9월 11일 시행 개인정보 보호법, 유출 ‘가능성’도 알려야 합니다

올해 초 개정된 개인정보 보호법이 2026. 9. 11.부터 시행되고 있습니다. 대규모 유출 사고가 이어진 뒤 나온 개정이라 제재를 무겁게 한 내용이 먼저 눈에 띕니다. 그런데 실무에서 더 신경 써야 할 부분은 사고 직후 첫 판단을 언제, 어떻게 내려야 하느냐가 바뀌었다는 점입니다.

확정 전이라도 알려야 하는 경우

종전에도 개인정보가 유출된 사실을 알게 되면 정보주체에게 유출 항목, 시점과 경위, 피해를 줄일 방법, 회사의 대응조치, 담당 부서 연락처 등을 지체 없이 알려야 했습니다(제34조 제1항). 시행령은 이 통지를 72시간 안에 하도록 정하고, 1천 명 이상이거나 민감정보·고유식별정보가 포함됐거나 외부의 불법 접근으로 유출된 경우에는 개인정보보호위원회나 한국인터넷진흥원 신고도 요구합니다.

개정법은 여기에 제34조 제2항을 새로 넣었습니다. 대통령령으로 정하는 유출 가능성이 있음을 알게 되었을 때에도 지체 없이 그 가능성이 있는 모든 정보주체에게 피해를 줄이기 위한 정보 등을 알려야 합니다. 서버에 불법 접근 흔적은 있는데 실제로 정보가 빠져나갔는지 조사 중인 상황이 대표적입니다. ‘확인될 때까지 기다리자’는 판단이 예전보다 훨씬 위험해졌습니다.

과징금의 두 단계

유출이 되면 전체 매출액의 100분의 3 이내에서 과징금이 부과될 수 있다는 기본 틀은 그대로입니다. 다만 위반행위와 관련 없는 매출은 빼고 산정합니다(제64조의2 제1항·제3항). 개정법은 그 위에 100분의 10 이내의 무거운 단계를 만들었습니다(같은 조 제2항).

• 과징금 부과처분을 받은 날부터 3년 안에 고의나 중대한 과실로 같은 유형의 위반을 다시 한 경우
• 고의나 중대한 과실로 위반했고 피해를 입은 정보주체가 1천만 명 이상인 경우
• 시정조치 명령을 따르지 않아 유출이 일어난 경우

반대로 감경 쪽도 강화됐습니다. 개인정보 보호를 위해 예산, 인력, 설비에 투자하고 운영한 사정이 있으면 고의나 중과실이 아닌 한 과징금을 감경하도록 했습니다(같은 조 제6항). 안전성 확보 조치를 다했다면 애초에 유출을 이유로 한 과징금 대상에서 빠진다는 단서도 유지됩니다(같은 조 제1항 제9호).

병원과 중소기업이 지금 점검할 것

병원은 진료기록과 건강정보라는 민감정보를 다루기 때문에 규모가 작아도 신고 대상이 되기 쉽습니다. 직원이 환자 명단을 잘못 보낸 일처럼 해킹이 아닌 사고도 통지 의무에서 벗어나지 않습니다.

그래서 사고가 나기 전에 정해 둘 것이 있습니다. 이상 징후를 누가 처음 판단하고 누구에게 보고하는지, 통지문 초안은 누가 쓰는지, 접근통제와 암호화, 접속기록 보관을 실제로 해 온 자료가 어디 있는지입니다. 개정법이 투자와 자율적인 보호 활동을 감경 사유로 본다는 것은, 평소 기록이 곧 사고 이후의 방어 자료라는 뜻이기도 합니다.