개인정보보호법 과태료, 얼마까지 나올까?
- 개인정보보호법 과태료는 위반 유형에 따라 최대 5천만원까지 부과됩니다
- 2023년 개정법 이후 매출액 기준 과징금 제도가 별도로 도입되었습니다
- 고의성 여부에 따라 단순 과태료와 형사처벌의 갈림길이 갈립니다
- 개인정보보호위원회 공문을 받으면 초기 대응이 감경 여부를 좌우합니다
개인정보보호법 위반 과태료, 얼마까지 부과될까
결론부터 말하면 개인정보보호법 위반 과태료는 위반 행위의 종류에 따라 상한이 다르게 정해져 있습니다. 법 제75조 기준으로 가장 무거운 유형은 5천만원 이하(영상정보처리기기 관련 위반), 그다음이 3천만원 이하(안전조치 미이행·파기의무 위반·유출 통지 지연 등 다수 항목)입니다. 여기서 한 가지 반드시 알아야 할 점은, 이 과태료와 별개로 2023년 개정법(2023년 9월 15일 시행) 이후 도입된 과징금 제도가 있다는 것입니다. 과징금은 위반 사업자의 관련 매출액을 기준으로 산정되며, 지금까지는 중대한 개인정보 유출·목적 외 이용 등에 관련 매출액의 최대 3%까지 부과되어 왔습니다. 다만 2026년 3월 10일 공포된 개정 개인정보 보호법(법률 제21445호)이 2026년 9월 11일부터 시행되면서, 고의·중과실로 3년 이내 같은 위반을 반복했거나 1천만명 이상의 대규모 피해가 발생한 경우 등에는 과징금 상한이 전체 매출액의 10%까지 대폭 상향됩니다. 시행일 이후 중대·반복 위반 사업자라면 과태료보다 훨씬 큰 이 상향된 과징금부터 확인해야 합니다.
과태료와 과징금, 형사처벌은 어떻게 다른가
행정질서벌(과태료)과 매출액 기준 제재(과징금)의 차이
과태료는 특정 의무 위반 행위 하나하나에 정해진 정액·정률 상한 내에서 부과되는 행정질서벌입니다. 반면 과징금은 위반행위와 관련된 사업 부문의 매출액 규모를 기준으로 계산되기 때문에, 매출 규모가 큰 사업자일수록 절대 금액이 커집니다. 같은 위반이라도 개인사업자와 대기업의 과징금 액수는 크게 차이 날 수 있는 구조입니다. 개인정보보호위원회는 사안의 중대성, 고의·과실 여부, 위반 규모, 피해 확산 정도 등을 종합해 과태료와 과징금 중 무엇을 적용할지, 혹은 둘 다 부과할지를 판단합니다.
고의성이 형사처벌 여부를 가른다
같은 유출 사고라도 결과가 완전히 달라지는 지점은 고의성(위법 사실을 알면서도 의도적으로 행한 것) 유무입니다. 방화벽·접근통제·암호화 등 기술적 보호조치를 이미 갖추고 있었고 유출 사실을 인지한 즉시 신고·회수 조치를 취했다면 과실로 인정되어 과태료 처분으로 마무리될 가능성이 높습니다. 반대로 유출 사실을 알고도 은폐했거나, 동의받은 범위를 벗어나 개인정보를 이용·제공한 경우에는 미필적 고의(결과 발생 가능성을 알면서도 방치한 경우)가 인정되어 형사처벌로 이어질 수 있습니다.
동의 없이 제3자에게 개인정보를 제공한 경우 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해질 수 있고, 위반 유형에 따라서는 최대 10년 이하 징역 또는 1억원 이하 벌금까지 가능합니다. 과태료로 끝나는 사안인지 형사 리스크가 있는 사안인지부터 먼저 구분해야 합니다.
위반 행위별 과태료 기준표
개인정보보호법 제75조는 위반 행위를 크게 두 구간으로 나눠 상한을 정하고 있습니다. 대표적인 사례를 정리하면 다음과 같습니다.
| 과태료 상한 | 대표 위반 행위 | 근거 조항(예시) |
|---|---|---|
| 5천만원 이하 | 고정형·이동형 영상정보처리기기(CCTV 등)를 법정 요건 없이 설치·운영 | 제25조, 제25조의2 |
| 3천만원 이하 | 안전성 확보조치 미이행, 암호화 조치 미이행, 파기의무 불이행, 유출 통지·신고 위반 | 제23조·제24조의2·제29조 등 |
| 1천만원 이하 | 위탁계약서 필수 기재사항 누락 등 위탁 관련 절차 위반 | 제26조 관련 |
| 관련 매출액의 3% 이내(2026.9.11.부터 요건 충족 시 전체 매출액 기준 최대 10%) | 중대한 유출, 동의받지 않은 목적 외 이용·제공 등 — 3년 내 반복위반·1천만명 이상 피해 등은 2026.9.11.부터 상한 확대 | 2023년 개정법(과징금 조항), 2026년 개정법 제64조의2제2항·제6항 |
실제 처분 금액은 표의 상한액을 그대로 적용하는 것이 아니라, 위반행위의 정도·기간·횟수·피해 규모·자진시정 여부 등을 반영한 가중·감경 기준에 따라 결정됩니다. 같은 항목이라도 최초 위반인지 반복 위반인지에 따라 실제 부과액이 수 배 차이 날 수 있습니다.
개인정보보호위원회 공문을 받았다면
공문 유형과 회신 기한부터 확인
개인정보보호위원회는 위반이 의심되거나 정기 실태점검 대상이 되면 사전통지서, 자료제출요구서, 시정권고, 과태료 부과 사전통지서 순으로 공문을 발송합니다. 대부분 회신 기한이 7~14일로 짧게 설정되어 있고, 기한 내 성실히 회신하지 않으면 그 자체가 불리한 정황으로 작용할 수 있습니다. 공문을 받으면 발신 기관과 요구 사항, 회신 기한부터 정확히 확인하고 내부 책임자를 지정해 대응 체계를 갖추는 것이 첫 단계입니다.
소명은 ‘의무 이행 약속’이 아니라 ‘증거’로
실무에서 자주 하는 실수는 “앞으로 시정하겠다”는 다짐 위주로 소명서를 작성하는 것입니다. 하지만 감경 효과가 큰 것은 접속기록 보관, 암호화 적용, 접근권한 통제 등 이미 구축되어 있던 기술적·관리적 보호조치를 구체적인 증빙(로그, 정책 문서, 도입 이력)과 함께 제시하는 방식입니다. 사후 약속이 아니라 사고 당시 이미 존재했던 통제 체계를 입증해야 고의성 부재와 감경 사유로 인정받기 쉽습니다.
과태료 처분에 이의가 있다면 절차도 알아두어야 합니다. 대응 흐름은 다음과 같습니다.
- 공문 수령 즉시 발신기관·요구사항·회신기한 확인
- 내부 책임자 지정 및 관련 자료(로그, 보안정책, 계약서 등) 확보
- 의견제출 기한 내 소명서 제출(가능하면 자진 시정 조치 병행)
- 과태료 부과 통지 수령 시, 기한 내 자진납부 여부 검토(감경 가능)
- 불복 시 통지받은 날로부터 60일 이내 이의제기
과태료 처분에 불복하려면 질서위반행위규제법에 따라 통지받은 날로부터 60일 이내에 이의제기해야 합니다. 이 기한을 넘기면 법원 재판 절차로 다툴 기회 자체가 사라지므로 반드시 캘린더에 기록해 두어야 합니다.
흔한 실수와 감경 전략
개인정보보호법 위반 대응에서 기업과 담당자들이 반복적으로 저지르는 실수는 다음과 같습니다.
- 공문 회신 기한을 놓치거나, 형식적인 답변으로 소명 기회를 낭비하는 경우
- 실무자가 “상급자 지시였다”는 점만으로 형사책임을 피할 수 있다고 오해하는 경우 — 법원은 실무자 본인의 위법성 인지 여부를 별도로 판단합니다
- 이미 공개된 정보라는 이유로 별도 동의 없이 제3자에게 제공했다가 정보주체의 자기결정권 침해로 판단되는 경우
- 위탁계약서에 재위탁 제한, 손해배상 책임 등 법정 필수 기재사항을 누락하는 경우
반대로 감경 가능성을 높이는 조치는 다음과 같습니다.
- 자진납부 제도 활용 — 의견제출 기한 이내에 자진해서 납부하면 질서위반행위규제법에 따라 일부 감경받을 수 있습니다
- 사고 인지 즉시 신고·통지 — 유출을 인지한 정당한 사유 없이 지체하지 않고 신고하면 감경 요소로 작용합니다
- 내부 통제 시스템(접근통제·암호화·로그 보관)의 사전 존재를 문서로 입증
- 필요 시 시정권고 단계에서부터 법률 자문을 받아 대응 전략을 수립
자주 묻는 질문
Q. 개인정보보호법 위반 과태료는 최대 얼마까지 나오나요?
위반 행위 유형에 따라 다르며, 개인정보보호법 제75조 기준 최고 5천만원 이하(영상정보처리기기 관련)이고 다수 항목은 3천만원 이하입니다. 여기에 2023년 개정법 이후 도입된 과징금은 별도로 매출액의 3% 이내까지 부과될 수 있어 규모가 더 커질 수 있습니다. 다만 2026년 9월 11일부터 시행되는 개정 개인정보 보호법(법률 제21445호)에 따라 3년 내 반복 위반이거나 1천만명 이상의 대규모 피해가 발생한 경우 등에는 과징금 상한이 전체 매출액의 10%까지 오르므로, 시행일 이후에는 이 기준으로 다시 확인해야 합니다.
Q. 과태료와 과징금은 같은 건가요?
다릅니다. 과태료는 정해진 상한 안에서 부과되는 행정질서벌이고, 과징금은 위반 사업자의 관련 매출액을 기준으로 산정되는 제재금입니다. 매출 규모가 클수록 과징금 액수도 커지는 구조입니다.
Q. 과태료 처분에 불복할 수 있나요?
네. 질서위반행위규제법에 따라 처분을 통지받은 날로부터 60일 이내에 이의제기할 수 있고, 이의제기 시 법원의 과태료 재판 절차로 넘어갑니다. 기한을 넘기면 불복 기회를 잃으므로 유의해야 합니다.
Q. 개인정보보호위원회 공문을 받으면 바로 과태료가 부과되나요?
아닙니다. 사전통지서나 자료제출요구서 단계에서는 소명 기회가 주어지며, 이 단계에서 기술적·관리적 보호조치 이행 내역을 증거로 제시하면 최종 처분 전에 감경되거나 시정권고로 마무리될 수 있습니다.
Q. 개인정보 유출 시 형사처벌까지 받을 수 있나요?
고의성이 인정되면 과태료를 넘어 형사처벌로 이어질 수 있습니다. 동의 없이 제3자에게 개인정보를 제공한 경우 5년 이하 징역 또는 5천만원 이하 벌금에 처해질 수 있고, 위반 유형에 따라 처벌 수위가 더 높아질 수도 있습니다.
