개정 개인정보 보호법 부칙 제3조 제2항은 세 가지 징벌적 과징금 유형 가운데 「고의·중과실로 1천만명 이상 피해」 유형에 한해 시행 당시 종료되지 아니한 위반행위에도 적용하도록 정했습니다. 대법원은 부칙의 「시행 전 위반행위」를 위반행위의 종료일 기준으로 판단해 왔고, 개인정보보호위원회(이하 "개인정보위") 스스로도 안전조치의무 위반을 「조치가 완비될 때까지」 계속되는 위반으로 다뤄 왔습니다. 따라서 티빙 사고가 개정법 시행일(2026년 9월 11일) 전에 일어났다는 이유로 매출 10% 과징금을 배제하는 것은 부칙에 맞지 않는 것으로 판단됩니다. 시행 당시 안전조치 미비가 해소되지 않았다면 10% 과징금 규정을 적용하는 것이 맞고, 그렇다면 중요한 것은 티빙의 위반행위가 9월 11일 전에 종료되었는지 여부입니다.

핵심 요약 개정법 부칙 제3조 제2항은 제64조의2 제2항 제2호(고의·중과실 + 피해 1천만명 이상)의 개정규정에 한해 시행 당시 종료되지 아니한 위반행위에도 적용하도록 정했습니다. 대법원은 부칙상 「시행 전 위반행위」를 종료일 기준으로 판단해 왔고, 개인정보위는 같은 문구를 쓴 2023년 개정법 부칙에 따라 골프존 사건(제2024-008-182호)에서 시행일 전에 시작된 안전조치 위반에 신법을 적용했습니다. 디지털대성 사건에서 서울행정법원과 서울고등법원은 제64조의2 제1항 제9호의 위반기간을 유출된 기간이 아니라 안전조치의무를 위반한 기간으로 보았습니다. 티빙의 피해 정보주체는 정부의 국회 제출자료상 1,953만명이고, 조사단 발표와 국정감사에서는 공용 접속키, 소스코드 평문 접속정보, 2024년 모의해킹 지적 취약점 미개선 등 중과실 주장의 재료가 드러났습니다. 이 글은 9월 11일 당시 안전조치 미비가 해소되지 않았다면 제2호를 적용하는 것이 문언과 법리에 맞는다고 판단합니다. 다만 결과 요건이 있는 제2호에서 위반행위가 언제 끝나는지를 다룬 판단은 아직 없습니다.

목차

티빙 사건의 사실관계는 어떻게 확인됐나요?

아래 표는 민관합동조사단(이하 "조사단")의 2026년 9월 3일 발표를 중심으로, 출처 칸에 적은 자료에 나온 사실관계를 정리한 것입니다. 과학기술정보통신부(이하 "과기정통부")와 개인정보위에 낸 신고서의 인지 시점 기재가 서로 다르다는 지적이 있어, 인지 시점은 자료별로 나누어 적었습니다.

항목내용출처
침투2026. 5. 29. 개발환경 접속키 탈취 후 개발환경 침투, 운영환경(AWS)과 DB 접속정보까지 확보민관합동조사단(9. 3.)
유출5. 30. 1차 시도(DB 과부하로 차단), 5. 31. 가상서버를 새로 만들어 약 24GB 반출조사단
인지조사단은 5. 31. 10:10을 인지 시점으로 판단. 국회 제출자료상 이상행위 최초 인지 5. 30., 외부 전송 최종 확인 6. 2.이며, 과기정통부와 개인정보위에 낸 신고서의 인지 시점 기재가 서로 다르다는 지적이 있음조사단, 이정헌 의원실
신고개인정보위 신고 접수 6. 3. 02시경. 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 "정보통신망법")상 침해사고 24시간 신고의무 미준수 지적개인정보위, 조사단
유출 계정3,954만 697개(중복 포함): 활성 2,206만, 휴면 850만, 탈퇴 887만, 테스트 11만. 1인 최대 13개 계정조사단
피해 정보주체1,953만명(정부 초기 잠정치 1,300만명에서 상향)개인정보위·과기정통부 국회 제출자료(6월)
유출 항목ID, 비밀번호(일방향 암호화), 성명, 생년월일, 휴대전화번호, 이메일, CI 등 20개 항목 70종. 휴대전화번호·이메일은 암호화됐으나 키가 함께 유출. 환불계좌번호·DI 포함 보도조사단, 언론
원인전 개발자 공용 접속키, 소스코드 내 DB 접속정보 평문 저장, 모니터링 미작동, 정보보호 전담인력 4명. 2024년 모의해킹 지적 취약점 미개선(국정감사)조사단, 국감
매출2025년 매출액 약 4,059억원전자공시

개인정보위의 초기 입장과 부칙의 문언은 어떻게 다른가요?

사고 직후 언론은 일관되게 「개정법 시행 전 사고라 징벌적 과징금은 소급 적용되지 않는다」고 보도했습니다. 개인정보위 관계자도 7월 초 「티빙 사건은 시행 이전에 발생해 개정법 적용 대상은 아니다」라고 말한 것으로 전해집니다. 같은 보도는 티빙이 「1천만명 이상 피해」 기준에는 해당한다고 적었습니다.

그런데 개정법(법률 제21445호, 2026년 3월 10일 공포) 부칙은 신설된 제64조의2 제2항 각 호의 적용례를 따로 정했습니다. 조문별 대조는 신구조문 대조표에 정리해 두었습니다.

부칙대상적용 범위
제3조 제1항제2항 제1호(3년 내 반복)시행 후 발생한 위반으로 처분받은 뒤 다시 같은 호를 위반한 경우부터
제3조 제2항제2항 제2호(고의·중과실 + 피해 1천만명 이상)시행 당시 종료되지 아니한 위반행위에도 적용
제3조 제3항제2항 제3호(시정명령 불이행 후 유출)시행 후 시정조치 명령을 받은 경우부터

제2항의 원문은 「제64조의2제2항제2호의 개정규정은 이 법 시행 당시 종료되지 아니한 위반행위에 대해서도 적용한다」입니다. 제1항과 제3항은 시행 후 새로 생긴 사실을 요구하지만, 제2항만 시행 당시 계속 중인 위반행위까지 적용 대상에 포함합니다. 입법자가 대규모 피해 유형에 한해 계속 중인 위반에도 적용하도록 정한 것입니다. 행정기본법 제14조의 행위시법 원칙은 「법령등에 특별한 규정이 있는 경우」를 예외로 두므로, 이 경우에는 부칙이 우선합니다.

비교할 만한 예도 있습니다. 2026년 5월 19일 시행된 과징금 시행령·고시 개정(직전 사업연도 매출 기준 도입, 매우 중대한 위반의 감경 제한)에는 이런 적용례가 없었고, 개인정보위는 시행 전 종료된 위반행위에는 종전 규정이 적용된다고 설명했습니다. 같은 해에 같은 위원회가 두 방식을 모두 쓴 것입니다. 따라서 「시행 전 사고이니 적용 불가」라는 공식을 법률 부칙에 그대로 옮기는 것은 정확하지 않은 것으로 보입니다.

위반행위는 언제 종료된 것으로 보나요?

대법원은 사고일이 아니라 위법상태가 끝난 날을 기준으로 봅니다

대법원은 과징금 고시 부칙의 「이 고시 시행일 전의 위반행위」를 판단할 때 위반행위의 종료일을 기준으로 삼았습니다(대법원 2011. 5. 26. 선고 2009두12082 판결). 시행 전후에 걸친 위반행위에는 그 종료 시점의 법령이 적용됩니다(대법원 2022. 9. 16. 선고 2020두47021 판결).

위법상태가 계속되는 경우에는 시정조치를 마친 날이 종료일입니다. 표시광고법 사건에서 대법원은 위반 제품이 유통될 수 있는 상태가 계속되는 한 수거 등 시정에 필요한 조치가 완료될 때까지 위법상태가 계속되고, 그 위법상태가 끝난 때를 위반행위 종료일로 보았습니다(대법원 2022. 3. 17. 선고 2019두35978 판결).

부칙으로 진행 중인 사안에 신법을 적용하는 것은 부진정소급에 해당합니다. 대법원은 시행 당시 아직 진행 중인 사실관계에 부칙에 따라 신법을 적용하는 것은 부진정소급으로서 법률불소급 원칙에 반하지 않고, 이 경우 신뢰보호원칙으로 적용을 제한할 것도 아니라고 판시했습니다(대법원 2020. 12. 24. 선고 2019두34319 판결). 처분시효에 관한 사건이지만 구조는 같습니다.

개인정보위와 법원은 안전조치 위반이 시정될 때까지 계속된다고 봅니다

과징금 부과기준 고시는 위반기간을 개시일부터 종료일까지로 정의하면서, 심의종결일까지 종료되지 않은 위반은 심의종결일을 종료일로 봅니다. 개인정보위는 이 조항에 따라 안전조치의무 위반의 종료일을 심의종결일로 잡아 왔습니다(2023-012-153 등).

2023년 개정법에는 같은 문구의 선례가 있습니다. 2023년 9월 15일 시행된 개정법 부칙 제8조도 「이 법 시행 당시 종료되지 아니한 위반행위」에는 개정 제64조의2를 적용하도록 했습니다. 개인정보위는 골프존 사건(제2024-008-182호, 2024년 5월 8일)에서 위반기간을 VPN 기능 활성화일(2020년 8월 24일)부터 유출일(2023년 11월 24일)까지로 보고, 2023년 9월 15일 시행 개정법 제64조의2와 개정 고시를 적용했습니다. 시행일 전에 시작된 안전조치 위반에 신법을 적용한 실제 사례이고, 이번 부칙 제3조 제2항은 이와 같은 문구를 쓰고 있습니다.

같은 문구의 부칙을 법원이 적용한 판단도 있습니다. 카카오페이 사건에서 알리페이로의 정보 이전은 2018년 4월 27일부터 2024년 5월 21일까지 이어졌고, 서울행정법원은 이 이전이 2023년 개정법 시행 당시 종료되지 않았으므로 부칙 제8조 제2항에 따라 개정법의 과징금 조항이 적용된다고 판단했습니다(2026. 6. 11. 선고 2025구합53645). 법원은 개정법 시행 전에 이전된 부분의 근거도 2023년 개정법이 신설한 제28조의8이라고 봤습니다. 다만 이 사건은 안전조치 위반이 아닌 국외 이전 사건이고, 부칙 제3조 제2항의 1천만명 요건을 판단한 것도 아닙니다. 카카오페이가 항소해 사건은 서울고등법원(2026누4926)에 계속 중이므로(2026년 10월 26일 기준) 판결은 아직 확정되지 않았으며, 이 판결의 다른 쟁점은 개인정보위 과징금 취소소송 판결 검토에서 다뤘습니다.

디지털대성 사건은 3심 구조로 진행됐습니다. 개인정보위는 2024년 3월 27일 안전조치 위반기간을 2016년 4월 16일부터 2024년 3월 27일(의결일)까지로 잡아 장기 위반 가중을 했습니다(제2024-006-163호). 회사는 위반기간이 유출된 5일뿐이라고 다퉜지만, 서울행정법원은 제64조의2 제1항 제9호를 「안전조치의무 위반을 제재하기 위한 규정」으로 보아 위반기간은 안전조치의무를 위반한 기간이라고 판단했습니다(2025. 8. 14. 선고 2024구합70753, 각공2025하,523). 서울고등법원도 항소를 기각했습니다(2025. 12. 24. 선고 2025누8058).

구법 시절에도 법원의 판단은 같았습니다. 서울고등법원은 2021년 4월 7일 유출 사건에서 위반행위가 유출일이 아니라 접근통제 미비 상태에서 웹셸이 올라간 2019년 4월 2일경 개시됐다고 보았습니다(2023. 11. 2. 선고 2023누34486, 대법원 2023두61554 상고기각).

티빙 사건에 적용하면 무엇을 따져야 하나요?

개인정보위가 평소처럼 안전조치의무 위반을 조치를 완비할 때까지 계속되는 상태로 본다면, 따져야 할 것은 사고일(5월 31일)이 아니라 티빙이 필요한 안전조치를 모두 갖춘 날이 9월 11일 전인지 여부입니다. 사고 직후 접속키 폐기와 공격 IP 차단은 빨랐을 것으로 보입니다. 그러나 조사단 발표(9월 3일)와 국정감사(10월 13일)에서 드러난 문제들, 즉 공용 접속키 구조, 소스코드 평문 접속정보, 모니터링 공백, 전담인력 부족이 9월 11일 전에 모두 해소됐는지는 별개의 사실 문제입니다. 티빙이 9월 3일 발표한 대책도 「향후 5년간 정보보호 투자 4배」라는 미래형이었습니다.

티빙 측은 어떤 반론을 할 수 있나요?

티빙 측이 내세울 수 있는 반론은 세 가지입니다.

  1. 제2항 제2호는 피해를 요건으로 합니다. 과징금 근거인 제64조의2 제1항 제9호는 안전조치 미이행에 더해 유출 등이 발생할 것을 요구하고, 제2항 제2호는 그 피해가 1천만명 이상일 것을 요구합니다. 유출이라는 결과가 5월에 확정됐으니 과징금 대상 위반행위도 그때 끝났다는 논리가 가능합니다.

    그러나 이 논리는 위반기간 쟁점에서 이미 세 차례 배척됐습니다. 디지털대성 사건의 원고가 바로 제9호가 유출행위까지 포함하므로 위반기간은 유출된 기간이어야 한다고 주장했습니다. 서울행정법원은 위반기간을 유출 기간으로 한정하면 해커가 얼마나 오래 공격했는지, 언제 발견됐는지 같은 우연한 사정으로 과징금이 달라진다고 보았습니다. 서울고등법원은 유출만을 위반행위로 보면 위반이 거의 언제나 단기로 평가되어 위반기간에 따라 과징금을 조정하는 고시의 취지에도 맞지 않는다는 이유를 더했습니다. 개인정보위도 골프존 사건에서 제9호를 유출이라는 「결과 요건」과 안전조치 미이행이라는 「행위 요건」의 결합으로 보고, 위반「행위」의 기간은 결과가 아니라 행위의 기간이라고 정리했습니다. 이 법리가 결과 요건이 있는 제2호에까지 미치는지에 관한 한계는 아래 「이 글이 말하지 않은 것」에 적었습니다.

  2. 개인정보위의 공개 발언을 근거로 들 수 있습니다. 티빙은 위원회가 「적용 대상이 아니다」라고 말한 것을 신뢰한 사정도 주장할 수 있습니다. 다만 대법원은 부칙에 의한 부진정소급에서 신뢰보호를 쉽게 인정하지 않았습니다(2019두34319).

  3. 입법 경위도 근거가 될 수 있습니다. 상임위 단계 보도는 「시행 전 발생한 사고에는 소급 적용되지 않는다」고 설명했습니다. 그러나 최종 부칙은 제2호에 한해 「종료되지 아니한 위반행위」를 명시했고, 이 점에서 문언과 경위가 어긋납니다.

이 글의 판단

이 글은 9월 11일 당시 티빙의 안전조치 미비 상태가 해소되지 않았다면, 부칙 제3조 제2항에 따라 제2호를 적용하는 것이 문언과 기존 법리에 맞는 해석이라고 판단합니다. 이번 부칙은 같은 문구를 쓴 2023년 개정법 부칙과 같은 방식으로 읽어야 하고, 개인정보위는 그 문구로 시행 전에 시작된 안전조치 위반에 신법을 적용해 왔습니다. 법원도 제9호의 위반행위가 유출이 아니라 안전조치 미이행이라는 점을 1심과 2심에서 연달아 확인했습니다. 이 법리를 위반기간 산정에서는 적용하면서 적용 법령을 정할 때만 사고일로 되돌아가는 것은 일관성이 없는 것으로 보입니다. 「시행 전 사고라 적용 대상이 아니다」라는 초기 설명은 부칙의 문언을 반영하지 못한 것으로 보입니다.

따라서 처분의 쟁점은 적용할 수 있는지 여부가 아니라, 9월 11일 당시 무엇이 고쳐지지 않았는지라는 사실 문제로 좁혀져야 할 것으로 판단됩니다. 개인정보위가 이 판단을 내린다면 티빙 사건은 부칙 제3조 제2항의 첫 해석 사례가 됩니다.

피해 정보주체 1천만명 요건은 충족되나요?

조문은 피해 규모를 계정이 아니라 정보주체 기준으로 봅니다. 따라서 계정 3,954만 개가 그대로 피해자 수가 되지는 않습니다. 하지만 정부가 국회에 낸 자료상 피해 규모는 이미 1,953만명이고, 보도도 티빙이 「1천만명 이상」 기준에는 해당한다고 적었습니다. 최종 확정치가 다소 줄더라도 기준선 아래로 내려갈 가능성은 낮은 것으로 보입니다. 2014년 KT 홈페이지 해킹처럼 중복 제거 후 1천만명 아래(1,170만여 건 → 약 982만명)로 떨어진 사례와는 차이가 큽니다.

고의 또는 중대한 과실은 인정될 수 있나요?

제2호는 피해 규모만으로 적용되지 않고 고의·중과실을 요구합니다. 과징금 부과기준은 고의·중과실을 판단할 때 영리 목적 여부와 안전성 확보조치 이행 여부 등을 고려하도록 합니다. 티빙 사건에서는 다음 사정이 중과실 주장의 핵심 재료가 됩니다.

  • 전 개발자에게 부여된 운영 접근 키
  • 소스코드 안에 평문으로 저장된 DB 접속정보
  • 1차 공격을 「시스템 이상」으로 오판해 2차 반출을 막지 못한 점
  • 2024년 모의해킹에서 지적된 취약점을 고치지 않은 점(최주희 대표가 국정감사에서 미비점 인지를 인정)
  • 정보보호 전담인력 4명

고의·중과실이 인정되면 제64조의2 제6항의 투자 감경도 배제됩니다. 개인정보위는 국정감사에서 실효성 없는 피해 보상은 감경 사유로 보기 어렵다는 입장도 밝혔습니다. 티빙의 보상안은 1인당 약 2만원 상당이고, 현금성 혜택은 5천원 포인트에 그친다는 비판을 받았습니다.

탈퇴 회원 887만 계정은 부칙 쟁점과 어떻게 연결되나요?

유출 계정의 약 44%가 휴면·탈퇴 계정입니다. 국정감사에서 이강일 의원은 티빙이 탈퇴 후 5일이 지나면 폐기하도록 방침에 정해 두고도 탈퇴 계정 887만 개를 보유해 왔다고 지적했습니다. 반면 과기정통부는 전자상거래법상 계약철회 기록(5년), 소비자 분쟁 기록(3년) 등 보관 근거가 있을 수 있어 개별 확인이 필요하다고 했습니다. 이 쟁점은 아래 두 지점에서 부칙 문제와 연결됩니다.

  1. 티빙이 보관 근거가 없는 탈퇴 회원 정보를 계속 보유했다면, 그 위반(제21조)은 파기하는 날까지 계속됩니다. 9월 11일 시점에 파기가 끝났는지는 사실 문제로 남습니다.
  2. 파기가 안전성 확보조치의 일부라는 주장이 있습니다. 시민단체는 파기 미이행이 제29조의 안전성 확보조치를 다하지 못한 사정이라고 봅니다. 이 논리를 받아들이면 미파기 상태의 계속이 곧 제9호 위반의 계속이 되고, 앞서 본 위반행위 종료 시점의 쟁점과 직결됩니다.

다만 파기 의무 위반이 1천만명 피해와 어떻게 연결되는지는 따로 따져야 합니다. 탈퇴 계정 피해자만으로는 1천만명이 되지 않기 때문입니다. 탈퇴 회원 정보 유출의 일반론은 이 글에서 다뤘습니다.

10% 과징금이 적용되지 않아도 달라지는 것이 있나요?

부칙 제3조 제2항이 적용되지 않더라도 티빙은 2026년 5월 19일 시행된 개정 시행령·고시의 적용을 받을 수 있습니다. 침투일(5월 29일)이 시행일 이후이기 때문입니다. 개인정보위 관계자도 5월 19일 이후 발생한 사건에는 개정 시행령이 적용된다고 말했습니다. 아래 표의 상한은 전체 매출액 기준 단순 계산이며, 위반행위와 관련 없는 매출은 제외될 수 있습니다.

구분제1항(3%)제2항(10%)
상한(2025년 매출 4,059억 기준 단순 계산)약 122억원약 406억원
매출 기준직전 사업연도 매출과 3개 연도 평균 중 큰 금액(5. 19. 시행령)같음
감경「매우 중대한 위반」이면 감경 전부 또는 일부 배제 가능고의·중과실이면 투자 감경 배제(제6항 단서)

시행일 전 사고로 처분을 앞둔 기업은 무엇을 준비해야 하나요?

2026년 9월 11일 전에 사고가 났지만 아직 처분 전인 기업이라면 아래 다섯 가지를 준비해 두는 것이 좋습니다. 부칙 제3조 제2항을 둘러싼 공방은 결국 시정 완료일을 놓고 벌어지기 때문입니다.

  1. 시정 완료일을 항목별로 문서화해 두는 것이 좋습니다. 「긴급 조치일」과 「전면 정비 완료일」을 나누고, 접근통제·암호화·접속기록·모니터링·파기 각 항목이 언제 갖춰졌는지 증빙을 남겨 두어야 합니다.
  2. 보관 근거가 없는 탈퇴·휴면 정보는 즉시 파기하고 파기 완료를 증빙해 두기를 권합니다. 파기하지 않은 상태가 계속되는 한 위반도 계속된다는 논리에 노출되기 때문입니다.
  3. 피해 정보주체 수 산정 방법론을 먼저 제시하는 것이 좋습니다. 1천만명 경계에 걸친 사건이라면 결론이 여기서 갈립니다.
  4. 의견진술에서 부칙 적용 여부를 별도 쟁점으로 다투는 것을 검토할 필요가 있습니다. 위원회의 공개 발언, 입법 경위, 「유출로 위반행위가 완성된다」는 논리를 함께 제시하는 것이 좋습니다.
  5. 보상안은 감경 논리와 함께 설계해 두는 것이 좋습니다. 형식적 보상은 감경 사유로 인정받기 어렵습니다.

이 글이 말하지 않은 것

이 글이 근거로 든 판결과 의결은 모두 위반기간 가중이나 적용 법령에 관한 판단입니다. 제2항 제2호처럼 「피해 규모 1천만명」이라는 결과 요건이 있는 조항에 대해 그 위반행위가 언제 끝나는지를 다룬 판단은 아직 없습니다. 골프존 사건도 유출 자체는 개정법 시행 뒤(2023년 11월)에 일어났습니다. 법원이 안전조치 위반을 형사법상 「계속범」이라고 명시한 적도 없고, 확인된 법리는 행정제재상 「위반상태가 해소될 때까지 계속되는 위반」이라는 수준입니다.

티빙이 9월 11일 전에 필요한 안전조치를 모두 갖췄는지, 탈퇴 회원 정보의 파기를 마쳤는지는 이 글이 판단하지 않은 사실 문제입니다. 개인정보위의 티빙 처분이 공개되면 부칙 제3조 제2항에 대한 위원회의 첫 판단을 후속 글로 분석하겠습니다.

자주 묻는 질문

Q. 개정법 시행일 전에 일어난 유출 사고에도 매출 10% 과징금이 적용될 수 있나요?

적용될 수 있습니다. 개정법 부칙 제3조 제2항은 제64조의2 제2항 제2호(고의·중과실로 1천만명 이상 피해)의 개정규정을 시행 당시 종료되지 아니한 위반행위에도 적용하도록 정했습니다. 대법원은 부칙의 「시행 전 위반행위」를 위반행위의 종료일 기준으로 판단해 왔으므로, 이 글은 2026년 9월 11일 당시 안전조치 미비가 해소되지 않았다면 제2호를 적용하는 것이 문언과 기존 법리에 맞는 해석이라고 판단합니다.

Q. 안전조치의무 위반은 언제 끝난 것으로 보나요?

개인정보위는 안전조치의무 위반을 조치가 완비될 때까지 계속되는 위반으로 다뤄 왔고, 과징금 부과기준은 심의종결일까지 종료되지 않은 위반의 종료일을 심의종결일로 봅니다. 디지털대성 사건에서 서울행정법원(2024구합70753)은 위반기간을 안전조치의무를 위반한 기간으로 판단했고, 서울고등법원(2025누8058)도 항소를 기각했습니다.

Q. 1천만명 요건은 계정 수로 판단하나요?

조문은 피해 규모를 계정이 아니라 정보주체 기준으로 봅니다. 티빙의 유출 계정은 3,954만 697개(중복 포함)이지만 그대로 피해자 수가 되지는 않습니다. 다만 정부가 국회에 낸 자료상 피해 정보주체는 1,953만명이어서, 최종 확정치가 다소 줄더라도 기준선 아래로 내려갈 가능성은 낮은 것으로 보입니다.

Q. 몇 년 전 위반에도 과징금이 나올 수 있나요?

과태료와 과징금은 기간 제한이 다릅니다. 과태료에는 5년의 제척기간이 있어, 위반행위가 끝난 날부터 5년이 지나면 행정청이 과태료를 매길 수 없습니다(질서위반행위규제법 제19조 제1항). 과징금은 개인정보 보호법에 부과 기간을 제한하는 규정이 없고, 행정기본법 제23조 제1항은 5년 제한의 대상을 인허가의 정지·취소·철회, 등록 말소, 영업소 폐쇄와 정지를 갈음하는 과징금 부과로 한정하고 있어 개인정보 과징금은 이 5년에 들지 않는다고 보는 해석이 가능합니다. 두 기간 모두 위반행위가 종료된 날부터 세므로, 미시정 상태가 이어지는 동안에는 기간이 시작되지 않습니다. 실사 단계에서 이 기간이 갖는 의미는 실사 지적을 선행조건으로 넣을 수 있나에서 다뤘습니다.

이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.

참고 자료

법령·판례·의결

해설·보도