유출 통지문에는 실제로 무엇이 적혀 있나 — 공개 통지문 모음

핵심 요약 — 이 페이지는 국내 사업자가 정보주체에게 보낸 유출 통지문의 문안을 모은 표입니다. 위원회가 처분한 사건이 아니라, 회사가 스스로 올린 글이 원천입니다. 통지문 원문과 언론이 인용한 문안, 대표 사과문을 갈라 담았고, 개인정보 보호법 제34조 제1항 기재사항의 확인 비율은 통지문 원문만을 분모로 집계했습니다. 개별 사업자의 기재 결손은 행에 표시하지 않습니다. 통지가 늦거나 빠져 처분된 사건은 통지 지연 제재 전수에, 통지 이후의 절차는 허브 개인정보 유출 대응에 있습니다.

국내 사업자가 정보주체에게 보낸 유출 통지문 원문 97건(2026-10-29 수집분, 언론 인용문과 사과문은 분모에서 제외)에서 개인정보 보호법 제34조 제1항의 기재사항 가운데 유출 항목은 90건, 시점·경위는 95건, 피해 최소화 방법은 84건, 대응조치·구제절차는 96건, 접수 부서·연락처는 88건에 적혀 있고, 손해배상·분쟁조정 안내는 51건에 그쳤다. 다만 이 안내를 새로 요구한 개정법 시행일(2026년 9월 11일) 이후 통지문만 보면 65건 중 43건이 적었고, 그 전 통지문은 29건 중 7건이었다. — 이현섭 변호사(법무법인 세움) 집계

유출 사고가 나면 통지문을 쓸 사람은 대개 처음 써 봅니다. 조문에는 여섯 가지를 적으라고 되어 있지만, 그 여섯 가지를 어떤 문장으로 쓰는지는 조문에 없습니다.

참고할 만한 것은 다른 회사가 실제로 보낸 통지문입니다. 그런데 그 문안이 오래 남지 않습니다. 시행령 제39조 제3항은 홈페이지에 30일 이상 게시하라고만 요구하고, 그 기간이 지나면 공지가 내려갑니다. 통지를 받은 사람에게는 문자 한 통이 남지만 그것도 지워집니다.

이 페이지는 사라지기 전의 문안을 모아 둔 것입니다.

문안을 쓰기 전에 무엇을 적어야 하는지부터 확인하시려면 유출 통지·신고 판정기에 법정 기재사항과 기한이 조문별로 정리돼 있습니다.

기준일 2026-10-29 · 원천 사업자 홈페이지 공지·팝업·SMS 전문(notice) 및 언론 인용(press). 위원회 게시판이 아니라 사업자가 스스로 올린 글이 원천이라, 이 표에는 의결번호도 처분도 없습니다. 통지문은 시행령 제39조 제3항이 홈페이지 30일 게시를 요구할 뿐이어서 그 기간이 지나면 내려갑니다 — 실제로 이 목록을 만드는 동안 여러 건이 사라졌고, 그 사건들은 아래 「원문을 못 구한 사건」에 사유와 함께 남겼습니다. 이 표는 통지문이 적은 것만 보입니다. 개별 사업자의 기재사항 결손은 행에 표시하지 않고 아래 집계로만 냅니다.

법이 정한 다섯 칸은 대체로 채워집니다. 여섯째 칸은 아직 비어 있습니다

개인정보 보호법 제34조 제1항은 통지에 담을 것을 정해 두었습니다. 아래는 통지문 원문 97건에서 그 항목이 실제로 확인된 비율입니다. 언론이 인용한 32건은 기사가 잘라 낸 것이라 분모에서 뺐습니다.

🔴 여섯째 칸의 낮은 숫자는 위반이 아닙니다. 손해배상·분쟁조정 등 권리 안내(제34조 제1항 제6호)는 2026년 9월 11일 시행 개정법이 새로 넣은 항목이고, 그 이전 통지에 그 칸이 없는 것은 당연합니다. 이 숫자가 말해 주는 것은 위반 여부가 아니라 지금까지의 관행에 그 문장이 거의 없었다는 것입니다 — 시행 이후 통지문을 쓸 때 가장 먼저 빠질 자리가 어디인지를 가리킵니다. ③ 피해 최소화 방법과 ⑤ 접수 부서·연락처가 그다음으로 낮은데, 이 둘은 개정 전부터 의무였습니다.

통지문이 실제로 적은 것

「통지문이 밝힌 유출 항목」은 문안에 적힌 낱말을 그대로 옮긴 것입니다. 성격이 같은 낱말끼리 묶어 보였고, 묶음 이름(신원·연락처 등)은 읽기 쉽게 붙인 것입니다. 칸이 비어 있으면 항목을 적지 않은 것이 아니라 그 문안에서 확인되지 않은 것이고, 기사 인용 행에서는 기자가 줄인 결과일 수 있습니다. 「사업자 공지」 링크는 기준일에 살아 있던 주소이며, 30일 게시가 끝나 지금은 열리지 않는 것이 있습니다. 「보관본」은 인터넷 아카이브(Wayback Machine)에 저장해 둔 사본입니다. 저장본이 이 표가 옮긴 문안과 맞는 것만 걸었고, 링크에 마우스를 올리면 저장일이 보입니다.

문안의 모습 — 어디에 올렸고, 무엇 때문이라고 했나

창구 칸은 통지문이 문의처로 적은 주소의 성격만 셉니다 — 개인정보 업무 전용 주소인지, 일반 고객센터인지, 담당자 개인 메일인지. 주소 자체와 담당자 이름은 싣지 않습니다. 원인 칸도 사업자가 자기 문안에 쓴 표현을 유형으로 옮긴 것이지, 조사로 확인된 원인이 아닙니다.

통지문 원문 97건 가운데 인지 시점을 날짜로 적은 것이 68건이고, 「유출 정황은 확인되지 않았다」·「가능성은 낮다」처럼 사업자 스스로 평가한 문장을 넣은 것이 28건, 조사 결과가 나오면 다시 알리겠다는 후속 통지 예고가 42건, 유출이 확인되기 전에 선제적으로 보냈다고 밝힌 것이 11건입니다.

원문을 못 구한 사건 30건

「통지가 없었다」와 「통지문을 못 구했다」는 다릅니다. 아래는 사건은 알려졌지만 문안을 확보하지 못한 것들이고, 사유를 그대로 적었습니다. 대부분은 사업자의 잘못이 아니라 통지문이 오래 남지 않는다는 사실의 결과입니다.

이 표를 읽을 때 조심할 것

• 원천이 셋이고 무게가 다릅니다. 통지문 원문은 사업자가 올린 문안 그대로입니다. 기사 인용 행은 기자가 필요한 부분만 옮긴 것이라, 어떤 항목이 안 보인다고 해서 통지문에 없었다는 뜻이 되지 않습니다. 기사 인용 행의 유출 항목과 원인은 기사 본문을 사람이 읽고 확정한 값입니다(2026년 10월 3일 재검토). 기사 화면의 관련 기사 목록에 섞인 낱말이 항목으로 잡히던 오류를 이때 바로잡았습니다. 사과문과 입장문은 원문이기는 하지만 제34조가 요구하는 글이 아니어서 기재사항 집계의 분모에서 뺐습니다.
• 여섯째 칸의 낮은 숫자를 위반으로 읽으면 안 됩니다. 손해배상·분쟁조정 등 권리 안내는 2026년 9월 11일 시행 개정법이 새로 넣은 항목입니다. 그 전에 보낸 통지문에 그 문장이 없는 것은 당연합니다. 이 숫자가 가리키는 것은 위반이 아니라, 지금까지의 문안을 그대로 쓰면 가장 먼저 비는 자리가 어디인가입니다.
• 원인 칸은 조사 결과가 아닙니다. 사업자가 자기 통지문에 쓴 표현을 유형으로 옮긴 것입니다. 「외부의 불법적인 접근」이라고 적힌 사건이 나중에 내부자 소행으로 밝혀질 수도 있습니다.
• 개별 사업자를 채점하지 않습니다. 여기 실린 회사 대부분은 통지와 관련해 처분을 받지 않았습니다. 위원회가 공표한 처분을 옮기는 제재 추적기와 달리, 처분받지 않은 사업자의 통지문을 행 단위로 채점해 검색되는 표로 공개하는 일은 하지 않았습니다.
• 미확보는 「통지가 없었다」가 아닙니다. 이메일로만 보낸 통지, 로그인한 회원에게만 보인 공지, 임직원에게만 보낸 사내 통지는 원문을 구할 수 없습니다. 표 아래에 사유를 그대로 적어 둔 이유입니다.

통지문을 쓸 때 이 표에서 가져갈 것

연락처 칸을 마지막에 채우지 마십시오. 문의를 받겠다고 적은 창구를 성격별로 세어 보면, 개인정보 업무 전용 주소는 소수입니다. 일반 고객센터 주소나 담당자 개인 메일이 그대로 올라간 통지문이 그보다 많습니다. 제34조 제1항 제5호는 「피해를 신고·상담할 수 있는 부서 및 연락처」를 요구하므로, 조사가 시작되면 위원회는 그 창구가 실제로 그 일을 할 수 있었는지를 봅니다.

「유출 정황은 확인되지 않았습니다」는 사업자가 스스로 한 평가입니다. 그런 문장을 넣은 통지문이 적지 않습니다. 선제적으로 알린다는 취지 자체는 개정 제34조 제2항의 가능성 통지와 같은 방향이지만, 나중에 유출이 확인되면 그 문장은 인지 시점을 다투는 자리에서 사업자에게 불리하게 읽힙니다. 그때 비교되는 것은 통지문에 적힌 날짜와 조사로 확인된 날짜입니다.

인지 날짜를 적을지 말지가 갈립니다. 통지문 원문 가운데 인지 시점을 날짜로 밝힌 것과 밝히지 않은 것이 나뉩니다. 날짜를 적지 않으면 당장은 편하지만, 72시간 계산의 기산점을 위원회가 대신 정하게 됩니다. 실제 처분 사건에서 위원회는 사업자가 「확정적으로 알게 된 날」이 아니라 「충분히 알 수 있었던 날」을 인지일로 봅니다 — 통지 지연 제재 전수에 그 판단이 모여 있습니다.

함께 보면 좋은 자료

• 통지가 늦거나 빠져 처분된 사건: 유출 통지 72시간, 며칠 늦으면 처분되나
• 통지 이후 무엇을 해야 하는지: 개인정보 유출 대응
• 통지문 한 통에서 읽히는 신호를 문장 단위로 뜯어본 글: 유출 통지 문자 한 통에서 읽히는 네 가지 신호
• 통지를 받은 정보주체가 실제로 어떤 구제를 받았는지: 분쟁조정 사례 · 유출 손해배상 판결 정리

자주 묻는 질문

Q. 유출 통지문에 무엇을 적어야 하나요?

개인정보 보호법 제34조 제1항 제1호부터 제6호까지의 여섯 가지입니다(제7호는 그 밖에 대통령령으로 정하는 사항을 더할 수 있게 한 위임 규정입니다). 유출된 개인정보의 항목, 유출된 시점과 그 경위, 유출로 인해 발생할 수 있는 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 개인정보처리자의 대응조치와 피해 구제절차, 피해를 신고·상담할 수 있는 부서와 연락처, 그리고 2026년 9월 11일 시행 개정으로 더해진 손해배상·분쟁조정 등 정보주체의 권리 안내입니다. 실제 통지문을 모아 보면 앞의 다섯 가지 중 대응조치는 사실상 모든 문안에 들어 있고, 피해 최소화 방법과 접수 부서·연락처가 상대적으로 자주 빠집니다.

Q. 다른 회사 통지문을 참고할 수 있나요?

이 페이지의 표에서 문안이 남아 있는 사업자 공지로 바로 갈 수 있습니다. 다만 링크가 오래가지 않습니다. 시행령 제39조 제3항은 홈페이지 게시를 30일 이상 하도록 요구할 뿐이어서, 그 기간이 지나면 공지가 내려가고 검색에서도 사라집니다. 이 목록을 만드는 동안에도 여러 건이 그렇게 없어졌고, 확보하지 못한 사건은 페이지 아래쪽에 사유와 함께 적어 두었습니다.

Q. 2026년 9월 11일부터 통지문을 어떻게 고쳐야 하나요?

손해배상과 분쟁조정 등 권리를 안내하는 문장이 새로 들어가야 합니다. 개정 제34조 제1항 제6호이고, 이 페이지가 모은 통지문 원문에서 그런 문장이 확인되는 건은 매우 적습니다. 지금까지의 문안을 그대로 재사용하면 가장 먼저 빠질 자리가 여기입니다. 개정법은 유출이 확정되기 전 가능성 단계의 통지도 새로 두었으므로(제34조 제2항), 확정 통지와 가능성 통지의 문안을 따로 준비해 두는 편이 낫습니다.

Q. 이 표에 회사별 위반 여부가 나오나요?

나오지 않습니다. 이 표는 통지문이 적은 것만 보이고, 기재사항이 빠졌는지는 개별 행에 표시하지 않습니다. 여기 실린 사업자 대부분은 통지와 관련해 처분을 받지 않았고, 위원회가 공표한 처분을 옮기는 제재 자료와 성격이 다르기 때문입니다. 기재사항 확인 비율은 사업자를 특정하지 않는 집계로만 냅니다. 실제로 통지 지연·누락으로 처분된 사건은 통지 지연 제재 전수에 따로 있습니다.

출처 표기와 정정

이 표의 원천은 사업자가 스스로 올린 통지문과 언론 보도입니다. 인용하실 때는 표의 행에 걸린 사업자 공지나 보도 링크를 함께 밝혀 주십시오.

이 페이지의 집계를 인용하실 때: 이현섭, 「유출 통지문에는 실제로 무엇이 적혀 있나」, datalaw.kr, 2026-10-29 수집분, https://datalaw.kr/breach-notices/. 원자료는 사업자가 올린 통지문과 언론 보도입니다.

통지문을 올렸는데 이 표에 없거나, 사유 칸의 기재가 사실과 다르다면 hyunsub.lee@seumlaw.com으로 알려 주십시오. 원문을 확인하는 대로 고치겠습니다. 표에서 자기 회사 행을 빼기를 원하시는 경우에도 같은 주소로 연락 주시면 됩니다.