핵심 요약
개인정보보호위원회는 12일 발표한 2026년도 업무계획에서 쿠팡 등 대규모 유출 사고를 계기로 징벌적 과징금 도입과 단체소송 범위에 손해배상을 추가하는 법 개정을 추진한다고 밝혔다. 정부안은 반복적·중대한 위반에 전체 매출의 최대 10%까지 과징금을 부과하도록 하고, 비영리단체가 대표로 손해배상을 청구하면 다수 피해자의 일괄 구제가 가능하도록 설계된다. 다만 새 제도는 소급 적용이 어렵고 단체소송의 구체적 적용 요건은 별도 검토가 필요하다고 개인정보위는 설명했다.
핵심 사실
- 유출 규모: 쿠팡 고객 3,370만명의 이름·주소·전화번호 등 개인 정보가 유출된 사건을 계기로 정책 수정이 추진되었다.
- 과징금 한도 변경안: 반복·중대한 위반에 대해 징벌적 과징금으로 전체 매출액의 최대 10%까지 부과하는 안을 제시했다. 기존 일반 과징금 상한은 전체 매출액의 3%로 유지된다.
- 단체소송 확대: 개인정보보호법상 단체소송의 대상에 손해배상을 추가하는 법 개정을 추진해, 비영리단체 대표 소송으로 피해자 일괄 구제를 가능하게 한다.
- 법적 적용 범위: 개인정보위는 징벌적 과징금은 소급 적용이 어렵고, 단체소송 적용 가능성은 사안별로 검토해야 한다고 밝혔다.
- 인증·심사 강화: ISMS-P 인증에 예비심사와 현장 기술심사를 추가하고, 유출 사고 기업에는 특별점검을 실시해 중대한 결함이 발견되면 인증을 취소한다.
- 인센티브 도입: 개인정보 보호에 상당액을 투자한 기업에 대해서는 향후 사고 시 과징금 감경을 허용하되, 중대한 안전조치 위반은 예외로 한다.
- 책임자·조직 강화: CEO의 최종 책임 의무를 법제화하고, 대규모·민감 정보처리 기관에는 최고개인정보보호책임자(CPO) 신고제도를 도입해 신분 보장과 예산 권한을 부여한다.
- 영향평가 자율화 및 AI 반영: 평가기관 중심의 개인정보 영향평가를 기업 자체 수행으로 허용하고, AI 시스템 학습·개발에 적용되는 영향평가 기준을 추가한다.
사건 배경
올해는 SK텔레콤·KT·롯데카드에 이어 쿠팡까지 대형 개인정보 유출 사고가 연이어 발생하면서 개인정보 관리체계 전반에 대한 국민적 불안이 증폭되었다. 특히 쿠팡 사고는 고객 3,370만명의 기본 식별정보가 외부로 노출됐다는 점에서 피해 규모와 파장이 컸다. 기존 제재 체계는 주로 과징금 상한을 전체 매출의 3%로 규정해왔으나, 대형 플랫폼의 매출 구조와 위반의 반복성·중대성을 막기에는 한계가 있다는 지적이 제기됐다. 이 같은 배경에서 정부와 개인정보위는 예방과 실효성 강화를 위해 과징금 가중과 집단적 구제 수단 보강을 검토하게 됐다.
단체소송 제도는 본래 비영리단체가 다수의 권리 침해 중지를 위해 대표로 소송을 제기하는 절차로 운영돼 왔다. 다만 손해배상 청구권을 포함하지 않아 피해 복구 측면에서는 한계가 있었다. 이번 개정안은 단체소송에 손해배상을 포함시켜 사실상 집단소송 도입과 유사한 효과를 내겠다는 취지다. 그러나 법 개정 후에도 소송 수행능력, 대표성 요건, 피해자 동의 방식 등 실무적 쟁점이 남아 있다.
주요 사건 전개
개인정보위는 12일 대통령 보고를 마친 뒤 언론 브리핑을 통해 2026년도 업무계획을 공개했다. 계획의 핵심은 징벌적 과징금 신설과 단체소송 범위 확대, ISMS-P 인증 실효성 강화 등으로 요약된다. 개인정보위는 반복적·중대한 위반에 대해선 전체 매출의 10%까지 과징금을 부과할 수 있도록 법 개정을 추진할 계획이라고 명시했다.
단체소송의 손해배상 추가는 비영리단체가 대표로 소송을 제기해 다수 피해자의 손해를 한꺼번에 구제할 수 있도록 하는 것이 목표다. 정부는 이를 통해 사실상 집단소송(집단적 민사구제) 제도의 공백을 메우려 한다. 그러나 개인정보위는 해당 규정의 실무적용 가능성과 절차상 요건을 면밀히 검토해야 한다고 밝혔다.
인증·심사 측면에서는 ISMS-P 예비심사 도입, 현장 기술심사 강화, 유출 사고 기업 특별점검과 인증 취소 기준 강화 등이 포함됐다. 또한 개인정보 보호에 선제적으로 투자한 기업에 대해선 과징금 감경 혜택을 주되 중대한 안전조치 위반에는 감경을 제한하는 방식으로 균형을 맞추려 한다.
분석 및 의미
첫째, 징벌적 과징금 도입은 대형 플랫폼의 반복적 위법 행위를 억제할 실효성 있는 수단으로 설계됐다. 전체 매출의 10%라는 수치는 기업에게 실질적 재정적 부담을 주어 예방 투자를 촉진할 가능성이 크다. 다만 중소기업과 신규 사업자의 부담을 고려해 일반 과징금 상한(3%)은 유지함으로써 형평성 문제를 일정 부분 완화하려는 의도도 명확하다.
둘째, 단체소송에 손해배상을 추가하면 피해자들이 개별 민사소송을 제기하지 않아도 비영리단체를 통해 집단적 구제가 가능해진다. 이는 소송비용·절차 부담을 줄여 실질적 구제 접근성을 높일 수 있으나, 대표 소송 권한의 남용 가능성, 손해 산정 방식, 피해자 동의 절차 등 법적 안전장치 마련이 필수적이다.
셋째, 인증·심사체계 보완과 투자 인센티브는 규제와 자율의 결합을 통해 기업의 자발적 책임 강화를 유도하는 전략으로 볼 수 있다. 그러나 인센티브의 실효성과 감경 적용 범위, 심사 인력과 기술 역량 확보 여부가 정책 성과의 관건이다.
마지막으로 AI 시대를 반영해 개인정보 영향평가를 기업 자율로 전환하고 AI 학습·개발 관련 기준을 추가하는 점은 기술 변화에 대응하려는 시도로 평가된다. 다만 자율 평가의 신뢰성 확보를 위한 검증·감독 메커니즘이 병행되지 않으면 제도의 효과가 제한될 우려가 있다.
| 항목 | 종전 | 변경안 |
|---|---|---|
| 징벌적 과징금 상한 | 적용 없음 | 전체 매출의 최대 10%(반복·중대 위반) |
| 일반 과징금 상한 | 전체 매출의 3% | 전체 매출의 3%(유지, 중소기업 부담 고려) |
| 단체소송 범위 | 권리 침해 중지 요구 가능 | 권리 침해 중지 + 손해배상 청구 추가 |
| 피해자 규모(쿠팡) | — | 3,370만명 |
위 표는 주요 변경안의 핵심 차이를 요약한 것이다. 정책 변화는 대형 플랫폼의 책임을 강화하는 방향으로 집중돼 있으며, 향후 법제화 과정에서 적용 대상·절차·감경 규정 등 세부항목이 추가로 규정될 전망이다.
반응 및 인용
“법 개정에 대한 국민적 공감대가 형성돼 신속히 진행될 것으로 본다. 다만 징벌적 과징금은 기존 사건에 소급 적용하기 어렵다.”
송경희 개인정보보호위원장
송 위원장은 법 개정 추진 의지와 함께 소급 적용의 한계를 분명히 했다. 이는 2026년 업무계획의 법적·실무적 한계를 미리 경고하는 발언으로 해석된다.
“단체소송에 손해배상을 포함시키면 피해자 구제의 문턱이 낮아질 수 있다. 그러나 대표성·손해평가 절차 등 추가 보완이 필요하다.”
법학 전문가
법조계 관계자들은 단체소송 확대로 실효적 구제가 기대되지만, 소송실무와 관련한 세부 규정 마련이 관건이라고 지적했다.
“유출 사고 이후 기업의 보안 투자와 감독 체계 강화를 요구하는 목소리가 커졌다. 인센티브와 제재 간 균형이 중요하다.”
소비자권익단체 관계자
불확실한 부분
- 징벌적 과징금 도입 시점 및 법안 통과 일정은 아직 확정되지 않았다.
- 단체소송에 손해배상 추가 시 실제 소송 실무에서 대표성 인정 기준과 피해자 동의 방식이 어떻게 적용될지는 미확정이다.
- 과징금 감경의 구체적 산정 기준과 보호 투자 평가 방법은 향후 지침 마련이 필요하다.
총평
이번 개인정보위의 2026년도 업무계획은 대형 유출 사고에 대한 책임 강화와 피해자 구제 체계를 보완하려는 방향으로 설계됐다. 징벌적 과징금과 단체소송의 손해배상 추가는 기업의 예방 투자를 촉진하고 집단적 구제 접근성을 높일 수 있는 잠재력이 있다.
다만 법 개정과 제도 도입 과정에서 소급 적용 문제, 절차적 안전장치, 감독 역량 확보 등 여러 현실적 쟁점이 남아 있다. 향후 법안의 구체적 조문과 시행령 수준의 규정, 감독·집행 인프라가 정책의 실효성을 결정할 것이다.