[개인신용정보 유출 사고가 시행 전에 발생했어도 새 과징금 산정기준을 검토할 수 있나요?]
금융회사가 관리하는 개인신용정보가 유출되면 사고 수습과 함께 과징금 산정 근거를 확인해야 합니다.
금융위원회는 2026년 10월 21일 「신용정보업감독규정」 개정을 의결했습니다. 시행일은 10월 23일이며, 위반의 중대성에 따른 산정기준을 세분화한 것이 핵심입니다.
이번 개정은 신용정보법상 과징금 산정기준에 관한 내용입니다. 일반 개인정보 유출 사건의 과징금이 모두 같은 방식으로 바뀌는 것은 아닙니다.
🕒 바쁜 분들을 위한 3줄 요약
적용 범위: 신용정보법상 위반인지와 해당 사업자에게 적용되는 의무부터 확인합니다.
산정 구조: 법정상한액에 부과기준율을 곱한 뒤 가중 및 감경 등을 검토합니다.
경과조치: 개정 전 위반은 당시 규정이 원칙이지만 새 기준이 유리한지 비교할 수 있습니다.
1. 모든 개인정보 유출에 적용되는 개정인가요?
이번 개정의 대상은 「신용정보의 이용 및 보호에 관한 법률」에 따른 과징금입니다. 고객정보라는 명칭만으로 적용법이 정해지지는 않습니다.
기업은 처리한 정보의 성격, 처리 주체의 지위, 위반한 의무를 먼저 특정해야 합니다. 핀테크나 가상자산 기업도 업종 이름만으로 동일한 제재기준이 적용된다고 단정할 수 없습니다.
같은 사고에서도 정보보호, 위탁관리, 통지 등 서로 다른 의무가 문제될 수 있으므로 사고 범위와 적용 조항을 구분해 검토하는 것이 좋습니다.
금융위원회 2026.10.21. 신용정보업감독규정 개정 안내
2. 부과기준율은 어떻게 달라지나요?
기본과징금은 원칙적으로 전체 매출액의 3%인 법정부과상한액에 부과기준율을 곱해 산정합니다. 이후 사안별 조정과 부담능력 등을 검토해 최종 금액을 정합니다.
표의 비율은 매출액에 직접 곱하는 비율이 아닙니다. 기존의 고정 비율을 중대성에 따라 연속적으로 정하는 체계로 바꿨습니다.
위반 중대성 | 개정 전 부과기준율 | 개정 후 부과기준율 |
|---|---|---|
약한 위반 | 50% | 1% 이상 30% 미만 |
중대한 위반 | 75% | 30% 이상 65% 미만 |
매우 중대한 위반 | 100% | 65% 이상 100% 이하 |
3. 1,050억 원이 210억 원으로 줄어든다는 뜻인가요?
금융위는 매출액 7조 원, 당기순이익 7,000억 원인 가상 금융회사를 예시로 들었습니다. 경미한 위반의 기본과징금은 1,050억 원에서 210억 원으로 계산됩니다.
이는 부과기준율 50%와 10%를 비교한 가상 사례입니다. 특정 회사의 실제 처분이나 모든 사건의 일률적인 감액을 의미하지 않습니다.
반복 위반이나 대규모 유출은 법정상한 내에서 기본과징금의 100%까지 가중할 수 있습니다. 정보의 유형과 피해 영향, 사후 수습 노력도 함께 검토합니다.
4. 개정 전에 발생한 사고에도 적용되나요?
금융위는 10월 23일 시행 이후 부과되는 과징금부터 새 기준을 적용한다고 안내했습니다. 다만 시행 전 위반행위는 경과조치를 함께 읽어야 합니다.
개정 전 위반은 위반 당시 규정 적용이 원칙이고, 새 규정이 유리한 경우 적용할 수 있습니다.
따라서 사고 발생일, 위반행위의 기간, 부과 시점을 구분하고 두 기준에 따른 산정 결과를 비교해야 합니다. 이미 확정된 처분이 자동 감액되거나 환급된다고 해석해서는 안 됩니다.
5. 조사와 제재에 대비해 어떤 자료를 준비해야 하나요?
사고 경위와 발견 시점, 관련 시스템, 유출 정보 항목 및 정보주체 범위를 시간순으로 정리합니다. 처음 파악한 수치와 최종 확인한 수치가 다르면 변경 근거도 보존합니다.
접근권한 관리, 점검 및 교육, 위탁회사 감독, 사고 대응과 재발 방지 조치의 실행기록을 확보하는 것이 좋습니다. 규정만 마련해 둔 경우와 실제 수행한 경우를 구분할 수 있어야 합니다.
감경을 주장할 때에는 피해자 보호, 추가 유출 방지, 관련 조사 협조와 개선의 이행을 객관적인 자료로 뒷받침해야 합니다. 자료 준비가 곧 감경을 보장하는 것은 아닙니다.
6. 위탁계약과 내부 보고체계도 함께 점검하세요
정보를 외부에 맡긴 기업은 위탁 범위, 재위탁 승인, 접근기록 보존, 사고 통지와 조사 협조 조항을 확인할 필요가 있습니다.
예를 들어 위탁회사가 사고를 인지한 뒤 누구에게 어떤 자료를 언제 전달할지 정하지 않으면 원인 분석과 피해 범위 확인이 늦어질 수 있습니다. 통지 창구와 의사결정권자를 실제 운영체계에 맞춰 정하는 것이 좋습니다.
기업 간 손해배상이나 비용 분담 약정은 감독당국의 제재와 별개입니다. 계약에 과징금 부담 조항이 있다는 이유만으로 법정 의무나 행정상 책임이 상대방에게 이전되지는 않습니다.
7. 자주 묻는 질문(FAQ)
Q1. 이번 개정으로 과징금이 모두 줄어드나요?
모든 사건의 과징금이 줄어드는 것은 아닙니다.
위반 중대성과 가중 및 감경, 적용 시점을 함께 검토해야 합니다.
Q2. 기존 사고는 새 기준으로 계산해 달라고 요청할 수 있나요?
경과조치에 따라 새 규정이 유리한지 검토할 수 있습니다.
위반 당시 규정과 새 기준의 산정 결과 및 적용 요건을 비교해 의견을 준비해야 합니다.
Q3. 위탁회사에서 유출되면 그 회사만 책임지나요?
위탁회사 사고라는 사정만으로 자신의 책임이 없어지지는 않습니다.
각 회사의 법적 지위와 의무, 실제 관리 및 감독, 사고 경위를 확인해야 합니다.
규제와 실제 운영을 함께 검토해야 합니다
신용정보법 과징금 개정에 대응하려면 적용법과 시점, 산정 근거 및 사후 조치 자료를 함께 검토해야 합니다. 기존 사고의 유불리 비교와 위탁계약 및 내부 보고체계 정비를 병행하는 것이 좋습니다.
[디센트 법률사무소 – 개인신용정보 사고와 과징금 대응 자문]
개인신용정보 처리 구조와 적용 의무를 검토하고 사고 대응자료, 제재 의견 및 정보처리 위탁계약 정비를 지원합니다.
🔸 신용정보법 적용 범위와 과징금 산정 검토
🔸 정보 유출 조사 대응자료와 제재 의견 준비
🔸 정보처리 위탁계약 및 내부 보고절차 정비
디센트 법률사무소 상담 안내 ☎️
적용 조항과 사고 경위, 제재 진행 단계에 따라 검토할 자료와 대응 방향이 달라질 수 있습니다.
[유선 문의] 02-6951-5248
[이메일] admin@decentlaw.io
[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층