개인정보 보호법 개정 2026은 2026년 9월 11일부터 시행됩니다. 이번 개정의 핵심은 반복적·중대한 위반 때 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 하고, 유출이 확정되지 않았더라도 유출 가능성을 알면 지체 없이 알리도록 한 점입니다. 회사의 대표자와 개인정보 보호책임자(CPO) 책임도 더 분명해집니다.
아래 내용은 2026년 9월 7일 기준 개인정보보호위원회 발표 자료를 쉽게 정리한 것입니다. 법 적용 대상이나 사고 대응은 회사의 규모와 사실관계에 따라 달라질 수 있으므로, 실제 사고가 났다면 개인정보보호 전문가와 함께 확인해야 합니다.
개인정보 보호법 개정 2026은 언제 시행되나요?
개정 「개인정보 보호법」은 2026년 3월 10일 공포됐고, 2026년 9월 11일부터 시행됩니다. 다만 주요 기업·기관의 ISMS-P 인증 의무화 규정은 준비 기간을 두어 2027년 7월 1일부터 시행될 예정입니다.
9월 11일부터 바뀌는 핵심 7가지는 무엇인가요?
| 핵심 변화 | 쉽게 말하면 |
|---|---|
| 1. 최대 10% 과징금 | 반복적이거나 아주 중대한 위반은 전체 매출액의 최대 10%까지 과징금이 가능해집니다. |
| 2. 예방 투자 감경 | 개인정보 보호를 위해 예산·인력·설비에 미리 투자한 경우, 정해진 기준에 따라 과징금 감경을 받을 수 있습니다. |
| 3. 유출 가능성 통지 | 유출이 확정된 뒤만이 아니라, 유출 가능성을 알게 된 때도 정보주체에게 지체 없이 알려야 합니다. |
| 4. 사고 범위 확대 | 분실·도난·유출뿐 아니라 개인정보의 위조·변조·훼손도 통지·신고 대상에 들어갑니다. |
| 5. 피해구제 안내 | 유출 통지 때 손해배상 청구, 분쟁조정 등 피해를 해결하는 방법도 함께 알려야 합니다. |
| 6. CEO·CPO 책임 강화 | 대표자의 관리·감독 책임이 명확해지고, CPO의 권한과 역할도 강화됩니다. |
| 7. ISMS-P 의무화 | 파급력이 큰 주요 기업·기관은 ISMS-P 인증을 의무로 갖춰야 합니다. 이 부분은 2027년 7월부터 시행 예정입니다. |
과징금 최대 10%는 모든 개인정보 유출에 적용되나요?
아닙니다. ‘최대 10%’는 모든 사고에 자동으로 붙는 벌금이 아닙니다. 개인정보보호위원회가 밝힌 강화 제재의 대표 조건은 다음과 같습니다.
- 고의 또는 중대한 과실로, 최근 3년 안에 위반을 반복한 경우
- 고의 또는 중대한 과실로 1,000만 명 이상 대규모 피해를 낸 경우
- 시정명령을 따르지 않아 개인정보 유출 등의 사고가 생긴 경우
실제 과징금은 위반의 내용, 사고 경위, 피해 규모 등을 함께 살펴 정해집니다. 따라서 ‘유출 1건이면 무조건 매출의 10%’라고 이해하면 정확하지 않습니다.
개인정보 유출 통지 72시간은 무엇이 달라지나요?
기존에도 개인정보 유출 등을 알게 된 경우에는 원칙적으로 72시간 안에 정보주체에게 통지하는 기준이 있었습니다. 이번 개정에서 특히 달라지는 점은 유출 등이 확정되지 않아도 그 가능성을 알게 되면 지체 없이 통지해야 한다는 것입니다.
예를 들어 외부 침입 흔적이 발견됐지만 어떤 사람의 정보가 실제로 빠져나갔는지 아직 확인되지 않은 상황도 있을 수 있습니다. 이런 경우에는 내부 조사만 길게 이어가기보다, 시행령 등 세부 기준에 맞춰 신속한 통지와 대응을 준비해야 합니다.
기업과 기관은 지금 무엇을 준비해야 하나요?
- 사고 대응 연락망을 점검하세요. 보안·개인정보·홍보·법무 담당자가 밤이나 휴일에도 바로 연결되는지 확인합니다.
- 통지 문안을 미리 준비하세요. 사고 내용, 대응 방법, 피해구제 안내를 쉽게 설명할 수 있도록 초안을 마련합니다.
- 로그와 접근 권한을 살피세요. 침입 흔적을 빨리 찾고, 누가 어떤 정보에 접근할 수 있는지 정리합니다.
- CPO 권한과 보고 체계를 확인하세요. 필요한 인력·예산을 요청하고 대표자·이사회에 보고하는 흐름이 실제로 작동해야 합니다.
- 보호 투자를 기록하세요. 보안 장비, 교육, 인력 배치, 점검 결과를 남겨 두면 예방 활동을 설명하는 데 도움이 됩니다.
개인정보가 유출된 이용자는 어떻게 대응해야 하나요?
이용자는 통지를 받으면 먼저 어떤 정보가 영향을 받았는지 확인하고, 해당 서비스의 비밀번호를 바꾸는 것이 좋습니다. 같은 비밀번호를 다른 서비스에도 썼다면 함께 변경하세요. 수상한 로그인, 결제, 문자·이메일이 보이면 증거를 남기고 개인정보침해 신고센터(국번 없이 118) 또는 개인정보분쟁조정위원회에 도움을 요청할 수 있습니다.
자주 묻는 질문
개인정보 보호법 개정 2026의 시행일은 언제인가요?
2026년 9월 11일입니다. ISMS-P 인증 의무화 규정은 2027년 7월 1일부터 시행될 예정입니다.
개인정보 유출 통지 72시간은 모든 상황에 똑같이 적용되나요?
유출 등을 알게 된 경우 원칙적으로 72시간 이내 통지 기준이 있으며, 개정법은 유출 가능성을 알게 된 경우에도 지체 없는 통지를 요구합니다. 세부 적용은 시행령과 사고 상황을 함께 확인해야 합니다.
과징금 최대 10%는 누구에게 적용되나요?
고의·중과실의 반복 위반, 1,000만 명 이상 대규모 피해, 시정명령 불이행 뒤 유출 등 법에서 정한 반복적·중대한 위반에 적용할 수 있는 상한입니다.
개인정보 침해 신고는 어디에 하나요?
개인정보침해 신고센터의 국번 없이 118을 이용하거나, 개인정보보호위원회와 개인정보침해 신고센터의 공식 안내를 확인할 수 있습니다.
공식 자료 확인: 개정 내용과 후속 시행령 정보는 개인정보보호위원회 안내에서 확인하세요.