한국에 서비스한다면 2026년 9월 11일부터 달라진 것

한국에서 서비스를 운영하는 회사라면 2026년 9월 11일부터 개인정보 유출 과징금이 정해지는 방식이 달라졌다. 회사의 매출 규모가 작다고 비켜 갈 수 있는 개정이 아니다. 새로 생긴 10% 특례 셋 가운데 하나는 사고의 크기와 상관없이, 이미 받은 명령을 이행하지 않은 상태에서 유출이 났다는 사실만으로 적용된다. 해외 사업자에게 같은 방식으로 적용되는지는 아직 원문을 확인하지 못했고, 그 내용은 아래에 따로 적었다.

개인정보 보호법 개정안이 2026년 9월 11일부터 시행됐다[1]. 달라진 것은 과징금 상한 하나만이 아니다. 핵심은 어떤 상황에서 상한이 달라지는가이다. 일반 상한인 전체 매출액의 3%는 그대로 남고[2], 여기에 전체 매출액의 10%까지 물릴 수 있는 특례가 추가됐다. 법 제64조의2 제2항이 이를 규정한다[2].

10%가 되는 상황은 셋뿐이다

특례가 적용되는 경우는 세 가지이다[2].

첫째, 과징금 처분을 받은 날부터 3년 안에 같은 유형의 위반을 다시 한 경우다. 둘째, 고의나 중대한 과실로 1천만 명 이상에게 피해를 입힌 경우다. 셋째, 시정조치명령을 이행하지 않아 유출이 일어난 경우다.

세 가지를 나란히 놓으면 공통점이 보인다. 한 번의 사고 규모만으로 10%가 되는 경우는 두 번째뿐이다. 나머지 둘은 이전에 무슨 일이 있었는지를 본다. 첫 번째는 앞선 처분을, 세 번째는 앞선 명령을 전제로 한다. 상한이 높아지는 기준에 사고의 크기뿐 아니라 대응 이력도 들어간다는 뜻이다.

시정조치명령을 받은 뒤가 가장 위험하다

세 특례 사유 가운데 세 번째는 성격이 다르다. 앞의 둘은 위반 자체를 묻지만, 세 번째는 이미 받은 명령을 이행하지 않은 상태에서 유출이 났을 때 적용된다[2]. 명령을 받은 시점부터 이행을 마칠 때까지가 이 조항의 사정거리다.

이 구간에서는 사고의 크기가 상한을 좌우하지 않는다. 1천만 명 기준을 넘지 않아도, 반복이 아니어도, 명령을 이행하지 않았다는 사실만으로 상한이 10%가 된다.

반복은 배수로 붙는다

개인정보보호위원회 고시 제2026-12호는 부과기준율과 함께 반복 위반 가중률을 정했다[3]. 처분일부터 3년 안에 같은 호의 위반으로 과징금 처분을 받은 횟수가 늘수록 가중률도 올라간다. 1회면 20%, 2회면 40%, 3회 이상이면 80%다[3].

같은 고시는 위반의 중대성에 따라 부과기준율도 나눈다. 중대한 위반은 1.5% 이상 2.1% 미만, 매우 중대한 위반은 2.1% 이상 2.7% 이하다[3].

이 둘을 곱하는 구조이므로 같은 사고라도 앞선 처분이 몇 번 있었는지에 따라 최종 금액이 크게 달라진다. 한 번 처분받은 뒤 3년 안에 같은 유형의 위반을 되풀이하면, 두 번째 처분은 첫 번째보다 훨씬 비싸다.

확인하지 못한 것

고시 본문과 별표를 열어 보지 않고서는 확정할 수 없는 항목이 남아 있다. 중대성 등급을 가르는 세부 점수, 10% 특례에 적용되는 가중비율의 상한과 하한, 고의와 중과실을 각각 어떻게 점수화하는지, 전체 매출액을 산정할 수 없는 사업자의 대체 산식, 감경과 가중이 최종 금액에 결합되는 순서다. 공공기관과 해외 사업자에게도 같은 방식으로 적용되는지는 원문을 확인해야 한다.

명령을 받은 날부터 이행을 마친 날까지를 일정표에 올립니다

위플은 한국에서 운영되는 서비스의 유지보수를 맡을 때 이 구간부터 확인합니다. 시정조치명령을 언제 받았고 이행은 어디까지 됐는지, 처분을 받은 적이 있다면 처분일은 언제인지 묻습니다. 두 날짜가 있어야 어느 작업부터 끝내야 할지 순서를 정할 수 있습니다. 계약서에는 이행 완료 목표일을 적고, 운영 일정에는 같은 유형의 문제가 남아 있을 수 있는 다른 시스템의 점검 칸을 처분일부터 3년 안에 둡니다. 명령서나 처분 통지를 받아 둔 게 있다면 날짜 두 줄만 적으면 됩니다. 아직 받은 명령도 처분도 없다면 적을 날짜가 없다는 뜻입니다. 그때는 어느 시스템에 점검 칸을 먼저 둘지가 첫 대화의 주제가 됩니다.

참고문헌

[1] 개인정보보호위원회, 「개인정보 보호법 위반에 대한 과징금 부과기준」(개인정보위고시 제2026-12호) 시행 2026-09-11. https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS216&mCode=D010020010&nttId=12490

[2] 대한민국 정책브리핑, 「개인정보 보호법 반복적, 중대한 위반 시 과징금 상향」 2026-09-17. https://www.korea.kr/multi/visualNewsView.do?newsId=148972051

[3] 개인정보보호위원회 고시 제2026-12호 부과기준율, 반복위반 가중률. https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS216&mCode=D010020040&nttId=12490