핵심. 통지와 신고는 다른 의무입니다. 통지는 규모와 무관하게 유출된 정보주체 전원에게 72시간, 신고는 1천 명 이상·민감정보나 고유식별정보·외부의 불법적인 접근 셋 중 하나면 위원회나 KISA에 72시간입니다. 2026년 9월 11일 시행 개정으로 둘이 늘었습니다 — 유출이 확정되지 않아도 「가능성」을 알게 된 때 통지해야 하는 경우가 생겼고, 통지문에 손해배상·분쟁조정 안내가 기재사항으로 들어왔습니다. 🔴 아래 판정은 법령 요건을 그대로 대입한 것이고 위원회의 처분을 예측하지 않습니다.
목차
사고 당일에 답이 필요한 질문은 대개 셋입니다. 지금 통지 대상인가, 신고까지 해야 하는가, 그리고 72시간이 언제부터 계산되는가. 넣으신 값은 브라우저 밖으로 나가지 않습니다.
판정 결과를 결재·보고에 붙일 한 장으로 보여 주고 인쇄하거나 PDF로 저장합니다. 판정하면 넣은 값이 주소의 # 뒤에 실려 같은 판정을 다시 열 수 있습니다(해시는 서버로 전송되지 않습니다).
통지 — 누구에게, 언제, 무엇을
| 누구에게 | 유출등이 된 개인정보의 정보주체 |
| 시계가 시작되는 때 | 개인정보가 유출등이 되었음을 알게 된 때 |
| 기한 | 72시간 이내 |
| 방법 | 서면등의 방법(서면·전자우편·전화·문자 등) |
| 근거 | 법 제34조 제1항 · 영 제39조 제1항 |
통지에 반드시 들어가야 하는 사항은 여섯입니다. 여섯 번째는 2026년 9월 11일 시행 개정으로 새로 들어왔습니다 — 손해배상·법정손해배상 청구와 분쟁조정 같은 정보주체의 권리를 안내해야 합니다. 법 제34조 제1항 제1호부터 제6호까지의 여섯 가지입니다. 같은 항 제7호는 그 밖에 대통령령으로 정하는 사항을 더할 수 있게 한 위임 규정입니다.
| 기재사항 | 근거 |
|---|---|
| 1. 유출등이 된 개인정보의 항목 | 법 제34조 제1항 제1호 |
| 2. 유출등이 된 시점과 그 경위 | 법 제34조 제1항 제2호 |
| 3. 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등 구체적 정보 | 법 제34조 제1항 제3호 |
| 4. 개인정보처리자의 대응조치와 피해 구제절차 | 법 제34조 제1항 제4호 |
| 5. 피해가 발생한 경우 신고를 접수할 담당부서와 연락처 | 법 제34조 제1항 제5호 |
| 6. 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법 | 법 제34조 제1항 제6호(2026-09-11 시행 신설) |
72시간을 넘길 수 있는 경우와 갈음하는 방법
| 사정 | 그때는 | 근거 |
|---|---|---|
| 접속경로 차단·취약점 점검·회수·삭제 등 확산과 추가 유출을 막을 긴급한 조치가 필요한 경우 | 그 사유가 해소된 후 즉시 통지 | 영 제39조 제1항 제1호 |
| 천재지변이나 그 밖에 부득이한 사유로 72시간 안에 통지하기 곤란한 경우 | 그 사유가 해소된 후 즉시 통지 | 영 제39조 제1항 제2호 |
| 유출된 항목(제1호)이나 시점·경위(제2호)를 아직 구체적으로 확인하지 못한 경우 | 유출 사실과 그때까지 확인된 내용, 제3호부터 제6호까지를 먼저 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지 | 영 제39조 제2항 |
| 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우 | 법 제34조 제1항 각 호의 사항을 인터넷 홈페이지에 30일 이상 게시(홈페이지를 운영하지 않으면 사업장 등 보기 쉬운 장소에 30일 이상 게시) | 법 제34조 제1항 단서 · 영 제39조 제3항 |
신고 — 셋 중 하나면 해야 한다
신고는 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 72시간 이내입니다(법 제34조 제4항 · 영 제40조 제1항 · 영 제40조 제3항). 세 기준 가운데 하나만 걸려도 신고 대상입니다.
| 기준 | 근거 |
|---|---|
| 1천 명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우 | 영 제40조 제1항 제1호 |
| 민감정보 또는 고유식별정보가 유출등이 된 경우 | 영 제40조 제1항 제2호 |
| 개인정보처리시스템이나 취급자의 정보기기에 대한 외부로부터의 불법적인 접근으로 유출등이 된 경우 | 영 제40조 제1항 제3호 |
| 예외 — 천재지변이나 그 밖에 부득이한 사유로 72시간 안에 신고하기 곤란한 경우 | 그 사유가 해소된 후 즉시 신고 · 영 제40조 제1항 단서 |
| 예외 — 유출 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 | 신고하지 않을 수 있다 · 영 제40조 제1항 단서 |
유출등의 「가능성」 통지 — 2026-09-11 시행 신설
종전에는 유출 사실이 확인되어야 통지 의무가 생겼습니다. 이제는 유출되었을 「가능성」을 알게 된 때에도 72시간 안에 알려야 하는 경우가 둘 생겼습니다(법 제34조 제2항 · 영 제39조의2 · 영 제39조의3). 대상은 유출등의 가능성이 있는 모든 정보주체입니다.
| 이런 경우 | 시계가 시작되는 때 | 근거 |
|---|---|---|
| 개인정보처리시스템이나 취급자의 정보기기에 불법적인 접근이 발생해 유출이 의심되는 정황이 있으나 어느 정보주체의 것인지 특정하기 곤란한 경우 | 그 불법적인 접근을 알게 된 때 | 영 제39조의2 제1항 제1호 |
| 처리하는 개인정보가 법령을 위반해 제3자에 의해 거래되는 등 일부가 유출된 사실이 확인되고, 다른 정보주체의 개인정보도 유출되었을 수 있다고 인정되는 경우 | 그 사실을 알게 된 때 | 영 제39조의2 제1항 제2호 |
가능성 통지에 담을 사항은 실제 유출 통지와 다릅니다 — 확정되지 않은 것을 확정된 것처럼 적지 않도록 네 가지로 정해져 있습니다.
| 기재사항 | 근거 |
|---|---|
| 1. 유출등의 가능성이 있는 개인정보의 항목 | 영 제39조의2 제2항 제1호 |
| 2. 유출이 있었을 것으로 의심되거나 인정되는 시점과 그 경위 | 영 제39조의2 제2항 제2호 |
| 3. 법 제34조 제1항 제3호부터 제5호까지의 사항(피해 최소화 방법·대응조치와 구제절차·접수 부서와 연락처) | 영 제39조의2 제2항 제3호 |
| 4. 유출 여부가 확정되면 추가로 통지하겠다는 사실 | 영 제39조의2 제2항 제4호 |
| 그 뒤 — 72시간 안에 실제로 유출된 사실을 확인한 경우: 가능성 통지 대신 법 제34조 제1항의 통지를 한다 | 영 제39조의3 제2항 |
| 그 뒤 — 나중에 실제로는 유출되지 않은 것으로 확인된 경우: 그 사실을 즉시 정보주체에게 통지한다 | 영 제39조의3 제3항 |
금융회사 등의 개인신용정보 누설 — 신용정보법의 통지·신고
위 판정과 표는 개인정보 보호법의 기준입니다. 금융회사 등(신용정보회사등)이 보유한 개인신용정보가 누설된 경우에는 신용정보법이 통지와 신고를 따로 정하고 있습니다(신용정보법 제39조의4 · 신용정보법 시행령 제34조의4). 통지 대상은 개인신용정보가 누설된 해당 신용정보주체입니다.
| 이런 경우 | 그때는 | 근거 |
|---|---|---|
| 신용정보회사등이 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때 | 지체 없이 해당 신용정보주체에게 개별적으로 통지해야 합니다. 통지할 사항에는 개인정보 보호법 제34조 제1항 각 호의 사항이 준용됩니다. | 신용정보법 제39조의4 제1항 · 신용정보법 시행령 제34조의4 제1항 |
| 1만 명 이상의 신용정보주체에 관한 개인신용정보가 누설된 경우 | 통지와 피해 최소화 조치의 결과를 지체 없이 금융위원회 또는 금융감독원에 신고해야 합니다. | 신용정보법 제39조의4 제3항 · 신용정보법 시행령 제34조의4 제4항·제5항 |
| 1만 명 이상의 신용정보주체에 관한 개인신용정보가 누설된 경우의 공표 | 개별 통지 외에 인터넷 홈페이지 게시, 사무실·점포에서의 열람, 신문 게재 가운데 하나의 방법으로 누설되었다는 사실을 널리 알려야 합니다. 알리는 기간은 인터넷 홈페이지 게시와 사무실·점포 열람이 각 15일, 신문 게재가 7일입니다. | 신용정보법 시행령 제34조의4 제2항 · 신용정보업감독규정 제43조의5 |
| 금융위원회 또는 금융감독원이 위 신고를 받은 때 | 금융위원회 또는 금융감독원이 그 사실을 개인정보보호위원회에 알려야 합니다. | 신용정보법 제39조의4 제5항 |
| 금융위원회의 감독을 받지 않는 신용정보제공·이용자(상거래기업 및 법인)인 경우 | 금융위원회·금융감독원이 아니라 개인정보보호위원회 또는 개인정보 보호법 제34조 제4항에 따른 기관에 신고해야 합니다. | 신용정보법 제39조의4 제4항 · 신용정보법 시행령 제34조의4 제8항 · 신용정보법 제45조의3 제1항 |
| 예외 — 누설에 따른 피해가 없는 것이 명백하고, 확산과 추가 유출을 막기 위한 조치가 긴급히 필요하다고 인정되는 경우의 통지 | 그 조치를 한 뒤 지체 없이 신용정보주체에게 알릴 수 있습니다. | 신용정보법 시행령 제34조의4 제3항 |
| 예외 — 같은 경우의 신고 | 우선 금융위원회 또는 금융감독원에 누설된 사실을 알리고, 조치를 한 뒤 지체 없이 신고서를 제출할 수 있습니다. | 신용정보법 시행령 제34조의4 제7항 |
이 판정기가 내는 시간 기한과 개인정보보호위원회·한국인터넷진흥원 신고 기준은 개인정보 보호법의 기준입니다. 신용정보법이 정한 통지·신고의 시기는 「지체 없이」이며 신용정보법 시행령과 신용정보업감독규정에도 시간 단위의 기한은 없습니다. 두 법의 기준이 금융회사에 어떻게 겹쳐 적용되는지는 사안별 검토가 필요합니다. (신용정보법 제3조의2 제2항 · 신용정보법 제39조의4 · 신용정보법 시행령 제34조의4 · 신용정보업감독규정 별표 4)
이 안내는 신용정보회사등이 보유한 개인신용정보가 누설된 경우에 한정됩니다. (신용정보법 제39조의4 제1항)
금융회사 등이 보유한 개인신용정보가 누설된 경우에는 신용정보법이 통지와 신고를 따로 정하고 있습니다. 신용정보주체에게 지체 없이 통지해야 하고, 1만 명 이상이면 금융위원회 또는 금융감독원에 신고하고 누설 사실을 널리 알려야 합니다(신용정보법 제39조의4, 같은 법 시행령 제34조의4). 판정기의 4번 질문에 「예」를 고르면 이 내용이 결과 끝에 함께 나옵니다. 다만 위 72시간과 신고 기준 셋은 개인정보 보호법의 기준이고, 두 법의 기준이 금융회사에 어떻게 겹쳐 적용되는지는 사안별 검토가 필요합니다.
실제로 얼마나 늦어서 처분됐나
기한을 넘긴 사건이 어떻게 처분됐는지는 결정문에 남아 있습니다. 통지·신고 지연이 처분 사유가 된 의결이 120건이고, 지연 일수가 적힌 사건에서 통지 지연의 중앙값은 14일, 신고 지연의 중앙값은 6일입니다. 가장 늦은 사건은 통지까지 940일이 걸렸습니다.
여기서 읽을 것은 「며칠까지는 괜찮다」가 아닙니다. 적용 기한이 사건마다 다릅니다 — 구 정보통신망법이 적용된 사건은 24시간 기준이었고, 지금은 72시간입니다. 사건별 기준과 일수는 유출 통지·신고 지연 제재에 전수로 정리해 두었습니다.
기한 안에 통지하고도 법정 기재사항을 빠뜨려 처분된 사건이 따로 있습니다. 위 판정기의 기재사항 표를 그대로 점검표로 쓰시면 됩니다.
통지문을 실제로 어떻게 쓰나
다른 회사들이 보낸 통지문을 모아 둔 자료가 있습니다. 유출 통지문 코퍼스에서 실제 문안과, 법정 기재사항 여섯 가지가 얼마나 지켜졌는지를 항목별로 볼 수 있습니다. 새로 들어온 여섯 번째 항목(손해배상·분쟁조정 안내)의 확인 비율이 낮은 것은 위반이 아니라 개정 전 통지이기 때문입니다. 사고 인지부터 72시간까지 무엇을 순서대로 해야 하는지는 유출 인지 후 72시간 가이드에 있습니다. 통지·신고 이후에 오는 국면 — 정보주체가 직접 청구해 오는 손해배상과 분쟁조정 — 은 손해배상 판결 정리와 분쟁조정 사례에서 실제 인정액을 확인하실 수 있습니다.
자주 묻는 질문
Q. 개인정보 유출 통지는 며칠 안에 해야 하나요?
유출된 사실을 알게 된 때부터 72시간 이내입니다(법 제34조 제1항, 시행령 제39조 제1항). 규모와 무관하게 유출된 개인정보의 정보주체 전원에게 해야 하며, 확산을 막을 긴급한 조치가 필요하거나 천재지변 등 부득이한 사유가 있으면 그 사유가 해소된 후 즉시 통지합니다. 항목이나 경위를 아직 확인하지 못했다면 확인된 내용만으로 먼저 통지하고 나머지는 확인되는 즉시 통지해야 합니다.
Q. 개인정보 유출 신고는 언제 해야 하나요?
1천 명 이상의 정보주체에 관한 개인정보가 유출됐거나, 민감정보 또는 고유식별정보가 유출됐거나, 개인정보처리시스템에 대한 외부로부터의 불법적인 접근으로 유출된 경우에는 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다(시행령 제40조 제1항). 셋 중 하나만 해당해도 신고 대상입니다. 유출 경로가 확인되어 회수·삭제 등의 조치로 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있습니다(같은 항 단서).
Q. 유출된 사실이 확실하지 않아도 통지해야 하나요?
2026년 9월 11일부터 그런 경우가 생겼습니다. 개인정보처리시스템에 불법적인 접근이 있었고 유출이 의심되지만 어느 정보주체의 것인지 특정하기 어려운 경우, 그리고 일부 개인정보가 제3자에 의해 거래되는 등으로 유출이 확인되어 다른 정보주체의 개인정보도 유출됐을 수 있다고 인정되는 경우입니다. 이때는 유출 가능성이 있는 모든 정보주체에게 72시간 이내에 알려야 하고, 기재사항은 확정된 유출의 통지와 달리 네 가지로 정해져 있습니다(법 제34조 제2항, 시행령 제39조의2·제39조의3).
Q. 통지가 늦으면 실제로 제재를 받나요?
받습니다. 개인정보보호위원회가 공개한 결정문 가운데 통지·신고 지연이 처분 사유가 된 의결이 120건이고, 통지 지연 일수가 적힌 사건의 중앙값은 14일, 신고 지연의 중앙값은 6일입니다. 기한 안에 통지하고도 법정 기재사항을 빠뜨려 처분된 사건이 따로 있습니다.
Q. 이름·연락처 없이 아이디나 내부 식별번호만 나갔어도 통지해야 하나요?
통지 대상이 될 수 있습니다. 법 제2조 제1호 나목은 그 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있으면 개인정보로 보고, 쉽게 결합할 수 있는지는 다른 정보의 입수 가능성과 시간·비용·기술을 합리적으로 고려해 판단합니다. 개인정보보호위원회도 고객 ID와 결제상품정보를 이미 보유한 다른 정보와 결합해 특정 개인을 식별할 수 있으면 개인정보에 해당할 수 있다고 안내합니다(개인정보 보호법 질의응답 모음집, 2025. 12.). 공개 결정문 가운데에는 휴면 안내 메일 오발송으로 이용자 아이디 66,364건이 유출된 사건에서 통지·신고가 늦었다는 이유로 과태료와 공표를 부과한 의결이 있습니다(제2023-223-491호). 다만 이 의결은 2023년 9월 개정 전 조항(24시간 기한)이 적용된 계정 아이디 사건이고, 결정문에 아이디가 개인정보에 해당하는지에 관한 별도 판단 문장은 없습니다. 내부에서만 쓰는 번호값만 유출된 사건을 위원회가 판단한 결정문은 이 사이트가 모은 결정문 범위에서는 찾지 못했습니다(2026년 10월 3일 기준). 신고는 따로 봅니다. 회원번호·사번 같은 내부 식별번호는 고유식별정보가 아니므로, 그 번호가 개인정보에 해당한다면 1천 명 이상인지, 민감정보나 고유식별정보가 함께 유출됐는지, 외부로부터의 불법적인 접근으로 유출됐는지를 보고 셋 중 하나라도 해당하면 신고 대상입니다. 쉽게 말하면, 이름이 나가지 않았다는 사실만으로 통지를 접지 말고 회사가 가진 다른 정보로 그 번호의 주인을 쉽게 알아볼 수 있는지부터 따져 보아야 합니다.