개인정보·처리방침
개인정보 보호법을 어기면 얼마인가 — 과태료·과징금·벌칙 위반 항목별 금액표(2026. 9. 11. 시행 기준)
개인정보 보호법 제75조 과태료를 금액대별로, 제64조의2 과징금과 제70조~제73조 벌칙을 한 표에 정리하고, 1회·2회·3회 부과기준과 감경 사유, 이의제기 기한을 설명합니다.
핵심 답변
결론. 개인정보 보호법의 제재는 과태료, 과징금, 형사처벌 세 갈래입니다. 과태료는 위반 유형에 따라 5천만원·3천만원·2천만원·1천만원 이하의 네 단계이고, 과징금은 전체 매출액의 3% 이하(고의·중과실 재위반 등은 10% 이하), 형사처벌은 최대 10년 이하 징역 또는 1억원 이하 벌금입니다. 처리방침을 공개하지 않으면 1천만원 이하, 보호책임자를 지정하지 않으면 3천만원 이하 과태료 대상입니다.
근거. 과태료는 법 제75조와 시행령 별표 2의 부과기준, 과징금은 법 제64조의2, 벌칙은 제70조부터 제74조까지가 정합니다(2026. 3. 10. 개정, 2026. 9. 11. 시행).
예외. 표의 금액은 법정 상한이고 실제 부과는 별표 2의 1회·2회·3회 기준에서 시작해 중소기업·자진신고·시정 노력 등으로 감경될 수 있습니다. 과징금은 매출액과 연동되어 소규모 사업자에게는 상한보다 산정 방식이 중요하며, 형사처벌은 고의 범죄에 적용됩니다.
처리방침·공개·지정 의무를 어기면 얼마인가요?(소규모 사업자에게 흔한 결함)
| 위반 | 의무 조문 | 과태료 조문 | 상한 | 1회·2회·3회 이상 |
|---|---|---|---|---|
| 처리방침을 정하지 않거나 공개하지 않음 | 제30조 제1항·제2항 | 제75조 제4항 제8호 | 1천만원 | 300·600·1,000만원 |
| 위탁 업무 내용과 수탁자를 공개하지 않음 | 제26조 제2항 | 제75조 제4항 제5호 | 1천만원 | 300·600·1,000만원 |
| 법정 내용이 담긴 문서 없이 위탁 | 제26조 제1항 | 제75조 제4항 제4호 | 1천만원 | 300·600·1,000만원 |
| 홍보·판매 권유 위탁을 정보주체에게 알리지 않음 | 제26조 제3항 | 제75조 제2항 제12호 | 3천만원 | 900·1,800·3,000만원 |
| 위탁자 동의 없이 재위탁(수탁자) | 제26조 제6항 | 제75조 제3항 제1호 | 2천만원 | 600·1,200·2,000만원 |
| 보호책임자 미지정 또는 자격 미달자 지정 | 제31조 제1항·제10항 | 제75조 제2항 제14호의2 | 3천만원 | 900·1,800·3,000만원 |
| 보호책임자 지정 시 이사회 의결 누락·보호위원회 신고 누락(대규모 처리자) | 제31조 제3항 | 제75조 제2항 제14호의3·제14호의4 | 3천만원 | 900·1,800·3,000만원 |
| 국내대리인 미지정(해당 해외 사업자) | 제31조의2 제1항 | 제75조 제3항 제2호 | 2천만원 | 2,000만원(횟수 구분 없음) |
| 국내대리인 정보를 처리방침에 넣지 않음 | 제31조의2 제4항 | 제75조 제4항 제9호의2 | 1천만원 | 300·600·1,000만원 |
| 국외 이전 시 보호조치를 하지 않음 | 제28조의8 제4항 | 제75조 제2항 제14호 | 3천만원 | 900·1,800·3,000만원 |
| 민감정보 공개 가능성·비공개 선택 방법을 알리지 않음 | 제23조 제3항 | 제75조 제2항 제6호 | 3천만원 | 900·1,800·3,000만원 |
| 자동화된 결정에 대한 거부·설명 요구에 정당한 사유 없이 따르지 않음 | 제37조의2 제3항 | 제75조 제2항 제24호 | 3천만원 | 900·1,800·3,000만원 |
| 동의 방법(필수·선택 구분 등) 위반 | 제22조 제1항~제3항 | 제75조 제4항 제3호 | 1천만원 | 300·600·1,000만원 |
| 동의하지 않았다는 이유로 재화·서비스 제공 거부 | 제16조 제3항·제22조 제5항 | 제75조 제2항 제1호 | 3천만원 | 900·1,800·3,000만원 |
안전조치·파기·유출·CCTV·조사 위반은 얼마인가요?
| 위반 | 의무 조문 | 과태료 조문 | 상한 | 1회·2회·3회 이상 |
|---|---|---|---|---|
| 안전성 확보 조치 미이행 | 제29조 등 | 제75조 제2항 제5호 | 3천만원 | 900·1,800·3,000만원 |
| 보유 기간 경과·목적 달성 후 파기하지 않음 | 제21조 제1항 | 제75조 제2항 제4호 | 3천만원 | 900·1,800·3,000만원 |
| 법령상 보존 정보를 분리 저장·관리하지 않음 | 제21조 제3항 | 제75조 제4항 제2호 | 1천만원 | 300·600·1,000만원 |
| 주민등록번호 처리 제한 위반·암호화 미이행·대체 수단 미제공 | 제24조의2 | 제75조 제2항 제7호~제9호 | 3천만원 | 900·1,800·3,000만원 |
| 유출등을 알게 된 뒤 정보주체에게 통지하지 않음(원칙 72시간 이내) | 제34조 제1항, 시행령 제39조 | 제75조 제2항 제17호 | 3천만원 | 900·1,800·3,000만원 |
| 해킹 등 불법 접근으로 유출이 의심되나 대상자를 특정하기 어려운 경우 등 법정 유출 가능성을 알게 된 뒤 지체 없이 통지하지 않음 | 제34조 제2항, 시행령 제39조의2 | 제75조 제2항 제17호 | 3천만원 | 900·1,800·3,000만원 |
| 신고 대상 유출등(1천명 이상, 민감정보·고유식별정보, 외부 불법 접근)을 보호위원회·한국인터넷진흥원에 신고하지 않음(원칙 72시간 이내) | 제34조 제4항, 시행령 제40조 | 제75조 제2항 제18호 | 3천만원 | 900·1,800·3,000만원 |
| 목욕실·화장실·탈의실 등 금지 장소에 CCTV 설치·운영 | 제25조 제2항 | 제75조 제1항 제1호 | 5천만원 | 1,500·3,000·5,000만원 |
| 허용 사유 없이 공개 장소에 CCTV 설치·운영 | 제25조 제1항 | 제75조 제2항 제10호 | 3천만원 | 900·1,800·3,000만원 |
| 열람 요구를 부당하게 제한·거절, 정정·삭제 요구 미조치 | 제35조 제3항·제36조 제2항 | 제75조 제2항 제19호·제22호 | 3천만원 | 900·1,800·3,000만원 |
| 자료 미제출·거짓 제출, 출입·검사 거부, 시정조치 명령 불이행 | 제63조 제1항·제2항·제64조 제1항 | 제75조 제2항 제25호~제27호 | 3천만원 | 900·1,800·3,000만원 |
과징금은 어떻게 정해지나요?(제64조의2)
| 구분 | 상한 | 대상 위반 |
|---|---|---|
| 기본(제1항) | 전체 매출액의 3% 이하. 매출액이 없거나 산정이 곤란하면 20억원 이하 | 근거 없는 수집·이용·제공(제15조·제17조·제18조·제19조), 14세 미만 아동의 법정대리인 동의 누락, 민감정보·고유식별정보·주민등록번호 처리 위반, 수탁자 관리·감독·교육 소홀로 수탁자가 위반, 가명정보 재식별, 국외 이전 위반, 국외 이전 중지 명령 불이행, 개인정보 유출등(안전조치를 다한 경우 제외) |
| 가중(제2항, 2026. 9. 11. 시행) | 전체 매출액의 10% 이하. 산정이 곤란하면 50억원 이하 | 과징금 처분 후 3년 안에 같은 호의 위반을 고의·중과실로 반복, 고의·중과실 위반으로 피해 정보주체 1천만명 이상, 시정조치 명령에 따르지 않아 유출 |
| 산정 원칙 | 위반행위와 관련 없는 매출액은 제외(제3항) | 위반의 내용·정도·기간·횟수, 취득 이익, 암호화 등 안전조치 노력, 유출 규모, 피해 회복 조치, 사업자의 형태·규모, 보호 인증·자율 활동, 보호위원회 협조 등 11가지 고려(제5항) |
| 감경·미부과 | 예산·인력·설비 투자 등 대통령령 사유가 있으면 감경(제6항, 고의·중과실 제외) | 지급불능·자본잠식, 위법하지 않다고 오인할 정당한 사유, 경미·소액, 정보주체 피해 없음 등은 부과하지 않을 수 있음(제7항) |
형사처벌은 어떤 경우에 있나요?(제70조~제73조, 양벌규정 제74조)
| 법정형 | 조문 | 대표 유형 |
|---|---|---|
| 10년 이하 징역 또는 1억원 이하 벌금 | 제70조 | 공공기관 개인정보 변경·말소로 업무 마비, 부정한 수단으로 취득한 개인정보를 영리·부정 목적으로 제3자 제공(교사·알선 포함) |
| 5년 이하 징역 또는 5천만원 이하 벌금 | 제71조 | 동의 없는 제3자 제공과 그 사정을 알고 받은 자, 목적 외 이용·제공, 수탁자의 범위 초과 이용·제공, 14세 미만 아동 정보를 법정대리인 동의 없이 처리, 민감정보·고유식별정보 위반 처리, 업무상 알게 된 개인정보 누설, 개인정보 훼손·유출 |
| 3년 이하 징역 또는 3천만원 이하 벌금 | 제72조 | CCTV 임의 조작·다른 곳 촬영·녹음 기능 사용, 거짓이나 부정한 수단으로 개인정보 취득·동의 획득, 직무상 비밀 누설 |
| 2년 이하 징역 또는 2천만원 이하 벌금 | 제73조 | 정정·삭제·처리정지 요구를 따르지 않고 계속 이용·제공, 은폐·축소 목적의 자료 제출 거부·거짓 제출, 자료 은닉·폐기 등으로 조사 방해 |
| 양벌규정 | 제74조 | 대표자·대리인·사용인·종업원이 업무에 관해 위반하면 행위자 외에 법인·개인에게도 벌금(제70조 위반은 7천만원 이하, 제71조~제73조 위반은 해당 조문의 벌금형). 위반 방지를 위해 상당한 주의와 감독을 게을리하지 않았으면 면책 |
과태료·과징금·형사처벌은 어떻게 다른가요?
과태료는 보호위원회가 부과·징수하는 행정질서벌로, 처리방침 미공개나 보호책임자 미지정처럼 절차·관리 의무 위반에 붙습니다(제75조 제5항). 과징금은 역시 보호위원회가 부과하지만 매출액에 연동되는 금전 제재로, 근거 없는 수집·제공, 국외 이전 위반, 유출처럼 정보주체의 권리를 직접 침해하는 위반에 붙습니다(제64조의2). 형사처벌은 수사기관과 법원이 담당하며 동의 없는 제3자 제공, 부정한 수단의 취득, 누설처럼 고의 범죄에 적용됩니다(제70조~제73조).
세 가지는 서로 배제하지 않습니다. 동의 없이 제3자에게 제공하면 제71조 제1호의 형사처벌과 제64조의2 제1항 제1호의 과징금이 함께 문제 될 수 있고, 유출 사고에서는 안전조치 미이행 과태료(제75조 제2항 제5호), 통지·신고 누락 과태료(제17호·제18호), 유출 과징금(제64조의2 제1항 제9호)이 각각 따로 검토됩니다. 여기에 정보주체는 제39조의 손해배상이나 제39조의2의 법정손해배상(300만원 이하, 처리자가 고의·과실 없음을 입증해야 면책)을 별도로 청구할 수 있습니다.
자료 제출 요구나 사전 통지를 받았다면
통지서에 적힌 근거 조문과 사실관계를 대조해 어느 제재 유형인지, 감경 사유로 무엇을 제출할 수 있는지, 이의제기 기한이 언제인지 정리해 드립니다.
1회 위반 금액과 감경·가중 기준은 어떻게 되나요?
시행령 별표 2는 위반행위별로 1회·2회·3회 이상 금액을 정하고, 횟수는 최근 3년간 같은 위반으로 과태료 처분을 받은 경우를 기준으로 셉니다. 1천만원 이하 유형은 300만원, 3천만원 이하 유형은 900만원, 5천만원 이하 유형은 1,500만원에서 시작합니다. 국내대리인 미지정은 횟수 구분 없이 2,000만원입니다.
부과권자는 위반이 사소한 부주의나 오류로 인정되는 경우, 내용·정도가 경미한 경우, 위반자가 「중소기업기본법」상 중소기업자인 경우 등 업무 형태·규모에 비해 과중한 경우, 위반 상태를 시정·해소하려고 노력한 경우, 피해 회복과 확산 방지 조치를 한 경우, 개인정보 보호 인증을 받거나 자율적 보호 활동을 한 경우, 위반 사실을 자진신고한 경우에 개별기준 금액을 줄이거나 면제할 수 있습니다(과태료 체납자는 제외). 반대로 피해가 크거나 위반 기간·동기가 무거우면 개별기준의 2분의 1 범위에서 늘릴 수 있되 법정 상한은 넘지 못합니다. 법 제75조 제5항도 보호위원회가 위반의 정도·동기·결과와 처리자의 규모를 고려해 감경·면제할 수 있다고 정합니다.
과태료 부과 통지에 불복하면 통지를 받은 날부터 60일 이내에 보호위원회에 서면으로 이의제기를 할 수 있고, 이의제기가 있으면 부과처분은 효력을 잃고 법원의 과태료 재판 절차로 넘어갑니다(질서위반행위규제법 제20조). 과징금은 행정처분이므로 행정심판·행정소송으로 다툽니다.
대표자 개인도 처벌되나요?
과태료와 과징금은 개인정보처리자, 즉 회사(개인사업자는 사업주)에게 부과됩니다. 형사처벌은 행위자에게 적용되므로 대표자가 직접 위반행위를 했다면 행위자로서 처벌될 수 있고, 직원이 업무에 관해 위반하면 양벌규정(제74조)에 따라 행위자인 직원 외에 법인 또는 개인사업주에게도 벌금이 부과됩니다. 다만 법인이 위반을 막기 위해 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 않았으면 면책됩니다.
이 면책 요건 때문에 내부 관리계획, 취급자 교육 기록, 접근 권한 관리 기록 같은 평소의 문서가 사고 뒤에 의미를 갖습니다. 같은 기록은 과징금 산정의 고려 사항(제64조의2 제5항)과 과태료 감경 사유(별표 2)에서도 쓰입니다.
표의 어느 행이 우리 회사 문제인지 알려면
표 1의 처리방침·수탁자·국외 이전·보호책임자 행은 문서만 봐도 확인할 수 있는 결함입니다. 개인정보 처리방침 점검기에 처리방침 본문이나 사이트 주소를 넣으면 법정 항목의 누락 여부를 조문 기준으로 대조하고, 항목마다 이 표의 과태료 조문을 함께 표시합니다. 자동 점검은 법률 의견이 아니므로, 문서에서 확인되지 않은 항목은 '해당 시 기재 필요'로 표시됩니다.
각 행의 배경은 다른 글에서 다룹니다. 처리방침 법정 항목 전체는 처리방침 필수 항목 점검표, 보호책임자 미지정 행은 보호책임자 지정 의무, 수탁자 공개·마케팅 위탁 행은 위탁과 제3자 제공의 차이, 국외 이전 과징금 행은 해외 도구와 국외 이전을 보면 됩니다.
자주 묻는 질문
과태료를 받으면 과징금도 같이 나오나요?
위반 유형이 다르면 함께 부과될 수 있습니다. 과태료는 제75조의 절차·관리 의무 위반에, 과징금은 제64조의2의 권리 침해형 위반에 각각 붙기 때문입니다. 예를 들어 유출 사고에서는 안전조치 미이행 과태료와 유출 과징금이 따로 검토됩니다. 유출등을 이유로 하는 과징금은 제29조의 안전조치를 다한 경우에는 부과되지 않지만(제64조의2 제1항 제9호 단서), 이 예외는 위법한 제공이나 국외 이전 같은 다른 과징금에는 적용되지 않습니다.
과태료 통지를 받았는데 금액이 과하다고 생각되면 어떻게 하나요?
통지를 받은 날부터 60일 이내에 보호위원회에 서면으로 이의제기를 하면 부과처분은 효력을 잃고 법원의 과태료 재판으로 넘어갑니다(질서위반행위규제법 제20조). 이의제기 전에 별표 2의 감경 사유(중소기업자, 시정 노력, 자진신고 등)에 해당하는 자료를 의견 제출 단계에서 내는 것이 먼저입니다. 처분 전 사전 통지 단계에서 의견을 내면 금액이 조정되는 경우가 있으므로 통지서의 기한을 확인해야 합니다.
정보주체가 따로 손해배상을 청구할 수도 있나요?
예. 과태료·과징금과 별개로 정보주체는 제39조에 따라 손해배상을 청구할 수 있고, 유출등의 경우에는 제39조의2에 따라 손해액 입증 없이 300만원 이하의 법정손해배상을 청구할 수 있습니다. 이때 처리자는 고의·과실이 없음을 스스로 입증해야 책임을 면합니다.