유출 가능성이 있을 때의 통지와 전체 매출액의 10퍼센트까지의 과징금: 2026년 3월 개인정보 보호법 개정이 바꾼 것

무엇이 바뀌었나

개인정보 보호법 제34조제1항은 종전에 개인정보처리자가 개인정보가 분실·도난·유출되었음을 알게 되면 지체 없이 해당 정보주체에게 알려야 한다고 정하였습니다. 2026년 3월 10일 공포된 법률 제21445호는 정의된 낱말 '유출등'을 제23조제2항으로 옮겨 그 범위를 분실·도난·유출·위조·변조 및 훼손으로 정하여, 위조·변조 또는 훼손된 경우에도 의무가 미치게 합니다. 통지에는 정보주체가 피해를 최소화하기 위하여 할 수 있는 방법에 관한 '구체적인' 정보, 유출등으로 인한 제39조에 따른 손해배상 및 제39조의2에 따른 법정손해배상의 청구와 제43조에 따른 분쟁조정 등 법적 권리와 행사 방법에 관한 정보, 그 밖에 대통령령으로 정하는 사항이 들어가야 합니다. 피해를 최소화하기 위한 대책을 마련하여야 한다는 종전의 의무는 제34조제3항이 되고, 그 조치에는 '회수·삭제 등 피해 확산을 방지하기 위한 조치'가 포함되어야 합니다.

신설된 제34조제2항은 유출등의 가능성에 대한 통지를 더합니다. 제34조제1항에도 불구하고 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항을 알려야 하고, 제28조의7은 가명정보에 대하여 이 두 항을 적용하지 아니합니다. 신설된 제64조의2제2항은 보호위원회가 제64조의2제1항에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 같은 호의 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정합니다), 고의 또는 중대한 과실로 위반행위를 하여 정보주체의 피해 규모가 1천만명 이상인 경우, 또는 제64조제1항에 따른 시정조치 명령에 따르지 아니하여 제64조의2제1항제9호의 위반행위를 한 경우에 전체 매출액의 10퍼센트를 초과하지 아니하는 범위에서 과징금을 부과할 수 있게 합니다. 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 부과할 수 있고, 제64조의2제6항은 개인정보 보호를 위하여 예산·인력·설비·장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있는 경우에는 보호위원회가 과징금을 감경하여야 한다고 정하되, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외합니다. 개정이유는 강력한 제재, 사업주 또는 대표자의 책임 명확화, 개인정보 보호책임자의 강화, 인증 의무화 및 쉬운 피해 구제를 목표로 밝히고, 나머지 변경은 신설된 제30조의3, 제31조 및 제32조의2제1항의 단서에 들어 있습니다.

조문으로 확인할 것

부칙 제1조는 이 법을 공포 후 6개월이 경과한 날인 2026년 9월 11일부터 시행하되, 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정, 즉 인증 의무와 그 벌칙은 2027년 7월 1일부터 시행한다고 정합니다. 부칙 제2조는 개정된 제34조제1항 및 제4항을 이 법 시행 이후 유출등이 되었음을 알게 된 경우부터, 제34조제2항을 이 법 시행 이후 유출등의 가능성이 있음을 알게 된 경우부터, 제34조제3항을 이 법 시행 이후 유출등이 된 경우부터 적용하므로, 2026년 9월 11일 이전의 인지는 개정된 제1항 및 제2항의 범위 밖에 있습니다. 부칙 제3조는 제64조의2제2항제1호의 개정규정을 이 법 시행 이후 발생한 위반행위로 과징금 부과처분을 받은 후 다시 같은 호의 위반행위를 한 경우부터, 제2호의 개정규정을 이 법 시행 당시 종료되지 아니한 위반행위에도, 제3호의 개정규정을 이 법 시행 이후 받은 시정조치 명령부터 적용합니다. 부칙 제4조는 다른 두 법률을 그에 맞게 고칩니다.

사안의 기록에는 개인정보처리자가 유출등 또는 그 가능성을 언제 알았는지, 유출등이 언제 발생하였는지, 과징금의 경우에는 이전의 과징금 부과처분이나 시정조치 명령의 날짜가 무엇인지가 드러나야 합니다. 유출등의 가능성의 범위, 인증 기준, 개인정보 보호책임자 신고의 방법 및 절차, 통지의 사항 및 감경 사유는 대통령령으로 정하는데, 본 노트는 이를 읽지 않았습니다.

입법에 묻는 것

제34조제1항의 단서는 '정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우'에 갈음하는 조치를 허용하지만, 제34조제2항은 '유출등의 가능성이 있는 모든 정보주체'에게 통지하여야 한다고 정하고, 개정문과 부칙과 개정이유는 그 갈음하는 조치가 이 항에도 미치는지 말하지 않습니다. 연락처를 알 수 없는 정보주체에 대해서도 그 의무가 그대로 서야 합니까?

제64조의2제2항제2호는 '정보주체의 피해 규모가 1천만명 이상인 경우'에 적용되고, 부칙 제3조는 그 개정규정을 이 법 시행 당시 종료되지 아니한 위반행위에도 적용하지만, 개정문과 부칙과 개정이유는 그 인원을 어떻게 계산하는지 말하지 않습니다. 그 수치는 한 건의 위반행위 기준인지, 관련된 위반행위 전부 기준인지, 아니면 2026년 9월 11일 이후 발생한 피해만 기준으로 삼는지?

다시 볼 조건

유출등의 가능성을 정의하고 인증 기준과 감경 사유를 정하는 대통령령을 이 법과 대조하여 읽을 때, 보호위원회 또는 법원이 제64조의2제2항제2호의 1천만명 수치나 제34조제2항의 통지 의무를 해석하는 결정을 내릴 때, 또는 2027년 7월 1일 이전에 인증 의무가 다시 개정될 때 본 노트를 다시 살펴봅니다.