개인정보 유출 과징금 상한, 매출 3%에서 10%로 — 9월 13일 시행

국내 소식인데 Hacker News에서 크게 돌았습니다. 영문 보도(코리아중앙데일리, 9월 10일)를 기준으로 정리합니다.

바뀐 것

	이전	이후(9월 13일~)
과징금 상한	매출의 3%	매출의 10%
적용 조건	—	고의·중과실로 1,000만 명 이상 유출, 또는 3년 내 반복 위반, 또는 시정명령 불이행 후 유출

결정 주체는 개인정보보호위원회이고, 기사에는 양청삼 사무처장과 송경희 위원장이 인용됩니다.

함께 들어온 것

• 72시간 통지 의무: 불법 접근이나 랜섬웨어처럼 "유출 위험이 높다"고 판단되는 경우 이용자에게 72시간 안에 알려야 합니다
• CPO 권한 강화: 주요 기업·기관은 개인정보보호책임자를 임면할 때 이사회 승인을 받고 위원회에 보고해야 합니다
• 감경 사유 명문화: 사전 데이터 보호 투자에 최대 40%, 조기 적발·신고·이용자 통지·피해 확산 방지에 최대 40% 감경

누가 "주요 기업"인가

기사에 적힌 기준은 연 매출 1,800억 원 초과, 또는 100만 명 이상 개인정보 처리, 또는 5만 명 이상 민감정보 처리, 그리고 학생 2만 명 이상 대학·상급종합병원·주요 공공시스템 운영기관입니다.

배경

2026년 6월 쿠팡 3,755만 명 유출에 6,246억 원 과징금이 부과됐습니다. 기사는 새 기준을 적용하면 조 단위로 커질 수 있다고 씁니다.

글에 없는 것

"매출"이 전체 매출인지 위반 관련 매출인지는 기사에 명확하지 않습니다 — 법령 원문을 봐야 합니다. 국회 심의 과정, 기업 측 반응, 해외 비교(GDPR 상한은 전 세계 매출 4%)도 기사에 없습니다.

실무에서 할 일

개발자가 직접 할 일은 두 가지로 좁혀집니다. 첫째, 72시간은 기술적으로 "유출을 72시간 안에 인지할 수 있나"의 문제입니다. 접근 로그와 이상 탐지가 없으면 통지 의무를 지킬 방법이 없습니다. 둘째, 감경 사유에 "사전 투자"가 있으니, 보안 예산을 요청할 때 이 조항을 근거로 쓸 수 있습니다.