핵심 요약 2026년 9월 11일 시행되는 개정 개인정보 보호법은 통지·신고 대상인 “유출등"에 위조·변조·훼손을 추가했습니다(법률 제21445호 제23조 제2항, 제34조 제1항). 현행법은 제34조 안에서만 통용되는 약칭으로 분실·도난·유출 세 가지만 규정하고 있어, 랜섬웨어로 파일이 암호화되기만 하고 외부 유출이 확인되지 않은 사고는 문언상 통지·신고 대상이 아니었습니다. 9월 11일 이후에는 데이터가 밖으로 나갔는지 확인되지 않아도 훼손 사실만으로 72시간 시계가 돌 수 있습니다.
랜섬웨어에 감염되면 대응팀이 가장 먼저 확인하는 것은 데이터가 밖으로 나갔는지입니다. 암호화만 됐고 외부 전송 로그가 없으면 대체로 안도합니다. 신고 의무는 “유출"에 걸리는 것이니 유출이 없으면 신고도 없다고 보기 때문입니다.
이 판단은 2026년 9월 10일까지만 맞습니다.
지금은 왜 암호화만으로는 신고 대상이 아닌가?
현행 법 제34조 제1항은 ‘개인정보가 분실·도난·유출(이하 이 조에서 유출등이라 한다)되었음을 알게 되었을 때’로 시작합니다. 괄호 안의 ‘이 조에서’가 핵심입니다. 세 가지 사유의 목록이 제34조 안에서만 통용되는 약칭이라는 뜻입니다.
시행령도 같은 구조입니다. 제39조 제1항이 ‘분실·도난·유출(이하 이 조 및 제40조에서 유출등이라 한다)‘이라고 쓰고 있어, 통지 72시간과 신고 72시간이 모두 이 세 가지에 걸려 있습니다. 그래서 파일이 암호화되어 읽을 수 없게 됐을 뿐 외부로 나간 정황이 없다면, 문언만 놓고 보면 통지·신고 의무는 발생하지 않습니다.
9월 11일부터는 무엇이 달라지나?
개정법(법률 제21445호, 2026년 3월 10일 공포)은 제34조 제1항에서 정의를 통째로 들어냈습니다. 개정된 문언은 ‘개인정보가 유출등이 되었음을 알게 되었을 때’로만 되어 있습니다.
정의는 제23조 제2항으로 옮겨졌습니다. ‘분실·도난·유출·위조·변조 또는 훼손(이하 유출등이라 한다)’. 여기에는 ‘이 조에서’라는 한정이 없습니다.
세 가지가 여섯 가지가 됐고, 그 목록이 제34조에 그대로 들어옵니다. 랜섬웨어 암호화는 데이터를 원래 상태로 쓸 수 없게 만드는 행위이므로 훼손에 해당할 여지가 큽니다. 밖으로 나갔는지 확인하기 전에 이미 통지 의무의 요건이 채워질 수 있다는 뜻입니다.
정의 조문이 민감정보 조항에 있는 것은 문제가 되나?
쟁점이 하나 남습니다. 제23조는 민감정보의 처리 제한을 정한 조문이고, 제2항은 ‘민감정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록’으로 시작합니다. 약칭 정의가 민감정보를 주어로 하는 문장 안에 놓여 있습니다.
그렇다고 이 정의가 민감정보에만 적용된다고 읽기는 어렵습니다. 제34조 제1항이 자체 정의를 없앴으므로 그 조문의 유출등이 무엇인지 알려면 제23조 제2항으로 갈 수밖에 없고, 그때 주어는 개인정보로 바뀝니다.
결론은 같지만 입법 형식이 깔끔하지는 않습니다. 시행령이나 개인정보위 해설서가 이 지점을 어떻게 정리하는지 볼 필요가 있습니다. 2026년 7월 29일 현재 개정법을 구체화할 시행령 개정령은 공포되지 않았습니다.
그러면 대응 시계는 언제부터 도나?
기산점은 사고 발생이 아니라 ‘알게 되었을 때’입니다. 랜섬웨어에서 이 시점은 대체로 암호화를 인지한 때이지, 유출 여부를 조사해 결론을 낸 때가 아닙니다.
통지와 신고는 요건이 다릅니다. 정보주체 통지는 규모나 유형을 따지지 않고 모든 유출등에 걸립니다(법 제34조 제1항, 시행령 제39조 제1항). 신고는 1천 명 이상, 민감정보·고유식별정보, 또는 개인정보처리시스템에 대한 외부로부터의 불법적인 접근 중 하나에 해당할 때 걸립니다(시행령 제40조 제1항 각 호). 랜섬웨어는 세 번째 요건에 정면으로 해당합니다.
항목과 경위를 아직 모른다는 것은 미룰 사유가 되지 않습니다. 확인된 내용만 우선 통지·신고하고 나머지는 확인되는 즉시 알리는 것이 시행령이 정한 절차입니다(제39조 제2항, 제40조 제2항). 72시간 절차의 전체 구조는 유출 사고 72시간 대응의 조문별 기준에 정리해 두었습니다.
이 차이가 조사에서 어떻게 드러나나
조사 국면에서 이 변화는 ‘신고를 했는가’가 아니라 ‘언제 했는가’로 나타납니다. 암호화를 인지한 날과 신고한 날 사이의 간격은 접속기록과 사내 메일에 그대로 남습니다. 유출 여부를 조사하느라 시간이 필요했다는 설명은 9월 11일 이후 오히려 기산점을 잘못 잡았다는 기록이 될 수 있습니다.
빈도로 보아도 예외적인 상황을 겨냥한 개정이 아닙니다. 개인정보보호위원회와 한국인터넷진흥원이 2026년 5월 15일 발간한 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」에 따르면, 2025년 유출 신고 447건 중 해킹이 62%(276건)로 가장 큰 비중이었습니다. 해킹으로 인한 유출은 전년 171건에서 276건으로 늘었습니다.
해킹 유형별로는 랜섬웨어·웹셸 등 악성코드가 35%(96건)로 1위였습니다. 개인정보위도 같은 자료에서 랜섬웨어 유포와 대형 수탁사를 노린 공급망 공격의 확대를 증가 원인으로 지목했습니다. 가장 흔한 사고 유형이 정의 확대의 사정권 한가운데에 있습니다.
자주 묻는 질문
랜섬웨어로 암호화됐지만 백업으로 전부 복구했습니다. 그래도 통지해야 하나요?
복구했다는 사정은 통지 의무를 없애지 않습니다. 법 제34조 제1항은 유출등을 알게 된 때를 기준으로 통지 의무를 지우고 복구를 면제 사유로 들지 않습니다. 신고 쪽에는 유출등의 경로가 확인되어 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있다는 규정이 있지만(시행령 제40조 제1항 단서 후단), 정보주체 통지에는 이에 대응하는 면제 규정이 없습니다. 다만 이 단서가 밖으로 나간 정황이 없는 훼손 사고에 어떻게 적용되는지는 시행령 개정으로 정리되어야 할 부분입니다.
9월 10일에 감염되고 9월 12일에 인지했다면 개정법과 현행법 중 어느 쪽이 적용되나요?
개정법입니다. 법률 제21445호 부칙 제2조 제1항은 제34조 제1항 및 제4항의 개정규정을 ‘이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터’ 적용하도록 정하고 있습니다. 기준은 사고가 언제 발생했는지가 아니라 언제 알게 되었는지입니다. 시행일 직전에 발생한 사고라도 인지가 9월 11일 이후라면 확대된 정의를 전제로 판단해야 합니다.
참고자료
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제34조
- 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포, 2026년 9월 11일 시행) 제23조 제2항, 제34조, 부칙 제2조
- 개인정보 보호법 시행령(대통령령 제36340호) 제39조, 제40조
- 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」 (2026년 5월 15일 보도자료, 원문)