만으로 모든 투자가 같은 수준의 감경을 보장하는 것은 아니다.

어떤 예산과 인력이 개인정보 보호에 사용됐는지, 해당 투자가 사고 예방과 실제로 연결됐는지 등을 과징금 산정 과정에서 확인할 가능성이 크다.

기업 입장에서는 개인정보 보호비용이 단순한 비용항목을 넘어 법적 위험을 줄이는 투자로 기능하게 되는 셈이다.

보안 전담인력을 확보하거나 오래된 시스템을 교체하고 접근통제·암호화·침입탐지 체계를 강화하는 등 실제 보호 수준을 높이는 활동의 중요성이 커질 수 있다.

고의·중과실이면 예방투자 감경 못 받는다

다만 기업이 개인정보 보호에 돈을 썼다는 이유로 중대한 잘못까지 감경받을 수 있는 것은 아니다.

법은 개인정보처리자가 고의 또는 중대한 과실로 위반행위를 한 경우 예방투자에 따른 과징금 감경 대상에서 제외한다고 명시하고 있다.

이 조항은 기업이 일정 규모의 보안예산만 확보하면 사고 책임을 줄일 수 있다는 도덕적 해이를 막기 위한 장치로 볼 수 있다.

예를 들어 개인정보 보호 예산을 편성했더라도 이미 알려진 중대한 취약점을 장기간 방치하거나 필수적인 보호조치를 의도적으로 하지 않았다면 단순한 투자실적만으로 감경을 요구하기 어려울 수 있다.

결국 기업이 입증해야 하는 것은 ‘얼마를 썼는가’보다 ‘실제로 어떤 보호체계를 운영했는가’에 가깝다.

과징금 산정의 기준 매출도 강화

개인정보 과징금 제도는 올해 이미 한 차례 산정방식이 강화됐다.

정부는 지난 5월 개인정보보호법 시행령을 개정하면서 과징금 산정기준이 되는 매출액을 계산할 때 ‘위반행위가 있었던 사업연도 직전 사업연도 매출액’과 ‘직전 3개 사업연도 평균 매출액’ 가운데 더 큰 금액을 적용하도록 했다.

매출이 빠르게 증가하는 기업이 과거 3년 평균을 이용해 상대적으로 낮은 과징금 기준을 적용받는 문제를 보완하려는 조치다.

또 매우 중대한 위반행위에는 과징금 감경 기준의 전부 또는 일부를 적용하지 않을 수 있도록 근거도 마련했다.

9월 11일부터 시행되는 징벌적 과징금 제도까지 더해지면서 대규모 개인정보를 처리하는 기업이 부담하는 규제 위험은 이전보다 커졌다.

과징금보다 중요한 변화는 ‘사고 전 책임’

이번 개인정보보호법 개정은 사고가 발생한 기업에 높은 과징금을 부과하는 데만 초점을 맞춘 것은 아니다.

기업 대표자의 개인정보 보호에 대한 최종책임을 명확히 하고 개인정보 보호책임자, CPO의 권한을 강화했다. CPO가 전문인력과 예산을 확보하고 개인정보 보호 업무를 실질적으로 수행할 수 있도록 이사회 보고 등 관리체계도 강화됐다.

개인정보 유출 가능성을 알게 된 단계에서도 정보주체에게 이를 통지하도록 하는 제도도 도입됐다.

기존에는 실제 개인정보가 유출됐다는 사실이 확인된 뒤 통지가 이뤄지는 경우가 많았지만, 개정법은 일정한 경우 유출 가능성을 알게 된 단계에서도 정보주체에게 알리도록 했다. 랜섬웨어 등에 따른 개인정보 위조·변조·훼손도 통지와 신고 대상에 포함됐다.

제도의 방향이 사고 이후 처벌에서 사고 이전 예방과 조기대응까지 확대된 것이다.

‘최대 10%’보다 기업이 봐야 할 세 가지

기업이 이번 개정법에서 주목해야 할 것은 단순히 과징금 상한이 3%에서 10%로 높아졌다는 사실만이 아니다.

첫째, 과거에 발생한 개인정보 침해와 그 이후 개선조치가 중요해졌다. 최근 3년 동안 중대한 위반을 반복하면 강화된 과징금 적용 가능성이 커진다.

둘째, 사고 발생 전 개인정보 보호에 실제로 얼마나 투자했는지가 과징금 판단에 반영된다. 예산과 인력, 시스템을 사전에 갖추는 것이 법적 위험관리와 직접 연결된다.

셋째, 감독기관의 시정명령을 받은 경우 이를 실제로 이행했는지가 중요하다. 개선 요구를 방치한 뒤 다시 사고가 발생하면 더 무거운 책임으로 이어질 수 있다.

반대로 개인정보가 일부 유출됐다는 이유만으로 모든 기업에 전체 매출액의 10%를 부과하는 제도는 아니다.

개인정보 유출의 비용, 사고 이후가 아니라 이전에 결정된다

9월 11일부터 시행되는 새 과징금 제도는 개인정보 보호의 책임을 사고 이후 대응에서 사전 예방으로 옮기는 성격이 강하다.

반복적이고 중대한 개인정보 침해에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있지만 기업이 사고 전에 개인정보 보호에 충분한 예산과 인력, 설비를 투입했다면 그 노력도 평가하도록 했다. 다만 고의 또는 중대한 과실이 인정되는 경우에는 이러한 감경을 받을 수 없다.

기업 입장에서 가장 위험한 상황은 개인정보가 한 번 유출됐다는 사실 자체만이 아닐 수 있다.

이미 사고나 감독기관의 지적을 통해 위험을 알았는데도 개선하지 않았거나 대규모 개인정보를 처리하면서 기본적인 보호조치를 소홀히 한 경우 책임이 훨씬 커질 수 있다.

결국 ‘매출액 10%’라는 숫자의 목적도 모든 개인정보 사고에 동일한 처벌을 하는 데 있지 않다. 반복적이고 중대한 관리 실패에는 강력한 책임을 묻고, 실제 예방투자를 한 기업에는 이를 과징금 산정에 반영함으로써 개인정보 보호를 경영의 일상적인 비용으로 만들려는 데 있다.

개인정보 유출 사고의 비용은 사고가 터진 뒤 대응 과정에서만 결정되는 것이 아니다. 기업이 사고 이전에 개인정보 보호에 얼마만큼의 인력과 예산, 관리책임을 투입했는지가 앞으로는 더욱 중요한 기준이 된다.