GDPR 집행 과징금, 2026년 2분기 2억2588만 유로로 급증

유럽연합의 개인정보보호법인 GDPR(일반개인정보보호법) 집행이 2026년 2분기에 크게 강화된 것으로 나타났다. Finbold가 8월 20일 공개한 조사에 따르면, 유럽의 데이터보호 당국은 4월 1일부터 6월 30일까지 총 **2억2587만9175유로(약 2억6059만 달러)**의 과징금을 부과했다.

분기 전체 과징금을 일수로 환산하면 하루 평균 약 **248만 유로(약 286만 달러)**다. 1분기 과징금 6818만 유로와 비교하면 약 230% 증가한 수준이며, 이에 따라 2026년 상반기 누적 과징금은 약 **2억9500만 유로(약 3억4050만 달러)**로 늘었다.

가장 큰 과징금은 네덜란드의 얀고 사건

2분기 최대 단일 제재는 네덜란드에서 나왔다. 네덜란드 데이터보호당국은 택시 호출 앱 **얀고(Yango)**의 운영사인 리드테크 인터내셔널 B.V.에 약 1억 유로의 과징금을 부과했다. 일부 자료에서는 금액을 1억2500만 유로로 표기하지만, 관련 보도와 당국 발표를 바탕으로 한 주요 수치는 1억 유로다.

당국은 제3국으로 개인정보를 이전할 때 필요한 보호장치가 충분하지 않았다고 판단했다. 또 GDPR 요건을 충족하지 못하는 경우 러시아로의 데이터 이전을 중단하라고 명령했다.

이번 사례는 국경을 넘는 데이터 이전 관리가 단순한 문서 작업에 그치지 않는다는 점을 보여준다. 이전 대상 국가의 법률과 접근 가능성, 계약상 보호조치, 실제 기술적 통제까지 종합적으로 검토해야 하며, 이를 소홀히 할 경우 대형 과징금으로 이어질 수 있다.

프랑스·이탈리아·영국에서도 대형 제재

국가별 주요 사례는 다음과 같다.

• 프랑스: 통신사 프리 모바일과 프리에 합산 약 4200만 유로가 부과됐다. 이 가운데 프리 모바일에 대한 과징금은 2700만 유로였다.
• 이탈리아: 은행 인테사 산파올로는 고객 금융정보 보호와 관련한 문제로 3180만 유로의 과징금을 받았다.
• 영국: 개인정보보호 감독기관인 ICO는 아동 개인정보 보호 실패를 이유로 레딧에 1447만 파운드의 과징금을 부과했다. 이는 일부 환산 자료에서 약 1661만 유로로 제시된다. 레딧은 금전 제재 통지에 대해 항소했다.

레딧 사건에서 ICO는 적절한 연령 확인 절차가 부족했고, 아동의 개인정보를 적법한 근거 없이 사용했다고 판단했다.

보안과 처리 근거가 핵심 쟁점

2분기 제재에서 반복적으로 나타난 주요 위반 유형은 보안 관리 실패와 충분한 법적 근거 없이 개인정보를 처리한 행위였다. 얀고 사건은 여기에 더해 국제 데이터 이전을 위한 보호장치가 미흡한 경우에도 매우 큰 제재가 가능하다는 점을 보여준다.

상위 10건의 과징금 가운데 6건은 미디어와 금융 업종에서 발생했다. 개인정보를 대규모로 다루면서 소비자와 직접 접촉하는 동시에 규제 강도도 높은 업종이 특히 큰 위험에 노출돼 있다는 의미다.

기업이 점검해야 할 항목

이번 집행 동향은 GDPR이 법무·컴플라이언스 부서만의 문제가 아니라 기업의 재무와 운영 전반에 영향을 미치는 위험이라는 점을 분명히 한다. 단일 국경 간 데이터 이전 사건의 과징금이 2분기 전체 과징금의 절반에 가까운 규모를 차지했기 때문이다.

유럽에서 사업을 운영하는 기업이라면 다음 항목을 우선 점검할 필요가 있다.

• 각 개인정보 처리 활동에 대한 적법한 처리 근거를 문서화하고, 필요한 경우 유효한 동의를 확보할 것
• 기술적·관리적 보안 통제를 정기적으로 검증할 것
• 아동 데이터에 대한 강화된 보호조치와 실효성 있는 연령 확인 절차를 마련할 것
• 제3국 이전 메커니즘, 이전 위험 평가, 계약 및 기술적 보호조치를 점검할 것
• 미디어·기술·금융·통신 등 고위험 데이터 처리에 대해 이사회 차원의 감독을 구축할 것

다만 기업별 과징금과 국가별 세부 내역 중 일부는 2차 자료인 소셜미디어 게시물을 통해 전달된 수치다. 따라서 개별 기업·국가별 분류는 일정한 주의를 기울여 해석해야 한다. 반면 2분기 전체 과징금과 전 분기 대비 증가율은 Finbold의 8월 20일 조사에 직접 근거한 수치다.