지식센터 / 레퍼런스

개정 개인정보 보호법이 9월 11일 시행된다 — 유출 '가능성'만으로 72시간 통지, 과징금 상한은 매출의 10% - TagMan

개정 개인정보 보호법이 9월 11일 시행된다 — 유출 '가능성'만으로 72시간 통지, 과징금 상한은 매출의 10% - TagMan

콘텐츠로 건너뛰기

TagMan

GA4·GTM 태깅과 광고 전환픽셀 운영

# 개정 개인정보 보호법이 9월 11일 시행된다 — 유출 ‘가능성’만으로 72시간 통지, 과징금 상한은 매출의 10%

TagMan

TagMan 홈 / 자료실 / 태깅 전문가 뉴스

태깅 전문가 뉴스

# 개정 개인정보 보호법이 9월 11일 시행된다 — 유출 ‘가능성’만으로 72시간 통지, 과징금 상한은 매출의 10%

2026년 9월 8일

📖 약 7분 읽기

마케팅팀이 몇 년 전 붙여 둔 리마케팅 태그 하나, 전환 이벤트에 슬쩍 실려 나가는 주문번호 하나. 지금까지는 ‘어딘가에 있는 코드’였지만, 9월 11일부터는 사고가 났을 때 72시간 안에 설명해야 하는 대상이 됩니다. 개정 개인정보 보호법이 통지의 기준을 ‘유출을 확인했을 때’에서 ‘유출 가능성을 인지했을 때’로 당겨 놓았기 때문입니다.

3줄 요약

✓ 2026년 3월 10일 공포된 개정 개인정보 보호법이 2026년 9월 11일 시행됩니다

✓ 유출 정의에 위조·변조·훼손이 추가되고, 피해자를 특정하지 못해도 인지 후 72시간 안에 유출 가능성을 통지해야 합니다

✓ 반복·중대 침해 과징금 상한이 전체 매출액의 10%까지 올라가고, CPO 지정에는 이사회 의결·신고 의무가 붙습니다

2026년 3월 10일 공포된 이 법률은 사고 대응의 방식 자체를 바꿔 놓습니다. 지금까지 기업들은 ‘유출이 확인됐다’는 명확한 증거가 나온 뒤에야 신고와 통지를 준비했습니다. 개정법은 그 출발선을 앞으로 옮겨, 확인되지 않았더라도 가능성이 있다면 시계가 돌아가기 시작합니다. 마케터에게는 먼 법률 얘기처럼 들리지만, 실제로는 웹사이트와 앱에 붙어 있는 태그, 광고 매체로 넘어가는 전환 데이터가 가장 먼저 사정권에 들어옵니다.

9월 11일부터 정확히 무엇이 바뀌나

개정법의 축은 네 가지입니다. 첫째, 유출의 정의가 넓어져 위조·변조·훼손도 포함됩니다. 지금까지는 데이터가 밖으로 빠져나가는 상황만 유출로 봤다면, 이제는 랜섬웨어로 파일이 암호화되는 것처럼 데이터가 훼손되기만 해도 통지·신고 대상이 될 수 있습니다. 데이터가 나갔는지 확인하기 전에, 데이터가 망가졌다는 사실만으로 절차가 시작되는 셈입니다.

둘째, 유출 가능성 통지라는 새로운 개념이 생깁니다. 불법 접근은 확인됐지만 정확히 누구의 정보가 얼마나 빠져나갔는지 특정하지 못하는 상황에서도, 인지한 시점부터 72시간 안에 ‘가능성이 있다’는 사실을 알려야 합니다. 조사가 끝난 뒤에 통지하던 관행이 더는 통하지 않는다는 뜻입니다.

셋째, 과징금 상한이 조정됩니다. 원칙적으로는 전체 매출액의 3% 상한이 유지되지만, 반복 위반이나 대규모 피해, 시정조치 불이행 같은 가중 사유가 확인되면 10%까지 올라갑니다. 10%가 모든 사건에 적용되는 기본값은 아니지만, 위반 관련 매출이 아니라 전체 매출액을 기준으로 산정된다는 점은 그대로입니다. 회사 전체의 매출 규모가 곧 리스크의 크기가 됩니다.

넷째, 개인정보 보호책임자(CPO) 지정에 이사회 의결과 신고 의무가 붙습니다. 다만 어느 규모의 기업부터 이 의무를 지는지는 시행령에서 정해지며, 시행령은 법제처 심사를 마치고 공포를 기다리는 단계였습니다. 우리 회사가 대상인지는 공포본을 직접 확인해야 합니다.

72시간 안에 답해야 하는 질문, 준비돼 있나요

통지의 방아쇠가 ‘확인’에서 ‘인지’로 당겨졌다는 사실이 실무에서는 가장 크게 체감됩니다. 예전에는 사고가 나면 포렌식 조사를 하고, 유출된 항목과 대상자를 특정한 뒤에 통지 문안을 만들었습니다. 이제는 그 조사가 끝나기도 전에, 가능성이 있다는 사실만으로 72시간 안에 무언가를 알려야 합니다. 성격 자체가 ‘사고 이후 대응’에서 ‘평소의 상시 관리’로 옮겨간다는 뜻입니다.

72시간 안에 “무엇이 새어 나갔을 수 있는가”라는 질문에 답하려면, 사고가 난 뒤에야 데이터 지도를 그리기 시작해서는 시간이 부족합니다. 평소에 어떤 데이터가 어디에 저장돼 있고, 어디로 흘러 나가는지 정리된 목록이 있어야 사고 발생 즉시 범위를 좁힐 수 있습니다. 목록이 없는 조직은 통지 여부를 판단하는 단계에서부터 시간을 다 써 버립니다.

국내 마케팅 현장에서 가장 먼저 흔들리는 곳

실무 현장에서 가장 먼저 흔들리는 지점은 태그와 전환 데이터입니다. 사이트에 몇 년째 붙어 있는 광고·분석 태그가 실제로 어떤 값을 어느 회사로 보내고 있는지, 정확히 파악하고 있는 조직은 생각보다 많지 않습니다. 초기 세팅 담당자가 퇴사하고, 담당 대행사가 바뀌는 과정에서 태그는 그대로 남아 계속 작동하지만, 그 태그가 무엇을 어디로 보내는지에 대한 문서는 사라지는 경우가 흔합니다.

전환 이벤트에 주문번호나 이메일, 전화번호가 그대로 실려 나가는 경우도 드물지 않습니다. 마케팅 효율을 높이려는 목적으로 붙인 값들이, 규제의 관점에서는 개인을 식별할 수 있는 정보로 취급될 수 있습니다. 위탁·제3자 제공 계약서에 적힌 데이터 목록과 실제로 태그가 실어 보내는 값이 어긋나 있다면, 사고가 났을 때 통지 범위를 산정하는 단계에서부터 막히게 됩니다.

지금 당장 점검해야 할 세 가지

첫째, 태그 인벤토리를 만듭니다. 사이트와 앱에 살아 있는 태그를 전수 조사하고, 태그별로 전송 항목·수신처·법적 근거를 한 줄씩 적습니다. 목록을 만들다 보면 실제로 쓰지 않는 태그가 여럿 발견되는데, 이런 태그는 이번 기회에 내리는 것이 맞습니다. 쓰지 않는 태그는 리스크만 남기고 얻는 것이 없습니다.

둘째, 전환·이벤트 파라미터를 점검합니다. 식별자가 평문 그대로 매체 서버로 넘어가는 구간을 찾아, 해시 처리하거나 서버사이드 방식으로 우회하는 방법을 검토합니다. 이 작업은 광고 성과를 유지하면서 노출되는 데이터의 양을 줄이는 방향으로 진행해야 합니다.

셋째, 72시간 통지 리허설을 해 둡니다. 인지 시점부터 통지문 발송까지 담당자·판단 기준·문안 초안을 문서로 정리해 두고, 우리 회사가 CPO 지정과 신고 의무 대상인지도 함께 확인합니다. 사고가 실제로 일어난 뒤에 절차를 처음 만들면, 72시간이라는 시간은 생각보다 빠르게 지나갑니다.

우리가 도와드릴 수 있는 부분

BizSpring Inc.는 태그 관리(TagMan)와 자체 수집 기반 로그 수집(LOGGER™), 전환 추적(CTS™)을 오래 다뤄 왔습니다. 이 제품들이 규제를 대신 지켜 주는 것은 아닙니다. 다만 어떤 태그가 살아 있고 어떤 값이 어디로 나가는지를 눈에 보이게 만드는 일, 원본 로그를 조직이 직접 쥐고 있게 만드는 일은 이번 개정에서 요구되는 준비의 앞단에 해당합니다. 법적 해석과 대상 여부 판단은 법률 자문의 영역이며, 이 글은 그 판단을 대신하지 않습니다.

시행일까지 얼마 남지 않았습니다. 조문을 외우는 일보다 먼저 해야 할 일은, 우리 사이트에서 지금 이 순간 나가고 있는 데이터의 목록을 한 장으로 정리하는 것입니다. 그 한 장이 있어야 72시간이라는 시간을 실제로 쓸 수 있습니다.

자주 묻는 질문 (FAQ)

Q1. 2026년 9월 11일부터 정확히 무엇이 달라지나요?

네 가지가 달라집니다. 유출의 정의에 위조·변조·훼손이 추가되고, 유출 가능성을 인지한 시점부터 72시간 안에 통지해야 하며, 반복 위반이나 대규모 피해 같은 가중 사유가 확인되면 과징금 상한이 전체 매출액의 10%까지 올라가고, 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙습니다.

Q2. 과징금 10%가 모든 사건에 적용되나요?

그렇지 않습니다. 원칙적으로는 전체 매출액의 3% 상한이 유지되며, 반복 위반이나 대규모 피해, 시정조치 불이행 같은 가중 사유가 확인될 때 10%까지 올라갑니다. 다만 산정 기준이 위반과 관련된 매출이 아니라 전체 매출액이라는 점은 그대로이므로, 회사 전체의 매출 규모가 곧 위험의 크기가 됩니다.

Q3. 마케팅팀은 무엇부터 점검해야 하나요?

세 가지입니다. 첫째, 사이트와 앱에 살아 있는 태그를 전수 조사해 태그별로 전송 항목과 수신처, 법적 근거를 정리합니다. 둘째, 전환과 이벤트 파라미터에서 식별자가 평문 그대로 매체 서버로 넘어가는 구간을 찾아 해시 처리나 서버사이드 전송을 검토합니다. 셋째, 인지 시점부터 72시간 통지 절차를 미리 연습해 둡니다.

우리 사이트에 붙어 있는 태그, 정확히 파악하고 계신가요?

태그 인벤토리 점검 문의하기

글쓴이

BizSpring × Entrench

데이터 기반 마케팅과 AI 자동화 전문 컨설팅 — 24매체 통합 운영부터 콘텐츠 자동 생산까지.

지금 쓰는 GA4와 GTM, 광고 전환픽셀이 제대로 붙어 있는지 확인해 보세요. 1회 점검은 비용이 들지 않습니다.

1회 점검 신청하기

← 블로그 목록으로 돌아가기

연관 글

서버사이드 이관 후 검증 방법론: 중복 집계와 허용 오차

픽셀 설치는 광고주의 개인정보 처리 행위입니다: 틱톡 과징금이 남긴 것

GTM 컨테이너가 뒤엉키는 과정과 표준 템플릿으로 정리하는 방법

태깅 외주 견적이 100배까지 벌어지는 이유: 건당 계약과 시간 단위 계약의 차이

태그 CPO , 개인정보보호법 , 마케팅데이터 , 유출통지 , 태그관리

출처: https://tagman.co.kr/blog/%ea%b0%9c%ec%a0%95-%ea%b0%9c%ec%9d%b8%ec%a0%95%eb%b3%b4-%eb%b3%b4%ed%98%b8%eb%b2%95%ec%9d%b4-9%ec%9b%94-11%ec%9d%bc-%ec%8b%9c%ed%96%89%eb%90%9c%eb%8b%a4-%ec%9c%a0%ec%b6%9c/

자주 묻는 질문

2026년 9월 11일부터 정확히 무엇이 달라지나요?

네 가지가 달라집니다. 유출의 정의에 위조·변조·훼손이 추가되고, 유출 가능성을 인지한 시점부터 72시간 안에 통지해야 하며, 반복 위반이나 대규모 피해 같은 가중 사유가 확인되면 과징금 상한이 전체 매출액의 10%까지 올라가고, 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙습니다.

과징금 10%가 모든 사건에 적용되나요?

그렇지 않습니다. 원칙적으로는 전체 매출액의 3% 상한이 유지되며, 반복 위반이나 대규모 피해, 시정조치 불이행 같은 가중 사유가 확인될 때 10%까지 올라갑니다. 다만 산정 기준이 위반과 관련된 매출이 아니라 전체 매출액이라는 점은 그대로이므로, 회사 전체의 매출 규모가 곧 위험의 크기가 됩니다.

마케팅팀은 무엇부터 점검해야 하나요?

세 가지입니다. 첫째, 사이트와 앱에 살아 있는 태그를 전수 조사해 태그별로 전송 항목과 수신처, 법적 근거를 정리합니다. 둘째, 전환과 이벤트 파라미터에서 식별자가 평문 그대로 매체 서버로 넘어가는 구간을 찾아 해시 처리나 서버사이드 전송을 검토합니다. 셋째, 인지 시점부터 72시간 통지 절차를 미리 연습해 둡니다.

관련 문서

이 문서를 참조하는 문서 (역링크)

• 없음

다른 표현: Markdown · JSON · 최종 갱신 2026-09-12