2026. 9. 11. 「개인정보 보호법」 개정법 시행

2026.9.11. 시행된 개정 「개인정보보호법」은 개인정보보호책임자(CPO)의 권한 및 독립성 강화, 개인정보 유출 등 가능성 통지, 개인정보보호를 위한 투자 시 과징금 감경 등 도입에 관한 내용을 담고 있습니다 (「개인정보보호법」 개정에 관한 자세한 내용은 저희의 다음 뉴스레터( 2026.08 개인정보 보호법 개안정 국회 본회의 통과-인공지능 개발 목적 개인정보 활용 특례 도입 추진 → ), 뉴스레터(2026.02 개인정보 보호법 개안정 국회 본회의 통과-반복적이거나 중대한 개인정보 침해 시 매출액의 최대 10% 징벌적 과징금 부과 외 →)를 참고하시기 바랍니다.)

이러한 개정법의 규정을 구체화하기 위하여 개인정보보호위원회는 2026.6.1.과 6.2. 두 차례에 걸쳐 개인정보보호법의 시행령 개정안을 입법예고하였습니다. 이들 개정안에는 위 개정법 규정에 관한 상세사항뿐 아니라 상향된 과태료 부과 기준, ISMS-P 인증 의무 대상 등에 관한 내용이 구체화되어 있었습니다. 2026.9.11. 개정법과 함께 시행된 최종 시행령(개정 시행령)은 이러한 입법예고안에 대한 의견수렴, 규제심사 및 법제처 심사 등을 거쳐 수정된 내용을 포함하고 있습니다. 이하에서는 개정 시행령의 주요 내용과 입법예고안 대비 변경사항을 중심으로 살펴보겠습니다.

   

1. 개인정보보호책임자(CPO) 지정· 변경· 해제 신고 의무자 및 신고 절차 구체화(영 제32조)

    개정 개인정보보호법은 일정 규모 이상의 개인정보처리자가 CPO를 지정·변경 또는 해제하는 경우 이사회의 의결을 거치고 개인정보보호위원회에 신고하도록 하였습니다(법 제31조 제3항). 개정 시행령은 이러한 의무를 부담하는 개인정보처리자의 범위 및 개인정보보호위원회에 대한 신고 절차를 구체화하였습니다(영 제32조 제3항, 제4항)

    특히, 신고 의무를 부담하는 개인정보처리자는 CPO의 지정·변경 또는 해제 사유가 발생한 날부터 6개월 이내에 개인정보보호위원회에 신고서를 제출하여야 합니다. 경영상 이유로 이사회 소집이 어려운 경우 등 부득이한 사유가 인정되면 개인정보처리자의 요청에 따라 1년의 범위에서 신고 기간을 연장할 수 있습니다(영 제32조 제4항). 시행일 전에 이미 CPO를 지정한 개인정보처리자로서 위 신고 의무자에 해당하는 경우에는 시행일인 2026.9.11.부터 6개월 이내에 기존 CPO에 대한 신고를 완료할 필요가 있습니다(부칙 제2조).
 

2. 개인정보 유출 등 “가능성” 통지제의 구체화(영 제39조의2, 제39조의3)

    개정 개인정보보호법은 대통령령으로 정하는 개인정보의 유출 등이 발생하였을 가능성이 있는 경우 개인정보처리자가 정보주체에게 유출 가능성을 통지하도록 규정하고 있습니다(법 제34조 제2항). 이에 따라 개정 시행령은 유출 가능성 통지의 구체적인 요건과 통지 방법 등을 규정하였습니다.

    우선, 개정 전 개인정보보호법상 ‘유출 등’은 ‘분실·도난·유출’로 제한되어 있었으나, 개정법상 이러한 제한이 삭제되면서, 개정 시행령에 의하여 분실·도난·유출뿐만 아니라 개인정보의 위조·변조 또는 훼손까지 ‘유출 등’에 해당하게 되었습니다(영 제30조의2 제2항 제1호 등). 이러한 전제하에, 유출 등 가능성 통지 대상이 이번 시행령에 상세하게 규정되었습니다(영 제39조의2 제1항). 또한, 개인정보처리자가 위 요건에 해당하는 유출 등의 가능성을 알게 된 때부터 72시간 이내에 서면 등의 방법으로 정보주체에게 통지하여야 한다는 점과, 자세한 통지 내용 또한 시행령에 상세히 규정되어 있습니다(영 제39조의2 제2항).

    유출 등의 가능성을 알게 된 때부터 72시간 이내에 실제 유출 등이 확인된 경우에는 유출 가능성 통지를 갈음하여 실제 유출 통지를 실시하여야 하며, 유출 가능성 통지 후 실제로 유출 등이 발생하지 않은 것으로 확인된 경우에는 정보주체의 혼란과 불안을 해소하기 위해 그러한 사실을 즉시 통지하여야 합니다(영 제39조의3 제2항, 제3항).
 

3. 개인정보보호 투자에 따른 과징금 감경 및 과태료 부과 기준 상향(영 제60조의2, 별표 1의5, 별표 2)

    ■ 과징금 투자 감경 기준: 개정 시행령은 위반행위를 한 개인정보처리자가 개인정보보호를 위해 예산·인력·설비·장치 등에 투자하고 개인정보보호위원회가 고시하는 기준을 충족하는 경우 과징금 기준금액의 40% 범위에서 감경할 수 있도록 하였습니다. 구체적으로는 투자 규모·비율 및 지속성, 사업주 또는 대표자의 책임 이행 정도, CPO의 역할과 조직·인력 구성 등 개인정보보호체계 운영 수준, 추가적인 안전성 확보 노력 등이 고려됩니다(영 제60조의2 제5항, 제7항, 별표 1의5). 아직 관련 고시는 개정되지 않은 것으로 파악됩니다.

    ■ 과태료 부과 기준: 과태료 부과 기준은 시행령의 규정사항으로서, 과태료의 실제 부과 금액이 법률에 규정된 상한의 범위 내에서 위반 횟수에 따라 점증하는 구조입니다. 개정 전 시행령상 부과 금액이 법률상 상한액에 비해 낮다는 문제의식하에, 위반 횟수별 과태료 부과 금액을 전반적으로 상향하는 개정이 이루어졌습니다(별표 2 제2호).
 

4. 입법예고안 대비 주요 변경사항 ‒ CPO 신고 기한 완화 및 ISMS-P 의무 대상 기준 제외

    6.1. 입법예고안의 주요 내용은 개정 시행령에 그대로 유지된 반면, 6.2. 입법예고안은 큰 틀은 유지되었으나, 규제 부담과 후속 심사 필요성 등을 반영하여 일부 내용이 조정되었습니다. 주요 차이는 다음과 같습니다.
 

구분	입법예고안	개정 시행령
CPO 신고 기한	사유 발생 후 1개월 이내 신고, 부득이한 경우 1개월 연장 가능	사유 발생 후 6개월 이내 신고, 부득이한 경우 요청에 따라 1년의 범위에서 연장 가능
ISMS-P 인증 의무자	공공시스템 운영기관 중 고시 대상, 이동통신사업자, 본인확인기관, 일정 요건의 초대형 사업자 등을 의무 대상으로 규정하고 2028. 12. 31.까지 인증을 받도록 하는 내용 포함	개정 시행령에서는 인증 의무 개인정보처리자 기준 관련 규정이 제외됨. ISMS-P 의무화에 관한 개정법 시행일은 2027. 7. 1.이며, 구체적 기준은 후속 시행령 개정을 통해 별도로 마련될 예정
과태료 경고 처리	과태료를 부과하지 않고 경고한 경우에도 동일 위반 재발 시 위반 횟수에 반영하는 방안 제시	별표 2의 개별 과태료 금액 상향을 중심으로 정비하며, 경고 산입 내용은 반영되지 않음

    특히 ISMS-P 인증을 받아야 하는 개인정보처리자의 범위에 관한 내용은 위 입법예고안에는 포함되어 있었으나 최종 시행령에서는 제외되었습니다. 추가적인 규제 심사 필요성 등에 따른 것으로 이해됩니다. 관련하여 향후 시행령 후속 개정 및 고시 제정 동향을 지속적으로 확인할 필요가 있습니다.
 

5. 시사점 및 실무적 유의사항 ‒ CPO 신고, 유출 가능성 통지 대응 체계 정비 및 개인정보보호 투자 확대 필요

    이번 개정 시행령으로 인하여 그동안 기업들의 주요 관심사였던 CPO 지정 신고 의무, 유출 등 가능성 통지 의무의 내용이 구체화되는 한편 과징금 감경을 위하여 고려하여야 할 개인정보보호 투자의 기준이 명확해졌습니다. 특히, 최근 개인정보보호위원회의 과징금 부과액이 상향되고 있는 추세에 비추어 볼 때, 개인정보보호체계를 갖추고 개정법 기준에 맞는 충분한 투자를 수행함으로써 법 위반을 예방할 수 있게 됨은 물론 위반 시 과징금 금액까지 상당 부분 감경받을 수 있게 된다는 점에서, 개인정보보호 컴플라이언스 체계의 재검토 및 강화에 보다 관심을 기울이실 필요가 있겠습니다.


법무법인(유) 광장 개인정보·DPC그룹은 개인정보 전문 변호사, 규제기관 출신 전문가 및 보안기술 전문가 등 50여 명의 전문가들로 구성되어 있으며, 외부 IT·보안 전문가들과도 긴밀한 협업관계를 구축하고 있습니다. 이를 바탕으로 정보보호 거버넌스 구축, 개인정보 유출 및 침해사고 대응, ISMS·ISMS-P 인증 대응 등 개인정보보호 및 정보보안 영역 전반에 걸쳐 신속하고 정확한 원스톱 자문 서비스를 제공하고 있습니다.

개정 「개인정보보호법」 및 시행령의 이행 준비와 관련하여 자문이 필요하신 경우 언제든지 법무법인(유) 광장 개인정보·DPC그룹에 문의하여 주시기 바랍니다.


저자 및 관련 전문가
- 고환경 변호사 ( hwankyoung.ko@leeko.com )
- 진성철 고문 ( seongcheol.jin@leeko.com )
- 채성희 변호사 ( sunghee.chae@leeko.com )
- 김태주 변호사 ( taejoo.kim@leeko.com )
- 손경민 변호사 ( kyungmin.son@leeko.com )
- 이일신 변호사 ( ilshin.lee@leeko.com )
- 차현정 변호사 ( hyunjeong.cha@leeko.com )
- 정세진 변호사 ( sejin.jung@leeko.com )