뉴스에서 “개인정보 유출 시 매출 10% 과징금”이라는 제목을 보면 대기업 이야기처럼 느껴집니다. 실제로 매출 10% 과징금은 고의나 중대한 과실로 위반을 반복하거나 1천만 명 이상에게 피해를 준 경우처럼 요건이 까다롭습니다.

하지만 이번 개정에는 직원 몇 명인 쇼핑몰, 학원, 병원, 사무실에도 똑같이 적용되는 내용이 함께 들어 있습니다. 이 글에서는 바뀐 내용을 “우리 회사에 해당하는가”를 기준으로 나누고, 작은 회사가 지금 점검할 것을 정리했습니다.

한눈에 보는 개정 내용

바뀐 내용	핵심	작은 회사
유출 가능성 통지	유출이 확정되지 않아도 가능성이 높으면 72시간 안에 정보주체에게 통지	해당
대표자 최종 책임	사업주·대표자를 개인정보 보호의 최종 책임자로 명시	해당
과징금 감경·가중	사전 투자 최대 40%, 사고 후 신속 대응 최대 40% 감경 / 통지·신고 지연 등은 최대 30% 가중	해당
안전조치 위반 과태료	1차 600만→900만 원, 2차 1,200만→1,800만 원, 3차 이상 2,400만→3,000만 원	해당
매출 10% 징벌적 과징금	고의·중과실로 3년 안에 반복, 1천만 명 이상 피해, 시정명령 미이행으로 유출	대부분 해당 없음
CPO 지정 이사회 의결·신고	연 매출 1,800억 원 초과 등 대형 사업자	해당 없음
ISMS-P 인증 의무화	2027년 7월 1일 시행, 초대형 사업자 대상	해당 없음

작은 회사에 바로 영향을 주는 3가지

① 유출 ‘가능성’만 있어도 72시간 안에 알려야 합니다

전에도 개인정보 유출이 확인되면 72시간 안에 정보주체에게 알려야 했습니다. 이번 개정으로 유출이 확정되기 전이라도 알려야 하는 경우가 생겼습니다. 시행령은 두 가지 경우를 듭니다.

• 고객 정보가 든 시스템이나 직원 PC·노트북에 누군가 불법으로 접근했는데, 누구의 정보가 새 나갔는지 아직 특정할 수 없는 경우
• 일부 정보가 유출된 것이 확인됐고, 다른 고객의 정보도 함께 새 나갔을 수 있는 경우

이때는 알게 된 때부터 72시간 안에 서면·문자·이메일 등으로 알려야 합니다. 유출됐을 수 있는 항목, 의심되는 시점과 경위, 고객이 피해를 줄이는 방법과 문의처, 그리고 유출 여부가 확정되면 다시 알리겠다는 내용이 들어가야 합니다. 조사해 보니 유출이 아니었다면 그 사실도 바로 알립니다. 연락처를 알 수 없는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시하는 방법으로 대신할 수 있습니다.

개인정보보호위원회는 단순히 취약점이 있거나 의심스러운 흔적만 있는 단계는 통지 대상이 아니라고 설명합니다. 반대로 쇼핑몰 관리자 계정이 도용됐는데 어떤 고객 정보를 봤는지 모르는 상황이라면 통지 대상에 가깝다고 보는 것이 안전합니다.

② 대표자가 개인정보 보호의 최종 책임자입니다

개정법은 사업주 또는 대표자를 개인정보를 안전하게 처리할 최종 책임자로 명시했습니다. 개인정보 보호책임자(CPO)는 대표에게 현황과 문제를 보고하고, 대표는 이를 고치는 데 필요한 인력과 예산을 지원해야 합니다.

작은 회사는 대표가 개인정보 보호책임자를 겸하는 경우가 많습니다. “담당 직원이 알아서 하겠지”가 통하지 않는다는 뜻입니다. 먼저 개인정보 처리방침에 적힌 책임자 이름과 연락처가 지금 실제와 맞는지 확인하세요.

참고로 CPO를 지정할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무는 연 매출 1,800억 원을 넘으면서 많은 정보를 처리하는 대형 사업자 등에만 적용됩니다.

③ 과태료는 오르고, 준비한 회사는 깎아 줍니다

접근권한 관리, 접속기록 보관, 암호화 같은 안전조치 의무를 어겼을 때 내는 과태료가 올랐습니다. 1차 위반 900만 원, 2차 1,800만 원, 3차 이상 3,000만 원입니다.

반대로 과징금을 매길 때 평소 노력을 보고 깎아 주는 기준이 생겼습니다. 사고 전에 예산·인력·설비를 투자하고 접근 관리, 강한 인증, 취약점 점검 같은 보안 조치가 실제로 작동했다면 최대 40%, 사고 뒤 빨리 발견해 신고·통지하고 피해를 줄였다면 다시 최대 40%까지 감경할 수 있습니다. 통지·신고 기한을 놓치거나 피해 확산을 막지 않으면 최대 30%까지 가중됩니다.

작은 회사에 주는 메시지는 간단합니다. 평소 한 보안 조치를 기록으로 남기고, 사고가 나면 숨기지 말고 빨리 알리는 쪽이 유리합니다.

작은 회사가 지금 점검할 체크리스트

1. 고객 정보 위치 적어 두기: 쇼핑몰 관리자 화면, 엑셀 고객 명단, 예약·주문 앱, 메신저, 직원 PC 중 어디에 어떤 정보가 있는지 목록으로 만듭니다. 72시간 안에 “무엇이 새 나갔을 수 있는지” 답하려면 이 목록이 먼저 있어야 합니다.
2. 관리자 계정 잠그기: 쇼핑몰·호스팅·클라우드 관리자 계정에 2단계 인증을 켜고, 여러 명이 같이 쓰는 공용 계정은 없애고 직원마다 계정을 따로 만듭니다.
3. 퇴사자 권한은 당일 회수: 그만둔 직원의 관리자 권한, 공유 폴더 접근, 메신저 단체방을 퇴사 당일에 정리합니다.
4. 접속기록 확인: 쓰는 서비스에서 관리자 로그인 기록을 볼 수 있는지 미리 확인합니다. 침입 여부와 범위를 판단하는 근거가 됩니다.
5. 개인정보 처리방침 최신화: 책임자 이름·연락처, 수집 항목, 맡긴 업체(택배, 결제, 문자 발송 등)가 실제와 같은지 봅니다.
6. 유출 대응 연락망과 안내문 초안: 누가 판단하고 누가 고객에게 알릴지 정하고, 문자·메일 안내문 초안을 미리 만들어 둡니다.
7. 보안 활동 기록: 직원 교육, 비밀번호 변경, 백업, 보안 프로그램 구입 내역을 날짜와 함께 남깁니다. 과징금 감경을 받을 때 근거가 됩니다.

유출이 의심될 때 72시간 대응 순서

1. 차단: 의심되는 계정의 비밀번호를 바꾸고 접속을 막습니다. 감염이 의심되는 PC는 인터넷 연결을 끊습니다.
2. 범위 파악: 어떤 시스템의 어떤 정보가, 몇 명분, 언제부터 노출됐을 수 있는지 확인합니다.
3. 고객에게 통지: 확정 전이라도 유출 가능성이 높다고 판단되면 72시간 안에 알립니다.
4. 기관 신고: 1천 명 이상이거나, 주민등록번호 같은 고유식별정보나 민감정보가 포함됐거나, 해킹 등 외부의 불법 접근으로 유출된 경우에는 72시간 안에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고합니다. 개인정보 포털에서 신고할 수 있고, 국번 없이 118로 상담받을 수 있습니다.
5. 기록: 경위, 조치 내용, 통지·신고 내역을 정리해 둡니다. 재발 방지와 이후 소명에 필요합니다.

고객 통지와 기관 신고는 따로 판단합니다. 고객 통지는 한 명의 정보라도 해당하면 해야 하고, 기관 신고는 위 세 가지 중 하나에 해당할 때 합니다. 직원 휴대폰이 악성 문자로 감염되는 경로도 흔하니 스미싱 문자 구별법과 눌렀을 때 대처도 함께 직원들과 공유해 두세요.

결론: 큰 과징금보다 72시간 준비가 먼저입니다

이번 개정에서 작은 회사가 매출 10% 과징금을 맞을 가능성은 높지 않습니다. 대신 사고가 났을 때 72시간 안에 무엇을 알릴지 답할 수 있는가, 그리고 평소에 지킨 안전조치를 보여 줄 수 있는가가 과태료와 과징금 규모를 가릅니다.

오늘 할 일은 세 가지면 충분합니다. 고객 정보가 있는 곳을 목록으로 만들고, 관리자 계정에 2단계 인증을 켜고, 유출이 의심될 때 누가 무엇을 할지 한 장으로 정리해 두세요.

참고 자료 · 법률신문 – 개정 개인정보 보호법 시행 브리핑(법무법인 율촌) · 파이낸셜뉴스 – 개정 개인정보 보호법 뭐가 달라지나 · 머니투데이 – 과징금 매출액 최대 10% · 개인정보 포털 · 국가법령정보센터
이 글은 2026년 11월 5일 기준으로 작성했으며 법률 자문이 아닙니다. 구체적인 사안은 개인정보보호위원회 안내나 전문가에게 확인하세요.