{"id":"b2806c17-72fe-4f6c-be50-c8ba19cbf3ea","doc_type":"policy","title":"개인정보 유출시 '최대 매출 10% 과징금'…CEO·CPO 책임 강화","summary":"'개인정보 보호법' 개정안 10일 공포…9월 11일 시행 정보 유출 등 가능성 인지 때도 지체 없이 통지 의무화 정부가 반복적이거나 중대한 개인정보 유출에 대해서는 전체 매출액의 최대 10%까지 징벌적 수준의 과징금을 부과하고 대표자(CEO)와 개인정보 보호책임자(CPO)의 책임을 강화하기로 했다.","body":"'개인정보 보호법' 개정안 10일 공포…9월 11일 시행\n정보 유출 등 가능성 인지 때도 지체 없이 통지 의무화\n\n정부가 반복적이거나 중대한 개인정보 유출에 대해서는 전체 매출액의 최대 10%까지 징벌적 수준의 과징금을 부과하고 대표자(CEO)와 개인정보 보호책임자(CPO)의 책임을 강화하기로 했다.\n\n개인정보보호위원회는 징벌적 과징금 도입과 개인정보 보호책임자 역할 강화 및 개인정보보호 관리체계(ISMS-P) 인증제도 개선을 통한 개인정보 보호 책임 강화를 내용으로 하는 '개인정보 보호법' 개정안을 10일 공포한다고 9일 밝혔다.\n\n송경희 개인정보보호위원장이 지난 1월 28서울 종로구 정부서울청사에서 열린 제2회 위원회 전체회의에서 발언하고 있다.(사진=저작권자(c) 연합뉴스, 무단 전재-재배포 금지)\n\n이번 법 개정은 최근 잇단 대규모 개인정보 유출사고로 불안과 사회적 우려가 커지는 상황에서 기업·기관의 개인정보 보호 책임을 강화하기 위해 신속히 추진했다.\n\n개인정보 침해에 대한 엄정한 제재로 강력한 억지력을 확보하는 한편, 사전예방적 투자를 촉진하고 개인정보 관리 체계를 강화해 개인정보 유출사고의 재발을 막기 위한 취지다.\n\n먼저, 징벌적 과징금과 사전예방 투자 인센티브를 도입했다.\n\n반복적이거나 중대한 개인정보 유출은 전체 매출액의 최대 10%까지 징벌적 수준의 과징금을 부과할 수 있는 특례를 도입했다.\n\n기존 과징금제도(전체 매출액의 3% 이하)만으로는 개인정보 침해 사고에 대한 실효적인 억지력 확보에 한계가 있다는 점을 고려해 ▲최근 3년간 고의 또는 중대한 과실로 위반행위를 반복한 경우 ▲고의 또는 중대한 과실로 대규모(1000만 명 이상) 피해를 초래한 경우 ▲시정명령 불이행으로 인한 개인정보 유출 등 사고가 발생한 경우에는 강화한 제재를 부과할 수 있는 법적 근거를 마련했다.\n\n아울러 개인정보 보호를 위한 사전 예방적 투자를 활성화하기 위한 인센티브도 함께 도입해 개인정보 보호 관련 예산·인력·설비·장치 등을 투자·운영한 경우 과징금을 필수 감경(고의·중과실의 경우는 제외)하게 했다.\n\n이어서 유출 가능성 통지제 등을 도입했다.\n\n현행 보호법은 개인정보처리자가 '유출 등이 되었음을 알았을 때' 정보주체에게 알리도록 규정하고 있어 유출 등 가능성이 있음에도 통지가 지연되는 문제가 있었다.\n\n이에 따라 유출 등 사고 발생 초기부터 정보주체가 이를 인지하고 신속하게 대응할 수 있도록 '유출 등의 가능성이 있음을 알게 되었을 때'에도 지체 없이 통지하게 의무화했다.\n\n또한 기존에는 랜섬웨어 등에 따른 개인정보의 위조·변조·훼손의 경우는 통지·신고 대상에 포함되지 않아 신속한 대응에 어려움이 있었다.\n\n앞으로는 개인정보의 분실·도난·유출뿐만 아니라 위조·변조·훼손도 '유출 등 사고'의 범위에 포함해 통지·신고 대상이 되게 하고, 개인정보 유출통지 때 손해배상 청구와 분쟁조정 신청 등 피해구제 방법을 함께 알리게 했다.\n\n아울러 대표자(CEO)와 개인정보 보호책임자(CPO)의 책임을 강화했다.\n\n개인정보 유출사고를 근본적으로 예방하기 위해서는 기업·기관 차원에서 개인정보 처리·보호에 대한 인식 강화와 관심 제고가 필수적인 점을 고려해 사업주 또는 대표자와 개인정보 보호책임자의 책임성 강화를 통한 개인정보의 안전한 관리체계 확보도 함께 추진한다.\n\n우선, CEO에 개인정보 처리 및 보호의 최종책임자로서 관리·감독 의무를 명확히 부여하고, 일정 규모 이상의 개인정보처리자에 대해서는 CPO 지정·변경·해제 때 이사회 의결을 거쳐 개인정보보호위원회에 신고하도록 의무화했다.\n\n상시적인 개인정보 안전관리 체계를 구축하기 위해 CPO의 역할을 강화해 CPO가 개인정보 보호에 필요한 전문 인력 관리, 예산 확보 업무를 수행하도록 의무화하고, 대표자와 이사회에 개인정보 보호 관련 사항을 보고하도록 했다.\n\n이와 함께 개인정보위는 공공·민간 분야에서 파급력이 큰 주요 기업·기관에 대해 기존에 자율적으로 운영하던 ISMS-P 인증을 의무화했다.\n\n'ISMS-P 인증'은 주요 정보자산 유출 및 피해 예방을 위해 기업 또는 기관이 스스로 구축·운영 중인 정보보호 및 개인정보보호 관리체계가 적합한지를 인증하는 제도다.\n\n이를 통해 정보보호와 개인정보 보호 수준을 스스로 강화하도록 하고 실효성 있는 개인정보 보호 관리체계를 구축하고자 했다.\n\n개정 법률은 오는 9월 11일부터 시행하되 ISMS-P 인증 의무화 규정은 관련 예산 확보 등에 걸리는 기간을 고려해 내년 7월 1일부터 시행할 예정이다.\n\n개인정보위는 개정 법률을 차질 없이 시행할 수 있도록 위임규정 마련 등 후속 시행령 개정을 신속히 추진하는 한편, 제도개선 사항을 현장에서 안정적으로 운영할 수 있도록 산업계, 공공기관 등과 소통을 강화해 나갈 계획이다.\n\n문의: 개인정보보호위원회 개인정보보호정책과(02-●●●●-3057), 자율보호정책과(02-●●●●-3082, 3084), 조사조정국 조사총괄과(02-●●●●-3102)\n\n정책브리핑의 자료는 「공공누리 제1유형:출처표시」의 조건에 따라 자유롭게 이용이 가능합니다. 다만, 사진의 경우 제3자에게 저작권이 있으므로 사용할 수 없습니다. 기사 이용 시에는 출처를 반드시 표기해야 하며, 위반 시 저작권법 제37조 및 제138조에 따라 처벌될 수 있습니다. <자료출처=정책브리핑 www.korea.kr>","ministry_code":"PIPC","ministry_name":"개인정보보호위원회","org_type":"위원회","category":"정책뉴스","published_at":"2026-03-09T18:09:00+09:00","fetched_at":"2026-07-04T11:25:09+09:00","source_url":"https://www.korea.kr/news/policyNewsView.do?newsId=148960564&call_from=openData","source_tier":"T1_api","alt_sources":[],"attachments":[],"law_ref":[],"region":null,"kogl_type":1,"kogl_notice":"공공누리 제1유형: 출처표시. 원문: 개인정보보호위원회","lang":"ko","links":{"related_by_law":[],"same_ministry_recent":[{"id":"84eb5653-f31b-4634-bb11-13b963a3207d","doc_type":"policy","title":"EU \"한국, 개인정보 보호 수준 높다\"…'적정성 결정' 유지","published_at":"2026-07-24T17:46:00+09:00"},{"id":"98f57ae3-91ff-46bb-931f-7bbc27874d1f","doc_type":"notice","title":"2026년 AI와 프라이버시 국제 컨퍼런스 행사대행 용역","published_at":"2026-07-23T13:10:00+09:00"},{"id":"f4466d07-a56c-42ae-aa5c-9c4184a9b978","doc_type":"notice","title":"글로벌 서비스·신기술 분야 침해위험 모니터링 사업","published_at":"2026-07-21T20:11:00+09:00"},{"id":"a9daf598-491e-40f0-befc-01284c65bb69","doc_type":"notice","title":"에이전틱 AI 분야 개인정보 침해위험 실증분석","published_at":"2026-07-21T16:44:00+09:00"},{"id":"7322e81e-e5a1-41e4-a902-b5852772d2b2","doc_type":"law","title":"개인정보보호위원회 공무직근로자 등 운영규정","published_at":"2026-07-07T00:00:00+09:00"}]}}