📌 3줄 요약
- 유출 통지에는 법으로 정해진 항목이 있습니다. 무엇이, 언제, 얼마나 새어 나갔는지와 신고 접수 창구가 빠져 있으면 그것부터 요구할 수 있습니다.
- “신고”는 두 가지입니다. 사업자가 보호위원회 등에 하는 신고와, 피해자가 개인정보침해 신고센터에 하는 신고는 서로 다른 절차입니다.
- 신고만 하고 끝내지 마세요. 삭제 요구와 처리정지 요구를 같이 넣어야 문자가 실제로 멈춥니다.
목차
- 문자 한 통에서 시작된 질문
- 통지서에 빠져 있던 세 가지
- 두 개의 ‘신고’를 구분하다
- 명단은 어떻게 넘어갔나
- 신고서에 무엇을 적을지 고르는 일
- 삭제와 처리정지를 함께 넣은 이유
- 넉 주 뒤에 온 회신
- 개인정보 유출 통지를 받았다면
인천 연수구 송도에 사무실을 둔 행정사입니다. 일하며 마주친 한 일화를 소개합니다.
개인정보 관련 문의는 몇 해 전만 해도 기업 담당자 쪽에서 주로 왔다. 요즘은 반대다. 피해를 입은 개인이 “이걸 어디에 어떻게 신고하느냐”고 묻는 경우가 훨씬 많아졌다. 제도가 바뀐 영향도 있지만, 사람들이 자기 정보가 어디까지 흘러가는지 체감하기 시작한 탓이 크다.
이번 일도 그렇게 시작됐다. 광고 문자 한 통이었다.
1. 문자 한 통에서 시작된 질문
의뢰인은 초등학생 두 아이를 키우는 삼십 대 초반의 여성이었다. 첫 연락은 이메일이었고, 화면 캡처 넉 장이 함께 왔다.
넉 장 중 셋은 광고 문자였다. 학습지, 영어캠프, 그리고 이름을 들어 본 적 없는 학원의 설명회 안내였다. 세 문자 모두 아이의 이름을 정확히 쓰고 있었다. ”○○ 어머님”이 아니라 “○○이 어머님, 3학년 과정”이라는 식이었다. 학년까지 맞았다.
남은 한 장이 문제의 문서였다. 넉 달 전 문을 닫은 동네 보습학원이 보낸 안내문 사진이었다. 폐업을 알리는 두 문단 아래에 한 줄이 붙어 있었다. 회원 정보가 외부로 유출된 정황이 확인되어 알린다는 내용이었다.
그 한 줄이 전부였다.
그분은 그 안내문을 받았을 때 대수롭지 않게 넘겼다고 했다. 학원이 문을 닫는다는 소식이 먼저 눈에 들어왔고, 아래 한 줄은 형식적인 문구처럼 보였다는 것이다. 그런데 두 달쯤 지나면서 문자가 오기 시작했다. 처음엔 한 달에 한두 통이었다가, 최근엔 일주일에 서너 통이 왔다.
그분이 직접 해 본 것도 있었다. 문자에 적힌 번호로 전화해 어디서 번호를 알았느냐고 물었다. 상담원은 “제휴사를 통해 받은 명단”이라고만 답하고 어느 제휴사인지는 알려 주지 않았다. 수신거부를 눌렀지만 다른 번호로 또 왔다. 그러는 사이 아이 이름이 적힌 문자가 늘었다.
그분이 이메일 끝에 적은 문장은 이랬다. “제 번호가 새어 나간 건 그렇다 쳐도, 아이 이름과 학년이 계속 돌아다니는 게 무섭습니다.”
2. 통지서에 빠져 있던 세 가지
상담 예약은 그 주 금요일 오후로 잡혔다. 그 전에 안내문부터 살펴봤다.
「개인정보 보호법」은 개인정보가 유출됐을 때 개인정보처리자가 정보주체에게 알리도록 하고 있다. 그리고 그 통지에 담아야 할 항목까지 법에 적어 두었다. 유출된 항목, 유출된 시점과 경위, 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 처리자의 대응 조치와 피해 구제 절차, 그리고 피해를 신고·상담할 수 있는 담당 부서와 연락처다.
그분이 받은 안내문에는 이 중 세 가지가 없었다. 무엇이 새어 나갔는지, 언제 어떻게 새어 나갔는지, 그리고 어디에 신고하면 되는지가 빠져 있었다.
이 확인이 왜 먼저냐 하면, 앞으로 쓸 모든 서류가 여기서 출발하기 때문이다. 유출된 항목이 이름과 전화번호뿐인지, 주소와 학교까지 포함됐는지에 따라 신고 내용이 달라진다. 유출 시점을 모르면 그 뒤에 온 문자들과 연결 지을 수도 없다.
그래서 첫 문서는 신고서가 아니라 통지 보완 요구로 잡았다. 법이 정한 항목이 빠졌으니 채워 달라는, 짧고 사무적인 문서다. 근거 조항을 적고, 빠진 항목을 번호로 나열하고, 회신 기한을 적었다.
이 문서를 먼저 보낸 데는 실용적인 이유도 있었다. 사업자가 회신하면 유출 경위가 그쪽 말로 남는다. 회신하지 않으면 그 사실 자체가 기록으로 남는다. 어느 쪽이든 다음 단계에 쓸 수 있다.
3. 두 개의 ‘신고’를 구분하다
금요일 상담에서 가장 먼저 정리한 것은 ‘신고’라는 말이었다.
그분이 인터넷에서 찾아본 내용은 뒤섞여 있었다. 어떤 글은 개인정보보호위원회에 신고하라고 했고, 어떤 글은 개인정보침해 신고센터로 가라고 했다. 또 어떤 글은 분쟁조정을 신청하라고 했다. 세 가지가 같은 것인지 다른 것인지가 헷갈린다고 했다.
다른 절차다. 순서대로 정리하면 이렇다.
- 사업자가 하는 신고: 유출이 일정 규모 이상이거나 민감정보·고유식별정보가 포함된 경우 등에는, 개인정보처리자가 보호위원회나 전문기관에 신고할 의무가 있다. 이건 사업자의 의무이지 피해자가 하는 절차가 아니다.
- 피해자가 하는 신고: 자신의 개인정보에 관한 권리나 이익이 침해됐다고 판단하면 개인정보침해 신고센터에 신고할 수 있다. 접수된 사안은 조사와 시정 권고, 필요하면 처분으로 이어진다.
- 분쟁조정: 손해의 배상 같은 당사자 사이의 다툼을 조정하는 절차다. 상대가 사업자라는 ‘사람’이고 금전적 다툼이 중심이 되면 이 영역으로 넘어간다.
우리 사무소는 행정기관에 내는 신고서·진정서와 열람·삭제·처리정지 요구서를 작성하고 제출을 대행한다. 이 사건은 문자를 멈추고 명단을 없애는 것이 목적이었으니 신고 절차가 맞았다.
그분의 목적을 다시 물었다. 답은 분명했다. 돈을 받고 싶은 게 아니라 아이 이름이 적힌 명단이 사라지기를 바란다는 것이었다.
목적이 분명하면 서류도 분명해진다.
4. 명단은 어떻게 넘어갔나
그다음 주 화요일, 사업자 쪽에서 회신이 왔다. 예상보다 빨랐다.
폐업 당시 학원 운영을 맡았던 사람이 보낸 짧은 메일이었다. 내용은 이랬다. 폐업 정리 과정에서 수강생 관리 프로그램을 쓰던 계정을 그대로 두었고, 그 계정에 접근 권한이 있던 전 직원이 명단을 내려받아 다른 곳에 넘긴 정황이 있다는 것. 유출된 항목은 학생 이름, 학년, 보호자 이름, 보호자 휴대전화번호였다. 시점은 폐업 직전 두 주 사이로 추정된다고 했다.
여기서 한 가지가 눈에 걸렸다. 폐업 사실과 별개로, 개인정보는 보유 기간이 끝나거나 처리 목적이 달성되면 지체 없이 파기하도록 되어 있다. 학원이 문을 닫았다면 수강생 정보를 계속 들고 있을 이유는 원칙적으로 사라진다. 그런데 명단은 프로그램 안에 그대로 남아 있었다.
즉 이 사건에는 두 겹이 있었다. 하나는 권한 없는 사람이 명단을 가져간 유출이고, 다른 하나는 파기했어야 할 정보를 그대로 둔 관리의 문제다. 신고서에서 이 둘을 나눠 쓰기로 했다. 한 덩어리로 쓰면 “직원이 몰래 가져간 사고”로만 읽히고, 사업자가 관리 책임을 가볍게 다툴 여지가 생긴다.
그리고 이 회신 메일 자체가 중요한 자료가 됐다. 유출 경위와 항목, 시점이 사업자의 말로 적혀 있었다. 앞서 통지 보완 요구를 먼저 보낸 이유가 여기서 드러났다.
5. 신고서에 무엇을 적을지 고르는 일
신고서 작성에서 가장 많은 시간을 쓴 부분은 문장을 다듬는 일이 아니라, 무엇을 뺄지 고르는 일이었다.
그분은 할 말이 많았다. 문자가 얼마나 성가셨는지, 학원에 얼마나 실망했는지, 아이가 자기 이름이 적힌 문자를 보고 뭐라고 했는지. 모두 사실이었지만 신고서에 다 넣으면 사안의 윤곽이 흐려진다. 조사를 하는 쪽에서 봐야 할 것은 감정이 아니라 사실관계와 위반 지점이다.
그래서 세 갈래로 정리했다.
첫째, 무엇이 언제 어떻게 새어 나갔는가. 사업자 회신에 적힌 항목·시점·경위를 그대로 옮기고, 그 메일을 자료로 붙였다.
둘째, 어떤 의무가 지켜지지 않았는가. 유출 통지에 법정 항목이 빠졌다는 점, 폐업 뒤에도 정보가 파기되지 않은 점, 접근 권한 관리가 이루어지지 않은 점을 각각 나눠 적었다. 한 항목당 두세 줄이면 충분했다.
셋째, 유출의 결과가 실제로 나타났는가. 이 부분이 이 사건에서 가장 힘이 있었다. 아이 이름과 학년이 정확히 적힌 광고 문자가 여러 업체에서 왔다는 사실은, 명단이 한 곳이 아니라 여러 곳으로 퍼졌음을 보여 준다. 그분에게 받은 문자를 발신번호와 수신 날짜 기준으로 표로 만들었다. 넉 달 치가 스물여섯 통이었다.
표로 만드는 순간 성격이 달라진다. “문자가 계속 온다”는 호소는 표가 되면 “넉 달간 여덟 개 업체에서 스물여섯 통”이라는 사실이 된다.
여기서 그분이 작은 소동을 하나 만들었다. 자료를 정리하다가 문자 세 통을 실수로 지운 것이다. 전화가 왔을 때 목소리가 잔뜩 굳어 있었다. 다행히 통신사의 문자 보관 기능에 남아 있어서 되살렸다. 그 뒤로 그분은 새 문자가 올 때마다 캡처해서 따로 저장했다.
6. 삭제와 처리정지를 함께 넣은 이유
신고서만 내면 문자가 멈출까. 그렇지 않다.
신고는 조사와 시정으로 이어지지만 시간이 걸린다. 그사이에도 명단은 업체들의 발송 시스템 안에 그대로 있다. 그래서 신고와 별개로, 문자를 보낸 업체들을 상대로 두 가지를 함께 넣기로 했다.
「개인정보 보호법」은 정보주체에게 자신의 개인정보에 대한 열람, 정정·삭제, 처리정지를 요구할 권리를 주고 있다. 이 권리는 원래 정보를 준 곳뿐 아니라, 그 정보를 지금 갖고 처리하는 곳에도 쓸 수 있다.
- 열람 요구: 그 업체가 내 정보를 어떤 항목으로, 어디에서 받아 갖고 있는지 확인한다.
- 삭제 요구: 보유 근거가 없으면 지우라고 요구한다.
- 처리정지 요구: 지우기 전이라도 광고 발송 같은 처리를 멈추라고 요구한다.
순서를 이렇게 잡은 이유가 있다. 삭제만 요구하면 업체가 “확인 중”이라며 시간을 끄는 동안 문자는 계속 온다. 처리정지를 같이 넣으면 그 기간에도 발송을 멈출 근거가 생긴다. 열람 요구를 앞에 두면 업체가 어디서 명단을 받았는지 답하게 되고, 그 답이 유통 경로를 따라가는 실마리가 된다.
여덟 개 업체 중 발신번호가 확인된 여섯 곳에 같은 형식의 요구서를 보냈다. 내용은 같고 업체명과 수신 문자 내역만 달랐다. 나머지 두 곳은 발신번호가 인터넷 발송 대행 번호여서 사업자를 특정하기 어려웠고, 그 사실은 신고서에 그대로 적었다.
한 가지 더 안내했다. 이런 요구에는 회신 기한이 정해져 있고, 응하지 않거나 거절하려면 그 이유를 알려야 한다. 그러니 회신이 오면 버리지 말고 모아 두시라고 했다. 응하지 않은 곳이 있으면 그 자체가 다음 자료가 된다.
7. 넉 주 뒤에 온 회신
신고 접수 뒤 처음 온 연락은 사실관계를 확인하는 질문이었다. 문자를 받은 기간과 업체 수, 사업자 회신 메일의 원본을 다시 요청받았다. 표로 정리해 둔 덕분에 그날 오후에 회신할 수 있었다.
업체 쪽 반응은 갈렸다. 여섯 곳 중 네 곳은 삭제 완료를 알려 왔다. 그중 두 곳은 명단을 어디서 받았는지도 적어 보냈는데, 둘 다 같은 이름의 중개 업체를 가리켰다. 한 곳은 “제휴사로부터 적법하게 제공받았다”고만 답했다. 마지막 한 곳은 회신이 없었다.
같은 중개 업체가 두 번 나왔다는 점은 그대로 보완 자료로 냈다. 여러 곳이 각자 명단을 구한 게 아니라 한 곳을 거쳐 퍼졌을 가능성을 보여 주는 정황이었다.
문자는 신고 뒤 여섯 주쯤 지나면서 눈에 띄게 줄었다. 완전히 끊긴 것은 아니었다. 처리정지 요구에 응한 업체의 문자가 먼저 멈췄고, 회신이 없던 곳은 그대로였다. 그 한 곳은 별도로 다시 요구서를 보냈다.
그분이 마지막 통화에서 한 말이 기억에 남는다. 문자가 완전히 없어지진 않았지만 이제는 한 통이 와도 무엇을 해야 하는지 알아서 덜 무섭다고 했다. 캡처하고, 날짜를 적고, 요구서를 보내면 된다는 것이었다.
행정 절차의 결과가 늘 깔끔하지는 않다. 다만 무슨 일이 일어났는지 알고, 다음에 무엇을 할 수 있는지 아는 상태와 그렇지 않은 상태의 차이는 크다.
8. 개인정보 유출 통지를 받았다면
① 통지서에 법정 항목이 다 있는지 먼저 확인하세요. 유출된 항목, 시점과 경위, 처리자의 조치, 피해 구제 절차, 신고·상담 창구가 들어 있어야 합니다. 빠졌다면 채워 달라고 요구할 수 있고, 그 회신이 뒤에 쓸 자료가 됩니다.
② ‘신고’가 어느 신고인지 구분하세요. 사업자가 보호위원회 등에 하는 신고와, 피해자가 개인정보침해 신고센터에 하는 신고는 다른 절차입니다. 손해배상 같은 금전 다툼은 분쟁조정이나 소송의 영역입니다.
③ 피해 사실은 감정이 아니라 표로 정리하세요. 발신번호, 수신 날짜, 문자에 담긴 개인정보 항목을 목록으로 만들면 “성가시다”가 “넉 달간 여덟 개 업체에서 스물여섯 통”이 됩니다.
④ 신고와 함께 열람·삭제·처리정지 요구를 넣으세요. 신고만으로는 이미 퍼진 명단이 바로 멈추지 않습니다. 세 가지를 함께 쓰면 조사 기간에도 발송을 멈출 근거가 생깁니다.
⑤ 회신은 버리지 말고 모으세요. 응하지 않았다는 사실, 근거를 밝히지 못했다는 사실도 자료입니다.
⑥ 폐업한 곳이라도 책임이 사라지지 않습니다. 처리 목적이 끝나면 지체 없이 파기해야 한다는 원칙은 폐업 뒤에도 적용됩니다.
유출 규모나 항목에 따라 적용되는 절차와 신고 대상이 달라질 수 있고, 기관의 판단도 사안마다 다릅니다. 신청 전에 해당 기관에 확인이 필요합니다.
이 글은 실제 상담 사례들을 바탕으로 재구성한 것으로, 등장하는 인물·상호·지명·수치는 특정 개인이나 사건과 무관합니다.
인천 송도(포스코타워송도)에 자리한 행정사사무소입니다. 행정심판·인허가/신고 대행, 외국인 출입국(비자·체류), 정기 행정관리를 다룹니다. 개인정보 유출 통지를 받았거나 광고 문자가 멈추지 않아 곤란한 분들을 위해, 통지 내용 확인부터 신고서 작성과 열람·삭제·처리정지 요구서 제출까지 함께 준비합니다. 비슷한 상황이 궁금하시면 편하게 문의 남겨 주세요.
📍 인천 연수구 컨벤시아대로 165, 포스코타워송도 2697호 📞 010-3374-2687 🌐 www.hwangadmin.com
#가상사례 #개인정보유출 #개인정보유출신고 #개인정보침해신고센터 #유출통지 #처리정지요구 #삭제요구 #광고문자 #개인정보보호법 #인천행정사 #송도행정사