개인정보 유출 사고가 났어요. 사업자로서 뭐부터 해야 하나요?

유출 인지 즉시 정보주체 통지와 피해 최소화 조치를 취해야 하며, 유출 규모나 유형에 따라 개인정보보호위원회 신고 의무도 추가로 발생합니다. 통지와 신고 모두 인지 시점부터 72시간 이내가 원칙입니다.

통지 의무와 신고 의무는 요건이 다릅니다

피해 최소화 조치는 신고 대상 여부와 무관합니다

접속경로 차단, 취약점 점검·보완, 유출된 개인정보 삭제 등 확산 방지 조치는 유출 규모나 신고 의무 발생 여부와 관계없이 모든 사고에 적용되는 별도 의무입니다.

-개인정보 보호법 제34조제2항

손해배상 리스크는 통지·신고 이행과 별개로 발생합니다

고의 또는 중대한 과실이 인정되면 법원은 실손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다.

-제39조제3항

실손해 입증이 어려운 피해자는 300만 원 이하 범위에서 법정손해배상을 청구할 수도 있습니다.

-제39조의2제1항

💡 2026년 9월 11일부터 개정 개인정보 보호법이 시행됩니다.

유출 가능성 단계에서도 통지·신고 의무가 발생하고, 반복·중대 위반에 대한 과징금 상한이 전체 매출액의 10%까지 상향됩니다. 대응 체계를 정비할 때 개정 내용을 함께 검토해야 합니다.

실제 사례로 보는 리스크 수준

• 2024년 골프존은 랜섬웨어 공격으로 221만 명의 개인정보가 유출돼 안전조치 의무 위반으로 과징금 75억 400만 원을 부과받았습니다.

• 2023년 LG유플러스는 안전조치의무 위반 등을 이유로 68억 원을 부과받은 바 있습니다. 유출 규모와 안전조치 이행 여부가 과징금 산정에 직접 영향을 미칩니다.

통지·신고까지는 자체 대응이 가능하지만, 신고 대상 해당 여부 판단이 모호하거나 피해자의 손해배상 청구가 예상되는 경우에는 초기 단계부터 변호사 상담을 받는 것이 안전합니다.