개인정보가 유출된 사실을 알게 되면 정보주체에게 72시간 이내 통지하고, 1천명 이상 유출 등 요건에 해당하면 개인정보보호위원회 또는 KISA에 신고해야 합니다. 2026년 9월 11일 시행 개정법은 여기에 세 가지를 더했습니다 — ① 분실·도난·유출뿐 아니라 위조·변조·훼손도 ‘유출등’에 포함(랜섬웨어 대응), ② 유출 가능성을 알게 된 때에도 지체 없이 통지, ③ 통지 시 손해배상 청구·분쟁조정 신청 등 피해구제 방법을 함께 안내.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# 랜섬웨어로 주문 DB 암호화 — 외부 유출 정황은 없음inc$ 상황 판단 (D-day)>> "데이터가 빠져나간 건 아니니 통지 대상 아님" 판단>> D+9 내부 논의만 진행 · 원인 규명 후 알리기로 보류→ 훼손도 유출등에 포함 · 72시간 초과 + 가중 제재
🔧 조치 방법
유출 신고·통지 절차, 긴급 연락체계, 대응 조직을 포함한 침해사고 대응 절차를 수립하고 연 1회 이상 모의훈련합니다.
‘유출등’ 판단 기준에 위조·변조·훼손을 포함시킵니다 — 데이터가 외부로 나간 정황이 없어도 통지·신고 대상이 될 수 있습니다.
유출 가능성을 인지한 단계부터 통지 절차가 시작되도록 대응 절차를 설계합니다(“원인 규명 후 통지”는 지연 사유가 되지 않습니다).
통지문에 유출 항목·시점·경위, 피해 최소화 방법, 대응 조치·피해 구제절차, 접수 부서·연락처, 그리고 손해배상 청구·분쟁조정 신청 등 피해구제 방법을 포함합니다.
신고 요건(1천명 이상, 민감정보·고유식별정보, 외부로부터의 불법적인 접근)에 해당하면 72시간 내 개인정보보호위원회 또는 KISA에 신고합니다.
연락처를 알 수 없는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음합니다.
✅ 점검 체크리스트
침해사고 대응 절차·연락체계 수립됨
‘유출등’ 판단에 위조·변조·훼손이 포함됨
72시간 내 통지 가능한 준비 상태(법정 6개 항목 템플릿)
신고 요건 판단 기준이 문서화됨
근거: 개인정보 보호법 제34조(2026.9.11. 시행 개정) · 시행령 제39조·제40조 · PIA 1.3.1, 1.3.2