법이 정한 의무, 통지와 신고
1. 법이 정한 의무, 통지와 신고
1.1 어떤 상황이 유출인가
개인정보보호법에서 유출은 법령이나 개인정보처리자의 관리 범위를 벗어나 개인정보가 외부에 알려지거나 알려질 수 있는 상태가 된 것을 말합니다. 해킹처럼 극적인 장면만 유출이 아닙니다. 담당자가 메일을 잘못 보낸 것도, 파일을 잘못 공개한 것도 유출입니다.
그럼 AI 대화창에 개인정보를 입력한 경우는 어떨까요. 일률적인 답은 없고, 상황을 따져야 합니다.
- 회사가 계약한 기업용 환경에, 회사가 정한 절차 안에서 입력한 경우: 회사의 관리 범위 안에서 이루어진 처리로 볼 여지가 큽니다. 다만 이 경우에도 위탁·국외 이전 요건을 갖췄는지는 별도의 문제입니다.
- 직원이 개인 계정에, 회사 승인 없이 고객 개인정보를 입력한 경우: 회사의 관리·통제 범위를 벗어나 제3자(AI 회사)에게 개인정보가 전달된 상황입니다. 유출에 해당할 수 있다고 보고 대응 절차를 시작하는 것이 안전합니다.
핵심은 "유출인지 아닌지 애매하니 기다려 보자"가 금물이라는 점입니다. 법이 정한 시계는 사고를 알게 된 순간부터 돌아가기 시작하고, 판단이 애매할수록 초기에 법무·보호책임자를 불러 유출 여부부터 공식적으로 판단해야 합니다.
1.2 72시간, 두 개의 의무
유출로 판단되면 회사에는 두 가지 의무가 생깁니다. 통지와 신고입니다. 둘 다 기한이 원칙적으로 72시간입니다. 2023년 법 개정으로 기한이 대폭 짧아졌고, 주말과 휴일도 시계는 멈추지 않습니다.
통지, 정보주체에게 알리기: 개인정보가 유출된 당사자에게 알립니다. 유출을 알게 된 때부터 72시간 이내가 원칙입니다. 통지에 반드시 담아야 하는 내용은 다음 다섯 가지입니다.
- 유출된 개인정보의 항목
- 유출된 시점과 경위
- 정보주체가 피해를 최소화하기 위해 할 수 있는 방법
- 회사의 대응 조치와 피해 구제 절차
- 피해 신고·상담을 접수할 담당 부서와 연락처
경위가 아직 다 파악되지 않았어도 확인된 내용부터 먼저 알리고, 나중에 추가로 알리는 방식이 허용됩니다. "조사가 끝나면 알리겠다"며 72시간을 넘기는 것이 최악의 선택입니다.
신고, 감독기관에 알리기: 다음 세 경우 중 하나에 해당하면 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 72시간 이내에 신고해야 합니다.
- 1천 명 이상의 정보주체에 관한 개인정보가 유출된 경우
- 민감정보 또는 고유식별정보가 유출된 경우(건수 무관)
- 해킹 등 외부에서의 불법적인 접근에 의해 유출된 경우
두 번째 항목을 다시 보세요. 민감정보나 고유식별정보는 단 1건이어도 신고 대상입니다. 고객 한 명의 건강 정보가 담긴 상담 기록을 AI에 입력한 사고도 신고 의무를 검토해야 하는 사안이 될 수 있다는 뜻입니다.
1.3 신고는 어디에 하는가
| 용도 | 창구 |
|---|---|
| 유출 신고 | 개인정보보호위원회 또는 한국인터넷진흥원(KISA). 개인정보 포털(privacy.go.kr)을 통해 온라인 신고 가능 |
| 침해 상담·신고 | KISA 개인정보침해 신고센터(privacy.kisa.or.kr), 국번 없이 118 |
사고가 나기 전에 이 표를 사내 대응 문서에 미리 적어 두세요. 사고 당일에 "어디에 신고하는 거지"부터 검색하는 회사와, 연락처가 적힌 문서를 꺼내는 회사의 72시간은 완전히 다르게 흘러갑니다.
1.4 지키지 않으면 어떻게 되는가
의무를 어겼을 때의 제재를 알아야 대응의 우선순위가 잡힙니다.
- 과징금: 개인정보 보호 의무를 중대하게 위반한 경우 전체 매출액의 3% 이하 범위에서 과징금이 부과될 수 있습니다. 2023년 개정에서 산정 기준이 위반 관련 매출이 아닌 전체 매출 기준으로 바뀌어 상한이 크게 올라갔습니다.
- 과태료: 통지·신고 의무를 이행하지 않는 것 자체에 과태료가 부과됩니다. 유출 사고에 더해 대응 실패가 별도의 제재를 얹는 구조입니다.
- 형사처벌: 개인정보를 부정한 방법으로 제공하거나 누설하는 등의 행위는 징역·벌금형의 대상입니다.
- 민사배상: 피해자는 손해를 입증해 배상을 청구할 수 있고, 구체적 손해 입증 없이도 일정 한도의 법정손해배상을 청구할 수 있는 제도가 있습니다. 유출 규모가 크면 집단 분쟁으로 이어집니다.
그리고 제재 수위를 정할 때 사고 후 대응이 충실했는지가 반영됩니다. 같은 유출이라도 신속하게 통지·신고하고 피해 확산을 막은 회사와, 숨기다 들킨 회사의 결과는 다릅니다. 사고 자체는 벌어진 일이지만, 대응은 지금부터 선택할 수 있는 일입니다.
1.5 한 가지 흔한 질문
"직원이 개인 계정으로 몰래 입력한 건데도 회사가 책임지나요?"라는 질문이 이 대목에서 꼭 나옵니다.
통지·신고 의무는 개인정보처리자인 회사에 부과됩니다. 직원의 무단 행위였다는 사정은 면책 사유가 아니라, 회사가 교육·통제 같은 안전조치 의무를 다했는지의 문제로 다뤄집니다. 평소 규정과 교육이 있었던 회사는 관리 책임을 다퉈볼 여지가 있고, 아무 규정도 교육도 없던 회사는 그 부재 자체가 책임이 됩니다. 여러분이 지금 이 교육을 받고 있다는 사실이 회사에는 안전조치의 일부인 셈입니다.