개인정보 보호법 제64조의2(과징금의 부과)
Personal Information Protection Act, Article 64-2 (Imposition of Penalty Surcharges)
① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. <개정 2026.3.10>
(1) In any of the following cases, the Protection Commission may impose on the relevant personal information controller a penalty surcharge not exceeding 3/100 of its total sales. However, in cases prescribed by Presidential Decree where there are no sales or it is difficult to calculate sales, it may impose a penalty surcharge not exceeding 2 billion won:
1. 제15조제1항, 제17조제1항, 제18조제1항ㆍ제2항(제26조제8항에 따라 준용되는 경우를 포함한다) 또는 제19조를 위반하여 개인정보를 처리한 경우
1. Where personal information has been processed in violation of Article 15 (1), Article 17 (1), Article 18 (1) or (2) (including where applied mutatis mutandis under Article 26 (8)), or Article 19;
2. 제22조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 법정대리인의 동의를 받지 아니하고 만 14세 미만인 아동의 개인정보를 처리한 경우
2. Where the personal information of a child under the age of 14 has been processed without the consent of the legal representative, in violation of Article 22-2 (1) (including where applied mutatis mutandis under Article 26 (8));
3. 제23조제1항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 정보주체의 동의를 받지 아니하고 민감정보를 처리한 경우
3. Where sensitive information has been processed without the consent of the data subject, in violation of Article 23 (1) 1 (including where applied mutatis mutandis under Article 26 (8));
4. 제24조제1항ㆍ제24조의2제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 고유식별정보 또는 주민등록번호를 처리한 경우
4. Where unique identification information or resident registration numbers have been processed in violation of Article 24 (1) or Article 24-2 (1) (including where applied mutatis mutandis under Article 26 (8));
5. 제26조제4항에 따른 관리ㆍ감독 또는 교육을 소홀히 하여 수탁자가 이 법의 규정을 위반한 경우
5. Where an outsourcee has violated provisions of this Act because the controller neglected management and supervision or training under Article 26 (4);
6. 제28조의5제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 특정 개인을 알아보기 위한 목적으로 정보를 처리한 경우
6. Where information has been processed for the purpose of identifying a specific individual, in violation of Article 28-5 (1) (including where applied mutatis mutandis under Article 26 (8));
7. 제28조의8제1항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보를 국외로 이전한 경우
7. Where personal information has been transferred abroad in violation of Article 28-8 (1) (including where applied mutatis mutandis under Articles 26 (8) and 28-11);
8. 제28조의9제1항(제26조제8항 및 제28조의11에 따라 준용되는 경우를 포함한다)을 위반하여 국외 이전 중지 명령을 따르지 아니한 경우
8. Where an order to suspend a transfer abroad has not been complied with, in violation of Article 28-9 (1) (including where applied mutatis mutandis under Articles 26 (8) and 28-11);
9. 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우. 다만, 개인정보가 유출등이 되지 아니하도록 개인정보처리자가 제29조(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다.
9. Where personal information processed by the personal information controller has been leaked, etc. However, this does not apply where the personal information controller has taken all the measures necessary to ensure security under Article 29 (including where applied mutatis mutandis under Article 26 (8)) to prevent the personal information from being leaked, etc.
② 제1항에도 불구하고 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. <신설 2026.3.10>
(2) Notwithstanding paragraph (1), in any of the following cases, the Protection Commission may impose on the relevant personal information controller a penalty surcharge not exceeding 10/100 of its total sales. However, in cases prescribed by Presidential Decree where there are no sales or it is difficult to calculate sales, it may impose a penalty surcharge not exceeding 5 billion won:
1. 이 조에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 제1항 같은 호에 해당하는 위반행위를 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정한다)
1. Where, before three years have passed from the date of receiving a disposition imposing a penalty surcharge under this Article, the controller commits a violation falling under the same subparagraph of paragraph (1) (limited to cases where there was intent or gross negligence in each case);
2. 고의 또는 중대한 과실로 제1항 각 호의 어느 하나에 해당하는 위반행위를 하고 정보주체의 피해 규모가 1천만명 이상인 경우
2. Where the controller commits a violation falling under any subparagraph of paragraph (1) intentionally or through gross negligence, and the number of data subjects harmed is 10 million or more;
3. 제64조제1항에 따른 시정조치 명령에 따르지 아니하여 개인정보처리자가 제1항제9호의 위반행위를 한 경우
3. Where the personal information controller commits a violation under paragraph (1) 9 because it did not comply with an order for corrective measures under Article 64 (1).
③ 보호위원회는 제1항 및 제2항에 따른 과징금을 부과하려는 경우 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 과징금을 산정한다. <개정 2026.3.10>
(3) When intending to impose a penalty surcharge under paragraphs (1) and (2), the Protection Commission shall calculate the penalty surcharge based on total sales minus sales unrelated to the violation.
④ 보호위원회는 제1항 및 제2항에 따른 과징금을 부과하려는 경우 개인정보처리자가 정당한 사유 없이 매출액 산정자료의 제출을 거부하거나 거짓의 자료를 제출한 경우에는 해당 개인정보처리자의 전체 매출액을 기준으로 산정하되 해당 개인정보처리자 및 비슷한 규모의 개인정보처리자의 개인정보 보유 규모, 재무제표 등 회계자료, 상품ㆍ용역의 가격 등 영업현황 자료에 근거하여 매출액을 추정할 수 있다. <개정 2026.3.10>
(4) When intending to impose a penalty surcharge under paragraphs (1) and (2), if the personal information controller refuses without justifiable reason to submit materials for calculating sales or submits false materials, the Protection Commission shall calculate the surcharge based on the controller's total sales, and may estimate the sales based on materials on the state of business, such as the volume of personal information held by that controller and by controllers of similar size, accounting materials such as financial statements, and the prices of goods and services.
⑤ 보호위원회는 제1항 및 제2항에 따른 과징금을 부과하는 경우에는 위반행위에 상응하는 비례성과 침해 예방에 대한 효과성이 확보될 수 있도록 다음 각 호의 사항을 고려하여야 한다. <개정 2026.3.10>
(5) When imposing a penalty surcharge under paragraphs (1) and (2), the Protection Commission shall consider the following so as to ensure proportionality to the violation and effectiveness in preventing infringement:
1. 위반행위의 내용 및 정도
1. The nature and degree of the violation;
2. 위반행위의 기간 및 횟수
2. The duration and frequency of the violation;
3. 위반행위로 인하여 취득한 이익의 규모
3. The amount of profit gained from the violation;
4. 암호화 등 안전성 확보 조치 이행 노력
4. Efforts made to take security measures such as encryption;
5. 개인정보가 유출등이 된 경우 위반행위와의 관련성 및 유출등의 규모
5. Where personal information has been leaked, etc., its connection with the violation and the scale of the leak, etc.;
6. 위반행위로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부
6. Whether measures have been taken to recover from the damage caused by the violation and to prevent the damage from spreading;
7. 개인정보처리자의 업무 형태 및 규모
7. The type and scale of the personal information controller's business;
8. 개인정보처리자가 처리하는 개인정보의 유형과 정보주체에게 미치는 영향
8. The types of personal information processed by the personal information controller and their impact on data subjects;
9. 위반행위로 인한 정보주체의 피해 규모
9. The scale of damage to data subjects caused by the violation;
10. 개인정보 보호 인증, 자율적인 보호 활동 등 개인정보 보호를 위한 노력
10. Efforts for personal information protection, such as personal information protection certification and voluntary protection activities;
11. 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부
11. Whether measures have been taken to correct the violation, such as cooperating with the Protection Commission.
⑥ 보호위원회는 개인정보 보호를 위하여 예산ㆍ인력ㆍ설비ㆍ장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우에는 제1항 및 제2항에 따른 과징금을 감경한다. 다만, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외한다. <신설 2026.3.10>
(6) Where there are grounds prescribed by Presidential Decree, such as investing in and operating budgets, personnel, facilities, equipment, etc. for personal information protection, the Protection Commission shall reduce the penalty surcharge under paragraphs (1) and (2). However, this excludes cases where the personal information controller committed the violation intentionally or through gross negligence.
⑦ 보호위원회는 다음 각 호의 어느 하나에 해당하는 사유가 있는 경우에는 과징금을 부과하지 아니할 수 있다. <개정 2026.3.10>
(7) The Protection Commission may choose not to impose a penalty surcharge in any of the following cases:
1. 지급불능ㆍ지급정지 또는 자본잠식 등의 사유로 객관적으로 과징금을 낼 능력이 없다고 인정되는 경우
1. Where the person is objectively deemed unable to pay the penalty surcharge due to grounds such as insolvency, suspension of payments, or capital impairment;
2. 본인의 행위가 위법하지 아니한 것으로 잘못 인식할 만한 정당한 사유가 있는 경우
2. Where there is a justifiable reason for the person to mistakenly believe that his or her act was not unlawful;
3. 위반행위의 내용ㆍ정도가 경미하거나 산정된 과징금이 소액인 경우
3. Where the nature and degree of the violation is minor or the calculated penalty surcharge is a small amount;
4. 그 밖에 정보주체에게 피해가 발생하지 아니하였거나 경미한 경우로서 대통령령으로 정하는 사유가 있는 경우
4. Other grounds prescribed by Presidential Decree where no damage has occurred to data subjects or the damage is minor.
⑧ 제1항 및 제2항에 따른 과징금은 제3항부터 제7항까지를 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다. <개정 2026.3.10>
(8) The penalty surcharge under paragraphs (1) and (2) shall be calculated taking into account paragraphs (3) through (7), and the specific calculation standards and procedures shall be prescribed by Presidential Decree.
⑨ 보호위원회는 제1항 및 제2항에 따른 과징금을 내야 할 자가 납부기한까지 이를 내지 아니하면 납부기한의 다음 날부터 내지 아니한 과징금의 연 100분의 6에 해당하는 가산금을 징수한다. 이 경우 가산금을 징수하는 기간은 60개월을 초과하지 못한다. <개정 2026.3.10>
(9) If a person required to pay a penalty surcharge under paragraphs (1) and (2) does not pay it by the payment deadline, the Protection Commission shall collect an additional charge equal to 6/100 per year of the unpaid penalty surcharge, starting from the day after the payment deadline. In this case, the period for collecting the additional charge shall not exceed 60 months.
⑩ 보호위원회는 제1항 및 제2항에 따른 과징금을 내야 할 자가 납부기한까지 내지 아니한 경우에는 기간을 정하여 독촉하고, 독촉으로 지정한 기간 내에 과징금과 제9항에 따른 가산금을 내지 아니하면 국세강제징수의 예에 따라 징수한다. <개정 2026.3.10>
(10) If a person required to pay a penalty surcharge under paragraphs (1) and (2) does not pay it by the payment deadline, the Protection Commission shall issue a demand for payment setting a period, and if the penalty surcharge and the additional charge under paragraph (9) are not paid within the period set by the demand, it shall collect them in the same manner as the compulsory collection of national taxes.
⑪ 보호위원회는 법원의 판결 등의 사유로 제1항 및 제2항에 따라 부과된 과징금을 환급하는 경우에는 과징금을 낸 날부터 환급하는 날까지의 기간에 대하여 금융회사 등의 예금이자율 등을 고려하여 대통령령으로 정하는 이자율을 적용하여 계산한 환급가산금을 지급하여야 한다. <개정 2026.3.10>
(11) When refunding a penalty surcharge imposed under paragraphs (1) and (2) due to grounds such as a court judgment, the Protection Commission shall pay an additional refund amount calculated by applying the interest rate prescribed by Presidential Decree, taking into account the deposit interest rates of financial companies, etc., for the period from the date the penalty surcharge was paid to the date of the refund.
⑫ 보호위원회는 제11항에도 불구하고 법원의 판결에 따라 과징금 부과처분이 취소되어 그 판결이유에 따라 새로운 과징금을 부과하는 경우에는 당초 납부한 과징금에서 새로 부과하기로 결정한 과징금을 공제한 나머지 금액에 대해서만 환급가산금을 계산하여 지급한다. <개정 2026.3.10>
(12) Notwithstanding paragraph (11), where a disposition imposing a penalty surcharge is revoked by a court judgment and a new penalty surcharge is imposed based on the reasons for that judgment, the Protection Commission shall calculate and pay the additional refund amount only on the remaining amount after deducting the newly imposed penalty surcharge from the penalty surcharge originally paid.
영어는 이 사이트가 원문에서 옮긴 비공식 번역으로, 영어 공부를 돕기 위한 것입니다. 법적 효력은 한국어 원문에만 있습니다. 낱말 위 한글은 소리 나는 대로 적은 발음이며 굵은 글자가 강세입니다.
시행 2026.9.11 · 법률 · 개인정보보호위원회 소관