내일부터 1000만명 개인정보 털리면 ‘매출 10%’ 징벌 과징금

기사 소리로 듣기

다시듣기

글씨 크기 조절
글자크기 설정

닫기

글자크기 설정 시 다른 기사의 본문도 동일하게 적용 됩니다.
- 가
- 가
- 가
- 가
- 가
공유하기
공유

닫기
https://m.seoul.co.kr/news/society/2026/09/10/20260910500300
URL 복사
댓글
0

강주리 기자

수정 2026-09-10 18:04

입력 2026-09-10 17:55

구글에서 서울신문 먼저 보기

개정 개인정보보호법·시행령 11일 시행

고의·중과실 3년 내 반복·대규모 피해 대상
개인정보 보호 사전투자 최대 40% 감경
‘유출 가능성 통지제’ 신설…위·변조도 통지

대규모 개인정보 유출 사고가 잇따르면서 반복적이거나 고의·중과실로 1000만명 이상의 대규모 개인정보 유출 사고를 일으킨 기업에 전체 매출액의 최대 10%를 부과할 수 있는 ‘징벌적 과징금’ 제도가 11일부터 시행된다. 피해구제 강화를 위해 개인정보 유출 가능성 통지제를 신설하고 위조·변조 시에도 유출 신고·통지를 해야 한다. 개인정보 보호에 적극적으로 투자한 기업의 과징금을 최대 40% 감경하는 제도도 도입된다.

개인정보보호위원회는 10일 이런 내용으로 지난 3월 개정된 개인정보 보호법과 개인정보 보호법 시행령 등이 11일 시행된다고 밝혔다. 개인정보 유출에 대한 기업·기관의 책임을 강화하고 사고를 사전에 예방하기 위해서다.

우선 반복적이거나 중대한 개인정보 침해 행위에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 과징금 특례가 시행된다. 고의·중과실로 3년 이내 위반 행위를 반복하거나 고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등이 대상이다.

개인정보위는 위반행위의 내용과 정도, 경위, 정보주체의 피해 규모 등을 종합 고려해 기준금액을 정한 뒤 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 과징금을 산정할 수 있다.

개인정보 보호를 위해 적극 사전에 투자하고 보호 체계를 강화한 노력은 최대 40%의 과징금을 깎아준다. 개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모와 비율, 지속성, 최고경영자(CEO)·개인정보 보호책임자(CPO)·전문인력 등 개인정보 보호체계의 수준 등을 고려한다.

상습적인 법 위반에는 과징금 가중 수준도 높아진다. 기존에는 1회 위반 시 15%, 2회 이상이면 30%를 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%를 가중한다.

유출 신고·통지를 법정기한 내 하지 않고 정보주체의 피해 확산을 막기 위한 조치도 하지 않은 경우에는 과징금을 최대 30% 가중한다. 반면 사고 대응체계를 구축해 사고 시 조기 탐지해 신속히 신고·통지하거나 피해 확산 방지 조치를 한 경우 최대 40%를 감경할 수 있다.

개인정보 유출 사실이 최종 확인 전이라도 유출 가능성이 높다고 합리적으로 판단되는 경우 정보주체에게 이를 알리는 ‘개인정보 유출 가능성 통지제’도 도입된다. 이 경우 해당 사실을 안 때부터 72시간 이내에 개인정보 항목과 의심 시점·경위, 피해 최소화 방법, 피해구제 절차 등을 정보주체에게 알려야 한다. 개인정보의 위조·변조·훼손도 유출 신고·통지 대상에 새롭게 포함돼 랜섬웨어 등으로 개인정보가 훼손된 경우에도 신고·통지 의무가 적용된다.

**개인정보 유출 사전예방 및 피해구제 강화 개인정보 보호법 시행령 11일부터 시행** 양청삼 개인정보보호위원회 사무처장이 10일 오전 서울 종로구 정부서울청사에서 개인정보 보호법 시행령 개정 브리핑을 하고 있다. 정부는 개인정보 유출 사전예방 및 피해 구제 강화를 위한 개인정보 보호법 시행령을 11일부터 시행한다. 뉴시스

개인정보 보호에 대한 경영진의 책임도 강화된다. 개정법은 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO의 전문인력 관리와 예산 확보 등 직무 권한을 강화했다. 주요 개인정보처리자가 CPO를 지정·변경·해제할 때는 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 법 시행 이후 CPO를 지정·변경·해제하는 경우 이사회 의결을 거쳐 신고 사유가 발생한 날부터 6개월 이내에 개인정보위에 신고해야 한다. 신규 CPO 제도 도입의 안정적 정착을 위해 내년 말까지 계도기간을 운영한다.

송경희 개인정보위 위원장은 “개인정보 보호 투자에 대한 인식이 ‘비용’이 아닌 고객 신뢰 확보와 기업 이익 확대를 위한 ‘선제적 투자’로 전환하길 기대한다”고 말했다.

강주리 기자

세줄 요약