핵심 요약 법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾼 조문을 개정 전(법률 제20897호)과 나란히 놓은 대조표입니다. 조문은 국가법령정보센터 원문과 대조했습니다. 후속 시행령은 2026년 9월 10일 대통령령 제36671호로 공포되어 같은 날 함께 시행됐습니다. 각 항목의 실무적 의미는 본문 아래 개별 글로 연결해 두었습니다.

개정법을 인용하는 문서를 쓸 때 가장 자주 생기는 사고는 내용을 잘못 이해하는 것이 아니라 항 번호를 그대로 옮겨 쓰는 것입니다. 이번 개정은 제34조와 제64조의2, 제31조에서 각각 항을 신설했고, 그 뒤의 항이 한 칸씩 밀렸습니다.

제23조 제2항 — '유출등’의 정의가 법 전체로 나갑니다

개정 전 (법률 제20897호)개정 (법률 제21445호)
제23조 제2항"…분실·도난·유출·위조·변조 또는 훼손되지 아니하도록…""…분실·도난·유출·위조·변조 또는 훼손(이하 "유출등"이라 한다)이 되지 아니하도록…"
제34조 제1항"분실·도난·유출(이하 이 조에서 "유출등"이라 한다)되었음을 알게 되었을 때""유출등이 되었음을 알게 되었을 때"

개정 전 "유출등"은 제34조 안에서만 통용되는 약칭이고 분실·도난·유출 세 가지뿐이었습니다. 개정법은 제34조에서 그 정의를 들어내고 제23조 제2항에 여섯 가지짜리 정의를 두었습니다. 위조·변조·훼손이 통지·신고의 사정권에 들어왔습니다.

→ 랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나

제34조 — 항이 한 칸씩 밀립니다

항현행개정
제1항정보주체 통지 (조문 내 정의 포함)정보주체 통지 (정의 삭제), 제6호 신설: 손해배상·법정손해배상 청구, 분쟁조정 등 권리와 행사 방법
제2항피해 최소화 대책 마련신설 — 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 때, 가능성이 있는 모든 정보주체에게 통지
제3항보호위원회·전문기관 신고피해 최소화 대책 (회수·삭제 등 피해 확산 방지 조치를 포함한다고 명시)
제4항통지·신고의 시기·방법·절차 위임보호위원회·전문기관 신고
제5항—제1항·제2항 통지 및 제4항 신고의 시기·방법·절차 위임

신고의 근거 조문이 제3항에서 제4항으로 이동했습니다. 사내 사고대응 절차서나 위·수탁 계약서가 "법 제34조 제3항에 따른 신고"라고 적고 있다면 지금은 다른 조항을 가리킵니다.

→ 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일 · 본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나

제64조의2 — 가중과 감경이 함께 들어옵니다

항현행개정
제1항전체 매출액의 100분의 3 이내 (매출액 산정 곤란 시 20억 원)동일
제2항위반행위 관련 없는 매출액 제외신설 — 100분의 10 이내(산정 곤란 시 50억 원). ① 처분일부터 3년 내 같은 호 재위반(각각 고의·중과실) ② 고의·중과실 + 피해 1천만 명 이상 ③ 시정조치 명령 불이행 후 제1항 제9호 위반
제4항부과 시 고려사항 11개(제5항으로 이동)
제5항부과하지 아니할 수 있는 사유(제7항으로 이동)
제6항—신설 — 예산·인력·설비·장치 등 투자·운영 등 대통령령 사유가 있으면 "감경한다". 고의·중과실은 제외

제6항의 문언이 "감경할 수 있다"가 아니라 "감경한다"입니다. 사유에 해당하면 감경이 원칙이 되는 구조이고, 구체적인 사유는 대통령령으로 정해집니다.

→ 개인정보 유출사고, '조용히 수습’이 가장 비싼 선택이 됩니다 · 과징금·과태료 산정 계산기에서 개정 전후 기준을 갈라 계산해 볼 수 있습니다

제31조 — 개인정보 보호책임자 지정에 이사회가 들어옵니다

항현행개정
제1항처리에 관한 업무를 총괄해서 책임질 자 지정처리 및 보호에 관한 업무를 총괄해서 담당할 자 지정
제3항(보호책임자의 업무)신설 — 대통령령 기준에 해당하는 자는 ① 지정·변경·해제 시 이사회 의결(법인으로 한정) ② 보호위원회에 신고
제4항—보호책임자의 업무 (현행 제3항)
제7항—독립성 보장 (현행 제6항)
제10항(현행 제9항) 자격요건·업무·독립성 보장 등 위임위임 대상에 제3항 제2호의 신고 방법·절차 추가

9월 11일부터 바뀐 것은 항 번호만이 아닙니다. 개정법은 보호책임자의 업무 목록에 전문 인력의 관리와 예산의 확보(제4항 제2호), 사업주·대표자 및 이사회에 대한 보고(제4항 제3호)를 새로 넣었습니다. 신설된 두 호가 목록의 두 번째와 세 번째 자리에 끼어들기 때문에, 현행 제3항 제2호부터 제7호까지는 각각 세 칸씩 밀려 개정 제4항 제4호부터 제9호가 됩니다. 아래 표에 호별 대응 관계를 정리했습니다.

현행 제3항개정 제4항업무 (개정 문언)
제1호제1호개인정보 보호 계획의 수립 및 시행
—제2호(신설)개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보
—제3호(신설)사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고
제2호제4호개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선
제3호제5호개인정보 처리와 관련한 불만의 처리 및 피해 구제
제4호제6호개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축
제5호제7호개인정보 보호 교육 계획의 수립 및 시행
제6호제8호개인정보파일의 보호 및 관리·감독
제7호제9호그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무

위 대응 관계는 개정법 부칙에서 그대로 확인됩니다. 국회는 부칙 제4조에서 다른 법률이 제31조를 인용한 부분을 함께 고쳤는데, 신용정보법 제20조 제4항 제1호 가목의 인용 문언을 "「개인정보 보호법」 제31조제3항제1호부터 제5호까지"에서 "「개인정보 보호법」 제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 바꾸었습니다. 현행 제1호는 개정 제1호로 남고 현행 제2호부터 제5호까지는 개정 제4호부터 제7호까지로 옮겨 간다는 뜻이므로, 위 표의 대응 관계와 정확히 일치합니다. 대법원도 「법원 개인정보 보호에 관한 규칙」 일부개정규칙(대법원규칙 제3272호, 2026년 7월 29일 공포·2026년 9월 11일 시행)에서 "법 제31조제3항"을 "법 제31조제4항"으로 고쳐 같은 이동을 반영해 두었습니다. 사내 규정이나 처리방침이 제31조 제3항의 특정 호를 지목해 인용하고 있다면, 항 번호만 제4항으로 고쳐서는 다른 업무를 가리키게 되므로 호 번호까지 함께 바꾸어야 합니다.

자격요건 자체가 새로 생긴 것은 아닙니다. 개정 전 제31조 제9항이 이미 자격요건을 대통령령에 위임하고 있었고, 시행령 제32조 제4항과 별표 1이 2024년 3월 12일부터 시행 중입니다(연간 매출액등 1,500억 원 이상이면서 민감정보·고유식별정보를 5만 명 이상 처리하거나 개인정보를 100만 명 이상 처리하는 경우 등에 대해 개인정보보호·정보보호·정보기술 경력 합계 4년 이상, 그중 개인정보보호 경력 2년 이상). 지정 대상의 범위를 사업주·대표자 또는 임원으로 한정한 시행령 제32조 제3항 제2호도 마찬가지입니다.

바뀌는 것은 제재입니다. 현행 제75조 제2항에는 제31조 위반에 대한 과태료가 하나도 없습니다. 개정법이 제14호의2를 신설해 보호책임자를 지정하지 않은 경우와 자격요건을 갖추지 않은 자를 지정한 경우를 함께 과태료 대상으로 삼습니다. 그동안 요건은 있었으나 위반에 붙는 제재가 없던 상태가 끝나는 것입니다.

제75조 제2항 — 신설된 과태료 (3천만 원 이하)

호내용
제14호의2제31조 제1항 위반 미지정 또는 제31조 제10항의 자격요건을 갖추지 아니한 자를 지정
제14호의3제31조 제3항 제1호 위반 — 이사회 의결을 거치지 아니함
제14호의4제31조 제3항 제2호 위반 — 지정·변경·해제를 신고하지 아니함

세 호 모두 제26조 제8항에 따라 수탁자에게 준용됩니다. 업무를 위탁받아 처리하는 회사도 자신의 이름으로 같은 의무를 집니다.

부칙 — 적용례가 조항마다 다릅니다

조내용
제1조공포 후 6개월 시행(2026년 9월 11일). 다만 제32조의2 제1항 단서와 제75조 제2항 제15호는 2027년 7월 1일
제2조 제1항제34조 제1항·제4항 — 시행 이후 유출등을 알게 된 경우부터
제2조 제2항제34조 제2항 — 시행 이후 유출등의 가능성을 알게 된 경우부터
제2조 제3항제34조 제3항 — 시행 이후 유출등이 된 경우부터
제3조 제1항제64조의2 제2항 제1호 — 시행 이후 발생한 위반으로 처분받은 후 다시 같은 호 위반한 경우부터
제3조 제2항제64조의2 제2항 제2호 — 시행 당시 종료되지 아니한 위반행위에도 적용
제3조 제3항제64조의2 제2항 제3호 — 시행 이후 시정조치 명령을 받은 경우부터
제4조신용정보법 제20조와 정보통신망법 제45조의3이 제31조를 인용한 부분을 항 번호와 호 번호까지 정비(위 제31조 절 참조)

제3조 제2항을 눈여겨볼 필요가 있습니다. 시행 당시 종료되지 않은 위반행위에는 신설 가중 규정이 적용됩니다.

함께 시행되는 시행령 — 대통령령 제36671호의 조문 이동

다음은 모두 대통령령에 위임되어 있었습니다. 개인정보보호위원회는 이를 구체화할 시행령 일부개정령안을 2026년 6월 2일부터 7월 13일까지 입법예고했고(공고 제2026-59호), 이 개정령은 2026년 8월 31일 법제처 심사를 거쳐 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 부칙 제1조의 시행일은 법률과 같은 2026년 9월 11일이므로 법률과 시행령이 같은 날 함께 시행됩니다. 개인정보위 제2소위원회가 2026년 8월 12일 원안 동의로 의결한 침해요인 평가의 대상은 별건인 마이데이터 관련 개정안(공고 제2026-77호)입니다. 과징금 감경 사유를 담아 별도로 입법예고됐던 공고 제2026-55호 안은 법제처 심사 과정에서 이 개정령안에 통합됐습니다.

  • 제34조 제2항의 유출등의 가능성 범위와 그때 알려야 할 사항
  • 제64조의2 제6항의 감경 사유
  • 제31조 제3항의 대상 기준과 제3항 제2호의 신고 방법·절차

공포본은 제32조의 항 번호를 재편합니다. 입법예고안과는 번호가 다르므로, 대조표라는 이 글의 성격에 맞게 조문 이동을 표로 정리합니다.

현행 시행령(제36121호)개정 시행령(제36671호)무엇이 달라지나
제32조 제2항(보호책임자의 업무)제32조 제5항항 번호만 이동
제32조 제3항(지정 대상의 구분)제32조 제2항「지정한다」가 「지정해야 한다」로 바뀌고, 후단이 붙어 제3항 목록에 해당하는 자는 별표 1 요건을 갖춘 사람을 지정하도록 합니다
제32조 제3항 제2호 나목 「임원」제32조 제2항 제2호 나목임원에 「상법」 제401조의2 제1항 제3호에 따라 업무를 집행한 자와 같은 법 제408조의2 제1항의 집행임원이 포함됩니다
제32조 제4항(전문 자격 지정 대상)제32조 제3항법 제31조 제3항의 이사회 의결·신고 대상 규정이 됩니다. 「연간 매출액등 1,500억 원 이상」이 「1,800억 원 초과」로 오르고, 나머지 요건(5만 명 민감·고유식별정보 또는 100만 명, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관)은 같습니다
(신설)제32조 제4항지정·변경·해제 사유 발생일부터 6개월 이내 신고, 이사회 소집 곤란 등 부득이한 사유가 있으면 1년 범위 연장(입법예고안은 1개월)
(신설)제39조의2·제39조의3유출등의 가능성 통지의 사유 두 가지(정보주체 특정이 곤란한 불법 접근 / 일부 유출 확인 후 확산 가능성), 통지 사항, 72시간 기한, 실제 유출이 아님을 확인하면 통지, 홈페이지 30일 게시 갈음
제39조 제1항·제40조 제1항 단서 「지체 없이」「즉시」유예 사유가 해소된 뒤의 통지·신고 시점 문언 강화
(신설)제60조의2 제5항법 제64조의2 제6항 투자감경 사유 — 투자 규모·비율·지속성, 사업주·대표자 책임 이행, 보호책임자 조직, 추가 노력을 고려해 고시가 정하는 기준
별표 1의5별표 1의5 전면 개정10% 트랙의 기준금액(부과기준율 × 가중비율 ≤ 8.91%, 정액은 45억 원 이하), 투자감경 단계(기준금액의 40% 이내, 1차 조정 앞) 신설
별표 2별표 2과태료 상향. 문언이 그대로인 40개 항목에서 1차·2차는 1.5배, 3차 이상은 1.25배입니다(3차는 법정 상한에 붙어 더 오르지 못합니다). 3천만 원 구간 600·1,200·2,400만 원 → 900·1,800·3,000만 원. 제31조 제1항 위반(보호책임자 미지정)은 근거가 제75조 제4항에서 제2항으로 옮겨 가 200·400·800만 원에서 900·1,800·3,000만 원이 됩니다. 제75조 제2항 제14호의3·제14호의4 신설, 제17호는 제34조 제2항 위반까지, 제18호는 제34조 제4항으로 인용 변경
(신설)부칙 제2조시행 전에 지정한 보호책임자도 시행일부터 6개월 이내 신고

핵심은 목록이 하나라는 점입니다.

제32조 제3항의 목록 하나가 전문 자격 보호책임자 지정 의무와 이사회 의결·신고 의무를 동시에 겁니다. 그리고 그 목록의 금액 문턱이 1,500억 원 이상에서 1,800억 원 초과로 오르므로 대상 자체는 좁아집니다. 매출이 그 사이에 있는 회사는 9월 11일부터 세 의무에서 한꺼번에 벗어나고, 남는 회사는 같은 문턱에서 세 의무를 한꺼번에 집니다.

입법예고안에서 공포본으로 오면서 바뀐 것도 있습니다. 신고 기한이 1개월에서 6개월로 늘었고, 항 번호가 다시 배치됐으며, 공고 제2026-55호 부칙에 있던 투자감경 적용례(시행일 이후 위반행위부터)는 공포된 부칙에 없습니다. 부칙은 시행일, 보호책임자 신고 특례, 신용정보법 시행령의 인용 조문 정비 셋뿐입니다.

위 표의 조문 번호와 금액은 이제 확정된 문언입니다. 시행령이 다시 고시에 위임한 둘도 시행일인 9월 11일 함께 시행됐습니다. 투자감경과 과징금 산정의 세부 기준(별표 1의5 제3호)은 과징금 부과기준 개정 고시(개인정보보호위원회고시 제2026-12호), 보호책임자 지정·변경·해제 신고서 서식(제32조 제4항)은 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」(제2026-11호)입니다. 고시가 바꾼 감경률과 가중률은 9월 11일부터 무엇이 달라졌나에 표로 정리했습니다. 조문 번호 정비, 부칙 제3조 제2항 때문에 시행 전에 정리해야 하는 진행 중인 위반 상태, 개인정보 보호책임자 지정 구조 점검과 대상 여부 판정은 지금 확정된 문언으로 할 수 있는 일입니다.

시행으로 무엇이 언제부터 달라졌는지는 2026년 개정 개인정보 보호법 — 9월 11일부터 무엇이 달라졌나에 날짜별로 묶어 두었습니다. 이 개정법 말고도 앞으로 1년 사이에 시행되는 IT·개인정보 법령이 여럿 겹쳐 있는데, 그 시행일들은 IT·개인정보 법령 시행일 캘린더에 한 줄로 모아 두었습니다.

이 법률 개정과 별도로, 이미 공포된 시행령 개정(대통령령 제36121호)은 2026년 8월 20일부터 본인전송요구권의 상대방과 절차를 규정합니다. 우리 회사가 언제부터 어느 쪽 지위로 걸리는지는 본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가에서 다뤘습니다.

선례 확인 — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 개인정보 유출 통지·신고 위반 제재 사례에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.

자주 묻는 질문

Q. 9월 11일 이후 유출 신고의 근거 조문은 무엇인가요?

개정법 제34조 제4항입니다. 개정 전에는 신고가 제34조 제3항이었는데, 개정법이 제2항에 유출등의 가능성 단계 통지를 신설하면서 뒤 항이 한 칸씩 밀렸습니다. 현행 제3항(피해 최소화 대책)은 개정 제3항으로 남고, 신고는 제4항, 대통령령 위임은 제5항이 됩니다. 시행일 이후 작성하는 문서에서 '법 제34조 제3항에 따른 신고’라고 쓰면 다른 조항을 가리키게 됩니다.

Q. 과징금 상한이 10%로 올라간다는 것은 모든 위반에 해당하나요?

아닙니다. 원칙은 전체 매출액의 100분의 3이고(제64조의2 제1항), 100분의 10은 신설된 제2항의 세 가지 경우에만 적용됩니다. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 제1항의 같은 호에 해당하는 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있을 것), 고의 또는 중대한 과실로 위반행위를 하고 피해 정보주체가 1천만 명 이상인 경우, 그리고 시정조치 명령에 따르지 않아 제1항 제9호의 위반행위를 한 경우입니다.

Q. 이 대조표에 없는 조문도 개정되었나요?

개정 대상은 이 표보다 넓습니다. 여기에는 실무에서 인용 빈도가 높고 항 번호 이동이 발생하는 조문을 중심으로 담았습니다. 예를 들어 제24조 제3항과 제24조의2 제2항은 '분실·도난·유출·위조·변조 또는 훼손되지’라는 문구가 '유출등이 되지’로 정비되었는데, 의미 변화가 아니라 제23조 제2항에 신설된 약칭을 반영한 것이어서 표에서는 다루지 않았습니다.

참고 자료

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.