2026년 개인정보보호법 개정 시행 — 매출액 10% 과징금·CPO·유출통지 핵심 정리

2026년 개인정보보호법 개정, 무엇이 달라졌나요?

이번 개정은 과징금만 강화한 것이 아닙니다. 과징금 특례, 예방 투자 감경, CPO 책임체계, 유출 가능성 통지, 랜섬웨어 등 위조·변조·훼손 사고, 피해구제 안내가 함께 바뀌었습니다.

1. 전체 매출액 최대 10% 과징금은 언제 적용되나요?

모든 개인정보 유출에 전체 매출액 10%가 적용되는 것은 아닙니다. 법 제64조의2가 정한 반복적이거나 중대한 침해행위가 대상이고, 10%는 실제 부과율이 아니라 법이 정한 상한입니다.

특히 반복 위반과 1천만명 이상의 대규모 피해 유형에서는 고의 또는 중과실이 중요한 요건입니다. 다만 시정명령을 이행하지 않아 유출등 사고가 발생한 경우처럼 법이 별도로 정한 유형도 있으므로, 10% 특례 적용 여부는 사고 원인 하나만으로 판단하기 어렵습니다.

실무에서는 위반행위의 내용과 정도, 발생 경위, 정보주체의 피해 규모 등을 토대로 기준금액을 산정하고 이후 가중·감경을 거쳐 최종 과징금이 결정됩니다. 따라서 사고 당시 회사가 어떤 보호체계를 갖추고 있었는지, 과거 같은 유형의 위반이 있었는지, 사고 후 어떤 조치를 했는지가 함께 검토됩니다.

2. 반복 위반과 신고·통지 미이행은 어떻게 반영되나요?

반복 위반에 대한 가중 비율이 높아졌고, 유출등 신고·통지를 법정기한 내 이행하지 않으면서 피해 확산 방지조치도 하지 않은 경우에는 과징금이 최대 30% 가중될 수 있습니다.

과거에 지적된 문제를 개선하지 않고 같은 유형의 위반이 반복되면 과징금 산정에서 더 불리하게 반영될 수 있습니다. 개인정보 보호를 일회성 점검이 아니라 지속적으로 관리해야 하는 이유입니다.

3. 예방 투자와 사고 대응은 얼마나 감경될 수 있나요?

개인정보 보호를 위해 평소 예산·인력·설비에 투자하고 보호체계를 강화한 노력은 과징금 기준금액의 40% 범위에서 감경될 수 있습니다.

사전 투자뿐 아니라 사고 이후의 대응도 중요합니다. 사고 대응체계를 구축·운영하고 실제 사고 때 조기에 탐지해 신속하게 신고·통지하고 피해 확산을 막는 등 보호체계를 회복·개선한 경우에도 과징금 산정 과정에서 감경 요소로 반영될 수 있습니다.

영세·중소기업 등의 경미한 위반은 기술지원을 받아 시정한 경우 과징금이 면제될 수 있도록 했고, 주요 공공기관은 업무 형태·규모에 따른 감경을 하지 않도록 기준도 정비됐습니다. 다만 실제 감경 여부와 폭은 개별 사안의 위반 내용과 과징금 산정 단계에 따라 달라질 수 있습니다.

4. 유출이 확정되지 않아도 72시간 내 통지해야 하나요?

경우에 따라 그렇습니다. 막연한 가능성만으로 통지하는 것은 아니고, 시행령이 정한 객관적인 유출등 가능성 상황에 해당하면 그 사실을 알게 된 때부터 72시간 이내 정보주체에게 통지해야 합니다.

통지에는 유출등 가능성이 있는 개인정보 항목, 의심되는 시점과 경위, 피해 최소화 방법, 피해구제 절차, 피해신고 연락처, 유출 여부가 확정되면 추가 통지하겠다는 사실 등을 포함해야 합니다.

72시간 내 실제 유출등이 확인되면 정식 유출등 통지로 갈음하고, 반대로 실제 유출등이 발생하지 않은 것으로 확인되면 그 사실을 즉시 정정 통지해야 합니다. 연락처를 알 수 없는 등 정당한 사유가 있으면 법령이 정한 방식에 따라 홈페이지 등에 일정 기간 게시하는 방법도 검토할 수 있습니다.

5. 랜섬웨어와 피해구제 통지는 무엇이 달라졌나요?

이번 개정부터 개인정보의 분실·도난·유출뿐 아니라 위조·변조·훼손까지 '유출등'의 범위에 포함됩니다. 랜섬웨어와 같이 데이터를 암호화하거나 훼손한 사고도 통지·신고 대상이 될 수 있다는 의미입니다.

기업이 사고 대응 매뉴얼에서 확인해야 할 범위도 넓어졌습니다. 외부 반출 흔적만 찾는 방식으로는 부족하고, 개인정보가 공격으로 인해 변경되거나 훼손됐는지까지 확인해야 합니다. 특히 백업·복구 여부와 별개로 개인정보 자체의 위조·변조·훼손이 발생했다면 법상 유출등 사고에 해당하는지 검토해야 합니다.

6. CPO 이사회 의결·신고 대상과 기한은 어떻게 되나요?

일정 규모 이상의 개인정보처리자는 CPO를 지정·변경·해제할 때 개인정보위에 신고해야 합니다. 법인인 경우에는 이사회 의결도 필요하며, 기존에 지정된 CPO도 시행일부터 6개월 이내 신고해야 합니다.

이번 개정은 신고 절차만 추가한 것이 아닙니다. CPO 업무에 개인정보 보호 전문인력 관리와 예산 확보, 사업주·대표자 및 이사회에 대한 개인정보 보호 현황과 주요 사항 보고가 명시되면서 조직 내 권한과 책임도 함께 강화됐습니다.

법 시행 이후 CPO를 새로 지정하거나 변경·해제하는 경우에는 신고 사유가 발생한 날부터 6개월 이내 개인정보위에 신고해야 합니다. 해당 개인정보처리자가 법인이라면 CPO 지정·변경·해제 시 이사회 의결도 거쳐야 합니다.

시행 전에 이미 CPO가 지정되어 있던 대상기관은 별도의 이사회 의결을 다시 거칠 필요 없이 2026년 9월 11일부터 6개월 이내 신고하면 됩니다. 신고는 개인정보 포털의 CPO 신고 메뉴를 통해 진행할 수 있습니다.

7. 기업은 지금 무엇부터 확인해야 하나요?

이번 개정은 사고가 난 뒤 대응하는 것보다 평소 어떤 체계를 만들어 두었는지를 더 중요하게 봅니다. 기한이 있는 항목과 사고 대응 절차부터 우선 점검하는 것이 좋습니다.

담당 변호사

김수열대표변호사

서울대학교 법학전문대학원을 졸업하고 법무법인 율촌을 거쳐 뉴로이어를 개소한 대한변호사협회 인증 형사전문변호사. 개인정보보호법·정보통신망법 사건에서 규제 대응과 형사 리스크를 함께 검토합니다.

#개인정보·정통망법 #사이버범죄 #기업자문

김수열 대표변호사 프로필 보기

김민지파트너변호사

한의사 출신으로 고려대학교 법학전문대학원을 최우등 졸업하고 국내 대형로펌에서 근무했습니다. 개인정보 유출 집단분쟁을 원고 측에서 수행해 왔으며, 그 경험을 바탕으로 기업의 사고 대응과 분쟁 방어를 함께 검토합니다.

#개인정보·정통망법 #집단분쟁 #의료·헬스케어

김민지 파트너변호사 프로필 보기

관련 법령과 공식 자료

개정 개인정보보호법 관련 자주 묻는 질문