9월 11일부터 개정 개인정보 보호법이 시행됐습니다.
헤드라인은 다들 비슷합니다. "과징금 매출액 10%". 숫자가 크니까요.
그런데 실무자 입장에서 더 눈에 들어오는 건 다른 부분입니다. 감경 비율이 줄었다는 것입니다.
먼저 큰 그림부터
과징금 상한 변화 [01]
과징금 상한이 전체 매출액의 3%에서 10%로 올랐습니다. 세 배가 넘습니다.
그리고 산정 기준도 바뀌었습니다. 직전 사업연도 매출액과 최근 3개 사업연도 평균 매출액 중 더 큰 금액을 씁니다. 작년에 매출이 줄었다고 과징금이 줄어들지는 않는다는 뜻입니다.
다만 위반행위와 관련 없는 매출액은 제외됩니다. 이 부분은 실제 산정에서 다툼이 생길 여지가 있어 보입니다.
모든 유출에 10%가 붙지는 않습니다
10% 적용 요건 [02]
이건 짚고 넘어가야 합니다. 기사 제목만 보면 어떤 유출이든 매출의 10%를 물리는 것처럼 읽히는데, 그렇지 않습니다.
세 가지 중 하나에 해당해야 10% 구간으로 갑니다.
| 요건 | 내용 |
| ① 반복 위반 | 고의·중과실로 3년 내 위반행위를 반복 |
| ② 대규모 피해 | 고의·중과실로 1,000만명 이상 피해 발생 |
| ③ 시정명령 불이행 | 명령을 따르지 않아 유출 사고가 난 경우 |
"고의·중과실"이 어디까지인지가 결국 쟁점이 될 겁니다. 그리고 반복 위반 기준이 3년이라는 점도 눈여겨볼 만합니다. 한 번 지적받은 곳은 3년간 긴장해야 한다는 얘기니까요.
여기가 진짜입니다
감경 비율 축소 [03]
보안 담당자라면 이 표를 보고 한 번 멈추실 겁니다.
| 항목 | 기존 | 개정 후 |
| ISMS-P 취득 | 최대 50% | 최대 30% |
| 자율규약 시행 | 최대 40% | 최대 20% |
| 보호 수준 평가 등 | 최대 30% | 최대 15% |
상한은 올리고 감경은 줄인 겁니다. 방향이 명확합니다.
ISMS-P를 받으면 과징금의 절반까지 깎아주던 게 이제 30%입니다. 인증 하나로 커버되던 폭이 좁아졌습니다.
그렇다고 ISMS-P가 덜 중요해진 건 아닙니다. 오히려 반대로 보입니다. 인증만으로는 부족하니 실제 예방 조치를 하라는 신호에 가깝습니다.
실제로 사전 예방 투자를 하면 최대 40%까지 경감받을 수 있도록 따로 길을 열어뒀습니다. 그리고 위반 내용과 피해 규모를 고려한 추가 감경도 최대 50%까지 가능합니다.
주요 공공기관은 업무 형태나 규모에 따른 감경을 아예 적용하지 않습니다. 공공 쪽에 더 무겁게 책임을 묻겠다는 뜻입니다.
CEO와 CPO 이야기
이 부분도 큽니다. 그런데 기사에서는 뒤쪽에 밀려 있더군요.
| 대상 | 달라진 것 |
| 사업주·CEO | 최종 책임이 법에 명시됐습니다 |
| CPO | 전문인력 관리·예산 확보 의무 추가 |
| CPO | 이사회 보고 의무 신설 |
| CPO 인사 | 지정·변경·해제 시 이사회 의결 + 개인정보위 신고 |
CPO 지정을 이사회 의결로 하도록 한 게 눈에 띕니다. 그동안 CPO가 형식적으로 지정되는 경우가 적지 않았는데, 이제는 그러기 어려워집니다.
그리고 이사회 보고 의무. 개인정보 문제가 실무 부서 선에서 끝나지 않고 경영진 테이블까지 올라간다는 의미입니다. 담당자 입장에서는 반가운 변화일 수도 있겠습니다. 목소리를 낼 통로가 생긴 셈이니까요.
왜 이렇게까지 세졌나
배경을 보면 이해가 됩니다.
2025년 개인정보 유출 신고가 447건이었습니다. 전년보다 45.6% 늘었습니다. 부과된 과징금은 1,677억원.
그리고 올해 쿠팡에 6,246억원이 부과됐습니다. 역대 최대입니다. 초기에 유출 규모를 4,500건으로 발표했다가 9일 만에 3,370만건으로 정정한 건이었습니다.
이런 흐름이 쌓인 결과로 보입니다.
그런데 현장은
한 가지 짚고 싶은 자료가 있습니다.
민간기업의 개인정보 보호 전담인력이 평균 0.34명이라는 조사 결과가 있습니다.
0.34명입니다. 세 회사에 한 명꼴도 안 된다는 뜻입니다.
법은 세졌는데 그걸 감당할 사람이 없는 상황. 이게 지금 많은 회사의 현실입니다. 특히 중소기업이나 스타트업은 더 그렇습니다.
과징금을 무겁게 하는 것과 현장이 준비되는 것은 다른 문제입니다. 이 간극을 어떻게 메울지가 앞으로의 과제로 남을 것 같습니다.
그래서 뭘 해야 하나
당장 확인하실 것 몇 가지만 정리하면 이렇습니다.
| 확인 | 내용 |
| CPO 지정 절차 | 이사회 의결을 거쳤는지 |
| CPO 신고 | 개인정보위 신고가 됐는지 |
| 문서의 조문 번호 | 개정으로 조항 번호가 바뀐 부분이 있습니다 |
| 처리방침 | 관련 조문 인용이 맞는지 |
| 사고대응 절차서 | 신고 근거 조항 확인 |
세 번째가 의외로 귀찮습니다. 사고대응 절차서나 위·수탁 계약서, 처리방침에 조문 번호를 직접 써두신 경우가 많은데, 개정으로 번호가 밀린 부분이 있습니다. 한 번 훑어보셔야 합니다.
그리고 유출 '가능성' 통지제가 새로 생겼습니다. 확정된 유출이 아니라 가능성 단계에서도 통지해야 하는 경우가 생긴다는 뜻인데, 이건 실무 절차를 다시 짜야 할 수도 있습니다.
마치며
정리하면 이렇습니다. 처벌은 세지고, 인증으로 받던 감경은 줄고, 경영진 책임은 명시됐습니다.
인증서 한 장으로 방어하던 시대가 끝나간다는 느낌입니다. 실제로 뭘 했는지를 보겠다는 것이죠.
다만 전담인력 0.34명이라는 숫자가 계속 걸립니다. 법의 칼날만 날카로워지고 현장이 못 따라가면, 결국 누군가는 감당하지 못하는 일이 생깁니다.
시행령과 고시가 어떻게 구체화되는지, 실제 처분 사례가 어떻게 나오는지 지켜봐야 할 것 같습니다. 정리되면 다시 올리겠습니다.
이 글은 2026년 9월 12일 기준 언론 보도와 개인정보보호위원회 발표를 정리한 것으로, 법률자문이 아닙니다. 구체적인 적용은 사안에 따라 달라지므로 정확한 내용은 국가법령정보센터의 법령 원문과 개인정보보호위원회 안내를 확인하시고, 중요한 판단은 전문가와 상의하시기 바랍니다.
태그
#개인정보보호법 #개인정보과징금 #매출10퍼센트 #ISMSP #CPO #개인정보유출 #컴플라이언스 #정보보안 #개인정보보호위원회 #기업법무 #한국살이이슈
참고한 자료
· 머니투데이, 「개인정보 유출 과징금, 매출액 최대 3→10%…사전 투자하면 40% 깎아준다」, 2026. 9. 10.
· 헤럴드경제, 「개인정보보호 위반 과징금, 매출 3%→10%로…국민 피해구제에 쓴다」, 박세정 기자, 2026. 7. 16.
· 한국데이터경제신문, 「[심층리포트] 개인정보보호법 개정 과징금 매출 10%, AI 스타트업 규제 대응 현실」, 2026. 9. 11.
· 개인정보보호위원회 2026년 하반기 업무계획
· 개정 개인정보 보호법 (2026. 3. 10. 공포, 2026. 9. 11. 시행)