개인정보 유출 과징금 매출 10%까지 — 바뀐 기준과 유출 문자 받았을 때 할 일

개정 개인정보 보호법에 따라 2026년 9월 11일부터 징벌적 과징금이 적용되고 있습니다. 반복적이거나 중대한 개인정보 유출에는 전체 매출액의 **최대 10%**까지 과징금을 매길 수 있게 됐습니다. 지금까지 상한은 전체 매출액의 3%였습니다.

기업이 내는 과징금이지만, 개인에게도 관련이 있습니다. 바뀐 기준을 정리하고, 유출 안내 문자를 받았을 때 바로 할 일을 함께 담았습니다.

언제 10%까지 매길 수 있나

아래 세 가지 중 하나만 해당해도 상한이 10%로 올라갑니다.

요건	설명
반복 위반	고의나 중대한 과실로 3년 안에 위반을 되풀이한 경우
대규모 피해	1,000만 명 이상의 정보주체에게 피해가 생긴 경우
시정명령 불이행	시정명령을 따르지 않아 유출 사고가 난 경우

반복 위반 요건은 법 시행일 이후의 위반부터 따지는 방향으로 안내됐습니다.

과징금은 어떻게 계산하나

기준 매출: “직전 연도 매출액”과 “최근 3년 평균 매출액” 중 높은 금액을 씁니다.

매출 1조 원 기업 예시	상한
일반 위반 (매출액의 3%)	300억 원
징벌적 과징금 요건 해당 (매출액의 10%)	1,000억 원

상한이 곧 부과액은 아닙니다. 감경 장치도 함께 있습니다.

사전 투자 노력: 개인정보 보호에 미리 투자한 노력이 인정되면 기준 금액의 **최대 40%**까지 줄일 수 있습니다. 다만 고의나 중대한 과실이 있으면 이 감경은 적용되지 않습니다.
추가 감경: 위반 내용과 피해 규모를 고려해 **최대 50%**까지 더 줄일 수 있습니다.
영세·중소기업: 경미한 위반을 기술 지원을 받아 바로잡으면 과징금이 면제될 수 있습니다.

함께 강화된 것

유출 가능성만 알아도 통지: 유출이 확정되기 전이라도 가능성을 알게 되면 지체 없이 정보주체에게 알려야 합니다.
개인정보 보호책임자(CPO): 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보보호위원회에 신고해야 합니다.

유출 안내를 받았을 때 바로 할 일

순서	할 일	이유
1	안내 문자·메일의 링크를 누르지 않고 해당 기업 앱이나 누리집에 직접 접속해 확인	유출 안내를 흉내 낸 피싱 문자가 함께 돌기 쉬움
2	유출된 항목 확인 (이름, 전화번호, 주소, 계정 등)	항목에 따라 해야 할 일이 다름
3	같은 비밀번호를 쓰는 다른 사이트까지 비밀번호 변경	한 곳에서 새면 다른 곳도 뚫릴 수 있음
4	엠세이퍼(명의도용방지서비스)에서 내 명의 휴대폰 개통 확인·가입 제한	내 명의로 몰래 휴대폰을 개통하는 피해 예방
5	금융정보가 걱정되면 금융감독원 개인정보노출자 사고예방시스템 등록	등록하면 금융회사가 신규 거래 때 본인 확인을 강화

주민등록번호까지 유출됐고 실제 피해가 우려된다면 주민등록번호 변경 신청도 검토할 수 있습니다. 피해가 생겼다면 개인정보 침해신고센터(국번 없이 118)에 상담할 수 있습니다.

매출 1,000억 원부터 10조 원까지 — 상한과 감경을 넣어 계산한 표

상한 비율만 보면 감이 잘 오지 않아 매출 규모별로 계산해 봤습니다. 계산식은 다음과 같습니다.

일반 상한 = 기준 매출 × 3%
징벌적 상한 = 기준 매출 × 10%
사전 투자 감경(최대 40%) 적용 = 금액 × 0.6
추가 감경(최대 50%)까지 적용 = 금액 × 0.6 × 0.5 = 금액 × 0.3

기준 매출 (가상의 예)	3% 상한	10% 상한	10% 상한에 40% 감경	추가 50% 감경까지
1,000억 원	30억 원	100억 원	60억 원	30억 원
5,000억 원	150억 원	500억 원	300억 원	150억 원
1조 원	300억 원	1,000억 원	600억 원	300억 원
10조 원	3,000억 원	1조 원	6,000억 원	3,000억 원

표는 상한을 그대로 기준 금액으로 놓고 감경 비율만 곱한 것입니다. 실제 부과액은 위반 기간과 중대성을 따져 상한 안에서 따로 산정되므로, 비율 감각을 잡는 용도입니다. 두 감경을 모두 받으면 10% 상한이 3% 상한과 같은 금액이 된다는 점이 눈에 띕니다. 다만 고의나 중대한 과실이 있으면 40% 감경이 빠지므로, 매출 1조 원 기업이라면 1,000억 원에서 추가 감경 50%만 적용돼 500억 원까지만 내려갑니다.

기준 매출 고르는 법도 계산해 보면 이렇습니다. 직전 연도 매출 8,000억 원, 최근 3년 평균 9,000억 원인 기업은 높은 쪽인 9,000억 원이 기준입니다. 반대로 직전 연도 1조 2,000억 원, 3년 평균 1조 원이면 1조 2,000억 원입니다.

유출된 항목별 내 할 일 — 전화번호만 샜을 때와 주민등록번호까지 샜을 때

안내문에 적힌 유출 항목에 따라 해야 할 일이 다릅니다. 내 안내문의 항목을 찾아 그 줄만 보면 충분합니다.

유출된 항목	주된 위험	다음 행동
이름·전화번호·이메일	내 이름을 부르는 맞춤형 피싱 문자·전화	기업 사칭 연락은 링크 대신 앱·누리집에 직접 접속해 확인
아이디·비밀번호 (암호화 여부와 관계없이)	같은 비밀번호를 쓰는 다른 사이트 침입	그 사이트와 같은 비밀번호를 쓰는 곳 모두 변경, 2단계 인증이 있으면 켜기
생년월일·주소	다른 정보와 합쳐진 명의도용	엠세이퍼에서 내 명의 휴대폰 개통 내역 확인
주민등록번호	휴대폰 개통·대출 등 명의도용	엠세이퍼 가입 제한 + 금융감독원 개인정보노출자 등록, 피해 우려가 크면 주민등록번호 변경 신청 검토
계좌·카드번호	부정 결제·이체	금융감독원 개인정보노출자 등록, 해당 금융회사에 문의
실제 피해(결제·개통·대출)가 생김	금전 피해	개인정보 침해신고센터 118 상담, 해당 금융회사·통신사에 즉시 신고

자주 헷갈리는 점

과징금은 피해자에게 오는 돈이 아닙니다. 기업이 국가에 내는 제재금이고, 개인의 피해 보상은 별도로 청구해야 합니다. 118에서 절차를 안내받을 수 있습니다.
통지는 유출이 확정되기 전에도 옵니다. 바뀐 법은 유출 가능성이 높다고 판단되면 안 때부터 72시간 안에 알리도록 하고 있습니다. “가능성” 단계의 안내라도 위 표의 행동은 미리 해 두는 쪽이 낫습니다.

정리

2026년 9월 11일부터 반복 위반, 1,000만 명 이상 피해, 시정명령 불이행 중 하나에 해당하는 개인정보 유출에는 매출액의 10%까지 과징금을 매길 수 있습니다. 기준 매출은 직전 연도와 3년 평균 중 높은 쪽입니다. 유출 안내를 받으면 링크를 누르지 말고 직접 확인한 뒤, 비밀번호 변경과 명의도용 방지 서비스부터 챙기세요.