회원가입 버튼 하나를 달면 그날부터 개인정보를 보관하는 회사가 됩니다. 쇼핑몰, 예약 앱, 학원 관리 프로그램처럼 이름과 연락처를 받는 서비스는 예외가 없습니다. 그러다 어느 날 보험사나 공제조합에서 "의무 가입 대상"이라는 연락을 받습니다.
그 말이 맞는지 확인할 방법이 잘 보이지 않는 것이 문제입니다. 법에는 매출액과 정보주체 수라는 두 숫자만 적혀 있는데, 그 숫자를 어떻게 세는지에서 회사마다 답이 갈립니다. 판정 자체는 네 단계면 끝납니다.
권장 사항이 아니라 법에 적힌 의무입니다
개인정보 보호법 제39조의7은 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 손해배상책임의 이행을 위하여 보험이나 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 "하여야 한다"고 적고 있습니다. 권고가 아니라 의무 조항입니다.
2024년 3월 15일 시행된 개정으로 이 의무는 온라인 사업자에서 개인정보처리자 전반으로 넓어졌습니다. 홈페이지가 없어도 오프라인에서 회원 명부를 관리한다면 판정 대상에 들어갑니다.
1단계, 전년도 매출액 10억 원 선을 먼저 봅니다
시행령 제48조의7은 가입 대상을 전년도(법인은 직전 사업연도) 매출액등이 10억 원 이상인 자로 정합니다. 여기서 한 번 걸러집니다.
매출이 9억 원대라면 뒤 단계를 볼 필요가 없습니다. 반대로 매출만 크고 회원은 적은 제조업체도 이 단계는 통과합니다. 매출 하나만으로는 결론이 나지 않습니다.
2단계, 정보주체 수는 92일로 나눠서 셉니다
두 번째 요건은 전년도 말 기준 직전 3개월간 저장·관리되고 있는 정보주체 수가 일일평균 1만 명 이상일 것입니다. 직전 3개월은 10월, 11월, 12월이고 날짜로는 92일입니다.
계산은 그 92일 동안 매일의 정보주체 수를 모두 더한 뒤 92로 나누는 방식입니다. 방문자 수나 페이지뷰가 아니라, 그날 데이터베이스에 개인정보가 들어 있던 사람 수를 셉니다.
회원 수에는 탈퇴 회원과 휴면 회원도 들어갑니다
판정이 가장 많이 뒤집히는 지점입니다. 탈퇴했거나 휴면 처리한 회원의 정보를 별도 테이블로 분리해 보관하고 있다면, 그것도 저장하고 있는 개인정보이므로 수에 포함됩니다. 관리자 화면에서 안 보인다고 빠지지 않습니다.
활동 회원이 7천 명인 서비스도 3년치 탈퇴·휴면 데이터를 지우지 않고 쌓아 두었다면 그것만으로 1만 명 선을 넘깁니다.
집계를 시킬 때는 이런 항목을 함께 확인하세요.
- 분리 보관 중인 탈퇴 회원과 휴면 회원 데이터
- 비회원 주문자, 상담 신청자, 이벤트 응모자
- 오프라인 접수 명부와 온라인 회원을 합한 수
- 임직원 정보는 제외하고 셉니다
3단계, 두 조건을 모두 넘겨야 대상입니다
매출액과 정보주체 수는 둘 중 하나가 아니라 둘 다 충족해야 하는 조건입니다. 매출 30억 원에 회원 3천 명인 회사는 대상이 아니고, 매출 5억 원에 회원 5만 명인 회사도 대상이 아닙니다.
두 조건을 넘겨도 빠지는 경우가 있습니다. 대통령령으로 정하는 공공기관과 비영리법인·단체, 소상공인에게 개인정보 처리를 위탁한 자, 다른 법률에 따라 같은 성격의 보험에 가입했거나 준비금을 적립한 개인정보처리자는 이 조치를 하지 않을 수 있습니다.
영업 양수나 합병으로 개인정보를 넘겨받은 해에는 이전 시점의 정보주체 수로 판정합니다. 인수 직후 연말에 기준을 넘길 수 있으니 계약서를 쓸 때 같이 계산해 두세요.
4단계, 최저가입금액은 구간표에서 찾습니다
대상이라고 끝이 아닙니다. 시행령 별표 1의4는 매출액 3개 구간과 정보주체 수 3개 구간을 교차시켜 최저가입금액을 정합니다. 가장 낮은 칸이 5천만 원, 가장 높은 칸이 10억 원으로 스무 배 차이가 납니다.
매출 10억 원 이상 50억 원 이하이면서 정보주체가 1만 명 이상 10만 명 미만이면 5천만 원입니다. 매출 50억 원 초과 800억 원 이하에 정보주체 10만 명 이상 100만 명 미만이면 2억 원, 매출 800억 원 초과에 정보주체 100만 명 이상이면 10억 원입니다. 나머지 칸은 별표를 직접 펴서 확인하세요.
보험 대신 준비금을 적립해도 됩니다
법이 요구하는 것은 보험 가입 자체가 아니라 배상 재원입니다. 보험, 공제, 준비금 적립 중에서 고르면 되고, 보험이나 공제 가입금액과 준비금 적립액을 합산해 최저가입금액을 채우는 것도 인정됩니다.
다만 준비금은 그 금액만큼 현금이 묶입니다. 5천만 원 구간이라면 보험료 쪽이 훨씬 가벼우니 보험이나 공제를 권합니다. 준비금은 이미 현금을 쌓아 두는 회사나 보험 인수가 까다로운 업종에서 의미가 있습니다.
미가입은 과태료 대상이지만 진짜 비용은 배상액입니다
필요한 조치를 하지 않으면 과태료 부과 대상입니다. 제도 시행 당시 정부가 안내한 상한은 2천만 원이었습니다. 다만 근거 법이 정보통신망법에서 개인정보 보호법으로 넘어온 뒤 과태료 조문의 위치와 금액은 이 글을 쓰는 시점에 확인하지 못했으니, 액수보다 제재 대상이라는 사실만 가져가세요.
더 큰 숫자는 따로 있습니다. 개인정보 보호법 제39조 제3항은 고의나 중대한 과실로 개인정보가 유출된 경우 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있게 합니다. 과태료는 한 번이지만 배상은 유출된 사람 수만큼 곱해집니다.
최저가입금액을 배상 한도로 착각하면 안 됩니다
5천만 원은 사고가 났을 때 충분한 금액이 아닙니다. 위자료를 1인당 10만 원으로만 잡아도 500명분입니다. 회원 1만 명 서비스에서 전량이 새면 최저가입금액은 시작 금액일 뿐입니다.
의무 대상이 아니라고 안심할 일도 아닙니다. 가입 의무만 없을 뿐 배상 책임은 매출 3억 원 회사에도 똑같이 적용됩니다. 기준 미달이라는 판정은 보험을 사지 않아도 된다는 뜻이지 책임이 없다는 뜻이 아닙니다.
의무 기준 자체가 바뀔 수 있으니 갱신 전에 확인하세요
개인정보보호위원회는 2025년 3월 27일 의무 대상을 매출액 1,500억 원 이상이면서 정보주체 100만 명 이상으로 올리는 방향을 발표했습니다. 그대로 시행되면 대상은 200여 개 기업 수준으로 줄어듭니다.
오늘 기준으로 국가법령정보센터에 올라 있는 시행령 제48조의7은 여전히 10억 원과 1만 명입니다. 2026년 6월 입법예고된 시행령 개정안에도 이 기준 변경은 들어 있지 않았습니다. 보험 갱신 직전에 조문을 한 번 더 확인하는 편이 안전합니다.
원문과 관련 자료는 국가법령정보센터 개인정보 보호법 시행령과 개인정보보호위원회 손해배상책임 보장제도 안내서에서 볼 수 있습니다. 회원 데이터 집계와 개인정보 처리 설계가 걸린다면 실무 가이드 카테고리와 Codeforest를 참고하세요.
결론: 매출과 회원 수 두 숫자를 먼저 확정하세요
판정은 어렵지 않습니다. 전년도 매출액이 10억 원 이상인지, 10월부터 12월까지 92일 평균 정보주체 수가 1만 명 이상인지 두 숫자를 뽑으면 됩니다. 둘 다 넘으면 의무 대상이고, 하나라도 못 넘으면 권장 사항입니다.
숫자를 뽑을 때 탈퇴·휴면 회원을 빼고 세면 판정이 통째로 틀립니다. 개발팀에 요청할 것은 "회원 수"가 아니라 "그 92일 동안 매일 데이터베이스에 남아 있던 정보주체 수의 합계"입니다. 그 값 하나면 보험 상담도, 미가입 위험 판단도 바로 끝납니다.
