한국 개인정보 보호법(PIPA) vs GDPR: 형사처벌·주민등록번호 규제·국외이전 중단명령 비교 (2026)
한국의 개인정보 보호법(PIPA)과 EU의 일반 데이터 보호 규정(GDPR)은 둘 다 기업의 개인정보 수집·이용 방식을 규율하지만, 집행 방식에서는 뚜렷하게 갈린다. PIPA는 준법 담당자를 실제로 감옥에 보낼 수 있는 4단계 형사처벌 체계를 갖추고 있고, GDPR에는 아예 대응 규정이 없는 주민등록번호 처리에 대한 사실상의 전면 금지 조항을 두고 있으며, EU가 한 번도 가져본 적 없는 권한, 즉 이미 진행 중인 해외 이전을 규제기관이 일방적으로 중단시킬 수 있는 권한을 개인정보보호위원회(PIPC)에 부여하고 있다.
두 법제는 넓게 보면 가족처럼 닮은 부분이 많다. 둘 다 정보주체에게 자기 정보에 대한 권리를 부여하고, 둘 다 처리에 적법한 근거를 요구하며, 둘 다 국외이전을 규율한다. 하지만 PIPA를 움직이는 실제 장치는 구조 자체가 다르며, 그 차이는 준법 담당자가 가장 자주 오해하는 지점, 즉 누가 감옥에 갈 수 있는지, 주민등록번호란 무엇인지, 이미 진행 중인 이전을 규제기관이 얼마나 빨리 중단시킬 수 있는지에서 가장 크게 벌어진다.
이 글은 개인정보보호위원회(PIPC)가 집행하는 한국의 개인정보 보호법(PIPA)을 EU 일반 데이터 보호 규정(GDPR)과 비교한다. GDPR 비교를 제외한 PIPA 전체 체계에 대해서는 한국 개인정보보호법 가이드를 참고하라. 이 글은 법률 자문을 대체하지 않는다.
PIPA vs GDPR: 한눈에 비교
| 항목 | PIPA (한국) | GDPR (EU) |
|---|---|---|
| 규제기관 | 개인정보보호위원회(PIPC) | 각국 개인정보보호감독기구(DPA), EDPB가 조정 |
| 형사책임 | 있음, 4단계, 최대 징역 10년(제70조~제73조) | 규정 자체에 형사처벌 트랙 없음 |
| 법인과 개인의 양벌책임 | 있음(제74조 양벌규정, 면책을 위한 상당한 주의·감독 항변 가능) | 상응 조항 없음, 책임은 컨트롤러/프로세서 법인에게만 부과 |
| 주민등록번호 규제 | 주민등록번호 처리 사실상 전면 금지, 동의로도 뒤집을 수 없음(제24조의2) | EU 차원의 전면 금지 없음, 각 회원국 국내법에 위임(제87조) |
| 범죄경력정보 | 민감정보로 분류, 별도 동의로 처리 가능(제23조) | 별도 범주(제10조), 공적 권한 없는 컨트롤러는 동의를 근거로 삼기 어려움 |
| 자동화된 결정 | 이의제기(옵트아웃) 권리, AI를 명시적으로 규정(제37조의2) | 원칙적 금지, 법정 예외와 안전장치 존재(제22조) |
| 국외이전 수단 | 별도 동의, 조약, 계약상 필요, PIPC 인증, PIPC 동등성 인정(제28조의8) | 적정성 결정, SCC, BCR, 인증, 예외조항(제45조~제49조) |
| 개별 이전 중단명령 권한 | 있음, PIPC 중단명령, 7일 이의제기 기간(제28조의9) | 상응하는 일방적 명령 권한 없음 |
| 현행 행정 과징금 상한 | 총매출액의 3%(제64조의2), 가중 사유 시 2026년 9월 11일부터 10% | 최대 2,000만 유로 또는 전 세계 연매출의 4% |
| 역대 최대 과징금 | 약 6,246억 8,100만 원 / 약 4억 900만 달러(쿠팡/CFS, 2026년 6월) | DPA별로 상이, 아일랜드 DPC가 개별 GDPR 과징금 중 최대 규모를 부과해 옴 |
| 적정성 지위 | 한국에 대한 EU 적정성 결정 2021년 12월부터 시행 중, EU에 대한 한국의 상호 인정 2025년 9월 16일부터 발효 | 해당 없음(GDPR이 비교 기준) |
배경
PIPA는 개인정보보호위원회(PIPC)가 집행하는 한국의 종합 개인정보 보호 법률이다. 제정 이후 여러 차례 개정되었는데, 가장 중대한 개정은 자동화된 결정 권리(제37조의2)와 국외이전 체계(제28조의8, 제28조의9)를 신설한 2023년 개정이며, 가장 최근에는 가중 사유가 있는 경우의 매출액 기준 과징금 상한을 올린 2026년 개정이 있었다. 2020년 버전 법률에 맞춰진 것으로 표시된 일부 영어 번역본을 포함해, 오래된 영문 미러본들은 이러한 추가 내용을 반영하지 못하고 있으므로 현행 조문 확인 용도로 신뢰해서는 안 된다.
이 글이 비교 기준으로 삼는 GDPR은 2018년 5월 25일부터 시행 중이다. PIPA가 GDPR식 구조, 즉 컨트롤러/프로세서 체계, 열거된 적법 근거, 정보주체 권리 챕터를 차용한 부분에서는 실제로 두 법제가 닮아 있다. 그렇지 않은 부분에서는 그 차이가 점진적이라기보다 뚜렷하게 갈리는 경우가 많으며, 형사책임이 가장 대표적인 예다.
적용 범위와 동의 중심 설계
PIPA는 한국 내에서 개인정보를 처리하는 모든 '개인정보처리자'에게 적용되며, 처리자가 해외에 있더라도 한국 내 정보주체에게 영향을 미치는 처리라면 역외 적용 범위에 포함된다. 이는 GDPR 제3조의 역외 적용 범위와 대체로 유사하다.
더 근본적인 구조적 차이는 각 법이 처리의 정당성을 어떻게 부여하는지에 있다. GDPR 제6조는 여섯 가지의 동등한, 위계 없는 적법 근거를 제시하며, 기업들은 동의 철회의 까다로운 절차를 피하기 위해 계약상 필요성이나 정당한 이익을 선호하는 경우가 많다. 반면 PIPA는 명백히 동의 중심으로 설계되어 있다. 동의가 가장 우선적이고 가장 널리 쓰이는 근거이며, 법정 대안 근거들은 동등한 선택지라기보다 동의를 대체하는 좁은 보충 수단에 가깝게 기능한다.
PIPA의 대안 근거로는 다른 법률에 따른 법정 의무 또는 불가피한 의무의 이행, 공공기관이 법령상 소관 업무를 수행하기 위해 필요한 경우, 정보주체와의 계약 체결 및 이행을 위해 필요한 조치, 생명·신체·재산의 급박한 위험으로부터 보호하기 위한 경우, 그리고 컨트롤러의 이익이 정보주체의 권리보다 '명백히 우월'하고 처리가 합리적 범위 내에서 실질적으로 관련성을 유지하는 경우에만 인정되는 '정당한 이익' 유사 조항이 있다. 이 '명백히 우월'이라는 기준은 GDPR의 형량 테스트보다 상당히 엄격하다. GDPR의 형량 테스트는 컨트롤러의 이익이 정보주체의 이익에 의해 상쇄되지 않으면 충분하며, 명백히 우월할 것까지는 요구하지 않는다.
용어와 민감정보
| 용어 | PIPA | GDPR |
|---|---|---|
| 보호 대상 개인 | 정보주체 | Data subject |
| 정보 처리자 | 개인정보처리자 | Controller / processor |
| 민감 범주 | 민감정보(제23조) | 특별 범주 개인정보(제9조) |
| 국가 식별번호 | 고유식별정보, 주민등록번호는 별도로 사실상 전면 금지(제24조, 제24조의2) | 회원국 국내법에 위임(제87조) |
| 자동화된 결정 조항 | 제37조의2 | 제22조 |
PIPA의 민감정보 범주는 제23조 제1항 자체에서 사상, 신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활에 관한 정보를 규정하고 있으며, 시행령은 유전정보, 범죄경력자료, 개인을 고유하게 식별할 목적으로 처리하는 생체인식정보, 인종이나 민족에 관한 정보를 추가한다. 이 목록은 GDPR 제9조의 특별 범주(인종·민족적 기원, 정치적 견해, 종교·철학적 신념, 노동조합 가입, 유전정보, 고유 식별을 위한 생체정보, 건강정보, 성생활 또는 성적 지향)와 거의 상위 집합에 가깝게 겹치지만, 구조적으로 눈에 띄는 예외가 하나 있다. PIPA는 범죄경력자료를 민감정보 범주 안에 그대로 포함시켜 별도로 받은 동의로 처리할 수 있게 하는 반면, GDPR은 범죄경력정보를 독립된 제10조에서 다루며, 일반적으로 공적 권한을 가진 기관에 처리를 유보하거나 대다수 비공적 컨트롤러에게는 동의를 근거로 인정하지 않고 회원국 법률의 별도 수권을 요구한다. 이는 단순한 용어 차이가 아니라 두 법이 범죄경력자료를 취급하는 실질적인 차이다. 동의만으로 처리를 허용하는 PIPA의 설계는 권한 기관에게 처리를 유보하는 GDPR보다 더 관대하다.
'민감정보'와 별개로 PIPA는 '고유식별정보'도 정의한다. 주민등록번호, 운전면허번호, 여권번호, 외국인등록번호가 여기에 해당한다. 이 범주 중 주민등록번호를 제외한 나머지는 법정 근거나 동의 중 하나로 처리할 수 있다. 주민등록번호 자체는 그렇지 않다. 아래에서 살펴본다.
주민등록번호 규제
한국의 주민등록번호는 국가 식별번호와 유사한 기능을 하며, PIPA는 이를 사실상 손댈 수 없는 정보로 취급한다. 제24조의2는 컨트롤러가 주민등록번호를 처리해서는 안 된다고 규정하며, 이는 정보주체가 동의한 경우에도 마찬가지다. 예외는 법률, 대통령령, 국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙·감사원규칙이 명시적으로 요구하거나 허용하는 경우, 생명·신체·재산의 급박한 위험으로부터 명백히 보호하기 위해 처리가 필요한 경우, 그리고 이 두 범주에 준하는 PIPC 고시상의 좁은 사유로 한정된다. 이러한 예외 사유로 주민등록번호를 처리하는 경우에도 컨트롤러는 이를 암호화 등 안전한 방법으로 보관해야 하며, 구체적인 범위와 시기는 정보량과 유출 시 영향을 고려해 대통령령으로 정한다. 또한 온라인 회원가입 시에는 주민등록번호 없이도 가입할 수 있는 대체 수단을 제공해야 한다.
GDPR에는 이에 상응하는 규정이 없다. GDPR은 국가 식별번호 처리에 대한 EU 차원의 사실상 금지를 두지 않는다. 대신 제87조는 '국가 식별번호' 처리 조건을 각 회원국의 국내법에 맡겨두므로, 그 규정(있다면)은 국가마다 다르며, PIPA의 주민등록번호 금지가 한국 전역에 일률적으로 적용되는 것과 달리 EEA 전역에 일률적으로 적용되지 않는다. 'GDPR에는 전혀 상응하는 부분이 없는 특징'은 바로 '동의로도 이를 뒤집을 수 없다'는 점이다. GDPR에서는 대부분의 데이터 범주, 즉 대다수 회원국의 국가 식별번호 규정을 포함해 동의가 여전히 유효한 처리 근거이지만, PIPA에서는 주민등록번호 처리의 근거로서 동의가 명시적으로 배제된다.
여기서 반드시 정확히 짚어야 할 결정적인 구별점이 있다. 주민등록번호 위반은 형사처벌이 아니라 행정적으로 집행된다. 제24조의2는 PIPA의 형사처벌 챕터(제70조~제73조) 어디에도 등장하지 않는다. 형사책임이 부과되는 것은 더 넓은 범위의 제24조 제1항, 즉 주민등록번호에 한정되지 않는 고유식별정보 일반을 다루는 조항뿐이며, 이는 제71조에 따라 형사처벌 대상이 된다. 반면 주민등록번호 위반은 세 가지 별도 위반 유형 각각에 대해 최대 3천만 원의 과태료를 부과받는다. 제24조의2 제1항을 위반한 주민등록번호 처리, 제24조의2 제2항에 따른 암호화 의무 위반, 제24조의2 제3항에 따른 주민등록번호 없는 대체 가입수단 미제공이 그 세 가지다. 제24조의2 제1항을 위반한 주민등록번호 처리는 별도로 제64조의2에 따른 매출액 기준 과징금의 부과 사유도 된다. 즉 정액의 3천만 원 과태료와 매출액 비례 과징금이 같은 위반행위에 동시에 부과될 수 있지만, 어느 쪽도 징역형을 수반하지 않는다.
정보주체 권리와 자동화된 결정
PIPA는 GDPR 제3장의 권리 목록과 대체로 대응하는 정보주체 권리를 부여한다. 열람권, 정정권, 삭제권, 처리에 대한 이의제기권 및 처리 제한권이 그것이다. 2023년 개정으로 신설된 개인정보 이동권은 2025년 3월부터 시행되었다.
운영상 가장 흥미로운 차이가 나타나는 영역은 자동화된 결정이다. PIPA 제37조의2는 정보주체에게 '완전히 자동화된 시스템'이 내린 결정, 그 법문에서 AI를 명시적으로 언급한다, 이 정보주체의 권리나 의무에 중대한 영향을 미치는 경우 이에 이의를 제기할 권리를 부여하며, 이미 내려진 자동화된 결정에 대해 설명을 요구할 별도의 권리도 함께 부여한다. 이의제기 또는 설명 요구가 있으면 컨트롤러는 원칙적으로(정당한 사유가 없는 한) 그 자동화된 결정을 적용하지 말아야 하거나, 사람이 관여하는 재처리를 포함한 시정 조치를 취해야 한다. 컨트롤러는 또한 자동화된 결정의 기준, 절차, 방법을 사전에 공개해야 한다.
이 구조는 GDPR 제22조와 중요한 지점에서 다르다. GDPR은 이 권리를 원칙적 금지로 설계한다. 정보주체는 법적 효과나 이에 준하는 중대한 영향을 미치는, 전적으로 자동화된 결정의 '적용을 받지 않을 권리'를 가지며, 계약상 필요성, 법적 수권, 명시적 동의라는 예외가 있지만 이러한 예외 안에서도 컨트롤러는 사람의 개입을 요구할 권리와 결정에 이의를 제기할 권리 같은 안전장치를 마련해야 한다. PIPA 제37조의2는 반대 방향, 즉 옵트인 이의제기권으로 설계되어 있다. 자동화된 결정이 일단 내려지고, 정보주체가 이후에 이의를 제기하거나 설명을 요구할 수 있다. 다만 이의제기권은 그 자동화된 결정이 동의, 계약상 필요성, 법적 의무를 근거로 이루어진 경우에는 적용되지 않는데, 바로 이 경우가 GDPR이 여전히 안전장치를 요구할 상황이다. 이런 좁은 의미에서 PIPA의 시민 대상 권리는 GDPR의 원칙적 금지 모델보다 범위가 좁다. 하지만 PIPA는 AI 시스템을 구체적으로 명시하고 결정 기준의 사전 공개를 요구한다는 점에서, 대부분을 가이드라인과 전문(recital)에 맡겨두는 GDPR의 조문보다 더 명시적이기도 하다.
| 권리 | PIPA | GDPR |
|---|---|---|
| 열람 | 있음 | 제15조 |
| 정정 | 있음 | 제16조 |
| 삭제 | 있음 | 제17조 |
| 이의제기/처리제한 | 있음 | 제18조, 제21조 |
| 개인정보 이동 | 있음(2025년 3월 시행) | 제20조 |
| 자동화된 결정 관련 권리 | 제37조의2: 옵트아웃 이의제기권 + 설명요구권, AI를 명시적으로 규정, 동의/계약/법적의무 근거인 경우 범위 축소 | 제22조: 원칙적 금지, 법정 예외와 의무적 안전장치 |
감독 체계와 집행 성향
PIPC는 조사, 명령, 제재 권한을 모두 가진 한국의 단일 중앙집중형 개인정보 감독기구다. GDPR 집행은 EEA 내 30여 개 회원국 감독기구에 분산되어 있으며, 유럽데이터보호이사회(EDPB)와 국경간 사건을 위한 원스톱숍 메커니즘을 통해 조정된다. 실무적으로 PIPC의 중앙집중형 구조와 대규모 행정 과징금을 공표명령·시정명령과 함께 부과하려는 성향은, 단일 주도 감독기구(주로 아일랜드)를 거쳐 더 긴 절차상 시간표로 움직이는 EU의 다감독기구 모델보다, 특히 최근의 대형 사건들에서 더 집중적이고 더 빠르게 움직이는 집행 성향을 보여준다.
국외이전
PIPA 제28조의8은 다음 다섯 가지 요건 중 하나를 충족하는 경우에만 국외이전을 허용한다.
- 일반 처리 동의와는 별개인, 정보주체로부터의 별도 동의
- 법률, 한국이 당사국인 조약, 그 밖의 국제협정상의 특별한 규정
- 정보주체와의 계약 이행을 위해 필요한 경우, 이전 관련 사항을 개인정보처리방침에 공개하거나 별도로 고지하는 조건, 이는 기능적으로 GDPR 제49조 제1항 (b)의 계약상 필요성 예외와 유사하다
- 이전받는 자가 PIPC가 지정한 인증을 받고 안전성 및 권리보장 조치를 이행한 경우, 기능적으로 GDPR의 구속력 있는 기업규칙(BCR)이나 인증 메커니즘에 대응한다
- PIPC가 이전받는 국가나 기관의 보호체계, 정보주체 권리의 범위, 구제절차를 PIPA 자체 수준과 '실질적으로 동등'하다고 인정하는 경우, 즉 한국판 적정성 결정
EU는 이 다섯 번째 메커니즘이 실제로 작동하고 있음을 보여주는 확인된 사례다. 한국에 대한 유럽집행위원회 자체의 적정성 결정은 2021년 12월부터 시행 중이며, 유럽집행위원회와 PIPC의 공동 발표에 따르면 EU 법제를 동등하다고 인정하는 PIPC의 상호 인정은 2025년 9월 16일부터 발효되었다. 이 상호 인정 관계 덕분에 표준계약조항 같은 건별 메커니즘에 의존하지 않고도 EU와 한국 사이에서 양방향으로 개인정보를 이전할 수 있다. 이 메커니즘이 일반적으로 어떻게 작동하는지는 EU 적정성 결정 가이드를 참고하라.
컨트롤러가 별도 동의 경로에 의존하는 경우, PIPA 제28조의8 제2항은 이전되는 정보의 항목, 이전받는 국가, 이전 일시 및 방법, 이전받는 자의 성명 및 연락처, 이전받는 자의 이용 목적 및 보유·이용 기간, 이전 거부 방법 및 거부 시 불이익을 사전에 정보주체에게 고지하도록 요구한다. 계약상 필요성 경로(제28조의8 제1항 제3호)도 같은 사항을 요구하지만, 사전 동의 고지가 아니라 개인정보처리방침에 공개하거나 별도로 통지하는 방식이다. 조약, 인증, PIPC 동등성 인정 경로에는 이러한 건별 사전고지 의무가 없다.
진행 중인 이전을 중단시킬 수 있는 PIPC의 권한은 GDPR에 상응하는 규정이 없다. 제28조의9에 따라 PIPC는 이전이 제28조의8의 요건을 위반하거나, 이전받는 국가나 기관이 PIPA 자체 기준에 비해 개인정보를 제대로 보호하지 못하고 정보주체에게 손해가 발생했거나 발생할 우려가 현저한 경우, 컨트롤러에게 진행 중이거나 임박한 국외이전을 중단하도록 명령할 수 있다. 컨트롤러는 명령을 받은 날로부터 7일 이내에 PIPC에 이의를 제기할 수 있다. GDPR은 대신 적정성 결정, SCC, BCR 같은 이전 수단 자체의 유효성과 사후 집행·과징금에 의존한다. 제28조의9처럼 특정 진행 중인 이전에 대해 규제기관이 개별적으로 즉시 중단명령을 발동할 수 있는 EU 차원의 권한은 존재하지 않는다.
형사처벌: 구조적 차별점
PIPA와 GDPR이 가장 극명하게 갈리는 지점이 여기이며, PIPA와 GDPR을 동시에 적용받는 해외 기업이 반드시 이해해야 할 가장 중요한 사실이다. PIPA는 규제법인 동시에 형사법이다. GDPR의 제재 체계는 전적으로 행정적이다. 최대 2,000만 유로 또는 전 세계 매출의 4%에 달하는 과징금은 컨트롤러 또는 프로세서 법인을 대상으로 하며, GDPR 조문 자체에는 형사범죄가 존재하지 않는다(각 회원국이 자국 국내법으로 관련 행위를 별도로 범죄화할 수는 있지만, GDPR 조문 자체에 따른 것은 아니다). PIPA는 행정 트랙과 병행해 형사 트랙을 함께 운영하며, 같은 위반행위가 두 트랙을 동시에 촉발할 수 있다.
PIPA의 벌칙 챕터는 4단계의 징역형을 규정한다.
| 조문 | 최대 형량 | 핵심 위반행위 |
|---|---|---|
| 제70조 | 징역 최대 10년 또는 벌금 최대 1억 원 | 공공기관의 정보처리를 방해할 목적으로 정보를 변경·말소해 업무의 정지·마비를 초래하는 행위, 부정한 수단으로 개인정보를 취득해 영리 또는 부정한 목적으로 제3자에게 제공하는 행위 |
| 제71조 | 징역 최대 5년 또는 벌금 최대 5천만 원 | 동의 없이 개인정보를 제3자에게 무단 제공하는 행위(제공자와 이를 알면서 제공받은 자 모두 책임), 영리 또는 부정한 목적으로 개인정보를 이용·제공하는 행위, 만 14세 미만 아동의 정보를 법정대리인 동의 없이 수집하는 행위, 적법 근거 없이 민감정보를 처리하는 행위, 적법 근거 없이 고유식별정보(고유식별정보 일반)를 처리하는 행위, 가명정보를 위법하게 재식별하는 행위, 직무상 알게 된 개인정보를 누설하는 행위 |
| 제72조 | 징역 최대 3년 또는 벌금 최대 3천만 원 | 고정형 영상정보처리기기(CCTV)를 설치 목적을 벗어나 임의로 조작하거나 다른 곳을 비추게 하는 행위, 녹음기능을 사용하는 행위(제25조 제5항), 영리 또는 부정한 목적으로 부정한 수단으로 개인정보 또는 동의를 취득하는 행위, 직무상 알게 된 비밀을 누설하는 행위 |
| 제73조 | 징역 최대 2년 또는 벌금 최대 2천만 원 | 정정·삭제·처리정지 명령을 이행하지 않고 개인정보를 계속 이용하거나 제공하는 행위, PIPA상 손해배상 소송에서 영업비밀 보호를 위한 법원의 비밀유지명령을 정당한 이유 없이 위반하는 행위(이 경우 명령을 신청한 자의 고소가 있어야 기소 가능, 제39조의4), 은폐·거부·자료 위조 등으로 PIPC의 조사를 방해하는 행위 |
누가 책임을 지는가, 제74조 양벌규정. 법인의 대표자, 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인사업주의 업무에 관해 제70조 위반행위를 저지른 경우, 실제 위반행위자와 별도로 법인 또는 사업주도 함께 처벌받는다. 제70조 위반의 경우 법인·사업주는 최대 7천만 원의 벌금을, 제71조부터 제73조 위반의 경우 각 조문에 규정된 벌금액을 부과받는다. 유일한 예외는 상당한 주의 항변이다. 법인 또는 사업주가 그 위반행위를 방지하기 위해 해당 업무에 관해 상당한 주의와 감독을 게을리하지 않은 경우에는 제74조가 적용되지 않는다. '실제 위반행위를 저지른 종업원과 별도로 기업 자체도 처벌받을 수 있는가'라는 질문에는 이 조문을 근거로 답할 수 있다. PIPA에서는 문서화된 준법 프로그램 항변이 없는 한 답은 '그렇다'이다. GDPR에는 상응하는 규정이 없다. GDPR의 책임 모델은 법인·행정 책임만을 다루며, 실제로 위반행위를 저지른 개인에게 개인적으로 벌금을 부과하거나 징역형을 과할 트랙 자체가 없다.
이 이중 노출은 이론이 아니라 실제다. 동의 없는 제3자 무단 제공은 개인 또는 책임자에게는 제71조에 따른 형사범죄(최대 5년 또는 5천만 원)이며, 같은 제공행위가 회사에는 별도로 제64조의2에 따른 매출액 기준 과징금을 촉발할 수 있다. 같은 행위로부터 개인에게는 징역 위험, 회사에는 매출액 비례 과징금이 발생한다는 것이야말로 PIPA를 GDPR과 진짜로 구별짓는 구조적 특이점이다.
행정 과징금과 상한 변경
PIPA의 행정 트랙은 위의 형사 벌금이나 앞서 설명한 주민등록번호 관련 정액 과태료와는 별개로, 제64조의2에 따른 매출액 기준 과징금으로 운영된다. **오늘 현재, 적용 상한은 총매출액의 3%**이며, 매출액을 산정할 수 없거나 존재하지 않는 경우에는 최대 20억 원이다. 과징금을 촉발하는 사유로는 법의 핵심 처리 조항 위반, 만 14세 미만 아동의 정보를 법정대리인 동의 없이 수집하는 행위, 동의 없는 민감정보 처리, 고유식별정보나 주민등록번호 처리 위반, 수탁자에 대한 감독 소홀로 수탁자가 법을 위반하게 한 경우, 가명정보의 위법한 재식별, 위법한 국외이전이나 이전중단명령 불이행, 법정 안전조치를 다하지 않은 상태에서 발생한 유출 등이 있다.
2026년 개정은 이 상한을 총매출액의 10%로 올리지만, 특정 가중 사유가 있는 경우로 한정된다. 3년 이내에 고의 또는 중과실로 반복 위반한 경우, 1,000만 명 이상의 정보주체에게 영향을 미친 위반인 경우, PIPC의 시정명령을 이행하지 않은 경우가 그것이다. 이 개정안은 2026년 3월 10일경 공포되었지만, 과징금 상한 관련 조항의 시행일은 2026년 9월 11일이다. 그날까지는 아래에서 설명하는 사상 최대 규모의 쿠팡 과징금을 포함한 모든 집행 사례가 현행 3% 체계로 산정된다. 한국의 과징금 상한이 이미 10%라는 진술은 미래의 규정을 현행법인 것처럼 설명하는 것이다.
| PIPA(제64조의2) | GDPR(제83조) | |
|---|---|---|
| 표준 상한 | 총매출액의 3%(현행, 2026년 9월 10일까지) | 최대 1,000만 유로 또는 전 세계 연매출의 2% |
| 상향 상한 | 가중 사유가 있는 경우 총매출액의 10%, 2026년 9월 11일 시행 | 최대 2,000만 유로 또는 전 세계 연매출의 4% |
| 매출 산정 불가 시 대체 기준 | 최대 20억 원(2026년 9월 11일부터 50억 원으로 상향) | 해당 없음 |
| 병행 형사책임 여부 | 있음, 최대 징역 10년(위 참고) | 없음 |
최근 동향
쿠팡, 2026년 6월 11일. PIPC의 의결은 쿠팡에 매출액 기준 과징금 6,246억 8,100만 원을 부과했다. 유출 사고 자체에 4,235억 7,500만 원, URL 등 온라인 행태정보의 위법 수집에 2,011억 600만 원이다. 여기에 유출 신고 지연 및 개인정보 미파기에 대한 별도의 과태료 1,680만 원이 부과되었고, 시정명령과 공표명령도 함께 내려졌다. 쿠팡풀필먼트서비스는 별도로 2억 4,800만 원의 과태료를 부과받았다. 위법한 채용제한 명단 운영에 2억 2,000만 원, 별도 동의 없이 직원 건강검진 정보를 소송자료로 이용한 행위에 2,800만 원이다.
SK텔레콤, 2025년 8월 28일. 이전까지의 최고 기록으로, USIM/SIM 키 유출로 2,320만2,350만 명의 가입자에게 영향을 미쳤으며 암호화되지 않은 SIM 인증키가 관련된 사건에 약 1,347억 원(약 8,900만9,700만 달러), 그리고 유출 신고 지연에 대한 별도 과징금이 부과되었다.
개인정보 이동권. 2023년 개정으로 신설된 개인정보 이동권은 2025년 3월부터 시행되어, PIPA의 권리 목록을 GDPR 제3장과 거의 대등한 수준으로 끌어올렸다.
2026년 과징금 상한 개정. 위에서 설명한 3%에서 10%로의 변경은 2026년 3월 10일경 공포되었으며, 상향된 상한의 시행일은 2026년 9월 11일이다.
이중 준법 가이드
PIPA와 GDPR을 동시에 적용받는 기업은 아래 항목들을 단순한 문서 정비가 아니라 구조적 대응이 필요한 영역으로 다뤄야 한다.
| 쟁점 | PIPA | GDPR | 준법 대응 |
|---|---|---|---|
| 개인의 형사 노출 | 임직원이 제70조~제73조에 따라 징역형에 노출될 수 있고, 상당한 주의 항변이 없는 한 회사도 제74조에 따라 별도로 처벌받을 수 있음 | 형사 트랙 없음 | 제74조의 상당한 주의 항변을 뒷받침할 수 있도록 한국 내에서 문서화되고 실제로 감독되는 준법 프로그램을 유지한다 |
| 국가 식별번호 | 좁은 법정 예외를 제외하면 동의로도 뒤집을 수 없는 주민등록번호 처리 금지(제24조의2) | EU 차원의 전면 금지 없음, 국가 식별번호 규정은 회원국마다 다름(제87조) | 특정 법정 예외가 적용되지 않는 한 주민등록번호를 수집·보관하지 않는다. 기본값으로 주민등록번호 없는 가입 경로를 마련한다 |
| 범죄경력정보 | 민감정보로 분류, 동의로 처리 가능(제23조) | 별도의 제10조 범주, 공적 권한 없는 컨트롤러는 동의를 근거로 삼기 어려움 | 범죄경력정보에 대해 GDPR 기준 동의 절차를 갖췄다고 해서 한국법 요건까지 충족한다고 가정하지 말고, 그 반대의 경우도 마찬가지다. 두 법제의 요건을 각각 독립적으로 다룬다 |
| 자동화된 결정/AI | 이의제기(옵트아웃)권 + 설명요구권, AI를 명시적으로 규정, 동의/계약/법적의무 근거인 경우 범위 축소(제37조의2) | 원칙적 금지, 의무적 안전장치(제22조) | 가능한 범위에서 GDPR식의 더 강한 기본 안전장치를 전 세계적으로 적용하고, 그 위에 한국의 사전 공개 의무를 추가로 얹는다 |
| 국외이전 | PIPC 동등성 인정을 포함한 다섯 가지 메커니즘, PIPC가 진행 중인 이전을 중단시킬 수 있음(제28조의9) | 적정성, SCC, BCR, 인증, 예외조항, 일방적 중단명령 권한 없음 | 해당하는 경우 EU-한국 상호 동등성 인정을 활용한다. 이의제기 기간이 7일에 불과하므로 한국발 중단명령에 대한 신속대응 계획을 마련해 둔다 |
| 과징금 노출 | 현재 매출액의 3%, 가중 사유 시 2026년 9월 11일부터 10%, 여기에 최대 1억 원의 형사 벌금과 징역형 추가 | 최대 2,000만 유로 또는 전 세계 매출의 4%, 행정 제재뿐 | PIPA의 위험을 GDPR의 과징금 중심 모델에 맞춰 산정하지 않는다. PIPA의 위험에는 책임자 개인의 신체적 자유 침해 위험이 포함된다 |
| 개인정보보호책임자(CPO) | 개인정보보호책임자 지정 의무, 대형 처리자의 CPO 임명에 대한 이사회 승인 기준은 DLA Piper의 최신 검토 기준으로도 아직 확정되지 않은 상태였음 | 공공기관, 대규모 모니터링, 민감정보 처리 시 개인정보보호책임자(DPO) 지정 의무 | 국가별 현재 지정 기준은 국가별 개인정보보호책임자(DPO/CPO) 지정 요건 가이드를 참고한다 |
면책 조항
이 글은 한국의 개인정보 보호법(PIPA)과 EU 일반 데이터 보호 규정(GDPR)에 관한 일반적인 법률 정보를 제공한다. 법률 자문을 대체하지 않는다. PIPA는 개정을 통해 계속 변화하고 있으며, 위에서 설명한 10% 과징금 상한 조항은 이 글 작성 시점 기준 아직 시행되지 않았다. PIPA 또는 GDPR을 적용받는 기업은 자신의 상황에 맞는 조언을 위해 해당 관할권의 변호사와 상담해야 한다.
인용 출처
- PIPA 제70조(벌칙 - 최고 형사처벌 단계), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제71조(벌칙 - 5년/5천만 원 단계), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제72조(벌칙 - 3년/3천만 원 단계), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제73조(벌칙 - 2년/2천만 원 단계), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제74조(양벌규정 - 법인/개인 양벌책임, 상당한 주의 항변), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제24조(고유식별정보의 처리 제한), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제24조의2(주민등록번호 처리의 제한), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제37조의2(자동화된 결정에 대한 권리), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제28조의8(국외이전 수단), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제28조의9(PIPC의 국외이전 중단명령), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- PIPA 제64조의2(과징금 - 현행 3% 상한 및 2026년 개정), 한국법제연구원 공식 영문 번역본. https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=1
- 개인정보보호위원회(PIPC), 대한민국. https://www.pipc.go.kr/eng
- 개인정보보호위원회 보도자료, 「개인정보보호위원회, 쿠팡·쿠팡풀필먼트서비스의 개인정보 유출 및 침해행위에 제재」, 2026년 6월 11일. https://www.pipc.go.kr/eng/user/ltn/new/noticeDetail.do?bbsId=BBSMSTR_000000000001&nttId=3071
- 유럽집행위원회, 마이클 맥그래스 집행위원과 고학수 PIPC 위원장의 한-EU 상호 인정 발효 공동 보도문, 2025년 9월 16일. https://commission.europa.eu/news-and-media/news/joint-press-statement-commissioner-michael-mcgrath-and-chairperson-haksoo-ko-entry-force-korean-2025-09-16_en
- 유럽집행위원회, 적정성 결정(Adequacy Decisions). https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
- 규정 (EU) 2016/679 (일반 데이터 보호 규정). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679
- DLA Piper, 세계 각국 개인정보보호법 - 대한민국. https://www.dlapiperdataprotection.com/guide.pdf?c=KR
- Hunton Andrews Kurth Privacy and Cybersecurity Law Blog, 「한국, 최대 매출액 10%까지 과징금을 부과할 수 있도록 개인정보보호법 개정」. https://www.hunton.com/privacy-and-cybersecurity-law-blog/south-korea-amends-privacy-law-to-authorize-fines-of-up-to-10-of-total-revenue
인용된 법률 및 집행 수치는 이 글의 최종 검토일 기준 상태를 반영한다. PIPA의 10% 과징금 상한 조항은 2026년 9월 11일 시행 예정이며 이 글 작성 시점 기준 아직 시행되지 않았다.
Frequently Asked Questions
한국의 개인정보보호법은 실제로 사람을 감옥에 보내나요?
그렇다. PIPA의 벌칙 챕터(제70조~제73조)는 개인정보 위반행위에 대해 4단계의 징역형을 규정하며, 영리 목적으로 부정한 방법으로 개인정보를 취득해 제3자에게 제공하는 것과 같은 가장 중대한 행위에는 최대 10년까지 처해질 수 있다. 반면 GDPR은 규정 자체에 형사범죄가 없으며, 그 제재는 컨트롤러 또는 프로세서 법인을 대상으로 한 행정 과징금뿐이다.
실제 위반행위를 저지른 것이 개인 직원이라도 회사가 PIPA에 따라 처벌받을 수 있나요?
그렇다. PIPA 제74조의 양벌규정은 같은 제70조~제73조 위반행위에 대해 실제 위반행위자와 법인 또는 사업주를 함께 처벌할 수 있도록 하며, 법인에는 별도의 벌금이 부과된다. 유일한 예외는 상당한 주의 항변이다. 법인 또는 사업주가 그 위반을 방지하기 위해 상당한 주의와 감독을 게을리하지 않았다면 이 조문은 적용되지 않는다.
한국에서 주민등록번호를 처리하는 것은 형사범죄인가요?
아니다. 제24조의2에 따른 주민등록번호 위반은 형사처벌이 아니라 행정적으로 집행된다. 위반 유형별로 최대 3천만 원의 과태료가 부과되며 PIPA의 매출액 기준 과징금도 함께 촉발될 수 있지만, PIPA의 형사처벌 챕터(제70조~제73조)에는 등장하지 않는다. 제71조에 따른 형사책임이 적용되는 것은 주민등록번호에 한정되지 않는 고유식별정보 일반을 다루는 더 넓은 범위의 제24조 제1항이며, 이는 주민등록번호 전용 규정과는 별개의 조문이다.
한국의 최대 개인정보 과징금 상한은 매출액의 10%인가요?
아직은 아니다. PIPA의 매출액 기준 과징금(제64조의2)의 현행 상한은 총매출액의 3%다. 3년 내 고의 또는 중과실 반복 위반, 1,000만 명 이상 정보주체에게 영향을 미친 유출, 시정명령 불이행 같은 가중 사유가 있는 경우 이 상한을 10%로 올리는 2026년 개정안이 2026년 3월 공포되었지만, 과징금 상한 조항의 시행일은 2026년 9월 11일이다. 그 전까지는 역대 최대인 쿠팡 과징금을 포함한 모든 집행이 3% 상한으로 산정된다.
한국 역사상 최대 개인정보 과징금은 무엇인가요?
2026년 6월 11일 PIPC가 쿠팡과 쿠팡풀필먼트서비스에 부과한 약 6,246억 8,100만 원(약 4억 900만 달러) 규모의 과징금이다. 3,755만 건의 개인정보 유출과 1,117만여 명의 이용자를 대상으로 한 1,560만여 건의 URL 위법 수집이 원인이다. 이는 이전 최고 기록이었던 2025년 8월 SK텔레콤에 대한 약 1,347억 원의 약 4.6배에 해당한다.
한국의 규제기관은 이미 진행 중인 데이터 이전을 중단시킬 수 있나요?
그렇다. PIPA 제28조의9에 따라 PIPC는 이전이 제28조의8의 국외이전 요건을 위반하거나, 이전받는 국가나 기관이 정보를 제대로 보호하지 못해 정보주체에게 손해가 발생했거나 발생할 우려가 현저한 경우, 컨트롤러에게 진행 중이거나 임박한 국외이전을 중단하도록 명령할 수 있다. 컨트롤러는 명령을 받은 날로부터 7일 이내에 이의를 제기할 수 있다. GDPR에는 이에 상응하는 일방적 중단명령 권한이 없으며, 이전 수단 자체의 유효성과 사후 집행에 의존한다.
한국은 EU 적정성 결정을 받았나요?
그렇다. 양방향으로 작동한다. 한국에 대한 유럽집행위원회의 적정성 결정은 2021년 12월부터 시행 중이며, EU에서 한국으로 추가 안전조치 없이 정보가 이전될 수 있도록 한다. 별도로 PIPC는 EU 법제가 동등한 수준의 보호를 제공한다고 인정했고, 이 인정은 2025년 9월 16일부터 발효되어 한국에서 EU로도 같은 근거로 정보가 이전될 수 있다.
PIPA는 GDPR과 범죄경력자료를 어떻게 다르게 취급하나요?
PIPA는 범죄경력자료를 건강정보, 유전정보 같은 범주와 나란히 제23조상의 일반 민감정보로 분류하며, 별도로 받은 동의로 처리할 수 있다. GDPR은 범죄경력정보를 독립된 제10조에서 다루며, 일반적으로 공적 권한을 가지고 행위하는 기관에 그 처리를 유보하거나 회원국 법률의 별도 수권을 요구하고, 대다수 비공적 컨트롤러에게는 통상 동의를 근거로 인정하지 않는다. 이 특정 범주에서 PIPA의 접근은 실질적으로 더 관대하다.
Updates
PIPC가 쿠팡에 약 6,246억 8,100만 원(약 4억 900만 달러)의 과징금을, 물류 계열사인 쿠팡풀필먼트서비스에 추가로 2억 4,800만 원의 과징금을 부과했다. 3,755만 건에 달하는 개인정보 유출과 1,117만여 명의 이용자를 대상으로 한 1,560만여 건의 URL 위법 수집이 원인으로, 한국 개인정보 분야 사상 최대 규모의 과징금이며 2025년 8월 SK텔레콤이 세운 기존 최고 기록의 약 4.6배에 달한다.
가중 사유(3년 내 고의·중과실 반복 위반, 1,000만 명 이상 정보주체에 영향을 미친 유출, 시정명령 불이행)가 있는 경우 과징금 상한을 매출액의 3%에서 10%로 상향하는 PIPA 개정안이 2026년 2월 12일 국회를 통과해 2026년 3월 10일 공포되었다. 10% 상한은 2026년 9월 11일부터 시행되며, 현재 시점의 적용 상한은 여전히 3%이다.
Sources and References
- PIPA 제70조(벌칙, 최고 형사처벌 단계), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제71조(벌칙, 5년/5천만 원 단계), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제72조(벌칙, 3년/3천만 원 단계), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제73조(벌칙, 2년/2천만 원 단계), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제74조(양벌규정), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제24조(고유식별정보의 처리 제한), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제24조의2(주민등록번호 처리의 제한), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제37조의2(자동화된 결정에 대한 권리), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제28조의8(국외이전 수단), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제28조의9(PIPC의 국외이전 중단명령), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- PIPA 제64조의2(과징금, 현행 3% 상한 및 2026년 개정), 한국법제연구원 공식 영문 번역본(elaw.klri.re.kr)
- 개인정보보호위원회(PIPC), 대한민국(pipc.go.kr).gov
- PIPC 집행 보도자료: 개인정보보호위원회, 쿠팡·쿠팡풀필먼트서비스의 개인정보 유출 및 침해행위에 제재(2026년 6월 11일)(pipc.go.kr).gov
- 유럽집행위원회 공동 보도문: 한-EU 상호 인정 발효(2025년 9월 16일)(commission.europa.eu).gov
- 유럽집행위원회 적정성 결정(Adequacy Decisions)(commission.europa.eu).gov
- 규정 (EU) 2016/679 (일반 데이터 보호 규정)(eur-lex.europa.eu).gov
- DLA Piper: 세계 각국 개인정보보호법 - 대한민국(dlapiperdataprotection.com)
- Hunton Andrews Kurth: 한국, 최대 매출액 10%까지 과징금을 부과할 수 있도록 개인정보보호법 개정(hunton.com)