[PEDIEN] 신용정보업감독규정 개정으로 신용정보법 위반 과징금의 산정 공식이 바뀌면서, 신용평가사와 마이데이터 사업자, 데이터 사업자가 떠안던 '과징금 폭탄'의 공포와 제재 예측 불가능성이 한꺼번에 재설계됐다.
본지가 금융위원회의 10월 1일 규정변경 예고안과 10월 21일 의결 내용, 최근 2년간 금융권 정보유출 제재 사례를 교차 분석한 결과, 이번 개정의 핵심은 단순한 '과징금 인하'가 아니라 위반의 중대성에 비례해 제재 강도를 재배열하는 구조 전환에 있었다.
경미한 위반은 크게 가벼워지는 대신, 반복 위반과 대규모 유출에는 기본과징금을 최대 100%까지 얹는다.
출발점은 숫자다.
연매출 7조원, 당기순이익 7000억원 규모의 한 금융회사가 경미한 신용정보법 위반을 저질렀다고 가정하면, 종전 규정에서 기본과징금은 1050억원이었다.
개정 규정을 적용하면 같은 사안이 210억원으로 내려간다.
부과기준율이 50%에서 10%로 조정된 결과다.
반대로 중대한 위반은 종전과 사실상 같은 수준을 유지한다.
가볍게 할 곳은 가볍게, 무겁게 할 곳은 더 무겁게.
이 비대칭이 이번 개정을 읽는 열쇠다.
신용정보업감독규정 개정, 과징금 산정기준 무엇이 어떻게 바뀌나
종전 체계에서 과징금 부과기준율은 세 칸짜리 계단이었다.
중대성이 약한 위반은 50%, 중대한 위반은 75%, 매우 중대한 위반은 100%.
위반이 '약하다'고 판정돼도 곧바로 절반의 기준율이 붙었다.
문제는 이 기준이 원래 신용정보 분야만을 겨냥한 것이 아니라 금융업권 전반에 공통 적용되는 '금융기관 검사 및 제재에 관한 규정'에서 끌어온 것이라는 데 있었다.
개인신용정보 침해라는 사안의 고유한 성격이 과징금 수식에 제대로 반영되지 못했다는 지적이 끊이지 않았다.
개정안은 이 근거 규정을 신용정보업감독규정 안으로 옮겨 별도 산정기준을 신설했다.
별표를 새로 두고, 부과기준율을 고정값에서 구간값으로 풀었다.
중대성이 약한 위반은 1% 이상 30% 미만, 중대한 위반은 30% 이상 65% 미만, 매우 중대한 위반은 65% 이상 100% 이하다.
세 칸짜리 계단이 완만한 경사로로 바뀐 셈이다.
같은 '중대한 위반'이라도 사정에 따라 기준율이 30%대에서 멈출 수도, 60%대까지 올라갈 수도 있다.
중대성을 재는 잣대 자체도 다시 짜였다.
종전의 '부당이득 규모'는 '개인신용정보의 유형과 성격'으로, '피해 규모'는 '정보주체 피해규모와 영향'으로 대체됐다.
본지가 확인한 세부 배점은 위반의 동기·방법 20%, 개인신용정보 유형·성격 20%, 피해규모·영향 20%, 시장에 미친 영향 10%, 위반 기간·횟수 10% 등으로 구조화됐다.
눈여겨볼 대목은 금융자산 탈취나 부정결제, 금융사기로 이어질 직접적 피해 가능성까지 평가 대상에 넣었다는 점이다.
실제 피해가 아직 터지지 않았다는 사실만으로 낮은 중대성 판정을 받기는 어려워졌다.
가중과 감경의 문법도 분명해졌다. 3년 안에 같은 위반을 되풀이하거나 1000만명 이상이 피해를 보는 대규모 유출이 발생하면, 법정 상한 범위에서 기본과징금을 최대 100%까지 가중할 수 있다.
반대로 소비자 피해가 생겼을 때 신속하게 보호대책을 마련하고 이행하는 등 사후수습에 적극적으로 나서면 감경에 반영된다.
부과기준율은 10%포인트 범위에서 가중하거나 감경하고, 기본과징금 조정은 50% 가중·75% 감경의 울타리 안에서 움직이도록 상한을 걸었다.
재량을 넓히되 그 재량의 크기를 숫자로 묶어둔 것이다.
신용정보업감독규정 개정 타임라인: 10월 1일에서 23일까지
이번 변화는 하루아침에 등장하지 않았다.
흐름을 시간축에 펼쳐 보면 방향이 또렷해진다. 2020년 이른바 '데이터 3법' 개정으로 신용정보법에 매출액 기반 과징금이 도입되면서, 위반 시 전체 매출액의 일정 비율을 물릴 수 있는 구조가 자리 잡았다.
억 단위가 아니라 수백억, 수천억원대로 제재 규모가 커질 수 있는 길이 열린 것이다.
그러나 산정의 뼈대는 여전히 금융업권 공통 규정에 기대고 있었고, 신용정보 고유의 특성을 담지 못한다는 비판이 쌓였다.
그 사이 실제 제재는 계속됐다.
본지가 금융위 의결 공시와 공개 보도를 종합하면, 가맹점 대표자 개인정보 7만5000여 건을 동의 없이 유출한 우리카드에는 지난해 134억원대 과징금이 부과됐고, 한 간편결제 사업자에는 정보 관련 위반으로 59억원대 과징금이 매겨졌다.
해킹으로 약 297만명의 고객정보가 빠져나간 롯데카드는 과징금 50억원과 함께 1.5개월의 업무 일부정지 처분을 받았다.
제재가 거듭될수록 '같은 사안인데 왜 금액이 이렇게 다른가'라는 예측가능성 논란도 커졌다.
전환점은 올해 가을에 집중됐다.
금융위는 10월 1일 신용정보업감독규정 일부개정고시안을 규정변경 예고로 공고했고, 20일 안팎의 의견수렴을 거쳐 10월 21일 개정안을 의결했다.
그리고 10월 23일부터 새 산정기준이 적용되기 시작했다.
다만 소급 문제는 조심스럽게 설계됐다.
시행 이전에 벌어진 위반행위에는 원칙적으로 종전 규정을 적용하되, 개정 기준이 위반자에게 더 유리할 경우에는 새 규정을 적용할 수 있도록 길을 터놨다.
과징금 법리에서 익숙한 '유리한 규정 우선' 원칙을 명문으로 받아들인 셈이다.
과징금 1050억이 210억으로? 부과기준율 세분화의 실제 효과
세분화의 효과는 방향에 따라 극명하게 갈린다.
앞서 든 매출 7조원 회사의 경미한 위반 사례에서, 부과기준율이 50%에서 10%로 내려가면 기본과징금은 1050억원에서 210억원으로 줄어든다. 5분의 1 수준이다.
반면 같은 회사가 중대한 위반을 저질렀다면 기준율 75%가 적용돼 기본과징금은 1575억원, 여기에 25%를 가중하면 조정과징금은 2100억원에 이른다.
종전 체계로 계산한 값과 사실상 동일하다.
요컨대 중대 위반의 상한은 그대로 두되, 경미 위반의 바닥을 크게 낮춘 비대칭 설계다.
본지 분석에 따르면, 이 비대칭은 세 가지 의도된 효과를 노린다.
첫째, 과도한 제재가 사업 자체를 흔드는 '과징금 폭탄'의 공포를 줄여 데이터 활용 산업의 위축을 막는다.
둘째, 그 대신 반복·대규모 유출에는 제재를 더 무겁게 걸어 억지력을 유지한다.
셋째, 기준율을 구간으로 풀고 가중·감경 상한을 수치로 못 박아 '왜 이 금액인가'를 설명 가능한 제재로 바꾼다.
세 가지가 맞물려야 비로소 '예측가능성 제고'라는 금융당국의 명분이 성립한다.
물론 반론도 있다.
구간이 넓어진 만큼 당국의 재��� 폭도 함께 커졌다는 점이다. 1%에서 30%까지, 혹은 65%에서 100%까지 어디에 점을 찍느냐에 따라 과징금은 수백억원씩 출렁인다.
기준율 ±10%포인트, 조정 50%·75%라는 상한이 있지만, 그 안에서 중대성 5개 항목을 어떻게 채점하느냐는 결국 판단의 영역이다.
예측가능성이 '구조적으로는' 높아졌어도, 개별 사안에서 체감하는 불확실성은 당국의 운용 일관성에 달렸다는 뜻이다.
GDPR·영국·미국과 비교하면 한국 신용정보 과징금은
국제적으로 보면 한국의 이번 개정은 '매출 연동·중대성 비례'라는 세계적 흐름에 한 걸음 더 다가선 것으로 읽힌다.
유럽연합의 일반개인정보보호규정(GDPR)은 위반 유형에 따라 전 세계 연매출의 최대 4% 또는 2000만유로 중 큰 금액을, 그보다 가벼운 유형은 매출의 2% 또는 1000만유로를 상한으로 둔다.
매출 연동이라는 큰 틀은 한국과 닮았지만, GDPR은 위반행위의 성격·중대성·지속기간·고의성 등을 종합 고려하도록 열거해 두고 그 안에서 폭넓게 재량을 행사한다.
한국의 개정안이 중대성 배점과 가중·감경 상한을 수치로 명시한 것과는 결이 다르다.
영국은 브렉시트 이후 자체 데이터보호법 체계에서 정보위원회(ICO)가 GDPR과 유사한 2단계 상한을 운용하되, 실제 제재에서는 피해 규모와 기업의 사후 대응을 비중 있게 반영해 왔다.
반복 위반이나 취약계층 피해에는 무겁게, 신속한 신고와 피해구제에는 감경을 적용하는 방식이다.
미국은 연방 차원의 단일 개인정보보호법 대신 연방거래위원회(FTC)의 불공정·기만행위 규제와 주별 법률이 얽혀 있어, 과징금이라기보다 합의금·시정명령 형태의 제재가 중심이다.
세 나라를 나란히 놓고 보면, 한국의 개정은 'EU식 매출 연동'에 '사후수습 감경'이라는 영국식 운용 철학을 접목하면서, 재량의 범위를 숫자로 규율하려는 독자적 시도에 가깝다.
다만 단순 비교에는 함정이 있다.
GDPR의 4%는 '전 세계 매출' 기준이라 글로벌 기업에는 천문학적 액수가 될 수 있는 반면, 한국의 상한은 국내 매출을 기준으로 삼는다는 점에서 체감 강도가 다르다.
상한의 숫자만 떼어 '누가 더 세다'고 단정하기 어려운 이유다.
마이데이터·신용평가사 컴플라이언스 비용은 어떻게 달라지나
이번 개정이 실무에 던지는 메시지는 분명하다.
제재의 무게추가 '사후 금액'에서 '사전 관리'로 옮겨 갔다는 점이다.
중대성 평가에 예방적 내부통제와 피해회복 노력이 들어가고, 신속한 사후수습이 감경 사유로 명문화된 이상, 신용평가사·마이데이터 사업자·데이터 전문기관은 내부통제 규정과 자체감사 결과, 정보보호 점검 자료를 평소에 조직적으로 축적해 둘 실익이 커졌다.
유출이 터진 뒤 변명하는 비용보다, 터지기 전 입증 가능한 관리체계를 갖추는 비용이 훨씬 싸졌다는 계산이 선다.
본지의 결론은 이렇게 정리된다.
첫째, 경미 위반의 부담이 눈에 띄게 줄면서 신생·중소 데이터 사업자의 진입 문턱과 과징금 리스크가 완화됐다.
둘째, 반복 위반과 1000만명 규모 유출에 대한 최대 100% 가중은 대형 금융·플랫폼 사업자에게 '규모가 곧 책임'이라는 신호를 또렷이 보낸다.
셋째, 중대성 5개 항목 채점표가 공개된 만큼, 컴플라이언스의 핵심은 이제 '위반을 안 했다'는 주장이 아니라 '관리했음을 증거로 보인다'는 입증으로 이동한다.
넷째, 예측가능성은 제도 설계상 분명히 개선됐으나, 그 약속이 지켜질지는 당국이 첫 몇 건의 실제 부과에서 얼마나 일관된 채점을 보여주느냐에 달렸다.
권고는 두 갈래다.
사업자에게는 내부통제·침해대응·피해구제의 세 가지 기록을 '제재 방어용 증거'로 상시 정리하고, 중대성 항목별로 자사 리스크를 자가 점검하는 체계를 당장 세울 것을 권한다.
당국에는 개정 취지가 '봐주기'로 오독되지 않도록, 초기 부과 사례의 채점 근거를 가능한 범위에서 공개해 예측가능성이라는 명분을 실제 신뢰로 전환할 것을 주문한다.
숫자로 재량을 묶은 제도는, 그 숫자가 투명하게 설명될 때에만 신뢰를 얻는다.
검증 노트
본 기사는 2026년 10월 27일 기준으로 작성됐다.
금융위원회의 10월 1일 신용정보업감독규정 일부개정고시안 규정변경 예고, 10월 21일 개정안 의결·보도자료, 10월 23일 시행 사실과 부과기준율 구간(1~30%·30~65%·65~100%), 중대성 5개 항목 배점, 최대 100% 가중·사후수습 감경, 매출 7조원 회사 기준 1050억원→210억원 예시를 금융위 발표와 복수 경제지 보도, 법무법인 분석 자료로 교차 확인했다.
최근 제재 사례(우리카드 134억원대, 간편결제 사업자 59억원대, 롯데카드 50억원·업무정지 1.5개월)는 공개 보도와 금융위 공시를 기준으로 했다.
GDPR·영국 ICO·미국 FTC 관련 수치는 널리 알려진 공개 제도 기준이며, 상한의 모수(전 세계 매출 대 국내 매출)가 달라 단순 비교에는 한계가 있음을 명시한다.
일부 조문 번호는 자료 간 표기 차이가 있어 '별표 신설'이라는 사실 중심으로 서술했다.
기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국
원본 데이터
본 기사 수치의 근거 데이터입니다. 출처를 표기하면 인용·재사용할 수 있습니다.
| 항목 | 수치 | 비고 |
|---|---|---|
| 가정 사례 금융회사 연매출 | 7조원 | 경미 위반 가정 사례 |
| 가정 사례 당기순이익 | 7000억원 | 경미 위반 가정 사례 |
| 경미 위반 기본과징금(종전) | 1050억원 | 부과기준율 50% 적용 |
| 경미 위반 기본과징금(개정) | 210억원 | 부과기준율 10% 적용, 5분의 1 수준 |
| 중대 위반 기본과징금 | 1575억원 | 기준율 75% 적용 |
| 중대 위반 조정과징금 | 2100억원 | 25% 가중 적용, 종전 체계와 동일 |
| 종전 부과기준율 - 약한 위반 | 50% | 고정값 |
| 종전 부과기준율 - 중대한 위반 | 75% | 고정값 |
| 종전 부과기준율 - 매우 중대한 위반 | 100% | 고정값 |
| 개정 부과기준율 - 약한 위반 | 1% 이상 30% 미만 | 구간값 |
| 개정 부과기준율 - 중대한 위반 | 30% 이상 65% 미만 | 구간값 |
| 개정 부과기준율 - 매우 중대한 위반 | 65% 이상 100% 이하 | 구간값 |
| 중대성 배점 - 위반 동기·방법 | 20% | 세부 배점 |
| 중대성 배점 - 개인신용정보 유형·성격 | 20% | 세부 배점 |
| 중대성 배점 - 피해규모·영향 | 20% | 세부 배점 |
| 중대성 배점 - 시장에 미친 영향 | 10% | 세부 배점 |
| 중대성 배점 - 위반 기간·횟수 | 10% | 세부 배점 |
| 반복 위반 판정 기간 | 3년 | 같은 위반 되풀이 시 가중 |
| 대규모 유출 가중 기준 피해자 수 | 1000만명 이상 | 기본과징금 최대 100% 가중 |
| 기본과징금 최대 가중률 | 최대 100% | 반복·대규모 유출 시 |
| 부과기준율 가중·감경 범위 | 10%포인트 | |
| 기본과징금 조정 가중 상한 | 50% | |
| 기본과징금 조정 감경 상한 | 75% | |
| 우리카드 유출 개인정보 건수 | 7만5000여 건 | 가맹점 대표자 개인정보, 동의 없이 유출 |
| 우리카드 과징금 | 134억원대 | 지난해 부과 |
| 간편결제 사업자 과징금 | 59억원대 | 정보 관련 위반 |
| 롯데카드 유출 고객정보 규모 | 약 297만명 | 해킹 유출 |
| 롯데카드 과징금 | 50억원 | 업무 일부정지 병과 |
| 롯데카드 업무 일부정지 기간 | 1.5개월 | |
| 데이터 3법 개정 시점 | 2020년 | 매출액 기반 과징금 도입 |
| 규정변경 예고 공고일 | 10월 1일 | 일부개정고시안 |
| 의견수렴 기간 | 20일 안팎 | |
| 개정안 의결일 | 10월 21일 | |
| 새 산정기준 시행일 | 10월 23일 |
출처: 금융위원회