본사 인시던트 대응 플레이북, 한국에서 어디가 깨지나: GDPR의 'high risk' 기준이 통하지 않는 지점
본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다.