개인정보보호법 과징금 상한 상향

개정 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포)이 2026년 9월 11일 시행된다. 보도에서 「과징금 10%」가 앞세워지다 보니 상한이 전면적으로 10%가 된 것처럼 읽히기 쉬운데, 그렇지 않다.^[10][11]

원칙적 상한은 전체 매출액의 3%이고, 매출액이 없거나 산정이 곤란하면 20억 원이다. 10%(산정 곤란 시 50억 원)는 제64조의2 제2항이 정한 세 경우에 한해서만 적용된다. 10%는 원칙이 아니라 특례다.^[11]

그 세 경우는 ①과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 유형의 위반을 다시 한 경우(각각 고의 또는 중대한 과실이 있을 것), ②고의 또는 중대한 과실로 정보주체 피해 규모가 1천만 명 이상인 경우, ③시정조치 명령에 따르지 않아 개인정보가 유출된 경우다.^[10][11]

감경 쪽도 함께 봐야 한다. 예산·인력·설비 등 사전 예방 투자의 규모·지속성, 대표자·CPO를 포함한 보호체계 수준, 법정 의무를 넘는 추가 노력을 고려해 기준금액의 40% 범위에서 감경할 수 있다. 반대로 신고·통지를 기한 내에 하지 않고 피해 확산 방지 조치도 하지 않으면 최대 30% 가중된다 — 신고하지 않는 편이 유리하던 구조를 뒤집는 장치다.^[10]

시행일이 하나가 아니라는 점도 헷갈린다. ISMS-P 인증 의무화는 9월 11일이 아니라 2027년 7월 1일부터 시행된다. 기업·기관이 인증 취득 예산을 확보할 기간을 고려한 것이다.^[10][11]

이 개정을 「과징금 상한이 3%에서 10%로 올랐다」로 요약한 설명이 많지만, 그렇게 단정하기 어렵다. ZDNet은 「반복적이거나 중대한 개인정보 침해행위에 대해 전체 매출액의 최대 10%」라고 조건을 달았고, 한 법률 해설은 더 좁게 「재위반·대규모 피해·시정조치 불이행 세 경우에만」 10%이며 원칙적 상한은 3%로 유지된다고 설명한다.^[7][8]

「3%가 10%로 바뀐다」와 「3%는 그대로이고 특정 요건에서만 10%」는 전혀 다른 이야기다. 기업이 대비 수준을 정할 때 갈리는 지점이라, 이 문서는 어느 한쪽으로 단정하지 않는다. 확정된 것은 10%라는 숫자가 개정법에 들어갔다는 사실과 시행일 9월 11일이다.^[3][7]

1차 자료로 확인하지 못했다. 법제처 국가법령정보센터는 조문 본문이 렌더되지 않아 제64조의2 등을 직접 읽을 수 없었고, 개인정보보호위원회 홈페이지 첫 화면에도 시행 관련 공지가 올라와 있지 않았다. 조문 확인이 필요한 사안이라는 점을 밝혀 둔다.^[5][8]

개정 개인정보보호법이 2026년 9월 11일 시행되면서 개인정보 유출 등 위반행위에 대한 과징금 상한이 전체 매출액의 3%에서 10%로 올라감. 상한을 세 배 이상 높인 것으로, 대규모 유출 사고가 기업 경영에 미치는 부담을 크게 키운 조치로 소개됨.^[1][2]

상한이 곧바로 모든 위반에 적용되는 것은 아니며, 고의나 중대한 과실에 의한 반복 위반이나 1천만 명 이상 대규모 피해 같은 요건이 제시된 것으로 전해짐. 예방 투자를 한 기업에 대한 감경 규정과 경영진 책임을 명문화하는 내용도 함께 담김.^[3][4]

최대 상한이 적용되는 경우로는 최근 3년간 고의·중대과실에 의한 반복 위반, 고의·중대과실로 1천만 명 이상 대규모 피해를 야기한 경우, 시정명령을 이행하지 않아 유출 사고가 발생한 경우가 제시된 것으로 보도됨.^[3]

법정 의무를 넘어선 예방 투자, 신속한 탐지·신고, 피해 확산 방지 노력 등을 고려해 과징금을 감경하는 구조가 함께 도입된 것으로 전해짐. 다만 고의·중과실인 경우는 감경 대상에서 제외되는 것으로 소개됨.^[1][3]

경영진 책임도 명문화됐음. 대표이사에게 최종책임자로서의 관리·감독 의무를 부여하고, 일정 규모 이상 기관은 개인정보 보호책임자(CPO)를 지정·변경·해제할 때 이사회 의결과 보호위원회 신고를 거치도록 하는 내용이 포함된 것으로 보도됨.^[3]