유출 미신고 과태료 3천만원은 어떤 경우에 부과되나요?

조항까지 확인된 금액은 하나입니다

답부터 적으면 공개 안내에서 조항까지 확인되는 금액은 개인정보 유출 신고를 72시간 이내에 하지 않은 경우의 3천만원 이하 과태료입니다. 근거는 개인정보보호법 제75조 제2항 제18호입니다. 침해사고 미신고 쪽도 공개 안내에서 최대 3천만원으로 설명되지만 조항 번호까지 명시한 안내는 확인하지 못해, 이 글은 조항이 확인된 쪽만 조항과 함께 적습니다.

부과 조건은 기한 초과입니다

조건은 복잡하지 않습니다. 신고 의무가 발생했는데 72시간 이내에 신고하지 않은 상태입니다. 그래서 과태료를 피하는 일은 금액을 아는 것이 아니라 두 가지를 확정하는 일로 바뀝니다. 의무가 발생했는지, 그리고 기한의 출발점이 언제인지입니다.

의무 발생 여부가 먼저입니다

신고 의무는 세 요건 중 하나에 해당할 때 발생합니다. 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보 또는 고유식별정보가 유출된 경우, 개인정보처리시스템이나 정보기기에 대한 외부로부터의 불법적인 접근으로 유출된 경우입니다. 세 요건에 해당하지 않으면 신고 의무가 없으므로 미신고 과태료도 적용되지 않습니다. 다만 통지 의무는 남습니다.

기산점을 잘못 잡으면 이행했어도 초과가 됩니다

기한은 유출을 알게 된 때부터 72시간입니다. 사고가 발생한 때가 아닙니다. 과거의 유출을 로그 분석으로 뒤늦게 발견했다면 발견한 시각부터 셉니다. 반대로 담당자가 이미 알고 있었는데 내부 보고가 늦었다면 보고 시각이 아니라 처음 알게 된 시각이 기준이 되어, 이미 기한을 지나쳤을 수 있습니다.

사례: 기산점 차이로 결론이 갈린 경우

상황은 유출 인원 1천500명의 사고입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 담당자가 월요일 14시에 이상을 인지, 내부 보고는 수요일 10시, 신고 접수는 수요일 16시입니다. 계산은 두 기산점으로 각각 해 봅니다. 처음 알게 된 월요일 14시를 기준으로 하면 기한은 목요일 14시이고 수요일 16시 접수는 기한 내입니다. 반면 인지가 실제로는 그 전 주 금요일 11시였다면 기한은 월요일 11시이고 수요일 16시 접수는 기한 초과입니다. 최종 결과는 기산점에 따라 기한 내와 기한 초과로 갈리고, 1천500명은 1천명을 넘으므로 신고 의무 자체는 어느 경우에나 발생합니다. 결과를 바꾸는 예외는 인지 시각을 뒷받침하는 기록이 없는 경우로, 그때는 이행을 증명하기 어려워집니다. 다음 행동은 최초 인지 시각과 그 근거가 되는 기록을 한 줄로 묶어 적는 것입니다.

금액만 알려진 다른 항목과 섞지 않습니다

공개 안내에는 개인정보 침해 상담과 관련해 1천만원 이하라는 금액도 등장합니다. 3천만원과 1천만원은 적용되는 상황이 달라 서로 바꿔 쓸 수 없습니다. 금액을 외우기보다 어떤 의무의 불이행에 붙는 금액인지를 함께 적어 두는 편이 안전합니다. 이 글의 표에 그 구분을 정리했습니다.

이 글에서 확정하지 못한 것

정보통신망법상 침해사고 미신고 과태료의 상한은 공개 안내에서 최대 3천만원으로 설명되지만 조항 번호를 명시한 공식 안내는 확인하지 못했습니다. 그래서 이 글은 그 금액을 조항 없이 적고, 조항이 확인된 개인정보보호법 제75조 제2항 제18호만 조항과 함께 적었습니다. 실제 부과 사례의 평균 금액과 감경 기준은 공개된 통계를 찾지 못해 수치를 제시하지 않습니다.

금액이 같아 보이는 항목의 근거 차이