개인정보가 밖으로 나간 경우만 사고는 아닙니다
현행 개인정보 보호법의 유출등에는 분실·도난·유출뿐 아니라 위조·변조·훼손도 포함됩니다. 외부 반출 흔적이 없다는 이유만으로 의무 검토를 끝내지 말고 정보의 변경이나 복구 불가능한 훼손 여부도 살펴야 합니다.
파일을 잘못 보낸 사고, 공개 권한이 잘못 설정된 저장소, 비정상적인 관리자 접속 등은 서로 발생 경위가 다릅니다. 어떤 개인정보가 영향을 받았는지, 제3자가 접근할 수 있었는지, 회수·차단이 가능한지를 구체적으로 확인하세요. 담당자의 실수인지 해킹인지 결론이 나지 않아도 우선 대응은 시작해야 합니다.
사고 발생 시점, 최초 이상 징후, 불법 접근을 알게 된 시점, 실제 유출 사실을 확인한 시점을 따로 기록합니다. 서로 다른 의무의 기산점이 될 수 있으므로 대표에게 보고한 시각이나 외부 조사보고서를 받은 날 하나로 합쳐 두지 않는 것이 좋습니다.
1천 명 기준은 모든 통지의 면제 기준이 아닙니다
정보주체 통지는 영향을 받은 사람에게 피해를 줄이는 정보를 제공하기 위한 절차입니다. 개인정보 보호법 제34조와 시행령 제39조에 따라 유출등을 알게 되면 지체 없이 통지해야 하며, 원칙적으로 알게 된 때부터 72시간 이내 서면 등의 방법으로 알립니다. 72시간이 있으니 그때까지 아무 조치도 하지 않아도 된다는 뜻은 아닙니다.
기관 신고는 시행령 제40조의 요건을 따로 확인합니다. ① 1천 명 이상 정보주체의 개인정보, ② 민감정보 또는 고유식별정보, ③ 시스템이나 정보기기에 대한 외부의 불법적 접근으로 인한 유출등 중 어느 하나에 해당하면 원칙적으로 알게 된 때부터 72시간 내 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다.
따라서 소규모 병원의 건강정보 사고나 인원이 적은 해킹 사고도 신고 대상이 될 수 있습니다. 유출 경로를 확인하고 회수·삭제 등의 조치로 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있으나, 고객 통지까지 자동 면제되는 것은 아닙니다. 신고 요건에 해당하지 않는 경우에도 통지 의무는 따로 확인해야 합니다.
유출이 확정되지 않았어도 가능성 통지를 검토합니다
2026년 9월 11일 시행된 법 제34조 제2항과 시행령 제39조의2는 가능성 통지 대상을 정합니다. 첫째, 시스템이나 개인정보 처리 기기에 대한 불법적 접근으로 유출등이 의심되지만 해당 정보주체를 특정하기 곤란한 경우입니다. 둘째, 불법 거래 등으로 일부 유출등이 확인되고 다른 정보주체의 정보도 유출됐을 수 있다고 인정되는 경우입니다.
단순히 막연한 소문이 있다는 것과 위 요건에 해당하는 정황을 알게 된 경우를 구분해야 합니다. 해당 요건을 충족하면 시행령 제39조의3에 따른 시점부터 72시간 이내에 유출 가능성이 있는 정보주체에게 통지하는 절차를 진행합니다. 전체 대상을 특정하기 어렵다는 문제 자체가 통지 검토를 미룰 이유가 되지는 않습니다.
가능성 통지 기한 안에 실제 유출등을 확인했다면 확정된 유출등 통지로 처리합니다. 가능성 통지를 한 뒤 유출등이 없었다는 사실을 확인하면 즉시 그 사실을 알려야 합니다. 기술적 긴급조치를 이유로 한 지연 규정도 확정 통지와 가능성 통지가 같지 않으므로 예외를 넓게 적용하지 마세요.
사과문만 보내지 말고 피해 예방에 필요한 정보를 담으세요
확정된 유출등의 통지는 정보 항목, 시점·경위, 정보주체가 할 수 있는 구체적인 피해 최소화 방법, 처리자의 대응과 피해 구제절차, 담당 부서·연락처를 포함해야 합니다. 현행법은 손해배상·법정손해배상 청구와 분쟁조정 등 법적 권리와 행사 방법에 관한 정보도 요구합니다. 조문의 위임사항과 해당 사고에 적용되는 안내도 확인하세요.
항목이나 경위가 아직 확정되지 않았다고 통지 전체를 미룰 수는 없습니다. 법령에 따라 확인된 사실과 필요한 사항을 우선 알리고 추가 확인 내용을 보완합니다. 확정 통지와 가능성 통지의 기재사항이 같지는 않으므로 문안을 구분하고, 가능성 통지에는 사실이 확정되면 추가로 알릴 예정이라는 내용도 담습니다.
비밀번호 변경, 의심 연락의 확인 방법 등 실제 행동에 도움이 되는 안내를 제공합니다. 근거 없이 피해가 없다고 단정하거나 유출 범위를 축소하지 마세요. 개별 연락이 가능한데도 홈페이지 공지로만 대체하지 말고, 대체 통지가 허용되는 정당한 사유와 게시기간을 확인해야 합니다.
차단과 증거 보존, 법적 판단을 동시에 진행합니다
담당자를 정하고 추가 접근·유출을 차단하되 조사에 필요한 로그와 원본 자료를 확보합니다. 시스템을 무작정 초기화하거나 로그를 덮어쓰면 원인과 대상 범위 확인이 어려워집니다. 실제 조치 순서는 보안 담당자와 협의하고 누가 언제 무엇을 바꿨는지 남겨야 합니다.
외부 수탁업체가 관리하는 시스템이라도 계약 상대방에 모든 판단을 맡기지 마세요. 위탁자와 수탁자의 역할, 사고 인지·보고 시각, 자료 제공, 통지·신고 주체를 확인하고 협력합니다. 병원·금융회사 등은 업종별 법령에 따른 별도 의무가 있는지도 살펴야 합니다.
경찰 신고, 서버업체의 장애 접수, 고객에게 보내는 사과문은 각각 목적이 다릅니다. 어느 절차를 완료했는지 사건기록에 표시하고, 개인정보 관련 의무와 동일한 것으로 처리하지 않습니다. 신고 이후에도 조사 협조, 추가 통지, 재발 방지와 피해 접수 관리가 이어집니다.
초기 대응표에 기산점과 담당자를 적으세요
한 사람에게 기술 복구와 고객 대응을 모두 맡기기보다 업무를 나누어 동시에 진행합니다. 아직 모르는 사실도 목록으로 남기면 누락을 줄일 수 있습니다.
인지 기록
발생 추정일·최초 인지·불법 접근 인지·확인 시점을 구분하고 근거를 보존합니다.
범위 분석
정보 항목, 대상 인원, 민감·고유식별정보, 외부 침입과 회수 가능성을 확인합니다.
의무 분리
확정 통지, 가능성 통지, 기관 신고, 업종별 의무의 요건과 기한을 각각 표시합니다.
차단과 보존
추가 접근을 막고 로그·메일·권한 설정·조치 이력을 보관합니다.
통지와 후속
확인된 사실로 문안을 작성하고 발송·신고 접수증, 추가 안내와 피해 문의 기록을 관리합니다.
자주 묻는 질문
고객 10명에게만 영향이 있어도 신고해야 하나요?
인원만으로 정하지 않습니다. 민감정보·고유식별정보나 외부 불법 접근 요건이 있으면 소규모 사고도 신고 대상이 될 수 있고, 고객 통지는 별도로 판단합니다.
조사 중이면 72시간 계산이 시작되지 않나요?
최종 보고서 완성 여부가 기준은 아닙니다. 법정 인지 시점을 확인해야 하며, 유출 가능성 통지의 요건이 먼저 충족되는지도 검토합니다.
잘못 보낸 파일을 삭제해 달라고 하면 끝나나요?
회수·삭제 요청은 중요한 조치이지만 실제 삭제와 접근 여부, 권익 침해 가능성, 통지·신고의 각 예외 요건을 확인해야 합니다. 요청했다는 사실만으로 종료하지 않습니다.
홈페이지 공지만 올려도 되나요?
개별 연락처를 알 수 없는 등 정당한 사유가 있는지 확인해야 합니다. 편의상 공지로 대체하는 것과 법령상 대체 통지는 다르며 게시기간 등 요건도 지켜야 합니다.