유출 통지·신고를 마친 다음 — 조사·처분·분쟁으로 이어지는 여섯 단계

핵심 요약: 유출 대응은 72시간에서 끝나지 않습니다. 통지·신고 뒤로 ④ 조사(법 제63조 자료제출 요구·검사, 제63조의2 사전 실태점검), ⑤ 처분(제64조 시정조치, 제64조의2 과징금, 제75조 과태료, 제65조 고발·징계권고, 제66조 공표), ⑥ 분쟁(제39조 손해배상, 제39조의2 법정손해배상, 제49조 집단분쟁조정)이 이어집니다. 이 단계들이 들여다보는 자료는 상당 부분 겹치고, 그 자료는 사고 당일에 만들어집니다. 과징금 산정에서 법 제64조의2 제5항이 피해 회복·확산 방지 조치와 위원회 협조를 고려하도록 하고, 민사 배상액에서 법 제39조 제4항이 회수 노력과 피해구제 노력을 고려하도록 하기 때문입니다. 2026년 9월 11일 개정은 통지·신고 조문(제34조)의 범위를 넓혔지만 배상 조문의 범위는 그대로 두었습니다.

72시간 안의 신고·통지는 유출 대응의 전부가 아니라 첫 단계입니다. 그 뒤로 개인정보보호위원회의 조사가 오고, 시정조치와 과징금·과태료 판단이 오고, 경우에 따라 정보주체의 손해배상 청구와 집단분쟁조정이 이어집니다.

여기서 눈여겨볼 것이 하나 있습니다. 초기 72시간에 만든 기록이 뒤의 모든 단계에서 다시 쓰인다는 점입니다. 과징금을 정할 때 법 제64조의2 제5항은 피해 회복과 확산 방지 조치, 보호위원회와의 협조를 고려하도록 합니다. 민사 배상액을 정할 때 법 제39조 제4항은 제7호에서 유출된 개인정보를 회수하기 위해 노력한 정도를, 제8호에서 피해구제를 위해 노력한 정도를 고려하도록 합니다. 행정처분과 민사소송은 절차가 다르지만 들여다보는 자료는 상당 부분 겹칩니다.

따라서 사고 당일의 기록은 규제 대응 문서이면서 동시에 소송 자료입니다. 회사가 그때 기록을 남기지 않으면 나중에 다시 만들 수 없습니다.

현재 회사가 어느 단계에 있는지 먼저 표시해 두면 자료 준비의 우선순위가 분명해집니다. 아직 신고·통지 전이면 인지 시점과 범위를 먼저 확정하고, 자료제출 요구를 받은 뒤라면 요청 항목마다 사실관계·근거자료·대상 기간·누락 여부·다른 자료와의 충돌을 한 표에서 관리해야 합니다. 처분 사전통지를 받은 뒤에는 조사 단계의 설명을 그대로 반복하기보다, 사전통지서가 적시한 사실과 적용 조문별로 의견과 증거를 다시 배열해야 합니다.

조사 단계에서 실제로 오는 것

보호위원회는 위반 사항을 발견하거나 혐의를 알게 된 경우, 신고를 받거나 민원이 접수된 경우에 개인정보처리자에게 관계 물품·서류 등 자료를 제출하게 할 수 있습니다(법 제63조 제1항 제1호·제2호). 자료를 내지 않거나 위반 사실이 인정되면 소속 공무원이 사무소나 사업장에 출입해 업무 상황과 장부·서류를 검사할 수 있습니다(같은 조 제2항).

혐의가 없는 상태에서 시작되는 경로도 있습니다. 법 제63조의2의 사전 실태점검입니다. 점검에서 위반이 발견되면 위원회가 시정방안을 정해 권고하는데, 권고를 받은 회사는 10일 이내에 수락 여부를 통지해야 합니다(같은 조 제3항). 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 봅니다(제4항). 수락하지 않거나 이행하지 않으면 제63조 제2항의 검사로 넘어갑니다(제5항).

조사가 얼마나 걸리는지도 회사가 미리 알아야 할 사항입니다. 보호위원회가 낸 조사·처분 현황 표에는 조사 착수부터 의결까지의 소요기간이 연도별로 적혀 있습니다. 2025년은 345일, 2026년 상반기(6월 30일 기준)는 369일입니다. 보호위원회는 2026년 10월 2일 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」을 내고 사건을 세 갈래로 나눴습니다.

같은 방안에는 회사의 대응 일정에 직접 닿는 내용이 셋 있습니다. 첫째, 보호위원회는 사건 지정일부터 14일 안에 조사 착수 여부를 결정하는 것을 원칙으로 삼았습니다. 사실관계 확인 등 부득이한 경우에는 기간을 정해 연장합니다. 둘째, 자료제출 요구 등 사전검토 절차를 거친 뒤 조사에 착수하지 않기로 하면 그 결과를 조사 대상자에게 알립니다. 조사 기간을 연장할 때도 6개월 또는 12개월 단위로 통지합니다. 셋째, 예상 과징금 1억 원 이하인 소액 과징금 사건 등은 전체회의가 아니라 소위원회에서 처리합니다. 다만 쟁점이 복잡한 사안은 금액이 작아도 전체회의에 올립니다. 보호위원회는 운영 실적을 보아 이 범위를 3억 원, 10억 원 이하로 단계적으로 넓힐 계획입니다. 보호위원회 자료는 사건 관리, 착수·진행 단계 통지, 소액 과징금 소위원회 처리를 「즉시 시행」 과제로 적고 있습니다.

쉽게 말하면 이렇습니다. 보호위원회는 사건을 지정한 뒤 2주 안에 조사를 시작할지 정하는 것을 원칙으로 삼았습니다. 예상 과징금이 작고 쟁점이 단순한 사건은 소위원회에서 처리됩니다. 다만 12·6·3개월과 14일은 방안이 「원칙」으로 적은 기간이고, 부득이한 경우에는 늘어날 수 있습니다. 보호위원회는 2026년 하반기부터 조사 단계별 소요기간을 공개하겠다고 했습니다. 그 통계가 나오면 이 원칙이 전체적으로 지켜지는지 가늠할 수 있습니다.

이 단계에서 실제로 갈리는 것은 대개 "누가 조사를 받느냐"입니다. 원인이 해킹이 아니라 업무 과실일 때 직원 실수도 과징금 대상인지, 수탁사 직원의 실수일 때 위탁사가 어디까지 책임지는지, 계약이 끝난 뒤 수탁사 서버에 남아 있던 데이터라면 위탁사와 수탁사 중 누가 처분을 받는지를 각각 따로 정리했습니다.

처분은 과징금만이 아닙니다

위원회가 할 수 있는 처분은 여러 갈래입니다. 침해행위 중지나 처리의 일시적 정지 등을 명하는 시정조치(법 제64조 제1항), 과징금(제64조의2), 과태료(제75조), 고발·징계권고(제65조)가 각각 별개의 조문에 있습니다.

여기에 공표가 붙습니다. 법 제66조 제1항은 개선권고·시정조치 명령·과징금·고발·징계권고·과태료 부과의 내용과 결과를 위원회가 공표할 수 있도록 하고, 제2항은 처분 등을 받은 자에게 그 사실을 스스로 공표하도록 명할 수 있게 합니다. 회사 입장에서 실제 부담이 금액보다 공표 쪽에서 커지는 경우가 있습니다. 같은 날 같은 소위원회에서 과태료가 더 많은 건은 공표되지 않고 더 적은 건이 공표된 사례가 있습니다(2026년 7월 8일 제2소위원회, 제2026-213-268호·제2026-213-269호). 그 판단이 무엇으로 갈리는지는 개인정보위 결과 공표는 무엇으로 결정되는가에서 의결서 단위로 정리했습니다.

제재 규모가 대략 어느 정도인지는 2026년 상반기 개인정보위 제재 통계에서, 9월 개정으로 과징금 상한이 어떻게 달라졌는지는 과징금 상한 변화에서, 개정 전반의 조문 대조는 신구조문 대조표에서 볼 수 있습니다.

분쟁 단계, 그리고 9월 개정이 여기까지는 오지 않는 부분

정보주체는 법 위반행위로 손해를 입으면 배상을 청구할 수 있고, 이때 개인정보처리자가 고의나 과실이 없음을 입증하지 못하면 책임을 면하지 못합니다(법 제39조 제1항). 고의 또는 중대한 과실로 유출된 경우라면 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다(같은 조 제3항). 손해액을 증명하기 어려운 정보주체를 위해 300만 원 이하에서 상당한 금액을 청구할 수 있는 법정손해배상도 따로 있습니다(제39조의2 제1항).

피해가 다수에게 비슷한 유형으로 발생하면 집단분쟁조정으로 갑니다. 조정 기간은 절차 개시 공고가 끝난 다음 날부터 60일 이내입니다(법 제49조 제7항). 조정안을 받은 뒤의 기한과 효력, 그리고 같은 사고에 소비자기본법상 집단분쟁조정이 따로 진행되는 구조는 조정안을 받고 15일 안에 회신하지 않으면 수락입니다에서 따로 다뤘습니다.

여기서 혼동되기 쉬운 지점을 하나 짚어 둡니다. 2026년 9월 11일부터 제39조 제3항과 제39조의2 제1항의 문언도 "분실·도난·유출·위조·변조 또는 훼손"에서 "유출등"으로 바뀌었습니다. 배상 대상이 넓어지는 것처럼 보이지만 그렇지 않습니다. 두 조문은 개정 전에도 여섯 가지를 모두 나열하고 있었고, 제23조 제2항이 새로 둔 "유출등"의 정의도 같은 여섯 가지입니다. 이 변경은 약칭으로 줄여 쓴 문언 정비입니다.

실제로 대상이 넓어진 쪽은 분실·도난·유출 셋만 적고 있던 제34조입니다. 통지·신고의 범위는 달라졌지만 배상 조문의 범위는 그대로입니다. 따라서 이 둘을 묶어서 "9월부터 배상 범위가 확대된다"고 읽으면 사실과 어긋납니다.

수탁사 과실로 회사가 먼저 배상한 뒤 얼마를 돌려받을 수 있는지는 수탁사에 대한 구상에서 다뤘습니다.

선례 확인 — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 개인정보 유출 통지·신고 위반 제재 사례에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그 표가 빠릅니다.

자주 묻는 질문

Q. 유출 신고를 하면 반드시 조사를 받게 되나요?

신고가 곧 조사는 아니지만 조사의 단서가 됩니다. 보호위원회는 위반 사항을 발견하거나 혐의를 알게 된 경우, 신고를 받거나 민원이 접수된 경우에 관계 물품·서류 등 자료 제출을 요구할 수 있고(법 제63조 제1항 제1호·제2호), 자료를 내지 않거나 위반 사실이 인정되면 소속 공무원이 사무소·사업장에 출입해 검사할 수 있습니다(같은 조 제2항). 혐의가 없는 상태에서 시작되는 사전 실태점검이라는 별도 경로도 있습니다(제63조의2).

Q. 처분은 과징금뿐인가요?

아닙니다. 침해행위 중지나 처리의 일시적 정지 등을 명하는 시정조치(법 제64조 제1항), 과징금(제64조의2), 과태료(제75조), 고발·징계권고(제65조)가 각각 별개의 조문에 있습니다. 여기에 공표가 붙어서, 보호위원회는 처분의 내용과 결과를 공표할 수 있고(제66조 제1항) 처분받은 자에게 스스로 공표하도록 명할 수도 있습니다(같은 조 제2항). 회사의 실제 부담이 금액보다 공표 쪽에서 커지는 경우가 있습니다.

Q. 2026년 9월 11일 개정으로 손해배상 범위도 넓어지나요?

넓어지지 않습니다. 제39조 제3항과 제39조의2 제1항의 문언이 '분실·도난·유출·위조·변조 또는 훼손'에서 '유출등'으로 바뀌었지만, 두 조문은 개정 전에도 여섯 가지를 모두 나열하고 있었고 제23조 제2항이 새로 둔 '유출등'의 정의도 같은 여섯 가지입니다. 약칭으로 줄여 쓴 문언 정비입니다. 실제로 대상이 넓어진 쪽은 분실·도난·유출 셋만 적고 있던 제34조이므로, 통지·신고의 범위와 배상 조문의 범위를 묶어서 읽으면 사실과 어긋납니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

앞 단계인 72시간 자체는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.

참고 자료

• 개인정보 보호법 제34조(개인정보 유출 등의 통지·신고), 제39조(손해배상책임), 제39조의2(법정손해배상의 청구), 제49조(집단분쟁조정), 제63조(자료제출 요구 및 검사), 제63조의2(사전 실태점검), 제64조(시정조치 등), 제64조의2(과징금의 부과), 제65조(고발 및 징계권고), 제66조(결과의 공표), 제75조(과태료) — 국가법령정보센터. 법률 제21445호(2026. 9. 11. 시행)
• 「개인정보 보호위원회의 조사 및 처분에 관한 규정」(개인정보보호위원회고시 제2026-13호, 2026. 9. 11. 시행) 제8조부터 제16조의2까지
• 개인정보보호위원회 보도자료 「개인정보 유출·침해사고, 더 빠르게 더 공정하게 더 투명하게 조사」(2026. 10. 2.)와 참고자료 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」 — 사건 구분과 처리 기간, 14일 착수 검토 원칙, 소위원회 처리 범위, 조사·처분 현황(2026. 6. 30. 기준)
• 개인정보 보호법 일부개정법률(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) — 제23조 제2항의 '유출등' 정의 신설과 제34조·제39조·제39조의2의 문언 정비
• 개인정보 유출 통지·신고 위반 제재 사례 — 의결일·피심인·위반 조문·금액으로 걸러 보는 전수 표

2026년 9월 22일 수정: 현재 단계별 자료 준비 기준을 보완하고, 72시간 대응 가이드와 제재 방어 논리 표를 단계표에 연결했습니다.

2026년 10월 2일 수정: 과징금 고려사항의 근거를 현행 조문 번호(법 제64조의2 제5항)로 바로잡았습니다. 시제와 법령 판 표기를 시행 뒤 기준으로 정리했습니다.

2026년 10월 3일 수정: 보호위원회가 10월 2일 발표한 사건 구분(중요·일반·경미)과 처리 기간, 14일 착수 검토 원칙, 소액 과징금 소위원회 처리를 조사 단계 절에 더했습니다.