유출대응

퇴사자가 고객 데이터를 반출한 것을 확인한 회사는 영업비밀 침해의 원고이면서 동시에 개인정보 유출의 통지 의무자이고, 안전조치를 소홀히 했다면 과징금 대상입니다. 개인정보보호위원회는 실제로 이런 사안에서 안전조치 위반은 아니라고 보면서도 통지 지연에는 시정조치를 명했습니다(제2026-213-267호). 소송에서 유리한 주장과 조사에서 유리한 항변이 같은 사실을 두고 갈리는 지점을 조문 단위로 정리했습니다.

계약을 해지하면서 기한을 정해 삭제하기로 합의하고도 파기하지 않은 수탁사가, 그 데이터가 1년 반 뒤 검색엔진에 노출되자 과태료 420만 원과 1년간의 공표 처분을 받았습니다. 처분은 발주사가 아니라 수탁사에게 왔습니다. 법 제26조 제8항이 파기·안전조치·통지 의무를 수탁자에게 준용하고, 과태료 조항도 그 준용을 문언으로 명시하고 있기 때문입니다.

개인정보보호위원회가 2026년 7월 30일 KT에 과징금 539억 7,900만 원을 부과하면서, 고객 집에 설치된 펨토셀의 실질 운영주체와 관리통제권이 KT에 있다고 판단했습니다. 장비가 어디에 놓여 있는지가 아니라 인증과 접속통제를 누가 하는지가 기준입니다. 키오스크·단말·온프레미스 설치형 제품을 고객사에 두는 회사에 그대로 적용되는 판단입니다.

위탁사가 정보주체에게 배상한 뒤 수탁사에 구상하는 경로는 열려 있습니다. 다만 전액이 아니라 자기 부담부분을 초과한 금액만입니다. 최근 1심 판결은 위탁사 30 대 수탁사 70으로 나누어 55억여 원을 인정했는데, 위탁사가 30%를 진 이유는 감독을 소홀히 했기 때문이 아니라 고객정보를 변환하지 않은 원본 그대로 넘겼기 때문입니다.

법률 제21445호(2026년 3월 10일 공포, 2026년 9월 11일 시행)가 바꾸는 조문을 현행법과 나란히 정리한 대조표입니다. 유출등 정의 확대, 제34조의 항 이동과 가능성 단계 통지 신설, 과징금 가중·감경 규정, 개인정보 보호책임자 지정에 관한 이사회 의결·신고 의무를 조문 단위로 담았고, 시행령 확정에 따라 계속 갱신합니다.

개인정보위가 2026년 7월 8일 공개한 사례에서, 안심번호만 받기로 정책을 바꾼 회사의 API가 실제로는 휴대전화번호까지 전송했고 받는 쪽 시스템에 13.5만 명분이 보관돼 있었습니다. 요청한 적 없는 항목을 받아 두고 있을 때 받은 쪽이 어떤 조문의 수범자가 되는지, 사고가 나면 누가 신고 의무자인지를 조문 단위로 정리했습니다.

2026년 9월 11일 시행 개정 개인정보 보호법은 통지·신고 대상인 ‘유출등’에 위조·변조·훼손을 추가했습니다. 데이터가 밖으로 나간 것이 확인되지 않아도 랜섬웨어 암호화만으로 72시간 시계가 돌 수 있습니다. 현행법과의 차이, 정의 조문의 위치가 남긴 쟁점, 대응 시계의 기산점을 조문 단위로 정리했습니다.

콜센터·배송·전산 유지보수 수탁사에서 사고가 나도 책임의 무게중심은 위탁사에 있습니다. 개인정보 보호법 제26조 제4항·제7항과 제64조의2 제1항 제5호가 만드는 책임 구조, 그리고 수탁사 자신의 의무와 배상 이후의 구상 국면까지 정리했습니다.

본사 인시던트 대응 절차서는 대개 GDPR을 기준으로 쓰여 있고, 첫 분기점이 위험도 평가입니다. 그런데 한국 개인정보 보호법 제34조 제1항은 위험 정도를 요건으로 삼지 않고 유출등을 알게 된 것만으로 통지 의무를 지우며, 기한은 72시간입니다(시행령 제39조 제1항). GDPR과 달리 암호화에 따른 통지 면제도 없습니다. 통지는 전건 의무이고 신고가 오히려 요건 한정이라는 구조 차이와, 2026년 9월 11일 개정법 시행으로 간극이 어디서 더 벌어지는지를 조문 단위로 정리합니다.

개인정보 보호법 제64조의2 제1항 제9호는 ‘유출된 경우’ 자체를 과징금 사유로 정할 뿐 해킹인지 담당자 실수인지를 묻지 않습니다. 2025년 유출 관련 조사·처분 115건의 원인 1위도 업무 과실(53건, 46%)이었습니다. 무엇이 처분 여부를 가르고 무엇이 금액을 가르는지, 메일 오발송 같은 업무 과실 유형에서 신고와 통지가 어떻게 달라지는지를 조문 단위로 정리합니다.