개인정보보호법 조항 번호, 개정 전후 한눈에 비교해요!

안녕하세요, 지란지교소프트 데이터사업부문입니다.

26년 9월 11일, 국내 개인정보보호법 개정으로 개인정보 유출 신고와 개인정보보호책임자(CPO) 등 관련 조항 번호가 바뀌었습니다.

사내 문서에 옛 조항 번호가 남아 있다면 지금은 다른 의무를 가리키고 있을 수 있어요.

무엇이 바뀌었는지 개정 전후를 비교하며 살펴볼까요?

📌 개인정보보호법 조항 번호, 왜 바뀌었나요?

기존 항 사이에 새로운 항이 추가되었기 때문입니다.

예를 들어 제34조는 '개인정보 유출 가능성 통지'가 제2항으로 추가되면서 원래 제2항부터 번호가 하나씩 밀렸어요.

새로운 항이 추가된 조는 제31조, 제34조, 제64조의2 세 곳입니다.

💡 조, 항, 호 읽는 법

'제34조 제4항 제1호'는 제34조 안의 네 번째 문단(항), 그 안의 첫 번째 목록(호)이라는 뜻이에요.

이번 개정에서는 조 번호는 그대로이고 항과 호 번호가 바뀌었습니다.

예를 들어 위수탁 계약서에 '제31조 제3항에 따른 CPO 업무'라고 적혀 있다면 지금은 다른 내용을 가리킵니다.

현재 CPO 업무는 제31조 제4항에 있고, 제3항에는 CPO 지정 시 이사회 의결과 신고 의무가 새로 들어왔거든요.

01. 개인정보 유출 신고 의무는 몇 조 몇 항에 있나요?

개인정보 유출 시, 개인정보보호위원회에 신고하는 의무는 이제 제34조 제4항에 있어요.

개정 전에는 제34조 제3항이었지만, 제34조 제2항에 '정보주체에게 유출 가능성 통지'가 신설되었기 때문이죠.

유출 가능성 통지는 해킹처럼 유출이 의심되지만 확정되지 않았을 때,

이를 안 시점부터 72시간 안에 정보주체에게 알리는 제도입니다. (제34조 제2항)

(정보주체는 고객이나 직원처럼 개인정보의 주인을 의미합니다.)

정보주체에게 보내는 유출 통지문에 넣어야 할 내용도 늘었습니다.

손해배상이나 분쟁조정을 신청하는 방법 등 정보주체가 행사할 수 있는 권리를 함께 안내해야 해요. (제34조 제1항 제6호, 7호)

통지와 신고 대상이 되는 사고의 범위도 넓어졌어요. 기존의 분실·도난·유출에 위조·변조·훼손이 추가되었어요. (제23조 제2항)

개인정보보호위원회도 랜섬웨어처럼 외부 유출 없이 데이터가 손상된 경우까지 통지·신고 대상이 된다고 안내하고 있습니다.

👉 개인정보 '노출'과 '유출'은 어떻게 다를까요? [알아두면 쓸 데 있는 보안 용어 및 개념 1탄 | 개인정보 편]

02. 개인정보보호책임자(CPO) 조항은 어떻게 바뀌었나요?

제31조에는 CPO를 지정하는 절차와 CPO가 맡을 업무가 새로 추가되었습니다. (CPO는 회사의 개인정보 관리를 총괄하는 사람이에요.)

먼저 제31조 제3항에 CPO 지정 절차가 새로 생겼어요.

일정 규모 이상 회사는 CPO를 지정하거나 바꿀 때 이사회 의결을 거치고 개인정보보호위원회에 신고해야 합니다.

CPO 업무 목록에도 '전문 인력 관리와 예산 확보', '대표자와 이사회 보고'가 제2호와 제3호로 추가됐어요.

그래서 CPO 업무를 정한 조항은 제31조 제3항에서 제4항으로 밀렸습니다.

업무 목록의 기존 제2호부터 제7호까지도 각각 제4호부터 제9호로 두 칸씩 밀렸어요.

💡 POINT

항 번호만 바꾸면 다른 업무를 가리키게 돼요. '제31조 제3항 제4호(내부통제시스템 구축)'는 '제31조 제4항 제6호'로 고쳐야 합니다.

호 번호를 그대로 두고 항만 바꾸면 '처리 실태 정기 조사'를 가리키게 돼요.

03. 과징금과 과태료 조항도 바뀌었나요?

네, 과징금 조항(제64조의2)과 과태료 조항(제75조)도 번호가 바뀌었습니다.

과징금 조항에는 제2항과 제6항에 새로운 항이 생겼어요.

그래서 부과할 때 고려하는 사항은 제4항에서 제5항으로, 부과하지 않을 수 있는 사유는 제5항에서 제7항으로 옮겨졌습니다.

과태료 조항에서는 CPO를 지정하지 않았을 때의 근거가 제75조 제4항 제9호에서 제2항 제14호의2로 바뀌었어요.

과태료 상한도 1천만 원에서 3천만 원으로 올랐습니다.

04. 옛 조항 번호는 어떤 사내 문서에 남아 있을 수 있나요?

사고대응 절차서, 유출 통지문, 위수탁 계약서, 처리방침, 내부관리계획에 옛 조항 번호가 남아 있을 수 있어요.

법 조항을 근거로 적은 다른 문서도 함께 확인해 주세요.

특히 2023년 9월 이전에 만든 문서는 한 번 더 확인해 주세요.

2023년 9월 15일 시행된 개정으로 정보통신서비스 제공자 특례가 삭제되고 일반 규정으로 합쳐졌거든요.

제39조의4(유출 통지 특례)는 제34조로, 제39조의3(수집 동의 특례)은 제15조로 통합됐어요.

지금의 제39조의3부터 제39조의5까지는 손해배상 소송의 자료제출명령 같은 전혀 다른 내용이에요.

옛 조항 번호를 그대로 두면 잘못된 조항을 가리키게 됩니다.

사고가 났을 때 바로 꺼내 쓰는 문서부터 수정하세요. 유출 사고 대응 문서와 통지 서식이 우선입니다.

계약 관련 문서와 내부 규정은 그다음에 정리해도 괜찮아요.

⁉️ 자주 묻는 질문

Q. 조항 번호를 일괄로 검색해서 변경해도 되나요?

A. 권하지 않아요. 조항마다 밀린 정도가 달라서 일괄로 바꾸면 다른 조항을 가리킬 수 있거든요.

예를 들어 제31조 제3항 제4호는 제31조 제4항 제6호로, 항과 호를 모두 바꿔야 합니다.

Q. 9월 11일 전에 생긴 유출 사고는 옛 조항을 따르나요?

A. 사고가 난 날이 아니라 회사가 유출을 알게 된 날이 기준이에요.

9월 10일 이전에 일어난 사고라도 9월 11일 이후에 알았다면 개정된 제34조 제1항과 제4항을 따릅니다. (부칙 제2조)

Q. 위수탁 계약서도 다시 써야 하나요?

A. 계약서 전체를 다시 쓸 필요는 없어요.

옛 조항 번호를 인용한 부분만 다음 계약 갱신 때 고치거나 별도 합의서로 바로잡으면 됩니다.

업무를 맡은 수탁사에도 CPO 지정 의무와 과태료가 똑같이 적용된다는 점을 함께 확인해 주세요. (제26조 제8항)

Q. 이미 지정한 개인정보보호책임자(CPO)도 새로 신고해야 하나요?

A. 매출액 1,800억 원 초과 등 시행령 기준에 해당하는 회사라면 신고해야 해요.

시행일(2026년 9월 11일)부터 6개월 안에 개인정보보호위원회에 신고하면 됩니다.

(시행령 부칙 제2조) 개인정보보호위원회 안내에 따르면 이미 지정한 CPO는 이사회 의결을 다시 거치지 않아도 됩니다.

Q. 개인정보 처리방침의 조항 번호도 고쳐야 하나요?

A. 네, 처리방침에 법 조항을 적었다면 고쳐야 해요.

예를 들어 CPO 업무를 '제31조 제3항'으로 적었다면 '제31조 제4항'으로 고쳐야 합니다.

특정 호까지 적었다면 호 번호도 함께 확인해 주세요.

🤝 지란지교소프트와 함께 준비하세요

사내 문서의 조항 번호를 고쳤다면, 이제 실제로 문서대로 운영되고 있는지 점검할 차례입니다.

개인정보 사고는 언제 어디서 생길지 모르기 때문에, 평소에 개인정보가 어디에 있고 어디로 이동하는지 파악해 두는 것이 중요해요.

그래야 사고가 났을 때 빠르게 확인하고, 정해진 기한 안에 통지와 신고를 할 수 있습니다.

👉 이메일, USB, 출력 같은 유출 경로별 대응이 궁금하다면? [DLP 정보유출방지란?｜기업이 반드시 준비해야 할 정보유출방지 전략]

조항 번호는 바뀌어도 관리의 기본은 같아요. 개인정보가 어디에 있는지 알고, 무슨 일이 있었는지 기록으로 남기는 것이죠. 지란지교소프트 데이터사업부문이 함께하겠습니다.

개인정보 관리 현황 점검, 어디서부터 시작할지 막막하다면

도입 문의하기 >

📞 1600-9185    ✉️ privacy@jiran.com

참고 자료

국가법령정보센터, 「개인정보 보호법」 (법률 제21445호, 2026.9.11 시행)
https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839&efYd=20260911

국가법령정보센터, 「개인정보 보호법」 제·개정문 (법률 제21445호 개정문 포함)
https://www.law.go.kr/LSW/lsRvsDocListP.do?lsId=011357&chrClsCd=010202&lsRvsGubun=all

국가법령정보센터, 「개인정보 보호법 시행령」 (대통령령 제36671호, 2026.9.11 시행)
https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8%EB%B2%95%EC%8B%9C%ED%96%89%EB%A0%B9

개인정보보호위원회, 「개인정보 보호책임자 지정 신고 관련 주요 FAQ」 (2026.9.10)
https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS061&mCode=C010010000&nttId=12460

근거  개인정보 보호법(법률 제21445호, 2026.9.11 시행), 개인정보 보호법 시행령(대통령령 제36671호, 2026.9.11 시행)

#개인정보보호법 #개인정보보호법개정 #조항번호 #개정전후비교 #제34조 #유출신고 #개인정보보호책임자 #CPO #사고대응절차서 #개인정보처리방침 #위수탁계약서 #PC필터 #SERVER필터 #AI필터 #지란지교소프트