이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
※ 2026년 10월 21일 기준 (처음 작성 2026년 9월 24일) (2026년 10월 21일에 고친 내용: 72시간 마감 계산과 대응 달력, 고객 통지문 서식과 가상 가게 작성 예시, 유출 과징금 기준을 더하고 신고·통지 설명을 시행령 원문에 맞게 바로잡았습니다.)
직원이 주문 명단 엑셀 파일을 실수로 손님이 있는 단체 채팅방에 올렸습니다. 쇼핑몰 관리자 페이지에 낯선 로그인 기록이 보입니다. 고객 연락처가 담긴 노트북을 잃어버렸습니다. 이럴 때 가장 먼저 떠오르는 질문은 “어디에, 언제까지 알려야 하나”입니다.
개인정보를 다루는 가게라면 규모와 상관없이, 유출 사실을 알게 되었을 때 고객에게 알려야 하고 일정한 경우에는 기관에도 신고해야 합니다. 어떤 경우가 유출이고 누구에게 언제까지 알려야 하는지 순서대로 정리합니다. 핵심은 세 가지입니다.
- 개인정보가 유출등(분실·도난·유출·위조·변조·훼손)이 된 사실을 알게 되면 72시간 이내에 해당 고객에게 알려야 합니다(개인정보 보호법 제34조 제1항, 시행령 제39조)
- 1천명 이상이거나, 민감정보·고유식별정보가 포함됐거나, 해킹 같은 외부 불법 접근이면 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고도 해야 합니다(시행령 제40조)
- 2026년 9월 11일부터는 유출이 확정되지 않았더라도 유출 가능성이 있으면 통지해야 하는 경우가 생겼습니다(법 제34조 제2항, 시행령 제39조의2)
[개인정보 01] 개인정보처리방침 만들기, [개인정보 02] 제3자 제공과 처리위탁 차이, [개인정보 03] 가게 CCTV 설치 규정에 이은 개인정보 시리즈 네 번째 글입니다.
개인정보 유출 신고·통지 한눈에 보기
| 구분 | 내용 | 근거 |
|---|---|---|
| 유출등이란 | 분실·도난·유출·위조·변조·훼손 | 법 제23조 ② |
| 고객 통지 | 알게 된 때부터 72시간 이내, 서면등의 방법 | 법 제34조 ①, 시행령 제39조 ① |
| 가능성 통지 | 불법 접근 의심 등 유출 가능성만 있어도 72시간 이내 | 법 제34조 ②, 시행령 제39조의2·제39조의3 (2026. 9. 11. 시행) |
| 기관 신고 대상 | 1천명 이상 / 민감정보·고유식별정보 / 외부 불법 접근 | 시행령 제40조 ① |
| 신고처 | 개인정보보호위원회 또는 한국인터넷진흥원 | 법 제34조 ④, 시행령 제40조 ③ |
| 연락처 모를 때 | 홈페이지 30일 이상 게시(없으면 사업장 게시) | 시행령 제39조 ③ |
| 통지 안 하면 | 3천만원 이하 과태료 | 법 제75조 ② 17호 |
| 신고 안 하면 | 3천만원 이하 과태료 | 법 제75조 ② 18호 |
개인정보 유출 기준 — ‘유출등’의 뜻과 범위
법은 “유출”이 아니라 “유출등”이라고 씁니다. 개인정보 보호법 제23조 제2항이 이를 정의합니다.
개인정보 보호법 제23조 제2항 중
분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손(이하 “유출등”이라 한다)
그래서 외부 해킹뿐 아니라 이런 일도 모두 해당할 수 있습니다.
- 고객 명단이 담긴 노트북·USB·휴대전화를 잃어버림(분실)
- 주문 목록 파일을 다른 사람에게 잘못 보냄, 단체방에 잘못 올림(유출)
- 택배 송장을 가리지 않고 SNS에 사진으로 올림(유출)
- 예약 명단의 연락처가 엉뚱하게 바뀜(변조)
- 저장해 둔 고객 정보를 복구할 수 없게 지움(훼손)
규모가 작은 가게도 개인정보처리자입니다. 고객 이름과 연락처를 장부나 파일로 관리하고 있다면 이 조문이 적용됩니다.
개인정보 유출 통지 — 고객에게 72시간 이내
개인정보 유출 통지의 기본은 제34조 제1항입니다. 시행령 제39조 제1항이 기한과 방법을 정합니다.
개인정보 보호법 시행령 제39조 제1항 본문
개인정보처리자는 개인정보가 유출등이 되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다.
서면등의 방법은 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법입니다(시행령 제17조 제5항). 고객 연락처를 알고 있다면 문자나 이메일로 보내면 됩니다.
알려야 할 내용은 법 제34조 제1항 각 호입니다.
- 유출등이 된 개인정보의 항목
- 유출등이 된 시점과 경위
- 피해를 줄이기 위해 고객이 할 수 있는 방법
- 가게의 대응조치와 피해 구제절차
- 피해 신고를 받는 담당부서와 연락처
- 손해배상·법정손해배상 청구와 분쟁조정 등 고객의 법적 권리와 행사 방법(2026년 9월 11일부터)
- 그 밖에 대통령령으로 정하는 사항
아직 다 모르면? 항목이나 경위(1호·2호)를 확인하지 못했더라도 기다리지 말고, 유출등이 된 사실과 그때까지 확인된 내용, 3호~6호를 먼저 통지하고 추가로 확인되는 대로 즉시 다시 알립니다(시행령 제39조 제2항).
늦어도 되는 경우는 두 가지뿐입니다(시행령 제39조 제1항 단서). 접속 차단·취약점 보완·회수·삭제 같은 긴급 조치가 필요한 경우, 그리고 천재지변 등 부득이한 사유가 있는 경우입니다. 이때도 사유가 해소되면 즉시 알려야 합니다.
연락처를 모르면 홈페이지에 30일 이상 게시해서 통지를 대신할 수 있습니다. 홈페이지가 없는 가게는 사업장의 보기 쉬운 곳에 30일 이상 게시합니다(시행령 제39조 제3항).
2026년 개정 — 개인정보 유출 가능성 통지 의무
2026년 3월 개정 법률과 9월 개정 시행령이 2026년 9월 11일부터 시행되면서 새 의무가 생겼습니다. 유출이 확정되지 않았더라도 가능성이 있으면 알려야 하는 경우입니다(법 제34조 제2항).
시행령 제39조의2 제1항이 정한 두 경우는 이렇습니다.
| 경우 | 통지 시점 |
|---|---|
| 개인정보처리시스템이나 업무용 기기에 불법 접근이 있어 유출이 의심되지만, 누구 정보인지 특정하기 어려운 경우 | 불법 접근을 알게 된 때 |
| 일부 개인정보가 불법 거래되는 등 유출이 확인됐고, 다른 고객 정보도 유출됐을 수 있다고 인정되는 경우 | 그 사실을 알게 된 때 |
이때도 72시간 이내에 서면등의 방법으로 알립니다(시행령 제39조의3 제1항). 알릴 내용은 유출 가능성이 있는 항목, 의심되는 시점과 경위, 고객이 할 수 있는 조치·가게의 대응·연락처, 그리고 “유출 여부가 확정되면 추가로 알리겠다”는 사실입니다(시행령 제39조의2 제2항).
그 뒤 처리는 이렇게 갈립니다.
- 72시간 안에 실제 유출이 확인되면 → 가능성 통지 대신 정식 통지(시행령 제39조의3 제2항)
- 가능성 통지를 한 뒤 유출이 아니었던 것으로 확인되면 → 그 사실을 즉시 알림(같은 조 제3항)
개인정보 유출 신고 — 1천명·민감정보·해킹이면 기관에도
고객 통지와 별개로, 다음 중 하나에 해당하면 기관 신고도 해야 합니다(시행령 제40조 제1항).
- 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
- 민감정보 또는 고유식별정보가 유출등이 된 경우
- 개인정보처리시스템이나 업무용 기기에 대한 외부로부터의 불법적인 접근으로 유출등이 된 경우
신고 기한은 알게 된 때부터 72시간 이내, 신고 접수는 개인정보보호위원회 또는 전문기관인 한국인터넷진흥원이 맡습니다(시행령 제40조 제1항·제3항). 위원회는 유출신고를 위원회의 유출신고 시스템(brss.pipc.go.kr)으로 하는 것이 원칙이라고 안내합니다(개인정보보호위원회 유출신고 안내, 2026년 10월 21일 확인). 내용을 다 확인하지 못했으면 확인된 것부터 먼저 신고하고 추가로 확인되는 대로 신고합니다(같은 조 제2항).
소상공인에게 특히 중요한 것은 2번과 3번에는 인원 기준이 없다는 점입니다. 고객이 10명뿐이어도 주민등록번호(고유식별정보)가 새 나갔거나, 쇼핑몰이 해킹당했다면 신고 대상입니다.
신고하지 않아도 되는 경우도 시행령 제40조 제1항 단서에 있습니다(2026년 9월 11일 시행본 기준). 유출등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치로 고객의 권익 침해 가능성이 현저히 낮아진 경우입니다. 예를 들어 잘못 보낸 파일을 받은 사람이 곧바로 지웠다는 사실이 확인된 경우를 생각할 수 있지만, 판단이 애매하면 신고하는 쪽이 안전합니다. 이 단서는 기관 신고의 예외일 뿐이어서 고객에게 알리는 통지까지 면제되는 것은 아닙니다.
소상공인 개인정보 유출 대응 사례
| 상황 | 고객 통지 | 기관 신고 |
|---|---|---|
| 주문 명단(이름·연락처 200명)을 단체방에 잘못 올림 | 해야 함 | 1천명 미만·민감정보 없음·외부 접근 아님 → 원칙적으로 신고 대상 아님 |
| 쇼핑몰 관리자 계정 해킹, 회원 300명 정보 조회 | 해야 함 | 해야 함(외부 불법 접근) |
| 회원가입 때 받은 주민등록번호 파일 분실 | 해야 함 | 해야 함(고유식별정보) |
| 해킹 흔적은 있는데 누구 정보인지 모름 | 가능성 통지 | 유출 확인되면 신고 판단 |
| 잘못 보낸 파일을 받은 사람이 즉시 삭제 확인 | 해야 함 | 권익 침해 가능성이 현저히 낮으면 신고 안 해도 됨 |
※ 위 표는 조문을 사례에 대 본 것입니다. 실제로는 유출 경위와 규모에 따라 판단이 달라질 수 있으니 애매하면 한국인터넷진흥원 등에 문의하십시오.
72시간 마감 계산과 대응 달력
시행령 제39조 제1항과 제40조 제1항은 기한을 날짜가 아니라 ‘72시간’으로 정합니다. 민법 제156조는 기간을 시·분·초로 정한 때에는 즉시로부터 기산한다고 정하므로(시행 2026. 3. 17., 법률 제21454호), 이 글에서는 알게 된 시각에 72시간을 더한 시각을 마감으로 계산합니다. 주말과 공휴일을 빼는 규정은 시행령에 없습니다(아래 FAQ 참고). 다만 위원회가 72시간 계산 방식을 따로 풀이한 자료는 확인하지 못했으니, 마감에 걸리는 경우에는 마감보다 앞서 알리고 신고하십시오. 법 제34조는 “지체 없이” 알리라고 정하므로 72시간까지 기다려도 된다는 뜻이 아니라 늦어도 이 시한 안에 해야 한다는 뜻입니다.
아래는 알게 된 시각이 다섯 가지일 때의 마감입니다. 날짜와 시각은 계산을 보여 드리려고 가정한 값이며, 요일은 2026년 달력 기준으로 파이썬으로 두 번 계산해 확인했습니다.
| 알게 된 때(가정) | 72시간 뒤 마감 | 참고 |
|---|---|---|
| 2026년 11월 6일(금) 18:40 | 11월 9일(월) 18:40 | 토·일에도 시간은 계속 흐릅니다. 월요일 아침이 아니라 금요일 저녁 알게 된 시각부터 셉니다. |
| 11월 7일(토) 02:30 | 11월 10일(화) 02:30 | 마감이 한밤중입니다. 실제로는 전날인 월요일 업무 시간 안에 끝내 두는 편이 안전합니다. |
| 11월 8일(일) 22:00 | 11월 11일(수) 22:00 | 마감이 평일 밤입니다. 통지문 작성은 월요일부터 해도 시간이 남습니다. |
| 11월 9일(월) 09:20 | 11월 12일(목) 09:20 | 평일 아침에 알았다면 마감도 평일 아침(목요일)입니다. 통지문 서식을 미리 준비해 두면 여유가 생깁니다. |
| 12월 24일(목) 21:00 | 12월 27일(일) 21:00 | 12월 25일(금, 성탄절)과 토·일이 끼어 마감이 일요일 밤입니다. 위원회 대표전화는 평일(공휴일 제외) 9시~18시 운영으로 안내되어 있어(2026년 10월 21일 확인), 이 경우 마감 전에 전화로 물어볼 수 있는 평일 업무 시간이 없습니다. |
가상 가게의 대응 달력 (예시)
아래는 가상의 가게를 가정한 예시입니다. 실제 사건이 아니며 이름과 숫자는 모두 지어낸 것입니다. 반찬 정기배송을 하는 작은 온라인 가게에서, 직원이 11월 6일(금) 저녁 6시 40분에 고객 주문 엑셀(이름·연락처·배송 주소, 고객 230명)을 고객 단체 채팅방에 잘못 올린 것을 알게 된 상황입니다. 주민등록번호와 건강정보는 없고, 해킹이 아니라 직원 실수입니다. 이때 마감은 11월 9일(월) 18시 40분입니다.
| 시각(경과) | 할 일 | 근거 |
|---|---|---|
| 11월 6일(금) 18:40 (0시간) | 알게 된 시각을 메모하고 대응 담당자를 정합니다. 72시간이 여기서 시작됩니다. | 기산점(시행령 제39조 제1항) |
| 11월 6일(금) 19:00 (20분 뒤) | 채팅방의 파일을 삭제하고, 방에 있던 사람들에게 삭제와 저장 금지를 요청합니다. 삭제 확인 내용을 메모합니다. | 회수·삭제 등 피해 확산 방지 조치(법 제34조 제3항) |
| 11월 6일(금) 20:00 (1시간 20분 뒤) | 올라간 항목(이름·연락처·배송 주소)과 인원(230명), 파일을 볼 수 있었던 범위를 정리합니다. 모르는 부분은 ‘확인 중’으로 둡니다. | 통지 내용 1호·2호 준비(시행령 제39조 제2항) |
| 11월 7일(토) 10:00 (15시간 20분 뒤) | 기관 신고 대상인지 점검합니다. 이 가정에서는 1천명 미만이고, 민감정보·고유식별정보가 없고, 외부 불법 접근도 아니어서 시행령 제40조 제1항 각 호에 해당하지 않는 것으로 보입니다. 애매하면 위원회나 118에 문의합니다. | 시행령 제40조 제1항 |
| 11월 7일(토) 18:40 (24시간 뒤) | 통지문 초안을 마칩니다(아래 서식). | 이 글이 정한 내부 목표(법에는 없음) |
| 11월 8일(일) 18:40 (48시간 뒤) | 고객 230명에게 문자·이메일 발송을 마치고 발송 기록을 보관합니다. 연락이 닿지 않는 고객이 있으면 게시 준비를 합니다. | 이 글이 정한 내부 목표(법에는 없음) |
| 11월 9일(월) 18:40 (72시간 뒤) | 법정 마감입니다. 연락처를 알 수 없는 고객은 홈페이지(없으면 사업장 보기 쉬운 곳)에 30일 이상 게시했는지 확인합니다. | 시행령 제39조 제1항·제3항 |
위 표에서 법에 적힌 것은 마지막 기한(72시간)과 필요한 조치의 종류뿐입니다. 중간의 시각 목표는 마감에 쫓기지 않도록 이 글이 가정한 예시이니, 가게 사정에 맞게 고쳐 쓰십시오.
고객 통지문 서식 (빈칸)과 작성 예시
아래 서식은 법 제34조 제1항 각 호의 순서에 맞춰 이 글이 직접 만든 빈칸 양식입니다. 법이 정한 통지문 양식은 조문에서 확인하지 못했습니다. 복사해서 가게 사정에 맞게 채우십시오. 항목이나 경위를 아직 모르면 ‘확인 중’이라고 쓰고 72시간 안에 먼저 보내야 합니다(시행령 제39조 제2항).
[가게 이름] 개인정보 유출 사실 안내
1. 유출등이 된 개인정보의 항목: ____________________
2. 유출등이 된 시점과 경위: ______년 ____월 ____일 ____시경, ____________________ (우리가 알게 된 시각: ____월 ____일 ____시 ____분)
3. 피해를 줄이기 위해 고객님이 할 수 있는 방법: ____________________
4. 가게의 대응조치와 피해 구제절차: ____________________
5. 피해 신고·문의를 받는 담당부서와 연락처: ____________________ (전화 ____________ / 이메일 ____________)
6. 손해배상 청구, 법정손해배상 청구, 분쟁조정 등 고객님의 법적 권리와 행사 방법: ____________________
7. 추가로 확인되는 내용은 확인되는 즉시 다시 알려 드리겠습니다.
다음은 앞의 가상 가게가 작성한 예시입니다. 가게 이름·담당자·전화번호·이메일은 모두 가짜 값이며, 실제 통지에는 가게의 실제 사실만 적어야 합니다.
[예시] ○○반찬 개인정보 유출 사실 안내
1. 유출등이 된 개인정보의 항목: 이름, 휴대전화 번호, 배송 주소(고객 230명). 주민등록번호와 결제 정보는 포함되어 있지 않습니다.
2. 유출등이 된 시점과 경위: 2026년 11월 6일 오후 6시경 직원이 주문 명단 파일을 고객 단체 채팅방에 잘못 올렸습니다. 우리가 알게 된 시각은 같은 날 오후 6시 40분이며, 파일은 오후 7시경 삭제했습니다.
3. 고객님이 할 수 있는 방법: 출처가 불분명한 전화·문자·링크에 응하지 마시고, 배송 관련 연락은 아래 가게 연락처로 확인해 주십시오. 의심스러운 연락을 받으시면 알려 주십시오.
4. 가게의 대응조치와 피해 구제절차: 채팅방 파일을 삭제하고 방에 있던 분들께 삭제와 저장 금지를 요청했습니다. 앞으로 주문 명단은 채팅방에 올리지 않고 접근 권한을 제한하겠습니다. 피해가 생기셨다면 아래 담당자에게 알려 주십시오.
5. 담당부서와 연락처: 고객지원 담당(○○○), 전화 00-0000-0000, 이메일 ○○○@○○○.○○ (평일 9시~18시)
6. 법적 권리와 행사 방법: 개인정보 보호법 제39조에 따른 손해배상 청구, 제39조의2에 따른 법정손해배상 청구(고의 또는 과실로 유출등이 된 경우 300만원 이하의 범위에서 상당한 금액), 제43조에 따른 분쟁조정 신청을 하실 수 있습니다. 구체적인 방법이 궁금하시면 위 연락처로 문의해 주십시오.
7. 추가로 확인되는 내용은 확인되는 즉시 다시 알려 드리겠습니다.
해킹이 의심되지만 누구 정보인지 모를 때의 가능성 통지는 항목 1·2를 ‘유출등의 가능성이 있는 개인정보의 항목’, ‘유출등이 있었을 것으로 의심되는 시점과 경위’로 바꾸고, 3~5호와 ‘유출 여부가 확정되면 추가로 알리겠다’는 문구를 넣습니다(시행령 제39조의2 제2항). 기관에 신고할 때 위원회 신고서에는 고객 통지 여부, 유출 항목과 규모, 시점과 경위, 피해 최소화 조치와 결과, 고객이 할 수 있는 방법과 구제절차, 담당부서와 연락처를 적습니다(위원회 안내, 2026년 10월 21일 확인). 통지문에 적은 내용과 겹치므로 함께 정리해 두면 편합니다.
통지·신고와 함께 해야 할 피해 최소화 조치
알리는 것으로 끝나지 않습니다. 법 제34조 제3항은 회수·삭제 등 피해 확산을 막는 조치를 포함해 피해를 최소화할 대책을 마련하고 필요한 조치를 하라고 정합니다.
- 잘못 보낸 파일·메시지: 받은 사람에게 삭제를 요청하고 삭제 사실을 확인해 기록
- 해킹 의심: 관리자 비밀번호 변경, 접속 차단, 쇼핑몰 호스팅·솔루션 업체에 로그 보존 요청
- 기기 분실: 원격 잠금·초기화, 계정 로그아웃
- 공개된 곳에 노출: 게시물 즉시 삭제. 주민등록번호·계좌번호·카드번호 같은 정보는 애초에 인터넷에 노출되지 않게 해야 합니다(법 제34조의2 제1항)
신고를 받은 보호위원회나 전문기관은 피해 확산 방지와 복구를 위한 기술 지원을 할 수 있습니다(법 제34조 제4항 후단).
위탁 업체에서 유출됐다면 — 수탁자도 같은 의무
택배 대행, 쇼핑몰 솔루션, 고객관리 프로그램 업체처럼 개인정보 처리를 위탁한 곳에서 유출이 생길 수도 있습니다. 법 제26조 제8항은 수탁자에게 제34조를 준용하므로 수탁자도 통지·신고 의무를 집니다. 과태료 조항(제75조 제2항 제17호·제18호)도 이 준용을 명시합니다.
다만 위탁자인 가게도 수탁자를 교육·감독해야 하는 책임이 있습니다. 위탁과 제3자 제공의 차이는 제3자 제공과 처리위탁 차이에서, AI 서비스에 고객 정보를 넣을 때의 위탁 문제는 AI에 고객 개인정보 넣을 때에서 다뤘습니다.
개인정보 유출 과태료 — 통지·신고 누락 각각 3천만원 이하
| 위반 | 과태료 | 근거 |
|---|---|---|
| 고객에게 통지하지 않음(제34조 ①·②) | 3천만원 이하 | 법 제75조 제2항 제17호 |
| 기관에 신고하지 않음(제34조 ④) | 3천만원 이하 | 법 제75조 제2항 제18호 |
유출 자체의 원인이 된 안전조치 의무 위반(제29조)은 별도로 문제가 됩니다. 안전성 확보에 필요한 조치를 하지 않으면 그 자체로 3천만원 이하 과태료 대상입니다(법 제75조 제2항 제5호). 비밀번호 관리, 접근 권한 제한, 접속기록 보관 같은 기본 조치는 평소에 해 두십시오.
유출 과징금 — 과태료와 별개, 매출액 기준 (2026년 9월 11일 시행)
과태료와 별개로, 개인정보보호위원회는 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우 과징금을 부과할 수 있습니다(법 제64조의2 제1항 제9호, 시행 2026. 9. 11., 법률 제21445호). 조문은 ‘부과할 수 있다’로 되어 있어 부과 여부와 금액은 위원회가 판단합니다.
| 구분 | 내용 | 근거 |
|---|---|---|
| 유출등이 된 경우의 기본 상한 | 전체 매출액의 100분의 3 이하. 매출액이 없거나 산정이 곤란하면 20억원 이하 | 법 제64조의2 제1항 제9호 |
| 부과하지 않는 경우 | 유출등이 되지 않도록 제29조의 안전성 확보 조치를 다한 경우 | 같은 호 단서 |
| 상한 100분의 10으로 올라가는 경우 ① | 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 종류의 위반을 다시 한 경우(각각 고의 또는 중대한 과실) | 같은 조 제2항 제1호 |
| 상한 100분의 10으로 올라가는 경우 ② | 고의 또는 중대한 과실로 위반하고 정보주체의 피해 규모가 1천만명 이상인 경우 | 같은 항 제2호 |
| 상한 100분의 10으로 올라가는 경우 ③ | 시정조치 명령(제64조 제1항)을 따르지 않아 유출 위반을 한 경우 | 같은 항 제3호 |
| 부과하지 않을 수 있는 경우 | 과징금을 낼 능력이 객관적으로 없다고 인정되는 경우, 위반의 내용·정도가 경미하거나 산정된 과징금이 소액인 경우 등 | 같은 조 제7항 |
‘매출액의 10%’라는 상한은 위 세 가지 가중 사유에만 해당하고, 기본 상한은 3%입니다. 10%로 올라가는 경우에도 매출액이 없거나 산정이 곤란한 법정 경우의 상한은 50억원입니다(같은 조 제2항 단서). 매출액은 위반행위와 관련이 없는 매출을 뺀 금액을 기준으로 산정합니다(법 제64조의2 제3항). 부과할 때는 안전성 확보 조치를 이행하려고 노력했는지, 피해 회복과 확산 방지 조치를 했는지, 업무 형태와 규모, 위원회와 협조했는지 등을 따집니다(같은 조 제5항). 산정기준과 절차는 시행령 제60조의2 제7항이 별표 1의5로 정하는데, 별표 원문은 확인하지 못했으니 구체적인 금액 계산은 이 글에서 다루지 않습니다. 과징금을 부과받으면 통지받은 날부터 30일 이내에 내야 합니다(시행령 제60조의3 제2항).
위탁 업체(수탁자)에도 제64조의2가 준용되고(법 제26조 제8항), 수탁자 교육·감독을 소홀히 해 수탁자가 법을 어긴 위탁자도 과징금 대상에 들어갑니다(법 제64조의2 제1항 제5호, 제26조 제4항). 소상공인에게 실제로 이 상한이 적용되는지는 사안마다 다르므로 이 글은 기준만 정리합니다. 안전성 확보 조치를 평소에 해 두는 것이 과태료와 과징금 양쪽에서 중요한 이유입니다.
개인정보 유출 대응 체크리스트
- 알게 된 시각을 기록한다. 72시간은 이 시각부터 센다
- 확산부터 막는다. 삭제 요청, 비밀번호 변경, 접속 차단
- 고객에게 72시간 안에 문자·이메일로 알린다. 모르는 부분은 먼저 알리고 나중에 보탠다
- 신고 대상인지 본다. 1천명 이상, 주민번호 같은 고유식별정보·건강 같은 민감정보, 해킹
- 대상이면 보호위원회나 KISA에 72시간 안에 신고한다
- 연락처를 모르는 고객은 홈페이지(없으면 가게)에 30일 이상 게시한다
- 대응 과정을 모두 기록한다. 시각, 조치, 통지 내용
자주 묻는 질문 (FAQ)
손님 10명 연락처가 새 나갔는데도 알려야 하나요?
알려야 합니다. 고객 통지(법 제34조 제1항)는 인원 기준이 없습니다. 1천명 기준은 기관 신고(시행령 제40조 제1항 제1호)에만 있는 조건입니다.
고객에게 따로 연락하지 않고 홈페이지나 SNS에 사과문만 올려도 되나요?
원칙은 서면등의 방법(문자·이메일 등)으로 각 고객에게 알리는 것입니다(시행령 제39조 제1항). 홈페이지·사업장 게시로 통지를 대신할 수 있는 것은 연락처를 알 수 없는 경우 등 정당한 사유가 있을 때이며, 이 경우에도 30일 이상 게시해야 합니다(같은 조 제3항). 연락처를 아는 고객에게는 개별 통지를 하십시오.
유출 내용이나 인원을 아직 다 모르는데 72시간이 다 되어 갑니다.
기다리지 말고 먼저 알리십시오. 항목이나 경위를 확인하지 못했더라도 유출등이 된 사실과 그때까지 확인된 내용, 고객이 할 수 있는 조치·가게의 대응·연락처·법적 권리를 우선 통지하고, 추가로 확인되는 내용은 확인되는 즉시 다시 알려야 합니다(시행령 제39조 제2항). 기관 신고도 같은 방식입니다(시행령 제40조 제2항).
72시간은 언제부터 세나요?
개인정보가 유출등이 되었음을 알게 된 때부터입니다(시행령 제39조 제1항, 제40조 제1항). 유출이 일어난 시점이 아니라 가게가 알게 된 시점이므로, 알게 된 시각을 기록해 두십시오. 시 단위 기간이라 알게 된 시각에 72시간을 더한 시각이 마감입니다(예: 금요일 18시 40분에 알았다면 월요일 18시 40분, 위 달력 참고).
주말이나 연휴에 알게 되면 72시간이 늘어나나요?
시행령은 72시간을 정하고 있고 주말·휴일을 빼는 규정은 두지 않았습니다. 늦출 수 있는 경우는 긴급한 확산 방지 조치가 필요하거나 천재지변 등 부득이한 사유가 있을 때이며, 이때도 사유가 해소되면 즉시 알려야 합니다(시행령 제39조 제1항 단서).
고객 연락처를 몰라서 통지할 수 없으면요?
홈페이지에 통지 내용을 30일 이상 게시해 통지를 대신할 수 있습니다. 홈페이지가 없으면 사업장의 보기 쉬운 곳에 30일 이상 게시합니다(시행령 제39조 제3항).
어디에 신고하나요?
개인정보보호위원회 또는 한국인터넷진흥원입니다(법 제34조 제4항, 시행령 제40조 제3항). 서면등의 방법으로 72시간 이내에 합니다.
해킹이 의심되지만 실제로 빠져나갔는지 모르겠습니다.
2026년 9월 11일부터는 불법 접근으로 유출이 의심되지만 누구 정보인지 특정하기 어려운 경우, 불법 접근을 알게 된 때부터 72시간 이내에 유출 가능성을 알려야 합니다(법 제34조 제2항, 시행령 제39조의2·제39조의3). 나중에 유출이 아니었던 것으로 확인되면 그 사실도 즉시 알립니다.
택배 대행업체에서 유출됐는데 가게도 책임이 있나요?
수탁자도 제34조의 통지·신고 의무를 집니다(법 제26조 제8항). 다만 가게는 위탁자로서 수탁자를 교육·감독할 책임이 있으므로, 업체와 함께 대응 상황을 확인하고 고객 문의에 답할 준비를 하십시오.
통지나 신고를 늦게 하면 과태료가 얼마인가요?
고객 통지를 하지 않으면 3천만원 이하(법 제75조 제2항 제17호), 기관 신고를 하지 않으면 3천만원 이하(같은 항 제18호)의 과태료 대상입니다.
근거 법령·자료
법령 이름을 누르면 국가법령정보센터 원문으로 이동합니다.
- 개인정보 보호법 [시행 2026. 9. 11., 법률 제21445호] 제23조, 제26조, 제29조, 제34조, 제34조의2, 제39조, 제39조의2, 제43조, 제64조의2, 제75조
- 개인정보 보호법 시행령 [시행 2026. 9. 11., 대통령령 제36671호] 제17조, 제19조, 제39조, 제39조의2, 제39조의3, 제40조, 제60조의2, 제60조의3
- 민법 [시행 2026. 3. 17., 법률 제21454호] 제156조
- 개인정보보호위원회 개인정보 유출신고 안내 (2026. 10. 21. 확인)
※ 2026년 10월 21일 기준 국가법령정보센터의 법령 원문을 바탕으로 정리했습니다. 2026년 9월 11일 시행된 개정 내용을 반영했으며, 실제 유출 사고에서는 경위와 규모에 따라 판단이 달라지므로 개인정보보호위원회나 한국인터넷진흥원에 문의하시기 바랍니다.
답글 남기기