해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가

핵심 요약: 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정하며, 해킹인지 담당자 실수인지를 요건으로 삼지 않습니다. 면책되는 경우는 법 제29조에 따른 안전성 확보에 필요한 조치를 다한 때뿐입니다(같은 호 단서). 개인정보보호위원회가 2026년 5월 15일 발표한 분석에서도 2025년 유출 관련 조사·처분 115건의 원인 1위는 업무 과실(53건, 46%)이었고, 부과액은 반대로 해킹에 1,440억 원(91%)이 몰려 있었습니다. 메일 오발송 같은 업무 과실은 1천 명 이상이거나 민감정보·고유식별정보가 포함되지 않는 한 신고 대상이 아닐 수 있지만(시행령 제40조 제1항), 정보주체 통지에는 그런 면제가 없습니다(시행령 제39조 제1항).

유출 사고 초기 회의에서 거의 반드시 나오는 말이 있습니다.

“해킹당한 것도 아니고, 담당자가 메일을 잘못 보낸 건데요.”

그 판단이 어디서부터 어긋나는지 봅니다.

처분 통계는 어느 쪽을 가리키고 있나

개인정보보호위원회와 한국인터넷진흥원이 2026년 5월 15일 발표한 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」는 두 갈래로 읽힙니다.

신고 단계에서는 2025년 접수된 447건 중 해킹이 62%(276건)로 가장 많고 업무 과실은 25%(110건)입니다. 조사·처분 단계는 구성이 다릅니다. 같은 해 유출 관련 조사·처분 115건의 원인은 업무 과실 46%(53건), 해킹 45%(52건), 시스템 오류 7%(8건) 순이었습니다. 접수된 신고와 그해 처분된 사건은 서로 다른 모집단이라 둘을 나누어 비율을 만들 수는 없지만, 각각의 구성만으로도 방향은 분명합니다.

부과액은 반대편으로 쏠립니다. 115건의 과징금·과태료 1,583억 원 가운데 1,440억 원(91%)이 해킹에 따른 것이었습니다. 금액은 해킹이 만들고 건수는 업무 과실이 만드는 셈이고, 민간 부문 처분 150건의 절반인 75건은 중소기업이었습니다.

법은 해킹인지 실수인지를 묻는가

법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 규정합니다. 조문 어디에도 침입자가 있어야 한다는 요건은 없습니다.

빠져나가는 문은 같은 호 단서 하나뿐입니다. 개인정보가 유출되지 아니하도록 법 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우에만 부과를 면합니다. 해킹이든 오발송이든 통과해야 하는 관문은 같고, 상한은 전체 매출액의 100분의 3입니다.

실수한 사람이 우리 직원이 아니라 수탁사 직원이어도 마찬가지입니다. 위탁자가 법 제26조 제4항의 교육·감독을 소홀히 하여 수탁자가 법을 위반하면 위탁자에게 과징금이 부과될 수 있고(법 제64조의2 제1항 제5호), 손해배상 국면에서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다(제26조 제7항). 개인정보보호위원회도 수탁사를 통한 연쇄적인 유출을 관리 사각지대로 지목한 바 있습니다.

업무 과실이 오히려 설명하기 어려운 이유

안전조치를 다했는지는 시행령 제30조 제1항 각 호의 이행 여부로 판단됩니다.

그런데 업무 과실 유출은 사실관계 자체가 그 각 호의 결함을 드러내는 경우가 많습니다. 담당자가 접근할 수 있는 범위가 필요 이상으로 넓었다는 것(제2호 가목의 접근 권한 부여·변경·말소 기준), 대량 조회나 반출을 걸러 내는 통제가 없었다는 것(제3호의 접근 통제), 취급자 교육과 내부 관리계획 점검이 형식에 그쳤다는 것(제1호 가목)이 사고 경위에 그대로 묻어납니다.

해킹에는 외부 공격이 고도화되었다는 설명의 여지라도 있지만, 오발송에는 그 설명이 성립하기 어렵습니다.

처분 여부와 금액은 어디서 갈리나

둘은 별개의 문제입니다. 금액을 키우는 것은 위반행위의 내용 및 정도(법 제64조의2 제4항 제1호), 유출의 규모(제5호), 정보주체의 피해 규모(제9호)이고, 해킹은 대개 대량 유출이어서 이 항목들이 크게 잡힙니다.

반면 같은 항의 안전성 확보 조치 이행 노력(제4호), 피해의 회복 및 확산 방지 조치의 이행 여부(제6호), 보호위원회와의 협조 등 시정 조치 여부(제11호)는 회사가 사고 전후에 스스로 쌓을 수 있는 요소입니다. 경미하거나 소액인 경우 부과하지 않을 수 있다는 규정도 있지만(제5항 제3호), 재량이지 권리가 아닙니다.

2026년 9월 11일부터는 이 고려사항이 제5항으로, 미부과 사유가 제7항으로 옮겨 가고 보호 투자를 이유로 한 감경 규정이 제6항으로 신설되되, 고의 또는 중대한 과실이 있는 경우는 감경에서 제외됩니다.

오발송이면 신고하지 않아도 되는가

신고 사유를 정한 시행령 제40조 제1항 제3호는 “외부로부터의 불법적인 접근"에 의한 유출을 대상으로 합니다. 오발송은 여기에 해당하지 않으므로, 1천 명 이상이거나 민감정보·고유식별정보가 포함되지 않는 한 신고 대상이 아닐 수 있습니다. 같은 항 단서는 한 걸음 더 나가, 유출등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다고 정합니다.

정보주체에 대한 통지는 다릅니다. 시행령 제39조 제1항에는 그런 면제가 없어, 회수를 마쳤더라도 통지 의무는 그대로 남습니다. 이 구분을 반대로 알고 “회수했으니 통지는 생략하고 신고만 하자"고 정리하는 경우가 실무에서 드물지 않습니다.

조사에서 결국 무엇이 남는가

조사 국면에서 회사가 내놓을 수 있는 자료는 두 가지로 좁혀집니다. 사고 전에 쌓아 둔 시행령 제30조 제1항 각 호의 이행 기록, 그리고 유출을 인지한 뒤 72시간 동안 무엇을 했는지의 기록입니다.

2026년 9월 11일부터는 제재의 폭도 넓어집니다. 고의 또는 중대한 과실로 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우, 또는 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 같은 호의 위반행위를 다시 한 경우에는 전체 매출액의 100분의 10까지 과징금이 부과될 수 있습니다(개정 법 제64조의2 제2항, 법률 제21445호).

유출을 인지한 직후 72시간 동안 무엇을 해야 하는지는 개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일에서 단계별로 정리했습니다. 개정법이 유출 대응의 셈법 자체를 어떻게 바꾸는지는 개인정보 유출사고, ‘조용히 수습’이 가장 비싼 선택이 됩니다에서 다뤘습니다.

자주 묻는 질문

Q. 해킹이 아니라 담당자의 실수로 유출됐어도 과징금을 받을 수 있나요?

받을 수 있습니다. 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정할 뿐 유출 원인을 구분하지 않습니다. 같은 호 단서에 따라 법 제29조의 안전성 확보에 필요한 조치를 다한 경우에만 부과를 면합니다. 개인정보보호위원회가 2026년 5월 15일 발표한 분석에 따르면 2025년 유출 관련 조사·처분 115건 중 원인이 업무 과실인 것이 53건(46%)으로 가장 많았습니다.

Q. 잘못 보낸 메일을 회수·삭제했으면 신고와 통지를 모두 생략할 수 있나요?

아닙니다. 유출 경로가 확인되고 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 보호위원회·전문기관에 대한 신고는 하지 않을 수 있지만(시행령 제40조 제1항 단서), 정보주체에 대한 통지에는 그런 면제 규정이 없습니다. 통지는 규모·유형과 무관하게 모든 유출등에 적용되고 기한은 유출등을 알게 된 때부터 72시간입니다(시행령 제39조 제1항). 신고와 통지의 면제 여부를 반대로 아는 경우가 많습니다.

Q. 수탁사 직원의 실수로 유출됐는데 위탁사도 처분 대상이 되나요?

될 수 있습니다. 위탁자가 법 제26조 제4항의 교육·감독을 소홀히 하여 수탁자가 법을 위반한 경우 위탁자에게 과징금이 부과될 수 있습니다(법 제64조의2 제1항 제5호). 손해배상 국면에서는 수탁자를 개인정보처리자의 소속 직원으로 보고(제26조 제7항), 안전조치의무 등은 수탁자에게도 준용됩니다(제26조 제8항). 개인정보보호위원회도 수탁사를 통한 연쇄적인 유출을 관리 사각지대로 지목한 바 있습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한), 제29조(안전조치의무), 제34조(개인정보 유출 등의 통지·신고), 제64조의2(과징금의 부과)
• 개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치), 제39조(개인정보 유출 등의 통지), 제40조(개인정보 유출 등의 신고)
• 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제64조의2 제2항·제5항·제6항·제7항
• 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」 (2026년 5월 15일 보도자료, 원문)