	보도자료

보도시점	국무회의 안건보고 후 별도 공지	배포

“사후 처벌에서 사고 예방 중심으로”

개인정보 보호체계, 근본적 전환 추진

- 중대·반복 위반 시 매출액 최대 10% 징벌적 과징금 부과로 억지력 강화

- 기업의 자발적 보안 투자 확대를 위한 인센티브 체계 전면 개편

- 고위험 분야 정기 점검 및 국민 권리 보호 강화

금년 하반기부터 주요 공공시스템과 대규모 개인정보를 처리하는 약 1,700개 고위험 시스템에 대해서는 정부가 직접 정기적인 점검을 실시하는 한편, 선제적인 개인정보 보호 투자를 한 기업․기관에 대해서는 합당한 인센티브가 부여된다. 개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 이 같은 내용을 담은 「예방 중심 개인정보 관리체계 전환 계획」을 5월 12일(화) 대통령 주재 국무회의에서 보고했다.

이번 계획은 AI 디지털 전환과 플랫폼 경제 확산으로 개인정보 활용이 전 분야에서 빠르게 늘어나는 상황에서, 사회 전반의 개인정보 보호 수준을 높이고 대형화되는 유출사고에 보다 실효적으로 대응하기 위해 마련됐다.

주요 추진내용은 다음과 같다.

□ 중대·반복 위반 제재 강화로 억지력 제고

먼저, 반복적이거나 중대한 개인정보 보호법(이하 ‘보호법’) 위반행위에 대해서는 매출액의 최대 10%까지 과징금을 부과해 경제적 제재의 실효성을 높인다. 과징금 산정 기준도 현행 ‘3년 평균 매출액’에서 ‘직전 연도 매출액’과 ‘3년 평균 매출액’ 중 높은 금액을 적용한다. 또한 신속한 조사와 처분을 위해 이행강제금을 부과하는 제도를 도입한다. 증거 은닉 행위는 제재를 강화하는 한편 신고포상금 제도도 도입할 계획이다.

다만, 영세기업의 경미한 보호법 위반은 재발 방지와 개선을 위한 시정 기회를 부여하되, 위반이 반복될 경우에는 엄정 대응할 방침이다.

□ 자발적 보호투자 확대 및 위험기반 관리체계 구축

기업이 형식적인 보호법 준수를 넘어 실질적인 개인정보 보호 수준 향상을 위한 투자 확대와 책임경영을 강화하도록 유도한다. 앞으로는 법정 기준을 상회하는 선제적 보호조치, 적극적인 보안투자, 실효적인 안전관리체계 운영 여부를 종합적으로 평가해 과징금 감경 등 인센티브를 부여할 예정이다.

이와 함께 오는 9월부터 시행되는 경영진의 개인정보 보호 책임이 충실히 이행될 수 있도록, 기업의 개인정보 보호활동을 공개하도록 유도해 기업 스스로 보호 역량을 높이도록 할 계획이다.

한편, 개인정보위도 위험 수준에 따라 차등적으로 점검하는 위험기반 관리체계를 구축한다. 주요 공공시스템(387개)과 교육·복지 등 고위험 분야는 개인정보위가 직접 집중 관리한다. 또한, 기업과 산업 전반의 개인정보 보호 경쟁력을 높이기 위해 클라우드 사업자, 전문수탁사, 시스템 공급사를 포함해 공급망 전반으로 점검을 확대한다. 개인정보위는 현재 상조 회사, 고객상담센터 등을 점검하고 있으며, 조속히 마무리하여 발견된 미비점은 시정을 권고할 예정이다.

개인정보 처리 환경이 갈수록 복잡해짐에 따라 서비스가 출시된 이후에는 침해를 인지하거나 방지하기가 쉽지 않은 만큼, 시스템 설계 단계부터 개인정보 보호를 반영하는 개인정보 중심 설계(PbD, Privacy by Design*)의 필요성도 커지고 있다.

* 제품 또는 서비스의 기획 · 제조 · 파기 등 전 과정에서 개인정보 보호 요소를 충분히 고려

이에 개인정보위는 서비스 기획·설계 단계부터 PbD 원칙이 반영되도록 PbD 원칙을 제도화한다. 또한 개인정보 영향평가 기준과 ISMS-P 인증 기준에 개인정보 보호 중심설계 원칙을 반영할 계획이다.

개인정보위는 지난 2월 현황 조사를 통해 공공부문의 개인정보 보호 인력과 예산 부족을 확인한 바 있다. 이에 관계부처와 협력하여 전담 인력과 예산을 확충하고, 민관 협력을 통해 전반적인 보호 수준을 끌어올릴 계획이다. 개인정보 보호 전담인력의 처우 개선도 함께 추진한다.

개인정보 보호 전문인력 양성 기반도 구축한다. 현장에서 실제 문제를 해결할 수 있는 전문인력을 양성하기 위해 대학원 과정을 권역별, 지역별로 확대해 나갈 방침이다. 정책 담당자, 개발자, 사고 대응 조직과 같이 대상별 직무를 분석해 맞춤형 실무 교육 프로그램도 새롭게 설계해 운영할 계획이다.

□ 신속한 피해구제와 회복 지원

개인정보 유출로 인한 국민 피해를 보다 실질적으로 구제하기 위해, 유출 사고 시 기업·기관의 손해배상 책임을 원칙으로 하고, 전반적인 입증 책임을 기업이 지도록 해 법정 손해배상 제도를 활성화한다.

또한 다크패턴처럼 이용자를 속이거나 오인하게 만들어 개인정보 수정, 동의 철회, 탈퇴를 어렵게 하는 행태를 집중 점검하고, 개인정보 침해신고센터도 전문상담과 컨설팅, 피해조치 지원 등 기능을 강화한다.

민감정보 유출 시에는 SNS 등에서의 불법 유통 여부를 모니터링하여 탐지·삭제하고, 수사기관과 협력해 개인정보 불법 유포자와 이용자를 끝까지 추적·처벌하는 등 엄정 대응할 방침이다.

개인정보위 송경희 위원장은 “모든 사고가 그렇듯이, 개인정보도 한 번 유출되면 피해를 온전히 되돌리기 어렵고 회복에도 긴 시간이 걸린다.”라며, “개인정보위는 앞으로 사후 책임에 더해 사전예방이 잘 작동할 수 있는 체계를 구축하여 국민의 정보를 보다 안전하게 지키고 국민이 신뢰할 수 있는 개인정보 활용 환경을 만들어가겠다.”라고 밝혔다.

붙임1 : 예방 중심 개인정보 관리체계 전환 계획(’26.5.12. 국무회의 보고)

붙임2 : 주요 질의 답변

담당 부서	예방조정심의관	책임자	과 장	김해숙	(044-215-4610)
	사전실태점검과	담당자	사무관	송영아	(02-2100-2424)
			사무관	장유경	(02-2100-2439)
담당 부서	조사조정국	책임자	과 장	강대현	(02-2100-3101)
	조사총괄과	담당자	사무관	장수용	(02-2100-3102)
담당 부서	예방조정심의관	책임자	과 장	황지은	(02-2100-3081)
	자율보호정책과	담당자	사무관	공수진	(02-2100-3082)
담당 부서	개인정보정책국	책임자	과 장	김직동	(02-2100-3051)
	개인정보보호정책과	담당자	사무관	이정수	(02-2100-3052)

붙임 1		예방 중심 개인정보 관리체계 전환 계획

◇ AI·디지털 전환과 플랫폼 경제 확산으로 개인정보 활용 규모·범위 확대 →
△유출사고는 대형화되고, △사후 처벌만으로는 유출로 인한 피해회복이 어려우며, △국민은 개인정보 보호를 체감하기 어려운 상황

□ “사고 후 처벌하는 관리”에서, 실질적 위험 관리와 예방 투자 유도를 통해
“사고 전 예방·관리하고 사고 피해도 최소화”하는 체계로 대전환

* “AI·디지털 시대 핵심자산인 개인정보 보호를 소홀히 하는 잘못된 관행·인식 완전히 바꿔야... 패러다임 시프트 수준의 새로운 디지털 보안제도 조속 마련·시행(‘25.12.2, 국무회의)”

1		중대·반복 위반 제재 강화로 억지력 제고

□ (징벌적 과징금) 중대·반복 사고 시 매출액의 최대 10%까지(기존 3%) 과징금을 부과, 투자소홀로 축소한 비용을 대폭 상회하는 경제벌 확립

< 징벌적 과징금 부과기준(안) >

▸(법정요건) △고의·중과실로 △3년 내 반복 사건, △1천만명 규모 이상의 피해 발생

▸(판단기준) 재발 경위, 고의성 및 의도성, 국민적 피해 규모 및 2차 피해 등 중점 고려

※ 영세·소상공인의 경미한 위반은 개선·지원에 중점. 단, 반복 위반시 엄정 제재

□ (조사 강제력 강화) 이행점검 강화, 미이행·비협조 시 이행강제금 도입

• 【이행점검 효과(‘25.下~’26)】 SKT·건강보험공단 등 92개 기업·기관 시정명령으로 207개 항목 개선
→ 안전조치 강화, 내부체계 정비, 수탁자 관리·감독 강화, 주민번호 수집 제한 등

< 구 분 >		< 현 행 >		< 개 선 >		< 비 고 >
징벌적 과징금 특례 도입		전체 매출액의 3% 과징금	⇨	중대·반복 위반 시 10% 과징금 신설		법·시행령 개정 (9.11. 시행 예정)
매출액 산정기준 강화		3년 평균 매출액	⇨	‘직전 매출액’과 ‘3년 평균 매출액’ 중 높은 금액		시행령 개정 (5.19. 시행 예정)
조사 강제력 강화		조사 비협조 시 과태료 3천만원 이하	+	이행강제금 · 증거보전명령 도입		법안 발의(2.12.)
				은닉·폐기 엄중 제재, 신고포상금제 도입		법안 준비중

2		자발적 보호투자 확대 및 위험기반 관리체계 구축

□ (예방투자 유도) △법정기준을 상회하는 선제적 안전조치, △보호 책임경영 등 자발적 예방 보호활동을 촉진하는 인센티브 체계 마련

구 분	주요 고려사항 예시
• 동종업계 대비 우수한 보안투자	(참고) IT대비 보호투자 비중: 금융(9.6%), 정보통신(6%)
• 실효적 개인정보 안전관리체계 구축·운영	전담 조직·인력, 영향평가 등 상시위험관리, 신속복구역량
• 법정 기준을 상회하는 추가적 보호조치	암호화, 추가인증, 취약점 신고·공개제도(CVD·VDP) 등

□ (위험 비례 예방점검·관리) 사각지대 없는 개인정보 보호 안전망 구축

○ (실태점검) 100만명 이상 개인정보 처리 공공기관·기업(약 17백개), 클라우드 · 시스템 공급사 등 고위험 분야는 정기·수시 점검 등 집중 관리

- 상조회사, 고객상담센터, 결혼정보업체, 초·중·고 에듀테크도 추가 점검(‘26~)

• 【사례(‘25.下)】 ① 슈퍼앱(5개) : 정보 이전·공유시 접근권한 관리 강화, 동의·탈퇴 절차, 내부통제 정비
② 클라우드(3개사): 클라우드 이용기업에게 안전조치 추가설정, 보안솔루션 별도 구독 등 안내조치

※ 보유규모, 유출시 파급도가 적은 일반 분야는 소관부처 중심 점검체계 확립

○ (제도 정비) 개인정보 보호 중심 설계(PbD) 원칙이 구현되도록 개선

< 구 분 >		< 개선 방향 >		< 추진 일정 >
ISMS-P 인증		강화된 인증기준 (간편-표준-강화신설), 상시점검 등 인증 실효성 제고 공공·민간 주요처리자 대상 인증 의무화		(‘26.下) 고시 개정 (’27.7~) 의무화
개인정보 영향평가		PbD 원칙과 연계하여 평가 기준·방법 개선, 민간 확대 대규모 국외이전 영향평가제 신설		(‘26) 방안 마련 (’26~) 법적근거 마련

□ (역량 확충·민관 협력) 공공부문 개인정보 보호 전담인력과 재원 확보를 지원하는 한편, 사고 시 징계 등 책임 강화 및 전담인력 처우개선 추진

• 【공공부문 인력·예산 점검결과(‘26.2.)】 개인정보보호 전담인력은 중앙 1.1명, 기초지방정부 0.3명 수준

○ CEO의 최종 책임을 법에 명시하고 CPO(개인정보보호책임자)의 전문성을 강화*하는 한편, CPO 협의회 협업으로 위협 조기경보 연락체계 운영(’26~)

* 100만명 이상 처리 + 매출액 1.8천억원 이상 시 일정 자격·경력을 보유한 CPO 지정 의무화 (약 700개)

※ 민간부문 분야별·권역별 전문인력(석·박사), 직무기반 교육 등 현장실무형 인재 양성 추진

3		신속한 피해구제와 회복 지원

□ (피해구제) 유출 시 기업·기관의 책임을 원칙으로 하고, 전반적 입증책임을 기업·기관이 지도록 하여 법정 손해배상(최대 300만원) 활성화(법안 발의, ‘26.2)

□ (국민권리 강화) 다크패턴* 점검·개선, 침해신고센터** 기능 강화 등

* 이용자를 속이거나 오해하게 만들어 개인정보 수정·동의·철회를 어렵게 함

** 기존법 안내 상담 → 개선전문적 법률상담, 피해회복 조력 등 종합지원체계 단계적 구축(‘26~)

□ (불법유통 엄벌) SNS·다크웹상 개인정보 불법유통 모니터링 강화, 불법 개인정보 유포·이용자는 추적·엄벌(법안 발의, ’26.2.)

붙임 2		주요 질의 답변

1. 왜 지금 예방 중심 개인정보 보호 체계로 전환하는가?

○ AI·디지털 전환과 플랫폼 경제 확산으로 개인정보 활용 규모·범위 확대되어 유출사고는 대형화되고, 새로운 프라이버시 위험영역(gray area)이 증대되고 있음

- 사후 규제만으로는 유출로 인한 피해 회복이 어렵고, 기존 제도보다 앞서나가는 새로운 위협을 효과적으로 통제할 수 없음

○ AI 시대 최적의 개인정보 보호 방법은 철저한 사전 예방 관리임

- 정확한 정보자산 식별, 개인정보 접근 권한 최소화 등 예방 관리를 철저히 함으로써 유출 사고를 미연에 방지하고, 설령 사고가 나더라도 피해를 최소화할 수 있으며 신속히 탐지·복구할 수 있음

2. AI 시대에는 기업의 데이터 활용이 중요한데, 예방을 강조하여 규제를 강화하면 한국 기업의 글로벌 경쟁력을 약화시키는 것 아닌가?

○ 개인정보 보호는 기업 경쟁력의 제약이 아니라, 지속 가능한 데이터 활용과 혁신의 기반임

- 이용자와 국민이 기업의 고객정보 관리에 대해 신뢰를 가져야만, 기업도 안심할 수 있는 환경에서 맞춤형 서비스, 데이터 기반 혁신, AI 활용을 지속적·효과적으로 확대할 수 있음

○ 현재 개인정보 안전에 대한 국민 신뢰 수준이 매우 낮은 수준*인 만큼, 사전 예방 관리체계 전환을 통해 사회 전반의 보호 수준을 끌어올리고, 국민이 신뢰할 수 있는 데이터 활용 환경을 조성할 필요

* 국민 10명 중 6명 “개인정보 유출 불안”(국가데이터처 사회안전인식도조사, ‘24)

3. CEO, CPO의 책임을 강화하는 추세인데, CEO가 개인정보 보호를 위해 어떤 것을 챙겨야 한다고 보는가?

○ 개인정보 보호를 단순한 규제 준수나 비용 문제가 아니라, 기업 신뢰와 지속가능한 성장을 좌우하는 경영의 핵심 의제로 인식하는 것이 중요

○ 기업·기관은 개인정보 수집·이용·보관·제공·파기 등 개인정보 생애주기 전반을 파악하고 각 단계에서 필요한 안전조치가 이행되도록 관리해야 하며, 개인정보 보호는 일회성 대응이 아닌 기획·개발·운영 전 과정에서 위험요인을 점검·개선하는 지속적인 관리 과정이어야 함

○ 아울러 대표자는 이러한 체계가 현장에서 작동할 수 있도록 예산, 인력, 시스템 등 필요한 경영자원을 투입하고, CPO가 조직 내에서 실질적인 권한과 책임을 갖고 역할을 수행할 수 있도록 지원해야 함

※ 「개인정보 보호법」 개정(‘26.9.11. 시행)으로 CEO에 개인정보 처리·보호의 최종책임자로서의 관리·감독 의무 부여, CPO 지정·변경·해제 시 이사회 의결 및 신고 의무화

4. 미토스 등장으로 인해 보호 환경이 달라졌다고 생각함. 예방중심의 새로운 대책이 새로운 환경에서도 효과적이라고 보는가?

○ AI 기반 공격이 현실화되고 보호 환경은 빠르게 바뀌고 있지만, 개인정보 보호의 본질은 변하지 않음

○ 해킹 공격이 고도화·지능화될수록 정보자산 식별, 상시 위협 탐지, 철저한 개인정보 접근 권한 관리 등 기술적·관리적·물리적 보호조치를 포함한 안전조치를 충실히 이행하는 것이 매우 중요하다는 게 전문가들의 공통적 의견임

○ 이러한 보호체계가 제대로 작동해야 사고 예방과 함께 사고 시 신속한 복구가 가능하며, 예방 중심 관리체계를 통해 새로운 환경에서도 기본 보호체계의 실효성을 높이도록 하겠음

5. 이번 계획 발표 관련, 후속 조치는 어떻게 진행되는가?

○ 이번 예방 중심 안전관리체계 전환 계획은 크게 세 가지 내용으로 구성되어 있음

○ ‘중대·반복 위반에 대한 제재 강화’의 경우,

- 징벌적 과징금 부과는 법률 개정을 통해 올해 9월부터 시행되며, 시행령 등 하위 법령 마련 과정에서 구체적인 내용이 담길 것임

- 과징금 부과 시 매출액 산정 기준 강화 역시 이 달 중 시행령 개정 절차가 마무리될 예정이며, 이행강제금 도입 등 조사의 강제력 강화 역시 관련 법안이 발의되어 있는바, 국회 심의를 적극 지원하겠음

○ ‘자발적 보호투자 확대’ 및 ‘위험 기반 관리체계 구축’은 5월말 경제관계장관회의를 통해 상세 내용을 발표할 예정이며, 국민의 권리 보호 강화를 위한 침해신고센터 기능 강화, 인력 확충 등은 ’27년 예산 확보 등을 통해 단계적으로 실행해 나갈 계획임