개인정보 유출, 통지와 신고는 별개이고 둘 다 72시간 안에 합니다

이 글은 고객·이용자·직원의 개인정보를 다루는 한국 내 회사, 특히 외국인투자기업과 그 인사·IT 담당자를 위한 안내입니다. 개인정보가 유출되면 법은 두 가지 의무를 따로 둡니다. 정보주체에게 알리는 통지와, 일정한 경우 감독기관에 하는 신고입니다. 둘 다 72시간 안에 해야 하지만 발동 조건이 다릅니다.

의무는 하나가 아니라 둘입니다

유출 사고에서 가장 흔한 오해는 하나로 처리하면 된다는 생각입니다. 개인정보 보호법 제34조는 정보주체(그 정보가 가리키는 본인)에 대한 통지(제1항)와 보호위원회(개인정보 보호위원회) 또는 전문기관에 대한 신고(제3항)를 나눠서 규정합니다. 시행령 제39조와 제40조가 각각의 기한을 따로 정합니다.

기산점은 사고가 난 때가 아니라 알게 된 때입니다. 조문은 분실·도난·유출(이하 "유출등")되었음을 알게 되었을 때라고 적고 있습니다. 그래서 인지 시점을 언제로 잡았는지가 기한 계산의 출발점이 됩니다.

신고까지 해야 하는 경우

시행령 제40조 제1항은 신고 대상을 세 가지로 한정합니다.

1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
2. 민감정보 또는 고유식별정보가 유출등이 된 경우
3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우

세 번째가 넓습니다. 해킹·악성코드·계정 탈취로 인한 유출은 인원 수와 관계없이 신고 대상입니다. 반대로 담당자가 이메일 수신자를 잘못 지정해 50명분이 나간 사고는 민감정보·고유식별정보가 아니라면 신고 대상이 아닙니다. 통지만 하면 됩니다.

알려야 하는 다섯 가지

법 제34조 제1항 각 호는 통지와 신고에 공통으로 적용됩니다.

• 유출등이 된 개인정보의 항목
• 유출등이 된 시점과 그 경위
• 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보
• 개인정보처리자의 대응조치 및 피해 구제절차
• 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

실제로는 72시간 안에 항목과 경위를 다 파악하지 못하는 경우가 대부분입니다. 시행령 제39조 제2항과 제40조 제2항이 같은 구조의 예외를 둡니다. 제1호 또는 제2호의 구체적 내용을 확인하지 못했다면 유출된 사실, 그때까지 확인된 내용, 제3호부터 제5호까지의 사항을 먼저 통지·신고합니다. 추가로 확인되는 내용은 확인되는 즉시 통지·신고합니다. 조사가 끝날 때까지 기다리는 선택지는 없습니다.

72시간을 넘겨도 되는 경우

통지 쪽 예외는 시행령 제39조 제1항 단서에 두 가지가 있습니다.

• 확산 및 추가 유출등을 방지하기 위하여 접속경로 차단, 취약점 점검·보완, 유출된 개인정보의 회수·삭제 등 긴급한 조치가 필요한 경우
• 천재지변이나 그 밖에 부득이한 사유로 72시간 이내에 통지하기 곤란한 경우

이 경우 해당 사유가 해소된 뒤 지체 없이 알리면 됩니다. 신고 쪽은 시행령 제40조 제1항 단서가 천재지변이나 그 밖에 부득이한 사유만 예외로 둡니다. 대신 다른 문을 하나 엽니다. 유출 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아졌다면 신고하지 않을 수 있습니다.

연락처를 알 수 없을 때의 대체 수단도 있습니다. 시행령 제39조 제3항에 따라 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있습니다. 홈페이지를 운영하지 않으면 사업장등의 보기 쉬운 장소에 30일 이상 게시합니다.

인지 시점을 미리 정해 둡니다

72시간의 기산점이 알게 된 때이므로, 실무에서는 이 시점을 특정하는 일이 곧 기한 관리입니다. 로그에 이상 접근이 찍힌 시각, 담당자가 그 로그를 확인한 시각, 보안팀이 유출로 판단한 시각이 각각 다를 수 있습니다.

기준을 미리 정해 두지 않으면 나중에 어느 시점을 인지로 볼지를 놓고 다투게 됩니다. 사고 대응 절차서에 인지 판단 권한을 가진 사람과 판단 기록 양식을 정해 둡니다. 그 사람이 판단한 일시를 인지 시각으로 씁니다. 판단이 늦어진 사정이 있다면 그 사정도 함께 기록합니다.

평소 관리 체계는 개인정보 파기 확인서와 개인정보 수탁사 점검 대응도 함께 보십시오.

체크리스트: 인지 후 72시간

• 인지 시점을 일시 단위로 기록합니다.
• 유출된 항목과 추정 인원을 1차 집계합니다.
• 민감정보·고유식별정보 포함 여부를 확인합니다.
• 외부로부터의 불법적 접근이 원인인지 판단합니다.
• 위 셋 중 하나라도 해당하면 신고 트랙을 동시에 엽니다.
• 접속경로 차단·취약점 보완 등 긴급조치를 먼저 수행합니다(법 제34조 제2항).
• 긴급조치 때문에 통지가 늦어지면 그 사유를 기록합니다.
• 정보주체 연락처를 확보할 수 있는지 확인합니다.
• 연락처를 모르면 홈페이지 30일 게시 경로를 준비합니다.
• 제1호·제2호를 확정하지 못했으면 나머지 항목으로 우선 통지·신고합니다.
• 신고는 보호위원회 또는 한국인터넷진흥원에 합니다.
• 추가 확인 사항이 나오면 즉시 보완 통지·신고합니다.
• 회수·삭제로 침해 가능성이 현저히 낮아졌다면 그 근거를 문서로 남깁니다.
• 대응조치와 피해 구제절차를 통지문에 구체적으로 적습니다.
• 전 과정을 시간 순 대응 기록으로 남깁니다.