2026 개인정보보호법 개정 핵심 정리 — 기업이 지금 해야 할 5가지

1,677억 원. 개인정보보호위원회가 2025년 한 해 동안 부과한 과징금 총액입니다(40건, 처분 227건). 올해 6월에는 회원 322만 명 유출 건으로 쿠팡이 제재를 받았고, 이 숫자들은 모두 개정 전 법 기준입니다. 2026년 9월 11일부터는 계산식 자체가 바뀝니다 — 반복적·중대한 위반이면 과징금 상한이 전체 매출액의 3%에서 10%로 올라갑니다.

3월 10일 공포된 개정 개인정보보호법의 조문을 법률 언어 그대로 옮기는 대신, 이 글은 CEO와 IT 담당자가 시행일 전까지 실제로 확인해야 할 것 5가지로 번역합니다.

무엇이 바뀌나 — 숫자로 보는 개정 전후

징벌적 과징금 특례의 발동 조건은 구체적입니다. 최근 3년간 고의·중과실 위반을 반복한 경우, 1천만 명 이상 대규모 피해를 초래한 경우, 시정명령을 이행하지 않아 사고가 난 경우. 평범한 단일 사고에 곧바로 10%가 적용되는 건 아니지만, "한 번 걸렸던 회사"의 두 번째 사고 비용은 완전히 다른 차원이 됩니다.

지금 해야 할 5가지 체크리스트

"ISMS-P 받았으니 안전하다"는 착각

여기서 통념 하나를 짚고 갑니다. 인증서가 방패라는 믿음. 현실은 반대 방향으로 움직였습니다. 최근 대형 유출 사고 중 상당수가 ISMS-P 인증을 보유한 기업에서 났고, 위원회는 이를 근거로 예비심사 도입, 현장 기술심사 강화, 사고 기업 특별점검, 반복 위반 시 인증 취소까지 추진하겠다고 밝혔습니다. 인증은 출발선이지 면책이 아닙니다.

망 분리 규제 개선도 같은 논리로 읽어야 합니다. 일률적이던 망 분리 기준이 완화되어 기업이 자체 위험 분석에 따라 보안 조치를 차등 적용할 수 있게 됐는데, 자율이 커진 만큼 사고 시 책임도 그 조직에 명확히 귀속됩니다. 규제가 풀린 게 아니라, 판단의 책임이 넘어온 것.

마치며 — 비용이 아니라 가격표가 붙었다

이번 개정을 한 문장으로 줄이면 이렇습니다. 개인정보 보호에 가격표가 붙었다 — 안 하면 매출의 10%, 하면 과징금 감경. 보안 예산 품의서가 번번이 반려되던 회사라면, 이제 그 품의서의 근거 조항이 법률이 됐습니다. 다음 이사회 안건에 올릴 질문은 하나입니다. "우리 회사에서 유출 가능성을 가장 먼저 알게 되는 사람은 누구이고, 그 사람은 몇 분 안에 CEO에게 닿을 수 있는가?"