부제: 매출액 최대 10% 과징금 시행 전, 이번 분기에 점검해 둘 것들
2026년 9월 11일부터 개인정보보호법 제64조의2 개정이 시행됩니다. 2026년 2월 12일 국회를 통과한 이 개정안의 핵심은 하나입니다. 반복적이거나 중대한 위반에 대해 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있다는 것입니다(헤럴드경제, 한국경제, 파이낸셜뉴스).
공포를 조장할 이유는 없습니다. 다만 사실관계를 정확히 알고, 시행 전에 점검할 것을 점검해 두는 편이 좋습니다.
무엇이 바뀌나
지금도 과징금 제도는 있습니다. 2023년 9월 15일부터 적용된 현행 제64조의2는 과징금 상한을 전체 매출액의 3%로 정하고 있습니다(조문). 이번 개정은 여기에 층을 하나 더 얹습니다.
- 현행(2023.9.15~): 위반행위 관련 매출을 기준으로 산정하되, 상한은 전체 매출액의 3%
- 개정(2026.9.11~): 반복적·중대한 위반이라는 요건을 충족하는 경우, 전체 매출액의 최대 10%까지 징벌적 과징금 가능
즉 한 번의 단순 실수에 곧바로 10%가 부과되는 구조는 아닙니다. "반복·중대"라는 가중 요건이 붙습니다. 그러나 상한 자체가 GDPR(4%)이나 EU AI Act(7%)를 넘어서는 수준으로 올라간다는 점, 그리고 기존 3% 체계는 이미 적용 중이라는 점은 그대로 사실입니다.
왜 지금 점검해야 하나
"반복 위반"이라는 요건은 뒤집어 말하면, 첫 위반 이후의 관리 상태가 다음 제재의 크기를 결정한다는 뜻입니다. 위탁 계약이 문서화되어 있는지, 주민등록번호가 어디에 남아 있는지, 직원들이 생성형 AI에 무엇을 붙여넣는지 — 평소에 답할 수 없던 질문이라면 시행 전인 지금이 정리할 때입니다.
실제 제재는 대기업만의 일이 아닙니다. 2025년에는 정부24 연계 시스템을 운영하던 수탁업체가 과징금 8,250만원과 과태료 처분을 받은 사례가 있습니다(데일리시큐). 위탁 체인에 있는 대행사·개발사·운영사도 직접 제재 대상입니다.
이번 분기 실무자 체크리스트
- 위탁 계약 문서화 점검(제26조) — 개인정보 처리 업무를 맡기거나 맡고 있다면, 문서에 의한 계약·위탁 사실 공개·정보주체 통지 의무가 이행되고 있는지 확인합니다. 수탁자에 대한 교육·감독 의무도 위탁자 몫입니다(조문).
- 수탁자 입장에서의 역점검 — 우리 회사가 수탁자라면, 계약 범위 밖 처리·재위탁 여부를 점검합니다. 위 정부24 사례처럼 수탁사도 직접 과징금을 받습니다.
- 주민등록번호 보유 현황 전수 확인(제24조의2) — 주민등록번호는 법령이 구체적으로 허용한 경우가 아니면 처리 자체가 원칙적으로 금지되고, 보관 시 암호화 의무가 있습니다(조문). 오래된 엑셀 파일, 공유 드라이브, 메일함에 남아 있는 주민등록번호가 없는지 확인합니다.
- 생성형 AI 사용 정책 수립 — 국가정보원 「챗GPT 등 생성형 AI 활용 보안 가이드라인」(2023.6)의 제1원칙은 비공개 정보·개인정보 등 민감 정보 입력 금지입니다(보안뉴스). 민간 기업이라면 개인정보보호위원회의 「생성형 AI 개발·활용 개인정보 처리 안내서」(2025.8)를 기준 문서로 삼을 수 있습니다(PIPC).
- 가명처리 절차 도입(제28조의2) — 통계작성·과학적 연구·공익적 기록보존 목적이라면 정보주체 동의 없이 가명정보를 처리할 수 있습니다(조문). "데이터를 못 쓰게 막는" 규제가 아니라 "안전하게 쓰는 경로"가 법에 이미 있습니다. 2024년 2월 개정 가이드라인은 텍스트 등 비정형데이터 기준까지 담고 있습니다(PIPC).
- 유출 신고 절차 리허설 — 담당자 부재 시에도 기한 내 신고가 가능한지 확인합니다. 개인정보보호위원회의 OpenAI 과태료 360만원 처분(2023.7)에는 유출 지연 신고가 포함되어 있었습니다(PIPC).
- 개인정보 처리방침 최신화 — 실제 처리 현황(수집 항목, 위탁 현황, 보유 기간)과 공개된 처리방침이 일치하는지 대조합니다.
- 접근 권한·보관 기한 정리 — 퇴사자 계정, 공유 폴더 권한, 보유 기간이 지난 파일을 정리합니다. "가지고 있지 않은 데이터는 유출되지 않는다"가 가장 값싼 보안입니다.
- 무료 지원 활용 — 중소기업이라면 KISA·개인정보보호위원회의 가명정보 지원플랫폼(dataprivacy.go.kr)에서 가명처리 컨설팅·교육을 무료로 받을 수 있습니다(KISA).
맺음
이번 개정의 메시지는 "걸리면 끝"이 아니라 "반복하면 무겁다"입니다. 뒤집으면, 문서화·점검·가명처리라는 기본기를 갖춘 조직에게는 달라질 것이 많지 않습니다. 특히 4번(AI 사용 정책)과 5번(가명처리)은 묶어서 보면 좋습니다 — 직원들이 AI를 쓰는 것을 막기보다, 민감값을 뺀 가명 사본으로 쓰게 하는 것이 현실적인 답이기 때문입니다. 가명처리를 도와주는 셀프서브 도구들(파일을 서버로 보내지 않고 브라우저 안에서 처리하는 Data Alias 같은 도구 포함)도 나와 있으니, 수작업이 부담이라면 살펴볼 만합니다. 다만 어떤 도구든 자동 탐지가 모든 민감값을 잡아낸다고 보장할 수는 없으므로, 내보내기 전 사람의 검토는 항상 필요합니다.
시행일은 2026년 9월 11일입니다. 체크리스트의 절반만 이번 분기에 끝내도, 9월의 회사는 꽤 다른 상태로 그날을 맞을 것입니다.