해킹 당한 기관에 과징금 부과, 2026년 10월 시행된 새 제도의 명분은? - ISMS-P 심사원 분석

핵심 요약

- 2026년 10월 1일부터 개인정보 유출 해킹 사고에 대한 과징금 부과 제도가 새롭게 시행됨 - 과거 2008년 옥션 1,800만 건 회원정보 유출 사례와 현재 법적 책임 체계의 명분이 근본적으로 달라짐 - 해킹 피해 기관에 과징금을 부과하는 법적 근거와 안전조치 의무 미이행의 인과관계가 핵심 쟁점

주요 내용

2026년 10월 1일, 개인정보 유출 해킹 사고에 대한 과징금 부과 제도가 본격 시행되었다. 이는 단순히 제재 수단이 추가된 것을 넘어, 개인정보보호 책임 체계의 패러다임 전환을 의미한다. ISMS-P 선임심사원 백남정 박사는 해킹 피해를 당한 기관에 과징금을 부과하는 명분에 대한 심층 분석을 제시했다.

과징금 제도 도입 이전, 2008년 1월 옥션에서 발생한 1,800만 건의 회원정보 유출 사고는 한국 개인정보보호 역사의 분수령이 된 사건이었다. 당시 피해자들은 민사소송을 통해 손해배상을 청구했으나, 기업의 법적 책임은 주로 민사상 손해배상과 형사처벌에 국한되었다. 행정제재로서의 과징금 제도는 존재하지 않았던 것이다.

새롭게 시행된 과징금 제도의 핵심 명분은 '안전조치 의무 미이행'에 있다. 단순히 해킹을 당했다는 사실 자체가 아니라, 개인정보보호법상 요구되는 기술적·관리적·물리적 안전조치를 적절히 이행하지 않아 유출 사고가 발생했거나 피해가 확대된 경우 과징금 부과 대상이 된다. 이는 개인정보처리자에게 사전 예방적 보호조치에 대한 강력한 동기를 부여하는 제도적 장치다.

특히 주목할 점은 과징금 부과 시 '매출액 대비 일정 비율' 또는 '위반행위로 인한 경제적 이득' 등을 고려한다는 점이다. 이는 EU GDPR의 과징금 체계와 유사한 접근방식으로, 기업 규모에 상관없이 실효성 있는 제재가 가능하도록 설계되었다. 2008년 옥션 사례가 주로 민사적 손해배상으로 귀결되었던 것과 대비되는 지점이다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 발견되는 문제는 '형식적 안전조치'다. 많은 기업이 관련 정책과 절차를 문서화해두지만, 실제 이행 여부를 지속적으로 점검하고 개선하는 체계는 미흡한 경우가 많다. 새로운 과징금 제도는 바로 이러한 형식과 실질의 괴리를 겨냥한다. 사고 발생 시 개인정보보호위원회는 사전에 어떤 안전조치가 요구되었는지, 실제로 이행되었는지, 사고와의 인과관계는 무엇인지를 면밀히 조사할 것이다.

기업 입장에서는 ISMS-P 인증 취득 여부가 과징금 산정 시 중요한 참작사유가 될 수 있다는 점을 주목해야 한다. 인증을 통해 지속적인 안전조치 이행을 입증할 수 있다면, 불가항력적 해킹 공격에 대한 방어 논리를 구축하는 데 유리하다. 다만 인증을 받았더라도 실질적 이행이 없었다면 오히려 더 무거운 책임을 질 수 있으므로, '실행하는 보안'에 집중해야 한다.

ISMS-P 심사원 체크포인트

1. 개인정보보호법 제29조(안전조치의무) 및 시행령 제30조 위반 여부
- 암호화, 접근통제, 접속기록 보관 등 법정 안전조치 11개 항목의 실질적 이행 상태를 점검
- 특히 개인정보 암호화(전송·저장 시), 접근권한 관리, 보안프로그램 설치·운영 여부가 과징금 부과의 직접적 근거가 됨
- 심사 시 단순 정책 존재가 아닌 실제 적용 증적(로그, 점검기록, 교육이수 증명)을 중점 확인

2. ISMS-P 인증기준 2.8(개인정보 암호화) 및 2.10(접근통제) 항목
- 주민등록번호, 바이오정보 등 고유식별정보 및 민감정보의 암호화 적용 범위와 강도
- 개인정보 시스템 접근권한 부여·변경·말소 절차의 문서화 및 이행 여부
- 이 두 항목은 과징금 부과 시 가장 먼저 검토되는 안전조치로, 미이행 시 '중대한 과실'로 인정될 가능성이 높음

3. 사고 대응 및 사후조치 체계(ISMS-P 인증기준 2.13)
- 개인정보 유출 사고 발생 시 통지·신고 의무(개인정보보호법 제34조) 이행 여부
- 사고 발생 후 72시간 이내 개인정보보호위원회 및 한국인터넷진흥원 신고 여부
- 피해 최소화 조치 및 재발방지 대책 수립·이행이 미흡할 경우 과징금 가중 사유가 될 수 있음

CPPG·ISMS-P 연계 포인트

과징금 vs 손해배상 vs 과태료의 법적 성격 구분
과징금은 행정법상 제재로서 위반행위로 인한 경제적 이득 환수 및 예방 목적을 가지며, 민사상 손해배상(피해 보전)이나 행정질서벌인 과태료(의무위반 제재)와 법적 성격이 다르다. 동일 사안에 대해 과징금·과태료·손해배상이 중첩 부과될 수 있으므로, CPPG 시험에서는 각 제재수단의 법적 근거와 부과요건을 정확히 구분할 수 있어야 한다.

안전조치 의무의 범위와 상당성(Due Care) 원칙
개인정보보호법상 안전조치는 개인정보의 종류·규모, 기술 발전 수준, 경제적 비용 등을 고려한 '합리적 수준'을 요구한다. 과징금 부과 시에는 해당 기업이 처한 상황에서 통상적으로 기대되는 안전조치를 이행했는지가 핵심 판단기준이 된다. ISMS-P 심사에서도 획일적 기준이 아닌 조직 특성에 맞는 위험 기반 접근법(Risk-based Approach)을 적용하므로, 이 개념의 이해가 필수적이다.