핵심 요약. 유출 통지문은 정보주체에게 보내는 안내문이면서 위원회 조사에서 첫 번째로 읽히는 회사의 진술서입니다. 통지문에 적은 사고 날짜는 72시간 시계의 기산점 주장이 되고, '탈취 정황이 낮다’는 문장은 그 근거 로그를 묻는 질문이 되며, 빠진 기재사항은 그 자체로 과태료 사유가 됩니다(법 제34조 제1항, 제75조 제2항 제17호). 2026년 9월 11일 이후에는 유출 가능성 단계의 통지(신설 제2항)가 의무가 되고, 유출이 확정된 뒤의 통지에는 손해배상·분쟁조정 안내(신설 제6호)가 들어가야 하므로, 가능성 단계의 문안을 확정 단계에 그대로 다시 쓰면 한 칸이 빕니다.
랜섬웨어 사고 뒤에 정보주체가 받는 문자 통지에는 요즘 일정한 형식이 있습니다. 어느 날짜에 외부 불법 접근을 확인했는지를 한 문장으로 적고, 대량 트래픽이 확인되지 않아 탈취 정황은 낮다고 판단하지만 선제적으로 안내한다는 문장을 붙이고, 유출이 의심되는 항목을 나열한 뒤, 서버망 차단과 관계기관 신고 완료를 조치로 적고, 유출이 확인되면 다시 연락하겠다는 예고와 함께 문의처에 정보시스템 부서의 전화번호와 시스템 관리용 메일 주소를 적습니다. 이 글은 그 네 문장을 개인정보 보호법 제34조 제1항의 기재사항과 기재사항 누락 처분 2건에 대조해 읽습니다. 특정 회사를 평가하려는 것이 아니라, 같은 형식으로 통지문을 쓰는 회사가 무엇을 점검해야 하는지를 보기 위해서입니다.
첫 번째 문장, 사고 날짜는 누구의 시계를 켜나
회사는 '○월 ○일 외부 불법 접근이 발생한 사실을 확인하였습니다’를 사실 설명으로 적지만, 위원회는 이 날짜를 기산점으로 읽습니다. 통지·신고 기한은 유출등을 알게 된 때로부터 72시간이고(시행령 제39조 제1항, 제40조 제1항), '확인하였습니다’의 날짜는 회사 스스로 밝힌 인지일이 되어 통지문 발송일과의 차이가 그대로 지연 일수의 출발점이 됩니다.
반대로 발생일만 적고 인지일을 적지 않으면 위원회는 인지일을 정황으로 산정합니다. 공개된 결정문에서 위원회가 반복해 온 기준은, 사업자가 확정적으로 알게 된 날을 늦게 잡더라도 충분히 알 수 있었던 날을 인지일로 본다는 것입니다. 랜섬웨어는 암호화된 시점에 시스템이 멈추므로 발생일과 인지일이 거의 같고, 통지문에 적은 발생일이 곧 인지일 주장이 됩니다. 통지 지연으로 처분된 결정문에서 지연 일수의 최소값은 1일입니다. 하루 차이가 처분과 무관하지 않다는 뜻이고, 분포는 유출 통지 지연 제재 전수에 있습니다. 발생일과 인지일을 구분해 적는 것은 그래서 사실 설명이 아니라 기산점의 확정입니다. 인지일을 어떻게 세는지는 유출 인지 후 72시간에서 다루었습니다.
두 번째 문장, '탈취 정황은 낮다’는 누가 판단했나
정보주체를 안심시키려는 이 문장은 조사에서 질문으로 돌아옵니다. 트래픽을 확인한 로그가 어느 구간까지 남아 있었는지, 그 로그가 랜섬웨어 실행 이전의 반출을 담을 수 있는 종류였는지, 판단의 주체가 회사 내부였는지 외부 전문기관이었는지입니다. 이 문장이 위험해지는 때는 판단이 틀렸을 때가 아니라 근거가 없을 때입니다. 로그와 외부 분석이 같은 결론이면 같은 문장이 근거에 기반한 대응의 자료가 됩니다.
2026년 9월 11일부터는 이 문장의 법적 위치가 바뀝니다. 개정법 제34조 제2항은 유출등이 확인되지 않았더라도 그 가능성이 있는 경우의 통지를 별도의 의무로 신설했고, 법제처 심사를 마친 시행령 개정안은 그 사유를 불법 접근은 있었으나 어느 정보주체의 정보인지 특정하기 어려운 경우와 일부 유출이 확인되고 다른 정보주체의 정보도 유출됐을 가능성이 있는 경우로 적고 있습니다. '탈취 정황은 낮지만 선제적으로 안내한다’는 통지는 정확히 이 유형입니다. 개정법이 적용되면 이 통지는 회사의 선의가 아니라 의무 이행이 되고, 유출이 확인되면 제1항의 통지로, 유출되지 않았음이 확인되면 그 사실을 지체 없이 추가로 통지할 의무가 따라옵니다. 랜섬웨어 암호화 자체가 통지 대상이 되는 변화는 유출등에 훼손이 추가된 의미에서 따로 정리했습니다.
세 번째 묶음, 다섯 칸 중 어느 칸이 비어 있나
법 제34조 제1항이 요구하는 기재사항은 유출된 항목, 시점과 경위, 피해 최소화를 위해 정보주체가 할 수 있는 방법, 회사의 대응조치와 피해 구제절차, 피해 신고를 접수할 부서와 연락처의 다섯 가지입니다. 앞서 본 형식은 이 다섯 칸을 대체로 채웁니다. 의심 항목이 제1호, 사고 날짜와 경위가 제2호, 스미싱 주의와 비밀번호 변경 당부가 제3호, 서버망 차단과 신고 완료가 제4호, 문의처가 제5호입니다.
문제는 9월 11일 이후입니다. 개정법은 제3호를 정보주체가 취할 수 있는 조치의 '구체적인 정보’로 강화하고, 제6호로 손해배상 청구·법정손해배상 청구·분쟁조정 신청 같은 법적 권리와 행사 방법의 안내를 추가했습니다. 지금 널리 쓰이는 문안에는 이 안내가 없습니다. 가능성 단계의 통지(개정 제2항)라면 시행령 개정안이 요구하는 것은 가능성이 있는 항목, 의심되는 시점과 경위, 피해 최소화 방법, 대응조치, 담당부서, 그리고 확정되면 추가로 통지한다는 사실이므로 앞서 본 문안은 대체로 채워집니다. 빈 칸이 생기는 것은 그다음입니다. 유출이 확인되어 제1항의 통지를 다시 보낼 때 제6호 안내가 들어가야 하는데, 가능성 단계의 문안을 그대로 재사용하면 그 칸이 빕니다. 정보주체가 분쟁조정을 신청하면 회사에 어떤 기한이 생기는지는 분쟁조정 수락 시계에서 다루었습니다.
기재사항 누락이 처분으로 이어진 사례는 공개된 결정문에 2건 있습니다. 2026년 1월 28일 의결된 한국연구재단 건(제2026-002-003호)에서 위원회는 과징금 7억 300만 원과 별도로 통지 의무 위반에 과태료 480만 원을 부과하면서, 생략한 항목(계좌번호·국가연구자번호 등)을 추가로 통지하고 피해 확산 방지 방법을 안내하라는 명령을 주문에 넣었습니다. 2026년 3월 25일 의결된 강북구청 건(제2026-005-025호)도 과징금 3억 7,800만 원과 함께 같은 금액의 과태료가 붙었습니다. 두 건 모두 통지는 기한 안에 이루어졌습니다. 위원회는 통지문을 항목 단위로 대조하고, 빠진 항목은 추가 통지 명령으로 돌아옵니다.
네 번째 문장, 시스템 관리 계정은 피해 신고 창구인가
문의처에는 정보시스템 부서의 전화번호와 hostmaster나 admin 같은 시스템 관리용 메일 주소가 적히는 경우가 많습니다. 제5호가 요구하는 것은 부서와 연락처이므로 형식은 충족됩니다. 다만 조문의 문언은 '피해 신고 등을 접수할 수 있는' 부서입니다. 시스템 관리 계정은 도메인 등록 정보에 적히는 기술 연락처이고, 여기로 들어온 피해 신고가 법무나 개인정보 보호책임자에게 전달되지 않으면 회사는 피해 신고를 받고도 대응하지 않은 것이 됩니다. 사고 후의 협조와 피해 확산 방지 노력이 과징금 2차 조정에 어떻게 반영되는지는 과징금 감경 사유 분석에 결정문 기준으로 정리되어 있습니다.
통지문을 보내기 전에 확인할 것
발생일과 인지일을 구분해 적을 것, 자체 평가 문장 뒤에 로그와 외부 분석이 있는지 확인할 것, 9월 11일 이후에는 손해배상·분쟁조정 안내나 추가 통지 예고가 들어갔는지 볼 것, 문의처가 피해를 실제로 접수하는 창구인지 확인할 것. 사고 인지부터 처분 이후까지의 흐름은 개인정보 유출 대응 가이드에 있습니다.
자주 묻는 질문
유출이 확인되지 않았는데 미리 통지하면 나중에 불리해지나요?
통지 자체가 불리하게 작용하지는 않습니다. 오히려 통지문에 적은 날짜와 문장이 조사에서 그대로 인용되므로, 무엇을 적을지가 문제입니다. 사고 발생일만 적고 인지일을 적지 않으면 위원회가 인지일을 스스로 산정하고, '유출 정황이 낮다’는 자체 평가는 그 근거 로그가 있었는지를 묻는 질문으로 돌아옵니다. 2026년 9월 11일부터는 유출 가능성이 있는 단계의 통지가 개정법 제34조 제2항의 의무로 정리되므로, 확인되기 전에 알리는 것 자체는 법이 예정한 절차입니다.
통지문에 넣어야 할 항목이 하나 빠지면 어떤 처분을 받나요?
통지 의무 위반은 과태료 사유입니다(법 제75조 제2항 제17호, 3천만 원 이하). 공개된 결정문 중 기한 안에 통지했는데도 기재사항을 빠뜨려 처분된 건이 2건 있고, 두 건 모두 과태료 480만 원과 함께 다른 위반의 과징금이 부과됐습니다. 한 건에서는 빠뜨린 항목을 추가로 통지하라는 명령까지 주문에 들어갔습니다.
피해 신고 접수 연락처로 IT 부서의 대표 메일 주소를 적어도 되나요?
법 제34조 제1항 제5호는 '피해 신고 등을 접수할 수 있는 부서 및 연락처’를 요구합니다. 형식적으로는 부서와 연락처가 있으면 충족되지만, 조문이 요구하는 것은 피해를 접수하는 창구입니다. 기술 부서의 시스템 관리 계정을 적으면 정보주체의 피해 신고가 접수되지 않은 채로 남을 수 있고, 그 사실은 나중에 대응조치의 적정성을 다투는 자료가 됩니다.
참고 자료
- 개인정보 보호법 제34조(개인정보 유출등의 통지·신고) 제1항·제75조 제2항 제17호 — 국가법령정보센터
- 개인정보 보호법 시행령 제39조(개인정보 유출등의 통지)·제40조(개인정보 유출등의 신고)
- 개정 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제34조 제1항 제3호·제6호, 제2항 — 조문 대조는 2026년 개정법 해설
- 개인정보보호위원회 의결 제2026-002-003호(2026-01-28, 한국연구재단)·제2026-005-025호(2026-03-25, 강북구청) — 원문은 유출 통지 지연 제재 전수의 각 행에서
- 이 글이 한 통에서 읽은 신호를 여러 통에서 세어 본 것이 공개 통지문 모음입니다 — 통지문 원문에서 기재사항이 실제로 얼마나 확인되는지, 문의 창구로 무엇을 적는지를 집계했습니다
- 개인정보 보호법 시행령 제39조의2·제39조의3 — 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행)로 확정됐습니다. 가능성 통지의 사유 둘과 통지 사항, 72시간 기한이 여기 있습니다
