과징금 본질 및 기능의 재구조화 — 개인정보유출에 대한 과징금을 중심으로 — = Restructuring the Nature and Function of Administrative Fines — Focusing on Administrative Fines for Personal Data Breach —

국문 초록 (Abstract)

과징금 제도는 오랫동안 법위반자가 얻은 경제적 이득을 환수함으로써 위반 유인을 원천적으로 차단한다는 ‘부당이득환수’의 논리 위에서 정당화되어 왔다. 그러나 최근 SKT･쿠팡 개인정보유출 사건에서 확인된 과징금 산정 결과는 이러한 전통적 논리구조가 이미 상당 부분 형해화되었음을 보여준다. 경제적 이득이 없음에도 매출액에 비례하여 수천억 원의 과징금이 부과된 사실은, 과징금의 본질이 ‘부당이득환수’로 표방되면서도 그 실질은 ‘매출액 기준 비례 제재금’으로 전환되어 있음을 의미한다.
본고는 이러한 문제의식에서 출발하여, 과징금을 부당이득환수형, 제재적 성격을 겸비한 부당이득환수형, 영업정지를 대체하는 변형과징금, 순수한 행정제재형이라는 네 단계의 스펙트럼으로 재구성하고, 이 네 유형이 궁극적으로 ‘법위반의 억지’라는 하나의 목표로 수렴함을 확인한다. 이어 일본 독점금지법이 반세기에 걸친 산정률 인상을 통해 부당이득환수에서 행정제재로 그 성격을 변용시켜 온 과정을 추적하고, 이와 정반대로 2026년 일본 개인정보보호법 개정방침이 매출액 대리변수를 배제한 채 실제 취득이익과 과실요건을 중심으로 설계된 사실이 갖는 함의를 비교법적으로 조명한다.
나아가 Becker의 최적집행이론이 예정한 억지력 강화 효과에도 불구하고 대형 개인정보유출 사고가 오히려 지속되는 통계적 역설을 짚고, 9개의 상이한 위반사유를 단일한 매출액 산정공식으로 규율하는 현행 체계의 모순을 공정거래법･신용정보법･GDPR과의 비교를 통해 검토한다. 특히 개인정보유출이라는 결과책임적 위반유형에 매출액 비례 산정구조가 무비판적으로 이식되어 온 과정을 밝히고, 이를 정당화해 온 헌법재판소･대법원 판례의 논리적 균열 — 매출액을 ‘취득이익’이 아닌 ‘영향받는 서비스 범위’로 확장 해석함으로써 명확성원칙 위반 논란을 회피해 온 해석기법의 한계 — 을 비판적으로 분석한다.
마지막으로 형법상 부작위범의 가상적 인과관계 법리를 유추 적용하여, 사업자의 지배･관리를 벗어난 제3자(해커)의 개입이 개재된 개인정보유출 과징금에 요구되는 행위귀속 및 책임주의 법리를 제시한다. 2023년 개인정보보호법 개정으로 형사처벌이 삭제되어 과징금이 유일한 제재수단으로 남게 된 오늘의 상황에서는, 형벌이 담당하던 책임주의적 통제 기능을 과징금 산정체계 스스로가 대체하여 수행해야 한다는 것이 본고의 핵심 결론이다. 과징금 제도의 목적은 제재 수준의 산술적 상향에 있는 것이 아니라, 위반행위의 본질에 부합하는 정교한 책임귀속 체계를 구축하는 데 있다.

다국어 초록 (Multilingual Abstract)

Administrative fines have long been justified under the logic of “disgorgement of unjust enrichment” — the premise that recovering the economic gain obtained through a violation eliminates the incentive to offend in the first place. However, the fines recently calculated in Korea's SKT and Coupang personal data breach cases reveal that this traditional rationale has already been substantially hollowed out. The fact that fines amounting to hundreds of billions of won were imposed in proportion to turnover, despite the absence of any corresponding economic gain, demonstrates that while the fine's stated nature remains “disgorgement of unjust enrichment,” its actual substance has already shifted into a “turnover-proportional punitive levy.” Proceeding from this problem consciousness, this article reconceptualizes the administrative fine as occupying a four-stage spectrum — pure disgorgement, disgorgement combined with a punitive component, transformed fines substituting business suspension, and purely punitive fine — and confirms that all four types ultimately converge on the single objective of deterring violations. It then traces how Japan's Antimonopoly Act, through successive rate increases over half a century, gradually transformed the fine's character from disgorgement into administrative sanction, and contrasts this trajectory with Japan's 2026 Personal Information Protection Act reform, which — moving in precisely the opposite direction — abandoned the turnover-based proxy altogether in favor of a design centered on actual pecuniary gain and an explicit due-care requirement.
The article further identifies a statistical paradox: despite the deterrent effect predicted by Becker's optimal enforcement theory, large-scale data breach incidentshave continued unabated. It examines, through comparison with the Fair Trade Act, the Credit Information Act, and the GDPR, the structural contradiction inherent in Korea's current system, which subjects nine heterogeneous grounds for violation to a single, uniform turnover-based formula. In particular, it exposes how the turnover-proportional calculation structure has been uncritically transplanted onto data breach incidents— an outcome-based violation type fundamentally distinct from volitional, profit-seeking conduct — and critically analyzes the doctrinal fissures in Constitutional Court and Supreme Court precedents that have sought to justify this transplantation, most notably the interpretive technique of construing “related turnover” not as “actual gain” but as the broader “scope of affected services,” a maneuver that has allowed courts to sidestep challenges grounded in the void-for-vagueness doctrine.
Finally, by analogically applying the doctrine of hypothetical causation from criminal omission liability, the article articulates the principles of conduct attribution and culpability required for fines imposed in cases where an uncontrollable third party — a hacker — intervenes in the causal chain beyond the operator's control. Given that the 2023 amendment to the Personal Information Protection Act abolished criminal penalties for such violations, leaving the administrative fine as the sole remaining sanction, this article's central conclusion is that the fine-calculation system itself must now assume the culpability-control function once performed by criminal law. The purpose of the administrative fine lies not in the arithmetic escalation of sanction levels, but in constructing a refined system of liability attribution that corresponds to the true nature of each type of violation.