개인정보 유출 신고 의무, 72시간 골든타임 체크리스트 2026

정책 · 2026-08-30

결론부터: 유출을 인지한 순간 72시간 카운트가 시작됩니다

개인정보 유출 신고 의무는 유출 사실을 "인지한 시점"부터 계산됩니다. 개인정보 보호법 §34에 따라 개인정보처리자는 정보주체에게 유출 사실을 지체 없이 통지하고, 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 72시간 이내 신고해야 합니다. 인지 즉시 대응하지 않으면 통지 지연 자체가 별도의 위반 사유가 되므로, 사고 발생 후 며칠을 고민하다 신고 시점을 놓치는 경우가 실무에서 가장 흔한 실수입니다.

인지 시점부터 시간순으로 해야 할 조치

유출 정황을 처음 파악한 순간부터 아래 순서로 움직여야 합니다.

1. 0~수시간 이내 — 유출 경로 차단, 접근 로그 확보, 내부 보고 체계 가동. 이 단계에서 유출 규모(항목·인원)를 최대한 파악합니다.
2. 72시간 이내 — 개인정보보호위원회 또는 KISA에 유출 신고를 접수합니다. 규모 파악이 완전히 끝나지 않았더라도 일단 알고 있는 범위로 신고하고, 추가 사실이 확인되면 보완 신고를 진행하는 방식이 실무적으로 안전합니다.
3. 지체 없이(72시간 원칙에 준함) — 정보주체에게 개별 통지를 시작합니다. 이메일, 서면, 문자메시지 등 정보주체에게 실제로 도달할 수 있는 방법을 사용해야 하며, 단순히 회사 게시판 공지로 대체할 수 없습니다.
4. 1천명 이상 유출 시 — 개별 통지와 별도로 자사 홈페이지에 유출 사실을 게시해야 합니다. 정보주체 개별 통지가 불가능한 경우를 대비한 보완 조치입니다.
5. 사후 — 신고·통지 이력, 조치 내역을 문서로 남겨 추후 점검이나 조사에 대비합니다.

정보주체 통지, 무엇을 어떻게 알려야 하나

개인정보 보호법 §34에 따른 통지는 형식보다 내용이 중요합니다. 정보주체가 이 통지만 보고도 자신에게 무슨 일이 생겼는지, 무엇을 조심해야 하는지 판단할 수 있어야 합니다.

통지 방법은 서면, 전자우편, 문자메시지 등 정보주체에게 실제로 도달 가능한 수단이어야 하며, 연락처를 알 수 없어 개별 통지가 불가능한 경우에 한해 홈페이지 게시나 언론 공고 등으로 갈음할 수 있습니다.

1천명 이상 유출 시 추가 의무 — 홈페이지 게시

유출 인원이 1천명 이상인 경우에는 정보주체 개별 통지와 별개로 자사 홈페이지에 유출 사실을 게시해야 하는 의무가 추가로 발생합니다. 규모가 큰 사고일수록 개별 통지가 누락되거나 지연될 위험이 크기 때문에, 홈페이지 게시를 통해 정보주체가 스스로 확인할 수 있는 경로를 열어두는 취지입니다. 개별 통지와 홈페이지 게시는 대체 관계가 아니라 병행해야 하는 의무라는 점을 실무에서 자주 놓칩니다.

미신고·미통지 시 제재

72시간 신고 의무나 정보주체 통지 의무를 이행하지 않으면 과태료 또는 과징금 부과 대상이 됩니다. 구체적인 부과 금액과 산정 기준은 위반 유형과 정도에 따라 달라지므로 개별 사안별 확인이 필요합니다.

마치며

개인정보 유출 신고 의무는 인지 시점부터 72시간이라는 명확한 시한이 있고, 신고·통지·게시가 각각 별도로 이행돼야 하는 구조입니다. 규모 파악이 완벽하지 않아도 우선 신고부터 접수하고, 정보주체 통지 항목과 방법을 빠짐없이 챙기는 것이 제재를 피하는 가장 확실한 방법입니다.

이 작업, 직접 하지 않아도 됩니다

위 통지 필수 항목과 홈페이지 게시 요건을 실제 처리방침·양식에 반영하는 작업은 개인정보 에이전트가 처리방침 점검과 함께 정리해 드립니다. 72시간 신고 접수부터 정보주체 통지문 초안, 사후 조사 대응까지 이어지는 문서 작업은 행정·조사대응 에이전트가 단계별로 작성을 지원합니다. 사고 직후 시간에 쫓기는 상황에서 본문에서 다룬 체크리스트를 문서화하는 데 활용할 수 있습니다.

Speciai.team 바로가기 →