핵심 요약: GDPR 플레이북의 첫 분기점인 위험도 평가가 한국에서는 통지 여부를 가르지 않습니다. 법 제34조 제1항이 유출등을 알게 된 것만으로 통지를 요구하고, 시행령 제39조 제1항이 기한을 72시간으로 정하기 때문입니다. 신고는 시행령 제40조 제1항의 세 요건 중 하나에 해당할 때만이라 GDPR과 구조가 정반대입니다. GDPR 제34조 제3항 (a) 같은 암호화 면제도 없습니다. 간극은 2026년 9월 11일 개정법 시행으로 더 벌어집니다.
외국계 한국법인에서 사고가 나면 본사 인시던트 절차가 먼저 돌아갑니다. 그 절차서는 대개 GDPR을 기준으로 쓰여 있습니다.
문제는 첫 분기점입니다. 한국 조문을 뒤에 얹어서 될 일이 아니라, 판단 순서 자체가 다릅니다.
본사가 “high risk가 아니다"라고 판단하면 한국에서는 어떻게 되나
GDPR 제34조 제1항은 높은 위험 가능성이 있을 때만 정보주체에게 알리게 합니다. 그래서 본사 판단표에는 “통지 불요"라는 출구가 있습니다.
법 제34조 제1항의 요건은 유출등을 “알게 되었을 때"뿐이고, 규모나 위험 정도를 묻지 않습니다. 기한은 72시간입니다(시행령 제39조 제1항). “no communication” 결론이 나와도 한국 의무는 그대로 남습니다.
규제기관 신고와 이용자 통지 중 어느 쪽이 먼저인가
GDPR 제33조 제1항에서 감독기관 신고는 원칙입니다. 권리와 자유에 위험을 초래할 가능성이 없을 때만 예외입니다.
한국은 구조가 뒤집혀 있습니다. 통지가 전건 의무이고, 신고는 세 요건 중 하나에 해당할 때만 발생합니다(법 제34조 제3항, 시행령 제40조 제1항).
| 구분 | GDPR | 한국 |
|---|---|---|
| 감독기관 신고 | 원칙적으로 필요, 위험 초래 가능성이 없으면 예외 (제33조 제1항) | 1천 명 이상·민감정보 또는 고유식별정보·외부로부터의 불법적인 접근 중 하나에 해당할 때 (시행령 제40조 제1항) |
| 정보주체 통지 | 높은 위험 가능성이 있을 때 (제34조 제1항) | 모든 유출등, 규모·유형 무관 (법 제34조 제1항) |
| 기한 | 신고는 인지 후 72시간, 통지는 부당한 지체 없이 | 통지·신고 모두 인지 후 72시간 (시행령 제39조 제1항, 제40조 제1항) |
72시간을 넘기게 되면 지연 사유를 적어 내면 되나
GDPR 제33조 제1항은 72시간을 넘기면 지연 사유를 함께 내게 합니다. 늦출 여지가 있는 셈입니다.
한국의 유예는 법정 사유뿐입니다. 통지는 확산·추가 유출 방지를 위한 긴급조치가 필요한 경우와 천재지변 등 부득이한 경우 두 가지(시행령 제39조 제1항 단서), 신고는 천재지변 등 부득이한 경우(시행령 제40조 제1항 단서)입니다. 유출 항목과 경위를 확인하지 못했으면 확인된 내용부터 우선 통지해야 하므로(시행령 제39조 제2항), “조사가 끝나면 통지한다"는 접근은 성립하지 않습니다.
암호화되어 있었으면 통지를 생략할 수 있나
GDPR 제34조 제3항 (a)는 암호화 등으로 접근 권한 없는 자가 내용을 이해할 수 없게 한 경우 통지를 요구하지 않습니다. 한국 법과 시행령에는 대응 규정이 없습니다.
시행령 제39조 제3항의 홈페이지 30일 게시는 갈음이지 면제가 아닙니다. 유출 경로가 확인되어 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아진 경우의 예외도 신고에만 적용될 뿐, 통지는 남습니다(시행령 제40조 제1항 단서). 초동 대응 순서는 개인정보 유출을 인지했습니다: 72시간 안에 해야 할 일과 하면 안 되는 일에서 단계별로 다뤘습니다.
2026년 9월 11일부터 간극은 어디서 더 벌어지나
9월 11일 시행 개정법(법률 제21445호)은 유출등의 정의에 위조·변조·훼손을 더하고, 그 정의를 법 전체에 적용합니다(개정 법 제23조 제2항). 통지 항목에는 손해배상·법정손해배상 청구와 분쟁조정 등 정보주체의 권리와 행사 방법에 관한 정보가 추가됩니다(개정 법 제34조 제1항 제6호).
가장 큰 변화는 신설 제34조 제2항입니다. 유출등의 가능성이 있음을 알게 된 단계에서 의무가 생기는데 GDPR에는 대응 개념이 없어, 본사가 “unconfirmed incident"로 묶어 두는 동안 한국 의무는 이미 발생해 있을 수 있습니다.
다만 이를 구체화할 시행령 개정령이 2026년 7월 28일 현재 공포되지 않아 가능성의 범위와 추가 통지 항목은 확정되지 않았습니다. 통지를 미룰 때의 비용은 개인정보 유출사고, ‘조용히 수습’이 가장 비싼 선택이 됩니다에서 다뤘습니다.
절차서 어디에 한국 분기를 넣을 것인가
- 위험도 평가와 무관하게 통지 트랙을 별도로 엽니다. 법 제34조 제1항의 의무는 평가 결론을 기다리지 않습니다.
- 본사 승인 대기 시간을 72시간 안에 넣어 설계합니다. 시계는 인지 시점부터 돌고 유예는 법정 사유뿐입니다.
- 통지문을 본사 템플릿 번역으로 갈음하지 않습니다. 기재사항이 법정으로 정해져 있습니다(법 제34조 제1항 각 호).
- 9월 11일 이후의 통지 항목과 가능성 단계 분기를 미리 비워 둡니다. 시행령이 공포되면 채웁니다.
이 판단과 그 근거를 남긴 기록은 이후 조사 국면에서 회사가 내놓을 수 있는 자료가 됩니다. 절차서의 분기가 그 출발점입니다.
자주 묻는 질문
Q. 본사 DPO가 GDPR 기준으로 정보주체 통지가 불필요하다고 판단했는데, 한국에서도 생략할 수 있나요?
생략할 수 없습니다. 높은 위험 가능성은 GDPR 제34조 제1항의 요건일 뿐입니다. 개인정보 보호법 제34조 제1항은 개인정보가 분실·도난·유출되었음을 알게 되었을 때를 요건으로 할 뿐 규모나 위험 정도를 묻지 않고, 기한도 유출등을 알게 된 때부터 72시간입니다(시행령 제39조 제1항).
Q. 유출된 개인정보가 암호화되어 있었으면 한국에서도 통지하지 않아도 되나요?
통지 의무는 남습니다. GDPR 제34조 제3항 (a)는 암호화 등으로 접근 권한이 없는 자가 내용을 이해할 수 없게 한 경우 정보주체 통지를 요구하지 않지만, 한국 법과 시행령에는 대응하는 면제 규정이 없습니다. 시행령 제39조 제3항의 홈페이지 30일 게시는 연락처를 알 수 없는 경우 등에 통지를 갈음하는 방법이지 면제가 아닙니다.
Q. 본사 인시던트 대응 절차서에 한국 항목을 넣는다면 무엇부터 넣어야 하나요?
위험도 평가와 분리된 통지 트랙이 첫 번째입니다. 법 제34조 제1항의 통지 의무는 평가 결론과 무관하게 발생하고 기한이 72시간이기 때문입니다(시행령 제39조 제1항). 이어서 1천 명 이상·민감정보 또는 고유식별정보·외부로부터의 불법적인 접근이라는 신고 요건 점검(시행령 제40조 제1항)과, 2026년 9월 11일부터 적용되는 유출등의 가능성 단계 통지(개정 법 제34조 제2항) 분기를 넣습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법 제34조(개인정보 유출 등의 통지·신고)
- 개인정보 보호법 시행령 제39조(개인정보 유출 등의 통지), 제40조(개인정보 유출 등의 신고)
- 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제23조 제2항, 제34조 제1항·제2항·제4항
- Regulation (EU) 2016/679(GDPR) 제33조(Notification of a personal data breach to the supervisory authority), 제34조(Communication of a personal data breach to the data subject)