新韩等金融机构信用信息泄露罚款最高仅50亿韩元……加大处罚力度呼声高涨

by Lee Eunjoo

Published 06 Oct.2026 15:40(KST)

Updated 07 Oct.2026 08:30(KST)

open/close

[漏洞百出的金融安全]④
金融委员会预告细化罚款计算标准的规定
新韩银行事件也可能适用
黑客攻击致信息泄露，罚款上限仍为50亿韩元
最高按总销售额3%处以惩罚性罚款的法案仍待审议

近期，金融业接连发生客户信息泄露事件，金融监管部门新制定的《信用信息法》罚款计算标准，可能适用于新韩银行等目前正在调查的案件。不过，黑客攻击导致个人信用信息泄露的法定罚款上限仍为50亿韩元。金融监管部门自2025年起推动的惩罚性罚款方案仍待国会审议，即使法律完成修订，预计也难以追溯适用于已经发生的事件。

据金融监管部门6日消息，金融委员会于本月1日就《信用信息业监督规定》修订案发布规定变更预告，拟新增《信用信息法》罚款计算标准。监管部门认为，在后续处罚过程中，新标准也可能适用于目前正在调查的新韩银行等客户信息泄露事件。《行政基本法》规定，违法行为发生后，如法律法规变更使处罚标准减轻，除另有特别规定外，应适用变更后的标准。

此次修订案的核心，是根据《信用信息法》的特点制定独立的罚款标准。此前，违法行为按严重程度分为三个等级，情节较轻、严重和非常严重的行为，分别适用50%、75%和100%的罚款基准比例。

针对轻微违法行为也可能面临过高罚款的意见，监管部门细化了罚款基准比例。修订案规定，情节较轻的违法行为适用1%以上、不足30%的比例，严重违法行为适用30%以上、不足65%的比例，非常严重的违法行为适用65%以上、100%以下的比例。个人信用信息的类型和性质、损害规模和影响、违法方式及持续时间等，也将纳入严重程度评估。

不过，此次修订旨在完善罚款计算方式，并未提高黑客攻击导致个人信用信息泄露的罚款上限。现行《信用信息法》规定，违反安全保障义务，导致个人信用信息丢失、被盗、泄露、篡改或损毁的，罚款不得超过50亿韩元。

因此，如果新韩银行不仅泄露个人信息，还泄露年收入、贷款额度等个人信用信息的事件被认定为“非常严重”的违法行为，且修订案最终确定并适用，基础罚款可能在32.5亿至50亿韩元之间确定。此后，再结合从重、减轻处罚等因素确定最终金额，但不得超过50亿韩元的法定上限。

监管部门认为，此次事件的处罚将主要适用《信用信息法》。同时，也可能适用《电子金融交易法》，该法要求金融公司遵守信息技术及安全标准，以确保电子金融交易安全进行。不过，目前违反相关安全义务的行政罚款上限为5000万韩元。金融监督院完成调查后，监管部门还将研究是否适用《银行法》等各金融业态的法律，以判断能否实施暂停业务等额外处罚。

此外，也有可能依据《个人信息保护法》另行处罚。《个人信息保护法》通常允许处以最高相当于总销售额3%的罚款。但监管部门解释称，对于个人信用信息泄露行为，难以同时适用《信用信息法》和《个人信息保护法》。这是因为，个人信息与信用信息混合泄露时，应优先适用作为特别法的《信用信息法》。若要依据《个人信息保护法》追加处罚，必须查明另有不受《信用信息法》规制的个人信息处理违法行为。

乐天信用卡便是典型案例。该公司于2025年泄露297万名客户的个人信用信息，金融监管部门于2026年7月依据《信用信息法》等法律，对其处以50亿韩元罚款，并责令暂停业务1.5个月。此外，个人信息保护委员会于2026年3月，就乐天信用卡在没有法律依据的情况下，在在线支付日志中记录居民登记号码且未充分加密的行为，另行处以96.2亿韩元罚款。

推动惩罚性罚款……法案仍待国会审议

2025年金融业接连发生黑客攻击事件后，政府曾表示，将加大信息泄露处罚力度，并引入惩罚性罚款。金融监管部门计划修订规定电子金融系统安全保障义务的《电子金融交易法》，加强对黑客攻击事件的处罚。

共同民主党议员Yoo Dongsu牵头提出的《电子金融交易法》修订案规定，因网络安全事件导致电子金融交易信息或个人信用信息泄露等情形，可处以不超过总销售额3%的罚款。

修订案设计的罚款计算标准比现行《个人信息保护法》更为严格。《个人信息保护法》原则上也将总销售额的3%设为罚款上限，但实际计算时，会从总销售额中扣除与违法行为无关的销售额。相比之下，《电子金融交易法》修订案没有此类销售额扣除规定。

金融监管部门一名相关人士解释称：“修订案并未像《个人信息保护法》那样，设置‘扣除与违法行为无关的销售额’的规定，因此处罚力度更大。”该人士还表示：“实际的信息泄露事件，通常是先发现遭到黑客攻击，再在调查入侵路径和受损范围的过程中确认信用信息泄露。通过修订《电子金融交易法》，而非《信用信息法》，可以实施更系统的规制。”

然而，包含上述内容的《电子金融交易法》修订案目前仍待国会审议。即使法律完成修订，也难以将加重后的惩罚性罚款追溯适用于近期发生的新韩银行等金融机构信息泄露事件。