신용정보법 과징금 산정기준 개정, 금융회사 제재금액은 어떻게 달라질까?

개인신용정보 유출이나 동의 없는 제3자 제공이 발생하면 금융회사에는 과징금이 얼마나 부과될까요? 매출액의 3%가 자동으로 과징금이 되는 것은 아닙니다. 신용정보법의 부과 대상과 상한, 시행령의 산정 절차, 감독규정의 부과기준율을 차례로 검토해야 합니다.

금융위원회는 2026년 10월 21일 신용정보업감독규정 개정안을 의결했다고 발표했습니다. 개정 기준은 10월 23일 시행 예정으로 발표되었으며, 위반행위의 중대성을 보다 세밀하게 반영하는 것이 핵심입니다.

1. 이번 개정은 과징금 상한이 아니라 산정기준을 바꿉니다

이번 개정은 신용정보법에 정해진 과징금 상한을 변경하는 것이 아니라, 법정 최고한도에 적용하는 부과기준율을 세분화합니다. 종전 검사·제재규정의 50%·75%·100% 단일 비율을 대신해 신용정보업감독규정 별표 9에 위반 중대성별 구간을 두는 방식입니다.

부과기준율은 매출액에 직접 곱하는 비율이 아닙니다. 먼저 해당 위반행위의 법정 최고한도를 구하고, 여기에 부과기준율을 곱하여 기본과징금을 산출합니다.

2. 신용정보법 제42조의2는 위반 유형별 과징금 상한을 구분합니다

신용정보법 제42조의2 제1항은 과징금을 부과할 수 있는 행위를 각 호로 한정합니다. 특히 제1호에는 50억 원 이하라는 별도 상한이 있어, 모든 위반행위에 전체 매출액 3%의 상한이 적용되는 것은 아닙니다.

제1호는 안전성 확보의무 위반으로 정보가 분실·도난·누출·변조·훼손된 경우입니다. 제1호의2는 동의 없는 제3자 제공과 일정한 불법 수령, 제1호의3은 허용되지 않은 이용, 제1호의4는 가명정보의 부정한 재식별에 관한 규정입니다. 제2호와 제3호는 개인비밀의 업무 외 누설·이용 및 불법 누설 사실을 알면서 제공·이용하는 행위입니다.

특히 제1호의2·제1호의3은 조문에 명시된 예외 사유를 먼저 검토해야 합니다. 동의가 없다는 사실만으로 곧바로 과징금 대상이라고 단정할 수 없습니다.

매출액 자료를 제출하지 않으면 과징금 산정을 피하는 것이 아니라, 비교 가능한 회사의 자료로 매출액을 추정할 수 있습니다. 매출액이 없거나 산정이 곤란한 경우의 200억 원도 무조건적인 부과액이 아닌 상한입니다.

3. 시행령 제35조의3과 별표 2의3에 따라 기본과징금을 계산합니다

신용정보법 시행령 제35조의3 제1항은 원칙적으로 직전 3개 사업연도의 연평균 매출액을 전체 매출액으로 정하고, 사업 개시 후 3년 미만인 경우에는 별도 환산방식을 적용합니다. 같은 조 제3항은 구체적인 과징금 산정기준을 별표 2의3에 연결합니다.

계산은 법정 최고한도에 부과기준율을 곱하는 기본과징금 산정, 가중·감경에 따른 조정, 부담능력·피해배상 등 특별사정을 반영하는 최종 결정의 순서로 이해할 수 있습니다. 매출액이 없거나 산정이 곤란한 경우에는 시행령 제35조의3 제4항의 비교매출액 기준과 200억 원 중 가장 적은 금액을 최고한도로 삼는 규정도 검토해야 합니다.

신용정보법 시행령 제35조의3 · 신용정보법 시행령 별표 2의3

4. 위반 중대성에 따라 부과기준율이 달라집니다

금융위원회 발표에 따르면 위반 중대성별 부과기준율은 약한 위반 1~30%, 중대한 위반 30~65%, 매우 중대한 위반 65~100%의 범위로 세분화됩니다. 기존의 50%·75%·100% 고정 비율과 달리 같은 중대성 구간 안에서도 차등 산정할 수 있습니다.

중대성 평가에서는 종전의 부당이득 규모를 개인신용정보의 유형·성격으로, 피해규모를 정보주체 피해규모·영향으로 바꾸는 방향이 발표되었습니다. 신용정보 위반의 특성을 고려해 정보의 민감성과 정보주체에게 미친 영향을 보다 직접적으로 평가하려는 취지입니다.

5. 같은 매출액이라도 위반 내용과 사후 조치에 따라 금액이 달라집니다

예를 들어 법정 최고한도가 연평균 매출액 7조 원의 3%인 2,100억 원이라고 가정해 보겠습니다. 부과기준율이 10%라면 기본과징금은 210억 원이고, 75%라면 1,575억 원입니다. 이는 가중·감경 이전의 계산일 뿐 실제 최종 과징금이 아닙니다.

또한 이 예시는 전체 매출액 3% 상한이 적용되는 위반행위를 전제로 합니다. 신용정보법 제42조의2 제1항 제1호의 별도 50억 원 상한이 적용되는 정보 유출 사건에 그대로 대입하면 안 됩니다.

반복 위반, 대규모 피해, 신속한 소비자 보호대책의 수립과 이행 등은 조정 단계에서 검토될 수 있습니다. 다만 사후조치만으로 감경이 보장되는 것은 아니며 법정 최고한도와 구체적인 적용 요건을 함께 확인해야 합니다.

6. 금융회사는 적용 시점과 산정자료를 함께 확인해야 합니다

과징금 검토에서는 위반행위의 발생·종료 시점, 적용 법령과 감독규정의 시행일, 정보의 종류와 피해 범위, 매출액 산정자료, 사고 이후 피해구제 내역을 함께 확보해야 합니다. 기존 위반행위에 대한 개정 기준의 적용 여부는 최종 고시 부칙의 경과규정 문언에 따라 판단해야 합니다.

과징금 부과 전 의견제출 단계에서는 위반행위 해당성뿐 아니라 중대성 평가, 최고한도 계산, 부과기준율, 가중·감경 사유를 구체적인 증빙과 함께 다투는 것이 중요합니다. 금융위원회 발표만으로 개별 회사의 최종 과징금을 확정할 수는 없습니다.

관련 법령·규정 및 참고자료

신용정보법 제42조의2

신용정보법 시행령 제35조의3

신용정보법 시행령 별표 2의3

금융위원회 2026. 10. 21. 발표자료