ISMS-P 데일리 카드뉴스

2026.08.21 금요일 · 개인정보
오늘의 키워드: 개정 개인정보 보호법 9.11 시행 · CPO 이사회 의결 · 자동화된 결정권

핵심 판단

2026년 3월 10일 공포된 개정 「개인정보 보호법」(법률 제21445호)이 2026년 9월 11일 시행된다(오늘 기준 D-21). ISMS-P 관점의 핵심은 '과징금이 세졌다'가 아니라, 데이터 사고 책임이 보안 실무자에서 대표이사·이사회의 의제로 올라갔고, 정보주체 권리(자동화된 결정 거부·설명)가 실제 절차로 구현되어야 한다는 점이다. 특히 ① CPO 지정·변경·해제의 이사회 의결·신고 의무(위반 시 과태료), ② 유출 '가능성' 단계의 통지, ③ 자동화된 결정 거부·설명요구권은 심사 시 정책·처리방침·권리행사 절차의 실재 여부로 곧바로 확인된다.

🎯 오늘의 픽 — 9월 11일, '거버넌스'와 '정보주체 권리'가 동시에 강해진다

법개정 거버넌스 정보주체권리

이번 개정은 유출사고 예방·대응 강화와 국민 권리 보호에 초점을 둔다. 배경에는 2025년 유출 신고 급증(전년比 +46%, 해킹 유출 60%↑, 과징금 규모 1,700억 원대)이 있다.

9.11 시행 주요 변화(요지)

구분	내용(요지)
CPO 거버넌스	일정 규모 이상 처리자의 CPO 지정·변경·해제 시 이사회 의결·신고 의무, 미지정·자격미달·의결/신고 누락에 과태료 신설
유출등 통지	'유출등' 정의에 위조·변조·훼손 포함, 유출 가능성 단계 통지 신설(신고 근거가 제34조 제3항→제4항 이동)
과징금	중대·반복 위반 상한을 전체 매출액의 10% 로 상향
자동화된 결정	정보주체의 거부·설명요구권(법 제37조의2, 영 제44조의2 절차)
데이터 이동권	전송요구권(마이데이터) 전 분야 확대(관련 시행령 단계 시행)
ISMS-P 의무화	일정 규모 이상 처리자 ISMS-P 인증 의무화(일부 조항 2027.7 적용)

수탁자 준용(법 제26조 제8항): 위탁받아 처리하는 회사도 자기 이름으로 동일 의무를 진다.

🔍 심사원 관점 — 무엇을 확인할 것인가

1.1.2 최고책임자 지정: CPO 지정·변경·해제의 이사회 의결·신고 증적(의결서·신고내역), 독립성·자격요건.
3.5.1 처리방침: 자동화된 결정의 기준·절차·거부/설명 방법 공개 여부(영 제44조의4).
3.5.2 정보주체 권리보장: 자동화된 결정 거부·설명요구 접수·처리 절차와 기록.
1.4.1 법적 요구사항 준수: 유출 '가능성' 통지 기준·72시간 신고 절차 최신화.

📎 원본: datalaw — 9.11 시행 체크리스트 · 엑소스피어 — 개정 핵심·대응

📌 브리핑 — 오늘 함께 볼 이슈

① CPO, 이제 이사회 안건 — '지정만' 하던 시대의 종료

자격요건 자체는 2024년 3월부터 이미 시행 중이며, 9.11에 바뀌는 것은 제재다. 미지정·자격미달 지정·이사회 의결 누락·신고 누락이 각각 과태료 대상이 된다.

🔍 심사 포인트: CPO 임면 절차의 이사회 의결·신고 이력, 겸직·독립성, 예산·인력 권한 (1.1.2). 📎 페블러스 — 대표·이사회 의제화

② 자동화된 결정 거부·설명요구권 — AI 심사에 절차가 붙는다

대출 자동거절, 보험 언더라이팅 자동결정, 채용 서류 AI 필터링 등 사람 개입 없는 결정이 대상이다(사람의 최종 확인이 있으면 적용 여부 달라짐).

🔍 심사 포인트: 자동화된 결정 대상 식별, 거부 시 재처리·설명 제공 절차, 처리방침 공개 (3.5.1/3.5.2). 📎 VWV — 자동화된 결정·전송요구권 정리

③ 시행령·후속고시 진행 중 — '아직 미공포' 부분 주의

후속 시행령 개정령안은 입법예고(공고 제2026-59호)를 마쳤으나 일부는 공포 전 단계다. 세부 대상·기준은 확정본으로 확인해야 한다.

🔍 심사 포인트: 의무 적용 시점·대상 규모, 시행령 확정 여부 확인 후 판단. 📎 TILNOTE — 개정 대응전략 Q&A

🧑‍⚖️ 심사원 실무 공지 (개인정보위·KISA)

9.11 시행 대비 처리방침·내부관리계획·CPO 임면규정·권리행사 절차 개정 여부를 우선 확인.
자동화된 결정 관련 안내·서식은 개인정보위 자료실 최신본 확인. 📎 개인정보위 · ISMS-P 누리집

✅ 오늘의 심사 체크포인트

CPO 이사회 의결·신고 — 지정/변경/해제 이력·증적 (1.1.2)
유출 가능성 통지 — 통지 기준·72시간 신고 절차 반영 (1.4.1)
자동화된 결정 공개 — 처리방침에 기준·거부/설명 방법 (3.5.1)
권리행사 절차 — 거부·설명요구 접수·처리·기록 (3.5.2)
수탁자 준용 — 위·수탁 계약·수탁자 의무 반영
시행 시점 — 확정 시행령 기준 적용 대상 판단

⚖️ 관련 법령·인증기준 매핑

인증기준	연계 법령·조문	비고
1.1.2 최고책임자 지정	개인정보 보호법 제31조	CPO 이사회 의결·신고
3.5.2 정보주체 권리보장	법 제37조의2 / 영 제44조의2	자동화된 결정
3.5.1 처리방침 공개	영 제44조의4	자동화된 결정 공개
유출등 통지·신고	법 제34조	가능성 통지·72시간
과징금	법 제64조의2	매출 10%

⚠️ 주의: 개정법은 2026.9.11 시행이나 후속 시행령·고시 일부는 확정·공포 진행 중입니다. 대상 규모·세부기준·시행일은 국가법령정보센터·개인정보위 확정본으로 반드시 재확인하세요.

🔗 원본 링크 (추가 확인용)

2026 개정법 9.11 시행 체크리스트 — datalaw → https://datalaw.kr/guides/pipa-2026-amendment/
개정 핵심·기업 대응 — 엑소스피어 → https://exosp.com/blog/2026-personal-information-protection-act
대표·이사회 의제화·AI 데이터 규칙 — 페블러스 → https://blog.pebblous.ai/report/korea-pipa-amendment-2026-ai-data/ko/
자동화된 결정·전송요구권 정리 — VWV → https://svwvs.com/blog/personal-data-protection-act-2026/
개정 대응전략 Q&A — TILNOTE → https://tilnote.io/en/pages/6a341b74478fbed273563cfd
개인정보 보호법 시행령(제44조의2) — 국가법령정보센터 → https://www.law.go.kr/LSW//lsLinkCommonInfo.do?lspttninfSeq=186009&chrClsCd=010202
ISMS-P 인증 누리집 → https://isms-p.or.kr/main.do

<sub>본 카드뉴스는 공개된 언론·정부·법령 자료를 심사원 실무 관점에서 요약한 것으로, 법적 해석·자문을 대체하지 않습니다. 조문·시행일·대상은 국가법령정보센터·개인정보위 현행/확정본 기준으로 확인 후 인용하세요. · ISMS Wiki 데일리 뉴스

ISMS-P 데일리 뉴스(2026년08월21일)

문서 본문