2018년 이후 GDPR 누적 벌금 총액은 어떤 트래커를 참고하느냐에 따라 약 EUR 7.1 billion 또는 EUR 6.11 billion이며, 이 두 수치 사이의 격차야말로 GDPR 통계에서 가장 시사하는 바가 큰 부분입니다. CMS는 기록이 완전히 갖춰진, 직접 문서화된 사건만 집계하며 그 수는 2,685건입니다. DLA Piper는 영국을 포함한 31개 관할권을 조사합니다. 한편 실제로 가장 빠르게 움직이는 지표는 금액이 전혀 아닙니다. 데이터 유출 통지 건수는 22% 증가해 하루 평균 443건에 이르렀고, 규정이 시행된 이후 처음으로 400건을 넘어섰습니다. 아래 수치는 CMS GDPR Enforcement Tracker와 DLA Piper가 2026년 1월에 발표한 조사에서 가져온 것입니다.
TL;DR
- GDPR 누적 벌금 총액은 약 EUR 7.1 billion에 이른다(DLA Piper, 2026년 1월)
- CMS 트래커는 약 EUR 6.11 billion을 기록한다(CMS, 2025/2026년)
- CMS는 약 2,685건의 사건을 문서화한다(CMS, 2025/2026년)
- 이번 판에서는 이전 판보다 440건이 추가되었다(CMS)
- 새로 문서화된 벌금 EUR 487.6 million이 추가되었다(CMS)
- CMS의 데이터 마감일은 2026년 3월 1일이었다(CMS)
- 유럽 당국은 2025년 한 해 동안 약 EUR 1.2 billion의 벌금을 부과했다(DLA Piper)
- 이는 약 USD 1.42 billion 또는 GBP 1.06 billion에 해당한다(DLA Piper)
- 2026년 상반기에만 EUR 600 million 이상이 추가되었다(업계 추적)
- 데이터 유출 통지 건수는 전년 대비 22% 증가했다(DLA Piper)
- 일일 평균 통지 건수는 443건에 도달했다(DLA Piper)
- 이는 2018년 이후 일일 평균이 처음으로 400건을 넘어선 것이다(DLA Piper)
- DLA Piper는 영국을 포함한 31개 관할권을 조사한다(DLA Piper)
1. 두 개의 총액, 둘 다 맞다
GDPR 누적 총액을 단일 수치로만 인용하는 기사는 이미 암묵적으로 특정 산정 방식을 선택한 셈입니다. DLA Piper가 2026년 1월에 발표한 조사는 2018년 이후 총액을 약 EUR 7.1 billion으로 추정하는 반면, CMS Enforcement Tracker는 약 EUR 6.11 billion을 기록합니다. 그 차이는 약 EUR 1 billion입니다. CMS는 더 엄격한 증거 기준과 확정된 마감일을 적용하는 반면, DLA Piper는 더 넓은 관할권을 포괄합니다.
| 지표 | 값 | 출처 |
|---|---|---|
| 2018년 이후 누적 벌금 | 약 EUR 7.1 billion | DLA Piper, 2026년 1월 |
| 누적 문서화 벌금 | 약 EUR 6.11 billion | CMS, 2025/2026년 |
| 두 수치의 차이 | 약 EUR 1 billion | 산출값 |
| CMS의 집계 기준 | 직접 문서화되고 기록이 완전한 벌금만 | CMS |
| CMS의 데이터 마감일 | 2026년 3월 1일 | CMS |
| DLA Piper의 관할권 범위 | 영국을 포함한 31개 관할권 | DLA Piper |
| CMS 트래커의 문서화 사건 수 | 약 2,685건 | CMS |
| 두 발표물의 성격 | 공식 EU 통계가 아닌 법률회사 조사 | 산출값 |
두 수치 모두 진정한 의미의 공식 통계라고 보기는 어렵습니다. EU 차원에서 집행 총액을 통합해 발표하는 기관이 없기 때문입니다. 두 트래커는 바로 이 공백을 메우기 위해 존재합니다.
이러한 공백 자체가 주목할 만한 사실입니다. GDPR은 각 회원국의 국가 감독 당국에 의해 집행되며, 각 당국은 저마다의 일정, 저마다의 언어, 저마다의 세부 수준으로 발표합니다. 어떤 당국은 결정문 전체를 공개하고, 어떤 당국은 벌금액이라는 표제만 발표하며, 소송으로 강제되기 전까지는 거의 아무것도 공개하지 않는 당국도 있습니다. 규제 기관이나 기자, 컴플라이언스 팀이 조회할 수 있는 중앙 등록부는 존재하지 않습니다. 그 결과 유럽의 대표적인 개인정보 규정에 관해 가장 널리 인용되는 수치는 자발적으로 집계 작업을 수행하는 두 상업 법률회사에서 나온 것이며, 두 회사 사이에 존재하는 약 EUR 1 billion의 격차는 이러한 구조가 안고 있는 눈에 보이는 비용입니다. 출처: DLA Piper GDPR Fines and Data Breach Survey, 2026년 1월.
2. 사건 건수는 금액보다 빠르게 늘고 있다
유로가 아니라 사건 건수를 기준으로 세어 보면 집행 강도에 대해 다른 그림이 나타납니다. CMS 트래커는 최신판에서 440건의 사건과 EUR 487.6 million을 추가해, 문서화된 사건 총수를 약 2,685건으로 늘렸습니다. 이는 문서화된 벌금의 평균값이 EUR 3 million을 훨씬 밑돈다는 뜻이며, 누적 총액이라는 표제 수치가 폭넓은 심각성보다는 극소수의 매우 큰 벌금에 의해 좌우되고 있음을 의미합니다.
| 지표 | 값 | 출처 |
|---|---|---|
| 문서화된 사건 수(누적) | 약 2,685건 | CMS |
| 최신판에서 추가된 사건 수 | 440건 | CMS |
| 최신판에서 추가된 벌금액 | EUR 487.6 million | CMS |
| 최신 구간의 평균 벌금액 | 약 EUR 1.1 million | CMS 데이터 기반 산출값 |
| 누적 문서화 벌금 총액 | 약 EUR 6.11 billion | CMS |
| 전체 사건의 암묵적 평균값 | 약 EUR 2.3 million | CMS 데이터 기반 산출값 |
| 데이터 마감일 | 2026년 3월 1일 | CMS |
| 분포의 형태 | 극소수의 매우 큰 벌금에 좌우됨 | 산출값 |
최신 구간의 평균 EUR 1.1 million과 전체 사건 평균 EUR 2.3 million 사이의 격차는 최근 집행이 더 작고 더 일상적인 벌금 쪽으로 기울고 있음을 시사합니다. 출처: 업계 분석으로 정리된 CMS 및 DLA Piper 집행 데이터.
3. 연간 속도
집행 방향을 판단하는 데는 누적 수치보다 단일 연도 수치가 더 유용합니다. 유럽 감독 당국은 2025년 한 해 동안 약 EUR 1.2 billion의 벌금을 부과했고, 2026년 상반기에만 이미 EUR 600 million 이상이 추가되었습니다. 이 상반기 속도를 연 환산하면 2025년 수준과 대체로 비슷하며, 이는 집행이 계속 가속화되고 있다기보다는 높은 수준에서 고원 상태에 들어섰음을 의미합니다.
| 지표 | 값 | 출처 |
|---|---|---|
| 2025년 중 부과된 벌금 | 약 EUR 1.2 billion | DLA Piper |
| 미국 달러 환산액 | 약 USD 1.42 billion | DLA Piper |
| 영국 파운드 환산액 | 약 GBP 1.06 billion | DLA Piper |
| 2026년 상반기 추가분 | EUR 600 million 이상 | 업계 추적 |
| 2026년 연 환산 속도(추정) | 약 EUR 1.2 billion | 산출값 |
| 2025년 대비 방향성 | 대체로 보합 | 산출값 |
| DLA Piper 기준 누적 총액 | 약 EUR 7.1 billion | DLA Piper |
| 규정 시행 후 경과 연수 | 8년 | 산출값 |
연간 속도가 EUR 1.2 billion 수준에서 보합세를 유지한다는 것은 어쩌면 이 제도가 성숙했다는 신호일 수 있습니다. 집행이 산발적이지 않고 일상적이며 예측 가능해졌다는 뜻이며, 이는 컴플라이언스 팀이 예산을 편성하는 데 꼭 필요한 조건입니다. 규제 관련 맥락은 저희의 AI 규제 통계 글에서 다루고 있습니다. 출처: 2026년 중반 시점 GDPR 집행에 관한 컴플라이언스 분석.
4. 유출 신고가 가장 빠르게 움직이는 지표다
벌금은 언론의 주목을 받지만, 통지 건수는 실제 컴플라이언스 부담을 보여줍니다. 데이터 유출 통지 건수는 전년 대비 22% 증가해 하루 평균 443건에 이르렀으며, 이는 규정이 2018년에 시행된 이후 일일 평균이 처음으로 400건을 넘어선 것입니다. 대부분의 조직에게 통지 의무는 어떤 집행 조치보다도 훨씬 더 빈번하게 마주치는 GDPR 접점입니다.
| 지표 | 값 | 출처 |
|---|---|---|
| 일일 평균 유출 통지 건수 | 443건 | DLA Piper |
| 전년 대비 증가율 | 22% | DLA Piper |
| 400건 기준선의 의미 | 2018년 이후 처음 초과 | DLA Piper |
| 암묵적 연간 통지 건수 | 약 161,700건 | DLA Piper 데이터 기반 산출값 |
| 문서화된 집행 사건 수(누적) | 약 2,685건 | CMS |
| 연간 통지 건수 대 누적 사건 수 비율 | 약 60대 1 | 산출값 |
| 조사 대상 관할권 | 영국을 포함해 31개 | DLA Piper |
| 조사 발표 시기 | 2026년 1월 | DLA Piper |
단 한 해의 통지 건수와 8년간 문서화된 벌금 사이의 이 60대 1이라는 비율은 GDPR이 실제로 매일 무슨 일을 하고 있는지를 가장 명확하게 보여줍니다. 이는 처벌 제도라기보다는 훨씬 더 신고 제도에 가깝습니다. 유출 관련 맥락은 저희의 데이터 유출 통계 글에서 다루고 있습니다. 출처: DLA Piper GDPR Fines and Data Breach Survey 2026.
5. 트래커가 말해줄 수 없는 것
두 데이터 세트 모두 어느 쪽을 인용하기 전에 짚고 넘어가야 할 한계를 공유하고 있습니다. 둘 다 공식 EU 통계가 아니며, 둘 다 감독 당국이 무엇을 발표하기로 선택하느냐에 좌우되고, 항소 중인 벌금은 출처마다 다르게 취급됩니다. 오늘 발표된 눈에 띄는 벌금이 몇 년 후 감액되거나 취소되더라도 트래커의 데이터가 그에 맞춰 소급 수정되지는 않을 수 있습니다.
| 지표 | 값 | 출처 |
|---|---|---|
| EU 공식 통합 총액 | 발표되지 않음 | 산출값 |
| CMS의 기준 | 직접 문서화 가능한 사건만 | CMS |
| DLA Piper의 기준 | 31개 관할권을 대상으로 한 조사 | DLA Piper |
| 두 총액 사이의 차이 | 약 EUR 1 billion | 산출값 |
| 항소 중인 벌금의 처리 | 출처마다 다름 | 산출값 |
| CMS의 데이터 마감일 | 2026년 3월 1일 | CMS |
| DLA Piper의 발표 월 | 매년 1월 | DLA Piper |
| 출처 간 누적 범위 | EUR 6.11 billion에서 EUR 7.1 billion까지 | CMS, DLA Piper |
실무적으로는 특정 수치 하나가 아니라 범위를 인용하고, 특정 수치를 사용할 때는 반드시 어느 트래커에서 나온 것인지 밝히는 것이 바람직합니다. 알아둘 만한 또 다른 왜곡 요인도 있습니다. 누적 수치는 소수의 대형 기술기업에 부과된 극소수의 매우 큰 벌금이 지배하고 있으며, 그중 다수는 발표 후 몇 년이 지나도 여전히 항소 중입니다. 이 가운데 서너 건만 제외해도 누적 수치는 상당한 비율로 줄어들며, 이는 표제 총액이 규정 적용 대상 기업의 전형적인 경험이 아니라 소수의 예외적인 집행 사례를 나타낸다는 뜻입니다. 프라이버시에 대한 태도 관련 맥락은 저희의 디지털 프라이버시 통계 글에서 다루고 있습니다. 출처: EU 규제 집행 추적.
요약: 숫자로 보는 GDPR 벌금
| 지표 | 값 | 출처 |
|---|---|---|
| 2018년 이후 누적 벌금 | 약 EUR 7.1 billion | DLA Piper |
| 누적 문서화 벌금 | 약 EUR 6.11 billion | CMS |
| 두 수치의 차이 | 약 EUR 1 billion | 산출값 |
| 문서화된 사건 수 | 약 2,685건 | CMS |
| 최신판에서 추가된 사건 수 | 440건 | CMS |
| 추가된 벌금액 | EUR 487.6 million | CMS |
| 최신 구간의 평균 벌금액 | 약 EUR 1.1 million | 산출값 |
| 전체 사건의 암묵적 평균값 | 약 EUR 2.3 million | 산출값 |
| 2025년 중 부과된 벌금 | 약 EUR 1.2 billion | DLA Piper |
| 2026년 상반기 추가분 | EUR 600 million 이상 | 업계 추적 |
| 2026년 연 환산 속도(추정) | 약 EUR 1.2 billion | 산출값 |
| 일일 평균 유출 통지 건수 | 443건 | DLA Piper |
| 통지 건수의 전년 대비 증가율 | 22% | DLA Piper |
| 암묵적 연간 통지 건수 | 약 161,700건 | 산출값 |
| DLA Piper 조사 대상 관할권 수 | 31 | DLA Piper |
| CMS의 데이터 마감일 | 2026년 3월 1일 | CMS |
방법론 및 출처
- 누적 총액, 연간 집행 금액, 데이터 유출 통지 건수, 관할권 범위는 2026년 1월에 발표된 DLA Piper의 GDPR Fines and Data Breach Survey에서 가져왔습니다(조사, 조사 브리핑).
- 사건 건수, 문서화된 벌금액, 2026년 3월 1일이라는 데이터 마감일은 업계 분석에서 정리한 CMS GDPR Enforcement Tracker Report 2025/2026에서 가져왔습니다(Kiteworks, ComplianceHub, PrivacyEngine, EU enforcement tracker).
- 데이터 참고 사항: EU의 어떤 기관도 집행 총액을 통합해 발표하지 않으며, 따라서 두 표제 수치는 모두 공식 통계가 아닌 법률회사의 조사이고 산정 방식도 서로 다릅니다. CMS는 완전히 문서화할 수 있는 벌금만 집계하고 엄격한 마감일을 적용합니다. 반면 DLA Piper는 더 이상 EU 회원국이 아니지만 GDPR에서 파생된 제도를 유지하고 있는 영국을 포함해 31개 관할권의 감독 당국을 조사합니다. 두 수치 사이의 약 EUR 1 billion 격차는 산정 방식의 차이일 뿐 어느 한쪽의 오류가 아닙니다. 항소 중인 벌금은 출처마다 일관되지 않게 취급되며, 눈에 띄는 벌금이 몇 년 후 감액되거나 취소되어도 발표된 총액이 소급 수정되지 않는 경우가 있습니다. 2026년 상반기 수치는 아직 끝나지 않은 기간에 대한 진행 중인 집계입니다. 산출값으로 표시된 행은 발표된 수치를 바탕으로 한 계산입니다.
- 최종 업데이트: 2026년 8월 2일. 이 정리 글은 분기마다 업데이트하며, 다음 대규모 업데이트는 DLA Piper가 2027년 1월 조사를 발표하는 시점에 이루어질 예정입니다.