136.
개인정보 유출신고 의무가 면제되는 경우
공유하기
새 탭 열기
작성 이력 보기

생성자

기여자

1. 개인정보 유출 신고 요건에 해당하지 않는 경우

개인정보처리자는 개인정보가 유출 등이 되었음을 알게 된 때에는 72시간 내에 신고해야 합니다. 하지만 신고 의무는 모든 형태의 유출에 생기지 않습니다. 규제기관 신고 의무는 요건에 해당할 때만 생기고, 정보주체 통지 의무는 1명의 개인정보가 유출되어도 생깁니다. 신고 요건은 1천명 이상 유출, 민감정보·고유식별정보 유출, 외부 불법 접근에 의한 유출 세 가지입니다.

유출 규모가 1천명 이상
민감정보·고유식별정보가 포함된 경우
해킹 같은 외부 불법 접근이 있었던 경우

따라서 다음 조건을 모두 만족하면 신고 의무가 없습니다.

유출 규모가 1천명 미만
민감정보·고유식별정보가 포함되지 않음
해킹 같은 외부 불법 접근이 아닌 내부 원인(직원 실수, 오발송 등)

이 경우에도 정보주체 통지는 해야 합니다.

2. '유출등'에 해당하지 않는 경우

유출등이 없으면 신고할 대상도 없습니다. 개인정보위 「유출등 대응 안내서」에 나온 판단 기준은 다음과 같습니다.

공격 시도만 있었던 경우: 취약점이 있거나 공격 시도가 있었다는 것만으로는 통지 의무가 생기지 않습니다. 안내서의 예시로, SQL Injection 시도가 있었지만 재현 검증과 로그 분석으로 해당 계정에 개인정보 테이블 권한이 없어 조회·변경·삭제가 없었다고 확인되면 유출등 가능성이 있는 경우로 보지 않습니다.
랜섬웨어 피해를 빠르게 복구한 경우: 복호화가 불가능하고 백업도 없어 데이터를 잃은 경우는 훼손으로 봤지만, 5시간 안에 복구한 사례는 훼손이 아니라고 판단했습니다. 다만 데이터를 복구했더라도 별도의 외부 유출 정황이 있는지는 따로 검토해야 합니다.

3. 회수·삭제로 위험이 낮아진 경우 (시행령 제40조 제1항 단서)

신고 요건에 해당하더라도 신고하지 않을 수 있는 유일한 명문 예외인데, 잘 활용하면 유용하게 사용할 수 있습니다.

조문: 유출등의 경로가 확인되고, 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있습니다.
요건: ① 유출 경로가 확인됨 ② 회수·삭제 등의 조치를 함 ③ 그 결과 권익 침해 가능성이 '현저히' 낮아짐. 세 가지를 모두 갖춰야 합니다.
판단 기준: 조치를 했다는 사실만으로는 부족하고, 실제로 권익 침해 가능성이 낮아졌는지가 기준입니다. 확인되지 않은 상태라면 예외에 해당하지 않습니다.
통지는 면제되지 않습니다. 통지에 관한 시행령 제39조는 접속경로 차단이나 회수·삭제 같은 긴급 조치가 필요할 때 사유가 해소된 후 즉시 알릴 수 있도록 시기만 늦춰 줍니다. 그래서 회수·삭제를 했더라도 정보주체 통지는 따로 해야 합니다.
의견: 조문상 이 단서는 세 가지 신고 요건 모두에 적용됩니다. 하지만 해킹은 유출 경로를 완전히 확인하고 회수까지 입증하기 어려워서, 실제로 이 예외를 적용할 수 있는 건 오발송이나 내부 실수처럼 경로가 분명한 사고 정도입니다.