과징금 전체 매출액의 최대 10%! 9월 시행되는 개인정보보호법, 우리 회사는 안전할까?
개인정보보호위원회는 지난 6월 쿠팡에 과징금 6,246억 8,100만 원을, 7월에는 KT에 약 539억 원을 부과했습니다. 이처럼 개인정보 유출과 안전조치 의무 위반은 기업에 막대한 비용 부담은 물론, 경영 전반에 영향을 미치는 리스크로 이어질 수 있습니다.
2026년 9월 11일부터는 반복적이거나 피해 규모가 큰 중대한 위반에 대해 과징금 상한이 전체 매출액의 10%까지 높아집니다. 이번 글에서는 개인정보보호법 개정 내용과 시행 전 기업이 확인해야 할 사항을 정리합니다.
개인정보보호법 개정, 9월 11일부터 달라지는 내용
개정 개인정보보호법은 2026년 2월 국회 본회의를 통과해 3월 10일 공포됐으며 9월 11일부터 시행됩니다.
| 항목 | 지금까지 | 2026년 9월 11일부터 |
|---|---|---|
| 과징금 상한 | 전체 매출액의 3% 이하 | 반복·중대 위반 시 전체 매출액의 10% 이내 |
| 유출 통지 시점 | 유출 사실을 확인한 뒤 | 유출 가능성을 알게 된 때에도 지체 없이 |
| 통지·신고 대상 | 분실·도난·유출 | 위조·변조·훼손까지 포함 |
| 통지 내용 | 사고 사실과 피해 최소화 방법 | 손해배상 청구, 분쟁조정 등 피해구제 방법 추가 |
| 책임 주체 | 개인정보보호책임자(CPO) 중심 | 대표자의 최종 관리·감독 의무 명확화 |
| 보호 인증 | 자율적으로 운영 | 주요 공공·민간 개인정보처리자의 ISMS-P 인증 의무화 |
전체 매출액 10% 과징금은 언제 적용되나요?
모든 개인정보보호법 위반에 10% 과징금이 적용되는 것은 아닙니다. 다음 세 가지 가운데 하나에 해당하는 중대한 위반이 대상입니다.
- 최근 3년 이내 고의 또는 중대한 과실로 위반을 반복한 경우
- 고의 또는 중대한 과실로 1천만 명 이상에게 피해를 준 경우
- 시정명령을 이행하지 않아 개인정보 유출 등 중대한 사고가 발생한 경우
개인정보 보호를 위해 예산과 인력, 설비를 투자하고 운영한 실적이 있으며 고의나 중대한 과실이 아니라면 과징금 감경을 받을 수 있습니다. 따라서 사고 발생 여부뿐 아니라 사전에 어떤 보호조치를 운영하고 기록했는지도 중요합니다.
💡 ISMS-P 인증 의무화는 2027년 7월 1일부터 시행됩니다. 구체적인 적용 대상은 개인정보보호법 시행령에서 확정될 예정입니다.
개인정보보호법 위반 제재 왜 강화될까요?
개인정보 유출 신고는 계속 늘고 있습니다. 개인정보보호위원회와 한국인터넷진흥원(KISA)에 따르면 2025년 개인정보 유출 신고는 447건으로 전년 307건보다 45.6% 증가했습니다. 이 가운데 해킹으로 인한 유출이 276건으로 전체의 62%를 차지했습니다.
같은 해 개인정보보호법 위반으로 과징금이 부과된 건은 40건, 합계 1,677억 원이었습니다.
해킹 유출, 악성코드와 웹 취약점이 주요 원인
2025년 해킹으로 인한 개인정보 유출 원인을 유형별로 보면 다음과 같습니다.
- 랜섬웨어·웹셸 등 악성코드 공격: 96건, 전체 해킹 유출의 35%
- SQL 인젝션·파라미터 변조 등 웹 취약점 악용: 32건, 12%
- 관리자 페이지 비정상 접속: 23건, 8%
웹 취약점 악용과 관리자 페이지 비정상 접속은 알려지지 않은 새로운 공격이라기보다, 보안 업데이트와 접근 권한 관리로 위험을 낮춰야 하는 경로입니다.
생성형 AI로 공격 준비 시간도 짧아지고 있습니다
과학기술정보통신부와 KISA가 발표한 2026년 상반기 사이버위협 동향을 보면 상반기 침해사고 신고는 1,236건으로 지난해 같은 기간보다 19.5% 늘었고, 랜섬웨어 감염 신고는 145건으로 76.8% 증가했습니다.
두 기관은 생성형 AI가 취약점을 찾고 공격 코드를 작성하는 데 쓰이면서 공격 준비 시간이 크게 짧아졌다고 지적했어요. 공격 속도가 빨라질수록 정기적인 취약점 점검과 계정·접근 권한 관리가 더욱 중요해집니다.
개인정보보호법 시행 전 점검 7가지, 처리방침부터 접속기록까지
시행 전에는 개인정보 보호조치가 실제로 운영되고 있는지, 필요한 기록을 바로 확인할 수 있는지 점검해야 합니다. 대표자의 책임이 명확해지고 사전 투자·운영 실적도 과징금 판단에 반영되는 만큼, 조치 내용과 관리 이력을 함께 남겨 두세요.
- 접근 권한 기록
개인정보를 다루는 시스템과 파일의 권한이 업무상 필요한 범위로 제한돼 있는지 확인하세요. 권한을 부여·변경·말소한 이력도 남아 있어야 합니다. - 퇴사자 계정과 인증정보 회수
퇴사나 직무 변경 시 계정과 API 키, 접속 인증서 등을 누가 언제 회수했는지 확인할 수 있어야 합니다. - 접속기록 보관과 점검
개인정보처리시스템의 접속기록은 원칙적으로 1년 이상 보관해야 합니다. 일정 규모 이상의 개인정보나 민감정보를 처리한다면 2년 이상 보관해야 하며, 내부 관리계획에 따른 점검 이력도 남겨야 합니다. - 암호화 적용 범위
고유식별정보와 비밀번호 등 암호화 대상 정보가 저장·전송 과정에서 실제로 암호화되고 있는지 확인하세요. - 개인정보 파기 기록
보유기간이 끝난 개인정보는 복구할 수 없는 방법으로 파기하고, 무엇을 언제 파기했는지 기록해야 합니다. 법률에 따라 보존할 정보는 별도로 분리합니다. - 개인정보 처리방침 최신화
수집 항목과 이용 목적, 보유기간, 위탁업체, 파기 절차가 실제 운영과 일치하는지 확인하세요. - 유출 통지·신고 담당자 지정
유출 가능성을 확인했을 때 누가 사실관계를 판단하고, 정보주체 통지와 관계기관 신고를 진행할지 미리 정해 두세요.
일곱 가지 가운데 바로 확인하기 어려운 항목이 있다면 개인정보가 담긴 파일의 보관 위치와 접근 이력부터 살펴볼 필요가 있습니다.
개인정보 파일의 접근과 공유 이력을 관리하세요
고객 명단과 계약서, 신청서처럼 개인정보가 포함된 파일이 개인 PC와 이메일, 메신저에 흩어져 있다면 누가 접근하고 외부로 공유했는지 확인하기 어렵습니다.
클라우다이크에서는 업무 파일을 한곳에 보관하면서 다음과 같은 기능을 활용할 수 있습니다.
- 폴더별 접근 권한: 부서와 프로젝트별로 열람 범위를 구분하고, 퇴사나 직무 변경 시 계정과 권한을 회수할 수 있습니다.
- 활동 로그: 사용자별 파일 활동과 접속 이력을 확인해 사고 발생 시 접근 범위를 추적할 수 있습니다.
- 보안 공유 링크: 비밀번호와 휴대전화 인증, 만료일을 설정해 외부 공유 대상과 기간을 제한할 수 있습니다.
- 버전 관리와 백업: 파일이 잘못 수정되거나 삭제됐을 때 이전 버전을 확인하고 복구할 수 있습니다.
개인정보보호법에 대응하려면 처리방침과 암호화, 계정 관리, 사고 대응 절차를 함께 점검해야 합니다. 이와 함께 개인정보가 포함된 업무 파일을 한곳에서 관리하면 접근 권한과 외부 공유, 이용 이력을 빠르게 확인할 수 있습니다.
클라우다이크는 CSAP 보안인증을 받은 비즈니스 클라우드 스토리지로, 데이터를 국내 데이터센터에 보관합니다. 개인정보보호법 시행 전, 업무 파일의 접근 권한과 외부 공유 이력을 제대로 관리하고 있는지 확인해 보세요.
자주 묻는 질문
Q. 매출 규모가 작은 회사도 전체 매출액 10% 과징금 대상인가요?
특례 요건에는 별도의 매출 규모 하한이 없습니다. 다만 반복 위반, 1천만 명 이상 피해, 시정명령 불이행 등 법에서 정한 요건에 해당해야 하며 모든 위반에 10%가 적용되는 것은 아닙니다.
Q. 개인정보 처리를 외부 업체에 맡기면 책임도 넘어가나요?
아닙니다. 개인정보 처리를 위탁하더라도 위탁한 기업에는 수탁사를 관리·감독할 책임이 남습니다.
Q. ISMS-P 인증은 언제부터 의무화되나요?
개정법에 따른 의무화 규정은 2027년 7월 1일부터 시행됩니다. 구체적인 대상은 개인정보보호법 시행령 확정 이후 확인해야 합니다.
※ 이 콘텐츠는 2026년 8월 기준 개인정보보호위원회, 과학기술정보통신부, 한국인터넷진흥원과 국가법령정보센터의 공식 자료를 바탕으로 작성했습니다. 구체적인 법 적용은 개인정보 처리 규모와 사업 형태에 따라 달라질 수 있으므로 필요한 경우 관련 전문가와 상담하시기 바랍니다.
