개인정보 손해배상책임 보장제도의 의무가입 대상 기준과 이용자수·매출액별 최저가입금액, 2026년 제도 개편 논의까지 최신 기준으로 총정리합니다. | |
| Title |
|
| Writer |
|
작성일: 2026. 8. 6
목차
• 손해배상 보장 제도란
• 우리 회사도 의무 대상인가요
• 최저가입금액 기준표
• 보험 대신 준비금으로 되나요
• 2026년 제도 개편 논의와 실무 대응
• 사이버보험 의무가입 자주 묻는 질문
손해배상 보장 제도란
개인정보 손해배상책임 보장제도는 정보통신서비스 제공자등이 개인정보 유출 사고 발생 시 손해배상책임을 이행할 수 있도록, 일정 요건에 해당하는 사업자에게 보험·공제 가입 또는 준비금 적립을 의무화한 제도입니다.
국가법령정보센터에 따르면, 이 제도는 개인정보 보호법 제39조의7(손해배상의 보장)을 근거로 하며, 가입대상개인정보처리자는 손해배상책임의 이행을 위하여 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 한다고 규정하고 있습니다.
이 제도는 2019년 6월 13일 구 정보통신망법에 따라 처음 시행되었고, 2020년 8월 5일부터는 개인정보 보호법에 통합되어 현재까지 운영되고 있습니다. 제도 도입 이후에도 대상 기준과 최저가입금액 체계는 여러 차례 개정을 거쳤으며, 2026년 현재도 추가 개편이 논의되고 있어 최신 기준을 확인하는 것이 중요합니다.
실무 기준: 이 제도는 개인정보 관련 손해배상책임을 담보하는 “개인정보 손해배상 책임보험(개인정보배상책임보험)” 가입을 의미하며, 랜섬웨어·업무중단 등을 폭넓게 담보하는 일반적인 “사이버보험(Cyber Insurance)”과는 상품 범위가 다를 수 있습니다. 가입 전 담보 범위가 법정 요건을 충족하는지 확인이 필요합니다.
우리 회사도 의무 대상인가요
2026년 8월 현재 시행 중인 기준으로, 전년도 매출액이 10억 원 이상이면서 개인정보가 저장·관리되는 이용자 수가 일평균 1만 명 이상인 정보통신서비스 제공자등이 의무가입 대상입니다.
서울경제(2026.7.27)에 따르면, 현행 의무가입 기준은 “매출액 10억 원 이상이면서 정보주체 1만 명 이상”입니다. 대상 기업은 정보통신서비스 제공자(온라인을 통해 영리 목적으로 서비스를 제공하는 사업자)와, 이러한 제공자로부터 이용자의 개인정보를 제공받는 자를 포함합니다.
주의할 점은, 제도 도입 초기(2019~2023년)에는 진입 요건이 “매출액 5천만 원 이상 또는 이용자 1천 명 이상”으로, 둘 중 하나만 충족해도 대상이 되는 구조였다는 것입니다. 이후 개정을 거쳐 현재는 매출액 10억 원 이상과 이용자 1만 명 이상을 모두 충족해야 하는 구조로 요건이 상향·강화되었습니다. 인터넷에서 “이용자 1천 명 기준”으로 안내하는 자료를 여전히 접할 수 있으나, 이는 과거 기준이므로 최신 시행령을 확인해야 합니다.
여기서 “이용자 수”는 의무가입 여부를 판단하는 해당 연도의 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 일일평균 이용자 수를 의미합니다. 휴면회원·탈퇴회원의 개인정보도 삭제되지 않고 보관 중이라면 이용자 수 산정에 포함될 수 있으므로, 단순 활성 회원 수만으로 판단하지 않도록 주의해야 합니다.
매출액·이용자 수 기준과 정보통신서비스 제공자 해당 여부는 업종·사업 형태에 따라 판단이 복잡할 수 있습니다(예: 오프라인 매장과 온라인몰을 병행하는 경우, 위탁받은 업무만 수행하는 경우 등). 정확한 대상 여부는 개인정보보호위원회 안내서나 전문가 확인을 거치는 것을 권장합니다.
최저가입금액 기준표
최저가입금액은 이용자 수와 매출액 규모 구간에 따라 최저 5천만 원부터 최고 10억 원까지 차등 적용되며, 보유 개인정보와 매출 규모가 클수록 요구되는 최저가입금액도 높아집니다.
개인정보 손해배상 보장제도 안내(i-privacy)에 따르면, 최저가입금액(준비금을 적립하는 경우 최소적립금액)은 이용자수와 매출액 규모 구간별로 차등 설정되며, 최저 5천만 원부터 최고 10억 원까지 시행령 별표 1의4에 규정되어 있습니다. 서울경제 보도에 따르면, 이용자 100만 명 이상이면서 매출액 800억 원을 초과하는 기업의 최저 보험가입금액은 10억 원입니다.
| 이용자 수 | 매출액 | 최저가입금액 |
|---|---|---|
| 100만 명 이상 | 800억 원 초과 | 10억 원 |
| 50억 원 초과 800억 원 이하 | 5억 원 | |
| 5천만 원 이상 50억 원 이하 | 2억 원 | |
| 10만 명 이상 100만 명 미만 | 800억 원 초과 | 5억 원 |
| 50억 원 초과 800억 원 이하 | 2억 원 | |
| 5천만 원 이상 50억 원 이하 | 1억 원 | |
| 1만 명 이상 10만 명 미만 | 800억 원 초과 | 2억 원 |
| 50억 원 초과 800억 원 이하 | 1억 원 | |
| 5천만 원 이상 50억 원 이하 | 5천만 원 |
※ 위 구간 체계는 시행령 별표 1의4의 이용자수·매출액 매트릭스 구조를 정리한 것입니다. 진입 요건 자체가 매출 10억 원·이용자 1만 명 이상으로 상향된 만큼, 최하위 구간(5천만 원 이상 50억 원 이하)의 실제 적용 범위는 현행 시행령 원문 및 별표를 통해 재확인하시기 바랍니다.
실무 기준: 서울경제 보도에 따르면 쿠팡과 같은 대기업도 개인정보 유출 배상책임보험 가입금액을 법정 최소 금액인 10억 원 수준으로만 유지하는 경우가 있어, 대규모 유출 사고 시 피해자 1인당 실질 보상액이 매우 낮아질 수 있다는 지적이 제기되고 있습니다. 법정 최저가입금액은 “최소 요건”일 뿐, 실제 위험 규모에 맞는 한도 설계가 별도로 필요합니다.
보험 대신 준비금으로 되나요
가입대상개인정보처리자는 보험·공제 가입 또는 준비금 적립 중 하나를 선택할 수 있으며, 두 가지를 병행하는 경우에는 합산 금액이 최저가입금액 기준 이상이면 요건을 충족합니다.
국가법령정보센터에 따르면, 가입대상개인정보처리자가 보험 또는 공제 가입과 준비금 적립을 병행하는 경우에는 보험 또는 공제 가입금액과 준비금 적립금액을 합산한 금액이 최저가입금액의 기준 이상이어야 한다고 규정합니다. 즉, 반드시 보험만 가입해야 하는 것은 아니며, 사내에 준비금(적립금)을 쌓아두는 방식으로도 법정 요건을 충족할 수 있습니다.
준비금으로 대응하는 경우 임의적립금(자본계정)으로 적립하고, 주주총회 결의 등을 통해 해당 임의적립금이 개인정보 보호법상 의무 이행을 위한 것임을 명확히 해야 합니다. 실무적으로는 준비금 적립보다 보험 가입을 선택하는 기업이 많은데, 이는 준비금은 회사 자금이 사고 발생과 무관하게 장기간 묶이는 반면, 보험은 상대적으로 적은 보험료로 동일한 법정 한도를 충족할 수 있기 때문입니다.
또한 다른 배상책임보험의 담보 기준과 마찬가지로, 다른 법률에 따라 이미 가입한 보험(공제 또는 적립한 준비금)이 개인정보 보호법에 따른 손해배상책임의 범위·내용을 포함하여 충족하는 경우, 별도로 새로 가입하지 않아도 이 제도의 손해배상 보장 조치를 이행한 것으로 인정될 수 있습니다. 기존 배상책임보험이 있다면 담보 범위가 이 요건을 충족하는지 먼저 확인하는 것이 효율적입니다.
보험 vs 준비금 선택 시 고려사항
① 보험 가입: 상대적으로 적은 보험료로 법정 한도 확보, 소송 대응·손해사정 지원 등 부가 서비스 활용 가능
② 준비금 적립: 자본계정에 장기간 자금이 묶이며, 주주총회 결의 등 절차 필요
③ 병행: 보험 가입금액과 준비금을 합산하여 기준 충족 가능
④ 기존 보험 활용: 이미 가입한 배상책임보험이 요건을 충족하면 별도 가입 불필요
2026년 제도 개편 논의와 실무 대응
개인정보보호위원회는 의무가입 기준을 “매출액 1,500억 원 이상·정보주체 100만 명 이상”으로 대폭 상향하는 방안을 추진 중이며, 시행되면 대상 기업이 약 38만 곳에서 약 200곳 수준으로 급감할 것으로 예상됩니다.
의무가입 대상 축소 추진 배경
서울경제(2026.7.27)에 따르면, 개인정보보호위원회는 대상 기업을 파악하기 어렵고 제도에 대한 기업들의 인식도 부족하다는 점을 축소 이유로 들고 있습니다. 그러나 업계에서는 배상 능력이 상대적으로 부족한 중소기업이 의무가입 대상에서 빠질 경우 오히려 피해자 보호 공백이 더 커질 수 있다는 우려를 제기하고 있습니다. 정부가 2024년 의무가입 대상을 확대(5천만 원·1천명 기준 → 10억 원·1만명 기준)한 지 불과 1년여 만에 다시 대폭 축소를 추진하는 상황이어서, 정책 일관성 논란도 함께 제기되고 있습니다.
최저가입금액 현실화 논의
동시에 보험업계는 대규모 개인정보를 보유한 기업의 최저가입금액을 현실화해야 한다고 주장하고 있습니다. 정보주체가 1,000만 명 이상인 기업 중 매출액이 1조 원을 초과하면 최소 100억 원, 5조 원 초과 기업은 500억 원, 10조 원 초과 기업은 1,000억 원 수준으로 상향하는 방안이 거론되고 있습니다. 현재 최고 구간(이용자 100만 명·매출 800억 원 초과)의 최저가입금액이 10억 원에 불과해, 수천만 명 규모의 유출 사고에는 실질적인 배상 여력이 크게 부족하다는 지적에 따른 것입니다.
실무 대응 방향
이러한 논의는 아직 확정 시행되지 않은 개편안이므로, 현재로서는 기존 법정 기준(매출 10억 원·이용자 1만 명)을 따르되, 향후 개편 방향을 주시할 필요가 있습니다. 단체보험과 개별 가입의 차이에서 다룬 것처럼, 법정 최저가입금액은 어디까지나 “최소 요건”이므로, 실제 보유 개인정보 규모·업종 위험도를 고려하여 법정 최저 한도보다 높은 수준으로 가입하는 것이 실질적인 리스크 관리에 부합합니다.
2026년 8월 기준 제도 현황 요약
① 현행 시행 중: 매출 10억 원 이상 & 이용자 1만 명 이상 → 의무가입 대상
② 개편 추진 중(미시행): 매출 1,500억 원 이상 & 이용자 100만 명 이상으로 대폭 상향 검토
③ 최저가입금액 상향도 별도로 논의 중이나 아직 확정 아님
④ 정책 변동성이 큰 시기이므로 가입 전 최신 시행령을 재확인 권장
사이버보험 의무가입 FAQ
자주 묻는 질문과 실무 관점의 답변
01우리 회사도 의무 대상인가요?
현행 기준으로는 전년도 매출액이 10억 원 이상이면서, 개인정보가 저장·관리되는 이용자 수가 일평균 1만 명 이상인 정보통신서비스 제공자등이 해당됩니다.
두 요건을 모두 충족해야 대상이 되며, 하나만 충족하면 대상이 아닙니다. 정확한 판단이 어렵다면 개인정보보호위원회 안내서나 전문가 확인을 거치는 것이 안전합니다.02보험 대신 준비금으로 되나요?
가능합니다. 보험·공제 가입 또는 준비금 적립 중 하나를 선택할 수 있으며, 병행하는 경우 합산 금액이 최저가입금액 이상이면 요건을 충족합니다.
준비금은 임의적립금(자본계정)으로 적립하고 주주총회 결의 등을 통해 의무 이행 목적임을 명확히 해야 합니다. 다만 자금이 장기간 묶이는 부담이 있어 실무에서는 보험 가입을 선택하는 경우가 많습니다.03쇼핑몰도 개인정보 보험 의무가 있나요?
온라인 쇼핑몰은 대표적인 정보통신서비스 제공자에 해당하므로, 매출액·이용자 수 기준을 충족하면 의무가입 대상입니다.
회원 가입을 받는 쇼핑몰이라면 회원 수(휴면·탈퇴 회원 포함 가능)가 이용자 수 산정 기준이 되므로, 매출 규모가 크지 않더라도 이용자 수 요건으로 대상이 될 수 있습니다.04이용자 1천 명 기준은 이제 틀린 정보인가요?
이용자 1천 명 기준은 2019~2023년경 적용되었던 과거 기준입니다. 현재는 매출 10억 원 이상·이용자 1만 명 이상을 모두 충족해야 하는 것으로 강화되었습니다.
2019년에 발간된 안내서나 오래된 블로그 자료에는 여전히 1천 명 기준으로 안내된 경우가 있으므로, 자료의 작성 시점을 확인하고 최신 시행령을 기준으로 판단해야 합니다.05의무를 이행하지 않으면 어떤 불이익이 있나요?
보험·공제 가입이나 준비금 적립 등 필요한 조치를 하지 않으면 시정명령 대상이 되며, 이를 이행하지 않을 경우 과태료가 부과될 수 있습니다.
서울경제 보도에 따르면 현행법상 시정명령 불이행 시 최대 3천만 원의 과태료가 부과될 수 있으나, 실제 과태료 처분 사례는 드문 것으로 알려져 있습니다. 다만 사고 발생 시 배상 능력 부족은 별도의 심각한 경영 리스크가 될 수 있습니다.06법정 최저가입금액만 가입하면 충분한가요?
법정 요건은 충족하지만, 실질적인 배상 여력으로는 부족할 수 있습니다. 최고 구간의 법정 최저가입금액이 10억 원인데, 수백만~수천만 명 규모의 유출 사고에는 턱없이 부족한 수준입니다.
보유 개인정보 규모, 업종 위험도, 과거 유사 사고의 배상 사례 등을 고려하여 법정 최저 한도보다 높은 수준으로 가입하는 것을 검토하는 것이 실질적인 리스크 관리에 부합합니다.072026년 개편안이 시행되면 대상에서 제외될 수 있나요?
현재 논의 중인 개편안(매출 1,500억 원·이용자 100만 명 이상)이 시행되면, 그 이하 규모의 기업은 법적 의무 대상에서 제외될 수 있습니다.
다만 이 개편안은 2026년 8월 현재 확정 시행된 것이 아니라 추진 중인 방안이므로, 확정 여부와 시행 시점을 계속 주시해야 합니다. 또한 법적 의무가 없어지더라도 사고 시 배상 리스크 자체가 사라지는 것은 아니라는 점도 함께 고려해야 합니다.08이미 CGL이나 다른 배상책임보험이 있으면 별도 가입이 필요 없나요?
기존 보험이 개인정보 보호법에 따른 손해배상책임의 범위와 내용을 포함하여 충족하는 경우, 별도로 새로 가입하지 않아도 이 제도의 이행 조치로 인정될 수 있습니다.
다만 일반적인 CGL(영업배상책임보험)이나 PL보험은 개인정보 유출 손해를 기본 담보 범위에 포함하지 않는 경우가 많으므로, 담보 범위를 정확히 확인하거나 개인정보 관련 특약·별도 상품 가입 여부를 검토해야 합니다.우리 회사가 의무 대상인지, 정확히 진단받아 보세요
비즈인슈어런스는 매출액·이용자 수 기준 진단부터 최적 가입금액 설계까지 안내합니다.
회사 규모와 보유 개인정보 현황을 공유해 주시면 무료로 검토해 드립니다.
