핵심 요약 — 침해사고가 나면 과학기술정보통신부와 개인정보보호위원회가 함께 옵니다. 2026년 10월 1일 시행되는 개정 정보통신망법이 반복 침해사고에 과징금을 새로 만들면서(제48조의8), 같은 사고로 두 기관의 과징금이 겹치는가가 실무의 첫 질문이 되었습니다. 답은 같은 조 제4항에 있습니다 — 「개인정보 보호법」 제64조의2 제1항 제9호에 해당하는 경우에는 적용하지 않습니다. 제9호가 개인정보 유출 사건이므로, 개인정보가 유출된 침해사고는 개인정보위 쪽으로 가고 정보통신망법 과징금은 비켜섭니다. 정보통신망법 과징금의 자리는 개인정보가 새지 않은 침해사고입니다. 그 자리에 들어가면 상한은 대통령령으로 정하는 매출액의 100분의 3이고, 요건은 고의 또는 중과실로 침해사고가 5년 이내에 2회 이상 발생한 경우입니다.
침해사고가 나면 회사는 두 기관을 동시에 상대합니다. 개인정보가 섞여 있으면 개인정보보호위원회가 오고, 정보통신망 공격이라는 성격 때문에 과학기술정보통신부와 한국인터넷진흥원도 옵니다. 신고 창구가 둘이라 대응 문서도 둘로 갈라집니다.
여기에 10월 1일부터 과징금이 하나 더 생깁니다. 그러면 같은 사고로 두 번 맞는가 하는 질문이 바로 따라오는데, 개정법은 그 질문을 예상하고 답을 조문에 적어 두었습니다. 다만 그 답이 조문 안쪽에 있어서 눈에 잘 띄지 않습니다.
새로 생기는 과징금은 무엇인가
개정 정보통신망법 제48조의8은 「침해사고의 반복적 발생에 대한 과징금의 부과」입니다. 과학기술정보통신부장관이 부과하고, 요건은 셋입니다.
첫째, 대상이 정보통신서비스 제공자입니다. 둘째, 고의 또는 중과실이 있어야 합니다. 셋째, 침해사고가 5년 이내의 기간 동안 2회 이상 발생해야 합니다. 이 셋이 모두 충족되면 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 넘지 않는 범위에서 과징금을 부과할 수 있습니다.
여기서 말하는 침해사고는 법 제2조 제1항 제7호의 정의를 따릅니다. 해킹·컴퓨터바이러스·논리폭탄·메일폭탄·서비스거부·고출력 전자기파 같은 방법이나, 보호·인증 절차를 우회하는 프로그램을 설치하는 방법으로 정보통신망이나 관련 정보시스템을 공격하는 행위로 인하여 발생한 사태입니다. 개인정보가 새어나갔는지는 이 정의에 들어 있지 않습니다.
부과할 때 고려해야 할 사항은 일곱 가지로 열거되어 있습니다(제2항). 침해사고의 횟수, 고의·과실 여부, 정보가 유출·위조·변조·훼손된 경우 위반행위와의 관련성 및 그 규모, 피해 회복과 확산 방지 조치의 이행 여부, 업무 형태 및 규모, 이용자에게 미치는 영향과 피해 규모, 예방과 신속 대응을 위한 노력입니다.
그래서 같은 사고에 두 번 부과되나
제48조의8 제4항이 이 질문에 직접 답합니다.
제1항에 따른 과징금은 「개인정보 보호법」 제64조의2제1항제9호에 해당하는 경우에는 적용하지 아니한다.
인용된 제9호를 펴 보면 이렇습니다.
- 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우. 다만, 개인정보가 유출등이 되지 아니하도록 개인정보처리자가 제29조(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.
두 조문을 이어 붙이면 결론이 나옵니다. 개인정보가 유출된 침해사고에는 정보통신망법 과징금을 적용하지 않습니다. 그 사고는 개인정보 보호법 제64조의2 제1항 제9호로 개인정보보호위원회가 다루고, 과학기술정보통신부장관의 과징금은 비켜섭니다.
거꾸로 말하면 정보통신망법 과징금의 자리는 개인정보가 새지 않은 침해사고입니다. 서비스가 마비된 사고, 시스템에 침입당했지만 개인정보 테이블에는 닿지 않은 사고, 소스코드나 영업정보만 빠져나간 사고가 여기에 해당합니다. 그동안 이런 사고는 과태료와 시정명령의 대상이었고 매출액에 연동되는 금전 제재가 없었습니다. 10월 1일에 달라지는 것이 이 지점입니다.
개인정보 유출 쪽에서 과징금이 실제로 얼마나 부과돼 왔는지는 결정문 단위로 볼 수 있습니다. 조문별로 갈라 보면 과징금이 붙는 자리와 과태료에 그치는 자리가 나뉩니다.
→ 개인정보 과징금·과태료 사례 889건 — 개인정보위 제재 결정문 전수 DB
무엇이 갈림선인가
실무에서 이 구조는 사고 대응의 초기 판단을 바꿉니다. 어느 법으로 가는지가 개인정보 유출 여부로 갈리기 때문입니다.
| 사고의 성격 | 과징금 근거 | 부과 기관 |
|---|---|---|
| 개인정보가 유출된 침해사고 | 개인정보 보호법 제64조의2 제1항 제9호 | 개인정보보호위원회 |
| 개인정보 유출이 없는 침해사고 | 정보통신망법 제48조의8 제1항 | 과학기술정보통신부장관 |
그래서 사고 초기에 「개인정보가 포함되었는가」를 확정하는 일은 신고 의무의 문제만이 아닙니다. 어느 법의 과징금 사정권에 들어가는지를 정하는 판단이기도 합니다. 두 법의 요건이 다르기 때문에 이 차이는 금액이 아니라 방어 논리 자체를 바꿉니다. 개인정보 보호법 쪽은 안전조치를 다했는지가 다투는 자리이고, 정보통신망법 쪽은 고의 또는 중과실이 있었는지와 5년 안에 두 번인지가 다투는 자리입니다.
개인정보 보호법 쪽 상한이 9월 11일에 어떻게 올라갔는지는 2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로에서, 그 개정 전체의 준비 항목은 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나에서 다룹니다.
⚠️ 배제되는 것은 과징금뿐입니다. 제4항이 비켜세우는 것은 제1항의 과징금이고, 두 법의 과태료·시정명령·이행강제금은 그대로 남습니다. 개인정보 유출 사고에서 개인정보위 과징금을 받으면서 동시에 정보통신망법상 시정명령과 그 불이행에 따른 이행강제금(제48조의7)을 받는 상황은 이 조항으로 막히지 않습니다.
문언에 남아 있는 자리 하나
제9호에는 단서가 붙어 있습니다. 개인정보가 유출되지 않도록 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우는 제9호에 해당하지 않습니다.
그러면 제48조의8 제4항의 배제도 함께 풀립니다. 제4항은 「제9호에 해당하는 경우」를 배제하는데, 단서로 해당하지 않게 되면 배제할 것이 없기 때문입니다. 문언만 따라가면 안전조치를 다해서 개인정보위 과징금을 면한 사업자가 정보통신망법 과징금의 사정권에는 남는 구조가 됩니다.
다만 이 자리가 실제로 벌어지기는 어려워 보입니다. 제48조의8 제1항이 고의 또는 중과실을 요건으로 두고 있어서, 안전성 확보 조치를 다했다고 인정된 사업자에게 중과실을 인정하기가 쉽지 않기 때문입니다. 두 판단이 서로 다른 조문의 서로 다른 요건이라 논리적으로 양립할 수는 있지만, 실제 사건에서 그 조합이 성립하려면 안전조치와 무관한 다른 국면에서 중과실이 있어야 합니다.
지금 단계에서 확정해 말할 수 있는 것은 여기까지입니다. 이 자리가 실제로 쓰이는지는 시행 후 첫 사건이 나와야 알 수 있고, 그때 이 글에 결과를 붙이겠습니다.
아직 정해지지 않은 것
과징금의 금액을 지금 계산할 수는 없습니다. 제48조의8 제1항의 「대통령령으로 정하는 매출액」이 무엇인지, 제3항이 위임한 구체적인 산정 기준과 절차가 어떻게 되는지가 모두 시행령에 맡겨져 있는데, 2026년 9월 10일 현재 정보통신망법 시행령 개정령은 공포되지 않았습니다(현행은 대통령령 제36502호, 2026년 7월 7일 시행). 국가법령정보센터 시행예정법령을 같은 날 다시 훑어도 이 시행령의 개정 예정 건은 올라와 있지 않습니다 — 시행일까지 3주가 남지 않았습니다.
시행일을 앞두고 시행령이 없는 상황은 개인정보 보호법 쪽도 같았습니다. 다만 그쪽은 시행 하루 전인 2026년 9월 10일 대통령령 제36671호가 공포되면서 해소됐습니다. 유출등의 가능성 통지 범위와 과징금 감경 사유가 그 시행령에 담겼습니다. 정보통신망법 쪽은 그대로 남아 있습니다 — 10월 1일 시행일까지 개정령이 공포되지 않으면 금액을 계산할 근거가 없는 채로 조문만 시행됩니다.
그래서 지금 할 수 있는 준비는 금액을 추산하는 일이 아니라 어느 법으로 갈 사고인지를 가르는 절차를 사고대응 문서에 넣어 두는 일입니다. 시행령이 공포되면 이 글에 산정 기준을 붙이겠습니다.
횟수를 세는 쪽에도 정해지지 않은 것이 있습니다. 부칙 제7조 제1항이 「시행 이후 최초로 … 2회 이상 발생한 경우부터」라고만 적어, 시행 전 사고를 횟수에 넣는지가 문언으로 갈리지 않습니다. 그 문제는 별도의 글에서 따로 다루겠습니다.
자주 묻는 질문
Q. 같은 침해사고로 과기정통부와 개인정보위가 각각 과징금을 부과할 수 있나요?
원칙적으로는 생기지 않습니다. 제48조의8 제4항이 개인정보 보호법 제64조의2 제1항 제9호에 해당하는 경우를 적용 대상에서 뺐기 때문입니다. 다만 과태료와 시정명령은 이 배제의 대상이 아닙니다.
Q. 정보통신망법 과징금은 어떤 사고에 적용되나요?
개인정보 유출이 없는 침해사고입니다. 서비스 마비, 시스템 침해, 소스코드나 영업정보 탈취가 여기에 해당합니다. 요건은 고의 또는 중과실과 5년 이내 2회 이상입니다.
Q. 안전조치를 다했다고 인정되면 어느 쪽 과징금도 안 나오나요?
문언만 보면 그렇지 않습니다. 제9호 단서로 제9호에 해당하지 않게 되면 제48조의8 제4항의 배제도 풀립니다. 다만 정보통신망법 과징금이 고의 또는 중과실을 요건으로 하므로 실제로 그 조합이 성립하는 경우는 좁습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 정보통신망 이용촉진 및 정보보호 등에 관한 법률(법률 제21500호, 2026. 3. 31. 공포, 2026. 10. 1. 시행) — 국가법령정보센터 시행예정 법령
- 개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) — 국가법령정보센터 시행예정 법령
- 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(현행) — 국가법령정보센터
