핵심 요약 — 개인정보보호위원회 결정문 1,010건 중 유출 통지·신고 의무 위반으로 처분된 의결은 110건이고, 그중 통지·신고가 늦은 「지연」 94건에서 과태료는 85건에 붙은 반면 과징금은 36건에 그쳤습니다(2026-09-14 수집분). 같은 「지연」 사건을 지연 일수로 가르면 7일 이하 28건 중 11건, 8~30일 15건 중 6건, 31일 이상 20건 중 7건으로 과징금 부과 건수가 갈리지 않지만, 제29조(안전조치의무) 위반이 함께 인정됐는지로 가르면 함께 인정된 64건 중 35건에 과징금이 붙었고 제29조 위반이 없는 30건에서는 1건뿐입니다. 따라서 유출을 인지한 회사는 통지·신고 기한을 지키는 일과 함께, 사고 시점의 안전조치 이행 증적을 보존하고 정리하는 일을 첫 72시간 안에 같이 시작하는 것이 순서로 판단됩니다.
개인정보 유출을 인지한 첫날, 회사의 대응 회의는 대개 통지문 문안과 개인정보위 신고서 작성에 집중됩니다. 담당 인력이 한정된 상황에서 시스템 로그와 안전조치 이행 기록을 정리하는 일은 통지가 끝난 다음으로 밀리기 쉽습니다.
위원회는 어느 사건에 과징금을 붙였나 — 통지 지연 94건
개인정보위 결정문은 통지·신고가 며칠 늦었는지를 사실 절에 적고, 과징금과 과태료를 처분 표에 나누어 적습니다. 두 기록을 의결 단위로 이어 보면, 「지연」으로 처분된 94건에서 과태료는 85건에 붙었지만 과징금은 36건입니다. 아래 표처럼 같은 사건들을 지연 일수로 가르면 과징금 부과 건수가 구간 사이에서 갈리지 않는 반면, 제29조 위반이 함께 인정됐는지로 가르면 뚜렷하게 갈립니다.
| 구분 | 의결 | 과징금이 붙은 건 |
|---|---|---|
| 지연 일수 기준 · 7일 이하 | 28 | 11 |
| 지연 일수 기준 · 8~30일 | 15 | 6 |
| 지연 일수 기준 · 31일 이상 | 20 | 7 |
| 제29조 기준 · 위반 함께 인정 | 64 | 35 |
| 제29조 기준 · 위반 없음 | 30 | 1 |
의결 단위의 원문 표는 유출 통지 지연 제재 전수에 있습니다. 개인정보보호위원회 결정문 공개분 1,010건을 전수 수집해 유출 통지·신고 위반 110건을 구조화한 것입니다(2026-09-14 수집분, 이현섭 변호사 집계).
72시간을 넘기면 과징금을 각오해야 한다는 말은 맞나
흔히 통지가 72시간을 넘기면 과징금을 각오해야 하고, 더 늦을수록 제재가 무거워진다고 생각합니다. 결정문은 다르게 적습니다. 기한 초과는 거의 예외 없이 과태료로 이어졌지만(94건 중 85건), 7일 이하 늦은 사건과 31일 이상 늦은 사건 사이에서 과징금 부과 건수는 갈리지 않았습니다. 제34조(유출 통지·신고) 위반 자체의 금전 제재는 과태료이고, 과징금은 같은 사건에서 함께 인정된 다른 조문 위반, 대부분 제29조 위반에 붙는 구조이기 때문입니다.
그러면 유출을 인지한 날 무엇을 먼저 하나
위 집계를 보면 유출 대응의 첫 72시간은 한정된 인력을 어디에 쓰는지의 문제로 판단됩니다. 통지·신고 기한 준수는 과태료 부과 여부를 가르므로 반드시 지켜야 하지만, 과징금이 갈린 자리는 지연 일수가 아니라 제29조 이행 여부였습니다(함께 인정된 64건 중 35건 대 위반 없는 30건 중 1건). 따라서 통지문을 작성하는 일과 동시에, 사고 시점의 안전조치 이행 상태, 곧 접근권한 관리·접근통제·암호화·접속기록 보관과 점검·내부관리계획의 이행 증적을 보존하고 정리하는 일이 첫날 업무에 같이 들어가야 한다고 판단됩니다. 접속기록은 보관 주기가 지나면 덮어써지고, 사고 뒤에 보강한 조치는 사고 시점의 이행으로 인정받기 어렵기 때문입니다.
다만 유출 규모가 크거나 제29조 위반이 처음부터 명백한 사건에서는 증적 정리만으로 사안이 정리되지 않고, 조사 단계의 소명을 따로 준비해야 합니다. 통지·신고를 마친 뒤 조사와 처분이 어떤 단계로 이어지는지는 유출 통지·신고를 마친 다음의 조사·처분 단계에, 유출 경위의 유형에 따라 처분이 어떻게 갈렸는지는 유출 경위 유형별로 갈린 처분에 정리해 두었습니다.
이 집계가 말하지 않는 것
- 위 표는 상관이지 인과가 아닙니다. 「늦게 통지해서 과징금이 나왔다」로 읽으면 안 되고, 통지가 늦은 사건에 안전조치 미흡이 함께 인정된 경우가 많았다는 뜻입니다.
- 유출 규모를 통제하지 못했습니다. 결정문이 유출 규모를 적고 10만 이상인 「지연」 사건은 5건뿐이어서, 규모별로 가르면 표본이 너무 작습니다.
- 결정문이 공개된 사건만 센 것이고, 적용 기한(현행 72시간, 정보통신서비스 제공자에게 적용되던 구법 특례 24시간)과 법 개정 시점이 집계 구간 안에 섞여 있습니다.
- 「과징금이 붙지 않았다」가 「제재가 가볍다」는 뜻이 아닙니다. 과태료와 별도로 시정명령과 공표 처분이 따라붙습니다.
자주 묻는 질문
Q. 유출 통지가 늦어서 과징금이 나오나요, 안전조치가 미흡해서 나오나요?
집계상 과징금을 가른 자리는 지연 일수가 아니라 제29조(안전조치의무) 위반의 동반 여부였습니다. 제29조 위반이 함께 인정된 64건 중 35건에 과징금이 붙은 반면 제29조 위반이 없는 30건에서는 1건뿐이므로, 유출을 인지한 회사는 통지문을 작성하는 일과 동시에 사고 시점의 안전조치 이행 증적을 보존·정리하는 일을 시작하는 것이 순서로 판단됩니다.
Q. 72시간을 넘기면 과징금을 각오해야 하나요?
결정문 집계는 그 통념을 좁힙니다. 통지·신고가 늦은 「지연」 94건 중 85건에 과태료가 붙어 기한 초과는 거의 예외 없이 과태료로 이어졌지만, 과징금은 36건에 그쳤고 7일 이하 늦은 28건 중 11건, 31일 이상 늦은 20건 중 7건으로 늦은 정도는 과징금 부과 건수를 가르지 않았습니다.
Q. 이 집계로 우리 사건의 과징금 여부를 가늠할 수 있나요?
그대로 대입하면 안 됩니다. 이 집계는 상관이지 인과가 아니고, 유출 규모를 통제하지 못했으며(결정문이 규모를 적고 10만 이상인 「지연」 사건은 5건뿐입니다), 결정문이 공개된 사건만 센 것입니다. 과징금이 붙지 않은 사건에도 시정명령과 공표가 따로 붙으므로, 과징금이 없다는 사실을 제재가 가볍다는 뜻으로 읽어서도 안 됩니다.
이 글은 공개된 결정문을 세어 정리한 것이고, 개별 사안의 처분은 결정문과 사실관계에 따라 결론이 달라질 수 있으므로 구체적인 사안에는 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법 제29조, 제34조, 제64조의2 제1항 제9호, 제75조 제2항 제17호
- 개인정보보호위원회 위원회 결정문
- 유출 통지 지연 제재 전수 표 · 개인정보위 제재 전수 표
