개인정보보호법 시행령 개정안 입법예고

들어가며 개인정보보호법 시행령 개정안 입법예고

6월 1일, 개인정보보호위원회(이하 '개인정보위')는 개인정보 침해에 대한 과징금 산정에 대한 시행령 개정안을 입법예고했습니다. 다음 날인 6월 2일에는 별도의 시행령 개정안이 추가로 예고되었습니다. 후자의 개정안은 개인정보 보호책임자(CPO, Chief Privacy Officer)를 누가 어떤 절차로 임명해야 하는지, 어떤 기업이 보호 인증을 의무적으로 받아야 하는지, 유출이 의심될 때 언제까지 알려야 하는지를 다룹니다. 두 안 모두 의견을 받는 기한은 7월 13일입니다.

지난 3월 10일 공포되어 9월 11일 시행을 앞둔 개정 「개인정보 보호법」(법률 제21445호)이 이미 큰 틀을 그려 두었고, 그 법이 세부 사항을 대통령령에 넘긴 부분을 이번 시행령이 채워 넣는 구조입니다. 그리고 그 개정 법률 자체는 2025년 통신 3사 해킹과 쿠팡 사건, 2026년 들어 이어진 사랑의열매·듀오정보·티빙 사고처럼 대규모 유출이 끊이지 않은 흐름 속에서 만들어졌습니다. 한마디로 정리하면, 잇따른 유출 사고가 법 개정을 불렀고 그 법이 다시 두 건의 시행령으로 구체화되는 단계에 지금 와 있는 셈입니다.

본 리포트는 먼저 어떤 사고와 수치가 규제 강화를 이끌었는지 배경을 짚고, 개정 법률과 두 시행령안의 주요 내용을 개정 전후로 비교합니다. 이어 감경 요건을 어떻게 입증할지, 유출 '가능성'을 어떻게 판단할지처럼 실무에서 부딪히게 될 쟁점을 살펴본 뒤, 9월 시행과 2027년 7월 인증 의무화로 이어지는 일정에 맞춰 기업이 지금 점검해 둘 것을 정리합니다.

2025년 통신·플랫폼·금융권에서 대규모 유출이 잇따른 데 이어 2026년에도 쿠팡 추가 유출, 사랑의열매, 듀오정보, 티빙 사고가 연이어 터지면서 규제를 강화하는 입법이 빠르게 진행되었습니다. 그 결과가 2026년 2월 12일 본회의를 통과해 3월 10일 공포되고 9월 11일 시행되는 개정 「개인정보 보호법」이며, 핵심은 사업주·대표자의 책임을 분명히 하고 전체 매출액의 최대 10%에 이르는 징벌적 과징금을 도입한 것입니다.

6월 1일과 2일 이틀 연속 예고된 두 건의 시행령은 이 법을 실제로 작동시키는 세부 규칙입니다. 한 건은 과징금을 얼마나 매기고 예방 투자를 한 기업에 얼마나 깎아 줄지를, 다른 한 건은 CPO 임명 절차와 보호 인증 의무 대상, 유출 가능성 통지 절차를 정합니다. 두 안의 의견 수렴이 모두 7월 13일에 끝나고 법제처 심사를 거쳐 9월 11일 시행에 맞춰진다는 점에서, 지금이 기업이 의견을 내고 대비를 시작할 시점입니다.

제1장 배경 및 현황

최근 대규모 유출 사고의 흐름

2025년은 국내 이동통신 3사가 모두 해킹 사고를 겪은 해였습니다. SK텔레콤은 4월 홈가입자서버(HSS)가 공격받아 가입자식별번호(IMSI)와 유심 인증키 등 기술정보가 유출되었고, KT와 LG유플러스에서도 침해 사고가 확인되었습니다. 같은 해 하반기에는 롯데카드의 신용정보 유출과 넷마블·신한카드 등 사고가 이어졌으며, 2025년 말에는 쿠팡에서 고객 계정 약 3,370만 건 규모의 대규모 유출이 확인되었습니다. 쿠팡 사건은 2026년 들어서도 추가 유출 계정이 확인되는 등 조사가 계속되었습니다.

2026년에도 사고는 멈추지 않았습니다. 3월에는 사랑의열매 고액 기부자 명단과 주민등록번호가 유출되었고, 4월에는 듀오정보에서 개인정보가 유출되었습니다. 가장 최근인 6월 2일에는 온라인 동영상 서비스 티빙의 데이터베이스에 비인가 접근이 이루어진 정황이 확인되어, 운영사가 6월 3일 개인정보위에 유출 사실을 신고하고 조사가 착수되었습니다. 티빙 사고의 정확한 유출 규모와 처분 수위는 현재까지 확인되지 않았으며, 향후 조사 결과를 통해 구체화될 전망입니다.

공식 통계로 본 규제 강화의 동인

개인정보위와 한국인터넷진흥원(KISA)이 2025년 접수된 유출 신고와 처분 사례를 분석해 발간한 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」에 따르면, 2025년 유출 신고는 총 447건으로 2024년 307건 대비 45.6% 증가했습니다. 같은 기간 조사·처분은 227건이었으며, 이 가운데 과징금 부과는 40건에 총 1,677억 원, 과태료 부과는 125건에 총 5억 8,720만 원이었습니다. 과징금과 과태료를 합한 부과 규모는 전년 대비 172% 늘었습니다.

2025년 유출 신고

447 건

전년 307건 대비 +45.6%

2025년 과징금

1,677 억 원

과징금 부과 40건

부과 규모 증가

+172 %

과징금·과태료 합산, 전년 대비

해킹 비중

62 %

276건, 업무과실 25% 상회

개인정보 유출 신고 건수 추이

눈에 띄는 것은 건수만이 아닙니다. 2025년 유출의 62%가 해킹에서 비롯됐고 업무 과실은 25%에 그쳤습니다. 사고의 주범이 내부 실수에서 외부 공격으로 바뀌었다는 사실이, 사업주·대표자의 책임을 강화하고 침해사고 대응 의무를 새로 넣은 입법의 명분이 되었습니다.

※ 자료: 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」. 위 그래프는 2024년과 2025년의 연간 유출 신고 건수를 비교한 것으로, 한 해 사이 45.6% 늘었음을 보여 줍니다.

입법 추진 경과

대규모 유출이 쌓이면서 현행 제도로는 부족하다는 지적이 이어졌고, 이를 반영한 개정 「개인정보 보호법」이 2026년 2월 12일 국회 본회의를 통과하여 3월 10일 공포되었습니다. 뒤이어 정보통신망법과 전기통신사업법 개정안이 3월 12일 본회의를 통과했습니다. 개인정보위는 9월 11일 모법 시행에 맞추기 위해 하위법령 정비에 들어갔고, 6월 1일과 2일에 걸쳐 두 건의 시행령 개정안을 입법예고하여 7월 13일까지 의견을 받고 있습니다.

제2장 주요 내용 분석

이번 개정으로 규제의 무게중심이 옮겨졌습니다. 사고가 난 뒤 알리고 고치는 데서, 사고 전에 책임지고 투자하는 쪽으로 바뀐 것입니다. 두 건의 시행령은 이 변화를 과징금과 보호 체계라는 두 축에서 각각 구체화합니다.

개정 「개인정보 보호법」의 주요 조항

개정 법률은 사업주 또는 대표자를 개인정보의 안전한 처리와 정보주체의 권리 보호에 관한 최종 책임자로 못박았습니다(제30조의3 신설 및 제31조 개정). 또한 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 그 사항을 개인정보위에 신고하도록 하여(제31조 제3항), CPO의 위상과 독립성을 끌어올렸습니다. 통지 의무는 종전의 분실·도난·유출에 더해, 유출 가능성을 인지한 단계에서도 생기도록 넓어졌습니다(제34조).

제재 측면에서는 징벌적 과징금이 도입되었습니다. 개정법은 일정한 중대·반복 위반에 대해 전체 매출액을 기준으로 과징금을 산정하도록 하면서, 동시에 예산·인력·설비·장치 등에 대한 투자와 운영을 과징금 감경 사유로 새로 넣어(제64조의2 제6항 신설) 기업이 사고가 나기 전에 투자하도록 유도하고 있습니다. 한편 매출액·개인정보 처리 규모 등 일정 기준에 해당하는 개인정보처리자에 대해서는 개인정보보호 인증(ISMS-P)이 의무화되며, 이 규정은 2027년 7월 1일부터 시행됩니다(안 제32조의2).

다음 표는 주요 조항을 개정 전후로 견주어 본 것입니다. 시행일이 조항마다 다른 점이 특히 중요합니다.

구분	개정 전	개정 후	시행
최종 책임 주체	개인정보처리자(법인) 중심	사업주·대표자를 최종 책임자로 명문화	2026.9.11
CPO 지정	지정 의무 중심	이사회 의결 및 개인정보위 신고(일정 기준 대상)	2026.9.11
유출 통지	분실·도난·유출 인지 시 통지	유출 '가능성' 인지 단계에서도 통지	2026.9.11
과징금 상한	전체 매출액의 3% 이내	중대·반복 위반 시 전체 매출액의 10% 이내	2026.9.11
과징금 감경	별도 명문 규정 미비	예방 투자 등을 감경 사유로 신설	2026.9.11
보호 인증	임의 인증	일정 기준 대상 ISMS-P 인증 의무화	2027.7.1

표에서 보듯 책임의 주체가 법인에서 대표자로 또렷해지고 통지 시점이 앞당겨진 점이 실무 부담의 핵심입니다. 인증 의무화만 시행일이 2027년 7월로 떨어져 있어, 대비 일정을 두 단계로 나누어 잡아야 합니다.

※ 자료: 개정 「개인정보 보호법」(법률 제21445호) 및 주요 로펌 분석 종합. 위 표는 핵심 조항이 개정 전후로 어떻게 달라졌고 각각 언제 시행되는지를 한눈에 정리한 것입니다.

두 건의 시행령 입법예고안 개요

앞서 말씀드린 두 건의 시행령을 본격적으로 들여다보기 전에, 둘이 어떻게 다른지부터 정리하겠습니다. 같은 법의 시행령이지만 소관 부서와 다루는 조문이 다른 별개의 개정안이므로 분리해서 보는 편이 이해하기 쉽습니다.

구분	시행령안 (가) 제2026-55호	시행령안 (나) 제2026-59호
입법예고일	2026.6.1	2026.6.2
소관	개인정보위 조사총괄과	개인정보위 개인정보보호정책과
핵심 내용	징벌적 과징금 산정·투자 감경·면제	CPO 거버넌스·보호 인증 의무 대상·유출 통지·과태료
주요 조문	제60조의2, 별표 1의5	제13조·제32조·제34조의9·제39조·제39조의2·제62조·별표2
의견 제출 기한	2026.7.13	2026.7.13
시행	2026.9.11	2026.9.11(인증 대상 규정은 2027.7.1)

쉽게 말해 (가)는 "사고를 내면 돈을 얼마나 물어야 하는가", (나)는 "사고를 막기 위해 평소 어떤 체계를 갖춰야 하는가"를 다룹니다. 이하에서 두 안을 차례로 살펴봅니다.

※ 자료: 개인정보보호위원회 「개인정보 보호법 시행령 일부개정령안」 입법예고(2026.6.1, 6.2) 및 관련 보도 종합. 위 표는 비슷한 시기에 나온 두 시행령안의 차이를 소관·내용·일정 기준으로 비교한 것입니다.

시행령안 (가): 과징금 산정·투자 감경·면제

(가)는 모법 제64조의2가 위임한 징벌적 과징금의 산정과 감경, 면제 기준을 정합니다. 과징금 기준금액은 위반행위의 내용과 정도, 위반 경위, 피해 규모 등을 두루 따져 가중하는 방식으로 매기며, 구체적인 산정기준과 절차는 별표 1의5에 담깁니다(안 제60조의2). 부과 금액을 결정할 때에는 위반행위자의 현실적 부담능력과 시장·산업 여건 외에, 위반행위에 비해 과중하지 않도록 개인정보위가 고시로 정하는 사유를 더 고려하여 비례성을 높였습니다.

투자 감경의 고려 사항으로는 개인정보 보호를 위해 투입한 예산·인력·설비·장치 등의 투자 규모와 지속성, 사업주 또는 대표자와 CPO의 역할 및 조직·인력 구성 등 보호 체계 운영 수준, 안전성 확보 조치 강화를 위한 추가 노력이 명시되었습니다(안 제60조의2 제5항). 다만 고의 또는 중대한 과실로 위반한 경우에는 감경에서 제외됩니다. 감경 폭은 기준금액의 최대 40%이며, 그 세부 산정은 별표 1의5에 따릅니다. 투자 감경 규정은 부칙상 시행일인 2026년 9월 11일 이후 발생한 위반행위에 과징금을 부과하는 경우부터 적용됩니다.

과징금 면제는 정보주체에게 피해가 없거나 경미한 경우로서 위반행위를 시정하고 개인정보위가 고시하는 기준에 맞을 때 인정됩니다. 여기에는 영세·중소기업이나 소상공인이 모법 제34조 제4항에 따라 기술을 지원받아 위반행위를 바로잡는 경우가 포함됩니다(안 제60조의2 제6항).

과징금 상한 비교 (전체 매출액 기준)

현행 일반 과징금 상한이 전체 매출액의 3%인 데 비해, 중대·반복 위반에 적용되는 징벌적 과징금 상한은 10%입니다. 매출 규모가 큰 기업일수록 두 상한 사이의 절대 금액 차이가 벌어지므로, 예방 투자에 따른 감경은 제도 정비를 넘어 과징금을 실제로 줄이는 수단이 됩니다.

※ 자료: 개정 「개인정보 보호법」 제64조의2 및 시행령안(가). 위 그래프는 일반 과징금 상한(3%)과 징벌적 과징금 상한(10%)을 전체 매출액 기준으로 비교한 것이며, 두 수치 모두 모법이 정한 상한입니다.

시행령안 (나): CPO 거버넌스, 보호 인증, 유출 통지, 과태료

(나)는 평소의 보호 체계를 다지는 조문을 폭넓게 담고 있습니다. 먼저 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 대상이 전문 CPO 지정 의무 대상기관으로 정해졌습니다. 이 과정에서 전문 CPO 지정 의무의 매출 기준이 현행 연 매출액 1,500억 원에서 1,800억 원으로 올라갔습니다. 신고는 의무가 생긴 날부터 1개월 이내에 해야 하고, 부득이한 사유가 있으면 그 사유가 풀린 날부터 1개월의 범위에서 미룰 수 있습니다. 이사회 의결을 빠뜨리거나 신고하지 않으면 과태료 대상이 됩니다.

다음 표는 CPO 지정 시 이사회 의결과 신고 의무가 생기는 대상기관입니다.

유형	기준
일반 기업	연 매출액·수입 1,800억 원 이상으로서 5만 명 이상 민감·고유식별정보 또는 100만 명 이상 개인정보를 처리하는 자
대학	재학생 수 2만 명 이상
의료	대규모 민감정보를 처리하는 상급종합병원
공공	공공시스템운영기관

※ 자료: 시행령안(나) 제32조. 위 표는 CPO를 지정·변경·해제할 때 이사회 의결과 개인정보위 신고가 의무인 기관을 유형별로 정리한 것으로, 기존 전문 CPO 지정 의무 대상과 동일한 범위입니다.

개인정보 보호 인증(ISMS-P) 의무 대상도 구체화되었습니다(안 제34조의9). 이 규정은 2027년 7월 1일 시행되며, 대상에 해당하는 기업은 경과조치에 따라 2028년 12월 31일까지 인증을 받아야 합니다. 다음 표가 그 대상입니다.

유형	기준
공공	공공시스템운영기관 중 개인정보위가 고시로 정하는 자
이동통신	주파수를 할당받아 이동통신서비스를 제공하는 사업자
본인확인	정보통신망법상 본인확인기관
대규모 처리	전년 매출 1조 원 이상 + 정보통신서비스 부문 전년 매출 100억 원 이상 + 직전 3개월 국내 정보주체 일일평균 3,000만 명 이상(금융회사 제외)

대규모 처리 유형은 세 가지 요건을 모두 갖춰야 한다는 점이 중요합니다. 매출만 크다고 대상이 되는 것이 아니라, 정보통신서비스 부문 매출과 국내 정보주체 수 요건까지 함께 충족하는 대형 플랫폼·서비스 사업자가 주로 해당됩니다.

※ 자료: 시행령안(나) 제34조의9 및 부칙. 위 표는 ISMS-P 인증을 의무적으로 받아야 하는 기관을 유형별로 정리한 것이며, 해당 규정은 2027년 7월 1일 시행되고 대상 기관은 2028년 말까지 인증을 받아야 합니다.

유출 통지·신고 제도도 손질되었습니다. 통지·신고 대상인 '유출등'의 범위에 종전의 분실·도난·유출에 더해 위조·변조·훼손이 들어왔습니다. 유출 가능성 통지는, 개인정보처리시스템이나 취급자 기기에 대한 불법 접근을 알게 된 때 또는 처리 중인 개인정보가 불법적으로 거래·유통되고 있음을 알게 된 때부터 72시간 이내에 정보주체에게 하도록 했습니다(안 제39조의2). 다만 객관적으로 유출 가능성이 없으면 알리지 않을 수 있고, 가능성을 알린 뒤 유출 여부가 확정되면 확정 통지나 정정 통지를 하도록 했습니다. 통지 항목에는 비밀번호 변경 방법처럼 정보주체가 스스로 취할 수 있는 계정 보호조치가 추가되었습니다. 과태료 부과기준도 정비되어, 과태료 대신 시정조치나 경고를 한 경우라도 이를 위반 횟수에 넣어 같은 위반이 되풀이되면 과태료가 무거워지도록 했습니다.

정보통신망법·전기통신사업법 개정의 병행 효과

2026년 3월 12일 본회의를 통과한 정보통신망법(의안번호 제14896호)과 전기통신사업법(의안번호 제14864호) 개정안도 침해사고 대응 의무를 강화했습니다. 정보통신망법은 고의 또는 중과실로 5년 이내에 침해사고가 2회 이상 발생한 경우 매출액의 3% 이내에서 과징금을 부과할 수 있도록 반복 침해사고 과징금을 신설했고(제48조의8), 침해사고 신고 기한을 인지한 때부터 24시간 이내로 명확히 했습니다(제48조의3). 조사 과정에서 시정명령 불이행이나 자료제출 거부, 조사 방해가 있으면 1일 평균매출액의 0.03% 범위에서 이행강제금이 부과됩니다.

주의사항

여기서 기한 두 가지를 헷갈리지 않아야 합니다. 정보통신망법의 침해사고 신고 기한은 인지한 때부터 24시간이고, 개인정보 보호법 시행령의 유출 가능성 통지 기한은 72시간입니다. 정보통신서비스를 제공하는 기업은 두 기한을 별개의 의무로 보고 신고·통지 절차를 따로 마련해야 합니다.

제3장 핵심 쟁점 및 이해관계자 입장

제도가 가야 할 방향에는 대체로 공감대가 있습니다. 다만 기준이 모호하거나 새로 생긴 의무 대상을 가려내기 어렵다는 점이 기업의 고민입니다.

2025년 유출 원인별 구성

해킹이 전체의 62%를 차지하는 구조에서, 해킹 중에서도 랜섬웨어·웹셸 등 악성코드 공격이 96건으로 가장 많았고, SQL 인젝션·파라미터 변조 등 웹 취약점 악용이 32건, 관리자 페이지 비정상 접속이 23건으로 뒤를 이었습니다. 외부 공격이 주된 원인인 만큼, 책임을 어디까지 기업에 물을 것인지가 쟁점의 출발점입니다.

※ 자료: 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」. 위 도식은 2025년 유출 신고를 원인별로 나눈 비중으로, 해킹이 압도적임을 보여 줍니다. '기타'는 업무 과실·시스템 오류 외 사유의 합계입니다.

실무 쟁점

첫째, 과징금 감경 요건을 어떻게 입증하느냐입니다. 예방 투자가 감경 사유로 명문화되었으나, 어느 정도의 투자가 어떤 기준으로 인정되는지는 별표 1의5와 고시 단계에서 정해집니다. 개인정보위가 징벌적 과징금을 도입한 취지에 비추어 감경 요건도 엄격히 보겠다는 입장이어서, 기업으로서는 투자의 규모뿐 아니라 지속성과 효과까지 문서로 입증할 체계를 갖춰 두어야 합니다.

둘째, 유출 가능성 통지를 언제 해야 하느냐입니다. 시행령안은 불법 접근이나 불법 거래·유통을 알게 된 때부터 72시간 이내 통지를 요구하고, 통지 대상에 위조·변조·훼손까지 넣었습니다. '가능성'을 어떻게 판단하느냐가 통지 의무의 시작점을 좌우하므로, 상시 모니터링 체계와 통지 여부·시점을 판단하는 내부 기준을 미리 마련하지 않으면 너무 늦게 알리거나 반대로 과하게 알리는 혼선이 생길 수 있습니다. 셋째, 새로 구체화된 의무 대상을 가려내는 일입니다. 전문 CPO 지정과 인증 의무 대상이 매출액과 정보주체 수 등으로 정해진 만큼, 자사가 거기에 해당하는지부터 따져 봐야 합니다. 넷째, 대표자 책임 명문화가 형사·행정 책임으로 어디까지 이어질지는 앞으로 처분 사례와 해석을 통해 드러날 부분이어서, 지금 단정하기는 이릅니다.

이해관계자 입장

다음 표는 주요 이해관계자의 입장입니다. 제도 강화의 필요성에는 공감대가 있으나, 기준의 명확성을 둘러싼 시각차가 남아 있습니다.

이해관계자	주요 입장	근거 또는 논점
개인정보위	강화된 제재의 실효적 집행	대규모 유출 예방을 위해 감경 요건도 엄격히 적용하겠다는 방침
산업계	기준 명확화 요구	감경 인정 범위, 인증·CPO 의무 대상 기준의 불확실성에 따른 예측 가능성 저하 우려
법무·컴플라이언스 실무	선제적 체계 정비	72시간 통지 판단 기준, 투자 문서화, CPO 거버넌스, 의무 대상 해당 여부 검토의 시급성

개인정보위의 엄격 적용 방침과 산업계의 명확화 요구가 부딪히는 지점이 곧 입법예고 기간 중 의견 수렴의 핵심 의제입니다. 두 시행령안의 의견 제출 기한이 모두 7월 13일인 만큼, 감경 기준과 의무 대상 기준에 대한 구체적 의견을 그 전에 내는 것이 실무적으로 의미가 있습니다.

※ 자료: 개인정보보호위원회 발표 및 주요 로펌·언론 보도 종합. 위 표는 이번 개정을 둘러싼 주요 이해관계자의 입장과 그 논점을 정리한 것입니다.

제4장 향후 전망 및 전략적 시사점

남은 일정은 빠듯하고, 시행일은 조항마다 다릅니다. 9월에 곧바로 적용되는 항목과 2027년에 시작되는 인증 의무를 나누어 대비하는 것이 출발점입니다.

예상 일정

두 건의 시행령 입법예고는 모두 2026년 7월 13일에 의견 수렴이 끝나며, 이후 관계부처 협의와 법제처 심사, 차관회의·국무회의 의결을 거쳐 9월 11일 모법 시행에 맞추어 시행될 것으로 전망됩니다. 다만 입법예고된 조문은 의견 수렴과 심사 과정에서 바뀔 수 있으므로, 확정 시행령과 뒤따를 고시(과징금 부과 세부기준, CPO 신고서 서식 등)의 행정예고를 함께 지켜봐야 합니다. 보호 인증 의무 대상에 관한 규정(제34조의9)은 2027년 7월 1일 시행되며, 대상 기업은 2028년 12월 31일까지 인증을 받아야 합니다.

잠재적 리스크

법적 리스크로는 전체 매출액 기준 징벌적 과징금이 도입되면서 단일 사고의 제재 규모가 종전보다 크게 불어날 수 있다는 점이 있습니다. 재무적 리스크로는 감경 요건을 충족하지 못하면 예방 투자에 따른 감경 효과를 누리지 못한다는 점, 평판 리스크로는 유출 가능성 단계의 72시간 통지를 놓치거나 정보통신망법의 24시간 신고 기한을 어기는 경우 사후 비판으로 이어질 수 있다는 점이 있습니다.

기업을 위한 점검 사항

시행 전 점검은 다음 순서로 잡을 수 있습니다. 먼저 유출 가능성을 일찍 잡아낼 상시 모니터링 체계와, 인지 후 72시간 안에 통지 여부를 판단할 내부 기준을 마련해야 합니다. 통지·신고 대상에 위조·변조·훼손이 들어온 점도 절차에 반영해야 합니다. 다음으로 예방 투자의 규모·지속성·효과를 감경 심사에 대비해 문서로 남기는 체계를 갖춰야 합니다. 또 CPO의 지정·변경·해제에 관한 이사회 의결과 의무 발생일부터 1개월 이내의 개인정보위 신고 절차를 정비하고, 자사가 전문 CPO 지정 의무 대상(연 매출 1,800억 원 등)과 보호 인증 의무 대상(매출 1조 원, 정보주체 일일평균 3,000만 명 등)에 해당하는지 점검해야 합니다. 끝으로 개인정보 보호법과 정보통신망법의 신고·통지 의무를 한데 묶어 관리하는 대응 매뉴얼도 함께 손봐 둘 필요가 있습니다.

결론

법률은 이미 확정됐습니다. 그래서 지금 기업이 실제로 움직일 수 있는 여지는 두 가지입니다. 하나는 7월 13일까지인 두 시행령 입법예고에 의견을 내는 것이고, 다른 하나는 9월 시행 전에 내부 체계를 갖추는 것입니다. 징벌적 과징금이 올라간 만큼 예방 투자에 대한 감경도 커졌으니, 보호 체계에 쓴 돈이 곧 과징금을 줄이는 근거가 됩니다. 72시간 통지 체계, 투자 기록의 문서화, CPO 거버넌스, 인증 의무 대상 해당 여부 점검을 9월 전에 마무리하는 것이 우선 과제입니다.

주의사항

본 리포트에 인용된 일부 사고의 유출 규모와 처분 수위는 아직 조사 중이거나 확정되지 않았습니다. 특히 티빙 사고는 2026년 6월 3일 조사 착수 단계여서 규모와 처분이 확인되지 않았고, 쿠팡 사건의 과징금도 부과 전이라 여러 추정치가 오갈 뿐입니다. 두 건의 시행령 입법예고안은 의견 수렴과 심사 과정에서 조문이 바뀔 수 있으며, 과징금 기준금액 산정과 감경 폭의 세부 수치는 입법예고안 별표 1의5에 따릅니다.

참조 자료

[1]

개인정보보호위원회(조사총괄과), 「개인정보 보호법 시행령 일부개정령안」 입법예고 — 징벌적 과징금 산정·투자 감경·면제(입법예고 2026.6.1∼7.13) https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=86932

[2]

개인정보보호위원회(개인정보보호정책과), 「개인정보 보호법 시행령 일부개정령안」 입법예고 — CPO 이사회 의결·신고, 보호 인증 의무 대상, 유출 통지·신고, 과태료 정비(입법예고 2026.6.2∼7.13) https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=86980

[3]

이데일리, '개인정보 보호 투자하면 과징금 최대 40% 감경⋯대규모 유출 땐 매출 10%까지 부과'(김현아 기자, 2026.6.1) https://www.edaily.co.kr/News/Read?newsId=02807686645477456

[4]

이데일리, 'CPO 지정·해제, 이사회 의결 거쳐야⋯개인정보위 시행령 개정안 입법예고'(안유리 기자, 2026.6.2) https://www.edaily.co.kr/News/Read?newsId=03322646645477784

[5]

뉴스1, 'CPO 변경 시 이사회 의결·신고해야⋯개인정보 유출 예방강화'(이기림 기자, 2026.6.2) https://news.nate.com/view/20260602n10195

[6]

데일리시큐, '개인정보 유출 가능성만 확인돼도 72시간 내 통지 의무화'(2026.6.2) https://www.dailysecu.com/news/articleView.html?idxno=207016

[7]

개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」 인용 — 데일리시큐, '개인정보 유출 신고 45.6% 증가'(2026.5) https://www.dailysecu.com/news/articleView.html?idxno=206755

[8]

데일리시큐, '개인정보위, 티빙 개인정보 유출 사고 조사 착수'(2026.6.3) https://www.dailysecu.com/news/articleView.html?idxno=207034

[9]

국가법령정보센터, 「개인정보 보호법」[법률 제21445호, 2026.3.10 일부개정, 2026.9.11 시행] https://www.law.go.kr

※ 본 리포트 작성 기준일: 2026년 6월 4일. 개정 「개인정보 보호법」은 공포·시행일이 확정되었으나, 두 건의 시행령 개정안은 2026년 7월 13일까지 입법예고 중인 안으로 의견 수렴과 법제처 심사 과정에서 조문이 바뀔 수 있습니다. 과징금 기준금액 산정과 감경 폭의 세부 수치는 입법예고안 별표 1의5에 따르며, 일부 사고의 유출 규모·처분 수위는 조사 진행 중이거나 미확정 상태입니다.

2026.06. 개인정보보호법 시행령 개정안 입법예고 상세 분석