과징금 투자 감경제도 안내서

(본 포스팅 대부분의 내용은 개인정보보호위원회, 「과징금 투자 감경제도 안내서」 2026.09.를 참고해 작성되었습니다.)

 

개인정보보호위원회 홈페이지에 과징금 투자 감경제도 안내서(이하 '안내서')가 공개되었다.

https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=12468

개인정보보호위원회

 

2026년 9월 11일부터 시행되는 개인정보 보호법 제64조의2 제6항을 설명하기 위한 안내서로 투자 감경 금액을 계산하는 방법까지는 포함하지 않고 과징금 감경 요건이 어떤 것들인지에 대해 안내하기 위한 문서라고 보면된다.

 

큰 틀에서 보면 감경제도는 아래와 같은 특징이 있다.

① 고의 또는 중대한 과실로 인한 위반행위는 과징금 감경 대상에서 제외

② 산정 완료된 과징금이 아니고 과징금 산정 시 기준금액의 최대 40%를 감경

③ 위반행위가 있었던 사업연도의 직전 3개 사업연도 범위 내에서 조치한 사항 고려

  - 위반을 알게된 후 과징금을 감경받기 위해 의도적으로 조치한 것들을 인정하지 않으려는 의도로 판단됨

④ 개인정보 보호를 위한 투자 규모 및 지속성, 개인정보 보호체계의 우수성, 안전조치 확보를 위한 추가적 노력 등 다양한 요소를 고려

  - 감경 대상에 포함되기엔 쉽지 않아 보임

개인정보 보호법	개인정보 보호법 시행령	개인정보 보호법 위반에 대한 과징금 부과기준
제64조의2(과징금의 부과)  ⑥ 보호위원회는 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우에는 제1항 및 제2항에 따른 과징금을 감경한다. 다만, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외한다.  ⑧ 제1항 및 제2항에 따른 과징금은 제3항부터 제7항까지를 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다.	제60조의2(과징금의 산정기준 등) ⑤ 법 제64조의2제6항 본문에서 “개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우”란 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 경우로서 다음 각 호의 사항을 고려하여 보호위원회가 정하여 고시하는 기준을 충족하는 경우를 말한다.  1. 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등에 투자한 규모ㆍ비율 및 그 투자의 지속성  2. 법 제30조의3에 따른 사업주 또는 대표자의 책임 이행 정도  3. 개인정보 보호책임자의 역할, 조직 및 인력 구성 등 개인정보 보호 체계 운영 내용 및 수준 4. 그 밖에 개인정보 안전성 확보 조치에 관한 추가적인 노력	제8조의3(투자감경) ① 다음 각 호의 사항을 종합적으로 고려하여 기준금액의 100분의 40 이하에 해당하는 금액을 감경한다. 다만, 법 제64조의2제6항 단서에 해당하는 경우는 제외한다. 1. 개인정보 보호를 위하여 예산·인력·설비·장치 등에 투자한 규모·비율, 그 투자의 지속성, 증가 정도 등이 우수한 경우 2. 법 제30조의3에 따른 사업주 또는 대표자의 책임 이행 정도, 개인정보 보호책임자의 지정·권한·책임 이행 및 업무수행 수준, 인력 구성·운영 등 개인정보 보호 체계의 운영·수준이 우수한 경우 3. 법상 의무사항 이외의 강화된 보호기술의 적용 등 안전성 확보조치 수준이나 노력 등이 우수한 경우 ② 제1항에 따라 금액을 감경할 때에는 위반행위가 있었던 사업연도의 직전 3개 사업연도 범위 내에서 조치한 사항을 고려하되, 위원회가 상당하다고 인정하는 경우에는 위반행위가 있었던 사업연도에 조치한 사항을 고려할 수 있다.

 

1. 개인정보 보호를 위한 투자 규모 및 지속성

예산·인력·설비·장치 등에 대한 투자 규모, 투자의 지속성 및 증가 정도 등을 고려하는 요건으로 개인정보 보호 예산을 적극적으로 편성하고 실제 집행하고 있는지, 일회성 투자가 아닌 지속적인 투자가 이루어지고 있는지, 투자의 증가 여부 및 증가 정도, 적극적이고 새로운 투자 이행 정도를 고려한다.

 

언급된 주요 고려 사례는 다음과 같다.

• 총 예산 및 IT 예산 대비 개인정보 보호 예산 비교 및 실제 집행액
• IT 투자액 대비 개인정보 보호 투자 비율
• IT 투자액 대비 개인정보 보호 투자 비율의 증가율
• 개인정보 보호 투자액의 증가율
• 매출액 대비 개인정보 보호 투자 규모
• 개인정보 보호를 위한 신규 투자 정도

눈에 띄는 내용을 언급해보면 기본적으로 정보보호 투자액을 개인정보 보호 투자액으로 인정하지만 명확하게 개인정보 보호 투자액에 해당하지 않는 투자액은 제외한다는 것과 인건비에 스톡옵션과 퇴직급여도 포함된다는 정도.

 

2. 개인정보 보호체계의 우수성

대표이사의 개인정보 보호 실천 의지, 개인정보 보호책임자의 업무 수행의 충실성·전문성 및 조직·인력의 적정성 등을 고려하는 요건으로 대표이사가 개인정보 보호 정책 및 전략을 수립하고 사업 목표에 반영하는 활동을 총괄하여 관리하고 있는지, 실효적인 관리체계가 구축외어 있는지, 대표이사가 경영 목표 및 사업 추진시 개인정보 보호 원칙을 반영하고 개인정보 보호 실천 의지를 표명하고 있는지, 개인정보 보호책임자가 충실성과 전문성을 갖고 있는지, 개인정보보호 업무 종사자의 전문성 및 처우수준이 우수한지, 충분한 인력이 지원되고 있는지, 위험이나 이슈에 대해 전사적으로 전파하고 선제적으로 관리하는 체계가 마련되어 있는지 등을 고려한다.

경영진의 눈치를 보고 회사의 사업 방향에 끌려다니는 개인정보 보호책임자의 시대는 막이내렸고 대표이사를 개인정보 보호활동의 중심에 두고 개인정보 보호를 경영 목표에 깊숙이 스며들 수 있도록 할 수 있는 전문성과 소통 능력이 있는 개인정보 보호책임자, 과징금 감경 전략을 사전에 수립하고 전략에 부합하는 체계적 개인정보보호 활동을 수행하는 전략가가 인정을 받는 시대가 온 것 같다. 또한 개인정보보호 조직을 대표이사 직속으로 둘 필요성이 높아졌고 증빙으로 활용할 수 있는 보여주기식 활동의 중요성이 높아졌다고 볼 수 있다.

 

언급된 주요 고려 사항 예는 다음과 같다.

• 대표이사가 개인정보 보호를 기업 경영의 핵심 요소이자 기본 인프라로 인식하고 이를 조직의 정책 결정 및 경영 전반에 반영
• 개인정보 보호를 위한 전담 조직체계 구축, 전문인력 배치 관련 예산 편성 과정에 대표이사가 적극적으로 참여하고 적정성 점검
• 개인정보 보호책임자가 개인정보 보호에 대한 주요 사항에 대해 이사회 및 대표자에게 직접 보고할 수 있는 체계 운영
• 대표이사가 조직의 개인정보 문화 확산 촉진을 위한 활동(캠페인, 포상 등)에 직접 참여하고 경영·사업 목표 등에 개인정보 관련 지표 설정
• 개인정보 보호책임자가 법적 자격요건이외 추가적 자격요건 보유
• 전문 개인정보 보호책임자 지정대상이 아님에도 자격을 갖춘 개인정보보호 책임자 지정 
• 개인정보 보호책임자가 조직 내 최상위 의사결정기구에 참여
• 개인정보 보호 관련 자격 및 경력을 갖춘 자를 전담담당인력으로 배정
• 개인정보 전담·담당 인력에 대한 전문성 강화 및 처우(평가 가점, 수당) 개선에 대한 노력

눈에 띄는 내용을 언급해보면 개인정보 담당 인력에 대한 전문성 뿐만 아니라 처우 개선에 대한 노력도 고려하게끔 하고 있음. 처우는 급여가 아닌 평가 가점, 수당 등임

 

3. 안전조치 확보를 위한 추가적 노력

내부 관리계획의 이행 실태를 짧은 주기로 충실히 점검하고 지속적인 개선 활동을 수행했는지, 임직원 외 임시직원 및 협력사 직원 등 외부자를 포함해 체계적이고 자동화된 접근권한 관리 체계를 수립·이행했는지, 계정 도용 및 탈취 위험을 원천적으로 줄이기 위해 내부망에서 개인정보처리시스템 접속시에도 안전한 인증수단을 적용했는지, 공격표면에 대한 체계적이고 자동화된 관리대책을 수립·이행했는지, 취약점 점검을 상시 수행하고 개선조치를 신속히 수행했는지, 법적 암호화 대상 정보 외의 정보에 암호화를 적용했는지, 암호키에 대한 불법적 접근 및 유출을 구조적으로 방지하는지, 개인정보처리시스템 접속기록을 장기간 안전하게 보관하고 고도화된 방식으로 분석·점검 하는지, 소프트웨어 공급망 현황을 지속적으로 식별·관리하고 보안업데이트를 신속하게 적용하는지 등을 고려한다.

언급된 주요 고려 사항 예는 다음과 같다.

• 내부 관리계획의 이행 실태 점검을 매월 수행하고 발견된 문제점에 대한 근본원인 분석 및 개선조치를 적시에 수행하고 대표이사 및 개인정보 보호책임자에게 보고
• 개인정보 처리과정의 위험을 식별분석평가하고 대표이사 및 개인정보 보호책임자에게 보고 후 위험을 감소시키기 위한 체계를 내부 관리계획에 반영
• 통합 계정 및 접근 권한 관리시스템을 구축하여 모든 개인정보처리시스템의 계정 및 접근 권한을 통합 관리
• 인사시스템과 연동하여 인사 변동 내역이 개인정보처리시스템의 계정 및 접근 권한에 신속히 반영될 수 있도록 자동화
• 법적 필수 암호화 대상 외의 정보에도 저장 암호화 적용
• 하드웨어 보안모듈을 통해 암호키를 관리해 암호키에 대한 불법적 접근 및 유출을 근본적으로 방지
• 네트워크 장비 로그, 보안시스템 로그를 개인정보처리시스템 접속기록과 동일한 기간 동안 보관
• 개인정보처리시스템 접속기록을 법적 요건 이상으로 장기간 보관
• 통합 로그관리시스템을 통해 정보시스템의 로그기록을 통합 관리 및 고도화된 방법으로 분석
• 인공지능을 활용해 실시간 이상행위 탐지 및 대응
• 공급망 보안 관리체계를 수립하고 공급망으로부터 발생 가능한 위험을 지속적으로 모니터링 및 검토
• 개인정보처리시스템 관련 소프트웨어의 SBOM 관리
• 개인정보처리시스템 구성요소의 EOS 및 패치 적용 현황을 식별하여 관리

눈에 띄는 내용을 언급해보면, 

• 내부관리 계획의 하위 지침을 증빙자료로 제출할 경우 내부관리계획에 위임규정이 있고 개인정보 보호책임자 이상의 결재를 받았는지를 입증해야 함
  - 정책 및 정책시행 문서 운영 시 위임규정이나 승인 없이 운영하는 경우도 있는데, 중요 문서는 위임규정과 승인절차를 거칠 필요가 있음
• 추가적 안전조치가 개인정보 유출등에 따른 2차 피해 최소화나 확산 방지 등에 기여한 경우에 과징금 감경 요소로 고려
  - 과징금 감경 요소로 유리하게 작용하기 위해서는 모든 영역에 강화된 조치를 적용하기 보단 2차 피해 최소화나 확산 방지에 영향을 주는 조치에 집중할 필요가 있음
• 추가적 안전조치가 개인정보 유출등에 따른 2차 피해 최소화나 확산 방지 등에 기여한 경우에 한해 과징금 감경 요소로 고려하는 것인지 추가적 안전조치만 적용해도 감경 요소로 고려하는지가 명확하지 않음
  - 추가적 안전조치와 피해 최소화나 확산 방지 기여간의 관계가 필수적인지가 불명확하나 뉘앙스로 봐서는 선택적으로 추측됨 
• 버그바운티 제도 운영시 과징금 감경 요소로 고려