개인정보 보호법 9월 11일 개정 시행, 반복 위반 시 과징금 매출 10%로 상향

2026년 9월 11일부터 개정된 개인정보 보호법이 시행되면서, 개인정보를 다루는 국내 기업들의 부담이 한층 커지게 되었습니다. 특히 반복 위반이나 대규모 유출 사고를 일으킨 기업에는 과징금 상한이 전체 매출액의 3%에서 최대 10%까지 오릅니다. 개인정보 처리방침을 운영하는 사업자라면 시행일 이전에 자사 정책을 점검해 볼 필요가 있습니다.

무엇이 바뀌었나 - 과징금 상한 3%에서 10%로

기존 개인정보 보호법은 개인정보 유출 등 위반 행위에 대해 관련 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있었습니다. 이번 개정으로 다음 세 가지 조건 중 하나라도 해당하면 과징금 상한이 10%까지 올라갑니다. 첫째는 고의 또는 중대한 과실로 3년 이내 동일한 위반을 반복한 경우이고, 둘째는 고의 또는 중대한 과실로 피해자가 1천만 명 이상 발생한 경우이며, 셋째는 개인정보보호위원회의 시정 명령을 이행하지 않아 실제로 유출이 발생한 경우입니다. 개인정보보호위원회 관계자는 이번 조치가 처음 지적을 받은 기업이나 통상적인 규모의 사업자보다는, 반복적이거나 대규모 피해를 낸 기업을 겨냥한 것이라고 설명했습니다. 즉 광고성 문자 하나 잘못 보낸 소상공인이 갑자기 매출 10%를 물게 되는 상황을 만들려는 취지는 아니라는 것이 당국의 설명입니다.

왜 지금 강화되었나 - 급증한 과징금 규모와 유출 사고

이번 개정의 배경에는 최근 몇 년간 폭증한 개인정보 유출 사고와 과징금 규모가 있습니다. 개인정보보호위원회가 출범한 2020년 부과된 과징금은 68억 원 수준이었지만, 2026년 8월까지 누적 부과액은 약 7,590억 원으로 6년 새 110배 넘게 늘어났습니다. 올해는 대규모 유출 사고를 낸 한 기업에 6,247억 원의 과징금이 부과되며 전체의 82%를 차지했는데, 이런 초대형 사고가 이번 법 개정을 앞당긴 주요 계기로 꼽힙니다. 다만 과징금이 법원 확정 판결을 거쳐 실제 국고에 입금되기까지는 통상 4~5년이 걸려, 제재의 실효성을 둘러싼 지적도 함께 나오고 있습니다.

한편 지난 7월에는 '동의의결 제도'도 함께 공식화되었습니다. 이는 기업이 위반 사실을 다투는 대신 스스로 재발 방지 대책이나 피해 구제 방안을 제시하면, 개인정보보호위원회가 이를 심사해 제재 수위를 낮춰주는 제도입니다. 미국의 합의(settlement) 방식을 모델로 한 것으로, 소송이 장기화되어 과징금 확정과 실제 집행이 지연되는 문제를 보완하려는 목적도 있는 것으로 풀이됩니다.

기업이 지금 점검해야 할 것 - 유출 통지 기한과 처리방침

이번 개정에서 실무적으로 눈여겨봐야 할 부분은 개인정보 유출 통지 기한의 기산 시점입니다. 앞으로는 유출 사실을 완전히 확인한 시점이 아니라, 불법 접근 등 유출 가능성을 인지한 시점부터 72시간 이내에 정보 주체와 당국에 통지해야 합니다. 또한 개인정보 처리방침에는 개인정보 보호책임자의 성명과 부서, 연락처를 비롯해 쿠키 등 자동 수집 장치에 대한 안내와 거부 방법 등 법에서 요구하는 항목이 모두 포함되어 있어야 합니다. 자사 웹사이트나 서비스의 개인정보 처리방침을 운영하고 있다면, 시행일을 앞두고 이 항목들이 빠짐없이 기재되어 있는지 다시 한번 확인해 보시기를 권합니다. 실제로 한 국내 기업이 자사 처리방침을 점검한 결과 개인정보 보호책임자 정보와 쿠키 관련 안내, 이 두 가지 항목이 누락되어 있었다는 사례가 보고되기도 했는데, 규모가 작은 사업자일수록 이런 기본 항목을 놓치기 쉬운 만큼 한 번쯤 점검해 볼 만합니다.

참고 자료

• 개인정보 과징금 6년 새 110배…국고 입금은 5년 뒤
• 2026년 개정 개인정보 보호법 — 9월 11일까지 무엇을 해야 하나

마무리

9월 11일부터 시행되는 개정 개인정보 보호법은 반복 위반이나 대규모 유출을 일으킨 기업에 최대 매출액 10%의 과징금을 물릴 수 있도록 해, 개인정보 보호에 대한 기업의 책임을 한층 무겁게 만들었습니다. 당장 대부분의 사업자에게 적용되는 조항은 아니지만, 유출 통지 기한 단축과 처리방침 기재 의무는 규모와 무관하게 모든 개인정보 처리자에게 해당하는 사안입니다. 앞으로도 개인정보 보호법 관련 후속 시행령과 사례가 나오는 대로 계속 전해드리겠습니다.