데이터·개인정보 유출 사고
기업의 법적 대응과 신고 의무

유출의 개념과 범위

개인정보 유출은 해킹과 같은 외부 침해뿐 아니라 내부 직원의 권한 없는 반출, 이메일·문서의 오발송, 저장매체 분실, 시스템 오류로 인한 노출 등 다양한 형태로 발생합니다. 「개인정보 보호법」은 유출의 원인이 무엇이든 관리·통제권을 벗어나 제3자가 알 수 있는 상태가 되면 통지·신고 의무가 발생하는 것으로 규율합니다.

실무에서는 "외부에 실제로 노출되었는지 확실하지 않다"는 이유로 통지를 미루는 경우가 있으나, 유출 가능성이 합리적으로 인정되면 보수적으로 통지·신고를 검토하는 것이 안전합니다. 사실관계 확인을 핑계로 절차를 지연하면 의무 위반이 될 수 있기 때문입니다.

유출 사고의 영향

개인정보 유출 사고는 정보주체에 대한 통지·신고 의무 위반에 따른 행정 제재뿐 아니라, 피해 정보주체의 손해배상 청구, 집단분쟁조정·단체소송, 평판 손상으로 이어질 수 있습니다. 따라서 사고 인지 단계부터 법적 의무를 정확히 이행하면서 동시에 피해 확산을 차단하는 통합적 대응이 필요합니다.

단계별 흐름

통지에 반드시 포함할 사항

「개인정보 보호법」 제34조 제1항은 정보주체에게 통지해야 할 내용을 구체적으로 정하고 있습니다. 통지문에는 다음 사항이 빠짐없이 들어가야 하며, 일부만 통지하면 의무를 다한 것으로 보기 어렵습니다.

통지 시점 — ‘지체 없이’의 의미

‘지체 없이’란 정당하거나 합리적인 이유에 따른 시간적 여유를 제외하고 가급적 신속히 통지해야 한다는 의미입니다. 다만 정보주체의 연락처를 알 수 없는 등 통지할 수 없는 정당한 사유가 있는 경우에는 홈페이지 게시 등 대통령령으로 정하는 방법으로 갈음할 수 있습니다.

신고 대상 요건

모든 유출 사고가 신고 대상은 아니며, 「개인정보 보호법」 제34조 제3항과 시행령은 신고가 필요한 경우를 정하고 있습니다. 다음 중 하나에 해당하면 신고 의무가 발생합니다.

신고 기한과 방법

신고 대상에 해당하는 유출 사고를 인지한 때에는 72시간 이내에 개인정보보호위원회 또는 KISA에 신고해야 합니다. 신고는 개인정보보호 종합포털 등을 통해 접수할 수 있으며, 72시간 이내에 구체적인 유출 항목·규모 등을 확정하기 어려운 경우에도 우선 신고한 뒤 추가로 확인된 사항을 보완 신고하는 방식이 가능합니다.

통지와 신고의 관계

통지(정보주체에 대한 안내)와 신고(감독기관에 대한 보고)는 별개의 의무입니다. 신고 대상이 아니어도 정보주체 통지 의무는 발생할 수 있고, 반대로 신고 대상이면 통지와 신고를 함께 이행해야 합니다. 두 의무를 혼동하여 한쪽만 이행하면 다른 의무 위반이 될 수 있으므로 구분하여 점검해야 합니다.

주요 제재

「개인정보 보호법」은 통지·신고 의무 위반과 안전조치 의무 위반에 대해 행정 제재를 두고 있습니다. 제재 수위는 위반의 내용, 안전조치 이행 여부, 피해 규모 등에 따라 달라집니다.

사전 대비 체계

유출 사고는 발생 자체를 완전히 막기 어렵기 때문에, 평상시 안전조치와 사고대응 매뉴얼을 갖추는 것이 핵심입니다. 다음과 같은 사전 대비가 제재 수위 완화와 신속한 대응에 도움이 됩니다.