핵심 POINT
2026년 9월 11일부터 개정 개인정보 보호법과 시행령이 시행됐습니다. 고의·중과실로 위반행위를 반복하거나 1천만 명 이상의 대규모 피해를 낸 경우 등에는 전체 매출액의 최대 10% 범위에서 과징금이 부과될 수 있습니다.
사전 예방투자를 반영하는 과징금 감경제가 도입됐습니다. 개인정보 보호 예산·인력·체계에 투자한 기업은 개인정보위 고시 기준을 충족하면 과징금 기준금액의 40% 범위에서 감경받을 수 있습니다.
일정 규모 이상의 개인정보처리자는 개인정보 보호책임자(CPO)를 지정·변경·해제할 때 이사회 의결과 개인정보위 신고 의무가 적용됩니다. 또한 개인정보 유출 가능성을 인지한 시점부터 72시간 이내에 정보주체에게 통지하는 제도도 새로 도입됐습니다.
2025년 개인정보 유출 신고 건수는 447건으로, 2022년 167건 대비 약 2.7배 증가했습니다. 특히 2025년 유출 신고 가운데 해킹이 276건(62%)으로 가장 큰 비중을 차지했습니다. 개인정보 보호는 더 이상 선택이 아니라 기업 경영의 핵심 과제가 됐습니다.
이러한 배경 속에서 2026년 9월 11일, 개정 개인정보 보호법과 시행령·고시가 시행됐습니다. 이번 개정은 ‘사후 수습’에서 ‘사전 예방’ 중심으로 제도의 무게중심을 옮기는 것이 핵심입니다. 과징금 체계가 강화되는 동시에, 예방에 투자한 기업에는 과징금 감경 기회가 주어지는 구조입니다.
개정 개인정보 보호법의 주요 변화를 실무자 관점에서 정리하고, 기업이 지금 점검해야 할 보안 의무와 대응 방향을 짚어봅니다.
■ 2026년 개인정보 보호법 개정, 무엇이 달라졌을까?
출처: Magnific
1) 반복·중대 개인정보 침해, 최대 10% 과징금 특례
가장 큰 변화는 과징금 체계의 강화입니다. 고의 또는 중과실로 3년 내 같은 위반행위를 반복하거나, 1천만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 받고도 이행하지 않아 유출이 발생한 경우에는 전체 매출액의 최대 10% 범위에서 과징금을 부과할 수 있게 됐습니다. 일반 위반의 과징금 상한은 기존과 같이 전체 매출액의 3%입니다.
반복 위반에 대한 가중 비율도 상향됐습니다. 기존에는 1회 15%, 2회 이상 30%였으나 개정 후에는 1회 20%, 2회 40%, 3회 이상 80%로 강화됐습니다. 또한 유출 신고·통지를 법정기한 내 이행하지 않고 피해 확산 방지 조치도 하지 않은 경우 과징금이 최대 30%까지 가중됩니다.
2) 개인정보 보호에 투자하면 과징금 감경
과징금이 강화된 만큼, 사전에 개인정보 보호에 투자한 기업에는 감경 기회가 제공됩니다. 개인정보보호위원회는 다음 세 가지 요건을 종합적으로 고려해 과징금 기준금액의 40% 범위에서 감경할 수 있도록 했습니다.
• 개인정보 보호를 위한 예산·인력·설비·장치 등의 투자 규모·비율과 지속성 및 증가 정도
• CEO·CPO 및 전문인력 등 개인정보 보호체계의 내용과 수준
• 법상 의무사항 이외의 안전성 확보조치에 대한 추가적 노력(로그 실시간 통합 관리, 공격표면 관리, SBOM(소프트웨어 자재명세서) 현행화 등)
또한 사고 대응체계를 갖추고 조기 탐지, 신속한 신고 및 통지, 피해 확산 방지 등을 충실히 이행한 경우에도 감경 요소로 반영될 수 있습니다. 이처럼 사전 예방과 사후 대응 모두 감경 판단의 기준이 됩니다.
3) CPO 권한 강화와 이사회 의결·신고 의무
이번 개정에서는 사업주·대표자(CEO)를 개인정보 처리·보호의 최종 책임자로 명시하고, CPO의 전문인력 관리·예산 확보와 이사회 보고 의무를 강화했습니다.
일정 규모 이상의 개인정보처리자는 CPO를 지정, 변경, 해제할 때 이사회 의결을 거쳐 개인정보보호위원회에 신고해야 합니다. 민간 기업은 연 매출액 1,800억 원 초과이면서 100만 명 이상의 개인정보 또는 5만 명 이상의 민감정보·고유식별정보를 처리하는 경우가 대상이며, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관 등도 포함됩니다. 신고는 사유 발생일로부터 6개월 이내에 해야 하며, 법 시행 전에 지정된 CPO는 시행일(9월 11일)부터 6개월 이내에 신고해야 합니다.
이번 개정은 CPO의 형식적 지정에 그치지 않고 전문인력 관리, 예산 확보, 대표자·이사회 보고 등 실질적인 권한과 책임을 강화하는 데 초점이 있습니다.
4) 개인정보 유출 ‘가능성’ 통지제 도입
개인정보 유출이 확정되지 않았더라도, 개인정보처리시스템에 대한 불법적 접근이나 개인정보의 불법 유통 정황 등 법령이 정한 유출 가능성을 인지한 경우 72시간 이내에 서면 등의 방법으로 정보주체에게 통지해야 합니다. 예를 들어 개인정보처리시스템에 불법적인 접근이 발생해 유출이 의심되거나, 일부 개인정보의 유출이 확인돼 다른 정보주체의 정보도 유출 가능성이 있다고 인정되는 경우가 해당합니다. 실제 유출이 확인되면 가능성 통지 대신 유출 통지를 하게 됩니다.
통지 항목도 확대됐습니다. 기존 항목에 더해 분쟁조정 신청 방법과 손해배상 청구 방법도 함께 알려야 합니다. 또한 랜섬웨어 등에 의한 개인정보 위조·변조·훼손도 유출 신고·통지 대상에 포함됐습니다.
■ 개정 개인정보 보호법, 핵심 변화 한눈에 보기
| 항목 | 기존 | 개정 후 |
|---|---|---|
| 과징금 상한 | 일반 위반 시 전체 매출액의 최대 3% | 반복·중대 침해 시 최대 10% 특례 적용 |
| 반복 위반 가중 | 1회 15%, 2회 이상 30% | 1회 20%, 2회 40%, 3회 이상 80% |
| 사전 예방투자 감경 | 투자 실적을 반영한 별도 감경 기준 없음 | 개인정보 보호 투자 시 기준금액의 40% 범위에서 감경 가능 |
| CPO 지정 절차 | 전문 CPO 지정 의무 중심 | 일정 대상은 지정·변경·해제 시 이사회 의결 및 개인정보위 신고 |
| 유출 통지 | 유출 사실 인지 후 통지 | 법령상 유출 가능성 인지 시에도 72시간 이내 통지 |
| 통지·신고 대상 | 분실·도난·유출 | 위조·변조·훼손까지 확대 |
[표] 2026년 개인정보 보호법 개정 주요 변화
■ 개인정보 보호법 개정 대응, 기업 보안 점검 체크리스트
출처: Magnific
개인정보 유출은 외부 해킹만의 문제가 아닙니다. 개인정보위에 따르면 2025년 유출 신고 447건 중 해킹이 276건(62%)으로 가장 많았지만, 업무 과실도 110건(25%)을 차지했습니다. 정보보안 체계와 함께 내부 관리체계와 대응 절차를 종합적으로 점검해야 하는 이유입니다.
개정 개인정보 보호법 시행에 맞춰 기업이 우선 확인해야 할 항목을 체크리스트로 정리했습니다.
✔️ 개인정보 보호 투자 이력 정리: 최근 3개 사업연도의 예산, 인력, 설비, 보안체계 등의 투자 현황을 정리하고, 투자 규모뿐 아니라 지속성과 증가 추세까지 확인합니다.
✔️ CPO 지정·신고 대상 여부 확인: 자사가 CPO 이사회 의결·신고 의무 대상인지 확인하고, 대상 기업은 지정, 변경, 해제 절차와 신고 기한을 점검합니다.
✔️ 유출 가능성 통지 프로세스 마련: 불법적 시스템 접근이나 개인정보의 불법 거래 및 유통 정황을 인지했을 때 72시간 이내 통지가 가능하도록 내부 보고·판단 절차를 정비합니다.
✔️ 개인정보 유출 대응 매뉴얼 업데이트: 분실·도난·유출뿐 아니라 위변조·훼손까지 신고 및 통지 대상이 확대된 점을 반영해 사고 대응 매뉴얼을 수정합니다.
✔️ 법적 의무 이상의 안전조치 점검: 계정·접근권한 관리, 로그 통합 관리, 공격표면 관리, 암호화 확대, SBOM 관리 등 추가적인 보호조치가 실제 운영되고 있는지 확인합니다.
■ 개인정보 보호 컨설팅·보안 서비스, 도입 전 확인할 4가지 기준
개정법 대응을 위해 외부 전문 컨설팅이나 보안 서비스 도입을 검토하는 기업은 도입 전에 다음 기준을 확인하는 것이 좋습니다.
1) 개정법 요구사항 반영 여부: 과징금 감경 요건, CPO 이사회 의결·신고, 유출 가능성 통지 등 개정 내용이 진단 항목에 반영되어 있는지 확인합니다.
2) 투자·이행 증빙 지원: 감경 판단에 활용할 수 있도록 보호 투자 현황과 안전조치 이행 내역을 문서로 정리해 주는지 확인합니다.
3) 진단에서 개선까지의 연계: 현황 진단에 그치지 않고 취약점 진단, 보안관제, 침해사고 대응 등 실제 개선과 운영 단계까지 이어지는지 확인합니다.
4) 사고 대응 역량: 유출 가능성 인지 후 72시간 이내 통지 판단을 지원할 수 있도록 상시 모니터링과 침해사고 대응 체계를 갖추고 있는지 확인합니다.
■ 개인정보 보호 컨설팅부터 보안관제·침해사고 대응까지
출처: Magnific
개정 개인정보 보호법은 사고 발생 이후의 대응뿐 아니라 평소 예방투자와 관리체계를 함께 요구하는 방향으로 바뀌었습니다. 따라서 기업은 현재 개인정보 처리 현황과 보호조치 수준을 점검하고, 제도 변화에 맞게 내부 정책과 대응 절차를 정비할 필요가 있습니다.
SK쉴더스는 개인정보보호·컴플라이언스 컨설팅을 통해 기업의 개인정보 관리체계와 법적 요구사항 준수 수준을 점검하고 개선 방안을 제시합니다. 필요에 따라 보안관제, 취약점 진단, 침해사고 대응 등 전문 서비스를 연계해 사전 예방부터 사고 대응까지 정보보안 역량을 보완할 수 있습니다.
■ 자주 묻는 질문
Q1. 매출액 최대 10% 과징금은 모든 개인정보 유출에 적용되나요?
A. 아닙니다. 고의·중과실로 3년 내 같은 위반행위를 반복하거나, 1천만 명 이상 대규모 피해를 발생시키거나, 시정명령 불이행 후 유출이 발생하는 등 법에서 정한 반복·중대한 사안에 적용되는 특례입니다. 일반 위반에는 전체 매출액의 3% 이하 과징금 체계가 적용됩니다.
Q2. CPO 이사회 의결·신고 의무는 모든 기업에 적용되나요?
A. 아닙니다. 일정 규모 이상의 개인정보처리자가 대상입니다. 민간 기업은 연 매출액 1,800억 원 초과이면서 100만 명 이상의 개인정보 또는 5만 명 이상의 민감정보·고유식별정보를 처리하는 경우에 해당하며, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관 등도 대상입니다. 자사의 매출 규모와 개인정보 처리 규모를 기준으로 적용 여부를 확인해야 합니다.
Q3. 개인정보 유출이 확정되지 않아도 이용자에게 알려야 하나요?
A. 경우에 따라 그렇습니다. 불법적 시스템 접근이나 개인정보의 불법 거래·유통 사실을 알게 되는 등 법령이 정한 유출 가능성을 인지한 경우 72시간 이내에 정보주체에게 서면 등의 방법으로 통지해야 합니다. 실제 유출이 확인되면 유출 통지로 진행합니다.
Q4. 랜섬웨어로 개인정보가 암호화되기만 해도 신고 대상인가요?
A. 개정법은 개인정보의 분실·도난·유출뿐 아니라 위조·변조·훼손도 통지·신고 대상으로 확대했습니다. 따라서 랜섬웨어로 개인정보가 암호화·훼손된 경우에도 신고·통지 의무를 검토해야 합니다.
Q5. 개인정보 보호 컨설팅은 어떤 기업이 받아야 하나요?
A. CPO 이사회 의결·신고 대상 기업뿐 아니라 개인정보 처리 규모가 큰 기업, 최근 보안사고나 감사 지적 이력이 있는 기업은 우선 검토하는 것이 좋습니다. 현재 보호조치 수준을 진단해 개정법 대비 미흡한 부분과 우선 개선 과제를 파악할 수 있습니다.
Q6. 개인정보 보호에 투자하면 과징금이 반드시 감경되나요?
A. 아닙니다. 감경은 개인정보위 고시 기준을 충족하는지에 따라 종합적으로 판단됩니다. 투자 규모뿐 아니라 지속성, 보호체계의 수준, 사고 대응 이행 여부 등을 함께 보므로 평소 투자 이력과 이행 증빙을 갖춰 두는 것이 중요합니다.
[참고자료]
개인정보 유출 사건 1년간 447건...유출 원인 1위는 '해킹' | 매일경제
11일부터 개정 개인정보보호법·시행령 발효...반복·대규모 유출시 매출 최대 10% 과징금 | 아시아경제
잇단 보안사고에...6년간 확인된 개인정보 유출만 1억4천만건 | 연합뉴스
개인정보보호위원회, 개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행(보도자료) | 개인정보보호위원회
