개인정보 유출 공익신고 보상금, 과징금 18억이 0원 된 이유 

회사 서버의 보안 패치가 몇 년째 안 되어 있다는 것, 고객 인증정보가 암호화 없이 저장되어 있다는 것, 해킹 흔적을 발견하고도 덮었다는 것. 이런 사실은 보안·개발·운영 담당자가 가장 먼저 압니다. 개인정보를 제대로 보호하지 않아 유출되게 하거나 동의 없이 수집·제공하는 행위는 개인정보 보호법 위반이자 공익신고 대상인 공익침해행위입니다.

개인정보 과징금은 최근 규모가 완전히 달라졌습니다. 상한이 '전체 매출액의 3%'로 바뀌었고, 2025년 8월 개인정보보호위원회는 국내 1위 이동통신사 A사에 역대 최대인 과징금 1,347억 9,100만 원을 부과했습니다. 그대로 확정된다면 내부 공익신고자 기준 보상금 산정액은 404억 3,730만 원입니다. 그런데 A사는 취소소송을 냈고, 개인정보 과징금은 법원에서 전액 취소된 사례가 적지 않습니다. 보상금은 확정 금액 기준이므로, 과징금이 취소되면 보상금도 0원입니다.

개인정보 보호 위반은 왜 공익신고 대상인가

공익신고자 보호법 별표의 대상 법률에 개인정보 보호법이 포함되어 있습니다. 개인정보 보호법 제64조의2 제1항은 무단 수집·제3자 제공·목적 외 이용, 아동·민감정보·주민등록번호의 위법 처리, 위법한 국외 이전, 그리고 안전조치를 다하지 않아 개인정보가 유출된 경우에 전체 매출액의 3% 범위에서 과징금을 부과할 수 있도록 정합니다. 위반행위와 관련 없는 매출은 제외합니다(제3항).

2026. 9. 11. 시행된 개정법은 가중 상한 10%를 신설했습니다. 3년 안의 반복 위반, 고의 또는 중대한 과실로 정보주체 1천만 명 이상에게 피해를 준 경우, 시정명령을 따르지 않아 유출이 발생한 경우가 대상입니다(제64조의2 제2항).

• 신고 경로: 회사 내부자는 개인정보보호위원회·수사기관·국민권익위원회 등에 공익신고를 할 수 있습니다(공익신고자 보호법 제6조).

• 신고포상금: 개인정보 보호법에는 신고포상금 조문이 없습니다.

• 공익신고 보상금: 내부 공익신고자는 확정 과징금의 30%를 국민권익위원회에 신청할 수 있습니다(공익신고자 보호법 제26조·제26조의2, 시행령 제22조 제1항).

실제 사례 — 과징금 1,348억 원 사건과, 18억 원이 0원 된 사건

어떤 일이 있었나

이동통신사 A사는 2025년 4월 서버 해킹으로 유심 인증키 등 25종의 개인정보가 유출됐고, 유출 정보주체는 2,324만 4,649명입니다. 개인정보보호위원회는 망 분리 미흡, 2016년 경보가 나온 운영체제 취약점을 2025년까지 패치하지 않은 점, 2022년 해커 접속을 확인하고도 점검하지 않은 점, 유심 인증키를 평문으로 저장한 점 등을 들어 과징금 1,347억 9,100만 원을 부과했습니다. A사는 2026년 1월 서울행정법원에 취소소송을 제기했습니다.

온라인 쇼핑몰 B사는 2018년 11월 하루 동안 진행한 이벤트 페이지의 캐시 설정을 잘못해 회원 20명의 이름·이메일·전화번호·배송지가 다른 이용자 29명에게 노출되는 사고를 냈고, 다음 날 바로 규제기관에 신고했습니다. 규제기관은 쇼핑몰 전체 매출을 기준으로 과징금 18억 5,200만 원을 부과했습니다.

법원은 어떻게 판단했나

B사 사건에서 대법원은 과징금을 전액 취소했습니다(대법원 2023. 10. 12. 선고 2022두68923 판결). 먼저 관련 매출액에 대해서는 규제기관의 손을 들어, 유출된 개인정보를 보유·관리하는 쇼핑몰 서비스 전체 매출이 기준이라고 했습니다. 그러나 과징금 액수는 비례원칙에 반한다고 봤습니다. 문제의 설정이 단 하루 적용됐고 다음 날 신고했으며, 주민등록번호·비밀번호는 노출되지 않았고, 직원의 단순 실수를 넘는 구조적 문제라고 볼 자료가 없으며, 유사 사례에서 이런 거액을 부과한 예가 없고, 현행 기준이라면 과징금 면제 사유에도 해당한다는 이유였습니다.

통신사 홈페이지 해킹으로 1,170만 건이 유출된 사건에서도 처분사유 대부분이 인정되지 않아 과징금이 위법하다는 판단이 대법원에서 확정됐습니다(대법원 2021. 8. 19. 선고 2018두56404 판결). 해킹이라는 결과만으로는 부족하고, 회사가 당시 기대할 수 있는 보호조치를 다하지 않았다는 점이 증명되어야 한다는 것입니다.

결국 개인정보 과징금은 사고의 크기가 아니라 관리 부실의 깊이로 버팁니다. 장기간 방치된 보안 취약점, 침입을 확인하고도 하지 않은 점검, 평문 저장 같은 구조적 부실을 보여주는 사실은 회사 내부의 보안·운영 담당자가 가장 정확히 압니다.

보상금은 얼마나 받을 수 있나

공익신고자 보호법 제26조에 따라 내부 공익신고자는 과징금 확정 후 국민권익위원회에 보상금을 신청할 수 있습니다. 2026. 9. 29. 시행령 개정으로 보상금은 확정 금액의 일률 30%이고 지급 한도액은 없습니다(법 제26조의2, 시행령 제22조 제1항).

• A사(1,347억 9,100만 원, 소송 중): 전액 확정 시 404억 3,730만 원, 취소되면 0원

• B사(18억 5,200만 원, 대법원 전액 취소): 0원

(내부 공익신고로 처분이 이루어졌다고 가정한 기계적 계산이며, 증거의 신빙성·언론 공개 여부·기여도에 따라 감액될 수 있습니다.)

유의할 점은 세 가지입니다. 첫째, 보상금은 '공익신고로 인하여' 수입이 회복된 경우에 지급되므로, 회사가 스스로 유출을 신고해 조사가 시작된 사건에서는 신고인의 기여가 인정되기 어렵습니다. 내부 신고자의 가치는 신고되지 않은 유출, 동의 없는 제3자 제공, 장기간 방치된 취약점처럼 회사가 숨기고 있는 사실에 있습니다. 둘째, 보안관제·유지보수·개발 용역을 수행한 협력업체 직원도 내부 공익신고자에 포함됩니다(법 제2조 제7호). 셋째, 보상금 신청은 확정을 안 날부터 3년, 확정된 날부터 5년 이내입니다(법 제26조 제3항).

이 지점부터는 변호사가 필요합니다

개인정보 사건은 과징금이 크게 매겨져도 법원에서 비례원칙으로 다시 판단받습니다. 일회성 실수인지 구조적 부실인지, 회사가 기대 가능한 보호조치를 다했는지가 쟁점이 되고, 그 판단은 신고 단계에서 어떤 증거를 어떻게 정리해 제출했느냐에 달려 있습니다.

보안 자료는 그 자체로 영업비밀이거나 또 다른 개인정보를 담고 있는 경우가 많아, 증거를 확보하는 과정에서 신고자 본인이 법 위반 시비에 휘말릴 위험도 있습니다. 변호사를 통한 비실명 대리신고(공익신고자 보호법 제8조의2)로 신분을 가린 채 신고하고, 증거의 범위와 제출 방식을 설계하며, 보호조치 신청과 보상금 신청까지 절차 전반에서 변호사의 조력이 필요한 이유입니다.

개인정보 유출·무단 제공 등 개인정보 보호법 위반 공익신고와 탈세제보, 신고서 작성부터 비실명 대리신고, 보상금 신청까지 함께합니다. 상담은 프로필의 전화상담·방문상담 예약을 이용해 주세요.

본 글은 일반적인 법률 정보 제공을 위한 것으로, 구체적 사건에 대한 법률의견이 아닙니다.