이 문서에 대하여 법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾸는 조문을 현행법(법률 제20897호)과 나란히 놓은 대조표입니다. 조문은 국가법령정보센터 원문과 대조했습니다. 시행령 개정령이 공포되면 그 내용을 반영해 갱신합니다. 각 항목의 실무적 의미는 본문 아래 개별 글로 연결해 두었습니다.
개정법을 인용하는 문서를 쓸 때 가장 자주 생기는 사고는 내용을 잘못 이해하는 것이 아니라 항 번호를 그대로 옮겨 쓰는 것입니다. 이번 개정은 제34조와 제64조의2, 제31조에서 각각 항을 신설했고, 그 뒤의 항이 한 칸씩 밀렸습니다.
제23조 제2항 — ‘유출등’의 정의가 법 전체로 나갑니다
| 현행 (법률 제20897호) | 개정 (법률 제21445호) | |
|---|---|---|
| 제23조 제2항 | “…분실·도난·유출·위조·변조 또는 훼손되지 아니하도록…” | “…분실·도난·유출·위조·변조 또는 훼손**(이하 “유출등"이라 한다)이 되지** 아니하도록…” |
| 제34조 제1항 | “분실·도난·유출**(이하 이 조에서 “유출등"이라 한다)**되었음을 알게 되었을 때” | “유출등이 되었음을 알게 되었을 때” |
현행법의 “유출등"은 제34조 안에서만 통용되는 약칭이고 분실·도난·유출 세 가지뿐입니다. 개정법은 제34조에서 그 정의를 들어내고 제23조 제2항에 여섯 가지짜리 정의를 두었습니다. 위조·변조·훼손이 통지·신고의 사정권에 들어옵니다.
→ 랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나
제34조 — 항이 한 칸씩 밀립니다
| 항 | 현행 | 개정 |
|---|---|---|
| 제1항 | 정보주체 통지 (조문 내 정의 포함) | 정보주체 통지 (정의 삭제), 제6호 신설: 손해배상·법정손해배상 청구, 분쟁조정 등 권리와 행사 방법 |
| 제2항 | 피해 최소화 대책 마련 | 신설 — 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 때, 가능성이 있는 모든 정보주체에게 통지 |
| 제3항 | 보호위원회·전문기관 신고 | 피해 최소화 대책 (회수·삭제 등 피해 확산 방지 조치를 포함한다고 명시) |
| 제4항 | 통지·신고의 시기·방법·절차 위임 | 보호위원회·전문기관 신고 |
| 제5항 | — | 제1항·제2항 통지 및 제4항 신고의 시기·방법·절차 위임 |
신고의 근거 조문이 제3항에서 제4항으로 이동합니다. 사내 사고대응 절차서나 위·수탁 계약서가 “법 제34조 제3항에 따른 신고"라고 적고 있다면 9월 11일 이후에는 다른 조항을 가리키게 됩니다.
→ 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일 · 본사 인시던트 대응 플레이북, 한국에서 어디가 깨지나
제64조의2 — 가중과 감경이 함께 들어옵니다
| 항 | 현행 | 개정 |
|---|---|---|
| 제1항 | 전체 매출액의 100분의 3 이내 (매출액 산정 곤란 시 20억 원) | 동일 |
| 제2항 | 위반행위 관련 없는 매출액 제외 | 신설 — 100분의 10 이내(산정 곤란 시 50억 원). ① 처분일부터 3년 내 같은 호 재위반(각각 고의·중과실) ② 고의·중과실 + 피해 1천만 명 이상 ③ 시정조치 명령 불이행 후 제1항 제9호 위반 |
| 제4항 | 부과 시 고려사항 11개 | (제5항으로 이동) |
| 제5항 | 부과하지 아니할 수 있는 사유 | (제7항으로 이동) |
| 제6항 | — | 신설 — 예산·인력·설비·장치 등 투자·운영 등 대통령령 사유가 있으면 “감경한다”. 고의·중과실은 제외 |
제6항의 문언이 “감경할 수 있다"가 아니라 **“감경한다”**입니다. 사유에 해당하면 감경이 원칙이 되는 구조이고, 구체적인 사유는 대통령령으로 정해집니다.
→ 개인정보 유출사고, ‘조용히 수습’이 가장 비싼 선택이 됩니다
제31조 — 개인정보 보호책임자 지정에 이사회가 들어옵니다
| 항 | 현행 | 개정 |
|---|---|---|
| 제1항 | 처리에 관한 업무를 총괄해서 책임질 자 지정 | 처리 및 보호에 관한 업무를 총괄해서 담당할 자 지정 |
| 제3항 | (보호책임자의 업무) | 신설 — 대통령령 기준에 해당하는 자는 ① 지정·변경·해제 시 이사회 의결(법인으로 한정) ② 보호위원회에 신고 |
| 제4항 | — | 보호책임자의 업무 (현행 제3항) |
| 제7항 | — | 독립성 보장 (현행 제6항) |
| 제10항 | 업무·독립성 보장 등 위임 | 자격요건을 위임 대상에 추가 |
현행법에는 보호책임자의 자격요건을 정하는 위임 근거 자체가 없습니다. 개정법이 이를 신설하면서, 자격요건을 갖추지 않은 자를 지정한 경우도 과태료 대상이 됩니다.
제75조 제2항 — 신설된 과태료 (3천만 원 이하)
| 호 | 내용 |
|---|---|
| 제14호의2 | 제31조 제1항 위반 미지정 또는 제31조 제10항의 자격요건을 갖추지 아니한 자를 지정 |
| 제14호의3 | 제31조 제3항 제1호 위반 — 이사회 의결을 거치지 아니함 |
| 제14호의4 | 제31조 제3항 제2호 위반 — 지정·변경·해제를 신고하지 아니함 |
세 호 모두 제26조 제8항에 따라 수탁자에게 준용됩니다. 업무를 위탁받아 처리하는 회사도 자신의 이름으로 같은 의무를 집니다.
부칙 — 적용례가 조항마다 다릅니다
| 조 | 내용 |
|---|---|
| 제1조 | 공포 후 6개월 시행(2026년 9월 11일). 다만 제32조의2 제1항 단서와 제75조 제2항 제15호는 2027년 7월 1일 |
| 제2조 제1항 | 제34조 제1항·제4항 — 시행 이후 유출등을 알게 된 경우부터 |
| 제2조 제2항 | 제34조 제2항 — 시행 이후 유출등의 가능성을 알게 된 경우부터 |
| 제2조 제3항 | 제34조 제3항 — 시행 이후 유출등이 된 경우부터 |
| 제3조 제1항 | 제64조의2 제2항 제1호 — 시행 이후 발생한 위반으로 처분받은 후 다시 같은 호 위반한 경우부터 |
| 제3조 제2항 | 제64조의2 제2항 제2호 — 시행 당시 종료되지 아니한 위반행위에도 적용 |
| 제3조 제3항 | 제64조의2 제2항 제3호 — 시행 이후 시정조치 명령을 받은 경우부터 |
| 제4조 | 신용정보법·정보통신망법의 제31조 인용 항 번호 정비 |
제3조 제2항을 눈여겨볼 필요가 있습니다. 시행 당시 종료되지 않은 위반행위에는 신설 가중 규정이 적용됩니다.
아직 확정되지 않은 것
다음은 모두 대통령령에 위임되어 있고, 2026년 7월 29일 현재 이를 구체화할 시행령 개정령이 공포되지 않았습니다.
- 제34조 제2항의 유출등의 가능성 범위와 그때 알려야 할 사항
- 제64조의2 제6항의 감경 사유
- 제31조 제3항의 대상 기준, 제31조 제10항의 자격요건과 신고 방법·절차
공포되면 이 문서를 갱신합니다.
자주 묻는 질문
Q. 9월 11일 이후 유출 신고의 근거 조문은 무엇인가요?
개정법 제34조 제4항입니다. 현행법에서는 신고가 제34조 제3항이었는데, 개정법이 제2항에 유출등의 가능성 단계 통지를 신설하면서 뒤 항이 한 칸씩 밀렸습니다. 현행 제3항(피해 최소화 대책)은 개정 제3항으로 남고, 신고는 제4항, 대통령령 위임은 제5항이 됩니다. 시행일 이후 작성하는 문서에서 ‘법 제34조 제3항에 따른 신고’라고 쓰면 다른 조항을 가리키게 됩니다.
Q. 과징금 상한이 10%로 올라간다는 것은 모든 위반에 해당하나요?
아닙니다. 원칙은 전체 매출액의 100분의 3이고(제64조의2 제1항), 100분의 10은 신설된 제2항의 세 가지 경우에만 적용됩니다. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 제1항의 같은 호에 해당하는 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있을 것), 고의 또는 중대한 과실로 위반행위를 하고 피해 정보주체가 1천만 명 이상인 경우, 그리고 시정조치 명령에 따르지 않아 제1항 제9호의 위반행위를 한 경우입니다.
Q. 이 대조표에 없는 조문도 개정되었나요?
개정 대상은 이 표보다 넓습니다. 여기에는 실무에서 인용 빈도가 높고 항 번호 이동이 발생하는 조문을 중심으로 담았습니다. 예를 들어 제24조 제3항과 제24조의2 제2항은 ‘분실·도난·유출·위조·변조 또는 훼손되지’라는 문구가 ‘유출등이 되지’로 정비되었는데, 의미 변화가 아니라 제23조 제2항에 신설된 약칭을 반영한 것이어서 표에서는 다루지 않았습니다.
참고자료
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행)
- 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포, 2026년 9월 11일 시행) 제23조, 제31조, 제34조, 제64조의2, 제75조 및 부칙
- 국가법령정보센터 시행예정 법령 조회(
target=eflaw) 원문 대조