업무사례
업무사례
LEGAL INSIGHT · 시정명령·과징금·과태료를 구분해야 합니다
개인정보보호법 위반 행정처분은 일반적인 영업정지나 허가취소와 같은 방식보다는 개인정보 처리중지 등의 시정조치, 매출액을 기준으로 하는 과징금, 위반행위별 과태료, 처분결과 공표가 중심입니다.
특히 2026년 9월 11일부터는 반복적인 중대 위반이나 피해자가 1천만명 이상인 일정한 사건 등에 대한 과징금 상한이 전체 매출액의 10%까지 높아졌습니다. 따라서 개인정보 유출이나 무단이용이 발생했다면 단순히 유출건수만 볼 것이 아니라 어떤 법적 의무를 위반했는지와 안전조치를 어느 정도 이행했는지를 함께 확인해야 합니다.
핵심은 개인정보보호법 위반 행정처분에서는 개인정보를 수집·이용·제공할 법적 근거가 있었는지, 유출이 발생했는지, 안전성 확보조치를 이행했는지, 피해규모와 반복위반 여부가 어떠한지, 위반 발견 후 신속하게 시정했는지가 처분수위를 좌우할 수 있다는 점입니다.
개인정보보호위원회는 처리중지 등 시정조치를 명할 수 있습니다
개인정보 보호법 제64조에 따르면 개인정보보호위원회는 법을 위반한 개인정보처리자에게 개인정보 침해행위의 중지, 개인정보 처리의 일시적인 정지 및 개인정보 보호와 침해 방지에 필요한 조치를 명할 수 있습니다.
따라서 위반행위가 확인되면 단순히 금전적인 제재만 이루어지는 것이 아니라 잘못 수집한 개인정보의 처리중지, 시스템 개선, 접근권한 재설정, 파기 등 위법한 처리상태를 실질적으로 바로잡는 조치가 함께 요구될 수 있습니다.
시정조치 명령에 따르지 않은 경우에는 그 자체로 과태료 대상이 될 수 있고, 시정명령 불이행으로 다시 개인정보 유출 등이 발생한 경우에는 2026년 강화된 과징금 규정까지 문제될 수 있으므로 명령내용과 이행기한을 정확히 확인해야 합니다.
일반적인 중대 위반은 전체 매출액의 3% 이내 과징금이 가능합니다
개인정보 보호법 제64조의2는 일정한 위반행위에 대하여 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 않는 범위에서 과징금을 부과할 수 있도록 규정하고 있습니다.
주요 대상에는 적법한 근거 없이 개인정보를 수집·이용·제공한 경우, 만 14세 미만 아동의 개인정보를 법정대리인 동의 없이 처리한 경우, 민감정보나 고유식별정보·주민등록번호를 위법하게 처리한 경우, 일정한 국외이전 의무를 위반한 경우 등이 포함됩니다.
또한 개인정보가 실제로 유출된 경우에도 과징금이 문제될 수 있습니다. 다만 법은 개인정보가 유출되지 않도록 개인정보처리자가 안전성 확보에 필요한 조치를 모두 다한 경우에는 해당 유출을 이유로 하는 과징금 규정의 예외를 두고 있습니다.
매출액이 없거나 객관적인 산정이 곤란한 법정 사유가 있다면 일반적인 과징금은 20억원을 초과하지 않는 범위에서 부과할 수 있습니다.
2026년부터 일정한 중대 사건은 전체 매출액의 10%까지 과징금이 가능합니다
2026년 9월 11일부터 시행된 개정 개인정보 보호법은 특히 중대한 위반에 대해 과징금 상한을 높였습니다. 법에서 정한 가중요건에 해당하면 전체 매출액의 100분의 10을 초과하지 않는 범위에서 과징금을 부과할 수 있습니다.
대표적으로 과징금 처분을 받은 날부터 3년이 지나기 전에 같은 유형의 위반행위를 고의 또는 중대한 과실로 반복한 경우가 여기에 포함될 수 있습니다.
또한 고의 또는 중대한 과실로 과징금 대상 위반행위를 하고 피해를 입은 정보주체 규모가 1천만명 이상인 경우, 개인정보보호위원회의 시정조치 명령을 따르지 않아 다시 개인정보 유출 등이 발생한 경우에도 강화된 과징금 규정이 적용될 수 있습니다.
매출액이 없거나 산정이 곤란한 법정 사유가 있는 경우에는 이러한 가중 과징금을 50억원을 초과하지 않는 범위에서 부과할 수 있습니다.
과징금이 ‘전체 매출액의 3%·10%’로 그대로 계산되는 것은 아닙니다
법에 적힌 3% 또는 10%는 과징금의 상한입니다. 개인정보보호위원회가 실제 과징금을 산정할 때에는 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 기준으로 구체적인 과징금을 계산합니다.
위반행위의 내용과 정도, 기간과 횟수, 위반으로 얻은 이익, 유출규모, 피해회복과 확산 방지조치, 개인정보의 유형, 정보주체에게 미친 영향, 개인정보 보호를 위한 사전 투자와 보호위원회 조사에 대한 협조 등이 함께 고려됩니다.
2026년 개정법은 일정한 요건을 충족하는 개인정보 보호 관련 예산·인력·설비·장치 투자와 운영이 있는 경우 과징금을 감경하도록 하는 규정도 두었습니다. 다만 고의 또는 중대한 과실이 있는 위반에는 해당 감경규정이 적용되지 않습니다.
반대로 지급능력이 객관적으로 없거나 위법하지 않다고 오인할 정당한 사유가 있었던 경우, 위반정도가 경미하거나 법에서 정한 경미한 피해 등의 사유가 있는 경우에는 과징금을 부과하지 않을 가능성도 법률상 검토할 수 있습니다.
과태료는 위반유형에 따라 최대 5천만원까지 규정되어 있습니다
과징금과 과태료는 서로 다른 행정제재입니다. 현행 개인정보 보호법 제75조는 위반내용에 따라 5천만원·3천만원·2천만원·1천만원 이하의 과태료 구간을 두고 있습니다.
예를 들어 법이 금지하는 방식으로 고정형 영상정보처리기기를 설치·운영하거나 이동형 영상정보처리기기로 영상을 촬영한 일정한 경우에는 5천만원 이하의 과태료가 문제될 수 있습니다.
개인정보를 파기하지 않은 경우, 안전성 확보조치를 하지 않은 경우, 주민등록번호를 법적 근거 없이 처리한 경우, 개인정보 유출사실 통지·신고의무를 이행하지 않은 경우, 시정조치 명령을 이행하지 않은 경우 등에는 3천만원 이하의 과태료가 규정된 유형이 있습니다.
시행령상 과태료의 가중기준은 최근 3년 동안 같은 위반행위로 과태료 처분을 받은 경우를 기준으로 적용할 수 있으며, 위반의 정도와 피해, 자진시정·피해회복·자진신고 등 사정에 따라 법정 범위 안에서 감경 또는 면제 여부가 검토될 수 있습니다.
개인정보가 유출됐다고 과징금이 자동으로 확정되는 것은 아닙니다
행정제재가 무거워질 수 있는 방향
접근권한 관리나 암호화·접속기록 보관 등 필요한 안전성 확보조치가 제대로 이루어지지 않은 상태에서 대규모 개인정보 유출이 발생하고, 유출을 인지한 뒤에도 정보주체 통지와 보호위원회 신고를 지연했다면 과징금과 과태료, 시정조치 등이 함께 문제될 수 있습니다. 반복적인 위반이나 대규모 피해가 인정되면 2026년 신설된 가중 과징금 기준까지 검토될 수 있습니다.
유출사실만으로 결론을 내려서는 안 되는 방향
외부의 공격으로 개인정보가 유출됐더라도 개인정보처리자가 법에서 요구하는 안전성 확보조치를 다했는지가 확인된다면 유출 자체를 이유로 한 과징금 적용은 달라질 수 있습니다. 다만 별도의 불법수집·이용·제공이나 통지·신고의무 위반이 존재한다면 그 위반에 대한 제재는 별도로 검토해야 합니다.
처분내용과 결과가 공개되고 형사절차까지 이어질 수 있습니다
개인정보보호위원회는 개선권고, 시정조치 명령, 과징금, 고발·징계권고, 과태료 부과의 내용과 결과를 공표할 수 있습니다. 또한 처분을 받은 개인정보처리자에게 해당 처분을 받았다는 사실을 직접 공표하도록 명할 수도 있습니다.
따라서 개인정보보호법 위반 사건은 금전적인 부담만의 문제가 아니라 회사명과 위반내용이 공개되어 대외적인 신뢰와 거래관계에 영향을 미칠 가능성도 함께 고려해야 합니다.
또한 보호위원회가 개인정보 관련 법규 위반에 범죄혐의가 있다고 인정할 상당한 이유가 있다고 판단하면 관할 수사기관에 고발할 수 있고, 대표자나 책임 있는 임원을 포함한 관계자의 징계를 권고할 수도 있습니다. 따라서 동일한 사실관계에서 행정조사와 형사절차가 별도로 진행되는지도 확인해야 합니다.
조사가 시작되면 유출규모보다 먼저 위반원인과 시정조치를 시간순으로 정리해야 합니다
개인정보보호위원회의 조사나 자료제출 요구를 받았다면 단순히 유출된 개인정보의 숫자만 정리해서는 충분하지 않을 수 있습니다. 어떤 시스템에서 사고가 발생했고 언제 최초로 이상징후를 인지했는지, 접근권한과 암호화·접속기록 관리가 실제로 어떻게 이루어졌는지를 확인해야 합니다.
01 수집·이용·제공한 개인정보별 법적 근거와 동의기록을 확인합니다.
02 접근권한·암호화·접속기록·위탁관리 등 사고 당시의 안전성 확보조치 자료를 보존합니다.
03 유출 인지, 차단, 정보주체 통지, 보호위원회 신고, 피해확산 방지와 재발방지 조치를 시간순으로 정리합니다.
과징금 산정에서는 위반의 기간과 횟수, 피해규모뿐 아니라 사고 이후의 피해회복과 확산방지, 개인정보 보호를 위한 투자와 조사 협조 등도 고려됩니다. 따라서 사건 발생 이후 취한 조치도 행정처분 단계에서 중요한 자료가 될 수 있습니다.
결국 개인정보보호법 위반 행정처분에 대응할 때는 시정조치·과징금·과태료를 하나로 보지 말고 각각의 법적 근거와 구성요건을 구분한 뒤, 위반의 원인과 안전조치 수준, 피해규모, 반복성 및 사고 후 시정노력을 자료로 확인해야 합니다.
함께 확인한 공식 자료
국가법령정보센터 개인정보 보호법 제64조 시정조치 규정 확인
국가법령정보센터 개인정보 보호법 제64조의2 과징금 3%·10% 기준 확인
국가법령정보센터 개인정보 보호법 제75조 과태료 기준 확인
국가법령정보센터 개인정보 보호법 시행령 제60조의2 과징금 산정기준 확인
국가법령정보센터 2026년 개인정보 보호법 위반 과징금 부과기준 확인
국가법령정보센터 개인정보 보호법 제65조 고발·징계권고 확인
국가법령정보센터 개인정보 보호법 제66조 처분결과 공표 규정 확인
개인정보보호법 위반에 대한 행정제재는 단순한 과태료에 그치지 않습니다. 개인정보보호위원회는 처리중지 등의 시정조치, 일반적으로 전체 매출액의 최대 3%에 이르는 과징금, 일정한 중대·반복 위반에 대해서는 최대 10%의 과징금, 위반유형별 과태료와 처분결과 공표를 할 수 있습니다. 실제 처분수위는 유출규모만이 아니라 위반원인과 안전성 확보조치, 반복성, 피해회복 및 사고 이후의 시정노력을 함께 검토해 판단해야 합니다.
▼개인정보보호법 위반 행정처분, 실제 사건에서는 무엇이 쟁점이 됐을까요?
