새벽에 개발자가 이상한 로그를 발견합니다. 외부에서 DB에 접근한 흔적이 있고, 고객 테이블이 조회된 것 같습니다. 규모는 아직 모릅니다. 이때 창업자의 머릿속에는 대체로 두 갈래 생각이 지나갑니다. “신고하면 조사받고, 과징금 나오고, 기사 나는 것 아닌가.” 그리고 “확실하지도 않은데 일단 조용히 막고 지켜보면 안 되나.”
지금까지도 두 번째 선택지는 법적으로 허용되지 않았지만, 적어도 ‘들키지 않으면 손해 볼 게 없는’ 선택지이기는 했습니다. 올해 하반기부터 이 셈법 자체가 바뀝니다. 신고를 빨리 한 기업과 숨긴 기업의 처분 격차를 크게 벌리는 방향으로 법과 제도가 한꺼번에 움직이고 있기 때문입니다.
먼저, 현행 의무 — 72시간
전제부터 확인하면, 유출 대응 의무는 지금도 시간 단위로 걸려 있습니다.
- 정보주체 통지: 개인정보가 유출등이 되었음을 알게 되면 72시간 이내에 유출 항목·경위·피해 최소화 방법 등을 정보주체에게 알려야 합니다(개인정보 보호법 제34조 제1항, 시행령 제39조 제1항).
- 보호위원회(또는 KISA) 신고: 1천 명 이상의 정보주체에 관한 유출, 민감정보·고유식별정보의 유출, 외부의 불법 접근에 의한 유출은 72시간 이내에 신고해야 합니다(법 제34조 제3항, 시행령 제40조 제1항).
“주말이라서”, “규모 파악이 안 끝나서"는 시한을 멈추지 않습니다. 72시간은 사고를 다 파악한 뒤가 아니라 알게 된 때부터 흐릅니다.
9월 11일부터 확정된 변화 — 매출액 10% 과징금
2026년 3월 10일 공포된 개정 개인정보 보호법(법률 제21445호)이 9월 11일 시행됩니다. 핵심은 과징금 상한입니다.
기존 과징금 상한은 전체 매출액의 3%였습니다. 개정법은 다음의 경우 상한을 **전체 매출액의 10%**로 올립니다.
- 고의 또는 중대한 과실로 3년 내 같은 위반행위를 반복한 경우
- 고의 또는 중대한 과실로 1천만 명 이상의 대규모 피해가 발생한 경우
- 시정명령을 이행하지 않아 개인정보가 유출된 경우
이들 중대·반복 위반의 경우 매출액이 없거나 산정이 곤란하더라도 50억 원 이내에서 부과할 수 있습니다(일반 위반은 현행과 같은 20억 원 이내). 초기 스타트업이라고 비켜 가는 구조가 아닙니다.
과징금 외에도 이번 개정법에는 유출 대응 실무를 직접 건드리는 내용이 들어 있습니다.
- ‘유출등’의 범위 확장: 분실·도난·유출에 더해 위조·변조·훼손이 포함됩니다. 랜섬웨어로 데이터가 암호화·훼손된 경우처럼, ‘나간 것’이 확인되지 않아도 통지·신고 의무가 걸릴 수 있는 구조가 됩니다.
- ‘가능성’ 단계의 통지: 유출등의 가능성을 알게 된 단계에서 정보주체 통지 의무가 설계되어 있습니다. “확정되면 알리겠다"는 대응은 더 어려워집니다.
- 책임 구조의 상향: 개인정보 보호책임자(CPO) 지정 절차가 강화되고, 사업주·대표자가 개인정보 보호의 최종 책임자로 명시됩니다. 일정 규모 이상 기업의 개인정보보호 인증(ISMS-P) 의무화는 2027년 7월 1일부터 단계 시행됩니다.
세부 기준을 정할 시행령 개정안은 지난 6월 입법예고됐습니다. 주목할 부분은 감경 쪽입니다. 개인정보 보호를 위한 예산·인력·설비 투자를 해 온 기업에는 과징금을 최대 40%까지 감경하는 내용이 담겨 있습니다. 보안 투자가 ‘비용’이 아니라 과징금 산정에서 실측되는 변수가 된다는 뜻입니다.
하반기 업무계획 — ‘신고하는 쪽이 유리한’ 구조로
지난 7월 16일 개인정보보호위원회가 보고한 2026년 하반기 업무계획은 이 방향을 한층 밀고 나갑니다. 아직 법 개정·고시 제정이 필요한 추진 계획 단계라 세부는 확정되지 않았지만, 방향은 분명합니다.
- 신고 여부에 따른 차등: 신속하게 신고한 기업은 감경하고, 숨겼다가 적발된 기업은 과징금을 30% 이상 가중하는 방안
- 신고포상금 도입: 유출 사실이나 증거의 은닉·폐기를 신고한 사람에게 해당 기업 과징금의 일정 비율을 포상금으로 지급하는 방안
- 은폐 행위 자체에 대한 제재: 증거 은닉·폐기에 대한 별도 제재 신설, 조사 비협조 기업에 대한 이행강제금, 증거보전명령 근거 마련
- 손해배상 입증책임 개편: 유출 사고에서 기업 쪽이 책임 없음을 입증하는 방향의 법정손해배상 제도 개편
이 중 신고포상금은 스타트업 조직 관점에서 특히 무겁게 볼 필요가 있습니다. 유출을 인지한 시점의 판단은 보통 소수의 경영진과 담당자 사이에서 이루어집니다. 포상금 제도가 도입되면, ‘조용히 넘어가자’는 결정을 아는 모든 구성원 — 퇴사 예정자를 포함해서 — 이 잠재적 신고자가 됩니다. 은폐는 이제 걸릴지 안 걸릴지의 확률 문제가 아니라, 내부의 누구도 평생 말하지 않아야 성립하는 전략이 됩니다.
한눈에 보기 — 현행 vs 개정 조문 대조
말로 풀어놓은 변화를 쟁점별로 조문 단위로 정리하면 다음과 같습니다. ‘개정’ 열은 2026년 9월 11일 시행되는 개정법(법률 제21445호) 기준이고, 인증 의무화만 2027년 7월 1일 시행입니다.
① 과징금 (제64조의2)
| 항목 | 현행 | 개정 (2026. 9. 11. 시행) |
|---|---|---|
| 상한(원칙) | 전체 매출액의 3% 이하 (제1항) | 3% 유지. 다만 아래 중대·반복 위반은 10% 이하 (제2항 신설) |
| 10% 상한 적용 대상 | 없음 | ① 과징금 처분 후 3년 내 같은 유형의 위반 반복(고의·중과실 한정) ② 고의·중과실 위반으로 피해 정보주체 1천만 명 이상 ③ 시정조치 명령 불이행으로 유출등 발생 |
| 매출액이 없거나 산정 곤란한 경우 | 20억 원 이하 (제1항 단서) | 일반 위반은 20억 원 유지. 10% 대상 위반은 50억 원 이하 (제2항 단서) |
| 예방투자 감경 | 명문 감경 규정 없음 — ‘보호를 위한 노력’을 산정 시 고려사유로 참작하는 정도 (제4항 제10호) | 예산·인력·설비 투자 등이 있으면 과징금을 감경한다 (제6항 신설 — 재량이 아닌 필요적 감경. 단, 고의·중과실 위반은 제외). 감경 폭(최대 40%)은 시행령 개정안에서 구체화 중 |
② 유출 통지·신고 (제34조)
| 항목 | 현행 | 개정 |
|---|---|---|
| 통지·신고 대상인 ‘유출등’ | 분실·도난·유출 (제34조 제1항) | 분실·도난·유출 + 위조·변조·훼손 (제23조 제2항의 정의로 일원화) |
| 통지 시점 | 유출등을 알게 된 때 지체 없이 (시행령상 72시간 이내) | 동일. 여기에 더해, 대통령령으로 정하는 ‘유출등의 가능성’을 알게 된 때에도 지체 없이 가능성이 있는 모든 정보주체에게 통지 (제2항 신설) |
| 통지 내용 | 유출 항목, 시점과 경위, 피해 최소화 방법, 대응조치·구제절차, 담당부서 (5개 호) | 여기에 손해배상·법정손해배상 청구, 분쟁조정 등 정보주체의 법적 권리와 행사 방법 등이 추가 (제6호·제7호 신설) |
| 유출 후 조치 | 피해 최소화 대책 마련·필요한 조치 (제2항) | 회수·삭제 등 피해 확산 방지 조치를 포함하도록 명시 (제3항) |
| 보호위·KISA 신고 | 1천 명 이상, 민감정보·고유식별정보, 불법 접근에 의한 유출 시 72시간 이내 (제3항, 시행령 제40조) | 내용 유지 (조항 위치만 제4항으로 이동) — 다만 신고 대상 ‘유출등’ 자체가 위 정의 확장의 적용을 받음 |
③ 거버넌스 — 대표자·CPO (제30조의3, 제31조)
| 항목 | 현행 | 개정 |
|---|---|---|
| 사업주·대표자의 책임 | 명문 규정 없음 (CPO를 지정하지 않는 소규모 기업에서 대표자가 CPO가 되는 정도 — 제31조 제2항) | 사업주·대표자를 개인정보 보호의 최종 책임자로 명시하고, 전문 인력과 충분한 예산 지원 등 총괄 관리 조치 의무 부과 (제30조의3 신설) |
| CPO 지정 절차 | 지정 의무만 존재 (제31조 제1항) | 매출액·보유 규모 등 대통령령 기준에 해당하면 지정·변경·해제 시 이사회 의결을 거치고 보호위원회에 신고 (제31조 제3항 신설). 위반 시 3천만 원 이하 과태료 (제75조 제2항 신설 조항) |
| CPO의 업무 | 보호계획 수립·시행, 처리 실태 조사·개선, 불만 처리, 내부통제시스템 구축 등 7개 | 전문 인력 관리·예산 확보, 대표자·이사회에 대한 보호 현황 보고가 업무로 추가 (제31조 제4항) |
④ 개인정보보호 인증 (제32조의2 — 2027. 7. 1. 시행)
| 항목 | 현행 | 개정 |
|---|---|---|
| 인증(ISMS-P 등) | 임의 — 보호위원회가 “인증할 수 있다” (제1항) | 매출액·처리 규모 등 대통령령 기준에 해당하는 기업은 인증을 받아야 한다 (제1항 단서 신설). 미인증 시 3천만 원 이하 과태료 |
⑤ 아직 법령이 아닌 것 — 하반기 업무계획의 추진 과제
아래는 개정된 조문이 존재하지 않는, 개인정보위가 하반기에 추진하겠다고 밝힌 단계입니다. 확정된 것처럼 대비할 필요는 없지만, 방향을 알고 있어야 하는 항목들입니다.
| 추진 과제 | 현재 상태 |
|---|---|
| 신속 신고 기업 감경 — 은폐 적발 기업 30% 이상 가중 | 시행령·고시 정비로 추진 (세부 미확정) |
| 신고포상금 — 은폐·증거인멸을 신고한 사람에게 과징금의 일정 비율 지급 | 제도 설계 중 (비율·한도 미공개) |
| 증거 은닉·폐기에 대한 별도 제재, 조사 비협조 이행강제금, 증거보전명령 | 법 개정 필요 (추진 계획) |
| 법정손해배상 개편 — 기업 쪽으로 입증책임 전환 | 법 개정 필요 (추진 계획) |
| 유출 정보의 구매·유포 처벌 신설 | 법 개정 필요 (추진 계획) |
지금 점검할 것
9월 시행까지 남은 기간에 맞춰, 다음을 점검해 두시길 권합니다.
- 유출 대응 플레이북이 있는가 — 인지 시점 기록, 72시간 내 통지·신고 판단 기준, 초동 대응(접근 차단·로그 보전), 대외 커뮤니케이션 순서를 문서로. 사고 당일 새벽에 처음 논의하는 회사와 체크리스트를 꺼내는 회사의 격차가 곧 처분의 격차가 됩니다.
- ‘유출등’ 판단 기준의 업데이트 — 랜섬웨어·데이터 훼손 시나리오도 통지·신고 검토 대상에 포함되도록 내부 기준을 손봐 두어야 합니다.
- 로그·증거 보전 원칙 — 사고 후 서버를 밀어버리거나 로그를 정리하는 행위는 선의였더라도 은닉·폐기로 평가될 위험이 있습니다. 보전이 기본값이어야 합니다.
- 보안 투자의 기록화 — 예방 투자 감경이 제도화되면, 투자를 ‘했다’는 사실만큼 ‘입증할 수 있다’는 것이 중요해집니다. 보안 예산·인력·조치 이력을 남기는 체계를 갖춰 두십시오.
- CPO와 보고 라인 — 대표자가 최종 책임자로 명시되는 구조에서, 유출 보고가 대표에게 도달하는 데 며칠씩 걸리는 조직이라면 그 자체가 리스크입니다.
유출사고 대응에서 가장 비싼 실수는 기술적 실수가 아니라 초기 72시간의 판단 착오입니다. 그리고 하반기부터는 그 판단 착오 중에서도 ‘숨기는 쪽’의 가격이 가장 가파르게 오릅니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) — 과징금 상한 상향 등
- 개인정보 보호법 시행령 제39조·제40조 (유출등의 통지·신고, 72시간)
- 개인정보보호위원회, 2026년 하반기 업무계획 보고 (2026. 7. 16.)
- 개인정보 보호법 시행령 개정안 입법예고 (2026. 6.) — 과징금 산정 기준, 예방투자 감경