유출대응

개인정보위 공개 결정문 1,018건(2026-10-12 수집분)을 세어 보면, 통지가 늦은 103건에서 과징금은 제29조(안전조치) 위반이 함께 인정된 68건 중 38건에 붙었고 그렇지 않은 35건에서는 1건이었습니다. 유출 규모, 조사 착수 경로, 조사 기간, 의견 제출 기간도 같은 방식으로 맞대 보았고, 2026년 3분기에 의결된 39건의 현황을 덧붙였습니다. 공개 결정문만 센 관찰값이며 인과관계를 뜻하지 않습니다.

쿠팡 과징금 두 건(제2026-011-075호 4,235억 7,500만 원·제2026-011-076호 2,011억 600만 원)에서 개인정보위는 쿠팡이츠·쿠팡플레이·B2B·기타 매출을 관련 매출액에서 뺐고, 와우멤버십은 남겼습니다. 직매입의 매입원가·배송비·보관비는 순매출액 기준이라는 이유로 빼지 않았습니다. 2026년 9월 공개된 결정문과 같은 회차 속기록으로 순액법 공방, 위반기간 기산점(유출 시점이 아니라 안전조치 미이행 시점), 처분 횟수, 사무처 원안에서 바뀐 조정률을 정리했습니다. 관련 매출액·부과기준율·기준금액은 결정문에서도 가려져 있고, 법원 판단은 남아 있습니다.

해킹으로 개인정보가 빠져나가면 신고 창구가 둘이 됩니다. 정보통신망법 제48조의3 제1항은 24시간, 개인정보 보호법 제34조 제4항과 같은 법 시행령 제40조는 72시간을 정합니다. 갈음은 한 방향으로만 흐르고, 2026년 9월 11일부터는 유출이 확정되지 않은 단계의 통지 의무가, 2026년 10월 1일부터는 이용자에 대한 침해사고 통지 의무가 더 붙었습니다. 정부나 제3자의 연락으로 사고를 알게 된 경우 두 시계가 언제부터 도는지까지 정리했습니다.

남의 사이트에서 새어 나온 비밀번호로 우리 사이트에 로그인당하는 공격에서, 개인정보보호위원회는 차단 정책의 유무가 아니라 임계치가 평상시 트래픽에 비추어 합리적인지를 봅니다. 결정문에 남은 임계치 판단 네 건을 숫자 그대로 놓고, 조사가 시작되기 전에 무엇을 먼저 확인해야 하는지 정리합니다.

공개된 유출 통지·신고 위반 의결에서 과징금 부과와 안전조치의무 위반의 동반 여부를 살폈습니다. 이 비교만으로 지연의 영향이 없다고 단정할 수는 없습니다. 통지·신고 위반 자체의 제재와 다른 위반에 대한 과징금 액수 산정을 구분하고, 기한 준수와 사고 당시 증적 보존을 함께 준비하는 방법을 정리합니다.

2026년 10월 1일부터 정보통신서비스 제공자는 CISO의 임원 요건을 점검해야 합니다. 같은 날 시행된 시행령(대통령령 제36735호) 제36조의7 제1항은 사업자를 네 가지로 구분했고, 정보보호 업무를 총괄하는 부서의 장을 지정할 수 있는 것은 제3호에 해당하는 중기업뿐입니다. 부서의 장을 신고해 둔 제4호 사업자는 시행령 부칙 제2조에 따라 2027년 3월 31일까지 다시 지정·신고해야 합니다. CISO 지정·신고 위반 조항은 제76조 제2항 제6호의2로 이동했고 상한은 3천만원을 유지합니다.

2026년 10월 1일 시행된 정보통신망법 제48조의8은 5년 이내 2회 이상의 침해사고에 매출액 3% 과징금을 부과합니다. 부칙 제7조 제1항은 시행 이후 최초로 2회 이상 발생한 경우부터 적용한다고 정했는데, 이 문언이 시행 전 사고를 횟수에 넣는지 넣지 않는지를 갈라 주지 않습니다. 같은 문제를 다룬 개인정보 보호법 부칙은 앞의 처분을 명시적으로 한정했으나 정보통신망법 부칙에는 그 한정이 없습니다. 두 부칙을 나란히 놓고 읽는 두 가지 방법과, 실사·사고대응에서 지금 확인해 둘 것을 정리했습니다.

개인정보보호배상책임보험은 정보주체에 대한 법률상 손해배상금을 덮고, 공개된 약관은 과징금·과태료를 명시적으로 제외합니다. 과징금은 일부 상품의 특약으로만 보상되며, 특약도 고의(상품에 따라 고의·중과실) 과징금과 과태료를 면책합니다. 과징금을 회사의 손해로 삼아 이사에게 오는 청구는 임원배상책임보험(D&O)의 영역인데, 공개된 약관 한 종은 벌과금·법인이 제기한 청구·주주대표소송을 면책하거나 특약 대상으로 둡니다. 2026년 9월 11일 개정법이 대표자의 최종 책임과 CPO의 이사회 보고를 명문화한 뒤에는 세 증권의 면책 조항과 이사회 기록을 함께 확인해야 합니다.

2026년 9월 11일 시행 과징금 부과기준 고시 제10조 제2항 제2호는 정보주체의 피해 회복 조치를 이행한 경우 1차 조정 금액의 「100분의 30 이하」를 감경하는 사유로 둡니다. datalaw.kr 제재 DB의 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 10건이고, 6건은 산정에 반영됐고 4건은 반영되지 않았습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있는 반면, 전원에게 보상했는데 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 개정 고시는 신속 대응 감경(40% 이하)을 따로 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다.

요즘 정보주체가 받는 유출 통지 문자에는 일정한 형식이 있습니다. 사고 날짜, '탈취 정황은 낮다'는 자체 평가, 유출이 의심되는 항목, 기술 부서의 연락처. 이 네 문장이 조사 단계에서 어떻게 읽히는지, 그리고 2026년 9월 11일 이후 같은 문안을 보내면 어느 칸이 비는지를 개인정보 보호법 제34조 제1항 기재사항과 기재사항 누락 처분 2건에 대조해 정리했습니다.