고객 개인정보가 유출된 것 같을 때

72시간은 생각보다 짧습니다. 원인 분석이 끝나기를 기다리지 말고 아래 순서로 움직이세요.

• 이상 징후를 처음 발견한 시각, 보고 시각, 차단 시각을 분 단위로 기록합니다.
• 외부 접속 경로를 막고 관련 계정을 잠그되, 서버 로그와 접속기록은 지우지 말고 보존합니다.
• 유출됐거나 유출 가능성이 있는 항목과 대상자 수를 그때까지 확인된 범위에서 정리합니다.
• 개인정보 보호책임자를 중심으로 통지문과 신고서 초안을 동시에 만듭니다.
• 위탁업체가 관련됐다면 그 업체에 사고 경위와 자료 보존을 서면으로 요청합니다.

유출을 알게 되면 서면 등의 방법으로 72시간 안에 정보주체에게 알려야 합니다(개인정보 보호법 시행령 제39조). 유출 항목이나 경위를 다 확인하지 못했다면 그때까지 확인된 내용으로 먼저 알리고 추가 내용은 확인되는 즉시 덧붙입니다.

1천 명 이상의 정보가 유출됐거나, 민감정보·고유식별정보가 포함됐거나, 외부의 불법 접근으로 유출됐다면 72시간 안에 개인정보보호위원회나 한국인터넷진흥원에 신고해야 합니다(시행령 제40조). 2026. 9. 11.부터는 불법 접근 흔적처럼 유출 가능성이 있는 경우에도 해당 정보주체 모두에게 알려야 합니다(법 제34조 제2항).

법이 정한 항목이 빠지면 통지를 하고도 위반이 될 수 있습니다. 원인을 단정하거나 피해가 없다고 미리 장담하는 문장은 넣지 않습니다.

통지 문구는 쉬운 말로 쓰고, 비밀번호 변경이나 카드 재발급처럼 이용자가 바로 할 수 있는 일을 구체적으로 적어 주세요. 문의가 몰릴 것에 대비해 전용 전화나 게시판을 함께 안내하면 혼란이 줄어듭니다.

• 유출된 개인정보의 항목
• 유출 시점과 경위
• 피해를 줄이기 위해 정보주체가 할 수 있는 방법
• 회사의 대응조치와 피해 구제절차
• 피해 신고를 받을 담당부서와 연락처
• 손해배상·법정손해배상 청구와 분쟁조정 등 권리 행사 방법

유출이 되면 전체 매출액의 100분의 3 이내 과징금 대상이 되고, 법이 정한 안전성 확보 조치를 다했다면 부과하지 않습니다. 고의·중과실로 3년 안에 다시 위반하는 등 무거운 경우에는 100분의 10까지 올라갈 수 있습니다(제64조의2).

이용자들은 회사가 고의·과실이 없음을 증명하지 못하면 손해배상을 받을 수 있고, 손해를 증명하지 않고 300만 원 이하의 법정손해배상을 청구할 수도 있습니다(제39조의2). 집단 소송에 대비해 사고 대응 기록과 안전조치 자료를 지금부터 한곳에 모아 두세요.

지산에서는 대표변호사가 직접 사고 경위를 듣고 통지·신고 대상인지, 기한이 언제까지인지 먼저 판단합니다. 통지문과 신고서 문구를 지산이 검토하고, 개인정보보호위원회 조사가 시작되면 자료 제출과 의견서, 의견 진술까지 맡습니다. 내부자가 관여했다면 그 직원에 대한 고소를 진행하고, 이후 손해배상 소송은 자문하던 변호사가 이어서 맡습니다.

사고를 방금 알았다면 02-6951-4097로 바로 연락 주세요. 24시간 받습니다.