핵심 요약 — 개인정보 유출 사고는 ① 인지 ② 72시간 내 통지·신고 ③ 원인 규명 ④ 개인정보위 조사 ⑤ 처분과 공표 ⑥ 기업 간 책임 배분 순으로 진행되고, 단계마다 근거 조문과 판단 기준이 다릅니다. 통지 의무는 유출등을 알게 된 것만으로 발생하고 위험 정도를 요건으로 하지 않으며(제34조 제1항), 기한은 72시간입니다(시행령 제39조 제1항). 원인이 해킹인지 직원 실수인지는 처분 여부를 가르지 않습니다(제64조의2 제1항 제9호). 처분 금액과 결과 공표는 별개의 판단이고, 공표는 법 제66조 제1항에 따른 재량입니다. 2026년 9월 11일부터는 통지·신고 대상인 ‘유출등’에 위조·변조·훼손이 추가됩니다.

사고가 났을 때 가장 흔한 실수는 순서를 바꾸는 것입니다. 원인을 규명한 다음 알리려다 기한을 넘기고, 그 지연이 나중에 처분 사유로 남습니다. 이 페이지는 글들을 사고 진행 순서대로 묶었습니다.

1단계 — 이것이 신고 대상 사고인가

먼저 무엇이 ‘유출등’인지를 확정해야 합니다. 현행법에서 ‘유출등’은 분실·도난·유출 세 가지입니다. 2026년 9월 11일 시행 개정법은 여기에 위조·변조·훼손을 더합니다. 데이터가 밖으로 나간 것이 확인되지 않아도 파일이 훼손된 상태만으로 시계가 돌 수 있다는 뜻입니다.

→ 랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나

2단계 — 인지 후 72시간

“정확히 파악한 다음에 알리자"는 법이 주지 않은 선택지입니다. 유출 항목도 경위도 모르는 상태에서 우선 통지·우선 신고하는 것이 시행령이 정한 기본 절차이고, 미룰 수 있는 사유는 통지보다 신고가 더 좁습니다. 이 72시간에 남긴 기록은 나중에 과징금 산정과 손해배상액에서 다시 쓰입니다.

→ 개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일

본사 인시던트 대응 절차서를 쓰는 회사는 여기서 한 번 걸립니다. GDPR 기준 절차서는 위험도 평가를 첫 분기점에 두는데, 한국법 제34조 제1항은 위험 정도를 요건으로 삼지 않습니다. 암호화에 따른 통지 면제도 없습니다.

→ 본사 인시던트 대응 플레이북을 한국에 그대로 적용할 수 있나

3단계 — 원인이 무엇이든 신고 의무자는 우리인가

원인별로 “우리가 피해자인데 왜 우리가 의무자인가"라는 질문이 반복됩니다. 아래는 그 질문이 실제로 나오는 네 가지 상황입니다.

직원의 업무 과실 — 제64조의2 제1항 제9호는 ‘유출된 경우’ 자체를 사유로 정하고 원인을 묻지 않습니다. 2025년 유출 관련 조사·처분 115건에서 원인 1위가 업무 과실(53건, 46%)이었습니다.

→ 해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가

퇴사자의 데이터 반출 — 회사는 영업비밀 침해 사건의 원고이면서 동시에 개인정보 유출의 통지 의무자입니다. 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈립니다.

→ 퇴사자가 고객 데이터를 가지고 나갔습니다 — 우리는 피해자인데 왜 신고 의무자인가

수탁사에서 난 사고 — 콜센터·배송·전산 유지보수 어느 쪽이든 책임의 무게중심은 위탁사에 있습니다.

→ 수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나

고객 사업장에 놓인 우리 장비 — 기준은 장비가 어디에 있는지가 아니라 인증과 접속통제를 누가 하는지입니다. 키오스크·단말·온프레미스 설치형 제품을 고객사에 두는 회사에 그대로 적용됩니다.

→ 우리 장비가 고객 사업장에 설치돼 있습니다 — 거기서 난 사고는 누가 책임지는가

받는 쪽이 되는 경우도 있습니다. 요청하지 않은 개인정보가 제휴 API 응답에 섞여 들어와 보관되고 있었다면, 받은 쪽이 어느 조문의 수범자가 되는지부터 갈라야 합니다.

→ 제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔습니다 — 받은 쪽도 책임이 있는가

4단계 — 조사와 처분

실제 처분이 어디에 어떤 유형으로 내려지는지는 통계로 보는 편이 빠릅니다. 2026년 상반기 개인정보위는 38개 사업자·기관에 과징금 6,806억 7,100만 원을 부과했고, 위반유형 1위는 안전조치의무였습니다.

→ 2026년 상반기 개인정보위 제재 정리: 과징금 6,807억 원은 어디에 부과됐나

금액의 셈법은 2026년 9월 11일부터 달라집니다. 중대·반복 위반의 상한이 매출액 10%가 되고, 신속 신고를 감경 요소로, 은폐를 가중 요소로 다루는 방향이 함께 움직이고 있습니다.

→ 2026년 9월 개정으로 과징금 상한이 어떻게 바뀌나 — 매출액 3%에서 10%로

5단계 — 공표는 금액과 따로 결정됩니다

같은 날 의결된 사건에서 과태료 900만 원인 회사는 공표되지 않고, 420만 원인 회사는 1년간 공표된 사례가 있습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단입니다. 의견제출을 준비한다면 금액과 공표를 나누어 대응할 필요가 있습니다.

→ 과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가

6단계 — 처분이 끝난 뒤의 책임 배분

사고 대응은 처분으로 끝나지 않습니다. 위탁 관계였다면 그다음이 기업 간 책임 배분입니다.

계약이 끝난 뒤에 남아 있던 데이터에서 사고가 난 경우에는 처분이 발주사가 아니라 수탁사에게 온 사례가 있습니다. 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하기 때문입니다.

→ 위탁계약이 끝났는데 수탁사 서버에 데이터가 남아 있었습니다 — 위탁사와 수탁사 중 누가 처분을 받는가

정보주체에게 먼저 배상한 위탁사가 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만입니다.

→ 수탁사 잘못으로 우리가 먼저 손해배상을 했습니다 — 수탁사로부터 돌려받는 금액은 어떻게 결정되는가

자주 묻는 질문

Q. 유출 사실이 확실하지 않은데도 신고해야 하나요?

개인정보 보호법 제34조 제1항은 유출등을 알게 된 것만으로 통지 의무를 지우고, 유출 항목이나 경위를 확정할 것을 요건으로 하지 않습니다. 시행령 제39조 제1항이 정한 72시간은 조사를 마치는 기한이 아니라 알리는 기한이므로, 파악되지 않은 항목은 파악되지 않았다고 적어 우선 통지·우선 신고하는 것이 시행령이 정한 기본 절차입니다. 미룰 수 있는 사유는 통지보다 신고 쪽이 더 좁습니다.

Q. 해킹이 아니라 직원 실수인데도 과징금 대상인가요?

대상이 됩니다. 제64조의2 제1항 제9호는 ‘유출된 경우’ 자체를 과징금 사유로 정할 뿐 원인이 해킹인지 담당자 과실인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건에서도 원인 1위는 업무 과실로 53건(46%)이었습니다. 원인은 처분 여부보다 안전조치 이행 수준과 사후 대응을 통해 금액에 반영됩니다.

Q. 수탁사에서 사고가 났는데 우리도 처분을 받나요?

사고 국면과 계약 종료 국면이 다릅니다. 수탁사 직원의 과실로 사고가 난 경우 책임의 무게중심은 위탁사에 있고, 제26조 제4항·제7항과 제64조의2 제1항 제5호가 그 구조를 만듭니다. 반면 계약이 끝난 뒤 수탁사가 파기하지 않아 생긴 사고에서는 제26조 제8항의 준용에 따라 수탁사 자신이 처분 대상이 된 사례가 있습니다.

관련 가이드

참고 자료