개인정보보호법 위반 과징금·과태료 60일 대응

Editor's Letter

개인정보 유출 사고가 알려지는 순간, 기업의 시계는 완전히 달라집니다.
개인정보보호위원회의 조사통지, 시정조치, 과징금 부과처분, 과태료 처분이 순차적으로 이어지며 이 모든 단계에는 각각 대응 시한이 존재합니다.

특히 2023년 3월 개정, 2023년 9월 15일 시행된 개인정보 보호법은 과징금 상한을 위반행위 관련 매출액의 3%에서 전체 매출액의 3% 이하로 확대했습니다.

초기 대응이 곧 과징금 규모를 결정합니다.

The Brief — 60초 요약

개인정보 유출이나 안전조치 미비가 확인되면 개인정보보호위원회의 조사가 개시되고, 이후 시정조치·과징금·과태료가 부과됩니다.

과징금·시정조치 처분에 불복하려면 처분이 있음을 안 날부터 90일, 처분이 있은 날부터 1년 이내에 행정심판(중앙행정심판위원회) 또는 행정소송(서울행정법원)을 제기해야 합니다(행정소송법 제20조, 행정심판법 제27조).

과태료는 부과 통지를 받은 날부터 60일 이내 이의제기가 가능합니다(질서위반행위규제법 제20조). 자진 시정, 피해구제 이행, 재발방지 조치는 감경 사유로 반영됩니다.

상담전화 1522-7005 / help@tll.co.kr / 카카오 상담 자세히 보기 / 상담신청 자세히 보기

한눈에 정리

• 2023년 9월 15일 시행 개정법: 과징금 상한을 전체 매출액의 3%로 확대(제64조의2)

• 유출·미신고·안전조치 미비는 모두 별도 처분 대상

• 1천 명 이상 유출·민감정보 유출 등의 경우 72시간 이내 신고 의무(시행령 제40조)

• 72시간의 기산점은 유출 "발생 시점"이 아니라 유출 사실을 "알게 된 시점"

• 과태료는 사안별 5천만 원·3천만 원·2천만 원·1천만 원 등 이하로 구분(제75조)

• 과징금 불복 90일, 과태료 이의제기 60일 — 시한이 각각 다름

• 자진 시정, 피해구제, 재발방지 이행은 감경 요소로 인정

• 조사 초기 서면 대응이 최종 처분 규모에 영향을 미치는 요인

목차

1. 2023년 개정 개인정보 보호법 처분 구조

2. 유출·미신고·안전조치 미비 처분 기준

3. 매출액 3% 과징금 계산 방식과 납부 절차

4. 이의신청·행정심판·행정소송 관할

5. 감경 사유 — 자진 시정·피해구제·자진납부

6. 하정림 대표변호사 관련 성공사례

7. FAQ 5개

Ⅰ. 2023년 개정 개인정보 보호법 처분 구조

2023년 3월 14일 공포되고 2023년 9월 15일 시행된 개정 개인정보 보호법은 처분 체계를 재편했습니다. 기존에는 "위반행위와 관련된 매출액의 3% 이하"로 과징금이 산정되었지만, 개정법은 전체 매출액의 3% 이하로 상한을 확대했습니다(개인정보 보호법 제64조의2 제1항). 다만 전체 매출액에서 위반행위와 관련이 없는 매출액은 제외하고 산정합니다(같은 조 제2항).

처분 체계는 다음 세 축으로 구성됩니다.

• 시정조치(제64조): 개인정보 침해행위의 중지, 개인정보 처리의 일시적 정지 등

• 과징금(제64조의2): 전체 매출액 3% 이하

• 과태료(제75조): 사안별 5천만 원·3천만 원·2천만 원·1천만 원 등 이하

개인정보보호위원회의 조사가 개시되면 자료제출요구, 현장조사, 의견제출, 심의·의결이 순차적으로 진행됩니다.

각 단계에서 제출한 서면이 최종 처분 규모의 근거로 반영되기 때문에, 조사 단계의 초기 서면 대응이 최종 과징금 산정에 영향을 미치는 중요한 요인이 됩니다.

Ⅱ. 유출·미신고·안전조치 미비 처분 기준

1. 개인정보 유출 통지·신고 의무 (제34조)

개인정보 보호법 제34조는 개인정보처리자가 개인정보의 분실·도난·유출을 알게 된 때 정보주체에게 통지하도록 규정하고 있습니다. 통지 시한과 신고 시한의 구체적인 기산점 및 예외는 시행령에서 정하고 있으며, 이 부분은 아래 2번 항목에서 함께 정리합니다.

2. 72시간 신고·통지 의무 (시행령 제40조)

개인정보 보호법 시행령 제40조는 아래 어느 하나에 해당하는 경우 72시간 이내 신고를 규정합니다.

• 1천 명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우

• 민감정보 또는 고유식별정보가 유출등이 된 경우

• 개인정보처리시스템 또는 개인정보취급자가 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우

72시간의 기산점은 유출이 발생한 시점이 아니라, 개인정보처리자가 유출 사실을 "알게 된 때"부터 진행됩니다.

이 부분은 실무에서 가장 많이 오해되는 지점입니다.
로그 분석이나 외부 제보로 유출을 인식한 시점을 정확히 확정해 두어야 신고 기한 준수 여부를 다툴 수 있습니다. 단, 천재지변 등 부득이한 사유로 72시간 이내 신고가 곤란하다면 사유가 해소된 후 지체 없이 신고할 수 있습니다.

3. 안전조치 의무 (제29조)

개인정보 보호법 제29조는 "개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다"고 정하고 있습니다.

법 조문 자체가 직접 열거하는 항목은 "내부 관리계획 수립, 접속기록 보관 등"까지이며, 접근권한 관리, 개인정보 암호화, 접속기록 위·변조 방지, 악성프로그램 방지 등 구체적인 조치는 시행령 제30조 및 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」에서 정하고 있습니다.

실무상 조사·처분은 법 제29조 위반 여부를 판단하면서 하위 시행령·고시상의 구체 조치 이행 여부를 함께 심사합니다.

세 축은 하나의 사건에서 중첩적으로 부과될 수 있다는 점이 실무의 핵심입니다.
유출 자체보다 "신고 지연", "안전조치 미비"가 추가 인정되면 처분 규모가 확대됩니다.

Ⅲ. 매출액 3% 과징금 계산 방식과 납부 절차

1. 과징금 산정 4단계

개인정보보호위원회 고시 「개인정보 보호법 위반에 대한 과징금 부과기준」에 따르면 과징금 산정은 다음 단계로 진행됩니다.

1. 기준금액 산정: 전체 매출액에서 위반행위와 관련 없는 매출액을 제외한 금액 × 부과기준율

2. 1차 조정: 위반행위의 기간·횟수·중대성에 따른 가중 또는 감경

3. 2차 조정: 자진 시정, 피해구제, 조사협조 등 사유로 감경

4. 부과과징금 결정: 사업자의 현실적 부담능력, 시장·경제 여건 반영

전체 매출액은 부가가치세, 매출할인, 매출환입, 매출에누리 등을 제외한 총매출액을 의미합니다. 개정 시행령 이후 매출 산정 기준연도는 직전 사업연도 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액을 적용합니다.

2. 관련 매출액 산정이 실무의 승부처

"위반행위와 관련이 없는 매출액을 제외한다"는 제64조의2 제2항의 해석이 실제 과징금 규모를 크게 바꿉니다.

특정 서비스 라인에서만 유출이 발생한 사건이라면, 해당 서비스와 무관한 사업부문 매출을 산정 대상에서 배제해야 한다는 주장을 조사 단계부터 서면으로 정리해 두는 것이 중요합니다.

3. 납부기한 연기·분할납부 신청 가능

전체 매출액 3% 기준 과징금은 수억 원에서 수십억 원에 이를 수 있어 기업의 자금 유동성에 직접적인 부담이 됩니다. 이때 활용 가능한 제도가 납부기한 연기·분할납부입니다.

• 근거: 개인정보 보호법 제64조의2 관련 규정 및 개인정보보호위원회 고시

• 요건: 과징금 액수가 현저히 과다하거나 자금 사정이 현저히 곤란한 경우 등

• 효과: 일정 기간 범위 내 납부기한 연기 또는 분할납부 인정

자금 사정을 소명할 수 있는 재무제표, 현금흐름표, 금융기관 확인서 등을 함께 첨부해 신청해야 인정 가능성이 높아집니다.

Ⅳ. 이의신청·행정심판·행정소송 관할

1. 과징금·시정조치 처분

「개인정보 보호위원회의 조사 및 처분에 관한 규정」 제28조는 시정조치 명령 및 과징금 부과처분에 불복하는 경우 「행정심판법」 및 「행정소송법」에 따른 절차를 안내하고 있습니다.

2. 과태료 처분

과태료는 별도의 절차 체계를 따릅니다.

질서위반행위규제법 제20조에 따라 과태료 부과 통지를 받은 날부터 60일 이내 서면으로 이의제기하면, 과태료 부과처분은 그 효력을 상실하고 관할 법원의 과태료 재판 절차로 이행됩니다.

자진납부 감경 제도(질서위반행위규제법 제18조): 의견제출 기한 내에 과태료를 자진납부하는 경우 대통령령이 정하는 범위(최대 20%) 내에서 감경될 수 있습니다.

이의제기를 통한 다툼이 실익이 적다고 판단되는 사안이라면, 자진납부 감경이 오히려 유리한 선택지가 될 수 있습니다.

이의제기와 자진납부는 병행이 불가능하므로, 두 선택지 사이의 실익 비교가 필수입니다.

3. 집행정지 병행 검토

시정조치나 과징금 처분은 원칙적으로 집행부정지(행정소송법 제23조 제1항)입니다. 회복하기 어려운 손해가 예상되는 경우 본안소송과 함께 집행정지(행정소송법 제23조 제2항)를 신청해야 실질적인 피해를 막을 수 있습니다.

Ⅴ. 감경 사유 — 자진 시정·피해구제·자진납부

개인정보보호위원회 고시상 감경 요소로 자주 반영되는 사유는 다음과 같습니다.

• 자진 시정 및 신고: 조사 개시 전 위반사실을 자진 신고하고 시정에 착수한 경우

• 피해구제 이행: 정보주체에 대한 통지, 무료 신용조회 서비스 제공, 손해배상 이행 등

• 재발방지 조치: 관리체계 개선, ISMS-P 등 인증 취득, 인력·시스템 보강

• 조사 협조: 자료 성실 제출, 사실관계 인정, 진술 협조

• 위반의 경미성: 유출 규모, 민감정보 여부, 실제 피해 발생 여부

• 과태료 자진납부: 의견제출 기한 내 자진납부 시 감경(질서위반행위규제법 제18조)

실무상 가장 중요한 것은 감경 사유의 서면화입니다.
재발방지 조치를 이행하고도 그 이행 사실이 조사기록에 남지 않으면 감경이 반영되지 않는 결과가 나타날 수 있습니다.

이행 시점, 예산, 조직 내부 결재문서, 외부 인증 취득 계획까지 시간순으로 정리해 제출해야 인정 가능성이 높아집니다.

Ⅵ. 하정림 대표변호사 관련 성공사례

법무법인 태림의 주요 성공사례 자세히 보기에서 확인 가능한 하정림 대표변호사의 행정 사건 대응 사례를 정리했습니다. 아래 사례들은 개인정보와 정보공개의 경계를 정면으로 다투었다는 점에서 개인정보 관련 행정 사건 실무와 직결됩니다.

※ 위 사례의 결과는 개별 사실관계 및 법원의 판단에 따라 달라질 수 있으며, 유사 사건에서 동일한 결과가 보장되는 것은 아닙니다.

위 사례들의 공통점은 "개인정보 제외 범위와 공개 범위의 경계"를 정면으로 다투었다는 점입니다. 개인정보보호법 위반 사건에서도 유출 정보의 식별성, 민감정보 해당 여부, 관련 매출액 범위 판단 등 동일한 구조의 쟁점 분석이 요구됩니다.

담당 변호사 프로필은 하정림 대표변호사 자세히 보기에서 확인할 수 있습니다.

Ⅶ. 상담 전 준비자료

개인정보보호위원회로부터 조사통지, 자료제출요구, 처분 사전통지, 의결서를 받은 경우 아래 자료를 준비해 상담에 오시는 것이 좋습니다.

• 개인정보보호위원회 발송 공문 원본

• 유출 경위 및 인식 시점 정리 자료 (72시간 기산점 확정 근거)

• 안전조치 이행 관련 내부 문서(접근권한 대장, 접속기록, 암호화 정책 등)

• 정보주체 통지 문서 및 피해구제 이행 자료

• 재발방지 조치 계획서 및 결재문서

• 매출 자료(직전 사업연도 및 직전 3개 사업연도)

• 자금 사정 소명 자료(납부기한 연기·분할납부 신청 예정 시)

Ⅷ. 상담 안내

개인정보보호법 위반 처분은 자료제출요구서를 받은 시점부터 사실상 대응 시계가 흐르기 시작합니다.

조사 단계에서 어떤 서면을 제출했는지가 최종 과징금 규모와 감경 인정 폭을 결정합니다.

처분 통지 이후에는 과징금·시정조치 90일, 과태료 60일이라는 명확한 시한이 있으므로 미루지 않는 것이 중요합니다.

• 상담전화: 1522-7005

• 이메일: help@tll.co.kr

• 카카오 상담: 바로가기 자세히 보기

• 상담신청: 상담신청 페이지 자세히 보기

• 오시는 길: 법무법인 태림 오시는 길 자세히 보기

• 하정림 대표변호사 프로필: 자세히 보기

FAQ

Q1. 개인정보보호위원회에서 자료제출요구서를 받았습니다. 바로 변호사 상담이 필요한가요?

A. 예. 조사 단계에서 제출한 자료가 그대로 처분 근거로 반영됩니다.
자료제출 범위 조정, 진술 준비, 관련 매출 산정 범위에 대한 초기 대응이 필요합니다.
조사 단계에서 놓친 감경 사유는 처분 후 소송으로도 복원이 어려울 수 있습니다.

Q2. 유출 규모가 1천 명 미만인데도 신고해야 하나요?

A. 개인정보 보호법 시행령 제40조는 1천 명 이상 유출 시 72시간 이내 신고를 규정합니다. 다만 민감정보·고유식별정보가 유출된 경우, 개인정보처리시스템 등에 대한 외부로부터의 불법적인 접근에 의해 유출된 경우에는 규모와 무관하게 72시간 신고 대상이 될 수 있어 개별 검토가 필요합니다.

72시간의 시작점은 유출 발생 시점이 아니라, 유출 사실을 "알게 된 시점"입니다.

Q3. 매출액 3% 과징금은 실제로 그대로 부과되나요? 납부가 어려우면 어떻게 하나요?

A. 3%는 법정 상한선입니다. 실무상 부과기준율 산정, 1·2차 조정, 부과과징금 결정 단계에서 위반 기간, 자진 시정, 피해구제 이행 등이 반영되어 상한보다 낮게 결정되는 경우가 많습니다. 또한 자금 사정이 현저히 곤란한 경우에는 납부기한 연기 또는 분할납부를 신청할 수 있습니다.

Q4. 과징금 처분과 과태료 처분에 함께 불복하려면 절차가 다른가요?

A. 예. 과징금·시정조치는 행정심판(중앙행정심판위원회) 또는 행정소송(서울행정법원)으로, 과태료는 부과 통지일부터 60일 이내 서면 이의제기 후 관할 법원의 과태료 재판 절차로 이행합니다. 두 절차가 분리되어 있어 각각의 대응 전략이 필요합니다.

과태료의 경우 다툼의 실익이 적다면 의견제출 기한 내 자진납부로 감경을 받는 것도 선택지입니다.

Q5. 처분 확정 전에 시정조치가 먼저 집행되면 어떻게 하나요?

A. 시정조치는 원칙적으로 집행부정지(행정소송법 제23조 제1항)입니다.
회복하기 어려운 손해가 예상된다면 본안소송과 함께 집행정지(행정소송법 제23조 제2항)를 신청해야 실질적으로 집행을 멈출 수 있습니다.

광고 고지

광고책임변호사 : 하정림 / 법무법인 태림 서울 주사무소
사업자등록번호 : 223-86-01305

본 내용은 법무법인 태림의 업무를 소개하는 광고이며, 개별 사건의 결과는 사실관계 및 법적 판단에 따라 달라질 수 있습니다.