개인정보 유출 통지
IT위키
더 많은 작업
- 개인정보 보호법 제34조(개인정보 유출등의 통지·신고)
- 개인정보 보호법 시행령 제39조(통지), 개인정보 보호법 시행령 제40조(신고)
- 예전에는 정보통신서비스 제공자에게 정보통신망법 제27조의3(24시간 이내 통지·신고, 방송통신위원회 또는 한국인터넷진흥원)이, 2020년 8월부터는 개인정보 보호법 제39조의4(정보통신서비스 제공자등 특례)가 적용됐다. 이 특례는 2023년 9월 15일 삭제되어 지금은 모든 개인정보처리자에게 같은 기준이 적용된다.
- 개인정보가 분실·도난·유출(유출등)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 알려야 한다(법 제34조①).
- 시행령은 서면등의 방법으로 72시간 이내에 알리도록 한다. 유출 경로 차단·취약점 보완 등 긴급한 조치가 필요하거나 천재지변 등 부득이한 사유가 있으면 사유가 해소된 뒤 즉시 알릴 수 있다(시행령 제39조①).
- 유출 항목이나 시점·경위를 아직 확인하지 못했으면 확인된 내용부터 먼저 알리고, 추가로 확인되는 내용은 확인되는 즉시 알린다(시행령 제39조②).
- 정보주체의 연락처를 알 수 없는 등 정당한 사유가 있으면 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있다. 홈페이지가 없으면 사업장 등의 보기 쉬운 장소에 30일 이상 게시한다(시행령 제39조③).
- 유출등이 된 개인정보의 항목
- 유출등이 된 시점과 그 경위
- 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 구체적인 정보
- 개인정보처리자의 대응조치 및 피해 구제절차
- 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
- 손해배상·법정손해배상 청구와 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법
- 그 밖에 유출등이 된 정보주체의 보호를 위하여 대통령령으로 정하는 사항
- 유출된 개인정보의 규모나 피해액은 정보주체 통지 항목이 아니다. 규모(1천 명 이상)는 신고 대상을 가르는 기준이다.
- 2026년 3월 10일 개정으로, 유출등이 확인되지 않았더라도 대통령령으로 정하는 유출등의 가능성을 알게 되면 가능성이 있는 모든 정보주체에게 피해 최소화 정보 등을 지체 없이 알리도록 하는 조항(제34조②)이 신설되었다.[1]
- ↑ 「개인정보 보호법」 제34조, 국가법령정보센터, https://www.law.go.kr/법령/개인정보보호법/제34조, 확인일: 2026-11-04.