GDPR 과징금 2억2,588만 유로…2분기 집행 규모 230% 늘었다

Finbold가 2026년 8월 20일 발표한 분석에 따르면, 유럽 개인정보보호 당국은 2026년 2분기(4~6월)에 총 **2억2,587만9,175유로(약 2억6,059만 달러)**의 GDPR 과징금을 부과했다. 이는 1분기 집계액인 **6,818만 유로(약 7,363만 달러)**보다 약 230% 증가한 규모다. 상반기 누적 과징금은 약 **2억9,500만 유로(약 3억4,050만 달러)**로 늘었다.

2분기 과징금을 하루 평균으로 환산하면 약 **248만 유로(약 286만 달러)**다. 일주일 기준으로는 약 1,736만 유로에 해당한다.

네덜란드, 전체 집계액의 절반 가까이 차지

국가별로는 네덜란드가 1억25만 유로로 가장 많았다. 전체 보고액의 약 49%에 해당하는 수치다. 프랑스는 5,200만 유로, 이탈리아는 4,550만 유로, 영국은 약 1,800만 유로로 뒤를 이었다.

네덜란드의 집계액 대부분은 차량 호출 서비스 Yango 운영사인 **MLU B.V.**에 부과된 1억 유로 과징금에서 비롯됐다. MLU B.V.는 Ridetech International B.V.의 후신이다. 네덜란드 개인정보보호 당국(Autoriteit Persoonsgegevens)은 핀란드와 노르웨이의 이용자·운전자 개인정보가 충분한 보호조치 없이 러시아로 이전됐다고 판단했다. 당국은 GDPR에 부합하는 보호조치가 마련되지 않는 한 해당 이전을 중단하라고 명령했다.

Yango 사건이 보여준 국외 이전의 함정

이번 사건의 핵심은 유럽연합이 승인한 **표준계약조항(SCC)**을 사용했다는 사실만으로 모든 국외 이전 문제가 해결되지는 않는다는 점이다. SCC는 제3국으로 개인정보를 이전할 때 활용할 수 있는 보호수단 중 하나지만, 실제 이전 환경에서 보호 수준이 유효하게 작동하는지 별도로 확인해야 한다.

관련 보도에 따르면 네덜란드 당국은 러시아 측이 암호화 키에 접근할 가능성, 네덜란드와 러시아 간 경영진이 공유된 구조 등을 검토했다. 이런 요소는 개인정보에 대한 접근이나 개인 재식별 위험을 높일 수 있다는 판단으로 이어졌다.

네덜란드 당국의 안내에 따르면 유럽경제지역(EEA) 밖의 제3국으로 개인정보를 이전하려면 해당 국가의 적정한 보호 수준, 적절한 보호조치 또는 특정 예외 요건이 필요하다. 계약서에 조항을 넣는 것뿐 아니라 실제 법률·기술 환경을 평가해야 한다는 의미다.

프랑스는 보안 실패 관련 제재가 중심

프랑스의 5,200만 유로 집계에는 대규모 개인정보 침해와 관련된 사건들이 포함됐다. 통신사 FREE MOBILE은 2,700만 유로, 모회사 FREE는 1,500만 유로의 과징금을 받았다. 의료 데이터 관련 침해 사건에서는 IQVIA Operations France에 1,500만 유로가 부과됐다.

이 사례들은 민감정보를 보호하지 못하거나 실효성 있는 보안 통제를 유지하지 못할 때 기업이 부담할 수 있는 재정적 위험을 보여준다. 데이터 처리와 보안 책임이 기업집단 내 여러 계열사에 나뉘어 있더라도 제재가 관련 회사들로 확대될 수 있다는 점도 드러났다.

이탈리아에서는 은행 고객 데이터 보호가 쟁점

이탈리아의 과징금은 총 4,550만 유로였다. 가장 큰 비중을 차지한 사건은 고객의 금융·은행 데이터를 충분히 보호하지 못한 **인테사 산파올로(Intesa Sanpaolo)**에 대한 3,180만 유로 과징금이다. 포스테 이탈리아네와 포스테페이도 은행 앱 관리와 관련한 문제로 각각 662만 유로, 588만 유로의 제재를 받았다.

이탈리아 사례는 금융기관에서 접근 권한 관리, 데이터 거버넌스, 디지털 서비스 운영 절차가 고객정보 보호에 맞게 설계·운영되는지가 상당한 제재 위험으로 이어질 수 있음을 보여준다.

Reddit, 아동 데이터와 연령 확인 문제로 제재

영국 정보보호감독기구(ICO)는 Reddit에 **1,447만 파운드(약 1,661만 유로)**의 과징금을 부과했다. 사유는 미흡한 연령 확인 절차와 아동 개인정보의 불법 처리였다.

이는 GDPR 집행이 데이터 유출이나 국외 이전에만 집중되지 않는다는 점을 보여주는 사례다. 아동 관련 정보를 처리하는 온라인 플랫폼은 연령 확인 체계가 충분한지, 해당 처리에 적법한 근거가 있는지, 아동에게 적절한 보호를 제공하는지를 입증해야 한다.

가장 빈번했던 위반 유형과 제재 업종

Finbold의 2분기 분석에서 주요 과징금의 거의 대부분은 보안 실패 또는 개인정보 처리의 적법한 근거 부재와 관련됐다.

상위 10개 과징금에서는 미디어와 금융 업종이 각각 3건씩 포함됐다. 운송과 에너지 업종은 각각 2건을 차지했으며, 여기에는 가장 큰 규모였던 네덜란드의 Yango 사건도 포함됐다.

이 같은 흐름은 GDPR 위험을 단순히 기술 보안 문제로만 보는 접근이 충분하지 않다는 점을 시사한다. 당국은 개인정보를 처리할 법적 근거가 있는지, 보안조치가 실제 환경에서 작동하는지, 국외 이전을 방어할 수 있는지, 협력사와 계열사를 적절히 감독했는지를 함께 살펴보고 있다.

기업이 2분기 수치에서 확인해야 할 것

과징금이 전 분기보다 230% 늘었다고 해서 모든 기업이 같은 수준의 위험에 노출되는 것은 아니다. 또한 이번 수치는 미래 과징금에 대한 전망이 아니라 Finbold가 집계한 보고 사례의 합계다. 다만 법무·운영·기술·조직 통제가 서로 연결된 영역에서 문제가 발생하면 대형 제재로 이어질 수 있다는 분명한 신호는 제공한다.

개인정보를 처리하는 기업이 우선 점검할 항목은 다음과 같다.

• 처리의 적법한 근거: 주요 개인정보 처리 활동이 어떤 법적 근거에 기반하는지 문서화하고, 실제 이용 방식과 그 근거가 일치하는지 확인해야 한다.
• 보안 통제: 접근 권한, 암호화, 모니터링, 사고 대응 체계가 실제로 데이터를 보호하는지 테스트해야 한다.
• 국제 데이터 이전: 계약 조항에만 의존하지 말고, 데이터를 보내는 국가의 법률·기술 환경과 정부 접근 가능성을 함께 평가해야 한다.
• 제3자 관리: 외부 처리업체와 계열사 사이의 처리계약, 책임 분담, 검증 절차를 명확히 유지해야 한다.
• 아동 데이터와 연령 확인: 연령 확인 및 아동 보호 절차가 적법하고 비례적인 데이터 처리를 뒷받침하는지 살펴야 한다.

Finbold의 2분기 분석이 내놓은 결론은 GDPR 집행이 데이터 거버넌스가 취약한 기업에 실질적인 재무 위험이 되고 있다는 것이다. 가장 큰 사건들은 단발적인 기술 오류에 그치지 않았다. 적법한 처리, 보안 통제, 국제 이전 보호조치, 제3자 감독이라는 개인정보보호의 기본 구조에서 문제가 드러났다.