개인정보보호법 9월 11일 시행, 무엇을 준비해야 하나
2026-08-25 기준이며, 사업장마다 적용이 달라질 수 있습니다.
법무 담당자나 인사팀 책상 위에 개정된 개인정보보호법 조문이 올라와 있어도, 어디서부터 손을 대야 할지 막막한데요.
조문 자체는 길고, 언론마다 강조하는 지점도 조금씩 달라서 정작 우리 사업장에 뭐가 걸리는지는 흐릿하게 남기 쉽습니다.
이 글은 2026-08-25 기준으로 국가법령정보센터 원문과 언론 보도를 정리한 내용이며, 사업장마다 적용 범위가 달라질 수 있다는 점을 먼저 밝혀 둡니다.
목차
- 언제부터, 무엇을 근거로 바뀌나
- 과징금 상한이 왜 3%에서 10%로 뛰나
- 개인정보 보호책임자(CPO)의 자리가 왜 무거워지나
- 유출된 게 아니라 유출됐을 가능성만 있어도 알려야 한다
- 지금 무엇을 준비해야 하나
- 헷갈리기 쉬운 이름들부터 정리하자
- 자주 묻는 질문
언제부터, 무엇을 근거로 바뀌나
개인정보보호법 개정안은 2026년 2월 12일 국회 본회의를 통과한 뒤 3월 10일 법률 제21445호로 공포됐으며, 공포 후 6개월이 지난 2026년 9월 11일부터 시행됩니다.
이 날짜는 국가법령정보센터(law.go.kr) 조문 페이지에 "[시행 2026. 9. 11.]"로 명시돼 있어 따로 대조까지 마친 사실입니다.
다만 개정 조항 전부가 같은 날 한꺼번에 움직이는 것은 아닙니다.
인증 의무화(ISMS-P) 조항만 2027년 7월 1일로 시행이 따로 유예됐다고 보도되므로, 9월 11일과 2027년 7월 1일을 같은 조항의 날짜처럼 섞어 쓰면 안 됩니다.
과징금 상한이 왜 3%에서 10%로 뛰나
기존에는 위반행위에 대해 전체 매출액의 3% 이내에서 과징금을 매길 수 있었는데, 개정법은 이 상한을 매출액의 10%까지 올렸습니다.
10%까지는 언제 오를까요.
- 고의 또는 중대한 과실로 3년 이내에 같은 위반을 반복한 경우
- 고의·중과실로 피해를 본 정보주체가 대규모에 이른 경우
- 시정조치 명령을 지키지 않은 상태에서 유출등이 발생한 경우
과징금 상한이 오른 건 모든 기업이 아니라, 반복 위반이나 대규모 피해, 시정명령 불이행처럼 일정 요건에 해당할 때입니다.
세부 적용 기준은 언론 보도로만 나왔고 국가법령정보센터 조문 원문까지는 대조하지 못했으므로, 정확한 수치는 시행 이후 공식 안내로 다시 짚어보시는 편이 안전합니다.
개인정보 보호책임자(CPO)의 자리가 왜 무거워지나
일정 규모 이상 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보보호위원회에 신고해야 하는 절차가 새로 생겼습니다.
CPO 업무에 전문인력 관리와 예산 확보가 추가되고 대표자·이사회에 보호 현황을 보고해야 한다는 내용도 보도되지만, 이는 언론 기사 한 건에서만 나온 내용이라 조문 원문 대조가 더 필요합니다.
개정법은 사업주나 대표자를 개인정보의 안전한 처리와 정보주체 권리 보호에 관한 최종 책임자로도 명시했습니다.
유출된 게 아니라 유출됐을 가능성만 있어도 알려야 한다
통지·신고 대상인 '유출등'의 범위가 기존 분실·도난·유출에서 위조·변조·훼손까지 넓어졌습니다.
여기에 더해, 실제 유출이 확정되지 않았더라도 유출등의 가능성을 인지한 시점에 정보주체에게 알려야 하는 제도가 새로 생겼습니다.
유출이 확정되기 전, 가능성을 인지한 시점부터 통지 의무가 시작된다는 점이 이번 개정에서 가장 자주 놓치는 대목입니다.
시행령 개정안에는 시스템 무단접근이나 유출 의심 정황을 인지한 뒤 72시간 이내에 통지하도록 하는 방안도 함께 올라와 있지만, 이는 아직 국무회의 의결과 공포 전 단계인 입법예고 문서 속 안이라 확정된 규정은 아닙니다.
기존부터 운영되던 실제 유출신고 창구와 기한은 이번 개정과 무관하게 그대로 유지됩니다.
| 무엇 | 어디로 | 기한 |
|---|---|---|
| 개인정보 유출신고 | 개인정보보호위원회(brss.pipc.go.kr, 접수 전문기관 KISA) | 72시간 이내 |
| 해외사업자 유출신고 | 이메일(brss@korea.kr) | 72시간 이내 |
| 개인정보 침해 신고·안내 | 개인정보침해신고센터(privacy.kisa.or.kr, 국번 없이 118) | 상시 |
신고 기한을 놓치면 3천만원 이하 과태료 대상이 될 수 있어서, 통지 여부를 판단하는 시점 자체를 앞당겨 두는 편이 안전합니다.
지금 무엇을 준비해야 하나
시행령 개정안 세 건, 즉 CPO 신고 대상 확대안과 인증 의무화 대상안, 72시간 통지 기한안은 모두 2026년 6월부터 7월까지 입법예고가 끝났을 뿐 아직 확정된 조문이 아닙니다.
CPO 신고 대상 확대안은 연매출액(수입) 1,800억원 이상이면서 민감정보나 고유식별정보를 5만 명 이상, 또는 일반 개인정보를 100만 명 이상 처리하는 사업자를 대상으로 논의되고 있습니다.
인증 의무화 대상안으로는 다음 사업자가 거론되고 있습니다.
- 공공시스템운영기관
- 이동통신사업자
- 본인확인기관
- 전년도 매출액 1조원 이상, 정보통신서비스 부문 매출 100억원 이상, 국내 정보주체 수 일평균 3천만 명 이상인 사업자
두 안 모두 매출액이나 이용자 규모 조건이 함께 붙어 있어서, 규모 조건을 빼고 인원수 기준만 기억하면 대상 범위를 잘못 짚을 수 있습니다.
소상공인이나 영세사업자를 위한 별도 유예·면제 조항이 이번 개정에 포함됐는지는 관련 자료를 찾지 못해 확인이 안 됩니다.
다만 안전조치 기준 자체는 원래도 처리자 규모별로 차등 적용되는 구조이니, 사업 규모에 맞는 안전조치 유형부터 짚어보는 것이 준비의 출발점이 될 수 있습니다.
헷갈리기 쉬운 이름들부터 정리하자
이번 개정을 찾아보면 날짜와 명칭이 비슷한 제도가 여럿 섞여 나오는데요, 헷갈리기 딱 좋습니다.
- 개인정보보호 인증(ISMS-P) 의무화 : 같은 개정법 안에 있지만 시행일이 2027년 7월 1일로 따로 유예됐다고 보도되는 조항
- 정보통신망법 개정 : 개인정보보호법이 아닌 별개 법률로, 침해사고 신고 기한을 24시간으로 명확히 한 내용이 2026년 9월 11일 시행이라고 보도됨
- 개인정보 처리방침 평가제도 : 2024년 3월 15일 시행된 2023년 전면개정의 산물로, 이번 9월 개정과는 무관
개인정보보호법의 9월 11일 시행과 정보통신망법의 시행일이 같은 날로 보도되지만, 두 법은 별개이므로 하나의 개정처럼 서술하면 오해가 생깁니다.
세 제도 모두 "개인정보"라는 단어가 들어가 있어 한 개정으로 묶어 읽기 쉽지만, 근거 법률과 시행일이 각각 다르다는 점을 구분해서 봐야 합니다.
자주 묻는 질문
• 9월 11일부터 모든 조항이 한꺼번에 바뀌나
원칙 시행일은 9월 11일이 맞지만, 인증 의무화(ISMS-P)처럼 2027년 7월 1일로 별도 유예된 조항도 있어서 조항별로 시행일을 따로 확인해야 합니다.
• 시행령 개정안 수치를 지금부터 확정된 기준처럼 준비해도 되나
개인정보보호법 시행령 개정안은 입법예고만 끝난 단계라 국무회의 의결과 공포 전이므로, 방향은 참고하되 최종 수치는 시행령이 공포된 뒤 다시 맞춰보시는 편이 안전합니다.
관련 글
이 글은 2026-08-25 기준 각 기관 공식 안내를 정리한 정보 제공 목적의 글이며, 특정 사업장이나 특정 개인에 대한 판단이 아니고 개별 문의에 응하지 않습니다.
노트밀은 세무대리·노무대리·법률사무를 하지 않고, 법령과 고시는 언제든 바뀔 수 있어 이 글만 보고 내린 결정까지 책임지지는 못합니다.
이 글은 길을 찾는 데까지 쓰시고, 우리 사업장에 실제로 어떻게 적용되는지는 개인정보보호위원회에 문의하시거나 변호사에게 한 번 더 확인해보십시오.