핵심 요약 대상회사의 과거 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 이날 시행된 개정 개인정보 보호법은 재위반 시 과징금 상한을 전체 매출액의 3%에서 10%로 올렸지만, 그 방아쇠가 되는 것은 시행 이후 발생한 위반행위로 받은 과징금 부과처분뿐이기 때문입니다(부칙 제3조 제1항). 반대로 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다(부칙 제3조 제2항). 그래서 실사에서 더 급한 것은 과거 처분의 유무보다, 지금도 이어지고 있는 위반 상태입니다.

실사 자료요청 목록에는 보통 개인정보위 제재 이력의 유무를 묻는 항목이 있습니다. 대상회사가 "없음"이라고 회신하면 그 칸은 닫히고, "있음"이라고 회신하면 처분 공문 사본 한 장을 받고 넘어가는 경우가 많습니다.

그런데 개정 개인정보 보호법 제64조의2 제2항은 유무를 묻지 않습니다. 어떤 처분을, 어느 호로, 언제 받았는지에 따라 결과가 갈립니다. 유무만 확인한 실사는 이 조문 앞에서 답을 갖고 있지 않습니다.

「제재 이력 있음」으로는 왜 부족한가

개정 제64조의2 제2항 제1호가 적용되려면 네 가지가 동시에 충족되어야 합니다. ① 과거의 처분이 같은 조에 따른 과징금 부과처분일 것, ② 제1항의 같은 호에 해당하는 위반행위가 반복될 것, ③ 처분을 받은 날부터 3년이 경과하기 전일 것, ④ 앞뒤 위반행위에 각각 고의 또는 중대한 과실이 있을 것입니다.

거꾸로 말하면 과태료 처분, 시정조치 명령, 개선권고는 이 조항의 방아쇠가 아닙니다. 근거 호가 다른 위반이 반복되어도 마찬가지입니다. 그래서 실사에서 특정해야 하는 것은 유무가 아니라 처분의 종류, 근거 호, 처분받은 날짜입니다.

3년 시계는 언제부터 도나

부칙 제3조 제1항은 적용 범위를 한 번 더 좁힙니다. 제2항 제1호는 이 법 시행 이후 발생한 위반행위로 과징금 부과처분을 받은 후 다시 같은 호의 위반행위를 한 경우부터 적용됩니다. 첫 번째 위반행위 자체가 시행일 이후의 것이어야 한다는 뜻입니다.

따라서 2026년 9월 11일 직후의 딜에서 과거 처분 이력이 곧바로 10% 구간을 의미하지는 않습니다. 3년의 시계는 시행 이후에 비로소 쌓이기 시작합니다.

지금 실사에서 더 급한 것은 무엇인가

같은 부칙이 제2호에 대해서는 반대로 정합니다. 고의 또는 중대한 과실로 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우를 정한 제2호는 시행 당시 종료되지 아니한 위반행위에도 적용됩니다(부칙 제3조 제2항). 과거에 시작되어 지금도 끝나지 않은 위반 상태가 여기에 걸립니다.

제3호, 즉 시정조치 명령에 따르지 않아 유출등이 발생한 경우는 시행 이후 받은 시정조치 명령부터 적용됩니다(부칙 제3조 제3항). 그래서 이행이 끝나지 않은 시정조치 명령의 존재가 실사 항목이 됩니다. 자료요청 목록을 어떻게 짜야 하는지는 실사에서 개인정보를 볼 때 무엇을 요청해야 하나에서 다뤘습니다.

처분 이력은 공표를 검색해서 확인할 수 있나

확인되지 않는 구간이 있습니다. 법 제66조 제1항의 공표는 공표할 수 있다는 재량 규정입니다.

시행령 제61조 제1항이 공표 항목으로 정한 것도 위반행위의 내용, 위반행위를 한 자, 처분의 내용 및 결과 세 가지뿐입니다. 재위반 판단에 필요한 근거 조항은 열거 항목에 들어 있지 않고, 게재 기간을 정한 규정도 없습니다. 어떤 처분이 공표되고 어떤 처분이 되지 않는지는 결과 공표가 무엇으로 결정되는가에서 따로 정리했습니다.

그러면 무엇을 받아 보아야 하나

의결서가 공개된 건이라면 이력 자체는 밖에서도 확인됩니다. 결정문 게시판에 본문이 공개된 제재 의결 889건을 피심인·의결일·근거 조문으로 조회할 수 있게 정리해 두었습니다 — 개인정보위 제재 추적기. 다만 위원회가 비실명 처리한 건이 상당수이고 공개까지 시차가 있어, 여기서 안 나온다고 처분 이력이 없다는 뜻은 아닙니다. 공개 자료에서 처분이 드러나는지를 가르는 기준은 시기가 아니라 처분의 크기이고, 과태료에서 끝난 작은 처분일수록 회사 이름이 남지 않는 경우가 많습니다. 실사에서는 아래 서류를 직접 받아야 합니다.

공표 트랙과 별도로 의결서 트랙이 있습니다. 「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제25조의3은 의결서 공개를 원칙으로 정하고, 제25조 제1항은 의결서에 주문과 이유를 적도록 합니다. 근거 호와 처분 날짜는 여기서 나옵니다.

다만 소위원회에서 심의·의결한 사건은 약식 의결서가 가능하고, 명예나 정당한 이익을 해할 우려가 있는 부분은 비식별화되어 공개될 수 있습니다. 그래서 대상회사에서 직접 받아야 하는 것은 송달받은 의결서 정본과 시정조치 명령의 이행 결과 통보 사본입니다(같은 규정 제25조의2 제1항, 제27조 제1항). 처분은 의결서를 송달받은 날부터 효력이 발생하므로(제25조의2 제3항), 날짜를 특정하는 기준도 이 서류입니다.

이 확인은 사고가 났을 때 어떻게 쓰이나

이 확인은 딜이 끝난 뒤 다시 쓰입니다. 인수 후 유출을 인지하면 통지와 신고 의무를 지는 것은 인수한 회사이고, 그 시점의 대응은 유출을 인지한 뒤 72시간 안에 해야 할 일에서 정리했습니다.

조사가 시작되면 과거에 같은 호로 처분을 받았는지, 시정조치 명령을 이행했는지가 바로 드러납니다. 실사에서 특정해 둔 근거 호와 날짜가 그때 익스포저 계산의 출발점이 됩니다. 가중이 아니라 반대쪽, 즉 어떤 사정이 실제로 감경으로 인정됐는지는 과징금이 '전체 매출액 기준’으로 바뀐 뒤, 실제로 감경이 인정된 사유들에 의결별로 갈라 두었습니다. 이 위험을 계약 문언에 어떻게 반영할지는 매도인에게 진술보증 위반 책임을 물을 수 있나에서 다뤘습니다.

자주 묻는 질문

과태료나 시정조치 명령 이력도 3년 가중의 기산점이 되나요?

아닙니다. 개정 제64조의2 제2항 제1호는 이 조에 따른 과징금 부과처분을 받은 날부터 3년으로 정하고 있으므로, 기산점이 되는 것은 과징금 부과처분뿐입니다. 과태료 부과, 시정조치 명령, 개선권고는 이 조항의 기산점이 아닙니다. 다만 시정조치 명령에 따르지 아니하여 유출등에 이른 경우는 같은 항 제3호에 해당할 수 있으므로 별도로 확인해야 합니다.

2026년 9월 11일 전에 받은 과징금 처분은 어떤 의미가 있나요?

부칙 제3조 제1항에 따라 제2항 제1호는 이 법 시행 이후 발생한 위반행위로 과징금 부과처분을 받은 후 다시 같은 호의 위반행위를 한 경우부터 적용됩니다. 따라서 시행 전에 받은 과징금 처분은 10% 가중의 기산점이 되지 않습니다. 다만 위반행위가 시행 전에 시작되어 시행 당시 종료되지 않았다면 피해 규모 1천만 명 이상을 정한 제2항 제2호가 적용될 수 있습니다(부칙 제3조 제2항). 그래서 처분 날짜만이 아니라 위반 상태가 끝났는지도 함께 확인해야 합니다.

실사에서 처분 이력을 확인하려면 어떤 서류를 요청해야 하나요?

대상회사가 송달받은 의결서 정본이 기본입니다(「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제25조의2 제1항). 의결서에는 주문과 이유가 기재되므로(같은 규정 제25조 제1항) 처분의 종류와 근거 호, 날짜를 특정할 수 있습니다. 시정조치 명령이 있었다면 이행 결과 통보 사본(같은 규정 제27조 제1항)까지 받아야 제2항 제3호의 리스크를 확인할 수 있습니다. 공표 검색만으로는 근거 조항이 확인되지 않는 구간이 있기 때문입니다.

참고 자료

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.