고객 이메일 3,000건이 외부에 노출됐습니다. 지금 당신에게 주어진 시간은 72시간입니다.
개인정보보호법(PIPA)은 개인정보 침해 사고 발생 시 72시간 이내에 개인정보보호위원회(이하 개보위)에 신고해야 한다고 규정합니다. 이를 어기면 최대 3,000만 원의 과태료와 함께 기업 신뢰도에 회복하기 어려운 타격을 받습니다.
문제는 대부분의 중소기업이 이런 상황에서 "무엇을 먼저 해야 하는지"를 모른다는 것입니다. 법무팀도 없고, CISO도 없고, 매뉴얼도 없습니다. 패닉 속에서 골든타임을 놓칩니다.
이 글은 그 공백을 채웁니다. 개인정보 유출 사고가 발생했을 때 중소기업이 취해야 할 행동을 시간 순서대로 정리했습니다.
먼저: 개인정보 "유출"의 법적 정의부터 확인
모든 실수가 신고 의무 대상은 아닙니다. PIPA상 신고 의무가 발생하는 "개인정보 침해"는 다음을 포함합니다:
- 유출: 권한 없는 제3자가 개인정보에 접근·취득한 경우
- 노출: 웹사이트 오류 등으로 개인정보가 일시적으로 외부에 공개된 경우
- 훼손: 개인정보가 삭제·변조된 경우
- 멸실: 개인정보가 복구 불가능하게 손실된 경우
단순 내부 실수(예: 담당자가 잘못된 내부 폴더에 파일 저장)는 즉시 시정했다면 신고 의무가 발생하지 않을 수 있습니다. 하지만 확신이 없다면 신고하는 것이 안전합니다.
72시간 대응 타임라인
⏱ 0~2시간: 사고 인지 및 초동 대응
1. 사고 범위 즉시 파악
어떤 개인정보가, 얼마나, 어떤 경로로 유출됐는지 파악합니다.
- 유출된 개인정보 항목 (이름, 이메일, 전화번호, 주민번호 등)
- 영향받은 정보주체 수
- 유출 경로 (해킹, 내부자 실수, 시스템 오류 등)
- 유출 발생 시점 (또는 추정 시점)
2. 즉각적인 피해 확산 차단
원인이 파악됐다면 즉시 차단합니다.
- 해킹으로 인한 경우: 해당 서버/계정 접근 차단, 비밀번호 리셋
- 시스템 오류인 경우: 해당 기능 비활성화
- 이메일 오발송인 경우: 수신자에게 삭제 요청 연락 (가능한 경우)
3. 사고 기록 시작
지금부터 모든 조치를 타임스탬프와 함께 문서화합니다. 이 기록은 나중에 규제기관에 제출하는 근거가 됩니다.
⏱ 2~24시간: 내부 보고 및 신고 준비
4. 내부 보고 라인 가동
개인정보 보호책임자(CPO)가 있다면 즉시 보고합니다. 없다면 대표이사 또는 최고 의사결정자에게 보고합니다. 중소기업은 대부분 대표가 CPO 역할을 겸하므로, 대표가 직접 아래 절차를 이끌어야 합니다.
5. 개보위 신고 여부 판단
다음 기준으로 신고 의무를 확인합니다:
| 기준 | 신고 의무 여부 | |------|--------------| | 1,000명 이상 정보주체 영향 | 즉시 신고 필수 | | 민감정보(건강, 정치적 견해 등) 유출 | 즉시 신고 필수 | | 고유식별정보(주민번호 등) 유출 | 즉시 신고 필수 | | 1,000명 미만, 일반 개인정보 유출 | 신고 권장 (의무는 아닐 수 있음) |
판단이 어렵다면 신고하는 쪽으로 기울이세요. 과소 신고보다 과잉 신고가 훨씬 안전합니다.
⏱ 24~72시간: 공식 신고 및 정보주체 통지
6. 개인정보보호위원회 신고
개보위 신고는 개인정보 포털(www.privacy.go.kr)을 통해 온라인으로 접수할 수 있습니다.
신고 시 필요한 정보:
- 침해 사고 발생 일시 및 인지 일시
- 유출된 개인정보 항목 및 정보주체 수
- 유출 원인 및 경위
- 피해 확산 방지를 위한 조치 내역
- 정보주체 피해 구제 계획
아직 모든 정보가 파악되지 않아도 신고할 수 있습니다. PIPA는 "알게 된 즉시" 신고하도록 규정하며, 추후 추가 정보를 보완 신고할 수 있습니다.
7. 영향받은 정보주체에게 통지
유출 사실을 해당 고객에게 직접 알려야 합니다. 통지 방법:
- 이메일 (가장 일반적)
- 문자메시지
- 서비스 내 알림
- 공지사항 게시 (개별 연락이 불가한 경우)
통지 내용에 반드시 포함해야 할 사항:
- 유출된 개인정보 항목
- 유출 발생 경위
- 유출 시점
- 정보주체가 취할 수 있는 조치 (비밀번호 변경 등)
- 회사의 피해 구제 조치
- 담당자 연락처
72시간 이후: 사후 처리
사고 대응이 끝났다고 끝난 게 아닙니다. 이후에도 해야 할 일이 있습니다.
재발 방지 대책 수립 및 이행
개보위는 사고 이후 재발 방지 조치를 요구할 수 있습니다. 기술적 보안 강화(암호화, 접근 통제), 관리적 조치(직원 교육, 내부 정책 수립) 등을 실행하고 기록합니다.
후속 조사 대응
개보위가 현장조사를 나올 수 있습니다. 대응 이력 문서, 조치 내역, 개인정보 처리 현황 자료를 체계적으로 보관해야 합니다.
법무 검토 (필요시)
사고 규모가 크거나 집단 소송 가능성이 있다면 개인정보 전문 법무법인과 상담을 권장합니다.
자주 저지르는 실수 5가지
중소기업이 개인정보 유출 사고에서 자주 하는 실수입니다:
1. "일단 조용히 처리하자" 은폐 시도는 과태료를 훨씬 키웁니다. 자진 신고는 제재 감경 사유가 됩니다.
2. "규모가 작으니 괜찮겠지" 100명 고객 정보 유출도 신고 의무가 발생할 수 있습니다. 규모보다 유출 항목(민감정보, 고유식별정보)이 중요합니다.
3. 기록 없이 구두로만 대응 "우리가 바로 조치했다"는 말만으로는 부족합니다. 모든 조치는 문서로 남겨야 합니다.
4. 정보주체 통지를 미루거나 생략 개보위 신고와 별개로 정보주체 통지는 의무입니다. 많은 기업이 신고에 집중하다 통지를 빠뜨립니다.
5. 사고 후 아무것도 바꾸지 않음 같은 사고가 반복되면 제재가 대폭 강화됩니다. 사고는 시스템을 개선하는 계기로 삼아야 합니다.
pipaguard로 사전 예방하기
최선의 사고 대응은 사고가 나지 않는 것입니다. 하지만 그다음으로 좋은 것은 사고가 났을 때 즉시 대응할 수 있는 체계를 갖추는 것입니다.
pipaguard는 중소기업이 PIPA 컴플라이언스 체계를 갖출 수 있도록 돕습니다:
- 개인정보처리방침 자동 생성: 법적 요건을 충족하는 처리방침을 몇 분 안에 생성
- 컴플라이언스 현황 진단: 우리 회사에 어떤 위험 요소가 있는지 사전 파악
- 동의서 관리: 수집 동의 이력을 체계적으로 보관
사고가 났을 때 당황하지 않으려면, 지금 체계를 갖춰야 합니다.
→ pipaguard.vercel.app에서 무료로 시작하세요.
이 글은 일반적인 정보 제공 목적으로 작성되었으며, 법률 자문을 대체하지 않습니다. 구체적인 사안은 개인정보 전문 법무 전문가와 상담하세요.