강한 과징금이 작은 개인정보 기록 서비스를 연다

처벌보다 먼저 달라진 책임의 자리

2026년 9월 11일부터 반복적이거나 중대한 개인정보 침해에 더 무거운 과징금을 부과하는 제도가 시행됐다. 최근 3년 안에 고의 또는 중대한 과실로 위반을 반복했거나, 같은 수준의 잘못으로 1,000만 명 이상에게 피해를 냈거나, 시정명령을 따르지 않아 사고가 난 경우가 대상이다. 개정 개인정보 보호법에 따른 법정 최고 한도는 전체 매출액의 10%이며, 개인정보보호위원회가 그 한도 안에서 과징금을 부과할 수 있다.

모든 유출에 매출의 10%가 자동으로 붙는 것은 아니다. 일반적인 과징금 상한은 3%로 유지되며, 중대 위반도 관련 없는 매출과 피해 규모, 경위, 시정 노력 등을 따져 실제 금액을 정한다. 매출 100억 원인 회사라면 10억 원이 최고 한도라는 뜻이지 곧바로 10억 원을 내야 한다는 뜻은 아니다.

같은 날 대표자의 책임도 더 분명해졌다. 사업주와 대표자는 개인정보를 안전하게 다루기 위한 인력과 예산을 마련하는 최종책임자가 됐고, 개인정보 보호책임자는 개인정보 보호 전문인력을 관리하고 예산을 확보하며, 사업주 또는 대표자와 이사회에 개인정보 보호 현황과 주요 사항을 보고한다.

다만 개인정보 보호책임자의 지정·변경을 이사회에서 의결하고 정부에 신고해야 하는 의무는 주로 큰 조직에 적용된다. 민간기업은 연 매출이 1,800억 원을 넘으면서 민감한 정보 등을 5만 명 이상 다루거나, 개인정보를 100만 명 이상 다루는 경우가 기준이다. 월평균 매출로 바꾸면 150억 원을 넘는 규모라 동네 가게와는 거리가 있다.

작은 사업장에도 이미 적용되는 일은 남아 있다. 예약, 배송, 문자 발송처럼 고객정보 처리를 외부업체에 맡기면 업무 범위와 보호조치를 문서로 정하고 업체를 감독해야 하며, 일정한 유출은 안 뒤 72시간 안에 신고해야 한다. 1,000명 이상이거나 민감정보 또는 고유식별정보가 포함됐거나 외부의 불법 접근으로 발생한 유출은 인지 후 72시간 이내 신고 대상이다.

대기업용 보안실보다 작은 기록함이 먼저다

여기서 직원 12명인 온라인 반찬가게 사장을 떠올려 보자. 이 가게는 자체 쇼핑몰 주문을 내려받아 배송업체 양식에 옮기고, 누락 주문을 확인하려고 직원 단체대화방에 주문번호를 붙여 넣으며, 재구매 문자는 별도 발송업체에서 보낸다. 고객 이름과 전화번호, 주소가 적어도 세 곳을 오가지만 사장은 전체 경로를 한 번에 설명하지 못한다.

외부업체 계약도 한곳에 있지 않다. 쇼핑몰 계약서는 전임 직원의 전자우편에 있고, 문자업체 약관은 가입 당시 화면으로만 봤으며, 홈페이지 관리업체가 다른 저장업체를 쓰는지는 모른다. 문제가 생기면 사장과 직원은 먼저 누구에게 전화해야 하는지부터 찾는다.

모두가 제재 강화를 보고 큰 회사용 통합 보안 시스템을 떠올릴 수 있다. 하지만 작은 회사도 그런 시스템을 사야만 안전하다는 전제가 틀렸다면, 이 시장의 중심은 어려운 감시 기능이 아니라 평소의 일을 빠뜨리지 않고 기록하는 도구가 된다. 기술 담당자가 없는 회사는 완벽한 통제보다 오늘 고객정보가 어디에 있는지 답할 수 있는 화면이 먼저 필요하다.

새 도구에서는 사장이 쇼핑몰, 배송, 문자, 전자우편 같은 항목에 차례로 답한다. 그러면 고객정보를 받는 곳, 옮기는 곳, 보관기간, 담당 직원, 외부업체가 한 장의 목록으로 만들어진다. 새 서비스를 쓰기 시작하면 기존 목록에서 무엇이 바뀌는지만 묻는다.

외부업체 계약서를 올리면 도구는 업무 범위, 목적 밖 사용 금지, 보호조치, 다시 맡기는 업체에 관한 내용이 있는지 찾아 보여 준다. 빠진 부분은 빨간 표시로 남기고, 담당자가 업체에 보낼 질문을 짧은 문장으로 만든다. 법적 판단을 대신하는 것이 아니라 무엇을 물어봐야 하는지 잊지 않게 하는 역할이다.

사고가 의심될 때는 별도의 화면이 열린다. 처음 알게 된 시각, 영향을 받은 사람 수, 정보 종류, 외부 침입 여부를 순서대로 적으면 72시간 기준과 해야 할 일을 보여 준다. 직원의 첫 신고부터 업체에 요청한 답변, 고객에게 알린 내용까지 같은 사건 기록에 묶인다.

월말에는 대표가 바뀐 업체, 끝나지 않은 점검, 발생한 사고를 확인하고 확인 버튼을 누른다. 여전히 사람에게 남는 일도 있다. 실제로 유출인지 판단하고, 신고 대상인지 결정하고, 고객에게 설명하고, 업체와 책임을 가리는 일은 담당자나 전문가가 해야 한다.

해외에서는 기록부터 작게 시작했다

미국 디지털 출판사 기어 패트롤은 직원 수가 11명에서 50명 사이였고 월간 독자는 550만 명이 넘었지만 별도 개인정보 전담팀은 없었다. 성장전략 담당자가 오사노를 이용해 웹사이트의 추적 동의와 고객이 자기 정보의 열람·삭제를 요구하는 업무부터 정리했다.

이전에는 요청 한 건마다 15분에서 20분이 들고 담당자의 다른 일이 멈췄다. 도입 뒤에는 반복 가능한 절차가 생겨 다른 직원에게도 업무를 넘길 수 있었다고 회사는 밝혔다. 시간 수치는 서비스 공급사가 공개한 고객사례이므로 독립적으로 검증된 결과는 아니다.

독일 광고대행사 스마케터는 1,000곳이 넘는 고객사의 웹사이트 동의 화면을 관리한다. 이 회사는 콘센트매니저를 이용해 고객별 설정과 기록을 한 화면에 모으는 것부터 시작했다.

스마케터는 고객 계정 하나를 설정하고 관리하는 시간이 네 시간 줄었다고 밝혔다. 여기서 눈여겨볼 점은 가게마다 도구를 직접 팔지 않고, 여러 고객사의 반복 업무를 대신 운영하는 방식도 가능하다는 것이다. 이 수치 역시 공급사가 공개한 사례다.

영국의 직장연금 운영사 스마트 펜션은 엑셀과 문서에 흩어진 개인정보 위치, 외부업체 평가, 사고 기록을 원트러스트에 모았다. 처음에는 정보가 어디로 흐르는지 한 목록으로 만드는 데서 시작했고, 이후 직원이 직접 점검하고 사고를 신고하는 절차까지 넓혔다.

절감 시간이나 비용은 공개되지 않았다. 대신 외부업체 점검과 사고 기록을 같은 장소에 두어 감독기관에 제출할 자료를 평소부터 준비하는 운영 방식을 보여 준다. 성과 설명은 원트러스트의 고객사례에 따른 것이다.

지금 만들 수 있는 네 가지

1. 고객정보 위치 장부

무엇: 가게가 쓰는 주문, 예약, 배송, 문자 도구를 질문으로 찾아 한 장의 개인정보 목록을 만드는 서비스다. 누가: 자체 쇼핑몰과 택배업체를 함께 쓰는 직원 열두 명 규모 식품 판매점이 쓴다.

왜 지금: 대표가 고객정보의 위치와 담당자를 설명할 수 있어야 외부업체 점검과 사고 대응도 시작할 수 있다. 첫 화면: 고객정보를 받는 곳 3개·확인하지 않은 곳 4개와 새 도구 추가 버튼을 놓는다.

2. 외부업체 계약 점검함

무엇: 계약서를 읽어 개인정보 처리 범위, 보호조치, 재위탁 내용이 있는지 표시하고 업체에 보낼 질문을 만들어 준다. 누가: 쇼핑몰 스무 곳의 제작과 문자 발송을 대신 관리하는 웹사이트 대행사가 쓴다.

왜 지금: 외부업체에 맡겼다는 이유만으로 사업자의 감독 책임이 사라지지 않으며 실제 업체 목록도 처리방침과 맞아야 한다. 첫 화면: 계약서 올리기 버튼과 보호조치 없음·재위탁 미확인 같은 미완료 항목을 놓는다.

3. 72시간 사고 대응 기록장

무엇: 직원의 첫 신고부터 외부업체 연락, 신고 검토, 고객 안내까지 시간순으로 남기는 서비스다. 누가: 회원 전화번호와 출입 기록을 보관하는 직원 여섯 명 규모 필라테스 지점이 쓴다.

왜 지금: 해킹이나 민감한 정보 유출은 사업장이 작아도 72시간 신고 대상이 될 수 있어 사고 뒤 연락처를 찾기 시작하면 늦다. 첫 화면: 사고를 처음 안 시각 입력칸, 남은 시간, 접근 차단·업체 연락·신고 검토 세 버튼을 놓는다.

4. 대표의 월간 확인함

무엇: 새로 생긴 고객정보, 바뀐 외부업체, 끝나지 않은 점검을 한 달에 한 번 대표가 확인하고 기록으로 남기는 서비스다. 누가: 큰 유통사에 납품하며 개인정보 관리 질문서를 종종 받는 직원 서른 명 규모 화장품 제조사가 쓴다.

왜 지금: 대표자의 책임이 명확해지면서 보고서를 받았다는 사실보다 어떤 문제를 보고 무엇을 지시했는지가 중요해졌다. 첫 화면: 이번 달 변경 2건·미확인 1건과 대표 확인 및 조치 남기기 버튼을 놓는다.

오늘 30분 안에 확인할 것

온라인 주문이나 예약을 받는 사업장 세 곳에 전화해 준비 없이 고객정보가 들어오는 곳과 외부업체 이름을 모두 말해 달라고 요청한다. 세 곳 중 두 곳 이상이 10분 안에 목록을 완성하지 못하고, 빠진 항목을 보여 주자 매달 갱신할 필요가 있다고 답하면 고객정보 위치 장부부터 만들어 볼 만하다.