유출 통지·신고를 마친 다음 — 조사·처분·분쟁으로 이어지는 여섯 단계

핵심 요약: 유출 대응은 72시간에서 끝나지 않습니다. 통지·신고 뒤로 ④ 조사(법 제63조 자료제출 요구·검사, 제63조의2 사전 실태점검), ⑤ 처분(제64조 시정조치, 제64조의2 과징금, 제75조 과태료, 제65조 고발·징계권고, 제66조 공표), ⑥ 분쟁(제39조 손해배상, 제39조의2 법정손해배상, 제49조 집단분쟁조정)이 이어집니다. 이 단계들이 들여다보는 자료는 상당 부분 겹치고, 그 자료는 사고 당일에 만들어집니다. 과징금 산정에서 법 제64조의2 제4항이 피해 회복·확산 방지 조치와 위원회 협조를 고려하도록 하고, 민사 배상액에서 법 제39조 제4항이 회수 노력과 피해구제 노력을 고려하도록 하기 때문입니다. 2026년 9월 11일 개정은 통지·신고 조문(제34조)의 범위를 넓히지만 배상 조문의 범위는 그대로 둡니다.

72시간은 대응의 전부가 아니라 입구입니다. 그 뒤로 개인정보보호위원회의 조사가 오고, 시정조치와 과징금·과태료 판단이 오고, 경우에 따라 정보주체의 손해배상 청구와 집단분쟁조정이 이어집니다.

여기서 눈여겨볼 것이 하나 있습니다. 초기 72시간에 만든 기록이 뒤의 모든 단계에서 다시 쓰인다는 점입니다. 과징금을 정할 때 법 제64조의2 제4항은 피해 회복과 확산 방지 조치, 보호위원회와의 협조를 고려하도록 합니다. 민사 배상액을 정할 때 법 제39조 제4항은 제7호에서 유출된 개인정보를 회수하기 위해 노력한 정도를, 제8호에서 피해구제를 위해 노력한 정도를 고려하도록 합니다. 행정처분과 민사소송은 절차가 다르지만 들여다보는 자료는 상당 부분 겹칩니다.

그래서 사고 당일의 기록은 규제 대응 문서이면서 동시에 소송 자료입니다. 그때 남기지 않으면 나중에 만들 수 없습니다.

조사 단계에서 실제로 오는 것

보호위원회는 위반 사항을 발견하거나 혐의를 알게 된 경우, 신고를 받거나 민원이 접수된 경우에 개인정보처리자에게 관계 물품·서류 등 자료를 제출하게 할 수 있습니다(법 제63조 제1항 제1호·제2호). 자료를 내지 않거나 위반 사실이 인정되면 소속 공무원이 사무소나 사업장에 출입해 업무 상황과 장부·서류를 검사할 수 있습니다(같은 조 제2항).

혐의가 없는 상태에서 시작되는 경로도 있습니다. 법 제63조의2의 사전 실태점검입니다. 점검에서 위반이 발견되면 위원회가 시정방안을 정해 권고하는데, 권고를 받은 회사는 10일 이내에 수락 여부를 통지해야 합니다(같은 조 제3항). 수락하면 제64조 제1항의 시정조치 명령을 받은 것으로 봅니다(제4항). 수락하지 않거나 이행하지 않으면 제63조 제2항의 검사로 넘어갑니다(제5항).

이 단계에서 실제로 갈리는 것은 대개 "누가 조사를 받느냐"입니다. 원인이 해킹이 아니라 업무 과실일 때 직원 실수도 과징금 대상인지, 수탁사 직원의 실수일 때 위탁사가 어디까지 책임지는지, 계약이 끝난 뒤 수탁사 서버에 남아 있던 데이터라면 위탁사와 수탁사 중 누가 처분을 받는지를 각각 따로 정리했습니다.

처분은 과징금만이 아닙니다

위원회가 할 수 있는 처분은 여러 갈래입니다. 침해행위 중지나 처리의 일시적 정지 등을 명하는 시정조치(법 제64조 제1항), 과징금(제64조의2), 과태료(제75조), 고발·징계권고(제65조)가 각각 별개의 조문에 있습니다.

여기에 공표가 붙습니다. 법 제66조 제1항은 개선권고·시정조치 명령·과징금·고발·징계권고·과태료 부과의 내용과 결과를 위원회가 공표할 수 있도록 하고, 제2항은 처분 등을 받은 자에게 그 사실을 스스로 공표하도록 명할 수 있게 합니다. 회사 입장에서 실제 부담이 금액보다 공표 쪽에서 커지는 경우가 있습니다. 같은 날 같은 소위원회에서 과태료가 더 많은 건은 공표되지 않고 더 적은 건이 공표된 사례를 놓고 그 판단이 무엇으로 갈리는지는 개인정보위 결과 공표는 무엇으로 결정되는가에서 의결서 단위로 정리했습니다.

부과 규모의 감각은 2026년 상반기 개인정보위 제재 통계에서, 9월 개정으로 과징금 상한이 어떻게 달라지는지는 과징금 상한 변화에서, 개정 전반의 조문 대조는 신구조문 대조표에서 볼 수 있습니다.

분쟁 단계, 그리고 9월 개정이 여기까지는 오지 않는 부분

정보주체는 법 위반행위로 손해를 입으면 배상을 청구할 수 있고, 이때 개인정보처리자가 고의나 과실이 없음을 입증하지 못하면 책임을 면하지 못합니다(법 제39조 제1항). 고의 또는 중대한 과실로 유출된 경우라면 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다(같은 조 제3항). 손해액을 증명하기 어려운 정보주체를 위해 300만 원 이하에서 상당한 금액을 청구할 수 있는 법정손해배상도 따로 있습니다(제39조의2 제1항).

피해가 다수에게 비슷한 유형으로 발생하면 집단분쟁조정으로 갑니다. 조정 기간은 절차 개시 공고가 끝난 다음 날부터 60일 이내입니다(법 제49조 제7항). 조정안을 받은 뒤의 기한과 효력, 그리고 같은 사고에 소비자기본법상 집단분쟁조정이 따로 진행되는 구조는 조정안을 받고 15일 안에 회신하지 않으면 수락입니다에서 따로 다뤘습니다.

여기서 혼동되기 쉬운 지점을 하나 짚어 둡니다. 2026년 9월 11일부터 제39조 제3항과 제39조의2 제1항의 문언도 "분실·도난·유출·위조·변조 또는 훼손"에서 "유출등"으로 바뀌었습니다. 배상 대상이 넓어지는 것처럼 보이지만 그렇지 않습니다. 두 조문은 개정 전에도 여섯 가지를 모두 나열하고 있었고, 제23조 제2항이 새로 둔 "유출등"의 정의도 같은 여섯 가지입니다. 약칭으로 줄여 쓴 문언 정비입니다.

실제로 대상이 넓어지는 쪽은 분실·도난·유출 셋만 적고 있던 제34조입니다. 통지·신고의 범위는 달라지지만 배상 조문의 범위는 그대로라는 뜻이고, 이 둘을 묶어서 "9월부터 배상 범위가 확대된다"고 읽으면 사실과 어긋납니다.

수탁사 과실로 회사가 먼저 배상한 뒤 얼마를 돌려받을 수 있는지는 수탁사에 대한 구상에서 다뤘습니다.

선례 확인 — 유출 통지·신고 의무(보호법 제34조) 위반으로 실제 부과된 처분은 개인정보 유출 통지·신고 위반 제재 사례에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.

자주 묻는 질문

Q. 유출 신고를 하면 반드시 조사를 받게 되나요?

신고가 곧 조사는 아니지만 조사의 단서가 됩니다. 보호위원회는 위반 사항을 발견하거나 혐의를 알게 된 경우, 신고를 받거나 민원이 접수된 경우에 관계 물품·서류 등 자료 제출을 요구할 수 있고(법 제63조 제1항 제1호·제2호), 자료를 내지 않거나 위반 사실이 인정되면 소속 공무원이 사무소·사업장에 출입해 검사할 수 있습니다(같은 조 제2항). 혐의가 없는 상태에서 시작되는 사전 실태점검이라는 별도 경로도 있습니다(제63조의2).

Q. 처분은 과징금뿐인가요?

아닙니다. 침해행위 중지나 처리의 일시적 정지 등을 명하는 시정조치(법 제64조 제1항), 과징금(제64조의2), 과태료(제75조), 고발·징계권고(제65조)가 각각 별개의 조문에 있습니다. 여기에 공표가 붙어서, 보호위원회는 처분의 내용과 결과를 공표할 수 있고(제66조 제1항) 처분받은 자에게 스스로 공표하도록 명할 수도 있습니다(같은 조 제2항). 회사의 실제 부담이 금액보다 공표 쪽에서 커지는 경우가 있습니다.

Q. 2026년 9월 11일 개정으로 손해배상 범위도 넓어지나요?

넓어지지 않습니다. 제39조 제3항과 제39조의2 제1항의 문언이 '분실·도난·유출·위조·변조 또는 훼손’에서 '유출등’으로 바뀌지만, 두 조문은 개정 전에도 여섯 가지를 모두 나열하고 있었고 제23조 제2항이 새로 두는 '유출등’의 정의도 같은 여섯 가지입니다. 약칭으로 줄여 쓴 문언 정비입니다. 실제로 대상이 넓어지는 쪽은 분실·도난·유출 셋만 적고 있던 제34조이므로, 통지·신고의 범위와 배상 조문의 범위를 묶어서 읽으면 사실과 어긋납니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

앞 단계인 72시간 자체는 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리했습니다.

참고 자료

• 개인정보 보호법 제34조(개인정보 유출 등의 통지·신고), 제39조(손해배상책임), 제39조의2(법정손해배상의 청구), 제49조(집단분쟁조정), 제63조(자료제출 요구 및 검사), 제63조의2(사전 실태점검), 제64조(시정조치 등), 제64조의2(과징금의 부과), 제65조(고발 및 징계권고), 제66조(결과의 공표), 제75조(과태료) — 국가법령정보센터. 법률 제20897호(2025. 10. 2. 시행)
• 개인정보 보호법 일부개정법률(법률 제21445호, 2026. 3. 10. 공포, 2026. 9. 11. 시행) — 제23조 제2항의 '유출등' 정의 신설과 제34조·제39조·제39조의2의 문언 정비
• 개인정보 유출 통지·신고 위반 제재 사례 — 의결일·피심인·위반 조문·금액으로 걸러 보는 전수 표