개인정보보호법 개정 9월 11일 시행 D-40 — 과징금 상한 매출 10%, 병의원 6단계 최종 점검

9월 11일, 확정된 시행일

2026년 2월 12일 국회를 통과한 개인정보보호법 개정안이 9월 11일 시행됩니다. 이번 개정은 유예나 계도가 아니라 시행일이 확정된 사안이고, 의료기관 특례는 없습니다 — 병의원도 그대로 적용됩니다. 오늘 기준 40일 남았습니다.

무엇이 바뀌나 — 핵심은 '리스크의 스케일'

1. 과징금 상한: 전체 매출액의 3% → 10%. 위반 관련 매출이 아니라 전체 매출 기준 상한이 3배 이상 커집니다.
2. 매출 산정이 곤란한 경우 최대 50억 원 조항이 신설됐습니다. "규모가 작아서 산정이 안 되면 가볍게 끝난다"는 계산이 통하지 않습니다.
3. 대표자·사업주가 최종 책임자로 명시됩니다. 원장 개인이 책임 구조의 정점에 서는 셈입니다.
4. 일정 규모 이상 처리자는 CPO(개인정보 보호책임자) 지정 시 이사회 의결과 개인정보보호위원회 신고가 의무화됩니다(적용 대상 기준은 하위법령·위원회 안내로 확인 필요).
5. 유출이 확인된 뒤가 아니라 유출 '가능성' 단계에서 통지 의무가 발생합니다.
6. 예방 투자 시 과징금 감경 근거가 마련됐습니다 — 지금 쓰는 정비 비용이 곧 감경 사유가 될 수 있다는 뜻입니다.

인증 의무화와 관련 과태료는 2027년 7월 1일 시행으로 한 템포 늦지만, 과징금·책임 체계는 9월 11일부터입니다.

병의원이 특히 무거운 이유

병의원은 건강정보라는 민감정보를 일상적으로 대량 처리합니다. EMR, 예약 시스템, 문자·마케팅 DB, 진료비 수납 기록까지 — 유출 시 파급도, 규제기관의 시선도 일반 사업장과 다릅니다. 매출 10% 상한 시대에는 유출 사고 한 번이 병원 경영 자체를 흔들 수 있습니다.

D-40 최종 점검 6단계

1. 현황 파악: 우리 병원이 보유한 개인정보의 종류·위치·보유 기간을 목록화하세요. EMR 외에 엑셀 명단, 카카오톡 상담 기록, CCTV까지 포함합니다.
2. 수집·동의 정비: 접수 단계 동의서가 수집 목적·항목·보유 기간을 제대로 담고 있는지, 마케팅 활용 동의가 분리돼 있는지 확인하세요.
3. 위탁계약 점검: 예약 솔루션, 문자 발송 대행, 홈페이지 관리 업체 등과의 계약서에 개인정보 처리 위탁 조항과 관리·감독 근거가 있는지 확인하세요.
4. 유출 대응 절차 수립: '가능성' 단계 통지 의무에 맞춰, 누가·언제·어디에 신고·통지하는지 절차를 문서로 만들어 두세요. 사고 후에 만들면 늦습니다.
5. 직원 교육: 데스크·간호팀·상담실까지 포함해 교육을 실시하고 기록을 남기세요. 교육 이력은 예방 노력의 증빙이 됩니다.
6. CPO·책임 체계 정리: 보호책임자를 공식 지정하고, 신고 의무 대상에 해당하는지 규모 기준을 확인하세요. 대표자 책임이 명문화된 만큼 원장이 직접 챙겨야 할 항목입니다.

이번 개정의 메시지는 분명합니다 — 제재는 커지고, 예방은 감경 사유가 됩니다. 9월 11일 전 남은 40일, 6단계 점검을 완료해 과징금 리스크가 아니라 감경 근거를 쌓아 두시길 권합니다.

본 글은 일반적인 정보 제공 목적이며 법률 자문이 아닙니다. 적용 대상 기준 등 세부 사항은 하위법령과 개인정보보호위원회 안내로 확인하시고, 구체적 사안은 전문가와 상의하시기 바랍니다.