개인정보 사고 통지와 피해구제 안내 — 개인정보 보호법 제21445호
법령 원문 ↗2026년 9월 11일부터 개인정보 사고 통지의 대상과 피해구제 안내가 확대되었습니다. 실제 유출이 확인된 경우의 통지와 법정 유출 가능성이 있는 경우의 통지를 구별해야 합니다.
통지 대상의 확대
개정 개인정보 보호법은 통지와 신고의 대상인 유출등의 범위를 분실·도난·유출뿐 아니라 위조·변조·훼손까지 확대했습니다. 정보가 외부로 넘어갔는지만 보고 사고 대응의무를 판단해서는 안 됩니다. 사고의 유형과 정보주체에게 미치는 영향을 함께 확인해야 합니다.
피해구제 정보와 가능성 통지
제34조 제1항에는 손해배상·법정손해배상·분쟁조정 등 정보주체의 법적 권리와 행사방법에 관한 안내가 추가되었습니다. 같은 조 제2항은 대통령령이 정한 유출등의 가능성이 있음을 알게 된 때에도 해당 정보주체에게 피해 최소화 정보를 알리도록 합니다. 단순히 사과나 비밀번호 변경만 안내하는 것으로 모든 의무가 끝나지는 않습니다.
제34조 개정문 원문
제34조의 제목 중 "유출 등"을 "유출등"으로 하고, 같은 조 제1항 각 호 외의 부분 본문 중 "분실ㆍ도난ㆍ유출(이하 이 조에서 "유출등"이라 한다)되었음"을 "유출등이 되었음"으로 하며, 같은 항 제3호 중 "관한 정보"를 "관한 구체적인 정보"로 하고, 같은 항에 제6호 및 제7호를 각각 다음과 같이 신설하며, 같은 조 제2항부터 제4항까지를 각각 제3항부터 제5항까지로 하고, 같은 조에 제2항을 다음과 같이 신설하며, 같은 조 제3항(종전의 제2항) 중 "경우 그"를 "경우에는 해당 개인정보의 회수ㆍ삭제 등 피해 확산을 방지하기 위한 조치를 포함하여"로 하고, 같은 조 제5항(종전의 제4항) 중 "제1항에 따른 유출등의"를 "제1항ㆍ제2항에 따른"으로, "제3항"을 "제4항"으로 한다.
6. 개인정보 유출등으로 인한 제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보
7. 그 밖에 개인정보가 유출등이 된 정보주체의 보호를 위하여 대통령령으로 정하는 사항
② 제1항에도 불구하고 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등 대통령령으로 정하는 사항을 알려야 한다.
통지와 신고의 구별
정보주체에 대한 통지와 감독기관 등에 대한 신고는 대상·내용·절차가 다릅니다. 법률의 지체 없는 조치와 시행령상 구체적인 시기·예외를 함께 확인해야 합니다. 72시간이라는 기준 자체가 이번 개정으로 처음 만들어졌다고 설명해서는 안 됩니다.
시행일과 손해배상
법률 제21445호는 2026년 3월 10일 공포되어 해당 통지 관련 개정이 9월 11일 시행되었습니다. 통지의무 위반 여부와 정보주체의 손해배상 성립은 각각 판단합니다. 통지를 받았다는 사실만으로 특정 금액의 배상을 자동으로 받는 제도는 아닙니다. 부칙은 실제 유출등을 알게 된 시점과 법정 유출 가능성을 알게 된 시점을 구분해 새 통지규정의 적용 여부를 정합니다.
법률 제21445호 부칙 제2조 원문
제2조(개인정보 유출등의 통지 등에 관한 적용례) ① 제34조제1항 및 제4항의 개정규정은 이 법 시행 이후 개인정보가 유출등이 되었음을 알게 된 경우부터 적용한다.
② 제34조제2항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 유출등의 가능성이 있음을 알게 된 경우부터 적용한다.
③ 제34조제3항의 개정규정은 이 법 시행 이후 유출등이 된 경우부터 적용한다.