[복지보훈] 개인정보 유출 신고·통지 72시간 기준 — 1천 명 안 돼도 신고해야 하나요?

3줄 요약

1. 개인정보 유출을 알게 된 때부터 72시간 안에 정보주체에게 법정 항목을 담아 통지해야 합니다.
2. 유출 인원이 1천 명 미만이어도 건강 정보 같은 민감정보나 고유식별정보가 섞이면 신고 대상입니다(개인정보보호위원회 또는 한국인터넷진흥원).
3. 2026년 9월 11일 시행 개정법에 따라 통지문에는 손해배상·분쟁조정 같은 피해 구제 권리 안내도 들어가야 합니다.

목차

1. 토요일 아침에 온 이메일
2. 알게 된 시점과 72시간 계산
3. 확산 방지 조치를 먼저 한 이유
4. 1천 명 미만인데 신고 대상인 이유
5. 통지문에 들어가야 하는 항목
6. 연락이 닿지 않는 회원 통지 방법
7. 신고서 작성과 접수
8. 재발 방지와 민감정보 별도 동의
9. 유출 사고 직후 확인할 사항

1. 토요일 아침에 온 이메일

인천 송도에서 일하는 행정사입니다. 일하며 마주친 한 일화를 소개합니다.

토요일 아침 8시가 조금 넘어 이메일 한 통이 들어왔습니다. 제목은 “회원 명단이 단체 대화방에 올라갔습니다”였고, 본문에는 대화방 화면 사진 세 장과 엑셀 파일의 열 이름을 옮겨 적은 메모가 붙어 있었습니다. 보낸 분은 연수구에서 작은 필라테스 스튜디오를 운영하는 20대 후반 대표였습니다.

사정은 이랬습니다. 전날 금요일 밤 9시 40분쯤, 직원 한 명이 다음 주 수업 시간표를 회원 공지용 단체 대화방에 올리려다 바로 옆에 있던 회원 관리 엑셀 파일을 함께 올렸습니다. 대화방에는 현재 회원과 예전 회원을 합쳐 320명 정도가 들어와 있었습니다. 밤 10시 5분에 한 회원이 “이 파일 올라와도 되는 건가요?”라는 개인 메시지를 보냈고, 대표는 10시 10분에 그 메시지를 읽었습니다. 직원은 바로 파일을 지웠지만, 그사이 30분 가까이 대화방에 올라가 있었습니다.

대표에게는 이 스튜디오가 생계의 전부였습니다. 개업 2년 차에 회원이 자리를 잡아 가고 있었고, 내년 봄 2호점 임대차계약을 앞두고 대출 상담을 받는 중이었습니다. 회원들의 신뢰가 흔들리면 2호점 계획도 다시 생각해야 하는 상황이었습니다.

이메일 끝에는 대표가 밤새 인터넷에서 찾은 양식으로 써 둔 사과 문자 초안이 붙어 있었습니다. “회원 수가 1천 명이 안 되니 신고는 하지 않아도 되는 것 같고, 파일도 지웠으니 사과 문자만 보내면 될까요?”라는 질문과 함께였습니다.

2. 알게 된 시점과 72시간 계산

10시에 전화 상담을 잡고, 그 전까지 사진과 메모를 먼저 검토했습니다. 가장 먼저 확인한 것은 언제 알게 되었는가였습니다.

「개인정보 보호법 시행령」 제39조 제1항은 개인정보처리자가 유출을 알게 되었을 때 서면등의 방법으로 72시간 이내에 정보주체에게 알리도록 정하고 있습니다. 기산점은 파일이 올라간 시각이 아니라 처리자가 유출 사실을 안 시각입니다. 다만 이 사례에서는 회원의 개인 메시지라는 기록이 남아 있었기 때문에, 대표가 메시지를 읽은 금요일 밤 10시 10분을 기준으로 삼는 것이 가장 분명했습니다.

그렇게 보면 기한은 월요일 밤 10시 10분입니다. 통화에서 대표에게 일정을 이렇게 제안했습니다.

• 토요일: 대화방 확산 방지 조치, 엑셀 파일 열 항목 확인, 회원별 유출 항목 분류
• 일요일 오후: 회원 통지 문자 발송
• 월요일 오전: 한국인터넷진흥원 신고 접수
• 월요일 오후: 문자 실패 회원 확인과 사업장 게시

기한 마지막 날에 몰아서 하면 문자 발송 오류 하나에도 기한을 넘길 수 있습니다. 하루씩 앞당겨 여유를 두었습니다.

3. 확산 방지 조치를 먼저 한 이유

대표는 “파일은 이미 지웠다”고 했습니다. 그런데 대화방에서 파일을 지워도, 30분 사이에 내려받은 사람의 휴대폰에는 그대로 남아 있습니다. 「개인정보 보호법」 제34조 제3항은 유출이 생기면 회수·삭제 등 피해 확산을 막는 조치를 포함해 필요한 조치를 하도록 정하고 있습니다.

그래서 통지문을 쓰기 전에 대화방부터 정리했습니다.

1. 대화방 공지: 파일이 잘못 올라갔다는 사실과 함께, 내려받은 분은 파일을 삭제하고 삭제했다는 답장을 보내 달라고 요청했습니다.
2. 삭제 확인 기록: 답장을 보낸 회원의 이름과 시각을 표로 정리했습니다. 토요일 저녁까지 47명이 “열어 봤고 삭제했다” 또는 “내려받지 않았다”고 답했습니다.
3. 대화방 운영 변경: 공지방에서 회원이 파일을 올리거나 내려받을 수 있는 설정을 다시 확인하고, 직원 업무용 대화방과 공지방을 같은 휴대폰 화면에서 나란히 쓰지 않도록 기기를 나눴습니다.

이 조치는 피해를 줄이는 일이면서, 뒤에 쓸 통지문과 신고서의 ‘대응조치’ 항목에 그대로 들어갈 내용이었습니다. 행정 서류는 순서가 반입니다. 무엇을 했는지가 먼저 있어야 무엇을 했다고 쓸 수 있습니다.

4. 1천 명 미만인데 신고 대상인 이유

엑셀 파일에는 860명의 정보가 들어 있었습니다. 현재 회원과 휴면 회원을 합친 숫자였습니다. 대표가 “1천 명이 안 되니 신고는 하지 않아도 된다”고 생각한 근거는 여기였습니다.

「개인정보 보호법 시행령」 제40조 제1항은 신고 대상을 세 가지로 정하고 있습니다.

세 가지 중 하나라도 해당하면 72시간 안에 신고해야 합니다. 문제는 엑셀의 맨 오른쪽 ‘메모’ 열이었습니다. 대표가 보낸 메모에는 열 이름만 적혀 있어서, 전화로 그 열에 무엇이 들어 있는지 다시 물었습니다. 대표는 잠시 파일을 열어 보더니 “수업할 때 조심하려고 적어 둔 거예요. 허리 디스크, 무릎 수술, 임신 주수 같은 거요”라고 답했습니다. 860명 가운데 140명에게 그런 메모가 있었습니다.

「개인정보 보호법」 제23조 제1항은 건강에 관한 정보를 민감정보로 정하고 있습니다. 강사가 수업 안전을 위해 적어 둔 메모라도 내용이 건강 상태라면 민감정보입니다. 인원 기준으로는 신고 대상이 아니었지만, 이 열 하나 때문에 신고 대상이 되었습니다.

시행령 제40조 제1항 단서에는, 유출 경로가 확인되어 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있다는 내용도 있습니다. 이 단서도 검토했습니다. 그러나 대화방 인원은 320명이었고 삭제를 확인한 사람은 47명이었습니다. 나머지 사람이 내려받았는지는 확인할 방법이 없었습니다. 이 상태로 “가능성이 현저히 낮아졌다”고 보기는 어렵다고 판단해 신고하기로 했습니다.

5. 통지문에 들어가야 하는 항목

대표가 써 둔 사과 문자는 정중했습니다. 하지만 인터넷에서 찾은 예전 양식이라 지금 법이 요구하는 항목과 맞지 않았습니다.

「개인정보 보호법」 제34조 제1항이 정한 통지 항목은 다음과 같습니다.

1. 유출된 개인정보의 항목
2. 유출된 시점과 그 경위
3. 피해를 최소화하기 위해 정보주체가 할 수 있는 방법에 관한 구체적인 정보
4. 개인정보처리자의 대응조치와 피해 구제절차
5. 피해 신고 등을 접수할 담당부서와 연락처
6. 손해배상·법정손해배상 청구, 분쟁조정 등 정보주체의 법적 권리와 그 행사 방법
7. 그 밖에 대통령령으로 정하는 사항

이 가운데 6호는 2026년 3월 개정되어 9월 11일부터 시행된 항목입니다. 대표가 찾은 양식은 개정 전 것이라 5호까지만 있었습니다. 시행된 지 한 달 남짓이라 인터넷에 떠도는 양식 상당수가 아직 예전 그대로였습니다.

통지문은 두 가지로 나눠 썼습니다.

• 메모가 있던 140명용: 유출 항목에 ‘이름, 휴대전화번호, 생년월일, 회원권 종류, 수업 참고 메모(건강 관련 내용 포함)‘를 적었습니다.
• 나머지 720명용: 메모 항목을 빼고 이름, 휴대전화번호, 생년월일, 회원권 종류만 적었습니다.

한 가지 통지문으로 모두에게 ‘건강 정보 포함’이라고 보내면, 메모가 없던 720명은 필요 이상으로 불안해집니다. 반대로 ‘건강 정보 없음’으로 통일하면 140명에게는 사실과 다른 통지가 됩니다. 1호의 ‘항목’은 회원마다 정확해야 합니다.

3호에는 “스튜디오 이름을 대며 결제나 개인정보를 요구하는 문자·전화는 응하지 말고 스튜디오 대표 번호로 확인해 주십시오”라는 구체적인 안내를 넣었습니다. 휴대전화번호와 이름이 함께 나간 경우 가장 먼저 생길 수 있는 피해가 사칭 연락이기 때문입니다. 6호에는 개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있다는 점(법 제43조)과 손해배상 청구 권리를 적었습니다.

6. 연락이 닿지 않는 회원 통지 방법

일요일 오후 3시, 문자를 보내기 전에 대표의 휴대폰으로 시험 발송을 한 번 했습니다. 도착한 문자의 첫 줄은 “[이름] 회원님께”였습니다. 문자 발송 프로그램의 이름 칸 연결이 빠져 있었던 것입니다. 대표는 한참 웃더니 “이걸 860명한테 보낼 뻔했네요”라고 했습니다. 연결을 고친 뒤 다시 시험하고 본 발송을 했습니다.

발송 결과 837명에게 전달되었고 23명은 실패했습니다. 대부분 몇 년 전 휴면 회원이라 번호가 바뀐 경우였습니다.

시행령 제39조 제3항은 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있으면 통지 항목을 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있다고 정합니다. 이 스튜디오는 홈페이지가 없고 지도 서비스의 업체 정보와 SNS 계정만 있었습니다. 같은 항 단서는 홈페이지를 운영하지 않는 처리자는 사업장 등의 보기 쉬운 장소에 30일 이상 게시할 수 있다고 정하고 있습니다.

그래서 월요일 오후 스튜디오 출입문 안쪽과 카운터 옆에 통지 항목을 담은 안내문을 붙이고, 게시 시작일과 30일 뒤 날짜를 안내문 아래에 적었습니다. SNS 계정에도 같은 내용을 올렸습니다. 게시한 모습은 날짜가 보이게 사진으로 남겨 두었습니다. 나중에 통지를 했느냐는 질문을 받으면 이 사진이 답이 됩니다.

7. 신고서 작성과 접수

신고는 개인정보보호위원회 또는 한국인터넷진흥원에 합니다(시행령 제40조 제3항). 실무에서는 개인정보 유출 신고 창구를 통해 온라인으로 접수하는 경우가 많습니다. 이 사례도 온라인으로 접수했고, 대표가 본인 인증을 한 뒤 함께 작성한 내용을 입력했습니다.

신고서에는 통지 항목과 같은 내용이 들어갑니다. 여기에 이 사례에서 따로 정리해 넣은 내용은 이렇습니다.

• 유출 규모: 860명, 이 중 건강 관련 메모 포함 140명
• 유출 경위: 직원이 공지용 단체 대화방에 시간표 대신 회원 관리 파일을 잘못 올림, 약 30분 노출
• 알게 된 시점: 금요일 밤 10시 10분(회원의 개인 메시지 수신 기록 첨부)
• 대응조치: 파일 삭제, 대화방 삭제 요청 공지, 47명 삭제 확인, 개별 통지 837명, 사업장 게시 23명
• 재발 방지 계획: 아래 8절 내용

시행령 제40조 제2항은 유출 항목이나 경위를 구체적으로 확인하지 못했으면 그때까지 확인된 내용으로 먼저 신고하고 추가 내용은 확인되는 즉시 신고하도록 정합니다. 이 사례는 토요일에 항목 분류를 끝냈기 때문에 한 번에 신고할 수 있었습니다. 만약 메모 열 내용을 다 확인하지 못했다면, 기한을 넘기지 않도록 확인된 내용만으로 먼저 접수하는 것이 맞습니다.

신고는 월요일 오전 11시에 접수되었습니다. 기한까지 11시간 남짓 남은 시각이었습니다. 통지나 신고를 하지 않으면 법 제75조 제2항에 따라 3천만 원 이하의 과태료 대상이 될 수 있습니다.

8. 재발 방지와 민감정보 별도 동의

신고를 마친 뒤 남은 일은 같은 일이 다시 생기지 않게 하는 것이었습니다. 그런데 메모 열을 보면서 한 가지가 더 마음에 걸렸습니다. 이 건강 메모를 처리해도 되는 근거가 있었느냐는 점입니다.

「개인정보 보호법」 제23조 제1항은 민감정보를 원칙적으로 처리하지 못하게 하고, 정보주체에게 알리고 다른 개인정보 처리 동의와 별도로 동의를 받은 경우 등에만 처리할 수 있게 합니다. 스튜디오의 회원 가입 신청서에는 ‘건강 상태 체크’ 칸이 있었지만, 동의란은 하나로 묶여 있었습니다. 별도 동의라고 보기 어려웠습니다.

그래서 재발 방지 조치를 세 부분으로 나눠 정리했습니다.

1. 동의서 개정: 가입 신청서의 동의란을 일반 개인정보와 건강 정보로 나누고, 건강 정보는 수집 목적(수업 중 부상 예방), 항목, 보유 기간을 따로 적어 별도 동의를 받도록 고쳤습니다. 기존 회원에게는 다음 회원권 갱신 때 새 동의서를 받기로 했습니다.
2. 파일 분리와 암호 설정: 회원 연락처 파일과 건강 메모를 다른 파일로 나누고, 건강 메모 파일은 대표와 담당 강사만 열 수 있게 암호를 걸었습니다. 법 제23조 제2항과 제29조가 정한 안전성 확보 조치에 해당하는 부분입니다.
3. 직원 안내: 공지 업무를 하는 직원용 짧은 확인표를 만들었습니다. 파일을 올리기 전 파일 이름을 소리 내어 확인하는 정도의 단순한 내용이지만, 이번 일의 원인이 바로 그 확인 한 번이었습니다.

신고 2주쯤 뒤 한국인터넷진흥원에서 조치 결과를 묻는 연락이 왔습니다. 삭제 확인 목록, 문자 발송 결과, 사업장 게시 사진, 개정한 동의서를 정리해 회신했습니다. 이 사례는 그 뒤로 몇 주가 지나도록 별도의 처분 통지는 없었습니다. 처분 여부와 수준은 사안마다 달라지므로 같은 결과를 기대할 수는 없습니다.

대표는 예정대로 2호점 계약을 진행했습니다. 2호점 가입 신청서는 처음부터 새 동의서 양식으로 만들었습니다.

9. 유출 사고 직후 확인할 사항

이런 상황이라면 아래 순서로 확인해 보십시오.

1. 알게 된 시각을 기록으로 남깁니다. 메시지·이메일·전화 기록 등 처리자가 유출을 안 시각을 보여 주는 자료를 보관하고, 그 시각부터 72시간을 계산합니다.
2. 확산 방지 조치를 먼저 합니다. 게시물 삭제, 접속 차단, 내려받은 사람에게 삭제 요청과 확인 회신을 받습니다.
3. 유출 항목을 사람별로 나눕니다. 건강·고유식별정보가 섞인 사람과 아닌 사람을 구분해 통지문을 나눕니다.
4. 신고 대상인지 세 가지 기준으로 확인합니다. 1천 명 이상, 민감정보·고유식별정보, 외부 불법 접근 중 하나라도 해당하면 72시간 안에 신고합니다.
5. 통지문에 피해 구제 권리 안내를 넣습니다. 2026년 9월 11일 이후 통지는 손해배상·분쟁조정 등 법적 권리 안내가 필요합니다.

사안마다 요건이 달라 개별 확인이 필요합니다. 정확한 조문·해석은 국가법령정보센터 또는 관할 기관에서 확인하시기 바랍니다.

행정사 사무소 업무 내용

황윤상 행정사 사무소는 개인정보 유출 사고가 생긴 사업장을 위해 유출 시점과 기한 확인, 정보주체 통지문 작성, 개인정보보호위원회·한국인터넷진흥원 유출 신고서 작성과 제출 대행을 해드립니다. 신고 뒤 추가 자료 요청에 낼 조치 결과 정리, 민감정보 별도 동의서와 개인정보 처리방침 정비도 해드립니다.

작은 사업장일수록 개인정보는 엑셀 파일 하나, 대화방 하나에 모여 있습니다. 사고는 한 번의 클릭으로 생기지만, 그 뒤 72시간을 어떻게 쓰느냐에 따라 회원과의 관계가 달라집니다.

이해를 돕기 위해 재구성했으며, 특정 인물이나 사건과 관계없습니다.

인천 송도(포스코타워송도)에 자리한 행정사사무소입니다. 행정심판·인허가/신고 대행, 외국인 출입국(비자·체류), 정기 행정관리를 다룹니다. 개인정보 유출 통지문과 신고서 작성도 함께 다룹니다. 비슷한 상황이 있으시면 부담 없이 문의 남겨 주세요.

• 주소: 인천 연수구 컨벤시아대로 165, 포스코타워송도 2697호
• 전화: 010-3374-2687
• 홈페이지: www.hwangadmin.com