핵심 요약 유출 통지·신고 지연이 인정된 의결 99건(2026-09-30 수집분) 가운데 안전조치의무(제29조) 위반이 함께 인정된 68건에서는 38건에, 제29조 위반이 없는 31건에서는 1건에 과징금이 함께 부과됐습니다. 유출 규모가 적힌 의결 232건(2026-09-30 수집분)에서는 10만~100만 구간 24건 중 19건, 100만 이상 구간 11건 중 7건에 과징금이 부과됐습니다. 두 수치 모두 개인정보보호위원회(이하 "개인정보위") 공개 결정문을 이현섭 변호사가 집계한 것입니다.
이 노트는 분기마다 한 번, 개인정보위 제재 결정문 집계 가운데 실무의 통념과 갈리는 대목만 골라 싣습니다. 첫 호인 2026년 3분기 마감분은 여섯 대목입니다. 수치는 건수와 분모로 적고 기간은 중앙값으로 적었으며, 각 대목의 끝에는 회사가 무엇을 먼저 준비할지를 적었습니다.
통지가 늦었다는 사실만으로 과징금이 붙나
유출 통지·신고 지연이 인정된 의결 99건(2026-09-30 수집분) 가운데 안전조치의무(제29조) 위반이 함께 인정된 68건에서는 38건에, 제29조 위반이 없는 31건에서는 1건에 과징금이 함께 부과됐습니다. 통지가 늦으면 과징금이 나온다고 흔히 말합니다. 그런데 지연이 인정된 사건끼리 놓고 보면 과징금 건수는 안전조치의무 위반이 함께 인정됐는지에 따라 갈렸습니다. 통지 지연이 처분에 영향을 주지 않는다는 뜻은 아닙니다. 한편 과태료는 지연 99건 중 89건에 함께 부과됐고, 제29조 위반이 없는 31건에서도 25건이었습니다.
따라서 유출을 인지한 회사는 통지·신고 기한을 지키는 일과 사고 시점의 안전조치 이행 자료를 보존하는 일을 같은 날 함께 시작하는 것이 순서로 판단됩니다. 다만 이 수치는 같은 의결 안에 두 위반이 함께 있었다는 사실을 센 것이고, 과징금이 어느 위반을 근거로 부과됐는지를 가려 주지는 않습니다.
통지까지 걸린 날이 길수록 과징금이 함께 부과됐나
지연이 인정된 99건(2026-09-30 수집분)을 인지 후 정보주체 통지까지의 일수로 나누면, 7일 이하 29건 중 12건, 8~30일 15건 중 6건, 31일 이상 23건 중 8건에 과징금이 함께 부과됐습니다. 늦은 구간으로 갈수록 과징금이 병과된 건수의 비중이 커지는 모습은 확인되지 않습니다. 일수가 결정문에 적히지 않은 32건은 세 구간에 넣지 않았고, 그중 13건에 과징금이 있었습니다.
회사가 이 수치에서 읽을 것은 며칠까지 괜찮다는 기준이 아닙니다. 통지를 서두르는 대응은 그대로 하되, 과징금 건수가 갈렸던 안전조치 쪽 이행 자료도 조사 전에 함께 갖추어 둘 필요가 있습니다. 다만 구간별 분모가 작고 유출 규모와 적용 법령이 구간 안에 섞여 있어, 지연 일수가 처분에 영향을 주지 않는다고 볼 근거는 되지 못합니다.
유출 규모가 클수록 과징금이 붙나
유출 규모가 적힌 의결 232건(2026-09-30 수집분)에서는 10만~100만 구간 24건 중 19건, 100만 이상 구간 11건 중 7건에 과징금이 부과됐습니다. 그 아래 구간은 1,000 미만 111건 중 13건, 1천~1만 48건 중 15건, 1만~10만 38건 중 10건입니다. 규모가 커질수록 과징금이 부과된 건의 비중도 계속 커질 것이라는 예상과 달리, 그 비중은 10만 안팎에서 한 번 달라지고 그 위 구간에서 더 오르지 않습니다.
따라서 유출 규모는 결과를 가늠하는 여러 사정 가운데 하나로만 보는 편이 맞고, 규모만으로 결과를 예단하기는 어렵습니다. 다만 구간 경계는 집계를 위해 나눈 것이고 법이 정한 문턱이 아닙니다. 또한 100만 이상 구간은 분모가 11건이어서 한두 건으로 인상이 바뀔 수 있고, 이 집계는 과징금의 액수를 세지 않았습니다.
민원이 들어온 사건이 큰 제재로 가나
조사 착수 단서가 적힌 의결 570건(2026-09-30 수집분) 가운데 제3자 신고·민원으로 시작된 82건 중 7건, 언론 보도로 시작된 54건 중 20건, 회사의 유출 신고로 시작된 334건 중 118건에 과징금이 부과됐습니다. 외부 민원이 가장 위험한 경로라는 인식과 달리 과징금 건수는 유출 신고와 언론 보도 경로에 모여 있습니다. 경로마다 모이는 사건의 성격이 다르기 때문으로 보입니다.
민원 경로만 따로 무겁게 볼 근거는 이 집계에 없습니다. 회사는 유출 신고 뒤에 이어질 조사 대응도 민원 대응과 같은 무게로 점검해 둘 필요가 있습니다. 유출 신고는 조사 착수 단서로 가장 많이 적힌 경로이기도 합니다. 다만 제3자 신고·민원 경로에서도 82건 중 56건에 과태료가 부과됐고, 이 분포는 처분에 이른 사건만의 분포입니다.
조사는 어느 회사에나 1년쯤 걸리나
조사 시작부터 의결까지의 기간이 확인되는 327건(2026-09-30 수집분)의 중앙값은 360일이지만, 착수 단서부터 의결까지의 중앙값은 실태점검·직권조사 경로가 128일(날짜가 확인되는 21건), 타 기관 통보·의뢰 경로가 715일(34건)입니다. 회사의 유출 신고로 시작된 사건은 433일(295건), 언론 보도로 시작된 사건은 334일(38건)이 중앙값이었습니다. 1년 안팎이라는 통념은 전체 중앙값으로는 맞지만, 의결까지 걸린 기간은 조사가 어느 경로로 시작됐는지에 따라 크게 달랐습니다.
따라서 회사는 조사 통지를 받으면 착수 경로부터 확인하고, 전체 중앙값 하나에 맞춰 일정을 잡지 않는 편이 좋습니다. 다만 이 값은 지난 사건들이 걸린 기간이고 회사에 주어지는 준비 기간이 아닙니다. 또한 전체 중앙값과 경로별 중앙값은 기산점과 분모가 서로 다르고, 다른 기관이 넘긴 사건은 단서일 자체가 늦게 잡혔을 여지가 있습니다.
사전통지를 받은 뒤에 자료를 만들어도 되나
사전통지일과 의견 제출일이 모두 확인되는 의결 431건(2026-09-30 수집분)에서 사전통지부터 의견 제출까지 걸린 기간의 중앙값은 14일입니다.
의견서에 붙일 자료는 사전통지를 기다리지 말고 조사 단계에서 미리 만들어 두는 편이 안전합니다. 다만 이 값은 회사들이 실제로 의견을 낸 날을 센 것이고, 개인정보위가 부여한 제출 기한을 뜻하지 않습니다.
이 노트의 집계 기준
- 분모가 해석마다 다릅니다. 통지·신고 위반이 인정된 의결은 113건이고 그 안에 지연 99건, 미이행 12건, 기재사항 누락 2건이 있습니다. 이 노트의 통지 관련 해석은 지연 건만 다룹니다. 착수 단서가 적힌 의결은 570건, 유출 규모가 적힌 의결은 대상 1,017건 중 232건입니다. 서로 다른 해석의 건수를 더하거나 나누어서는 안 됩니다.
- 유출 규모 구간은 아래 경계를 포함하고 위 경계를 포함하지 않습니다. 10만~100만 구간은 10만 건 이상 100만 건 미만입니다.
- 공개된 결정문만 세었습니다. 결정문이 공개되지 않았거나 게시되지 않은 처분은 포함되지 않았습니다.
- 「과징금이 함께 부과됐다」는 같은 의결에 과징금이 있었다는 뜻입니다. 해당 위반 때문에 과징금이 부과됐다는 뜻이 아니며, 이 노트의 수치는 상관관계이고 인과관계가 아닙니다.
- 기준일은 2026-09-30 수집분입니다. 이 판의 수치는 그날 값으로 고정했고 이후 고치지 않습니다. 갱신되는 값은 아래 자료면에 있습니다. 집계 대상의 대부분은 2026년 9월 11일 시행된 개정법 이전의 처분입니다.
의결 단위의 원문 표는 유출 통지 지연 제재, 제재 절차 전 구간, 개인정보위 제재 결정문 전수에 있습니다.
자주 묻는 질문
Q. 유출 통지가 늦을수록 과징금이 함께 부과된 사건이 많았나요?
Q. 유출 규모가 크면 과징금이 함께 부과된 사건이 많았나요?
Q. 이 노트의 수치를 우리 회사 사건에 그대로 적용해도 되나요?
참고 자료
여기 실은 수치는 공개 결정문의 집계일 뿐이어서 특정 사건의 결과를 말해 주지 않습니다. 실제 사안은 사실관계와 적용 법령을 따로 검토해야 합니다.
