과징금 감경, 인증서에서 사고 대응으로
개인정보위가 7월 16일에 두 건을 같이 올렸다. 과징금 부과기준 일부개정안(공고 제2026-90호)과 과태료 부과기준 제정안(공고 제2026-92호). 둘 다 개정 개인정보보호법(법률 제21445호) 시행일인 2026년 9월 11일부터 적용된다. 의견제출은 8월 5일까지.
조문이 꽤 복잡한데, 실무자 입장에서 관통하는 메시지는 하나다. 인증서를 들고 있다고 깎아주던 걸 줄이고, 사고가 났을 때 실제로 어떻게 대응했는지를 보겠다는 것.
인증 감경이 반토막 났다
과징금 2차 조정 단계의 감경률이 이렇게 바뀐다.
| 감경 사유 | 현행 | 개정안 |
|---|---|---|
| 보호위가 인정하는 인증 | 50% 이하 | 30% 이하 |
| 자율규제 규약 이행 | 40% 이하 | 20% 이하 |
| 처리방침 평가·수준 평가 상위등급, 영향평가 | 30% 이하 | 15% 이하 |
전부 정확히 절반이다. 개정이유서에는 "인증, 자율적 보호 활동 등 과징금 감경 축소"라고만 적혀 있다.
ISMS-P를 유지하는 데 들어가는 비용을 생각하면 아쉬운 변화다. 다만 방향 자체는 이해가 간다. 인증받은 조직에서 대형 유출이 반복되면서, 인증 보유를 곧 안전조치 이행으로 보던 전제가 흔들린 게 사실이니까.
대신 사고 대응체계가 들어왔다
빠진 만큼 새로 생긴 게 있다. 2차 조정에 이런 감경 사유가 신설된다.
개인정보 유출등 사고 발생에 대비한 대응 체계를 구축·운영하고, 그에 따라 사고 발생 시 조기 탐지, 신속한 신고·통지, 피해 확산 방지 조치의 이행 등 안전한 보호 체계로 신속하게 회복·개선한 경우. 1차 조정을 거친 금액의 40% 이하 감경.
인증 감경(30%)보다 크다. 이번 개정에서 가장 큰 단일 감경 사유다.
문구를 뜯어보면 요구하는 게 명확하다. 체계를 갖추는 것만으로는 안 되고, "그에 따라" 실제로 조기 탐지하고 신속하게 신고·통지하고 확산을 막았어야 한다. 침해사고 대응 절차서를 캐비닛에 넣어두는 것과, 탐지 시각·보고 시각·통지 시각이 찍힌 로그를 남기는 것의 차이다.
거꾸로 이 지점에서 가중도 생긴다. 유출등 발생 사실을 알고도 법정 기한 내에 신고·통지를 하지 않았고 피해 확산 방지 조치도 안 했으면 30% 이하 가산. 같은 행위를 두고 위아래로 70%포인트가 벌어진다.
사고 대응은 이제 감경과 가중이 동시에 걸리는 항목이다. 인증 유지보다 사고 발생 시점의 타임라인 증적이 금액에 더 크게 작용한다.
투자 감경이라는 새 단계
산정 구조 자체도 바뀐다. 기존에는 기준금액에서 바로 1차 조정으로 갔는데, 그 사이에 투자 감경이 끼어든다.
기준금액 → 투자 감경 → 1차 조정 → 2차 조정 → 부과과징금 결정.
투자 감경은 기준금액의 40% 이하다. 고려 사항은 셋이다. 개인정보 보호를 위한 예산·인력·설비·장치 투자의 규모와 비율, 지속성, 증가 정도. 대표자의 법 제30조의3 책임 이행과 CPO의 지정·권한·책임 이행 및 업무수행 수준, 인력 구성·운영. 법상 의무 이외의 강화된 보호기술 적용 등 안전성 확보조치 수준.
판단 기간은 위반행위가 있었던 사업연도의 직전 3개 사업연도다. 사고 터지고 나서 급하게 예산 늘려봐야 원칙적으로 안 잡힌다는 뜻이다. 위원회가 상당하다고 인정하면 당해 사업연도도 볼 수는 있다.
이게 앞단에 붙는 건 꽤 중요하다. 기준금액에서 먼저 깎이니까 이후 1차·2차 조정의 모수가 통째로 줄어든다. 반대로 투자 감경을 못 받으면 뒤에 붙는 가중도 큰 금액 위에서 계산된다.
CPO 입장에서는 "지정·권한·책임 이행 및 업무수행 수준"이 명시적으로 감경 요소가 된 게 눈에 띈다. 임명장 한 장이 아니라 권한이 실제로 부여됐고 업무를 수행한 기록이 필요하다.
반복 위반은 훨씬 세졌다
1차 조정의 반복 위반 가중이 이렇게 바뀐다. 최근 3년간 같은 호의 위반으로 과징금 처분을 받은 횟수 기준이다.
1회는 15%에서 20%로. 2회는 40%가 신설. 3회 이상은 30%에서 80%로. 기존에는 "2회 이상 30%"로 뭉뚱그려 있던 걸 쪼개면서 상단을 크게 올렸다.
공공기관 감경도 좁아진다. 업무 형태 및 규모를 이유로 한 감경(50% 이하)에서 국가기관, 지방자치단체, 공공시스템운영기관이 명시적으로 빠진다. 공공 유출 사고가 이어지면서 나온 조정으로 보인다.
과태료도 같은 방향, 다만 조건이 붙는다
과태료 쪽은 형식상 제정이지만 실질은 기존 고시(2023.9.11.)의 재정비에 가깝다. 구조는 단순하다. 기준금액에 조정금액을 더하거나 빼서 부과금액을 정하고, 감경은 최대 90%, 가중은 최대 50%다.
여기도 사고 대응체계 감경 40%가 똑같이 들어왔다. 과징금과 같은 문구다.
인증 감경은 ISMS-P 30%, ISMS 20%, ISO 27701 20%, ISO 27001·BS 10012 20%, 민간 자율 보호마크 10%로 정리됐다. 둘 이상 해당하면 가장 높은 비율 하나만 적용한다.
여기서 놓치면 안 될 조건이 하나 있다. 인증범위 안에 위반행위가 발생한 개인정보처리시스템이 있는 경우에만 적용된다. 인증서 자체가 아니라 인증범위와 사고 지점이 겹치느냐를 본다는 뜻이다. ISMS-P 범위를 좁게 잡아 인증 비용을 아낀 조직이라면, 범위 밖 시스템에서 사고가 났을 때 감경을 못 받는다. 인증범위 산정이 제재 금액에 직결되는 구조다.
가중 쪽은 조사 방해가 50%로 가장 무겁다. 자료 제출 거부, 증거인멸, 은폐, 조작, 허위 정보 제공, 정보주체에게 허위 진술 요청까지 포함한다. 그 밖에 위반 기간 2년 초과 30%, 안전성 확보조치 세부기준 위반이 3개 이상이면 30%, 위반 주도 20%다.
연계정보가 중대성 판단에 들어왔다
과징금 별표 1의 중대성 판단기준에서 "위반행위자가 처리하는 개인정보의 유형" 항목에 연계정보가 추가된다. 고시는 연계정보를 서비스 연계를 위해 주민등록번호를 비가역적으로 암호화한 정보로 정의한다. CI 얘기다.
본인확인 과정에서 CI를 다루는 사업자는 이 한 줄로 중대성 등급 자체가 올라갈 수 있다. 통신·금융·플랫폼처럼 본인확인기관 연동이 필수인 업종이 직접 영향권이다. 유출 규모가 같아도 CI가 섞였느냐에 따라 기준금액 산정의 출발점이 달라진다.
새로 생긴 가중 판단기준(별표 2)의 피해 규모 구간도 참고할 만하다. 1천만명 이상이 '하', 2천만명 이상이 '중', 3천만명 이상이 '상'이다. 매출액 기준 과징금에 곱해지는 가중비율을 정할 때 쓰인다.
지금은 행정예고 단계라 확정된 조문이 아니다. 다만 시행일이 법 시행일과 같은 9월 11일로 못 박혀 있어서 큰 틀이 바뀔 여지는 크지 않아 보인다. 남은 두 달 동안 할 일을 꼽자면, 사고 대응 절차가 문서 밖에서 실제로 돌아가는지 한 번 돌려보는 것. 조기 탐지부터 신고·통지까지 시각이 찍힌 증적이 남는 구조인지가 핵심이다.
출처