개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일

사고 대응이 진행 중이라면 법무법인 세움 이현섭 변호사에게 문의하실 수 있습니다. 이메일 [email protected] · 전화 02-562-3117.

아래 내용은 일반적인 설명이며, 개별 사안의 판단은 달라질 수 있습니다.

핵심 요약 — 개인정보 유출 대응의 72시간은 사고가 발생한 때가 아니라 유출을 “알게 된 때"부터 계산합니다. 정보주체에 대한 통지는 유출 규모·유형과 관계없이 모든 유출에 적용되고(개인정보 보호법 제34조 제1항, 같은 법 시행령 제39조 제1항), 개인정보보호위원회 또는 한국인터넷진흥원에 대한 신고는 1천 명 이상 유출, 민감정보·고유식별정보 유출, 외부로부터의 불법적인 접근에 의한 유출 중 하나에 해당할 때 의무가 됩니다(시행령 제40조 제1항). 유출된 항목이나 경위를 아직 확인하지 못했더라도 그때까지 확인된 내용만으로 72시간 안에 우선 통지·우선 신고를 해야 하고, 추가로 확인되는 내용은 확인되는 즉시 알려야 합니다(시행령 제39조 제2항, 제40조 제2항). 통지·신고 의무 위반에는 각각 3천만 원 이하의 과태료가 규정되어 있고(법 제75조 제2항 제17호·제18호), 초기 72시간 동안 무엇을 했는지는 이후 과징금 부과 시 법이 정한 고려 요소에 직접 연결됩니다(법 제64조의2 제4항). 2026년 9월 11일부터는 통지 사항에 손해배상·분쟁조정 안내가 추가되는 등 개정법이 시행됩니다.

유출을 인지하는 경로는 생각보다 다양합니다. 보안 관제 업체의 연락일 수도 있고, 고객센터에 접수된 항의일 수도 있고, 외부 제보 메일일 수도 있습니다. 어느 경로든 첫 회의의 풍경은 비슷합니다. 몇 명분인지 모르고, 어떤 항목이 나갔는지 모르고, 언제부터였는지 모릅니다. 아는 것보다 모르는 것이 압도적으로 많은 상태에서 회의가 시작됩니다.

이때 거의 반드시 나오는 결론이 “일단 막고, 정확히 파악한 다음에 알리자"입니다. 상식적인 판단처럼 들리지만, 개인정보 보호법(이하 “법”)과 개인정보 보호법 시행령(이하 “시행령”)이 설계해 둔 시계와 정면으로 충돌합니다. 법은 “정확히 파악한 다음"을 기다려 주지 않습니다. 파악이 끝나지 않은 상태 그대로 72시간 안에 움직이라고 정하고 있기 때문입니다.

이 글은 그 72시간 동안 해야 할 일과, 반대로 하면 안 되는 일을 정리한 출발점입니다.

개인정보 유출 신고 기한, 72시간은 언제부터 시작되나

기산점은 유출이 발생한 시점이 아니라 유출을 “알게 되었을 때"입니다. 법 제34조 제1항은 유출등을 알게 되었을 때 지체 없이 정보주체에게 알리도록 하고, 시행령 제39조 제1항과 제40조 제1항이 그 기한을 알게 된 때부터 72시간 이내로 구체화하고 있습니다. 침입이 석 달 전에 있었더라도 시계는 회사가 인지한 순간부터 돌기 시작합니다. 반대로, 원인 규명이 끝나야 시계가 시작되는 것도 아닙니다.

실무에서 먼저 해야 할 일은 인지 시점의 기록입니다. 누가, 몇 시에, 무엇을 근거로 유출을 인지했는지를 문서로 남겨 두어야 합니다. 72시간 준수 여부는 결국 기산점을 어디로 보느냐의 문제인데, 인지 경위에 대한 기록이 없으면 이후 조사 과정에서 회사 스스로 기산점을 설명할 수단이 없어집니다.

우리 회사도 개인정보 유출 신고 대상인가 — 통지와 신고는 다르다

가장 흔한 오해가 “1천 명 미만이니 아무것도 안 해도 된다"는 판단입니다. 통지와 신고는 대상이 다른 별개의 의무입니다.

정보주체 통지는 단 한 명분이 유출되어도 적용됩니다. 신고는 시행령 제40조 제1항의 세 경우 중 하나에 해당할 때 의무가 되는데, 각 요건을 뜯어보면 신고 대상이 아닌 사고가 오히려 드뭅니다. 민감정보나 고유식별정보(주민등록번호 등)는 1건이 유출되어도 신고 대상이고, 해킹처럼 외부의 불법적인 접근으로 유출되었다면 규모와 무관하게 신고 대상입니다. 신고를 받는 전문기관은 한국인터넷진흥원입니다(시행령 제40조 제3항).

통지에는 법 제34조 제1항 각 호의 사항, 즉 유출된 항목, 시점과 경위, 피해 최소화를 위해 정보주체가 할 수 있는 방법, 회사의 대응조치와 피해 구제절차, 피해 신고 접수 부서와 연락처가 들어가야 합니다.

아직 규모도 원인도 모르는데, 유출 통지 기한 안에 무엇을 알리나

“확정되면 알리겠다"는 법이 허용하지 않는 선택지입니다. 시행령 제39조 제2항은 유출된 항목이나 시점·경위의 구체적인 내용을 확인하지 못한 경우, 유출 사실과 그때까지 확인된 내용, 그리고 피해 최소화 방법·대응조치·담당부서 안내를 먼저 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지하도록 정하고 있습니다. 신고도 같은 구조입니다(시행령 제40조 제2항). 법은 “모르는 상태에서의 우선 통지·우선 신고"를 예외가 아니라 기본 절차로 설계해 두었습니다.

72시간을 넘길 수 있는 예외는 좁고, 통지와 신고가 다릅니다. 통지는 접속경로 차단, 취약점 점검·보완, 유출된 개인정보의 회수·삭제 같은 긴급한 조치가 필요한 경우와 천재지변 등 부득이한 사유가 있는 경우에 미룰 수 있지만(시행령 제39조 제1항 제1호·제2호), 신고를 미룰 수 있는 사유는 천재지변이나 그 밖에 부득이한 사유뿐입니다(시행령 제40조 제1항 단서). 긴급 조치가 진행 중이라는 이유로 신고까지 미룰 수는 없다는 뜻이고, 어느 쪽이든 사유가 해소되면 지체 없이 알려야 합니다. “내부 보고 라인이 길어서”, “법무 검토가 안 끝나서"는 여기에 들어가지 않습니다.

유출된 데이터를 회수했으면 신고하지 않아도 되나

시행령 제40조 제1항 단서에는 유출 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있다는 규정이 있습니다. 다만 이 문은 좁습니다. 경로가 확인되었을 것, 회수·삭제 등의 조치가 있었을 것, 그 결과 권익 침해 가능성이 현저히 낮아졌을 것 — 세 가지가 모두 충족되어야 합니다. 경로를 추정만 하고 있는 단계, 회수했지만 사본 확산 가능성이 남아 있는 상태라면 이 단서에 기대기 어렵습니다.

그리고 이 단서는 신고에 관한 것일 뿐입니다. 정보주체에 대한 통지 의무는 이 단서로 면제되지 않습니다.

초기 72시간에 하면 안 되는 일 세 가지

성급한 원인 단정

확인되지 않은 원인이나 규모를 초기 공지에 단정적으로 쓰는 경우가 있습니다. “외부 침입 흔적은 없습니다”, “유출 규모는 ○건에 한정됩니다” 같은 문장이 뒤에 뒤집히면, 정정 자체가 이후 조사와 분쟁에서 회사 설명 전체의 신뢰성 문제로 남습니다. 시행령 제39조 제2항이 “그때까지 확인된 내용"을 알리고 추가 확인분은 즉시 통지하는 2단 구조를 마련해 둔 이유가 여기에 있습니다. 확인된 것과 확인 중인 것을 구분해서 쓰는 것이 법이 예정한 방식입니다.

축소 통지

통지 대상을 임의로 좁히거나, 법 제34조 제1항 각 호 중 일부(특히 유출 항목이나 경위)를 빼고 알리는 것입니다. 통지 의무 위반은 3천만 원 이하의 과태료 대상이지만(법 제75조 제2항 제17호), 과태료만의 문제가 아닙니다. 2026년 9월 11일부터는 통지 사항에 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법 안내가 추가됩니다(개정 법 제34조 제1항 제6호). 통지문이 사과문이 아니라 정보주체의 권리 행사 안내문의 성격을 갖게 되는 것이고, 축소 통지는 그 출발점부터 어긋난 문서가 됩니다.

로그 미보전

침해 대응을 서두르다 서버를 초기화·재설치하거나 접속기록을 덮어써 버리는 경우입니다. 개인정보처리시스템 접속기록은 1년 이상, 5만 명 이상의 정보주체를 처리하거나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관해야 하고(「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2026-9호) 제8조 제1항), 위·변조·도난·분실되지 않도록 안전하게 보관할 의무도 있습니다(같은 조 제3항).

더 중요한 것은 방어의 관점입니다. 유출에 대한 과징금 규정에는 안전성 확보에 필요한 조치를 다한 경우에는 부과하지 않는다는 단서가 있고(법 제64조의2 제1항 제9호 단서), 과징금 산정 시 암호화 등 안전성 확보 조치 이행 노력이 고려 요소로 열거되어 있습니다(같은 조 제4항 제4호). 그 조치를 다했다는 사실을 무엇으로 보여줄 수 있습니까. 로그입니다. 로그를 지우는 것은 의무 위반을 하나 추가하면서, 동시에 방어의 재료를 스스로 없애는 일입니다.

72시간 안에 한 일이 나중에 과징금에 어떻게 반영되나

개인정보가 유출된 경우 전체 매출액의 3%를 초과하지 않는 범위에서 과징금이 부과될 수 있습니다(법 제64조의2 제1항 제9호. 매출액이 없거나 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억 원 이내).

법 제64조의2 제4항은 과징금 부과 시 고려할 사항을 열거하고 있는데, 그중에는 안전성 확보 조치 이행 노력(제4호), 피해의 회복 및 피해 확산 방지 조치의 이행 여부(제6호), 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부(제11호)가 들어 있습니다. 위반의 내용·정도가 경미한 경우 등에는 과징금을 부과하지 않을 수 있다는 규정도 있습니다(같은 조 제5항 제3호·제4호).

다만 2026년 9월 11일부터는 이 조문의 구조가 바뀌므로 인용할 때 주의해야 합니다. 3년 내 반복 위반, 피해 정보주체 1천만 명 이상, 시정명령 불이행 후 유출 같은 경우에 전체 매출액의 100분의 10(매출액 산정이 곤란하면 50억 원)까지 부과할 수 있는 가중 규정이 제2항으로 신설되면서, 위 고려사항은 제5항으로, 과징금을 부과하지 않을 수 있는 사유는 제7항으로 밀리고, 개인정보 보호를 위한 예산·인력·설비 투자와 운영 실적이 있는 경우의 감경 규정이 제6항으로 신설됩니다(법률 제21445호).

초기 72시간의 행위 — 확산 방지 조치, 통지·신고, 조사 협조 — 는 그 자체로 법이 과징금 판단에서 고려하도록 정해 둔 항목들입니다. 결과가 어떻게 될지는 개별 사안마다 다르고 누구도 예측할 수 없지만, 무엇이 고려 대상인지는 조문에 이미 적혀 있습니다.

2026년 9월 11일부터 달라지는 것

2026년 3월 10일 공포된 개정 개인정보 보호법(법률 제21445호)이 2026년 9월 11일 시행됩니다. 유출 대응과 직결되는 변화는 네 가지입니다.

첫째, “유출등"의 범위가 넓어집니다. 현행 제34조에서 분실·도난·유출 세 가지였던 정의가, 개정법에서는 위조·변조·훼손까지 포함하는 정의(개정 법 제23조 제2항)로 바뀌어 법 전체에 적용됩니다.

둘째, 유출 “가능성” 단계의 통지 의무가 신설됩니다. 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때, 가능성이 있는 모든 정보주체에게 피해 최소화 정보 등을 알려야 합니다(개정 법 제34조 제2항). 확정된 유출만 알리면 되던 구조가 바뀌는 것입니다.

셋째, 통지 사항이 늘어납니다. 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 법적 권리와 행사 방법 안내(신설 제6호), 대통령령으로 정하는 사항(신설 제7호)이 추가되고, 피해 최소화 방법 안내는 “구체적인” 정보여야 한다는 문구로 강화됩니다. 이에 따라 항 번호도 밀려서, 현행 제34조 제3항의 신고 의무는 개정법에서 제4항이 됩니다.

넷째, 그런데 이 개정을 구체화할 시행령이 아직 없습니다. 2026년 7월 27일 국가법령정보센터 기준으로, “유출등의 가능성"의 범위와 신설 제7호의 통지 사항을 정할 시행령 개정령은 공포되지 않았습니다. 시행일을 약 6주 남긴 시점에 통지·신고 실무의 세부가 미확정 상태라는 뜻입니다.

다만 방향은 이미 공개되어 있습니다. 개인정보보호위원회는 2026년 6월 2일 시행령 일부개정령안을 입법예고했고(개인정보보호위원회 공고 제2026-59호, 예고기간 2026년 6월 2일~7월 13일), 그 안에서 유출 가능성 통지의 요건을 ① 개인정보처리시스템에 대한 불법적 접근을 알게 된 때 ② 개인정보가 불법적으로 거래·유통되고 있음을 알게 된 때로 구체화하고, 이 경우에도 72시간 이내에 정보주체에게 통지하도록 하는 안을 제시했습니다. 예고안이 그대로 확정된다는 보장은 없지만, 시행일까지 약 6주를 남긴 지금 준비의 기준선으로 삼을 수 있는 것은 이 예고안입니다. 9월 개정의 과징금 상한 강화와 개인정보위의 하반기 방향은 개인정보 유출사고, ‘조용히 수습’이 가장 비싼 선택이 됩니다에서 다루었습니다. 시행령이 공포되면 이 글도 그 내용을 반영해 갱신하겠습니다.

숫자로 본 현실

개인정보보호위원회가 2026년 5월 15일 발표한 「2025년 개인정보 유출 신고 및 조사·처분 사례 분석결과」에 따르면, 2025년 접수된 유출 신고는 447건으로 2024년 307건 대비 약 45.6% 증가했습니다. 원인별로는 해킹이 62%(276건), 업무 과실이 25%(110건), 시스템 오류가 5%(24건)였습니다. 같은 해 개인정보위의 조사·처분은 총 227건, 과징금은 40건 1,677억 원, 과태료는 125건 5억 8,720만 원이었고, 이 중 115건이 유출 관련 조사·처분이었습니다.

두 가지를 눈여겨볼 만합니다. 하나, 민간 부문 처분 150건의 절반인 75건이 중소기업이었습니다. 규모가 작다고 조사와 처분을 비켜 가지 않습니다. 둘, 유출 원인의 25%가 업무 과실입니다. 해킹 방어만 사고 대비가 아닙니다. 메일 오발송, 첨부 실수, 접근권한 설정 오류도 똑같이 법 제34조의 통지·신고 절차를 작동시킵니다.

72시간 체크리스트

인지 직후

• 인지 시각, 인지 경위, 인지자를 문서로 기록하라
• 접속기록과 서버 로그의 사본을 별도 보전하라 (고시 제8조)
• 접속경로 차단 등 확산 방지 조치를 하되, 로그를 지우는 방식은 피하라 (법 제34조 제2항, 2026년 9월 11일부터는 제3항)

24시간 내

• 신고 대상 여부를 판단하라 — 1천 명 이상인지, 민감정보·고유식별정보인지, 외부 불법접근인지 (시행령 제40조 제1항)
• 확인된 사실과 확인 중인 사항을 구분한 사실관계 문서를 만들어라
• 법 제34조 제1항 각 호를 기준으로 통지 문안을 준비하라

72시간 내

• 확인된 내용만으로라도 정보주체에게 우선 통지하라 (시행령 제39조 제2항)
• 신고 대상이면 보호위원회 또는 한국인터넷진흥원에 우선 신고하라 (시행령 제40조 제1항·제2항)
• 연락처를 알 수 없는 정보주체가 있으면 홈페이지 30일 이상 게시를 검토하라 (시행령 제39조 제3항)

그 이후

• 추가로 확인되는 내용은 확인되는 즉시 통지·신고하라
• 피해 최소화 대책의 이행 내역을 기록으로 남겨라 (법 제64조의2 제4항 제6호)
• 조사에 대비해 안전조치 이행 자료를 정리하라 (법 제64조의2 제1항 제9호 단서)

자주 묻는 질문

Q. 개인정보 유출을 알게 되면 며칠 안에 신고해야 하나요?

유출을 알게 된 때부터 72시간 이내입니다. 1천 명 이상의 개인정보가 유출된 경우, 민감정보 또는 고유식별정보가 유출된 경우, 외부로부터의 불법적인 접근에 의해 유출된 경우에는 개인정보보호위원회 또는 한국인터넷진흥원에 72시간 이내에 신고해야 합니다(법 제34조 제3항, 시행령 제40조 제1항·제3항). 기산점은 사고 발생 시점이 아니라 회사가 유출을 인지한 시점입니다. 신고와 별도로 정보주체에 대한 통지도 72시간 이내에 해야 합니다(시행령 제39조 제1항).

Q. 1천 명 미만이 유출됐는데도 신고해야 하나요?

규모 기준만 보면 신고 대상이 아니지만, 두 가지를 더 확인해야 합니다. 민감정보나 고유식별정보가 포함되었거나 해킹 등 외부의 불법적인 접근으로 유출되었다면 인원수와 무관하게 신고 대상입니다(시행령 제40조 제1항 제2호·제3호). 그리고 신고 대상이 아니더라도 정보주체에 대한 통지 의무는 모든 유출에 적용되므로 그대로 남습니다(법 제34조 제1항). 통지하지 않으면 3천만 원 이하의 과태료 대상입니다(법 제75조 제2항 제17호).

Q. 유출 규모를 아직 파악하지 못했는데 72시간을 넘겨도 되나요?

원칙적으로 안 됩니다. 유출 항목이나 경위를 확인하지 못한 경우에는 유출 사실과 그때까지 확인된 내용, 피해 최소화 방법 등을 72시간 안에 우선 통지·우선 신고하고, 추가로 확인되는 내용을 확인되는 즉시 알리는 것이 법이 정한 절차입니다(시행령 제39조 제2항, 제40조 제2항). 72시간을 미룰 수 있는 예외는 통지와 신고가 다릅니다. 통지는 접속경로 차단·취약점 보완·회수삭제 등 긴급한 조치가 필요한 경우와 천재지변 등 부득이한 사유가 있는 경우에 미룰 수 있고(시행령 제39조 제1항), 신고는 천재지변 등 부득이한 사유가 있는 경우에만 미룰 수 있습니다(시행령 제40조 제1항 단서). 어느 쪽이든 사유가 해소되면 지체 없이 알려야 합니다.

마무리

유출 사고는 통지·신고로 끝나지 않습니다. 그 뒤에 조사가 있고, 과징금·과태료 판단이 있고, 경우에 따라 정보주체의 손해배상 청구와 집단분쟁조정이 이어집니다. 이 글은 그 전체 국면의 첫 72시간을 다룬 출발점이고, 이후의 조사 대응, 과징금 산정 구조, 분쟁 단계는 각각 별도의 글에서 이어서 다룰 예정입니다.

이 글의 내용은 법령과 공개 자료에 근거한 일반적인 설명입니다. 실제 사안에서는 유출 경위, 데이터의 성격, 조치의 시점에 따라 판단이 달라질 수 있으므로, 구체적 사안은 개별 검토가 필요합니다.

실무에서 반복적으로 확인하게 되는 것은, 초기 72시간의 실패가 대부분 악의가 아니라 “정확해진 다음에 움직이겠다"는 성실함에서 나온다는 점입니다. 법 제34조와 시행령 제39조·제40조는 그 성실함의 방향을 바꾸라고 요구합니다. 완성된 답을 늦게 내놓는 것이 아니라, 불완전한 답을 제때 내놓고 갱신하는 것입니다.