[PEDIEN] 개인정보보호법 2차 개정이 9월 11일 시행되면서, 개인정보 유출 기업에 물릴 수 있는 과징금 상한이 전체 매출액의 10%까지 치솟는 이른바 '징벌적 과징금 시대'가 막을 올린다.
본지가 개정 조문과 시행령, 개인정보보호위원회의 최근 처분 사례를 교차 분석한 결과, 이번 개정은 단순한 벌칙 강화에 그치지 않는다.
개인정보 관리 책임의 무게중심을 정보보호팀 같은 실무 부서에서 이사회와 최고경영진 쪽으로 끌어올리는 지배구조 개편에 가깝다는 것이 본지의 판단이다.
개정법은 2026년 2월 12일 국회 본회의를 통과해 3월 10일 공포됐고, 6개월의 유예를 거쳐 9월 11일부터 효력을 갖는다.
시행령도 같은 날 함께 발효된다.
이번 개정을 두고 실무에서는 '과징금이 세 배가 됐다'는 한 줄 요약이 돈다.
틀린 말은 아니지만, 조문을 뜯어보면 상한선 숫자보다 그 숫자가 적용되는 방식, 그리고 책임을 지는 사람이 누구인지가 더 크게 달라졌다.
개인정보보호법 2차 개정, 9월 11일 무엇이 바뀌나
핵심 축은 세 가지다.
과징금 상한 상향, 개인정보 보호책임자(CPO) 지정의 이사회 의결·신고 의무화, 그리고 유출 통지·신고 요건의 확대다.
세 축은 따로 노는 규정이 아니라 하나의 사슬로 엮여 있다.
위반이 터지면 통지·신고 단계에서 시간과 범위가 촘촘히 기록되고, 그 기록이 과징금 산정과 경영진 책임 추궁의 근거가 되는 구조다.
먼저 과징금이다.
종전 개인정보보호법은 위반 관련 매출액의 3%를 상한으로 삼되, 이를 산정하기 어려우면 정액 상한을 적용하는 방식이었다.
여기서 이미 한 차례 '전체 매출액 3%' 기조가 자리 잡았는데, 이번 개정은 중대·반복 위반에 한해 그 상한을 전체 매출액의 10%까지 끌어올렸다.
산정 기준도 바뀌었다.
직전 사업연도 매출액과 최근 3개 사업연도 평균 매출액 가운데 더 큰 금액을 기준으로 삼는다.
매출이 꺾인 해에 사고가 나더라도 과거 호황기 매출로 상한이 계산될 수 있다는 뜻이다.
다만 10%가 모든 유출에 곧바로 붙는 것은 아니라는 점을 오해하면 안 된다.
개정법은 가중 상한을 세 가지 경우로 좁혔다.
최근 3년간 고의나 중대한 과실로 위반을 반복한 경우, 고의·중과실로 1,000만 명 이상 대규모 피해를 낸 경우, 그리고 시정명령을 이행하지 않아 유출이 발생한 경우다.
일반적인 단발성 실수까지 10%가 적용되는 것은 아니다.
그러나 대형 플랫폼·통신·금융처럼 다루는 정보주체가 수천만 명에 이르는 사업자라면 '1,000만 명 이상 피해' 문턱을 한 번의 사고로도 넘길 수 있다는 점에서, 사실상 상시적인 위험 요인이 됐다.
과징금 상한 전체 매출액 10%, 어떻게 계산되나
숫자를 몸으로 느끼려면 시뮬레이션이 필요하다.
연 매출 20조 원대인 대형 통신사를 가정해 보자.
옛 기준의 3% 상한이 위반 관련 매출에 걸렸다면 실제 부과액은 수백억 원대에 머무는 경우가 많았다.
그러나 전체 매출액의 10%가 상한이 되면, 이론적 천장은 조 단위로 뛴다.
물론 상한은 어디까지나 천장이고, 실제 부과액은 위반의 중대성·기간·피해 규모·시정 노력 등을 종합해 감액된다.
그럼에도 협상과 소송에서 기업이 마주하는 '최악의 시나리오'가 자릿수를 바꾼다는 사실 자체가 협상력의 지형을 흔든다.
이미 예고편은 나왔다.
개인정보위는 지난해 대규모 유심 정보 유출 사고를 낸 국내 1위 이동통신사에 과징금 1347억9100만 원과 과태료 960만 원을 부과했다. 2324만여 명의 가입자 식별정보 등이 빠져나간 사안으로, 개인정보위 출범 이후 최대 규모였다.
종전 기록이던 2022년 글로벌 플랫폼 사업자 두 곳에 대한 1000억 원을 넘어선 수치다.
해당 통신사는 처분에 불복해 행정소송을 제기한 상태다.
본지가 주목하는 대목은 이 사건이 옛 과징금 틀에서 나온 마지막 대형 처분이라는 점이다.
같은 규모의 유출이 9월 11일 이후 발생했다면, 개인정보위가 손에 쥔 상한은 지금과 비교할 수 없이 높았을 것이다.
이것이 본지의 첫 번째 명제다.
즉, 이번 개정의 실질은 '평균 과징금의 인상'이 아니라 '상한의 폭발적 확장을 통한 협상 지렛대의 이동'이다.
우리 회사는 CPO 이사회 의결 대상일까
두 번째 축인 CPO 규정은 조용하지만 파괴력이 크다.
개정법은 일정 규모 이상 개인정보처리자에 대해 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고하도록 했다.
대상은 시행령에 구체화됐다.
연 매출액 또는 수입이 1,800억 원 이상이면서 5만 명 이상의 정보주체에 관해 민감정보·고유식별정보를 처리하는 자, 또는 100만 명 이상의 정보주체 정보를 처리하는 자, 재학생 2만 명 이상의 대학, 상급종합병원, 그리고 대규모 공공시스템 운영기관 등이다.
지정 의무를 지키지 않거나 자격에 못 미치는 인물을 앉히면 과태료가 신설된다.
이 조항이 왜 중요한가.
그간 CPO는 상당수 기업에서 '겸직 임원'이거나 실무 팀장급이 형식적으로 이름을 올리는 자리였다.
이사회 의결과 신고를 강제한다는 것은, 개인정보 거버넌스가 이사회 의사록에 남는 안건이 된다는 의미다.
사고가 터지면 '누가 언제 이 사람을 CPO로 앉혔고, 이사회는 무엇을 알고 있었나'가 문서로 남는다.
본지의 두 번째 명제는 여기서 나온다.
이번 개정은 개인정보 리스크를 실무자의 과실 문제에서 이사회의 감독 의무 문제로 재정의했다.
임원의 선관주의의무, 나아가 배임·감독 책임 논쟁으로 번질 통로가 열린 셈이다.
72시간 통지 의무화, 실무는 어떻게 달라지나
세 번째 축은 유출 대응의 시계다.
개정법과 시행령은 개인정보처리시스템에 대한 불법적 접근을 알게 되거나, 개인정보가 불법적으로 거래·유통되고 있음을 알게 된 때에는 72시간 이내에 정보주체에게 통지하도록 했다.
확정된 '유출'만이 아니라 유출 정황이나 가능성이 확인된 단계에서도 시계가 돌아간다는 점이 핵심이다.
여기에 개인정보의 위조·변조·훼손도 분실·도난·유출과 같은 범주로 묶여 통지·신고 대상이 됐다.
랜섬웨어처럼 데이터를 빼내지 않고 훼손·암호화만 해도 통지 의무가 발생할 수 있다는 뜻이다.
실무 부담은 여기서 급증한다.
사고 인지 시점을 스스로 정의하고, 72시간 안에 통지 대상과 범위를 확정해 발송까지 마쳐야 한다.
그러려면 로그 보존, 이상징후 탐지, 인지 시각의 기록 체계가 사전에 정비돼 있어야 한다.
앞서의 통신사 처분에서도 개인정보위는 유출 탐지와 통지가 모두 늦었던 점을 무겁게 봤다.
본지의 세 번째 명제는 이렇다.
앞으로 과징금의 크기를 가르는 변수는 '유출을 막았는가'만이 아니라 '얼마나 빨리 알아채고 얼마나 정확히 알렸는가'다.
탐지·통지의 속도가 곧 방어의 절반이 됐다.
GDPR 4%와 비교하면 한국은 어디쯤인가
국제 비교로 위치를 가늠해 보자.
유럽연합의 일반개인정보보호규정(GDPR)은 중대 위반에 대해 전 세계 연매출의 4% 또는 2000만 유로 가운데 큰 금액을 상한으로 삼는다.
오랫동안 세계에서 가장 엄격한 잣대로 꼽혀 온 기준이다.
중국의 개인정보보호법(PIPL)은 중대 위반 시 5000만 위안 또는 직전연도 매출의 5%를 상한으로 둔다.
싱가포르는 2020년 개정으로 연매출 10% 또는 100만 싱가포르달러 중 큰 금액까지 부과할 수 있게 해, 대형 사업자 기준으로는 10% 상한을 이미 도입한 상태다.
이 지형에서 한국의 10% 상한은 GDPR의 4%와 중국의 5%를 뛰어넘어 싱가포르와 함께 최상단에 위치한다.
다만 단순 비교는 조심해야 한다.
GDPR의 4%는 전 세계 매출을 기준으로 하는 반면, 한국은 국내 매출 중심의 전체 매출액을 본다는 차이가 있고, 실제 부과율과 감액 관행은 나라마다 천차만별이다.
유럽에서도 상한이 4%라고 해서 4%가 실제로 매겨지는 일은 드물다는 것이 통설이다.
그럼에도 '법정 천장'만 놓고 보면, 한국이 규제 강도의 문장에서 선두 그룹으로 이동했다는 사실은 분명하다.
이것이 본지의 네 번째 명제다.
한국의 개인정보 규제는 이제 'GDPR을 따라가는 후발주자'가 아니라 '상한만 놓고 보면 GDPR을 앞지른 강경 체제'로 재분류돼야 한다.
누구에게 무엇이 리스크인가
같은 개정법이라도 체감 무게는 업종·규모마다 다르다.
본지가 결정 축을 형사·행정 리스크 노출도와 거버넌스 정비 부담으로 나눠 독자 유형을 매핑한 결과, 대응의 우선순위가 갈렸다.
수천만 명의 정보를 다루는 대형 플랫폼·통신·금융은 '1,000만 명 이상 피해' 문턱과 10% 상한을 정면으로 마주하는 최고위험군이다.
이들에게 시급한 것은 과징금 시뮬레이션과 이사회 차원의 리스크 보고 체계다.
반면 매출 1,800억 원대에 걸친 중견 제조·유통·헬스케어 기업은 CPO 이사회 의결·신고 대상에 새로 편입되는지가 최대 쟁점이다.
그동안 형식적으로 운영하던 CPO 체계를 서둘러 정관·이사회 규정 수준에서 손봐야 한다.
상급종합병원과 대형 대학은 민감정보·고유식별정보를 대량으로 다루면서도 보안 투자 여력은 상대적으로 빠듯한 취약 지점이다.
규정 대상에 명시된 만큼 유예 기간의 착시에 기대선 곤란하다.
스타트업과 소규모 사업자는 당장 10% 상한의 직접 사정권 밖일 수 있으나, 72시간 통지 의무와 위조·변조·훼손 통지 확대는 규모와 무관하게 적용된다.
로그와 탐지 체계가 부실한 곳일수록 이 조항에서 먼저 걸린다.
정책 함의는 세 갈래다.
첫째, 과징금 대비는 보험이나 예산 항목이 아니라 이사회 안건으로 올려야 한다.
둘째, CPO 지정과 그 근거는 사고 이후가 아니라 지금 문서로 남겨 두어야 한다.
셋째, 통지·신고의 속도를 만드는 것은 결국 평시의 로그·탐지 투자이므로, 사후 대응 인력보다 사전 탐지 인프라에 우선순위를 두는 편이 비용 대비 효과가 크다.
다만 이번 개정에 한계가 없는 것은 아니다.
'중대한 과실'이나 '유출 정황'의 판단 기준이 시행 초기에는 불명확해, 개인정보위의 첫 사례들이 나오기 전까지 기업의 예측 가능성이 떨어진다는 지적이 실무에서 나온다.
상한이 높아진 만큼 감액 기준과 재량의 투명성을 함께 끌어올려야 한다는 것이 본지의 다섯 번째 명제다.
처벌의 천장만 높이고 예측 가능성을 방치하면, 규제는 억지력이 아니라 불확실성으로 남는다.
검증 노트
본 기사는 2026-09-04 기준으로 작성됐다.
개정 개인정보보호법의 시행일(9월 11일), 과징금 상한 3%→10% 상향과 세 가지 가중 요건, 산정 기준(직전 사업연도 매출과 최근 3개 사업연도 평균 중 큰 금액), CPO 이사회 의결·신고 대상(연 매출 1,800억 원 이상 및 5만 명 이상 민감·고유식별정보 처리 등)과 72시간 통지·위조·변조·훼손 포함 규정은 개인정보보호위원회의 시행령 입법예고 및 개정법 조문, 이를 보도한 법률·보안 전문매체를 교차 확인했다.
국내 최대 규모 과징금(1347억9100만 원, 2324만여 명 유출) 사례와 GDPR 4%·중국 PIPL 5%·싱가포르 10% 상한은 각 기관·매체 자료로 대조했다.
국제 상한은 산정 기준(전 세계 매출 대 국내 매출)이 나라마다 달라 단순 비교에 한계가 있음을 밝힌다.
기사 verdict: VERIFIED(1차 자료 교차 확인).
편집국