개인정보보호법 위반 과징금: 과태료 차이·부과 기준·줄이는 방법

과징금, 우리 회사랑 상관있는 얘기인가요?

골프존 75억, LG유플러스 68억. 국내 기업에 개인정보보호법 위반으로 부과된 과징금입니다. 대기업 보안사고 얘기로 흘려듣기 쉽습니다. 고객 DB를 마케팅에 활용하는 담당자라면 이 글 필독하시길 바랍니다.

개보위의 최근 제재 흐름은 대규모 유출사고만이 아닙니다. 마케팅 목적 무단 활용처럼 일상적인 업무 행위도 제재 대상입니다. 규모와 무관하게 해당됩니다.

과태료와 과징금, 헷갈리기 쉬운데 성격이 다릅니다.

같은 위반행위에 과징금이 부과되면 과태료는 중복 부과할 수 없습니다.

-개인정보보호법 제76조

단, 하나의 사건에서 위반행위가 여러 개인 경우(예: 유출 방치 + 신고 지연)라면 과징금과 과태료가 각각 부과될 수 있습니다.

규모가 다릅니다. 그래서 과징금이 문제입니다.

어떤 행위가 개인정보보호법 위반 과징금 대상인가요?

마케팅 실무에서 실제로 많이 걸리는 유형 4가지입니다.

① 마케팅 동의를 서비스 약관에 묶어서 받은 경우

"개인정보 수집·이용에 동의합니다" 한 항목으로 마케팅 활용까지 포괄한 경우입니다. 동의는 수집 목적·항목·보유기간·제3자 제공 여부를 구체적으로 고지한 명확한 동의여야 합니다.

묶음 처리는 현행법상 유효하지 않습니다. 개보위가 집중 점검하는 '다크패턴(눈속임 설계)' 유형 중 하나이기도 합니다.

② 탈퇴 회원 DB를 파기하지 않고 계속 발송 중인 경우

서비스 탈퇴 후에도 마케팅 DB에 남아 있으면 보유기간 경과 후 미파기 위반입니다. 발송이 실제로 이뤄지지 않아도 파기 의무 위반 자체로 처분 대상이 됩니다.

③ 위탁업체에 고객 정보를 넘겼는데 고지가 없었던 경우

외부 마케팅 대행사에 고객 정보를 줄 때 위탁 사실을 개인정보처리방침에 고지하지 않으면 위반입니다. 대행사가 독립적으로 정보를 활용하는 구조라면 제3자 제공으로 분류돼 더 무거운 제재를 받습니다.

④ 수집 목적과 다른 용도로 활용한 경우

가입 시 "서비스 제공 목적"으로 수집한 정보를 별도 광고 캠페인에 쓴 경우입니다. 대법원 2024. 5. 17. 선고 2018다262103 판결에서 대형 유통회사가 동의 없는 고객 정보를 보험회사에 제공한 행위가 개인정보보호법 위반으로 판단됐습니다. 목적 외 이용은 동의 여부와 무관하게 위반입니다.

얼마나 나올 수 있나요?

현행 산정 기준입니다(개인정보보호법 제64조의2 제1항·제2항).

상한은 전체 매출액의 3%입니다. 실제 산정은 전체 매출액에서 위반행위와 관련 없는 매출액을 제외한 금액을 기준으로 합니다.

중요한 점은 '관련 없는 매출액'임을 입증할 책임이 기업에 있다는 것입니다. 기본 타겟이 전체 매출액으로 잡히기 때문에, 입증에 실패하면 전체 매출액의 3%가 그대로 적용됩니다. 매출액이 없거나 산정이 곤란한 경우에는 최대 20억 원입니다.

아래는 실제 부과 사례입니다.

골프존과 LG유플러스는 국내 기업 기준 역대 1·2위 사례입니다. 구글은 외국 기업으로 국내 최대 과징금 사례입니다. 위반 유형은 달라도 매출액 연동 산정이라는 기준은 같습니다.

관련 매출액 범위는 기업이 다툴 수 있는 핵심 쟁점입니다. 대법원은 관련 매출액을 "위반행위로 인해 직접·간접적으로 영향을 받는 서비스"로 한정하고, 과징금 액수가 위반행위에 비해 사회통념상 현저하게 과중하면 재량권 일탈로 위법하다고 판단했습니다

-대법원 2023. 10. 12. 선고 2022두68923 판결

개인정보보호법 위반 과징금, 줄일 수 있나요?

줄일 수 있습니다. 과징금은 상한선 안에서 개보위가 여러 요소를 고려해 결정합니다. 같은 위반이라도 결과가 달라집니다.

소기업 해당 여부는 중소기업기본법 제2조에 따라 업종별 상시 근로자 수·매출액 기준으로 판단합니다.

위반기간 산정 방식도 중요합니다. 법원은 과징금 위반기간을 "개인정보가 유출된 기간"이 아니라 "안전조치 의무를 위반한 기간" 기준으로 본다고 판단했습니다. 관리 체계 미비가 오래 지속될수록 위반기간이 길어져 과징금 규모에 직접 영향을 줍니다.

-서울행정법원 2025. 8. 14. 선고 2024구합70753 판결

또한 사고가 없으면 괜찮다고 생각하기 쉽습니다. 개보위는 고의성보다 관리 체계 부실 여부를 봅니다. 유출이 없어도, 마케팅에 실제로 쓰지 않았어도 관리 체계가 없으면 제재 근거가 됩니다.

자진 신고 자체가 법령상 감경 규정으로 명시된 건 아닙니다. 다만 자진 시정 완료, 개보위 조사 적극 협조, 피해 확산 방지 조치 이행이 감경 요소로 작동합니다(개인정보보호법 제64조의2 제4항 제11호). 위반 사실을 인지했다면 조사 개시 전에 자진 시정하고 그 기록을 남겨두는 것이 유리합니다.

안전조치 의무를 충분히 이행했다는 점을 입증하면 과징금 부과 자체를 피할 수 있습니다(개인정보보호법 제64조의2 제1항 제9호 단서). 입증 책임은 기업 쪽에 있습니다.

동의 없는 제3자 제공, 목적 외 이용 등 고의적 위반은 행정제재와 별개로 형사처벌 대상이 됩니다. 개인정보보호법 제71조는 해당 위반에 5년 이하의 징역 또는 5천만 원 이하의 벌금을 규정합니다. 과징금을 납부했다고 형사처벌이 면제되지는 않습니다.

과징금 조사가 시작됐다면 어떻게 되나요?

개보위 조사는 특정 사건을 계기로만 시작되지 않습니다. 정보주체의 신고·민원 접수, 언론 보도, 타 기관 이첩, 개보위 직권 인지 등 다양한 경로로 개시됩니다.

-개인정보보호법 제63조 제1항

마케팅 수신자 중 한 명이 개보위에 신고하는 것만으로도 조사가 시작될 수 있습니다.

STEP 1. 조사 통지 수령

개보위가 위반 사실을 확인하면 조사를 개시합니다. 의견 제출 기회가 주어지며, 이 단계에서 어떤 자료를 내느냐가 최종 과징금 규모에 직접 영향을 줍니다. 자진 시정·피해 확산 방지 같은 감경 요소는 여기서 입증해야 합니다.

STEP 2. 과징금 부과 예고 통지

조사 착수부터 과징금 부과까지는 통상 수개월에서 1년 이상 걸립니다. 통지를 받는다고 바로 금액이 확정되는 구조가 아닙니다. 위반사실·부과 금액·이의제기 방법과 기간이 서면으로 통지됩니다.

STEP 3. 납부

통지받은 날로부터 30일 이내에 과징금을 납부해야 합니다.

-개인정보보호법 시행령 제60조의3 제2항

납부 기한(30일)을 넘기면 다음 날부터 미납 과징금에 연 6% 가산금이 부과되며, 가산금 징수 기간은 최대 60개월입니다.

-개인정보보호법 제64조의2 제7항

STEP 4. 불복 시 행정심판·행정소송

납부 후에도 결정에 불복하면 행정심판 또는 행정소송을 별도로 제기할 수 있습니다. 이의제기 기한은 행정심판법·행정소송법에 따릅니다. 납부 능력이 없는 경우 분할납부 또는 납부유예 신청이 가능합니다.

의견 제출은 STEP 1에서 한 번입니다. 이 타이밍을 놓치면 이후 단계에서 결과를 뒤집기 훨씬 어렵습니다.

개인정보보호법 위반 과징금은 매출액과 연동되는 만큼, 같은 위반이라도 기업 규모에 따라 수천만 원에서 수백억 원까지 편차가 큽니다. 마케팅 동의 방식, 탈퇴 회원 DB 파기, 위탁업체 고지 여부처럼 일상적인 업무 행위가 제재 근거가 될 수 있다는 점도 간과하기 쉽습니다.

자주 묻는 질문

Q1. 위반 사실을 직접 신고하지 않아도 조사가 시작될 수 있나요?

그렇습니다. 개보위 조사는 정보주체의 신고·민원뿐 아니라 언론 보도, 타 기관 이첩, 개보위 직권 인지 등으로도 시작됩니다(개인정보보호법 제63조 제1항). 마케팅 수신자 중 단 한 명이 개보위에 민원을 넣는 것만으로도 조사가 개시될 수 있습니다. 위반 사실을 인지했다면 신고 여부와 무관하게 선제적으로 정비하는 것이 낫습니다.

Q2. 과징금 부과 후 행정소송을 제기하면 납부를 미룰 수 있나요?

행정소송 제기 자체가 자동으로 납부를 정지시키지는 않습니다(행정소송법 제23조 제1항). 집행정지를 원하면 행정심판 단계에서는 행정심판위원회에, 행정소송 단계에서는 법원에 별도로 집행정지를 신청해야 합니다.

집행정지는 회복하기 어려운 손해 예방을 위한 긴급한 필요가 인정돼야 하고, 공공복리에 중대한 영향을 미칠 우려가 있으면 허용되지 않습니다(행정소송법 제23조 제2·3항). 인용 요건이 까다로운 만큼 신청 전에 전략적 검토가 필요합니다. 신청 없이 납부 기한을 넘기면 연 6% 가산금이 부과됩니다.

Q3. 개인정보 처리방침을 공개했으면 동의 없이도 마케팅에 활용할 수 있나요?

아닙니다. 개인정보 처리방침 공개는 처리 현황을 알리는 의무이고, 마케팅 목적 활용에 대한 별도 동의를 대체하지 않습니다. 처리방침에 마케팅 활용 내용이 적혀 있더라도 정보주체로부터 명시적 동의를 받지 않았다면 위반입니다.

개인정보보호법 제15조 제1항은 동의 외에도 법령상 의무, 계약 이행, 정당한 이익 등 예외적 근거를 두고 있으나, 마케팅 목적 활용은 이 예외에 해당하기 어렵습니다.

조사 통지를 받은 시점보다 그 전에 관리 체계를 점검하는 것이 훨씬 유리합니다. 이미 통지를 받았다면 의견 제출 단계에서 감경 요소를 얼마나 입증하느냐가 최종 결과를 가릅니다. 두 경우 모두 개인정보 분야 경험이 있는 법률 전문가와 초기에 방향을 잡는 것이 실질적인 차이를 만듭니다.

관련해 도움이 필요하시다면 언제든 법무법인 이현으로 문의주시기 바랍니다.