개인정보 보호법 개정, 대표자 총괄책임 2026년 9월 시행

개인정보 보호법 개정은 사업주 또는 대표자를 개인정보 보호의 최종 책임자로 규정한 것으로 정리된다. 국가법령정보센터는 이 개정을 법률 제21445호로 2026년 3월 10일 공포된 것으로 표기하며, 대표자 총괄책임을 정한 제30조의3과 개인정보 보호책임자 지정 절차를 정비한 제31조는 부칙 제1조에 따라 공포 후 6개월이 경과한 2026년 9월 11일부터 시행되는 것으로 정해져 있다. 다만 지정 절차가 적용되는 개인정보처리자의 구체적 기준은 대통령령에 위임되어 있어, 세부 적용 대상은 시행령을 통해 정해질 사항으로 거론된다. 이 글은 무엇이 새로 규정되고 언제부터 적용되는지를 국가법령정보센터가 공개하는 조문과 부칙을 중심으로 정리한다.

개인정보 보호법 개정은 무엇을 바꾸는 것으로 정리되나

개인정보 보호법은 개인정보의 수집과 이용, 제공, 파기 등 처리 전반에 관하여 개인정보처리자가 지켜야 할 사항과 정보주체의 권리를 정한 법률이다. 이번 법률 제21445호 개정은 그 가운데 개인정보 보호에 대한 책임과 관리 체계에 관한 부분을 정비한 것으로 정리된다. 법제처 국가법령정보센터가 공개하는 2026년 개정이유는 주요 통신사와 금융사, 플랫폼 사업자 등의 대규모 개인정보 유출사고가 연이어 발생해 국민 피해가 확대되고 있는 상황을 배경으로 들고 있다.

같은 자료가 정리하는 주요 내용은 크게 네 갈래로 나뉜다. 사업주 또는 대표자의 책임을 명확히 하고 개인정보 보호책임자의 역할을 강화하는 부분(제30조의3 신설ㆍ제31조), 일정 기준의 개인정보처리자에게 개인정보 보호 인증을 의무화하는 부분(제32조의2제1항 단서), 유출 가능성 통지 제도를 도입하고 통지 범위를 넓히는 부분(제34조), 반복적이거나 중대한 침해에 대한 과징금을 강화하는 부분(제64조의2)이 그것이다. 이 가운데 대표자 총괄책임과 보호책임자 지정에 관한 규정은 2026년 9월 11일부터, 인증 의무화는 2027년 7월 1일부터 시행되도록 시점이 나뉘어 있는 것으로 정리된다.

사업주 또는 대표자의 총괄책임은 어떻게 신설되나

이번 개정에서 신설된 제30조의3은 개인정보처리자의 사업주 또는 대표자를 개인정보 보호의 최종 책임자로 명확히 규정한 조문으로 정리된다. 조문은 사업주 또는 대표자가 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서, 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하여야 한다고 정하고 있다. 대표자 총괄책임이라는 표현은 이처럼 최종 책임을 사업주 또는 대표자에게 두고, 인력과 예산의 뒷받침을 포함한 관리 조치를 요구하는 규정으로 이해된다.

국가법령정보센터가 공개하는 2026년 개정이유는 이 조문의 취지를 사업주 또는 대표자를 개인정보 처리 및 보호에 관한 최종 책임자로 명확히 규정하려는 것으로 밝히고 있다. 종전에는 책임 구조가 실무 담당 조직을 중심으로 이해되던 면이 있었던 데 비해, 개정법은 최종 책임의 소재를 사업주 또는 대표자에 두는 문언을 명문으로 둔 점이 특징으로 거론된다. 적용 범위와 관련해서는 개정법이 제26조제8항의 준용 규정에도 제30조의3을 새로 넣어, 개인정보 처리 업무를 위탁받은 수탁자에 관하여도 이 조문을 준용하도록 정한 점이 함께 언급된다. 다만 조문이 어떤 관리 조치를 어느 수준으로 요구하는지는 다른 규정과 함께 해석될 영역으로 다루어진다.

개인정보 보호책임자 지정 절차는 어떻게 정비되나

개인정보 보호책임자의 지정 등을 정한 제31조도 이번 개정으로 정비된 것으로 정리된다. 개정법은 제31조에 제3항을 새로 두어, 매출액과 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자가 두 가지 사항을 준수하도록 규정하고 있다. 하나는 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때 이사회의 의결을 거치도록 한 것이고, 다른 하나는 그 지정과 변경 또는 해제에 관한 사항을 대통령령으로 정하는 바에 따라 개인정보보호위원회에 신고하도록 한 것이다. 조문은 여기서 말하는 이사회를 법인인 경우로 한정한다고 함께 밝히고 있다.

개인정보 보호책임자의 업무를 열거한 제31조제4항도 이번 개정으로 넓어진 것으로 정리된다. 개정법은 그 각 호에 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보, 그리고 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고를 새로 넣고 있다. 아울러 제31조제7항은 개인정보처리자가 개인정보 보호책임자에게 정당한 이유 없이 불이익을 주지 않도록 하고 그 업무를 독립적으로 수행할 수 있도록 보장하여야 한다고 정하고 있어, 개정이유가 밝히는 권한과 독립성 강화라는 취지와 연결되는 것으로 거론된다.

개인정보 보호책임자 자격기준은 어떤 규정으로 정해져 있나

개인정보 보호책임자를 누구로 지정하는지에 관한 기준은 이번 개정 조문이 아니라 대통령령에 이미 마련되어 있는 것으로 정리된다. 개인정보 보호법 시행령 제32조는 지정요건을 정하면서, 공공기관의 경우 기관의 성격에 따라 고위공무원이나 3급 또는 4급 이상 공무원 등을 기준으로 구분하고, 공공기관 외의 개인정보처리자의 경우에는 사업주 또는 대표자, 또는 임원을 지정하도록 하며 임원이 없으면 개인정보 처리 관련 업무를 담당하는 부서의 장을 지정하도록 정하고 있다.

같은 시행령은 일정 규모 이상의 개인정보처리자에게 별도의 요건을 더 요구하는 구조도 두고 있다. 연간 매출액등이 1,500억원 이상인 자로서 5만명 이상의 정보주체에 관하여 민감정보나 고유식별정보를 처리하거나 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자, 재학생 수가 2만명 이상인 고등교육법상 학교, 상급종합병원, 공공시스템운영기관은 시행령 별표 1에서 정하는 요건을 갖춘 사람을 지정하도록 정하고 있다. 다만 첫 번째 항목에는 각급 학교와 의료법상 의료기관을 제외한다는 단서가 붙어 있어, 학교와 의료기관은 매출액 기준이 아니라 재학생 수나 상급종합병원 해당 여부로 판단되는 구조로 정리된다. 반대로 소상공인기본법상 소상공인은 법 제31조제1항 단서에 따라 지정하지 아니할 수 있고, 이 경우에는 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 된다. 다만 이 지정요건은 종전부터 시행령이 정해온 기준이어서, 2026년 개정법 제31조제3항이 새로 위임한 이사회 의결과 신고의 적용 기준과는 구분해 볼 사항으로 거론된다.

개정 규정이 적용되는 대상은 어떻게 정해지나

개정 규정 가운데 개인정보 보호책임자 지정 절차에 관한 부분은 모든 개인정보처리자에 일률적으로 적용되는 것이 아니라, 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 적용되는 구조로 정리된다. 제31조제3항은 그 기준을 매출액과 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하도록 위임하고 있어, 어느 규모의 개인정보처리자가 이사회 의결과 보호위원회 신고 절차의 적용을 받는지는 개인정보 보호법 시행령을 통해 정해질 사항으로 거론된다. 신고의 방법과 절차에 필요한 사항 역시 제31조제10항이 대통령령에 위임하고 있다.

같은 구조는 다른 조문에서도 확인된다. 개인정보 보호 인증을 의무화한 제32조의2제1항 단서 또한 매출액과 개인정보의 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자를 대상으로 삼고 있어, 적용 대상의 윤곽은 시행령이 정해진 뒤에 확인되는 영역으로 다루어진다. 따라서 2026년 7월 현재 단계에서는 적용 대상의 구체적 기준을 단정하기 어렵고, 대통령령이 정하는 기준에 해당하는 개인정보처리자를 대상으로 서술하는 데 그치는 것이 정확한 것으로 거론된다. 이에 비해 최종 책임을 정한 제30조의3은 개인정보처리자 일반에 관한 규정으로 이해되고, 수탁자에게도 준용되는 것으로 정리된다.

개인정보 보호법 개정은 언제부터 시행되나

개정 시행일은 부칙 제1조가 정하고 있다. 부칙은 이 법을 원칙적으로 공포 후 6개월이 경과한 날부터 시행하도록 하면서, 제32조의2제1항 단서와 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행하도록 단서를 두고 있다. 국가법령정보센터는 원칙적인 시행일을 2026년 9월 11일로 표기한다. 부칙 제2조는 적용례도 두어, 제34조의 개정규정은 시행 이후 유출등이 되었음을 알게 된 경우부터 적용하도록 정하고 있다. 신설ㆍ개정 조문과 그 시행 시점을 정리하면 아래 표와 같다.

위 표는 개정 조문과 부칙을 바탕으로 정리한 것으로, 개별 개인정보처리자가 어떤 규정의 적용을 받는지는 대통령령이 정하는 기준과 개별 사정에 따라 달라질 수 있는 영역으로 거론된다.

대표자 책임 강화는 어떤 배경에서 이루어진 것으로 정리되나

이번 대표자 총괄책임의 신설은 개인정보 보호 체계를 여러 방향에서 정비한 개정의 한 축으로 정리된다. 법제처 국가법령정보센터가 공개하는 제ㆍ개정이유는 반복적이거나 중대한 침해행위에 보다 강력한 과징금 제도를 마련해 현행 제재수단의 한계를 보완하려는 취지를 함께 밝히고 있다. 제64조의2는 종전부터 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있도록 하고 매출액 산정이 곤란한 경우에는 20억원을 상한으로 정해 왔는데, 개정법은 제2항을 신설해 일정한 경우 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서, 매출액 산정이 곤란한 경우에는 50억원을 상한으로 부과할 수 있도록 정하고 있다. 두 항 모두 부과 여부를 보호위원회가 판단하는 형식으로 규정되어 있고, 유출등을 부과 사유로 든 제1항제9호는 개인정보처리자가 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다는 단서를 함께 두고 있다.

같은 조문이 드는 요건은 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 위반행위를 한 경우로서 각각 고의 또는 중대한 과실이 있는 경우, 고의 또는 중대한 과실로 위반행위를 하여 정보주체의 피해 규모가 1천만명 이상인 경우, 시정조치 명령에 따르지 아니하여 유출등의 위반행위가 발생한 경우로 정리된다. 세 요건 가운데 반복 위반에 관한 첫 번째 요건은 조문이 각각 고의 또는 중대한 과실이 있는 경우로 한정하고 있어, 반복 사실만으로 가중 과징금의 대상이 되는 구조는 아닌 것으로 정리된다. 다만 제64조의2제6항은 예산과 인력, 설비 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있으면 과징금을 감경하도록 하면서, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 그 감경에서 제외한다는 단서를 함께 두고 있다. 과태료 쪽에서도 제75조제2항에 제14호의3과 제14호의4가 신설되어 이사회 의결을 거치지 아니하거나 지정ㆍ변경ㆍ해제 사항을 신고하지 아니한 경우가 3천만원 이하의 과태료 대상으로 열거되었으며, 이러한 과태료 부과에 이의를 제기하는 절차는 질서위반행위규제법의 일반 규정을 따르는 영역으로 다루어진다.