[법령 ①] 개인정보보호법 2026 개정 — 과징금 10%, CPO 이사회 의결, 72시간 통지

무엇이, 언제 바뀌나

CPO의 책임 명문화, 개인정보 보호 인증 의무화, 유출 가능성 통지 의무, 과징금 강화를 담은 개인정보보호법 개정안이 2026년 2월 12일 국회 본회의를 통과했다. 개정법은 공포 후 6개월이 지난 2026년 9월 11일부터 시행되며, 개인정보보호 인증 의무화 규정만 2027년 7월 1일로 시행이 미뤄졌다.

① 대표자 책임 명확화와 CPO 강화

개정법은 사업주 또는 대표자를 개인정보의 안전한 처리와 정보주체 권리 보호에 관한 최종 책임자로 명시했다. "담당 부서가 알아서 하는 일"이라는 인식이 법문 차원에서 차단된 셈이다.

일정 규모 이상의 개인정보처리자는 CPO를 지정할 때 이사회 의결과 개인정보보호위원회 신고를 거쳐야 한다. 기존에는 제31조 위반에 과태료 규정이 없었지만, 개정법은 미지정 · 자격 미달자 지정 · 이사회 의결 누락 · 신고 누락을 각각 과태료 대상으로 삼는다.

이 의무들은 제26조 제8항에 따라 수탁자에게도 준용된다. 위탁을 준 쪽만 챙기고 받은 쪽을 방치하면 그대로 리스크가 된다.

② 유출 "가능성" 단계에서의 72시간 통지

• 기존에는 유출 사실을 안 때가 기산점이었으나, 개정법은 유출 가능성을 인지한 시점부터 72시간 이내 통지를 의무화했다
• '유출등'의 정의에 위조 · 변조 · 훼손이 포함된다
• 신고 근거 조문이 제34조 제3항 → 제4항으로 이동했다
• 유출 통지 시 손해배상 청구 방법까지 안내하도록 의무화됐다

실무적으로 가장 부담이 큰 변화다. "확실해질 때까지 기다렸다가 신고한다"는 기존 관행이 그대로 위반이 된다. 확신이 서기 전에 시계가 돌기 시작한다는 점을 대응 매뉴얼에 반영해야 한다.

③ 과징금 상한 3% → 10%

④ ISMS-P 인증 의무화 (2027년 7월 1일)

일정 규모 이상 개인정보처리자의 ISMS-P 인증이 의무화된다. 시행이 2027년 7월 1일로 유예됐지만, 인증 준비에 통상 6개월~1년이 걸린다는 점을 감안하면 2026년 하반기에는 착수해야 하는 일정이다. 구체적인 의무 대상 범위는 시행령에서 정해진다.

⑤ 데이터 활용 측면

• 금융 분야에 시범 도입됐던 전송요구권이 의료 · 통신 · 유통 분야로 확대
• 2026년 3월 31일 개인정보보호위원회가 전면 개정한 「가명정보 처리 가이드라인」은 위험성 판단 기준을 '위험도 기반' 체계로 전환
• AI 자동화 결정 규제 및 국외 이전 체계 개정도 예정 — 다만 표준계약(SCC) 도입은 확정이 아닌 검토 단계다

시행 전 체크리스트

• ☐ CPO 지정에 대한 이사회 의결 완료 및 보호위원회 신고
• ☐ CPO 자격 요건 충족 여부 확인 (자격 미달 지정도 과태료 대상)
• ☐ 수탁사 CPO 지정 현황 점검 — 준용 규정 적용 대상
• ☐ 침해사고 대응 매뉴얼을 "가능성 인지 → 72시간" 기준으로 재작성
• ☐ 유출 통지문 양식에 손해배상 청구 방법 안내 추가
• ☐ 위조 · 변조 · 훼손 사건도 유출 신고 대상임을 대응 흐름도에 반영
• ☐ 매출액 10% 기준 최대 과징금 시나리오 재산정 (경영진 보고)
• ☐ 보안 투자 실적을 감경 사유로 입증할 수 있게 문서화
• ☐ ISMS-P 인증 준비 착수 (2027년 7월 대비)