개인정보 1천만명 유출하면 ‘매출 10%’ 과징금?

개인정보 1천만명 유출하면 ‘매출 10%’ 과징금?…9월 11일부터 개인정보보호법 확 달라졌다

“고객정보를 반복해서 허술하게 관리하다 대규모 유출사고를 냈다면, 이제 기업이 감당해야 할 책임의 크기가 달라진다.”

2026년 9월 11일부터 개인정보 유출사고에 대한 기업과 기관의 책임이 한층 강화됩니다.

개인정보보호위원회는 개인정보 유출사고를 사전에 예방하고 피해 발생 때 국민의 권리구제를 강화하기 위해 지난 3월 개정된 개인정보 보호법과 개정 시행령·관련 고시를 9월 11일부터 시행합니다.

가장 눈에 띄는 변화는 반복적이거나 중대한 개인정보 침해에 대한 ‘전체 매출액 최대 10%’ 과징금 특례입니다.

하지만 여기서 반드시 주의해야 합니다. 개인정보 유출사고가 발생했다고 모든 기업에 매출액의 10%를 과징금으로 부과한다는 뜻은 아닙니다.

🚨 가장 중요한 팩트체크

“개인정보 유출 = 무조건 전체 매출액 10% 과징금”은 틀린 설명입니다.

새 제도는 반복적이거나 중대한 개인정보 침해에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 한 특례입니다.

실제 과징금은 위반 내용과 정도, 고의·중과실 여부, 피해 규모와 영향, 예방투자와 사고대응 노력 등을 종합해 산정됩니다.

매출 10% 과징금, 어떤 경우 적용될까?

개정법은 일반적인 개인정보 침해와 특히 책임이 무거운 반복·중대 침해를 구분합니다.

개인정보보호위원회가 제시한 대표적인 10% 과징금 특례 적용 요건은 다음과 같습니다.

⚠️ 징벌적 과징금 특례가 문제될 수 있는 대표적인 경우

• 최근 3년 동안 고의 또는 중대한 과실로 위반행위를 반복한 경우
• 고의 또는 중대한 과실로 1천만 명 이상의 대규모 피해를 초래한 경우
• 개인정보위의 시정명령을 이행하지 않아 개인정보 유출 등의 사고가 발생한 경우

‘1천만명 유출 = 무조건 10%’도 아니다

제목만 보고 가장 오해하기 쉬운 부분입니다.

개인정보 1천만 명이라는 숫자가 등장하지만 1천만 명 이상 피해가 발생했다는 사실 하나만으로 기계적으로 매출액 10%가 부과된다는 뜻은 아닙니다.

공식 설명은 ‘고의 또는 중대한 과실로 대규모(1천만 명 이상) 피해를 초래한 경우’를 특례 적용 사유 가운데 하나로 제시합니다.

숫자 하나만 기억한다면 ‘10%’보다 ‘최대 10%’가 정확합니다.

과징금의 실제 액수는 위반행위의 내용과 정도, 피해규모와 영향 및 여러 가중·감경 사유를 거쳐 결정됩니다.

그렇다면 과징금은 어떻게 계산할까?

이번에 함께 개정된 시행령과 고시는 징벌적 과징금의 부과·가중·감경 절차를 구체화했습니다.

📊 과징금 산정의 기본 흐름

중대성 판단
↓
기준금액 산정
↓
가중 판단
↓
예방·보호 투자에 따른 감경
↓
1·2차 조정 등
↓
최종 부과 과징금 결정

즉 ‘매출액 × 10%’를 단순 계산해 그대로 부과하는 구조가 아닙니다.

보안에 미리 투자한 기업은 최대 40% 감경

이번 개정에서 제재 강화 못지않게 중요한 부분이 ‘사전예방 투자 인센티브’입니다.

기업이 사고가 난 뒤에만 대응하는 것이 아니라 평소 개인정보 보호를 위해 적극적으로 투자하도록 유도하겠다는 것입니다.

🛡️ 개인정보 보호에 선제적으로 투자했다면?

개인정보 보호 관련 인력·예산·설비·장치 등을 갖추고, 사고 대응체계를 구축·운영하는 등 적극적인 보호 노력을 한 경우 과징금 산정에서 이를 반영합니다.

시행령·고시에 따라 관련 요건을 충족하면 과징금 부과 기준금액의 최대 40% 범위에서 감경될 수 있습니다.

또 최종 과징금을 정할 때 위반행위의 구체적인 내용과 정도, 피해규모 및 영향 등을 고려해 추가적인 조정·감경이 이뤄질 수 있습니다.

이는 기업에 “사고가 터진 뒤 벌금을 내는 것보다 평소 보안에 투자하는 것이 낫다”는 강력한 경제적 신호를 주려는 제도 설계입니다.

반대로 사고대응을 제대로 하지 않으면 더 불리할 수 있다

예방 노력만 평가하는 것은 아닙니다.

사고가 발생했을 때 조기에 탐지했는지, 신속하게 신고·통지했는지, 추가적인 피해 확산을 막기 위해 어떤 조치를 취했는지도 과징금 산정에서 중요한 요소가 됩니다.

따라서 기업 입장에서는 이제 ‘침해를 막는 보안’과 ‘사고가 발생한 뒤 신속하게 대응하는 체계’ 두 가지가 모두 중요해졌습니다.

영세·중소기업은 무조건 똑같이 처벌하나?

그렇지 않습니다.

개인정보위는 처분의 비례성을 고려해 영세·중소기업 등의 경미한 위반에 대해서는 기술지원을 받아 위반사항을 시정하는 경우 과징금을 면제할 수 있도록 관련 기준을 마련했습니다.

핵심은 ‘큰 기업은 무조건 세게, 작은 기업은 무조건 면제’가 아닙니다.

위반의 중대성, 고의·중과실, 피해규모, 시정 노력 등 구체적인 사정을 종합적으로 판단하는 구조입니다.

이제 개인정보 사고는 CEO도 ‘최종 책임’

이번 개정의 또 다른 핵심은 개인정보 보호를 IT·보안부서만의 업무로 두지 않았다는 것입니다.

개정법은 개인정보 처리와 보호에 관한 사업주·대표자(CEO)의 최종책임을 명시했습니다.

대규모 고객정보를 다루는 기업에서 개인정보 보호 인력과 예산이 부족했는데도 “보안부서가 알아서 할 문제였다”는 식으로 경영진이 책임에서 멀어지는 구조를 개선하려는 취지입니다.

👔 CEO에게 던지는 새로운 질문

“우리 회사는 개인정보를 얼마나 가지고 있는가?”
“보호를 위해 충분한 인력과 예산을 투입했는가?”
“사고 발생 시 72시간 안에 대응할 시스템이 있는가?”

CPO 권한도 커진다…보안 책임자에게 ‘예산·인력’ 힘 실어준다

개인정보 보호책임자, 즉 CPO(Chief Privacy Officer)의 역할도 강화됩니다.

CPO가 명목상 책임자에 그치지 않고 개인정보 보호 전문인력을 관리하고 필요한 예산을 확보하며, 이사회에 관련 내용을 보고할 수 있도록 직무권한을 강화했습니다.

특히 일정한 대상 개인정보처리자가 CPO를 지정·변경·해제하려면 이사회 의결을 거쳐 개인정보보호위원회에 신고하도록 했습니다.

기존 CPO도 신고해야 할까?

여기서 시행 전·후를 구분해야 합니다.

구분	절차
법 시행 후 CPO 지정·변경·해제	이사회 의결 후 신고사유 발생일부터 6개월 이내 신고
법 시행 전 이미 지정된 CPO	별도 이사회 의결 없이 시행일부터 6개월 이내 신고

개인정보위는 새로운 제도의 현장 안착을 위해 2027년 12월 31일까지 계도기간을 운영합니다.

계도기간에는 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반, 신고 해태 등에 대해 과태료를 부과하지 않을 방침입니다.

소비자가 체감할 가장 큰 변화｜‘유출 확정 전’에도 알려야 한다

기업에 매출 10% 과징금 못지않게 일반 국민에게 직접 영향을 미치는 변화가 있습니다.

바로 ‘개인정보 유출 가능성 통지제’입니다.

과거에는 개인정보가 실제로 유출됐다는 사실을 확인한 이후 통지하는 구조가 중심이었습니다.

이제는 최종 확인이 끝나지 않았더라도 객관적인 정황을 바탕으로 유출 가능성이 높다고 합리적으로 판단되는 경우 이용자에게 먼저 알려야 합니다.

⏰ 핵심 시간은 ‘72시간’

개인정보처리시스템이나 개인정보취급자의 기기에 불법적인 접근이 발생해 유출이 의심되거나, 개인정보가 불법적으로 거래·유통되는 등 객관적인 정황이 확인되는 경우가 대표적입니다.

이러한 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지해야 합니다.

그럼 해킹 의심만 생겨도 무조건 문자 보내야 하나?

그렇게 단순하지 않습니다.

컴퓨터에서 보안 취약점 하나가 발견됐다거나 막연히 “혹시 개인정보가 빠져나갔을 수도 있다”는 정도만으로 모든 이용자에게 통지해야 한다는 의미는 아닙니다.

불법적인 시스템 접근이나 개인정보의 불법 거래·유통 등 객관적인 정황을 토대로 유출 가능성이 높다고 합리적으로 판단할 수 있어야 합니다.

가상 사례｜쇼핑몰 고객정보가 다크웹에서 발견됐다면?

CASE｜제도 이해를 위한 가상 사례

A온라인쇼핑몰이 수백만 명의 고객정보를 보유하고 있다고 가정해 보겠습니다. 어느 날 일부 고객의 개인정보가 불법 거래되고 있다는 객관적 정황이 확인됐습니다.

아직 전체 고객정보가 실제로 유출됐는지 디지털 포렌식 조사가 끝나지 않았습니다.

새 제도에서는 일정한 요건을 충족한다면 “조사가 다 끝날 때까지 기다렸다가 알리자”는 식으로 통지를 미룰 수 없고, 유출 가능성을 안 때부터 72시간 이내 해당 정보주체에게 필요한 사실을 통지해야 합니다.

※ 위 사례는 법령 이해를 돕기 위해 구성한 가상 사례이며 특정 기업의 실제 개인정보 유출사건을 의미하지 않습니다.

랜섬웨어도 달라진다…‘위조·변조·훼손’까지 확대

통지·신고 대상 자체도 넓어집니다.

기존의 개인정보 분실·도난·유출뿐 아니라 위조·변조·훼손도 통지·신고 대상에 포함됩니다.

따라서 랜섬웨어 공격 등으로 개인정보가 훼손된 경우에도 새로운 규정의 적용을 받을 수 있습니다.

통지 내용도 강화됩니다. 단순히 “정보가 유출됐습니다”라고 알리는 데 그치지 않고 분쟁조정 신청이나 손해배상 청구 등 피해구제 방법도 함께 안내하도록 했습니다.

한눈에 보는 2026년 9월 11일 개인정보보호법 변화

분야	핵심 변화
징벌적 과징금	일정한 반복·중대 침해 시 전체 매출액 최대 10%
대규모 피해	고의·중과실로 1천만 명 이상 피해 등 특례요건
예방투자	적극적인 보호 노력 과징금 감경에 반영
CEO	개인정보 처리·보호 최종책임 명시
CPO	권한·책임 및 독립성 강화, 일정 대상 이사회 의결·신고
유출 가능성	일정한 객관적 정황이 있으면 72시간 내 통지
사고 범위	위조·변조·훼손까지 통지·신고 대상 확대
피해구제	손해배상·분쟁조정 방법까지 통지

팩트체크｜잘못 알려지기 쉬운 7가지

Q1. 개인정보 한번 유출하면 매출 10%를 내나요?

아닙니다. 10%는 반복·중대 침해 등에 적용할 수 있는 최대 한도입니다.

Q2. 1천만 명이 유출되면 무조건 10%인가요?

아닙니다. 고의·중대한 과실 여부 등 법정 요건과 구체적인 사정을 함께 판단합니다.

Q3. ‘매출’은 개인정보 관련 사업 매출만 의미하나요?

특례는 법에서 전체 매출액을 기준으로 규정하고 있습니다. 따라서 ‘유출 관련 매출의 10%’라고 설명하면 정확하지 않습니다.

Q4. 개인정보 보호에 미리 투자해도 아무 소용이 없나요?

아닙니다. 선제적 개인정보 보호 투자는 과징금 산정 과정에서 감경 요소로 반영됩니다.

Q5. 개인정보가 실제로 유출된 뒤에만 통지하면 되나요?

이제는 아닙니다. 일정한 객관적 정황을 토대로 유출 가능성이 높다고 합리적으로 판단되는 경우에도 통지의무가 발생할 수 있습니다.

Q6. 통지 기한은 언제인가요?

법령이 정한 유출 가능성 통지 요건에 해당하면 그 사실을 안 때부터 72시간 이내 통지해야 합니다.

Q7. ISMS-P 의무화도 9월 11일 바로 시행되나요?

아닙니다. 중요 개인정보처리자에 대한 ISMS-P 인증 의무화 규정은 예산 확보와 준비기간 등을 고려해 2027년 7월 1일부터 시행될 예정입니다.

이번 개정의 진짜 의미｜개인정보 보호를 ‘비용’에서 ‘투자’로

이번 법 개정은 단순히 과징금 액수를 3%에서 10%로 올리는 데 핵심이 있는 것은 아닙니다.

제도의 방향을 보면 ‘책임 강화’와 ‘예방 투자 인센티브’를 함께 배치했습니다.

개인정보 보호를 반복적으로 소홀히 해 대형 사고를 일으킨 기업에는 강력한 책임을 묻는 반면, 사고가 발생하기 전에 보안 인력·예산·시스템을 갖추고 적극적으로 대비한 기업에는 그 노력을 평가하겠다는 것입니다.

송경희 개인정보보호위원장은 이번 개정법령 시행을 계기로 개인정보 보호를 단순한 비용이 아니라 고객 신뢰와 기업 이익을 위한 ‘선제적 투자’로 보는 인식 전환을 기대한다고 밝혔습니다.

결론｜‘사고 나면 사과’에서 ‘사고 전에 투자’하는 시대로

2026년 9월 11일 시행되는 개인정보 보호법 개정은 기업의 개인정보 관리 방식에 상당한 변화를 요구합니다.

🔐 이것만은 기억하세요

반복·중대 개인정보 침해 → 전체 매출 최대 10% 과징금 특례
고의·중과실 + 1천만 명 이상 피해 → 특례 적용 가능
적극적인 사전 보호투자 → 과징금 감경 가능
CEO → 개인정보 보호 최종책임 명시
CPO → 권한·독립성 강화
객관적인 유출 가능성 → 72시간 이내 통지
랜섬웨어 등 위조·변조·훼손 → 통지·신고 범위 확대

기업에는 개인정보 보호가 더 이상 사고가 발생한 뒤 수습하는 문제가 아닙니다.

국민에게도 변화는 큽니다. 실제 유출이 최종 확정될 때까지 기다리지 않고 위험을 조기에 알 수 있게 되면서, 비밀번호 변경이나 계정 보호 등 2차 피해를 막기 위한 대응 시간을 확보할 수 있기 때문입니다.

결국 이번 개정의 핵심은 하나로 정리할 수 있습니다.

“개인정보를 많이 보유할수록 그만큼 더 큰 책임을 져야 하고, 사고가 나기 전에 제대로 투자해야 한다.” 자료 및 팩트체크 출처

개인정보보호위원회 2026년 9월 10일 공식 보도자료 「개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행」 및 개정 개인정보 보호법·시행령을 기준으로 작성했습니다.

출처- 개인정보보호위원회    

개정된  개인정보 보호법과 개정 시행령·관련 고시를 9월 11일부터 시행 합니다.