I. 배경 최근 산업 전반에 걸친 대규모 개인정보 유출 사고로 인해 국민적 우려가 깊어지고 있습니다. 이에 따라 기업의 책임성을 강화하고 제재의 실효성을 높여야 한다는 목소리가 커져 왔습니다. 이러한 요구를 반영하여 CPO(Chief Privacy Officer, 개인정보 보호책임자)의 독립성 강화, 개인정보 보호 인증 의무화, 과징금 제도 정비, 정보주체의 권리 구제 확대 등을 골자로 하는 「개인정보 보호법」 (이하 “개인정보보호법”) 개정안이 2026년 2월 12일 국회 본회의를 통과하였습니다. II. 주요 개정 내용 1. 사업주 또는 대표자 및 CPO 중심의 개인정보 관리체계 확립 이번 개정안은 사업주 또는 대표자에게 개인정보 처리 및 보호의 최종 책임자로서의 실효적 관리 의무를 부여함과 동시에 CPO의 역할을 강화하고 있습니다. 사업주 또는 대표자의 관리 의무 법제화 : 개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종 책임자로서 개인정보 보호에 필요한 인력 관리 및 예산 확보 등 총괄적인 관리 조치를 하여야 합니다 (안 제30조의3 신설). CPO의 역할 및 권한 강화 : 일정 기준에 해당하는 개인정보처리자는 CPO를 지정∙변경∙해제 시 이사회의 의결을 거쳐야 하며, 개인정보 보호위원회에 신고하여야 합니다. CPO는 개인정보 보호에 필요한 전문 인력 관리 및 예산 확보 권한을 갖고 주요 사항에 대해서는 사업주 또는 대표자 및 이사회에 보고할 의무가 부여됩니다(안 제31조). 2. 개인정보 보호 인증 의무화 개인정보보호법에서는 개인정보처리자의 개인정보 처리 및 보호와 관련한 일련의 조치가 법에 부합하는지 등에 관하여 개인정보 보호위원회가 인증을 할 수 있다고 정하고 있습니다. 이번 개정안에서는 한걸음 더 나아가 매출액, 개인정보 처리 규모가 일정 기준에 도달하는 개인정보처리자에 대하여 개인정보 보호 인증을 의무적으로 받도록 합니다. 개인정보 보호 인증 의무화를 통하여 개인정보 관리 체계의 신뢰성과 안전성을 제고하기 위함입니다(안 제32조의2). 3. 유출등 통지 범위의 확대 및 유출 가능성 통지제 도입 개인정보보호법에서는 종래 “분실∙도난∙유출”을 “유출등”으로 약칭하여 개인정보가 분실∙도난∙유출된 경우만 통지 대상으로 보았습니다. 그러나 이번 개정안에서는 “유출등“의 범위에 위조∙변조∙훼손 까지 포함하도록 하여 개인정보가 분실∙도난∙유출된 경우 뿐만 아니라 위조∙변조∙훼손된 경우에도 관련 정보를 해당 정보주체에 통지하도록 통지 범위를 확대하였습니다(안 제34조 제1항). 또한 유출가능성 통지제도가 도입됨에 따라 개인정보처리자는 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위함 정도를 고려하여 대통령령이 정하는 유출등의 가능성 이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등을 알려야 합니다(안 제34조 제2항). 4. 반복적이거나 중대한 개인정보 침해에 대한 과징금 강화 이번 개정안은 과징금 부과대상 중 피
