개인정보 과징금 산정기준 및 거버넌스·유출 대응 체계 구체화

개인정보보호위원회(개인정보위)는 2026. 6. 1. 및 2026. 6. 2. 두 차례에 걸쳐 「개인정보 보호법 시행령」 일부개정령안(시행령 개정안)을 입법예고하였습니다. 이번 시행령 개정안은 2026. 3. 10. 공포되어 2026. 9. 11. 시행 예정인 개정 「개인정보 보호법」의 후속 조치로서, 반복적이거나 중대한 개인정보 침해 행위에 대한 과징금 산정 기준을 구체화하는 한편, 개인정보보호책임자(CPO) 지정ㆍ변경ㆍ해제 시 신고 의무, ISMS-P 인증 의무화, 개인정보 유출 가능성 단계에서의 통지 의무 등을 구체화하고 있다는 점에서 중요한 의의를 갖습니다.

본 뉴스레터에서는 입법예고된 시행령 개정안의 주요 내용을 과징금 제도, CPO 관련 거버넌스 체계, ISMS-P 인증 의무, 개인정보 유출 통지ㆍ신고 제도 및 과태료 부과 기준을 중심으로 살펴보도록 하겠습니다.

1. 반복적ㆍ중대한 개인정보 침해 행위에 대한 과징금 산정 기준 구체화
    개정 「개인정보 보호법」은 반복적이거나 중대한 개인정보 침해 행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하였습니다. 시행령 개정안은 이에 따라 과징금 기준 금액 가중 산정, 투자 감경 및 면제 사유 등을 구체화하였습니다.

    1) 고의ㆍ중과실 등 중대한 위반 행위에 대한 가중 산정
        시행령 개정안은 「개인정보 보호법」 제64조의2 제2항 각 호*에 해당하는 경우, 위반 행위와 관련이 없는 매출액을 제외한 매출액에 부과 기준율을 곱한 후 별도의 가중 비율을 곱하여 기준 금액을 산정하도록 하였습니다.

        * ① 고의ㆍ중과실 + 반복 ② 고의ㆍ중과실 + 1천만 명 이상 피해 ③ 시정명령 불이행 + 유출

        기준 금액의 가중 비율은 위반 행위의 내용 및 정도, 위반 경위, 정보주체의 피해 규모 등을 종합적으로 고려하여 산출되며, 구체적 고려 사항은 다음과 같습니다. 다만, 부과 기준율에 가중 비율을 곱한 비율은 8.91%를 넘을 수 없도록 하였습니다.
 
    2) 개인정보 보호 투자에 대한 감경 제도 신설
        시행령 개정안은 개인정보 보호를 위한 예산, 인력, 설비, 장치 등의 투자 및 운영 등이 이루어진 경우 과징금을 최대 40% 범위에서 감경하도록 하였습니다. 감경 사유로는 다음 사항이 고려됩니다.
 
        다만, 고의 또는 중대한 과실로 위반 행위를 한 경우에는 투자 감경 대상에서 제외됩니다.

    3) 부과 과징금 결정 및 면제 요건 정비
        시행령 개정안은 부과 과징금 결정 단계에서 위반 행위의 내용 및 정도, 피해 규모 및 영향 등 위반 행위에 비하여 과중하지 않도록 고려할 필요가 있다고 개인정보위가 정하여 고시하는 사유에 해당하는 경우 이를 과징금 감경 사유로 반영할 수 있도록 하였습니다. 또한 영세ㆍ중소기업의 경미한 위반 행위 시정(기술 지원 포함)에 대한 과징금 면제 요건도 정비하였습니다.

2. CPO 이사회 의결 및 개인정보위 신고 의무 구체화
    개정 「개인정보 보호법」은 일정 규모 이상의 개인정보 처리자에 대하여 CPO를 지정ㆍ변경ㆍ해제하는 경우 이사회 의결을 거치고 개인정보위에 신고하도록 하였습니다.

    시행령 개정안은 그 대상을 전문 CPO 지정 의무 대상과 동일하게 규정하였으며, 구체적으로 다음 개인정보 처리자가 해당됩니다.
 
    신고 의무 대상 개인정보 처리자는 의무가 발생한 날부터 1개월 이내에 개인정보위에 신고서를 제출하여야 하며, 부득이한 사유가 있는 경우 1개월의 범위에서 연장할 수 있습니다.

3. ISMS-P 인증 의무 대상 구체화
    개정 「개인정보 보호법」은 공공ㆍ민간 분야에서 파급력이 큰 주요 개인정보 처리자에 대해 ISMS-P 인증을 의무화하였습니다. 시행령 개정안은 ISMS-P 인증 의무 대상의 범위를 다음과 같이 구체화하였습니다.
 
    위 대상자는 2028. 12. 31.까지 ISMS-P 인증을 받아야 합니다.

4. 개인정보 유출 가능성 단계의 통지 및 신고 의무 구체화
    시행령 개정안은 개인정보가 실제로 분실ㆍ도난ㆍ유출된 경우뿐만 아니라, 유출 가능성이 확인된 단계에서도 정보주체에게 통지하도록 하는 요건과 시기를 구체화하였습니다.

    개인정보 처리자는 다음 중 어느 하나에 해당하는 경우 72시간 이내에 정보주체에게 통지하여야 합니다.
 
    또한 개정 「개인정보 보호법」에 따라 개인정보의 분실ㆍ도난ㆍ유출뿐만 아니라 위조ㆍ변조ㆍ훼손의 경우에도 통지ㆍ신고 의무가 적용되도록 정비하였습니다.

5. 과태료 부과 기준 정비
    시행령 개정안은 과태료 부과 기준도 함께 정비하였습니다.

    우선 경미한 위반 행위에 대해 과태료를 면제하고 경고를 한 경우, 향후 동일한 위반 행위가 재발하면 해당 경고 이력이 과태료 가중 횟수에 반영되도록 하였습니다. 예컨대 1회 경고를 받은 후 동일 위반 행위가 다시 발생하면 2회차 위반 기준이 적용됩니다. 또한 위반 횟수별 과태료 부과 금액을 법제처 지침에 맞추어 정비하였습니다.

6. 향후 계획 및 시사점
    개인정보위는 시행령 개정안에 대해 2026. 7. 13.까지 의견 수렴을 진행한 후, 법제처 심사 등 후속 절차를 거쳐 개정 「개인정보 보호법」 시행일인 2026. 9. 11.에 맞추어 시행령 개정을 완료할 계획입니다. 따라서 이번 개정안에 대해 의견이 있다면 의견 수렴 절차 등을 통해 적극적으로 의견을 개진할 필요가 있습니다.


법무법인(유) 광장 개인정보ㆍDPC 그룹은 개인정보 전문 변호사, 규제 기관 출신 전문가 및 보안 기술 전문가 등 50여 명의 전문가들로 구성되어 있으며, 외부 ITㆍ보안 전문가들과도 긴밀한 협업 관계를 구축하고 있습니다. 이를 바탕으로 정보 보호 거버넌스 구축, 개인정보 유출 및 침해 사고 대응, ISMSㆍISMS-P 인증 대응 등 개인정보 보호 및 정보 보안 영역 전반에 걸쳐 신속하고 정확한 원스톱 자문 서비스를 제공하고 있습니다.

2026. 7. 13.까지 진행되는 의견 제출에 대한 지원이 필요하시거나 시행령 개정안에 대한 자문이 필요하신 경우 언제든지 법무법인(유) 광장 개인정보ㆍDPC 그룹에 문의하여 주시기 바랍니다.