과징금 상한이 3%에서 10%로 올라가는 세 가지 상황

과징금 상한이 3%에서 10%로 오른다는 제목만 보면 규모가 큰 회사에만 해당하는 이야기처럼 읽힌다. 그러나 이번 개정에서 초기 기업이 먼저 봐야 할 것은 상한 숫자가 아니라 반복 여부를 따지는 기준선이다. 한 번 처분받은 뒤 같은 유형의 위반이 다시 발생하면 상한 특례와 가중률이 함께 적용되고, 그 기간은 처분일부터 3년이다. 유출이 발생한 곳 하나만 막고 끝냈는지, 같은 유형의 문제가 생길 수 있는 다른 시스템까지 정리했는지가 그 3년 안에 비용으로 돌아온다.

개인정보 보호법 개정안이 2026년 9월 11일부터 시행됐다. 달라진 것은 과징금 상한 하나만이 아니다. 핵심은 어떤 상황에서 상한이 달라지는가이다. 일반 상한인 전체 매출액의 3%는 그대로 남고, 여기에 전체 매출액의 10%까지 물릴 수 있는 특례가 추가됐다. 법 제64조의2 제2항이 이를 규정한다.

10%가 되는 상황은 셋뿐이다

특례가 적용되는 경우는 세 가지이다.

첫째, 과징금 처분을 받은 날부터 3년 안에 같은 유형의 위반을 다시 한 경우다. 둘째, 고의나 중대한 과실로 1천만 명 이상에게 피해를 입힌 경우다. 셋째, 시정조치명령을 이행하지 않아 유출이 일어난 경우다.

세 가지를 나란히 놓으면 공통점이 보인다. 한 번의 사고 규모만으로 10%가 되는 경우는 두 번째뿐이다. 나머지 둘은 이전에 무슨 일이 있었는지를 본다. 첫 번째는 앞선 처분을, 세 번째는 앞선 명령을 전제로 한다. 상한이 높아지는 기준에 사고의 크기뿐 아니라 대응 이력도 들어간다는 뜻이다.

반복은 배수로 붙는다

개인정보보호위원회 고시 제2026-12호는 부과기준율과 함께 반복 위반 가중률을 정했다. 처분일부터 3년 안에 같은 호의 위반으로 과징금 처분을 받은 횟수가 늘수록 가중률도 올라간다. 1회면 20%, 2회면 40%, 3회 이상이면 80%다.

같은 고시는 위반의 중대성에 따라 부과기준율도 나눈다. 중대한 위반은 1.5% 이상 2.1% 미만, 매우 중대한 위반은 2.1% 이상 2.7% 이하다.

이 둘을 곱하는 구조이므로 같은 사고라도 앞선 처분이 몇 번 있었는지에 따라 최종 금액이 크게 달라진다. 한 번 처분받은 뒤 3년 안에 같은 유형의 위반을 되풀이하면, 두 번째 처분은 첫 번째보다 훨씬 비싸다.

3년이라는 기간이 설계의 기준선이다

반복을 세는 기간이 3년으로 고정돼 있어 실무에서는 날짜 관리가 중요하다. 기준이 되는 날은 사고가 난 날이 아니라 처분을 받은 날이다. 처분을 받은 뒤 3년 동안 같은 유형의 위반이 다시 나오면 가중 구간에 들어간다.

여기서 대응의 범위에 따라 결과가 갈린다. 유출이 난 자리만 막고 끝내면 같은 유형의 문제가 다른 시스템에서 반복될 여지가 남는다. 처분을 받은 뒤 3년은 그 여지를 정리해야 할 기간이자, 정리하지 않았을 때 비용이 배수로 돌아오는 기간이다.

시정조치명령을 받은 뒤가 가장 위험하다

세 특례 사유 가운데 세 번째는 성격이 다르다. 앞의 둘은 위반 자체를 묻지만, 세 번째는 이미 받은 명령을 이행하지 않은 상태에서 유출이 났을 때 적용된다. 명령을 받은 시점부터 이행을 마칠 때까지가 이 조항의 사정거리다.

이 구간에서는 사고의 크기가 상한을 좌우하지 않는다. 1천만 명 기준을 넘지 않아도, 반복이 아니어도, 명령을 이행하지 않았다는 사실만으로 상한이 10%가 된다.

확인하지 못한 것

고시 본문과 별표를 열어 보지 않고서는 확정할 수 없는 항목이 남아 있다. 중대성 등급을 가르는 세부 점수, 10% 특례에 적용되는 가중비율의 상한과 하한, 고의와 중과실을 각각 어떻게 점수화하는지, 전체 매출액을 산정할 수 없는 사업자의 대체 산식, 감경과 가중이 최종 금액에 결합되는 순서다. 공공기관과 해외 사업자에게도 같은 방식으로 적용되는지는 원문을 확인해야 한다.

처분일과 이행 완료일, 두 날짜부터 적어 둔다

고시 별표를 열어 보기 전에도 지금 할 수 있는 일이 있다. 처분을 받은 날과 시정조치명령의 이행을 마친 날, 두 날짜를 기록하는 일이다. 반복 여부를 따지는 3년은 사고가 난 날이 아니라 처분을 받은 날부터 시작하고, 10% 특례의 세 번째 사유는 명령을 이행하기 전까지 해당될 수 있다. 두 날짜가 없으면 지금 어느 구간에 있는지 알 수 없다.

그다음은 범위다. 유출이 발생한 시스템 하나가 아니라 같은 유형의 위반이 나올 수 있는 시스템 전부를 목록으로 만들고, 처분일부터 3년 안에 그 목록을 비울 일정을 잡는다. 목록을 언제까지 비우느냐에 따라 다음 위반이 가중 구간에 들어가는지가 달라진다.