핵심 요약. 2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 과징금 상한을 전체 매출액의 3%에서 10%로 올립니다. 원칙적 상한 3%는 그대로 두고, ① 과징금 부과처분을 받은 날부터 3년이 지나기 전의 고의·중과실 반복 위반 ② 고의·중과실 위반으로 인한 1천만 명 이상 피해 ③ 시정조치 명령 불이행으로 인한 유출등, 이 세 가지에만 10% 상한이 적용됩니다(제64조의2 제2항 신설). 매출액이 없거나 산정이 곤란한 경우 일반 위반은 20억 원, 이들 중대·반복 위반은 50억 원 이내입니다. 같은 개정법은 '유출등’에 위조·변조·훼손을 포함시켜, 랜섬웨어로 데이터가 훼손된 경우에도 통지·신고 의무가 걸릴 수 있게 했습니다. 반대 방향으로 예산·인력·설비 등 예방 투자에 대한 과징금 감경이 제64조의2 제6항으로 명문화됐고, 감경 폭(기준금액의 40% 이내)은 2026년 9월 10일 공포된 시행령(대통령령 제36671호) 별표 1의5가 정했습니다. 그 안의 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했습니다. 개인정보위가 2026년 7월 16일 하반기 업무계획에서 밝힌 신속 신고 감경·은폐 적발 시 30% 이상 가중·신고포상금은 아직 법령이 아니라, 법 개정과 고시 제정이 필요한 추진 계획 단계입니다. 과징금 산정 단계에서는 9월 11일 개정된 과징금 부과기준 고시(제2026-12호)가 먼저 움직였습니다. 대응 체계를 갖추고 조기 탐지·신속한 신고·통지로 회복한 경우 1차 조정 금액의 40% 이하를 감경하고, 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우 30% 이하를 가산합니다.
새벽에 개발자가 이상한 로그를 발견합니다. 외부에서 DB에 접근한 흔적이 있고, 고객 테이블이 조회된 것 같습니다.
규모는 아직 모릅니다. 이때 창업자의 머릿속에는 대체로 두 갈래 생각이 지나갑니다. "신고하면 조사받고, 과징금 나오고, 기사 나는 것 아닌가." 그리고 "확실하지도 않은데 일단 조용히 막고 지켜보면 안 되나."
지금까지도 두 번째 선택지는 법적으로 허용되지 않았지만, 적어도 '들키지 않으면 손해 볼 게 없는' 선택지이기는 했습니다. 올해 하반기부터 이 셈법 자체가 바뀝니다. 신고를 빨리 한 기업과 숨긴 기업의 처분 격차를 크게 벌리는 방향으로 법과 제도가 한꺼번에 움직이고 있기 때문입니다.
유출을 알게 되면 언제까지 통지·신고해야 하나?: 72시간
전제부터 확인하면, 유출 대응 의무는 지금도 시간 단위로 걸려 있습니다.
- 정보주체 통지: 개인정보가 유출등이 되었음을 알게 되면 72시간 이내에 유출 항목·경위·피해 최소화 방법 등을 정보주체에게 알려야 합니다(개인정보 보호법 제34조 제1항, 시행령 제39조 제1항).
- 보호위원회(또는 KISA) 신고: 1천 명 이상의 정보주체에 관한 유출, 민감정보·고유식별정보의 유출, 외부의 불법 접근에 의한 유출은 72시간 이내에 신고해야 합니다(법 제34조 제3항, 시행령 제40조 제1항).
"주말이라서", "규모 파악이 안 끝나서"는 시한을 멈추지 않습니다. 72시간은 사고를 다 파악한 뒤가 아니라 알게 된 때부터 흐릅니다.
이미 유출을 인지한 상태에서 72시간 안에 무엇을 해야 하는지(통지와 신고의 대상이 어떻게 갈리는지, 규모를 모르는 상태에서 어떻게 우선 통지하는지, 초기에 하면 안 되는 세 가지가 무엇인지)는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에서 조문 단위로 정리했습니다. 이 글은 그 대응의 셈법이 9월 개정으로 어떻게 바뀌는지를 다룹니다.
2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나?: 매출액 3% → 10%
2026년 3월 10일 공포된 개정 개인정보 보호법(법률 제21445호)이 9월 11일 시행됐습니다. 핵심은 과징금 상한입니다.
기존 과징금 상한은 전체 매출액의 3%였습니다. 개정법은 다음의 경우 상한을 전체 매출액의 10%로 올립니다.
- 과징금 부과처분을 받은 날부터 3년이 지나기 전에 고의 또는 중대한 과실로 같은 호의 위반행위를 다시 한 경우
- 고의 또는 중대한 과실로 1천만 명 이상의 대규모 피해가 발생한 경우
- 시정명령을 이행하지 않아 개인정보가 유출된 경우
상한이 올라가면 실제 금액이 어디까지 계산되는지는 과징금·과태료 산정 계산기에서 매출액을 넣어 볼 수 있습니다.
이들 중대·반복 위반의 경우 매출액이 없거나 산정이 곤란하더라도 50억 원 이내에서 부과할 수 있습니다(일반 위반은 현행과 같은 20억 원 이내). 초기 스타트업이라고 비켜 가는 구조가 아닙니다.
과징금 일정은 9월 11일에서 끝나지 않습니다. 개정 정보통신망법 제48조의8이 2026년 10월 1일 시행되면서, 고의 또는 중과실로 침해사고가 5년 이내에 2회 이상 발생한 정보통신서비스 제공자에게는 과학기술정보통신부장관도 대통령령으로 정하는 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있게 됩니다. 다만 두 법의 과징금이 같은 침해사고에 겹치는 구조는 아니며, 어느 법으로 가는 사고인지가 어떻게 갈리는지는 침해사고에 과징금이 두 번 나올 수 있나에서 정리했습니다.
과징금 외에도 이번 개정법에는 유출 대응 실무를 직접 건드리는 내용이 들어 있습니다.
- '유출등’의 범위 확장: 분실·도난·유출에 더해 위조·변조·훼손이 포함됩니다(개정 법 제23조 제2항이 "유출등"을 이렇게 정의하고, 이 정의가 법 전체에 적용됩니다). 랜섬웨어로 데이터가 암호화·훼손된 경우처럼, '나간 것’이 확인되지 않아도 통지·신고 의무가 걸릴 수 있는 구조가 됩니다.
- '가능성' 단계의 통지: 유출등의 가능성을 알게 된 단계에서 정보주체 통지 의무가 신설됩니다(개정 법 제34조 제2항). 대통령령으로 정하는 유출등의 가능성을 알게 되면, 가능성이 있는 모든 정보주체에게 피해 최소화 정보 등을 알려야 합니다. "확정되면 알리겠다"는 대응은 더 어려워집니다. 통지 사항 자체도 늘어나, 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법에 관한 정보가 추가됩니다(개정 법 제34조 제1항 제6호). 그 분쟁조정이 실제로 어떤 사안에서 어떤 금액으로 성립해 왔는지는 개인정보 분쟁조정 사례 데이터베이스에서 확인할 수 있습니다.
- 책임 구조의 상향: 개인정보 보호책임자(CPO) 지정 절차가 강화되고, 사업주·대표자가 개인정보 보호의 최종 책임자로 명시됩니다. 일정 규모 이상 기업의 개인정보 보호 인증 의무화(개정 법 제32조의2 제1항 단서)만은 시행일이 달라, 2027년 7월 1일부터 시행됩니다(부칙 제1조 단서).
세부 기준을 정할 시행령은 지난 6월 입법예고와 8월 31일 법제처 심사를 거쳐 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 시행일은 법률과 같은 9월 11일입니다. 주목할 부분은 감경 쪽입니다.
개인정보 보호를 위한 예산·인력·설비 투자를 해 온 기업에는 과징금을 기준금액의 40% 이내에서 감경합니다(별표 1의5 제2호 나목). 이 투자감경은 1차·2차 조정보다 앞선 독립 단계입니다. 보안 투자가 '비용’이 아니라 과징금 산정에서 실측되는 변수가 된다는 뜻입니다.
다만 40%는 상한이고, 그 안에서 얼마를 깎을지는 보호위원회 고시가 정합니다. 그 고시가 시행일인 9월 11일 개정됐습니다(개인정보보호위원회고시 제2026-12호). 투자 규모·비율·지속성, 대표자 책임 이행과 보호책임자 체계, 법정 의무를 넘는 보호조치 세 가지를 종합해 기준금액의 40% 이하를 감경하고, 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 봅니다. 같은 고시가 반복 위반 가중을 올리고(1회 15%에서 20%로, 3회 이상 80%), 인증 보유 감경의 상한을 50%에서 30%로 낮췄습니다. 고시 시행 전에 종료된 위반행위에는 종전 규정이 적용됩니다(부칙 제2조).
감경이 조문에 있다는 것과 실제로 인정된다는 것은 다른 이야기입니다. 지금까지 개인정보위가 어떤 주장을 감경 사유로 받아들였고 어떤 주장을 배척했는지는 과징금이 '전체 매출액 기준’으로 바뀐 뒤, 실제로 감경이 인정된 사유들에 의결별로 갈라 두었습니다.
유출을 숨겼다가 적발되면 어떻게 되나?: 하반기 업무계획이 예고한 것
지난 7월 16일 개인정보보호위원회가 보고한 2026년 하반기 업무계획은 이 방향을 한층 밀고 나갑니다. 아직 법 개정·고시 제정이 필요한 추진 계획 단계라 세부는 확정되지 않았지만, 방향은 분명합니다.
- 신고 여부에 따른 차등: 신속하게 신고한 기업은 감경하고, 숨겼다가 적발된 기업은 과징금을 30% 이상 가중하는 방안
- 신고포상금 도입: 유출 사실이나 증거의 은닉·폐기를 신고한 사람에게 해당 기업 과징금의 일정 비율을 포상금으로 지급하는 방안
- 은폐 행위 자체에 대한 제재: 증거 은닉·폐기에 대한 별도 제재 신설, 조사 비협조 기업에 대한 이행강제금, 증거보전명령 근거 마련
- 손해배상 입증책임 개편: 유출 사고에서 기업 쪽이 책임 없음을 입증하는 방향의 법정손해배상 제도 개편
이 가운데 과징금 산정의 차등은 일부가 이미 시행됐습니다. 9월 11일 개정된 과징금 부과기준 고시는 유출등 사고에 대비한 대응 체계를 갖추고 조기 탐지, 신속한 신고·통지와 피해 확산 방지 조치로 회복한 경우 1차 조정 금액의 40% 이하를 감경합니다(제10조 제2항 제5호). 반대로 유출등을 알고도 법령상 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우에는 30% 이하를 가산합니다(제10조 제1항 제2호). 업무계획이 말한 「은폐 적발 시 30% 이상 가중」과 신고포상금은 여전히 법 개정이 필요한 단계입니다. 고시 시행 전에 종료된 위반에는 종전 규정이 적용됩니다.
이 중 신고포상금은 스타트업 조직 관점에서 특히 무겁게 볼 필요가 있습니다. 유출을 인지한 시점의 판단은 보통 소수의 경영진과 담당자 사이에서 이루어집니다.
포상금 제도가 도입되면, '조용히 넘어가자’는 결정을 아는 모든 구성원(퇴사 예정자를 포함해서)이 잠재적 신고자가 됩니다. 은폐는 이제 걸릴지 안 걸릴지의 확률 문제가 아니라, 내부의 누구도 평생 말하지 않아야 성립하는 전략이 됩니다.
개정 전과 개정법은 조문별로 무엇이 다른가?
말로 풀어놓은 변화를 쟁점별로 조문 단위로 정리하면 다음과 같습니다. '개정' 열은 2026년 9월 11일 시행된 개정법(법률 제21445호) 기준이고, 인증 의무화만 2027년 7월 1일 시행입니다. 과징금 외의 조문까지 포함한 개정 전체의 신구 대조는 2026년 9월 11일 시행 개정 개인정보 보호법 — 신구조문 대조표에 정리해 두었습니다.
① 과징금 (제64조의2)
| 항목 | 현행 | 개정 (2026. 9. 11. 시행) |
|---|---|---|
| 상한(원칙) | 전체 매출액의 3% 이하 (제1항) | 3% 유지. 다만 아래 중대·반복 위반은 10% 이하 (제2항 신설) |
| 10% 상한 적용 대상 | 없음 | ① 과징금 처분 후 3년 내 같은 유형의 위반 반복(고의·중과실 한정) ② 고의·중과실 위반으로 피해 정보주체 1천만 명 이상 ③ 시정조치 명령 불이행으로 유출등 발생 |
| 매출액이 없거나 산정 곤란한 경우 | 20억 원 이하 (제1항 단서) | 일반 위반은 20억 원 유지. 10% 대상 위반은 50억 원 이하 (제2항 단서) |
| 예방투자 감경 | 명문 감경 규정 없음('보호를 위한 노력’을 산정 시 고려사유로 참작하는 정도 (제4항 제10호) | 예산·인력·설비 투자 등이 있으면 과징금을 감경한다 (제6항 신설)재량이 아닌 필요적 감경. 단, 고의·중과실 위반은 제외). 감경 폭(기준금액의 40% 이내)은 시행령 별표 1의5, 세부 기준은 과징금 부과기준 고시 제8조의3(2026. 9. 11. 개정) |
② 유출 통지·신고 (제34조)
| 항목 | 현행 | 개정 |
|---|---|---|
| 통지·신고 대상인 '유출등' | 분실·도난·유출 (제34조 제1항) | 분실·도난·유출 + 위조·변조·훼손 (제23조 제2항의 정의로 일원화) |
| 통지 시점 | 유출등을 알게 된 때 지체 없이 (시행령상 72시간 이내) | 동일. 여기에 더해, 대통령령으로 정하는 '유출등의 가능성’을 알게 된 때에도 지체 없이 가능성이 있는 모든 정보주체에게 통지 (제2항 신설) |
| 통지 내용 | 유출 항목, 시점과 경위, 피해 최소화 방법, 대응조치·구제절차, 담당부서 (5개 호) | 여기에 손해배상·법정손해배상 청구, 분쟁조정 등 정보주체의 법적 권리와 행사 방법 등이 추가 (제6호·제7호 신설) |
| 유출 후 조치 | 피해 최소화 대책 마련·필요한 조치 (제2항) | 회수·삭제 등 피해 확산 방지 조치를 포함하도록 명시 (제3항) |
| 보호위·KISA 신고 | 1천 명 이상, 민감정보·고유식별정보, 불법 접근에 의한 유출 시 72시간 이내 (제3항, 시행령 제40조) | 내용 유지 (조항 위치만 제4항으로 이동). 다만 신고 대상 '유출등' 자체가 위 정의 확장의 적용을 받음 |
③ 거버넌스: 대표자·CPO (제30조의3, 제31조)
| 항목 | 현행 | 개정 |
|---|---|---|
| 사업주·대표자의 책임 | 명문 규정 없음 (CPO를 지정하지 않는 소규모 기업에서 대표자가 CPO가 되는 정도, 제31조 제2항) | 사업주·대표자를 개인정보 보호의 최종 책임자로 명시하고, 전문 인력과 충분한 예산 지원 등 총괄 관리 조치 의무 부과 (제30조의3 신설) |
| CPO 지정 절차 | 지정 의무와 지정 대상·자격요건은 이미 있으나(제31조 제1항·제9항, 시행령 제32조 제3항·제4항 및 별표 1) 위반에 붙는 과태료가 없음 | 매출액·보유 규모 등 대통령령 기준에 해당하면 지정·변경·해제 시 이사회 의결을 거치고 보호위원회에 신고 (제31조 제3항 신설). 위반 시 3천만 원 이하 과태료 (이사회 의결은 제75조 제2항 제14호의3, 신고는 같은 항 제14호의4 신설). 아울러 미지정·자격요건 미달자 지정에도 과태료가 새로 붙음 (같은 항 제14호의2 신설) |
| CPO의 업무 | 보호계획 수립·시행, 처리 실태 조사·개선, 불만 처리, 내부통제시스템 구축 등 7개 | 전문 인력 관리·예산 확보, 대표자·이사회에 대한 보호 현황 보고가 업무로 추가 (제31조 제4항) |
④ 개인정보보호 인증 (제32조의2: 2027. 7. 1. 시행)
| 항목 | 현행 | 개정 |
|---|---|---|
| 인증(ISMS-P 등) | 임의. 보호위원회가 "인증할 수 있다" (제1항) | 매출액·처리 규모 등 대통령령 기준에 해당하는 기업은 인증을 받아야 한다 (제1항 단서 신설). 미인증 시 3천만 원 이하 과태료 |
⑤ 아직 법령이 아닌 것: 하반기 업무계획의 추진 과제
아래는 개정된 조문이 존재하지 않는, 개인정보위가 하반기에 추진하겠다고 밝힌 단계입니다. 확정된 것처럼 대비할 필요는 없지만, 방향을 알고 있어야 하는 항목들입니다.
| 추진 과제 | 현재 상태 |
|---|---|
| 신속 신고 기업 감경, 은폐 적발 기업 30% 이상 가중 | 시행령·고시 정비로 추진 (세부 미확정) |
| 신고포상금: 은폐·증거인멸을 신고한 사람에게 과징금의 일정 비율 지급 | 제도 설계 중 (비율·한도 미공개) |
| 증거 은닉·폐기에 대한 별도 제재, 조사 비협조 이행강제금, 증거보전명령 | 법 개정 필요 (추진 계획) |
| 법정손해배상 개편: 기업 쪽으로 입증책임 전환 | 법 개정 필요 (추진 계획) |
| 유출 정보의 구매·유포 처벌 신설 | 법 개정 필요 (추진 계획) |
9월 시행 전에 무엇을 점검해야 하나?
9월 시행까지 남은 기간에 맞춰, 다음을 점검해 두시길 권합니다.
- 유출 대응 플레이북이 있는가. 인지 시점 기록, 72시간 내 통지·신고 판단 기준, 초동 대응(접근 차단·로그 보전), 대외 커뮤니케이션 순서를 문서로. 사고 당일 새벽에 처음 논의하는 회사와 체크리스트를 꺼내는 회사의 격차가 곧 처분의 격차가 됩니다. 본사 절차서를 그대로 준용하는 외국계 한국법인이라면 GDPR 기준 플레이북이 한국에서 깨지는 지점을 함께 점검하십시오.
- '유출등' 판단 기준의 업데이트. 랜섬웨어·데이터 훼손 시나리오도 통지·신고 검토 대상에 포함되도록 내부 기준을 손봐 두어야 합니다.
- 로그·증거 보전 원칙. 사고 후 서버를 밀어버리거나 로그를 정리하는 행위는 선의였더라도 은닉·폐기로 평가될 위험이 있습니다. 보전이 기본값이어야 합니다.
- 보안 투자의 기록화. 예방 투자 감경이 제도화되면, 투자를 '했다’는 사실만큼 '입증할 수 있다’는 것이 중요해집니다. 보안 예산·인력·조치 이력을 남기는 체계를 갖춰 두십시오.
- CPO와 보고 라인. 대표자가 최종 책임자로 명시되는 구조에서, 유출 보고가 대표에게 도달하는 데 며칠씩 걸리는 조직이라면 그 자체가 리스크입니다.
유출사고 대응에서 가장 비싼 실수는 기술적 실수가 아니라 초기 72시간의 판단 착오입니다. 그리고 하반기부터는 그 판단 착오 중에서도 '숨기는 쪽’의 가격이 가장 가파르게 오릅니다.
선례 확인 — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 개인정보 유출 통지·신고 위반 제재 사례에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.
자주 묻는 질문
Q. 9월 11일 이후 유출을 숨겼다가 적발되면 과징금이 얼마나 달라지나요?
확정된 것은 과징금 상한 인상입니다. 개정 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행)은 원칙적 상한 3%는 유지하되 ① 과징금 부과처분을 받은 날부터 3년이 지나기 전의 고의·중과실 반복 위반, ② 고의·중과실 위반으로 피해 정보주체가 1천만 명 이상인 경우, ③ 시정조치 명령 불이행으로 인한 유출등에 대해 전체 매출액의 10%까지 부과할 수 있게 했습니다(제64조의2 제2항 신설). 반면 은폐 자체를 가중 사유로 삼는 방안은 아직 법령이 아닙니다. 개인정보위가 하반기 업무계획에서 신속 신고 기업 감경, 은폐 적발 시 30% 이상 가중, 신고포상금 도입을 밝혔으나 법 개정·고시 제정이 필요한 추진 계획 단계입니다. 과징금 산정 단계에서는 9월 11일 개정된 과징금 부과기준 고시(제2026-12호)가 먼저 움직였습니다. 대응 체계를 갖추고 조기 탐지·신속한 신고·통지로 회복한 경우 1차 조정 금액의 40% 이하를 감경하고, 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우 30% 이하를 가산합니다. 다만 통지·신고 의무 위반 자체는 지금도 각각 3천만 원 이하의 과태료 대상입니다(법 제75조 제2항 제17호·제18호).
Q. 2026년 9월 11일부터 과징금 상한이 어떻게 달라졌나요?
개정 개인정보 보호법(법률 제21445호)이 시행되면 원칙적 상한 3%는 유지되지만, ① 과징금 부과처분을 받은 날부터 3년이 지나기 전에 고의·중과실로 같은 호의 위반행위를 다시 한 경우 ② 고의·중과실 위반으로 1천만 명 이상의 피해가 발생한 경우 ③ 시정조치 명령을 이행하지 않아 유출등이 발생한 경우에는 전체 매출액의 10% 이하로 올라갑니다. 매출액이 없거나 산정이 곤란하면 일반 위반은 20억 원, 이들 중대·반복 위반은 50억 원 이내에서 부과할 수 있습니다.
Q. 유출을 신고하지 않고 조용히 수습하면 어떻게 되나요?
신고·통지 의무 위반 자체가 현행법 위반이고, 개인정보위는 2026년 7월 16일 하반기 업무계획에서 신속 신고 기업은 감경하고 은폐하다 적발된 기업은 과징금을 30% 이상 가중하는 방안, 은닉·폐기를 신고한 사람에게 과징금의 일정 비율을 지급하는 신고포상금 도입을 밝혔습니다. 다만 이들은 법 개정·고시 제정이 필요한 추진 계획 단계로 세부는 확정되지 않았습니다. 과징금 산정 단계에서는 9월 11일 개정된 과징금 부과기준 고시(제2026-12호)가 먼저 움직였습니다. 대응 체계를 갖추고 조기 탐지·신속한 신고·통지로 회복한 경우 1차 조정 금액의 40% 이하를 감경하고, 기한 안에 신고·통지하지 않으면서 피해 확산 방지 조치도 하지 않은 경우 30% 이하를 가산합니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
Q. 개정법에 과징금을 깎아 주는 규정도 있나요?
있습니다. 개정 법 제64조의2 제6항은 개인정보 보호를 위하여 예산·인력·설비·장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우 과징금을 '감경한다’고 정합니다. '감경할 수 있다’가 아니라 '감경한다’로 되어 있다는 점이 특징입니다. 다만 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외되고, 구체적인 감경 사유는 대통령령으로 정해지는데, 2026년 9월 10일 공포된 시행령(대통령령 제36671호)은 감경 폭을 기준금액의 40% 이내로, 적용 순서를 1차 조정보다 앞선 독립 단계로 정했습니다.
Q. 과징금을 아예 부과하지 않는 경우도 있나요?
개정 법 제64조의2 제7항이 과징금을 부과하지 아니할 수 있는 사유를 정하고 있고, 제1호가 지급불능·지급정지 또는 자본잠식 등의 사유로 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우입니다. 현행법에서는 같은 내용이 제5항에 있으므로, 2026년 9월 11일 이후에는 인용 시 항 번호가 달라진다는 점에 주의해야 합니다.
과징금 상한 외에 9월 11일에 함께 바뀐 것들은 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나에 시행일 기준으로 정리해 두었습니다.
참고 자료
- 개인정보 보호법 — 국가법령정보센터
- 개인정보 보호법 시행령 제39조·제40조(유출등의 통지·신고, 72시간) — 국가법령정보센터
- 개정 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) 원문 — 국가법령정보센터 시행예정 법령. 과징금 상한 상향 등
- 개인정보위, 2026년 하반기 업무계획 보도자료(2026. 7. 16.) — 개인정보보호위원회
- 개인정보 보호법 시행령: 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행) 별표 1의5(과징금 산정기준·산정절차), 제60조의2 제5항(예방투자 감경 고려사항)
