COLUMN · 개인정보

작성 2026. 9. 21. | 로엘법무법인 신영인 변호사

서버에 누군가 들어온 흔적은 남았는데, 무엇이 빠져나갔는지도 누구의 정보인지도 아직 모릅니다. 이럴 때 회사는 흔히 확인될 때까지 기다립니다.

2026년 9월 11일부터는 그 선택이 위법이 될 수 있습니다. 같은 날 시행된 개정 시행령이 유출이 확정되기 전 단계의 통지 의무를 처음으로 구체화했기 때문입니다.

통지 의무가 두 겹이 되었습니다

「개인정보 보호법」 제34조는 이제 두 개의 통지를 나란히 두고 있습니다. 제1항은 개인정보가 유출·분실·도난·위조·변조·훼손된 사실을 알게 되었을 때의 통지이고, 제2항은 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때의 통지입니다.

제2항이 겨누는 대상은 더 넓습니다. 조문은 유출등의 가능성이 있는 모든 정보주체에게 알리라고 합니다. 다만 무엇이 그 가능성인지, 무엇을 언제까지 알려야 하는지는 전부 대통령령에 맡겨져 있어 그동안 실무에서 판단 기준이 없었습니다. 그 빈칸이 9월 10일 공포되고 다음 날 시행된 대통령령 제36671호로 채워졌습니다.

시행령이 정한 두 가지 경우

신설된 시행령 제39조의2 제1항은 통지 의무가 켜지는 순간을 두 갈래로 적었습니다.

첫째는 개인정보처리시스템이나 취급자의 정보기기에 불법적인 접근이 발생하여 유출등이 의심되는 정황은 있으나 그 정보주체를 특정하기 곤란한 경우입니다. 기준 시점은 해당 불법적인 접근을 알게 된 때입니다. 침해 흔적은 있는데 피해 범위를 못 좁히는, 실무에서 가장 흔한 상황이 여기에 들어옵니다.

둘째는 처리하는 개인정보가 법령을 위반하여 제3자에 의해 거래되는 등 일부 개인정보의 유출 사실이 확인되었고, 다른 정보주체의 개인정보도 유출되었을 수 있다고 인정되는 경우입니다. 기준 시점은 그 사실을 알게 된 때입니다. 일부만 확인되었을 때 나머지를 어떻게 할 것인지에 답을 준 조문입니다.

무엇을, 어떻게 알리나

통지할 항목은 시행령 제39조의2 제2항에 네 가지로 정해져 있습니다. 확정 단계의 통지와 나란히 놓으면 차이가 분명합니다.

눈여겨볼 항목은 네 번째, 유출등의 여부가 확정될 경우 추가 통지를 하겠다는 사실입니다. 가능성 통지가 끝이 아니라 예고라는 점을 통지서 안에 적게 한 것입니다. 홈페이지가 없는 처리자는 사업장 등 보기 쉬운 장소에 30일 이상 게시하는 것으로 갈음할 수 있습니다.

유출이 아니었다면 다시 알려야 합니다

시행령 제39조의3은 그 뒤의 두 갈래도 적어 두었습니다. 72시간 안에 실제로 유출된 사실이 확인되면 가능성 통지에 갈음하여 법 제34조 제1항의 정식 통지를 해야 합니다. 반대로 가능성 통지를 한 뒤 실제로는 유출되지 않은 사실이 확인되면 즉시 그 사실을 통지해야 합니다. 알린 뒤 정정까지가 하나의 절차로 묶여 있는 셈입니다.

같은 시행령이 보호책임자 기준도 바꿨습니다

이번 개정은 개인정보 보호책임자 쪽도 함께 손봤습니다. 시행령 제32조 제3항은 법 제31조 제3항이 적용되는 개인정보처리자를 연간 매출액등이 1,800억원을 초과하면서 민감정보나 고유식별정보를 5만명 이상 또는 개인정보를 100만명 이상 처리하는 자 등으로 정합니다(종전 기준은 1,500억원 이상이었습니다). 여기에 해당하면 보호책임자를 별표 1의 자격을 갖춘 사람 중에서 지정해야 하고, 지정·변경·해제에 이사회 의결을 거쳐야 하며, 같은 조 제4항에 따라 사유 발생일부터 6개월 이내에 개인정보보호위원회에 신고해야 합니다.

참고자료

· 「개인정보 보호법 시행령」 제32조·제39조·제39조의2·제39조의3·제40조 [대통령령 제36671호, 공포 2026. 9. 10., 시행 2026. 9. 11.] — 국가법령정보센터
· 「개인정보 보호법」 제31조·제34조 [법률 제21445호, 시행 2026. 9. 11.] — 국가법령정보센터
· 관련: 개인정보 유출 통지, 9월 11일부터 달라집니다 / 개인정보 과징금, 9월 11일부터 매출액 10%
· 같은 날 발행 칼럼: 면허가 취소되면 몇 년을 기다려야 하나