같은 유출, 한국은 수천억 과징금 — 일본·미국·호주는 왜 0원일까

한국 개인정보보호위원회는 유출 사고에 큰 과징금을 매깁니다. 쿠팡은 6,246억 8,100만 원, SK텔레콤은 1,347억 9,100만 원이었습니다. 그런데 같은 규모이거나 더 큰 유출이 일본·미국·호주에서 났을 때 규제기관이 받아 낸 돈은 0원이거나 아직 없습니다. 이 글은 2026년 11월 10일까지 확인한 규제기관 자료로 나라별 처분을 사건별로 비교합니다.

같은 규모, 다른 결과

피해 규모는 회사나 규제기관이 밝힌 수치입니다. "찾지 못함"은 해당 규제기관의 처분 목록을 2026년 11월 10일에 직접 검색한 결과입니다.

같은 수법의 유출, 과징금은 한국에서만

2025년 공격자들은 직원과 고객센터를 속여 루이비통·디올·티파니의 클라우드 고객관리 시스템에 들어갔습니다. 개인정보위는 2026년 2월 세 브랜드의 한국 법인에 과징금 360억 원을 매기며, 고객 정보를 SaaS에 맡겨도 보안 책임은 회사에 있다고 밝혔습니다.

• 루이비통 튀르키예: 14만 2,995명. 튀르키예 개인정보보호청(KVKK)은 유출 공지만 게시했고, 제재 결정은 찾지 못했습니다.
• 영국: 정보위원회 처분 목록에 루이비통·디올·티파니가 없습니다. 미국: 연방거래위원회(FTC) 사건이 없고 집단소송만 있습니다. 프랑스: 맞는 CNIL 제재가 없습니다.
• 티파니 미국·캐나다(약 2,500명): 캐나다 프라이버시 커미셔너가 검토 중이라고 했을 뿐입니다. 티파니코리아(4,600명)는 과징금 24억 원이었습니다.
• 같은 시기 콴타스도 해외 위탁업체를 노린 사회공학 공격으로 털렸습니다. 호주 정보보호위원회는 콴타스가 합리적인 보호조치를 다하지 않았을 가능성이 보이지 않는다며 조치하지 않았습니다. 같은 해커 그룹이라는 것은 언론 보도이고 규제기관이 밝힌 것은 아닙니다.

왜 이렇게 다를까

• 한국: 안전조치를 하지 않아 유출되면 전체 매출의 3%까지, 2026년 9월 11일부터는 반복·고의·중과실이면 10%까지 과징금을 매길 수 있습니다. 정보를 팔거나 오용하지 않았어도 보안이 허술했다는 것 자체가 처분 대상입니다.
• 일본: 개인정보보호위원회는 지도·권고·명령만 할 수 있고 과징금이 없습니다. 2026년 개정법으로 늦어도 2028년 7월부터 과징금이 생기지만, 돈을 받고 정보를 부정하게 쓰거나 얻거나 넘긴 경우만 대상입니다. 보안 부실로 생긴 유출(제23조)은 빠져 있습니다.
• 미국: 연방 차원의 유출 과징금이 없습니다. 연방거래위원회는 2024년 메리어트(3.44억 명) 처분에서 이 사건에 민사 제재금을 받을 법적 권한이 없다고 밝혔고, 메리어트는 대신 주 검찰총장들에게 5,200만 달러를 냈습니다. 돈은 주 정부, 투자자를 속인 공시를 다루는 SEC, 보건복지부·연방통신위원회 같은 업종 규제기관에서 나옵니다.
• 호주: 법정 최고액은 5,000만 호주달러 또는 매출의 30%이고, 첫 민사 제재금은 2025년 10월(Australian Clinical Labs, 580만 호주달러)이었습니다. 2022년 유출인 옵터스·메디뱅크 사건은 아직 법원에 있습니다.
• 영국·EU: 정보위원회와 CNIL은 유출에 과징금을 매깁니다. 캐피타·프리, 그리고 영국 이용자 15만 5,592명분으로 231만 파운드를 받은 23andMe가 그 예입니다.

피해자에게는 무엇이 달라지나

• 과징금은 국가로 갑니다. 피해자 보상은 회사의 자체 보상, 집단소송, 손해배상 소송에서 나옵니다. 나라별 보상 방법은 나라별 법·보상 비교에 정리했습니다.
• 한국은 과징금과 별도로 법정손해배상(300만 원 이하)과 분쟁조정을 신청할 수 있습니다.
• 어느 나라든 같은 비밀번호를 쓰는 다른 서비스부터 바꾸고, 보상 청구를 대신해 준다며 수수료를 요구하는 연락에는 응하지 마세요.