9·10월 시행 개인정보·정보통신망법 주요 개정사항: 강화되는 제재기준과 기업 대응 포인트
2026년 9월 11일에는 개정 「개인정보 보호법」(법률 제21445호, 2026. 3. 10. 공포)이, 10월 1일에는 개정 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(법률 제21500호, 2026. 3. 31. 공포, 이하 “정보통신망법”)이 각각 시행됩니다. 개정 개인정보 보호법은 반복적·중대한 위반에 대한 과징금 상한을 예외적으로 상향하면서 개인정보 보호를 위한 사전 투자를 감경사유로 신설했고, 사업주 또는 대표자와 개인정보 보호책임자(Chief Privacy Officer, 이하 “CPO”)의 책임을 확대했으며, 유출 가능성을 알게 된 단계에서도 통지의무를 부과합니다. 정보통신망법 개정사항은 지난 4월 TLI에서 다룬 바 있어, 이번 호에서는 방송미디어통신위원회(이하 “방미통위”)가 8월 3일 입법·행정예고한 정보통신망법 시행령 일부개정령안(공고 제2026-222호)과 「광고성 정보 전송 법령 위반 관련 과징금 부과기준 등에 관한 고시」 제정안(공고 제2026-223호)을 중심으로 살펴봅니다.
Ⅰ. 개정 개인정보 보호법
1. 반복적·중대한 위반의 최대 10% 과징금
과징금 상한은 원칙적으로 전체 매출액의 3%(매출액이 없거나 산정이 곤란한 경우 20억 원)이나, 개정법은 다음 세 경우에 한하여 전체 매출액의 10%(매출액이 없거나 산정이 곤란한 경우 50억 원)까지 부과할 수 있도록 했습니다(제64조의2제1항·제2항).
① 이 조에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 같은 유형, 즉 제1항 같은 호에 해당하는 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있을 것), ② 고의 또는 중대한 과실로 위반행위를 하여 정보주체의 피해 규모가 1천만 명 이상인 경우, ③ 시정조치 명령에 따르지 아니하여 개인정보가 유출등이 된 경우입니다. ②는 부칙 제3조제2항에 따라 시행 당시 종료되지 않은 위반행위에도 적용됩니다.
산정 기준은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액입니다(같은 조 제3항). 다만 정당한 사유 없이 매출액 산정자료의 제출을 거부하거나 거짓 자료를 제출하면 전체 매출액을 기준으로 산정하되 관련 자료에 근거해 매출액을 추정할 수 있으므로(같은 조 제4항), 자료 제출에 응하지 않는 것 자체가 산정 기준 금액을 높일 수 있습니다.
2. 개인정보 보호 투자에 따른 감경
개정법은 예산·인력·설비·장치 등의 투자 및 운영 등 대통령령으로 정하는 사유가 있으면 과징금을 감경하도록 했고, 고의 또는 중대한 과실로 위반행위를 한 경우는 제외했습니다(제64조의2제6항). 지난 6월 1일 입법예고된 시행령 개정안(개인정보보호위원회 공고 제2026-55호)은 그 위임을 받아 투자 규모 및 지속성, 사업주·대표자·CPO의 역할과 조직·인력 구성 등 개인정보 보호 체계의 운영 내용 및 수준, 안전성 확보조치 강화를 위한 추가 노력을 고려해 기준금액의 40% 범위에서 감경하도록 정했습니다(안 제60조의2제5항, 안 별표 1의5 제2호나목). 기준금액을 산정한 뒤 투자 감경, 1차 조정, 2차 조정, 부과 과징금 결정을 차례로 거치므로 투자 감경은 1차·2차 조정에 앞선 별도의 단계입니다. 매우 중대한 위반행위에 1차·2차 조정 단계의 감경을 전부 또는 일부 적용하지 않을 수 있도록 한 규정은 지난 5월 19일 시행령 개정(대통령령 제36340호)으로 이미 시행 중입니다. 10% 상한이 적용되는 사안에서는 부과기준율에 가중비율을 곱하되 그 비율이 8.91%를 넘을 수 없고, 매출액 산정이 곤란한 경우의 기준금액은 45억 원이 한도입니다(안 별표 1의5 제2호가목).
3. 사업주 또는 대표자의 책임 신설
개정법은 개인정보처리자의 사업주 또는 대표자를 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 "최종적인 책임자"로 규정하고, 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 할 것을 의무화하고 있습니다(제30조의3). 조문 자체에 별도의 벌칙이나 과태료는 두지 않아 그 자체가 제재의 직접적인 근거가 되지는 않으나, 개인정보 보호를 담당 부서의 업무가 아니라 경영진의 관리 사항으로 두는 법률상 근거가 마련된 것으로 볼 수 있습니다.
이 조항은 제31조 및 과징금 감경 규정과 함께 살펴봐야 합니다. 개정법은 CPO의 업무에 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보와 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고를 추가했습니다(제31조제4항제2호·제3호). 대표자가 지는 총괄 관리책임과 CPO의 보고 의무가 맞물리는 구조입니다. 또한 앞서 본 시행령 개정안(공고 제2026-55호)의 과징금 감경 기준에는 사업주 또는 대표자, CPO의 역할과 조직 및 인력 구성 등 개인정보 보호 체계 운영 내용 및 수준이 포함되어 있어(안 제60조의2제5항), 이를 이행한 사실을 문서로 남겨둘 필요가 있습니다.
4. CPO 지정 절차와 과태료 신설
개인정보처리자는 원칙적으로 CPO를 지정해야 하나 종업원 수·매출액 등이 대통령령 기준에 해당하면 지정하지 않을 수 있고, 그 경우 사업주 또는 대표자가 CPO가 된다는 점은 종전과 같습니다(제31조제1항·제2항). 개정법은 매출액과 개인정보 보유 규모 등을 고려해 대통령령으로 정하는 개인정보처리자에 대해 CPO의 지정·변경·해제 시 법인이라면 이사회의 의결을 거치고 개인정보보호위원회에 신고하도록 의무화했습니다(제31조제3항). CPO 미지정과 부적격자 지정, 이사회 의결 누락, 신고 누락은 모두 3천만 원 이하의 과태료 부과 대상입니다(제75조제2항 제14호의2부터 제14호의4까지). 이 의무는 제26조제8항에 따라 수탁자에게도 준용되므로, 개인정보 처리를 위탁받아 수행하는 기업도 같은 의무를 부담합니다. 6월 2일 입법예고된 시행령 개정안(개인정보보호위원회 공고 제2026-59호)은 그 대상을 전문 CPO 지정 의무 대상기관, 즉 연 매출액 또는 수입이 1,800억 원 이상으로서 5만명 이상의 민감정보·고유식별정보 또는 100만명 이상의 개인정보를 처리하는 개인정보처리자와 재학생 2만 명 이상인 대학, 대규모 민감정보를 처리하는 상급종합병원, 공공시스템운영기관으로 정하고, 신고는 의무가 발생한 날부터 1개월 이내에 하도록 했습니다.
5. ‘유출등’의 확대와 유출 가능성 통지 의무
개정법은 개인정보의 분실·도난·유출에 위조·변조·훼손을 더해 “유출등”으로 정의하고 그 전부를 통지·신고 대상으로 삼았습니다(제23조제2항, 제34조제1항). 통지사항에는 손해배상·법정손해배상 청구와 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법에 관한 정보가 추가되었습니다(제34조제1항제6호).
실제 유출등이 확인되기 전이라도 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되면 지체 없이 가능성이 있는 모든 정보주체에게 알려야 합니다(제34조제2항). 사고 대응의 출발점이 유출 사실의 확인에서 가능성의 인지로 앞당겨지므로, 조사를 마친 뒤 통지 여부를 결정하던 기존 방식으로는 의무를 제때 이행하기 어렵습니다. 확정되지 않은 사실을 알리는 일이어서 통지문에는 확인된 사항과 그렇지 않은 사항을 구분해 적으면서도 정보주체가 취할 수 있는 조치를 분명히 안내해야 하므로 이에 맞는 별도의 문안을 미리 준비해 두어야 합니다. 이 규정은 부칙 제2조제2항에 따라 시행 이후 가능성을 알게 된 경우부터 적용됩니다.
통지 요건과 시한은 6월 2일 입법예고된 시행령 개정안 제39조의2가 정하고 있고, 개인정보보호위원회가 8월 21일 공개한 「개인정보 유출등 대응 매뉴얼」 초안도 같은 내용을 담고 있습니다. 요건은 다음 두 가지입니다.
- 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 불법적인 접근을 알게 된 경우로서 개인정보가 유출등이 된 객관적인 정황이 있으나 유출등이 된 정보주체를 특정하기 곤란한 경우
- 개인정보처리자가 처리하는 개인정보가 불법적으로 거래·유통되고 있다는 사실이 객관적으로 확인된 경우로서 유출등이 확인된 정보주체 이외의 정보주체에 관한 개인정보도 유출등의 가능성이 높다고 인정되는 경우
통지 시한은 불법적인 접근 또는 불법 거래·유통 사실을 알게 된 때부터 72시간 이내이고, 가능성을 알린 뒤 유출등 여부가 확인되면 확인 통지 또는 정정 통지를 다시 해야 합니다(안 제39조의2제1항·제4항). 위 요건과 시한은 아직 입법예고 단계의 내용이므로, 사내 기준을 미리 설계해 두되 공포되는 시행령과 대조해 확정하는 것이 안전합니다.
Ⅱ. 정보통신망법 시행령 개정안과 과징금 고시 제정안
1. 규제 대상
과징금 부과 대상은 통신사업자나 대량문자 발송사업자에 한정되지 않습니다. 영리목적의 광고성 정보 전송 제한을 규정한 제50조제1항은 수범자를 ‘누구든지’로 명시하고 있으므로, 문자메시지·이메일·앱 푸시로 자사 상품이나 서비스를 홍보하는 일반 사업자도 규제 대상이 됩니다. 광고 발송을 외부 대행사에 맡겼더라도 광고주의 관여 정도에 따라 책임이 문제될 수 있습니다.
2. 과징금 산정기준
개정법 제50조의9제1항은 제50조, 제50조의4, 제50조의5, 제50조의7 또는 제50조의8을 위반한 자에게 대통령령으로 정하는 매출액의 6%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 했습니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원 이하의 과징금을 부과합니다(같은 조 제3항). 과태료가 그대로 유지되는 위에 매출액에 연동되는 과징금이 얹힌 구조입니다.
시행령 개정안은 위반행위가 있었던 사업연도의 첫날을 기준으로 사업개시 후 경과 기간에 따라 매출액을 달리 산정합니다(안 제64조의2제1항). 그 시점에 사업을 개시한 지 3년 이상이면 직전 사업연도의 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액이 기준이 되고, 해당사업연도에 사업을 개시했다면 사업개시일부터 위반행위일까지의 매출액을 연 단위로 환산합니다. 개인정보 보호법 시행령이 2026년 5월 19일 개정되면서 먼저 채택한 산정 방식과 같은 구조입니다.
기준 매출액에서 위반행위와 관련이 없는 매출액은 제외되는데, 고시안은 그 판단에서 고려할 요소로 재화·서비스의 종류·성질과 공급 또는 제공 방식에 따른 독자성·부속성의 정도, 이용자가 별개의 재화·서비스로 합리적으로 인식할 수 있는 정도, 이용약관·이용계약에서 정한 재화·서비스의 범위, 한국표준산업분류상 분류나 품목별·업종별 매출액 등 회계단위를 들고 있습니다(안 제5조제2항). 시행령 개정안은 관련이 없는 매출액 중 일부를 제출받은 자료 등에 근거해 방미통위가 인정하는 금액으로 정하도록 했고(안 제64조의2제2항제2호), 방미통위는 필요하면 20일 이내의 기간을 정해 재무제표 등의 제출을 요구할 수 있습니다(같은 조 제4항). 기업은 사업부문별 매출을 분리해 소명할 수 있도록 관련 자료를 미리 갖춰 두어야 합니다.
부과기준율은 위반행위의 유형에 따라 이원화되어 있습니다(안 별표 3의3 제3호가목1).
