1. 왜 지금 이 법이 문제인가 — 배경과 트리거

2025년 하반기부터 국내 대형 플랫폼과 통신사에서 연이어 대규모 개인정보 유출 사고가 터졌습니다. 수백만 명의 주민등록번호와 금융정보가 다크웹에 유통되었고, 기존 법으로는 과징금 상한이 ‘해당 서비스 매출의 3%’에 불과해 실질적 억지력이 없다는 비판이 쏟아졌습니다. 연 매출 10조 원 기업이 유출 사고를 내도 최대 3,000억 원 수준의 과징금으로 끝나는 구조였고, 이는 사고 수습 비용에 비해 오히려 저렴했습니다.

개인정보보호위원회(이하 개인정보위)는 2025년 12월 국회 정무위를 통과시키고, 2026년 2월 12일 본회의 의결, 3월 3일 국무회의 의결, 3월 10일 대통령 공포까지 전광석화처럼 입법을 마무리했습니다. 공포일로부터 정확히 6개월 후인 2026년 9월 11일이 시행일입니다. EU의 GDPR이 매출의 4%까지 과징금을 부과하는 것과 비교해도, 한국의 새 법은 10%로 글로벌 최고 수준에 근접합니다.

▲ 목차로 돌아가기

2. 핵심 변화 ① 과징금 3배 상향 — 정확한 조건과 계산법

기존 3%에서 10%로, 단 ‘세 가지 조건’ 충족 시

주의할 점은 과징금 10%는 자동 적용이 아니라 특례 조건 충족 시에 발동된다는 것입니다. 개정 개인정보 보호법 제64조의2 제2항은 다음 세 가지 중 하나에 해당하면 전체 매출액의 10%까지 과징금을 부과할 수 있다고 명시합니다.

매출액 산정 기준도 핵심입니다. 개인정보위가 아직 시행령으로 구체화하지 않았지만, 업계에서는 ‘해당 서비스 매출’이 아닌 기업 전체 매출 기준이 될 것으로 보고 있습니다. 만약 전체 매출 기준이 확정된다면, 개인정보를 처리하는 사업 부문이 일부에 불과한 대기업도 그룹 전체 매출의 10%를 과징금으로 맞을 수 있습니다. 이것이 이번 개정이 사실상 ‘핵폭탄급’이라는 이유입니다.

▲ 목차로 돌아가기

3. 핵심 변화 ② CEO 책임 명문화 — 경영진이 직접 맞는 법적 리스크

“나는 보안팀 얘기 못 들었다”가 더 이상 면피가 안 된다

개정 이전에는 개인정보 유출 사고가 터지면 CPO(최고개인정보보호책임자)나 보안 담당자가 책임을 졌습니다. CEO는 “나는 보고를 받지 못했다”고 해도 실질적으로 제재받기 어려운 구조였습니다. 하지만 이번 개정은 CEO를 개인정보 처리·보호의 최종책임자로 법에 명시하고, 관리·감독 의무를 직접 부여했습니다. 이는 단순한 선언이 아닙니다.

실무적으로는 CEO가 개인정보보호위원회의 조사를 받을 때 “관리·감독 의무를 다했는가”가 과징금 산정의 핵심 판단 기준이 됩니다. 즉, 이사회에 정기적인 보고 체계가 있었는지, CPO에게 예산과 권한을 실질적으로 부여했는지, 보안 사고 대응 매뉴얼이 최신화돼 있었는지 등이 모두 증거로 제출되는 구조입니다. 개인적인 관점으로는, 이 조항이 가장 혁명적이라고 생각합니다. 보안을 ‘비용’으로만 보던 경영진 시각을 강제로 바꾸는 조항이기 때문입니다.

▲ 목차로 돌아가기

4. 핵심 변화 ③ CPO 신고 의무 — 이사회 의결이 필수가 된다

CPO를 ‘임명’만 하면 끝났던 시대는 끝났다

일정 규모 이상의 개인정보처리자는 이제 CPO를 지정·변경·해제할 때 반드시 이사회 의결을 거쳐야 하고, 그 결과를 개인정보보호위원회에 신고해야 합니다. ‘일정 규모 이상’의 기준은 다음과 같습니다.

CPO 자격 기준도 강화됐습니다. 개인정보보호·정보보호·정보기술 경력을 합산해 총 4년 이상이어야 하며, 이 중 개인정보 경력이 반드시 2년 이상 포함되어야 합니다. 현재 타 직무와 겸직 중인 CPO는 이 기준을 충족하지 못할 가능성이 높으므로, 지금 즉시 자격 요건 충족 여부를 점검해야 합니다.

▲ 목차로 돌아가기

5. 핵심 변화 ④ 유출 ‘가능성’만으로 통지 의무 발생

“확인되면 알린다”는 내부 지침, 이제 법 위반이다

기존 법은 “유출이 되었음을 알았을 때” 통지하도록 규정했습니다. 많은 기업이 내부 조사를 완료하고 확인 후에야 고객에게 알리는 방식을 택했습니다. 이 관행이 이번 개정으로 완전히 무너집니다. 이제는 “유출등의 가능성이 있음을 알게 되었을 때”도 지체 없이 정보주체에게 통지해야 합니다.

또한 기존에는 랜섬웨어 등으로 인한 위조·변조·훼손은 통지 대상이 아니었습니다. 해커가 데이터를 훔친 게 아니라 파괴했어도 알릴 필요가 없었다는 의미입니다. 개정법은 이를 모두 ‘유출 등 사고’ 범위에 포함시켰고, 통지 시 손해배상 청구·분쟁조정 신청 방법까지 함께 안내하도록 의무화했습니다. 현재 ‘유출이 확정된 경우에만 통보’하는 내부 대응 매뉴얼을 가진 기업은 9월 전에 반드시 개정해야 합니다.

▲ 목차로 돌아가기

6. 핵심 변화 ⑤ ISMS-P 인증 의무화 — 107곳, 그리고 당신 회사

자율 취득이었던 인증이 의무가 된다는 뜻

ISMS-P(정보보호 및 개인정보보호 관리체계) 인증은 그동안 기업이 자율적으로 취득하던 선택적 인증이었습니다. 인증을 받으면 “우리는 보안 수준이 높다”는 마케팅 도구로 쓰이는 정도였습니다. 이번 개정으로 공공·민간 합쳐 107곳(공공 57곳, 민간 50곳)에 대해 이 인증이 의무화됩니다. 시행은 다른 조항보다 늦은 2027년 7월 1일이지만, 인증 심사 준비 기간이 통상 6개월~1년이라는 점을 고려하면 사실상 지금 시작해야 합니다.

더 중요한 것은 의무화 대상이 아닌 기업들도 방심할 수 없다는 점입니다. 과징금 산정 시 ‘사전 예방적 투자’ 여부가 감경 요소로 작용하는데, ISMS-P 인증 취득 여부가 그 판단 기준 중 하나로 사용될 가능성이 높습니다. 즉, 법적 의무는 없더라도 ISMS-P 인증이 없는 기업은 사고 발생 시 과징금 감경을 받기 어려울 수 있습니다. 이 부분이 제가 ‘107곳 외에도 모든 기업이 관심을 가져야 한다’고 보는 이유입니다.

▲ 목차로 돌아가기

7. 9월 전에 반드시 해야 할 기업 대응 체크리스트

6개월을 진짜 준비 기간으로 써야 하는 이유

이번 개정의 핵심 메시지는 “법 시행 전 6개월을 어떻게 썼느냐가 과징금 감경 여부를 결정한다”입니다. 개인정보위는 사전 예방적 투자를 증명한 기업에게 과징금 필수 감경 혜택을 줍니다. 아래 7개 항목을 체크리스트로 활용하시기 바랍니다.

▲ 목차로 돌아가기

❓ 자주 묻는 질문 (Q&A)

▲ 목차로 돌아가기

📝 마치며 — 총평

이번 개인정보보호법 개정은 한국 개인정보 규제 역사에서 가장 큰 전환점입니다. 과징금 10%라는 숫자가 자극적이지만, 본질은 따로 있습니다. 바로 개인정보 보호를 사후 수습에서 사전 거버넌스로 바꾸겠다는 국가의 의지입니다. CEO 책임, CPO 이사회 의결, ISMS-P 의무화 모두 같은 방향을 가리킵니다.

9월 11일 시행까지 약 6개월이 남았습니다. 개인정보위는 이 기간을 유예 기간이 아니라 준비 기간으로 명확히 정의했습니다. 지금 시행령 동향을 모니터링하고, 내부 매뉴얼을 개정하고, CPO 자격 요건을 점검하고, 보안 투자 기록을 남기는 기업과 그렇지 않은 기업의 격차는 사고가 터지는 순간 수십억 원의 과징금 차이로 나타납니다. 6개월은 짧지 않습니다. 하지만 아무것도 안 하면 0일과 다름없습니다.

▲ 목차로 돌아가기