개정 개인정보 보호법 2026년 9월 11일 시행 — 유출 가능성 72시간 통지제, 매출액 10% 이내 징벌적 과징금
개정 개인정보 보호법과 시행령·고시가 2026년 9월 11일 시행돼, 유출 가능성이 높다고 판단되면 안 때부터 72시간 이내에 이용자에게 통지해야 하고 반복·대규모 유출에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있습니다.
핵심 정보
| 시행일 | 2026년 9월 11일 (개정 개인정보 보호법·시행령·고시) |
|---|---|
| 유출 가능성 통지제 | 불법적인 시스템 접근·개인정보 불법 거래 등 객관적 정황으로 유출 가능성이 높다고 합리적으로 판단되면, 최종 확인 전이라도 안 때부터 72시간 이내 이용자에게 통지 |
| 징벌적 과징금 | 고의·중과실로 3년 이내 반복 위반, 1000만 명 이상 대규모 피해 발생, 시정명령 미이행 후 유출 사고 등 — 전체 매출액의 최대 10% |
| 감경 | 사전 투자·보호체계 강화 노력은 부과 기준금액의 40% 범위 감경, 위반 내용·정도·피해규모 등을 고려해 추가 최대 50% 감경 |
| 영세·중소기업 | 경미한 위반은 기술지원을 받아 시정하는 경우 과징금 면제 가능 |
| CPO 신고 의무 | 지정·변경·해제 시 이사회 의결 후 사유 발생일부터 6개월 이내 신고 — 시행 이전 지정 CPO는 이사회 의결 없이 시행일부터 6개월 이내 신고 |
| 계도기간 | 2027년 12월 31일까지 |
| 문의 | 개인정보보호위원회 개인정보보호정책과 02-2100-3057 |
마지막 확인:
개인정보보호위원회가 개정 개인정보 보호법과 시행령·고시가 2026년 9월 11일부터 시행된다고 2026년 9월 10일 밝혔다. 고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다. 개인정보 보호를 위해 사전에 투자하고 보호체계를 강화한 노력은 과징금 부과 기준금액의 40% 범위에서 감경할 수 있고, 위반행위의 내용과 정도·피해규모 등을 고려해 추가로 최대 50%를 감경할 수 있다. 영세·중소기업 등의 경미한 위반은 기술지원을 받아 시정하는 경우 과징금을 면제할 수 있다. 개인정보 보호책임자(CPO)를 지정·변경·해제할 때는 이사회 의결을 거쳐 사유 발생일부터 6개월 이내에 개인정보위에 신고해야 하며, 법 시행 이전에 지정된 CPO는 별도 이사회 의결 없이 시행일부터 6개월 이내 신고하면 된다. 개인정보위는 2027년 12월 31일까지 계도기간을 운영한다. 또한 불법적인 시스템 접근이나 개인정보 불법 거래 등 객관적 정황을 토대로 유출 가능성이 높다고 합리적으로 판단되면, 유출이 최종 확인되기 전이라도 그 사실을 안 때부터 72시간 이내에 이용자에게 알려야 하는 유출 가능성 통지제가 도입됐다.
아래 요약은 정부 발표·1차 출처에 근거한 사실 정리이며, 정책에 대한 평가나 의견이 아닙니다.
자주 묻는 질문
내 정보가 유출됐을 수 있으면 언제 연락을 받나요?
불법적인 시스템 접근이나 개인정보 불법 거래 등 객관적인 정황을 토대로 유출 가능성이 높다고 합리적으로 판단되면, 유출이 최종 확인되기 전이라도 그 사실을 안 때부터 72시간 이내에 이용자에게 알려야 합니다.
어떤 경우에 매출액 10% 과징금이 부과되나요?
고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에 전체 매출액의 최대 10%까지 부과할 수 있습니다.
단순히 보안 취약점이 발견돼도 통지하나요?
단순히 보안 취약점이 발견됐거나 막연한 유출 가능성이 있다는 이유만으로 통지하는 것은 아니며, 객관적인 의심 정황 등이 있어야 합니다.