2026년 9월, 개정된 개인정보 보호법이 시행됩니다.
개인정보보호위원회와 한국인터넷진흥원이 발간한 보고서에 따르면, 2025년 개인정보 유출 신고 건수는 전년보다 46% 증가했으며, 해킹에 의한 유출이 전체의 60% 이상을 차지했다고 합니다. 과징금 규모도 1,700억 원에 육박하는 등 개인정보 보호의 중요성이 커지는 가운데, 개인정보보호위원회는 「개인정보 보호법 시행령」 일부개정령안을 마련해 6월 2일부터 7월 13일까지 입법예고했습니다. 개정된 「개인정보 보호법」은 오는 9월 11일부터 시행될 예정이며, 개인정보 유출사고 예방과 대응을 강화하고 국민의 권리를 보다 두텁게 보호하기 위한 내용을 담고 있습니다.
이번 개정은 단순히 일부 규정을 보완하는 수준을 넘어 기업의 개인정보 보호 책임을 강화하고, 사전 예방 중심의 관리 체계를 정착시키는 것에 초점을 맞추고 있습니다. 개정된 개인정보 보호법에는 ▲대표자 등의 책임 명확화 및 CPO 역할 강화, ▲ISMS-P 인증 의무화, ▲유출 가능성 통지제 도입 및 통지 항목 확대, ▲반복·중대 개인정보 침해에 대한 과징금 강화 등 기업의 보안 관리 체계 전반에 영향을 미치는 내용이 포함되어 있습니다.
그렇다면 이번 개인정보 보호법 개정으로 무엇이 달라졌으며, 기업은 시행에 앞서 어떤 사항을 준비해야 할까요? 오늘의 포스팅에서는 개정된 개인정보 보호법의 주요 내용과 함께 기업이 지금부터 준비해야 할 대응 방안을 살펴보겠습니다.
개인정보 보호법 개정, 어떤 점이 달라졌을까요?
(1) 개인정보 보호책임자(CPO) 지정·변경·해제 시 이사회 의결 및 신고가 의무화되었습니다.
개인정보 보호책임자(CPO)의 독립성과 신분 보장을 강화하기 위해 일정 규모 이상의 개인정보처리자가 CPO를 지정·변경·해제하는 경우 이사회 의결을 거치고 개인정보보호위원회에 신고해야 합니다. 시행령에서는 신고 의무 대상을 현행 전문 CPO 지정 의무 대상과 동일하게 규정했습니다.
연 매출액·수입 1,800억 원 이상이면서 5만 명 이상 민감·고유식별정보 또는 100만 명 이상 개인정보를 처리하는 개인정보처리자
재학생 수 2만 명 이상인 대학
상급종합병원
공공시스템운영기관
또한, CPO를 지정·변경·해제한 경우에는 신고 방법과 절차를 구체화하여, 신고 의무 대상인 개인정보처리자는 의무가 발생한 날로부터 1개월 이내 신고서를 개인정보보호위원회에 제출해야 합니다. 다만, 부득이한 사유가 있는 경우에는 최대 1개월까지 신고 기간을 연장할 수 있습니다.
(2) 일정 규모 이상 개인정보처리자의 ISMS-P 인증이 의무화되었습니다.
일정 규모 이상의 개인정보처리자를 대상으로 ISMS-P(정보보호 및 개인정보보호 관리체계)인증이 의무화 되었습니다. 시행령에서는 다음 기관 및 사업자를 ISMS-P 인증 의무 대상으로 규정했습니다.
공공시스템운영기관 중 보호위원회가 정하여 고시하는 자
이동통신사업자
본인확인기관
전년도 매출액 1조 원 이상이고, 정보통신서비스 부문 전년도 매출액 100억 원 이상이며 전년도 말 기준 직전 3개월간 개인정보가 저장·관리되는 국내 정보주체 수가 일일 평균 3천만 명 이상인 사업자
해당 사업자는 2028년 12월 31일까지 ISMS-P 인증을 취득해야 합니다.
(3) 개인정보 유출 가능성 인지 시 72시간 내 통지가 의무화되었습니다.
개인정보 유출가능성 통지의 요건·시기·항목이 구체화되었습니다. 다음과 같은 경우에는 유출 가능성을 인지한 때부터 72시간 이내 정보주체에게 관련 사실을 통지해야 합니다.
개인정보처리시스템에 대한 불법적인 접근을 알게 된 경우
개인정보가 불법적으로 거래·유통되고 있음을 알게 된 경우
또한 개인정보 분실·도난·유출 뿐만 아니라 위조·변조·훼손된 경우에도 정보주체에게 통지하고 관계 기관에 신고해야 합니다.
(4) 개인정보 침해 관련 위반이 반복되면 과태료가 가중됩니다.
과태료 부과기준과 과징금 부과 기준이 개선되었습니다. 경미한 위반행위에 대해 과태료를 면제하고 경고한 경우에도 동일한 위반행위가 다시 발생하면 해당 경고 이력이 위반 횟수에 포함되어 과태료 가중 기준이 적용됩니다. 또한 위반 횟수별 과태료 부과금액을 정비해 제재의 실효성을 높였습니다. 아울러 고의 또는 중대한 과실로 3년 이내 반복적으로 위반하거나, 고의 또는 중대한 과실로 1천만 명 이상에게 대규모 피해를 발생시킨 경우에는 전체 매출액의 10%를 초과하지 않는 범위에서 과징금을 부과할 수 있습니다. 다만, 예산·인력·설비 등에 대한 예방 투자를 실시한 경우에는 과징금을 감경할 수 있도록 해 기업의 사전 예방 노력을 유도했습니다.
개정된 개인정보 보호법 시행을 앞두고, 기업은 어떤 준비를 해야 할까요?
(1) 개인정보 보호를 경영 리스크로 인식하고 관리체계를 점검해야 합니다.
반복적이거나 중대한 개인정보 침해행위에 대한 과징금 상한이 전체 매출액의 10% 이하로 확대되면서 개인정보 보호는 기업의 중요한 경영 리스크가 되었습니다. 예방 중심의 관리체계를 구축하기 위해서는 개인정보 보호 정책과 내부관리계획이 최신 법령에 맞게 운영되고 있는지 확인하고, 관리체계를 지속적으로 운영·점검하며, 개인정보 보호 활동과 위험요인을 정기적으로 평가하는 것이 중요합니다.
(2) CPO 중심의 개인정보 보호 거버넌스를 강화해야 합니다.
개정법은 개인정보 보호책임자(CPO)의 역할과 책임을 강화하고, 일정 규모 이상의 기업에는 보다 체계적인 개인정보 보호 관리체계를 요구하고 있습니다. 이에 따라 CPO의 역할과 권한을 명확히 하고, 개인정보 보호 업무를 수행할 조직과 인력을 확보하는 한편, 개인정보 처리 부서와 IT·보안 부서 간 협업 체계를 마련하고 관련 활동을 경영진에게 정기적으로 보고할 수 있는 운영 체계를 갖추는 것이 필요합니다.
(3) 개인정보 유출 사고에 대비한 대응체계를 마련해야 합니다.
개정법은 개인정보 유출 통지·신고 의무를 강화한 만큼, 사고 발생 시 신속하게 대응할 수 있는 체계를 미리 준비해야 합니다. 개인정보 유출 사고 대응 절차와 신고·통지 절차를 문서화하고, 개인정보 처리 및 접속 기록을 안전하게 보관하는 것은 물론, 사고 원인 분석과 재발 방지 체계를 마련하고 모의훈련을 통해 대응 절차를 지속적으로 점검하는 것이 중요합니다.
(4) 개인정보 보호를 사전 예방 중심으로 운영해야 합니다.
사고 이후의 대응보다 개인정보 보호 중심 설계(Privacy by Design)와 예방 중심의 관리체계가 중요해졌습니다. 이에 따라 개인정보 보유 현황을 지속적으로 관리하고 개인정보가 포함된 파일을 안전하게 보호하는 한편, USB·이메일·클라우드 등 다양한 반출 경로를 통제하고 보안 정책과 설정을 정기적으로 점검하며, 임직원 대상 개인정보 보호 교육을 꾸준히 실시하는 것이 중요합니다.
개정된 개인정보 보호법 대응, 올인원 PC보안 서비스 엑소스피어로 준비하세요!
개정된 개인정보 보호법은 개인정보를 단순히 보관하는 수준을 넘어 예방 중심의 관리체계와 지속적인 보안 운영을 요구하고 있습니다. 엑소스피어는 기업이 이러한 변화에 대응할 수 있도록 백신, 정보유출예방(DLP), IT 운영최적화 등 업무용 PC 보안에 필요한 기능을 하나의 플랫폼에서 제공하는 SaaS 기반 올인원 PC 보안 서비스입니다.
(1) 지속적인 개인정보 보호 체계 운영 지원
개정법은 기업이 개인정보 보호 관리체계를 상시 운영하고 지속적으로 관리하도록 요구하는 방향으로 강화되었습니다. 이에 따라 일회성 점검이 아닌, 정책을 지속적으로 적용·관리하고 운영 현황을 상시 확인할 수 있는 환경이 중요해졌습니다. 엑소스피어는 SaaS 기반으로 제공되어 최신 보안 위협과 개인정보보호 관련 정책을 지속적으로 반영하며, 클라우드 기반 관리자 페이지를 통해 개인정보 보호 정책을 중앙에서 일괄 관리할 수 있도록 지원합니다. 관리자는 정책 배포와 운영 현황을 실시간으로 확인할 수 있으며, OpenAPI·Webhook 연동(부가 서비스)을 활용해 다양한 보안 시스템과 연계한 통합 관리 환경을 마련할 수 있습니다. 또한 법·제도 변화와 고객 요구사항을 반영한 지속적인 기능 업데이트를 제공해 기업이 변화하는 개인정보 보호 요구사항에 꾸준히 대응할 수 있도록 지원합니다.
(2) ISMS-P 인증 대응을 위한 정보보호 관리체계 운영 지원
개정법은 일정 규모 이상의 개인정보처리자에게 ISMS-P 인증 취득을 의무화했습니다. 엑소스피어는 인증 및 권한 관리, 접근통제, 암호화 적용 등 ISMS-P 주요 통제 항목의 운영을 지원하며, 통합 로그와 관리 이력을 기반으로 감사 대응에 필요한 자료를 효율적으로 관리할 수 있는 환경을 제공합니다. 실제로 엑소스피어를 도입한 커머스 플랫폼, 에듀테크, IT 서비스 플랫폼을 운영하는 기업 등에서 ISMS/ISMS-P 인증을 획득한 사례가 있습니다.
(3) 개인정보 유출 예방 및 사고 대응 지원
개정법은 개인정보 유출 가능성 통지와 신고 기준을 구체화하고, 개인정보 위조·변조·훼손까지 신고 대상으로 확대했습니다. 엑소스피어는 랜섬웨어와 악성코드 위협을 실시간으로 탐지·차단하며, 빅데이터 기반 보안 로그 분석과 화이트리스팅 기반 랜섬웨어 방어 기술을 통해 보안 위협에 신속하게 대응할 수 있도록 지원합니다. 또한 매체 제어와 애플리케이션 제어 기능으로 USB, 메신저, 클라우드 등 다양한 경로를 통한 무단 반출을 통제하고, 개인(민감)정보 보호 기능으로 업무용 PC에 저장된 개인정보를 검출하고 필요 시 암호화하여 안전하게 관리할 수 있도록 지원합니다. 이를 통해 개인정보 및 중요 정보의 유출을 예방하고, 사고 발생 시 필요한 보안 이력을 체계적으로 관리할 수 있습니다.
(4) 예방 중심의 개인정보 보호 환경 운영 지원
개정법은 반복적이거나 중대한 개인정보 침해행위에 대한 제재를 강화하고, 예방 중심의 개인정보 보호 체계 구축을 강조하고 있습니다. 엑소스피어는 운영체제 및 주요 소프트웨어 업데이트 점검, 방화벽·비밀번호 등 보안 설정 점검, IT 운영최적화 기능을 제공하여 기업이 단말 보안 상태를 지속적으로 점검하고 예방 중심의 개인정보 보호 환경을 운영할 수 있도록 지원합니다.
개인정보 보호법 개정에 효과적으로 대응하기 위해서는 관리적 보호조치와 기술적 보호조치가 함께 운영되어야 합니다. 엑소스피어는 개인정보 보호 관리체계 운영부터 정보유출 예방까지 한 번에 지원하여 기업이 강화된 법령에 보다 효율적으로 대응할 수 있도록 돕습니다. 개정되는 개인정보 보호법 시행을 앞둔 지금, 엑소스피어와 함께 우리 회사의 개인정보 보호 환경을 미리 준비해 보세요.
지금 ‘무료체험 시작하기’를 통해 회원가입하시면, 2주 동안 엑소스피어의 주요 기능을 무료로 체험해보실 수 있습니다. 무료체험 기간 동안 기능이나 서비스 도입과 관련해 궁금한 점이 있으시면 언제든지 문의해 주세요. 전문 담당자가 빠르고 신속하게 안내해 드리겠습니다. 감사합니다!
[참고 자료]
‘작년 개인정보 유출신고 46% 급증 ... 과징금 부과액 1천677억원’ - 연합뉴스 (2026.05)
‘개인정보 유출 사전예방 강화를 위한 개인정보 보호법 시행령 개정안 입법예고’ - 개인정보보호위원회 보도자료 (2026.06)
‘개인정보 유출 사전예방 강화를 위한 개인정보 보호법 시행령 개정안 입법예고’ - 법률신문 (2026.06)