법무법인(유) 화우

개인정보보호위원회(이하 ‘개인정보위’)는 2026. 10. 2. 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」(이하 ‘방안’)을 발표하고, 사건을 중요·일반·경미로 나누어 각각 12·6·3개월 내 처리를 원칙으로 하는 차등 조사체계와 조사 착수 전·중·후 단계별 통지·설명 절차를 도입하였습니다. 이 중 미착수 사유 확대·미착수 통지 등은 2026. 9. 11. 개정·시행된 「조사 및 처분에 관한 규정」에 반영되어 현재 조사가 진행 중인 사건에도 적용되고, 투자감경과 신고·통지 해태 가산, 회복·개선 감경 등 과징금 산정 체계도 같은 날 개정된 「과징금 부과기준」으로 이미 시행 중입니다. 
 

특히 100만 명 이상 유출 등 중요사건에는 사고 직후 현장 대응반이 투입되어 증적 보존과 유출 통지·확산 방지 조치의 이행 여부를 점검하며, 개정 과징금 부과기준은 이러한 초동 대응을 감경(최대 40%)과 가산(최대 30%)의 판단 요소로 삼고 있습니다. 기업으로서는 사고대응·증적 보존 절차와 보호 투자 입증자료를 평시에 정비하고, 조사 단계별 절차적 권리를 활용하는 대응 전략을 마련해야 합니다.

1. 추진 배경 및 요지

2. 주요 변경 사항: 조사·처분 절차 비교

3. 쟁점별 분석

4. 사고 유형 통계와 산업별 유의사항

5. 시사점

1. 추진 배경 및 요지

유출 신고는 2026년 상반기에만 432건이 접수되어 전년 연간 수준에 육박하였고, 같은 기간 침해신고센터 신고·상담(29,007건)과 조사 민원(1,824건)도 전년 동기 대비 각각 22.7%, 144.8% 증가하였습니다. 여기에 2026. 3. 10. 개정 「개인정보 보호법」(이하 ‘법’)이 2026. 9. 11. 시행되며 징벌적 과징금과 투자감경이 도입되면서, 개인정보위는 책임 정도, 안전조치 이행 여부, 사고 예방을 위한 투자·관리체계를 보다 정밀하게 확인할 필요가 커졌다고 밝히고 있습니다.
 

2026년 상반기 과징금 부과액(약 6,807억 원)은 2020~2025년 6년간 부과액 합계(약 3,691억 원)의 약 1.8배에 이릅니다. 반면 건수 기준으로는 과징금 부과 200건 중 1억 원 미만이 107건(54%)으로 가장 많아, 다수의 소액 사건과 소수의 초대형 사건이 병존하고 있습니다. 처분에 대한 불복도 행정소송·행정심판 등 170 건(진행 중 63건)이 누적되었습니다. 방안은 조사 역량을 사건의 중요도에 따라 배분하려는 것으로, 5대 과제는 아래와 같습니다.

2. 주요 변경 사항: 조사·처분 절차 비교
 

방안의 절차 관련 과제 중 일부는 2026. 9. 11. 일부개정·시행된 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회고시 제2026-13호, 이하 ‘조사·처분 규정’)을 통해 이미 시행되고 있습니다. 개정 조사·처분 규정은 시행 당시 조사가 계속 중인 사건에도 적용되므로(부칙 제2조), 현재 사전검토·조사 단계에 있는 기업도 아래의 변경된 절차에 따라 대응할 수 있습니다.
 

3. 쟁점별 분석
 

• 쟁점 ① ‘중요사건’은 사고 직후 대응부터 처분 수위에 반영
 

중요사건의 기준이 100만 명 이상 유출에 한정되지 않고 ‘사회적 관심·우려’와 ‘주요 공공시스템 해킹’ 등을 포함하고 있습니다. 언론 보도에 따르면 2026년 9월 말 기준 중요사건은 약 15건입니다. 중요사건으로 분류되면 사고 발생 즉시 현장 대응반이 구성되어 유출 영향 시스템 파악과 증적 보존에 착수하고, 유출 통지의 신속한 이행과 추가 피해 확산 방지 조치도 동시에 점검합니다. 즉 조사가 사고 수습과 동시에 진행되므로, 기업의 초동 대응 자체가 실시간으로 조사 대상이 되어 처분 수위에 반영될 수 있습니다.
 

처리기간은 조사결과 보고 기한(조사개시일부터 6개월, 복잡·전문 사건은 12개월)을 정한 조사·처분 규정 제7조제2항과 구별되는 운영 원칙으로서 기산점과 종기가 명시되어 있지 않습니다. 또한 언론 보도에 따르면 조사 인력은 정원 37명 중 현원 31명에 그쳐 하반기 일부 일반사건은 6개월 원칙을 지키기 어려울 수 있다고 하므로, 처리기간 단축을 전제로 공시·소송 일정 등을 계획하는 것은 신중할 필요가 있습니다.

• 쟁점 ② 조사 단계별 절차와 기업 대응 포인트
 

방안은 조사 착수 전, 진행 중, 완료 후의 각 단계에 통지와 설명 절차를 두고 있습니다. 조사대상자로서는 각 단계가 소명의 기회가 되는 동시에, 일부 감경 사유는 특정 시점까지의 조치를 요건으로 하므로 단계별 기한 관리가 필요합니다.

• 쟁점 ③ 소위원회의 소액 과징금 처리
 

방안은 과태료 사건 위주이던 소위원회의 처리 대상을 예상 과징금액 1억 원 이하 사건 등으로 넓히고, 운영 실적을 토대로 3억 원, 10억 원 이하로 단계적으로 확대할 계획입니다. 2026. 6.까지 과징금이 부과된 200건 기준으로 1억 원 미만이 54%, 3억 원 미만까지 68%, 10억 원 미만까지 85%를 차지하므로, 소위 처리 대상이 10억 원 이하 사건까지 확대되면 과징금 사건 대부분이 소위원회에서 처리됩니다. 다만 소액·반복·유사 사건이라도 쟁점이 복잡한 사안은 전체회의에 상정됩니다.
 

소위원회 상정에 관한 조사·처분 규정 제19조제1항은 금액 기준을 두지 않아 별도 개정 없이 시행되는 것으로 파악됩니다. 소위원회 의결은 개인정보위의 의결로 보므로(법 제7조의12제3항) 처분의 효력과 불복 방법은 전체회의 사건과 같습니다. 한편 의결서가 약식으로 작성될 수 있으므로(규정 제25조제2항제5호), 불복 가능성이 있는 사건이라면 의견제출 단계에서 주장과 근거자료를 서면으로 충실히 남겨 두고, 쟁점이 복잡한 경우 전체회의 상정 필요성을 소명하는 것도 검토할 수 있습니다.

• 쟁점 ④ 초동 대응에 따라 과징금이 달라지도록 산정 체계 개편
 

「개인정보 보호법 위반에 대한 과징금 부과기준」(개인정보보호위원회고시 제2026-12호, 이하 ‘부과기준’)도 2026. 9. 11. 개정·시행되었습니다. 과징금은 기준금액 → 투자감경 → 1차 조정 → 2차 조정 → 부과과징금 결정 순으로 산정됩니다(제5조제1항). 단순 산술상, 같은 사고라도 법정 기한 내 신고·통지와 확산 방지 조치를 하지 않으면 1차 조정 금액의 최대 30%가 가산되는 반면 대응 체계에 따라 신속히 회복·개선하면 최대 40%까지 감경될 수 있으므로, 초동 대응에 따라 2차 조정 단계에서만 최대 70%p의 차이가 생길 수 있습니다.

아울러 중대성 판단기준(별표 1)상 ‘중’ 수준의 개인정보 유형에 연계정보(CI)가 추가되었습니다. 고의·중과실 인정 여부는 중대성 판단에 그치지 않고 10% 상한의 요건이자 투자감경의 배제 사유이므로(법 제64조의2제2항제1호·제2호, 제6항 단서), 조사 단계에서는 취약점 인지 시점과 조치 경과가 주요 쟁점이 될 수 있습니다. 또한 10% 상한 사건의 가중 판단기준(별표 2)은 유사한 개인정보처리자의 사고에도 불구하고 보호체계를 장기간 점검하지 않았는지를 고려 요소로 명시하고 있어, 동종 업계 사고 발생 시의 자체 점검 이력이 유리한 소명 자료가 될 수 있습니다.

• 쟁점 ⑤ 개정 규정의 적용 시점
 

개정법·개정 고시의 적용 시점은 조항별로 다르므로, 9. 11. 전후에 걸친 사고나 위반 상태는 아래 기준에 따라 사건별로 확인할 필요가 있습니다.
 

4. 사고 유형 통계와 산업별 유의사항
 

처분이 완료된 유출사건 621건 중 업무과실(271건, 43.6%)이 해킹(268건, 43.2%)과 대등한 비중을 차지하였고, 민간은 해킹이, 공공은 업무과실이 가장 많았습니다. 개인정보위가 일반사건을 유형화해 일괄 처리하겠다고 밝힌 만큼, 아래와 같이 반복되는 유형부터 위반행위·제재 기준이 정형화될 가능성이 있습니다.

5. 시사점

이번 방안은 개인정보위가 중요사건에 대하여 조사 역량을 집중하고 경미사건은 신속히 종결하는 방향으로 업무 체계를 개편하는 내용을 담고 있습니다. 아울러 개정법과 과징금 부과기준은 사고 전의 보호 투자와 사고 후의 대응을 과징금 산정에 직접 반영하는 방향으로 정비되었습니다. 개인정보처리자로서는 예방 투자와 그 입증자료를 평시에 갖추는 한편, 사고 발생 이후 초동 대응, 소명자료 준비 의견제시 등 조사 단계별 대응 전략을 미리 마련해 둘 필요가 있습니다. 구체적으로 다음의 사항을 고려할 수 있습니다.
 

• 초동 대응 체계 정비: 사고대응 매뉴얼에 현장 대응반 대응 절차(접속기록·로그 등 증적 보존, 영향 시스템 목록, 자료 제출 담당자)를 반영하고, 유출 인지부터 신고·통지·확산 방지 조치까지의 경과를 시각 단위로 기록할 수 있는 체계를 갖추어야 합니다. 이러한 기록은 신고·통지 해태 가산(30% 이하)과 회복·개선 감경(40% 이하)을 판단하는데 필요한 소명자료로 활용될 수 있을 것입니다.
 

• 보호 투자 입증자료 관리: 투자감경은 원칙적으로 직전 3개 사업연도의 조치를 기준으로 하므로, 연도별 보안 투자 내역과 개인정보 보호책임자 운영 실적 등을 평시에 정리해 둘 필요가 있습니다. 동종 업계에서 사고가 발생하면 자체 점검을 실시하고 그 이력을 남겨 두는 것도 10% 상한 사건의 가중 판단(별표 2)에 대비하는 데 도움이 될 수 있습니다.
 

• 진행 중 사건의 절차적 권리 활용: 개정 조사·처분 규정은 진행 중인 사건에도 적용되므로, 대규모·복잡 사건이라면 조사결과 사전설명 요청을 검토하고, 사전통지·의견제출 기간이 끝나기 전에 시정을 완료(30% 이하 감경 요건)하는 한편 매출액 입증자료와 투자감경 소명자료를 함께 준비할 필요가 있습니다.
 

• 개정 규정의 적용 시점 확인: 2026. 9. 11. 전후에 걸친 사고나 위반 상태는 유출등 인지 시점과 위반행위 종료 시점을 기준으로 개정법 부칙과 부과기준 부칙상 적용 조항을 사건별로 확인하고, 남아 있는 미비 상태는 조속히 해소할 필요가 있습니다.
 

• 경미 사안의 신속 종결 대응: 경미한 사안이라도 법정 통지·신고를 빠짐없이 이행해야 과징금 미부과 요건을 충족할 수 있으며, 사전검토 단계에서 경위·피해 규모·회수 여부·자체 시정 조치를 신속·정확하게 소명하는 것이 추가적인 조사의 여지를 차단하고 조사 미착수 종결의 가능성을 높일 수 있습니다.
 

화우 정보보호센터는 개인정보 유출·침해사고 발생 직후의 초동 대응(유출 통지·신고, 증적 보존, 포렌식 조사기관과의 협업)부터 개인정보위·한국인터넷진흥원(KISA) 조사 대응, 사전통지에 대한 의견제출과 위원회 심의 대응, 처분에 대한 불복 소송, 정보주체 집단소송 대응에 이르기까지 사고 대응의 전 단계를 하나의 팀으로 수행하고 있습니다. 통신·금융·플랫폼·제조 등 다양한 산업의 유출사고 대응과 관련 소송 경험을 바탕으로, 평시에는 사고대응 체계 진단, 투자감경 입증체계 구축, 개인정보 내부관리계획·CPO 거버넌스 정비 등 예방적 자문을 제공합니다.