지금 무슨 일이 일어났나 — 개정 배경과 핵심 요약

SK텔레콤, 롯데카드, 쿠팡 등 굵직한 대기업에서 수백만 건의 개인정보 유출 사고가 연이어
터졌습니다. 그럼에도 일부 기업들은 개인정보 보호를 ‘비용’으로만 보고 투자를 외면했고,
기존 과징금이 관련 매출액의 고작 3%에 불과하다 보니 “벌금 내는 게 낫다”는 계산이
나왔습니다. 국회는 이 구조적 문제를 뜯어고치기로 했습니다.

2026년 2월 12일, 개인정보보호법 개정안(정무위원회 대안)이
국회 본회의를 통과했습니다. 핵심은 세 가지입니다. 첫째, 반복적이거나 중대한
침해에 대해 전체 매출액의 최대 10%를 과징금으로 부과하는
징벌적 과징금 신설입니다. 둘째, 대표이사(CEO)의 총괄 책임을 법에 명시했습니다.
셋째, 개인정보보호 인증(ISMS-P)을 일정 규모 이상 사업자에게 의무화합니다.

▲ 목차로 돌아가기

과징금 얼마나 커졌나 — 현행 vs 개정 비교표

숫자로 보면 변화의 무게가 와 닿습니다. 연 매출 50억 원인 중소기업이 개인정보를
유출했을 때, 현행법에서는 최대 1.5억 원(관련 매출액 3%) 수준이었습니다.
개정 이후 징벌적 과징금이 적용되면 최대 5억 원(전체 매출 10%)으로
뜁니다. 단순 계산만으로도 3배 이상 차이입니다.

▲ 목차로 돌아가기

징벌적 과징금이 발동되는 3가지 트리거

개정법에서 징벌적 과징금(전체 매출액의 10%)이 실제로 발동되는 경우는
법 제64조의2 제2항에 명시된 세 가지 상황입니다. 세 가지 중 하나라도 해당하면
10% 기준이 적용될 수 있으므로, 각각의 의미를 정확히 파악해야 합니다.

트리거 ① 3년 이내 반복 위반

과징금 처분을 받은 날로부터 3년 이내에 동일 또는 유사한 위반 행위를 반복하는
경우입니다. 단, 각 위반에 고의 또는 중대한 과실이 있어야 합니다.
“한 번 걸렸으니 이번엔 봐주겠지”가 통하지 않는 구조입니다.

트리거 ② 1천만 명 이상 대규모 피해

고의 또는 중대한 과실로 위반 행위를 저질렀고, 그 결과 피해를 입은 정보주체가
1,000만 명 이상인 경우입니다. 플랫폼·통신·금융 분야라면
단 하나의 사고로도 이 기준을 넘을 수 있습니다. 국내 인터넷 쇼핑몰 상당수도
누적 회원 수를 고려하면 결코 안전지대가 아닙니다.

트리거 ③ 시정명령 불이행 후 유출 발생

개인정보보호위원회로부터 시정조치 명령을 받았음에도 이행하지 않은 상태에서
개인정보 유출·변조·훼손이 발생한 경우입니다. 이 경우는 피해 규모와 무관하게
징벌적 과징금이 적용됩니다. 공문 한 장을 무시했다가 회사를 날릴 수 있는 조항입니다.

▲ 목차로 돌아가기

과징금을 줄이는 단 하나의 공식 — 감경 사유 파헤치기

개정법은 무조건 때리는 구조가 아닙니다. 과징금 감경 조항(제64조의2 제6항)도
함께 신설했습니다. 바로 “개인정보 보호를 위한 예산·인력·설비·장치 등의
투자 및 운영”을 사전에 실행한 경우입니다. 단, 고의 또는 중대한 과실이
있는 경우에는 감경이 적용되지 않으므로, 이 조항의 실질적 수혜자는
‘과실이 없거나 경미한 과실이 있는 경우’로 한정됩니다.

이 조항의 의미는 단순합니다. 사고가 나더라도, 사전에 투자 증거를 남겨두면
과징금을 깎을 수 있다는 것입니다. 쉽게 말해, 개인정보 보호 투자 실적이
방어막이 됩니다. 반면 고의적 무관심이 입증되면 감경은 없습니다.
이 구조는 기업이 ‘보안 투자를 했다는 문서화’를 얼마나 체계적으로 해 놓느냐가
리스크 크기를 결정한다는 것을 의미합니다.

▲ 목차로 돌아가기

CEO·CPO 책임이 달라진다 — 대표이사가 직접 챙겨야 할 것

이번 개정의 또 다른 핵심은 대표이사(CEO)의 책임을 법 조문에 명시(제30조의3)했다는
점입니다. 기존에는 개인정보 보호가 담당자나 IT 부서의 업무로 치부됐습니다.
이제는 대표자가 전문 인력과 충분한 예산을 지원할 최종 책임자로
법적으로 규정됩니다. 이것은 단순한 선언이 아닙니다. 과징금 부과 과정에서
대표자의 관여·방치가 ‘고의 또는 중대한 과실’을 판단하는 주요 근거가 될 수 있습니다.

개인정보보호책임자(CPO)의 새로운 역할

CPO의 업무에 두 가지가 추가됐습니다. 첫째, 개인정보 보호에 필요한
전문 인력의 관리 및 예산 확보입니다. 둘째,
대표자 및 이사회에 대한 개인정보보호 현황 보고입니다.
특히 일정 규모 이상의 기업에서는 CPO 지정·변경·해제 시 이사회 의결을 거쳐야 하고,
개인정보보호위원회에 신고도 해야 합니다.

개인적으로는 이 조항이 가장 파급력이 크다고 봅니다. 지금까지 많은 중소기업이
CPO를 ‘명목상 임명’만 해놓고 실질적인 권한도 예산도 주지 않았습니다.
이제 그 구조가 바뀝니다. CPO에게 실질적인 권한을 부여하지 않은 채 사고가 나면,
대표자가 방치 책임을 지게 됩니다.

▲ 목차로 돌아가기

소상공인·중소기업 5단계 실전 대응 체크리스트

법이 시행되기 전, 지금 당장 실행 가능한 5가지 조치를 순서대로 정리했습니다.
대기업이 아니어도 이 체크리스트는 여전히 유효합니다. 오히려 법무팀이 없는
중소기업일수록 사전 준비가 유일한 방어입니다.

• 1
  개인정보 처리 현황 전수 조사
  현재 어떤 개인정보를 어디서 수집·보관·이용·제공하고 있는지 목록을 만드세요.
  엑셀 한 장이라도 시작하는 것이 중요합니다. ‘모르고 있었다’는 변명이
  법적으로 통하지 않는 시대입니다.
• 2
  개인정보 처리방침 최신화
  홈페이지나 앱에 게시된 개인정보 처리방침이 실제 처리 현황과 다르다면
  즉시 수정해야 합니다. 특히 유출 통지 항목 범위가 확대됐으므로,
  “유출이 의심될 때 어떻게 통보하는지”까지 방침에 반영해야 합니다.
• 3
  CPO 실질 임명 및 권한·예산 부여
  이름만 올려놓은 CPO라면 지금 당장 실질적인 역할을 부여해야 합니다.
  소규모 사업장이라면 대표 본인이 CPO를 맡되, 연간 보안 관련 예산 항목을
  회계에 명시적으로 포함시켜야 합니다.
• 4
  직원 대상 개인정보보호 교육 이수 및 기록 보존
  일회성 교육이 아니라 정기적으로, 그리고 이수 명단·일시·내용을 문서로 남겨야
  합니다. 이 기록이 나중에 과징금 감경 자료가 될 수 있습니다.
• 5
  개인정보보호위원회 이전 행정처분 이력 확인
  과거에 시정권고나 개선 요구를 받은 적이 있다면 이것이 ‘반복 위반’ 트리거의
  기산점이 될 수 있습니다. 기존 처분 이력을 확인하고, 해당 사항을 모두 이행
  완료했는지 점검해야 합니다.

▲ 목차로 돌아가기

ISMS-P 의무화, 우리 회사는 해당될까?

개정법은 일정 규모 이상의 개인정보처리자에게
개인정보보호 인증(ISMS-P)을 의무적으로 취득하도록 했습니다.
다만 이 조항의 시행일은 2027년 7월 1일로 별도로 설정됐기 때문에,
나머지 조항보다 여유가 있습니다. 의무 대상 기준은 매출액, 개인정보 처리 규모 등을
고려해 대통령령으로 별도 정합니다.

현행 ISMS(정보보호 관리체계) 인증 의무 기준을 참고하면, 정보통신서비스 매출액
100억 원 이상이거나 일평균 이용자 수 100만 명 이상인 사업자가 대상이었습니다.
ISMS-P 의무화 대상도 유사한 수준에서 결정될 가능성이 높습니다. 연 매출
100억 원 미만의 소상공인·소규모 스타트업은 당장 의무 대상에서 제외될
가능성이 높지만, 미리 자발적으로 준비하면 과징금 감경 자료로 활용할 수 있습니다.

▲ 목차로 돌아가기