법이 바뀐다는 소식이 돌면 제일 먼저 도는 숫자가 「과징금 매출의 10%」입니다. 저희도 그 문장을 보고 조문을 열었는데, 10%는 조건이 붙어 있었고 대부분의 광고주는 그 조건에 닿지 않았습니다. 대신 조문을 읽는 김에 저희 사이트를 대조해 봤더니 거기서 두 개가 빠져 있었습니다. 이 글은 그 순서에 대한 이야기입니다.
9월 11일에 무엇이 바뀌나
이번 개정법은 2026년 2월 12일 국회를 통과해 3월 10일 공포됐고, 6개월 뒤인 9월 11일 시행됩니다. 광고·마케팅을 하는 회사 입장에서 달라지는 것을 추리면 이렇습니다.
| 항목 | 지금 | 9월 11일부터 |
|---|---|---|
| 유출을 알리는 시점 | 실제로 샜음을 안 때 | 샜을 가능성을 안 때부터 72시간 안 |
| 위조·변조·훼손 | 알림 대상 아님 | 알림 대상에 포함 |
| 과징금 상한 | 전체 매출액의 3% | 조건 세 가지 중 하나면 10% |
| 개인정보 보호책임자 | 지정 | 일정 규모 이상은 이사회 의결·신고 |
2026년 9월 8일 기준, 개정안을 다룬 법률 매체 정리를 대조한 값입니다. 시행령과 고시는 이 글을 쓰는 시점에 아직 확정 공포 전이라 세부 기준은 달라질 수 있습니다.
가장 실무에 닿는 것은 첫 줄입니다. 지금은 개인정보가 실제로 새어 나간 것이 확인돼야 알릴 의무가 생기는데, 앞으로는 「샜을 수도 있다」를 안 시점부터 시계가 돕니다.
누가 우리 관리자 화면에 몰래 들어온 흔적을 발견했는데 뭘 가져갔는지는 아직 모르는 상황, 이때가 72시간의 시작입니다. 조사를 끝낸 뒤가 아니라 이상을 발견한 때입니다.
과징금 10%는 대부분 해당하지 않습니다
「매출의 10%」가 제일 크게 돌지만, 조문에는 조건이 붙어 있습니다. 세 가지 중 하나에 걸려야 10%이고 나머지는 지금과 같은 3%입니다.
- 고의나 중대한 과실로 3년 안에 같은 위반을 또 한 경우
- 고의나 중대한 과실로 피해자가 1천만 명 이상에 이른 경우
- 시정 명령을 따르지 않아 유출이 발생한 경우
셋 다 전제가 무겁습니다. 광고를 돌리는 회사가 이 조건에 닿으려면 이미 한 번 처분을 받았거나 국민 다섯 중 한 명 규모의 사고를 낸 상태여야 합니다. 겁을 주는 숫자를 먼저 보면 정작 오늘 할 일을 못 찾습니다. 저희가 모바일 검색 비중을 산업별로 세어 봤을 때도 크게 도는 평균값이 개별 업종에는 맞지 않았습니다.
저희 사이트를 조문과 대조해 봤습니다
그래서 순서를 바꿔, 지금 이미 지켜야 하는 것부터 봤습니다. 개인정보 보호법 제30조는 처리방침에 무엇을 넣어야 하는지 열 가지로 정해 두고 있습니다. 그중 아홉째가 개인정보 보호책임자의 성명·부서·연락처이고, 열째가 쿠키 같은 자동수집 장치를 쓰는지와 거부하는 방법입니다.
저희 배포본 HTML 전체에서 낱말을 세어 봤습니다.
| 확인한 것 | 저희 사이트 결과 |
|---|---|
| 처리방침에 「개인정보 보호책임자」 | 사이트 전체에 0곳 |
| 처리방침에 쿠키·행태정보 안내 | 0곳 |
| 구글 애널리틱스·태그매니저 탑재 | 홈을 포함해 전 페이지에 있음 |
| 국외 이전 목록 | 클라우드플레어·리센드·슬랙 3곳 (구글이 빠져 있음) |
2026년 9월 8일, www.gi-corp.co.kr 배포본에서 직접 확인했습니다.
방문자 행동을 수집하면서 그 사실을 처리방침에 적지 않았습니다. 문의 폼과 채팅으로 받는 정보는 항목·기간·위탁사까지 꼼꼼히 적어 뒀는데, 정작 모든 페이지에서 돌아가는 측정 도구는 한 줄도 없었습니다. 사람이 직접 입력하는 것만 개인정보로 세고, 자동으로 쌓이는 것은 세지 않은 셈입니다.
빠진 이유도 짐작이 갑니다. 처리방침은 문의 폼을 만들 때 함께 썼고, 측정 도구는 그 뒤에 붙었습니다. 문서를 다시 열 일이 없었습니다.
3분이면 확인합니다
브라우저만 있으면 됩니다. 개발자에게 물어볼 필요가 없습니다.
- 자기 사이트의 개인정보 처리방침 페이지를 엽니다
- 컨트롤 F(맥은 커맨드 F)를 눌러 「보호책임자」를 칩니다. 안 나오면 빠진 것입니다
- 같은 방법으로 「쿠키」를 칩니다. 안 나오면 다음 단계로 갑니다
- 홈페이지에서 마우스 오른쪽 버튼을 눌러 「페이지 소스 보기」를 열고, 같은 방법으로 gtag 또는 googletagmanager 를 칩니다. 여기서 나오면 측정 도구를 쓰고 있다는 뜻입니다
3번에서 「쿠키」가 안 나왔는데 4번에서 도구가 나오면 고쳐야 합니다. 저희가 그 경우였습니다.
처리방침을 고칠 때 문구만 넣고 끝내지 마십시오. 거부하는 방법을 적었으면 실제로 거부가 되는지 확인해야 합니다. 안내와 동작이 다르면 안 적은 것보다 나쁩니다.
자주 묻는 질문
우리 회사도 9월 11일까지 뭘 해야 하나요?
대부분의 광고주는 새 의무보다 지금 이미 있는 의무부터입니다. 처리방침에 개인정보 보호책임자와 쿠키 안내가 있는지 확인하고, 없으면 채워 넣으십시오. 유출 통지 72시간은 사고가 났을 때 적용되는 규정이라 평소에는 담당자와 연락 경로를 정해 두는 것으로 시작합니다.
과징금 10%가 우리한테도 적용되나요?
세 조건 중 하나에 걸려야 합니다. 3년 안에 같은 위반을 반복했거나, 피해자가 1천만 명 이상이거나, 시정 명령을 안 따라 유출이 난 경우입니다. 처음 지적을 받는 회사는 해당하지 않습니다.
구글 애널리틱스만 쓰는데도 적어야 하나요?
네. 법은 도구 이름이 아니라 자동으로 정보를 모으는 장치를 쓰는지를 봅니다. 애널리틱스는 쿠키로 방문 기록을 모으므로 여기에 들어갑니다. 어떤 도구를 쓰는지, 어떻게 거부할 수 있는지를 처리방침에 적으면 됩니다.
72시간은 언제부터 세나요?
실제로 샜음을 확인한 때가 아니라 불법적인 접근을 알게 된 때부터입니다. 조사가 끝나기를 기다리다 보면 이미 지나 있습니다. 이상을 발견한 시각을 기록으로 남겨 두는 것이 먼저입니다.
저희처럼 빠뜨린 회사가 많나요?
저희는 저희 사이트만 셌기 때문에 다른 회사가 얼마나 되는지는 모릅니다. 다만 빠진 이유가 특별하지 않았습니다. 처리방침을 쓴 시점과 측정 도구를 붙인 시점이 달랐을 뿐입니다.
마무리
저희는 남의 사이트에서 측정 도구가 제대로 붙었는지 확인하는 일을 합니다. 그 일을 하면서 정작 저희 처리방침에는 그 도구 이야기를 안 적어 뒀습니다. 법이 바뀐다는 소식을 읽다가, 새로 생기는 의무를 찾기 전에 원래 있던 의무에서 걸린 것을 먼저 발견했습니다.
이번 주에 고쳐 올리고, 무엇을 어떻게 바꿨는지는 다시 적겠습니다.