2026년 9월 11일에는 개정 「개인정보 보호법」(법률 제21445호, 2026. 3. 10. 공포)이, 10월 1일에는 개정 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(법률 제21500호, 2026. 3. 31. 공포, 이하 “정보통신망법”)이 각각 시행됩니다. 개정 개인정보 보호법은 반복적·중대한 위반에 대한 과징금 상한을 예외적으로 상향하면서 개인정보 보호를 위한 사전 투자를 감경사유로 신설했고, 사업주 또는 대표자와 개인정보 보호책임자(Chief Privacy Officer, 이하 “CPO”)의 책임을 확대했으며, 유출 가능성을 알게 된 단계에서도 통지의무를 부과합니다. 정보통신망법 개정사항은 지난 4월 TLI에서 다룬 바 있어, 이번 호에서는 방송미디어통신위원회(이하 “방미통위”)가 8월 3일 입법·행정예고한 정보통신망법 시행령 일부개정령안(공고 제2026-222호)과 「광고성 정보 전송 법령 위반 관련 과징금 부과기준 등에 관한 고시」 제정안(공고 제2026-223호)을 중심으로 살펴봅니다.


Ⅰ. 개정 개인정보 보호법

1. 반복적·중대한 위반의 최대 10% 과징금

과징금 상한은 원칙적으로 전체 매출액의 3%(매출액이 없거나 산정이 곤란한 경우 20억 원)이나, 개정법은 다음 세 경우에 한하여 전체 매출액의 10%(매출액이 없거나 산정이 곤란한 경우 50억 원)까지 부과할 수 있도록 했습니다(제64조의2제1항·제2항).

① 이 조에 따른 과징금 부과처분을 받은 날부터 3년이 경과하기 전에 같은 유형, 즉 제1항 같은 호에 해당하는 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있을 것), ② 고의 또는 중대한 과실로 위반행위를 하여 정보주체의 피해 규모가 1천만 명 이상인 경우, ③ 시정조치 명령에 따르지 아니하여 개인정보가 유출등이 된 경우입니다. ②는 부칙 제3조제2항에 따라 시행 당시 종료되지 않은 위반행위에도 적용됩니다.

산정 기준은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액입니다(같은 조 제3항). 다만 정당한 사유 없이 매출액 산정자료의 제출을 거부하거나 거짓 자료를 제출하면 전체 매출액을 기준으로 산정하되 관련 자료에 근거해 매출액을 추정할 수 있으므로(같은 조 제4항), 자료 제출에 응하지 않는 것 자체가 산정 기준 금액을 높일 수 있습니다.

2. 개인정보 보호 투자에 따른 감경

개정법은 예산·인력·설비·장치 등의 투자 및 운영 등 대통령령으로 정하는 사유가 있으면 과징금을 감경하도록 했고, 고의 또는 중대한 과실로 위반행위를 한 경우는 제외했습니다(제64조의2제6항). 지난 6월 1일 입법예고된 시행령 개정안(개인정보보호위원회 공고 제2026-55호)은 그 위임을 받아 투자 규모 및 지속성, 사업주·대표자·CPO의 역할과 조직·인력 구성 등 개인정보 보호 체계의 운영 내용 및 수준, 안전성 확보조치 강화를 위한 추가 노력을 고려해 기준금액의 40% 범위에서 감경하도록 정했습니다(안 제60조의2제5항, 안 별표 1의5 제2호나목). 기준금액을 산정한 뒤 투자 감경, 1차 조정, 2차 조정, 부과 과징금 결정을 차례로 거치므로 투자 감경은 1차·2차 조정에 앞선 별도의 단계입니다. 매우 중대한 위반행위에 1차·2차 조정 단계의 감경을 전부 또는 일부 적용하지 않을 수 있도록 한 규정은 지난 5월 19일 시행령 개정(대통령령 제36340호)으로 이미 시행 중입니다. 10% 상한이 적용되는 사안에서는 부과기준율에 가중비율을 곱하되 그 비율이 8.91%를 넘을 수 없고, 매출액 산정이 곤란한 경우의 기준금액은 45억 원이 한도입니다(안 별표 1의5 제2호가목).

3. 사업주 또는 대표자의 책임 신설

개정법은 개인정보처리자의 사업주 또는 대표자를 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 "최종적인 책임자"로 규정하고, 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 할 것을 의무화하고 있습니다(제30조의3). 조문 자체에 별도의 벌칙이나 과태료는 두지 않아 그 자체가 제재의 직접적인 근거가 되지는 않으나, 개인정보 보호를 담당 부서의 업무가 아니라 경영진의 관리 사항으로 두는 법률상 근거가 마련된 것으로 볼 수 있습니다.

이 조항은 제31조 및 과징금 감경 규정과 함께 살펴봐야 합니다. 개정법은 CPO의 업무에 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보와 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고를 추가했습니다(제31조제4항제2호·제3호). 대표자가 지는 총괄 관리책임과 CPO의 보고 의무가 맞물리는 구조입니다. 또한 앞서 본 시행령 개정안(공고 제2026-55호)의 과징금 감경 기준에는 사업주 또는 대표자, CPO의 역할과 조직 및 인력 구성 등 개인정보 보호 체계 운영 내용 및 수준이 포함되어 있어(안 제60조의2제5항), 이를 이행한 사실을 문서로 남겨둘 필요가 있습니다.

4. CPO 지정 절차와 과태료 신설

개인정보처리자는 원칙적으로 CPO를 지정해야 하나 종업원 수·매출액 등이 대통령령 기준에 해당하면 지정하지 않을 수 있고, 그 경우 사업주 또는 대표자가 CPO가 된다는 점은 종전과 같습니다(제31조제1항·제2항). 개정법은 매출액과 개인정보 보유 규모 등을 고려해 대통령령으로 정하는 개인정보처리자에 대해 CPO의 지정·변경·해제 시 법인이라면 이사회의 의결을 거치고 개인정보보호위원회에 신고하도록 의무화했습니다(제31조제3항). CPO 미지정과 부적격자 지정, 이사회 의결 누락, 신고 누락은 모두 3천만 원 이하의 과태료 부과 대상입니다(제75조제2항 제14호의2부터 제14호의4까지). 이 의무는 제26조제8항에 따라 수탁자에게도 준용되므로, 개인정보 처리를 위탁받아 수행하는 기업도 같은 의무를 부담합니다. 6월 2일 입법예고된 시행령 개정안(개인정보보호위원회 공고 제2026-59호)은 그 대상을 전문 CPO 지정 의무 대상기관, 즉 연 매출액 또는 수입이 1,800억 원 이상으로서 5만명 이상의 민감정보·고유식별정보 또는 100만명 이상의 개인정보를 처리하는 개인정보처리자와 재학생 2만 명 이상인 대학, 대규모 민감정보를 처리하는 상급종합병원, 공공시스템운영기관으로 정하고, 신고는 의무가 발생한 날부터 1개월 이내에 하도록 했습니다.

5. ‘유출등’의 확대와 유출 가능성 통지 의무

개정법은 개인정보의 분실·도난·유출에 위조·변조·훼손을 더해 “유출등”으로 정의하고 그 전부를 통지·신고 대상으로 삼았습니다(제23조제2항, 제34조제1항). 통지사항에는 손해배상·법정손해배상 청구와 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법에 관한 정보가 추가되었습니다(제34조제1항제6호).

실제 유출등이 확인되기 전이라도 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되면 지체 없이 가능성이 있는 모든 정보주체에게 알려야 합니다(제34조제2항). 사고 대응의 출발점이 유출 사실의 확인에서 가능성의 인지로 앞당겨지므로, 조사를 마친 뒤 통지 여부를 결정하던 기존 방식으로는 의무를 제때 이행하기 어렵습니다. 확정되지 않은 사실을 알리는 일이어서 통지문에는 확인된 사항과 그렇지 않은 사항을 구분해 적으면서도 정보주체가 취할 수 있는 조치를 분명히 안내해야 하므로 이에 맞는 별도의 문안을 미리 준비해 두어야 합니다. 이 규정은 부칙 제2조제2항에 따라 시행 이후 가능성을 알게 된 경우부터 적용됩니다.

통지 요건과 시한은 6월 2일 입법예고된 시행령 개정안 제39조의2가 정하고 있고, 개인정보보호위원회가 8월 21일 공개한 「개인정보 유출등 대응 매뉴얼」 초안도 같은 내용을 담고 있습니다. 요건은 다음 두 가지입니다.

개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 불법적인 접근을 알게 된 경우로서 개인정보가 유출등이 된 객관적인 정황이 있으나 유출등이 된 정보주체를 특정하기 곤란한 경우
개인정보처리자가 처리하는 개인정보가 불법적으로 거래·유통되고 있다는 사실이 객관적으로 확인된 경우로서 유출등이 확인된 정보주체 이외의 정보주체에 관한 개인정보도 유출등의 가능성이 높다고 인정되는 경우

통지 시한은 불법적인 접근 또는 불법 거래·유통 사실을 알게 된 때부터 72시간 이내이고, 가능성을 알린 뒤 유출등 여부가 확인되면 확인 통지 또는 정정 통지를 다시 해야 합니다(안 제39조의2제1항·제4항). 위 요건과 시한은 아직 입법예고 단계의 내용이므로, 사내 기준을 미리 설계해 두되 공포되는 시행령과 대조해 확정하는 것이 안전합니다.


Ⅱ. 정보통신망법 시행령 개정안과 과징금 고시 제정안

1. 규제 대상

과징금 부과 대상은 통신사업자나 대량문자 발송사업자에 한정되지 않습니다. 영리목적의 광고성 정보 전송 제한을 규정한 제50조제1항은 수범자를 ‘누구든지’로 명시하고 있으므로, 문자메시지·이메일·앱 푸시로 자사 상품이나 서비스를 홍보하는 일반 사업자도 규제 대상이 됩니다. 광고 발송을 외부 대행사에 맡겼더라도 광고주의 관여 정도에 따라 책임이 문제될 수 있습니다.

2. 과징금 산정기준

개정법 제50조의9제1항은 제50조, 제50조의4, 제50조의5, 제50조의7 또는 제50조의8을 위반한 자에게 대통령령으로 정하는 매출액의 6%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 했습니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원 이하의 과징금을 부과합니다(같은 조 제3항). 과태료가 그대로 유지되는 위에 매출액에 연동되는 과징금이 얹힌 구조입니다.

시행령 개정안은 위반행위가 있었던 사업연도의 첫날을 기준으로 사업개시 후 경과 기간에 따라 매출액을 달리 산정합니다(안 제64조의2제1항). 그 시점에 사업을 개시한 지 3년 이상이면 직전 사업연도의 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액이 기준이 되고, 해당사업연도에 사업을 개시했다면 사업개시일부터 위반행위일까지의 매출액을 연 단위로 환산합니다. 개인정보 보호법 시행령이 2026년 5월 19일 개정되면서 먼저 채택한 산정 방식과 같은 구조입니다.

기준 매출액에서 위반행위와 관련이 없는 매출액은 제외되는데, 고시안은 그 판단에서 고려할 요소로 재화·서비스의 종류·성질과 공급 또는 제공 방식에 따른 독자성·부속성의 정도, 이용자가 별개의 재화·서비스로 합리적으로 인식할 수 있는 정도, 이용약관·이용계약에서 정한 재화·서비스의 범위, 한국표준산업분류상 분류나 품목별·업종별 매출액 등 회계단위를 들고 있습니다(안 제5조제2항). 시행령 개정안은 관련이 없는 매출액 중 일부를 제출받은 자료 등에 근거해 방미통위가 인정하는 금액으로 정하도록 했고(안 제64조의2제2항제2호), 방미통위는 필요하면 20일 이내의 기간을 정해 재무제표 등의 제출을 요구할 수 있습니다(같은 조 제4항). 기업은 사업부문별 매출을 분리해 소명할 수 있도록 관련 자료를 미리 갖춰 두어야 합니다.

부과기준율은 위반행위의 유형에 따라 이원화되어 있습니다(안 별표 3의3 제3호가목1).
 

제50조제5항 위반행위와 불법행위를 위한 광고성 정보 전송(제50조의8)은 중대성이 ‘보통’으로 평가되더라도 부과기준율의 하한이 3.0%로, 그 밖의 위반행위에 적용되는 최고 구간의 하한과 같습니다. 제50조제5항은 수신거부·수신동의 철회의 회피·방해뿐 아니라 연락처 자동생성, 전화번호·전자우편주소의 자동등록, 전송자 신원이나 광고 출처의 은닉, 수신자를 기망한 회신 유도까지 포함합니다(같은 항 제1호부터 제5호까지). 위반의 정도를 낮게 평가하더라도 일정 수준 이상의 제재를 유지하겠다는 취지여서, 수신거부·동의철회 처리 절차와 발신정보 표기를 다른 항목보다 먼저 점검해야 합니다.

과징금은 기준금액에 필수적 가중·감경과 추가적 가중·감경을 차례로 적용해 산정하며(안 제3조), 고시안이 정한 각 단계의 사유와 비율은 다음과 같습니다.
 

추가적 감경 사유는 대부분 조사 착수 이후의 대응에 관한 것이고, 시정 완료에 따른 감경은 과징금의 사전통지 및 의견제출 기간이 종료되기 전에 시정을 마칠 것을 요구합니다. 사업자 간 또는 방미통위·한국인터넷진흥원과의 정보공유·상호협력은 사고 이전의 예방 활동으로도 평가받을 수 있습니다. 가중 또는 감경 사유가 둘 이상이면 금액을 합산하되 그 범위는 각 단계에서 50%를 넘을 수 없습니다(안 제7조제4항, 제8조제3항). 대응 시점과 방식이 과징금 규모에 곧바로 반영되는 구조여서, 자료 제출과 소명 창구를 일원화하고 시정 조치의 이행 시점을 기록으로 남겨야 합니다.

3. 정보통신서비스 제공자의 조치 의무

정보통신서비스 제공자는 이용계약을 통해 제공하는 서비스가 제50조 또는 제50조의8을 위반한 영리목적의 광고성 정보 전송에 이용되고 있으면, 시행령이 정하는 유형 및 기준에 따라 전송의 즉시 중단, 서비스 거부 또는 이용계약 해지, 침해사고 관련 보안체계 취약점 점검·개선, 이용약관 및 이용계약 개선, 재발 방지 계획 수립 및 점검의 조치를 강구해야 합니다(개정법 제50조의4제4항 각 호). 시행령 개정안 별표 3의2는 이를 일반기준과 개별기준으로 나눕니다(안 제62조의4).

일반기준은 인지한 즉시 해당 광고성 정보의 전송을 중단하도록 하고, 침해사고로 전송된 경우에는 보안체계 취약점의 점검·개선을, 이용계약(이용약관)의 미비점으로 전송된 경우에는 이용계약(이용약관)의 개선을, 자사 정보통신망 또는 정보통신서비스의 취약점으로 전송된 경우에는 재발 방지계획의 수립·이행을 요구합니다. 전송 중단을 제외한 나머지는 사고 원인에 따라 발동되는 구조입니다.

개별기준은 이용계약에 규정된 서비스 제한 또는 이용계약 해지 사유가 발생하면 그에 따른 조치를 이행하도록 하되, 위반의 내용·정도가 경미한 경우(법 제50조 위반)나 본인의 고의 또는 중대한 과실에 의한 것이 아님이 소명되는 경우(법 제50조의8 위반)에는 해당 이용자, 곧 광고성 정보 전송자나 정보통신서비스 제공자가 소명자료와 재발방지계획서를 제출하면 조치를 해제할 수 있게 했습니다.

개별기준에 따른 조치의 근거는 이용계약에 규정된 사유입니다. 이용계약에 해당 사유가 없으면 조치의 근거가 없어 이행 자체가 불가능하고, 일반기준에 따라 이용계약을 개선할 의무가 생깁니다. 자신의 서비스로 제3자가 광고성 정보를 전송할 수 있는 사업자는 이용약관과 이용계약에 서비스 제한·계약 해지의 근거 조항, 소명자료와 재발방지계획서의 접수·검토 절차가 마련되어 있는지 확인해야 합니다. 조치를 하지 않으면 위반횟수에 따라 750만 원, 1,500만 원, 3,000만 원의 과태료가 부과됩니다(법 제76조제2항제9호의4, 안 별표 9 제2호도목의2).


Ⅲ. 기업의 주요 대응사항
 

이번 개정은 개별 의무를 추가하는 데 그치지 않고 제재의 초점을 위반행위 자체에서 그 행위를 둘러싼 기업의 운영 상태로 옮기고 있습니다. 개인정보 보호법은 사전 보호조치 투자를, 정보통신망법 고시안은 자진신고와 조사 협조, 피해 회복 같은 사후 대응을 각각 감경사유로 두었고 산정의 기초가 되는 매출액마저 기업이 제출하는 자료에 따라 달라집니다. 같은 위반행위라도 평소의 관리 수준과 사고 이후의 대응에 따라 결과가 달라지는 구조입니다.

규제기관이 위반 여부를 사후에 판정할뿐만 아니라 제재 수준을 정하는 과정에 기업의 준비 상태를 반영하겠다는 접근입니다. 두 부처가 서로 다른 법령에서 비슷한 산정 구조를 채택한 것을 보면, 이 방향은 개별 제도의 선택이 아니라 제재 체계 전반의 흐름에 가깝다고 볼 수 있습니다.

동시에 기업에게는 컴플라이언스의 성격이 달라진다는 것을 의미합니다. 종전에는 법령이 요구하는 조치를 갖추는 일이 중요했으나 앞으로는 그 조치가 실제로 운영되고, 이를 입증할 수 있는지가 제재 수준을 좌우하게 됩니다. 감경사유의 상당수는 사고가 난 뒤에 소급해 갖출 수 없으므로, 관련 시행령과 고시가 시행되기 전인 지금 두 제도를 하나의 대응체계로 정비해 두어야 합니다.

* * *

법무법인(유) 린  APT(AI, Platform, Technology) 그룹 개인정보보호팀은 국내 기업들의 규제 이슈에
전략적인 원스톱(One-Stop) 토탈 솔루션(Total Solution)을 제공하고 있습니다.  
상기 내용에 대해 문의사항이 있으시면  언제든지
법무법인(유) 린  APT(AI, Platform, Technology) 그룹 개인정보보호팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.