개인정보 사고가 의심될 때 기업이 먼저 해야 할 일은 유출 여부가 확정될 때까지 기다리는 일이 아니다. 2026년 9월 11일부터 시행된 개정 개인정보 보호법과 시행령은 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우, 정보주체에게 알리는 절차를 시작하게 한다. 불법 접근이 발생했지만 영향을 받은 사람을 바로 특정하기 어렵거나, 일부 정보의 불법 거래가 확인돼 다른 사람의 정보도 위험하다고 볼 수 있는 경우가 대상이다.
이 변화는 사고 대응의 출발점을 확정된 침해에서 의심 신호와 영향 범위 판단으로 옮긴다. 사고 대응팀, CPO, 법무, 고객지원, 경영진이 각각 다른 시점에 움직이면 72시간은 조사만 하다 지나간다. CPO의 이사회 보고 경로와 사고 보고 체계를 평소에 연결해 두어야 통지 문안, 고객 보호 조치, 예산과 인력 결정이 같은 사실관계 위에서 빨라진다.
유출이 확정되지 않아도 언제 통지 판단이 시작되나
새 제도는 모든 이상 징후를 곧바로 대외 통지하라는 뜻이 아니다. 개인정보위가 제시한 요건은 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우다. 개인정보처리시스템이나 개인정보취급자가 쓰는 기기에 불법 접근이 발생해 대상자를 특정하기 곤란한 경우, 또는 개인정보 불법 거래 등으로 일부 유출이 확인돼 다른 정보주체의 유출 가능성도 인정되는 경우가 구체적 기준이다.
그 사실을 안 때부터 통지 시계는 72시간이다. 통지에는 개인정보 항목, 의심 시점과 경위, 피해 최소화 방법, 피해구제 절차, 피해 신고 연락처, 실제 유출이 확정되면 추가로 통지한다는 내용을 넣어야 한다. 기한 안에 실제 유출이 확인되면 유출 통지로 갈음하고, 유출되지 않았다고 확인되면 정정 통지로 정보주체의 혼란과 불안을 줄인다. 랜섬웨어처럼 개인정보가 위조·변조·훼손된 사고도 이제 유출 신고와 통지 대상에 들어간다.
72시간 안에 기업이 결정해야 할 것은 무엇인가
통지 제도는 보안팀의 조사 업무만 늘리는 규정이 아니다. 첫 72시간에는 로그 보전과 접근 차단, 영향 범위의 가설과 검증, 통지 대상 추정, 고객이 취할 수 있는 보호 조치, 문의 창구와 피해구제 절차를 한꺼번에 정해야 한다. 사고 책임자가 CPO에게 사실을 전달하고, CPO가 경영진과 이사회에 직접 보고할 수 있는 경로를 사고 전부터 작동시켜야 하는 이유다.
이사회 보고를 앞당긴다는 것은 매 사고마다 이사회가 기술 조사를 대신한다는 뜻이 아니다. 고객 통지, 외부 전문인력 투입, 서비스 제한, 추가 예산처럼 사업 판단이 필요한 결정을 늦추지 않도록 CPO의 보고에 사고의 시점, 추정 범위, 이미 취한 보호 조치, 다음 24시간의 의사결정 항목을 붙이는 방식이다. 이사회에는 확정되지 않은 숫자를 단정해 올리기보다, 확인된 사실과 남은 판단을 분리한 상황판이 더 유용하다.
CPO의 이사회 의결과 신고는 어떤 조직에 적용되나
법은 중요 개인정보처리자의 CPO 지정·변경·해제를 이사회 의결과 개인정보위 신고 절차에 연결했다. 대상은 연 매출액 또는 수입이 1,800억 원을 넘으면서 100만 명 이상 개인정보 또는 5만 명 이상 민감정보·고유식별정보를 처리하는 자다. 재학생 2만 명 이상 대학, 상급종합병원, 주요 공공시스템을 운영하는 기관도 포함한다.
법 시행 뒤 CPO를 지정·변경·해제하려면 이사회 의결을 거쳐 사유 발생일부터 6개월 안에 신고해야 한다. 이미 지정된 CPO는 별도 이사회 의결 없이 2026년 9월 11일부터 6개월 안에 신고하면 된다. 개인정보위는 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반, 신고 해태에 대해 2027년 12월 31일까지 과태료를 부과하지 않는 계도기간을 운영한다. 이 기간은 이사회 보고 양식, CPO의 정보 접근권, 사고 연락망, 통지 승인 절차를 문서화할 시간으로 쓸 수 있다.
예방 투자는 사고 전 장부와 사고 후 대응에서 함께 평가된다
반복적이거나 중대한 개인정보 침해에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 특례가 시행된다. 고의·중과실로 3년 안에 위반을 반복한 경우, 고의·중과실로 1천만 명 이상 피해를 발생시킨 경우 등이 가중 판단의 출발점이다. 법정 기한 안에 신고·통지를 하지 않고 피해 확산 방지 조치도 하지 않으면 과징금을 최대 30% 가중할 수 있다.
반대로 개인정보 보호 예산·인력·설비 투자, CEO·CPO와 전문인력의 보호체계, 법정 의무를 넘는 안전조치, 사고 뒤 조기 탐지와 신속 신고·통지 및 확산 방지 조치는 과징금 산정에서 반영된다. 투자 감경은 기준금액의 최대 40% 범위다. 그래서 이사회가 볼 자료도 사고 발생 후의 피해 규모만이 아니라, 평소 투자와 권한 체계가 실제 대응 속도로 이어졌는지를 함께 보여줘야 한다.
사고 대응을 앞당기는 조직은 통지를 서두르는 조직과 다르다. 의심 신호가 들어왔을 때 누가 사실을 확인하고, 누가 고객 보호 조치를 정하며, 누가 이사회에 사업상 결정을 요청할지를 미리 정한 조직이다. 이번 개정은 그 준비가 CPO의 독립성, 이사회 거버넌스, 고객 통지의 속도까지 이어지게 한다.
출처: 개인정보보호위원회, 「개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행」