주문서 엑셀 파일을 잘못 첨부해 보냈다. 직원 계정이 뚫렸다. 쓰던 솔루션에서 사고가 났다고 연락이 왔다.

이럴 때 가장 먼저 드는 생각은 "조용히 수습하자"다. 그런데 개인정보 보호법은 알게 된 시점부터 시간을 센다. 그리고 해야 할 일이 두 가지로 나뉜다.

• 정보주체(고객)에게 알리는 것 — 통지
• 개인정보보호위원회에 신고하는 것 — 신고

이 둘은 별개이고, 각각 72시간이라는 기한이 붙는다.

하나 — 고객에게 알려야 할 것

법 제34조 제1항은 개인정보가 분실·도난·유출되었음을 알게 되었을 때 지체 없이 정보주체에게 다음을 알리도록 하고 있다.

• 유출등이 된 개인정보의 항목
• 유출등이 된 시점과 그 경위
• 유출로 인한 피해를 최소화하기 위해 정보주체가 할 수 있는 방법 등에 관한 정보
• 개인정보처리자의 대응조치 및 피해 구제절차
• 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

시행령 제39조 제1항이 기한을 정한다. 서면 등의 방법으로 72시간 이내에 알려야 한다.

다만 두 경우에는 사유가 해소된 후 지체 없이 알릴 수 있다.

• 확산·추가 유출을 막기 위해 접속경로 차단, 취약점 점검·보완, 회수·삭제 등 긴급한 조치가 필요한 경우
• 천재지변 등 부득이한 사유로 72시간 이내 통지가 곤란한 경우

아직 파악이 안 됐을 때

현실적으로 72시간 안에 전모를 파악하기 어려울 수 있다. 시행령 제39조 제2항이 이 경우를 정해 두었다.

유출된 항목과 시점·경위를 구체적으로 확인하지 못했다면, 유출된 사실, 그때까지 확인된 내용, 그리고 나머지 세 가지 항목(대처 방법·대응조치·담당 연락처)을 먼저 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지해야 한다.

즉 "다 파악한 다음에 한꺼번에 알리겠다"는 선택지가 없다.

연락처를 모를 때

시행령 제39조 제3항이다. 정보주체의 연락처를 알 수 없는 등 정당한 사유가 있으면, 해당 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있다.

홈페이지를 운영하지 않는다면 사업장 등 보기 쉬운 장소에 30일 이상 게시하는 것으로 갈음할 수 있다.

둘 — 신고해야 하는 경우

모든 유출을 신고해야 하는 것은 아니다. 시행령 제40조 제1항은 신고 대상을 세 가지로 정한다. 하나라도 해당하면 신고해야 한다.

• 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우
• 민감정보 또는 고유식별정보가 유출된 경우
• 개인정보처리시스템이나 개인정보취급자가 쓰는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 유출된 경우

여기서 두 번째와 세 번째는 인원수와 무관하다. 주민등록번호 같은 고유식별정보가 한 건만 유출돼도, 해킹으로 뚫렸다면 몇 명이든, 신고 대상이 된다.

기한은 통지와 같은 72시간 이내이고, 신고처는 개인정보보호위원회 또는 전문기관이다. 신고 내용은 법 제34조 제1항 각 호의 사항, 즉 고객에게 알리는 것과 같은 항목이다.

신고하지 않아도 되는 예외

같은 항 단서에 두 가지가 있다.

• 천재지변이나 부득이한 사유로 72시간 이내 신고가 곤란한 경우 — 사유 해소 후 지체 없이
• 유출 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 — 신고하지 않을 수 있다

두 번째는 조건이 까다롭다. 「연락해서 지워 달라고 했다」 정도가 아니라 경로가 확인되고 실제로 회수·삭제가 이루어져 침해 가능성이 현저히 낮아진 상태여야 한다.

알리는 것으로 끝이 아니다

법 제34조 제2항은 유출된 경우 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하도록 하고 있다. 통지·신고와 별개의 의무다.

그리고 제34조의2는 고유식별정보·계좌정보·신용카드정보 등이 정보통신망을 통해 공중에 노출되지 않도록 하고, 보호위원회나 전문기관의 요청이 있으면 삭제하거나 차단하는 등 필요한 조치를 하도록 정한다.

위탁을 줬어도 책임이 남는다

법 제26조는 수탁자에 대해 제34조 등을 준용하면서 이 경우 「개인정보처리자」를 「수탁자」로 본다고 정한다. 그리고 제28조는 개인정보취급자의 범위를 최소한으로 제한하고 적절한 관리·감독을 하며, 정기적으로 필요한 교육을 실시하도록 하고 있다.

쇼핑몰 솔루션, 배송 대행, 마케팅 대행처럼 고객정보가 넘어가는 곳이 있다면 우리 쪽 관리·감독 의무가 남아 있다.

지금 확인할 것

• 고객정보가 어디에 어떤 형태로 있는지 목록을 만든다. 사고가 나면 「유출된 항목」을 72시간 안에 말해야 한다
• 사고를 누가 언제 알았는지 기록하는 절차를 만든다. 기한의 기산점이 「알게 된 때」다
• 통지문에 들어가야 할 다섯 항목을 미리 양식으로 준비해 둔다
• 신고 대상 세 가지 — 1천명 이상 / 민감·고유식별정보 / 외부 불법접근 — 를 확인한다. 인원이 적어도 신고 대상일 수 있다
• 주민등록번호를 보관하고 있는지 점검한다. 한 건이라도 유출되면 신고 대상이다
• 외부에 위탁한 곳이 있다면 관리·감독과 교육 기록이 있는지 확인한다
• 홈페이지가 있다면 공지 게시 경로를, 없다면 사업장 게시 방법을 미리 생각해 둔다
• 필요 없는 개인정보는 지운다. 갖고 있지 않으면 유출되지 않는다

한눈에 정리

• 핵심: 유출을 알게 된 때부터 72시간 안에 ① 고객에게 통지하고 ② 요건에 해당하면 보호위원회에 신고해야 한다. 둘은 별개의 의무다
• 기준일: 2026년 8월 기준 (시행령 제39조·제40조는 2023년 9월 12일 전문개정, 제39조 제2항은 2024년 3월 12일 개정)
• 누가 해당되나: 고객 개인정보를 처리하는 사업자 전부. 규모 기준 없음
• 통지 항목: 유출 항목 / 시점과 경위 / 정보주체가 할 수 있는 조치 / 대응조치와 구제절차 / 담당부서·연락처
• 신고 대상: 1천명 이상 / 민감정보·고유식별정보 / 외부의 불법적 접근 — 하나라도 해당하면
• 주의할 점: 다 파악한 뒤 한꺼번에 알리는 것은 허용되지 않는다. 확인된 것부터 먼저 알리고 나머지는 확인되는 즉시 알려야 한다

출처

• 국가법령정보센터 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)·제28조(개인정보취급자에 대한 감독)·제34조(개인정보 유출 등의 통지·신고)·제34조의2(노출된 개인정보의 삭제·차단) (law.go.kr/법령/개인정보보호법)
• 국가법령정보센터 「개인정보 보호법 시행령」 제39조(개인정보 유출 등의 통지)·제40조(개인정보 유출 등의 신고) (law.go.kr/법령/개인정보보호법시행령)
• 조문 원문 확인: CaseNote 「개인정보 보호법」(casenote.kr/법령/개인정보_보호법) · 「같은 법 시행령」(casenote.kr/법령/개인정보_보호법_시행령)

(출처 확인일: 2026-08-28)