个人信息泄露的通知与申报是两项义务，期限都是72小时

本文面向在韩国处理客户、用户或员工个人信息的公司，特别是外商投资企业及其人事、IT负责人。个人信息泄露时，法律分别规定了两项义务：通知受影响的本人，以及在特定情况下向监管机构申报。两者的期限都是72小时，但触发条件不同。

不是一项义务，而是两项

泄露事故中最常见的误解，是以为一次处理就够了。《个人信息保护法》（개인정보 보호법）第34条把对信息主体（정보주체，即该信息所指向的本人）的通知（第1款）和向个人信息保护委员会（개인정보 보호위원회，以下简称“保护委员会”）或专门机构的申报（第3款）分开规定。施行令（시행령）第39条和第40条分别规定了各自的期限。

起算点不是事故发生之时，而是知悉之时。条文的表述是知悉个人信息发生丢失、被盗、泄露（以下称“泄露等”，유출등）之时。因此，把认知时点定在何时，就是期限计算的出发点。

还需要申报的情形

施行令第40条第1款将申报对象限定为三种：

1. 涉及1,000名以上信息主体的个人信息发生泄露等
2. 敏感信息（민감정보）或固有识别信息（고유식별정보）发生泄露等
3. 因外部对个人信息处理系统（개인정보처리시스템），或对个人信息经办人员（개인정보취급자）处理个人信息所用信息设备的非法访问，导致个人信息发生泄露等

第三种范围很广。因黑客攻击、恶意代码、账号被盗造成的泄露，不论人数多少都要申报。反过来，如果负责人把邮件发错收件人，导致50人的信息外泄，只要不含敏感信息或固有识别信息，就不属于申报对象，只需通知。

必须告知的五项内容

法第34条第1款各项是通知和申报的共同内容：

• 发生泄露等的个人信息项目
• 发生泄露等的时间及经过
• 为尽量减少泄露等可能造成的损害，信息主体可以采取的方法等信息
• 个人信息处理者（개인정보처리자）的应对措施及损害救济程序
• 信息主体受到损害时可受理申报等的负责部门及联系方式

实际上，大多数情况下无法在72小时内查清全部项目和经过。施行令第39条第2款和第40条第2款规定了结构相同的例外：如果尚未确认第1项或第2项的具体内容，应先通知或申报泄露的事实、截至当时已确认的内容以及第3项至第5项的事项；之后每确认一项新内容，立即补充通知或申报。不能等到调查结束再处理。

可以超过72小时的情形

通知方面的例外有两种，规定在施行令第39条第1款但书中：

• 为防止扩散和进一步泄露等，需要采取切断访问路径、检查和修补漏洞、回收和删除已泄露个人信息等紧急措施的
• 因自然灾害或其他不得已的事由，难以在72小时内通知的

此时，在该事由消除后立即通知即可。申报方面，施行令第40条第1款但书只把自然灾害或其他不得已的事由列为例外，但另开了一扇门：如果已查明泄露路径，并通过回收、删除相关个人信息等措施，使侵害信息主体权益的可能性显著降低，可以不申报。

无法获知联系方式时，也有替代办法。根据施行令第39条第3款，可以在网站上公告30日以上来代替通知；不运营网站的，在营业场所等显眼位置张贴30日以上。

事先确定认知时点

72小时从知悉之时起算，所以在实务中，确定这个时点本身就是期限管理。日志记录异常访问的时刻、负责人查看该日志的时刻、安全团队判断为泄露的时刻，可能各不相同。

如果不事先定好标准，事后就会为以哪个时点为认知时点而发生争议。应在事故应对流程中指定有权判断认知的人和判断记录表格，并以该人作出判断的日期和时间作为认知时刻。如果判断有所延迟，也要一并记录原因。

日常管理体系另请参阅个人信息销毁确认书和回复个人信息受托方检查。

检查清单：认知后72小时

• 以日期和时间为单位记录认知时点。
• 初步统计泄露的项目和估计人数。
• 确认是否包含敏感信息或固有识别信息。
• 判断原因是否为外部非法访问。
• 以上三项中只要有一项符合，就同时启动申报流程。
• 先采取切断访问路径、修补漏洞等紧急措施（法第34条第2款）。
• 如因紧急措施导致通知延迟，记录其原因。
• 确认能否取得信息主体的联系方式。
• 不知道联系方式的，准备网站公告30日的方案。
• 尚未确定第1项、第2项的，先用其余事项进行通知和申报。
• 向保护委员会或韩国互联网振兴院申报。
• 一旦有新的确认事项，立即补充通知和申报。
• 如果通过回收、删除使侵害可能性显著降低，以书面形式留存依据。
• 在通知中具体写明应对措施和损害救济程序。
• 按时间顺序记录整个应对过程。