유출 통지 72시간, 며칠 늦으면 처분되나 — 개인정보위 통지·신고 지연 제재 전수

핵심 요약 — 개인정보 유출 통지·신고 의무 위반으로 처분된 의결 88건을, 결정문이 적은 인지일과 통지·신고일의 간격으로 정리했습니다. 위반의 모습은 셋입니다. 기한을 넘긴 지연이 77건, 통지·신고를 하지 않은 미이행이 9건, 그리고 기한 안에 통지하고도 기재사항을 빠뜨려 처분된 건이 2건입니다. 날짜가 적힌 57건에서 통지 지연은 최소 1일·중앙값 14일, 신고 지연은 최소 1일·중앙값 6일입니다. 조문 단위로 제34조 위반 전체를 보려면 안전조치·유출 통지 조문 면으로, 시행일은 법령 시행일 캘린더로 가십시오.

72시간이라는 숫자는 널리 알려져 있습니다. 정작 실무에서 답이 필요한 질문은 그다음입니다. 하루 늦으면 어떻게 되는가, 통지는 했는데 신고가 늦으면 어떻게 되는가, 대상자를 나중에 더 찾아내 추가로 통지하면 그 기간은 어떻게 계산되는가.

위원회 결정문은 그 답을 날짜 두 개로 적어 둡니다. 「피심인은 인지 후, 정당한 사유 없이 72시간이 경과한 날에 유출통지한 사실이 있다」는 형식입니다. 아래 표는 그 날짜를 그대로 옮겨 간격을 계산한 것입니다. 계산은 뺄셈이고, 위원회가 며칠까지 봐주었다는 뜻이 아니라 실제로 그만큼 걸린 사건들이 처분됐다는 뜻입니다.

우리 사고가 지금 통지·신고 대상인지, 기한이 언제까지인지는 유출 통지·신고 판정기에서 조문 요건에 대입해 볼 수 있습니다.

기준일 2026-09-11 · 출처 개인정보위 결정문 — 유출 통지·신고 의무 위반 사실. 대상은 개인정보 보호법 제34조 또는 구 개인정보 보호법 제39조의4(특례)가 위반으로 인정된 의결 102건이고, 그 가운데 결정문 사실 절에서 위반의 모습을 읽을 수 있는 88건을 실었습니다. 일수는 결정문이 적은 인지일과 통지·신고일의 간격이며, 위원회가 정한 기준이 아니라 실제로 처분된 사건들의 간격입니다.

며칠 늦은 건들이 처분됐나

기준이 72시간인 건과 24시간인 건

같은 「지연」이라도 적용된 기한이 다릅니다. 현행 개인정보 보호법 제34조와 시행령 제39조·제40조는 72시간이고, 2020년 8월부터 2023년 9월까지 정보통신서비스 제공자에게 적용된 구 개인정보 보호법 제39조의4(특례)는 24시간이었습니다.

나머지 건은 결정문이 기한을 「지체 없이」로만 적었거나 일수로 적었습니다(72시간 41건 · 24시간 34건 · 지체 없이 2건 · 7일 1건 · 5일 1건).

위반의 모습 세 가지

의결별 표

「날짜 미기재」는 결정문이 기한을 넘겼다고만 적고 날짜를 적지 않은 건입니다. 지연이 없었다는 뜻이 아닙니다. 행 하나를 가리킬 때는 #n-2026-216-364 형식의 주소를 쓰십시오.

이 표를 읽을 때 조심할 것

• 중앙값을 안전선으로 읽으면 안 됩니다. 통지 지연 중앙값이 14일인 것은 그만큼 여유가 있다는 뜻이 아니라, 늦은 사건들이 대체로 그 정도 늦었다는 뜻입니다. 최소값이 1일이라는 사실이 기준선입니다.
• 기한 칸을 함께 보십시오. 24시간 기준은 2020년 8월~2023년 9월 정보통신서비스 제공자에게 적용된 구 개인정보 보호법 제39조의4(특례)입니다. 그 사건의 나흘을 현행 72시간 기준의 나흘과 같이 읽으면 정반대가 됩니다.
• 인지일이 언제인지가 다투어집니다. 결정문을 보면 인지 시점이 자체 로그 분석일 때도 있고, 한국인터넷진흥원이나 경찰의 통보를 받은 날일 때도 있으며, 위원회에 민원이 접수됐다는 사실을 전달받은 날일 때도 있습니다. 사업자가 「확정적으로 알게 된 날」을 늦게 잡아도 위원회는 「충분히 알 수 있었던 날」을 인지일로 봅니다.
• 일부 대상자에 대한 통지 누락이 긴 지연으로 잡힙니다. 최초 통지는 당일에 했는데 발송 오류로 빠진 대상자에게 뒤늦게 다시 통지한 사건에서, 결정문은 그 완료일까지를 지연으로 봤습니다.
• 날짜 미기재는 지연이 없었다는 뜻이 아닙니다. 결정문이 기한을 넘겼다고만 적고 날짜를 적지 않은 건입니다.

이 표에 없는 것

• 결정문이 공개되지 않은 제재는 여기에 없습니다. 위원회가 보도자료만 낸 사건은 결정문 미공개 제재에 따로 있고, 그쪽에는 통지 지연 일수가 적혀 있지 않습니다.
• 방송통신위원회가 2020년 8월 이전에 구 정보통신망법으로 한 처분은 개인정보위 이전의 처분에 있습니다. 처분청과 근거법이 달라 합산하지 않습니다.
• 유출로 인한 민사 손해배상은 제재와 별개입니다. 통지가 늦었다는 사정이 위자료 판단에서 어떻게 쓰였는지는 유출 손해배상 판결에서 보십시오.
• 통지가 늦어 조정 신청으로 이어진 사건은 분쟁조정 사례에 있습니다.
• 처분되지 않은 통지는 여기에 없습니다. 이 표는 위원회가 문제 삼은 사건만 담습니다. 처분과 무관하게 사업자들이 실제로 어떤 문안을 보냈는지는 공개 통지문 모음에 따로 모아 두었습니다 — 기재사항이 실제로 얼마나 채워지는지, 문의 창구로 무엇을 적는지가 거기 있습니다.

자주 묻는 질문

Q. 개인정보 유출 통지가 며칠 늦으면 처분되나요?

하루만 늦어도 처분된 사례가 있습니다. 결정문에 인지일과 통지일이 모두 적힌 건들을 보면 통지 지연은 최소 1일, 중앙값 14일이고 신고 지연은 최소 1일, 중앙값 6일입니다. 다만 기한이 사건마다 다릅니다. 현행 개인정보 보호법 제34조와 시행령 제39조·제40조는 72시간이고, 2020년 8월부터 2023년 9월까지 정보통신서비스 제공자에게 적용된 구 개인정보 보호법 제39조의4(특례)는 24시간이었습니다. 72시간 기준 사건의 통지 지연 중앙값은 20일, 24시간 기준 사건은 5일입니다.

Q. 기한 안에 통지했는데도 처분될 수 있나요?

있습니다. 유출 통지에는 법이 정한 기재사항이 있고, 기한을 지켰더라도 그 항목을 빠뜨리면 같은 조문 위반입니다. 실제로 72시간 안에 통지했으나 유출된 개인정보 항목, 유출 시점과 경위, 대응조치와 피해 구제절차를 누락해 처분된 의결이 있습니다. 통지문에 무엇을 적을지가 언제 보낼지만큼 중요합니다.

Q. 정보주체 통지와 위원회 신고는 따로 세나요?

따로 세야 합니다. 통지는 정보주체에게, 신고는 개인정보보호위원회에 하는 것으로 상대방이 다른 의무이고 결정문도 두 날짜를 따로 적습니다. 실제로 한쪽만 늦은 사건, 신고만 하고 통지는 의결일까지 하지 않은 사건이 모두 있습니다. 이 표는 두 칸을 나누어 싣습니다.

Q. 2026년 9월 개정법에서 통지 기한이 달라졌나요?

기한은 달라지지 않습니다. 2026년 9월 11일 시행된 개정 개인정보 보호법 제34조도 통지·신고는 「지체 없이」 하도록 하고 시기는 대통령령에 맡기며(제5항), 72시간은 여전히 시행령 제39조·제40조에 있습니다. 개정법은 통지 기재사항에 손해배상·분쟁조정 등 권리 안내(제1항 제6호)를 더했고, 유출 가능성 단계의 통지(제2항)를 신설했습니다. 이 표의 처분들은 그 이전 기준에서 나온 것이지만 기한 계산과 위반의 모습은 이어지므로, 개정 이후의 판단을 가늠하는 기준선이 됩니다.

내려받기와 출처 표기

이 표는 개인정보보호위원회가 공개한 결정문에서 기계 추출한 것입니다. 인용하실 때는 원문인 위원회 결정문 게시판을 함께 밝혀 주십시오. 행 하나를 가리킬 때는 표 아래에 적힌 행 주소를 쓰시면 됩니다.

표의 오류를 발견하셨거나, 이의신청·행정소송으로 처분이 취소·변경된 사실을 알고 계시면 hyunsub.lee@seumlaw.com으로 알려 주십시오. 원문을 대조해 확인되는 대로 고치겠습니다.