개인정보 '유출 가능성'만 있어도 72시간 안에 통지, 9월 개정법으로 바뀐 것

개인정보 유출 사고가 나면 그동안 이용자는 회사가 조사를 끝내고 "유출이 확인됐다"고 발표할 때까지 기다려야 했습니다. 그 사이에 스미싱 문자나 명의도용 시도가 먼저 도착하는 일도 적지 않았습니다.

2026년 9월 11일부터 시행된 개정 「개인정보 보호법」과 시행령은 이 순서를 바꿨습니다. 유출이 최종 확인되지 않았더라도 가능성이 높다고 판단되면 72시간 안에 이용자에게 알려야 하고, 반복적이거나 대규모 유출을 낸 기업에는 전체 매출액의 최대 10%까지 과징금을 물릴 수 있습니다. 이 글은 11월 2일 기준으로 이용자 입장에서 무엇이 달라졌는지, 통지를 받으면 무엇부터 하면 되는지 정리했습니다.

이 글은 제도를 이해하기 위한 일반 정보입니다. 개별 사건의 배상·조정 결과는 사실관계에 따라 달라지므로 필요하면 전문가 상담을 받으세요.

한눈에 보기

무엇이 바뀌었나: 이용자에게 가장 큰 변화 3가지

첫째, '가능성 통지'가 새로 생겼습니다. 국가법령정보센터의 시행령 개정 이력을 보면, 9월 11일 시행된 시행령(대통령령 제36671호)에 유출 등의 가능성이 있을 때의 통지 대상·사항·시기(72시간 이내)·방법이 새로 들어갔습니다. 보도에 따르면 72시간 안에 실제 유출이 확인되면 가능성 통지 대신 바로 유출 통지를 하면 되고, 조사 결과 유출이 아니었다면 이용자 혼란을 줄이기 위해 정정 통지를 해야 합니다.

이용자 입장에서는 "아직 확정은 아니지만 위험할 수 있다"는 연락을 더 일찍 받게 됩니다. 범죄 조직이 유출 정보를 쓰기 전에 비밀번호를 바꾸고 의심 연락을 걸러낼 시간이 생기는 셈입니다.

둘째, 랜섬웨어 피해도 알려야 합니다. 그동안 신고·통지 대상은 분실·도난·유출이었는데, 여기에 위조·변조·훼손이 추가됐습니다. 해커가 데이터를 빼 가지 않고 암호화만 해 버린 랜섬웨어 사고도 이제 이용자에게 알려야 하는 사고에 들어갑니다.

셋째, 통지문에 피해 구제 방법이 들어갑니다. 개정법은 통지할 때 분쟁조정 신청과 손해배상 청구 방법을 함께 안내하도록 했습니다. 예전처럼 "유출됐습니다, 죄송합니다"로 끝나는 안내문이 아니라, 어디에 무엇을 신청하면 되는지까지 적혀 있어야 합니다.

과징금은 얼마나 무거워졌나

개인정보보호위원회가 3월 9일 발표한 내용(뉴시스 보도)에 따르면, 다음 중 하나에 해당하면 전체 매출액의 최대 10%까지 과징금을 매길 수 있습니다.

• 최근 3년 안에 고의 또는 중대한 과실로 위반을 반복한 경우
• 1,000만 명 이상 피해가 발생한 경우
• 시정명령을 이행하지 않아 유출 사고가 난 경우

출처: 개인정보보호위원회 발표(뉴시스 2026.03.09 보도)

반대로 깎아 주는 장치도 함께 생겼습니다. 9월 10일 개인정보위 브리핑(디지털데일리 보도)에 따르면 평소 보호 체계에 예산·인력을 투자한 기업은 최대 40%까지 감경받을 수 있고, 유출 신고·통지를 기한 안에 하지 않거나 피해 확산을 막지 않으면 최대 30%까지 가중됩니다. 다만 고의·중과실 사고는 감경에서 빠지고, 감경 기준을 숫자로 정하지는 않았다는 점은 남은 과제로 꼽힙니다.

과징금은 국가에 내는 돈이라 이용자에게 직접 돌아오지는 않습니다. 하지만 통지를 늦추면 과징금이 무거워지는 구조라, 기업이 사고를 숨기거나 미루기 어려워졌다는 점에서 이용자에게도 의미가 있습니다.

자주 묻는 질문

'가능성 통지'를 받았는데 결국 유출이 아니면요? 조사 결과 유출이 아닌 것으로 확인되면 회사가 정정 통지를 보내야 합니다. 그 전까지는 실제 유출로 보고 대비하는 편이 안전합니다.

어느 회사가 대상인가요? 통지 의무는 개인정보를 처리하는 사업자 전반에 적용됩니다. 시행령 개정 이력에 따르면 CPO 이사회 의결·신고 의무는 연간 매출액 1,800억 원 초과 기업, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템 운영기관 등 일정 규모 이상에 해당합니다.

통지 문자가 진짜인지 어떻게 아나요? 유출 통지를 사칭한 스미싱이 흔합니다. 문자 속 링크를 누르지 말고, 회사 공식 앱이나 직접 검색한 누리집에서 공지를 확인하세요.

배상은 어떻게 받나요? 개인정보 분쟁조정위원회에 조정을 신청하거나, 법원에 손해배상을 청구할 수 있습니다. 개인정보 보호법에는 손해액을 일일이 입증하기 어려울 때를 위한 법정손해배상(300만 원 이하) 제도도 있습니다. 이번 개정으로 이런 방법이 통지문에 적혀 오게 됩니다.

지금 할 수 있는 것: 통지를 받았을 때 순서

1. 1
   통지 진위 확인

   문자 링크 대신 회사 공식 앱·누리집 공지로 확인합니다

2. 2
   유출 항목 파악

   이름·연락처인지, 비밀번호·주민번호·결제정보인지에 따라 대응이 달라집니다

3. 3
   비밀번호 변경

   해당 서비스와 같은 비밀번호를 쓰는 다른 서비스까지 바꾸고 2단계 인증을 켭니다

4. 4
   명의도용 차단

   엠세이퍼 가입제한, 금융 거래 제한 등록 등으로 새 계약·대출을 막습니다

5. 5
   피해 구제 신청

   피해가 생기면 개인정보침해 신고센터(118), 분쟁조정위원회에 신청합니다

유출 항목별 세부 대처는 개인정보 유출 통지 문자 받았다면? 순서대로 하는 7단계 대처법에 단계별로 정리해 두었습니다. 유출 정보가 보이스피싱으로 이어져 코인으로 피해금이 넘어간 경우라면 보이스피싱 가상자산 지급정지·환급 안내도 함께 보세요.

앞으로 남은 일정

• 2027년 7월 1일: 공공기관과 주요 기업의 정보보호·개인정보보호 관리체계(ISMS-P) 인증 의무화
• 2027년 12월 31일: 새 CPO 제도 계도기간 종료(디지털데일리 보도 기준)
• 하반기 중: 감경 판단용 예방 투자 평가 위원회 구성 예정(개인정보위 브리핑)

시행 후 두 달이 지난 11월 2일 기준으로, 새 기준에 따라 10% 과징금이 실제로 부과된 사례는 이 글을 쓰는 시점에 확인하지 못했습니다. 첫 적용 사례가 나오면 이 글에 반영하겠습니다.

정리

이번 개정의 핵심은 "더 빨리 알리고, 늦게 알리면 더 무겁게"입니다. 이용자가 할 일은 단순합니다. 통지를 받으면 진위부터 확인하고, 비밀번호와 명의도용 차단을 먼저 챙기고, 피해가 생기면 통지문에 적힌 구제 절차를 이용하면 됩니다.