개인정보가 유출되면 비밀번호 변경만으로 충분하지 않을 수 있으므로 유출된 정보의 종류에 맞게 보호조치를 해야 합니다. 계정정보는 비밀번호·인증수단 변경, 금융정보는 금융회사 보호조치, 신분정보는 명의도용과 신규 거래 여부 확인이 중요합니다. 피해자 자신의 대응과 개인정보처리자의 통지·신고 의무를 구분해 살펴봅니다.
개인정보의 범위
개인정보 보호법은 살아 있는 개인에 관한 정보 중 성명·주민등록번호·영상 등으로 개인을 알아볼 수 있는 정보뿐 아니라, 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보도 개인정보로 봅니다.
개인정보를 가명처리함으로써 원래 상태로 복원하기 위한 추가정보 없이는 특정 개인을 알아볼 수 없는 가명정보도 법에서 정한 개인정보의 범위에 포함됩니다.
개인정보 유출 통지는 2026년 9월부터 보완됐습니다.
2026년 9월 11일부터 시행된 개인정보 보호법과 시행령은 개인정보 유출 등의 통지 내용을 보완했습니다. 개인정보처리자는 유출 사실을 알게 되면 원칙적으로 72시간 이내에 정보주체에게 법에서 정한 사항을 알려야 하고, 법적 권리 행사와 손해배상·분쟁조정 등에 관한 정보도 함께 안내해야 합니다.
일정 규모 이상의 유출, 민감정보·고유식별정보의 유출 또는 외부의 불법적 접근에 따른 유출 등 시행령이 정한 사유에 해당하면 보호위원회 또는 전문기관에 대한 신고도 필요합니다. 이는 개인정보처리자에게 부과되는 의무이며, 피해를 입은 개인이 직접 72시간 안에 신고해야 한다는 의미는 아닙니다. 2026년 9월 개정으로 72시간 통지기한 자체가 처음 도입된 것은 아닙니다.
계정 정보가 유출된 경우
아이디와 비밀번호가 유출되었거나 유출 가능성이 있다면 해당 비밀번호를 즉시 변경하고 같은 비밀번호를 사용한 다른 서비스도 함께 바꾸는 것이 좋습니다. 가능한 서비스에서는 다중인증을 설정하고, 알지 못하는 로그인과 기기 접속기록도 확인해야 합니다.
금융정보가 유출된 경우
카드번호나 계좌정보가 유출되었거나 실제 금융피해가 발생했다면 해당 금융회사에 즉시 연락하여 이용정지, 재발급, 지급정지 등 필요한 조치를 확인해야 합니다. 보이스피싱이나 계좌이체 피해가 발생했다면 금융회사와 경찰에 신속하게 신고하여 추가 이체를 막는 조치를 우선해야 합니다.
주민등록번호 등 신분정보가 유출된 경우
주민등록번호나 신분증 사본처럼 명의도용에 사용될 수 있는 정보가 유출되었다면 본인 명의의 신규 금융거래나 통신서비스 개통 등 이상 징후가 있는지 확인해야 합니다. 필요하면 개인정보 침해 상담·신고 제도와 명의도용 방지 서비스를 이용할 수 있습니다.
유출 통지의 내용과 실제 피해자료를 보관합니다.
개인정보처리자로부터 받은 유출 통지, 문자와 이메일, 비정상 로그인 기록, 금융거래내역, 신고 접수자료는 이후 손해배상이나 분쟁조정을 검토할 때 자료가 될 수 있습니다. 피해가 발생했다면 유출 사실과 손해 사이의 관계를 확인할 수 있도록 자료를 남겨 두는 것이 중요합니다.
개인정보가 유출되면 정보의 종류에 맞게 대응해야 합니다.
출처가 확인되지 않은 유출 사례나 피해 규모를 일반화하기보다 자신에게 유출된 정보가 무엇인지부터 확인해야 합니다. 계정정보라면 인증정보를 바꾸고, 금융정보라면 금융회사의 보호조치를 이용하며, 실제 피해가 발생했다면 신고와 증거보존을 함께 진행해야 합니다.