침해사고가 두 번 나면 매출의 3% 과징금

부산에서 예약 플랫폼을 운영하는 회사가 작년에 서버 침입을 당했습니다. 당시에는 과태료 없이 시정 조치 권고로 끝났고, 담당자가 바뀌면서 사후 기록은 남지 않았습니다. 그런데 올해 같은 경로로 두 번째 사고가 났습니다. 이번에는 과징금이라는 말이 나왔고, 금액의 기준이 매출액이라는 설명을 들었다고 합니다. 2026년 10월 1일부터 시행된 정보통신망법의 과징금 조항과 이행강제금 조항이 어떤 구조인지, 1차 사고 뒤에 무엇을 남겨 두었는지가 왜 2차 사고의 금액을 가르는지를 기업 자문의 눈으로 정리했습니다.

두 번이라는 말은 어떻게 세는가

조문이 요구하는 요건은 세 개입니다.

정보통신서비스 제공자의 고의 또는 중대한 과실이 있어야 하고, 침해사고가 5년 이내의 기간 동안, 2회 이상 발생해야 합니다. 세 요건이 함께 있을 때 과징금이 부과될 수 있습니다.

조문은 부과할 수 있다고 적혀 있습니다. 요건이 채워지면 반드시 부과된다는 구조가 아니라, 부과 여부와 금액이 함께 판단되는 구조입니다.

실무에서 중요한 것은 5년이라는 시계입니다. 첫 사고가 처리되고 조용히 지나갔다고 해서 그 사고가 사라지는 것이 아니라, 두 번째 사고의 요건으로 남아 있습니다. 첫 사고 보고서를 폐기하지 말아야 하는 이유가 여기에 있습니다.

상한은 매출의 3퍼센트, 그런데 상한일 뿐이다

금액의 틀은 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액입니다. 그 금액을 초과하지 않는 범위에서 부과됩니다.

여기서 두 가지를 오해하기 쉽습니다. 첫째, 3퍼센트가 부과 금액이 아니라 천장입니다. 둘째, 기준이 되는 매출액은 회계상 총매출이 그대로 쓰이는 것이 아니라 대통령령이 정하는 매출액이므로 시행령에서 산정 범위를 확인해야 합니다.

상한이 매출에 연동되어 있다는 점은 매출 규모가 큰 사업자에게 특히 무겁게 작동합니다.

금액을 가르는 일곱 가지

조문은 산정에서 고려할 사항을 일곱 개로 열거합니다. 이 목록이 자문의 출발점입니다.

오른쪽 칸이 핵심입니다. 네 번째와 일곱 번째 항목은 사고가 난 뒤의 행동으로만 증명되므로, 사고 당일의 기록이 남아 있지 않으면 주장할 거리가 없습니다.

1차 사고 뒤에 무엇을 남겨 두어야 하나

두 번째 사고의 금액은 첫 번째 사고 뒤의 몇 달에 거의 결정됩니다.

1. 사고 원인을 문서로 확정한다. 추정이면 추정이라고 적고 남겨 둔다
2. 재발방지 대책을 항목별로 세우고 완료 일자와 담당자를 기록한다
3. 조치가 실제로 적용되었는지 점검하고 그 결과를 다시 문서로 남긴다
4. 행정기관의 자료 제출 요구에 기한 안에 응하고 접수 내역을 보관한다
5. 같은 취약점이 남아 있는지 외부 점검을 한 차례 받아 둔다

사고 종결 파일에 들어가야 할 것
최초 인지 시각과 인지 경로, 차단 조치의 시각별 기록, 영향 범위와 이용자 수, 통지와 신고 내역, 재발방지 대책의 완료 증빙, 외부 점검 보고서. 사고 하나당 한 묶음으로 보관 기간을 정해 두십시오.

담당자 교체가 이 파일을 가장 자주 날립니다. 인수인계 목록에 사고 종결 파일을 넣어 두는 것만으로도 2차 대응의 질이 달라집니다.

조사와 시정명령을 미루면 날마다 붙는 돈

과징금과 별개로 이행강제금 조항이 함께 들어왔습니다.

시정명령을 이행하지 않은 경우, 자료를 내지 않거나 거짓으로 낸 경우, 사업장 출입과 조사를 방해하거나 거부하거나 피한 경우에 이행기한을 정해 다시 명령할 수 있습니다. 그 기한까지도 이행하지 않으면 기한이 지난 날부터 1일당 1일 평균매출액의 1만분의 3 범위에서 이행강제금이 부과될 수 있습니다.

매출이 없거나 산정이 곤란한 경우에는 1일당 200만원 범위입니다.

날짜로 쌓이는 돈이라는 점이 과징금과 다릅니다. 부과와 징수의 절차는 행정기본법의 이행강제금 규정을 준용하므로, 다시 명령을 받은 단계에서 기한을 다투거나 이행 계획을 제출하는 선택을 빨리 판단해야 합니다.

과징금을 내지 않으면, 그리고 이중 제재는 어떻게 되나

납부기한을 넘기면 그 다음 날부터 연 100분의 6의 가산금이 붙습니다. 가산금을 징수할 수 있는 기간은 60개월을 넘지 못합니다. 독촉을 해도 내지 않으면 국세 강제징수의 예에 따라 징수됩니다.

반대 방향도 조문에 있습니다. 소송에서 처분이 취소되어 과징금을 돌려주어야 할 때에는 환급가산금을 더해 지급합니다.

이중 제재를 막는 장치도 들어 있습니다. 개인정보 보호법의 과징금 조항이 적용되는 경우에 해당하면 이 과징금 조항은 적용하지 않습니다. 같은 사고를 두 법으로 겹쳐 제재하지 않겠다는 뜻입니다.

그래서 사고가 개인정보 유출을 함께 일으킨 사안이라면 어느 법의 어느 제도로 다루어지는 사안인지를 먼저 가려야 하고, 두 제도를 동시에 가정해 대응 방향을 세우면 자료 제출의 범위부터 어긋납니다.

정리

과징금의 요건은 고의 또는 중과실, 5년 이내, 2회 이상입니다. 상한은 대통령령이 정하는 매출액의 3퍼센트이고, 그 안에서 일곱 가지 사정을 보아 금액이 정해집니다.

일곱 가지 중 절반은 사고가 난 뒤의 행동에 관한 것입니다.

그러니 1차 사고의 종결 파일이 2차 사고의 금액을 가릅니다. 원인 문서, 재발방지 대책의 완료 증빙, 자료 제출 내역을 사고 하나당 한 묶음으로 남겨 두시기 바랍니다. 시정명령을 받은 상태라면 이행강제금이 날마다 쌓이는 구조이므로 기한 관리가 먼저입니다. 사고 직후의 48시간에 무엇을 기록했는지가 뒤의 모든 판단에 쓰이므로, 대응 문서의 틀은 사고가 없는 때에 만들어 두는 편이 낫습니다.

참조 조문

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조의7(이행강제금), 제48조의8(과징금), 제48조의4(침해사고의 원인 분석 등) · 개인정보 보호법 · 행정기본법

관련 안내: 부산 변호사 · 업무분야

본 글이 일반적 안내였다면, 본인 사안은 사실관계가 조금만 달라져도 결론이 크게 달라집니다. 비슷한 상황으로 고민 중이시라면 정식 상담을 권합니다.

법무법인 대한중앙 한병철 변호사

대한변호사협회 인증 형사전문·부동산전문변호사 (13년차)

전화: 1533-7377 | 이메일: hanbyungchul@naver.com

부산 해운대 사무소 · 영남권/제주 중심, 서울·경기·충청·호남·강원 의뢰 대응

상담 신청하시면 담당자가 연락드려 상담료를 안내합니다.

자주 묻는 질문

첫 사고가 과태료 없이 끝났는데도 횟수에 들어가나요?

조문은 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우를 요건으로 둡니다. 첫 사고의 처분 결과가 가벼웠는지와 별개로 발생 사실 자체가 횟수에 들어갈 수 있으므로 사고 기록을 보관해 두어야 합니다.

과징금은 매출의 3퍼센트로 정해지는 것인가요?

3퍼센트는 상한입니다. 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 초과하지 않는 범위에서 부과되고, 그 안에서 사고 횟수와 대응 조치 등 일곱 가지 사정을 보아 금액이 정해집니다.

개인정보 유출 사고면 과징금이 두 번 부과되나요?

개인정보 보호법의 과징금 조항이 적용되는 경우에 해당하면 이 조항은 적용하지 않습니다. 다만 어느 제도로 다루어지는 사안인지는 유출된 정보의 성격과 처분 주체에 따라 갈리므로 초기에 확인해야 합니다.

이행강제금은 과징금과 다른 것인가요?

다릅니다. 이행강제금은 시정명령이나 자료 제출, 조사 수용을 이행하지 않을 때 기한이 지난 날부터 1일 단위로 부과되는 돈이고, 1일 평균매출액의 1만분의 3 범위 또는 1일당 200만원 범위에서 정해집니다.

법무법인 대한중앙 | 해운대 사무소

대한변호사협회 인증 형사전문·부동산전문변호사

작성·검토: 한병철 변호사 · 2026-11-09

대표 변호사 한병철

전화: 1533-7377 | 이메일: hanbyungchul@naver.com

본 글은 일반적인 법률 정보 제공을 목적으로 하며, 개별 사안에 대한 법률 자문이 아닙니다. 구체적인 사건은 정식 상담을 통해 확인이 필요합니다.

초안은 AI 도구의 도움을 받아 작성하고, 담당 변호사가 검토·수정한 뒤 게시합니다.