2026년 9월 11일 시행, 개인정보보호법 과징금 최대 매출액 10%로 상향…데이팅앱·결혼정보업계 긴급 점검 필요

핵심 요약

- 2026년 9월 11일부터 개정 개인정보보호법 시행으로 반복적·중대한 개인정보 침해행위에 전체 매출액의 최대 10% 과징금 부과 가능 - 데이팅앱 및 결혼정보업체는 민감정보·위치정보 등 고위험 개인정보를 다루어 해킹 시 피해 규모가 매우 큼 - 기존 매출액 3% 상한에서 10%로 상향되어 기업의 법적·재무적 리스크가 대폭 증가

주요 내용

2026년 9월 11일부터 시행되는 개정 개인정보보호법은 개인정보 침해에 대한 제재 수위를 크게 강화한다. 가장 눈에 띄는 변화는 과징금 상한액이 기존 매출액의 3%에서 10%로 상향 조정된다는 점이다. 이는 EU GDPR의 과징금 체계(전 세계 연간 매출액의 최대 4%)를 넘어서는 수준으로, 반복적이거나 중대한 개인정보 침해행위에 대해서는 전체 매출액의 10%까지 부과할 수 있게 된다.

특히 데이팅앱과 결혼정보업체는 이번 법 개정으로 가장 큰 영향을 받을 것으로 예상된다. 이들 업체는 이용자의 성명, 생년월일, 연락처는 물론 학력, 직업, 소득수준, 외모 사진, 성격 분석 결과 등 매우 상세한 개인정보를 수집·처리한다. 일부 서비스는 실시간 위치정보나 선호하는 이성 타입 등 민감한 정보까지 다루고 있어, 해킹이나 내부 유출 시 2차 피해(스토킹, 보이스피싱, 명예훼손 등)로 이어질 가능성이 높다.

업계 관계자는 "만남을 위해 맡긴 '프로필'이 해커에게는 한꺼번에 다량의 개인정보를 탈취할 수 있는 보물창고"라고 표현하며, "단 한 번의 데이터 유출로도 수십만 명의 인생이 위협받을 수 있다"고 경고했다. 실제로 해외에서는 데이팅앱 해킹으로 수백만 명의 프로필 정보가 다크웹에 유출된 사례가 여러 차례 보고된 바 있다.

개정법 시행을 앞두고 개인정보보호위원회는 데이팅앱과 결혼정보업체를 대상으로 한 특별 점검을 예고한 상태이며, 업계는 보안 투자 확대와 개인정보 처리 프로세스 전면 재점검에 나서고 있다. 과징금 10% 부과는 중소·중견 업체에게는 사실상 존폐를 좌우할 수 있는 수준이기 때문이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 법 개정은 단순히 과징금 액수만 늘어난 것이 아니라 '개인정보 거버넌스의 실질화'를 요구하는 신호탄이다. 기존에는 형식적인 개인정보 관리체계 구축으로도 어느 정도 면책이 가능했지만, 이제는 '반복적 침해'와 '중대한 침해'에 대한 구체적 판단 기준이 적용되면서 실질적인 위험관리가 필수가 되었다. 특히 데이팅앱처럼 민감정보를 다루는 사업자는 정보주체의 피해 규모와 2차 범죄 연결 가능성까지 고려해 훨씬 높은 수준의 보호대책을 마련해야 한다.

기업은 이제 '침해사고 발생 시 대응'이 아닌 '침해사고를 원천 차단하는 예방 중심 체계'로 전환해야 한다. 암호화, 접근통제, 로그 관리, 내부자 위협 탐지 등 기술적 보호조치는 물론, 임직원 교육, 제3자 제공 최소화, 개인정보 영향평가(PIA) 정기 실시 등 관리적 조치까지 통합적으로 점검해야 한다. 특히 개인정보 보유기간이 긴 결혼정보업체의 경우, 장기 보관 데이터에 대한 주기적 재암호화와 파기 절차를 명확히 해야 반복 침해 리스크를 줄일 수 있다.

ISMS-P 심사원 체크포인트

1. 2.8.2 개인정보 암호화 (필수 인증기준)
- 민감정보(성명, 사진, 학력, 소득 등)는 저장 시 암호화 필수, 전송 시 안전한 암호화 통신(TLS 1.2 이상) 적용 여부 확인
- 암호키 관리체계(생성·보관·폐기) 및 접근권한 분리 여부 점검
- 관련 법조항: 개인정보보호법 제24조의2(고유식별정보의 암호화), 제29조(안전성 확보조치), 개인정보의 안전성 확보조치 기준 제6조

2. 2.8.5 개인정보 접근통제 (필수 인증기준)
- 데이팅앱·결혼정보 DB 접근 권한을 업무상 필요 최소 인원으로 제한하고, 접근 로그 기록·보관(최소 6개월) 여부
- 관리자 계정 분리 및 이중인증(MFA) 적용, 특권계정 관리 프로세스 확인
- 관련 법조항: 개인정보보호법 제29조, 안전성 확보조치 기준 제4조(접근권한의 관리), 제5조(접근통제)

3. 2.11.3 개인정보 영향평가 (필수 인증기준)
- 민감정보 및 100만 명 이상 개인정보 처리 시 개인정보 영향평가(PIA) 수행 여부
- 평가 결과에 따른 위험 개선조치 이행 및 사후관리 체계 점검
- 관련 법조항: 개인정보보호법 제33조(개인정보 영향평가), 시행령 제35조

CPPG·ISMS-P 연계 포인트

과징금 부과기준 3단계 구조
개정 개인정보보호법은 위반행위의 중대성·반복성·고의성을 기준으로 ①매출액 3% 이하(일반 위반), ②매출액 3~5%(중대 또는 반복), ③매출액 5~10%(반복적·중대 침해)의 3단계 과징금 체계를 도입했다. CPPG(개인정보관리사) 시험에서는 '중대한 침해'의 판단 기준(피해자 수, 민감정보 포함 여부, 2차 피해 발생 가능성 등)과 '반복적 침해'의 정의(최근 3년 내 2회 이상)를 숙지해야 한다.

민감정보의 범위 및 보호의무 강화
데이팅앱·결혼정보업체가 다루는 정보 중 사상·신념, 건강, 성생활 등은 개인정보보호법 제23조의 '민감정보'에 해당하며, 별도 동의와 강화된 안전조치가 필요하다. ISMS-P 인증심사에서는 민감정보의 수집·이용 목적의 명확성, 동의서 작성의 적법성, 암호화·접근통제 등 기술적 보호조치 이행 여부를 집중 점검한다. 또한 위치정보는 위치정보법의 적용을 받으므로, 개인정보보호법과의 이중 규제 준수가 필수다.