최근 개인정보 유출 사고로 노심초사하시는 기업 담당자분들이 정말 많습니다. 한 번의 사고로 매출의 3%까지 과징금이 부과될 수 있다는 점, 이미 알고 계실 텐데요. 그럼에도 회사가 적극적으로 대응하면 개인정보 유출 과징금을 상당 부분 감경받을 수 있다는 사실을 잘 모르시는 경우가 많습니다.
Q. 저희 회사에서 약 5만 건의 고객 정보가 외부로 유출됐습니다. 개인정보보호위원회 조사가 시작됐는데, 과징금이 얼마나 나올지 막막합니다. 줄일 수 있는 방법이 있을까요?
핵심 결론부터 말씀드릴게요
결론부터 정리하면, 과징금은 사전 안전조치 이행 정도, 사고 후 대응의 신속성, 협조 태도에 따라 크게 달라집니다. 같은 규모의 유출 사고라도 어떤 기업은 수십억의 과징금이 부과되는 반면, 다른 기업은 그 절반 이하로 마무리되기도 합니다.
2023년 9월 개정된 개인정보보호법에 따라, 과징금 산정 기준이 '위반행위 관련 매출액의 3%'에서 '전체 매출액의 3%'로 변경됐다는 점도 꼭 알아두셔야 합니다. 다만 위반행위와 무관한 매출액은 제외할 수 있도록 입증 책임이 사업자에게 있으니, 이 부분을 적극 다투는 것이 첫 번째 방어선입니다.
과징금 산정은 어떻게 이뤄지나요
개인정보보호위원회는 위반행위의 중대성, 안전조치 의무 위반 여부, 피해 확산 방지 노력 등을 종합적으로 평가합니다. 실무에서 자주 접하는 산정 흐름은 다음과 같습니다.
과징금 산정 4단계
- 1단계: 기준금액 산정 (전체 매출액 × 3% 이내)
- 2단계: 위반행위 중대성에 따른 부과기준율 적용
- 3단계: 가중·감경 사유 반영
- 4단계: 부과 과징금 결정 (최대 50%까지 추가 감경 가능)
여기서 주목해야 할 부분이 바로 3단계와 4단계입니다. 가중 사유가 적용되면 과징금이 50% 늘어날 수 있지만, 반대로 감경 사유를 충분히 입증하면 50%까지 줄일 수 있습니다. 같은 사고도 대응에 따라 결과가 4배 가까이 차이 날 수 있다는 뜻입니다.
감경받을 수 있는 핵심 사유는 무엇인가요
1. 사전 안전조치를 충실히 이행했는지
개인정보의 안전성 확보조치 기준 고시에 따른 기술적·관리적 보호조치를 평소에 얼마나 이행했는지가 가장 중요합니다. 접근통제, 암호화, 접속기록 보관, 정기 점검 기록 등이 잘 관리되어 있다면 '안전조치 의무 위반'의 책임을 상당 부분 줄일 수 있습니다.
2. 사고 인지 후 72시간 이내 신고했는지
개인정보보호법 제34조에 따라 1,000명 이상 정보주체의 개인정보가 유출된 경우 72시간 이내 신고 의무가 있습니다. 이 기한을 지키는 것만으로도 '신속한 대응'으로 평가받아 감경 요소가 됩니다. 반대로 이를 놓치면 별도의 과태료가 추가됩니다.
3. 정보주체에 대한 통지와 피해 구제 노력
유출된 정보주체에게 개별 통지를 했는지, 2차 피해 방지를 위한 비밀번호 변경 안내·고객센터 운영·신용 모니터링 서비스 제공 등을 했는지가 평가됩니다. 실무에서 보면, 이 부분에 적극적으로 투자한 기업들이 결과적으로 과징금에서도 큰 폭의 감경을 받는 경우가 많습니다.
4. 조사 단계에서의 협조 태도
개인정보보호위원회 조사관의 자료제출 요구에 성실히 응하고, 사실관계를 은폐하거나 조작하지 않는 것이 기본입니다. 자진신고·자진시정 의사를 명확히 밝히는 것도 의견서 단계에서 중요한 감경 사유가 됩니다.
실무에서 놓치기 쉬운 점
의외로 많은 분들이 실수하시는 부분
- 매출액 산정 시 '관련 없는 매출' 입증을 포기하는 경우
- 의견 제출 기한을 놓쳐 방어 기회를 상실하는 경우
- 외주 처리수탁자의 과실인데 위탁자 책임만 단독으로 부담하는 경우
- 유사 사례의 의결서·과징금 산정 기준을 참고하지 않는 경우
특히 매출액 입증 부분은 회사가 적극적으로 자료를 제출해야만 인정받을 수 있습니다. 예를 들어 B2B 사업 부문에서 발생한 매출은 개인정보 처리와 직접 관련이 없다는 점을 회계자료, 조직도, 업무 분장표 등으로 객관적으로 입증해야 합니다. 이 작업만으로도 기준금액 자체가 크게 줄어드는 효과가 있습니다.
예외적으로 과징금이 면제되는 경우도 있나요
네, 있습니다. 천재지변이나 정보주체 본인의 고의·중과실로 인한 경우, 그리고 사회·경제적 여건상 부과가 부적절하다고 인정되는 경우에는 면제 또는 대폭 감경이 가능합니다. 다만 이를 인정받으려면 객관적 자료와 함께 정밀한 의견서 작성이 필수입니다.
또한 개정법 시행 이후로는 '고의 또는 중과실'이 아닌 경미한 과실로 인한 유출의 경우, 위반행위 동기와 피해 정도를 종합적으로 고려해 부과 기준율 자체가 낮게 적용될 수 있습니다. 이 경계선에 있는 사안일수록 초기 대응 전략이 결과를 좌우합니다.
마지막으로 꼭 기억하셔야 할 점
개인정보 유출 사고는 사고 발생 자체보다 사고 이후 72시간, 그리고 조사 개시 이후 60일이 결과를 좌우합니다. 이 시간 동안 어떤 자료를 어떤 논리로 정리해 제출하느냐에 따라 과징금 규모가 결정됩니다.
또한 행정처분 결과에 불복하는 경우, 행정심판 또는 행정소송을 통해 다시 다툴 수 있는 기회가 있습니다. 다만 행정소송 단계에서는 처분 단계에서 제출하지 않은 새로운 주장을 펼치기가 쉽지 않으므로, 가능한 한 처분 단계에서 충분한 의견을 개진하는 것이 중요합니다.
