2026년 9월 11일부터 개인정보 유출이 최종 확인되지 않았더라도, 일정한 요건 아래 ‘유출 가능성’을 알게 된 경우 정보주체에게 알리는 제도가 시행됐습니다. 핵심은 “확실히 유출된 사람을 모두 특정한 뒤에야 통지한다”는 방식만으로는 대규모 해킹 사고에서 피해 예방이 늦어질 수 있다는 점을 보완한 것입니다.
어려운 말 먼저 보기 — 본문에 나오는 법률 용어를 일상적인 말로 풀었습니다.
- 개인정보: 살아 있는 개인에 관한 정보로서 그 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보
- 벌금: 법원이 형사재판을 통해 선고하는 재산형
- 손해배상: 위법한 행위나 계약 위반으로 생긴 손해를 갚는 책임
이번 개정은 단순히 문자 한 통을 더 보내도록 한 변화가 아닙니다. 개인정보처리자가 침해사고를 탐지한 뒤 무엇을 확인하고, 언제 이용자에게 알려야 하는지에 관한 판단 시점이 앞당겨졌습니다. 이용자 입장에서도 앞으로는 “개인정보가 유출됐습니다”라는 확정형 통지뿐 아니라 “유출 가능성이 확인돼 안내합니다”라는 형태의 통지를 받을 수 있습니다.
그렇다고 유출 가능성 통지를 받았다는 사실만으로 내 개인정보가 실제로 외부에 넘어갔다고 단정할 수는 없습니다. 반대로 “확정된 게 아니니 아무 일도 아니다”라고 무시하는 것도 적절하지 않습니다. 제도의 취지는 불확실성이 남아 있는 초기 단계라도 일정 수준의 위험이 확인되면 정보주체가 비밀번호 변경, 피싱 경계, 금융계정 점검 같은 예방 조치를 먼저 할 수 있게 하려는 데 있습니다.
2026년 9월 11일, 무엇이 바뀌었나요
2026년 3월 10일 공포된 개인정보 보호법 개정법률은 2026년 9월 11일부터 시행됐습니다. 현행 개인정보 보호법 제34조는 개인정보가 실제로 ‘유출등’이 되었음을 알게 된 경우의 통지뿐 아니라, 일정한 위험 수준의 유출등의 가능성을 알게 된 경우에도 정보주체에게 알리도록 하는 근거를 두고 있습니다.
시행령은 이 제도를 더 구체화했습니다. 국가법령정보센터가 공개한 2026년 9월 11일 시행 개인정보 보호법 시행령 개정이유에 따르면, 개인정보처리시스템 등에 불법적인 접근이 발생해 개인정보의 분실·도난·유출 등이 의심되는 정황은 있지만 어느 정보주체의 개인정보가 유출됐는지 특정하기 곤란한 경우가 유출 가능성 통지의 대표적인 상황으로 제시됩니다. 이 경우 불법적인 접근을 알게 된 때부터 72시간 이내에 통지하도록 하는 내용이 시행령에 마련됐습니다.
쉽게 말하면 다음과 같습니다.
| 상황 | 기본적으로 봐야 할 제도 |
|---|---|
| 특정 이용자의 개인정보가 실제로 유출된 사실을 확인 | 기존의 개인정보 유출등 통지 |
| 불법 접근 등으로 유출이 의심되지만 실제 유출 대상자를 특정하기 어려움 | 2026년 도입된 유출 가능성 통지 검토 |
| 조사 결과 실제 유출이 없었다고 확인 | 가능성 통지를 받은 사람에게 그 사실을 다시 알리는 절차 검토 |
여기서 중요한 것은 “해킹 흔적이 한 번 보이면 모든 고객에게 무조건 72시간 안에 통지한다”는 뜻은 아니라는 점입니다. 법과 시행령이 정한 요건을 충족하는지가 먼저 판단돼야 합니다. 반대로 공격자가 어떤 데이터를 가져갔는지 완전히 복원할 때까지 아무 통지도 하지 않아도 된다는 뜻도 아닙니다. 유출 가능성 통지제도는 바로 그 중간 구간을 다루는 장치입니다.
‘유출’만이 아니라 ‘유출등’을 보는 이유
개인정보 보호법은 단순한 외부 유출만 문제 삼지 않습니다. 현행 법에서 여러 조문이 사용하는 ‘유출등’이라는 표현은 개인정보의 분실, 도난, 유출, 위조, 변조 또는 훼손을 포괄하는 방식으로 규정되어 있습니다.
이 차이는 실무에서 꽤 중요합니다. 예를 들어 공격자가 고객 데이터베이스를 복사해 밖으로 가져간 경우는 일반적으로 떠올리는 ‘유출’에 가깝습니다. 그러나 공격자가 데이터를 삭제하거나 변조해서 고객의 정보가 잘못된 상태로 바뀌었다면 문제의 핵심은 기밀성만이 아니라 무결성과 가용성에도 있습니다.
가령 온라인 서비스의 회원정보 DB에 비정상 접근이 발생해 주소 일부가 임의로 바뀌었는데 외부 반출 여부는 불분명하다고 가정해 보겠습니다. “다운로드 증거가 없으니 개인정보 사고가 아니다”라고 단순하게 결론 내리기 어렵습니다. 실제 적용 여부는 구체적인 사실관계에 따라 달라지지만, 법이 ‘유출등’이라는 넓은 개념을 쓰는 이유를 이해하면 사고 대응 범위를 더 정확히 볼 수 있습니다.
유출 가능성 통지는 ‘유출 확정 통지’와 다릅니다
이용자가 가장 먼저 구분해야 할 부분입니다.
“유출 가능성이 있어 안내한다”는 통지를 받았다는 것은 사업자가 일정한 위험 정황을 인지했다는 의미이지, 통지를 받은 모든 사람의 개인정보가 실제로 외부에 유출됐다는 확정 결과는 아닙니다. 시행령 개정이유도 바로 “유출이 의심되는 정황은 있으나 어느 정보주체의 개인정보가 유출됐는지 특정하기 곤란한 경우”를 전제로 설명합니다.
예를 들어 한 서비스의 관리자 계정이 탈취돼 회원 DB에 비정상 접근한 로그가 발견됐다고 해보겠습니다. 공격자가 DB 전체를 열람했는지, 특정 테이블만 봤는지, 실제 파일을 내려받았는지 로그만으로 즉시 확정되지 않을 수 있습니다. 조사에는 시간이 걸릴 수 있지만 이용자 입장에서는 그 사이 같은 비밀번호를 다른 사이트에서도 사용하고 있거나, 유출 가능성이 있는 이메일·전화번호를 이용한 피싱에 노출될 수 있습니다.
새 제도는 이처럼 조사 완료를 기다리는 동안 예방 기회를 잃는 문제를 줄이려는 성격이 강합니다.
반대로 이후 정밀 조사에서 실제 개인정보 유출이 없었다는 사실이 확인될 수도 있습니다. 2026년 시행령은 유출 가능성 통지 후 실제로 유출되지 않았다는 사실을 확인한 경우 그 사실을 정보주체에게 알리는 내용도 마련했습니다. 따라서 첫 번째 통지만 보고 “유출 확정”으로 이해하거나, 후속 안내를 보지 않고 상황이 끝났다고 생각하는 것은 모두 피하는 편이 좋습니다.
72시간은 사고가 발생한 순간부터 무조건 세는 시간이 아닙니다
‘72시간’이라는 숫자는 기사 제목만 보면 가장 오해하기 쉬운 부분입니다.
유출 가능성 통지에 관해 시행령 개정이유는 개인정보처리자가 해당 불법적인 접근을 알게 된 때부터 72시간 이내 통지하도록 설명합니다. 즉 공격자가 실제로 서버에 처음 접근한 시각과 사업자가 그 불법 접근을 인지한 시각은 다를 수 있습니다.
예를 들어 공격이 월요일 새벽에 있었지만 보안관제에서 화요일 오전에 비정상 접근을 처음 확인했다면, 법적 판단에서 단순히 월요일 새벽만 보고 72시간을 계산하는 방식은 맞지 않을 수 있습니다. 무엇을 언제 ‘알게 되었는지’가 중요해지는 이유입니다.
기존의 실제 유출등 통지에서도 시행령은 개인정보처리자가 유출등이 되었음을 알게 된 때를 기준으로 통지 시점을 규정해 왔습니다. 사업자가 사고를 늦게 인지했다면 그 자체로 모든 책임이 없어지는 것은 아닙니다. 로그 보관, 탐지 체계, 안전성 확보조치가 적절했는지는 별도의 쟁점이 될 수 있습니다.
따라서 72시간 규정을 다음처럼 이해하는 편이 안전합니다.
- 침해사고 발생 시각과 사업자가 사고를 인지한 시각은 구분해야 합니다.
- 유출 가능성 통지는 시행령상 요건이 충족되는지 판단해야 합니다.
- 일부 사실이 아직 조사 중이라는 이유만으로 필요한 초기 통지를 무기한 미루는 구조는 아닙니다.
- 실제 통지 시점의 적법성은 사고 인지 경위, 확인된 정보, 기술적 조치 등 구체적인 사실관계를 함께 봐야 합니다.
“해킹 후 72시간이 지나면 무조건 위법” 또는 “사업자가 확정하지 않았다고 하면 언제까지 기다려도 된다”는 식의 단순한 해석은 모두 피해야 합니다.
가능성 통지에는 무엇이 담기나요
시행령 개정이유는 유출 가능성 통지 시 유출 등의 가능성이 있는 개인정보의 항목, 유출 등이 있었을 것으로 의심되는 시점과 경위 등을 알리도록 했다고 설명합니다. 법 제34조의 실제 유출등 통지에서는 유출된 개인정보 항목, 시점과 경위, 피해를 줄이기 위해 정보주체가 할 수 있는 방법, 개인정보처리자의 대응조치와 피해 구제절차, 담당부서와 연락처 등도 중요한 통지 내용입니다.
따라서 실제로 통지를 받으면 제목만 보지 말고 최소한 아래 내용을 확인할 필요가 있습니다.
1. 어떤 개인정보가 대상인지
이메일 주소와 닉네임 정도인지, 전화번호·주소가 포함됐는지, 비밀번호나 인증정보, 주민등록번호 같은 고유식별정보, 금융 관련 정보가 관련됐는지에 따라 필요한 대응이 달라집니다.
“개인정보 일부”처럼 뭉뚱그린 표현만 있다면 사업자의 공식 공지나 고객센터에서 추가 설명이 공개됐는지 확인할 필요가 있습니다.
2. 실제 유출 확정인지 가능성 통지인지
두 통지는 의미가 다릅니다. 가능성 통지는 위험을 조기에 알리는 것이므로 “내 데이터가 실제 유출됐다고 확인됐다”는 뜻은 아닐 수 있습니다.
반대로 가능성 단계라는 이유만으로 대응을 미루지 마세요. 비밀번호 재사용처럼 즉시 줄일 수 있는 위험은 조사 결론을 기다릴 이유가 없습니다.
3. 의심되는 시점과 사고 경위
비정상 로그인, 관리자 계정 탈취, 외부 공격, 잘못된 공개 설정 등 사고의 성격에 따라 2차 피해 유형이 달라질 수 있습니다. 다만 사업자가 초기 조사 단계에서 모든 세부 사항을 공개하기 어려운 경우도 있으므로, 최초 통지와 후속 공지의 내용이 달라질 수 있습니다.
4. 사업자가 이미 한 조치
접속 차단, 비밀번호 초기화, 취약점 보완, 비정상 세션 종료 같은 조치가 이루어졌는지 확인하세요. 이용자가 별도로 해야 할 행동이 있는지도 함께 봐야 합니다.
5. 후속 안내가 예정돼 있는지
가능성 통지 후 실제 유출 여부가 확인되면 내용이 업데이트될 수 있습니다. 첫 통지를 캡처하거나 이메일 원문을 보관하고, 공식 공지 페이지를 다시 확인하는 것이 좋습니다.
통지를 받았다면 무엇부터 해야 하나요
유출 가능성 통지를 받았을 때 가장 먼저 할 일은 공포에 빠지는 것이 아니라 통지의 진위를 확인하고, 유출 가능성이 있는 정보의 종류에 맞춰 위험을 줄이는 것입니다.
첫째, 문자나 이메일의 링크를 바로 누르기보다 서비스의 공식 홈페이지나 앱을 직접 열어 같은 공지가 있는지 확인하세요. 개인정보 사고 직후에는 해당 사고를 사칭한 스미싱과 피싱이 뒤따를 수 있습니다.
둘째, 비밀번호나 로그인 정보가 관련됐을 가능성이 있다면 해당 서비스의 비밀번호를 바꾸고, 같은 비밀번호를 다른 서비스에서도 썼다면 그곳도 각각 다른 비밀번호로 변경하는 편이 좋습니다. 가능하면 다중인증도 켜세요.
셋째, 전화번호·이메일·주소 등이 관련됐다면 당분간 “보상 신청”, “환급”, “본인확인”, “보안조치”를 명목으로 한 메시지를 더 의심해서 보세요. 공격자는 이미 알려진 사고를 이용해 피해자가 경계심보다 불안감을 먼저 느끼도록 유도할 수 있습니다.
넷째, 주민등록번호·계좌정보·결제정보 등 위험도가 높은 정보가 관련된 경우에는 통지 내용과 공식 안내를 확인해 명의도용·금융사기 예방 조치를 검토해야 합니다.
보다 구체적인 이용자 대응 순서는 IssueLaw의 개인정보 유출 통지를 받았다면 먼저 해야 할 일에서 정보 종류별로 확인할 수 있습니다. 이번 글은 2026년 개정제도 자체에 초점을 맞추고, 기존 글은 실제 통지를 받은 뒤의 행동 순서에 초점을 맞추므로 검색 목적이 다릅니다.
“가능성”이라는 표현 때문에 사업자가 책임을 피할 수 있나요
그렇게 단정하기 어렵습니다.
유출 가능성 통지제도는 실제 유출 여부가 아직 확정되지 않은 초기 단계에서 정보주체에게 위험을 알리기 위한 장치입니다. 사업자가 통지 문구에 “가능성”이라고 적었다는 이유만으로 이후 확인되는 법적 책임이 사라지는 구조는 아닙니다.
실제 조사에서 개인정보가 유출등이 된 사실이 확인될 수 있고, 안전성 확보조치가 적절했는지, 신고·통지 의무를 지켰는지, 피해 확산 방지를 위한 조치를 했는지 등은 각각 별도로 판단될 수 있습니다.
반대로 가능성 통지를 했다는 이유만으로 사업자에게 실제 유출 책임이 확정됐다고 볼 수도 없습니다. 정밀 조사 결과 외부 반출이나 침해가 없었던 것으로 확인될 수 있기 때문입니다.
즉 ‘가능성’은 면책 문구도 아니고 유죄 판정도 아닙니다. 조사가 끝나기 전에 정보주체에게 위험을 먼저 공유하는 법적 절차로 이해하는 것이 가장 정확합니다.
과징금이 ‘매출액 최대 10%’로 바뀌었다는 말은 무슨 뜻인가요
2026년 개정에서 함께 주목받은 부분이 과징금 강화입니다. 개인정보보호위원회는 2026년 9월 11일 시행 내용을 안내하면서 반복적·중대한 위반의 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 상향됐다고 설명했습니다.
여기서 ‘최대 10%’라는 표현을 “개인정보 사고가 한 번 발생하면 매출의 10%를 자동으로 낸다”는 뜻으로 이해하면 안 됩니다.
현행 개인정보 보호법의 과징금 체계는 위반 유형과 중대성, 구체적인 사실관계에 따라 적용됩니다. 일반적인 과징금 조항에는 전체 매출액의 일정 비율을 상한으로 두는 구조가 있고, 이번 개정은 반복적이거나 중대한 위반에 대해 더 강한 상한을 적용할 수 있는 제재 장치를 강화한 것입니다. 실제 금액은 법률과 시행령의 산정 기준, 감경·가중 사유 및 사건별 판단을 거쳐 정해집니다.
또 시행령 개정은 개인정보 보호를 위해 예산·인력·설비 등에 선제적으로 투자한 정도를 과징금 감경에서 고려하는 구체적 기준도 마련했습니다. 국가법령정보센터의 시행령 개정이유는 이러한 투자를 고려한 감경을 과징금 부과 기준금액의 일정 범위에서 반영하도록 했다고 설명합니다.
따라서 기업 실무자는 “사고가 나면 벌금이 크다”는 결과만 볼 것이 아니라 사전에 어떤 보호조치를 실제로 운영했고, 그 조치를 문서와 로그로 입증할 수 있는지까지 관리해야 합니다.
소규모 사업자도 이번 개정을 알아야 하는 이유
대규모 플랫폼과 통신사 사고가 제도 개정의 배경으로 자주 언급되지만, 개인정보를 처리하는 사업자는 규모와 관계없이 자신의 서비스에 어떤 의무가 적용되는지 확인할 필요가 있습니다.
특히 작은 쇼핑몰, 예약 서비스, 학원·병원·회원제 서비스처럼 별도의 보안팀이 없는 조직은 사고가 발생한 뒤 “누가 무엇을 결정하는지”가 정해져 있지 않아 초기 대응이 늦어질 수 있습니다.
최소한 다음 흐름은 사고 전에 정리해 두는 편이 좋습니다.
사고를 ‘누가’ 처음 접수하는지
고객센터가 이상 신고를 먼저 받을 수도 있고, 외주 개발사가 서버 이상을 발견할 수도 있으며, 클라우드 사업자가 비정상 접근 알림을 보낼 수도 있습니다. 최초 접수 창구가 불분명하면 중요한 로그가 사라지거나 담당자 사이에서 시간이 지체될 수 있습니다.
불법 접근을 ‘언제 알았는지’ 기록하는지
72시간 규정에서는 인지 시점이 중요할 수 있으므로, 단순히 “어제쯤 알았다”가 아니라 최초 경보 시각, 담당자 확인 시각, 사실관계가 바뀐 시각을 기록하는 습관이 필요합니다.
유출 대상자를 특정할 수 있는지
DB 접근 로그, 관리자 활동 기록, 다운로드 기록, API 호출 기록 등이 없다면 공격이 확인돼도 어떤 이용자 정보가 영향을 받았는지 좁히기 어렵습니다. 유출 가능성 통지제도는 이런 불확실성이 있는 상황에서 더욱 중요해집니다.
통지 문안을 미리 준비했는지
사고가 발생한 뒤 처음부터 문구를 만들면 기술팀·고객센터·경영진·법무 담당자 사이에서 검토가 길어질 수 있습니다. 확정된 사실과 조사 중인 사실을 구분하고, 이용자가 바로 해야 할 조치를 명확히 적을 수 있는 기본 틀을 준비해 두는 편이 효율적입니다.
외주업체와 연락 체계가 있는지
개인정보 처리를 외부 업체에 맡겼다고 해서 사고 대응을 완전히 외주화할 수 있는 것은 아닙니다. 수탁사의 로그와 조사 결과를 언제, 어떤 형식으로 받을지 계약과 운영 절차에서 확인해야 합니다.
이런 준비는 법적 책임을 기계적으로 없애는 장치가 아닙니다. 다만 실제 사고 때 사실관계를 빠르게 확인하고 피해를 줄이며 필요한 통지·신고 판단을 하는 데 도움이 됩니다.
유출 확인 여부에 따른 세 가지 통지 사례
사례 1: 특정 회원 300명의 파일이 외부로 전송된 사실이 확인된 경우
서버 로그와 외부 전송 기록을 통해 어떤 회원의 어떤 정보가 외부로 반출됐는지가 확인됐다고 가정해 보겠습니다. 이런 상황은 단순한 ‘가능성’보다 실제 유출등 통지와 신고 요건을 우선 검토해야 하는 유형에 가깝습니다.
통지 대상과 내용이 구체화될 가능성이 높고, 사업자는 유출 항목·시점·경위·대응조치 등을 확인해 관련 절차를 진행해야 합니다.
사례 2: 관리자 계정이 탈취됐지만 열람 범위를 특정하기 어려운 경우
새벽에 관리자 계정으로 대량 조회가 발생했고 정상 담당자가 사용하지 않은 IP에서 접속한 사실은 확인됐지만, 오래된 로그 정책 때문에 정확히 어떤 회원정보를 조회했는지 특정하기 어렵다고 가정해 보겠습니다.
바로 이런 상황에서 2026년 도입된 유출 가능성 통지 요건을 검토할 필요가 있습니다. “누구 정보가 유출됐는지 확정하지 못했으니 아무도 알리지 않는다”는 결론을 자동으로 내리는 방식은 새 제도의 취지와 맞지 않을 수 있습니다.
사례 3: 가능성 통지 후 실제 유출이 없었다고 확인된 경우
초기에는 외부 접근 때문에 데이터 반출 가능성이 있다고 판단했지만, 추가 포렌식 결과 공격자가 인증 단계에서 차단돼 개인정보 저장 영역에는 접근하지 못한 것으로 확인됐다고 해보겠습니다.
이 경우 최초 가능성 통지가 ‘오보였으니 삭제하면 끝’인 것은 아닙니다. 시행령은 가능성 통지 후 실제 유출이 없었다는 사실을 확인한 경우 그 사실도 정보주체에게 알리도록 하는 구조를 마련했습니다. 이용자 입장에서는 후속 안내까지 확인해야 하는 이유입니다.
자주 오해하는 네 가지
“유출 가능성 통지를 받으면 내 정보는 100% 유출된 것이다”
아닙니다. 가능성 통지는 실제 유출 대상자를 특정하기 어려운 등 일정한 요건에서 조기에 위험을 알리기 위한 제도입니다. 실제 유출 여부는 후속 조사에서 달라질 수 있습니다.
“가능성만 있는 거라 아무 대응도 안 해도 된다”
이 역시 위험합니다. 비밀번호 재사용 중단, 다중인증 설정, 피싱 경계처럼 비용이 크지 않고 즉시 할 수 있는 조치는 조사 완료를 기다릴 필요가 없습니다.
“72시간은 공격자가 서버에 들어온 순간부터 무조건 계산한다”
단순하지 않습니다. 시행령 개정이유는 유출 가능성 통지와 관련해 불법적인 접근을 알게 된 때부터 72시간 이내를 설명합니다. 실제 법적 판단은 인지 시점과 사고 경위를 확인해야 합니다.
“과징금 최대 10%니까 모든 사고는 매출의 10%를 낸다”
그렇지 않습니다. 최대 10%는 반복적·중대한 위반에 대한 강화된 상한을 설명하는 표현입니다. 실제 과징금 부과 여부와 액수는 위반 유형, 중대성, 안전조치, 산정 기준 및 감경·가중 요소 등에 따라 달라집니다.
이용자는 통지를 어떻게 보관해야 하나요
사고 통지는 이후 사실관계가 업데이트될 수 있으므로 처음 받은 문자·이메일만 보고 끝내지 않는 것이 좋습니다.
가능하면 다음을 남겨 두세요.
- 통지를 받은 날짜와 시각
- 이메일 원문 또는 문자 캡처
- 사업자의 공식 공지 URL
- 최초 안내에서 밝힌 유출 또는 유출 가능성이 있는 정보 항목
- 비밀번호 변경, 계정 잠금 등 본인이 취한 조치와 시각
- 후속 통지 또는 “실제 유출이 확인되지 않았다”는 안내
- 실제 금전 피해나 명의도용 정황이 생겼다면 관련 거래내역·신고기록
이 자료가 있다고 해서 손해배상이나 분쟁조정 결과가 자동으로 정해지는 것은 아닙니다. 다만 어떤 안내를 언제 받았고 어떤 피해가 발생했는지 정리하는 데 도움이 됩니다.
개인정보 침해가 실제 피해로 이어졌다면 개인정보보호위원회·개인정보 포털의 침해 신고·분쟁조정 안내 등 공식 구제 절차를 확인할 수 있습니다. 사안이 복잡하거나 손해 규모가 크다면 구체적인 사실관계를 토대로 별도의 법률 상담을 검토할 수 있습니다.
사업자가 지금 확인할 실무 체크리스트
이번 개정은 보안팀만 읽고 끝낼 내용이 아닙니다. 서비스 운영, 개발, 고객지원, 법무·컴플라이언스가 같은 시간표를 봐야 합니다.
첫째, 사고 분류표를 업데이트하세요. 실제 유출이 확인된 경우와 유출 가능성이 확인된 경우를 구분하고, 어느 단계에서 CPO나 책임자에게 보고할지 정할 필요가 있습니다.
둘째, 로그 보관과 탐지 범위를 확인하세요. 공격 사실은 알았는데 어느 이용자의 어떤 정보에 접근했는지 전혀 확인할 수 없다면 대응이 더 어려워집니다. 개인정보처리시스템, 관리자 계정, API, 다운로드·내보내기 기능의 기록이 실제 조사에 필요한 수준인지 점검해야 합니다.
셋째, 72시간 대응을 문서화하세요. 주말이나 야간 사고에서도 담당자가 연결되는지, 외주사와 클라우드 사업자가 필요한 자료를 신속히 제공할 수 있는지 확인해야 합니다.
넷째, 통지 문구에서 확정 사실과 추정 사실을 구분하세요. 아직 확인되지 않은 내용을 확정적으로 표현하면 이용자를 불필요하게 혼란스럽게 할 수 있고, 반대로 위험을 지나치게 축소하면 필요한 예방 행동을 늦출 수 있습니다.
다섯째, 후속 통지 절차를 준비하세요. 최초 가능성 통지가 끝이 아닐 수 있습니다. 조사 결과 실제 유출 범위가 확인되거나 반대로 유출이 없었다는 사실이 확인되면 이용자에게 추가 안내가 필요할 수 있습니다.
여섯째, 경영진 수준의 보호조치도 확인하세요. 2026년 개정은 대표자의 개인정보 보호 관련 책임과 CPO의 권한·독립성 강화, 반복적·중대한 위반에 대한 과징금 강화도 함께 담고 있습니다. 사고 대응을 단순한 개발팀의 장애 처리로만 보는 방식은 제도 변화와 맞지 않습니다.
2026년 개정에서 함께 알아둘 변화
유출 가능성 통지가 일반 이용자에게 가장 직접적으로 보이는 변화지만 이번 개정은 그보다 넓습니다.
개인정보보호위원회가 2026년 9월 11일 공개한 안내에 따르면 개정법은 사업주 또는 대표자의 최종 책임을 명확히 하고, 개인정보 보호책임자(CPO)의 독립성과 권한을 강화하는 내용도 포함합니다. 반복적·중대한 위반에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 제재 수준을 강화했고, 개인정보 보호를 위해 예산·인력 등을 선제적으로 투자한 경우를 과징금 감경에서 고려하는 제도도 마련했습니다.
다만 모든 조항의 시행일이 같은 것은 아닙니다. 개인정보보호위원회 안내에서는 일정 규모 이상의 개인정보처리자에 대한 ISMS-P 인증 의무화는 2027년 7월 1일 시행 예정이라고 별도로 표시하고 있습니다. 따라서 “2026년 개인정보보호법 개정 내용이 전부 9월 11일에 동시에 적용됐다”고 단순화하지 않는 것이 중요합니다.
법령을 확인할 때는 기사 작성일보다 국가법령정보센터의 시행일과 현재 시행 법령을 우선 확인하세요. 특히 개인정보 보호법은 법률뿐 아니라 시행령에서 통지 대상·시기·방법 같은 세부 요건이 정해지므로 둘을 함께 보는 것이 안전합니다.
핵심은 ‘확정 뒤 통지’에서 ‘위험 단계의 조기 통지’까지 넓어진 것입니다
2026년 9월 11일 시행된 개인정보 보호법 개정의 실질적인 변화는 정보주체가 사고 조사 완료 전에 위험 정보를 받을 수 있는 법적 장치가 생겼다는 점입니다.
이용자는 가능성 통지를 유출 확정으로 과장해서 받아들일 필요도 없고, 반대로 “아직 가능성일 뿐”이라며 무시할 이유도 없습니다. 통지의 진위를 공식 채널에서 확인하고, 어떤 개인정보가 영향을 받을 수 있는지 살핀 뒤 즉시 줄일 수 있는 위험부터 줄이면 됩니다.
사업자는 침해사고를 발견한 뒤 “정확한 피해자를 전부 특정할 때까지 기다린다”는 기존 사고 흐름을 그대로 유지해도 되는지 다시 점검해야 합니다. 불법 접근 인지 시점, 조사 로그, 통지 대상 판단, 72시간 대응, 후속 통지까지 하나의 절차로 연결돼야 하기 때문입니다.
무엇보다 이번 제도는 유출 가능성 통지 자체가 실제 유출의 확정도, 사업자의 면책도 아니라는 점을 기억하면 이해하기 쉽습니다. 초기 위험을 빠르게 공유하고 피해를 줄이기 위한 절차이며, 실제 책임과 피해 구제는 이후 확인되는 사실과 법령 요건에 따라 별도로 판단됩니다.
이 글은 일반적인 제도 설명을 위한 것입니다. 실제 사고에서 통지·신고 의무가 발생하는지, 특정 사업자의 조치가 적법했는지, 손해배상이나 과징금 요건이 충족되는지는 구체적인 사고 내용과 법령 적용을 따로 확인해야 합니다.
