온라인 모자이크·2026년 5월 12일·30분 읽기

개인정보보호법 개정 2026: 실제로 바뀐 것만 정리

개정 내용이 헷갈립니다. 이번 개인정보보호법 개정을 두고 "얼굴이 민감정보가 됐다", "CCTV는 이제 무조건 모자이크해야 한다" 같은 말이 돌고 있거든요. 담당자 입장에서는 무엇이 진짜 의무이고 무엇이 소문인지 가려내기 어렵습니다.

사진 속 얼굴과 글자, 브라우저에서 바로 가리세요.

무료로 써보기

잘못된 정보로 준비하면 비용만 듭니다. 필요 없는 절차를 만드는 사이, 정작 새로 생긴 통지 의무나 책임자 지정 요건을 놓칠 수 있죠. 제재 상한이 높아지는 경우도 있지만, 조건은 세 가지로 한정돼 있습니다.

이 글은 법률 제21445호로 공포된 개정법에서 실제로 바뀐 조항만 정리합니다. 이어서 영상과 CCTV를 다루는 담당자가 지금 점검할 항목을 체크리스트로 묶었습니다.

💡

핵심 요약: 개정법은 2026.3.10 공포, 2026.9.11 시행입니다. 과징금 상한은 일반적으로 3%가 유지되고, 10%는 재위반·대규모 피해·시정조치 불이행의 세 경우에만 적용됩니다(매출이 없으면 50억). 유출 가능성 단계의 통지 의무가 생겼고, 사업주·대표자가 최종 책임자가 되며 CPO 지정 방식도 바뀝니다. 얼굴의 민감정보 재분류나 CCTV 비식별화 의무화는 이번 개정 내용이 아닙니다.

개인정보보호법 2026 개정, 무엇이 바뀌었나

범위는 분명합니다. 아래 표는 개정법에서 실제로 달라진 항목만 모았습니다.

조문·항목	이전	이후	시행일
과징금 상한	일반 상한 3%	일반 3% 유지, 세 가지 경우 10% 상한 신설(매출 없으면 50억)	2026.9.11
과징금 감경	투자 감경 규정 없음	보호 투자 시 감경 신설	2026.9.11
유출등 개념	조문별 표현 차이	'유출등' 개념 통일	2026.9.11
유출 통지	유출 발생 후 통지	유출 가능성 단계 통지 의무 신설	2026.9.11
제30조의3	별도 규정 없음	사업주·대표자가 최종 책임자	2026.9.11
제31조 CPO	지정 후 공개	일정 규모 이상은 지정 시 이사회 의결·신고	2026.9.11
인증	의무 아님	인증 의무화	2027.7.1

과징금 10%는 세 경우뿐입니다

일반적인 위반의 과징금 상한은 그대로 3%입니다. 10% 상한은 다음 경우에만 적용되는데요.

✅ 3년 내 고의·중과실로 재위반한 경우
✅ 고의·중과실이 있고 피해자가 1천만명 이상인 경우
✅ 시정조치 명령을 이행하지 않은 경우

매출이 없거나 산정하기 어려우면 상한은 50억입니다. 보호 투자에 대한 감경 규정도 함께 생겼죠.

⚠

️ 소규모 사업자가 10%를 일상적 위험으로 볼 이유는 없습니다. 세 요건은 모두 고의·중과실 반복이나 대규모 피해, 명령 불이행처럼 무거운 상황을 전제하기 때문입니다.

과징금 산정에서 달라진 것

과징금을 계산할 때 위반행위와 무관한 매출액은 제외합니다(제64조의2제3항). 개인정보 보호에 투자한 경우의 감경은 시행령 별표 1의5에 따라 기준금액의 100분의 40 범위에서 적용되고, 고의·중과실 위반은 감경 대상이 아닙니다.

적용 시점은 경우마다 다릅니다. 재위반은 시행 이후 위반으로 처분받은 뒤의 재위반부터, 시정조치 불이행은 시행 이후 내려진 명령부터 적용됩니다. 피해 1천만명 이상 유형은 시행 당시 종료되지 않은 위반에도 적용됩니다(부칙 제3조).

최근 제재 규모

개정법 시행 전에도 제재 금액은 이미 컸습니다. 개인정보보호위원회는 2026년 6월 10일 쿠팡에 과징금 6,246억 8,100만 원을, 2026년 7월 29일 KT에 과징금 539억 7,900만 원을 의결했습니다. 둘 다 유출 사고의 안전조치 의무 위반 사건이라 얼굴·영상 공개와는 성격이 다릅니다. 대형 유출 제재 흐름은 쿠팡 개인정보 유출 사건 대응 가이드에 따로 정리했습니다.

GDPR과 비교

유럽 GDPR 제재금의 상한은 1,000만 유로 또는 전 세계 매출 2%, 2,000만 유로 또는 전 세계 매출 4% 중 큰 쪽입니다. 한국은 일반 3%에 세 경우 10%라서 숫자만 단순 비교하기는 어렵습니다. 적용 요건이 다르기 때문입니다.

유출 가능성 통지와 책임 구조는 이렇게 작동합니다

핵심은 시점입니다. 개정법은 통지와 책임의 출발점을 앞당겼습니다.

유출등 개념 통일

조문마다 달랐던 표현이 '유출등'이라는 하나의 개념으로 정리됐습니다. 통지·신고 판단 기준이 일관돼진 셈이죠. 사내 규정에서 유출, 분실 등을 따로 부르고 있었다면 용어부터 맞추는 편이 좋습니다.

유출 가능성 통지

유출 가능성 단계의 통지 의무가 신설됐습니다. 유출이 확정되기 전이라도 가능성을 알게 되면 통지 대상이 될 수 있다는 뜻인데요. 기한은 법률 본문이 아니라 시행령에서 정합니다. 시행령에 따르면 가능성 통지도 72시간입니다.

ℹ️ 이 의무는 2026.9.11 이후 알게 된 건부터 적용됩니다. 그 전에 인지한 건은 종전 규정을 따릅니다.

실무적으로는 '가능성'을 판단하는 내부 기준이 필요합니다. 보안 로그 이상, 권한 없는 접근 시도, 저장매체 분실처럼 어떤 신호에서 통지 검토를 시작할지 정해두세요. 72시간은 생각보다 짧거든요.

제30조의3 사업주·대표자 책임

제30조의3은 사업주·대표자를 개인정보 보호의 최종 책임자로 정했습니다. 보호 업무를 담당 부서에만 맡겨둘 수 없게 된 거죠. 예산 승인, 보고 체계, 사고 대응 결재선에 대표자가 들어가 있는지 확인해야 합니다.

제31조 CPO 지정 변경

제31조는 일정 규모 이상의 개인정보처리자가 개인정보 보호책임자(CPO)를 지정할 때 이사회 의결과 신고를 거치도록 바꿨습니다. 대상은 시행령 제32조제3항이 정하니 우리 회사가 해당하는지 확인하세요.

인증 의무화는 시행일이 다릅니다

인증 의무화는 이번 시행일과 따로 2027.7.1부터 시행됩니다. 해당 여부를 미리 검토해 두면 준비 기간을 확보할 수 있습니다.

오해 바로잡기와 영상 담당자 체크리스트

소문부터 정리합니다. 다음은 이번 개인정보보호법 개정 내용이 아닙니다.

❌ 얼굴·번호판을 민감정보로 재분류했다
❌ CCTV 영상 비식별화를 의무화했다
❌ 촬영 후 30일 안에 비식별화해야 한다
❌ 안면인식에 영향평가를 새로 의무화했다

민감정보 범위

민감정보 범위는 시행령이 정합니다. 일반 사진이 아니라 기술적 수단으로 생성한 정보가 대상이죠. 얼굴이 찍혔다는 이유만으로 민감정보가 되지는 않습니다. 다만 영상도 개인정보이고, 사생활 침해 최소화 원칙은 그대로 적용됩니다.

모자이크 의무는 법령에 없습니다

법령에 모자이크 의무는 없습니다. CCTV 열람 때의 보호조치는 고시인 표준 개인정보 보호지침에서 다룹니다. 30일 역시 법정 보관 기간이 아니니 보관 기간은 내부 방침과 목적에 맞춰 정하세요. 의료법 제19조도 정보 누설 금지까지만 정합니다.

영상 담당자 체크리스트

✅ 열람 요구 접수 시 10일 안에 열람하게 하는 절차가 있는가
✅ 제한·거절 사유가 있으면 10일 이내에 서면 등으로 알리는가
✅ 열람 시 타인 얼굴 등 다른 정보주체 보호조치를 정했는가
✅ 유출 가능성 인지 후 72시간 통지 흐름이 있는가
✅ 대표자 보고선과 CPO 지정이 개정 요건과 맞는가
✅ 안내판과 설치 위치를 정기 점검하는가

⚠

️ 열람 제한·거절 위반은 제75조제2항제19호의 3천만원 이하 과태료 대상입니다. 5천만원 이하 과태료는 화장실·탈의실 내부를 볼 수 있는 CCTV 등 두 경우에만 해당합니다.

본 글은 법률 자문이 아니며, 구체적 사안은 전문가나 개인정보보호위원회 안내를 확인하세요.

CCTV 열람·공개 때 타인 얼굴 처리 도구

방법은 여러 가지입니다. CCTV 녹화 장비의 내보내기 기능, 영상 편집 프로그램, 자동 감지 웹 도구 가운데 업무량에 맞는 것을 고르면 됩니다. 편집 프로그램은 세밀하지만 움직이는 얼굴마다 키프레임을 잡아야 해서 시간이 걸리는데요.

열람 요청에 응하면서 타인 얼굴을 처리해야 할 때는 blur.me가 빠른 선택입니다. 영상을 업로드하면 AI가 얼굴과 번호판을 자동 감지하고, 대상별로 블러·모자이크·색상 효과를 따로 고를 수 있습니다. 내보내기 전에 감지 결과를 검토하고, 보여야 할 사람은 클릭해 제외하면 되죠. 5분 영상은 약 30초에 처리됩니다. 대량 작업이라면 CCTV 영상 자동 비식별화 처리 페이지도 참고하세요.

⚠

️ 모자이크 처리가 법적 면책을 보장하지는 않습니다. 열람 범위와 절차 판단은 별도로 해야 합니다.

개념 정리는 CCTV 비식별화 가이드와 개인정보보호법 영상 처리 가이드를 함께 보세요.

자주 묻는 질문

개인정보보호법 개정은 언제 시행되나요?

개정법은 법률 제21445호로 2026.3.10 공포되었고 2026.9.11부터 시행 중입니다. 유출 가능성 통지는 2026.9.11 이후 알게 된 건부터 적용됩니다. 인증 의무화만 2027.7.1 시행입니다.

과징금 10%는 모든 위반에 적용되나요?

아닙니다. 일반 과징금 상한은 3%로 유지됩니다. 10%는 3년 내 고의·중과실 재위반, 고의·중과실과 피해 1천만명 이상, 시정조치 명령 불이행의 세 경우에만 적용되고, 매출이 없으면 50억이 상한입니다.

유출 가능성 통지는 무엇인가요?

개정법에 신설된 의무로, 유출이 확정되기 전 가능성 단계에서도 통지해야 합니다. 기한은 시행령에서 정하며 가능성 통지도 72시간입니다. 내부적으로 어떤 신호에서 검토를 시작할지 기준을 정해두는 것이 좋습니다.

CCTV 영상은 이제 모자이크가 의무인가요?

법령에 모자이크 의무는 없습니다. CCTV 열람 때의 보호조치는 고시인 표준 개인정보 보호지침에서 다룹니다. 얼굴을 민감정보로 재분류했다는 말도 이번 개정 내용이 아닙니다.

blur.me는 무료로 쓸 수 있나요?

업로드와 미리보기는 결제 없이 무료입니다. 무료 내보내기에는 워터마크가 붙고, 영상 내보내기는 10초까지입니다. 플랜 정보는 https://www.blur.me/pricing/ 에서 확인할 수 있습니다.

마무리

정리하면 간단합니다. 개인정보 보호법 9월 11일 시행분의 핵심은 과징금 10%의 세 가지 경우, 유출 가능성 통지, 대표자 책임, CPO 지정입니다. 얼굴 민감정보 재분류나 CCTV 비식별화 의무화는 개정 내용이 아니죠. 소문 대신 조문 기준으로 통지 절차와 책임 구조를 먼저 점검하세요. 인증 의무화는 2027.7.1 시행이니 일정을 따로 챙기세요.