개인정보 유출 과징금, 왜 '대충' 매겨진다는 비판이 나올까요

금융위원회가 2026년 9월 16일 개최한 T/F 회의에 따르면, 신용정보법의 개인정보 유출 과징금은 위반과 무관한 매출까지 포함한 전체 매출액을 기준으로 삼으면서도 부과기준율은 경미·중대·매우중대 3단계뿐이라, 위반 정도에 비례한 산정이 어렵다는 지적이 나온다.

신용정보법 과징금, 무엇이 문제로 지적됐나

신용정보법은 2020년 2월 개정으로 과징금 대상을 확대하고 부과상한을 "관련 매출액의 3%"에서 "전체 매출액의 3%"로 올렸다. 문제는 산정 방식이다. 은행법·보험업법 같은 일반 금융업법은 "위반행위와 직접 관련된 금액"을 기준금액으로 쓰는데, 신용정보법은 위반과 무관한 매출까지 포함한 전체 매출액을 기준으로 쓰면서도, 부과기준율은 경미(50%)·중대(75%)·매우중대(100%) 3단계뿐이다. 상한을 올려놓고 세분화된 산정 틀은 그대로 둔 셈이라, 구체적인 위반 정도에 비례하는 과징금을 매기기 어렵다는 게 T/F가 짚은 핵심 문제다.

• 2020년 2월 개정 — 과징금 대상 확대, 부과상한 "관련 매출액 3%"→"전체 매출액 3%"로 상향
• 기준금액은 넓어졌는데 부과기준율은 3단계(경미·중대·매우중대)로 그대로 — 산정 틀 불일치

다른 법·해외 사례와 비교하면 어떻게 다른가

개인정보보호법은 기준금액부터 다르다 — 위반과 무관한 매출을 뺀 "관련 매출액"만 과징금 산정 기준으로 쓰고, 부과기준율도 1%에서 30%까지 세분화돼 있다. EU GDPR은 법정 부과상한 자체가 전세계 매출액의 2~4%로 신용정보법보다 높을 수 있지만, 부과기준율은 0%에서 10%까지 촘촘하게 나뉜다. 세 체계를 나란히 놓고 보면, 신용정보법만 "넓은 기준금액 + 거친 3단계 비율"이라는 조합을 쓰고 있다는 점이 두드러진다.

항목	신용정보법(현행)	개인정보보호법	EU GDPR
과징금 기준금액	전체 매출액	관련 매출액(비관련 매출액 제외)	전세계 매출액
법정 부과상한	전체 매출액의 3%	전체 매출액의 3%	전세계 매출액의 2~4%
부과기준율 구조	3단계(경미 50%·중대 75%·매우중대 100%)	세분화(1~30%)	세분화(0~10%)

이번 회의는 누가, 왜 모였나

2026년 9월 16일 정부서울청사에서 열린 이 T/F 회의는 금융위원회 디지털금융정책관이 주재했고, 금융위 금융데이터정책과장, 금융감독원 제재심의국장·디지털금융총괄국, 은행연합회·여신금융협회·생명보험협회·손해보험협회·금융투자협회가 참석했다. 회의 안건은 신용정보법 과징금 산정기준의 현황과 문제점, 해외 사례, 개편 방향이었다. 금융위원회 원문 보도자료는 이 회의에서 논의가 이뤄졌다는 사실과 비교표까지만 공개했을 뿐, 구체적인 개선안(부과기준율을 몇 단계로 세분화할지 등)이나 시행 시기는 아직 밝히지 않았다.

이 논의가 아직 확정하지 않은 것

이 글은 2026년 9월 16일 T/F 회의에서 논의된 현황·문제점·해외 비교까지만 다룬다.

1. 부과기준율을 몇 단계로 세분화할지 등 구체적인 개선 방향은 원문에 결론이 없어 다루지 않는다 — 단정해서 쓰지 않는다
2. 이번 발표는 "회의 개최" 보도참고자료 단계로, 실제 제도 개선(검사·제재규정 개정)은 아직 확정되지 않았다

독자에게는 왜 중요한 문제인가

이 논의는 금융회사가 아니라 개인정보 유출 피해를 본 소비자 입장에서도 관련이 있다. 과징금 산정기준이 거칠다는 것은, 같은 금액의 과징금이 위반의 경중과 상관없이 비슷하게 매겨질 수 있다는 뜻이기도 하다. 산정기준이 세분화되면 가벼운 위반과 심각한 유출 사고에 부과되는 과징금 차이가 커져, 금융회사 입장에서 개인정보 보호에 더 신경 쓸 유인이 커질 수 있다는 것이 이런 논의가 나오는 배경이다. 다만 이것이 실제로 소비자 피해 구제나 보상으로 직접 이어진다는 뜻은 아니다 — 과징금은 국고로 귀속되는 제재금이지, 피해자에게 지급되는 배상금이 아니다.

'과징금'과 '과태료'는 다른 개념이다

이 글에서 다루는 과징금은 행정청이 법 위반 행위에 대해 그 행위로 얻은 경제적 이익을 환수하거나 제재할 목적으로 부과하는 금전 제재다. 형사처벌(벌금)이나 질서위반행위에 매기는 과태료와는 부과 주체·목적·절차가 다르다. 신용정보법상 과징금은 금융위원회가 금융감독원의 검사·심의를 거쳐 부과하며, 부과 대상 회사가 이의가 있으면 행정소송으로 다툴 수 있는 구조다. 이번 T/F 회의가 짚은 문제는 이 과징금을 "얼마로 매길지" 정하는 산정 공식 자체이지, 과징금 제도 전체를 없애거나 새로 만드는 논의는 아니다.

자주 묻는 질문

Q. 신용정보법 과징금의 핵심 문제는?
A. 위반과 무관한 매출까지 포함한 전체 매출액을 기준으로 삼으면서도, 부과기준율은 3단계뿐이라 위반 정도에 비례한 산정이 어렵다는 점이다.

Q. 개인정보보호법과는 뭐가 다른가?
A. 개인정보보호법은 위반과 무관한 매출을 뺀 관련 매출액만 기준으로 쓰고, 부과기준율도 1~30%로 세분화돼 있다.

Q. 과징금 산정기준이 곧 바뀌는 건가?
A. 아니다. 이번 발표는 T/F 회의에서 문제점과 해외사례를 논의했다는 단계이며, 구체적인 개선안이나 시행 시기는 원문에 없다.

Q. 이 논의가 소비자 보상과 직접 관련 있나?
A. 아니다. 과징금은 국고로 귀속되는 제재금으로, 피해자에게 지급되는 배상금과는 다르다.

같이 보면 좋은 글

관련 금융 분쟁 사례는 「무릎 줄기세포 실손분쟁은 왜 2024년에 급증했을까요」와 「실손분쟁 492건 분쟁금액·의료기관별 정리」에서, 분쟁 예방을 위한 체크리스트는 「실손보험 치료 전 보험사 콜센터부터 확인하세요」에서 확인할 수 있다.

정리하면, 신용정보법의 개인정보 유출 과징금은 전체 매출액을 기준으로 삼으면서도 부과기준율은 3단계뿐이라, 위반 정도에 비례한 산정이 어렵다는 지적이 금융위 T/F 회의에서 나왔다. 개인정보보호법·GDPR과 비교하면 신용정보법만 "넓은 기준금액 + 거친 3단계 비율"이라는 조합을 쓰고 있다. 다만 구체적인 개선안과 시행 시기는 아직 확정되지 않은 논의 단계라는 점을 분명히 해야 한다.

출처: 금융위원회 「신용정보법 과징금 산정의 투명성과 합리성을 높이도록 하겠습니다」(2026-09-16 발표) · 금융위원회 원문