결론부터 말하면, 개정 개인정보보호법과 시행령이 2026년 9월 11일부터 시행되었습니다. 서비스를 개발·운영하는 실무자에게는 유출을 판단하는 범위, 과징금, 책임자 지정 절차가 달라졌습니다.
법인이 아니어도 업무 목적으로 고객 명부 같은 개인정보파일을 운용하는 개인은 개인정보처리자입니다. 소상공인이라면 수집 목적, 최소 수집, 사고 통지 절차부터 점검하면 됩니다.
핵심만 추리면
랜섬웨어 같은 위조·변조·훼손도 유출신고·통지 대상입니다.
반복적이거나 고의·중과실로 인한 유출에는 징벌적 과징금이 도입되었습니다.
대표자의 최종책임과 개인정보 보호책임자(CPO)의 권한이 법에 명시되었습니다.
개인정보보호법 2026년 9월 11일 시행분, 달라진 것과 시행 일정
무거운 과징금과 예방 투자 감경이 함께 들어왔습니다.
2026년 3월 개정된 법은 반복적이거나 고의·중과실 유출에 전체 매출액 10% 이내의 징벌적 과징금을 두었습니다. 동시에 사전 예방적 보호 투자와 연계한 과징금 의무 감경제도 도입했습니다. 그래서 모든 유출에 곧바로 이 상한이 걸리지는 않습니다.
시행령은 과징금 부과 기준과 절차, 예방투자 감경기준을 구체화했습니다. 보호책임자 이사회 의결·신고 대상 기준과 유출 가능성 통지 요건·절차도 시행령에 담겼습니다. 소규모 사업장에 징벌적 과징금이 적용되는지와 매겨질 수준은 개인정보보호위원회의 과징금 대상·기준 안내에서 확인해야 합니다.
시행 시점주요 내용현재 상태
| 2026년 9월 11일 | 개정법·시행령 | 시행 |
| 2027년 03월 09일 | 다음 시행분 | 검토 후 업데이트 예정 |
| 2027년 7월 1일 | 관리체계 인증 의무화 | 시행령 별도 추진 |
다음 시행분은 개정 사항을 검토한 뒤 법령 안내가 업데이트될 예정입니다. 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 의무화는 공공·민간 부문 중요 개인정보처리자가 대상입니다. 관련 시행령 개정은 법 규정 시행 전까지 별도로 추진됩니다.
개인정보 유출 신고·통지, 위조·변조·훼손도 대상
데이터가 밖으로 나가지 않았어도 위조·변조·훼손되면 신고·통지 대상입니다.
일상과 밀접한 분야에서 대규모 개인정보 유출사고가 연이어 발생해 국민 불안과 우려가 이어지고 있습니다. '외부로 빠져나가지 않았으니 유출이 아니다'라는 판단은 이제 위험합니다. 개인정보보호법위반을 걱정한다면 사고 분류 기준부터 다시 보는 편이 안전합니다.
개정법은 유출 가능성 통지제도를 새로 만들었습니다. 유출 가능성 통지의 요건·절차는 시행령에 담겼습니다.
운영자가 할 일
- 랜섬웨어 암호화 같은 위조·변조·훼손도 신고·통지 여부를 판단할 사고 유형에 포함합니다.
- 유출 '가능성' 단계에서 통지를 판단할 담당자를 정합니다.
- 통지문 양식에 분쟁조정 신청과 손해배상 청구 방법 항목을 추가합니다.
통지를 받는 사람이 챙길 것
통지를 받는 사람은 통지문에서 분쟁조정 신청과 손해배상 청구 방법을 안내받게 됩니다. 정보주체에게는 피해구제를 받을 권리도 있습니다.
개인정보 판단 기준, 이름이 없어도 개인정보인 경우
로그의 ID·위치값도 다른 정보와 쉽게 결합해 사람을 알아볼 수 있으면 개인정보입니다.
쉽게 결합할 수 있는지는 다른 정보의 입수 가능성과 시간·비용·기술을 합리적으로 고려해 판단합니다. 단독 값만 보고 판단하면 조인 한 번으로 식별되는 로그를 놓치기 쉽습니다.
「개인정보 보호법」 제2조 제1호는 살아 있는 개인에 관한 정보를 대상으로 합니다. 성명, 주민등록번호, 영상 등으로 개인을 알아볼 수 있으면 개인정보입니다. 이렇게 알아볼 수 있는 사람이 '정보주체'입니다.
구체적 예로는 신분관계, 심신의 상태, 경제관계, 생체인식정보(지문, 홍채, DNA 등), 위치정보 등이 꼽힙니다. 대법원 2016. 3. 10. 선고 2012다105482 판결은 이미 공개된 개인정보도 개인정보에 포함된다고 보았습니다. 그러니 공개 프로필에서 모은 값이라도 안심할 수 없습니다.
익명처리 → 가명처리 순서, 그리고 AI 학습 특례 개정안
데이터 처리 순서는 '최소 수집 → 익명 → 안 되면 가명'입니다.
먼저 구분할 점이 있습니다. AI 학습 원본 이용 특례는 2026년 8월 20일 국회 본회의에서 가결된 개정안입니다. 9월 11일 시행분과는 다른 개정이며, 시행일은 국회와 개인정보보호위원회 공고로 확인해야 합니다.
개인정보처리자는 목적을 명확히 하고 필요한 최소한의 개인정보만 수집해야 합니다. 그다음 단계별 처리 방식입니다.
- 익명처리
익명으로 목적을 달성할 수 있으면 먼저 씁니다. - 가명처리
일부 삭제·대체로 추가 정보 없이는 개인을 알아볼 수 없게 합니다. - 가명정보
추가 정보를 쓰거나 결합하지 않으면 특정 개인을 알아볼 수 없는 정보입니다. - 원본(개정안) — 얼굴·음성·부호 등을 가명처리 없이, 동의 없이 AI 개발에 쓰는 특례입니다.
2020년 가명정보 특례는 가명처리 같은 안전조치를 전제로 목적 외 이용을 예외적으로 허용했습니다. 새 특례는 그 전제였던 가명처리를 빼는 방향입니다.
인공지능 책임성과 공공성 강화를 위한 시민사회 공동행동은 이 개정안을 위헌적 개악이라며 규탄했습니다. 성명은 정보주체가 이용 사실을 사전·사후에 고지받을 수 없어 통제권이 사실상 박탈됐다고 주장합니다.
개인정보보호법 의무, 역할별 체크리스트와 파기 실제 사례
법인뿐 아니라 업무로 개인정보파일을 운용하는 개인도 개인정보처리자입니다.
그래서 소상공인도 아래 첫 항목부터 점검하면 됩니다.
소상공인·대표
- 업무 목적으로 고객 명부나 회원 파일을 운용하는지 확인합니다.
- 개인정보 보호 최종책임이 사업주·대표자에게 있음을 내부 규정에 적습니다.
보호책임자
- 전문인력 관리·예산 확보와 이사회 보고 체계를 갖춥니다.
- 이사회 의결·신고 의무 대상인지 먼저 확인하고 해당하면 지정·변경·해제 때 이사회 의결과 신고를 거칩니다.
이사회 의결·신고 의무 대상 기준은 시행령에 정해져 있습니다. 해당 여부는 개인정보보호위원회 안내로 확인해야 합니다.
개발자
- 열람(사본 발급 포함)·전송 요구를 접수하고 처리할 방법을 점검합니다.
- 처리정지·정정·삭제 요구를 받는 경로를 만듭니다.
- 완전히 자동화된 결정에는 거부·설명 요구 창구를 둡니다.
시민 입장에서는 내 정보의 열람·정정·삭제와 처리정지를 요구할 권리가 있습니다. 내 정보를 처리하는 사업자에게 이런 요구를 직접 하면 됩니다.
파기 사례: 천안시 도서관
천안시 도서관정책과는 개인정보보호법 준수를 위해 개인정보 보유기간을 3년으로 재책정한다고 안내했습니다. 3년은 이 기관이 정한 기간이며 모든 서비스의 기준은 아닙니다.
파기 대상은 2023년 8월 1일 이후 대출/반납 이력이 없는 이용자였습니다. 유예기간은 2026년 9월 1일(화)부터 9월 11일(금)까지였습니다. 삭제예정일은 2026년 9월 14일(월)이었습니다.
삭제 대상은 이름·연락처·주소 등 개인정보와 대출/반납 내역이었습니다. 삭제 정보는 복구가 불가능한 방법으로 영구 삭제하는 방식입니다. '대상 기준 → 유예 안내 → 복구 불가 삭제' 순서는 휴면 계정 파기 설계에 참고할 만합니다.
자주 묻는 질문
Q. 14세 미만 회원의 개인정보를 받을 때는 누구 동의가 필요한가요?
A. 동의가 필요하면 법정대리인의 동의를 받아야 하며 근거는 「개인정보 보호법」 제22조입니다.
Q. 생활법령정보 내용을 법적 판단 근거로 써도 되나요?
A. 생활법령정보는 법적 효력을 갖는 유권해석의 근거가 되지 않습니다.
마무리
유출 범위가 넓어지고 책임 주체가 대표와 보호책임자로 분명해졌습니다. 지금 먼저 할 일은 세 가지입니다.
사고 대응 절차에 위조·변조·훼손 판단을 넣습니다.
데이터 처리 순서를 익명 → 가명 기준으로 점검합니다.
보호책임자 지정 절차와 이사회 보고 선을 정리합니다.
세부 기준은 개인정보보호위원회의 시행령 안내에서 확인하시기 바랍니다.
참고한 자료
- 대한민국 정책브리핑
개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행 (2026.9.10) - easylaw.go.kr — 개인정보보호의 개념 (2026.9.15)
- cheonan.go.kr — 개인정보보호법 준수를 위한 장기미사용 이용자 파기 안내 (2026.9.1)
- womenlink.or.kr — 시민행동 공동성명 헌법상 기본권 침해하는 개인정보 원본활용 개인정보보호법 국회 통과 규탄한다 8/20 (2026.8.21)
함께 보면 좋은 글
'IT' 카테고리의 다른 글
| 정보통신망법 2026년 시행: 플랫폼 신고 의무와 침해사고 보존 발의안 구분 (0) | 2026.10.11 |
|---|---|
| 해킹에 쓰인 IP 28개｜금융기관 사고에서 확인된 사실과 추적 중인 경로 (0) | 2026.10.11 |
| 보안 취약점 점검 연 1회로 충분할까｜금융권 점검 개편 방향과 AI 망분리 완화 테스트 정리 (0) | 2026.10.10 |
| AI추천이 엉뚱하게 나오는 이유｜작동 원리와 따르기 전 확인할 점 (0) | 2026.10.09 |
| AI에이전트 구조 정리｜공공기관 3종 사례로 본 작동 방식과 도입 전 검증 포인트 (1) | 2026.10.09 |