안녕하세요, 법무법인 청출 김광식 변호사입니다.

개인정보보호위원회가 2026년 7월 16일 2026년 하반기 업무계획을 발표하면서, 개인정보 유출에 대한 제재의 틀을 근본적으로 바꾸겠다는 방향을 제시했습니다. 핵심은 ‘사고가 나면 처벌한다’는 사후 대응 중심에서 ‘평소 얼마나 예방했는가’를 제재에 직접 반영하는 사전 예방 중심으로 규제 패러다임을 전환하겠다는 것으로, 그 대표적 수단이 이른바 ‘상벌연동형’ 과징금 체계입니다.

그동안 개인정보 유출 사고는 사고가 발생한 뒤에야 과징금·시정명령 등 사후 제재가 이루어졌고, 기업이 평소 보안과 개인정보 보호에 얼마나 투자했는지는 제재 수위에 충분히 반영되지 못한다는 지적이 있었습니다. 이번 계획은 예방에 투자한 기업의 과징금은 감경하고 사고를 방치한 기업의 과징금은 가중하는 방식으로 유인 구조 자체를 바꾸겠다는 것입니다. 여기에 인공지능(AI) 학습용 데이터 활용 특례, 유출 손해배상의 입증책임 전환 등 기업 실무에 직접 영향을 미치는 내용이 함께 담겼습니다.

오늘은 개인정보위가 예고한 상벌연동형 과징금 체계의 구조와 9월부터 강화되는 징벌적 과징금, AI 학습용 데이터 활용 특례, 손해배상 입증책임의 변화, 그리고 기업이 지금부터 점검해야 할 사항을 중심으로 정리해 보겠습니다.

[Question]

개인정보위가 예고한 ‘상벌연동형’ 과징금은 무엇이고, 기업이 예방에 투자하면 실제로 과징금이 줄어드나요? AI 학습용 데이터 활용과 유출 손해배상에는 어떤 변화가 있나요?

[Answer]

1. 규제 패러다임의 전환 - ‘사후 처벌’에서 ‘사전 예방’으로

개인정보위는 이번 하반기 업무계획에서 개인정보 보호의 무게중심을 사후 대응에서 사전·상시 예방으로 옮기겠다는 방향을 분명히 했습니다. 반복되는 대규모 유출 사고에 대해 사후 제재만으로는 한계가 있다는 문제의식에서 출발한 것으로, 규제의 초점을 ‘사고 발생 후 얼마나 무겁게 처벌할 것인가’에서 ‘사고를 막기 위해 무엇을 상시적으로 갖추게 할 것인가’로 이동시키는 취지입니다.

이러한 방향은 이미 구체적인 일정으로도 나타나고 있습니다. 상조회사, 금융 등 민간 고위험 분야를 대상으로 한 사전 실태점검이 추진되고, 공공부문에서는 주요 공공시스템을 대상으로 전문성 있는 개인정보보호책임자(CPO) 신고 의무화, 모의해킹의 정기적 실시, 개인정보보호 관리체계 인증(ISMS-P)의 단계적 의무화 등이 순차적으로 예정되어 있습니다. 요컨대 ‘평소의 관리 수준’ 자체가 규제의 직접 대상이 되는 흐름입니다.

2. 상벌연동형 과징금과 9월 강화 - 감경·가중, 그리고 징벌적 과징금

상벌연동형 과징금은 기업의 예방 노력과 사고 대응 태도를 과징금 산정에 반영하는 제도입니다. 한편으로는 법령상 의무를 넘어서는 예방 투자를 한 기업, 예컨대 우수한 보안 시스템을 갖추거나 전문성 있는 CPO를 지정하는 등 자율적으로 보호 수준을 높인 기업에는 과징금을 감경하고, 다른 한편으로는 유출 사고를 인지하고도 이를 의도적으로 방치한 기업에는 과징금을 가중합니다.

현행 개인정보 보호법상 과징금은 위반행위와 관련 없는 매출을 제외한 전체 매출액의 100분의 3을 초과하지 않는 범위에서 산정하도록 되어 있습니다. 상벌연동 체계는 이 산정 과정에서 예방 투자 여부와 사고 방치 여부를 감경·가중 사유로 실질적으로 반영하겠다는 의미로, 평소의 보안·개인정보 보호 투자가 사고 시 제재 수위를 좌우하는 직접적인 리스크 관리 수단이 됩니다.

나아가 개인정보위는 오는 9월부터 중대·반복 위반 기업에 대한 징벌적 과징금을 강화하겠다고 예고했습니다(보도상 매출액 기준의 상향된 수준이 거론됩니다). 반대로 유출 사실을 성실히 신고하고 조기에 대응한 기업에는 인센티브를, 위반을 알린 공익신고자에게는 포상금을 부여하는 방안이 함께 추진됩니다. 한편 과학기술정보통신부 역시 보안 사고가 반복되는 사업자에 대한 과징금 강화를 추진하고 있어, 하나의 유출 사고를 두고 개인정보 보호법상 제재와 정보통신망 보안 규제가 함께 문제될 수 있는 이중의 규제 리스크에 유의해야 합니다.

3. AI 학습용 원본데이터 활용 특례 - ‘AX 안심 지원체계’

이번 계획에는 규제 강화만이 아니라 데이터 활용을 지원하는 내용도 포함되었습니다. 공익적·사회적 목적의 AI 개발에 한하여 가명처리나 익명처리를 거치지 않은 원본 데이터를 활용할 수 있도록 하는 특례가 추진되며, 그동안 개별적으로 운영되던 혁신지원 제도들을 이른바 ‘AX 안심 지원체계’로 통합·정비하는 방안도 함께 제시되었습니다.

이는 AI 개발 과정에서 학습 데이터 확보의 병목을 완화하려는 취지입니다. 다만 특례는 ‘공익·사회적 목적’이라는 목적 제한과 일정한 안전조치 요건을 전제로 하는 것으로, 모든 기업이 원본 데이터를 자유롭게 활용할 수 있게 되는 것은 아닙니다. AI·데이터 사업을 준비하는 기업이라면 특례의 적용 대상과 요건, 안전조치 의무를 사전에 면밀히 검토할 필요가 있습니다.

4. 손해배상 입증책임 전환 - 유출 소송 지형의 변화

실무상 파급력이 가장 큰 부분은 손해배상제도의 개편입니다. 개인정보위는 유출로 인한 손해배상과 관련하여 기업이 자신의 책임 유무를 입증하도록 하는 방향의 법정손해배상제도 개편을 추진하고 있습니다. 현재는 피해자가 기업의 고의·과실과 손해, 인과관계를 입증해야 하는 부담이 커 실제 배상으로 이어지기 어려운 경우가 많았는데, 입증책임이 기업 측으로 전환되면 기업이 ‘자신에게 과실이 없음’을 스스로 증명해야 하는 구조로 바뀌게 됩니다.

입증책임이 전환되면 유출 사고를 둘러싼 집단분쟁과 손해배상 청구가 크게 늘어날 수 있고, 기업은 안전조치를 실제로 이행했다는 점을 소송에서 입증하지 못하면 배상책임을 면하기 어려워집니다. 아울러 징수된 과징금의 일부를 재원으로 한 통합기금을 마련하는 방안도 거론되고 있어 피해 구제의 실효성을 높이려는 흐름이 뚜렷합니다. 결국 평소의 안전조치 이행 여부와 그 기록의 관리가 소송의 결과를 좌우하게 됩니다.

5. 기업이 지금 점검해야 할 사항

첫째, 예방 투자의 ‘증빙’을 갖추어야 합니다. 상벌연동형 과징금 체계에서 감경을 받으려면 보안 시스템 투자, 전문 CPO 지정, 내부관리계획 수립·이행 등을 사후에 입증할 수 있도록 문서와 기록으로 남겨 두어야 합니다. 둘째, CPO의 전문성과 독립성을 점검해야 합니다. 공공부문에서 전문 CPO 신고가 의무화되는 등 CPO의 위상이 강화되는 만큼 민간 기업도 CPO의 자격·권한·보고체계를 재정비할 필요가 있습니다.

셋째, 유출 사고 대응체계와 신고 타이밍을 정비해야 합니다. 성실·조기 신고에 인센티브가 부여되고 지연·은폐에는 가중이 예정된 만큼, 법정 신고기한을 준수할 수 있는 내부 대응 절차(탐지·보고·신고·통지의 흐름)를 미리 마련해 두어야 합니다. 넷째, AI·데이터 활용의 적법성을 사전에 검토하고, 다섯째, 접근통제·암호화·접속기록 보관 등 안전조치의 이행 사실을 상시 문서화하여 입증책임 전환에 대비해야 합니다.

이번 하반기 업무계획은 상당 부분이 향후 법령 개정과 고시 정비를 통해 구체화될 예정이어서, 과징금 상한이나 입증책임 전환의 최종적인 형태는 입법 과정에서 달라질 수 있습니다. 다만 규제의 방향은 분명합니다. 이제 개인정보 보호는 ‘사고가 나면 처벌받는’ 사후적 리스크가 아니라, ‘평소의 투자와 기록이 곧 제재 수위와 배상책임을 좌우하는’ 상시 관리 대상이 되었습니다. 예방에 대한 투자와 그 증빙이 기업의 가장 확실한 리스크 관리 수단이 된 것입니다.

법무법인 청출은 개인정보 유출 사고 대응, 과징금·행정처분 방어, 개인정보 영향평가 및 내부관리계획 정비, CPO 체계 구축, AI·데이터 활용의 적법성 검토, 개인정보 관련 손해배상 및 집단분쟁 대응에 이르기까지 기업의 개인정보 컴플라이언스 전반에 관한 법률 자문을 제공하고 있습니다. 개인정보 규제 변화에 따른 대응이 필요하시면 언제든 문의해 주시기 바랍니다.