개인정보 유출되면 무엇이 달라지나 — 2026년 9월 11일 개인정보보호법 개정 총정리 (징벌적 과징금·유출통지 확대)
가입한 쇼핑몰·금융사에서 "고객님의 개인정보가 유출되었을 가능성이 있습니다"라는 문자를 받아본 적 있으신가요? 이제 그 문자에 담기는 내용이 2026년 9월 11일부터 달라졌습니다. 개인정보보호위원회가 개정한 「개인정보 보호법」·시행령·고시가 이날부터 시행되면서, 유출 통지에 담기는 항목이 늘고 기업에 매기는 과징금 상한도 크게 올랐습니다. 무엇이 어떻게 바뀌었는지 개인정보보호위원회 공식 발표 원문으로 정리했습니다.
- 개정 「개인정보 보호법」·시행령·고시가 2026년 9월 11일부터 시행 중
- 유출 가능성만 있어도 통지받을 수 있고, 통지 항목에 분쟁조정 신청·손해배상 청구 방법까지 포함되도록 확대
- 반복적이거나 고의·중과실로 인한 유출에는 전체 매출액 10% 이내 징벌적 과징금 신설
- 기업은 CPO(개인정보보호책임자) 지정·변경·해제 시 이사회 의결·신고 의무화
1. 무엇이, 왜 지금 바뀌었나
개인정보보호위원회는 2026년 9월 10일 보도자료를 통해 "개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시가 9월 11일부터 시행된다"고 밝혔습니다. 개정된 법과 이를 구체화한 시행령·고시가 같은 날 함께 시행되는 구조입니다.
이번 개정의 핵심은 두 방향입니다. 하나는 유출이 실제로 일어나기 전에 기업이 더 신경 쓰게 만드는 것(사전예방), 다른 하나는 유출이 일어난 뒤 소비자가 더 많은 정보를 받고 더 쉽게 대응하게 만드는 것(피해구제)입니다.
▲ 맨 위로2. 9월 11일부터 새로 생긴 것
개인정보보호위원회 2026년 9월 10일 보도자료 원문 표현을 기준으로, 이번 개정으로 새로 생기거나 확대된 항목만 추렸습니다.
- 유출 가능성 통지제 신설 — 유출 가능성만 있어도 통지 대상이 될 수 있는 제도가 새로 생겼습니다
- 통지 항목 확대 — 유출 사실·항목·시점 등 기본 사항에 더해 분쟁조정 신청 방법·손해배상 청구 방법까지 포함하도록 확대됐습니다
- 징벌적 과징금 신설 — 반복적이거나 고의·중과실로 인한 유출에 전체 매출액 10% 이내 과징금을 매길 수 있게 됐습니다
- 과징금 의무 감경제 도입 — 사전 예방적 개인정보 보호 투자와 연계해 과징금을 감경받을 수 있는 제도가 함께 도입됐습니다
- CPO 의무 강화 — CPO(개인정보보호책임자) 지정·변경·해제 시 이사회 의결·신고가 의무화되고, 이사회 보고 의무도 신설됐습니다
위 감경제 신설로 기업 입장에서는 "터진 뒤 대응"보다 "미리 투자"가 유리해지는 구조로 바뀌었습니다.
3. 내가 유출 통지를 받으면 달라지는 것
지금까지는 "유출됐습니다"라는 통지를 받아도 정작 무엇을 해야 할지는 스스로 알아봐야 했습니다. 9월 11일부터는 통지 자체에 다음 내용까지 포함되도록 확대됐습니다.
- 유출된 개인정보 항목과 발생 시점
- 분쟁조정을 신청하는 방법 — 어느 기관에, 어떻게 신청하는지
- 손해배상을 청구하는 방법 — 소비자가 실제로 배상을 받으려면 무엇을 해야 하는지
즉 예전에는 통지를 받은 뒤 "그래서 나는 뭘 하지?"를 검색해서 따로 찾아야 했다면, 지금은 그 답의 상당 부분이 통지 안에 함께 오도록 제도가 바뀐 것입니다.
▲ 맨 위로4. 나는 얼마를 받을 수 있나 — 법정손해배상
개인정보 보호법 제39조의2(법정손해배상의 청구)는 개인정보처리자의 고의 또는 과실로 개인정보가 유출된 경우, 정보주체가 실제 손해액을 일일이 입증하지 않고도 정액으로 배상을 청구할 수 있게 한 조문입니다.
조문 원문은 "해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다"고 정하고 있습니다. 즉 소비자가 사업자의 잘못을 입증하는 게 아니라, 사업자가 스스로 잘못이 없었음을 입증해야 하는 구조입니다.
법정손해배상 vs 일반 손해배상 — 헷갈리지 마세요
| 구분 | 법정손해배상(제39조의2) | 일반 손해배상(제39조③) |
|---|---|---|
| 요건 | 고의 또는 과실(일반 과실로 충분) | 고의 또는 중대한 과실 |
| 배상 범위 | 300만원 이하(정액 청구) | 손해액의 5배 이내(법원 산정) |
| 입증 부담 | 실손해액 입증 불필요 | 손해 발생·규모 입증 필요(입증 곤란 시 5배 이내 인정) |
2026년 3월 10일 개정으로 이 조문의 시행일이 2026년 9월 11일로 정해졌다는 것은 국가법령정보센터 원문으로 확인했지만, 이 개정이 "300만원"이라는 금액 자체를 바꾼 것인지 문구만 다듬은 것인지는 개정 전 조문을 확보하지 못해 확인하지 못했습니다. 이 글에는 현재 시행 중인 상한액(300만원 이하)만 확정 사실로 적습니다.
5. 유출 통지를 받았다면 — 할 일 3단계
"고객님의 개인정보가 유출되었을 가능성이 있습니다"라는 통지를 실제로 받았다면, 개인정보보호위원회(pipc.go.kr) 공식 안내를 기준으로 아래 순서로 대응하면 됩니다.
- 1단계. 비밀번호부터 바꾸세요 — 유출된 계정과 같은 비밀번호를 쓰는 다른 사이트가 있다면 그것도 함께 바꿉니다
- 2단계. 개인정보침해 신고센터 국번없이 118로 신고(privacy.go.kr) — 개인정보 보호법 제62조에 따른 공식 신고 창구입니다. 온라인·전화·이메일로 접수할 수 있고, 상담은 원칙적으로 14일 이내 답변, 침해 사실 확인·시정 유도는 접수일로부터 60일 이내(서면 접수 원칙), 그래도 시정되지 않으면 120일 이내 행정조사로 전환됩니다
- 3단계. 개인정보 분쟁조정위원회에 분쟁조정 신청 — 온라인 또는 서면으로 신청하며(전화 1833-6972, 정부서울청사 12층), 신청 비용은 "비용 없이"(무료)라고 공식 안내에 명시돼 있습니다. 접수 → 합의 권고 → 사실조사 → 조정안 제시 순으로 진행되고, 양측이 조정안을 수락해 성립되면 "재판상 화해"와 같은 효력(제47조⑤)을 가집니다
6. 기업에 매기는 과징금 — 얼마나 무거워졌나
이번 개정으로 반복적이거나 고의·중과실로 인한 개인정보 유출에 대해서는 전체 매출액의 10% 이내 징벌적 과징금을 매길 수 있게 됐습니다.
연매출 100억원인 기업이 반복적·고의중과실로 개인정보를 유출했다고 가정하면, 과징금 상한은 매출액의 10%인 최대 10억원까지 산정될 수 있습니다. 실제 부과액은 위반의 고의성·반복 여부·피해 규모에 따라 이보다 낮게 정해질 수 있으며, 상한 자체가 매출액 기준으로 크게 오른 것이 이번 개정의 핵심입니다.
개인정보보호위원회 보도자료 원문은 "전체 매출액 10% 이내"라고만 밝혔고, 관련 매출액 특례 등 세부 산정기준은 이 보도자료에 없습니다. 정확한 산정 방식은 시행령 원문(law.go.kr)에서 확인해야 합니다.
7. 헷갈리기 쉬운 함정
같은 개인정보 보호 개정 흐름 안에서 함께 언급되는 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 의무화는 시행일이 2027년 7월 1일로 별도 유예돼 있습니다. "9월 11일 시행"이라는 뉴스만 보고 ISMS-P까지 지금 당장 대응해야 한다고 오해하지 않도록 주의가 필요합니다.
일부에서 유출 통지 기한을 "72시간 이내"로 소개하지만, 2026년 9월 10일 개인정보보호위원회 보도자료 원문에는 이 숫자가 나오지 않습니다. 정확한 통지 기한은 개정 「개인정보 보호법」·시행령 조문을 국가법령정보센터(law.go.kr)에서 직접 확인하거나, 개인정보보호위원회에 문의해 확인하는 것이 정확합니다.
출처: 개인정보보호위원회 · 개인정보 포털 · 국가법령정보센터
댓글
댓글 쓰기