관리자 페이지에서 낯선 해외 IP 접속 흔적이 발견되고, 외주 개발사 계정으로 고객 목록이 조회된 정황까지 있다면 신속한 대응이 필요합니다. 다만 초기 대응의 핵심은 성급히 결론을 내리는 것이 아니라, 추가 접근을 차단하면서 사고 경위를 확인할 수 있는 자료를 훼손 없이 보존하는 것입니다.
개인정보 유출 사실을 알게 된 뒤에는 통지와 신고에 72시간 기준이 적용될 수 있습니다. 개발팀, 보안 담당자, 고객응대팀, 경영진이 각자 판단하기보다 하나의 사고 대응 기록을 기준으로 사실관계와 조치 내용을 관리해야 합니다.
개인정보 보호법상 유출 대응 의무는 개인정보처리자가 개인정보의 분실·도난·유출 사실을 알게 된 때부터 문제됩니다. 단순한 이상 징후나 의심만으로 법정 신고·통지 기한이 시작된다고 명시한 규정은 이번 범위에서 확인되지 않습니다.
그러나 의심 단계라고 해서 대응을 늦춰서는 안 됩니다. 예를 들어 평소와 다른 시간대에 관리자 계정으로 대량의 고객정보가 조회됐다면, 우선 해당 계정의 접근을 제한하고 다음 사항을 확인해야 합니다.
이때 중요한 것은 “문제가 없을 것 같다”는 구두 판단이 아니라, 발견 시각·조치 시각·확인 결과를 시간 순서대로 남기는 것입니다. 이후 유출 사실이 확인되면 회사가 언제 무엇을 알았고 어떤 조치를 했는지가 신고와 통지의 기초가 됩니다.
추가 유출을 막기 위해 문제 계정의 권한을 제한하고, 의심되는 접속경로를 차단하며, 취약점을 점검·보완해야 합니다. 개인정보의 회수·삭제가 가능한 상황이라면 그 조치도 검토할 수 있습니다.
다만 계정 삭제, 서버 초기화, 로그 정리부터 해서는 안 됩니다. 사고 경위와 접근 흔적까지 사라질 수 있기 때문입니다. 다음 자료는 별도로 보존하는 것이 좋습니다.
개인정보처리시스템의 접속기록은 원칙적으로 1년 이상 보관·관리해야 합니다. 다만 5만명 이상 정보주체의 개인정보를 처리하는 시스템, 고유식별정보 또는 민감정보를 처리하는 시스템, 기간통신사업자에 해당하는 경우에는 2년 이상 보관·관리해야 합니다. 접속기록과 개인정보 다운로드 상황을 점검하는 절차도 내부 관리계획에 정해 이행할 필요가 있습니다.
다음 중 하나에 해당하는 유출이라면 개인정보보호위원회 또는 한국인터넷진흥원에 72시간 내 신고해야 하는지 검토해야 합니다.
유출 인원이나 항목이 아직 확정되지 않았더라도, 외부의 불법 접근에 따른 유출 가능성이 있거나 민감정보·고유식별정보가 포함됐을 가능성이 있다면 신고 기준부터 검토하는 편이 안전합니다.
72시간 안에 유출 항목, 유출 시점, 유출 경위가 모두 밝혀지지 않는 경우도 있습니다. 이 경우 확인된 사실과 정보주체 피해 최소화 방법, 회사의 대응조치, 신고 접수처를 우선 신고하고, 추가 확인 사항은 확인 즉시 보완 신고할 수 있습니다.
사고 대응 기록에는 발견 일시, 유출 사실을 알게 된 경위, 현재 확인된 개인정보 항목과 대상 범위, 접근 차단 여부, 조사 담당자 및 향후 확인 계획을 정리해 두는 것이 좋습니다.
개인정보 유출 등을 알게 된 경우에는 원칙적으로 72시간 이내에 서면 등의 방법으로 정보주체에게 통지해야 합니다. 통지에는 다음 내용을 포함해야 합니다.
예를 들어 고객의 이메일 주소와 휴대전화번호가 유출됐다면, 단순히 “보안 이슈가 발생했다”고 알리는 데 그쳐서는 충분하지 않습니다. 확인된 유출 항목, 회사가 취한 차단·보완 조치, 문의 담당부서와 연락처를 구체적으로 안내해야 합니다.
다만 추가 유출 방지, 접속경로 차단, 취약점 보완, 개인정보 회수·삭제 등 긴급조치가 필요한 경우에는 그 사유가 해소된 뒤 지체 없이 통지할 수 있습니다. 즉시 통지가 어려웠던 사유와 그 사이 시행한 긴급조치도 문서로 남겨둘 필요가 있습니다.
개발, 클라우드 관리, 고객센터 운영 등 개인정보 처리 업무를 외부 업체에 위탁한 경우, 위탁자는 수탁자에 대한 교육과 처리 현황 점검 등을 통해 안전한 개인정보 처리를 감독해야 합니다.
따라서 수탁자 계정에서 이상 접속이 확인됐다면 단순히 “확인해 달라”고 요청하기보다, 다음 자료와 조치를 문서로 요구하는 것이 좋습니다.
수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공해서는 안 되며, 재위탁에는 위탁자의 동의가 필요합니다.
한편 유출 경로가 확인되고 개인정보 회수·삭제 등의 조치로 정보주체 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있는 규정이 있습니다. 다만 이는 신고 예외에 관한 내용이므로, 그 사정만으로 정보주체 통지 의무까지 당연히 면제된다고 보기는 어렵습니다.
법정 의무의 출발점은 개인정보 유출 사실을 알게 된 때입니다. 다만 외부의 불법 접근으로 인한 유출 가능성이 있다면 신고 기준과 연결될 수 있으므로, 의심 단계에서도 계정 차단, 로그 보존, 사실 확인을 즉시 시작해야 합니다.
그렇지 않습니다. 유출 항목이나 시점·경위가 아직 구체적으로 확인되지 않았더라도, 확인된 사실과 피해 최소화 방법, 대응조치, 신고 접수처를 우선 신고하고 추가 확인 사항을 보완할 수 있습니다.
통지는 법에서 정한 유출 대응 절차입니다. 다만 확인되지 않은 내용을 단정하거나 추정하는 표현은 피하고, 현재 확인된 사실과 회사의 대응조치를 구분해 정확히 안내할 필요가 있습니다.
그렇지 않습니다. 위탁자는 수탁자의 안전한 개인정보 처리를 감독할 의무가 있으므로, 운영사는 수탁자 조사와 별도로 자사의 증거보존, 신고, 통지 필요성을 검토해야 합니다.
개인정보 유출 대응은 보안 조치와 법적 판단이 동시에 필요한 영역입니다. 유출 경위, 보유 개인정보의 종류, 외부 접근 여부, 위탁관계, 회수·삭제 가능성 등에 따라 구체적인 사안에 따라 결론이 달라질 수 있습니다. 실제 사고가 발생한 경우에는 확보된 로그와 대응 기록을 기준으로 신고·통지 의무를 검토하는 것이 중요합니다.
법률사무소 완봉에서는 스타트업과 플랫폼 운영사의 개인정보 유출 의심 사고에 관한 초기 사실관계 정리, 신고·통지 문안 검토, 수탁자 대응 및 증거보존 체계 점검 상담을 제공하고 있습니다. 긴급한 검토가 필요하면 02-6263-9093으로 문의하실 수 있습니다.
