개인정보 유출 과징금 매출 10%까지 확대, 9월 11일 시행 조건 정리

9월 11일부터 개인정보를 유출한 기업에 매길 수 있는 과징금 상한이 크게 오릅니다. 지금까지는 전체 매출액의 3% 이내로 묶여 있었지만, 개정된 개인정보 보호법이 시행되면 최대 10%까지 부과할 수 있게 됩니다.

다만 모든 유출 사고에 10%가 곧바로 적용되는 건 아닙니다. 법에서 정한 특정 조건을 충족해야 하고, 반대로 과징금을 깎아주는 감경 규정도 함께 추진되고 있습니다.

핵심 요약

• 시행일: 2026년 9월 11일 (개정법은 3월 10일 공포)
• 과징금 상한: 매출액 3% 이내 → 최대 10%로 확대
• 10% 적용은 3가지 조건 중 하나를 충족할 때만 가능
• 과징금 산정 기준 매출액도 5월 19일부터 이미 변경 적용 중
• 최대 40% 감경 시행령은 입법예고 단계, 최종 확정 여부는 아직 확인되지 않음

기존 3%였던 과징금, 최대 10%로 뭐가 바뀌나

기존 개인정보 보호법은 위반 기업의 전체 매출액 3% 이내에서 과징금을 부과해왔습니다. 산정 기준도 위반이 일어난 사업연도의 직전 3개 사업연도 연평균 매출액이었습니다.

개정법은 위반의 내용과 정도, 경위, 피해 규모 등을 따져 기준금액을 정한 뒤 가중·감경을 거쳐 전체 매출액의 최대 10%까지 부과할 수 있도록 했습니다. 매출액 산정 기준도 지난 5월 19일부터 '직전 사업연도 매출액'과 '직전 3개 사업연도 연평균 매출액' 중 더 큰 금액을 쓰는 방식으로 이미 바뀌었습니다.

매출 10% 과징금, 아무 때나 나오는 건 아니다

최대 10% 과징금은 다음 세 가지 조건 가운데 하나에 해당할 때만 적용됩니다.

1. 고의 또는 중과실로 3년 이내 위반행위를 반복한 경우
2. 고의 또는 중과실로 1천만 명 이상의 피해가 발생한 경우
3. 시정명령을 이행하지 않은 상태에서 유출이 일어난 경우

세 조건 중 어디에도 해당하지 않으면, 기존처럼 매출액 3% 이내에서 과징금이 정해질 가능성이 큽니다.

과징금을 줄여주는 감경 규정, 새로 생기는 건 '투자 실적' 항목

기존 과징금 부과기준에도 조사에 협조했거나 자율보호 활동을 했다는 등의 사유가 있으면 감경해주는 규정이 이미 있었습니다. 이번에 새로 추진되는 것은 그 감경 사유에 '개인정보 보호 투자 실적'을 추가하는 내용입니다. 이 내용을 담은 시행령 개정안은 2026년 6월 1일부터 7월 13일까지 입법예고를 거쳤고, 법 시행일인 9월 11일에 맞춰 시행될 수 있도록 추진 중이라고 밝혀졌습니다.

개정안은 개인정보 보호를 위한 예산·인력·설비 투자 규모와 지속성, 보호체계 운영 수준, 안전성 확보조치를 강화하려는 노력 등을 새 감경 사유로 제시하며 상한을 40%로 뒀습니다. 다만 고의나 중대한 과실로 위반한 경우에는 이 감경 대상에서 제외됩니다.

이 시행령이 최종적으로 확정·공포됐는지는 아직 확인되지 않았습니다.

기존 제도로도 이 정도였다, 쿠팡·GS리테일 처분 사례

9월 11일 새 제도가 시행되기 전, 기존 3% 상한 규정 아래에서도 과징금 규모는 상당했습니다. 개인정보보호위원회는 2026년 6월 11일 쿠팡과 쿠팡풀필먼트서비스(CFS)에 대한 제재처분을 의결했습니다.

인증 서명키 관리와 접근통제 소홀 등으로 약 3,755만 명의 개인정보가 유출되고, 타사 웹·앱 접속기록 약 1,117만 명분을 무단 수집한 사실이 확인되면서 쿠팡에는 과징금 6,246억 8,100만 원과 과태료 1,680만 원이, CFS에는 과징금 2억 4,800만 원이 각각 부과됐습니다.

2026년 8월 26일에는 지에스리테일에도 과징금 128억 3,600만 원과 과태료 300만 원 부과가 의결됐습니다. 크리덴셜 스터핑 공격으로 GS SHOP 158만 1,025명, GS25 7만 9,128명의 정보가 유출되고 유출 통지가 지연된 점이 지적됐습니다.

두 사례 모두 9월 11일 새 제도가 아니라 기존 3% 상한 규정에서 나온 처분이라는 점은 짚어둘 필요가 있습니다. 기존 제도에서도 이 정도 규모가 가능했다는 점에서, 최대 10%가 적용되는 새 제도의 파급력을 가늠해볼 수 있는 참고 사례입니다.

앞으로 확인해야 할 것들

시행령 개정안이 최종 확정·공포됐는지는 아직 확인되지 않았습니다. 감경 규정의 확정 여부에 따라 실제 부과되는 과징금 수준이 달라질 수 있습니다.

9월 11일 시행 이후 첫 사례가 어떤 기업에, 어떤 조건으로 적용되는지도 지켜볼 지점입니다.

자주 묻는 질문

Q. 매출 10% 과징금은 모든 개인정보 유출 사고에 적용되나요?
A. 아닙니다. 3년 내 고의·중과실 반복위반, 고의·중과실로 1천만 명 이상 피해, 시정명령 미이행 중 유출 중 하나에 해당할 때만 최대 10%가 적용됩니다.

Q. 쿠팡과 GS리테일 처분은 새 제도로 나온 건가요?
A. 아닙니다. 두 처분 모두 9월 11일 시행 전인 기존 3% 상한 규정 아래에서 부과됐습니다.

Q. 과징금을 깎아주는 규정도 있나요?
A. 조사 협조나 자율보호 활동에 따른 감경은 기존에도 있었습니다. 이번에 새로 추진되는 것은 예산·인력 투자, 보호체계 운영 수준 등 '투자 실적'을 반영해 최대 40%까지 감경하는 규정입니다. 다만 고의·중과실 위반은 감경 대상에서 제외되고, 최종 확정 여부는 아직 확인되지 않았습니다.

참고 자료

• 개인정보보호위원회 - 과징금 실효성 강화 시행령 개정안 입법예고
• 개인정보보호위원회 - 과징금 부과처분 실효성 강화
• 개인정보보호위원회 - 과징금·손해배상 제도 설명
• 개인정보보호위원회 - GS리테일 과징금 부과
• 개인정보보호위원회 - 쿠팡·CFS 제재처분

본 글은 공개된 보도 자료를 바탕으로 정리했으며, 이미지는 직접 제작한 자료입니다.