해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가

핵심 요약: 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정하며, 해킹인지 담당자 실수인지를 요건으로 삼지 않습니다. 면책되는 경우는 법 제29조에 따른 안전성 확보에 필요한 조치를 다한 때뿐입니다(같은 호 단서). 개인정보보호위원회가 2026년 5월 15일 발표한 분석에서도 2025년 유출 관련 조사·처분 115건의 원인 1위는 업무 과실(53건, 46%)이었고, 부과액은 반대로 해킹에 1,440억 원(91%)이 몰려 있었습니다. 메일 오발송 같은 업무 과실은 1천 명 이상이거나 민감정보·고유식별정보가 포함되지 않는 한 신고 대상이 아닐 수 있지만(시행령 제40조 제1항), 정보주체 통지에는 그런 면제가 없습니다(시행령 제39조 제1항).

유출 사고 초기 회의에서 거의 반드시 나오는 말이 있습니다.

"해킹당한 것도 아니고, 담당자가 메일을 잘못 보낸 건데요."

그 판단이 어디서부터 어긋나는지 봅니다.

처분 통계는 어느 쪽을 가리키고 있나

개인정보보호위원회와 한국인터넷진흥원이 2026년 5월 15일 발간한 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」는 두 갈래로 읽힙니다.

신고 단계에서는 2025년 접수된 447건 중 해킹이 62%(276건)로 가장 많고 업무 과실은 25%(110건)입니다. 조사·처분 단계는 구성이 다릅니다.

같은 해 유출 관련 조사·처분 115건의 원인은 업무 과실 46%(53건), 해킹 45%(52건), 시스템 오류 7%(8건) 순이었습니다. 접수된 신고와 그해 처분된 사건은 서로 다른 모집단이라 둘을 나누어 비율을 만들 수는 없지만, 각각의 구성만으로도 방향은 분명합니다.

부과액은 반대편으로 쏠립니다. 115건의 과징금·과태료 1,583억 원 가운데 1,440억 원(91%)이 해킹에 따른 것이었습니다. 금액은 해킹이 만들고 건수는 업무 과실이 만드는 셈이고, 민간 부문 처분 150건의 절반인 75건은 중소기업이었습니다.

법은 해킹인지 실수인지를 묻는가

법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 규정합니다. 조문 어디에도 침입자가 있어야 한다는 요건은 없습니다.

빠져나가는 문은 같은 호 단서 하나뿐입니다. 개인정보가 유출되지 아니하도록 법 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우에만 부과를 면합니다. 해킹이든 오발송이든 통과해야 하는 관문은 같고, 상한은 전체 매출액의 100분의 3입니다.

실수한 사람이 우리 직원이 아니라 수탁사 직원이어도 마찬가지입니다. 위탁자가 법 제26조 제4항의 교육·감독을 소홀히 하여 수탁자가 법을 위반하면 위탁자에게 과징금이 부과될 수 있고(법 제64조의2 제1항 제5호), 손해배상 국면에서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다(제26조 제7항). 개인정보보호위원회도 수탁사를 통한 연쇄적인 유출을 관리 사각지대로 지목한 바 있습니다.

업무 과실이 오히려 설명하기 어려운 이유

안전조치를 다했는지는 시행령 제30조 제1항 각 호의 이행 여부로 판단됩니다.

그런데 업무 과실 유출은 사실관계 자체가 그 각 호의 결함을 드러내는 경우가 많습니다. 담당자가 접근할 수 있는 범위가 필요 이상으로 넓었다는 것(제2호 가목의 접근 권한 부여·변경·말소 기준), 대량 조회나 반출을 걸러 내는 통제가 없었다는 것(제3호의 접근 통제), 취급자 교육과 내부 관리계획 점검이 형식에 그쳤다는 것(제1호 가목)이 사고 경위에 그대로 묻어납니다.

접근 통제가 무너지는 지점은 사내 시스템만이 아닙니다. 제휴 API로 받은 개인정보가 응답에 섞여 들어와 그대로 쌓이는 구조도 같은 문제를 만듭니다. 그 경우 받은 쪽이 어떤 조문의 수범자가 되는지는 제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔을 때에서 다뤘습니다.

해킹에는 외부 공격이 고도화되었다는 설명의 여지라도 있지만, 오발송에는 그 설명이 성립하기 어렵습니다.

처분 여부와 금액은 어디서 갈리나

둘은 별개의 문제입니다. 금액을 키우는 것은 위반행위의 내용 및 정도(법 제64조의2 제4항 제1호), 유출의 규모(제5호), 정보주체의 피해 규모(제9호)이고, 해킹은 대개 대량 유출이어서 이 항목들이 크게 잡힙니다.

반면 같은 항의 안전성 확보 조치 이행 노력(제4호), 피해의 회복 및 확산 방지 조치의 이행 여부(제6호), 보호위원회와의 협조 등 시정 조치 여부(제11호)는 회사가 사고 전후에 스스로 쌓을 수 있는 요소입니다. 경미하거나 소액인 경우 부과하지 않을 수 있다는 규정도 있지만(제5항 제3호), 재량이지 권리가 아닙니다.

실제 분포도 이 구분과 맞습니다. 결정문이 공개된 의결 가운데 안전조치의무(제29조)가 인정된 452건에서 과징금은 99건이고, 그 가운데 57건이 유출 통지·신고 조문과 함께 인정됐습니다. 안전조치가 미흡했다는 사실만으로는 대체로 과태료에 그치고, 그 미흡이 실제 유출로 이어졌을 때 과징금으로 올라갑니다. 그 과징금 건들이 결정문에서 무슨 행위로 적혔는지는 「위법성 판단」 절의 표제를 모은 위반행위 층에서 유형별로 볼 수 있습니다 — 직원 과실이 어느 표제로 분류돼 왔는지가 여기서 확인됩니다.

2026년 9월 11일부터 이 고려사항은 제5항으로, 미부과 사유는 제7항으로 옮겨 갔고 보호 투자를 이유로 한 감경 규정이 제6항으로 신설됐으며, 고의 또는 중대한 과실이 있는 경우는 감경에서 제외됩니다.

오발송이면 신고하지 않아도 되는가

신고 사유를 정한 시행령 제40조 제1항 제3호는 "외부로부터의 불법적인 접근"에 의한 유출을 대상으로 합니다. 오발송은 여기에 해당하지 않으므로, 1천 명 이상이거나 민감정보·고유식별정보가 포함되지 않는 한 신고 대상이 아닐 수 있습니다. 같은 항 단서는 한 걸음 더 나가, 유출등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다고 정합니다.

정보주체에 대한 통지는 다릅니다. 시행령 제39조 제1항에는 그런 면제가 없어, 회수를 마쳤더라도 통지 의무는 그대로 남습니다. 이 구분을 반대로 알고 "회수했으니 통지는 생략하고 신고만 하자"고 정리하는 경우가 실무에서 드물지 않습니다.

조사에서 결국 무엇이 남는가

조사 국면에서 회사가 내놓을 수 있는 자료는 두 가지로 좁혀집니다. 사고 전에 쌓아 둔 시행령 제30조 제1항 각 호의 이행 기록, 그리고 유출을 인지한 뒤 72시간 동안 무엇을 했는지의 기록입니다.

2026년 9월 11일부터 제재의 폭도 넓어졌습니다. 고의 또는 중대한 과실로 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우, 또는 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 같은 호의 위반행위를 다시 한 경우에는 전체 매출액의 100분의 10까지 과징금이 부과될 수 있습니다(개정 법 제64조의2 제2항, 법률 제21445호).

유출을 인지한 직후 72시간 동안 무엇을 해야 하는지는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에서 단계별로 정리했습니다. 개정법이 유출 대응의 셈법 자체를 어떻게 바꾸는지는 2026년 9월 개인정보보호법 개정으로 과징금 상한이 어떻게 바뀌나에서 다뤘습니다.

자주 묻는 질문

Q. 해킹이 아니라 담당자의 실수로 유출됐어도 과징금을 받을 수 있나요?

받을 수 있습니다. 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정할 뿐 유출 원인을 구분하지 않습니다. 같은 호 단서에 따라 법 제29조의 안전성 확보에 필요한 조치를 다한 경우에만 부과를 면합니다. 개인정보보호위원회가 2026년 5월 15일 발표한 분석에 따르면 2025년 유출 관련 조사·처분 115건 중 원인이 업무 과실인 것이 53건(46%)으로 가장 많았습니다.

Q. 잘못 보낸 메일을 회수·삭제했으면 신고와 통지를 모두 생략할 수 있나요?

아닙니다. 유출 경로가 확인되고 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 보호위원회·전문기관에 대한 신고는 하지 않을 수 있지만(시행령 제40조 제1항 단서), 정보주체에 대한 통지에는 그런 면제 규정이 없습니다. 통지는 규모·유형과 무관하게 모든 유출등에 적용되고 기한은 유출등을 알게 된 때부터 72시간입니다(시행령 제39조 제1항). 신고와 통지의 면제 여부를 반대로 아는 경우가 많습니다.

Q. 수탁사 직원의 실수로 유출됐는데 위탁사도 처분 대상이 되나요?

될 수 있습니다. 위탁자가 법 제26조 제4항의 교육·감독을 소홀히 하여 수탁자가 법을 위반한 경우 위탁자에게 과징금이 부과될 수 있습니다(법 제64조의2 제1항 제5호). 손해배상 국면에서는 수탁자를 개인정보처리자의 소속 직원으로 보고(제26조 제7항), 안전조치의무 등은 수탁자에게도 준용됩니다(제26조 제8항). 개인정보보호위원회도 수탁사를 통한 연쇄적인 유출을 관리 사각지대로 지목한 바 있습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

Q. 과징금과 과태료가 함께 부과될 수도 있나요?

근거가 다른 별개의 제재이므로 함께 부과될 수 있습니다. 안전조치를 소홀히 해 개인정보가 유출된 것은 과징금 사유이고(법 제64조의2 제1항 제9호), 정보주체 통지나 보호위원회 신고를 하지 않은 것은 각각 3천만 원 이하의 과태료 사유입니다(법 제75조 제2항 제17호·제18호). 개인정보보호위원회가 2026년 7월 8일 제13회 전체회의에서 한 사업자에게 과징금 5억 300만 원과 과태료 540만 원을 함께 부과한 것이 같은 구조입니다.

Q. 유출을 낸 담당 직원 개인도 처벌받나요?

회사에 대한 과징금과 별개로 개인의 형사책임이 문제될 수 있습니다. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위(법 제59조 제2호)와, 정당한 권한 없이 또는 허용된 권한을 초과해 다른 사람의 개인정보를 이용·유출하는 행위(같은 조 제3호)는 각각 5년 이하의 징역 또는 5천만 원 이하의 벌금 대상입니다(법 제71조 제9호·제10호). 다만 이들 조항은 고의를 전제로 하므로, 단순 과실에 의한 오발송이 여기에 해당하는지는 사실관계에 따라 달라집니다.

업무 과실이든 해킹이든 인지 이후의 절차는 같은 축을 따릅니다. 그 전체 순서는 개인정보 유출 사고 대응 — 인지부터 처분·구상까지에 있습니다.

참고 자료

• 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한), 제29조(안전조치의무), 제34조(개인정보 유출 등의 통지·신고), 제64조의2(과징금의 부과)
• 개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치), 제39조(개인정보 유출 등의 통지), 제40조(개인정보 유출 등의 신고)
• 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제64조의2 제2항·제5항·제6항·제7항
• 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」 (2026년 5월 15일 보도자료, 원문)