2026-10-12 수정 이번 개정에 없는 내용(영향평가 민간 확대·이동권 도입·입증책임 전환)을 바로잡고, 실제 개정 사항(대표자 책임, CPO 지정 이사회 의결·신고, 유출 가능성 통지, ISMS-P 인증 의무화)으로 고쳤습니다.
일반 상한 3% 유지, 세 가지 경우에만 상한 10%
2026년 2월 12일, 개인정보보호법 개정안이 국회를 통과했습니다. 2026년 3월 10일 법률 제21445호로 공포돼 2026년 9월 11일부터 시행되고 있으며, 기업의 개인정보 관리 체계에 큰 변화를 요구합니다.
핵심 변경 사항
1. 중대·반복 위반 과징금 상한 상향
- 종전: 전체 매출액의 3% 이하 (매출이 없거나 산정이 어려우면 20억 원 이하)
- 개정: 일반 위반의 상한은 3%(20억 원) 그대로입니다. ① 과징금 처분을 받고 3년 안에 같은 유형의 위반을 되풀이한 경우(두 위반 모두 고의·중과실일 때, 개정법 시행 이후 위반에 대한 처분부터 적용) ② 고의·중과실로 1천만 명 이상에게 피해가 난 경우 ③ 시정명령을 따르지 않아 유출이 일어난 경우에만 전체 매출액의 10%(매출이 없거나 산정이 어려우면 50억 원)까지 부과할 수 있습니다(제64조의2제2항)
- 3%와 10%는 부과할 수 있는 상한이지 정해진 부과율이 아닙니다. 실제 과징금은 전체 매출액에서 위반행위와 관련 없는 매출액을 뺀 금액을 기준으로 산정합니다(제3항)
- 개인정보 보호에 예산·인력·설비를 투자해 고시 기준을 충족하면 과징금을 줄여 주는 투자 감경 제도도 새로 생겼습니다. 감경 폭은 기준금액의 40% 이내이고, 고의·중과실 위반은 대상이 아닙니다(제6항, 개인정보위 과징금 부과기준 고시)
2. 대표자 책임 명시와 CPO 지정 이사회 의결
- 사업주 또는 대표자가 개인정보의 안전한 처리와 정보주체 권리 보호의 최종 책임자로 명시됐습니다(제30조의3)
- 매출액·개인정보 보유 규모 등 대통령령 기준에 해당하는 처리자는 CPO를 지정·변경·해제할 때 이사회 의결(법인인 경우)을 거치고 개인정보위에 신고해야 합니다(제31조제3항). 시행령 제32조제3항은 ① 연간 매출액등이 1,800억 원을 초과하는 자(각급 학교·의료기관 제외) 중 민감정보 또는 고유식별정보를 처리하는 정보주체가 5만 명 이상이거나 개인정보를 처리하는 정보주체가 100만 명 이상인 자, ② 전년도 말 기준 대학원생을 포함한 재학생이 2만 명 이상인 대학, ③ 상급종합병원, ④ 공공시스템운영기관을 대상으로 정했습니다. 매출액을 산정하지 않는 경우에는 「법인세법」 제4조제3항제1호에 따른 수익사업에서 생기는 소득을 기준으로 합니다
- CPO 업무에 전문 인력 관리·예산 확보와 대표자·이사회 보고가 추가됐습니다(제31조제4항)
- 개인정보위는 2027년 12월 31일까지 계도기간을 두어 CPO 미지정·이사회 의결·신고 의무 위반에 과태료를 부과하지 않는다고 밝혔습니다
3. 유출 가능성 통지 도입
- 통지·신고 대상인 '유출등'에 위조·변조·훼손이 포함됐습니다
- 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 경우에도 지체 없이 해당 정보주체에게 알려야 합니다(제34조제2항). 시행령은 그 경우를 불법 접근으로 유출이 의심되나 정보주체를 특정하기 어려운 때 등 두 가지로 정하고, 72시간 이내 통지를 요구합니다
4. 개인정보 보호 인증(ISMS-P) 의무화 (2027년 7월 1일 시행)
- 매출액·개인정보 처리 규모 등 대통령령 기준에 해당하는 처리자는 인증을 받아야 합니다(제32조의2제1항 단서)
- 대상 기준은 아직 시행령에 없습니다. 개인정보위는 2026년 9월 10일 브리핑에서 2027년 상반기까지 시행령으로 대상을 정하고, 대상 기업·기관은 2028년 12월 31일까지 인증을 받도록 할 계획이라고 밝혔습니다
5. 이번 개정에서 바뀌지 않은 것
- 개인정보 영향평가 의무 대상은 종전처럼 공공기관입니다(제33조제1항)
- 개인정보 전송요구권(제35조의2, 2025년 3월 시행)과 자동화된 결정에 대한 권리(제37조의2, 2024년 3월 시행)는 2023년 개정으로 도입된 제도입니다
개정법 시행에 맞춰 기업이 점검해야 할 것
| 준비 항목 | 세부 사항 | 우선순위 |
|---|---|---|
| 과징금 리스크 분석 | 현재 개인정보 처리 현황 파악 | 높음 |
| CPO 체계 정비 | 이사회 의결·신고 대상 여부 확인, 보고 절차 수립 | 높음 |
| 유출 가능성 통지 | 통지 기준·문안·72시간 절차 정비 | 높음 |
| 기술적 보호조치 | 암호화, 접근제어, 로깅 점검 | 높음 |
| ISMS-P 인증 | 2027년 시행령 대상 기준 확인, 취득 일정 검토 | 중간 |
보안 점검, 더 이상 선택이 아닙니다
중대·반복 위반의 과징금 상한 10%와 예방 투자 감경제는 보안을 비용이 아닌 투자로 만듭니다. SENTRIX는 개정법 대응에 필요한 기술 취약점 진단과 조치 증적 확보를 지원합니다.
출처: 법률신문, '개인정보보호법 개정안 국회 통과' (2026.02)