유출대응

개인정보보호배상책임보험은 정보주체에 대한 법률상 손해배상금을 덮고, 공개된 약관은 과징금·과태료를 명시적으로 제외합니다. 과징금은 일부 상품의 특약으로만 보상되며, 특약도 고의(상품에 따라 고의·중과실) 과징금과 과태료를 면책합니다. 과징금을 회사의 손해로 삼아 이사에게 오는 청구는 임원배상책임보험(D&O)의 영역인데, 공개된 약관 한 종은 벌과금·법인이 제기한 청구·주주대표소송을 면책하거나 특약 대상으로 둡니다. 2026년 9월 11일 개정법이 대표자의 최종 책임과 CPO의 이사회 보고를 명문화한 뒤에는 세 증권의 면책 조항과 이사회 기록을 함께 확인해야 합니다.

2026년 9월 11일 시행 과징금 부과기준 고시 제10조 제2항 제2호는 정보주체의 피해 회복 조치를 이행한 경우 1차 조정 금액의 「100분의 30 이하」를 감경하는 사유로 둡니다. datalaw.kr 제재 DB의 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 8건이고, 그중 4건만 산정에 반영됐습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있는 반면, 전원에게 보상했는데 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 개정 고시는 신속 대응 감경(40% 이하)을 따로 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다.

요즘 정보주체가 받는 유출 통지 문자에는 일정한 형식이 있습니다. 사고 날짜, '탈취 정황은 낮다’는 자체 평가, 유출이 의심되는 항목, 기술 부서의 연락처. 이 네 문장이 조사 단계에서 어떻게 읽히는지, 그리고 2026년 9월 11일 이후 같은 문안을 보내면 어느 칸이 비는지를 개인정보 보호법 제34조 제1항 기재사항과 기재사항 누락 처분 2건에 대조해 정리했습니다.

침해사고 하나로 과학기술정보통신부와 개인정보보호위원회가 각각 과징금을 물릴 수 있는지는 조문에 답이 있습니다. 2026년 10월 1일 시행되는 개정 정보통신망법 제48조의8 제4항이 개인정보 보호법 제64조의2 제1항 제9호에 해당하는 경우를 적용 대상에서 빼 두었기 때문입니다. 그래서 겹치는 상황은 원칙적으로 생기지 않고, 대신 어느 법으로 가는지가 사고 초기에 갈립니다. 갈림선은 개인정보가 유출됐는지입니다. 개인정보 유출이 없는 침해사고가 정보통신망법 과징금의 자리이고, 유출이 있으면 개인정보위 쪽으로 넘어갑니다.

개인정보 유출 사고에서 회사가 받는 조정안에는 회신 기한이 15일입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 15일 안에 의사표시가 없으면 수락한 것으로 본다고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 재판상 화해와 같은 효력을 갖습니다. 그리고 같은 유출 사고에 조정안은 개인정보 분쟁조정위원회와 한국소비자원 소비자분쟁조정위원회 두 곳에서 각각 옵니다. 2026년 9월 11일부터 유출 통지문에 손해배상과 분쟁조정을 신청하는 방법까지 적어야 합니다.

개인정보보호위원회가 공개한 제재 의결서에서 유출 경위가 기재된 204건을 경위별로 분류했습니다. 여덟 유형이 나왔고, 과징금 부과율은 유형에 따라 0%에서 69%까지 갈립니다. 담당자가 파일을 잘못 올리거나 메일을 잘못 보낸 48건에서 과징금이 나온 것은 10건뿐이고, 그 10건은 전부 주민등록번호가 새어 나간 사건입니다. 오게시·오발송 자체가 과징금을 부르는 것이 아니라 새어 나간 항목이 무엇이었는지가 가릅니다.

72시간은 대응의 전부가 아니라 입구입니다. 통지·신고를 마치면 개인정보보호위원회의 자료제출 요구와 검사(법 제63조), 혐의 없이 시작되는 사전 실태점검(제63조의2), 시정조치·과징금·과태료·고발과 공표(제64조·제64조의2·제75조·제65조·제66조), 그리고 손해배상과 집단분쟁조정(제39조·제39조의2·제49조)이 차례로 이어집니다. 초기 72시간에 만든 기록이 이 모든 단계에서 다시 쓰이는 이유와, 9월 11일 개정이 배상 조문까지는 오지 않는 이유를 정리합니다.

개인정보보호위원회 제재 처분을 다툰 판결문 18건을 전부 읽고, 법원이 위원회와 다르게 판단한 지점만 골라 정리했습니다. 처분이 뒤집힌 것은 「입점 판매자는 개인정보취급자가 아니다」(대법원 2023두54778)와 「과징금이 비례원칙에 반한다」(대법원 2022두68923) 두 갈래뿐입니다. 그 두 갈래를 뺀 나머지, 곧 상소심이 진행 중인 사건은 1심·2심에서 전부 위원회가 이겼습니다. 다만 전부 기각된 판결 안에도 해설서의 규범력, 면제 사유의 존재, 구법 적용의 근거에 관해 위원회와 다른 판단이 들어 있고, 이 판시들은 소송보다 조사·의견진술 단계에서 먼저 쓰입니다.

개인정보위는 2026년 3월 11일 롯데카드에 과징금 96억 2,000만 원과 과태료 480만 원을 부과했습니다. 문제가 된 것은 해킹을 당한 사실이 아니라, 신용정보법에 근거해 적법하게 수집한 주민등록번호를 온라인 결제 로그에 7년 넘게 평문으로 남겨 온 처리 행위였습니다. 위원회는 수집 근거가 있다고 해서 그 범위를 넘는 처리까지 허용되는 것은 아니라고 보았고, 정보주체의 동의는 주민등록번호 처리의 근거가 되지 않는다고 판단했습니다. 업계 관행이라는 항변과 실시간 암호화가 기술적으로 불가능하다는 항변은 모두 배척됐습니다.

개인정보 보호법상 과징금은 유출 인원수가 아니라 '전체 매출액 × 중대성 × 조정’의 4단계 공식으로 정해집니다. 2026년 공개된 결정문 세 건(롯데카드·KS한국고용정보·듀오정보)을 보면 관련 없는 매출액 제외, 이득 없음(−30%), 중기업 해당(합산 −55%), 자진시정·협조·인증(−20~40%)이 실제로 금액을 깎았습니다. 다만 2026년 5월 19일부터 '매우 중대한 위반’에는 감경을 제한할 수 있는 규정이 신설됐고, 9월 11일부터는 전체 매출액 10% 상한의 가중 트랙과 예방투자에 대한 의무적 감경 규정이 시행되고, 2026년 9월 10일 공포된 시행령이 그 감경을 기준금액의 40% 이내 독립 단계로 두었습니다. 조사 단계에서 무엇을 다투고 무엇을 입증할지가 결과를 크게 좌우하는 구조입니다.