법이 바뀌는 날짜는 정해졌는데, 무엇이 얼마나 바뀌는지는 잘 안 알려져 있습니다. (이미지 출처: Pexels)
올해 유출 문자를 몇 번 받으셨습니까. 티빙에서 한 번, 강남언니에서 한 번. 문자에는 무엇이 샜는지만 적혀 있고, 그래서 내가 무엇을 할 수 있는지는 안 적혀 있었습니다.
2026년 9월 11일부터 그 문자의 내용이 달라집니다. 개정된 「개인정보 보호법」이 시행되기 때문입니다. 2026년 3월 10일 공포된 법률 제21445호이고, 공포 후 6개월이 지난 날이 시행일입니다.
기사 제목은 대부분 한 줄입니다. "매출액의 10%까지 과징금." 종전 3%에서 세 배가 넘게 뛰었으니 눈에 띄기는 합니다. 그런데 조문을 열어 보면 그 숫자가 붙는 자리는 생각보다 좁고, 정작 우리 쪽에 닿는 변화는 과징금이 아니라 통지에 있습니다.
널리 잘못 읽히는 지점 넷을 짚어 보겠습니다.
먼저, 무엇이 바뀌었나
조문 단위로 정리하면 이렇습니다.
| 조문 | 무엇이 바뀌었나 |
|---|---|
| 제30조의3 (신설) | 사업주·대표자를 개인정보의 안전한 처리와 정보주체 권리 보호의 최종 책임자로 명시 |
| 제31조 | 개인정보 보호책임자(CPO) 지정 시 이사회 의결을 거치고 보호위원회에 신고. 업무에 전문 인력 관리·예산 확보·대표자 및 이사회 보고 추가 |
| 제32조의2 | 일정 기준에 해당하는 처리자의 개인정보보호 인증(ISMS-P) 의무화 |
| 제34조 | 유출 통지 대상에 위조·변조·훼손 추가, 통지 항목에 손해배상·분쟁조정 신청 등 법적 권리 추가, 유출 가능성 통지 신설 |
| 제64조의2 | 중대·반복 위반의 과징금 상한 전체 매출액의 3% → 10% |
여기까지가 사실입니다. 이제 함정입니다.
원칙은 3%이고 10%는 조건이 붙은 상한입니다. 매출액이 없으면 50억 원 이하 범위에서 부과합니다.
함정 하나 — "10%"는 모든 위반에 붙지 않습니다
가장 널리 퍼진 오해입니다. 개정법의 원칙은 여전히 전체 매출액의 3퍼센트입니다. 10%는 아래 셋 중 하나에 해당할 때 열리는 상한입니다.
- 고의 또는 중대한 과실로 3년 이내에 같은 위반행위를 한 경우
- 정보주체 피해 규모가 1천만 명 이상에 이른 경우
- 시정조치 명령에 따르지 않아 개인정보 유출등이 발생한 경우
세 요건 모두 "한 번 실수했다"와는 거리가 멉니다. 반복이거나, 규모가 크거나, 하라는 조치를 안 해서 사고가 났을 때입니다. 뒤집어 말하면 처음 사고가 났고 규모가 크지 않고 시정조치에 응했다면 종전 3% 틀 안에서 다뤄집니다.
숫자로 보면 차이가 큽니다. 연매출 1조 원인 회사라면 3%는 300억 원, 10%는 1,000억 원입니다. 700억 원이 요건 하나에 걸리느냐로 갈립니다. 그래서 이 조항은 "무겁게 물린다"보다 "어떤 회사를 무겁게 물릴지 골라낸다"에 가깝습니다.
숫자 하나를 더 붙이면 감이 잡힙니다. 이 법에는 매출액이 없거나 산정하기 곤란한 경우 50억 원을 초과하지 않는 범위에서 과징금을 부과한다는 조항도 있습니다. 매출이 없으면 처벌도 없다고 읽으면 틀립니다.
함정 둘 — 과징금은 깎일 수도 있습니다
같은 조문에 감경 사유가 들어갔습니다. 그것도 임의 고려가 아니라 반드시 고려하도록 한 항목입니다.
개인정보보호 예산·인력·설비·장치 등의 투자 및 운영
이 조항의 방향은 분명합니다. 사고가 난 뒤에 얼마를 물리느냐보다, 사고 전에 얼마를 썼느냐를 본다는 뜻입니다. 보안에 예산과 사람을 붙여 둔 회사와 그렇지 않은 회사를 같은 자리에 두지 않겠다는 설계입니다.
저는 이 조항이 10% 상한보다 실무를 더 많이 바꿀 거라고 봅니다. 상한은 극단적인 사고에만 닿지만, 감경은 모든 사건에서 매번 따져지기 때문입니다.
함정 셋 — "회사 일이지 나와 상관없다"
이용자 입장에서 실제로 달라지는 것은 여기입니다. 제34조가 세 군데 바뀌었습니다.
첫째, 통지 대상이 넓어졌습니다. 종전에는 개인정보가 분실·도난·유출된 경우에 알리도록 했는데, 개정법은 위조·변조·훼손된 경우도 포함합니다. 내 정보가 빠져나간 것뿐 아니라 누군가 고쳐 놓은 경우에도 통지 대상이 됩니다.
둘째, 통지에 담을 내용이 늘었습니다. 무엇이 언제 유출됐는지에 더해 손해배상 및 법정손해배상 청구, 분쟁조정 신청 같은 법적 권리를 함께 알리도록 했습니다. 종전에는 유출 문자를 받아도 "그래서 나는 무엇을 할 수 있나"가 안 적혀 있어 각자 찾아봐야 했습니다.
셋째, 이게 가장 큽니다. 유출 '가능성' 통지가 신설됐습니다. 확정된 유출이 아니라 유출됐을 가능성을 알게 된 경우에도 지체 없이 알려야 합니다. 불법 접근은 확인됐는데 누구 정보가 영향을 받았는지 특정하지 못한 상황, 일부만 확인됐지만 다른 사람도 샜을 수 있는 상황이 여기 해당합니다.
지금까지는 이런 회색지대에서 회사가 "확인 중"이라며 시간을 끌 여지가 있었습니다. 앞으로는 확정 전에도 알려야 합니다.
이게 무슨 차이인지는 겪어 보면 압니다. 침입이 확인된 날과 "당신 정보가 샜습니다"라는 문자가 오는 날 사이에는 대개 몇 주가 있습니다. 그 사이에 비밀번호를 바꿨다면 피해가 줄었을 사람이 있습니다. 가능성 통지는 그 간격을 줄이는 조항입니다. 유출 문자를 더 자주, 더 일찍 받게 된다는 뜻이고, 성가신 대신 손 쓸 시간이 생깁니다.
세 줄 모두 이용자 쪽으로 열린 변화입니다. 특히 마지막 줄이 통지 시점을 앞당깁니다.
함정 넷 — 9월 11일에 전부 시작되지는 않습니다
같은 개정법인데 조항마다 시행 시점이 다릅니다.
- 2026년 9월 11일 — 과징금 상한, 대표자 책임, CPO 이사회 의결·신고, 유출 통지 확대
- 2027년 7월 1일 — ISMS-P 인증 의무화(제32조의2 관련 조항)
CPO 쪽도 유예가 있습니다. 시행 전에 이미 지정해 둔 보호책임자는 시행일로부터 6개월 안에 절차를 밟으면 됩니다. 2027년 3월 11일까지입니다.
같은 개정법이라도 조항마다 시작 날짜가 다릅니다.
한 가지 덧붙이면, 세부 기준을 정하는 시행령은 확인 시점(2026년 9월 10일) 기준으로 아직 공포 전 단계입니다. 이사회 의결 대상이 되는 규모 기준 같은 숫자는 시행령이 확정돼야 최종적으로 굳습니다. 이 글에서 조문 번호와 요건은 확정된 법률을, 규모 기준은 "예정"으로 읽어 주시면 됩니다.
최근 사고에 대입해 보면
이 법이 얼마나 좁게 또는 넓게 작동하는지는 숫자를 넣어 보면 감이 옵니다. 다만 아래는 법 시행 전에 벌어진 일이고, 요건 판단은 보호위원회의 몫이라 실제 처분과는 무관합니다. 규모 감각을 잡기 위한 대입일 뿐입니다.
| 사고 | 규모 | 1천만 명 요건 |
|---|---|---|
| 티빙 계정 유출 | 3,954만 계정 | 넘습니다 |
| 강남언니 유출 | 21만 9,665명 | 한참 못 미칩니다 |
같은 "개인정보 유출 사고"라고 불려도 두 사건은 이 법 안에서 다른 칸에 놓입니다. 앞의 것은 규모 요건만으로 10% 상한이 열리는 자리이고, 뒤의 것은 반복 위반이나 시정조치 불이행이 없다면 3% 틀 안입니다.
그리고 두 사건 모두, 개정법이 시행된 뒤였다면 통지 시점이 지금보다 빨랐을 것입니다. 가능성 단계에서 알려야 하니까요.
한 장 정리
| 질문 | 답 |
|---|---|
| 언제 시행되나 | 2026년 9월 11일 (2026년 3월 10일 공포, 법률 제21445호) |
| 과징금은 무조건 매출 10%인가 | 아니요. 원칙은 3%, 반복·1천만 명 이상 피해·시정조치 불이행일 때 10% |
| 매출이 없는 곳은 | 50억 원을 넘지 않는 범위에서 부과 |
| 이용자에게 달라지는 것은 | 위조·변조·훼손도 통지 대상, 통지에 법적 권리 안내 포함, 유출 가능성 단계에서도 통지 |
| 누가 책임지나 | 사업주·대표자가 최종 책임자로 조문에 명시(제30조의3 신설) |
| 전부 9월 11일부터인가 | 아니요. ISMS-P 의무화는 2027년 7월 1일, 기존 CPO 신고는 2027년 3월 11일까지 |
이것만 기억하면 됩니다.
- 10%는 상한이지 기본값이 아닙니다. 조건 셋 중 하나에 걸려야 열립니다.
- 이용자에게 실제로 닿는 변화는 과징금이 아니라 통지입니다. 확정 전에도 알려야 합니다.
- 보안에 미리 쓴 돈이 과징금 감경에서 반드시 고려됩니다. 사후 처벌보다 사전 투자를 겨눈 개정입니다.
참고 자료
- 국가법령정보센터, 「개인정보 보호법」 [시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정] — https://www.law.go.kr/lsInfoP.do
- 법률신문, "2026. 2. 12. 국회 본회의를 통과한 개인정보보호법 개정안의 주요 내용"(법무법인 대륙아주 기고, 2026년 3월 5일) — https://www.lawtimes.co.kr/news/articleView.html?idxno=217245
- datalaw.kr, "2026년 개정 개인정보 보호법 — 9월 11일까지 무엇을 해야 하나"(2026년 8월 5일) — https://datalaw.kr/guides/pipa-2026-amendment/
- 개인정보보호위원회 — https://www.pipc.go.kr
본문의 조문 번호와 요건은 위 1·2번 자료를 교차 확인한 것이고, 규모 기준 등 시행령 사항은 2026년 9월 10일 기준 공포 전 단계입니다. 시행 이후 세부 기준은 개인정보보호위원회 공지로 확인하시기 바랍니다.