개정 개인정보 보호법 시행, 작은 회사는 무엇을 점검해야 할까?

"우리는 작은 회사라서 해커가 노릴 것도 없어요."

 

개인정보 보안 이야기가 나오면 자주 듣는 말입니다.

대형 유출 사고는 큰 기업의 일이고, 직원 몇 명인 회사와는 거리가 멀다고 생각하기 쉽습니다.

하지만 2025년 대형 통신사와 이커머스 기업에서 수천만 명 규모의 유출 사고가 이어지면서, 법이 바뀌었습니다.

 

2026년 9월 11일부터 시행된 개정 개인정보 보호법은 회사 규모와 관계없이 대표자의 책임을 분명히 했습니다.

---

무엇이 달라졌나요?

이번 개정의 방향은 '사고 후 처벌'에서 '사전 예방'으로의 전환입니다. 핵심은 세 가지입니다.

 

첫째, 과징금 상한이 높아졌습니다. 기존에는 전체 매출액의 3%까지였지만, 고의나 중대한 과실로 위반을 반복하거나, 피해자가 1,000만 명 이상이거나, 시정명령을 따르지 않아 유출이 생긴 경우에는 최대 10%까지 부과할 수 있습니다.

 

둘째, 유출이 최종 확인되지 않았더라도 유출 가능성이 높은 정황이 있다면 정보주체에게 알려야 합니다. 예를 들어 우리 회사 데이터와 같은 구조의 정보가 외부에서 발견되거나, 해킹 흔적은 확인됐는데 피해 규모를 아직 모르는 경우입니다. "확인될 때까지 기다리자"는 대응이 더 이상 통하지 않게 된 것입니다.

 

셋째, 사업주나 대표자가 개인정보 보호의 최종 책임자로 명시됐습니다. 개인정보 보호책임자는 보호 현황과 위험 요소를 대표나 이사회에 보고해야 하고, 경영진은 필요한 예산과 인력을 지원해야 합니다.

---

작은 회사도 예외가 아닙니다

과징금 상한이 크게 오른 조건은 대형 사고 중심이지만, 대표자 책임과 통지 의무는 회사 규모와 관계없이 적용됩니다.

매출을 산정하기 어려운 경우에도 최대 50억 원의 과징금이 부과될 수 있습니다.

 

오히려 작은 회사가 더 취약할 수 있습니다. 보안 담당자가 따로 없고, 몇 년 전에 만든 홈페이지를 업데이트 없이 그대로 쓰거나,

퇴사한 직원의 관리자 계정이 그대로 남아 있는 경우가 많기 때문입니다.

 

쇼핑몰 플랫폼이나 노코드 도구로 만든 홈페이지라면 서버 보안은 플랫폼이 맡지만, 관리자 비밀번호와 직원 계정 관리는 여전히 우리 회사의 몫입니다. 실제 사고는 복잡한 해킹보다 허술한 비밀번호 하나에서 시작되는 경우도 많습니다.

---

미리 준비한 회사는 과징금이 줄어듭니다

이번 개정에는 당근도 있습니다. 개인정보 보호에 충분히 투자하고 관리 체계를 갖춘 회사는 사고가 나더라도 과징금을 최대 40%까지 감경받을 수 있습니다. 사고 이후 빠르게 알리고 피해를 줄이는 대응까지 충실히 했다면 감경 폭은 최대 80%까지 커집니다.

 

단순히 돈을 많이 쓴 것보다, 우리 회사가 어떤 개인정보를 갖고 있는지 파악하고

그에 맞는 보호 조치를 꾸준히 해왔는지가 기준입니다.

보안은 이제 비용이 아니라, 사고가 났을 때 회사를 지키는 보험에 가깝습니다.

---

우리 회사, 이것부터 점검해보세요

• 꼭 필요하지 않은 개인정보까지 수집하고 있지 않나요?
• 관리자 계정에 2단계 인증을 쓰고, 퇴사자 계정을 정리했나요?
• 홈페이지와 쇼핑몰 프로그램을 최신 버전으로 업데이트하고 있나요?
• 개인정보 처리방침이 실제로 수집하는 내용과 일치하나요?
• 유출이 의심될 때 누가 무엇을 할지 정해두었나요?

 

2026.09.30 - [외주용역 A to Z] - 홈페이지 유지 보수, 오픈 이후 더 중요한 이유

---

외주 개발사도 개인정보를 다룹니다

홈페이지나 앱을 외주로 만들고 운영한다면, 개발사도 고객 개인정보에 접근할 수 있습니다.

이 경우 개인정보 처리를 맡긴다는 내용을 문서로 남겨야 하고, 맡긴 회사도 관리·감독 책임을 집니다.

 

개발사가 어떤 정보에 접근할 수 있는지, 개발이 끝난 뒤 접근 권한을 회수했는지도 함께 확인해야 합니다.

개발 단계에서 실제 고객 정보 대신 테스트용 데이터를 쓰도록 하는 것도 좋은 방법입니다.

---

법이 바뀐 지금이 점검하기 가장 좋은 때입니다

개정법의 메시지는 분명합니다. 사고가 난 뒤에 얼마나 잘 수습하느냐보다,

사고가 나기 전에 무엇을 준비했느냐를 더 크게 보겠다는 것입니다.

 

거창한 보안 시스템부터 갖출 필요는 없습니다.

우리 회사가 어떤 개인정보를 어디에 보관하고 있는지 목록으로 정리하고,

관리자 계정과 비밀번호부터 점검하는 것만으로도 첫걸음은 충분합니다.

 

작은 회사일수록 기본을 지키는 것이 가장 효과적인 보안입니다.