COLUMN · 개인정보

작성 2026. 9. 4. | 로엘법무법인 장영돈 변호사

개인정보가 유출되면 담당 부서가 책임을 진다고 여겨 온 회사가 많습니다. 2026년 9월 11일부터 그 전제가 달라집니다. 법률 제21445호로 개정된 「개인정보 보호법」이 그날 시행되면서 사업주 또는 대표자가 법 안에 이름을 올립니다.

과징금 상한도 함께 올라갑니다. 다만 개정 내용이 전부 그날 켜지지는 않습니다. 이 글은 처리자 쪽에서 무엇이 언제부터 의무가 되는지를 조문으로 정리한 것입니다.

01

9월 11일에 켜지는 것과 2027년으로 미뤄진 것

개정 「개인정보 보호법」의 모든 조문이 2026년 9월 11일에 시행되지는 않습니다. 부칙 제1조 본문은 공포 후 6개월이 경과한 날부터 시행한다고 하면서, 단서에서 제32조의2 제1항 단서와 제75조 제2항 제15호는 2027년 7월 1일부터 시행한다고 따로 떼어 놓았습니다.

떼어 놓인 두 조문이 개인정보 보호 인증 의무화와 그 위반 과태료입니다. 인증 의무가 발효하는 날은 9월 11일이 아니라 2027년 7월 1일입니다. 시행 시점을 앞당겨 잡으면 준비 순서가 어긋납니다.

02

사업주·대표자가 조문에 이름을 올립니다

9월 11일부터 개인정보처리자의 사업주 또는 대표자는 법률상 최종적인 책임자가 됩니다. 신설 제30조의3이 그렇게 규정하면서, 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하도록 정합니다.

이 조문은 개정 제26조 제8항에 따라 수탁자에게 준용되고, 개정 제58조 제3항에 따라 동창회·동호회 같은 친목 단체 운영에는 적용되지 않습니다. 조사와 수사를 겪어 본 경험으로는, 대표자가 예산과 인력을 어떻게 배분했는지가 가장 먼저 확인됩니다.

03

보호책임자 지정 절차에 이사회가 들어옵니다

대통령령이 정하는 기준에 해당하는 개인정보처리자는 보호책임자를 지정·변경·해제할 때 이사회 의결을 거치고 그 사항을 보호위원회에 신고해야 합니다. 신설 제31조 제3항 제1호·제2호이며, 이사회 의결은 법인에 한정됩니다.

보호책임자의 업무에도 두 가지가 추가됩니다. 개정 제31조 제4항 제2호는 전문 인력 관리와 예산 확보를, 제3호는 사업주 또는 대표자 및 이사회에 대한 보고를 명시합니다. 위반에는 개정 제75조 제2항의 3천만원 이하 과태료가 따릅니다. 이사회 의결을 빠뜨리면 제14호의3, 신고를 빠뜨리면 제14호의4이고, 미지정도 종전 제4항 제9호에서 제2항 제14호의2로 옮겨졌습니다.

04

과징금 상한이 3퍼센트에서 10퍼센트로

신설 제64조의2 제2항은 세 경우에 전체 매출액의 100분의 10 범위에서 과징금을 부과할 수 있게 합니다. 과징금 처분일부터 3년이 지나기 전에 같은 호의 위반을 다시 한 경우와 정보주체 피해 규모가 1천만명 이상인 경우(둘 다 고의나 중대한 과실이 있어야 합니다), 시정조치 명령에 따르지 않아 제1항 제9호를 위반한 경우입니다.

적용 시점은 사유마다 다릅니다. 부칙 제3조는 반복 위반과 시정조치 불이행을 시행 이후부터 적용하면서, 피해 규모 1천만명 이상 사유만은 시행 당시 종료되지 아니한 위반행위에도 적용한다고 정합니다. 진행 중인 상태가 있다면 9월 11일이 분기점입니다.

05

대신 감경 조항이 생겼습니다

신설 제64조의2 제6항은 예산·인력·설비·장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있으면 과징금을 감경한다고 정합니다. 감경할 수 있다가 아니라 감경한다는 문언입니다. 다만 고의나 중대한 과실로 위반한 경우는 제외됩니다.

산정 기준도 함께 붙습니다. 개정 제64조의2 제3항은 제1항과 제2항의 과징금을 모두 전체 매출액에서 위반행위와 관련 없는 매출액을 뺀 금액을 기준으로 산정하게 하고, 제4항은 산정자료를 정당한 사유 없이 내지 않거나 거짓으로 내면 전체 매출액을 기준으로 삼을 수 있게 합니다. 구 정보통신망법 사안인 대법원 2023. 10. 12. 선고 2022두68923 판결도 관련 매출액을 유출된 개인정보를 보유·관리하는 서비스의 범위로 판단했습니다.

FAQ

자주 묻는 질문

Q. 9월 11일부터 개인정보 보호 인증을 반드시 받아야 하나요?

아닙니다. 인증 의무를 신설한 제32조의2 제1항 단서는 부칙 제1조 단서에 따라 2027년 7월 1일부터 시행됩니다. 위반 과태료를 정한 제75조 제2항 제15호도 같은 날이고, 인증 대상 기준은 대통령령으로 정해집니다.

Q. 개인정보 보호책임자를 바꿀 때 이사회 의결을 꼭 거쳐야 하나요?

대통령령으로 정하는 기준에 해당하는 개인정보처리자만 해당합니다. 신설 제31조 제3항은 제1호에서 이사회 의결을, 제2호에서 보호위원회 신고를 요구하고, 어기면 개정 제75조 제2항의 3천만원 이하 과태료가 부과됩니다.

Q. 매출액 10퍼센트 과징금은 회사 전체 매출을 기준으로 계산되나요?

개정 제64조의2 제3항은 제1항과 제2항의 과징금 모두 전체 매출액에서 위반행위와 관련 없는 매출액을 뺀 금액을 기준으로 산정한다고 정합니다. 다만 제4항은 산정자료를 정당한 사유 없이 내지 않거나 거짓으로 내면 전체 매출액을 기준으로 삼을 수 있게 합니다.

참고자료

· 「개인정보 보호법」 일부개정법률 제30조의3·제31조·제32조의2·제64조의2·제75조 및 부칙 제1조·제3조 [법률 제21445호, 시행 2026. 9. 11.]와 그 현행본 [법률 제20897호] — 국가법령정보센터
· 대법원 2023. 10. 12. 선고 2022두68923 판결 — 대법원 종합법률정보
· 통지를 받는 쪽: 개인정보 유출 통지, 9월 11일부터 달라집니다
· 개인정보와 형사처벌: 고소장에 상대방 개인정보를 적으면 처벌될까
· 같은 날 발행 칼럼: 중개했을 뿐인데 왜 공범이 되나