개인정보 유출 통지, 9월 11일부터 달라집니다
COLUMN · 개인정보
작성 2026. 8. 26. | 로엘법무법인 조원균 변호사
개인정보가 유출됐다는 문자나 메일을 받아 본 적이 있으실 겁니다. 대개는 읽고 나서도 무엇을 해야 할지 알 수 없습니다. 사과문에 가깝기 때문입니다.
2026년 9월 11일부터 그 통지서의 내용이 달라집니다. 「개인정보 보호법」이 법률 제21445호로 개정되어(2026. 3. 10. 공포) 통지에 넣어야 할 항목이 늘고, 유출이 확정되지 않은 단계에도 알릴 의무가 생깁니다. 이 글은 그 개정 조문과, 통지서가 왜 청구의 출발점이 되는지를 정리한 것입니다.
Q. 개인정보 유출 통지를 받으면 무엇을 할 수 있나요? 「개인정보 보호법」은 정보주체에게 제39조의 손해배상 청구, 제39조의2의 법정손해배상 청구, 제43조의 분쟁조정 신청 세 갈래를 두고 있습니다. 특히 법정손해배상은 손해액을 증명하지 못하더라도 300만원 이하의 범위에서 청구할 수 있고, 두 청구 모두 개인정보처리자가 고의나 과실이 없음을 스스로 증명하지 못하면 책임을 면하지 못합니다. 2026년 9월 11일부터는 이 세 가지가 통지서에 직접 적히게 됩니다. |
통지서에 지금 적히는 것, 9월 11일부터 더 적히는 것
현행 제34조 제1항은 유출을 알게 된 개인정보처리자가 지체 없이 다섯 가지를 알리도록 정합니다. 유출된 항목, 유출 시점과 경위, 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 처리자의 대응조치와 피해 구제절차, 신고를 접수할 담당부서와 연락처입니다.
개정법은 여기에 제6호를 신설해 "제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법"을 알리도록 했습니다. 제3호도 "정보주체가 할 수 있는 방법 등에 관한 정보"에서 "관한 구체적인 정보"로 바뀝니다. 통지의 성격이 사과에서 안내로 옮겨 가는 셈입니다.
| 구분 | 현행 | 2026. 9. 11.부터 |
|---|---|---|
| 통지 항목 | 5개 (제1호~제5호) | 7개 — 법적 권리·행사 방법(제6호) 추가 |
| 통지 시점 | 유출등을 알게 된 때 | 유출등의 가능성을 알게 된 때도(제2항) |
| 처리자 조치 | 피해 최소화 대책 마련 | 회수·삭제 등 확산 방지 조치 포함 |
| 대표자 | 명문 규정 없음 | 최종적 책임자로 명시(제30조의3) |
유출이 아니라 '유출 가능성'에서도 알려야 합니다
개정법에서 실무상 가장 크게 달라지는 대목은 신설된 제34조 제2항입니다. 개인정보의 유형, 정보주체에게 미치는 영향, 위험의 정도를 고려해 대통령령으로 정하는 유출등의 '가능성'이 있음을 알게 되었을 때에는 지체 없이 그 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보를 알리도록 했습니다.
종전에는 유출 사실이 확인될 때까지 통지가 미뤄지는 일이 적지 않았습니다. 확인에 걸리는 그 기간이 정보주체에게는 대응이 가장 필요한 시간이라는 점을 반영한 개정으로 보입니다. 제3항도 개정되어, 처리자는 해당 개인정보의 회수·삭제 등 피해 확산을 방지하기 위한 조치를 포함해 대책을 마련해야 합니다.
다만 '가능성'의 구체적 기준과 그때 알려야 할 사항은 대통령령에 위임되어 있고, 개정 시행령은 아직 공포되지 않았습니다. 어느 정도의 정황이 통지 의무를 촉발하는지는 시행령이 나온 뒤에야 확정됩니다.
세 갈래 — 손해배상, 법정손해배상, 분쟁조정
통지서에 새로 적히게 될 세 가지는 이미 법에 있던 제도입니다. 제39조 제1항은 이 법을 위반한 행위로 손해를 입은 정보주체에게 배상청구권을 주면서, 개인정보처리자가 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수 없다고 정합니다. 증명의 부담이 처리자 쪽에 있다는 뜻입니다. 같은 조 제3항은 고의나 중대한 과실이 있는 경우 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있게 합니다.
실무에서 더 쓸모가 있는 쪽은 제39조의2입니다. 유출로 인한 정신적 손해는 액수를 증명하기가 어려운데, 이 조항은 손해액을 증명하지 않고도 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 청구할 수 있게 합니다. 법원은 변론 전체의 취지와 증거조사 결과를 고려해 그 범위에서 금액을 인정합니다. 필자가 개인정보 사건을 다루며 보면 이 조항의 존재 자체를 모르고 청구를 포기하는 경우가 많습니다.
두 청구는 갈아탈 수 있습니다. 제39조의2 제3항은 제39조로 손해배상을 청구한 정보주체가 사실심의 변론이 종결되기 전까지 그 청구를 법정손해배상 청구로 변경할 수 있다고 정합니다. 소송 부담이 크다면 제43조의 분쟁조정을 먼저 신청하는 길도 열려 있습니다.
회사 안쪽에서 달라지는 것
개정법은 책임의 위치도 옮겼습니다. 신설된 제30조의3은 개인정보처리자의 사업주 또는 대표자를 "개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자"로 명시하고, 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하도록 했습니다.
제31조 제3항도 신설되어, 대통령령이 정하는 기준에 해당하는 개인정보처리자는 개인정보 보호책임자를 지정·변경·해제할 때 이사회 의결을 거치고 보호위원회에 신고해야 합니다. 제32조의2 제1항에는 단서가 붙어 일정 기준에 해당하면 개인정보 보호 인증이 의무가 됩니다. 다만 두 조항이 말하는 매출액·처리 규모 기준은 모두 대통령령에 위임되어 있어, 어느 사업자가 대상인지는 아직 확정되지 않았습니다.
유출 통지를 받으셨다면 통지서 원본과 수신 시점, 유출된 항목을 먼저 보관해 두는 것이 순서입니다. 청구의 출발점이 그 문서이기 때문입니다. |
참고자료
· 「개인정보 보호법」 제30조의3·제31조·제32조의2·제34조 [시행 2026. 9. 11., 법률 제21445호] 및 제39조·제39조의2 [시행 2025. 10. 2.] — 국가법령정보센터
· 개인정보를 목적 외로 쓴 경우의 형사책임: 고소장에 상대방 개인정보를 적으면 처벌될까
· 같은 날 발행 칼럼: 과로와 스트레스, 산재가 되는 자리
| 조원균 로엘법무법인 파트너변호사 개인정보·민사집행 사건 담당 변호사 프로필 보기 |
| 본 칼럼은 일반적인 법률 정보 제공을 목적으로 하며, 개별 사안에 대한 법률 자문이 아닙니다. 「개인정보 보호법」 제34조 제2항의 '유출등의 가능성' 기준과 통지 사항, 제31조 제3항·제32조의2 제1항 단서가 정한 매출액·처리 규모 기준은 모두 대통령령에 위임되어 있고 개정 시행령이 공포되지 않아 본문에 구체적 기준과 수치를 기재하지 않았습니다. 개인정보 유출 신고 건수와 분쟁조정 처리 통계는 원본 자료를 확인하지 못해 기재하지 않았습니다. 실제 배상액은 유출된 정보의 성격과 피해 정도에 따라 달라지므로 변호사와 상담하시기 바랍니다. 광고책임변호사: 이태호 | © LAWL LAW FIRM |
관련 구성원
더 궁금한 점이 있으신가요?
상세한 내용은 아래의 문의를 통해 전달해주세요.