'개인정보 보호법' 개정 이후 매출 최대 10% 과징금
시행 전 발생 유출 사고는 새 기준 소급 적용 안 돼
사전에 투자하면 40%, 사후 신속 대응도 40% 감경
실제 유출 확정되지 않아도 72시간 이내 통지 의무
기존 CPO도 6개월 이내 신고…CEO 최종 책임 강화
![[서울=뉴시스] 조수정 기자 = 양청삼 개인정보보호위원회 사무처장이 10일 오전 서울 종로구 정부서울청사에서 개인정보 보호법 시행령 개정 브리핑을 하고 있다. 정부는 개인정보 유출 사전예방 및 피해 구제 강화를 위한 개인정보 보호법 시행령을 11일부터 시행한다. 2026.09.10. chocrystal@newsis.com](https://img1.newsis.com/2026/09/10/NISI20260910_0021431753_web.jpg?rnd=20260910111631)
[서울=뉴시스] 조수정 기자 = 양청삼 개인정보보호위원회 사무처장이 10일 오전 서울 종로구 정부서울청사에서 개인정보 보호법 시행령 개정 브리핑을 하고 있다. 정부는 개인정보 유출 사전예방 및 피해 구제 강화를 위한 개인정보 보호법 시행령을 11일부터 시행한다. 2026.09.10. [email protected]
[서울=뉴시스]박은비 기자 = 오늘부터 고의 또는 중과실로 개인정보 유출 사고가 반복되거나 대규모 유출이 발생한 기업·기관은 전체 매출의 최대 10%가 부과되는 징벌적 과징금으로 철퇴를 맞는다. 지난 3월 개정된 개인정보 보호법이 시행되기 때문이다. 유출 가능성만 있더라도 대상자에게 72시간 이내 통지하지 않으면 과징금이 늘어난다.
11일 개인정보보호위원회에 따르면 지난 3월 개정된 '개인정보 보호법'이 이날부터 시행된다. 국민 일상 생활과 밀접한 분야에서 대규모 개인정보 유출 사고가 연이어 발생하면서 국민들의 불안과 우려가 지속되고 있어 사고를 예방하고 피해 구제를 강화하기 위한 법안이다.
반복적이거나 고의·중과실로 인한 개인정보 유출은 전채 매출액의 10%까지 징벌적 과징금이 부과되고, 사전에 예방적 개인정보 보호 투자를 할 경우 과징금을 감경받을 수 있는 게 골자다. 개인정보 보호 책임과 관리체계 강화를 위해 개인정보 보호책임자(CPO) 권한이 강화(전문인력 관리·예산 확보, 이사회 보고 의무)되는 것도 포함이다.
하지만 최근 대규모 개인정보 유출 사고가 발생한 '티빙'이나 '강남언니' 같은 사례는 징벌적 과징금이 적용되지 않는다. 이번에 신설·강화된 기준이 소급 적용되지 않기 때문이다. 따라서 개정법 시행 전에 발생한 티빙 등 기존 유출 사고에는 사고가 발생했을 당시 적용되던 법령과 제재 기준에 따라 처리되고, 이날 이후 새롭게 발생하는 위반행위부터 개정된 기준이 적용된다.
감경 인센티브는 사전 예방 40%, 사후 신속 대응 40% 등 총 80% 넘게 적용될 수 있다. 사전에 개인정보 보호를 위한 투자와 관리체계를 갖췄다면 40%까지 감경하고, 2차 감경 요소로 사고 발생 이후 신속한 대응과 복구 노력을 하면 추가적으로 최대 40% 감경이 가능하다. 2차 감경 요소는 '리질리언스(Resilience) 감경'이라고 부른다.
특히 기업·기관이 신경써야 할 요소 중 하나가 유출 가능성만 있어도 인지한 때로부터 72시간 안에 이를 통지해야 한다는 점이다. 개인정보처리 시스템이나 기기에 불법적인 접근이 있었지만 피해 정보주체를 특정하기 어려운 경우, 일부 개인정보가 불법적으로 거래된 사실이 확인돼 다른 정보주체의 개인정보도 유출됐을 가능성이 높은 경우 등이 대상이다.
단순히 취약점이 있다거나 막연한 의심만 있는 게 아니라 객관적으로 정황이 명확해야 한다. 예를 들어 다크웹에 실제 데이터베이스(DB) 구조와 정확히 일치하는 샘플 자료가 유통되거나, 침입 정황은 확실한데 정확하게 규모가 판단이 안 된다면 통지해야 한다.
법정 기한 내 알리지 않으면 과징금 산정 과정에서 과징금이 최대 30%까지 가중될 수 있다. 만약 실제 유출이 아닌 것으로 확인되면 정정 통지해야 한다.
11일 개인정보보호위원회에 따르면 지난 3월 개정된 '개인정보 보호법'이 이날부터 시행된다. 국민 일상 생활과 밀접한 분야에서 대규모 개인정보 유출 사고가 연이어 발생하면서 국민들의 불안과 우려가 지속되고 있어 사고를 예방하고 피해 구제를 강화하기 위한 법안이다.
반복적이거나 고의·중과실로 인한 개인정보 유출은 전채 매출액의 10%까지 징벌적 과징금이 부과되고, 사전에 예방적 개인정보 보호 투자를 할 경우 과징금을 감경받을 수 있는 게 골자다. 개인정보 보호 책임과 관리체계 강화를 위해 개인정보 보호책임자(CPO) 권한이 강화(전문인력 관리·예산 확보, 이사회 보고 의무)되는 것도 포함이다.
티빙·강남언니 유출 사고는 징벌적 과징금 적용 안 돼…"소급 대상 아냐"
감경 인센티브는 사전 예방 40%, 사후 신속 대응 40% 등 총 80% 넘게 적용될 수 있다. 사전에 개인정보 보호를 위한 투자와 관리체계를 갖췄다면 40%까지 감경하고, 2차 감경 요소로 사고 발생 이후 신속한 대응과 복구 노력을 하면 추가적으로 최대 40% 감경이 가능하다. 2차 감경 요소는 '리질리언스(Resilience) 감경'이라고 부른다.
특히 기업·기관이 신경써야 할 요소 중 하나가 유출 가능성만 있어도 인지한 때로부터 72시간 안에 이를 통지해야 한다는 점이다. 개인정보처리 시스템이나 기기에 불법적인 접근이 있었지만 피해 정보주체를 특정하기 어려운 경우, 일부 개인정보가 불법적으로 거래된 사실이 확인돼 다른 정보주체의 개인정보도 유출됐을 가능성이 높은 경우 등이 대상이다.
단순히 취약점이 있다거나 막연한 의심만 있는 게 아니라 객관적으로 정황이 명확해야 한다. 예를 들어 다크웹에 실제 데이터베이스(DB) 구조와 정확히 일치하는 샘플 자료가 유통되거나, 침입 정황은 확실한데 정확하게 규모가 판단이 안 된다면 통지해야 한다.
법정 기한 내 알리지 않으면 과징금 산정 과정에서 과징금이 최대 30%까지 가중될 수 있다. 만약 실제 유출이 아닌 것으로 확인되면 정정 통지해야 한다.
![[서울=뉴시스] 조수정 기자 = 송경희 개인정보보호위원회 위원장이 9일 오후 서울 종로구 정부서울청사에서 열린 제19회 위원회 전체회의를 주재하고 있다. 2026.09.09. chocrystal@newsis.com](https://img1.newsis.com/2026/09/09/NISI20260909_0021430300_web.jpg?rnd=20260909140615)
[서울=뉴시스] 조수정 기자 = 송경희 개인정보보호위원회 위원장이 9일 오후 서울 종로구 정부서울청사에서 열린 제19회 위원회 전체회의를 주재하고 있다. 2026.09.09. [email protected]
CPO 지정·해제시 이사회 의결, 신고 의무화…내년 말까지 계도기간 부여
또 개인정보 보호책임자(CPO) 지정·해제시 이사회 의결과 신고도 의무화된다. 법 시행 전에 지정된 기존 CPO의 경우 이사회 의결은 새로 거칠 필요가 없지만 11일부터 6개월 안에 개인정보위 신고가 필요하다. 다만 내년 12월 31일까지 계도기간이 있다. 이 기간에는 CPO 미지정, CPO 자격요건 미비, 이사회 의결 의무 위반 등 법령 위반이 있더라도 과태료가 부과되지 않는다.
개인정보위는 이번 법 시행을 계기로 상시화되는 사이버 침해 위협에 어느 정도 대비할 수 있을 것으로 기대하고 있다. 양청삼 개인정보위 사무처장은 "최근 개인정보 유출 사고가 많아지는 이유는 회사 내부적으로 개인정보 관리체계를 제대로 갖추지 못한 측면도 있고, 외부적으로는 사이버 해킹 등 공격 기법이 굉장히 고도화되고 있는 측면도 있다"며 "사이버 침해 위협은 앞으로도 상당 기간 상시화될텐데 이번 시행을 계기로 사고가 발생한 뒤 제재하는 데 그치지 않고, 사전에 개인정보 보호에 투자하고 사고 발생 시 신속하게 대응·복구하는 체계를 정착시키는 게 중요하다"고 말했다.
◎공감언론 뉴시스 [email protected]
