한국 개인정보보호법의 과징금 산정 기준은 무엇인가

개인정보 보호법 제64조의2(과징금의 부과)는 개인정보보호위원회가 개인정보처리자에게 '전체 매출액의 100분의 3을 초과하지 아니하는 범위'에서 과징금을 부과할 수 있다고 규정합니다(국가법령정보센터 확인). 여기서 기준이 되는 매출액은 연간 전체 매출액이되, 산정할 때 위반행위와 관련이 없는 매출액은 제외합니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원을 초과하지 않는 범위에서 부과합니다. 예를 들어 연매출 1조 원인 기업이 위반하면 산술적으로 최대 300억 원까지 과징금이 가능한 구조입니다. 다만 실제 부과액은 이 상한을 그대로 적용하는 것이 아니라, 위반 행위의 심각성·기간·영향 범위 등을 고려해 산정됩니다. 6강에서 다룬 메타(약 308억 원)·구글(약 692억 원) 사례는 매출액을 기준으로 한 과징금이 실제로 수백억 원대에 이를 수 있다는 것을 보여줍니다.

한 가지 반드시 짚어둘 점이 있습니다. 오래된 자료에서 자주 인용되는 '제39조의15'는 정보통신서비스 제공자에게만 적용되던 특례 조항으로, 2023년 개정(법률 제19234호, 2023년 9월 15일 시행)에서 삭제되고 전 사업자에 적용되는 제64조의2로 통합됐습니다. 상한 기준도 옛 조문의 '위반행위와 관련한 매출액의 3%'에서 '전체 매출액의 3%(위반과 무관한 매출액은 공제)'로 바뀌었으므로, 두 표현은 같은 뜻이 아닙니다. 옛 조문 번호로 안내하는 자료를 그대로 인용하지 않도록 주의해야 합니다.

GDPR의 2단계 과징금 구조는 어떻게 작동하나

GDPR(Art. 83)은 위반 수준에 따라 두 단계로 상한을 나눕니다. 경미한 위반은 최대 1,000만 유로 또는 전 세계 연간 매출액의 2% 중 더 큰 금액이 상한이고, 핵심 데이터 처리 원칙이나 정보주체 권리를 침해하는 중대한 위반은 최대 2,000만 유로 또는 전 세계 연간 매출액의 4% 중 더 큰 금액이 상한입니다(gdpr-info.eu 등 GDPR 원문 기반 정리 확인). 한국 PIPA와 마찬가지로 매출액 비율 산정 방식을 쓰지만, 한국은 전체 매출액 기준 단일 3%인 반면 GDPR은 위반 등급에 따라 2%/4%로 나뉜다는 점이 구조적 차이입니다.

미국 CCPA는 왜 '매출액 비율'이 아니라 '건당 정액'인가

여기서 주의할 점이 있습니다. 미국 캘리포니아의 CCPA/CPRA는 한국·EU와 달리 매출액 비율 방식을 쓰지 않습니다. 대신 캘리포니아 민법 제1798.155조는 위반 1건·소비자 1인당 정액 과태료를 규정합니다. 법정 기본 금액은 비의도적 위반 2,500달러, 고의적 위반(또는 미성년자 정보 관련 위반) 7,500달러이며, 캘리포니아 개인정보보호청(CPPA)이 홀수 연도 1월마다 물가 조정을 해 2025년 기준 각각 2,663달러·7,988달러로 상향됐습니다(CPPA 공식 발표 확인). 이 방식은 소비자 수가 많을수록 총액이 누적되는 구조라, 대규모 유출 사고에서는 매출액 비율 방식보다 오히려 총액이 커질 수 있습니다.

세 체계를 나란히 놓고 비교하면 무엇이 다른가

정리하면 한국 PIPA와 EU GDPR은 '연매출의 일정 비율'을 상한으로 삼는 방식이 공통점이고, 그 비율이 한국은 전체 매출액 기준 3% 단일, EU는 2%/4% 이원화라는 점이 차이입니다. 반면 미국 CCPA는 매출액과 무관하게 '위반 건수 × 소비자 수'로 누적되는 정액 벌금 구조입니다. 이 세 체계를 "다 매출액의 몇 %"라는 식으로 단순 비교하면 CCPA 구조를 왜곡하게 되므로, 산정 방식 자체가 다르다는 전제를 먼저 이해해야 정확한 리스크 비교가 가능합니다.

상한선 수치를 실무에서 어떻게 오독하지 말아야 하나

세 체계 모두 위에서 정리한 수치는 '상한'이지 '실제 부과액'이 아닙니다. 규제당국은 위반의 고의성, 반복 여부, 피해 규모, 사후 협조 태도 등을 종합해 실제 금액을 정합니다. 또한 한국은 정보통신망법상 광고성 정보 무동의 전송에 대해 별도로 최대 3천만 원 이하 과태료(제70조), 2년 주기 재동의 미이행 시 별도 과태료 같은 체계도 함께 운영하므로, PIPA 과징금과 정보통신망법 과태료를 혼동하지 않아야 합니다. 2026년 이후 세 체계 모두 개정 여지가 있으므로, 실제 컴플라이언스 판단이 필요한 시점에는 개인정보보호위원회·국가법령정보센터(한국), 관할 EU 감독기구, CPPA(미국 캘리포니아) 공식 발표로 최신 수치를 반드시 재확인해야 합니다.