2026 개인정보 보호법 개정: 유출 통지부터 CPO·과징금까지

2026년 개정은 개인정보 유출 사고를 확인한 뒤의 대응뿐 아니라, 유출이 의심되는 단계의 통지와 조직의 평소 보호 책임까지 다룹니다. 대표자와 개인정보 보호책임자(CPO)의 역할도 더 구체적으로 정했습니다.

이 글은 2026년 11월 3일 시행 중인 법령을 기준으로, 무엇이 기존 규정이고 무엇이 새로 바뀌었는지 비교합니다. 뒤쪽에는 2027년 시행 예정사항, CPPG 복습 문제와 실무 점검 순서를 모았습니다. 사례는 법적 요건을 익히기 위한 가상 사례입니다. 실제 CPPG 시험의 적용 법령 기준일은 시험 공고에서 확인해야 합니다.

01. 먼저 시행일을 구분하기#

같은 해의 다른 시행령 개정도 있습니다. **5월 19일 개정(대통령령 제36340호)**은 과징금 산정에 사용하는 매출액 기준 등을 조정했고, **8월 20일 시행(대통령령 제36121호)**은 정보주체 본인에 대한 전송요구 범위를 넓혔습니다. 아래에서 중점적으로 다루는 9월 11일 개정과 시행 시점·주제가 다릅니다. 2026년 시행령 개정 연혁

법률은 의무의 근거를 두고, 시행령은 위임받은 대상·시기·절차를 구체화합니다. 고시는 신고 서식이나 과징금 산정 같은 세부 사항을 정합니다. 특히 입법예고안의 숫자는 확정된 시행령의 기준이 아닙니다. 2027년 인증 의무 대상을 볼 때 이 차이가 중요합니다. 법률 개정문 · 시행령 개정문 · 개인정보위 시행 안내

02. 유출등: 사고 판단 범위와 통지 시점#

무엇이 달라졌나#

개정 전 제34조의 통지·신고는 개인정보의 분실·도난·유출을 중심으로 규정했습니다. 2026년에는 관련 조문의 유출등 범위에 위조·변조·훼손을 포함하고, 제34조도 이 용어에 맞춰 고쳤습니다. 사고를 조사할 때 외부 반출뿐 아니라 데이터가 무단으로 바뀌거나 훼손됐는지도 살펴야 합니다. 개정 전 제34조 · 법률 제21445호 개정문

가상 사례 — 랜섬웨어: 개인정보처리시스템의 파일이 암호화됐고 외부 반출은 아직 확인되지 않았습니다. 먼저 암호화된 파일이 개인정보인지, 원본이 훼손됐는지, 공격자가 어디에 접근했는지를 조사합니다. 개인정보의 훼손이 확인되면 실제 유출등 통지를 검토하고, 시행령 제40조의 신고 요건도 따로 확인합니다. 조사 중에는 접속 경로 차단과 복구, 사고 기록 보존을 병행합니다. 반출 여부 하나만으로 결론을 내릴 수 없는 사례입니다.

확정된 유출과 유출 가능성은 다른 절차#

여기서 기산점은 72시간을 세기 시작하는 시점입니다. 실제 유출등은 그 사실을 알게 된 때가 기준입니다. 가능성 통지는 시행령이 정한 사실을 알게 된 때부터 계산합니다. 시행령은 ① 시스템·업무기기에 불법 접근이 발생하고 유출등이 의심되지만 정보주체를 특정하기 어려운 경우, ② 일부 개인정보의 불법 거래 등 유출등이 확인돼 다른 정보주체의 정보도 유출됐을 수 있다고 인정되는 경우를 정합니다. 단순한 의심만으로 두 요건에 해당하지는 않습니다. 법 제34조 · 영 제39조의2·제39조의3

가능성 통지 뒤 실제 유출등이 없었다고 확인되면 그 사실을 즉시 알려야 합니다. 72시간 안에 실제 유출등이 확인되면 확정 유출 통지로 갈음할 수 있습니다. 이런 후속 절차까지 알아야 처음 보낸 통지를 끝난 일로 처리하지 않게 됩니다. 영 제39조의3

통지와 신고를 분리해서 보기#

확정된 유출등의 정보주체 통지와 관계기관 신고는 대상과 수신자가 다릅니다. 시행령 제40조의 신고는 ① 1천 명 이상, ② 민감정보 또는 고유식별정보, ③ 외부의 불법 접근으로 유출등이 된 경우 중 하나에 해당할 때 적용됩니다. 다만 유출 경로를 확인하고 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있습니다. 신고 대상이면 개인정보위 또는 지정 전문기관에 합니다. 정보주체 통지의 홈페이지 30일 이상 게시도 언제나 하는 절차가 아니라, 연락처를 알 수 없는 등 정당한 사유가 있을 때의 대체 방법입니다. 개인정보위 유출신고 안내 · 시행령 제39조·제40조

정보주체 통지와 일정 요건의 관계기관 신고에 적용되는 72시간 규칙은 이번에 처음 생긴 것이 아닙니다. 새로 생긴 것은 법정 요건에 해당하는 유출등의 가능성 통지입니다. 확정 유출 통지는 긴급한 확산 방지 조치나 천재지변 등 시행령이 정한 사유가 있으면 사유 해소 후 즉시 할 수 있습니다. 가능성 통지의 지연 사유는 영 제39조의3에 따로 정해져 있습니다. 숫자를 외울 때는 통지·신고의 대상과 각각의 기산점을 같이 보아야 합니다.

가상 사례 — 비인가 접근: 새벽에 개인정보처리시스템에 대한 불법 접근이 확인됐습니다. 접근 로그와 자료 반출 여부는 조사 중이고, 영향을 받은 정보주체를 아직 특정하기 어렵습니다. 이때는 영 제39조의2제1항제1호의 가능성 통지 요건부터 검토합니다. 이후 실제 유출등이 확인되면 정보주체 통지의 내용과 제40조 신고 요건을 다시 판단합니다. 접근 차단, 로그 보존, CPO 보고는 그 판단과 병행할 실무 조치입니다. “조사가 끝나야 72시간이 시작된다”는 식으로 시간을 늦춰 잡을 수 없습니다.

03. 대표자와 CPO: 책임의 위치가 달라졌다#

개인정보처리자는 업무를 위해 개인정보를 처리하는 공공기관·법인·단체·개인 등을 말합니다. 보호 업무를 맡는 **개인정보 보호책임자(CPO)**를 지정하더라도 조직 전체의 관리에는 대표자의 지원이 필요합니다. 이번 개정은 그 역할을 법률에 더 분명히 적었습니다. 법 제2조·제30조의3·제31조

대표자는 인력과 예산을 지원하고, CPO는 보호 계획을 실행하며 주요 현황을 보고합니다. 법 제31조는 CPO가 불이익 없이 독립적으로 업무를 수행하도록 보장할 것도 요구합니다. 대표자의 최종 관리 책임이 사고의 모든 손해를 자동으로 개인 배상한다는 의미는 아닙니다. 전문 CPO 대상의 종전 기준과 현행 기준은 각각의 시행령에서 확인할 수 있습니다. 법 제30조의3·제31조 · 종전 영 제32조 · 현행 영 제32조

일반적으로 개인정보처리자는 CPO를 지정해야 합니다. 다만 소상공인은 별도 지정 대신 사업주나 대표자가 CPO가 될 수 있습니다.

일정 대상에게 자격을 갖춘 CPO를 지정할 의무는 종전부터 있었습니다. 이번에는 그 대상 기준을 조정하고, 같은 대상에게 CPO 지정·변경·해제 시 이사회 의결(법인인 경우)과 개인정보위 신고를 추가했습니다. 현행 시행령 제32조제3항의 대상은 다음 두 경로 중 하나에 해당하는 처리자입니다.

① 매출액·처리 규모 경로 (각급 학교·의료기관 제외)

연간 매출액등 1,800억 원 초과 그리고(AND) (민감정보·고유식별정보 5만 명 이상 또는(OR) 개인정보 100만 명 이상)

② 별도 경로 (위 매출액 조건 적용 없음)

전년도 말 재학생 2만 명 이상인 대학 또는 상급종합병원 또는 공공시스템운영기관

근거: 시행령 제32조제2항·제3항

신고는 지정·변경·해제 사유가 발생한 날부터 6개월 이내가 원칙입니다. 시행 전 이미 CPO를 지정한 해당 처리자도 시행일부터 6개월 이내에 신고해야 합니다. 부득이한 사유를 개인정보위가 인정하면 요청에 따라 1년 범위에서 기간을 연장할 수 있습니다. 계도기간에 관한 행정 안내가 있더라도 법정 신고기한과는 구분해서 봅니다. 법 제31조 · 영 제32조 및 부칙 · 개인정보위 CPO 실무 매뉴얼

CPPG에서는 이사회 보고와 이사회 의결의 주체를 구분해 두면 좋습니다. 보고는 CPO의 보호 업무이고, 의결은 일정 처리자의 CPO 인사 절차에 붙는 요건입니다.

04. 과징금, 과태료, 투자 감경#

과징금은 개인정보 보호법 위반에 부과할 수 있는 행정상 금전 제재입니다. 과태료는 법이 정한 의무 위반에 부과하는 별도의 행정질서벌이며, 형사처벌인 벌금과도 다릅니다. 이번 개정은 과징금의 상한과 감경, 일부 과태료 기준을 바꿨습니다.

3%와 10%는 비율 상한, 20억 원과 50억 원은 금액 상한입니다. 어느 것도 자동 부과액은 아닙니다. 금액 상한은 매출액이 없거나 산정이 곤란하면서 시행령 제60조의2제2항의 경우에 해당할 때 적용됩니다. 예를 들어 영업을 시작하지 않아 실적이 없거나, 재해로 매출 자료가 훼손돼 객관적인 산정이 어려운 경우입니다. 반면 정당한 사유 없이 자료 제출을 거부하거나 거짓 자료를 낸 경우에는 매출액을 추정할 수 있으므로 이 경우와 구분해야 합니다.

법 제64조의2제3항에 따른 산정에서는 전체 매출액에서 위반행위와 관련 없는 매출액을 제외합니다. 고시의 기준금액은 이렇게 산정한 매출액 등에 위반의 중대성별 부과기준율을 적용해 계산하는 출발금액입니다. 실제 부과액은 법정 고려사항과 조정·감경을 거쳐 결정됩니다. 법 제64조의2 · 영 제60조의2 · 과징금 고시 제2026-12호

개정법이 10% 상한을 허용하는 경우는 세 가지입니다.

1. 과징금 부과처분 후 3년이 지나기 전에 같은 호의 위반을 다시 했고, 각각 고의 또는 중대한 과실이 있는 경우

2. 고의 또는 중대한 과실로 위반해 피해 정보주체가 1천만 명 이상인 경우

3. 시정조치 명령을 따르지 않아 법 제64조의2제1항제9호의 유출등 관련 위반이 발생한 경우

세 조건을 모두 충족해야 하는 것이 아니라 하나에 해당하는지 판단합니다. 첫 번째의 “반복”도 단순히 사고가 두 번 났다는 뜻이 아닙니다. 앞선 과징금 처분, 3년 이내, 같은 호의 위반, 각 행위의 고의·중과실을 함께 봅니다. 법 제64조의2제2항

부칙의 적용 시점도 다릅니다. 반복 위반 특례는 시행 후 발생한 위반으로 과징금 처분을 받은 뒤 다시 같은 호를 위반한 경우부터 적용합니다. 1천만 명 이상 피해 특례는 시행 당시 종료되지 않은 위반에도 적용되고, 시정명령 불이행 특례는 시행 후 받은 명령부터 적용됩니다. 과징금 고시 제2026-12호는 2026년 9월 11일 전에 종료된 행위에 종전 기준을 적용합니다. 법률 제21445호 부칙 제3조 · 과징금 고시 부칙 제2조

투자감경에서는 예산·인력·설비·장치 투자 규모와 지속성, 대표자의 책임 이행, CPO 조직 운영, 추가 안전조치 등을 살핍니다. 고의·중과실 위반은 법 제64조의2제6항의 감경 대상에서 제외됩니다. 법률이 감경 사유를 두고 시행령이 고려 요소를 정하며, 고시가 세부 산정기준을 연결합니다. 과태료는 별도로 법 제75조와 시행령 별표 2를 적용합니다. 시행령 개정이유 · 투자감경 안내서 · 과태료 고시 제2026-14호

가상 사례 — 투자 증적: 기업이 사고 전부터 접근권한을 정기 점검하고 인력·예산을 지속 투입했습니다. 사고 조사에서는 먼저 위반 사실과 고의·중과실 여부를 판단합니다. 고의·중과실 위반이 아니라면 투자 기록이 감경 심사의 자료가 될 수 있지만, 제품 구매 영수증만으로 40%를 바로 빼는 것은 아닙니다. 실제 감경 여부와 비율은 법·시행령·고시 기준에 따라 결정됩니다.

05. ISMS-P 인증: 2027년 시행 예정#

개정 전에는 법 제32조의2제1항에 이번에 신설된 일정 대상의 개인정보 보호 인증 의무가 없었습니다. 개정법은 의무의 근거를 두었지만, 의무 조항과 미인증 과태료 조항은 2027년 7월 1일 시행 예정입니다. 어느 기관·기업이 새 의무대상인지 정할 기준은 후속 확정 시행령을 확인해야 합니다. 2026년 입법예고안의 숫자를 현재의 확정 대상처럼 사용하지 않습니다. 법률 개정문·부칙 · 개인정보위 시행 안내

ISMS-P는 정보보호 및 개인정보보호 관리체계를 심사·인증하는 제도입니다. 법 제29조의 안전성 확보조치는 인증과 별개로 현재 지켜야 하는 의무입니다. 접근통제, 권한 관리, 로그 점검, 백업·복구와 사고 대응을 검토할 때 이 둘의 목적을 나눠 보아야 합니다.

개인정보위는 2026년 9월 인증심사 개선 관련 시행령 개정안을 입법예고했습니다. 심사·사후관리의 개선 방향을 살펴볼 자료이지만, 이 글의 기준일에는 입법예고 내용을 확정 의무로 옮겨 적지 않았습니다. 새 의무대상과 경과기간은 향후 공포되는 시행령으로 확인해야 합니다. 개인정보위 입법예고 안내

06. 2027년 3월 시행 예정: AI 개발 특례#

법률 제21910호는 2026년 9월 8일 공포됐고 2027년 3월 9일 시행 예정입니다. 적법하게 수집한 개인정보를 AI 기술 개발·성능 개선에 목적 외로 이용할 수 있는 조건부 특례를 마련했지만, 2026년 11월에는 아직 적용되지 않습니다. 법률 제21910호 개정문·부칙

법 제28조의12는 익명·가명처리만으로 개발이 어려운 이유, 안전장치, 공익 또는 정보주체·제3자의 이익과 관련된 목적을 함께 요구합니다. 부당한 이익 침해 우려도 현저히 낮아야 합니다. 이 요건을 갖춘 뒤 개인정보위 심의·의결을 받아야 하고, 위험 정도에 따라 위험요인평가가 요구될 수 있습니다. 이용 목적과 유형은 개인정보 처리방침에 포함해야 합니다. 세부 안전장치·절차는 후속 시행령에서 확인할 부분입니다.

예를 들어 2027년 시행 후에도 “학습 데이터가 많이 필요하다”는 이유만으로 기존 고객정보를 바로 재사용할 수는 없습니다. 먼저 법정 요건과 심의 절차를 검토해야 합니다. 이 사례는 시행 예정 조문의 구조를 설명하기 위한 것입니다.

07. CPPG 복습: 숫자보다 판단 순서#

표의 숫자는 적용 대상과 함께 보아야 의미가 있습니다. 예를 들어 1천 명은 관계기관 신고의 여러 요건 중 하나이므로, 민감정보 유출등에는 별도의 판단이 필요합니다. 아래는 이해를 확인하기 위한 자체 제작 복습 문제입니다. CPPG 기출문제나 실제 출제 빈도를 뜻하지 않습니다.

1. OX — 외부 반출이 확인되지 않은 랜섬웨어 사고는 개인정보 보호법상 유출등 검토 대상에서 언제나 빠진다.

   X. 개인정보 자체의 훼손이 있을 수 있습니다. 다만 사고 명칭이 아니라 실제 영향을 조사해 통지·신고 요건을 판단합니다. (법 제23조제2항·제34조)

2. OX — 유출 가능성 통지를 했다면 실제 유출등의 관계기관 신고도 자동으로 완료된다.

   X. 가능성 통지의 수신자는 정보주체입니다. 실제 유출등이 확인되면 영 제40조의 신고 요건을 따로 판단합니다. (법 제34조, 영 제39조의2·제40조)

3. OX — 모든 개인정보처리자가 CPO 지정 때 이사회 의결을 거쳐야 한다.

   X. 추가 의결·신고는 법 제31조제3항과 영 제32조제3항의 대상 처리자에게 적용됩니다.

4. OX — 2026년 11월 현재 신규 ISMS-P 인증 의무의 세부 대상은 확정 시행령으로 모두 정해져 있다.

   X. 의무 조항은 2027년 7월 시행 예정이며 대상은 후속 확정 법령을 확인해야 합니다. (법 제32조의2제1항 단서·부칙)

5. OX — 일반 과징금 상한 3%는 없어지고 모든 유출등의 상한이 10%가 됐다.

   X. 3% 상한은 유지됐고, 10%는 법 제64조의2제2항의 별도 요건에 해당할 때 적용할 수 있습니다.

6. 사례형 — 민감정보 한 건의 실제 유출등이 확인됐습니다. 1천 명 미만이니 신고는 불필요할까요?

   아닙니다. 민감정보 유출등은 인원수와 별도의 신고 요건입니다. 다만 시행령 제40조제1항 단서의 신고 예외에 해당하는지도 확인해야 합니다. (영 제40조제1항)

08. 담당자가 확인할 실무 순서#

아래 표는 사고 대응 절차를 점검할 때 사용할 수 있습니다. 법정 의무는 해당 사건의 요건에 맞게 이행해야 하고, 운영 권고는 그 판단과 이행을 돕는 방법입니다. 표의 증적은 예시이며 특정 문서나 제품을 법이 일률적으로 요구한다는 뜻은 아닙니다.

사고를 인지한 시각, 확인된 사실, 조사 중인 사항을 분리해 기록해 두면 72시간 기한과 후속 통지 판단에 도움이 됩니다. 내부관리계획과 사고 대응 절차에 달라진 조문 번호, 특히 법 제34조제2항의 가능성 통지와 제4항의 신고를 반영했는지도 살펴보세요. 개인정보위 유출등 대응 안내서

09. 핵심 정리와 공식 자료#

2026년 9월부터는 법에서 정한 상황에서 유출등의 가능성도 정보주체에게 알려야 합니다. 대표자와 CPO의 역할은 구체화됐고, 일정한 중대 위반에 한해 과징금 상한을 10%까지 높이면서 사전 보호 투자의 감경 근거도 마련했습니다. 2027년 AI 개발 특례와 신규 ISMS-P 인증 의무는 아직 시행 전입니다. 실무에서는 사고 사실과 기산점을 기록한 뒤 정보주체 통지 → 관계기관 신고의 요건을 각각 검토하는 순서가 도움이 됩니다.

• 개인정보 보호법 제21445호·제21910호 개정문과 부칙

• 개인정보 보호법 시행령 제36671호 개정문과 부칙

• 개인정보위 2026년 9월 법·시행령·고시 시행 안내

• 개인정보위 개인정보 유출등 대응 안내서

• 개인정보위 CPO 지정·신고 실무 매뉴얼

• 개인정보위 과징금 투자감경제도 안내서

• 개인정보 보호책임자 지정 및 경력 인정에 관한 고시 제2026-11호

• 과징금 부과기준 고시 제2026-12호 · 과태료 부과기준 고시 제2026-14호

추후 확인: 신규 ISMS-P 인증 의무 대상·이행기간을 정할 확정 시행령, 2027년 AI 특례의 세부 시행령과 고시. 이 글의 기준일 이후 공포될 수 있으므로 실무 적용 전 국가법령정보센터에서 다시 확인해야 합니다.

맨 위로 돌아가기