"유출됐을 수도 있습니다" 문자가 늘어납니다 — 9월 11일 바뀌는 개인정보 보호법

2026년 9월 11일 개정 개인정보 보호법이 시행되면서 유출 안내 문자의 성격이 달라집니다. 지금까지는 "유출이 확인됐습니다"였다면, 앞으로는 "유출됐을 가능성이 있습니다" 단계에서도 통지가 옵니다. 사업자 쪽에서는 대표자가 최종 책임자로 법에 못박히고, 과징금 상한이 전체 매출액의 10%까지 올라갑니다.

기준 시점 안내 이 글은 2026년 9월 9일 기준입니다. 개정 법률은 2026년 3월 10일 공포되어 9월 11일 시행이 확정됐지만, 시행령 개정안은 6월 2일~7월 13일 입법예고를 거친 단계로 최종 공포본을 확인하지 못했습니다. 시행령 관련 수치는 입법예고안 기준이며 바뀔 수 있습니다. 이 글은 정보 제공 목적이며 법률 자문이 아닙니다.

1. 9월 11일부터 무엇이 달라지나

조문 번호까지 붙인 이유가 있어요. 검색하다 보면 2023년 9월 15일 시행된 전면개정 기사가 섞여 나오는데, 이번 건 그때와 다른 개정입니다.

항목	지금까지	2026년 9월 11일부터
유출 통지 시점 (제34조)	유출 사실을 확인한 때	가능성을 인지한 때도 통지
통지 대상 사유	분실·도난·유출	위조·변조·훼손까지 확대
최종 책임자 (제30조의3)	CPO 중심	사업주 또는 대표자를 명시
CPO 지정 (제31조)	내부 지정	일정 규모 이상은 이사회 의결 후 신고
과징금 상한 (제64조의2)	전체 매출액 3%	요건 충족 시 전체 매출액 10%
ISMS-P 인증 (제32조의2)	자율	일정 규모 이상 의무화

헷갈리기 쉬운 부분 하나. 인증 의무화(ISMS-P)는 9월 11일이 아니라 2027년 7월 1일부터입니다. 같은 개정법이지만 시행일이 다릅니다.

2. 유출 안내 문자를 받으면, 이용자는 뭘 해야 하나

확정된 사고가 아니어도 통지가 오므로 문자를 받았다고 곧바로 내 정보가 팔려나갔다는 뜻은 아닙니다. 그래도 대응은 해두는 게 안전해요.

시행령 개정안은 불법적 접근을 알게 됐거나 개인정보가 불법 거래·유통되고 있음을 알게 된 때부터 72시간 이내 통지하도록 합니다. 쉽게 말해 회사가 "뚫린 정황"을 발견하면 사흘 안에 연락이 온다는 뜻이에요.

1. 문자 속 링크를 누르지 마세요. 유출 통지를 사칭한 스미싱이 따라붙습니다. 앱이나 공식 홈페이지에 직접 접속해 공지를 확인하세요.
2. 어떤 항목이 포함됐는지 확인하세요. 이름·연락처인지 주민등록번호 같은 고유식별정보인지에 따라 대응 수위가 달라집니다.
3. 같은 비밀번호를 쓰는 다른 서비스부터 바꾸세요. 실제 피해는 유출된 그 사이트가 아니라 비밀번호를 돌려쓴 다른 곳에서 터집니다.
4. 통지문의 신고·상담 창구를 챙겨두세요. 개정법은 손해배상 청구와 분쟁조정 절차 안내도 담도록 합니다.

3. "매출 10% 과징금"은 무조건 붙는 게 아닙니다

이 부분이 가장 많이 잘못 알려져 있어요. 사고가 났다고 자동으로 매출의 10%가 부과되는 게 아닙니다. 징벌적 과징금에는 요건이 붙습니다.

요건은 ① 고의·중과실로 3년 안에 위반행위를 반복한 때, ② 1,000만 명 이상 대규모 피해가 난 때, ③ 시정명령을 이행하지 않아 유출된 때 등입니다. 이 중 하나에 해당해야 10% 범위가 열립니다 (한국경제, 2026.6.1).

기준은 관련 매출이 아니라 전체 매출액입니다. 다만 '전체 매출액' 기준 자체는 2023년 개정에서 이미 도입됐고, 이번엔 상한이 3%에서 10%로 올라간 것이라고 보시면 정확합니다.

반대 방향도 있어요. 시행령 개정안은 평소 예산·인력·설비를 투자한 경우 과징금을 깎아주되 감경 상한을 40%로 뒀습니다. 다만 경고나 시정조치를 받은 뒤 같은 위반이 재발하면 위반 이력으로 산정돼 가중됩니다.

4. 1인 쇼핑몰·소규모 사업자도 대상일까

가장 궁금하실 지점이죠. 나눠서 봐야 합니다.

대표자 최종 책임(제30조의3)과 유출 통지 의무(제34조)는 규모를 가리지 않습니다. 1인 쇼핑몰이어도 적용된다고 보는 편이 안전해요.

반면 이사회 의결로 CPO를 지정·신고하는 의무는 '일정 규모 이상'에만 적용됩니다. 입법예고안 기준은 이렇습니다.

구분	신고 의무 대상 기준 (입법예고안)
일반 사업자	연 매출·수입 1,800억 원 이상이면서, 5만 명 이상 민감·고유식별정보 처리 또는 100만 명 이상 개인정보 처리
대학	재학생 2만 명 이상
그 밖	상급종합병원, 공공시스템운영기관

연 매출 1,800억 원이라는 문턱이 있으니 일반적인 1인 쇼핑몰은 이사회·신고 의무 대상이 아닙니다. 다만 입법예고안 수치이니 경계선이라면 개인정보보호위원회 안내로 다시 확인하세요.

작은 사업자가 지금 할 일은 세 가지면 충분합니다. 처리방침이 실제 수집 항목과 맞는지 점검, 관리자 계정 비밀번호와 접속 기록 정리, 사고 시 누가 언제 알릴지 연락 체계 정리. 72시간은 생각보다 짧아요.

자주 묻는 질문

Q. 유출 '가능성' 통지가 오면 제 정보가 이미 새어나간 건가요?

A. 아닙니다. 불법적 접근이나 불법 유통 정황을 인지한 단계에서도 알리도록 바뀐 것이라 확인 과정 중일 수 있습니다. 그래도 비밀번호 변경 정도는 해두시는 게 좋아요.

Q. 2023년 9월에도 개인정보 보호법이 크게 바뀌었다던데, 같은 건가요?

A. 다른 개정입니다. 2023년 9월 15일 시행분은 과징금 기준을 관련 매출액에서 전체 매출액으로 바꾼 게 핵심이었고, 이번 건 대표자 책임 명문화와 상한 10% 상향, 유출 가능성 통지가 핵심입니다.

Q. 개인 블로그나 무료 카페를 운영해도 적용되나요?

A. 회원 이메일이나 연락처를 수집·보관한다면 개인정보처리자에 해당할 수 있습니다. 다만 이사회 의결·신고 의무는 위 표의 규모 기준에 해당할 때만입니다.

Q. 대표자가 최종 책임자면 사고가 나면 대표가 처벌받나요?

A. 개정법은 사업주 또는 대표자를 최종 책임자로 명시했습니다. 다만 구체적 책임 범위와 제재 수위는 개별 사안과 확정 시행령에 따라 달라집니다.

마무리

이용자라면 자주 쓰는 서비스 두세 곳의 비밀번호가 겹치지 않는지 지금 확인해보세요. 통지가 빨라진다는 건 문자를 더 자주 받게 된다는 뜻이고, 그때마다 흔들리지 않으려면 비밀번호 돌려쓰기부터 끊는 게 가장 효과적입니다.

작은 쇼핑몰을 운영 중이라면 처리방침 페이지를 한 번 열어보세요. 실제 수집 항목과 적힌 항목이 다른 경우가 많습니다.

참고 자료

• 개인정보 보호법 시행령 일부개정령안 입법예고 (공고 제2026-59호) — 법제처 (2026.6.2~7.13)
• 개인정보 보호법 시행령 — 국가법령정보센터 (2026.9.9 확인)
• 개인정보 침해 과징금, 매출 10%까지 부과 — 한국경제 (2026.6.1)
• CPO 지정·해제, 이사회 의결 거쳐야 — 이데일리 (2026.6.2)
• 개인정보보호위원회 — 확정 시행령·공식 안내 확인처
• 조문별 내용은 법률신문 로펌 해설(2026.2, 2026.3.19)과 데일리시큐(2026.6.2)로 교차 확인

최종 업데이트: 2026.09.09