법무법인(유) 화우

2026년 9월 11일부터 개정 「개인정보 보호법」이 시행되면서 개인정보 침해사고가 기업에 미치는 재무적 리스크가 한층 커졌습니다. 일반적인 과징금 상한은 전체 매출액의 3%이지만, 동일 유형 위반의 3년 내 재발(각 위반에 고의·중과실이 있는 경우), 고의·중과실로 1천만 명 이상 피해가 발생한 경우 등에는 전체 매출액의 최대 10%까지 과징금이 부과될 수 있습니다. 반면 평소 개인정보 보호를 위해 예산·인력·설비·장치 등에 투자하고 보호체계를 실질적으로 운영해 온 기업에는 기준금액의 최대 40%를 감경하는 ‘투자감경’ 제도가 도입되었습니다. 개인정보보호위원회도 같은 날 「과징금 투자감경제도 안내서」를 발간했습니다. 이제 기업은 사고 후의 대응뿐 아니라 사고 전 투자와 관리체계를 ‘입증 가능한 기록’으로 남기는 것이 중요해졌습니다.

1. 지금 투자감경제도에 주목해야 할 이유

2. 투자감경제도의 주요 내용

3. 과징금 산정 절차에서 투자감경의 위치

4. 시사점 및 기업 대응

1. 지금 투자감경제도에 주목해야 할 이유

개정 「개인정보 보호법」은 2026년 9월 11일부터 시행되었습니다. 종전의 일반 과징금 상한(전체 매출액의 3%)에 더하여, 일정한 가중 사유가 있는 경우에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하였습니다. 예컨대 과징금 부과처분 후 3년 이내 동일 유형의 위반을 고의·중과실로 반복하거나, 고의·중과실로 위반하여 피해 규모가 1천만 명 이상인 경우 등이 이에 해당합니다. 실제 과징금은 전체 매출액에서 위반행위와 관련 없는 매출액을 제외한 금액 등을 토대로 산정되지만, 법정 상한 자체가 높아진 만큼 대규모 개인정보처리자에게는 한 번의 사고가 중대한 재무적 리스크로 이어질 수 있습니다.

동시에 개정법은 평소 개인정보 보호를 위해 투자하고 보호체계를 운영해 온 기업에 대한 ‘투자감경’을 신설했습니다. 개인정보보호위원회는 2026년 9월 11일 「과징금 투자감경제도 안내서」를 발간하여 구체적인 평가 요소와 산정 절차를 제시했습니다. 제도의 핵심은 ‘사고가 난 뒤 얼마나 잘 대응했는가’뿐 아니라, ‘사고가 나기 전 무엇에 얼마나 지속적으로 투자했고 경영진과 CPO가 실제로 어떻게 관여했는가’를 과징금 산정에 반영한다는 점입니다. 따라서 조사 착수 후 감경자료를 만드는 방식이 아니라, 평상시 투자·의사결정·교육·기술조치의 이력을 축적해 필요할 때 바로 제출할 수 있는 ‘감경 증빙체계’를 갖추는 것이 중요합니다.

2. 투자감경제도의 주요 내용 
 

가. 법률상 근거

「개인정보 보호법」 제64조의2 제6항은 보호위원회가 개인정보 보호를 위하여 예산·인력·설비·장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우 제1항 및 제2항에 따른 과징금을 감경하도록 규정하고 있습니다. 다만 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우에는 투자감경이 적용되지 않습니다. 즉 투자감경은 평상시의 보호 노력을 과징금에 반영하는 제도이지만, 고의·중과실 위반까지 보호하는 일률적 감면 장치는 아닙니다.

나. 시행령상 감경 사유  
 

시행령 제60조의2 제5항은 투자감경 판단 시 보호위원회가 다음 네 가지 사항을 고려하여 고시로 정하는 기준을 충족해야 한다고 규정합니다.  
 

1. 개인정보 보호를 위하여 예산·인력·설비·장치 등에 투자한 규모·비율 및 그 투자의 지속성  
2. 법 제30조의3에 따른 사업주 또는 대표자의 책임 이행 정도  
3. 개인정보 보호책임자의 역할, 조직 및 인력 구성 등 개인정보 보호 체계 운영 내용 및 수준  
4. 그 밖에 개인정보 안전성 확보 조치에 관한 추가적인 노력  
 

따라서 단순히 ‘얼마를 썼는가’만으로 감경 여부가 결정되는 것은 아닙니다. 투자 규모와 지속성에 더하여 경영진의 책임 이행, 개인정보 보호책임자(CPO)의 권한과 조직의 실질적 작동 여부, 법정 의무를 넘어선 안전성 확보 노력까지 종합적으로 평가됩니다.

다. 감경률 및 고시 기준

시행령 별표 1의5와 「개인정보 보호법 위반에 대한 과징금 부과기준」 고시 제8조의3은 다음 사항을 종합적으로 고려하여 기준금액의 40% 범위에서 투자감경을 적용하도록 정하고 있습니다. 다만 법 제64조의2 제6항 단서의 고의·중과실에 해당하는 경우에는 감경 대상에서 제외됩니다.  
 

1. 예산·인력·설비·장치 등에 대한 투자 규모·비율, 투자의 지속성 및 증가 정도 등이 우수한 경우  
2. 사업주·대표자의 책임 이행, CPO의 지정·권한·책임 이행 및 업무수행, 인력 구성·운영 등 보호체계의 운영·수준이 우수한 경우  
3. 법상 의무사항 이외의 강화된 보호기술 적용 등 안전성 확보조치 수준이나 추가적인 노력이 우수한 경우  
 

특히 고시 제8조의3 제2항은 원칙적으로 위반행위가 있었던 사업연도의 직전 3개 사업연도 범위에서 이루어진 조치를 고려하도록 하고, 보호위원회가 상당하다고 인정하는 경우에는 위반행위가 있었던 사업연도의 조치도 고려할 수 있도록 하고 있습니다. 이는 ‘사고 이후의 일회성 보완’보다 사고 전부터 이어진 투자와 운영 실적을 평소 체계적으로 축적·입증하는 것이 중요하다는 점을 보여줍니다.

3. 과징금 산정 절차에서 투자감경의 위치

안내서에 따르면 기준금액이 산정된 다음 “투자감경(추가) ⇒ 1차 조정 ⇒ 2차 조정 ⇒ 부과과징금 결정”의 순서로 과징금이 산정됩니다. 투자감경은 후속 조정에 앞서 기준금액 자체를 먼저 낮추는 단계이므로, 감경된 금액이 이후 1차·2차 조정의 출발점이 됩니다. 따라서 사전에 확보된 투자감경 요소는 최종 부과과징금에 이르기까지 구조적으로 영향을 미칠 수 있습니다.

4. 시사점 및 기업 대응

이번 제도의 메시지는 분명합니다. 개인정보 보호 투자는 더 이상 단순한 컴플라이언스 비용에 그치지 않고 잠재적 행정제재 리스크를 낮추는 ‘법적 리스크 관리 자산’으로 볼 필요가 있습니다. 다만 감경은 자동으로 40%가 적용되는 방식이 아니며, 기업이 실제로 어떤 투자를 얼마나 지속적으로 했는지, 경영진과 CPO 체계가 실질적으로 작동했는지, 추가적인 안전조치를 취했는지를 객관적 자료로 입증해야 합니다. 특히 고의·중과실 위반에는 투자감경이 배제되므로 투자 자체와 함께 내부통제의 실효성을 확보하는 것이 중요합니다. 
 

실무적으로는 다음 네 가지를 우선 점검할 필요가 있습니다. 
 

• 최근 3개 사업연도의 투자·운영 증빙 패키지 구축: 개인정보 보호 예산의 편성·집행 내역, 전담인력 증원, 보안 솔루션·설비 도입, 외부 점검·컨설팅, 교육·훈련 등 투자 항목을 연도별로 분류하고 관련 결재·계약·세금계산서·보고자료를 연결해 두는 것이 필요합니다. 
 

• 경영진 책임 이행의 문서화: 법 제30조의3에 따른 사업주·대표자의 책임 이행이 평가 요소이므로, 주요 개인정보 리스크와 투자계획이 대표이사·경영진에게 정기적으로 보고되고 필요한 예산·인력이 승인되었다는 사실을 회의록·결재문서·보고서 등으로 남겨 둘 필요가 있습니다. 
 

• CPO 체계의 실질화: CPO의 지정 자체보다 실제 권한, 경영진 접근성, 독립적 의견 제시 가능성, 전담조직·인력, 점검 및 개선조치 이력이 중요합니다. 조직도와 직무기술서뿐 아니라 CPO의 보고·지시·개선 활동을 보여주는 운영 기록을 함께 관리하는 것이 바람직합니다. 
 

• 강화된 안전조치와 고의·중과실 리스크 관리: 법정 최소기준을 넘어서는 기술적·관리적 보호조치의 적용 여부를 점검하고, 반복적으로 지적된 취약점이나 개선 요구가 장기간 방치되지 않도록 책임자·기한·완료 증빙을 관리해야 합니다. 아무리 투자 실적이 우수해도 고의·중과실로 평가되면 투자감경을 받을 수 없기 때문입니다. 
 

기업은 이제 개인정보 보호체계 자체뿐 아니라 그 체계를 ‘감경 요건에 맞게 입증할 수 있는지’를 정기적으로 점검할 필요가 있습니다. 실무적으로는 ① 투자 항목 맵핑, ② 최근 3개 사업연도 증빙 Gap 분석, ③ 경영진·CPO 거버넌스 점검, ④ 추가 안전조치의 수준 평가를 묶어 연 1회 이상 자체 진단하는 방안을 고려할 수 있습니다. 향후 실제 투자감경 사례가 축적되면 업종·규모별로 보다 구체적인 기준도 형성될 것으로 예상됩니다.

화우 정보보호센터는 개인정보 보호법제, AI 규제, 정보보안 분야에서 규제 대응 자문, 개인정보 컴플라이언스 체계 구축, 유출사고 대응 및 조사·제재 대응, 국외이전 자문 등을 수행하고 있습니다.

이번 투자감경제도와 관련하여 기업별 최근 3개 사업연도 투자·운영 실적 진단, 감경 가능 항목 및 증빙 Gap 분석, 경영진·CPO 거버넌스 정비, 조사·과징금 대응 전략 수립을 지원해 드릴 수 있습니다. 개별 사안에 대한 검토가 필요하신 경우 아래 연락처로 문의하여 주시기 바랍니다.