핵심. 통지와 신고는 다른 의무입니다. 통지는 규모와 무관하게 유출된 정보주체 전원에게 72시간, 신고는 1천 명 이상·민감정보나 고유식별정보·외부의 불법적인 접근 셋 중 하나면 위원회나 KISA에 72시간입니다. 2026년 9월 11일 시행 개정으로 둘이 늘었습니다 — 유출이 확정되지 않아도 「가능성」을 알게 된 때 통지해야 하는 경우가 생겼고, 통지문에 손해배상·분쟁조정 안내가 기재사항으로 들어왔습니다. 🔴 아래 판정은 법령 요건을 그대로 대입한 것이고 위원회의 처분을 예측하지 않습니다.
사고 당일에 답이 필요한 질문은 대개 셋입니다. 지금 통지 대상인가, 신고까지 해야 하는가, 그리고 시계가 언제부터 도는가. 넣으신 값은 브라우저 밖으로 나가지 않습니다.
통지 — 누구에게, 언제, 무엇을
| 누구에게 | 유출등이 된 개인정보의 정보주체 |
| 시계가 시작되는 때 | 개인정보가 유출등이 되었음을 알게 된 때 |
| 기한 | 72시간 이내 |
| 방법 | 서면등의 방법(서면·전자우편·전화·문자 등) |
| 근거 | 법 제34조 제1항 · 영 제39조 제1항 |
통지에 반드시 들어가야 하는 사항은 여섯입니다. 여섯 번째는 2026년 9월 11일 시행 개정으로 새로 들어왔습니다 — 손해배상·법정손해배상 청구와 분쟁조정 같은 정보주체의 권리를 안내해야 합니다.
| 기재사항 | 근거 |
|---|---|
| 1. 유출등이 된 개인정보의 항목 | 법 제34조 제1항 제1호 |
| 2. 유출등이 된 시점과 그 경위 | 법 제34조 제1항 제2호 |
| 3. 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등 구체적 정보 | 법 제34조 제1항 제3호 |
| 4. 개인정보처리자의 대응조치와 피해 구제절차 | 법 제34조 제1항 제4호 |
| 5. 피해가 발생한 경우 신고를 접수할 담당부서와 연락처 | 법 제34조 제1항 제5호 |
| 6. 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법 | 법 제34조 제1항 제6호(2026-09-11 시행 신설) |
72시간을 넘길 수 있는 경우와 갈음하는 방법
| 사정 | 그때는 | 근거 |
|---|---|---|
| 접속경로 차단·취약점 점검·회수·삭제 등 확산과 추가 유출을 막을 긴급한 조치가 필요한 경우 | 그 사유가 해소된 후 즉시 통지 | 영 제39조 제1항 제1호 |
| 천재지변이나 그 밖에 부득이한 사유로 72시간 안에 통지하기 곤란한 경우 | 그 사유가 해소된 후 즉시 통지 | 영 제39조 제1항 제2호 |
| 유출된 항목(제1호)이나 시점·경위(제2호)를 아직 구체적으로 확인하지 못한 경우 | 유출 사실과 그때까지 확인된 내용, 제3호부터 제6호까지를 먼저 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지 | 영 제39조 제2항 |
| 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우 | 법 제34조 제1항 각 호의 사항을 인터넷 홈페이지에 30일 이상 게시(홈페이지를 운영하지 않으면 사업장 등 보기 쉬운 장소에 30일 이상 게시) | 법 제34조 제1항 단서 · 영 제39조 제3항 |
신고 — 셋 중 하나면 해야 한다
신고는 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 72시간 이내입니다(법 제34조 제4항 · 영 제40조 제1항 · 영 제40조 제3항). 세 기준 가운데 하나만 걸려도 신고 대상입니다.
| 기준 | 근거 |
|---|---|
| 1천 명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우 | 영 제40조 제1항 제1호 |
| 민감정보 또는 고유식별정보가 유출등이 된 경우 | 영 제40조 제1항 제2호 |
| 개인정보처리시스템이나 취급자의 정보기기에 대한 외부로부터의 불법적인 접근으로 유출등이 된 경우 | 영 제40조 제1항 제3호 |
| 예외 — 천재지변이나 그 밖에 부득이한 사유로 72시간 안에 신고하기 곤란한 경우 | 그 사유가 해소된 후 즉시 신고 · 영 제40조 제1항 단서 |
| 예외 — 유출 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 | 신고하지 않을 수 있다 · 영 제40조 제1항 단서(2026-09-11 시행 신설) |
유출등의 「가능성」 통지 — 2026-09-11 시행 신설
종전에는 유출 사실이 확인되어야 통지 의무가 생겼습니다. 이제는 유출되었을 「가능성」을 알게 된 때에도 72시간 안에 알려야 하는 경우가 둘 생겼습니다(법 제34조 제2항 · 영 제39조의2 · 영 제39조의3). 대상은 유출등의 가능성이 있는 모든 정보주체입니다.
| 이런 경우 | 시계가 시작되는 때 | 근거 |
|---|---|---|
| 개인정보처리시스템이나 취급자의 정보기기에 불법적인 접근이 발생해 유출이 의심되는 정황이 있으나 어느 정보주체의 것인지 특정하기 곤란한 경우 | 그 불법적인 접근을 알게 된 때 | 영 제39조의2 제1항 제1호 |
| 처리하는 개인정보가 법령을 위반해 제3자에 의해 거래되는 등 일부가 유출된 사실이 확인되고, 다른 정보주체의 개인정보도 유출되었을 수 있다고 인정되는 경우 | 그 사실을 알게 된 때 | 영 제39조의2 제1항 제2호 |
가능성 통지에 담을 사항은 실제 유출 통지와 다릅니다 — 확정되지 않은 것을 확정된 것처럼 적지 않도록 네 가지로 정해져 있습니다.
| 기재사항 | 근거 |
|---|---|
| 1. 유출등의 가능성이 있는 개인정보의 항목 | 영 제39조의2 제2항 제1호 |
| 2. 유출이 있었을 것으로 의심되거나 인정되는 시점과 그 경위 | 영 제39조의2 제2항 제2호 |
| 3. 법 제34조 제1항 제3호부터 제5호까지의 사항(피해 최소화 방법·대응조치와 구제절차·접수 부서와 연락처) | 영 제39조의2 제2항 제3호 |
| 4. 유출 여부가 확정되면 추가로 통지하겠다는 사실 | 영 제39조의2 제2항 제4호 |
| 그 뒤 — 72시간 안에 실제로 유출된 사실을 확인한 경우: 가능성 통지 대신 법 제34조 제1항의 통지를 한다 | 영 제39조의3 제2항 |
| 그 뒤 — 나중에 실제로는 유출되지 않은 것으로 확인된 경우: 그 사실을 즉시 정보주체에게 통지한다 | 영 제39조의3 제3항 |
실제로 얼마나 늦어서 처분됐나
기한을 넘긴 사건이 어떻게 처분됐는지는 결정문에 남아 있습니다. 통지·신고 지연이 처분 사유가 된 의결이 88건이고, 지연 일수가 적힌 사건에서 통지 지연의 중앙값은 14일, 신고 지연의 중앙값은 6일입니다. 가장 늦은 사건은 통지까지 667일이 걸렸습니다.
여기서 읽을 것은 「며칠까지는 괜찮다」가 아닙니다. 적용 기한이 사건마다 다릅니다 — 구 정보통신망법이 적용된 사건은 24시간 기준이었고, 지금은 72시간입니다. 사건별 기준과 일수는 유출 통지·신고 지연 제재에 전수로 정리해 두었습니다.
기한 안에 통지하고도 법정 기재사항을 빠뜨려 처분된 사건이 따로 있습니다. 위 판정기의 기재사항 표를 그대로 점검표로 쓰시면 됩니다.
통지문을 실제로 어떻게 쓰나
다른 회사들이 보낸 통지문을 모아 둔 자료가 있습니다. 유출 통지문 코퍼스에서 실제 문안과, 법정 기재사항 여섯 가지가 얼마나 지켜졌는지를 항목별로 볼 수 있습니다. 새로 들어온 여섯 번째 항목(손해배상·분쟁조정 안내)의 확인 비율이 낮은 것은 위반이 아니라 개정 전 통지이기 때문입니다.
사고 인지부터 72시간까지 무엇을 순서대로 해야 하는지는 유출 인지 후 72시간 가이드에 있습니다. 통지·신고 이후에 오는 국면 — 정보주체가 직접 청구해 오는 손해배상과 분쟁조정 — 은 손해배상 판결 정리와 분쟁조정 사례에서 실제 인정액을 확인하실 수 있습니다.
자주 묻는 질문
Q. 개인정보 유출 통지는 며칠 안에 해야 하나요?
유출된 사실을 알게 된 때부터 72시간 이내입니다(법 제34조 제1항, 시행령 제39조 제1항). 규모와 무관하게 유출된 개인정보의 정보주체 전원에게 해야 하며, 확산을 막을 긴급한 조치가 필요하거나 천재지변 등 부득이한 사유가 있으면 그 사유가 해소된 후 즉시 통지합니다. 항목이나 경위를 아직 확인하지 못했다면 확인된 내용만으로 먼저 통지하고 나머지는 확인되는 즉시 통지해야 합니다.
Q. 개인정보 유출 신고는 언제 해야 하나요?
1천 명 이상의 정보주체에 관한 개인정보가 유출됐거나, 민감정보 또는 고유식별정보가 유출됐거나, 개인정보처리시스템에 대한 외부로부터의 불법적인 접근으로 유출된 경우에는 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다(시행령 제40조 제1항). 셋 중 하나만 해당해도 신고 대상입니다. 2026년 9월 11일 시행 개정으로, 유출 경로가 확인되어 회수·삭제 등의 조치로 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있는 단서가 생겼습니다.
Q. 유출된 사실이 확실하지 않아도 통지해야 하나요?
2026년 9월 11일부터 그런 경우가 생겼습니다. 개인정보처리시스템에 불법적인 접근이 있었고 유출이 의심되지만 어느 정보주체의 것인지 특정하기 어려운 경우, 그리고 일부 개인정보가 제3자에 의해 거래되는 등으로 유출이 확인되어 다른 정보주체의 개인정보도 유출됐을 수 있다고 인정되는 경우입니다. 이때는 유출 가능성이 있는 모든 정보주체에게 72시간 이내에 알려야 하고, 기재사항은 확정된 유출의 통지와 달리 네 가지로 정해져 있습니다(법 제34조 제2항, 시행령 제39조의2·제39조의3).
Q. 통지가 늦으면 실제로 제재를 받나요?
받습니다. 개인정보보호위원회가 공개한 결정문 가운데 통지·신고 지연이 처분 사유가 된 의결이 88건이고, 통지 지연 일수가 적힌 사건의 중앙값은 14일, 신고 지연의 중앙값은 6일입니다. 기한 안에 통지하고도 법정 기재사항을 빠뜨려 처분된 사건이 따로 있습니다.