신용정보법 과징금 산정기준 개편, 부과기준율 세분화로 무엇이 달라지나?

개인신용정보를 다루는 금융회사와 핀테크 기업에 신용정보법 과징금은 위반의 경중과 관계없이 전체 매출액에서 계산이 출발한다는 점에서 부담이 큰 제재입니다. 최근 금융감독원이 1,400억 원대로 산정한 과징금이 금융위원회 의결에서 70억 원으로 정해진 사례가 나오면서 산정기준의 예측 가능성 문제가 드러났고, 금융당국은 산정기준 개편에 착수했습니다. 이 글에서는 과징금 대상 행위, 현행 산정 방식, 제재 절차에서 금액이 달라지는 구조, 개편 논의 내용, 감경을 위한 소명 전략과 내부통제 점검 항목을 차례로 정리했습니다.

지금 우리 회사, 신용정보법 과징금 대상일까?

과징금 부과 대상 사업자와 부과 기관

신용정보법 제42조의2에 따른 과징금은 신용정보회사, 신용정보집중기관, 신용정보제공·이용자 등 이른바 ‘신용정보회사등’에 부과됩니다. 은행·보험·카드·금융투자회사처럼 금융위원회의 감독을 받는 회사에는 금융위원회가 부과하고, 금융위원회 감독을 받지 않는 상거래기업과 법인에는 신용정보법 제45조의3에 따라 개인정보보호위원회가 부과합니다. 본인신용정보관리회사(마이데이터 사업자)도 신용정보회사등에 포함되므로 같은 규정이 적용됩니다.

누설·유출 외에 부당제공·부당이용·가명정보 부정처리도 대상입니다

과징금 대상은 정보 유출 사고에 한정되지 않습니다. 법은 ① 보안대책 위반으로 개인신용정보를 분실·도난·누출·변조·훼손당한 경우, ② 동의 없이 개인신용정보를 제3자에게 제공하거나 그 사정을 알면서 영리·부정한 목적으로 제공받은 경우, ③ 제33조 제1항을 위반해 개인신용정보를 이용한 경우, ④ 영리·부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리한 경우, ⑤ 임직원이 개인비밀을 업무 목적 외로 누설·이용한 경우, ⑥ 불법 누설된 개인비밀임을 알고도 제공·이용한 경우를 대상으로 정하고 있습니다. 고객정보를 동의 범위 밖의 마케팅이나 광고성 정보 전송에 쓴 경우는 ③의 목적 외 이용 문제로 이어질 수 있습니다. ①의 유출 사고는 상한이 50억 원이지만, 나머지 행위는 전체 매출액의 3%가 상한이어서 동의 없는 제공·이용이 오히려 더 큰 과징금으로 이어질 수 있습니다.

계열사·대리점에 준 고객정보도 해당하는지

계열사나 법인보험대리점(GA)에 고객정보를 넘겼다고 곧바로 위반이 되는 것은 아닙니다. 신용정보법 제32조 제6항은 제17조 제2항에 따라 신용정보 처리를 위탁하기 위해 제공하는 경우를 동의 요건의 예외로 두고 있기 때문입니다. 반대로 정보를 받은 쪽이 자기 영업을 위해 정보를 쓴다면 제3자 제공으로 평가되어 사전 동의가 필요합니다. 또한 같은 조 제8항은 위탁계약을 맺은 모집인 등의 위반행위를 신용정보제공·이용자 직원의 행위로 보도록 하고 있어, 회사가 상당한 주의와 감독을 다했음을 입증하지 못하면 대리점의 위반도 회사 과징금으로 돌아올 수 있습니다.

개인신용정보 처리위탁과 제3자 제공 비교

현행 신용정보법 과징금 산정 방식

전체 매출액 3% 법정상한과 예외

법정상한은 전체 매출액의 100분의 3입니다. 신용정보법 시행령 제35조의3은 전체 매출액을 직전 3개 사업연도의 연평균 매출액으로 정하고 있습니다. 보안대책 위반으로 인한 유출 사고는 50억 원 이하로 상한이 따로 정해져 있고, 영업실적이 없거나 매출액 산정이 곤란한 경우에는 비슷한 규모 회사의 연평균 매출액 3%, 같은 종류 회사의 연평균 매출액 3%, 200억 원 중 가장 적은 금액이 상한이 됩니다. 법은 과징금을 정할 때 위반행위의 내용과 정도, 기간과 횟수, 위반행위로 취득한 이익의 규모를 고려하도록 정하고 있습니다.

중대성 평가 항목과 부과기준율 3단계

시행령 별표 2의3에 따라 기본과징금은 법정상한에 부과기준율을 곱해 산정하고, 구체적인 기준은 금융위원회 고시인 금융기관 검사 및 제재에 관한 규정 별표 2(과징금 부과기준)가 정합니다. 이 기준은 여섯 가지 참작사항을 상(3점)·중(2점)·하(1점)로 평가하고 비중치를 곱해 합산한 점수로 위반행위의 중대성을 나눕니다. 산정점수가 2.3 이상이면 ‘매우 중대한 위반행위’로 100%, 1.6 이상 2.3 미만이면 ‘중대한 위반행위’로 75%, 1.6 미만이면 ‘중대성이 약한 위반행위’로 50%가 적용되며, 세부평가 기준표에서 고려되지 않은 사유가 있으면 부과기준율에 10%를 가감할 수 있습니다.

과징금 부과기준 세부평가 항목

가중·감경 조정과 부과과징금 결정

기본과징금은 가중·감경 사유에 따라 조정되며, 조정금액은 기본과징금의 100분의 50을 넘을 수 없습니다. 감독기관이 알기 전에 스스로 시정하거나 치유한 경우, 자진 신고 등으로 검사에 적극 협조한 경우, 같은 위반을 막기 위한 내부통제 시스템을 갖추고 시행하는 등 상당한 주의·감독을 한 경우에는 각각 기본과징금의 100분의 50 이내에서 감경할 수 있습니다. 이후 부담능력이 현저히 부족한 경우 등 과징금이 현저히 과중하다고 인정되면 조정 후 과징금의 100분의 50 이내에서 다시 감액할 수 있고, 조정 후 과징금이 자본금 또는 자본총액 중 큰 금액의 10%를 넘으면 그 초과 부분 이내에서 감액할 수 있습니다. 조정 후 과징금이 부당이득액의 10배를 넘는 경우의 감액은 금융위원회가 특별히 인정하는 경우에만 적용되며, 금융감독원장은 과징금 부과를 건의할 때 이 사유를 고려하지 않습니다.

은행법·보험업법과 기준금액이 다른 점

같은 고시가 적용되더라도 과징금 계산의 출발점인 기준금액은 법마다 다릅니다. 은행법 제65조의3은 초과한 신용공여액의 100분의 30처럼 위반금액을 기준으로 삼고, 보험업법 제196조도 해당 보험계약의 연간 수입보험료나 초과 신용공여액을 기준으로 삼습니다. 반면 신용정보법은 위반행위와 직접 관련된 금액이 아니라 회사 전체 매출액을 기준으로 합니다. 개인정보보호법 제64조의2 제3항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외하도록 명시하고 있지만, 신용정보법 제42조의2에는 이러한 제외 규정이 없습니다.

매출액 규모에 따라 과징금이 커지는 구조

예를 들어 직전 3개 사업연도 연평균 매출액이 1조 원인 회사라면 법정상한은 300억 원이고, 중대성이 약한 위반이라도 기본과징금은 150억 원, 중대한 위반은 225억 원, 매우 중대한 위반은 300억 원에서 출발합니다. 영업수익이 수십조 원인 대형 금융회사는 같은 계산으로 기본과징금이 수천억 원에 이를 수 있습니다. 위반된 고객 수나 실제 피해가 작더라도 회사 매출이 크면 기본과징금이 커지는 구조이므로, 감경 사유를 뒷받침할 자료를 검사 단계부터 준비해야 합니다.

금감원 제재심에서 금융위 의결까지 과징금이 달라지는 구조

금감원 검사, 제재심의위원회, 금융위 의결 절차

금융기관 검사 및 제재에 관한 규정에 따르면 금융감독원장은 검사에서 지적된 사항을 심사·조정하고, 금융감독원장 자문기구인 제재심의위원회 심의를 거쳐 금융위원회에 제재를 건의하거나 직접 조치합니다. 제재 전에는 위반사실, 관련 법규, 제재 예정내용을 사전통지하고 구술이나 서면으로 의견을 진술할 기회를 주어야 하며, 사전통지를 받은 제재대상자는 제재심의위원회에 제출될 부의예정안과 서류를 열람할 수 있습니다. 과징금은 금융위원회가 최종 의결하고, 신용정보법 시행령 제35조의4에 따라 당사자는 금융위원회 회의에 출석해 의견을 진술하거나 자료를 제출할 수 있으며 변호인의 도움을 받을 수 있습니다.

금융위 재량 감경이 반영된 사례

금융위원회는 2026년 9월 9일 정례회의에서 고객 동의 없이 개인신용정보를 자회사 GA에 제공한 동양생명에 과징금 70억 원을 부과하기로 의결했습니다. 보도에 따르면 금융감독원 단계에서 산정된 금액은 1,400억 원대였으나 금융위원회 의결 과정에서 약 95% 줄었습니다. 같은 사실관계라도 제공 행위의 성격을 어떻게 평가하느냐에 따라 과징금이 수십 배 차이 날 수 있다는 점이 확인된 사례입니다.

감경 판단에 반영된 사정, 정보 제공 대상과 유출 규모

보도된 금융위원회의 판단 사유는 세 가지로 요약됩니다. 첫째, 자회사 GA에 개인신용정보를 넘긴 행위는 통상의 불법적인 제3자 제공과 달리 보험 모집·계약 유지 등 일반적인 업무상 위탁의 성격이 있다고 보았습니다. 둘째, 정보 유출 규모가 과거 유사 사례보다 크지 않다는 점을 고려했습니다. 셋째, 현행 신용정보법은 개인정보보호법이나 금융소비자보호법과 달리 경미한 사안을 감경할 여지가 많지 않다는 점을 들었습니다. 정보 제공 상대방과의 관계, 제공 목적, 정보의 실제 활용 범위가 감경 판단의 핵심 자료가 된 셈입니다.

과징금 산정기준 개선 TF 논의 내용과 미확정 사항

부과기준율 세분화 방향

금융위원회는 2026년 9월 16일 금융위원회·금융감독원 관계 부서와 은행·여신금융·생명보험·손해보험·금융투자 5개 협회가 참여한 ‘신용정보법 과징금 산정기준 개선을 위한 TF’ 회의를 열었습니다. 참석자들은 신용정보법 과징금이 일반 금융업권 과징금 기준을 따르고 있어 개인신용정보 보호의 특성이 중대성 평가에 충분히 반영되지 않고, 부과기준율이 50·75·100%로 일률적이어서 구체적인 위반 정도에 비례한 산정에 한계가 있다는 데 의견을 같이했습니다. 전체 매출액 3%라는 법정상한은 법률 사항이므로 이번 논의는 그 아래 단계인 부과기준율과 중대성 평가를 세분화하는 방향입니다.

개인신용정보 성격·유형과 정보주체 피해 반영

TF는 신용정보법에 맞는 별도 산정기준을 마련해 침해된 개인신용정보의 성격과 유형, 정보주체 규모와 피해 정도를 반영하는 방안을 논의했습니다. 이 방향이 반영되면 어떤 정보가 몇 명분 제공·이용됐는지, 실제 피해가 있었는지가 부과기준율을 정하는 직접 요소가 될 가능성이 큽니다. 기업 입장에서는 위반 대상 정보의 범위와 정보주체 수를 정확히 특정해 두는 것이 앞으로 더 중요해집니다.

사전 예방, 소비자 피해회복 감경 요소

금융당국은 중대한 위반에는 억지력을 유지하면서 사전 예방 노력과 소비자 피해회복 노력은 감경 요소로 고려하는 방향을 제시했습니다. 현행 고시에도 내부통제 시스템 구축에 따른 감경 규정이 있지만, 개편 기준에서는 개인신용정보 보호를 위한 사전 조치와 사고 후 피해회복 조치가 더 구체적으로 평가될 수 있습니다.

개인정보보호법, GDPR 산정체계 비교

TF는 개인정보보호법과 EU GDPR의 산정체계를 참고 사례로 검토했습니다. 개인정보보호법은 과징금을 정할 때 개인정보의 유형과 정보주체에게 미치는 영향, 정보주체의 피해 규모, 피해 회복과 확산 방지 조치, 개인정보 보호 인증 등 보호 노력을 고려하도록 법률에 명시하고 있습니다. 보도에 따르면 경미한 위반에 대해 개인정보보호법은 1~30%, GDPR은 0~10% 수준의 부과기준율을 적용하고 있고, 금융소비자보호법 과징금 기준도 2025년 경미한 위반에 1~30% 구간을 도입했습니다.

규정 개정 일정과 미확정 사항

금융위원회는 금융업권 의견을 폭넓게 수렴한 뒤 투명하고 합리적인 산정기준을 마련하고 관련 규정 개정을 조속히 추진하겠다고 밝혔습니다. 다만 2026년 9월 17일 기준으로 세분화된 부과기준율 구간, 새 평가항목의 비중, 시행일과 경과조치는 공개되지 않았습니다. 진행 중인 제재 절차에 새 기준이 적용되는지는 개정 규정 부칙과 행정기본법 제14조에 따라 따져봐야 합니다.

신용정보법 위반 시 과징금·과태료·형사처벌 규정

신용정보법 위반에는 과징금, 과태료, 형사처벌이 따로 규정되어 있고, 한 사안에 여러 제재가 함께 문제될 수 있습니다. 과징금은 금융위원회 또는 개인정보보호위원회가 회사에 부과하는 금전 제재이고, 과태료는 신용정보법 제52조에 따라 절차·관리 의무 위반에 부과됩니다. 형사처벌은 신용정보법 제50조에 따라 행위자에게 부과되며, 양벌규정에 따라 회사도 벌금형을 받을 수 있습니다. 동의 없는 제3자 제공과 목적 외 이용은 과징금 대상이면서 동시에 5년 이하 징역 또는 5천만 원 이하 벌금 대상이므로, 행정제재 대응과 형사 리스크 검토를 함께 진행해야 합니다.

신용정보법 위반 유형별 제재 규정

관련 사례 및 판례로 보는 주요 쟁점

자회사·대리점에 넘긴 고객정보가 처리위탁인지 제3자 제공인지 여부

처리위탁은 위탁자 본인의 업무와 이익을 위해 개인정보가 이전되는 경우이고 제3자 제공은 정보를 받는 자의 업무와 이익을 위해 이전되는 경우이며, 어느 쪽인지는 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적 관리·감독 여부, 정보를 이용할 필요가 있는 자가 실질적으로 누구인지 등을 종합해 판단해야 합니다(대법원 2017. 4. 7. 선고 2016도13263 판결).

동의서에 적힌 목적과 다르게 개인신용정보를 제공하면 동의 없는 제공인지 여부

동의서에 명시된 신용정보의 내용, 제공대상자, 용도나 목적과 다르게 개인신용정보를 제공했다면 동의 없이 개인신용정보를 제공한 경우에 해당하며, 신용카드회사 직원이 동의서에 없는 목적으로 모집 대행업체에 정보를 제공한 사안에서 회사의 양벌규정 책임도 인정되었습니다(대법원 2006. 6. 15. 선고 2004도1639 판결).

과징금 부과처분이 재량권 일탈·남용으로 위법한지 여부

제재적 행정처분이 재량권을 일탈·남용했는지는 위반행위의 내용, 처분으로 달성하려는 공익목적과 제반 사정을 객관적으로 심리해 공익 침해의 정도와 처분으로 입게 될 불이익을 비교·형량하여 판단해야 합니다(대법원 2007. 9. 20. 선고 2007두6946 판결).

법원이 과다한 과징금 중 일부만 취소하는 것이 가능한지

과징금을 부과할지와 그 금액을 얼마로 할지에 행정청의 재량이 인정되는 경우 과징금 부과처분이 위법하면 법원은 그 전부를 취소할 수밖에 없고, 법원이 적정하다고 보는 금액을 넘는 부분만 취소할 수는 없습니다(대법원 1998. 4. 10. 선고 98두2270 판결).

과징금 감경을 위한 소명 전략과 내부통제 점검

비례원칙 위반과 위반행위와 무관한 매출액 제외 주장

신용정보법에는 위반행위와 무관한 매출액을 빼는 규정이 없지만, 법은 위반행위의 내용과 정도, 기간과 횟수, 취득 이익을 고려하도록 하고 있고 판례도 제재처분의 적법성을 공익 침해 정도와 불이익의 비교·형량으로 판단합니다. 따라서 위반과 관련된 사업부문의 매출 비중, 실제 제공·이용된 정보의 범위와 정보주체 수, 위반으로 얻은 이익이 없거나 미미하다는 점을 수치로 제시해, 전체 매출액 기준 금액이 위반의 실질에 비해 과중하다는 점을 비례원칙과 부과과징금 감액 사유로 주장할 수 있습니다.

고의·과실과 위반 동기 소명

세부평가에서 위반행위 동기와 방법은 각각 비중 0.2를 차지합니다. 고의가 아닌 과실이었는지, 업무위탁 등 정당한 업무 목적이 있었는지, 조직적 위반이나 임원의 직접 관여가 없었는지를 입증하면 산정점수가 낮아지고 부과기준율 구간이 달라질 수 있습니다. 위반을 적법하다고 오인한 데 정당한 사유가 있었다면 시행령 별표 2의3의 과징금 면제 사유도 검토 대상입니다.

처분 이후 행정소송 검토

금융위원회 처분에 불복하려면 이의신청, 행정심판, 행정소송을 검토할 수 있습니다. 다만 과징금 부과처분이 위법하다고 판단되면 법원은 처분 전부를 취소하고 행정청이 다시 처분하는 구조이므로, 소송에서도 산정 단계별로 어떤 판단이 잘못됐는지를 구체적으로 특정해야 합니다.

사전 확인 체크리스트

• 고객정보를 마케팅이나 광고성 정보 전송에 쓸 때 해당 목적에 대한 별도 동의 확보 여부는 어떻게 되나요?

• 계열사·GA·모집인에 정보를 넘기는 근거가 처리위탁인지 제3자 제공인지 계약서와 실제 운영으로 설명이 가능할까요?

• 수탁자에 대한 교육, 위탁계약상 보호조치, 재위탁 금지 점검 기록은 어떻게 되나요?

• 임직원의 고객정보 조회 권한 통제와 조회 기록 점검 주기는 어떻게 되나요?

• 가명정보 추가정보의 분리 보관과 재식별 방지 조치 증빙이 가능할까요?

• 마이데이터 사업자라면 전송요구를 강요·부당 유도하지 않는지, 접근매체를 대신 쓰는 방식으로 정보를 수집하지 않는지 점검 결과는 어떻게 되나요?

• 개인신용정보 누설 시 정보주체 통지, 피해 최소화 조치, 금융위원회 신고 절차가 문서화되어 있을까요?

검사·제재 단계별 대응 순서

제재심의위원회 부의 이후에는 사실관계를 다시 다투기 어려우므로, 검사 착수 단계부터 위반 범위와 감경 사유를 뒷받침하는 자료를 정리해야 합니다.

• 검사에서 지적된 정보의 유형, 정보주체 수, 제공·이용 기간, 제공받은 자의 실제 활용 범위를 특정합니다.

• 위반 사실을 확인하면 즉시 제공 중단, 정보 회수·파기, 동의 절차 보완 등 시정 조치를 하고 그 기록을 남깁니다.

• 정보주체 통지, 피해 여부 조사, 피해회복 조치 내역을 날짜별로 정리합니다.

• 사전통지를 받으면 부의예정안과 제출 서류를 열람하고, 세부평가 항목별 반박 의견과 매출액·부당이득 자료를 담은 의견서를 제출합니다.

• 금융위원회 의결 전 회의 출석과 의견진술을 신청하고, 처분 후에는 이의신청·행정소송 가능성을 검토합니다.

신용정보법 과징금은 전체 매출액에서 계산이 시작되기 때문에, 위반 자체보다 위반의 범위와 경위를 얼마나 정확하게 입증하느냐가 최종 금액을 좌우합니다. 산정기준 개편으로 정보 유형, 정보주체 규모, 예방·피해회복 노력이 더 세밀하게 반영될 가능성이 큰 만큼, 지금부터 동의·위탁 구조를 정비하고 유출 대응과 피해회복 기록을 남겨두는 것이 제재 단계에서 쓸 수 있는 가장 확실한 감경 근거가 됩니다.

자주 묻는 질문(FAQ)

Q. 개편 전 위반행위에 새 산정기준 적용이 가능할까요?

행정기본법은 제재처분에 원칙적으로 위반행위 당시의 법령을 적용하되, 이후 제재처분 기준이 가벼워졌고 해당 법령에 특별한 규정이 없으면 변경된 법령을 적용하도록 정하고 있습니다. 다만 개정 규정 부칙에 경과조치가 있으면 그에 따르며, 2023년 과징금 부과기준 개정 때에도 시행 전 위반행위에는 종전 기준을 적용하는 경과조치가 있었습니다. 새 기준의 부칙 내용을 확인한 뒤 적용 여부를 다퉈야 합니다.

Q. 경미한 위반도 전체 매출액 기준 과징금이 나올 가능성이 있을까요?

현행 기준에서는 가장 낮은 부과기준율도 50%이므로, 중대성이 약한 위반이라도 기본과징금은 법정상한의 절반에서 출발합니다. 다만 가중·감경 조정, 과중한 경우의 감액, 위반 정도가 경미한 경우의 면제 규정이 있으므로 이 단계에서 구체적인 사정을 소명해야 합니다. 또한 보안대책 위반으로 개인신용정보가 유출된 경우의 상한은 전체 매출액이 아니라 50억 원입니다.

Q. 내부 직원의 고객정보 조회도 신용정보법 위반 가능성이 있을까요?

임직원이 업무상 알게 된 개인신용정보를 업무 목적 외로 누설하거나 이용하면 신용정보법 제42조 제1항 위반이 되고, 이는 과징금 부과 대상이자 10년 이하 징역 또는 1억 원 이하 벌금 대상입니다. 권한 없이 신용정보를 검색·복제한 경우에도 별도의 형사처벌 규정이 있습니다.

Q. 과징금 부과 전 의견 제출 기회는 어떻게 되나요?

신용정보법 시행령에 따라 금융위원회는 과징금 부과 전 당사자나 이해관계인에게 의견 제출 기회를 주어야 하며, 당사자는 금융위원회 회의에 출석해 의견을 진술하거나 자료를 낼 수 있고 변호인의 도움을 받을 수 있습니다. 금융감독원 단계에서도 사전통지를 받은 뒤 의견진술과 제재심의위원회 부의예정안 열람이 가능합니다.

Q. 개인정보보호법 과징금과 중복 부과 가능성이 있을까요?

신용정보법 과징금은 금융회사에 대해서는 금융위원회가, 금융위원회 감독을 받지 않는 상거래기업에 대해서는 개인정보보호위원회가 부과합니다. 같은 정보 이전 사안이라도 국외 이전처럼 개인정보보호법의 별도 위반이 문제되면 개인정보보호위원회 처분과 금융당국 제재가 각각 진행될 수 있습니다. 위반 조문별로 처분 주체와 대상 행위를 구분해 대응해야 합니다.

• ✍️ 작성: 법률사무소 번화 박세선 변호사

• 대한변협 등록 분야: 금융

• 변호사 소개: 박세선 변호사 소개 페이지

• 최종 검토일: 2026. 09. 17.

• 작성·검수 방식: 게시 전 담당 변호사 최종 검토 완료