핵심 요약 — 침해사고가 나면 과학기술정보통신부와 개인정보보호위원회가 함께 옵니다. 2026년 10월 1일 시행된 개정 정보통신망법이 반복 침해사고에 과징금을 새로 만들면서(제48조의8), 같은 사고로 두 기관의 과징금이 겹치는가가 실무의 첫 질문이 되었습니다. 답은 같은 조 제4항에 있습니다 — 「개인정보 보호법」 제64조의2 제1항 제9호에 해당하는 경우에는 적용하지 않습니다. 제9호가 개인정보 유출 사건이므로, 개인정보가 유출된 침해사고는 개인정보위 쪽으로 가고 정보통신망법 과징금은 비켜섭니다. 정보통신망법 과징금의 자리는 개인정보가 새지 않은 침해사고입니다. 그 자리에 들어가면 상한은 대통령령으로 정하는 매출액의 100분의 3이고, 요건은 고의 또는 중과실로 침해사고가 5년 이내에 2회 이상 발생한 경우입니다.
목차
침해사고가 나면 회사는 두 기관을 동시에 상대합니다. 개인정보가 섞여 있으면 개인정보보호위원회가 오고, 정보통신망 공격이라는 성격 때문에 과학기술정보통신부와 한국인터넷진흥원도 옵니다. 신고 창구가 둘이라 대응 문서도 둘로 갈라집니다.
여기에 2026년 10월 1일부터 과징금이 하나 더 생겼습니다. 그러면 같은 사고로 과징금을 두 번 받는가 하는 질문이 바로 따라오는데, 개정법은 그 질문을 예상하고 답을 조문에 적어 두었습니다. 다만 그 답이 조문 안쪽에 있어서 눈에 잘 띄지 않습니다.
새로 생기는 과징금은 무엇인가
개정 정보통신망법 제48조의8은 「침해사고의 반복적 발생에 대한 과징금의 부과」입니다. 과학기술정보통신부장관이 부과하고, 요건은 셋입니다.
첫째, 대상이 정보통신서비스 제공자입니다. 둘째, 고의 또는 중과실이 있어야 합니다. 셋째, 침해사고가 5년 이내의 기간 동안 2회 이상 발생해야 합니다. 이 셋이 모두 충족되면 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 넘지 않는 범위에서 과징금을 부과할 수 있습니다.
여기서 말하는 침해사고는 법 제2조 제1항 제7호의 정의를 따릅니다. 해킹·컴퓨터바이러스·논리폭탄·메일폭탄·서비스거부·고출력 전자기파 같은 방법이나, 보호·인증 절차를 우회하는 프로그램을 설치하는 방법으로 정보통신망이나 관련 정보시스템을 공격하는 행위로 인하여 발생한 사태입니다. 개인정보가 새어 나갔는지는 이 정의에 들어 있지 않습니다.
부과할 때 고려해야 할 사항은 일곱 가지로 열거되어 있습니다(제2항). 침해사고의 횟수, 고의·과실 여부, 정보가 유출·위조·변조·훼손된 경우 위반행위와의 관련성 및 그 규모, 피해 회복과 확산 방지 조치의 이행 여부, 업무 형태 및 규모, 이용자에게 미치는 영향과 피해 규모, 예방과 신속 대응을 위한 노력입니다.
그래서 같은 사고에 두 번 부과되나
제48조의8 제4항이 이 질문에 직접 답합니다.
제1항에 따른 과징금은 「개인정보 보호법」 제64조의2제1항제9호에 해당하는 경우에는 적용하지 아니한다.
인용된 제9호를 펴 보면 이렇습니다.
- 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우. 다만, 개인정보가 유출등이 되지 아니하도록 개인정보처리자가 제29조(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.
두 조문을 이어 붙이면 결론이 나옵니다. 개인정보가 유출된 침해사고에는 정보통신망법 과징금을 적용하지 않습니다. 그 사고는 개인정보 보호법 제64조의2 제1항 제9호로 개인정보보호위원회가 다루고, 과학기술정보통신부장관의 과징금은 적용되지 않습니다.
거꾸로 말하면 정보통신망법 과징금의 자리는 개인정보가 새지 않은 침해사고입니다. 서비스가 마비된 사고, 시스템에 침입당했지만 개인정보 테이블에는 닿지 않은 사고, 소스코드나 영업정보만 빠져나간 사고가 여기에 해당합니다. 그동안 이런 사고는 과태료와 시정명령의 대상이었고 매출액에 연동되는 금전 제재가 없었습니다. 2026년 10월 1일에 달라진 것이 이 지점입니다.
개인정보 유출 쪽에서 과징금이 실제로 얼마나 부과돼 왔는지는 결정문 단위로 볼 수 있습니다. 위반 조문별로 갈라 보면 과징금이 붙는 경우와 과태료에 그치는 경우가 나뉩니다.
→ 개인정보 과징금·과태료 사례 1,051건 — 개인정보위 제재 결정문 전수 DB
무엇이 갈림선인가
실무에서 이 구조는 사고 대응의 초기 판단을 바꿉니다. 어느 법으로 가는지가 개인정보 유출 여부로 갈리기 때문입니다.
| 사고의 성격 | 과징금 근거 | 부과 기관 |
|---|---|---|
| 개인정보가 유출된 침해사고 | 개인정보 보호법 제64조의2 제1항 제9호 | 개인정보보호위원회 |
| 개인정보 유출이 없는 침해사고 | 정보통신망법 제48조의8 제1항 | 과학기술정보통신부장관 |
그래서 사고 초기에 「개인정보가 포함되었는가」를 확정하는 일은 신고 의무의 문제만이 아닙니다. 어느 법의 과징금 사정권에 들어가는지를 정하는 판단이기도 합니다. 두 법의 요건이 다르기 때문에 이 차이는 금액이 아니라 방어 논리 자체를 바꿉니다. 개인정보 보호법 쪽에서는 안전조치를 다했는지가 쟁점이 되고, 정보통신망법 쪽에서는 고의 또는 중과실이 있었는지와 5년 안에 두 번인지가 쟁점이 됩니다.
개인정보 보호법 쪽 상한이 9월 11일에 어떻게 올라갔는지는 2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로에서, 그 개정 전체의 준비 항목은 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나에서 다룹니다.
⚠️ 배제되는 것은 과징금뿐입니다. 제4항이 적용을 배제하는 것은 제1항의 과징금이고, 두 법의 과태료·시정명령·이행강제금은 그대로 남습니다. 개인정보 유출 사고에서 개인정보위 과징금을 받으면서 동시에 정보통신망법상 시정명령과 그 불이행에 따른 이행강제금(제48조의7)을 받는 상황은 이 조항으로 막히지 않습니다.
문언에 남아 있는 자리 하나
제9호에는 단서가 붙어 있습니다. 개인정보가 유출되지 않도록 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우는 제9호에 해당하지 않습니다.
그러면 제48조의8 제4항의 배제도 함께 풀립니다. 제4항은 「제9호에 해당하는 경우」를 배제하는데, 단서로 해당하지 않게 되면 배제할 것이 없기 때문입니다. 문언만 따라가면 안전조치를 다해서 개인정보위 과징금을 면한 사업자가 정보통신망법 과징금의 사정권에는 남는 구조가 됩니다.
다만 이런 경우가 실제로 생기기는 어려워 보입니다. 제48조의8 제1항이 고의 또는 중과실을 요건으로 두고 있어서, 안전성 확보 조치를 다했다고 인정된 사업자에게 중과실을 인정하기가 쉽지 않기 때문입니다. 두 판단이 서로 다른 조문의 서로 다른 요건이라 논리적으로 양립할 수는 있지만, 실제 사건에서 그 조합이 성립하려면 안전조치와 무관한 다른 국면에서 중과실이 있어야 합니다.
지금 단계에서 확정해 말할 수 있는 것은 여기까지입니다. 이런 경우가 실제로 생기는지는 시행 후 첫 사건이 나와야 알 수 있고, 그때 이 글에 결과를 붙이겠습니다.
시행령은 과징금을 어떻게 산정하나요?
정보통신망법 시행령 개정령은 2026년 9월 30일 대통령령 제36735호로 공포되어 2026년 10월 1일 시행됐습니다. 과학기술정보통신부장관은 법 제48조의8 제1항의 요건이 충족되면 과징금을 부과할 수 있고, 그 상한의 기준이 되는 매출액은 시행령 제60조의11이 정합니다. 이 개정으로 종전 제60조의10과 제60조의11은 각각 제60조의17과 제60조의18로 이동했으므로, 사내 문서에서 종전의 조 번호를 인용해 둔 곳은 함께 고쳐야 합니다.
시행령 제60조의11 제1항은 최근의 침해사고 발생일이 속하는 사업연도를 기준으로 매출액을 산정하도록 하고, 사업개시 이후의 기간에 따라 네 가지로 구분합니다. 사업개시 후 3년 이상 지난 사업자는 직전 3개 사업연도의 연평균 매출액이 기준입니다. 사업개시 후 1년 이상 3년 미만인 사업자와 직전 사업연도에 사업을 개시해 1년 미만인 사업자는 사업개시일부터 직전 사업연도 말일까지의 매출액을 연평균 매출액으로 환산한 금액이 기준입니다. 사고가 난 사업연도에 사업을 시작한 사업자라면 개시일부터 가장 최근 사고일까지 올린 매출을 1년치로 환산한 금액이 기준이 됩니다.
여기서 침해사고와 관련이 없는 매출액은 빼고 계산합니다. 같은 조 제2항은 빼는 매출액 두 가지를 정보통신서비스 제공과 관련이 없는 재화·서비스의 매출액, 그리고 과학기술정보통신부장관이 침해사고로 직접·간접 영향을 받는 재화·서비스의 매출액이 아닌 것으로 정하여 고시하는 매출액으로 정합니다. 과학기술정보통신부장관은 매출액 산정에 필요하면 20일 이내의 기간을 정해 사업자에게 자료 제출을 요청할 수 있습니다. 구체적인 산정 기준과 절차는 같은 조 제4항이 별표 5의3으로 넘겼습니다. 부과 통지를 받은 사업자는 통지받은 날부터 30일 이내에 과징금을 납부해야 합니다. 납부기한 연기는 원래 기한의 다음 날부터 2년을 넘을 수 없고, 분할납부의 횟수는 6회를 넘을 수 없습니다.
별표 5의3은 과징금을 네 단계로 산정합니다 — 기준금액, 1차 조정, 2차 조정, 부과과징금 결정입니다. 첫 단계에서 과학기술정보통신부장관은 위 매출액에 부과기준율을 곱해 기준금액을 냅니다. 부과기준율은 법 제48조의8 제2항 각 호의 사항을 고려해 판단한 침해사고의 중대성에 따라 네 구간으로 나뉩니다.
| 침해사고의 중대성 | 부과기준율의 범위 |
|---|---|
| 매우 중대한 침해사고 | 2.1% 이상 2.7% 이하 |
| 중대한 침해사고 | 1.5% 이상 2.1% 미만 |
| 보통 침해사고 | 0.9% 이상 1.5% 미만 |
| 약한 침해사고 | 0.03% 이상 0.9% 미만 |
1차 조정에서 장관은 침해사고의 기간, 침해사고로 얻은 이익(비용절감 포함), 사업자의 업무 형태와 규모를 고려해 기준금액을 100분의 90 범위에서 늘리거나 줄일 수 있습니다. 2차 조정에서 장관은 조사 협조, 피해 회복과 확산 방지 조치, 정보보호 인력·예산 확보와 인증 등 정보보호를 위한 전반적 노력, 침해사고의 주도 여부, 자진신고 여부를 고려해 1차 조정 금액을 100분의 50 범위에서 다시 늘리거나 줄일 수 있습니다. 마지막으로 장관은 재산상태 등 현실적인 부담능력이나 경제위기에 따른 산업 여건 악화를 고려해, 과중하다고 인정되는 금액을 100분의 90 범위에서 감경할 수 있습니다. 사업자가 과징금을 체납하고 있으면 장관은 2차 조정과 마지막 단계에서 감경하지 않을 수 있습니다. 어느 단계에서 가중하더라도 과징금은 법 제48조의8 제1항의 상한인 매출액의 100분의 3을 넘을 수 없습니다. 중대성 판단 기준과 각 조정의 세부 기준은 별표 5의3 제3호가 과학기술정보통신부장관 고시로 넘겼습니다.
그래서 지금 할 수 있는 준비는 셋으로 보입니다. 우선 어느 법으로 갈 사고인지를 가르는 절차를 사고대응 문서에 넣어 두는 일입니다. 다음으로 회사가 네 가지 구분 가운데 어디에 들어가는지를 재무 담당 부서와 함께 확인해 두는 일입니다. 기준이 사업연도와 사업개시 시점에 걸려 있어서, 같은 사고라도 어느 구분에 들어가는지에 따라 기준이 되는 매출액이 달라집니다. 나아가 침해사고와 관련이 없는 매출액을 다툴 자료를 사고가 나기 전에 정리해 두는 일입니다. 제품·서비스별 매출 구분과 정보통신서비스 해당 여부를 사고가 난 뒤에 재구성하려면 20일 안에 자료를 내기 어려울 여지가 있습니다.
과징금을 받으면 ISMS 인증도 취소될 수 있나요?
과징금을 부과받았다는 사실만으로 정보보호 관리체계 인증(이하 "ISMS 인증")의 취소 사유가 생기지는 않습니다. 2026년 10월 1일 시행된 개정 정보통신망법 제47조 제10항 제4호는 정보보호 관계 법령 위반과 위반사유의 중대성에 더해 대통령령으로 정하는 경우일 것을 요구하고, 같은 날 시행된 시행령 제52조의2는 그 경우를 과징금 부과와 중대성 단계의 결합으로 정했습니다. 네 단계 가운데 「매우 중대」 또는 「중대」로 판단된 과징금이어야 취소 사유에 해당하게 되고, 「보통」이나 「약한」으로 판단된 과징금은 제4호에 들어가지 않습니다. 요건이 충족된 경우에도 과학기술정보통신부장관은 인증을 취소할 수 있을 뿐이고, 취소가 의무인 것은 아닙니다.
시행령 제52조의2는 경로를 둘로 나눕니다. 제1호는 정보통신망법 제48조의8의 과징금과 별표 5의3의 침해사고 중대성을, 제2호는 개인정보 보호법 제64조의2의 과징금과 같은 법 시행령 별표 1의5의 위반행위 중대성을 기준으로 삼습니다. 앞에서 본 제48조의8 제4항에 따라 개인정보가 유출된 침해사고는 개인정보 보호법 과징금으로 가므로, 그 사고에서 ISMS 인증 취소 사유는 제2호로 문제 되고 개인정보 유출이 없는 반복 침해사고는 제1호로 문제 됩니다. 한편 제2호에서는 판단 기관이 둘입니다. 개인정보위가 과징금 처분에서 판단한 중대성이 과학기술정보통신부장관이 인증을 취소하는 요건이 됩니다.
다만 제1호의 중대성 판단 기준을 정할 과학기술정보통신부장관 고시는 2026년 10월 20일 국가법령정보센터 행정규칙 검색과 전자관보, 과학기술정보통신부 홈페이지의 고시 게시판 어디에서도 확인되지 않았습니다. 같은 날 과학기술정보통신부의 입법·행정예고 게시판에도 이 고시의 행정예고는 올라와 있지 않았습니다. 개인정보 보호법 제32조의2 제3항 제4호는 위반사유가 중대한 경우 개인정보위가 개인정보 보호 인증을 취소할 수 있도록 하면서, 대통령령으로 요건을 좁히는 문구를 두지 않았습니다. 한편 개정 정보통신망법 부칙 제2조는 제47조 제10항 제4호를 2026년 10월 1일 이후 정보보호 관계 법령의 중대한 위반사유가 발생한 경우부터 적용하도록 정했습니다. 따라서 시행 전에 발생한 위반으로 부과받은 과징금은 제4호의 취소 사유에 들어가지 않는 것으로 보입니다.
그러므로 조사와 의견제출 단계에서 중대성 단계는 과징금 액수와 인증 유지에 함께 영향을 미치는 것으로 보입니다. 개인정보 보호법 과징금으로 가는 사고라면 회사는 같은 법 시행령 별표 1의5가 정한 위반행위의 내용과 정도, 안전성 확보 조치 이행 노력, 유출등의 규모와 같은 중대성 판단 요소에 관한 자료를 따로 정리해 둘 가치가 있습니다. 나아가 ISMS 인증이 의무이거나 거래·입찰의 조건인 회사는 인증 취소가 사업에 미치는 영향을 사고 대응 계획에 넣어 두는 방안을 검토할 수 있습니다.
아직 정해지지 않은 것
횟수를 세는 쪽에는 여전히 정해지지 않은 것이 있습니다. 부칙 제7조 제1항이 「시행 이후 최초로 … 2회 이상 발생한 경우부터」라고만 적어, 시행 전 사고를 횟수에 넣는지가 문언으로 갈리지 않습니다. 그 기산점은 시행 전에 난 침해사고 한 번은 「2회」에 들어가나에서 부칙 문언과 함께 따로 다뤘습니다.
침해사고의 중대성 판단 기준을 정할 장관 고시도 같은 상태입니다. 그 고시는 과징금 산정에 쓰이는 중대성 판단 기준을 정하는 데 그치지 않고, 시행령 제52조의2 제1호에 따라 ISMS 인증 취소 사유에 해당하는 침해사고의 범위도 함께 정하게 됩니다.
자주 묻는 질문
Q. 같은 침해사고로 과기정통부와 개인정보위가 각각 과징금을 부과할 수 있나요?
Q. 정보통신망법 과징금은 어떤 사고에 적용되나요?
Q. 안전조치를 다했다고 인정되면 어느 쪽 과징금도 안 나오나요?
Q. 과징금을 받으면 ISMS 인증이 취소되나요?
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
정보통신망 이용촉진 및 정보보호 등에 관한 법률(법률 제21500호, 2026. 3. 31. 공포, 2026. 10. 1. 시행) 제48조의8 — 국가법령정보센터
개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 제64조의2 — 국가법령정보센터
정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(대통령령 제36735호, 2026. 9. 30. 공포, 2026. 10. 1. 시행) 제60조의11부터 제60조의14까지와 별표 5의3 — 국가법령정보센터
정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조 제10항 제4호·같은 법 시행령 제52조의2(인증의 취소) · 개인정보 보호법 제32조의2 제3항 제4호·같은 법 시행령 별표 1의5 — 국가법령정보센터(2026. 10. 12. 확인)
이 글을 인용하실 때: 이현섭, 「침해사고에 과징금이 두 번 나올 수 있나 — 10월 1일부터 두 법이 갈리는 지점」, IT·개인정보·데이터 법률노트(datalaw.kr), 2026. 10. 27. 최종 수정, https://datalaw.kr/posts/dual-fine-exclusion-network-act/.
2026년 10월 1일 수정: 위임 시행령이 2026년 9월 30일 대통령령 제36735호로 공포되고 10월 1일 시행됐습니다. 시행령 제60조의11의 매출액 산정 구조와 제60조의12부터 제60조의14까지의 부과·납부 절차를 원문으로 확인해 「아직 정해지지 않은 것」 절에서 금액 부분을 「시행령은 과징금을 어떻게 산정하나요?」 절로 옮겨 다시 썼습니다. 어느 법으로 가는지를 가르는 이 글의 결론은 달라지지 않았습니다. 같은 날 별표 5의3의 산정 단계와 중대성별 부과기준율 구간을 원문으로 대조해 덧붙였습니다.
2026년 10월 12일 수정: 정보통신망법 제47조 제10항 제4호와 시행령 제52조의2를 기준으로 과징금 처분이 ISMS 인증 취소 사유에 해당하게 되는 요건을 다룬 절과 자주 묻는 질문 1문항을 추가했습니다.
2026년 10월 20일 수정: 중대성 판단 기준을 정할 과학기술정보통신부장관 고시의 제정 여부를 국가법령정보센터 행정규칙 검색과 전자관보, 과학기술정보통신부 홈페이지의 고시 게시판과 입법·행정예고 게시판에서 다시 확인했습니다. 종전에는 홈페이지 게시판을 확인하지 못했다고 적었는데, 네 경로를 모두 확인한 결과로 고쳤습니다. 이 글의 결론은 달라지지 않았습니다.