2026 개인정보 유출 통지 강화｜9월 11일부터 ‘유출 가능성’도 72시간 내 통지
2026년 9월 11일부터 개인정보 유출 통지 제도가 강화됐습니다.
이제 개인정보가 실제로 유출된 사실이 확인된 경우뿐 아니라, 법령에서 정한 수준의 ‘유출 가능성’이 확인된 단계에서도 72시간 이내에 이용자에게 알려야 하는 제도가 시행되고 있습니다.
이번 개정으로 랜섬웨어 등에 따른 개인정보 위조·변조·훼손도 유출 통지·신고 범위에 포함되고, 실제 유출이 확인됐을 때는 피해자가 이용할 수 있는 손해배상·분쟁조정 등의 방법까지 통지하도록 안내 범위가 넓어졌습니다.
한눈에 보기
- 시행일: 2026년 9월 11일
- 핵심 변경: 실제 유출뿐 아니라 일정한 유출 가능성도 통지
- 통지 시기: 해당 가능성을 안 때부터 72시간 이내
- 주요 대상: 불법 접근으로 유출이 의심되거나 일부 개인정보의 불법 거래 등이 확인된 경우
- 실제 유출 확인 시: 피해 최소화 방법과 함께 손해배상·분쟁조정 등 권리 행사방법도 안내
어떤 경우에 ‘유출 가능성’ 통지를 받게 될까?
최종 시행령에서는 유출 가능성 통지가 필요한 상황을 구체적으로 두 가지로 정했습니다.
첫 번째는 개인정보처리시스템이나 개인정보취급자가 개인정보 처리에 사용하는 정보기기에 불법적인 접근이 발생한 경우입니다.
다만 단순히 해킹 시도가 있었다는 이유만으로 모두 통지하는 것은 아닙니다. 불법적인 접근 때문에 개인정보 유출 등이 의심되는 정황이 있지만, 어떤 사람의 개인정보가 영향을 받았는지 정보주체를 특정하기 어려운 경우가 해당합니다.
예를 들어 시스템 침입 흔적은 확인됐지만 조사 초기라 피해 대상자를 정확히 가려내지 못한 상황이라면 실제 유출이 최종 확정되기 전이라도 이용자에게 위험을 알릴 수 있습니다.
두 번째는 개인정보 일부가 법령을 위반해 제3자에게 거래되는 등 실제 유출된 사실이 확인됐고, 다른 이용자의 개인정보도 함께 유출됐을 가능성이 있다고 인정되는 경우입니다.
즉 유출 가능성 통지는 막연한 추측만으로 보내는 안내가 아니라, 시행령에서 정한 구체적인 정황이 확인됐을 때 적용됩니다.
유출 가능성을 알게 되면 72시간 이내 통지합니다
개인정보처리자는 위와 같은 유출 가능성을 알게 된 때부터 72시간 이내에 정보주체에게 통지해야 합니다.
천재지변이나 그 밖의 부득이한 사유로 72시간 안에 통지하기 어려운 경우에는 그 사유가 해소된 뒤 즉시 통지하도록 규정돼 있습니다.
유출 가능성 통지에는 다음과 같은 내용이 포함됩니다.
- 유출 가능성이 있는 개인정보의 항목
- 유출이 있었을 것으로 의심되거나 인정되는 시점과 경위
- 이용자가 피해를 줄이기 위해 할 수 있는 방법
- 개인정보처리자의 대응조치와 피해구제 절차
- 신고 등을 접수할 담당부서와 연락처
- 실제 유출 여부가 확정될 경우 추가로 통지한다는 사실
그리고 72시간이 지나기 전에 실제 개인정보 유출 사실이 확인됐다면 ‘유출 가능성 통지’를 따로 하는 대신 실제 유출 통지 절차로 전환하게 됩니다.
‘유출 가능성’ 통지는 실제 유출 확정과 다릅니다
유출 가능성 통지를 받았다고 해서 내 개인정보가 이미 외부로 빠져나갔다고 확정된 것은 아닙니다.
보안사고 정황은 확인됐지만 피해 대상과 범위를 아직 조사하고 있는 단계일 수도 있고, 일부 개인정보 유출이 발견돼 다른 이용자의 정보도 영향을 받았는지 확인하고 있는 상황일 수도 있습니다.
따라서 통지를 받았다면 먼저 안내문에서 어떤 개인정보에 문제가 생겼을 가능성이 있는지와 현재 확인된 사고 경위를 살펴보는 것이 좋습니다.
이후 조사에서 실제 유출등이 발생하지 않은 것으로 확인된 경우에도 개인정보처리자는 그 사실을 정보주체에게 즉시 알려야 합니다.
다만 ‘가능성’이라는 표현 때문에 무시해서도 안 됩니다.
비밀번호 변경이나 계정 점검 등 통지문에서 권고하는 조치를 먼저 하고, 이후 기업이나 기관에서 실제 유출 여부와 추가 조사 결과를 다시 알려오는지도 확인해야 합니다.
특히 같은 비밀번호를 여러 서비스에서 사용하고 있다면 해당 계정까지 함께 변경하는 편이 안전합니다.
실제 유출이 확인되면 안내 내용도 더 많아졌습니다
이번 개정으로 개인정보가 실제 유출된 경우 이용자에게 알려야 하는 정보도 확대됐습니다.
기존의 유출 개인정보 항목과 사고 시점·경위, 피해를 줄이는 방법, 기업·기관의 대응조치와 연락처 등에 더해 피해자가 행사할 수 있는 법적 권리와 방법도 알려야 합니다.
여기에는 개인정보 유출로 피해가 발생했을 때 이용할 수 있는 다음과 같은 절차가 포함됩니다.
- 손해배상 청구
- 법정손해배상 청구
- 개인정보 분쟁조정 신청 등
따라서 개인정보 유출 통지문을 받았을 때는 ‘내 정보가 무엇이 유출됐는지’만 확인하지 말고, 피해 예방 방법과 피해구제 절차까지 함께 확인하는 것이 중요합니다.
또 2026년 9월 11일부터 개인정보 보호법에서 사용하는 ‘유출등’의 범위에는 기존의 분실·도난·유출뿐 아니라 위조·변조·훼손도 포함됩니다.
랜섬웨어 등으로 개인정보가 훼손된 경우도 통지·신고 제도의 적용 대상이 될 수 있는 이유입니다.
개인정보 유출 가능성 안내를 받았다면 이렇게 확인하세요
유출 가능성이나 실제 유출 안내를 받았다면 먼저 통지문에 적힌 내용을 차분히 확인하세요.
- 어떤 개인정보가 영향을 받았거나 받을 가능성이 있는지 확인
- 사고가 발생하거나 의심되는 시점과 경위 확인
- 해당 서비스의 비밀번호 변경 필요 여부 확인
- 같은 비밀번호를 사용하는 다른 계정도 함께 점검
- 결제·금융정보가 관련됐다면 이상 거래 여부 확인
- 기업·기관이 추가 조사 결과를 안내하는지 확인
- 실제 피해가 있다면 안내된 피해구제 절차 확인
다만 개인정보 유출 안내를 사칭한 스미싱 문자도 있을 수 있습니다.
문자에 포함된 낯선 링크를 바로 누르기보다는 해당 기업·기관의 공식 홈페이지나 고객센터를 통해 실제 사고 안내인지 먼저 확인하는 편이 안전합니다.
개인정보 침해와 관련한 상담·신고가 필요하다면 개인정보침해신고센터를 이용할 수 있으며 전화상담은 국번 없이 118입니다.
손해배상이나 분쟁조정이 필요한 경우에는 개인정보분쟁조정위원회를 통해 분쟁조정 절차를 확인할 수 있습니다.
이제는 ‘유출 확정 전’ 통지도 그냥 넘기지 마세요
이번 제도의 핵심은 개인정보 유출 규모와 피해자가 모두 확인될 때까지 기다리지 않고, 일정 수준 이상의 위험이 확인된 단계에서 이용자가 먼저 대응할 수 있도록 하는 것입니다.
따라서 쇼핑몰, 통신사, 플랫폼, 금융서비스, 공공기관 등에서 ‘개인정보 유출 가능성’이라는 안내를 받았다면 실제 유출이 확정됐다고 단정할 필요는 없지만, 단순 안내문으로 넘겨서도 안 됩니다.
통지문에 안내된 개인정보 항목과 사고 경위, 비밀번호 변경 등 필요한 조치를 먼저 확인하고 실제 유출 여부에 대한 후속 안내가 이어지는지도 살펴보세요.
※ 이 글은 2026년 9월 13일 기준 개인정보보호위원회와 국가법령정보센터의 최종 공포 법령을 확인해 작성했습니다. 실제 개인정보 사고의 내용과 피해 범위에 따라 필요한 대응이 달라질 수 있으므로 안내를 받은 경우 해당 기관의 공식 공지와 개인정보보호위원회 등 관계기관의 최신 안내를 함께 확인하세요.
정보 출처
- 개인정보보호위원회 — 개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행
- 국가법령정보센터 — 개인정보 보호법 제34조 개인정보 유출등의 통지·신고
- 국가법령정보센터 — 개인정보 보호법 시행령 개정문(대통령령 제36671호)
- 한국인터넷진흥원 — 개인정보침해신고센터
최종 수정일 : 2026년 9월 13일
