개인정보 유출 과징금 매출 10% — 그 돈은 나에게 오지 않는다
세 줄 요약
- 2026년 9월 11일부터 개정 「개인정보 보호법」이 시행됩니다. 국가법령정보센터 기준 법률 제21445호(2026. 3. 10. 일부개정)이며, 일부 조항은 2027년 7월 1일 시행으로 따로 잡혀 있습니다.
- 가장 크게 바뀌는 것은 과징금 상한입니다. 반복적이거나 중대한 침해행위에 대해 전체 매출액의 최대 10%까지 부과할 수 있게 됩니다. 종전 상한은 3%였습니다.
- 개인 입장에서는 "내 정보가 털렸을 때 회사가 물어야 할 값"이 커지는 변화입니다. 다만 과징금은 국고로 가는 제재이고, 개인 배상은 별개 절차라는 점을 혼동하면 안 됩니다.
1. 무엇이 언제 바뀌나
개정 「개인정보 보호법」은 2026년 2월 국회 본회의를 통과해 2026년 3월 10일 공포됐고, 6개월의 준비 기간을 거쳐 9월 11일 시행됩니다. 법률 번호와 시행일은 국가법령정보센터 「개인정보 보호법」 페이지에서 직접 확인할 수 있습니다. 목록에 [시행 2026. 9. 11.]과 [시행 2027. 7. 1.] 두 판본이 함께 떠 있는데, 같은 법률 제21445호가 조항별로 시행일을 나눠 둔 구조입니다.
후속 조치인 시행령 개정안은 개인정보보호위원회가 2026년 6월 1일부터 7월 13일까지 입법예고했습니다. 과징금 산정의 세부 기준은 법률이 아니라 이 시행령에 담기므로, 실제 적용 기준을 알려면 최종 공포된 시행령을 봐야 합니다. 현행 시행령 판본은 국가법령정보센터 「개인정보 보호법 시행령」에서 확인하시기 바랍니다.
2. 왜 지금인가 — 15년의 배경
「개인정보 보호법」은 2011년 제정됐습니다. 제정 당시부터 지금까지 반복된 비판은 하나였습니다. "유출 사고의 규모에 비해 제재가 가볍다"는 것입니다.
과징금 상한이 '전체 매출액의 3%'로 정해져 있어도, 실제 부과액은 위반과 관련된 매출을 기준으로 산정되거나 각종 감경을 거치면서 사고 규모에 비해 작아지는 경우가 많았습니다. 기업 입장에서 보안 투자 비용이 예상 과징금보다 크면 투자할 유인이 생기지 않는다는 지적이 오래 이어졌습니다.
2025년과 2026년에 걸쳐 통신·유통·플랫폼 분야에서 대규모 유출 사고가 잇따르면서 이 논의가 입법으로 이어졌습니다. 개인정보보호위원회는 2026년 7월에도 여러 건의 제재처분을 의결·공표했는데, 처분 내역은 개인정보보호위원회 보도자료 게시판에서 원문으로 확인할 수 있습니다. 이 사건들은 대부분 개정법 시행 전에 발생해 종전 3% 기준이 적용됐습니다. 과징금은 원칙적으로 사고 발생 시점의 법령을 따르기 때문입니다.
다시 말해 9월 11일은 "이제부터 발생하는 사고"의 기준선입니다.
3. 현행과 9월 11일 이후 비교
| 구분 | 2026년 9월 10일까지 | 2026년 9월 11일 이후 |
|---|---|---|
| 과징금 상한 | 전체 매출액의 3% | 반복·중대 침해 시 전체 매출액의 10% |
| 가중 요소 | 상대적으로 단순 | 반복성, 중대성, 피해 규모, 고의·중과실 종합 고려 |
| 사전 투자 인센티브 | 명시적 체계 미비 | 예방 투자·활동을 감경 사유로 반영(입법예고안 기준 감경 상한 40%) |
| 고의·중과실 | - | 입법예고안 기준, 감경 대상에서 제외 |
| 적용 기준 시점 | 원칙적으로 위반행위(사고) 발생 시점의 법령 | |
표에서 '입법예고안 기준'이라고 표시한 항목은 입법예고 단계의 안이라는 뜻입니다. 최종 공포된 시행령에서 수치가 달라졌을 수 있으므로, 실제 적용 시에는 반드시 공포본을 확인해야 합니다. 이 글에서 확정적으로 단언하지 않는 이유입니다.
4. 우리 회사도 해당되나
「개인정보 보호법」은 규모와 무관하게 개인정보를 처리하는 모든 사업자에게 적용됩니다. 다만 '전체 매출액 10%'라는 상한이 실제로 작동하는 국면은 제한적입니다.
| 유형 | 법 적용 | 10% 상한이 문제 될 가능성 |
|---|---|---|
| 대규모 회원 데이터를 다루는 플랫폼·통신·유통 | 적용 | 높음. 반복성·중대성 요건에 걸릴 여지가 큼 |
| 고객 DB를 보유한 중소 온라인 사업자 | 적용 | 중간. 규모보다 안전조치 이행 여부가 관건 |
| 직원 인사정보만 처리하는 소규모 사업장 | 적용 | 낮음. 다만 유출 통지·신고 의무는 동일하게 발생 |
| 공공기관 | 적용 | 과징금 체계가 민간과 다르므로 별도 확인 필요 |
| 개인정보를 위탁 처리받는 수탁사 | 적용 | 중간. 위탁자와 책임 배분이 쟁점이 됨 |
5. 과징금은 어떻게 정해지나
흔한 오해가 "유출되면 곧바로 매출의 10%"라는 것입니다. 그렇지 않습니다. 10%는 상한이고, 실제 금액은 단계를 거쳐 산정됩니다. 입법예고안에서 제시된 골격은 다음과 같습니다.
- 기준 금액 산정 — 전체 매출액을 출발점으로 삼되, 위반행위의 성격에 따라 기준을 정합니다.
- 가중 — 반복성(동일·유사 위반의 재발), 중대성(안전조치 의무의 핵심적 위반), 피해 규모(유출 규모와 정보의 민감도), 고의 또는 중대한 과실 여부를 반영합니다.
- 감경 — 사고 이전에 개인정보 보호를 위한 투자와 예방 활동을 충분히 수행한 경우 감경합니다. 입법예고안은 감경 상한을 40%로 두고, 고의·중과실인 경우에는 감경하지 않도록 했습니다.
- 확정 — 개인정보보호위원회 심의·의결로 처분이 확정됩니다.
⚠️ 오해하기 쉬운 점
과징금과 손해배상은 완전히 다른 절차입니다. 과징금은 국가가 사업자에게 부과하는 행정 제재이고, 그 돈이 피해자 개인에게 자동으로 배분되지 않습니다. 개인이 보상을 받으려면 손해배상 청구나 분쟁조정 같은 별도 절차를 밟아야 합니다. "회사가 수백억 과징금을 맞았으니 나도 뭔가 받겠지"라는 기대는 제도의 구조와 맞지 않습니다.
두 번째. '매출액 10%'는 전체 매출 기준이 곧바로 적용된다는 뜻이 아닙니다. 반복적이거나 중대한 침해라는 요건, 그리고 가중·감경 절차를 통과한 결과입니다.
세 번째. 9월 11일 이전에 발생한 사고에는 새 상한이 적용되지 않습니다. 과징금은 원칙적으로 사고 발생 시점의 법령을 따릅니다.
6. 유출 통지를 받았을 때 개인이 실제로 할 수 있는 것
- 통지 내용을 저장 — 문자·메일·홈페이지 공지 화면을 캡처해 보관합니다. 유출 항목(이름, 연락처, 주민등록번호, 결제정보 등)과 시점이 나중에 배상 청구의 근거가 됩니다.
- 유출 항목별로 대응 수위를 나눔 — 연락처만 유출된 경우와 주민등록번호·계좌정보가 포함된 경우는 위험도가 다릅니다. 후자라면 금융 계정 비밀번호 변경과 명의도용 방지 서비스 확인이 우선입니다.
- 같은 비밀번호를 쓴 다른 사이트를 정리 — 실제 2차 피해는 대부분 비밀번호 재사용에서 발생합니다.
- 침해 신고 — 개인정보 침해 사실은 개인정보침해신고센터(국번 없이 118)에 신고할 수 있습니다.
- 분쟁조정 신청 검토 — 소송 전에 개인정보 분쟁조정 절차를 이용할 수 있습니다. 관련 안내는 개인정보 포털에서 확인할 수 있습니다.
- 보이스피싱 경계 — 유출 사고 직후에는 "피해 보상 안내"를 사칭한 문자와 전화가 급증합니다. 링크 클릭과 앱 설치 요구는 응하지 마십시오.
7. 경계 사례
| 상황 | 새 기준 적용 | 설명 |
|---|---|---|
| 2026년 8월 발생한 유출이 10월에 적발 | 비적용 | 발생 시점 기준. 종전 3% 상한 |
| 2026년 9월 20일 발생 | 적용 | 시행일 이후 발생 |
| 2026년 8월 시작돼 10월까지 이어진 침해 | 사안별 판단 | 위반행위의 종료 시점 등을 따져야 함. 단정 불가 |
| 동일 기업의 두 번째 유사 유출 | 적용 시 가중 | '반복성'은 핵심 가중 요소 |
| 사고 전 보안 투자·점검 기록이 남아 있는 경우 | 적용 시 감경 가능 | 입법예고안 기준 감경 상한 40% |
| 수탁사 과실로 위탁자 데이터가 유출 | 적용 | 양측 책임 배분이 쟁점 |
8. 해외 제도와 비교
| 제도 | 과징금 상한 | 특징 |
|---|---|---|
| 한국 개정 개인정보 보호법(2026. 9. 11. 시행) | 전체 매출액의 최대 10% | 반복·중대 침해에 한정. 예방 투자 감경 도입 |
| EU 일반개인정보보호규정(GDPR) | 전 세계 연간 매출액의 4% 또는 2천만 유로 중 높은 금액 | 매출 기준과 정액 기준을 병기 |
상한 숫자만 보면 한국이 EU보다 높아 보이지만, 두 제도는 산정 방식과 적용 요건이 달라 단순 비교는 어렵습니다. GDPR은 정액 기준(2천만 유로)을 함께 두어 매출이 작은 사업자에게도 실효적인 제재가 가능하도록 설계된 반면, 개정 한국법은 반복·중대라는 요건을 통과한 경우에 한해 높은 상한을 적용하는 구조입니다.
9. 반대 측 논리
| 찬성 논거 | 반대·우려 논거 |
|---|---|
| 제재가 보호 비용보다 커야 투자 유인이 생긴다 | 매출 대비 이익률이 낮은 업종에서는 상한이 존립을 위협할 수 있다 |
| 대규모 유출의 사회적 비용이 과징금보다 크다 | 해킹 등 외부 공격 피해자인 기업까지 과도하게 제재한다는 지적 |
| 반복 위반 기업에 한정되므로 과잉이 아니다 | '반복'과 '중대'의 판단 기준이 불명확하면 예측 가능성이 떨어진다 |
| 예방 투자 감경으로 균형을 맞췄다 | 감경 인정 기준이 실무적으로 얼마나 폭넓게 적용될지 불확실하다 |
10. 자주 묻는 질문
Q1. 시행일이 정확히 언제인가요?
2026년 9월 11일입니다. 다만 같은 법률 안에서 2027년 7월 1일 시행으로 분리된 조항이 따로 있으므로, 특정 조문의 시행일은 국가법령정보센터에서 개별 확인이 필요합니다.
Q2. 우리 회사가 유출되면 무조건 매출의 10%인가요?
아닙니다. 10%는 상한이며, 반복성·중대성 요건을 충족하고 가중·감경을 거친 결과로 산정됩니다.
Q3. 개인이 과징금을 나눠 받나요?
받지 않습니다. 과징금은 행정 제재이고 개인 배상은 손해배상 청구나 분쟁조정이라는 별도 절차를 통해야 합니다.
Q4. 유출 통지를 못 받았는데 언론에서 우리 회사 이름을 봤습니다.
사업자에게는 유출 사실을 정보주체에게 통지할 의무가 있습니다. 통지를 받지 못했다면 해당 사업자에 직접 확인을 요청하고, 응답이 없으면 개인정보침해신고센터(118)에 상담할 수 있습니다.
Q5. 소규모 사업장도 대상인가요?
법 자체는 규모와 무관하게 적용됩니다. 다만 '전체 매출액 10%' 상한이 문제 되는 국면은 반복·중대 침해에 한정되므로, 소규모 사업장이 우선 챙길 것은 과징금보다 안전조치 이행과 유출 통지·신고 의무입니다.
Q6. 지금 무엇을 준비해야 하나요?
사업자라면 ① 보유 중인 개인정보 항목과 보관 위치를 다시 목록화하고 ② 접근권한과 암호화 등 안전조치 이행 상태를 점검하며 ③ 점검 기록과 보안 투자 내역을 문서로 남겨 두는 것이 실질적입니다. 세 번째 항목은 감경 판단에서 근거 자료가 될 수 있습니다.
11. 정리
이번 개정의 실제 무게는 '10%'라는 숫자가 아니라 시행령의 세부 기준에서 결정됩니다. 반복과 중대를 어떻게 정의하는지, 예방 투자 감경을 얼마나 실질적으로 인정하는지에 따라 같은 사고도 결과가 크게 달라집니다. 9월 11일 이후 공표되는 첫 제재 사례가 사실상의 기준선이 될 가능성이 큽니다.
출처
- 국가법령정보센터, 「개인정보 보호법」 (법률 제21445호, 2026. 3. 10. 일부개정 / 시행 2026. 9. 11.)
- 국가법령정보센터, 「개인정보 보호법 시행령」
- 개인정보보호위원회, 보도자료 게시판
- 개인정보 포털
- 개인정보침해신고센터 (국번 없이 118)
면책 안내. 이 글은 공개된 법령 정보와 정부 기관 공표 자료를 정리한 일반 정보이며, 특정 사안에 대한 법률 자문이 아닙니다. 과징금 산정 기준과 감경 요건은 최종 공포된 시행령을 기준으로 확인해야 하며, 이 글에서 '입법예고안 기준'으로 표기한 수치는 확정된 내용이 아닙니다. 개별 사건의 법적 대응은 반드시 변호사 등 전문가와 상의하시기 바랍니다. 작성 시점(2026년 8월 11일) 이후 제도가 변경될 수 있습니다.
8~10월 시행·마감 일정을 한 장에 모았습니다 → 시행·마감 캘린더
📌 함께 읽으면 좋은 글
※ 이 글은 정보 제공을 목적으로 하며 법률·세무·의료·투자 자문이 아닙니다. 제도는 시행 전후로 세부 기준이 바뀔 수 있으니 실제 신청·판단 전에는 관할 기관의 최신 공지를 확인하시기 바랍니다.
뉴스 해독실 소개 · 시행·마감 캘린더 · 정정 요청·문의
댓글
댓글 쓰기