개인정보 보호법 개정은 2026년 9월 11일부터 시행됐습니다. 개인정보를 처리하는 회사는 지금 CPO(개인정보 보호책임자)의 권한과 보고 체계, 유출 가능성 발생 시 72시간 통지 절차, 예방 투자 기록을 먼저 점검해야 합니다. 특히 일정 규모 이상 사업자는 CPO 지정·변경·해제 때 이사회 의결과 개인정보보호위원회 신고가 필요할 수 있습니다.
이 글은 회사의 실무 점검을 돕는 안내입니다. 우리 회사가 적용 대상인지, 사고가 법정 신고 대상인지 등은 보유 정보와 사고 경위를 기준으로 별도 확인해야 합니다.
개정 개인정보 보호법에서 가장 먼저 달라진 점은 무엇인가요?
이번 개정은 사고가 난 뒤 처벌하는 방식에서, 대표자·CPO·조직이 미리 예방 체계를 갖추도록 하는 방식으로 무게중심을 옮겼습니다. CPO의 권한과 책임을 강화하고, 반복적이거나 고의·중과실로 인한 중대한 유출에는 전체 매출액의 최대 10% 범위 과징금 근거를 뒀습니다. 반대로 예산·인력·설비 등에 미리 투자해 보호 체계를 운영한 경우에는 감경 기준도 마련했습니다.
| 핵심 변화 | 회사에 필요한 대응 |
|---|---|
| 대표자 최종책임 명시 | 경영진 보고와 의사결정 기록을 남깁니다. |
| CPO 권한·책임 강화 | 전문인력, 예산, 독립적 업무 수행 체계를 확인합니다. |
| CPO 이사회 의결·신고 | 법령상 대상 여부를 판단하고 기존 지정자는 경과조치를 확인합니다. |
| 유출 가능성 통지 신설 | 72시간 안에 통지할 수 있도록 사고 대응 흐름을 고칩니다. |
| 중대·반복 위반 과징금 강화 | 보호 투자와 운영 증빙을 꾸준히 관리합니다. |
회사에서 바로 할 일 7가지는 무엇인가요?
아래 7가지는 규모와 업종에 관계없이 우선 확인할 수 있는 실무 순서입니다.
1. 대표자와 CPO의 역할을 문서로 나눴나요?
대표자는 개인정보 보호에 필요한 전문인력과 예산을 지원하는 등 총괄 관리 조치를 해야 합니다. CPO는 개인정보 보호 업무를 총괄하는 사람입니다. 누가 예산을 승인하고, 누가 사고를 보고하며, 누가 개선을 지시하는지 내부 규정과 결재선에 적어 두세요.
2. CPO가 독립적으로 일할 수 있나요?
CPO가 문제를 발견했을 때 다른 부서의 승인만 기다리지 않고 개선을 요구하고 경영진 또는 이사회에 보고할 수 있어야 합니다. 개인정보 담당자, 정보보안 담당자, 법무·고객센터 사이의 연락망과 대체 담당자도 정해 두는 것이 좋습니다.
3. 우리 회사가 이사회 의결·신고 대상인지 확인했나요?
매출액과 개인정보 보유 규모 등을 고려해 시행령에서 정한 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보보호위원회에 신고해야 합니다. 2026년 9월 11일 이전에 이미 CPO를 지정한 대상 사업자에게는 시행일부터 6개월 안에 신고하는 경과조치가 있습니다. 대상 기준은 바뀔 수 있으므로 시행령 제32조와 개인정보보호위원회 안내를 기준으로 확인하세요.
4. ‘유출 가능성’ 단계의 72시간 통지 절차가 있나요?
이제는 개인정보가 실제로 유출됐다고 확정된 경우뿐 아니라, 유출 가능성을 인지한 경우에도 정보주체에게 72시간 이내 통지가 필요할 수 있습니다. 통지 대상과 신고 대상은 요건이 다를 수 있으므로 사고 대응표에 ‘사실 확인 중’ 단계를 따로 넣고, 법무·보안·고객 대응 담당자가 동시에 판단하도록 하세요.
5. 통지 문안에 피해구제 정보를 넣을 수 있나요?
유출 통지 항목이 확대됐습니다. 분쟁조정 신청과 손해배상 청구 방법도 안내할 수 있도록, 통지 템플릿에 사고 내용·조치 사항·문의처·피해구제 안내를 미리 준비해 두세요. 위조·변조·훼손처럼 랜섬웨어와 관련된 사고도 유출등 신고·통지 대상에 포함될 수 있습니다.
6. 개인정보 보호 투자 내역을 증명할 수 있나요?
예산, 전문 인력, 설비·장치 투자와 운영, 대표자의 책임 이행, CPO 조직 운영 수준 등이 과징금 감경 판단에서 고려될 수 있습니다. 보안 솔루션 구매 영수증만 모으기보다 예산 승인서, 교육 기록, 취약점 점검 결과, 개선 완료 보고를 연결해 보관하세요.
7. 개인정보 처리방침과 위탁 관리 문서를 다시 봤나요?
개인정보 처리 목적, 보유 기간, 제3자 제공, 위탁, 파기 절차, 보호책임자 연락처가 실제 운영과 맞는지 확인하세요. 마케팅 대행, 클라우드, 고객상담, 배송처럼 외부 업체가 개인정보를 다루는 업무는 수탁자와 위탁 업무 내용의 공개·계약·점검 기록을 함께 살피는 편이 안전합니다.
개인정보 유출 사고가 의심되면 어떤 순서로 움직이나요?
사고가 의심되면 먼저 시스템 접근을 차단하고 로그와 증거를 보존하세요. 그다음 영향 범위와 정보주체 수, 민감정보·고유식별정보 포함 여부, 외부 불법 접근 여부를 확인합니다. 법령상 요건에 해당하면 유출등을 안 때부터 72시간 안에 보호위원회 또는 전문기관에 신고해야 합니다. 확인하지 못한 내용은 우선 신고하고, 추가 확인 즉시 보완할 수 있습니다.
| 시간 | 핵심 행동 |
|---|---|
| 즉시 | 접근 차단, 증거 보존, CPO·보안·경영진에 알림 |
| 초기 분석 | 유출등 범위, 정보 종류, 대상자, 외부 접근 여부 파악 |
| 72시간 이내 | 법정 요건 해당 시 신고 및 정보주체 통지 여부 판단·실행 |
| 사후 | 원인 제거, 통지·신고 보완, 재발 방지와 경영진 보고 |
과징금 최대 10%는 모든 위반에 적용되나요?
아닙니다. 전체 매출액 최대 10%는 반복적이거나 고의·중과실로 인한 중대한 개인정보 유출 등에 관한 강화된 제재 근거입니다. 실제 부과 여부와 금액은 위반행위, 피해 규모, 예방 노력, 시정 여부 등 법령상 기준에 따라 판단됩니다. 따라서 ‘10%가 자동으로 부과된다’고 이해하면 안 됩니다.
오늘 점검할 수 있는 간단한 체크리스트가 있나요?
- CPO와 대표자, 사고 대응 담당자의 이름·연락처가 최신인가요?
- CPO의 예산 요청, 개선 요구, 이사회 보고 절차가 문서화됐나요?
- 이사회 의결·개인정보보호위원회 신고 대상인지 판정했나요?
- 유출 가능성도 포함한 72시간 대응표와 통지 문안이 있나요?
- 개인정보 보호 예산·인력·교육·점검의 증빙을 한곳에 모았나요?
- 처리방침, 위탁 계약, 수탁자 관리 현황이 실제 운영과 같은가요?
- 랜섬웨어 등 위조·변조·훼손 사고까지 모의훈련 범위에 넣었나요?
자주 묻는 질문
소상공인도 반드시 CPO를 지정해야 하나요?
시행령상 소상공인에 해당하는 개인정보처리자는 CPO 지정 예외가 있을 수 있습니다. 다만 예외 여부와 별개로 개인정보를 안전하게 관리할 담당자와 사고 대응 창구를 정해 두는 것이 필요합니다.
기존 CPO는 다시 지정해야 하나요?
대상 사업자가 시행 전에 CPO를 지정했다면, 시행령의 경과조치에 따라 시행일부터 6개월 이내 신고가 필요할 수 있습니다. 회사의 대상 여부와 현재 지정 상태를 먼저 확인하세요.
72시간은 언제부터 세나요?
법령상 신고 요건에 해당하는 유출등을 알게 된 때부터 계산합니다. 사고를 늦게 알게 되는 일을 줄이려면 이상 징후 탐지와 내부 보고 시간을 기록하는 체계가 중요합니다.
이 글만으로 법적 판단을 해도 되나요?
아닙니다. 이 글은 실무 점검용 안내입니다. 실제 유출 사고, 이사회 의결·신고 대상 판단, 제재 대응은 최신 법령과 개인정보보호위원회 안내를 확인하고 필요하면 전문가 의견을 받으세요.