9월 11일에 시행되는 것은 법률입니다

개인정보 보호법 일부개정 법률(법률 제21445호)이 2026년 3월 10일 공포되어 2026년 9월 11일 시행됩니다. 쇼핑몰을 운영하시는 분께 직접 걸리는 변화는 두 가지입니다. 첫째, 통지·신고 대상인 유출등의 범위에 위조·변조 또는 훼손이 들어갑니다. 데이터가 밖으로 새어 나간 정황이 없어도, 파일이 손상된 것만으로 의무가 붙을 수 있다는 뜻입니다. 랜섬웨어가 대표적인 경우입니다. 둘째, 제34조 제2항에 유출등의 가능성 단계 통지가 신설되면서 뒤 항이 한 칸씩 밀려, 보호위원회 신고의 근거가 제3항에서 제4항으로 이동합니다. 사내 문서나 위·수탁 계약서에 조문 번호를 적어 두셨다면 그 자리가 어긋납니다.

과징금 조항에는 원래 단서가 붙어 있습니다

제64조의2 제1항은 아홉 가지 위반에 대해 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금을 부과할 수 있다고 정합니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원 이하입니다. 이 가운데 제9호가 개인정보가 유출등이 된 경우인데, 여기에는 단서가 하나 달려 있습니다. 유출되지 않도록 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다는 문장입니다.

이 단서는 이번에 새로 생긴 것이 아닙니다. 달라지는 것은 이 단서가 실제로 시험대에 오르는 상황의 수입니다. 유출등의 범위가 훼손까지 넓어지고 가능성 단계 통지가 새로 붙으면, 사고로 잡히는 사건 자체가 늘어납니다. 그때마다 던져지는 질문은 같습니다. 안전조치를 다했다는 것을 무엇으로 보이시겠습니까.

큰 회사만 걸리는 것과 규모를 가리지 않는 것

이번 개정에서 기사 제목으로 많이 나온 두 가지는 소상공인과는 거리가 있습니다. 하나는 과징금 상한 100분의 10입니다. 신설된 제64조의2 제2항이 정한 세 경우, 즉 과징금 처분을 받은 날부터 3년이 지나기 전의 재위반, 고의·중대한 과실로 피해 규모가 1천만 명 이상인 경우, 시정조치 명령 불이행에만 붙습니다. 다른 하나는 개인정보 보호책임자 지정에 붙는 이사회 의결과 신고 의무입니다. 그 대상 기준은 시행령에 맡겨져 있는데, 법제처 심사를 마친 개정령안은 연간 매출액등 1,800억 원 초과에 개인정보 100만 명 이상 같은 요건을 함께 걸었습니다. 다만 이 시행령안은 이 글을 쓰는 시점에 아직 공포 전이므로 확정 문언이 아닙니다.

반대로 규모를 가리지 않는 것이 안전조치 의무입니다. 제29조는 모든 개인정보처리자에게 걸립니다. 개인정보의 안전성 확보조치 기준 고시는 1만 명 미만의 정보주체를 처리하는 소상공인·개인·단체에 대해 내부 관리계획 수립을 생략할 수 있게 열어 두었지만, 그것은 항목 하나를 덜어 주는 완화이지 의무 전체의 면제가 아닙니다. 접근 권한 관리, 접속기록 보관, 암호화는 그대로 남습니다.

견적서에서 이 줄이 놓이는 자리

제작을 맡기실 때 이 항목이 애매해지는 이유는, 안전조치가 제작 범위와 운영 범위에 걸쳐 있기 때문입니다. 아임웹·식스샵·카페24 같은 국내 솔루션을 쓰시면 서버와 데이터베이스 단의 조치는 플랫폼이 사업자로서 자기 몫을 집니다. 하지만 쇼핑몰 이름으로 개인정보를 수집하고 처리하는 주체는 사업주 본인이고, 그 자리에서 남는 일이 있습니다.

견적 단계에서 갈라 두시면 좋은 것은 세 가지입니다. 첫째, 관리자 계정을 몇 개 만들고 누구에게 어떤 권한을 줄 것인가. 외주 제작자와 마케팅 대행사에게 넘긴 계정이 오픈 후에도 살아 있는 경우가 많습니다. 둘째, 개인정보 처리방침과 수집 동의 화면을 누가 작성하고 누가 갱신하는가. 제작사가 템플릿을 넣고 끝내면 이후 항목이 바뀔 때 방치됩니다. 셋째, 사고가 났을 때 누가 무엇을 하는가. 통지와 신고는 사업자의 의무이지 제작사의 의무가 아닙니다. 이 세 줄은 비용이 크지 않지만, 나중에 안전조치를 다했다고 말할 때 근거로 쓰이는 것도 정확히 이 세 줄입니다.

9월 11일이 견적서 금액을 올리지는 않습니다. 다만 사고가 났을 때 던져지는 질문이 "얼마짜리로 만드셨습니까"에서 "안전조치를 다하셨습니까"로 바뀝니다. 과징금 상한 10퍼센트와 이사회 의결은 큰 회사의 일이지만, 제29조 안전조치와 유출 통지는 1인 쇼핑몰에도 그대로 걸립니다. 지금 하실 수 있는 일은 관리자 계정 정리, 처리방침 담당자 지정, 사고 시 연락 순서 한 장입니다. 시행령과 고시는 아직 공포 전이므로, 대상 여부와 서식은 공포문을 보고 확정하시면 됩니다.

관리자 계정 권한, 개인정보 처리방침 갱신 주체, 사고 시 통지 절차. 누끼토끼가 운영하는 강의와 칼럼에서는 아임웹·식스샵·카페24로 쇼핑몰을 만들고 혼자 운영하실 때 실제로 남는 작업을 기준으로 다루고 있습니다.