개인정보보호법 개정 2026 총정리, 9월 11일부터 무엇이 달라졌나요?

안녕하세요, 지란지교소프트 데이터사업부문입니다.

2026년 9월 11일부터 개인정보보호법 개정안이 시행됐습니다. 가장 큰 변화는 다섯 가지예요. 대표자가 개인정보 보호의 최종 책임자가 됐고, 불법적인 접근 등으로 개인정보 유출이 의심되거나, 일부 유출이 확인돼 다른 개인정보까지 유출됐을 가능성이 있는 경우에는 72시간 이내에 정보주체에게 알려야 합니다. 과징금은 최대 매출의 10%까지 올라갔지만, 보호에 투자해 온 회사는 오히려 감경해 주는 제도도 생겼어요. 여기에 CPO 지정 절차와 ISMS-P 인증 의무화까지 더해졌습니다.

한마디로 이제는 사고가 난 뒤의 수습보다 평소에 얼마나 관리해 왔는지를 더 꼼꼼히 보겠다는 거예요. 무엇이 바뀌었고 우리 회사는 무엇부터 하면 되는지 차근차근 정리해 볼게요.

📅 개인정보보호법 개정안, 언제부터 적용되나요?

2026년 9월 11일부터 적용되고 있어요. 다만 몇몇 항목은 준비할 시간을 주기 위해 시작 시점이 따로 정해져 있습니다.

📌 한눈에 보는 개인정보보호법 개정, 무엇이 달라졌나요?

01. 대표자도 책임을 지나요?

네, 이제 대표자가 개인정보 보호의 최종 책임자예요(제30조의3). 보호에 필요한 사람과 예산을 챙기는 것도 대표자의 역할이 됐습니다.

그동안 개인정보 보호는 보안팀이나 담당자 한두 명의 일로 여겨지는 경우가 많았는데요. 앞으로는 보호 예산과 인력 계획이 경영진 보고 안건으로 올라가야 해요. 사고가 났을 때 "담당자가 실수했다"로 끝내기 어려워진 셈이죠.

02. CPO를 정할 때 이사회를 거쳐야 하나요?

일정 규모 이상인 회사라면 그래요. 개인정보 보호책임자(CPO), 즉 회사의 개인정보 관리를 총괄하는 사람을 지정·변경·해제할 때 이사회 의결을 거쳐야 하며, 원칙적으로 의무가 발생한 날부터 1개월 이내에 개인정보보호위원회에 신고해야 합니다.

• ✔ 대상 연 매출액·개인정보 처리 규모 등 시행령 기준에 해당하는 개인정보처리자

• ✔ 새로 생긴 과태료 CPO를 두지 않았거나, 자격이 안 되거나, 이사회를 거치지 않았거나, 신고하지 않은 경우

다만 2026년 9월 11일 이전에 이미 CPO를 지정한 대상 회사는 2027년 3월 11일까지 신고할 수 있으니 일정에 꼭 넣어 두세요.

03. 유출이 확인되지 않아도 알려야 하나요?

네, 이번 개정에서 실무자가 가장 크게 느낄 변화예요. 유출이 의심되는데 아직 확인이 안 됐거나, 일부만 확인됐는데 더 퍼질 수 있다면 72시간 안에 정보주체에게 알려야 합니다(제34조 제2항). 정보주체는 개인정보의 주인, 그러니까 우리 회사의 고객이나 직원을 말해요.

예를 들어 외부의 불법적인 접근 정황은 확인됐지만 어떤 정보주체의 개인정보가 유출됐는지 아직 특정하기 어려운 상황을 생각해 볼 수 있어요. 일부 개인정보 유출이 확인됐고 추가 유출 가능성이 남아 있는 경우도 통지 준비가 필요합니다.

달라진 점을 조금 더 보면 이렇습니다.

⚠️ 랜섬웨어에 감염돼 파일이 잠긴 경우처럼 외부로 빠져나간 흔적이 없어도 통지 대상이 될 수 있어요. "몰라서 못 했다"는 말은 이제 통하지 않습니다.

서버가 랜섬웨어에 감염됐다면 정보통신망법도 함께 봐야 해요. 침해사고는 알게 된 때부터 24시간 안에 과학기술정보통신부나 한국인터넷진흥원(KISA)에 신고해야 하고, 개인정보가 관련됐다면 개인정보보호법에 따른 72시간 내 통지와 신고도 따로 챙겨야 합니다.

👉 개인정보 '노출'과 '유출'은 어떻게 다를까요? 알아두면 쓸 데 있는 보안 용어 및 개념 1탄 | 개인정보 편

👉 공공기관이라면 유출 사고가 평가 감점으로도 이어져요. 2026 공공기관 개인정보 유출 감점 2배 강화! 대응 전략은?

04. 과징금은 얼마나 늘었나요?

중대하거나 반복된 위반이라면 최대 매출의 10%까지 나올 수 있어요. 과징금은 법을 어긴 회사에 매출을 기준으로 매기는 금전 제재인데요. 원칙은 매출액의 3% 이하이지만, 고의·중과실로 같은 위반을 반복하거나 대규모 피해가 발생한 경우, 또는 시정명령 불이행과 유출이 함께 발생하는 등 법에서 정한 요건에 해당하면 전체 매출액의 최대 10%까지 과징금이 부과될 수 있습니다.

단순하게 계산하면 매출 1,000억 원인 회사는 3%일 때 30억 원, 10%일 때 100억 원이에요. 실제 금액은 위반과 관련 없는 매출을 빼는 등 조정을 거치지만, 규모가 얼마나 커졌는지 가늠해 볼 수 있어요.

반대로 반가운 내용도 있습니다. 개인정보 보호에 예산과 인력, 장비를 투자해 온 회사는 과징금을 감경받을 수 있어요. 다만 고의나 중대한 과실이 있으면 해당되지 않아요.

💡 POINT

감경을 받으려면 개인정보 보호를 위해 실제로 투자하고 관리해 왔다는 점을 보여 줄 수 있어야 해요. 솔루션 도입 계약서, 예산·인력 투입 내역, 점검 기록, 교육 이력 같은 증적을 평소에 모아 두세요.

과태료, 즉 정해진 금액으로 매기는 벌금도 안전조치 위반을 비롯해 전반적으로 올랐다는 점도 함께 알아 두세요.

💡 정보통신망법 과징금도 함께 확인하세요

2026년 10월 1일부터 개정 정보통신망법이 시행됐어요. 고의나 중대한 과실로 5년 안에 침해사고가 2번 이상 나면 매출액의 3% 이내 과징금이 부과될 수 있습니다. 해킹 사고 하나로 두 법의 제재를 함께 받을 수 있는 셈이에요.

👉 이미지나 스캔본 속 개인정보도 관리 대상이에요. 비정형 데이터 보안 방법: 2026 개인정보보호법 대응 전략

05. ISMS-P 인증, 이제 꼭 받아야 하나요?

공공·민간 분야의 중요 개인정보처리자에 대한 ISMS-P 인증 의무화는 2027년 7월 1일부터 시행될 예정입니다. 구체적인 의무 대상 기준은 시행 전 별도로 마련될 시행령을 확인해야 해요. ISMS-P는 회사가 정보와 개인정보를 제대로 관리하고 있는지 심사해서 주는 인증입니다. 준비하는 데 보통 몇 달이 걸리기 때문에 지금부터 사전 점검을 시작하는 게 안전해요.

✅ 우리 회사는 무엇부터 해야 할까요?

아래 순서대로 하나씩 확인해 보세요.

1. 대표자에게 보고하기 > 개정 내용과 대표자 책임 범위를 경영진과 공유해요.

2. CPO 대상인지 확인하기 > 이사회 의결과 신고 대상에 해당하는지 확인해요.

3. 사내 문서 조문 번호 고치기 > 내부관리계획(회사의 개인정보 관리 규칙)과 위수탁 계약서(개인정보 처리를 다른 회사에 맡길 때 쓰는 계약서)에 적힌 제34조 인용을 바꿔요.

4. 사고 대응 절차에 가능성 통지 넣기 > 72시간 기준을 절차서에 적어 둬요.

5. 통지문 양식 고치기 > 손해배상과 분쟁조정 안내 문구를 추가해요.

6. 투자 기록 모으기 > 솔루션 도입, 인력, 교육에 들인 내역을 문서로 남겨요.

7. ISMS-P 일정 잡기 > 2027년 7월 전에 인증을 받을 수 있게 준비해요.

⁉️ 자주 묻는 질문

Q. 랜섬웨어에 감염돼도 유출 통지를 해야 하나요?

A. 해야 할 수 있어요. 이번 개정으로 통지 대상에 훼손이 들어갔기 때문에, 외부로 빠져나간 흔적이 없어도 통지 대상이 될 수 있습니다. 서버가 감염됐다면 정보통신망법에 따른 24시간 내 침해사고 신고도 함께 챙겨야 해요.

Q. 72시간은 언제부터 계산하나요?

A. 유출이나 그 가능성을 알게 된 때부터 72시간이에요.

Q. 이미 CPO가 있는데 다시 신고해야 하나요?

A. 이사회 의결 대상인 회사라면 기존 CPO도 2027년 3월 11일까지 신고해야 합니다.

Q. 조문 번호 바뀐 것까지 꼭 고쳐야 하나요?

A. 고치는 게 좋아요. 신고 근거가 제34조 제3항에서 제4항으로 옮겨가서, 그대로 두면 내부 문서가 잘못된 조문을 가리키게 됩니다.

Q. 과징금을 감경받으려면 무엇을 준비해야 하나요?

A. 개인정보 보호에 투자한 예산, 인력, 장비 내역과 계약서, 점검 기록, 교육 기록 등 실제 보호 활동을 보여 줄 수 있는 자료를 준비해 두세요.

🤝 지란지교소프트와 함께 준비하세요

이번 개정에 대응하는 출발점은 두 가지예요. 우리 회사 어디에 개인정보가 있는지 아는 것, 그리고 무슨 일이 있었는지 기록으로 남기는 것입니다. 어디에 있는지 알아야 72시간 안에 통지할 수 있고, 기록이 있어야 과징금 감경도 요청할 수 있으니까요.

👉 이메일, USB, 출력, 클라우드 등 유출 경로별 대응은 DLP 정보유출방지란?｜기업이 반드시 준비해야 할 정보유출방지 전략에서 확인할 수 있어요.

법은 계속 바뀌지만, 대응은 미리 할수록 쉬워요. 지란지교소프트 데이터사업부문이 함께하겠습니다.

개정법 대응, 어디서부터 시작할지 막막하다면

도입 문의하기 >

📞 1600-9185    ✉️ privacy@jiran.com

참고 자료

• 국가법령정보센터, 「개인정보 보호법」
  https://www.law.go.kr/법령/개인정보보호법

• 개인정보보호위원회, 「개인정보 보호법·시행령·고시 9월 11일부터 시행」 보도자료
  https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12459

• 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」
  https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률

근거 개인정보 보호법 및 시행령 (2026년 9월 11일 시행)

#개인정보보호법 #개인정보보호법개정 #개인정보보호법2026 #개인정보유출 #유출통지 #유출가능성통지 #개인정보보호책임자 #CPO #과징금 #정보통신망법 #ISMSP #컴플라이언스 #PC필터 #SERVER필터 #AI필터 #PCFILTER #DLP #정보유출방지 #피씨필터