실시간
뉴스

보안

"ISMS-P 의무 대상 구체화"…개인정보법 시행령 개정안 입법 예고

디지털데일리 발행일 2026-06-02 09:56:38
김보민 기자

송경희 개인정보보호위원회 위원장이 5월13일 서울 종로구 정부서울청사에서 전체회의를 열고 모두발언을 하고 있다. [사진=개인정보위]

[디지털데일리 김보민기자] 개인정보 유출사고 예방과 대응을 강화하는 개인정보보호법 시행령 일부개정령안이 입법 예고됐다.

개인정보보호위원회는 개인정보 유출 사전 예방을 강화하기 위해 개정안을 마련해 7월13일까지 입법예고한다고 2일 밝혔다.

이번 시행령 개정은 지난 3월 공포된 개정 개인정보보호법 후속조치다. 개정 법률은 개인정보보호책임자(CPO) 권한과 독립성을 강화하고, 주요 개인정보처리자에 대한 개인정보 보호 인증(ISMS-P)을 의무화하는 내용을 담고 있다.

개정안은 CPO 지정·변경·해제 시 이사회 의결과 개인정보위 신고 의무가 적용되는 기준을 마련했다.

적용 대상은 현행 전문 CPO 지정 의무 대상과 동일하게 정했다. 연 매출액 또는 수입이 1800억원 이상이면서 5만명 이상 민감·고유식별정보 또는 100만명 이상 개인정보를 처리하는 사업자가 대상이다. 재학생 2만명 이상 대학, 상급종합병원, 공공시스템운영기관도 포함된다.

신고 의무 대상 기관은 의무 발생일로부터 1개월 이내 개인정보위에 신고서를 제출해야 하고 부득이한 경우 1개월 연장이 가능하다.

ISMS-P 인증 의무 대상도 구체화했다. 공공시스템운영기관 중 개인정보위가 정해 고시하는 기관, 이동통신사업자, 본인확인기관, 전년도 매출액 1조원 이상이면서 정보통신서비스 부문 매출 100억원 이상, 국내 정보주체 수가 최근 3개월 일평균 3000만명 이상인 사업자는 2028년 12월31일까지 인증을 받아야 한다.

개인정보 유출 통지·신고 기준도 정비됐다. 개인정보 처리시스템에 대한 불법적 접근 사실이나 개인정보 불법 거래·유통 사실을 알게 된 경우 72시간 이내 정보주체에게 통지해야 한다. 기존 분실·도난·유출 외에도 위조·변조·훼손까지 통지·신고 대상에 포함했다.

과태료 부과 기준도 손질했다. 경미한 위반행위에 대해 과태료를 면제하고 경고한 경우에도 동일 위반이 재발하면 가중 기준에 반영하도록 했고, 위반 횟수별 과태료 부과금액도 법제처 지침에 맞춰 정비했다.

개정안에 대한 의견은 7월13일까지 국민참여입법센터와 개인정보위 전자우편, 일반우편 등을 통해 제출할 수 있다.

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지

디지털데일리 네이버 메인추가

당신이 좋아할 만한 뉴스

DD 마이크로 사이트

오피니언