2026년 9월 11일 시행 개정 개인정보 보호법 — 신구조문 대조표

법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾼 조문을 개정 전 조문과 나란히 정리한 대조표입니다. 유출등 정의 확대, 제34조의 항 이동과 가능성 단계 통지 신설, 과징금 가중·감경 규정, 개인정보 보호책임자 지정에 관한 이사회 의결·신고 의무를 조문 단위로 담았고, 시행령 확정에 따라 계속 갱신합니다.

제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가

안심번호만 받기로 정책을 바꾼 회사의 API가 실제로는 휴대전화번호까지 전송했습니다. 받는 쪽 시스템에는 13.5만 명분이 보관돼 있었습니다(개인정보위가 2026년 7월 8일 공개한 사례). 요청한 적 없는 항목을 받아 두고 있을 때 받은 쪽이 어떤 조문의 수범자가 되는지, 사고가 나면 누가 신고 의무자인지를 조문 단위로 정리했습니다.

인수한 회사에 개인정보 과징금이 나왔습니다 — 매도인에게 데이터 항목 진술보증 위반 책임을 물을 수 있나

실사에서 개인정보는 체크리스트 한 줄로 지나가고, 진술보증에는 '관련 법령을 준수하고 있다’는 한 문장이 들어갑니다. 클로징 뒤에 개인정보보호위원회 처분이 나오면 그 문장이 무슨 일을 하는지, 대법원 2012다64253·2017다6108 판결과 개인정보 보호법 제27조·제64조의2·제66조로 정리했습니다.

랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나: 9월 11일부터 달라진 '유출등'의 범위

2026년 9월 11일 시행 개정 개인정보 보호법은 통지·신고 대상인 '유출등’에 위조·변조·훼손을 추가했습니다. 데이터가 밖으로 나간 것이 확인되지 않아도 랜섬웨어 암호화만으로 72시간 시계가 돌 수 있습니다. 개정 전과의 차이, 정의 조문의 위치가 남긴 쟁점, 대응 시계의 기산점을 조문 단위로 정리했습니다.

본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가

매출 1,800억원 초과 민간 기업이 전송 요구를 받는 것은 2027년 2월 20일부터입니다. 개정 시행령(대통령령 제36121호)이 2026년 8월 20일 시행됐지만 그렇습니다. 반면 스크래핑으로 데이터를 받아가는 대리인 측에는 8월 20일부터 사전협의 의무와 저장 금지가 걸립니다. 정보를 보내는 쪽과 받는 쪽에 각각 걸리는 날짜와 의무를 조문 단위로 정리했습니다.

수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나

콜센터·배송·전산 유지보수 수탁사에서 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 개인정보 보호법 제26조 제4항·제7항과 제64조의2 제1항 제5호가 만드는 책임 구조, 그리고 수탁사 자신의 의무와 배상 이후의 구상 국면까지 정리했습니다.

본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나 — GDPR 통지 기준이 한국법과 어긋나는 지점

본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다.

해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가

개인정보 보호법 제64조의2 제1항 제9호는 '유출된 경우' 자체를 과징금 사유로 정할 뿐 해킹인지 담당자 실수인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건의 원인 1위도 업무 과실(53건, 46%)이었습니다. 무엇이 처분 여부를 가르고 무엇이 금액을 가르는지, 메일 오발송 같은 업무 과실 유형에서 신고와 통지가 어떻게 달라지는지를 조문 단위로 정리합니다.

EU 고객 데이터를 한국 서버로 그냥 가져와도 되나요? — 적정성 결정 첫 재검토(2026.7.23)가 바꾼 것과 바꾸지 않은 것

EU 집행위원회가 2026년 7월 23일 한국 적정성 결정에 대한 첫 정기 재검토를 마치고 결정을 유지했습니다. EU에서 한국으로 개인정보를 이전할 때 표준계약조항 같은 추가 조치가 필요 없다는 상태는 그대로입니다(COM(2026) 384 final). 다만 보완규정 3개 조항의 폐지와 재검토 주기 4년 전환이 예고됐고, '글로벌 CBPR 인증을 받으면 국외이전이 된다’는 실무의 오해에는 명시적으로 제동이 걸렸습니다. 반대 방향인 한국에서 EU로의 이전도 2025년 9월 16일 동등성 인정(공고 제2025-68호) 이후 별도 동의 없이 가능하되, 주민등록번호·개인신용정보는 빠지고 처리방침의 이전 근거 기재는 그대로 남습니다. 양방향 데이터 이전의 근거를 조문으로 정리합니다.

개인정보처리방침 필수 기재사항 — 2026년 기준 15개 항목과 2023년 이후 늘어난 것

개인정보처리방침에 무엇을 담아야 하는지는 개인정보 보호법 제30조 제1항과 시행령 제31조 제1항이 정하고 있고, 국내대리인 기재까지 더하면 현행 기준 15개 항목입니다. 그 목록이 2023년 이후 네 차례 늘어, 2023년 초에 만든 처리방침은 지금 기준으로 항목이 비어 있을 가능성이 높습니다. 필수 항목과 신설 시점, 공개 방법, 과태료와 처리방침 평가제를 정리합니다. AI로 심사·추천을 자동화했다면 15개 항목을 다 채워도 빠지는 것이 하나 더 있습니다. 법 제30조 목록 밖에 있는 자동화된 결정의 공개 의무(법 제37조의2 제4항, 시행령 제44조의4의 다섯 항목)로, 거부권이 없는 경우에도 공개 의무는 남습니다. 국외이전·생성형 AI처럼 회사 사정에 따라 갈리는 항목은 각각의 글로 넘깁니다.