더 세진 개인정보 보호법 11일부터 시행, 뭐가 달라지냐면… 고의 또는 중과실로 개인정보 유출 사고를 반복하거나 1000만 명 이상이 피해를 본 기업에는 앞으로 전체 매출의 최대 10% 과징금이 부과될 수 있는데요. 유출이 확정되지 않았더라도 가능성이 높으면 인지 후 72시간 이내에 이용자에게 알려야 하고, 개인정보 보호의 최종 책임도 CEO에게 더 분명하게 부여됩니다.
개정 개인정보 보호법 핵심 요약
이번 개정은 대규모 개인정보 유출 사고에 대한 기업과 기관의 예방 책임, 사고 대응 책임을 한층 강화한 것이 핵심인데요.
| 구분 | 달라지는 내용 |
|---|---|
| 시행 시점 | 11일부터 새롭게 발생하는 위반행위에 적용 |
| 과징금 | 고의·중과실 등 일정 요건에 해당하면 전체 매출의 최대 10% |
| 유출 가능성 통지 | 유출 확정 전이라도 가능성이 높으면 인지 후 72시간 이내 통지 |
| 경영진 책임 | CEO가 개인정보 보호 최종 책임자, CPO 관련 이사회 의결 및 신고 의무 강화 |
| 계도기간 | 2027년 12월 31일까지 일부 CPO 관련 의무에 대해 과태료 미부과 |
과징금은 최대 10%까지 높아집니다
가장 눈에 띄는 변화는 개인정보 유출 사고에 대한 징벌적 과징금 도입입니다. 기존 최대 매출의 3%였던 과징금 상한이 최대 10%까지 높아졌는데요.
모든 유출 사고에 일률적으로 적용되는 것은 아닙니다. 고의 또는 중과실로 3년 안에 위반행위를 반복한 경우, 1000만 명 이상이 피해를 본 대규모 유출 사고, 시정명령을 이행하지 않아 유출 사고가 발생한 경우 등이 주요 대상입니다.
반복 위반에 붙는 추가 과징금 비율도 커집니다. 앞으로는 위반 횟수에 따라 1회 20%, 2회 40%, 3회 이상 80%의 추가 비율이 적용됩니다.
유출 가능성만 있어도 72시간 안에 알려야 합니다
개정법에는 유출 가능성 통지제도 새로 들어갔습니다. 개인정보 유출이 최종 확정되지 않았더라도 객관적으로 유출 가능성이 높다고 판단되면 이용자에게 신속히 알려야 하는 제도인데요.
예를 들어 다크웹에서 실제 데이터베이스 구조와 일치하는 샘플 자료가 유통되거나, 외부 침입 정황은 확인됐지만 정확한 유출 규모를 아직 파악하지 못한 상황이 해당할 수 있습니다. 이런 경우 기업이나 기관은 유출 가능성을 인지한 때부터 72시간 이내에 당사자에게 통지해야 합니다.
법정 기한 안에 통지하지 않으면 과징금이 최대 30% 추가될 수 있어 초기 대응과 안내 절차가 더욱 중요해졌습니다.
CEO와 이사회의 개인정보 보호 책임도 강화됩니다
개정 개인정보 보호법은 개인정보 보호를 담당 부서만의 일이 아니라 경영진이 직접 책임져야 하는 사안으로 명확히 했는데요. 개인정보 보호의 최종 책임자는 CEO로 정해졌습니다.
또한 개인정보 보호책임자(CPO)를 지정하거나 변경·해제할 때는 이사회 의결을 거쳐야 합니다. 이후 관련 사항은 6개월 이내 개인정보보호위원회에 신고해야 합니다.
언제 발생한 사고부터 적용되나요?
강화된 기준은 11일 이후 새로 발생하는 위반행위부터 적용됩니다. 따라서 최근 발생한 티빙과 강남언니 개인정보 유출 사고에는 이번 개정 기준이 소급 적용되지 않습니다.
기업과 기관은 사고가 난 뒤 대응하는 수준을 넘어, 개인정보 보호 체계와 책임 구조를 미리 점검할 필요가 있습니다. 이용자도 개인정보 유출 가능성 통지를 받으면 안내된 내용과 필요한 조치를 빠르게 확인하는 편이 좋습니다.
계도기간과 앞으로 확인할 점
제도의 정착을 위해 2027년 12월 31일까지 계도기간이 운영됩니다. 이 기간에는 CPO를 지정하지 않았거나 자격요건이 부족한 경우, 이사회 의결 의무를 지키지 않은 경우에도 과태료가 부과되지 않습니다.
다만 계도기간이 개인정보 보호 의무 자체를 없애는 것은 아닙니다. 개인정보보호위원회는 개인정보 보호 투자가 단순한 비용이 아니라 고객 신뢰와 기업 경쟁력 확보를 위한 선제적 투자로 자리 잡기를 기대하고 있습니다.
이용자와 기업이 특히 주의할 점
기업과 기관은 개인정보 유출 정황을 발견했을 때 사고 여부가 완전히 확정될 때까지 통지를 미루지 않도록 내부 대응 절차를 확인해야 합니다. 반복 위반이나 시정명령 불이행은 더 큰 과징금으로 이어질 수 있으므로, 기존 조치의 이행 여부도 함께 관리해야 합니다.
이용자는 서비스에서 개인정보 유출 또는 유출 가능성 안내를 받으면 어떤 정보가 관련됐는지, 추가로 해야 할 조치가 있는지를 우선 확인하는 것이 좋습니다. 다만 실제 대응 방법은 통지 내용과 해당 서비스의 공식 안내를 기준으로 판단해야 합니다.
자주 묻는 질문 Q&A
📌 Q&A
Q1. 개인정보 보호법은 언제부터 강화된 기준이 적용되나요?
A. 11일 이후 새롭게 발생하는 위반행위부터 개정 기준이 적용됩니다. 이전에 발생한 사고에 소급 적용되지는 않습니다.
Q2. 개인정보 유출 과징금은 최대 얼마인가요?
A. 고의·중과실로 위반을 반복하거나 1000만 명 이상 피해 등 일정 요건에 해당하면 전체 매출의 최대 10%까지 과징금이 부과될 수 있습니다.
Q3. 유출이 확정되지 않아도 이용자에게 알려야 하나요?
A. 네. 객관적으로 유출 가능성이 높다고 판단되면 인지한 때부터 72시간 이내에 당사자에게 알려야 합니다.
Q4. 개인정보 보호의 최종 책임자는 누구인가요?
A. 개정법에서는 CEO를 개인정보 보호의 최종 책임자로 정했습니다. CPO 지정·변경·해제에는 이사회 의결도 필요합니다.
Q5. 계도기간에는 아무 의무가 없는 건가요?
A. 아닙니다. 2027년 12월 31일까지 일부 CPO 관련 위반에 과태료를 부과하지 않는 기간일 뿐, 개인정보 보호 체계와 관련 의무를 준비해야 합니다.
개인정보보호법, 개인정보유출, 개인정보보호법개정, 과징금, 유출가능성통지, CEO책임, 개인정보보호위원회