ISMS-P 데일리 카드뉴스

2026.08.30 일요일 · 개인정보 오늘의 키워드: 개정 개인정보 보호법 9월 11일 시행 · D-12 · 유출 가능성 통지 · 매출 10% 과징금

핵심 판단

2026년 3월 10일 공포된 개정 「개인정보 보호법」이 9월 11일 시행된다. 오늘 기준 12일 남았다. 이번 개정은 인증기준 문구를 바꾸지 않지만, 기존 인증기준이 요구하던 것의 난이도를 올린다. 특히 세 가지가 심사 실무에 바로 닿는다 — 유출 "가능성"까지 통지 대상이 된 점, CPO 지정·변경·해제에 이사회 의결과 위원회 신고가 붙은 점, 그리고 징벌적 과징금이 전체 매출액 기준으로 설계된 점이다.

1.4.1 법적 요구사항 준수 검토는 "최신 법령을 반영했는가"를 묻는 기준이다. 9월 11일 이후 심사에서 내부관리계획·처리방침·유출대응 절차가 개정 전 문구로 남아 있으면 그 자체가 결함 소재가 된다.

오늘의 픽 — 유출 "가능성" 통지, 대응 절차부터 다시 본다

유출통지 사고대응 3.5.3

종전에는 분실·도난·유출된 경우에 통지 의무가 있었다. 개정법은 여기에 두 가지를 더한다.

구분	종전	개정
통지 사유	분실·도난·유출	위조·변조·훼손 추가
통지 시점	유출이 확인된 경우	대통령령으로 정하는 "유출 가능성"이 있는 경우 추가

실무에서 이 변화의 무게는 "언제 통지 시계가 시작되는가"에 있다. 확인된 유출만 다루던 절차는 "가능성" 판단 기준·판단 주체·판단 기록을 갖고 있지 않다.

심사원 관점 — 무엇을 확인할 것인가

2.11.1 사고 예방 및 대응체계 구축: 유출 "가능성" 단계의 판단 기준과 에스컬레이션 경로가 절차에 있는가.
2.11.5 사고 대응 및 복구: 통지·신고 기한 관리가 확인된 유출 기준으로만 설계돼 있지 않은가.
3.5.3 정보주체에 대한 통지: 통지 문안·경로가 위조·변조·훼손 사유까지 포괄하는가.

원본: 대한민국 정책브리핑 — 개인정보 보호 책임·관리체계 강화

브리핑 — 오늘 함께 볼 이슈

(1) 징벌적 과징금 — 관련 매출이 아니라 전체 매출 기준

반복적이거나 중대한 유출에 대해 전체 매출액의 최대 10% 범위에서 과징금을 부과할 수 있다. 정부 설명에 따르면 고의 또는 중대한 과실로 3년 이내 반복 위반한 경우, 고의 또는 중대한 과실로 1천만명 이상 대규모 피해가 발생한 경우 등이 대상이다.

심사 포인트: 위험평가에서 법적 제재를 위험 요소로 반영했는가. 경영진 보고에 이 변화가 올라갔는가 (1.1.1).

원본: 대한민국 정책브리핑 — 유출시 최대 매출 10% 과징금, CEO·CPO 책임 강화

(2) CEO·CPO — 지정이 아니라 절차가 증적이 된다

CEO에게 개인정보 처리·보호의 최종책임자로서 관리·감독 의무가 명확히 부여된다. 일정 규모 이상의 개인정보처리자는 CPO 지정·변경·해제 시 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

심사 포인트: 1.1.2 최고책임자의 지정이 임명장 한 장에서 이사회 의사록 + 신고 이력으로 옮겨간다. 이미 지정돼 있는 CPO도 향후 변경 시 이 절차를 타야 한다.

(3) ISMS-P 인증 의무화는 2027년 7월 1일

같은 개정에 담긴 ISMS-P 인증 의무화 규정은 예산 확보 기간 등을 고려해 2027년 7월 1일 시행 예정이다. 9월 11일에 함께 시작되지 않는다. 4월 발표된 「인증제 실효성 강화방안」의 '27년 일정과 같은 흐름이다.

심사 포인트: 의무 대상 여부는 시행령·고시 확정본으로 판단한다. 지금 시점의 대상 추정은 확정이 아니다.

심사원 실무 공지 (개인정보보호위원회)

이번 주 개인정보위 안내서 게시판이 갱신됐다. 위키 자료실에도 반영했다.

개인정보 전송요구권 제도 안내서(2026.6. 개정) — 전 분야 마이데이터. 구판(2025.4.)을 대체한다.
보건의료데이터 활용 가이드라인(2025.12.)
개인정보 처리방침 표준(안)(2026.2.) — 공인중개사·노인복지관·여행업 업종별 견본

원본: 개인정보위 안내서 게시판

오늘의 심사 체크포인트

법령 반영 — 내부관리계획·정책·처리방침이 개정법 문구를 반영했는가 (1.4.1, 1.1.5)
유출 가능성 판단 — 판단 기준·주체·기록이 절차에 있는가 (2.11.1)
통지 범위 — 위조·변조·훼손까지 통지 대상에 포함했는가 (3.5.3)
대응 기한 — 통지·신고 시계의 기산점이 재정의됐는가 (2.11.5)
CPO 절차 — 지정·변경·해제의 이사회 의결·신고 절차가 문서화됐는가 (1.1.2)
경영진 보고 — 과징금 체계 변화가 위험으로 보고됐는가 (1.1.1)

인증기준	연계 근거	비고
1.1.1 경영진의 참여	개정법 CEO 관리·감독 의무	보고 체계
1.1.2 최고책임자의 지정	CPO 이사회 의결·신고	절차 증적화
1.4.1 법적 요구사항 준수 검토	개정법 2026.9.11 시행	문서 현행화
2.11.1 사고 예방 및 대응체계 구축	유출 가능성 통지	판단 기준
2.11.5 사고 대응 및 복구	통지·신고 기한	기산점
3.5.3 정보주체에 대한 통지	통지 사유 확대	위조·변조·훼손

원본 링크 (추가 확인용)

유출시 최대 매출 10% 과징금·CEO·CPO 책임 강화 — 대한민국 정책브리핑 → https://www.korea.kr/news/policyNewsView.do?newsId=148960564
개인정보 보호 책임·관리체계 강화 — 대한민국 정책브리핑 → https://www.korea.kr/news/policyNewsView.do?newsId=148961398
개인정보 보호법(시행예정 포함) — 국가법령정보센터 → https://www.law.go.kr/lsEfInfoP.do?lsiSeq=195062
개인정보 보호법 제·개정이유 — 국가법령정보센터 → https://law.go.kr/LSW/lsRvsRsnListP.do?chrClsCd=010102&lsId=011357
개인정보위 안내서 게시판 → https://www.pipc.go.kr/np/cop/bbs/selectBoardList.do?bbsId=BS217&mCode=D010030000
개인정보 유출신고제도 — 개인정보보호위원회 → https://www.pipc.go.kr/np/default/page.do?mCode=D030040000
ISMS-P 인증 누리집 → https://isms.kisa.or.kr/main/

<sub>본 카드뉴스는 공개된 정부·법령 자료를 심사원 실무 관점에서 요약한 것으로, 법적 해석·자문을 대체하지 않습니다. 시행령·고시 확정 여부와 세부 기준은 국가법령정보센터·개인정보보호위원회 최신 자료로 재확인하세요.</sub>

ISMS-P 데일리 뉴스(2026년08월30일)

문서 본문