개인정보 유출 통지·신고
개념
- 개인정보 유출 발생 시 개인정보처리자는 정보주체에게 72시간 이내 통지하고, 일정 기준 이상의 유출은 개인정보보호위원회 또는 KISA에 신고해야 한다.
법령 참조
- 개인정보 보호법 제34조(개인정보 유출 등의 통지·신고)
주요내용
- 정보주체 통지 기한: 72시간 이내 (공휴일·주말 포함).
- 통지 내용: 유출된 항목, 유출 시점·경위, 피해 최소화 방법, 처리자 대응조치, 담당부서·연락처.
- 신고 대상 유출 4가지: ①1천 명 이상 ②민감정보·고유식별정보 유출 ③해킹·악성프로그램 등에 의한 유출.
- 신고 기관: 개인정보보호위원회 또는 KISA(한국인터넷진흥원).
- 신고 기한: 72시간 이내.
- 개인정보 보호법과 신용정보법 비교
결함 사례
- 유출 인지 후 72시간이 넘어 정보주체에게 통지한 경우.
- 100건 미만이라는 이유로 신고 대상이 아니라고 판단하였으나 민감정보가 포함된 경우.
- 주말·공휴일이 포함되어 있다는 이유로 72시간 산정에서 제외한 경우.
참고
- 이전 규정(2023년 개정 전)은 '5일 이내'였으나 72시간으로 강화.
- 긴급한 조치가 필요한 경우 또는 천재지변이나 그 밖에 부득이한 사유엔 해당 사유가 해소된 후 지체없이 정보주체에게 알릴 수 있음.
- 개인정보 유출 등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있음.
- 정보주체의 연락처를 알 수 없는 경우 자신의 인터넷 홈페이지에 30일 이상 게시.
다만, 인터넷 홈페이지를 운영하지 아니 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시.
정리
- 72시간 기산: 처리자가 유출 사실을 알게 된 시점부터 기산.
- 공휴일도 72시간에 포함 — '영업일 기준'이 아님.