2026년 9월 11일, 국회 본회의를 거쳐 공포되었던 개정 「개인정보 보호법」이 본격적으로 시행되었다는 점, 알고 계신가요?

이번 개정은 단순한 제도 보완을 넘어 유출의 법적 개념 확장, 통지 시점의 대전환, CPO 거버넌스의 경영진·이사회 안건 격상, 과징금 최대 10% 부과 등 기업 경영 리스크와 실무 프로세스 전반을 뒤흔드는 대대적인 변화를 포함하고 있습니다.

또한 연이어 시행될 「정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)」 개정안과 결합하여 보안 지배구조 체계 자체의 개편을 요구하고 있습니다.

오늘은 실무진이 무엇을 근거로 기존 지침을 수정하고, 이사회 및 경영진에 어떤 보고를 해야 하는지 비교해보고, 실무 체크리스트를 알려드리려고 합니다.

📌 PART 1. 개정 개인정보 보호법 핵심 조항별 변화

1. ‘유출등’ 정의의 확장: 랜섬웨어(암호화·손상)도 법적 통지 대상

기존 법 체계에서 사고 발생 시 통지·신고의 대상은 분실, 도난, 유출에 한정되어 있었습니다. 그러나 개정법은 ‘위조’, ‘변조’, ‘훼손’을 공식적으로 추가하여 ‘유출’의 범위를 폭넓게 정의합니다.

구분	종전 규정	개정 규정
사고 유형	분실, 도난, 유출	분실, 도난, 유출 + 위조, 변조, 훼손
행위 정의	외부로의 정보 반출 및 누출	• 위조: 데이터를 거짓으로 만들어냄 • 변조: 데이터를 무단으로 변경함 • 훼손: 데이터를 손상·파괴함

• 예를 들어, 만약에 랜섬웨어 사고가 있었다면?
  • 과거에는 랜섬웨어 감염으로 데이터가 암호화되었더라도 외부 탈취(유출) 정황이 입증되지 않으면 통지 대상이 아닌 것으로 판단하는 경우가 많았습니다.
  • 개정법에 따라 외부 유출이 전혀 없었더라도 데이터가 암호화되거나 파괴·손상(훼손)되었다면 즉시 법적 통지 및 신고 의무가 발생합니다.

2. 유출 ‘가능성’ 인지 시 72시간 내 통지 의무 신설

기존에는 유출 ‘사실’이 최종 확인·확정된 후 통지 절차가 진행되었으나, 개정법은 유출 ‘가능성’을 인지한 단계부터 통지 의무를 부여합니다.

[사고 발생 / 불법 접근 인지] 
          │
          ▼
 [유출 가능성 인지 단계] ──▶ 72시간 이내 "가능성 통지" 시행 (신설)
          │
          ▼
 [유출 사실 최종 확정]   ──▶ 최종 "유출등 통지"로 갈음

• 통지 시점: 유출 가능성을 인지한 때로부터 72시간 이내
• 상황 예시:
  • 상황 A: 시스템 불법 접근(침입)은 확인되었으나, 정확히 누구의 개인정보가 얼마큼 영향을 받았는지 피해자를 특정할 수 없는 경우
  • 상황 B: 시스템 일부 데이터의 유출이 확인되어, 동일한 권한을 공유하는 다른 정보주체의 정보도 영향을 받았을 가능성이 존재하는 경우
• ‘가능성 통지’ 필수 포함 항목:
  1. 의심되는 개인정보 항목
  2. 유출 경위 및 정보주체 관점의 피해 최소화 방법
  3. 향후 추가 조사 결과에 따른 추가 통지 예고
  4. (신설) 손해배상·법정손해배상 청구 권리 안내 및 개인정보 분쟁조정 신청 절차 안내

3. CPO(개인정보 보호책임자) 거버넌스 격상 및 이사회 안건화

해당 내용은 시리즈로도 안내를 드린 적이 있는데요! -> 자세한 내용 보러가기

대표자 및 사업주가 개인정보 보호의 ‘최종 책임자’로 법에 명시되며, 이에 따라 일정 규모 이상 기업의 CPO 지위와 절차가 법적으로 격상됩니다.

• 적용 대상 요건: 연간 매출액등 1,800억 원 초과 기업 (민감정보 5만 명 이상 또는 일반 개인정보 100만 명 이상 처리 요건 병행)
• 주요 의무 사항:
  • 이사회 의결: CPO를 지정·변경·해제하는 모든 경우에 반드시 이사회 의결을 거쳐야 함.
  • 개인정보위 신고: 사유 발생일로부터 6개월 이내 개인정보보호위원회에 신고. (※ 개정 전 이미 지정된 기존 CPO도 시행일 기준 6개월인 2027년 3월 11일까지 신고 완료 필요)
  • 법정 업무 확장: CPO의 업무 범위에 *‘전문 인력 관리, 예산 확보, 경영진 보고’*가 명시적 법정 의무로 추가됨.
• 제재 규정 (과태료 신설):
  • CPO 미지정, 자격 미달자 지정, 개인정보위 신고 누락 시 각각 900만 원 / 1,800만 원 / 3,000만 원 수준의 과태료 부과.

4. 과징금 체계 개편: 전체 매출액 최대 10% vs 예방 투자 40% 감경

이번 개정의 가장 강력한 제재적 변화는 위반 행위에 대한 과징금 상한 기준입니다.

┌─────────────────────────────────────────────────────────────┐
│ ■ 위반 시 제재: 전체 매출액의 최대 10% (중대·반복 위반 시)      │
│ ■ 예방 시 혜택: 과징금 기준금액의 최대 40% 범위 내 감경         │
└─────────────────────────────────────────────────────────────┘

• 원칙적인 과징금 상한: 전체 매출액의 3% 유지
• 중대·반복 위반 시 과징금 상한: 전체 매출액의 10%로 상향 적용
  • 상향 적용 3대 조건:
    1. 법 위반 행위의 재위반 (반복 위반)
    2. 고의·중과실에 의해 발생한 대규모 개인정보 피해
    3. 개인정보위의 시정조치 명령 불이행

하지만 책임이 너무 커지기만 하면 기업 입장에서 부담스럽겠죠. 따라서 해당 부담을 덜기 위해, 미리미리 개인정보에 대한 투자를 유도하는 투자 감경 제도가 존재합니다.

• 투자 감경 제도
  • 개인정보 보호를 위한 예방적 투자(예산, 전문 인력, 보안 설비, 시스템 등)를 사전에 충실히 수행한 기업은 과징금 산정 시 기준금액의 최대 40% 범위 내에서 감경을 받을 수 있습니다.
  • (단, 고의·중과실에 의한 위반 사고의 경우 투자 감경 대상에서 제외됩니다.)

📌 PART 2. 연계 법률: 정보통신망법 전면 개정 로드맵

2026년 9월 개보법 시행에 이어, 2027년 상반기 및 중순에는 정보통신망법 개정안과 ISMS-P 인증 의무화 등이 연달아 적용됩니다.

1. CISO(정보보호최고책임자) 임원급 격상 및 정보보호위원회 신설 (2027 상반기)

• 임원급 CISO 지정: 중기업을 제외한 정보통신서비스 제공자는 상법상 집행임원 등 ‘임원급’ CISO를 반드시 지정해야 하며, 인력 관리 및 예산 편성 권한을 부여받습니다.
• 정보보호위원회 운영: 일정 자산·매출 규모 이상의 기업은 CISO를 위원장으로 하는 내부 정보보호위원회를 설치하고, 반기 1회 이상 이사회에 정기 보고해야 합니다.
• 반복 침해사고 과징금: 고의·중과실로 5년 이내 2회 이상 침해사고 발생 시 전체 매출액 3% 이하 과징금 및 일 단위 이행강제금 부과.

2. 상시 보안 평가 및 공시 의무화 (2027년 중)

• ISMS-P 인증 의무화: 2027년 7월 1일부터 중요 민간·공공 개인정보처리자의 ISMS-P 인증이 법적 의무화됩니다.
• 정보보호 공시 전면 확대: 코스피·코스닥 전 상장사는 매출 규모와 무관하게 매년 6월 30일까지 정보보호 투자액, 인력, 인증, 활동 실적을 KISA 포털에 공시해야 합니다.

📌 PART 3. 실무자 당장/중기 Action Item (체크리스트)

개정 법률 조항을 완벽히 준수하기 위해 보안·개인정보 실무자가 지금 바로 해야하는 리스트는 아래와 같습니다.

[Phase 1] 즉시 실행 과제 (개보법 대응)

1. 사고대응 절차서(SOP) 재제정:
   • 기존 ‘유출 확정 후 통지’ 절차에 ‘가능성 인지 후 72시간 내 통지’ 분기점 신설.
   • 72시간 내 가능성 판단 기준 및 보고 체계 표준화.
2. 유출 판단 기준서 문구 정비:
   • 통지·신고 대상 범주에 위조, 변조, 훼손(랜섬웨어 암호화 포함) 반영.
   • “외부 유출 흔적이 없으면 신고 대상이 아니다”는 틀린 말!
3. 통지 표준 서식 업데이트:
   • 법정 안내 필수 항목인 ‘손해배상·법정손해배상 청구 및 분쟁조정 신청 안내’ 구절 추가.
   • 조문 인용 오류 정정 (유출 신고 법적 근거: 기존 제34조 제3항 ➔ 제34조 제4항으로 변경).
4. CPO 대상 여부 판정 및 이사회 일정 확보:
   • 매출액 1,800억 원 및 개인정보 보유 수 요건 판정.
   • 대상 기업의 경우 CPO 지정·재지정에 대한 이사회 안건 상정 및 6개월 내 개인정보위 신고 일정 수립.

[Phase 2] 중기 실행 과제 (과징금 방어 및 2027년 대비)

1. ‘보호 투자 증빙’ 상시 관리 체계 구축:
   • 과징금 최대 40% 감경을 받기 위해, 연간 보안·개인정보 관련 예산집행 내역, 전문 인력 채용, 보안 솔루션 도입, 사내 교육 및 정기 점검 실적을 증빙 문서로 상시 축적.
2. CISO 임원급 지정 및 보안 거버넌스 재설계:
   • 2027년 상반기 정통망법 시행에 대비하여 CISO 자격요건 검토 및 이사회 보고 체계 표준안 작성.

💡 요약 및 결론

이번 9월 11일 시행 개인정보 보호법 개정의 핵심 메시지는 “사고 판단 기준의 넓어짐(랜섬웨어 포함)”, “통지 속도의 최우선화(72시간 내 가능성 통지)”, “경영진의 최종 책임 및 이사회 거버넌스화”로 요약할 수 있습니다.

실무자 여러분은 법 개정 취지에 맞추어 사내 지침·절차서·통지 서식부터 최우선으로 개정하시고, 예방적 보안 투자를 체계적으로 증빙하여 법적·재무적 리스크를 선제적으로 차단하시기 바랍니다.

(※ 사내 지침 및 사고대응 절차서 개정, CPO 대상 여부 판정 등 전문 컨설팅이 필요할 경우 전문 기관의 조력을 받아 체계적으로 준비하는 것을 권장합니다.)

캐치시큐로 점검 기록을 이어서 관리해 보세요

개정된 기준에 대응할 때는 한 번의 점검보다, 어떤 개인정보 처리 활동을 확인했고 누가 검토했으며 어떤 근거를 남겼는지 계속 이어서 관리하는 일이 중요합니다. 캐치시큐는 개인정보 처리 활동을 목록으로 정리하고, 담당자·점검 메모·증빙 자료를 함께 관리해야 하는 조직이 현재 관리 흐름을 점검할 때 참고할 수 있는 서비스입니다.

우리 조직의 개인정보 관리 현황과 필요한 준비 항목을 먼저 확인하고 싶다면, 캐치시큐 소개서를 통해 운영 방식과 적용 범위를 살펴보세요.

함께 확인하면 좋은 글

추천글

CPO는 이사회에 무엇을 보고해야 할까?

개정 개인정보 보호법에 따른 CPO의 보고 범위와 준비해야 할 기록을 실무 관점에서 확인해 보세요.

글 읽기 →

추천글

CPO와 CISO, 무엇이 다를까?

개정 흐름 속에서 개인정보보호와 정보보호 역할을 어떻게 나눠 확인할지 정리했습니다.

글 읽기 →