PIPA 위반 과태료, 어떻게 계산될까?
개인정보보호법(PIPA) 위반이 발각되면 과태료가 부과됩니다. 그런데 실제로 과태료 금액이 어떻게 결정되는지 아는 중소기업은 많지 않습니다.
"설마 우리 같은 작은 회사까지..."라고 생각했다가 수천만 원의 과태료를 맞은 사례는 매년 늘고 있습니다.
이 글에서는 PIPA 과태료 계산 방법을 실전 위주로 정리합니다.
과태료 계산의 3단계 구조
1단계: 위반 유형 분류
과태료는 위반 행위의 유형에 따라 기준 금액이 달라집니다.
| 위반 유형 | 법적 근거 | 최대 과태료 | |---------|---------|-----------| | 동의 없이 개인정보 수집·이용 | 제15조 | 3,000만 원 | | 개인정보 제3자 무단 제공 | 제17조 | 3,000만 원 | | 개인정보 처리방침 미공개 | 제30조 | 1,000만 원 | | 개인정보 유출 사실 미통보 | 제34조 | 3,000만 원 | | 안전조치 미이행 | 제29조 | 3,000만 원 | | 정보주체 열람·삭제 요청 거부 | 제35~36조 | 3,000만 원 | | 파기 의무 위반 | 제21조 | 3,000만 원 |
주의: 2024년 개정으로 일부 위반 행위는 과태료 외에 과징금(전체 매출의 최대 3%) 이 병과될 수 있습니다.
2단계: 감경·가중 요소 적용
기준 금액이 정해지면, 다음 요소로 최종 금액이 결정됩니다.
감경 요소 (과태료가 줄어드는 경우)
- 위반 사실을 자진 신고한 경우
- 피해 복구를 위해 적극적으로 조치한 경우
- 초범이고 과실이 경미한 경우
- 소규모 사업자 (상시 근로자 50인 미만)
가중 요소 (과태료가 늘어나는 경우)
- 동일·유사 위반을 반복한 경우
- 위반 행위로 이득을 취한 경우
- 위반 은폐·방해 행위가 있는 경우
- 피해자 수가 많거나 피해가 심각한 경우
3단계: 피해 규모 계산 (유출 사고의 경우)
개인정보 유출 사고라면 피해자 수가 핵심 변수가 됩니다.
기본 과태료 = 1인당 기준 금액 × 피해자 수
(단, 상한선 적용)
실제 계산 예시:
| 시나리오 | 피해자 수 | 예상 과태료 | |--------|---------|-----------| | 직원 실수로 고객 DB 외부 노출 | 500명 | 약 1,000만 ~ 2,000만 원 | | 해킹으로 회원 정보 유출 | 3,000명 | 약 3,000만 원 (상한) | | 마케팅 동의 없이 이메일 발송 | 1만 명 | 약 500만 ~ 3,000만 원 | | 처리방침 없이 2년간 운영 | - | 약 500만 ~ 1,000만 원 |
중소기업이 가장 많이 맞는 과태료 유형 TOP 4
❌ 1위: 개인정보 처리방침 미비
웹사이트나 앱에 개인정보 처리방침이 없거나, 있어도 법적 필수 항목이 빠진 경우입니다.
과태료: 최대 1,000만 원
빈도: 전체 PIPA 위반의 약 35%
필수 항목 누락 예시:
- 개인정보 보유 기간 미기재
- 제3자 제공 현황 미공개
- 개인정보 보호책임자 정보 없음
❌ 2위: 마케팅 동의 없는 광고 발송
고객이 마케팅 수신에 동의하지 않았는데 SMS나 이메일 광고를 보낸 경우입니다.
과태료: 건당 500만 ~ 3,000만 원
추가 제재: 정보통신망법으로 별도 과태료 중복 가능
위험 시나리오:
- 회원가입 시 마케팅 동의를 필수 체크박스로 설정
- 동의 철회 요청을 처리하지 않고 계속 발송
- 구매 고객 DB를 동의 없이 마케팅에 활용
❌ 3위: 안전조치 미이행
개인정보를 저장·전송할 때 암호화, 접근 제한, 로그 관리 등 기술적 보호 조치를 하지 않은 경우입니다.
과태료: 500만 ~ 3,000만 원
특이점: 유출이 없어도 '조치 미흡'만으로 처벌 가능
자주 발생하는 미이행 사례:
- 고객 비밀번호 평문 저장
- 개인정보 DB 접근 권한 미분리
- 직원 퇴직 후에도 계정 미삭제
❌ 4위: 개인정보 파기 의무 위반
회원 탈퇴, 계약 종료 후에도 개인정보를 삭제하지 않고 보관하는 경우입니다.
과태료: 최대 3,000만 원
현실: "혹시 필요할 수도 있어서"라는 이유로 방치하다 적발
실전 시뮬레이션: 우리 회사 과태료는 얼마?
아래 체크리스트로 자체 점검해 보세요.
체크리스트
개인정보 처리방침
- [ ] 웹사이트/앱에 처리방침이 공개되어 있다
- [ ] 수집 항목, 목적, 보유 기간이 명시되어 있다
- [ ] 개인정보 보호책임자(CPO) 연락처가 있다
동의 관리
- [ ] 마케팅 수신 동의와 서비스 이용 동의를 분리했다
- [ ] 동의 철회 기능이 작동한다
- [ ] 14세 미만 아동 정보는 법정대리인 동의를 받는다
보안 조치
- [ ] 비밀번호를 암호화(해시)해서 저장한다
- [ ] 개인정보 DB에 접근하는 직원이 최소화되어 있다
- [ ] 접근 이력 로그를 남긴다
파기 관리
- [ ] 회원 탈퇴 시 90일 이내 개인정보를 파기한다
- [ ] 보유 기간이 지난 정보를 자동 또는 주기적으로 삭제한다
점검 결과 해석:
- 0~3개 미체크: 과태료 고위험 — 즉시 조치 필요
- 4~7개 미체크: 중간 위험 — 우선순위 정해 개선 필요
- 8~11개 미체크: 저위험이지만 안심 금물
과태료 줄이는 방법: 사전 예방이 전부다
PIPA 과태료는 사후 대응보다 사전 예방이 훨씬 저렴합니다.
실제로 개인정보보호위원회는 사전에 자체 점검을 실시하고 개선 조치를 취한 기업에 과태료를 최대 50%까지 감경하는 사례가 있습니다.
핵심 원칙 3가지:
- 수집 최소화 — 꼭 필요한 정보만 수집하면 위반 가능성도 줄어든다
- 동의 명확화 — 동의 항목을 분리하고 기록을 남긴다
- 정기 점검 — 분기마다 PIPA 준수 현황을 자체 점검한다
지금 바로 확인하세요
PIPA 위반 과태료 계산은 복잡하고, 어디서 위험이 숨어있는지 파악하기 어렵습니다.
Pipaguard는 중소기업의 PIPA 준수 현황을 자동으로 진단하고, 잠재적 과태료 위험을 수치로 보여줍니다.
5분 만에 우리 회사의 과태료 위험 수준을 확인해 보세요.
Pipaguard — 개인정보보호법 컴플라이언스를 단순하게.