법인 개인정보 유출 사고는 사실을 안 때부터 72시간 이내 정보주체 통지 + 개인정보보호위원회 신고 병행이 원칙 — 개인정보보호법 제34조

법인에서 발생하는 개인정보 유출은 대부분 5가지 유형 중 하나에 해당한다.

첫째 해킹·랜섬웨어 공격이다. 외부 침입자가 서버·데이터베이스에 무단 접근해 회원 정보·결제 정보·거래 기록을 대량 유출하거나 암호화한다. 최근 대규모 유출 사고의 상당수가 해킹에 기인한다.

둘째 내부 직원 유출이다. 재직 중 또는 퇴사 전후 직원이 고객 명단·매출 데이터·인사 자료를 개인 저장매체·이메일·클라우드로 반출한다. 접근 권한 관리가 느슨하거나 퇴사자 계정 정리가 늦으면 발생 빈도가 급격히 높아진다.

셋째 협력업체·수탁자 관리 소홀이다. 개인정보 처리를 위탁받은 협력사(콜센터·물류·마케팅 대행)에서 유출이 발생하면 위탁자 법인도 개인정보보호법 제26조 관리·감독 의무 위반으로 함께 책임을 진다.

넷째 실수·과실이다. 대량 이메일 발송 시 참조(CC)로 수신자 이메일이 전원 노출되는 경우, 게시판에 첨부파일이 잘못 공개되는 경우, USB·노트북 분실 등이 여기에 해당한다.

다섯째 계정 정보 탈취(피싱·자격증명 스터핑)다. 임직원 계정이 피싱으로 탈취되거나 다른 사이트에서 유출된 비밀번호가 재사용돼 내부 시스템 접근이 뚫린다.

어떤 유형이든 유출 사실을 인지한 순간 3가지 법적 리스크가 동시에 시작된다. 첫째 개인정보보호법 제34조에 따른 통지·신고 의무가 즉시 개시되며 72시간 카운트다운이 진행된다. 둘째 위반 관련 매출액 3% 이하 과징금과 최대 5년 이하 징역 형사처벌 리스크다. 셋째 정보주체의 손해배상 소송 리스크로, 실손해 입증이 없어도 법정 손해배상 최대 300만원(제39조의2)이 인정될 수 있다. 통지·신고를 신속하고 정확하게 이행하는 것이 이 3가지 리스크를 최소화하는 최우선 대응이다.

유출 사고 발생 시 법인이 부담하는 의무는 3가지로 구분된다.

의무 1은 정보주체 개별 통지다(제34조 제1항). 유출된 개인정보의 정보주체 전원에게 사실을 안 때부터 72시간 이내에 통지해야 한다. 통지 방법은 서면·전자우편·SMS·팩스·홈페이지 게시 중 신속하게 도달할 수 있는 방법을 선택한다. 통지에 포함할 5가지 필수 항목은 유출된 개인정보 항목, 유출된 시점과 그 경위, 유출로 인한 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 법인의 대응 조치와 피해 구제절차, 정보주체가 상담을 신청할 수 있는 담당부서와 연락처다. 연락처가 확인되지 않는 정보주체는 홈페이지 30일 이상 게시로 갈음할 수 있다.

의무 2는 개인정보보호위원회·KISA 신고다(제34조 제3항·시행령 제40조). 다음 3가지 기준 중 하나 이상에 해당하면 72시간 이내 신고 의무가 발생한다. 첫째 유출 정보주체 수가 1천명 이상인 경우. 둘째 민감정보 또는 고유식별정보가 유출된 경우. 셋째 외부로부터의 불법적인 접근(해킹·랜섬웨어)으로 유출된 경우. 신고는 개인정보보호포털 온라인 신고 시스템 또는 KISA 인터넷침해대응센터(118)를 통해 접수한다.

의무 3은 재발방지 대책 수립 및 시행이다(제34조 제2항·제29조). 유출 원인 분석·안전조치 강화·문서화·직원 교육 재실시를 포함한 재발방지 대책을 지체 없이 수립·시행해야 한다. 시행령 제30조 안전성 확보조치 기준 미준수가 유출 원인이었다면 그 자체로 별도 위반이 성립하므로 재발방지 대책 이행이 향후 조사·과징금 감경의 핵심 요소가 된다(출처: law.go.kr 개인정보보호법 제29조·제34조·시행령 제30조·제40조).

실무에서 유출 사고 대응은 5단계 순서로 진행한다.

1단계 인지·규모 파악(0~24시간)에서는 신고 또는 시스템 이상 징후를 확인한 즉시 IT·보안·법무·CPO를 소집해 유출 사실·경위·정보주체 수를 확인한다. 로그·서버 스냅샷·접근 기록은 원본을 훼손하지 않고 별도 매체에 복사·봉인해 증거로 보존한다. 이 단계에서 확보한 초기 정보가 이후 통지 내용·신고 서류의 기준이 된다.

2단계 정보주체 통지(72시간 이내)에서는 필수 5개 항목을 포함한 통지문을 작성해 서면·전자우편·SMS·홈페이지 등으로 발송한다. 통지 발송 대상 명단, 발송 시각, 도달 확인 여부를 리스트업 해서 향후 규제기관 조사 대응 자료로 관리한다.

3단계 개인정보보호위원회·KISA 신고(72시간 이내)에서는 신고 대상 기준(1천명 이상·민감정보·외부 불법접근) 해당 시 개인정보보호포털에서 온라인 신고서를 작성해 접수한다. 신고 접수번호는 이후 조사·과징금 절차에서 인용되는 공식 식별자다.

4단계 재발방지 대책 수립·시행에서는 원인 분석 결과에 기반해 관리적·기술적·물리적 대책 3영역을 동시에 강화한다. 접근 권한 재설정·암호화 강화·서버실 출입통제·직원 재교육이 대표 조치다. 신속 착수를 원칙으로 하되 30일 내 완료를 실무 기준으로 관리한다.

5단계 손해배상·과징금 대응(수개월~1년)에서는 정보주체 손해배상 청구가 접수되거나 개인정보보호위원회 조사가 개시되면 사고 발생 시점의 안전조치 이행 상태·통지 신속성·재발방지 대책의 적정성을 입증할 자료가 방어의 핵심이 된다. 관련 문서·로그·교육 기록·신고 접수 사실을 시계열로 정리해 최소 5년간 보존한다. 정확한 절차는 개인정보 분야 전문 법무사·변호사 자문을 병행하는 것이 안전하다.

개인정보 유출 사고에 대한 제재는 3가지 축으로 병과된다.

첫째 과징금이다. 개인정보보호법 제64조의2에 따라 유출·안전조치 미준수 등 위반 행위에 대해 위반 관련 매출액의 3% 이하 과징금이 부과될 수 있다. 위반 관련 매출액 산정이 어려운 경우 20억원 이하의 정액 과징금 부과가 가능하다. 예를 들어 법인 연매출 100억원 중 위반 관련 매출액이 50억원이면 이론적 과징금 상한은 약 1억 5천만원 수준이다. 감경 요소는 재발방지 대책 신속 이행·조사 협조·자진 신고·피해 최소화 노력이며, 가중 요소는 반복 위반·조사 방해·안전조치 의도적 미준수다.

둘째 형사처벌이다. 개인정보를 취급하는 자가 안전조치를 취하지 않아 개인정보를 분실·도난·유출·위조·변조 또는 훼손당한 경우 최대 5년 이하의 징역 또는 5천만원 이하의 벌금이 부과될 수 있다(개인정보보호법 제73조·제74조). 법인은 양벌규정에 따라 함께 처벌되며 대표이사 및 관계자 개인의 형사책임이 별도 인정될 수 있다.

셋째 손해배상이다. 정보주체는 유출로 인한 정신적·재산적 손해에 대해 민사 손해배상을 청구할 수 있다(제39조). 실손해를 구체적으로 입증하지 못하는 경우에도 법원이 300만원 이하의 법정 손해배상을 명할 수 있다(제39조의2). 대규모 유출 사고에서는 집단소송·공동소송으로 손해배상 규모가 억 단위로 확대된 사례도 여러 건 있다(출처: law.go.kr 개인정보보호법 제64조의2·제73조·제39조의2).

유출 원인 분석 후 재발방지를 위해 반드시 검토해야 할 5가지 조치를 정리한다.

1. 접근 권한 최소화·주기적 재검토. 개인정보에 접근 가능한 임직원 계정을 업무 필요 최소 범위로 재조정하고 분기 또는 반기 단위로 권한 재검토를 실시한다. 퇴사자 계정은 퇴사일 즉시 삭제·잠금 처리한다.

2. 저장·전송 구간 암호화. 주민등록번호·계좌번호·비밀번호·바이오정보·고유식별정보는 개인정보보호법 시행령 제30조 및 개인정보 안전성 확보조치 기준 고시에 따라 저장 시 암호화가 의무다. 전송 구간은 TLS 또는 동등 이상의 암호 프로토콜을 사용해 스니핑 위험을 차단한다.

3. 침입탐지·접속기록 통합 관리. 개인정보처리시스템의 접속 기록을 최소 1년(고유식별정보·민감정보 처리 시 2년) 보관하고, 침입탐지시스템(IDS·IPS)·이상행위 탐지 솔루션을 도입해 실시간 알람 체계를 구축한다.

4. 위탁·수탁자 관리·감독. 개인정보 처리를 위탁하는 협력사와 위탁계약서를 체결하고 최소 연 1회 이상 위탁사무 처리 현황을 점검한다. 계약서에는 안전조치·재위탁 제한·유출 시 즉시 통지 의무 조항이 포함돼야 한다(개인정보보호법 제26조).

5. 정기 교육·모의훈련. 개인정보 처리자·취급자 전원에게 최소 연 1회 이상 개인정보보호 교육을 실시하고 이수 기록을 3년 이상 보관한다. 피싱 메일 모의훈련·유출 사고 대응 시뮬레이션을 반기 단위로 실시해 실전 대응력을 유지한다. 재발방지 대책은 이행 결과를 문서로 남기고 최소 5년간 보관해 향후 조사·감경 심사 시 근거로 활용한다.

실제 사고 대응 성공·실패 사례를 통해 방어 포인트를 정리한다.

사례 1 방어 성공. 회원 5만명 규모 이커머스 법인이 SQL 인젝션 공격으로 회원 이메일·해시 비밀번호가 유출됐다. 인지 후 12시간 내 CPO·IT·법무 회의를 소집해 30시간 내 정보주체 전원 이메일·SMS 통지를 완료했고 48시간 내 개인정보보호포털에 신고를 접수했다. 사고 후 즉시 웹방화벽 강화·비밀번호 강제 재설정·직원 재교육을 이행해 재발방지 대책을 문서화했다. 개인정보보호위원회 조사에서 신속 통지·자진 신고·재발방지 성실 이행이 감경 요소로 인정돼 과징금이 부과 가능 수준의 하한선에서 결정됐다.

사례 2 방어 실패. 회원 20만명 규모 온라인 서비스 법인이 내부 개발자의 데이터 무단 다운로드로 회원 정보 상당량이 유출됐다. 초기 유출 사실을 20일간 인지하지 못했고 인지 후에도 통지·신고가 각각 10일·15일 지연됐다. 개인정보보호위원회 조사에서 안전조치 미준수(로그 모니터링 부재·접근 권한 관리 소홀)와 통지·신고 지연이 모두 인정돼 위반 관련 매출액 기준 과징금 상한 근처에서 부과됐고 대표이사·CTO에게 별도 형사책임이 인정됐다.

두 사례의 결정적 차이는 인지 후 72시간 이내 통지·신고 이행 여부, 그리고 사고 이전 안전조치 이행 문서화 여부다. 통지·신고 신속성은 사후 조치이지만 과징금 감경의 결정적 요소이고, 안전조치 이행 문서화는 사전 조치이지만 형사책임 방어의 핵심 근거가 된다.

코워크시티 법인설립지원센터는 법인설립 이후 개인정보처리방침 작성·정관 컴플라이언스 조항·개인정보 관리 체계 구축 자문을 위한 제휴 법무사·세무사 상담을 받을 수 있다. 관련 서식은 /templates 페이지에서, 자주 묻는 질문은 /qa 페이지에서 확인할 수 있으며 개별 상담은 /apply 에서 신청할 수 있다. 특히 이커머스·SaaS·헬스케어·교육 등 개인정보 처리량이 많은 업종은 법인설립 초기부터 개인정보처리방침·안전조치 표준을 갖춰 두는 것이 향후 사고 대응 비용을 크게 절감하는 방법이다.