핵심 요약 — 법률 제21445호(2026년 3월 10일 공포)가 2026년 9월 11일 시행됩니다. 실무에 곧바로 걸리는 변화는 넷입니다. ① 통지·신고 대상인 ‘유출등’에 위조·변조·훼손이 들어옵니다(제23조 제2항). ② 제34조에 유출등의 가능성 단계 통지가 신설되면서 뒤 항이 밀려 신고의 근거가 제3항에서 제4항으로 이동합니다. ③ 중대·반복 위반의 과징금 상한이 전체 매출액의 100분의 10이 됩니다(제64조의2 제2항 신설). ④ 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙고, 미지정·자격미달 지정에 과태료가 신설됩니다(제31조 제3항, 제75조 제2항 제14호의2~4). 이를 구체화할 시행령 개정령안은 입법예고를 마쳤으나 2026년 8월 5일 현재 공포되지 않았습니다.

개정법 시행까지 약 5주 남았습니다. 이 페이지는 흩어져 있는 글들을 날짜와 작업 순서대로 묶은 것입니다. 조문 단위 대조가 필요하면 대조표로, 특정 상황에 무엇이 달라지는지가 궁금하면 해당 항목으로 바로 들어가면 됩니다.

날짜별로 무엇이 걸리나

날짜무엇이근거
2026년 8월 20일본인전송요구권 관련 시행령 규정 시행대통령령 제36121호
2026년 9월 11일개정 개인정보 보호법 본체 시행법률 제21445호 부칙 제1조
2027년 2월 20일매출 1,800억 원 초과 민간 기업이 전송 요구를 받는 시점시행령
2027년 7월 1일제32조의2 제1항 단서, 제75조 제2항 제15호법률 제21445호 부칙 제1조 단서

8월 20일과 9월 11일은 서로 다른 개정입니다. 앞의 것은 본인전송요구권(마이데이터) 시행령이고, 뒤의 것이 유출·과징금·보호책임자를 바꾸는 법률 개정입니다. 둘을 하나의 일정으로 묶어 두면 준비 대상이 뒤섞입니다.

조문이 정확히 어떻게 바뀌나

항 번호가 이동하는 조문이 여럿이라, 개정 내용을 이해하는 것과 별개로 인용을 그대로 옮겨 쓰면 사고가 납니다. 제34조·제64조의2·제31조를 현행법과 나란히 놓은 대조표를 따로 만들어 두었습니다.

→ 2026년 9월 11일 시행 개정 개인정보 보호법 — 신구조문 대조표

여기부터는 상황별로 나눕니다.

유출 사고가 나면 무엇이 달라지나

첫째, 신고·통지의 사정권이 넓어집니다. 현행법의 ‘유출등’은 제34조 안에서만 통하는 약칭이고 분실·도난·유출 세 가지뿐입니다. 개정법은 그 정의를 제23조 제2항으로 올리면서 위조·변조·훼손을 더했습니다. 데이터가 밖으로 나간 정황이 없어도 파일이 훼손된 것만으로 통지·신고 의무가 붙을 수 있습니다. 랜섬웨어가 대표적인 경우입니다.

→ 랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나

둘째, 절차 자체는 지금도 같습니다. 개정법이 72시간을 새로 만드는 것이 아닙니다. 인지 시점부터의 시계와 “정확히 파악한 다음에 알린다"가 허용되지 않는다는 점은 현행법에서 이미 그렇습니다.

→ 개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일

셋째, 본사 플레이북을 쓰는 회사는 간극이 더 벌어집니다. GDPR 기준 절차서는 위험도 평가를 첫 분기점에 두지만, 한국법은 위험 정도를 요건으로 삼지 않습니다. 개정으로 통지 대상이 넓어지면 이 차이가 커집니다.

→ 본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나

과징금은 얼마나, 어떤 경우에 올라가나

원칙은 그대로 전체 매출액의 100분의 3입니다. 새로 생기는 것은 가중과 감경입니다. 100분의 10은 재위반·대규모 피해·시정조치 불이행 세 경우에만 붙고, 반대로 신설된 제6항은 일정 사유가 있으면 “감경할 수 있다"가 아니라 “감경한다“고 적었습니다.

부칙에서 눈여겨볼 것은 제3조 제2항입니다. 시행 당시 종료되지 않은 위반행위에는 신설 가중 규정이 적용됩니다. 지금 진행 중인 상태를 9월 11일 전에 정리해야 하는 이유가 여기에 있습니다.

→ 2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로

개인정보 보호책임자를 다시 봐야 하나

자격요건은 새로 생기는 것이 아닙니다. 경력 요건과 지정 대상 범위는 시행령 제32조와 별표 1로 2024년 3월부터 이미 시행 중입니다. 9월 11일에 바뀌는 것은 제재입니다. 그동안 제31조 위반에는 과태료가 없었는데, 개정법이 미지정·자격미달 지정·이사회 의결 누락·신고 누락을 각각 과태료 대상으로 삼습니다. 세 호 모두 제26조 제8항에 따라 수탁자에게 준용되므로, 업무를 위탁받아 처리하는 회사도 자기 이름으로 같은 의무를 집니다.

→ 본사 APAC DPO를 한국 CPO로 올려 두었습니다 — 9월 11일부터 그대로 둬도 되나

외국계 한국법인이 추가로 볼 것

본사 산출물을 번역해 쓰는 구조에서는 개정 내용보다 누가 결정하고 무엇을 밖에 알리는지가 먼저 걸립니다. 이사회 의결이 들어오는 것이 대표적입니다.

→ 본사 프라이버시 정책을 한국 법인에 그대로 옮겼습니다 — 9월 11일 전에 다시 봐야 할 아홉 지점

본사가 참조하는 영문 법률이 몇 년판인지도 함께 확인할 필요가 있습니다. 구판을 기준으로 삼으면 과잉 준수와 미준수가 동시에 생깁니다.

→ 본사가 읽는 영문 개인정보 보호법, 그 버전이 현행이 아닐 때 무엇이 어긋나는가

국내대리인 구조는 이번 개정이 아니라 이미 지난 기한의 문제입니다. 재지정 경과기간은 2026년 4월 2일에 끝났고, 9월 11일부터는 대리 업무의 범위가 넓어집니다.

→ 한국에 자회사가 있는데 국내대리인은 로펌입니다 — 재지정 기한은 2026년 4월에 이미 지났습니다

8월 20일 본인전송요구권은 별개 일정입니다

시행일이 더 가까운 쪽은 이쪽입니다. 다만 보내는 쪽과 받는 쪽에 걸리는 날짜가 다릅니다. 정보를 보내야 하는 기업 상당수는 2027년부터이고, 받아가는 쪽에는 8월 20일부터 의무가 붙습니다.

→ 본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가

요구가 실제로 들어왔을 때의 기한과 거절 사유는 따로 정리했습니다.

→ 본인전송요구가 들어왔습니다: 며칠 안에 보내야 하고, 거절할 수 있나

데이터를 받는 사업을 준비 중이라면 전문기관 지정 대상인지부터 갈라야 합니다. 기준은 규모가 아니라 목적입니다.

→ 마이데이터 사업을 하려면 전문기관 지정을 받아야 하나요

아직 확정되지 않은 것

다음은 모두 대통령령에 위임되어 있습니다. 개인정보보호위원회는 개인정보 보호법 시행령 일부개정령안을 2026년 6월 2일부터 7월 13일까지 입법예고했으나(공고 제2026-59호), 2026년 8월 5일 현재 공포되지 않았습니다.

  • 제34조 제2항의 유출등의 가능성 범위와 그때 알려야 할 사항
  • 제64조의2 제6항의 감경 사유
  • 제31조 제3항의 이사회 의결·신고 대상 기준과 신고 방법·절차

시행일까지 5주가 남은 상태에서 위임 사항이 확정되지 않았으므로, 지금 확정할 수 있는 것과 시행령을 봐야 하는 것을 나누어 두는 편이 낫습니다. 조문 번호 정비, 진행 중인 위반 상태 정리, 보호책임자 지정 구조 점검은 시행령과 무관하게 지금 할 수 있는 일입니다. 시행령이 공포되면 이 페이지와 대조표를 갱신합니다.

자주 묻는 질문

Q. 2026년 9월 11일에 시행되는 것은 법률인가요, 시행령인가요?

법률입니다. 법률 제21445호가 2026년 3월 10일 공포되어 2026년 9월 11일 시행됩니다. 이를 구체화할 개인정보 보호법 시행령 일부개정령안은 2026년 6월 2일부터 7월 13일까지 입법예고(개인정보보호위원회 공고 제2026-59호)를 거쳤으나, 2026년 8월 5일 현재 공포되지 않았습니다. 유출등의 가능성 통지 범위, 과징금 감경 사유, 개인정보 보호책임자 이사회 의결 대상 기준은 모두 그 시행령에 위임되어 있어 아직 확정된 것이 아닙니다.

Q. 사내 문서에서 가장 먼저 고쳐야 할 곳은 어디인가요?

유출 신고의 근거 조문을 적어 둔 곳입니다. 현행법에서 보호위원회 신고는 제34조 제3항이지만, 개정법이 제2항에 유출등의 가능성 통지를 신설하면서 뒤 항이 한 칸씩 밀려 신고가 제4항이 됩니다. 사고대응 절차서, 위·수탁 계약서, 개인정보 처리방침에 ‘법 제34조 제3항에 따른 신고’라고 적혀 있다면 9월 11일 이후에는 다른 조항을 가리키게 됩니다.

Q. 과징금 상한 10%는 모든 위반에 적용되나요?

아닙니다. 원칙은 전체 매출액의 100분의 3이고(제64조의2 제1항), 100분의 10은 신설된 제2항의 세 가지 경우에만 적용됩니다. 처분일부터 3년이 지나기 전에 같은 호의 위반을 다시 한 경우, 고의 또는 중대한 과실로 위반하고 피해 정보주체가 1천만 명 이상인 경우, 시정조치 명령에 따르지 않아 제1항 제9호를 위반한 경우입니다.

참고 자료