개인정보 유출, 72시간 시계는 언제부터 도나

보안 담당자가 금요일 밤에 이상한 접속 기록을 발견합니다. 월요일 아침 회의에서 보고하자고 생각하는 순간 72시간 가운데 사흘이 지나갑니다. 개인정보 유출 대응에서 가장 흔한 실수는 원인을 다 밝힌 다음에 알리려는 것입니다.

시계는 알게 된 때부터

유출을 알게 되면 72시간 안에 정보주체에게 알려야 합니다(개인정보 보호법 시행령 제39조). 1천 명 이상이거나, 민감정보·고유식별정보가 포함됐거나, 외부의 불법 접근으로 유출됐다면 72시간 안에 개인정보보호위원회나 한국인터넷진흥원에 신고까지 해야 합니다(시행령 제40조). 2026. 9. 11.부터는 유출이 확정되기 전이라도 대통령령으로 정한 유출 가능성이 있음을 알게 되면 통지 의무가 생겼습니다(법 제34조 제2항).

그래서 처음 이상 징후를 본 시각, 경영진에 보고된 시각, 차단한 시각을 분 단위로 적어 두는 것이 첫 일입니다. 통지가 늦었다는 지적을 받을 때 이 기록이 회사를 지켜 줍니다. 주말이나 휴일에도 보고가 올라갈 수 있도록 연락 순서를 평소에 정해 두는 회사가 대응도 빠릅니다.

첫 사흘을 나눠 보면

• 첫 몇 시간에는 외부 접속을 막고 관련 계정을 잠그되, 서버 로그와 접속기록은 지우지 않고 보존한다
• 첫날에는 유출 항목과 대상자 수를 확인된 범위에서 정리하고 통지문과 신고서 초안을 함께 만든다
• 둘째 날에는 위탁업체가 관련됐다면 경위와 자료 보존을 서면으로 요청하고 문의 창구를 준비한다
• 셋째 날까지 확인된 내용으로 통지와 신고를 마치고, 추가 사항은 확인되는 대로 보완한다

통지문과 신고서 초안을 따로 만들면 내용이 어긋나기 쉽습니다. 같은 사실관계 메모 하나를 두고 두 문서를 함께 고쳐 나가는 편이 낫습니다. 고객 문의가 몰릴 것에 대비해 전용 전화나 게시판을 함께 안내하면 혼란도 줄어듭니다.

유출 항목이나 경위를 다 확인하지 못했다면 그때까지 확인된 내용으로 먼저 알리고, 나머지는 확인되는 즉시 덧붙이면 됩니다. 원인 분석이 끝날 때까지 기다리는 것은 법이 허락한 선택이 아닙니다.

통지문에서 피할 문장

“피해는 없을 것으로 보입니다”, “외부 해킹이 원인입니다” 같은 단정은 나중에 사실과 달라지면 회사 신뢰를 한 번 더 깎습니다. 유출 항목, 시점과 경위, 이용자가 할 수 있는 조치, 회사의 대응, 문의처, 권리 행사 방법처럼 법이 정한 항목을 빠짐없이 넣고, 비밀번호 변경 같은 행동은 쉬운 말로 적습니다.

연락처를 아는 이용자에게는 개별 통지가 원칙이고, 홈페이지 공지로 갈음하는 것은 정당한 사유가 있을 때로 한정됩니다. 통지 문구를 정한 날의 초안과 최종본도 보관해 두세요.

이 기록들은 이후 과징금 조사와 손해배상 소송에서 회사가 안전조치를 다했는지 보여 주는 자료가 됩니다. 법이 정한 안전성 확보 조치를 다했다면 과징금을 부과하지 않도록 되어 있어(제64조의2), 평소 접근통제와 암호화, 접속기록 보관을 해 온 자료도 이때 함께 모읍니다.