개인정보보호법 개정으로 과징금 상한 10%로 상향...ISMS-P 인증제도 개선 추진

핵심 요약

- 개인정보 유출 시 과징금 상한이 기존 3%에서 매출액의 10%로 대폭 상향되는 개인정보보호법 개정안 추진 - ISMS-P 인증제도 개선을 통한 기업의 개인정보 보호 관리체계 책임 강화 - 송경희 개인정보보호위원회 위원장이 2026년 6월 10일 정부서울청사에서 개정 방향 발표

주요 내용

개인정보보호위원회가 2026년 6월 10일 서울 종로구 정부서울청사에서 개최된 제11회 회의에서 개인정보 보호 책임 강화를 골자로 하는 개인정보보호법 개정안을 발표했습니다. 이번 개정안의 가장 큰 변화는 개인정보 유출 사고 발생 시 부과되는 과징금 상한이 기존 매출액의 3%에서 10%로 대폭 상향된다는 점입니다.

송경희 위원장은 이날 회의에서 "개인정보 유출 사고의 심각성에 비해 제재 수준이 낮아 실질적인 예방 효과가 미흡했다"며 "글로벌 수준에 맞는 제재 체계를 구축하여 기업들이 개인정보 보호에 더욱 적극적으로 투자하도록 유도할 것"이라고 밝혔습니다. EU의 GDPR이 연간 매출액의 4%, 미국 주요 주법들도 강력한 제재를 규정하고 있는 상황에서 국내법의 실효성을 높이겠다는 취지입니다.

이와 함께 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증제도도 개선됩니다. 현재 일정 규모 이상 정보통신서비스 제공자 등에게 의무화되어 있는 ISMS-P 인증의 심사 기준과 사후관리 체계가 더욱 강화될 예정입니다. 개인정보 처리 규모와 위험도에 따른 차등 관리, 인증 유효기간 중 정기적인 사후심사 강화 등이 검토되고 있습니다.

개정안은 입법예고와 국회 심의 과정을 거쳐 2027년 상반기 시행을 목표로 하고 있습니다. 업계에서는 과징금 부담이 크게 증가함에 따라 개인정보 보호 투자와 ISMS-P 인증 대응에 더욱 신경을 써야 할 것으로 전망하고 있습니다.

전문가 시각

30회 ISMS-P 선임심사원으로서 현장에서 다수의 기업 인증심사를 수행해온 경험에 비춰볼 때, 이번 개정안은 단순한 제재 강화를 넘어 기업의 개인정보 보호 패러다임 전환을 요구하는 신호탄입니다. 그동안 많은 기업들이 ISMS-P 인증을 '통과해야 할 의무'로만 인식하고 형식적인 문서 정비에 그쳤다면, 이제는 실질적인 위험관리 체계 구축이 필수가 되었습니다. 과징금이 매출액의 10%까지 부과될 수 있다는 것은 대형 사고 발생 시 기업 존립 자체가 위협받을 수 있음을 의미합니다.

기업들은 우선 개인정보 처리 전 과정에 대한 위험 평가를 재실시하고, 기술적·관리적·물리적 보호조치를 재점검해야 합니다. 특히 개인정보 처리 시스템에 대한 접근통제, 암호화, 접속기록 관리 등 핵심 보안 통제를 강화하고, 임직원 대상 정기적인 개인정보 보호 교육을 내실화해야 합니다. 또한 개인정보 유출 사고 발생 시 신속한 대응을 위한 사고대응 체계와 모의훈련도 정기적으로 실시할 것을 권고합니다. ISMS-P 인증 준비 과정에서 이러한 실질적 보호조치를 선제적으로 구축한다면, 과징금 리스크를 효과적으로 관리할 수 있을 것입니다.

ISMS-P 심사원 체크포인트

1. 개인정보 보호조치 (인증기준 2.8)
- ISMS-P 인증기준 2.8.1~2.8.10의 개인정보 보호조치 전반을 점검합니다
- 특히 2.8.3 (개인정보 암호화), 2.8.4 (접근통제), 2.8.6 (접속기록 보관 및 점검)이 핵심입니다
- 개인정보보호법 제29조(안전조치의무), 제34조(개인정보 유출 통지 등)의 이행 여부를 실증적으로 확인합니다
- 심사 시 암호화 대상 개인정보의 실제 암호화 적용 현황, 암호키 관리 체계, 개인정보 접근 권한 부여·변경·말소 절차의 적정성을 샘플링 검증합니다

2. 개인정보 유출 사고 대응 및 신고 체계 (인증기준 2.9)
- 2.9.2 (침해사고 대응 및 복구) 통제 항목에서 개인정보 유출 시나리오별 대응 절차 수립 여부를 확인합니다
- 개인정보보호법 제34조에 따른 유출 통지 의무 이행을 위한 내부 프로세스(통지 대상 판단 기준, 통지 시기 및 방법, 책임자 지정 등) 구비 여부를 점검합니다
- 최근 12개월 이내 개인정보 유출 사고 대응 모의훈련 실시 기록, 훈련 결과에 따른 개선조치 이행 내역을 검토합니다

3. 위험관리 체계 (인증기준 2.2)
- 2.2.1 (정보자산 식별), 2.2.2 (현황 및 흐름 분석), 2.2.3 (위험 평가)에서 개인정보 자산에 대한 위험 평가가 적절히 수행되었는지 확인합니다
- 개인정보의 수집·이용·제공·파기 등 생명주기 전 단계에 대한 위험 식별 및 평가가 이루어졌는지, 고위험으로 식별된 영역에 대한 보호대책 수립·이행 여부를 점검합니다
- 과징금 리스크를 고려한 정량적 위험 평가(개인정보 유출 시 예상 피해액, 과징금 산정 기준 등)가 경영진에게 보고되었는지 확인합니다

CPPG·ISMS-P 연계 포인트

과징금 부과 기준 및 감경 사유
개인정보보호법 제34조의2(과징금 부과)에 따르면, 개인정보 처리자가 안전조치 의무를 위반하여 개인정보를 분실·도난·유출·위조·변조 또는 훼손당한 경우 매출액의 100분의 3(개정 시 100분의 10) 이하의 과징금이 부과됩니다. 다만 시행령에서 정한 위반행위의 중대성·기간·횟수, 고의·과실 여부, 피해 확산 방지 노력 등을 고려하여 감경될 수 있으며, ISMS-P 인증을 유지하고 있는 경우 안전조치 이행 노력으로 인정받을 수 있습니다.

개인정보 영향평가(PIA)와 ISMS-P의 관계
개인정보보호법 제33조는 일정 규모 이상 개인정보파일 운용 시 개인정보 영향평가를 의무화하고 있습니다. ISMS-P 인증기준 2.8.2(개인정보 영향평가)는 이를 관리체계에 통합하도록 요구하며, 영향평가 결과에 따른 위험 완화 조치를 사전에 이행해야 합니다. 시험에서는 PIA 수행 대상, 시기, 평가 항목, 결과 조치의 연계성을 묻는 문제가 자주 출제되므로, 법적 의무사항과 인증기준 통제항목을 함께 숙지해야 합니다.