이제 유출 의심만 돼도 72시간 내 통보받는다, 개인정보 보호법 뭐가 달라지나

지난번 정리해 드린 티빙 개인정보 유출 사고, 기억하시나요? 이런 유출 사고가 발생했을 때 회사가 언제, 얼마나 빨리 알려야 하는지를 규정한 법이 이번에 크게 바뀝니다. 개정 개인정보 보호법(법률 제21445호)이 9월 11일부터 시행되는데요, 소비자 입장에서 뭐가 달라지는지, 기업 입장에서는 어떤 부담이 커지는지 정리해 봤습니다.

 

1. 유출 '가능성'만 있어도 통지받는다
2. 과징금 매출액 10%까지, 대신 감경 조항도 신설
3. 개인정보 보호책임자(CPO) 책임 확대
4. 헷갈리기 쉬운 다른 개정, ISMS-P는 아직

 

1. 유출 '가능성'만 있어도 통지받는다

 

 

가장 체감도가 큰 변화는 통지 시점입니다. 기존에는 개인정보 유출이 실제로 '확인된' 이후에 통지 의무가 발생했는데, 이번 개정으로 유출 가능성을 인지한 단계에서도 정보주체(이용자)에게 72시간 이내 통지해야 하는 의무가 새로 생겼습니다(제34조). 즉 아직 확정되지 않은 '유출 의심' 단계에서도 회사가 이용자에게 알려야 한다는 뜻입니다.

 

여기에 통지·신고 대상이 되는 '유출등'의 범위도 넓어졌습니다. 기존에는 정보가 외부로 새어나가는 '유출'만 대상이었는데, 이번 개정으로 정보가 임의로 바뀌거나 훼손되는 위조·변조·훼손까지 통지 대상에 포함됐습니다(제23조 제2항). 조항 번호도 일부 이동해서, 신고 근거 조항이 기존 제3항에서 제4항으로 옮겨졌습니다.

 

2. 과징금 매출액 10%까지, 대신 감경 조항도 신설

 

 

기업 입장에서 가장 부담스러운 변화는 과징금입니다. 반복적이고 중대한 위반에 대해서는 과징금 상한이 전체 매출액의 **최대 10%**까지 오릅니다(제64조의 2 제2항 신설). 다만 이 10% 상한은 아무 위반에나 적용되는 게 아니라, 반복성과 중대성 등 일정 조건을 충족해야 적용되는 예외적 상향이라는 점은 알아두시는 게 좋습니다.

 

동시에 기업에 유리한 조항도 새로 생겼습니다. 평소에 개인정보 보호를 위한 예산·인력을 선제적으로 투자·운영해 온 기업이라면, 이런 사전 투자 자체가 과징금을 깎아주는 필수 감경사유로 인정받을 수 있게 됐습니다. 결국 같은 위반이라도 평소 관리 수준과 사고 이후 대응에 따라 제재 수위가 달라지는 구조로 바뀐 셈입니다.

 

3. 개인정보 보호책임자(CPO) 책임 확대

 

개인정보 보호책임자(CPO)를 둘러싼 규정도 크게 강화됐습니다. 먼저 최종 책임자(대표자)에게 개인정보 보호에 필요한 전문 인력과 예산을 지원하는 등 총괄적인 관리 조치 의무가 명시적으로 부여됐습니다. CPO의 독립성과 권한도 강화돼서, 전문인력 확보와 예산 관리는 물론 대표자·이사회에 직접 보고할 수 있는 체계가 갖춰집니다.

 

절차적으로도 CPO를 지정·변경·해제할 때 이사회 의결과 개인정보보호위원회 신고가 의무화됩니다(제31조 제3항). 만약 CPO를 지정하지 않거나 자격 요건에 맞지 않는 사람을 지정하면 새로 신설된 과태료 규정(제75조 제2항)이 적용됩니다. 기업 입장에서는 CPO 선임을 형식적으로 처리할 수 없게 된 셈입니다.

 

4. 헷갈리기 쉬운 다른 개정, ISMS-P는 아직

 

여기서 한 가지 꼭 구분해야 할 부분이 있습니다. 뉴스에서 함께 언급되는 'ISMS-P 인증 의무화'는 이번 9월 11일 시행과는 별개로, 2027년 7월 1일부터 시행되는 사안입니다. 지금 당장 준비해야 하는 항목이 아니니 혼동하지 않으셔야 합니다.

 

또한 8월 20일 시행된 본인전송요구권(마이데이터) 관련 시행령도 이번 개정과는 다른 별개의 개정 사안입니다. 비슷한 시기에 여러 개인정보 관련 법령이 순차적으로 바뀌다 보니 일정이 뒤섞이기 쉬운데, 9월 11일은 유출·과징금·보호책임자를 다루는 법률 개정이라는 점을 기준으로 구분해서 이해하시면 헷갈리지 않을 것 같습니다.

 

티빙 보상 신청 방법 보러가기

❓ 자주 묻는 질문

 

Q1. 저 같은 일반 소비자도 이번 개정으로 뭐가 달라지나요?
A. 가입한 서비스에서 개인정보 유출이 의심되는 상황이 생기면, 확정되기 전 단계에서도 72시간 이내에 통지를 받을 수 있게 됩니다. 통지 대상 범위도 유출뿐 아니라 정보 위조·변조·훼손까지 넓어졌습니다.

 

Q2. 과징금 10%는 모든 기업에 적용되나요?
A. 아닙니다. 반복적이고 중대한 위반이라는 조건을 충족해야 적용되는 예외적 상한 이라, 일반적인 경미한 위반에는 해당하지 않습니다.

 

Q3. ISMS-P 인증도 이번에 같이 의무화되나요?
A. 아닙니다. ISMS-P 인증 의무화는 2027년 7월 1일 시행으로, 이번 9월 11일 개정 사항과는 별개입니다.

 

요약하자면

 

9월 11일부터 시행되는 개정 개인정보 보호법의 핵심은 유출 가능성 단계에서도 72시간 이내 통지 의무가 생긴다는 점, 반복·중대 위반 시 과징금이 매출액의 최대 10%까지 오른다는 점, 그리고 개인정보 보호책임자의 책임과 절차가 크게 강화된다는 점입니다. 다만 과징금 상향에는 필수 감경사유도 함께 신설된 만큼, 평소 개인정보 보호에 얼마나 투자해 왔는지가 앞으로 더 중요해질 것으로 보입니다.