유출 통지 문자 한 통에서 읽히는 네 가지 신호

핵심 요약. 유출 통지문은 정보주체에게 보내는 안내문이면서 위원회 조사에서 첫 번째로 읽히는 회사의 진술서입니다. 통지문에 적은 사고 날짜는 72시간 시계의 기산점 주장이 되고, '탈취 정황이 낮다'는 문장은 그 근거 로그를 묻는 질문이 되며, 빠진 기재사항은 그 자체로 과태료 사유가 됩니다(법 제34조 제1항, 제75조 제2항 제17호). 2026년 9월 11일 이후에는 유출 가능성 단계의 통지(신설 제2항)가 의무가 되고, 유출이 확정된 뒤의 통지에는 손해배상·분쟁조정 안내(신설 제6호)가 들어가야 하므로, 가능성 단계의 문안을 확정 단계에 그대로 다시 쓰면 한 칸이 빕니다.

랜섬웨어 사고 뒤에 정보주체가 받는 문자 통지 가운데에는 다음과 같은 형식을 따르는 것이 있습니다. 어느 날짜에 외부 불법 접근을 확인했는지를 한 문장으로 적고, 대량 트래픽이 확인되지 않아 탈취 정황은 낮다고 판단하지만 선제적으로 안내한다는 문장을 붙이고, 유출이 의심되는 항목을 나열합니다. 이어서 서버망 차단과 관계기관 신고 완료를 조치로 적고, 유출이 확인되면 다시 연락하겠다는 예고와 함께 문의처에 정보시스템 부서의 전화번호와 시스템 관리용 메일 주소를 적습니다. 이 글은 그 네 문장을 개인정보 보호법 제34조 제1항의 기재사항과 기재사항 누락 처분 2건에 대조해 읽습니다. 특정 회사를 평가하려는 것이 아니라, 같은 형식으로 통지문을 쓰는 회사가 무엇을 점검해야 하는지를 보기 위해서입니다.

첫 번째 문장, 사고 날짜는 누구의 시계를 켜나

회사는 '○월 ○일 외부 불법 접근이 발생한 사실을 확인하였습니다'를 사실 설명으로 적지만, 위원회는 이 날짜를 기산점으로 읽습니다. 통지·신고 기한은 유출등을 알게 된 때로부터 72시간이고(시행령 제39조 제1항, 제40조 제1항), '확인하였습니다' 앞의 날짜는 회사 스스로 밝힌 인지일이 되고, 그 날짜와 통지문 발송일의 차이가 그대로 지연 일수 계산의 출발점이 됩니다.

반대로 발생일만 적고 인지일을 적지 않으면 위원회는 인지일을 정황으로 산정합니다. 공개된 결정문에서 위원회가 반복해 온 기준은, 사업자가 확정적으로 알게 된 날을 늦게 잡더라도 충분히 알 수 있었던 날을 인지일로 본다는 것입니다(예: 제2024-006-164호, 제2025-024-299호). 랜섬웨어는 암호화된 시점에 시스템이 멈추므로 발생일과 인지일이 거의 같고, 통지문에 적은 발생일이 곧 인지일 주장이 됩니다. 통지 지연으로 처분된 결정문에서 지연 일수의 최소값은 1일입니다. 하루 차이가 처분과 무관하지 않다는 뜻이고, 분포는 유출 통지 지연 제재 전수에 있습니다. 따라서 발생일과 인지일을 구분해 적는 일은 단순한 사실 설명이 아니라 기산점을 확정하는 일입니다. 인지일을 어떻게 세는지는 유출 인지 후 72시간에서 다루었습니다. 다만 지연 일수 자체가 과징금으로 이어지는지는 또 다른 문제이고, 공개 의결에서 지연과 안전조치의무 위반을 갈라 본 집계는 통지 지연과 안전조치, 어느 쪽에 과징금이 붙었나에 있습니다.

두 번째 문장, '탈취 정황은 낮다'는 누가 판단했나

정보주체를 안심시키려는 이 문장은 조사에서 질문으로 돌아옵니다. 트래픽을 확인한 로그가 어느 구간까지 남아 있었는지, 그 로그가 랜섬웨어 실행 이전의 반출을 담을 수 있는 종류였는지, 판단의 주체가 회사 내부였는지 외부 전문기관이었는지입니다. 이 문장이 위험해지는 때는 판단이 틀렸을 때가 아니라 근거가 없을 때입니다. 로그와 외부 분석이 같은 결론이면 같은 문장이 근거에 기반한 대응의 자료가 됩니다.

2026년 9월 11일부터 이 문장의 법적 위치가 바뀌었습니다. 개정법 제34조 제2항은 유출등이 확인되지 않았더라도 그 가능성이 있는 경우의 통지를 별도의 의무로 신설했고, 시행령 제39조의2 제1항은 그 사유를 불법 접근은 있었으나 어느 정보주체의 정보인지 특정하기 어려운 경우와 일부 유출이 확인되고 다른 정보주체의 정보도 유출됐을 가능성이 있는 경우로 정했습니다. '탈취 정황은 낮지만 선제적으로 안내한다'는 통지는 정확히 이 유형입니다. 개정법 아래에서 이 통지는 회사의 선의가 아니라 의무 이행입니다. 이후 유출이 확인되면 회사는 제1항의 통지를 해야 하고, 유출되지 않았음이 확인되면 그 사실을 즉시 통지할 의무가 따라옵니다(시행령 제39조의3 제3항). 랜섬웨어 암호화 자체가 통지 대상이 되는 변화는 유출등에 훼손이 추가된 의미에서 따로 정리했습니다.

세 번째 묶음, 기재사항 중 어느 칸이 비어 있나

개정 전 법 제34조 제1항이 요구하던 기재사항은 유출된 항목, 시점과 경위, 피해 최소화를 위해 정보주체가 할 수 있는 방법, 회사의 대응조치와 피해 구제절차, 피해 신고를 접수할 부서와 연락처의 다섯 가지였습니다. 앞서 본 형식은 이 다섯 칸을 대체로 채웁니다. 의심 항목이 제1호, 사고 날짜와 경위가 제2호, 스미싱 주의와 비밀번호 변경 당부가 제3호, 서버망 차단과 신고 완료가 제4호, 문의처가 제5호입니다.

문제는 9월 11일 이후입니다. 개정법은 제3호를 정보주체가 취할 수 있는 조치의 '구체적인 정보'로 강화하고, 제6호로 손해배상 청구·법정손해배상 청구·분쟁조정 신청 같은 법적 권리와 행사 방법의 안내를 추가했습니다. 지금 널리 쓰이는 문안에는 이 안내가 없습니다. 가능성 단계의 통지(개정 제2항)라면 시행령 제39조의2 제2항이 요구하는 것은 가능성이 있는 항목, 의심되는 시점과 경위, 피해 최소화 방법, 대응조치, 담당부서, 그리고 확정되면 추가로 통지한다는 사실이므로 앞서 본 문안은 대체로 채워집니다. 빈칸이 생기는 것은 그다음 단계입니다. 유출이 확인되어 제1항의 통지를 다시 보낼 때 제6호 안내가 들어가야 하는데, 가능성 단계의 문안을 그대로 재사용하면 그 칸이 빕니다. 정보주체가 분쟁조정을 신청하면 회사에 어떤 기한이 생기는지는 분쟁조정 수락 시계에서 다루었습니다.

기재사항 누락이 처분으로 이어진 사례는 공개된 결정문에 2건 있습니다. 2026년 1월 28일 의결된 한국연구재단 건(제2026-002-003호)에서 위원회는 과징금 7억 300만 원과 별도로 통지 의무 위반에 과태료 480만 원을 부과하면서, 생략한 항목(계좌번호·국가연구자번호 등)을 추가로 통지하고 피해 확산 방지 방법을 안내하라는 명령을 주문에 넣었습니다. 2026년 3월 25일 의결된 강북구청 건(제2026-005-025호)도 과징금 3억 7,800만 원과 함께 같은 금액의 과태료가 붙었습니다. 두 건 모두 통지는 기한 안에 이루어졌습니다. 위원회는 통지문을 항목 단위로 대조하고, 빠진 항목은 추가 통지 명령으로 돌아옵니다.

시행 뒤 홈페이지에 올라온 사과문으로 기재사항을 재도 되나

신한은행 홈페이지 새소식 게시판에는 등록일이 2026년 10월 1일인 은행장 명의의 유출 관련 게시문이 있습니다. 개정법이 시행된 지 20일 뒤입니다. 이 절은 처음에 게시문 한 건만 놓고 썼습니다. 2026년 10월 1일 낮에 확인했을 때 이 글이 읽은 것은 「개인정보 유출 사실 통지 및 사과문」이라는 제목의 글 하나였습니다. 10월 2일 밤에 다시 확인했을 때에는 등록일이 같은 게시문이 둘이었습니다. 하나는 「개인(신용)정보 유출 관련 대고객 사과문」(이하 "사과문")이고, 본문은 전날 낮에 읽은 글과 같으며 제목만 다릅니다. 다른 하나는 「개인(신용)정보 유출 사실 통지 안내」(이하 "통지 안내")라는 별도의 글입니다. 통지 안내가 10월 1일 낮에도 게시판에 있었는지는 확인하지 못했습니다. 그때 게시판 목록을 따로 저장해 두지 않았기 때문입니다. 따라서 이 절이 말할 수 있는 것은 두 시점에 각각 무엇이 보였는지까지입니다.

사과문에는 유출 항목과 약 2만 5천여 명이라는 규모, 경위 한 문장, 은행이 취한 조치, 손해가 생기면 전액 보상한다는 약속, 전담 상담센터 전화번호가 적혀 있습니다. 반면 유출이 발생한 날짜와 은행이 이를 확인한 날짜는 적혀 있지 않고(확인한 때를 '최근'이라고만 적었습니다), 정보주체가 직접 할 수 있는 피해 최소화 방법과 법적 권리의 안내는 사과문에서 보이지 않습니다. 통지 안내에는 그 내용이 들어 있습니다. 두 게시문에 적힌 내용을 앞 절에서 본 개정법 제34조 제1항 각 호의 순서로 나란히 놓으면 아래와 같습니다.

통지 안내에는 여섯 호 각각에 대응하는 기재가 보입니다. 다만 그 기재가 제3호의 '구체적인 정보'나 제6호의 행사 방법으로 충분한지는 이 글에서 판단하지 않습니다. 유출 항목의 나열은 통지 안내 쪽이 더 넓습니다. 통지 안내는 고객마다 유출 항목이 다르다고 밝히면서 구체적인 내용은 유출 조회 메뉴에서 확인하도록 안내하고, 추가로 확인되는 사항은 개별적으로 통지할 예정이라고 적고 있습니다. 한편 10월 1일 복수의 언론은 은행 설명을 인용해 주민등록번호 66건이 포함됐다고 보도했습니다. 사과문의 항목 나열에는 주민등록번호가 없고, 통지 안내의 항목 나열에는 주민등록번호가 건수 없이 적혀 있습니다.

다만 위 표는 게시문에 적힌 내용을 정리한 것이고, 표만으로 은행의 통지 의무를 논하기는 어렵습니다. 홈페이지 게시문이 법에서 어떤 역할을 하는 문서인지가 먼저 정해져야 하기 때문입니다. 개인정보 보호법에서 홈페이지 30일 이상 게시는 연락처를 알 수 없는 등 정당한 사유가 있을 때 개별 통지를 갈음할 수 있는 수단입니다(같은 법 시행령 제39조 제3항). 「신용정보의 이용 및 보호에 관한 법률」(이하 "신용정보법")에서는 홈페이지 게시의 역할이 다릅니다. 신용정보법 제39조의4 제1항은 개인신용정보 누설을 알게 된 금융회사가 신용정보주체에게 지체 없이 통지하도록 하면서 통지할 사항은 개인정보 보호법 제34조 제1항 각 호를 준용합니다. 같은 법 시행령 제34조의4는 제1항에서 통지 상대방을 개별 신용정보주체로 정하고, 제2항에서 1만 명 이상의 누설이면 개별 통지와 별도로 홈페이지 게시·점포 열람·신문 게재 중 하나로 누설 사실을 널리 알리도록 정합니다. 제2항이 공표에 요구하는 내용은 누설되었다는 사실이고, 각 호 전부를 게시문에 적으라는 문언은 아닙니다. 게시 기간도 다릅니다. 신용정보업감독규정 제43조의5는 이 공표의 홈페이지 게시 기간을 15일로 정하고 있고, 개인정보 보호법 시행령 제39조 제3항이 통지를 갈음하는 게시에 요구하는 기간은 30일 이상입니다.

이 구조에서 금융회사의 홈페이지 게시문은 개별 통지를 갈음하는 문서가 아니라 개별 통지에 더해지는 공표에 해당할 수 있습니다. 물론 특정 게시문이 실제로 어느 역할로 쓰였는지는 조문만으로 정해지지 않습니다. 공표로 본다면 각 호의 기재 여부는 고객이 받은 개별 통지문을 놓고 살펴야 합니다. 고객이 받은 개별 통지문의 문안은 공개된 자료로 확인되지 않고, 통지 안내가 개별 통지문과 같은 문안인지도 알 수 없습니다. 홈페이지에 올라온 글 한 건을 근거로 은행이 통지 의무를 지켰는지 여부를 판단할 수는 없습니다. 게시문 두 건을 함께 놓고 보아도 마찬가지입니다. 제목에 관해 확인되는 사실도 두 시점의 것뿐입니다. 10월 1일 낮에 읽은 글의 제목에는 '통지'라는 말이 있었고, 10월 2일 밤에는 같은 본문의 글이 사과문이라는 제목으로 올라와 있었으며 '통지'라는 말은 통지 안내의 제목에 있었습니다. 제목이 언제 어떤 이유로 달라졌는지는 확인되지 않습니다.

게시문과 개별 통지문에 같은 문안을 쓰려는 회사는 어느 문서가 통지인지부터 정해야 합니다. 홈페이지 게시로 통지를 갈음할 수 있는 경우는 연락처를 알 수 없는 등 정당한 사유가 있을 때로 한정되고, 그 경우 회사는 각 호의 사항을 게시문에 모두 담아야 합니다. 회사가 게시문을 공표로만 쓰려는 경우에는 제목과 문안을 그 역할에 맞추어 두는 편이 안전해 보입니다. 회사가 사과의 글과 통지 사항을 담은 글을 따로 작성하면 각 문서의 역할이 제목에서 드러납니다. 회사가 외부에 설명한 유출 항목과 게시문·개별 통지문에 적은 유출 항목이 서로 다르면, 회사는 조사에서 그 차이부터 설명해야 할 것으로 보입니다(제1호). 나아가 전액 보상 약속은 회사가 자발적으로 내놓는 구제이고, 개인정보 보호법 제34조 제1항 제6호가 요구하는 것은 정보주체가 법에 따라 행사할 수 있는 권리의 안내이므로 전자가 후자를 대신한다고 보기는 어렵습니다. 제6호 문안을 넣은 양식은 유출 통지문 양식에, 다른 회사들이 실제로 게시한 원문은 공개 통지문 모음에 있습니다.

홈페이지에 게시한 뒤에는 어떤 의무가 남나

회사가 홈페이지에 게시문을 올렸더라도 통지 의무가 게시만으로 끝나지 않는 경우가 있고, 위원회 결정문 세 건에서 그 장면이 확인됩니다. 제2025-222-443호(2025년 11월 26일 의결)의 피심인은 해킹을 인지한 당일 웹사이트에 공지를 올렸으나 사흘 동안만 게시했고, 정보주체의 연락처가 없어 개별 통지를 할 수 없었다고 소명했습니다. 그러나 위원회는 피심인이 일부 정보주체의 연락처를 보유하고 있었다고 보았고, 사흘의 게시로는 통지를 갈음하는 조치를 했다고 보기 어렵다는 이유로 법 제34조 제1항 위반을 인정했습니다.

제2023-004-035호(2023년 3월 8일 의결)의 피심인은 유출 인지 당시 유출된 이용자가 특정되지 않아 홈페이지 공지사항으로 유출 사실을 알렸습니다. 위원회는 이후 조사 과정에서 확인된 이용자에게 피심인이 따로 통지하지 않은 것을 위반으로 보았습니다. 제2023-009-098호(2023년 5월 24일 의결)의 피심인은 서비스 종료로 자기 웹·앱에 공지할 수 없게 되자 네이버 카페에 전체 회원 대상 공지를 올렸습니다. 위원회는 유출이 확인된 이용자 3명에게 개별 통지가 없었던 것을 위반으로 판단했습니다.

세 건을 읽는 범위와 준비의 순서

세 건 가운데 시행령 제39조 제3항의 갈음 요건(게시 기간, 연락처 보유 여부)을 직접 따진 결정은 제2025-222-443호 하나입니다. 나머지 두 건은 구 개인정보 보호법 제39조의4 제1항(정보통신서비스 제공자 특례)이 적용된 판단이고, 위원회는 공지가 갈음에 해당하는지가 아니라 확인된 이용자에 대한 개별 통지가 없었다는 점을 위반으로 적었습니다. 따라서 세 건에서 공통으로 읽히는 내용은 공지를 올린 것으로 통지 의무가 끝나지 않았다는 점과, 정보주체가 특정되거나 연락처가 있는 범위에서는 개별 통지가 요구됐다는 점까지입니다. 한편 세 건은 모두 추가 확인 내용의 즉시 통지를 정한 현행 시행령 제39조 제2항이 적용된 사례가 아닙니다. 현행 조문에서 같은 결론이 나올지는 세 건만으로 단정하기 어렵지만, 제2항의 문언은 같은 방향으로 보입니다.

홈페이지 게시로 통지를 갈음하려는 회사는 우선 30일 이상의 게시 기간과 게시 화면의 기록을 남겨 두는 편이 안전해 보입니다. 다음으로 회사는 연락처를 알 수 없다는 사유가 정보주체 전체에 해당하는지 일부에만 해당하는지를 나누고, 연락처가 있는 정보주체에게는 개별 통지를 해야 할 것으로 보입니다. 나아가 제2023-004-035호처럼 조사나 포렌식으로 유출 대상자가 뒤늦게 특정되면 회사는 그 시점에 개별 통지를 다시 검토할 필요가 있습니다. 통지 지연 처분의 분포는 유출 통지 지연 제재 전수에 있습니다.

네 번째 문장, 시스템 관리 계정은 피해 신고 창구인가

문의처에는 정보시스템 부서의 전화번호와 hostmaster나 admin 같은 시스템 관리용 메일 주소가 적히는 경우가 많습니다. 제5호가 요구하는 것은 부서와 연락처이므로 형식은 충족됩니다. 다만 조문의 문언은 '피해 신고 등을 접수할 수 있는' 부서입니다. 시스템 관리 계정은 도메인 등록 정보에 적히는 기술 연락처이고, 여기로 들어온 피해 신고가 법무나 개인정보 보호책임자에게 전달되지 않으면 회사는 피해 신고를 받고도 대응하지 않은 것이 됩니다. 사고 후의 협조와 피해 확산 방지 노력이 과징금 2차 조정에 어떻게 반영되는지는 과징금 감경 사유 분석에 결정문 기준으로 정리되어 있습니다.

통지문을 보내기 전에 확인할 것

발생일과 인지일을 구분해 적을 것, 자체 평가 문장 뒤에 로그와 외부 분석이 있는지 확인할 것, 9월 11일 이후에는 손해배상·분쟁조정 안내나 추가 통지 예고가 들어갔는지 볼 것, 문의처가 피해를 실제로 접수하는 창구인지 확인할 것. 사고 인지부터 처분 이후까지의 흐름은 개인정보 유출 대응 가이드에 있습니다.

자주 묻는 질문

유출이 확인되지 않았는데 미리 통지하면 나중에 불리해지나요?

통지 자체가 불리하게 작용하지는 않습니다. 오히려 통지문에 적은 날짜와 문장이 조사에서 그대로 인용되므로, 무엇을 적을지가 문제입니다. 사고 발생일만 적고 인지일을 적지 않으면 위원회가 인지일을 스스로 산정하고, '유출 정황이 낮다'는 자체 평가는 그 근거 로그가 있었는지를 묻는 질문으로 돌아옵니다. 2026년 9월 11일부터는 유출 가능성이 있는 단계의 통지가 개정법 제34조 제2항의 의무로 정리됐으므로, 확인되기 전에 알리는 것 자체는 법이 예정한 절차입니다.

통지문에 넣어야 할 항목이 하나 빠지면 어떤 처분을 받나요?

통지 의무 위반은 과태료 사유입니다(법 제75조 제2항 제17호, 3천만 원 이하). 공개된 결정문 중 기한 안에 통지했는데도 기재사항을 빠뜨려 처분된 건이 2건 있고, 두 건 모두 과태료 480만 원과 함께 다른 위반의 과징금이 부과됐습니다. 한 건에서는 빠뜨린 항목을 추가로 통지하라는 명령까지 주문에 들어갔습니다.

피해 신고 접수 연락처로 IT 부서의 대표 메일 주소를 적어도 되나요?

법 제34조 제1항 제5호는 '피해 신고 등을 접수할 수 있는 부서 및 연락처'를 요구합니다. 형식적으로는 부서와 연락처가 있으면 충족되지만, 조문이 요구하는 것은 피해를 접수하는 창구입니다. 기술 부서의 시스템 관리 계정을 적으면 정보주체의 피해 신고가 접수되지 않은 채로 남을 수 있고, 그 사실은 나중에 대응조치의 적정성을 다투는 자료가 됩니다.

홈페이지에 사과문을 올리면 유출 통지를 한 것인가요?

원칙적으로는 아닙니다. 개인정보 보호법에서 홈페이지 게시는 연락처를 알 수 없는 등 정당한 사유가 있을 때에만 개별 통지를 갈음할 수 있고(시행령 제39조 제3항), 그때에는 제34조 제1항 각 호를 게시문에 모두 담아야 합니다. 금융회사는 신용정보법 시행령 제34조의4에 따라 개별 신용정보주체에게 통지해야 하고, 1만 명 이상 누설이면 홈페이지 게시 등 공표를 추가로 해야 합니다. 이 경우 게시문은 통지에 더해지는 공표에 해당할 수 있으므로, 회사는 게시와 별도로 개별 신용정보주체에게 통지해야 합니다.

홈페이지에 공지를 올렸으면 개별 통지는 하지 않아도 되나요?

그렇게 보기 어려운 경우가 있습니다. 위원회 결정문 세 건(제2025-222-443호, 제2023-004-035호, 제2023-009-098호)에서는 공지를 올린 피심인이 연락처를 보유한 정보주체나 유출이 확인된 이용자에게 개별 통지를 하지 않은 점이 위반 판단에 들어갔고, 그중 뒤의 두 건은 구법 시기의 판단입니다. 따라서 회사는 연락처가 있는 정보주체에게는 개별 통지를 하고, 조사로 유출 대상자가 뒤늦게 특정되면 그 시점에 개별 통지를 다시 검토할 필요가 있습니다.

참고 자료

• 개인정보 보호법 제34조(개인정보 유출등의 통지·신고) 제1항·제75조 제2항 제17호 — 국가법령정보센터
• 개인정보 보호법 시행령 제39조(개인정보 유출등의 통지)·제40조(개인정보 유출등의 신고)
• 개정 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제34조 제1항 제3호·제6호, 제2항 — 조문 대조는 2026년 개정법 해설
• 개인정보보호위원회 의결 제2026-002-003호(2026-01-28, 한국연구재단)·제2026-005-025호(2026-03-25, 강북구청) — 원문은 유출 통지 지연 제재 전수의 각 행에서
• 이 글이 한 통에서 읽은 신호를 여러 통에서 세어 본 것이 공개 통지문 모음입니다 — 통지문 원문에서 기재사항이 실제로 얼마나 확인되는지, 문의 창구로 무엇을 적는지를 집계했습니다
• 개인정보 보호법 시행령 제39조의2·제39조의3 — 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행)로 확정됐습니다. 가능성 통지의 사유 둘과 통지 사항, 72시간 기한이 여기 있습니다
• 신용정보의 이용 및 보호에 관한 법률 제39조의4(개인신용정보 누설통지 등)·같은 법 시행령 제34조의4 — 국가법령정보센터
• 신용정보업감독규정(금융위원회 고시) 제43조의5(개인신용정보 누설사실의 공시기간)
• 신한은행 「개인(신용)정보 유출 관련 대고객 사과문」(등록일 2026-10-01, 홈페이지 정보광장 새소식) — 2026-10-01 낮 확인 당시 제목은 「개인정보 유출 사실 통지 및 사과문」, 2026-10-02 밤 재확인
• 신한은행 「개인(신용)정보 유출 사실 통지 안내」(등록일 2026-10-01, 같은 게시판) — 2026-10-02 밤 확인
• 개인정보보호위원회 의결 제2025-222-443호(2025-11-26)·제2023-004-035호(2023-03-08)·제2023-009-098호(2023-05-24) — 홈페이지·카페 공지 이후의 개별 통지를 다룬 결정. 피심인 표기는 결정문 공개 수준을 따라 생략했습니다

2026년 10월 12일 수정: 「홈페이지에 게시한 뒤에는 어떤 의무가 남나」 절과 자주 묻는 질문 1문항을 추가했습니다. 홈페이지 공지 이후의 개별 통지를 다룬 개인정보보호위원회 의결 세 건(제2025-222-443호, 제2023-004-035호, 제2023-009-098호)을 반영했습니다.