01. 개인정보 보호가 경영진 차원의 책임으로 올라왔습니다
2026년 9월 11일부터 개정 「개인정보 보호법」과 시행령이 시행되었습니다. 이번 개정은 단순히 개인정보 유출 이후의 제재를 강화하는 데 그치지 않습니다. 사업주·대표자의 개인정보 보호 책임을 명문화하고, 일정 규모 이상의 개인정보처리자에 대한 개인정보 보호책임자(CPO) 관리체계를 강화하였습니다. 또한 개인정보 유출 가능성 단계에서도 통지의무가 발생할 수 있도록 사고대응 체계를 변경하였으며, 반복적·중대한 위반에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 제도도 도입하였습니다.[1][3]
기업의 대응 역시 개인정보 처리방침을 수정하는 수준에서 끝나서는 어렵습니다. 누가 개인정보 위험을 경영진에게 보고하는지, 사고를 언제 ‘인지’한 것으로 볼 것인지, 72시간 내 통지 여부를 누가 판단하는지, 개인정보 보호 투자가 실제로 운영되고 있는지까지 내부 프로세스를 함께 점검할 필요가 있습니다.
신설된 개인정보 보호법 제30조의3은 개인정보처리자의 사업주 또는 대표자를 개인정보의 안전한 처리와 정보주체의 권리 보호에 관한 최종적인 책임자로 규정하고 있습니다. 사업주 또는 대표자는 개인정보 보호를 위한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리조치를 실효성 있게 하여야 합니다.[1][3]
개인정보 보호책임자의 역할도 강화되었습니다. 개정법은 CPO의 업무에 개인정보 보호 전문 인력 관리와 예산 확보, 사업주·대표자 및 이사회에 대한 개인정보 보호 현황과 주요 사항의 보고 등을 명시하고 있습니다. 또한 개인정보처리자는 CPO가 업무를 독립적으로 수행할 수 있도록 보장하여야 합니다.[1]
다만 모든 기업에 이사회 의결·신고의무가 동일하게 적용되는 것은 아닙니다. 현행 시행령상 일반 기업은 연간 매출액 등이 1,800억 원을 초과하면서, 다음 중 하나에 해당하는 경우가 해당 기준에 포함됩니다.[2]
- 5만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보를 처리하는 경우
- 100만 명 이상의 정보주체에 관한 개인정보를 처리하는 경우
일정 규모 이상의 대학, 상급종합병원, 공공시스템운영기관에는 별도의 기준이 적용됩니다. 이 기준에 해당하는 개인정보처리자가 법인인 경우에는 CPO의 지정·변경·해제에 이사회 의결이 필요하며, 해당 사항을 개인정보보호위원회에 신고하여야 합니다. 신고기한은 원칙적으로 사유 발생일부터 6개월 이내입니다.[2]
실무상 의미
이번 개정을 단순히 “CPO를 한 명 지정해두면 된다”는 문제로 접근하기는 어렵습니다. 실제 점검 대상은 다음과 같습니다.
- CPO가 개인정보 위험을 경영진에게 직접 보고할 수 있는지
- 필요한 인력과 예산을 요청할 수 있는지
- 보고된 위험에 대하여 실제 의사결정이 이루어지는지
- 결정된 개선조치가 실제로 이행되는지
- 그 과정이 사후에 확인 가능한 형태로 남아 있는지
결국 명목상 책임자의 지정보다 실제로 작동하는 관리체계를 갖추는 것이 중요해졌습니다.
02. 확정된 유출의 핵심은 ‘인지 후 72시간’입니다
개인정보 보호법은 개인정보가 유출등이 되었음을 알게 된 경우 정보주체에게 통지하도록 하고 있으며, 시행령은 이를 알게 된 때부터 72시간 이내에 하도록 규정하고 있습니다.[2]
따라서 통지의무의 기준은 단순히 사고가 발생한 날짜가 아닙니다. 예를 들어 침해사고 자체는 며칠 전에 발생하였더라도 기업이 그 사실을 뒤늦게 알았다면, 원칙적인 72시간의 기산점은 실제 유출등을 알게 된 시점이 됩니다.
다만 다음과 같은 사정이 있는 경우에는 그 사유가 해소된 후 즉시 통지할 수 있습니다.[2]
- 추가 유출 방지를 위한 접속경로 차단, 취약점 보완, 개인정보 회수·삭제 등 긴급조치가 필요한 경우
- 천재지변이나 그 밖의 부득이한 사유로 72시간 내 통지가 곤란한 경우
조사가 끝날 때까지 기다릴 수 있는 것은 아닙니다
통지시점까지 유출된 개인정보의 항목이나 유출 시점·경위를 모두 확인하지 못할 수도 있습니다. 이 경우에도 확인이 끝날 때까지 통지 전체를 미루는 방식이 아니라, 유출 사실과 당시까지 확인된 내용, 피해 최소화 방법·대응조치·구제절차·연락처 등 확인 가능한 사항을 우선 통지하고, 나머지 내용은 확인되는 즉시 추가로 통지하여야 합니다.[2]
따라서 기술적 포렌식이 끝나는 시점과 법률상 통지 여부를 판단해야 하는 시점은 서로 다를 수 있습니다.
사고대응 매뉴얼에서는 적어도 다음 시점을 각각 구분하여 기록할 필요가 있습니다.
사고 발생 추정시점 → 최초 이상징후 발견시점 → 유출 인지시점 → 추가 사실 확인시점 → 최초 통지시점
특히 사고 발생 후 상당한 시간이 지나서야 유출을 인지한 사건이라면 실제 인지시점을 객관적인 자료로 설명할 수 있어야 한다는 점도 중요합니다.
03. 일정한 유출은 개인정보보호위원회에도 72시간 내 신고해야 합니다
모든 사고가 개인정보보호위원회 신고 대상이 되는 것은 아닙니다. 다만 시행령상 일정한 규모 또는 유형의 사고는 인지 후 72시간 이내에 신고하여야 합니다.[2]
대표적인 신고 대상은 다음과 같습니다.
- 1천 명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
- 민감정보 또는 고유식별정보가 유출등이 된 경우
- 외부의 불법적인 접근에 의해 개인정보가 유출등이 된 경우
신고와 정보주체에 대한 통지는 서로 별개의 절차이므로, 기업의 사고대응 체계에서도 각각의 요건과 담당자를 구분하여 관리할 필요가 있습니다.
다만 유출등의 경로가 확인되고 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 시행령이 정한 범위에서 신고하지 않을 수 있습니다.[2]
이번 개정으로 ‘유출등’의 범위에는 기존의 분실·도난·유출뿐 아니라 위조·변조·훼손도 포함됩니다. 따라서 랜섬웨어 등으로 개인정보가 훼손되거나 임의로 변경된 경우에도 단순히 “외부로 데이터가 빠져나가지 않았다”는 이유만으로 신고·통지 문제를 배제하기는 어렵습니다.[1][3]
04. 실제 유출이 확정되지 않아도 통지가 필요할 수 있습니다
이번 개정의 중요한 변화 중 하나는 개인정보 유출 가능성 통지제도입니다.
시행령 제39조의2는 크게 두 가지 경우를 규정하고 있습니다.[2]
첫째, 개인정보처리시스템이나 개인정보 처리에 이용하는 기기에 불법적인 접근이 발생하여 유출이 의심되지만 영향을 받은 정보주체를 특정하기 어려운 경우입니다.
둘째, 일부 개인정보의 실제 유출이 확인되었고 다른 정보주체의 개인정보도 유출되었을 가능성이 있다고 인정되는 경우입니다.
단순히 보안경고가 한 번 발생하였다는 이유만으로 모든 고객에게 통지하여야 한다는 의미는 아닙니다. 법령이 정한 수준의 구체적인 유출 가능성이 확인되어야 합니다.
유출 가능성 통지에는 무엇을 알려야 할까요?
시행령은 다음 네 가지 사항을 통지하도록 규정하고 있습니다.[2]
| 구분 | 통지 내용 |
|---|---|
| 1 | 유출 가능성이 있는 개인정보의 항목 |
| 2 | 유출이 있었을 것으로 의심 또는 인정되는 시점과 경위 |
| 3 | 피해 최소화 방법, 개인정보처리자의 대응조치·피해구제절차, 담당부서와 연락처 |
| 4 | 실제 유출 여부가 확정되면 추가로 통지하겠다는 사실 |
표는 좌우로 스크롤하여 확인할 수 있습니다.
유출 가능성 통지도 법령상 기준시점부터 72시간 이내에 이루어져야 합니다.[2]
여기서 주의할 점은 72시간이 새로운 방식으로 반복하여 계산되는 것이 아니라는 점입니다. 유출 가능성 통지의 법정 72시간 기한 내에 실제 유출 사실이 확인된 경우에는 가능성 통지 대신 법 제34조제1항에 따른 확정 통지를 하여야 합니다.[2]
반대로 조사 결과 실제 유출이 없었다는 사실이 확인되면 그 사실 역시 정보주체에게 즉시 알려야 합니다. 연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 인터넷 홈페이지 등에 일정 기간 게시하는 방법으로 개별 통지를 갈음할 수 있는 절차도 마련되어 있습니다.[2]
실무상 의미
사고대응 매뉴얼이 단순히 “유출 확인 → 고객 통지”라는 한 단계의 구조로 되어 있다면 재검토할 필요가 있습니다.
앞으로는 적어도 이상징후 → 유출 가능성 판단 → 가능성 통지 여부 → 실제 유출 확인 여부 → 확정 통지 또는 비유출 확인 통지라는 판단 구조를 갖출 필요가 있습니다.
05. 정보주체에게 알려야 할 내용도 확대되었습니다
개정법은 유출 통지의 내용도 확대하였습니다. 기존의 유출 항목, 시점과 경위, 피해 최소화 방법, 대응조치·구제절차, 담당부서와 연락처뿐만 아니라 손해배상청구, 법정손해배상 및 개인정보 분쟁조정 등 정보주체가 행사할 수 있는 법적 권리와 그 행사방법에 관한 정보도 포함됩니다.[1][3]
따라서 고객 통지문을 단순한 사고 공지나 사과문 정도로 작성하는 것으로는 충분하지 않을 수 있습니다.
기업은 사고가 발생하기 전부터 통지문 템플릿에 다음과 같은 내용을 포함하는 방안을 검토할 필요가 있습니다.
- 확인된 사실
- 아직 조사 중인 사항
- 정보주체가 피해를 줄이기 위해 취할 수 있는 조치
- 회사가 취한 대응조치
- 문의 담당부서와 연락처
- 법적 구제수단과 행사방법
- 추가 안내 예정 여부
06. 최대 10%의 과징금이 모든 유출사고에 적용되는 것은 아닙니다
개정 개인정보 보호법은 일정한 반복적·중대한 위반에 대하여 전체 매출액의 10% 이내에서 과징금을 부과할 수 있도록 하였습니다. 그러나 모든 개인정보 유출 사고가 곧바로 10% 과징금의 대상이 되는 것은 아닙니다.[4]
| 유형 | 주요 요건 |
|---|---|
| 반복 위반 | 과징금 처분 후 3년 이내에 제64조의2제1항의 같은 호 위반을 다시 하고, 각각 고의 또는 중대한 과실이 있는 경우 |
| 대규모 피해 | 고의 또는 중대한 과실에 의한 위반으로 정보주체 피해 규모가 1천만 명 이상인 경우 |
| 시정명령 불이행 | 시정조치 명령을 이행하지 않아 개인정보 유출등이 발생한 경우 |
표는 좌우로 스크롤하여 확인할 수 있습니다.
또한 과징금은 단순히 기업의 전체 매출액에 일정 비율을 곱하여 산정하는 구조가 아닙니다. 법은 원칙적으로 전체 매출액에서 위반행위와 관련 없는 매출액을 제외한 금액을 기준으로 산정하도록 하고 있습니다.[4]
따라서 기업의 과징금 위험을 검토할 때에는 최소한 다음의 순서를 고려할 필요가 있습니다.
- 과징금 부과대상 여부
- 위반행위와 관련 없는 매출액의 제외
- 10% 가중 과징금 적용 여부
- 투자감경 여부
- 추가적인 조정·감경 및 면제사유
07. 개인정보 보호 투자는 이제 ‘의무적 감경’과 연결됩니다
이번 개정의 특징은 제재를 강화하는 동시에 사전 예방 투자에 대한 법정 인센티브도 마련하였다는 점입니다.
개인정보 보호법 제64조의2제6항은 법정 요건을 충족하는 경우 보호위원회가 과징금을 “감경한다”고 규정하고 있습니다. 따라서 요건을 충족하는 경우 투자에 따른 감경 여부 자체는 보호위원회가 자유롭게 선택할 수 있는 단순한 재량사항이 아닙니다.[4]
시행령과 관련 기준은 개인정보 보호 예산·인력·설비·장치에 대한 투자 규모와 지속성, 사업주·대표자의 책임 이행 정도, CPO의 역할과 조직·인력 구성 등 보호체계의 운영수준, 추가적인 개인정보 안전성 확보 노력 등을 고려하도록 하고 있습니다.[2][5]
현행 개인정보보호위원회 과징금 부과기준은 이러한 투자감경을 기준금액의 40% 범위에서 산정하도록 하고 있습니다.[5]
다만 중요한 예외가 있습니다. 고의 또는 중대한 과실로 위반행위를 한 경우에는 이 의무적 투자감경 규정이 적용되지 않습니다.[4]
따라서 단순히 “보안에 많은 돈을 투자했으니 과징금이 줄어든다”는 의미는 아닙니다. 실제 투자 규모와 지속성, 보호체계의 운영수준 등이 법령과 고시가 정한 기준을 충족하여야 하며, 구체적인 감경률 역시 이러한 요소들을 바탕으로 산정됩니다.
08. 일정한 경우에는 과징금 자체를 부과하지 않을 수도 있습니다
개정법은 과징금 감경뿐 아니라 과징금을 부과하지 않을 수 있는 사유도 규정하고 있습니다.[4]
| 구분 | 면제 검토 사유 |
|---|---|
| 1 | 지급불능·지급정지·자본잠식 등으로 객관적으로 과징금을 낼 능력이 없는 경우 |
| 2 | 자신의 행위가 위법하지 않다고 잘못 인식할 만한 정당한 사유가 있는 경우 |
| 3 | 위반행위의 내용·정도가 경미하거나 산정된 과징금이 소액인 경우 |
| 4 | 정보주체의 피해가 없거나 경미하고 대통령령이 정하는 사유가 있는 경우 |
표는 좌우로 스크롤하여 확인할 수 있습니다.
법률의 기본 문언은 “부과하지 아니할 수 있다”는 구조입니다. 다만 실제 과징금의 산정에서는 시행령과 개인정보보호위원회의 「개인정보 보호법 위반에 대한 과징금 부과기준」까지 함께 확인할 필요가 있습니다. 관련 기준은 법률에서 정한 면제사유를 보다 구체적으로 규율하고 있기 때문입니다.[4][5]
따라서 기업의 과징금 리스크 분석은 단순히 최대 과징금 숫자를 확인하는 데 그쳐서는 안 됩니다. 가중요건과 감경요건, 최종적인 면제사유까지 단계적으로 검토할 필요가 있습니다.
09. LAW NOAH Analysis — 기업이 지금 점검해야 할 세 가지
1) 사고가 언제 발생했는지만큼 ‘언제 알았는가’를 입증할 체계가 중요합니다
72시간 통지·신고 제도에서는 사고 발생시각만 중요한 것이 아닙니다. 기업은 언제 이상징후를 처음 발견하였는지, 언제 개인정보 유출 가능성을 인식하였는지, 언제 실제 유출 사실을 확인하였는지를 구분하여 확인할 수 있어야 합니다.
이를 위해 보안시스템의 로그뿐 아니라 내부 보고시간, 담당자의 판단, 의사결정 기록도 함께 남길 필요가 있습니다.
2) 개인정보 보호 투자는 구매내역이 아니라 실제 ‘운영’으로 증명될 필요가 있습니다
보안장비를 구입하거나 외부 솔루션과 계약하였다는 사실만으로 투자감경이 당연히 인정되는 것은 아닙니다. 시행령과 관련 기준은 투자 규모뿐 아니라 지속성, 경영진의 책임 이행, CPO의 역할, 조직·인력과 실제 보호체계의 운영수준까지 함께 고려하도록 하고 있습니다.
따라서 예산집행 → 보호조치 도입 → 실제 운영 → 문제 발견 → 개선이라는 과정이 서로 연결되어 있는지를 점검하는 것이 중요합니다.
3) 위탁업체와의 계약도 72시간 대응체계를 지원할 수 있어야 합니다
클라우드, SaaS, 외부 개발사, 마케팅업체 등 수탁자가 먼저 사고 정황을 발견하는 경우가 있습니다. 기업 내부에 72시간 대응절차가 잘 마련되어 있더라도 수탁업체가 사고정보를 늦게 전달한다면 실질적인 대응이 어려워질 수 있습니다.
따라서 개인정보 처리위탁이나 보안 관련 계약에서는 다음 사항을 사전에 정하는 방안을 검토할 필요가 있습니다.
- 실제 사고뿐 아니라 의심 정황의 신속한 보고
- 최초 연락 담당자와 비상연락체계
- 로그와 증거자료의 보존
- 사고조사 자료의 제공
- 추가 조사결과의 지속적인 통보
이는 이번 개정법이 모든 계약서에 동일한 조항을 강제한다는 의미는 아닙니다. 기업이 법정 통지·신고 시한을 준수하기 위하여 검토할 수 있는 실무적인 대응방안입니다.
10. 기업을 위한 체크리스트
| 점검 영역 | 주요 확인사항 |
|---|---|
| 경영진 책임 | 개인정보 위험이 대표자·이사회까지 보고되는 구조인지 확인합니다. |
| CPO | 지정요건, 권한, 예산, 조직, 이사회 의결·신고 대상 여부를 확인합니다. |
| 사고인지 | 최초 이상징후·유출 가능성·실제 유출 인지시점을 각각 기록하고 있는지 확인합니다. |
| 통지 | 72시간 판단체계와 우선통지·추가통지 절차가 마련되어 있는지 확인합니다. |
| 가능성 통지 | 대상요건, 통지내용, 비유출 확인 시 후속통지 절차를 확인합니다. |
| 신고 | 1천 명 이상, 민감정보·고유식별정보, 외부 불법접근 여부를 확인합니다. |
| 위탁업체 | 사고보고·로그보존·조사협조를 위한 계약체계를 확인합니다. |
| 과징금 | 관련 매출액, 10% 가중요건, 투자감경, 면제사유를 함께 검토합니다. |
| 투자 | 보호예산·인력·설비와 실제 운영이 연결되어 있는지 확인합니다. |
표는 좌우로 스크롤하여 확인할 수 있습니다.
이번 개정의 실무적인 의미는 개인정보 보호가 IT부서만의 업무에서 경영관리와 사고대응 시스템의 문제로 한 단계 더 이동하였다는 데 있습니다.
개인정보 처리방침을 수정하는 것만으로는 충분하지 않습니다. 기업은 의사결정 권한, 사고정보의 전달, 법정 시한의 관리, 실제 보호조치의 운영이 서로 연결되어 있는지를 점검할 필요가 있습니다.
근거자료
이 글은 표시된 최종 검토일을 기준으로 작성되었습니다. 이후 개정 또는 실무 변경 여부를 별도로 확인해야 합니다.
이 콘텐츠는 일반적인 법률정보이며 개별 사건에 대한 법률자문이 아닙니다. 적용 법령과 구체적인 사실관계에 따라 판단이 달라질 수 있습니다.