개인정보 과징금 투자감경 — 40% 깎이는 기업, 못 깎는 기업

🔐 개인정보가 새도, 평소 투자한 기업은 과징금이 줄어듭니다

 

9월 11일(금)부터 개인정보 유출 과징금이 최대 매출액의 10%까지 커졌습니다.

동시에 평소 보호에 투자한 기업은 기준금액의 최대 40%를 감경받는 제도도 생겼습니다.

 

그런데 11월 9일(월) 정책포럼에서 개인정보보호위원회가 분명히 선을 그었습니다. 투자했다고 다 깎아 주지는 않는다는 겁니다.

어떤 경우에 깎이고 어떤 경우에 안 깎이는지, 과징금은 어떤 순서로 정해지는지 정리했습니다.

 

📌 이 글의 성격 개인정보보호위원회 발표와 언론 보도를 바탕으로 제도를 정리한 글입니다. 구체적인 감경 여부와 비율은 사안마다 위원회가 판단합니다. 법률 자문이 아닙니다.

 

1. 9월 11일(금), 과징금 판이 바뀌었다

처벌은 세게, 예방에는 보상

개정 개인정보 보호법 과징금 주요 내용 [01]

 

개정 개인정보 보호법과 시행령이 9월 11일(금)부터 시행되고 있습니다.

기존 과징금(전체 매출액의 3% 이하)만으로는 대형 유출을 막기 어렵다는 판단에서 나온 개정입니다.

 

구분	바뀐 내용
징벌적 과징금	전체 매출액의 최대 10% (일반 위반은 기존처럼 3%)
10% 적용 대상	3년 안에 고의·중과실 반복 위반, 고의·중과실로 1000만 명 이상 피해, 시정명령을 이행하지 않아 유출 발생 등
반복 위반 가중	1회 20%, 2회 40%, 3회 이상 80% (기존 1회 15%, 2회 이상 30%)
늑장 신고·통지	법정기한을 넘기고 확산 방지도 안 하면 최대 30% 가중
예방 투자 감경	기준금액의 최대 40% (신설)
신속 대응 감경	조기 탐지·신속 신고·확산 방지 시 최대 40%

 

유출이 났다고 곧바로 10%가 매겨지는 것은 아닙니다. 위반 내용과 피해 규모를 따져 기준금액을 정한 뒤 가중·감경을 거칩니다.

 

💡 기존 감경은 오히려 줄었습니다 · ISMS-P 인증 감경: 최대 50% → 30% · 자율규약 감경: 최대 40% → 20% · 보호수준 평가 등 감경: 최대 30% → 15% 인증서 한 장보다 실제로 얼마나 투자하고 운영했는지를 더 보겠다는 방향입니다.

 

⭐ 2. 투자감경은 무엇을 보고 깎아 주나

직전 3개 사업연도의 기록

투자감경 평가 기준 [02]

 

투자감경은 위반행위 직전 3개 사업연도 동안 기업이 한 개인정보 보호 투자와 조치를 평가합니다.

기준을 충족하면 과징금 기준금액의 최대 40%까지 깎을 수 있습니다.

 

평가 기준	구체적으로 보는 것
투자 규모와 지속성	예산·인력·설비·장치 투자 규모와 비율, 지속성과 증가 정도
보호체계 운영 수준	CEO의 예산 결정 참여, CPO의 최상위 의사결정기구 참여·전문성, 전담 조직
추가 안전조치	법정 의무를 넘는 조치 — 암호화 확대, 접근권한 자동 관리, 취약점 점검, SW 공급망·보안패치 관리 등

 

핵심은 입증입니다. 예산 편성·집행 내역, 전담 조직 배치, CPO 권한 등을 객관적인 자료로 내야 합니다.

개인정보위는 9월 11일(금) 「과징금 투자감경제도 안내서」를 내고 평가 요소와 산정 절차를 공개했습니다.

 

🔑 "필수 감경"이라는 말의 의미 개인정보위는 사전 예방 투자가 인정되면 과징금을 "필수 감경"한다고 설명합니다. 다만 인정 여부는 고시 기준과 제출 자료로 판단합니다. 투자했다는 주장만으로 자동 감경되지는 않습니다.

 

⭐ 3. 깎이는 기업, 못 깎는 기업

11월 9일(월)에 그어진 선

감경 가능과 감경 불가 비교 [03]

 

개인정보위 조사총괄과는 "고의 또는 중대한 과실로 발생한 위반은 투자감경 대상에서 제외한다"고 밝혔습니다.

아무리 투자를 많이 했어도 사고 원인이 고의나 중과실로 판단되면 40% 감경은 받을 수 없다는 뜻입니다.

 

상황	감경 여부	이유
3년간 꾸준히 투자하고 자료로 입증	가능 (최대 40%)	제도의 취지에 맞는 경우
투자는 했지만 위반이 고의·중과실	불가	고의·중과실은 감경 대상에서 제외
정보보호 투자 중 개인정보 보호와 겹치는 부분	인정 가능	중복성은 인정
개인정보와 명백히 무관한 보안 투자	제외	감경 대상 투자로 보지 않음
사고 뒤에 늘린 투자	반영 어려움	평가 대상은 위반 직전 3개 사업연도 (필자 해석)

 

📌 기사 제목과 실제 기준 일부 기사는 "중대 사고엔 감경 없다"는 제목을 달았습니다. 발표 내용을 보면 감경을 막는 기준은 사고 규모 자체보다 위반이 "고의·중대한 과실"이었느냐입니다. 다만 대형 사고일수록 중과실 판단을 받을 가능성은 커질 수 있습니다.

 

4. 과징금은 어떤 순서로 정해지나

투자감경이 먼저입니다

과징금 산정 순서 [04]

 

개인정보위 조사총괄과는 포럼에서 투자감경을 기준금액 산정 직후 먼저 적용한다고 설명했습니다.

그다음 1·2차 가중·감경을 거쳐 최종 과징금이 정해집니다.

 

단계	내용
① 기준금액	위반 내용·정도, 경위, 피해 규모, 매출액 등을 종합해 산정
② 투자감경	예방 투자가 인정되면 기준금액의 최대 40%
③ 가중·감경	반복 위반·늑장 신고 가중, 신속 대응 감경, 비례성 추가 감경(최대 50%) 등
④ 최종 결정	투자 등 감경 판단을 위해 유출 조사와 별도로 민간 전문위원회 구성 예정 (9월 발표)

 

매출액 기준은 이보다 앞선 5월 19일(화) 시행령 개정으로 이미 바뀌었습니다. 최근 3년 평균 매출액과 직전 연도 매출액 가운데 높은 쪽을 씁니다. 빠르게 성장한 기업일수록 부담이 커질 수 있습니다.

 

💡 계산 방식은 안내서에서 단계별 세부 계산은 시행령 별표와 고시, 「과징금 투자감경제도 안내서」에 나와 있습니다. 실제 감경 폭은 사안마다 다르므로, 숫자 하나로 미리 단정하지 않는 것이 좋습니다.

 

5. 정책포럼에서 오간 이야기

CPO 450여 명이 모인 자리

개인정보 정책포럼 주요 발언 [05]

 

11월 9일(월) 서울 서초구 엘타워에서 개인정보위와 한국개인정보보호책임자협의회(KCPO)가 정책포럼을 열었습니다.

산·학·관 CPO와 전문가 450여 명이 참석했고, 주제는 "신뢰·책임 기반으로 안심할 수 있는 개인정보 보호체계 구현"이었습니다.

 

발언자	요지
강대현 조사총괄과장	제재를 강화한 만큼, 적극 투자한 부분은 감경도 강화했다
고낙준 예방조정심의관	보호 투자를 비용이 아닌 사고 예방·법적 위험 감소 수단으로 봐야
염흥열 KCPO 회장	CEO와 CPO가 선제 투자로 보호조치가 현장에서 작동하게 해야
이창복 토스 CPO	책임·투자·자율보안 3대 키워드, 보안 투자 기준 "IT 대비 10%"

 

패널토론에서는 사고 발생 여부만이 아니라 보안 투자 규모와 사고 범위를 함께 평가해야 한다는 의견도 나왔습니다.

 

6. 기업과 소비자가 알아 둘 것

증빙은 미리, 감시는 함께

기업 체크리스트 [06]

 

법무법인 화우는 조사가 시작된 뒤 자료를 만들지 말고, 평소에 "감경 증빙체계"를 갖추라고 권합니다.

 

할 일	방법
투자 기록	최근 3개 사업연도 예산 편성·집행, 계약서·세금계산서 연결 관리
의사결정 기록	CEO 보고·승인 회의록, 결재 문서
CPO 운영 기록	CPO의 보고·지시·개선 활동 이력
개선 이력	취약점별 담당자·기한·완료 증빙

 

👀 소비자에게는 무슨 의미일까 과징금을 깎아 주는 제도라 "기업 봐주기"로 보일 수 있습니다. 하지만 감경을 받으려면 3년 치 투자 기록이 있어야 하니, 결국 사고 전부터 내 정보를 지키는 데 돈을 쓰게 만드는 장치입니다. 고의·중과실 사고에는 감경이 없고, 반복되면 가중률이 최대 80%까지 붙습니다.

 

📌 3줄 요약

 

1. 9월 11일(금)부터 중대·반복 유출은 매출 최대 10% — 대신 예방 투자 기업은 최대 40% 감경!

2. 직전 3개 사업연도 투자·보호체계·추가 조치를 자료로 입증 — 고의·중과실이면 감경 없음!

3. 투자감경은 기준금액 산정 직후 먼저 적용 — 증빙은 사고 전에 쌓아 두는 것이 답!

 

보안 투자가 "비용"에서 "보험"이 되는 셈입니다. 다만 보험금은 기록을 남긴 기업에만 나옵니다 📂

 

투자감경이 실제로 적용된 첫 처분 사례가 나오면 이어서 정리해 드리겠습니다.

 

※ 이 글은 2026년 11월 11일(수) 기준 개인정보보호위원회 발표와 언론 보도를 정리한 것입니다. 감경 여부와 비율은 개별 사안에서 위원회가 판단하며, 세부 기준은 고시·안내서 개정에 따라 달라질 수 있습니다. 법률 자문이 아니며, 최신 기준은 개인정보보호위원회 누리집(pipc.go.kr)의 「과징금 투자감경제도 안내서」에서 확인해 주세요.

 

태그

#개인정보보호위원회 #과징금투자감경 #개인정보과징금 #개인정보보호법개정 #징벌적과징금 #개인정보유출 #CPO #정보보호투자 #침해사고 #시사정리 #한국살이이슈