개인정보 유출 신고 대상과 72시간 접수방법 쉽게 정리

◆ 개인정보 유출 신고는 누가 하는 절차인가

개인정보 포털은 유출신고를 사업자, 공공기관, 기업 등 개인정보처리자가 처리하는 개인정보가 해킹 등으로 유출된 경우 신고하는 절차로 안내합니다.

반대로 개인이 자신의 개인정보에 관한 권리나 이익을 침해받았다고 문제를 제기하는 것은 침해신고에 가깝습니다. 이름이 비슷해도 신고 주체와 목적이 다르므로 처음부터 구분해야 합니다.

개인정보 유출 신고를 검토할 때는 먼저 사고가 개인정보처리자의 관리·통제 범위를 벗어난 유출등에 해당하는지 확인하고, 다음으로 시행령 제40조의 신고요건에 해당하는지를 판단합니다.

◆ 개인정보 유출 신고 대상 세 가지

현행 개인정보 보호법 시행령 제40조는 신고해야 하는 경우를 세 가지 유형으로 정하고 있습니다. 이 중 어느 하나에 해당하면서 개인정보가 유출등이 되었음을 알게 되었다면 원칙적으로 72시간 이내 신고해야 합니다.

첫째, 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우입니다. 둘째, 인원수와 별개로 민감정보 또는 고유식별정보가 유출등이 된 경우입니다. 셋째, 개인정보처리시스템이나 개인정보 처리에 사용하는 정보기기에 대한 외부의 불법적인 접근으로 개인정보가 유출등이 된 경우입니다.

따라서 “1천명 미만이면 신고하지 않아도 된다”라고 단순하게 판단하면 안 됩니다. 한 명의 정보라도 민감정보·고유식별정보이거나 외부 불법접근에 의한 사고라면 신고요건을 따로 확인해야 합니다.

◆ 72시간은 모든 조사가 끝난 뒤부터가 아니다

개인정보 유출 신고 기한은 사고 원인을 모두 확정한 시점이 아니라 개인정보가 유출등이 되었음을 알게 된 때를 기준으로 판단합니다. 그래서 내부 조사에 시간이 걸린다는 이유로 모든 사실이 정리될 때까지 신고 자체를 미루는 것은 위험할 수 있습니다.

시행령은 신고할 때 유출 항목이나 유출 시점·경위의 구체적인 내용이 아직 확인되지 않은 경우를 별도로 두고 있습니다. 이런 상황에서는 유출등이 된 사실과 그때까지 확인된 내용, 피해 최소화 방법과 대응조치 등 확인 가능한 내용을 먼저 신고하고 추가 사실은 확인되는 즉시 신고할 수 있습니다.

이것이 우선신고와 보완신고를 나눠 생각해야 하는 이유입니다. 처음 신고서가 완벽해야만 접수할 수 있다고 생각하면 법정 시간 안에 대응하기 어려워질 수 있습니다.

• 신고하지 않을 수 있는 예외도 좁게 본다

현행 시행령에는 유출등의 경로가 확인되고 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다는 예외가 있습니다.

다만 단순히 “삭제했다”거나 “외부 공개가 오래되지 않았다”는 이유만으로 예외라고 단정하기보다 유출경로, 제3자 접근 가능성, 회수·삭제 결과, 권익 침해 가능성을 실제 자료로 설명할 수 있는지 확인하는 편이 안전합니다.

천재지변이나 그 밖의 부득이한 사유로 72시간 내 신고가 곤란한 경우에도 사유가 해소된 후 즉시 신고할 수 있는 예외가 있습니다.

◆ 신고 전에 준비할 내용

개인정보 유출 신고를 할 때는 사고 사실만 한 줄 적는 것이 아니라 법에서 정한 핵심 내용을 정리해야 합니다. 최소한 어떤 개인정보가 유출되었는지, 언제 어떤 경위로 발생했는지, 어떤 피해가 예상되는지, 사업자가 어떤 대응을 하고 있는지를 정리하는 것이 좋습니다.

아직 확인되지 않은 내용을 추측해서 채우기보다 확인된 사실과 미확인 사항을 구분해 적는 편이 낫습니다. 이후 조사에서 내용이 바뀌면 보완신고로 정리할 수 있습니다.

특히 사고 원인이 해킹으로 의심된다면 신고서 작성보다 먼저 로그를 삭제하거나 시스템을 포맷하지 않아야 합니다. 개인정보 포털은 사고 관련 자료를 보존하고, 해킹 사고의 경우 네트워크 분리와 원본 형태의 보존·백업 후 분석을 진행하도록 안내합니다.

◆ 현재 개인정보 유출 신고 접수방법

개인정보보호위원회는 유출신고 접수 전문기관으로 한국인터넷진흥원을 지정하고 있습니다. 현재 개인정보 포털의 유출신고 안내는 온라인 신고 시스템을 통한 접수를 원칙으로 안내합니다.

온라인 신고 시에는 사고 대응 담당자와 개인정보 보호책임자가 신고내용을 함께 확인하는 것이 좋습니다. 유출 규모와 정보종류, 사고 시점, 통지 여부, 대응조치가 내부 사고기록과 다르면 이후 보완 과정에서 혼선이 생길 수 있기 때문입니다.

해외사업자가 국내 휴대폰 인증이 불가능하거나 시스템 장애 등으로 온라인 사이트를 이용하기 어려운 경우에 대한 별도 이메일 안내도 있지만, 국내 개인정보처리자는 공식 온라인 신고시스템을 기준으로 확인하는 것이 좋습니다.

◆ 해킹 사고라면 개인정보 신고만 보면 안 된다

개인정보 포털은 해킹에 의한 개인정보 유출사고의 경우 개인정보 보호법에 따른 유출신고와 별도로 관계 법령에 따른 침해사고 신고가 필요한지 확인하도록 안내하고 있습니다.

따라서 개인정보 유출 신고를 접수했다는 이유로 사이버 침해사고 대응까지 모두 끝났다고 생각하면 안 됩니다. 시스템 침입 여부, 악성코드, 웹셸, 계정 탈취처럼 별도 보안사고 대응이 필요한지 함께 살펴봐야 합니다.

금융회사나 신용정보회사처럼 별도 법률과 감독체계가 적용되는 업종도 있습니다. 해당되는 경우 개인정보 보호법상 절차와 별도로 금융감독기관 신고 기준을 확인해야 합니다.

◆ 자주 묻는 질문

Q. 1천명 미만이면 개인정보 유출 신고를 안 해도 되나요?

　A. 반드시 그렇지는 않습니다. 민감정보 또는 고유식별정보가 유출등이 되었거나 외부 불법접근에 의해 개인정보가 유출등이 된 경우에는 1천명 미만이어도 신고요건에 해당할 수 있습니다.

Q. 72시간 안에 유출 규모를 정확히 모르면 어떻게 하나요?

　A. 구체적인 유출 항목이나 시점·경위가 아직 확인되지 않았다면 현재까지 확인된 내용을 우선 신고하고 추가로 확인되는 내용을 즉시 보완할 수 있습니다.

Q. 정보주체에게 통지했으면 관계기관 신고는 생략해도 되나요?

　A. 아닙니다. 정보주체 통지와 관계기관 신고는 서로 다른 절차입니다. 시행령 제40조의 신고요건에 해당하는지 별도로 판단해야 합니다.

Q. 개인이 자기 정보 유출 피해를 신고할 때도 같은 메뉴를 쓰나요?

　A. 공식 유출신고는 개인정보처리자의 유출사고 신고 절차입니다. 개인이 자신의 개인정보 권리나 이익 침해를 신고하려면 침해신고 등 목적에 맞는 민원 절차를 확인해야 합니다.

◆ 접수 전 마지막 체크

개인정보 유출 신고 전에는 유출등을 알게 된 시각, 72시간 신고대상 해당 여부, 유출된 정보와 인원, 외부 불법접근 여부, 정보주체 통지 진행상태, 사고확산 방지조치를 한 번에 확인하는 것이 좋습니다.

모든 사실이 확정되지 않았더라도 신고 대상이라는 판단이 서면 현재 확인된 사실을 기준으로 우선신고가 가능한지 검토하고, 추가 조사 결과는 보완신고로 이어가야 합니다.

현행 신고요건과 72시간 기준은 국가법령정보센터 개인정보 보호법 시행령 제40조에서 확인할 수 있습니다.

현재 접수기관과 온라인 신고방법은 개인정보 포털 유출신고 안내에서 확인할 수 있습니다.

© pick.wi-th.com