개인정보처리자는 개인정보가 유출등이 되었음을 알게 되면 서면등의 방법으로 72시간 이내에 정보주체에게 알려야 합니다(시행령 제39조제1항). 1천명 이상 정보주체, 민감정보·고유식별정보, 외부로부터의 불법적 접근 중 하나에 해당하면 72시간 이내에 보호위원회 또는 한국인터넷진흥원에도 신고해야 합니다. 개인정보처리자 일반에 적용되는 규정이며, 2026-10-27에 연 법령(2026-09-11 시행분) 원문 범위입니다.
확인 기준일 2026-10-27 · 다음 확인 예정 2026-11-26
통지와 신고는 각각 어떤 기한과 대상인가?
법 제34조제1항은 유출등을 알게 되면 지체 없이 정보주체에게 알리라고 하고, 제4항은 보호위원회 또는 대통령령이 정한 전문기관에 신고하라고 합니다. 시행령이 기한을 72시간으로 구체화합니다.
| 구분 | 기한과 대상 | 근거 |
|---|---|---|
| 정보주체 통지 | 알게 된 때부터 72시간 이내, 서면등 | 시행령 제39조제1항 |
| 가능성 통지 | 불법 접근 등으로 유출 가능성을 알게 된 때부터 72시간 이내 | 법 제34조제2항, 시행령 제39조의2·제39조의3 |
| 기관 신고 | 1천명 이상, 민감정보·고유식별정보 유출, 외부 불법 접근 중 하나에 해당하면 72시간 이내 | 시행령 제40조제1항 |
| 전문기관 | 한국인터넷진흥원 | 시행령 제40조제3항 |
통지문에는 무엇이 들어가나?
법 제34조제1항은 유출등이 된 개인정보의 항목, 시점과 경위, 정보주체가 피해를 줄이기 위해 할 수 있는 방법, 사업자의 대응조치와 피해 구제절차, 신고를 접수할 담당부서와 연락처, 손해배상과 분쟁조정 등 법적 권리와 행사 방법, 그 밖에 대통령령으로 정하는 사항을 알리게 합니다. 항목이나 시점을 아직 확인하지 못했으면 확인된 내용과 나머지 항목을 먼저 통지하고 추가로 확인되는 대로 알립니다(시행령 제39조제2항).
예외와 대체 방법은 무엇인가?
접속경로 차단 등 긴급 조치가 필요하거나 천재지변 등으로 72시간 안에 통지하기 곤란하면 사유가 해소된 후 즉시 알립니다. 연락처를 알 수 없는 등 정당한 사유가 있으면 인터넷 홈페이지에 30일 이상 게시해 통지를 갈음할 수 있습니다. 신고는 유출 경로가 확인되어 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아졌으면 하지 않을 수 있습니다. 계정 탈취 사고의 신고 순서는 계정 탈취로 코인이 출금됐을 때 글에, 계정 정보 유출 확인은 유출된 계정 정보 확인과 비밀번호 교체 글에 있습니다.
통지 이후에 사업자가 해야 하는 일은?
법 제34조제3항은 개인정보 회수·삭제 등 피해 확산을 막는 조치를 포함해 피해를 최소화하는 대책을 마련하고 필요한 조치를 하게 합니다. 제34조의2제1항은 고유식별정보, 계좌정보, 신용카드정보 등이 정보통신망을 통해 공중에 노출되지 않도록 하게 하고, 제2항은 보호위원회나 지정 전문기관의 요청이 있으면 노출 정보를 삭제하거나 차단하게 합니다. 시행령 제40조의2는 그 전문기관을 한국인터넷진흥원으로 정합니다.
자주 묻는 질문
거래소에서 유출이 생기면 이 조문이 적용되나요?
이 조문은 업무 목적으로 개인정보파일을 운용하는 개인정보처리자에 적용됩니다. 개인정보를 처리하는 사업자라면 대상이 되며, 개별 사고의 신고 여부는 이 글이 판단하지 않습니다.
72시간은 언제부터 세나요?
시행령 제39조제1항은 유출등이 되었음을 알게 되었을 때부터라고 적습니다. 가능성 통지는 불법 접근을 알게 된 때부터 셉니다.
통지를 받지 못하면 홈페이지에서 확인할 수 있나요?
연락처를 알 수 없는 등 정당한 사유가 있을 때는 사업자가 홈페이지에 30일 이상 게시하는 방식으로 통지를 갈음할 수 있습니다.
