[2026-09-11] 개인정보 유출 과징금 매출액 10%, 11일부터 시행된 것의 실제 의미

개정 개인정보 보호법과 시행령·고시가 2026년 9월 11일부터 시행됐습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 개인정보보호위원회는 전날인 9월 10일 서울 종로구 정부서울청사에서 브리핑을 열고, 반복적이거나 고의·중과실로 대규모 개인정보 유출을 일으킨 사업자에게 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 특례가 시행된다고 밝혔습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 유출 사고가 재발한 경우 등이 해당됩니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10)

동시에 개인정보 보호책임자(CPO)의 지정·변경·해제에 이사회 의결을 거치도록 하는 의무가 신설됐고, 유출 사실이 최종 확인되기 전이라도 유출 가능성이 높다고 판단되면 72시간 이내 정보주체에게 통지해야 하는 ‘유출 가능성 통지제’도 함께 도입됐습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 이 세 가지 변화를 놓고 전문가들과 함께 살펴봤습니다.

매출액 10%, 숫자로 보면 어느 정도인가

사회자: 오늘 시행된 것 중 가장 눈에 띄는 건 과징금 상한을 ‘매출액의 10%’로 못박았다는 점입니다. 기존에는 위반 행위별로 정액 과징금을 매기는 구조였는데, 이번에는 기업 전체 매출액을 기준으로 비율을 매기는 방식으로 바뀐 겁니다. 숫자만 보면 상당히 강해 보이는데, 실제로 모든 위반 사안에 무한정 적용되는 건 아니고 특정 조건을 충족해야 한다고 들었습니다. 어떤 경우에 이 특례가 작동하는지, 실제 구조부터 확인해 보고 싶습니다.

전문가 A: 맞습니다. 개인정보위 발표를 보면 이건 ‘특례’ 조항이라, 아무 위반에나 적용되는 게 아니라 세 가지 요건 중 하나에 해당할 때만 적용됩니다. 고의·중과실로 3년 이내 반복 위반을 하거나, 1000만 명 이상 대규모 피해를 냈거나, 시정명령을 이행하지 않아 유출이 재발한 경우입니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 즉 처음 적발된 경미한 유출에 바로 매출액 10%가 나오는 구조는 아니라는 뜻이죠.

사회자: 그럼 이 10%라는 숫자가 국제적으로 얼마나 강한 수준인지 비교가 필요할 것 같은데요. 해외에도 비슷한 매출액 기반 과징금 제도가 있다면, 한국의 이번 조치가 유독 강한 건지 아니면 국제 기준에 맞춰가는 수준인지 판단하는 데 도움이 될 것 같습니다. 특히 유럽의 개인정보보호 규정은 이미 오래전부터 시행돼 온 만큼 비교 기준으로 삼기에 적절해 보이고, 산정 기준이 어떻게 다른지도 궁금합니다.

전문가 B: 유럽 GDPR과 비교하면 흥미롭습니다. GDPR 제83조는 가장 중대한 위반(동의 요건, 정보주체 권리 침해 등)에 대해 최대 2000만 유로 또는 전 세계 연간 매출액의 4% 중 더 큰 금액을 부과하도록 규정합니다. (참고: [https://gdpr-info.eu/art-83-gdpr/], GDPR 제83조) 이번에 시행된 한국의 매출액 10% 상한은 숫자만 놓고 보면 GDPR의 4%보다 두 배 이상 높습니다. 그런데 GDPR은 ‘전 세계 매출액’을 기준으로 하는 반면 한국 조항의 매출액 산정 범위는 개인정보위 브리핑에서 구체적으로 명시되지 않았기 때문에, 국내 매출만 기준인지 전 세계 매출까지 포함하는지는 향후 시행 사례를 봐야 확인될 부분입니다.

사회자: 감경 제도도 같이 생겼다고 들었는데, 이건 기업 입장에서 얼마나 실질적인 안전판이 될까요? 처벌 조항만 강화되고 감경 여지가 없다면 기업들이 사전 투자보다 사고 은폐나 회피에 집중할 수 있다는 우려가 있는데, 실제로 감경 폭이 의미 있는 수준인지, 또 어떤 조건에서 적용되는지, 영세기업에는 별도 배려가 있는지도 궁금합니다. 감경과 면제가 실무에서 어떻게 갈리는지도 궁금합니다.

전문가 A: 두 단계로 감경이 가능합니다. 사전에 개인정보 보호를 위해 적극 투자한 경우 과징금 부과 기준금액의 최대 40%까지 감경할 수 있고, 위반행위의 구체적 내용과 피해 규모, 영향 등을 고려해 추가로 최대 50%까지 더 깎을 수 있습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 단 이 두 감경이 정확히 어떤 산식으로 결합 적용되는지는 이번 브리핑에서 구체적으로 밝히지 않았기 때문에, 실제 최종 감경 폭은 사안별 시행 사례가 나와야 확인될 부분입니다. 영세·중소기업은 경미한 위반을 기술지원받아 시정하면 아예 과징금을 면제받을 수 있는 조항도 새로 생겼습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10)

CPO 이사회 의결, 왜 이렇게까지 하나

사회자: 개인정보 보호책임자, CPO를 지정할 때 이사회 의결을 거치라는 조항도 새로 생겼습니다. 사실 CPO 선임이야 회사 내부 인사인데, 왜 이사회까지 끌어들이는 걸까요? 매출액 10% 과징금처럼 이번 개정은 처벌 조항만 강화된 게 아니라 CPO의 위상과 책임 체계까지 건드리는 걸 보면, 이 부분이 왜 함께 개정됐는지 궁금합니다. 사고 후에야 보고받는 CPO와 평소부터 이사회에 직접 보고하는 CPO의 차이가 실제 현장에서 얼마나 클지도 함께 짚어보면 좋겠습니다.

전문가 B: CPO의 권한과 독립성을 키우려는 목적입니다. 지금까지는 CPO가 사실상 정보보안팀장 정도의 위상에 머무는 경우가 많았는데, 이사회 의결을 거치게 하면 CPO 지정 자체가 경영진의 공식 책임 사안이 됩니다. 신고 대상이 되는 사업자는 법 시행 이후 CPO를 지정·변경·해제할 때 이사회 의결을 거치고, 신고 사유 발생일로부터 6개월 이내 개인정보위에 신고해야 합니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 법 시행 이전에 이미 지정된 CPO는 별도 이사회 의결 없이도 법 시행일부터 6개월 이내 신고만 하면 됩니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10)

사회자: 그럼 기업들이 당장 이사회부터 열어야 하는 건가요? 준비가 안 된 곳들도 있을 텐데요. 특히 CPO 체계가 아직 자리잡지 않은 중소·중견기업 입장에서는 이사회 의결이라는 절차 자체가 생소하고 부담스러울 수 있어서, 법 시행일과 동시에 의무가 발생하는지 아니면 준비할 시간적 여유가 주어지는지, 그리고 이미 CPO를 지정해 둔 기업은 어떻게 되는지부터 확인이 필요해 보입니다. 지정 자체가 단순 절차가 아니라 이사회 의결이라는 경영진 책임 사안으로 올라간다는 점도 실무적으로는 새롭게 느껴질 부분입니다.

전문가 A: 그 부분은 개인정보위도 감안한 것 같습니다. 신규 CPO 제도 도입에 따른 대상기관의 부담을 줄이기 위해 2027년 12월 31일까지 계도기간을 운영하기로 했습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 다만 계도기간이라고 해서 의무 자체가 사라지는 건 아니고, 처벌을 유예하며 정착을 돕겠다는 취지입니다. 오히려 ‘유예 기간이 있으니 나중에 하면 된다’고 미루다가 계도기간이 끝나는 시점에 몰아서 대응하려는 기업이 더 위험할 수 있습니다.

유출 가능성 72시간 통지, 기준이 모호하지 않나

사회자: 세 번째 변화인 ‘유출 가능성 통지제’는 유출이 확정되기도 전에 통지하라는 건데, 이건 기업 입장에서 판단 기준이 애매할 수 있을 것 같은데요. 유출이 확정되기 전에 미리 알리라는 건 그만큼 이용자 보호에 유리하지만, 반대로 자칫하면 많은 기업들이 불필요한 통지를 남발하는 상황이 생길 수도 있을 텐데, 이 경계선을 어떻게 설정했는지가 궁금합니다. 특히 IT 업계처럼 시스템 로그가 복잡한 기업일수록 이 판단을 누가 내릴지가 더 예민한 문제가 될 것 같습니다.

전문가 B: 그 우려는 타당합니다. 다만 개인정보위가 제시한 기준은 ‘막연한 가능성’이 아니라 ‘객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우’입니다. 불법적인 시스템 접근이나 개인정보 불법 거래 등 구체적 정황이 있어야 하고, 단순히 보안 취약점이 발견됐다는 이유만으로 통지 의무가 발생하지는 않습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 해당 사실을 인지한 시점부터 72시간 이내 이용자에게 알려야 한다는 시한이 명시된 게 핵심입니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10)

사회자: 결국 이 판단을 누가 내리느냐가 관건이겠네요. 여기서 CPO 권한 강화 조항이랑 연결이 되는 것 같습니다. 현장 실무자가 애매한 상황에서 독단으로 통지 여부를 결정해야 한다면 부담이 클 텐데, 이 결정 권한이 조직 내에서 어디에 있는지가 실제 대응 속도를 좌우할 것 같습니다. 매출액 10% 과징금이라는 큰 리스크가 걸려 있는 만큼, 통지 여부 판단을 누가 최종적으로 책임지고 내리는지가 기업의 실제 대응 체계를 가르는 핵심 변수로 보입니다.

전문가 A: 정확히 그 지점이 이번 개정의 핵심 설계입니다. CPO의 직무 권한과 독립성이 강화되지 않은 상태에서 72시간 통지 의무만 얹으면, 실무진이 ‘유출 가능성이 높다’는 판단을 내리기 어려워집니다. 반대로 CPO가 이사회 직속으로 권한을 갖게 되면, 애매한 상황에서도 신속하게 통지 여부를 결정할 근거가 생기는 거죠. 세 가지 변화가 따로 움직이는 게 아니라 서로 맞물려 있다고 보는 게 맞습니다.

기업에는 어떤 변화가 생기나

대기업과 플랫폼 사업자에게는 이번 개정이 가장 직접적인 비용 압박으로 작동할 가능성이 큽니다. 매출액 10% 과징금 리스크가 실재하는 이상, 정보보안 투자를 비용이 아니라 리스크 관리 예산으로 재분류하는 기업이 늘어날 전망입니다. 40% 사전투자 감경과 50% 추가 감경이 맞물려 있기 때문에, 사고가 나기 전에 얼마나 투자했는지가 실제 과징금 규모를 가르는 변수가 됩니다. 반대로 영세·중소기업은 기술지원을 받아 경미한 위반을 시정하면 과징금 자체를 면제받을 수 있는 길이 새로 열렸다는 점에서, 대기업과 중소기업에 미치는 실질적 부담의 방향이 다르게 나타날 것으로 보입니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10)

다만 여기서 논쟁의 여지가 남습니다. 매출액 10%라는 상한이 실제로 얼마나 자주, 얼마나 높은 비율로 적용될지는 이번 브리핑에 구체적으로 나오지 않았습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 이번 조항이 상징적 경고 수준에 머물지 실제로 대규모 과징금이 부과되는 선례가 나올지는 첫 집행 사례가 나와야 판가름날 문제입니다. 현장에서는 ‘기준이 구체화됐다’는 평가와 ‘여전히 재량 범위가 넓다’는 평가가 동시에 나올 수 있는 지점입니다.

소비자에게는 어떤 변화가 생기나

일반 이용자 입장에서 가장 체감할 수 있는 변화는 ‘유출 가능성 통지제’입니다. 지금까지는 유출이 최종 확인된 뒤에야 통지를 받았다면, 앞으로는 객관적 정황상 유출 가능성이 높다고 판단되는 시점부터 72시간 이내 통지를 받을 수 있습니다. (참고: [https://www.korea.kr/news/policyNewsView.do?newsId=148971656], 2026-09-10) 이는 이용자가 비밀번호 변경이나 카드 정지 같은 대응 조치를 더 빨리 취할 수 있다는 뜻입니다. 다만 통지 시점이 앞당겨진 만큼, 실제로는 유출이 아니었던 사안까지 통지받는 ‘허위 경보’ 성격의 통지도 늘어날 가능성이 있어 이용자 입장에서는 통지를 받았을 때 과도하게 불안해하기보다 안내된 조치를 침착하게 따르는 태도가 필요합니다.

사회자: 오늘 살펴본 세 가지 변화, 매출액 10% 과징금과 CPO 이사회 의결, 72시간 통지제는 결국 ‘사고 이후 처벌’에서 ‘사고 이전 예방과 신속 대응’으로 무게중심을 옮기려는 시도로 읽힙니다. 다만 매출액 산정 기준이나 실제 집행 강도처럼 아직 구체화되지 않은 부분들이 남아 있어, 첫 집행 사례가 나오기 전까지는 기업들도 정확한 리스크 규모를 가늠하기 어려운 상황입니다. 지금 먼저 움직여야 할 쪽은 이미 대규모 개인정보를 다루면서도 CPO 체계를 정비하지 않은 중견 플랫폼 기업들입니다. 계도기간이 끝나는 2027년 말까지 시간이 있다고 안심하기보다, 이사회 의결 절차와 사전 투자 감경 요건부터 지금 확인해두는 편이 유리합니다.

원문: 개인정보 반복·대규모 유출시 ‘매출액 10%’ 내 징벌적 과징금 (정책브리핑, 2026-09-10)

관련 글: [2026-09-09] Fitch, Moody’s Both Praise Korea’s 2027 Budget | [2026-09-06] Four U.S. Firms Pledge $2B in Korea | [2026-09-04] Korea Raises SME Export Target to $180B by 2030