SKT 1,348억은 예고편, 개정 개인정보법 10% 과징금 시대 개막
9월 11일, 한국 기업의 개인정보 관리 지도를 근본적으로 바꾸는 법이 시행됐다. 개정 개인정보보호법(PIPA)은 반복적·중대한 개인정보 침해 시 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 기존 상한선이 3%였던 것을 감안하면 3배 이상 강화된 셈이다. 시행 첫날, 이 법은 이미 이론이 아닌 현재진행형의 위협이다.이 법의 무서운 점은 단순한 액수가 아니다. 피해 입증 부담이 기업에게 넘어갔고, 대규모 유출 사고에서 '사전 예방 투자'를 증명하지 못하면 곧바로 최대치 과징금으로 직행한다. 2025년 8월 SK텔레콤의 1,348억 원 과징금 부과가 언론에 회자됐지만, 만약 이 사고가 개정 이후 발생했다면 총매출 17조 원대 기준으로 1조 7,000억 원을 물었을 수 있다. 3천만 건 유출이 확인된 쿠팡은 3% 규정으로 최대 1.36조 원을 우려했는데, 개정법이 적용됐다면 이론적 상한은 4.5조 원대까지 간다.
그림: SKT 1,348억은 예고편 — — 개정 개인정보법 10% 과징금 시대 개막
무엇이 어떻게 바뀌었나 — 4대 핵심 개정 사항
개정 개인정보보호법의 핵심은 크게 네 가지다. 개인정보보호위원회(개보위)의 공식 해설과 한겨레·데일리시큐 등의 보도를 종합하면 다음과 같다.
가장 주목할 부분은 마지막 감경제다. '벌을 무는 대신 미리 지키게 만드는' 구조적 유인이다. 미래에셋경제연구소 등은 '정보보호 예산을 2년 전부터 늘려온 기업이 사고를 당해도 40%까지 깎아주겠다'는 계산법을 제시한다. 이건 기업에게 보안 투자를 '보험'으로 인식시키는 설계다.
개인정보 보호비용보다 제재가 훨씬 커야 기업이 선제 투자에 나섭니다. 반복적·중대한 침해는 매출의 10%까지, 그리고 피해구제를 위한 통합기금도 검토합니다.— 이재명 대통령, 8월 국무회의 발언 (데일리시큐 인용)
왜 지금인가 — 세 사건이 만든 구조적 분기점
이 법이 2026년 9월에 시행된 것은 우연이 아니다. 한국 데이터 보안의 '3중 사고'가 규제 설계를 밀어붙인 결과다.첫째, SK텔레콤 해킹 사태(2025년 4월). 2,700만 회선의 가입자 정보 유출과 이에 따른 개보위 1,348억 원 과징금은 역대 최대 규모였지만, 많은 전문가들이 '체감상 약하다'고 평가했다. 매출 대비 0.8%에 불과했기 때문이다.둘째, 쿠팡 3,367만 건 유출(2025년 말~2026년 초). 3% 상한 규정을 적용해도 1조 3,637억 원이라는 천문학적 숫자가 나왔는데, 개보위 실제 부과액이 이에 못 미칠 것이라는 전망이 우세했다. '법의 위협이 숫자에 비해 작다'는 인상이 확산됐다.셋째, 테무·알리익스프레스 등 중국 C커머스의 국외 이전 관행. 개보위가 올해 초 테무에 13억 6,900만 원의 과징금을 부과했지만, 쿠팡에 비할 바가 아니다. 국경을 넘어 데이터를 넘기는 행위에 대한 실효적 제재 장치가 부재하다는 자성이 생겼다.이 세 사건이 겹쳐 만들어낸 정치적 합의가 '3%로는 부족하다'는 것이고, 그 결과가 이번 10% 개정이다.
쿠팡과 SKT는 다시 계산하면 얼마를 물었을까
개정법은 소급 적용되지 않는다. 쿠팡의 3,367만 건 유출은 시행 이전 사고라 3% 규정이 적용된다. 하지만 '만약 이 사고가 9월 11일 이후였다면'을 시뮬레이션해볼 가치가 있다.쿠팡의 2025년 매출은 45조 5,000억 원이다. 단순 계산으로 10%를 적용하면 4조 5,500억 원. 물론 이 숫자는 법정 상한선이고, 실제 부과액은 침해 정도·고의성·예방 노력 등을 종합 평가한다. 하지만 규제 당국이 손에 쥔 카드의 크기 자체가 달라졌다는 것이 핵심이다.SK텔레콤의 경우 2025년 매출 17조 4,000억 원의 10%는 1조 7,400억 원이다. 1,348억 원의 실제 부과액이 매출 대비 0.77%에 그쳤던 것과 비교하면 13배 차이다. 단순히 규제 당국이 더 많은 돈을 걷겠다는 것이 아니라, 최고경영자(CEO)와 최고정보보호책임자(CPO)에게 '이건 상식적인 비용이 아니다'라는 시그널을 보내는 장치다.
기업의 대응은 이미 시작됐다 — CPO 자리의 품귀
법 시행을 앞두고 기업들의 반응은 빠르다. 채용 플랫폼 잡코리아·사람인 데이터를 기준으로 한 정보보안 전문가 채용 공고는 2026년 상반기 전년 동기 대비 41% 증가했고, 특히 CPO(Chief Privacy Officer) 직급 신규 등록은 2배 이상 늘었다. 대기업 일부는 CPO를 '법무 부문장 직속'에서 '대표이사 직속'으로 격상하는 조직 개편을 단행했다.정보보호 솔루션 시장도 반응했다. 파수·지니언스·드림시큐리티 등 국내 주요 보안 기업의 2026년 2분기 매출은 전년 동기 대비 평균 18% 성장했고, 특히 '개인정보 암호화·비식별화 솔루션' 분야 성장률은 30%를 웃돌았다. 이 돈은 결국 기업의 '예방 투자'가 되고, 그 예방 투자가 감경 사유로 기록될 것이다.
소비자 입장에서 달라지는 것
이 법이 소비자에게 실질적 보호를 가져오는가는 별개의 질문이다. 세 가지 변화를 기대할 수 있다.첫째, 정보 유출 통지 속도의 단축. 기존에는 72시간 내 지체 없이 통지하는 규정이 있었지만 실무적으로 늦어졌다. 개정법은 '24시간 내 유출 인지 후 통지' 의무를 명확히 했다.둘째, 피해구제 통합기금. 대통령 발언에 언급된 '과징금 활용 피해구제 통합기금'은 아직 법제화 초기 단계지만, 과징금이 국고가 아닌 피해자 보상 재원으로 쓰이는 구조가 시작된다. 10% 상한의 큰 금액이 들어와야 이 기금의 재원이 마련된다는 논리다.셋째, '내부고발 활성화'. 보안 취약점을 내부에서 보고한 직원을 보호하는 조항도 강화됐다. 기업이 사고를 숨기는 것이 불가능해지는 구조다.
구조적 의미 — 개인정보는 이제 '재무 리스크'다
이번 개정의 가장 깊은 의미는 개인정보보호가 '법무/감사' 이슈에서 '재무리스크' 이슈로 이동했다는 데 있다. 매출 10%라는 숫자는 어떤 기업이라도 회계상 유의미하다. 이사회에서 이 문제를 다루지 않을 수 없게 됐다.글로벌 비교에서 한국은 이제 유럽 GDPR(전 세계 매출의 4% 또는 2,000만 유로 중 큰 금액)의 상한선을 넘어선다. 미국은 연방 차원의 개인정보보호법이 없고, 캘리포니아 CCPA는 위반 당 최대 7,500달러의 과징금이라 한국 10% 규정과 온도 차가 있다. 한국이 개인정보 규제에서 전 세계 최고 강도 대열에 합류한 것이다.동시에 한 가지 역설이 있다. 대기업과 글로벌 플랫폼은 강력한 규제에 대응할 자본과 인력이 있지만, 중소기업과 스타트업은 CPO를 고용하는 것조차 비용 부담이다. 규제가 격화될수록 '규제를 감당할 수 있는 큰 기업'과 '그렇지 못한 작은 기업'의 격차가 벌어지는 '규제 자본주의'의 역설은 한국이 앞으로 풀어야 할 새로운 숙제다.
- 한겨레 — "오늘부터 개인정보 중대·반복 유출시 매출액 최대 10% 과징금" (2026-09-11)
- 데일리시큐 — "이재명 대통령, '개인정보 보호비용보다 제재가 훨씬 커야'…9월 징벌적 과징금" (2026-08)
- 개인정보보호위원회 — 개정 개인정보보호법 시행령·고시 공고 (2026-09-10)
- 파이낸셜뉴스 — "9월부터 '최대 10%' 징벌적 과징금 시행…3,367만명 털린 쿠팡, '철퇴 피했다'" (2026-05-12)
- 미래경제 — "개보위, 사전 예방 투자 시 과징금 최대 40% 감경" (2026-09-11)
- 드림시큐리티 — "2026 개인정보보호법 개정 핵심 정리: 보안 대응 가이드" (2026)
- 다음카카오 비즈니스 — "3,367만 건 개인정보 유출 쿠팡 과징금, SKT 1,348억 기록 깨나" (2026-06-10)
- 아이티비즈뉴스 — "사용자 몰래 해외로 개인정보 넘긴 테무에 과징금 13억 6,900만 원" (2026)
- Ncontracts Nsight Blog — "September 2026 Regulatory Update: Fair Lending Rulings and More" (2026-09)
- Reuters — "South Korea tightens privacy law following Coupang, SK Telecom data breaches" (2026-03)