개인정보보호위원회의 「예방 중심 개인정보 관리체계 전환 계획」 발표


법무법인 대륙아주 김정은 변호사¹
법무법인 대륙아주 나희수 변호사



1. 들어가며

개인정보보호위원회(이하 ‘개인정보위’)는 2026. 5. 12. 「예방 중심 개인정보 관리체계 전환 계획」을 발표하였습니다. 

이번 「예방 중심 개인정보 관리체계 전환 계획」은 (1) 중대·반복 위반에 대한 제재의 대폭 강화, (2) 선제적 안전조치 등에 관한 인센티브 부여 및 위험 기반 관리체계 구축, (3) 신속한 피해구제와 회복 지원 체계 등을 주요 내용으로 합니다.

이하에서 「예방 중심 개인정보 관리체계 전환 계획」의 주요 내용을 살펴보겠습니다.



2. 「예방 중심 개인정보 관리체계 전환 계획」의 주요 내용

가. 중대·반복 위반에 대한 제재의 대폭 강화

가장 주목할 부분은 징벌적 과징금의 제재수준 강화입니다. 고의 또는 중과실로 i) 3년 내 같은 유형의 위반을 반복하거나, ii) 1천만 명 이상의 정보주체에게 피해를 초래한 경우 등에 대해서는 과징금 상한이 매출액의 10%(현행법에 따르면 매출액의 3%)로 대폭 상향될 예정입니다(개정 개인정보 보호법 2026. 9. 11. 시행 예정). 

또한 기업 규모에 비해 제재 수준이 낮다는 그간의 지적을 반영하여, 과징금 산정 기준 역시 종전의 ‘직전 3년 평균 매출액’에서, ‘직전 연도 매출액’과 ‘직전 3년 평균 매출액’ 중 높은 금액을 적용하는 방식으로 변경됩니다(개정 개인정보 보호법 시행령 2026. 5. 19. 시행). 

이와 더불어 조사 단계에서의 사업자의 비협조에 대응하기 위한 이행강제금 제도와 증거 은닉 행위에 대한 제재 강화, 신고포상금 제도 도입도 추진됩니다. 

다만 영세·소상공인의 경미한 법 위반에 대해서는 시정 기회를 부여하되 반복 위반 시에는 엄정 대응한다는 방침이 함께 제시되었습니다.


나. 선제적 안전조치 등에 관한 인센티브 부여 및 위험 기반 관리체계 구축

사업자의 선제적 안전조치, 적극적 보안투자, 실효적 안전관리체계 운영 여부를 종합 평가하여 과징금 감경 등의 인센티브를 부여할 예정입니다. 

구체적인 평가 요소로는 동종업계 대비 우수한 보안투자, 전담 조직·인력 및 상시 위험관리 체계, 암호화, 추가인증, 취약점 신고·공개제도(CVD·VDP) 등 보호조치가 예시되었습니다.

한편 개인정보위는 위험 수준에 따라 차등적으로 점검하는 위험기반 관리체계를 구축하여, 100만 명 이상 개인정보를 처리하는 약 1,700개 고위험 시스템(주요 공공시스템 387개 포함)에 대해 직접 정기·수시 점검을 실시할 예정입니다. 점검 대상에는 클라우드 사업자, 전문 개인정보처리업무 수탁사, 시스템 공급사 등이 포함될 예정입니다.

또한 시스템의 기획·설계 단계부터 개인정보 보호를 반영하는 ‘개인정보 중심 설계(Privacy by Design, PbD)’ 원칙을 제도화하고, 이를 개인정보 영향평가 기준 및 ISMS-P 인증 기준(간편-표준-강화로 세분화)에 반영할 계획입니다.

여기에 더해, 2026. 9. 11.부터 시행되는 개정 개인정보 보호법에 따라 경영진의 책임도 강화됩니다. 대표자(CEO)는 개인정보 처리·보호의 최종 책임자로서 의무를 부담하게 되며, 개인정보 보호책임자(CPO)의 지정·변경·해제 시 이사회 의결 및 신고가 의무화됩니다. 

한편, 개인정보위는 공공부문 개인정보 보호 전담인력과 재원확보를 지원하는 동시에, 사고 시 징계 등 책임 강화 및 전담인력 처우개선을 추진할 예정입니다.


다. 신속한 피해구제와 회복 지원 체계

개인정보위는 유출사고 발생 시 기업·기관의 손해배상 책임을 원칙화하고 입증책임을 부담하도록 하여 법정 손해배상 제도의 실효성을 제고할 예정입니다. 

또한 다크패턴(이용자를 속이거나 오인하게 하여 개인정보 수정·동의 철회·탈퇴를 어렵게 하는 행태)을 집중 점검하고, 침해신고센터의 기능을 전문 상담, 컨설팅, 피해회복 조력 등으로 강화합니다. 

민감정보 유출 시에는 SNS상 불법 유통을 모니터링하여 탐지·삭제하고 수사기관과 협력하여 유포자를 추적·처벌하는 등 엄정 대응할 계획입니다.



3. 시사점

첫째, 매출액의 10%에 이르는 징벌적 과징금의 요건이 ‘고의·중과실’을 전제로 하는 만큼, 기업으로서는 유출사고가 발생하더라도 합리적 수준의 안전조치를 이행하였고 고의·중과실이 없다는 점을 소명할 수 있도록, 평소 보호조치의 이행 내역과 관련 의사결정 과정을 체계적으로 문서화·관리해 둘 필요가 있습니다.

둘째, 개인정보 보호에 관한 투자가 제재 리스크를 경감하는 요소로 평가되는 만큼, 기업은 자사의 보안투자 비중을 동종업계 평균과 비교하여 점검하고, 이번 계획에서 평가 요소로 예시된 항목들의 도입을 고려할 필요가 있습니다.

셋째, 개인정보 보호체계의 중심이 ‘사고 후 제재’에서 ‘설계 단계부터의 사전 통제’로 옮겨가고 있다는 점에 주목하여야 합니다. PbD 원칙을 제도화하고 이를 개인정보 영향평가 및 ISMS-P 인증 기준에 반영하려는 이번 계획은, 개인정보 보호가 더 이상 서비스 출시 이후에 점검하는 사항이 아니라 서비스 기획·개발 단계에서부터 갖추어야 할 요소가 되었음을 의미합니다.

넷째, 개정 개인정보 보호법이 대표자의 개인정보보호에 관한 최종 책임을 명시하고 CPO 지정·변경·해제 시 이사회 의결을 의무화한 만큼, 이사회 차원의 의결 체계가 실제로 작동하고 있는지, CPO에게 실질적인 권한이 부여되어 있는지 등을 점검할 필요가 있습니다.

다섯째, 유출사고 발생 시 기업·기관의 손해배상 책임이 원칙화되고 입증책임을 부담함에 따라, 사고 발생 시 기업은 스스로 안전조치를 이행했다는 사실 등 무과실을 입증하지 못하면 손해배상 책임을 면하기 어려워질 수 있습니다. 따라서 안전조치의 이행 사실을 객관적으로 입증할 수 있는 기록의 관리 체계를 사전에 마련하는 것이 중요합니다. 

마지막으로, 본 계획의 상당 부분은 추가 입법 등을 통해 구체화될 예정이라는 점을 유의하여야 합니다. 징벌적 과징금 상한을 상향하는 개정 개인정보 보호법은 2026. 9. 시행 예정이나 시행령 등 하위 법령 개정 과정에서 세부사항이 구체화될 예정이며, 이행강제금·증거보전명령 제도 등은 별도 법안으로 발의되었습니다. 한편, 침해신고센터 기능 강화 및 인력 확충 등은 2027년 예산 확보를 통해 단계적으로 실행될 계획입니다. 따라서 사업자들은 향후 개인정보보호법령의 입법동향 및 개인정보보호위원회의 정책을 면밀히 살피어 개인정보보호 체계를 점검하는 것이 바람직합니다.


 

1. 현재 법무법인(유한) 대륙아주의 파트너변호사로서, 주요 업무분야는 지적재산, 정보보안, TMT (Technology, Media & Telecom), 엔터테인먼트, 바이오/헬스케어 등입니다. 지적재산권, 영업비밀, 부정경쟁행위, 개인정보보호 관련 민·형사 소송 및 자문 등의 업무를 주로 담당하고 있으며, 개인정보보호위원회 개인정보보호 기본계획(2024-2026) 수립 연구반으로 활동하였습니다.