과징금이 '전체 매출액'으로 바뀐 뒤 실제로 인정된 감경 사유

개인정보위 조사 통보를 받았거나 유출 사고를 겪은 회사의 대표와 CFO가 가장 먼저 묻는 질문은 거의 항상 같습니다. "과징금이 얼마나 나옵니까." 이 질문에는 감(感)이 아니라 공식이 있습니다. 그리고 그 공식은 많은 분들의 직관과 다르게 움직입니다.

2026년 7월의 두 사건을 나란히 놓아 보면 그 차이가 분명해집니다. 락앤락은 약 130만 명의 개인정보가 유출된 사건에서 과징금 5억 300만 원을 부과받았습니다(2026년 7월 8일 전체회의). 반면 KT는 유출 인원이 16,647명으로 락앤락의 80분의 1 수준인데도 과징금이 539억 7,900만 원, 즉 100배 이상이었습니다(2026년 7월 29일 의결). 두 사건 모두 결정문이 아직 공개되지 않아 이 글에서는 개인정보위 보도자료를 기준으로 서술합니다만, 이 대비 하나만으로도 "과징금은 유출 인원수로 정해지지 않는다"는 점은 분명합니다. 금액을 만드는 것은 매출 규모, 위반의 중대성, 그리고 조정 단계에서 무엇이 가중되고 무엇이 감경되는가입니다.

핵심 요약 개인정보 보호법상 과징금은 '(전체 매출액 − 관련 없는 매출액) × 부과기준율’로 기준금액을 잡은 뒤 1차·2차 조정과 부과과징금 결정을 거치는 4단계로 산정됩니다. 2026년 공개된 결정문 세 건(롯데카드 96억 2,000만 원 · KS한국고용정보 35억 3,700만 원 · 듀오정보 11억 9,700만 원)에서 실제로 인정된 감경 사유는 위반으로 이득을 취하지 않은 점(−30%), 중기업 해당(합산 −55%), 자진 시정·조사 협조·ISMS-P 인증(−20~40%), 그리고 관련 없는 매출액의 일부 제외였습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반’에는 조정 단계의 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경이 함께 시행됩니다. 9월 10일 공포된 시행령(대통령령 제36671호)은 투자감경을 기준금액의 40% 이내, 1차 조정 앞의 독립 단계로 두어 산정은 5단계가 됩니다. 감경은 여전히 가능하지만, 그것을 주장하고 입증하는 부담은 조사받는 회사 쪽에 있습니다.

과징금은 무엇을 기준으로 산정되나요?

현행 개인정보 보호법 제64조의2 제1항(법률 제21445호)은 9개 호의 위반행위에 대해 전체 매출액의 3% 이하 과징금을 부과할 수 있도록 정하고 있습니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원 이하입니다. 9개 호 중 마지막인 제9호가 바로 개인정보 유출로, 안전조치 의무를 다한 경우는 제외됩니다.

'전체 매출액’이라는 말이 주는 인상보다는 출발점이 넓지 않습니다. 같은 조 제2항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 기준으로 산정하도록 정하고 있기 때문입니다. 시행령 제60조의2(대통령령 제36340호)는 이를 구체화합니다. 전체 매출액은 원칙적으로 직전 사업연도 매출액과 직전 3개 사업연도 연평균 매출액 중 큰 금액이고(사업 개시 3년 이상 기준), 제외되는 매출액은 개인정보 처리와 관련 없는 재화·서비스의 매출액, 그리고 위원회가 위반행위의 직접·간접 영향을 받는 재화·서비스의 매출액이 아니라고 인정하는 금액입니다. 위원회는 이 산정을 위해 20일 이내의 기간을 정해 재무제표 등 자료 제출을 요청할 수 있습니다.

이 '관련 없는 매출액’을 얼마나 넓게 제외받느냐가 실무에서 다투는 첫 번째 전선입니다. 뒤에서 보듯 실제 결정문에서 이 주장이 일부 수용된 사례가 있습니다.

금액은 어떤 단계를 거쳐 정해지나요?

현행 시행령 별표 1의5는 과징금 산정을 4단계로 정하고 있습니다. 9월 11일 시행된 개정 시행령(대통령령 제36671호)은 여기에 투자감경 단계를 더해 5단계로 만드는데, 그 내용은 아래 「앞으로도 이 감경이 그대로 인정될까요?」에서 다룹니다.

부과기준율은 중대성 등급에 따라 달라집니다. 매우 중대한 위반은 2.1~2.7%, 중대한 위반은 1.5~2.1% 미만, 보통 위반은 0.9~1.5% 미만, 약한 위반은 0.03~0.9% 미만입니다. 매출액 산정이 곤란한 경우에는 정액 기준이 적용됩니다(매우 중대 7억~18억 원, 중대 2억~7억 원, 보통 5천만~2억 원, 약한 위반 5백만~5천만 원). 가중을 하더라도 법정 상한인 전체 매출액의 3%를 넘을 수는 없습니다.

이 단계를 직접 대입해 보려면 과징금·과태료 산정 계산기에 매출액과 조정률을 넣어 보십시오. 아래에서 보는 결정문의 등급·조정률을 그대로 불러와 계산할 수도 있습니다.

마지막 단계에서는 법 제64조의2 제5항의 미부과 사유도 검토됩니다. 지급불능 등으로 납부능력이 없는 경우, 위반행위가 위법하지 않다고 오인한 데 정당한 사유가 있는 경우, 위반이 경미하거나 소액인 경우, 피해가 없거나 경미한 것으로서 대통령령으로 정하는 경우의 4개 호입니다.

왜 '중대성 판단’이 금액의 절반을 정하나요?

표에서 보듯 부과기준율의 폭은 0.03%에서 2.7%까지, 90배입니다. 같은 매출액이라도 위반이 '약한 위반’으로 분류되느냐 '매우 중대한 위반’으로 분류되느냐에 따라 출발선 자체가 수십 배 달라집니다. 그래서 결정문을 읽을 때 가장 먼저 봐야 할 부분이 중대성 판단입니다.

현행 별표 1의5는 중대성 판단 요소로 위반행위의 내용·정도, 암호화 등 안전조치 이행 노력, 유출 시 위반행위와의 관련성·유출 규모, 처리하는 개인정보의 유형과 영향, 정보주체 피해 규모의 5가지를 정하고 있습니다. 이 판단이 실제로 어떻게 이루어지는지는 롯데카드 결정문(2026년 3월 11일 의결, 사건 2025조일0053-01)이 잘 보여 줍니다. 이 사건에는 행위시법인 법률 제19234호가 적용됐고, 위원회는 과징금 부과기준 고시의 중대성 판단기준에 따라 고의·과실, 위반행위의 방법, 처리하는 개인정보의 유형, 피해 규모·영향의 네 가지 고려사항을 각각 판정한 뒤 둘 이상이 높은 수준에 해당하면 그 수준을 적용하는 방식으로 판단했습니다.

사실관계는 이렇습니다. 온라인 결제 로그파일에 주민등록번호 13자리가 평문으로 기록되고 있었고, 코드 기록상 최소 2018년 6월부터 약 7년간 이어졌습니다. 해커는 2017년에 이미 패치가 공개된 웹로직 취약점(CVE-2017-10271)으로 침입해 297만 명의 개인정보를, 그중 45만 명의 주민등록번호를 유출했습니다. 위원회는 법 제24조의2 제1항(법적 근거 없는 주민등록번호 처리)과 제2항(암호화 미조치) 위반을 인정하고 과징금 96억 2,000만 원과 과태료 480만 원, 시정명령·공표명령을 부과했습니다.

중대성 판정을 요소별로 보면, 고의·과실은 '중'(적극적 의도는 없고 관행적으로 시스템을 구축한 것), 위반행위의 방법도 '중'(법적 검토가 없었으나 조직적 관여는 아님)이었습니다. 그러나 개인정보 유형은 주민등록번호라는 점에서 '상', 피해 규모·영향은 700만 명을 대상으로 45만 명이 유출되고 7년간 지속됐다는 점에서 '상’으로 판정되어, 결론은 매우 중대한 위반행위였습니다. 회사는 '보통 위반’에 해당한다고 주장했지만 위원회는 법 준수 검토 부재, 이력 관리 부재, 7년의 지속 기간, 처리 규모와 유출 규모를 들어 받아들이지 않았습니다.

중대성 판정은 과징금 액수만 정하는 것이 아닙니다. 이 사건의 공표명령 사유는 매우 중대한 위반이라는 점, 위반상태가 3년을 초과해 지속된 점, 피해 정보주체가 10만 명 이상이라는 점이었습니다. 시정명령에는 개인정보 보호책임자의 책임성과 독립성을 강화하는 등 거버넌스 체계를 정비하고 90일 내 이행결과를 제출하라는 내용까지 포함됐습니다.

실제 결정문에서 인정된 감경 사유는 무엇인가요?

2026년에 결정문 전문이 공개된 세 사건의 조정 내역을 비교하면 다음과 같습니다.

몇 가지 패턴이 보입니다.

첫째, 관련 없는 매출액 제외 주장은 다퉈볼 실익이 있습니다. 롯데카드는 해킹당한 시스템과 관련된 매출로 한정해야 한다고 주장했고, 위원회는 전체 온라인 결제 서비스 매출로 더 넓게 봤습니다. 그러나 법인무기명카드·기프트카드·선불카드처럼 개인정보를 수집하지 않는 서비스의 매출과 카드 서비스와 무관한 기타 영업수익은 제외가 인정됐습니다. 전부 아니면 전무가 아니라 '일부 수용’이 실제 결과였습니다.

둘째, 1차 조정에서는 '위반으로 이득을 취하지 않았다’는 점이 세 사건 모두에서 30% 감경 사유로 인정됐습니다. 반대로 위반 기간이 2년을 초과한 점은 세 사건 모두 50% 가중 사유였습니다. 위반을 오래 방치할수록 이 단계에서 불리해지는 구조입니다. 듀오정보 사건에서는 중소기업기본법상 '중기업’에 해당한다는 점이 추가로 반영되어 이득 없음과 합산해 55%가 감경됐습니다. 회사 규모 자체가 감경 요소로 작동한 사례입니다.

셋째, 2차 조정의 감경 폭(20~40%)을 만든 것은 사고 후의 행동이었습니다. 사전통지 전에 시정을 완료한 점, 조사에서 일관되게 행위사실을 인정하고 자료 제출에 협조한 점, ISMS-P 인증을 보유한 점이 인정된 사유들입니다. 같은 날 의결된 KS한국고용정보 사건에서도 두 위반 건의 감경률이 40%와 30%로 달랐는데, 조사 협력과 시정 완료라는 공통 사유 외에 "그 밖에 줄일 필요가 있다고 인정"된 건에서 감경 폭이 더 컸습니다.

한편 2026년 7월 8일 전체회의에서는 락앤락(5억 300만 원, 약 130만 명 유출) 외에 콜센터 아웃소싱 업체 유베이스(1억 6,800만 원, 1,852명 유출), 사진장비 판매업체 썬포토(3,000만 원, 약 17만 명 유출)도 제재를 받았습니다. 이 세 건은 결정문이 아직 공개되지 않아 보도자료 기준으로만 알 수 있지만, 3,000만 원부터 539억 원까지의 스펙트럼은 매출 규모와 중대성이 금액을 결정한다는 구조를 다시 확인해 줍니다.

앞으로도 이 감경이 그대로 인정될까요?

비교 대상을 더 넓히려면 개인정보위 제재 추적기에서 과징금이 부과된 의결만 걸러 보십시오. 조문별로는 안전조치의무 99건과 주민등록번호 24건에 금액이 몰려 있습니다.

여기서 중요한 시점 문제가 있습니다. 위에서 본 결정문들은 모두 2026년 5월 19일 이전에 의결된 사건입니다. 그날 시행된 시행령 개정으로 별표 1의5에 과징금 감경의 제한(라목) 규정이 신설됐습니다. 매우 중대한 위반행위에 해당하면 1차·2차 조정에서 산정되는 감경의 전부 또는 일부를 적용하지 않을 수 있다는 내용입니다. 롯데카드 사건처럼 매우 중대한 위반으로 판정되는 사안이라면, 앞으로는 이득 없음이나 조사 협조 같은 사유가 있어도 감경이 전부 반영되지 않을 수 있는 구조가 된 것입니다. 이 규정이 실제 사건에서 어떻게 적용될지는 이후 공개될 결정문을 지켜봐야 합니다.

그리고 2026년 9월 11일부터 개정 법률(법률 제21445호, 2026년 3월 10일 공포)이 시행됐습니다. 변화는 두 방향입니다.

가중 방향으로는 '전체 매출액 10%' 트랙이 신설됐습니다. 다음 세 경우에는 과징금 상한이 전체 매출액의 3%가 아니라 10%(산정 곤란 시 50억 원)가 됩니다. ① 과징금 부과처분을 받은 날부터 3년 내에 같은 호의 위반행위를 다시 한 경우(전후 위반 모두 고의 또는 중대한 과실인 경우에 한정), ② 고의·중과실 위반으로 정보주체 피해 규모가 1천만 명 이상인 경우, ③ 시정조치 명령에 따르지 않아 유출이 발생한 경우입니다. 부칙 제3조의 적용례도 실무상 중요합니다. 재위반 가중은 시행 이후 발생한 위반행위로 과징금 처분을 받은 후 다시 위반한 경우부터 적용되므로, 시행 전에 받은 처분은 3년 시계의 기산점이 되지 않습니다. 반면 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용되고, 시정명령 불이행 조항은 시행 이후 받은 시정조치 명령부터 적용됩니다. 재위반 3년 시계의 계산 방법은 과거 제재 이력과 3년 시계에서 따로 정리했습니다.

감경 방향으로는 예방투자 감경이 의무 규정으로 들어왔습니다. 신설된 제64조의2 제6항은 예산·인력·설비·장치 등을 투자·운영하는 등 대통령령으로 정하는 사유가 있으면 과징금을 "감경한다"고 정합니다. '감경할 수 있다’가 아니라 '감경한다’입니다. 다만 고의 또는 중대한 과실로 위반한 경우는 제외됩니다. 이 감경 사유를 구체화할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 제60조의2 제5항은 예산·인력·설비·장치 등에 투자한 규모·비율과 지속성, 법 제30조의3에 따른 사업주·대표자의 책임 이행 정도, 보호책임자의 역할·조직·인력 구성 등 보호 체계의 운영 수준, 그 밖의 안전성 확보 조치 노력을 고려해 보호위원회가 고시하는 기준을 충족하는 경우를 감경 사유로 정했습니다. 별표 1의5에서 투자감경은 기준금액 산정 직후, 1차 조정보다 앞에 놓인 독립 단계이고 폭은 기준금액의 40% 이내입니다. 위 4단계 표가 5단계가 되는 셈이고, 감경 제한 규정은 라목에서 마목으로 밀립니다. 10% 트랙의 기준금액은 부과기준율에 가중비율을 곱하되 8.91%를 넘을 수 없고, 매출액 산정이 곤란한 경우의 정액 기준금액은 가중금액을 더해도 45억 원 이하입니다. 투자감경을 시행일 이후의 위반행위부터 적용한다는 입법예고안의 적용례는 공포된 부칙에 없어, 시행일 이후 부과하는 건이면 위반 시점과 무관하게 적용된다고 읽힐 여지가 있습니다. 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했습니다. 투자감경은 투자 규모·비율·지속성, 대표자 책임 이행과 보호책임자 체계, 법정 의무를 넘는 보호조치를 종합해 기준금액의 40% 이하로 하고, 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 봅니다(제8조의3). 9월 11일 시행 개정법의 다른 변화들은 2026년 개정 개인정보 보호법 전체 정리를 참고하시기 바랍니다.

같은 고시가 위 결정문들에서 인정된 감경의 폭도 바꿨습니다. 2차 조정에서 보호위원회가 인정하는 인증을 받은 경우의 감경 상한은 50%에서 30%로, 자율규제 규약 이행은 40%에서 20%로, 처리방침 평가 등은 30%에서 15%로 낮아졌습니다(제10조 제2항 제3호). 「그 밖의 사유」 10% 감경은 없어졌고, 유출등 사고에 대비한 대응 체계를 갖추고 조기 탐지·신속한 신고·통지·확산 방지로 회복한 경우의 40% 이하 감경이 새로 생겼습니다(같은 항 제5호). 가중 쪽에서는 최근 3년 같은 호 위반의 반복 가중이 1회 15%에서 20%로 오르고 2회 40%, 3회 이상 80%가 됐으며, 기한 안에 신고·통지하지 않은 채 피해 확산 방지 조치도 하지 않으면 30% 이하가 가산됩니다. 다만 부칙 제2조에 따라 고시 시행 전에 종료된 행위에는 종전 규정이 적용되므로, 위 결정문의 감경 비율은 9월 10일까지 끝난 위반을 가늠하는 기준으로는 여전히 유효합니다.

조사 단계에서 무엇을 준비해야 하나요?

위 구조를 뒤집어 읽으면, 조사를 받는 회사가 준비할 것이 세 갈래로 정리됩니다.

첫째, 관련 없는 매출액을 구분할 수 있는 자료입니다. 위원회는 20일 이내의 기간을 정해 재무제표 등 자료 제출을 요청할 수 있습니다. 이 짧은 기간 안에 개인정보 처리와 관련 없는 사업 부문의 매출, 위반행위의 영향을 받지 않는 재화·서비스의 매출을 구분해 소명할 수 있어야 합니다. 롯데카드 사건에서 일부 서비스 매출의 제외가 인정된 것도 그 구분이 가능했기 때문입니다. 사업 부문별 매출을 평소에 구분 관리하고 있지 않다면 조사가 시작된 뒤에 만들기는 어렵습니다.

둘째, 감경 사유의 입증 자료입니다. 결정문에서 실제로 인정된 사유는 사전통지 전 시정 완료, 일관된 사실 인정과 자료 제출 협조, ISMS-P 인증 보유였습니다. 시정 조치는 실행 시점이 남는 형태로 기록하고, 조사 대응 과정의 협조 내역도 정리해 둘 필요가 있습니다. 유출 사고 발생 시의 초동 대응, 특히 통지·신고를 기한 내에 이행하는 것은 별도의 의무이기도 합니다. 이 부분은 유출 통지·신고 72시간 대응에서 다뤘고, 랜섬웨어로 인한 훼손 등 '유출등' 개념의 범위는 랜섬웨어·훼손도 통지 대상인가를 참고하시기 바랍니다.

셋째, 예방투자의 기록화입니다. 9월 11일부터 시행된 제6항의 감경은 예산·인력·설비·장치 등의 투자·운영을 전제로 합니다. 감경 폭은 시행령 별표 1의5가 기준금액의 40% 이내로 정했고, 9월 11일 개정된 고시는 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 보도록 했습니다(제8조의3 제2항). 사고가 난 해에 서둘러 집행한 예산보다 그 전 3년의 기록이 소명 자료가 된다는 뜻이므로, 보안 예산의 편성과 집행, 전담 인력 배치, 안전조치 설비 도입 내역을 증빙 가능한 형태로 지금부터 남겨 두어야 합니다. 법 제64조의2 제5항이 정하는 11개 고려사항에도 암호화 등 안전조치 이행 노력과 인증 등 보호 노력이 포함되어 있으므로, 이 기록은 현행 체계에서도 의미가 있습니다.

자주 묻는 질문

Q. 개인정보 유출 과징금은 유출된 인원수에 비례해 정해지나요?

아닙니다. 2026년 7월 의결된 사건들을 보면 약 130만 명이 유출된 락앤락에는 5억 300만 원이, 16,647명이 유출된 KT에는 539억 7,900만 원이 부과됐습니다(두 건 모두 결정문 미공개, 보도자료 기준). 유출 규모는 중대성 판단의 한 요소일 뿐이고, 금액의 골격은 전체 매출액에 부과기준율을 곱한 기준금액과 그 후의 조정이 만듭니다.

Q. 실제 결정문에서 과징금 감경이 인정된 사유는 무엇인가요?

공개된 결정문 기준으로, 1차 조정에서는 위반으로 이득을 취하지 않은 점(−30%)과 중기업 해당(이득 없음과 합산 −55%), 2차 조정에서는 사전통지 전 시정 완료·조사 협조·ISMS-P 인증 보유(−20~40%)가 인정된 사례가 있습니다. 관련 없는 매출액의 일부 제외가 받아들여진 사례도 있습니다. 다만 2026년 5월 19일 신설된 감경 제한 규정에 따라 매우 중대한 위반에는 이러한 감경이 전부 또는 일부 적용되지 않을 수 있습니다.

Q. 2026년 9월 11일부터 과징금 제도는 어떻게 달라졌나요?

3년 내 재위반, 고의·중과실로 1천만 명 이상 피해, 시정명령 불이행으로 인한 유출의 세 경우에 과징금 상한이 전체 매출액의 10%(산정 곤란 시 50억 원)로 올라갑니다. 재위반 가중은 시행 이후의 위반으로 처분받은 경우부터 3년 시계가 시작되지만, 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 한편 예방투자가 있는 사업자에 대한 과징금 감경이 의무 규정으로 신설되는데(고의·중과실 제외), 구체적 사유와 감경 폭은 2026년 9월 10일 공포된 시행령(대통령령 제36671호)이 정했습니다. 투자감경은 기준금액의 40% 이내에서 1차 조정보다 앞선 단계로 적용되며, 그 안의 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했고, 같은 고시가 인증 감경 상한을 50%에서 30%로 낮추는 등 조정 비율도 바꿨습니다(시행 전에 종료된 위반에는 종전 규정 적용).

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제64조의2(과징금의 부과) — 현행 법률 제21445호(2026. 3. 10. 일부개정, 2026. 9. 11. 시행)·부칙 제3조 및 개정 전 법률 제20897호(2025. 10. 2. 시행)
• 개인정보 보호법 시행령 별표 1의5(과징금의 산정기준) — 개정 전 대통령령 제36340호(2026. 5. 19. 공포·시행)
• 개인정보 보호법 시행령 — 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행) 제60조의2 제5항, 별표 1의5, 부칙을 확인했습니다. 별표 1의5 제2호 나목이 투자감경 폭을 기준금액의 100분의 40 범위로 정했고, 세부 기준은 보호위원회 고시에 위임돼 있습니다
• 과징금 부과기준 고시 — 개인정보보호위원회고시 제2026-12호(2026. 9. 11. 시행) 제8조의3. 투자감경의 세부 기준과 인증 감경 상한 조정을 확인했습니다
• 개인정보보호위원회 의결 제2026-006-050호(2026. 4. 22., 주식회사 케이에스한국고용정보, 과징금 35억 3,700만 원) · 제2026-007-052호(2026. 4. 22., 듀오정보 주식회사, 11억 9,700만 원) · 사건번호 2025조일0053-01(2026. 3. 11., 96억 2,000만 원) — 결정문 전문 기준
• 개인정보보호위원회 보도자료 2026. 7. 8.(락앤락·유베이스·썬포토) · 2026. 7. 30.(KT) — 이 네 건은 결정문 미공개로 보도자료를 근거로 서술했습니다

이 글은 공개된 법령과 개인정보위 결정문·보도자료를 기준으로 과징금 산정 구조를 일반론으로 정리한 것이며, 구체적 사안에 대한 판단은 개별 사실관계에 대한 검토가 필요합니다.