본문
금융위원회는 2026. 10. 1. 「신용정보업감독규정」 일부개정안을 규정변경 예고하였습니다. 이번 개정안의 핵심은 신용정보법 위반에 대한 과징금 산정 시, 그 동안 전 금융업권에 공통 적용되어 온 「금융기관 검사 및 제재에 관한 규정」(이하 “검사·제재규정”)의 과징금 기준을 적용하던 방식에서 벗어나, 개인신용정보 침해의 특성을 반영한 별도의 산정기준을 신설하는 데 있습니다.
개정안은 신용정보업감독규정 제3조의9 및 별표9를 신설하여, 과징금 부과기준율을 보다 세분화하는 한편, 개인신용정보의 유형과 성격, 정보주체 피해의 규모와 영향, 예방적 내부통제 및 피해회복 노력 등을 과징금 산정에 반영하도록 하였습니다. 금융위원회는 이를 통해 제재의 투명성과 예측가능성, 비례성을 높일 수 있을 것으로 기대하고 있습니다.
1. 개정 배경
2. 과징금 부과기준 변경(안)의 주요내용
3. 개인정보 보호법과의 비교
4. 금융회사 등에 대한 실무적 시사점
1. 개정 배경
2020년 신용정보법 개정으로 과징금 부과 대상은 개인신용정보의 누설·유출 외에 동의 없는 제공·이용, 가명정보 부정처리 등으로 확대되었습니다. 과징금 상한도 ‘위반행위 관련 매출액의 3%’에서 ‘전체 매출액’의 3%로 상향되었습니다.
문제는 신용정보법상 과징금에 별도 산정기준이 마련되지 않아, 「금융기관 검사 및 제재에 관한 규정」의 공통 기준이 적용되어 왔다는 점입니다. 공통 기준은 다양한 금융업법 위반에 적용되는 일반 기준으로서, 위반행위의 동기·방법, 부당이득, 피해규모, 시장영향, 위반기간·횟수 등을 중심으로 중대성을 평가합니다.
그러나 신용정보법 위반은 개인신용정보의 민감도, 금융사기·부정결제 등 직접적 금융피해 가능성, 침해된 정보주체의 수와 피해 가능성 등 개인정보·신용정보 특유의 요소를 함께 고려할 필요가 있습니다. 또한 현행 공통 기준은 중대성에 따라 법정상한의 50%, 75%, 100%라는 세 단계의 부과기준율만 적용하도록 하고 있어, 경미한 위반행위에도 기본과징금이 법정상한의 50%부터 출발하는 문제가 있었습니다.
금융위원회는 이러한 문제를 해결하기 위해, 신용정보법 위반에만 적용되는 별도의 과징금 산정기준을 감독규정에 신설하였습니다.
2. 과징금 부과기준 변경(안)의 주요내용
가. 부과기준율의 세분화 및 부과기준율 하한의 대폭 인하
개정안은 중대성 산정점수에 따라 부과기준율을 1%부터 100%까지 적용합니다. 구체적으로, 산정점수 1.0점 이상 1.6점 미만인 ‘중대성이 약한 위반행위’에는 1% 이상 30% 미만, 1.6점 이상 2.3점 미만인 ‘중대한 위반행위’에는 30% 이상 65% 미만, 2.3점 이상인 ‘매우 중대한 위반행위’에는 65% 이상 100% 이하의 기준율을 적용합니다. 부과기준율은 산정점수가 1.0점인 경우에는 1%로 하고, 산정점수가 1.1점 이상인 경우에는 5%에 1.1점을 초과하는 0.1점마다 5%p를 가산한 비율로 합니다.
즉, 현행 체계에서는 경미한 위반이라도 기본적으로 법정상한의 50%가 적용되었던 반면, 개정안에서는 위반의 경중에 따라 1%부터 부과기준율을 차등화할 수 있게 됩니다.
이러한 3구간 연속 부과기준율 체계는 2025. 11. 개정으로 도입된 금융소비자보호에 관한 감독규정 [별표 7]의 과징금 부과기준율 체계를 참고한 것으로 이해됩니다.
나. 개인신용정보 침해 특성을 반영한 중대성 평가항목 신설
개정안은 공통기준의 일반 평가요소(위반행위 동기·방법, 부당이득 규모, 피해규모, 시장영향, 위반기간·횟수)에 더하여, 신용정보 침해에 특화된 두 가지 중대성 평가항목을 신설하였습니다.
• 첫째, ‘개인신용정보의 유형 및 성격’입니다. 금융자산 탈취, 부정결제, 금융사기 등 직접적인 금융피해와 상당한 관련성이 있는 정보는 높은 중대성으로 평가될 수 있습니다. 반대로 직접적 금융피해 가능성이 상대적으로 낮은 정보는 사안에 따라 중간 수준으로 평가될 여지가 있습니다.
• 둘째, ‘정보주체 피해 규모 및 영향’입니다. 다수의 정보주체에게 현저한 피해가 발생하였거나 그러한 피해가 발생할 가능성이 큰 경우에는 중대성이 높게 평가될 수 있습니다. 여기서 유의할 점은 실제 금전피해가 확인되지 않았더라도, 취급된 정보의 성격 및 침해 범위에 비추어 중대한 피해 발생 가능성이 인정되면 중대성 판단에서 불리하게 작용할 수 있다는 점입니다.
다. 가중·감경 체계 변화
개정안은 일반적인 가중 한도는 기본과징금의 50% 범위로 유지하면서, 감경 한도를 기존 50%에서 “75%”로 확대하였습니다. 경미한 위반, 제한적인 침해 범위, 충실한 사후수습이 있는 경우 종전보다 실질적인 감경 가능성이 커질 수 있습니다.
반면 사회적 영향이 큰 중대한 위반행위에 대해서는 보다 엄격한 가중이 가능해집니다. 구체적으로, 과징금 처분 후 3년 이내에 동일한 위반행위를 다시 한 경우, 고의 또는 중대한 과실로 1천만 명 이상에게 피해를 발생시킨 경우, 신용정보법상 조치명령을 이행하지 않은 경우 등이 특별가중 사유로 제시되어 기본과징금의 100% 범위 내에서 가중할 수 있도록 하였습니다.
개정안은 예방적 관리 노력도 명시적인 감경요소로 반영합니다. 개인신용정보 관리·보호 실태가 3년 이상 지속적으로 우수한 경우, 개인정보보호위원회가 인정하는 개인정보 보호 관련 인증을 받은 경우, 자체감사 및 내부통제체계를 구축·실효적으로 운영한 경우 등이 이에 해당할 수 있습니다.
또한, 개정안은, 금융위원회가 위반행위에 대한 검사의 협조 여부, 위반상태의 해소나 위반 행위의 예방을 위한 노력과 행정기본법 제9조 및 제10조에 따른 형평성 및 비례성, 같은 법 제21조에 따른 관련 이익의 정당한 형량 등을 종합적으로 고려하여 최종 산정될 과징금을 가중 또는 감경할 수 있도록 하였습니다.
3. 개인정보 보호법과의 비교
개정안은 개인정보 보호법상 과징금 제도와 같이 정보의 유형, 정보주체에 미치는 영향, 예방 노력 및 피해회복 조치를 제재 수준에 반영한다는 점에서 유사합니다.
다만 개인정보 보호법은 과징금 산정 시 전체 매출액에서 위반행위와 관련 없는 매출액을 제외하도록 명시하고 있습니다. 반면 신용정보법은 여전히 전체 매출액을 기초로 법정상한을 산정합니다. 이번 개정안은 이 차이를 법률 개정으로 해소하는 대신, 부과기준율을 대폭 세분화하고 감경 범위를 확대하는 방법으로 제재의 비례성을 보완하려는 것으로 평가됩니다.
또한 개인정보 보호법은 반복 위반, 고의·중과실에 따른 1천만 명 이상 대규모 침해, 시정명령 불이행에 따른 유출 등 일정한 경우 전체 매출액의 10%까지 과징금을 부과할 수 있습니다. 신용정보법 개정안은 법정상한을 인상하지는 않지만, 유사한 사유를 특별가중 요소로 반영하여 중대한 위반행위에는 엄중하게 대응하는 구조입니다.
4. 금융회사 등에 대한 실무적 시사점
이번 개정안은 경미한 위반행위나 피해가 제한적인 사안에서는 과징금 부담을 합리화할 가능성을 높이는 한편, 대규모 침해·직접적 금융피해 위험·반복 위반에는 오히려 더 엄격한 제재 근거를 마련하는 조치입니다.
금융회사는 사고 또는 검사 대응 단계에서 단순히 위반 여부를 다투는 데 그치지 않고, 각 중대성 평가항목과 가중·감경 사유별 사실관계를 체계적으로 소명할 필요가 있으며, 기존 과징금 부과 기준에 비해 금융당국의 재량이 확대되었으므로 사안의 특수성 등 감경 요소를 적극적으로 주장할 필요가 있습니다.
또한, 금융회사로서는 정보보호 예산의 집행뿐 아니라 신용정보 보호를 위한 보안규제를 충실히 이행하고 이에 대한 점검 등 관리체계가 실제로 작동하였음을 입증할 자료를 축적하는 것이 중요합니다. 이러한 자료는 위반행위의 중대성, 예방 노력, 사후수습 및 감경 가능성을 판단하는 핵심 근거로 활용될 수 있습니다.
화우 디지털금융센터는 금융회사, 플랫폼, 핀테크기업 및 가상자산사업자 등에 대한 다양한 자문 경험과 전문성을 바탕으로 최적의 법률서비스를 제공하고 있습니다. 관련하여 궁금하신 사항이 있으시면 언제든지 문의하여 주시기 바랍니다.
- 관련 분야
- #디지털금융센터
