가이드

개인정보 보호법에는 GDPR의 processor에 대응하는 지위가 없고, 수탁자는 제26조 제8항의 준용에 따라 개인정보처리자 의무 대부분을 자기 이름으로 집니다. 우리가 위탁자인지 수탁자인지, 어떤 도구가 ‘위탁’이고 어떤 것이 ‘제공’인지, 사고가 났을 때와 계약이 끝난 뒤에 처분이 어느 쪽으로 가는지, 배상한 뒤 구상은 얼마나 되는지를 계약의 진행 순서대로 묶었습니다.

유출 사고는 인지·통지·신고·조사·처분·책임 배분 순으로 진행되고, 단계마다 걸리는 조문과 판단 기준이 다릅니다. 무엇이 ‘유출등’에 해당하는지, 인지 후 72시간에 무엇을 해야 하는지, 원인이 해킹이 아니라 직원 실수·퇴사자 반출·수탁사 과실일 때 누가 신고 의무자가 되는지, 처분과 공표는 무엇으로 갈리는지, 배상한 뒤 수탁사에 얼마나 구상할 수 있는지를 사고 진행 순서대로 묶었습니다.

법률 제21445호가 2026년 9월 11일 시행됩니다. 유출등 정의에 위조·변조·훼손이 들어오고, 신고의 근거 조문이 제34조 제3항에서 제4항으로 이동하며, 중대·반복 위반의 과징금 상한이 전체 매출액의 10%가 되고, 개인정보 보호책임자 지정에 이사회 의결과 신고 의무가 붙습니다. 후속 시행령 개정령안은 입법예고(공고 제2026-59호)를 마쳤으나 아직 공포되지 않았습니다. 날짜별로 걸리는 의무와 지금 고쳐야 할 사내 문서를 정리했습니다.