생활 IT 해결노트에 오신것을 환영합니다!
알아두면 편해지는 IT·생활정보·뉴스
- 2026년 9월 11일부터 일정 규모 이상의 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결과 개인정보보호위원회 신고를 함께 준비해야 합니다.
- 연 매출액·수입 1,800억 원 이상이면서 대규모 개인정보를 처리하는 기업, 대형 대학·상급종합병원·공공시스템운영기관 등이 주요 대상입니다.
- 시행 전부터 CPO를 지정한 대상 기관은 2027년 3월 11일까지 신고해야 하며, 개인정보 유출 가능성을 알게 된 경우에는 72시간 이내 통지 기준도 살펴봐야 합니다.
9월 11일부터 개인정보 보호 책임이 더 분명해졌어요
2026년 9월 11일, 개정 개인정보 보호법과 시행령, 관련 고시가 시행됐습니다. 이번 변화는 단순히 신고 서식 하나가 바뀐 정도가 아닌데요. 개인정보 보호책임자, 즉 CPO가 실제로 예산과 인력을 확보하고 대표자와 이사회에 보호 현황을 보고하는 역할을 맡도록 권한과 책임이 더 분명해졌습니다.
개인정보보호위원회가 발표한 내용을 보면, 일정 규모 이상의 개인정보처리자는 CPO를 지정하거나 바꿀 때, 또는 해제할 때 이사회 의결을 거쳐야 합니다. 여기에 개인정보위 신고까지 해야 하죠. 회사 내부에서 담당자 이름만 바꿔두는 방식으로는 부족할 수 있다는 뜻입니다.
다만 모든 회사가 같은 절차를 밟는 것은 아닙니다. 가장 먼저 우리 조직이 신고 대상 기준에 들어가는지부터 확인해야 해요.
어떤 회사가 CPO 이사회 의결·신고 대상일까요?
이번 시행령에서 정한 이사회 의결과 개인정보위 신고 대상은 기존의 전문 CPO 지정 의무 대상과 같은 기준으로 정해졌습니다. 주요 대상은 다음과 같습니다.
| 대상 | 기준 |
|---|---|
| 일반 개인정보처리자 | 연 매출액 또는 수입이 1,800억 원 이상이면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 경우 |
| 대학 | 재학생 수가 2만 명 이상인 대학 |
| 의료기관 | 상급종합병원 |
| 공공 부문 | 공공시스템운영기관 |
여기서 중요한 건 매출 규모만 보거나 개인정보 보유 인원만 따로 보는 게 아니라는 점입니다. 일반 기업은 매출·수입 기준과 개인정보 처리 규모 기준이 함께 적용되므로, 민감정보와 고유식별정보를 몇 명 처리하는지, 전체 개인정보는 몇 명분을 보유하는지 나눠서 점검해야 합니다.
특히 고객 데이터가 여러 시스템에 흩어져 있다면 단순히 회원가입 데이터만 세면 안 될 수 있어요. 쇼핑몰 회원, 임직원, 상담 고객, 배송 정보, 제휴 서비스 이용자처럼 개인정보 처리 현황을 한 번에 모아 보는 작업이 먼저입니다.
기존 CPO는 2027년 3월 11일까지 확인해야 합니다
시행령 부칙에는 경과조치가 들어갔습니다. 2026년 9월 11일 시행 전에 CPO를 지정했고, 개정된 기준에 해당하는 개인정보처리자라면 시행일부터 6개월 이내에 신고해야 합니다.
날짜로 계산하면 2027년 3월 11일까지가 기본 기한으로 보입니다. 따라서 대상 기업이라면 내년까지 기다리기보다는 지금부터 이사회 의결 자료와 신고 정보를 준비하는 편이 안전하겠죠.
반대로 9월 11일 이후 새로 CPO를 지정하거나 변경·해제하는 경우에는 의무가 발생한 날부터 1개월 이내 신고하는 것이 원칙입니다. 부득이한 사유가 있으면 1개월 연장이 가능하지만, 연장 가능성을 처음부터 전제로 두기보다는 내부 결재와 신고 일정을 함께 잡아두는 게 좋습니다.
CPO 신고 전에 준비할 자료
- 우리 조직이 신고 대상에 해당하는지 확인한 개인정보 처리 규모와 매출·수입 자료
- CPO의 성명, 직책 또는 직급, 연락처, 이메일, 업무 경력
- CPO 지정·변경·해제에 대한 이사회 의결 자료
- 개인정보 보호 업무를 수행할 전문인력과 예산 현황
- 대표자 및 이사회 보고 체계와 내부 개인정보 보호 규정
실제 신고는 개인정보 포털의 CPO 신고 서비스에서 진행할 수 있습니다.
개인정보 포털에서 CPO 신고하기서비스 화면에서는 기관 정보와 CPO 정보를 입력한 뒤 신고 내용을 확인하고 제출하는 순서로 진행됩니다. 기존 신고 정보가 있다면 연락처나 직위가 바뀐 경우에도 최신 정보로 변경 신고를 해두는 것이 필요합니다.
CPO가 이름만 올리는 책임자는 아니에요
이번 개정의 핵심은 CPO를 지정했다는 사실보다, CPO가 실제로 업무를 수행할 수 있는 환경을 만들어야 한다는 데 있습니다.
CPO는 개인정보 보호 계획을 세우고, 관련 전문인력을 관리하며, 필요한 예산을 확보하는 역할을 맡습니다. 개인정보 처리와 보호 실태를 점검하고 내부통제시스템을 마련하는 일도 포함됩니다. 대표자와 이사회에 개인정보 보호 현황을 보고해야 한다는 점도 새롭게 체감될 부분이고요.
그래서 회사 내부에서 CPO를 법무나 정보보안 담당자 이름으로만 지정해 놓고 예산이나 조사 권한을 주지 않았다면 다시 살펴볼 필요가 있습니다. 사고가 난 뒤에 CPO가 무엇을 할 수 있었는지를 따지는 상황이 생기지 않도록, 평소 결재선과 보고 주기, 점검 권한을 문서로 남겨두는 게 좋습니다.
개인정보 유출 가능성도 72시간 기준을 봐야 합니다
이번 개정으로 개인정보가 실제로 유출됐는지 확정되지 않은 단계에서도 통지 문제가 생길 수 있습니다. 개인정보처리시스템에 대한 불법적인 접근을 알게 됐거나, 개인정보가 불법적으로 거래·유통되고 있다는 사실을 알게 된 경우에는 72시간 이내 정보주체에게 통지하는 기준이 마련됐습니다.
기존의 분실·도난·유출뿐 아니라 개인정보의 위조·변조·훼손도 신고와 통지 대상에 포함됐습니다. 랜섬웨어나 시스템 공격으로 데이터가 훼손된 경우도 상황에 따라 검토해야 한다는 의미인데요.
실무적으로는 사고가 발생한 뒤 법무팀과 보안팀이 책임 소재를 논의하느라 시간을 보내지 않도록, ‘의심 단계’의 대응 절차를 미리 정해두는 것이 중요합니다. 누가 최초 판단을 하고, CPO에게 언제 보고하며, 정보주체 통지와 유출 신고를 어떤 순서로 진행할지 정리해 두면 실제 사고 때 훨씬 빠르게 움직일 수 있습니다.
ISMS-P 의무화는 2027년 7월 1일로 따로 봐야 합니다
개정 내용 가운데 ISMS-P 인증 의무화도 함께 언급되고 있지만, 이 부분은 2026년 9월 11일에 바로 적용되는 내용과는 구분해야 합니다. 개인정보위는 ISMS-P 인증 의무화 관련 규정이 2027년 7월 1일부터 시행될 예정이라고 밝혔고, 세부 시행령은 그 전에 별도로 추진될 예정입니다.
따라서 지금 당장 모든 기업이 ISMS-P 인증을 받아야 한다고 이해하면 곤란합니다. 다만 이동통신사업자, 본인확인기관, 일정 규모 이상의 정보통신서비스 사업자 등은 향후 대상이 될 수 있으므로 해당 업종이라면 별도 준비 일정을 잡아둘 필요가 있습니다.
기업 담당자가 지금 확인할 순서
- 개인정보 처리 규모와 매출·수입을 기준으로 CPO 신고 대상 여부를 확인합니다.
- 대상이라면 기존 CPO의 지정일과 현재 신고 상태를 확인합니다.
- 기존 CPO가 시행 전부터 지정돼 있었다면 2027년 3월 11일까지 신고 일정을 잡습니다.
- 새로 지정·변경·해제하는 경우 이사회 의결과 1개월 이내 신고 절차를 함께 진행합니다.
- CPO에게 예산·인력·점검·보고 권한이 실제로 부여됐는지 내부 규정을 점검합니다.
- 불법 접근, 거래·유통, 위조·변조·훼손까지 포함한 개인정보 사고 대응 시나리오를 다시 작성합니다.
결국 이번 변화는 개인정보 보호를 특정 담당자 한 명의 업무로 남겨두지 말고, 회사의 의사결정 구조 안으로 끌어올리라는 방향에 가깝습니다. 아직 신고 대상인지 애매하다면 개인정보 처리 규모를 먼저 숫자로 정리해 보는 것부터 시작하면 됩니다.
관련 사이트
- 개인정보보호위원회 9월 11일 시행 보도자료 – 개인정보 보호법·시행령·고시의 시행일과 CPO 권한 강화, 신고 의무, 유출 가능성 통지제 내용을 확인할 수 있습니다.
- 국가법령정보센터 개인정보 보호법 – 2026년 9월 11일 시행 개인정보 보호법의 조문과 개정 내용을 확인할 수 있습니다.
- 국가법령정보센터 개인정보 보호법 시행령 – CPO 신고 대상 기준과 기존 CPO의 6개월 경과조치를 포함한 시행령을 확인할 수 있습니다.
- 개인정보 포털 CPO 신고 안내 – CPO 신고 대상, 신고 항목, 입력 절차와 실무 매뉴얼을 확인할 수 있습니다.
- 개인정보 보호책임자 CPO 신고 – 본문에 안내된 공식 페이지입니다.
자주 묻는 질문
Q. 매출액이 1,800억 원 이상이면 무조건 CPO 신고 대상인가요?
A. 아닙니다. 일반 개인정보처리자는 매출액 또는 수입 기준과 함께 민감정보·고유식별정보 5만 명 이상 또는 전체 개인정보 100만 명 이상 처리 기준도 함께 확인해야 합니다.
Q. 기존에 CPO를 신고한 회사도 다시 신고해야 하나요?
A. 개정된 기준에 해당하고 2026년 9월 11일 시행 전에 CPO를 지정한 경우에는 시행일부터 6개월 이내에 개정 기준에 따른 신고가 필요합니다. 대상 여부와 기존 신고 정보는 개인정보 포털에서 함께 확인하는 편이 좋습니다.
Q. CPO가 개인정보 보호 업무와 다른 업무를 겸직하면 안 되나요?
A. CPO의 지정 요건과 겸직 가능 여부는 기관 유형과 적용 법령에 따라 달라질 수 있습니다. 이번 개정의 핵심은 CPO가 형식적인 명의자가 아니라 전문인력·예산·점검 권한을 갖고 실질적으로 업무를 수행해야 한다는 점입니다.
Q. 유출 가능성 통지는 실제 유출이 확인된 경우에만 하면 되나요?
A. 그렇지 않습니다. 개인정보처리시스템에 대한 불법적 접근을 알게 됐거나 개인정보가 불법적으로 거래·유통되고 있음을 알게 된 경우도 통지 요건이 될 수 있습니다. 사실관계 확인과 통지 판단을 동시에 진행할 수 있는 사고 대응 절차가 필요합니다.
Q. ISMS-P 인증도 2026년 9월 11일부터 바로 의무인가요?
A. 아닙니다. 개인정보위 발표에 따르면 ISMS-P 인증 의무화 관련 규정은 2027년 7월 1일부터 시행될 예정입니다. 세부 대상과 시행령은 별도로 확인해야 합니다.
2026년 9월 11일부터 개인정보 보호는 담당자 한 명이 알아서 처리하는 업무라기보다 이사회와 대표자까지 함께 책임지는 관리 과제가 됐습니다. 우리 회사가 CPO 신고 대상인지 먼저 숫자로 확인하고, 기존 CPO라면 2027년 3월 11일이라는 기한을 놓치지 않는 게 첫 단계예요. 여기에 예산과 권한, 사고 대응 절차까지 실제로 작동하는지 점검해 두면 이번 개정에 훨씬 안정적으로 대응할 수 있습니다.
