GS리테일, 개인정보 유출사고로 과징금 128억원 부과…역대 최대 규모

핵심 요약

- 개인정보보호위원회가 ㈜지에스리테일의 개인정보 유출사고에 대해 과징금 128억 3,600만 원, 과태료 300만 원 부과 결정(2026.08.31) - 대규모 개인정보 유출사고 발생에 따른 안전조치 의무 위반이 주요 제재 사유로 확인 - 유통업계 최대 규모의 과징금으로, 개인정보 보호 강화를 위한 개보위의 강력한 제재 의지 표명

주요 내용

개인정보보호위원회(위원장 고학수, 이하 개보위)는 2026년 8월 31일 ㈜지에스리테일(대표이사 허연수)에 대해 개인정보 유출사고와 관련하여 과징금 128억 3,600만 원 및 과태료 300만 원을 부과하는 처분을 의결했다고 밝혔다.

이번 제재는 GS리테일이 운영하는 GS25, GS더프레시 등의 서비스 과정에서 대규모 개인정보 유출사고가 발생했으며, 이는 개인정보의 안전성 확보에 필요한 기술적·관리적 보호조치 의무를 충실히 이행하지 못한 데 따른 것으로 파악된다. 개보위는 정보주체의 권리 침해 규모, 안전조치 미흡 정도, 사후 대응 수준 등을 종합적으로 고려하여 제재 수준을 결정했다.

128억 원이 넘는 과징금은 유통업계는 물론 개인정보 유출사고 관련 제재 중에서도 최상위 수준에 해당한다. 이는 2020년 개정 개인정보보호법을 통해 과징금 상한이 매출액의 3% 이하로 상향 조정된 이후, 개보위가 대규모 개인정보 처리사업자에 대해 실효성 있는 제재를 가하고 있음을 보여주는 사례다.

개보위는 이번 사건을 계기로 대규모 개인정보 처리사업자, 특히 유통·금융·통신 등 필수 서비스 제공 기업들이 개인정보 보호 관리체계를 전면 재점검하고, ISMS-P 인증 취득 및 유지를 위한 실질적인 노력을 기울여야 한다고 강조했다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 GS리테일 사건은 단순히 기술적 취약점만의 문제가 아니라 개인정보 보호 관리체계 전반의 실효성 부족을 드러낸 사례로 평가된다. 특히 대규모 유통사업자는 수백만 명 이상의 고객 개인정보를 처리하므로, 침해사고 예방을 위한 접근통제, 암호화, 접속기록 관리 등 핵심 통제항목이 형식적 수준을 넘어 실질적으로 작동해야 한다. 128억 원이라는 과징금 규모는 매출 대비 산정 방식을 고려할 때, 유출 규모와 안전조치 미흡 정도가 상당히 심각했음을 시사한다.

기업 입장에서는 이번 사례를 계기로 개인정보 보호를 비용이 아닌 투자 관점으로 재인식해야 한다. 연간 수억 원 규모의 보안 투자가 수백억 원의 과징금과 브랜드 신뢰도 하락을 예방할 수 있다. 특히 ISMS-P 인증 의무대상 기업(전년도 매출 100억 원 이상 정보통신서비스 제공자 또는 전년도 말 기준 3개월간 일평균 100만 명 이상 정보주체의 개인정보 처리)은 인증 취득에 그치지 않고, 사후관리 단계에서 지속적인 개선활동과 경영진의 실질적 관심이 필수적이다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.2 개인정보 암호화 (개인정보보호법 제24조의2, 제29조)
- 고유식별정보(주민등록번호 등), 비밀번호, 바이오정보는 안전한 암호알고리즘으로 암호화 저장 의무
- 정보통신망을 통한 개인정보 송·수신 시 안전한 보안서버 구축 또는 암호화 조치 필수
- 심사 시 암호화 적용 대상 식별, 암호키 관리체계, 암호화 적용 현황 확인이 핵심

2. 인증기준 2.8.6 개인정보 접근통제 (개인정보보호법 제29조)
- 개인정보 처리시스템 및 개인정보취급자 계정에 대한 접근권한 관리 절차 수립·운영
- 개인정보 다운로드, 출력 등 처리내역 로그 기록 및 정기적 검토
- 심사 시 개인정보취급자 지정 현황, 권한 부여·변경·말소 관리, 접속기록 보관 및 점검 실태 확인

3. 인증기준 2.2.2 개인정보 보호조직 (개인정보보호법 제31조)
- 개인정보 보호책임자 지정 및 실질적 역할 수행 여부
- 개인정보 침해사고 대응체계 구축 및 모의훈련 실시 여부
- 심사 시 보호책임자 업무 수행 실적, 경영진 보고체계, 사고 대응 매뉴얼 및 훈련 기록 검토

위반 조항

개인정보보호법 제29조(안전조치의무)
- 개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 내부 관리계획 수립, 접속기록 보관, 개인정보의 암호화, 접근통제 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 해야 함

개인정보보호법 제24조의2(고유식별정보의 안전성 확보 조치)
- 고유식별정보를 처리하는 경우 암호화 등 안전성 확보에 필요한 조치 의무

개인정보보호법 제34조의2(과징금의 부과)
- 안전조치의무 위반 시 매출액의 100분의 3 이하 범위에서 과징금 부과 가능
- 매출액이 없거나 산정하기 어려운 경우 5억 원 이하 과징금 부과

개인정보보호법 제75조(과태료)
- 안전조치의무 위반 시 3천만 원 이하의 과태료 부과

CPPG·ISMS-P 연계 포인트

1. 과징금·과태료 이원 제재체계
개인정보보호법은 동일 위반행위에 대해 과징금(제34조의2)과 과태료(제75조)를 병과할 수 있는 이원적 제재체계를 운영한다. 과징금은 위반행위로 인한 경제적 이익 환수 및 예방 목적의 행정제재이며, 과태료는 의무 불이행에 대한 제재다. CPPG 시험에서는 두 제재 수단의 법적 성격, 부과 요건, 상한액 산정 기준(매출액 3% vs 정액)의 차이를 명확히 구분해야 한다.

2. ISMS-P 인증과 안전조치의무의 관계
정보통신망법 및 개인정보보호법상 ISMS-P 인증 취득은 안전조치의무 이행의 충분조건이 아닌 필요조건이다. 인증을 취득했더라도 사후관리 소홀, 통제 미작동 등으로 실제 침해사고가 발생하면 안전조치의무 위반으로 제재받을 수 있다. 따라서 기업은 인증심사 대응뿐 아니라 일상적 운영 과정에서의 실질적 통제 작동(암호화 적용률, 접근권한 정기 재검토, 보안패치 적시 적용 등)을 지속적으로 관리해야 한다.