더 세진 개인정보 보호법 11일부터 시행, 뭐가 달라지냐면 반복적이거나 중대한 개인정보 유출 사고에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 된 점입니다. 유출이 확정되지 않았더라도 가능성이 높으면 이용자에게 알리고, 기업의 대표자와 개인정보 보호책임자(CPO)의 책임도 더 분명해졌는데요.
| 시행일 | 2026년 9월 11일 |
|---|---|
| 핵심 변화 | 징벌적 과징금, 유출 가능성 통지, 경영진 책임 강화 |
| 최대 과징금 | 전체 매출액의 최대 10% |
| 통지 기준 | 유출 가능성이 높다고 판단되면 인지 후 72시간 이내 통지 |
| 적용 대상 | 9월 11일 이후 새롭게 발생하는 위반행위 |
| 계도기간 | 2027년 12월 31일까지 일부 CPO 관련 의무 위반 과태료 계도 |
개인정보 보호법에서 가장 크게 달라진 점
이번 개정은 개인정보 유출 사고가 난 뒤 책임을 묻는 데서 더 나아가, 기업이 사고를 미리 막고 이용자에게 빠르게 알리도록 하는 데 초점이 맞춰졌습니다.
반복·대규모 유출에는 최대 10% 과징금
고의 또는 중대한 과실로 개인정보 보호법을 위반한 기업이 3년 안에 같은 위반을 반복하거나, 1,000만 명 이상에게 피해를 발생시킨 경우에는 전체 매출액의 최대 10%까지 과징금이 부과될 수 있습니다. 시정명령을 이행하지 않아 유출 사고가 발생한 경우도 엄정 제재 대상에 포함됩니다.
반복 위반에 붙는 가중 비율도 높아졌는데요. 기존에는 1회 위반 시 15%, 2회 이상 위반 시 30%를 더했지만, 앞으로는 1회 20%, 2회 40%, 3회 이상 80%를 가중할 수 있습니다.
유출이 확정되지 않아도 알리는 제도 신설
유출 가능성 통지제는 실제 유출 여부가 최종 확정되지 않았더라도, 객관적인 정황상 개인정보가 유출됐을 가능성이 높으면 이용자에게 알리도록 한 제도입니다.
예를 들어 다크웹에서 실제 데이터베이스 구조와 맞는 샘플 정보가 확인되거나, 침입 정황은 뚜렷하지만 정확한 피해 규모를 아직 파악하지 못한 경우가 여기에 해당할 수 있습니다. 개인정보처리자는 이런 사실을 인지한 뒤 72시간 이내에 정보주체에게 통지해야 합니다.
기업과 기관은 무엇을 준비해야 하나요?
개정 개인정보 보호법에서는 개인정보 보호의 최종 책임을 최고경영자(CEO)에게 분명히 부여했습니다. 개인정보 유출 대응을 실무 부서의 업무로만 두기보다, 경영진이 관리 체계를 직접 챙겨야 하는 구조로 바뀐 것입니다.
또한 개인정보 보호책임자(CPO)를 지정·변경·해제할 때에는 이사회 의결을 거쳐야 하며, 정해진 대상은 변경 사항을 6개월 이내 개인정보보호위원회에 신고해야 합니다. 기업은 유출 사고 발생 시 통지 여부와 시점을 빠르게 판단할 수 있도록 내부 보고·대응 절차를 점검할 필요가 있습니다.
이용자 입장에서 확인할 점
개인정보 유출 가능성 통지가 왔다면 단순 안내로 넘기기보다 어떤 정보가 영향을 받았는지, 비밀번호 변경이나 추가 본인확인이 필요한지를 먼저 확인하는 것이 좋습니다.
특히 여러 서비스에서 같은 비밀번호를 사용했다면 해당 계정의 비밀번호를 각각 바꾸고, 결제수단이나 계정 로그인 기록에 이상이 없는지도 확인해야 합니다. 통지 내용에 안내된 피해 예방 조치와 고객센터 문의 경로도 함께 살펴보세요.
과거 유출 사고에도 새 기준이 적용되나요?
이번 강화 기준은 2026년 9월 11일 이후 새롭게 발생하는 위반행위부터 적용됩니다. 따라서 이 시행일 이전에 발생한 티빙·강남언니 개인정보 유출 사고에는 이번 개정 기준이 소급 적용되지 않습니다.
계도기간과 남은 과제
제도가 현장에 안착할 수 있도록 2027년 12월 31일까지 계도기간이 운영됩니다. 이 기간에는 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반 등에 대해 과태료가 바로 부과되지 않습니다.
다만 계도기간이 있다고 해서 개인정보 보호 의무 자체가 사라지는 것은 아닙니다. 기업은 개인정보 보호 투자를 단순 비용이 아니라 고객 신뢰와 서비스 지속성을 위한 사전 예방 투자로 보고 대응할 필요가 있습니다.
자주 묻는 질문 Q&A
📌 Q&A
Q1. 강화된 개인정보 보호법은 언제부터 시행되나요?
A. 개정 개인정보 보호법과 관련 시행령·고시는 2026년 9월 11일부터 시행됐습니다.
Q2. 개인정보 유출 시 과징금은 최대 얼마인가요?
A. 고의·중과실에 따른 반복 또는 대규모 유출 등 정해진 요건에 해당하면 전체 매출액의 최대 10%까지 과징금이 부과될 수 있습니다.
Q3. 유출이 확정되지 않아도 이용자에게 알려야 하나요?
A. 네. 객관적으로 유출 가능성이 높다고 판단되면 유출이 확정되지 않았더라도 인지한 때부터 72시간 이내에 통지해야 합니다.
Q4. 개인정보 보호책임자(CPO) 관련 절차도 바뀌었나요?
A. 정해진 대상은 CPO 지정·변경·해제 시 이사회 의결을 거치고, 변경 사항을 6개월 이내 개인정보보호위원회에 신고해야 합니다.
Q5. 이전 개인정보 유출 사고에도 최대 10% 과징금이 적용되나요?
A. 아닙니다. 강화된 기준은 2026년 9월 11일 이후 새롭게 발생한 위반행위부터 적용됩니다.
개인정보보호법, 개인정보유출, 개인정보보호법시행, 과징금10퍼센트, 유출가능성통지, CPO, 개인정보보호위원회