개인정보 유출이 의심되면 사업자는 먼저 발견 시각, 새어 나간 항목과 인원, 경로를 확인하고 접속 차단 등으로 피해 확산을 막습니다. 유출을 알게 된 때부터 72시간 안에 정보주체에게 통지합니다. 1천 명 이상, 민감정보·고유식별정보, 외부 불법 접근 가운데 하나에 해당하면 72시간 안에 개인정보보호위원회나 한국인터넷진흥원(KISA)에도 신고합니다.
2026년 9월 11일 시행된 개정법에 따라, 유출이 확정되지 않은 가능성 단계에서도 정보주체에게 알려야 하는 경우가 생겼습니다.
핵심 요약
- 통지는 인원과 관계없이 유출등이 된 모든 정보주체가 대상이고, 신고는 법령이 정한 세 가지 기준 중 하나에 해당할 때 합니다.
- 항목이나 경위를 다 파악하지 못했어도 확인된 내용부터 먼저 알리고, 추가로 확인되면 즉시 보완합니다.
- 정보통신서비스 제공자에 해당하면 해킹 같은 침해사고를 24시간 안에 따로 신고해야 하는지도 확인합니다.
유출이 의심될 때 사업자는 무엇부터 확인하나요
개인정보보호위원회는 유출을 법령이나 개인정보처리자의 의사와 관계없이 개인정보가 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태가 된 경우로 설명합니다. 외부 해킹뿐 아니라 고객 명단을 다른 사람에게 잘못 보낸 경우, 고객 정보가 담긴 노트북을 잃어버린 경우도 이 설명에 비추어 검토합니다.
개정법은 「유출등」이라는 용어를 씁니다. 그래서 외부로 새어 나간 경우뿐 아니라 개인정보가 바뀌거나 손상된 사고도 해당하는지 함께 검토합니다.
통지와 신고 기한은 모두 유출등을 「알게 된 때」부터 셉니다. 그러므로 첫 확인 단계에서 아래 항목을 바로 기록합니다. 이 기록이 그대로 통지문과 신고서의 바탕이 됩니다.
유출이 확인된 경우와 가능성만 있는 경우, 통지는 어떻게 다릅니까
개인정보 보호법 제34조는 제1항에서 유출등이 된 경우의 통지를, 새로 생긴 제2항에서 유출등의 가능성을 알게 된 경우의 통지를 정합니다. 가능성 통지는 가능성이 있는 모든 정보주체에게 피해 최소화에 필요한 정보를 알리는 제도입니다.
유출등이 확인된 경우
- 근거: 법 제34조 제1항, 시행령 제39조
- 알게 된 때부터 72시간 이내 통지
- 통지 대상: 유출등이 된 정보주체
- 법 제34조 제1항 각 호의 사항을 알림
유출등의 가능성을 알게 된 경우
- 근거: 법 제34조 제2항, 시행령 제39조의2·제39조의3
- 72시간 이내 서면등의 방법으로 통지
- 통지 대상: 가능성이 있는 모든 정보주체
- 유출 여부가 확정되면 추가 통지한다는 내용을 포함
시행령 제39조의2는 가능성 통지가 필요한 경우를 두 가지로 정합니다.
- 개인정보처리시스템이나 개인정보취급자의 정보기기에 불법 접근이 있어 유출이 의심되지만, 정보주체를 특정하기 어려운 경우
- 개인정보가 제3자에게 거래되는 등 일부 유출이 확인되고, 다른 정보주체의 정보도 유출되었을 수 있다고 인정되는 경우
가능성 통지에는 유출 가능성이 있는 항목, 유출이 의심되거나 인정되는 시점과 경위, 법 제34조 제1항 제3호부터 제5호까지의 사항을 담습니다. 유출 여부가 확정되면 추가로 통지한다는 내용도 넣습니다.
시행령 제39조의3에 따르면 72시간 안에 실제 유출이 확인되면 가능성 통지 대신 유출 통지를 합니다. 가능성 통지를 한 뒤 실제로 유출되지 않았다고 확인되면 정보주체에게 그 사실을 즉시 알립니다.
정보주체에게는 언제, 무엇을, 어떻게 알리나요
시행령 제39조는 유출등을 알게 되었을 때 서면등의 방법으로 72시간 이내에 통지하도록 정합니다. 접속 경로 차단, 취약점 보완, 유출 정보 회수·삭제 같은 긴급 조치가 필요하거나 천재지변 등 부득이한 사유가 있으면, 그 사유가 해소된 뒤 즉시 통지할 수 있습니다.
유출 항목이나 시점·경위를 아직 확인하지 못했다면 유출 사실, 그때까지 확인된 내용, 제3호부터 제6호까지의 사항을 먼저 알립니다. 추가로 확인되는 내용은 즉시 알립니다. 통지문에 들어갈 항목과 작성 예시는 다음과 같습니다.
| 통지 항목(법 제34조 제1항) | 통지문 작성 예시 |
|---|---|
| 1. 유출등이 된 개인정보의 항목 | 예를 들어 「성명, 휴대전화번호, 배송지 주소」처럼 실제 항목을 나열 |
| 2. 유출등이 된 시점과 그 경위 | 예를 들어 「○월 ○일 외부에서 회원 관리 화면에 무단 접속한 사실을 확인」 |
| 3. 정보주체가 할 수 있는 피해 최소화 방법 | 비밀번호 변경, 출처가 불분명한 문자·전화 주의 등 구체적 행동 |
| 4. 개인정보처리자의 대응조치 및 피해 구제절차 | 접속 차단, 취약점 보완 등 회사가 한 조치와 피해 구제 신청 방법 |
| 5. 신고 등을 접수할 담당부서 및 연락처 | 담당 부서, 전화번호, 이메일, 응대 시간 |
| 6. 손해배상·법정손해배상 청구, 분쟁조정 등 법적 권리와 행사 방법 | 개정법으로 새로 생긴 항목으로, 청구와 분쟁조정 신청 방법을 안내 |
정보주체의 연락처를 알 수 없는 등 정당한 사유가 있으면 통지 사항을 홈페이지에 30일 이상 게시해 통지를 대신할 수 있습니다. 홈페이지가 없다면 사업장 등의 보기 쉬운 장소에 30일 이상 게시합니다. 실무에서는 통지문 원본과 발송 일시·대상 목록을 함께 보관합니다.
유출 신고는 어떤 경우에, 어디로 하나요
통지와 달리 신고는 기준에 해당할 때만 의무가 생깁니다. 시행령 제40조가 정한 개인정보 보호법상 신고 기준은 아래 세 가지입니다.
- 1천 명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
- 민감정보 또는 고유식별정보(주민등록번호처럼 법령에 따라 개인을 식별하도록 부여된 번호)가 유출등이 된 경우
- 개인정보처리시스템이나 업무용 정보기기에 대한 외부 불법 접근으로 유출등이 된 경우
세 번째 기준은 인원이 적어도 적용됩니다. 해킹으로 고객 한 명의 정보가 새어 나가도 신고 대상이 될 수 있습니다. 회사 상황에 따라 다른 법률의 신고 의무가 함께 걸릴 수 있으므로 아래 표로 구분합니다.
| 구분 | 신고 기준 | 기한 | 창구 |
|---|---|---|---|
| 개인정보 보호법(개인정보처리자) | 위 세 가지 중 하나 | 알게 된 때부터 72시간 이내 | 개인정보보호위원회 유출신고 시스템(brss.pipc.go.kr), 신고 접수 전문기관 KISA |
| 신용정보법(상거래기업·법인) | 1만 명 이상 신용정보주체의 개인신용정보 유출 | 72시간 이내 | 개인정보보호위원회(금융기관·신용정보회사 등은 금융감독원 1332 문의) |
| 정보통신망법(정보통신서비스 제공자) | 해킹 등 침해사고 발생 | 알게 된 때부터 24시간 이내 | 과학기술정보통신부 또는 KISA |
신고 창구와 신고서 항목은 개인정보보호위원회 개인정보 유출신고 안내에 정리되어 있습니다. 신고서에는 정보주체 통지 여부, 유출 항목과 규모, 시점과 경위, 피해 최소화 대책과 결과, 정보주체가 할 수 있는 방법과 구제절차, 담당부서와 연락처가 들어갑니다.
정보통신망법 제48조의3은 다른 법률에 따라 침해사고를 이미 통지하거나 신고했다면 같은 조의 신고를 한 것으로 본다고 정합니다. 침해사고 신고는 KISA가 운영하는 보호나라의 「침해사고 신고」 메뉴에서 안내합니다.
시행령 제40조는 유출 경로가 확인되고 회수·삭제 등으로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있다고 정합니다. 이 예외는 회사가 혼자 판단하기보다 담당 기관에 확인한 뒤 적용합니다. 확인하지 못한 사항이 있어도 확인된 내용부터 먼저 신고하고, 추가 사항은 확인되는 대로 보완합니다.
72시간 안의 대응은 어떤 순서로 진행하나요
통지와 신고 기한이 같은 72시간이고 침해사고 신고는 24시간이므로, 작업을 순서대로 묶어 진행합니다. 아래 순서는 법령이 정한 의무를 시간 순으로 배열한 실무 예시입니다.
1단계 · 인지 시각 기록과 책임자 지정
처음 알게 된 시각을 적고 개인정보 보호책임자가 대응을 맡습니다. 점검 노트 여섯 항목을 채우기 시작하면 끝납니다.
2단계 · 확산 차단
접속 경로 차단, 취약점 보완, 유출 정보 회수·삭제를 진행합니다. 접속 기록 등 증거는 지우지 않고 보존합니다.
3단계 · 유형과 신고 기준 판단
확인된 유출인지 가능성 단계인지 구분하고, 신고 기준 세 가지와 정보통신망법 24시간 신고 대상 여부를 정합니다.
4단계 · 정보주체 통지
72시간 안에 표의 항목으로 통지합니다. 연락처를 모르는 대상은 홈페이지나 사업장에 30일 이상 게시합니다.
5단계 · 신고와 후속 보완
기준에 해당하면 72시간 안에 신고합니다. 추가로 확인된 내용은 통지·신고 모두 즉시 보완하고, 유출이 아니라고 확인되면 그 사실을 알립니다.
혼자 판단하기 어려운 경우는 무엇입니까
개인정보보호위원회 안내는 신고 의무를 지키지 않으면 과태료가 부과될 수 있다고 밝힙니다. 기준 해당 여부가 애매하다고 기한을 넘기기보다, 기한 안에 담당 기관에 묻는 쪽이 안전합니다.
이럴 때는 전문 기관에 먼저 확인합니다
- 가능성 단계인데 신고 대상인지, 회수·삭제로 신고 예외에 해당하는지 판단이 서지 않을 때
- 해킹 흔적이 있거나 정보를 빌미로 금전을 요구받았을 때: KISA 118 상담과 수사기관 신고
- 고객 정보를 맡긴 위탁업체나 외부 플랫폼에서 사고가 났다는 연락을 받았을 때
- 금융기관·신용정보회사 등 개인신용정보가 관련될 때: 금융감독원 1332
정보주체 입장에서 회사의 처리에 권리 침해를 당했다고 보는 고객은 KISA 개인정보침해 신고센터(118, privacy.kisa.or.kr)에 신고할 수 있습니다. 통지문에 회사 담당 연락처를 분명히 적어 두면 고객 문의를 먼저 받아 대응할 수 있습니다.
정리
- 이상을 알게 된 시각을 기록하고, 점검 노트의 항목·규모·경로·조치·증거를 채웁니다.
- 접속 차단과 취약점 보완, 유출 정보 회수·삭제로 확산을 막고 증거를 보존합니다.
- 확인된 유출인지 가능성 단계인지 구분하고, 72시간 안에 정보주체에게 법정 항목으로 통지합니다.
- 1천 명 이상, 민감정보·고유식별정보, 외부 불법 접근 중 하나면 72시간 안에 brss.pipc.go.kr로 신고합니다.
- 판단이 어렵거나 해킹이 의심되면 바로 KISA 118에 상담하고, 금전 요구 등 범죄 정황은 수사기관에 신고합니다.
참고 자료
- 국가법령정보센터 — 개인정보 보호법 제34조(개인정보 유출등의 통지·신고)
- 국가법령정보센터 — 개인정보 보호법 시행령 제39조(개인정보 유출등의 통지)
- 국가법령정보센터 — 개인정보 보호법 시행령 제39조의2(유출등의 가능성 통지 대상)
- 국가법령정보센터 — 개인정보 보호법 시행령 제39조의3(유출등의 가능성 통지 시기·방법)
- 국가법령정보센터 — 개인정보 보호법 시행령 제40조(개인정보 유출등의 신고)
- 국가법령정보센터 — 정보통신망법 제48조의3(침해사고의 신고 등)
- 개인정보보호위원회 — 개인정보 유출신고 제도
- 개인정보보호위원회 — 개인정보 침해신고 제도
- 한국인터넷진흥원 — 보호나라 침해사고 신고 안내