본문
개인정보보호위원회와 한국인터넷진흥원(KISA)은 2026년 9월 11일 시행된 「개인정보 보호법」 제34조의 내용을 반영하여 「개인정보 유출등 대응 안내서」를 공개하였습니다.
이번에 공개된 안내서의 핵심은 (1) 개인정보 유출이 확정되지 않았더라도 그 가능성만으로 72시간 이내 통지 의무를 부과하는 개인정보 '유출등 가능성 통지' 제도의 신설, (2) 개인정보 유출등 통지 항목에 손해배상·법정손해배상 청구 및 분쟁조정 등 정보주체의 법적 권리 안내(제6호)와 비밀번호 변경 방법 등 계정 보호조치(제7호)가 추가되어 5개에서 7개로 확대된 점, (3) 항목·경위가 확인되지 않은 경우의 우선 통지 범위가 종전 제3~5호에서 제3~7호로 확대된 점입니다.
안내서는 실제 제재·판결 사례와 FAQ를 통해 통지 지연·항목 누락 등 자주 발생하는 오류 유형을 구체적으로 제시하고 있어, 기업은 자사의 개인정보 유출등 대응 매뉴얼과 보고체계가 개정 기준에 부합하는지 조속히 재점검할 필요가 있습니다.
1. 개정 배경 및 발간 경위
2. 개인정보 유출 통지 체계 주요내용
3. 기업의 실무적 영향
4. 시사점
1. 개정 배경 및 발간 경위
이번 2026년 9월 공개된 개인정보 유출등 대응 안내서 개정은 2026년 9월 11일 시행된 「개인정보 보호법」 제34조(개인정보 유출등의 통지·신고) 개정 사항을 반영한 것으로, 개인정보위는 발간일(2026년 9월)로부터 3년마다 최신성을 재검토할 예정임을 밝히고 있습니다.
☞ 적용 범위와 관련하여, 신용정보회사등이 보유한 개인신용정보가 누설된 경우에는 「개인정보 보호법」이 아닌 「신용정보의 이용 및 보호에 관한 법률」 제39조의4가 우선 적용되므로, 자사가 신용정보회사등에 해당하는지 여부를 먼저 확인할 필요가 있습니다.
2. 개인정보 유출 통지 체계 주요내용
「개인정보 보호법」 제34조는 통지 대상·시점, 통지 항목, 신고 요건 및 신고 대상 등 유출 통지·신고 체계 전반을 규정하고 있으며, 주요 변경사항은 다음과 같습니다.
이 중 실무 영향이 가장 큰 변화는 ① '가능성 통지' 신설과 ② '확인되는 즉시' 추가 통지·신고 의무입니다. 두 항목 모두 사고 초기 불완전한 정보 상태에서도 판단·보고를 요구하므로, 인지 시점과 확인 경과를 로그로 뒷받침할 수 있는 체계가 사실상의 이행 전제가 됩니다. ‘유출등 통지’는 접속경로 차단·취약점 보완·회수·삭제 등 긴급조치가 필요한 경우 그 사유가 해소된 후 지체 없이 통지할 수 있으나, ‘유출등 가능성 통지’는 이러한 긴급조치를 이유로 지연할 수 없고 천재지변 등 부득이한 사유만 인정됩니다. 따라서 초동 차단·분석과 통지 준비를 동시에 수행할 수 있도록 대응 조직과 절차를 사전에 정비할 필요가 있습니다.
3. 기업의 실무적 영향
• 개인정보처리자가 유출등 사실을 알게 된 경우, 유출 대상자가 소수라는 이유로 통지를 생략할 수 없습니다.
• 암호화된 개인정보가 유출된 경우에도 통지·신고 의무는 면제되지 않습니다(다만 암호키가 안전하게 관리된 경우 조사·처분 시 법 위반으로 보지 않을 수 있음).
• 유출 항목을 '등'으로 생략하거나 회사전화번호·집전화번호를 '전화번호'로 통칭하는 등 항목을 뭉뚱그려 기재한 통지는 위반으로 지적된 사례가 다수 확인됩니다.
• 정보주체의 연락처(휴대전화·이메일·주소)를 보유하고 있음에도 홈페이지 게시로 개별 통지를 갈음할 수 없으며, 이는 연락처를 알 수 없는 경우의 보충적 수단으로만 허용됩니다.
• 인지 시점의 입증책임은 개인정보처리자에게 있습니다. 개인정보처리자는 통지·신고 기한의 기산점이 되는 유출등 또는 유출등 가능성의 인지 시점과 대응 경과를 민원 접수기록, 경보 로그, 제보 메일, 내부 보고기록 등 객관적 자료로 소명할 수 있도록 관리할 필요가 있습니다. 수사기관의 구두 요청만으로 통지를 장기간 보류하는 것은 정당한 사유로 인정되지 않습니다.
4. 시사점
이번 「개인정보 보호법」 개정으로 통지 대응의 기준선은 유출등 사실을 알게 된 단계에서 법령상 요건에 해당하는 유출등 가능성을 인지한 초기 단계까지 확대되었습니다. 이에 따라 기업은 유출등 가능성을 선제적으로 통지하고, 이후 조사 결과에 따라 실제 유출 또는 비유출 사실을 후속 통지하는 등 선제적·지속적인 통지 대응체계를 운영할 필요가 있습니다. 가능성 통지와 '확인되는 즉시' 추가 통지·신고 의무는 결국 인지 시점·확인 경과를 로그로 입증할 수 있는 체계를 요구하므로, 기업의 대응 역량은 '통지 문안 작성'에서 '증거 기반 인지·분석 체계'로 무게중심이 이동하고 있고, 랜섬웨어 등 복구불능 훼손도 통지·신고 대상이 될 수 있다는 점 역시 실무상 간과되기 쉬운 부분입니다. 아울러 「표준 개인정보 보호지침」 제29조에 따라 공공기관 및 1천 명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리자는 개인정보 유출등 사고 대응 매뉴얼을 마련하여야 합니다. 해당 개인정보처리자는 이번 안내서의 개정 내용을 기존 내부 매뉴얼과 사고 보고·통지·신고 절차에 반영할 필요가 있습니다.
화우 정보보호센터는 오랜 경험과 축적된 노하우를 기반으로 기업 고객을 위한 최적의 솔루션을 안내해 드리고 있습니다. 정보보호 관련 법령의 해석 및 그 대응과 정보보호 기술적 자문(해킹 진단, 보안취약점), 감독기관 대응 등 포괄적인 올인원(All-in-One) 서비스를 제공하고 있습니다. 관련하여 문의사항이 있으신 경우 언제든지 화우에 연락하여 주시기 바랍니다.
- 관련 분야
- #정보보호센터
