9월 11일부터 개인정보 통지 의무는 유출을 확인하기 전에 시작된다

통지해야 할 사고 목록에 훼손이 들어왔다

개정 개인정보 보호법은 2026년 3월 10일에 공포됐고 9월 11일에 시행된다. 국가법령정보센터에 실린 개정이유는 통지 제도를 두 방향으로 넓혔다고 적었다.

하나는 사고의 종류다. 종전에는 개인정보가 분실되거나 도난당하거나 유출된 경우에 정보주체에게 알리도록 했는데, 앞으로는 위조되거나 변조되거나 훼손된 경우에도 알려야 한다. 밖으로 나가지 않아도 안에서 망가지면 통지 대상이다. 데이터를 가져가지 않고 잠그기만 하는 랜섬웨어도 백업으로 되살리지 못하면 여기 들어온다. 위원회 매뉴얼 초안은 복구가 불가능한 경우를 훼손으로 봤다.

다른 하나가 더 크다. 대통령령으로 정하는 유출 가능성이 있는 경우에도 통지 의무가 붙는다. 무엇이 얼마나 새어 나갔는지 확인한 뒤가 아니라 그전에 72시간이 흐르기 시작한다는 뜻이다.

과징금도 손봤다. 지금의 전체 매출액 3퍼센트 상한은 그대로 두고, 그 위에 10퍼센트 상한을 따로 신설했다. 10퍼센트가 적용되는 사유는 셋이다. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 호의 위반을 다시 한 경우, 정보주체의 피해 규모가 1천만명 이상인 경우, 그리고 위원회의 시정조치 명령을 따르지 않아 개인정보가 유출등이 된 경우다. 앞의 둘은 고의나 중대한 과실을 전제로 한다. 반복 위반은 앞선 위반과 뒤의 위반 모두에 고의나 중대한 과실이 있어야 한다. 세 번째에는 그 요건이 없는 대신, 안전성 확보에 필요한 조치를 다했다면 이 사유에서 빠진다.

발동 조건을 정할 시행령은 아직 공포 전이다

법이 정하지 않은 것이 하나 남아 있다. 유출 가능성이 있는 경우가 정확히 무엇인지다. 그 판단 기준은 시행령이 정한다.

개인정보보호위원회는 시행령 개정안을 6월 2일부터 7월 13일까지 입법예고했다. 그 안에 통지 의무가 시작되는 조건이 둘 적혀 있다. 하나는 개인정보처리시스템이나 개인정보취급자의 기기에 불법적인 접근이 있었음을 알게 됐고, 개인정보가 나간 객관적인 정황은 있지만 누구의 정보가 나갔는지 특정하기 어려운 때다. 다른 하나는 처리하는 개인정보가 불법적으로 거래되거나 유통되고 있다는 사실이 객관적으로 확인됐고, 이미 확인된 정보주체 외에 다른 정보주체의 개인정보도 나갔을 가능성이 높다고 인정되는 때다. 첫 번째 경우에는 불법적인 접근을 알게 된 때부터, 두 번째 경우에는 거래나 유통 사실을 알게 된 때부터 72시간이다. 객관적으로 유출 가능성이 없으면 알리지 않아도 된다.

여기까지는 안이다. 9월 5일 현재 국가법령정보센터에는 9월 11일자로 시행되는 개정 시행령이 올라와 있지 않다.

위원회도 문서에 이 공백을 적어 두었다. 위원회는 8월 21일에 「개인정보 유출등 대응 매뉴얼」 초안을 올리고 8월 24일부터 9월 3일까지 의견을 받았다. 그 게시글에는 “안내서에 작성된 시행령은 현재 개정중임에 따라 일부 문구가 변경될 수 있음”이라는 단서가 붙어 있다. 시행일은 정해졌지만 발동 조건은 아직 확정된 문서에 없다.

매출 10퍼센트 조항이 걸리는 자리는 좁다

이 개정을 다룬 기사는 대개 매출액 10퍼센트를 앞세운다. 이 조항이 적용되는 사유는 셋이지만 모두 범위가 좁다. 과징금 부과처분을 받고 3년 안에 같은 호를 다시 어긴 경우, 피해 규모가 1천만명 이상인 경우, 시정조치 명령을 따르지 않아 개인정보가 나간 경우다. 앞의 둘은 고의나 중대한 과실이 있어야 하고, 세 번째는 위원회가 이미 시정을 명령한 뒤라야 성립한다. 이용자가 수만명인 회사가 여기까지 오는 길은 사고 자체가 아니라 사고 뒤에 무엇을 했는지다.

입법예고된 시행령안이 얹는 다른 의무도 규모에 따라 갈린다. 전문 개인정보 보호책임자를 두라는 의무는 원래 있던 제도다. 시행령안은 지정 의무의 문턱을 연 매출액 1,500억원에서 1,800억원으로 올린다. 문턱이 올라간 만큼 대상은 줄고, 새로 얹는 의무의 범위는 그 줄어든 대상과 같게 잡는다. 보호책임자를 지정하거나 바꾸거나 풀 때 이사회 의결을 거치고 위원회에 신고하라는 것이다. 대상은 연 매출액 1,800억원 이상이면서 민감정보나 고유식별정보를 5만명 이상 처리하거나 개인정보를 100만명 이상 처리하는 곳, 재학생 2만명 이상인 대학, 대규모 민감정보를 처리하는 상급종합병원, 공공시스템운영기관이다.

ISMS-P 인증 의무 대상은 넷으로 나뉜다. 공공시스템운영기관 중 위원회가 고시하는 곳, 이동통신사업자, 본인확인기관, 그리고 전년도 매출액 1조원 이상에 정보통신서비스 부문 매출액 100억원 이상이면서 직전 3개월 일일 평균 3,000만명 이상의 국내 정보주체 정보를 저장하고 관리하는 곳이다. 마지막 부류에서는 전자금융거래법상 금융회사가 빠진다. 다만 이 조항은 9월 11일 시행분이 아니다. 시행일을 2027년 7월 1일로 떼어 둔 것은 법률 부칙 제1조 단서와 시행령안 부칙 제1조 단서이고, 대상이 된 곳이 2028년 12월 31일까지 인증을 받으면 된다고 정한 것은 시행령안 부칙 제3조다.

시드 단계 팀이 이 숫자에 걸릴 일은 없다. 반면 통지 의무에는 매출 하한이 없다. 개인정보를 처리하면 붙는다. 이번 개정으로 작은 회사에 실제로 떨어지는 것은 과징금이 아니라 72시간이다.

9월 11일 전에 정해 둘 것은 신호와 판정자, 그리고 판정 시각이다

실무에서 무엇이 달라지는지는 간단하다. 지금까지는 침해 정황을 발견하면 먼저 조사하고, 무엇이 나갔는지 확인한 뒤 통지를 준비했다. 앞으로는 조사와 통지 준비가 나란히 간다. 조사가 끝난 뒤에 하던 일을 조사와 함께 해야 한다.

기산점이 인지 시점이므로 언제 알았는지를 기록으로 남겨 두면 절반은 지킨 셈이다. 관리자 계정에 낯선 지역의 로그인이 찍혔을 때, 서버 로그에 비정상 조회가 잡혔을 때, 우리 도메인 계정이 외부에서 거래된다는 제보가 들어왔을 때, 그것을 누가 받는지부터 정해져 있어야 한다. 알림 채널에 봇 메시지만 쌓이고 아무도 확인 표시를 남기지 않는 팀은 나중에 언제 알았는지 스스로도 답하지 못한다. 그런 상태에서는 72시간을 지켰는지 어겼는지조차 증명할 수 없다.

정해 둘 것은 세 가지다. 어떤 신호를 침해 정황으로 볼지, 그 판정을 누가 내릴지, 판정 시각을 어디에 적을지다. 세 번째가 가장 사소해 보이지만 사고가 나면 가장 먼저 내놓으라고 한다.

시행령이 공포되면 확인할 문장도 정해져 있다. 불법적 접근을 알았다는 사실만으로는 부족하고 유출 정황과 대상 특정 곤란이 함께 요구되는 구조가 입법예고안 그대로 남는지, 기산점이 각 호에서 지정한 인지 시점 그대로인지, 객관적으로 가능성이 없으면 알리지 않아도 된다는 예외가 어디까지 인정되는지다. 세 문장이 최종본에서 어떻게 바뀌었는지에 따라 같은 알림이 통지 대상이 되기도 하고 아니기도 한다.