개인정보 유출신고 의무,
2026년 9월 11일부터 넓어집니다
이번 개정(법률 제21445호)을 두고 "과징금이 매출의 10%로 뛴다", "소규모 셀러도 개인정보보호책임자를 새로 지정해야 한다" 같은 이야기가 돌지만, 자사몰을 운영하는 대부분의 셀러에게 실제로 바뀌는 핵심은 하나입니다 — 개인정보 유출신고 의무의 범위가 넓어진다는 것. 회원 데이터가 새어 나간 정황이 없어도 '훼손'된 것만으로, 심지어 유출 '가능성'을 알게 된 단계에서 신고 의무가 생길 수 있습니다. 이 글은 근거 조문(「개인정보 보호법」 제34조)과 개인정보보호위원회 안내를 바탕으로, 내가 신고 대상인지·언제까지 어떻게 하는지를 셀러 관점에서 과장 없이 정리합니다.
"과징금 10%"·"CPO 지정"은 대부분 셀러 이야기가 아닙니다
온라인에 널리 퍼진 두 오해부터 정정합니다. 겁을 주려는 자료가 많지만, 사실을 알면 소규모 셀러가 당장 할 일은 단순합니다.
| 흔한 오해 | 정확한 사실 |
|---|---|
| "과징금이 3% → 10%로 올랐다" | 원칙 상한은 여전히 전체 매출액의 3%. 10%는 고의·중과실로 3년 내 반복 위반, 1,000만명 이상 피해, 시정명령 불이행 같은 가중요건이 있을 때만 적용됩니다. 소규모 셀러에게 현실적으로 적용되기 매우 어렵습니다. |
| "소규모 셀러도 CPO를 새로 지정해야 한다" | 개인정보보호책임자(CPO) 지정 의무는 이전부터 있던 제도이고, 소규모 처리자는 대통령령 기준에 따라 지정 의무가 면제됩니다. 이번에 추가된 이사회 의결·신고 의무는 대규모 처리자 대상입니다(면제·대상 기준 수치는 시행령 위임 — 아래 참조). |
| "'72시간 신고'가 이번에 새로 생겼다" | 72시간 기한은 기존 규정입니다. 이번 개정의 핵심은 신고 대상 범위 확대(위조·변조·훼손 추가)와 기산점을 앞당긴 것입니다. |
①「위조·변조·훼손」이 신고 대상에 명문으로 추가
기존에는 개인정보가 분실·도난·유출됐을 때만 통지·신고 대상이었습니다. 개정 후에는 여기에 위조·변조·훼손이 더해진 "유출등"으로 넓어집니다. 즉 데이터가 밖으로 새어 나간 정황이 없어도, 파일이 훼손된 것만으로 통지·신고 의무가 생길 수 있습니다.
②신고 기산점이 「가능성을 알게 된 때」로 앞당겨짐
기존에는 유출 사실을 확인했을 때부터 기한이 돌기 시작했지만, 개정 후에는 유출 등의 "가능성"이 있음을 알게 된 때부터로 앞당겨집니다. "가능성"의 구체적 범위는 시행령에서 정해집니다.
세 가지 중 하나면 규모와 무관하게 신고 대상
아래 어느 하나에 해당하면 사업 규모와 상관없이 신고 의무가 발동합니다. 회원 DB를 보유한 자사몰이라면 해당 가능성이 큽니다.
| 신고 발동 기준 | 메모 |
|---|---|
| 1,000명 이상 정보주체의 개인정보 유출등 | 회원 수가 많은 자사몰이 특히 유의 |
| 민감정보·고유식별정보 유출등 | 규모 무관 단 1명이라도 해당 (주민등록번호·생체정보 등) |
| 개인정보처리시스템에 대한 외부의 불법 접근으로 인한 유출등 | 해킹·랜섬웨어 등 침해사고 |
72시간 이내 신고 + 정보주체 통지
신고 대상에 해당하면 그 사실을 안 때부터 72시간 이내에 개인정보보호위원회(접수 전문기관 KISA)에 신고하고, 정보주체(회원)에게도 지체 없이 통지해야 합니다.
| 구분 | 내용 |
|---|---|
| 신고 기한 | 유출등을 안 때(개정 후: 가능성 인지 포함)부터 72시간 이내 |
| 신고 창구 | 개인정보보호위원회 / 접수 전문기관 KISA — 개인정보 유출신고 brss.pipc.go.kr |
| 정보주체 통지 | 유출 항목·시점·경위, 피해 최소화 방법, 대응 창구 등을 회원에게 통지 |
| 미신고 시 | 3천만원 이하 과태료 (신고·통지 의무 위반) |
생체정보를 인증에 쓰는 셀러라면
이번 개정으로 생체인식정보(지문·홍채·얼굴인식 등)와 인종·민족 정보가 민감정보로 명문화됐습니다. 단순 상품 판매 자사몰은 대개 해당이 없지만, 안면·지문 인증을 회원 로그인이나 출입통제에 활용한다면 동의 근거·보관기간·파기 절차를 다시 점검할 필요가 있습니다. 민감정보는 유출 시 규모와 무관하게 신고 대상이라는 점도 기억하세요.
지금 점검할 체크리스트
- 침해사고 대응 절차 1장 만들기 — 유출·훼손·불법접근을 알게 됐을 때 72시간 안에 누가·무엇을·어디에(brss.pipc.go.kr) 신고할지 사전 정리.
- 랜섬웨어 대비 — 회원·주문 데이터 정기 백업과 접근권한 최소화. 암호화(훼손)만으로도 신고 대상이 될 수 있음을 팀과 공유.
- 회원 통지문 초안 준비 — 유출 항목·시점·경위·대응 창구를 담은 안내문 템플릿을 미리 작성.
- 민감정보 취급 여부 확인 — 주민등록번호·생체정보·건강정보 등을 수집·보관하고 있다면 동의 근거와 파기 절차 재점검(민감정보는 규모 무관 신고 대상).
- 처리방침·안전조치 최신화 — 아래 형제 가이드로 처리방침 문구와 안전성 확보조치도 함께 점검.
- 규모·유형이 애매하면 개인정보 보호 종합지원 포털(privacy.go.kr)·개인정보위 또는 전문가 확인.
개인정보 처리방침, 무료로 먼저 점검
유출 대응 절차와 함께, 자사몰 개인정보 처리방침에 필수 기재나 부적정 표현이 없는지도 점검할 차례입니다. 무료 도구로 가입·설치 없이 바로 확인하고, 취급 품목·상황에 맞는 다른 도구와 실무 가이드도 허브에서 골라 쓰세요.
개인정보 처리방침 무료 점검 → 전체 무료 도구 보기유출 통지·신고 문서를 갖추려면
개인정보 9·11 대응킷은 위 신고·통지 절차를 실무 문서로 만든 패키지입니다 — 소상공인용 처리방침 템플릿, 유출 대응 절차서, 자가점검표.
대응킷 살펴보기 →참고 출처(2026-08 확인): 개인정보보호위원회 — 개인정보 유출 신고 안내 · 국가법령정보센터 — 「개인정보 보호법」 제34조(법률 제21445호) · 개인정보 보호 종합포털(privacy.go.kr)