고객 개인정보 유출 72시간 신고 기준: 협력사가 뚫려도 우리 회사 책임일까 (2026.9 개정 반영)

고객 개인정보가 샜다면 알게 된 때부터 72시간 안에 고객에게 알려야 하고, 1천 명 이상이거나 민감정보·고유식별정보이거나 해킹 같은 외부 불법 접근이면 개인정보보호위원회(KISA 접수)에도 72시간 안에 신고해야 합니다. 2026년 9월 11일부터는 유출이 확정되지 않아도 '유출 가능성'을 알게 되면 72시간 안에 고객에게 알려야 합니다. 협력사(수탁사)가 뚫린 경우에도 고객 앞에 서는 쪽은 우리 회사이고, 손해배상에서는 수탁사를 우리 회사 직원으로 봅니다.

정보 기준일: 2026년 10월 24일 · 개인정보 보호법(2026.3.10 공포, 2026.9.11 시행)·개인정보보호위원회 유출신고 안내·법률신문·보도 기준 · 법령 개정 시 갱신

고객 통지 vs 기관 신고, 한눈에 비교

구분	고객(정보주체) 통지	개인정보위 신고
대상	유출된 모든 경우 (인원 무관)	① 1천 명 이상 ② 민감정보·고유식별정보(주민번호 등) ③ 외부 불법 접근에 의한 유출 — 하나라도 해당
기한	알게 된 때부터 72시간 이내	알게 된 때부터 72시간 이내
어디로	고객에게 서면·이메일·문자 등	개인정보 유출 신고 시스템(brss.pipc.go.kr), 접수는 한국인터넷진흥원
2026.9.11 추가	'유출 가능성'만으로도 통지, 손해배상 청구·분쟁조정 방법 안내	랜섬웨어 등 위조·변조·훼손도 포함
근거	법 제34조 제1항·제2항	법 제34조, 시행령 제40조
안 하면	과태료·과징금 가중 요소	3천만 원 이하 과태료 (개인정보위 안내)

시계는 내부 조사가 끝난 때가 아니라 '알게 된 때'부터 갑니다. 2024년부터 2026년 상반기까지 72시간을 넘겨 신고해 제재받은 회사는 29곳이었고, 가장 늦은 곳은 170일이 걸렸습니다(머니투데이 2026.9.29 보도).

통지·신고에 들어갈 내용

항목	예시
유출된 항목과 규모	이름·연락처·주문번호, 약 ○명
유출 시점과 경위	○월 ○일, 위탁 업체 관리자 계정 무단 접속
회사의 피해 최소화 대책	접근 차단, 비밀번호 초기화, 업체 점검
고객이 할 수 있는 피해 최소화 방법·구제 절차	비밀번호 변경, 사칭 연락 주의, 손해배상 청구·분쟁조정 방법
담당 부서와 연락처	고객센터 전화·이메일

72시간 안에 모든 내용을 확인하지 못했다면 확인된 내용부터 먼저 알리고, 나머지는 확인되는 대로 추가로 알리는 방식이 허용됩니다. 기다리다 기한을 넘기는 것이 더 큰 문제입니다.

2026년 9월 11일부터 바뀐 것

항목	개정 전	개정 후
통지 시점	유출이 확인된 때	유출 가능성을 알게 된 때부터 72시간. 그 안에 유출이 확인되면 실제 유출 통지로 갈음, 아니면 즉시 그 사실을 알림
대상 사고	분실·도난·유출	위조·변조·훼손 포함 (랜섬웨어 포함)
과징금 상한	전체 매출액 3%	3% 유지. 고의·중과실로 3년 안에 반복 위반하거나 1천만 명 이상 피해 등은 최대 10% (보도·조문 대조표 기준)
감경	-	개인정보보호에 미리 투자하고 고시 기준을 충족하면 기준금액의 최대 40% 감경 (고의·중과실 제외, 회사가 입증)
가중	-	신고·통지 기한을 넘기고 피해 확산 방지 조치도 안 하면 가중 (보도 기준 최대 30%)

개인정보보호책임자(CPO) 이사회 의결·신고 의무는 연매출 1,800억 원 초과 대규모 처리자 등에 한정돼 대부분의 중소 법인은 해당하지 않습니다. 올가을에는 임금체불 처벌 강화도 함께 시행돼, 사장님 개인 책임이 커지는 법이 연달아 바뀌었습니다. 그 내용은 임금체불 징역 5년 시행(10월 8일~): 사장님 점검표와 지연이자 계산에 정리했습니다.

협력사(수탁사)가 뚫렸다면 누가 무엇을 하나

질문	답	근거
수탁사가 낸 사고에 우리 회사도 배상하나	수탁사가 법을 어겨 생긴 손해배상책임에서는 수탁사를 우리 회사 소속 직원으로 봅니다	법 제26조 제7항
평소 할 의무는	수탁사 교육, 처리 현황 점검 등 감독	법 제26조 제4항
고객에게는 누가 알리나	실무상 고객과 계약한 회사(위탁사) 이름으로 알리는 경우가 일반적. 대한항공·아시아나도 예약시스템 운영사 아마데우스 사고를 직접 고객에게 알렸습니다(2026.10.23)	사례·실무
72시간은 언제부터	우리 회사가 알게 된 때부터. 수탁사가 늦게 알려 오면 그만큼 대응이 늦어짐	법 제34조

작은 회사라도 수탁사는 생각보다 많습니다. 쇼핑몰 호스팅, 결제대행(PG), 택배, 고객센터 외주, 급여·4대보험 아웃소싱, 문자 발송 업체가 모두 개인정보 처리 위탁에 해당할 수 있습니다. 위탁계약서에 '사고 인지 즉시(예: 24시간 이내) 위탁사에 통보' 조항이 있는지가 72시간을 지키는 실제 열쇠입니다.

예외·주의 사항

• 1천 명 미만이라도 고객 통지는 필수: 인원 기준은 기관 신고에만 걸립니다. 10명이 샜어도 해당 고객에게는 알려야 합니다.
• 주민번호는 1건이라도 신고 대상: 고유식별정보라서 인원과 관계없이 신고 기준에 들어갑니다. 직원 연말정산 자료도 여기에 해당합니다.
• 해킹이면 1명이라도 신고 대상: 외부 불법 접근에 의한 유출은 규모를 따지지 않습니다.
• 보안 취약점만 발견한 경우: 취약점 발견만으로는 '유출 가능성' 통지 대상이 아니라는 해석이 나옵니다(법률 칼럼 기준). 무단 접속 기록, 다크웹에 회사 데이터 표본이 올라온 경우처럼 객관적 정황이 있어야 합니다.
• 개인신용정보: 상거래기업·법인이 1만 명 이상 개인신용정보를 유출하면 신용정보법(제39조의4)에 따라 따로 72시간 안에 신고해야 합니다.
• 금융회사: 금융기관·신용정보회사·채권추심회사는 금융감독원(1332) 쪽 절차를 확인합니다.

사장님 72시간 체크리스트

시점	할 일
알게 된 즉시	알게 된 일시 기록, 접근 차단·계정 비밀번호 변경, 수탁사에 경위 요청
24시간 안	유출 항목·인원 1차 파악, 신고 대상(1천 명·주민번호·해킹) 해당 여부 판단
72시간 안	고객 통지 발송, 해당 시 brss.pipc.go.kr 신고. 모르는 부분은 '확인 중'으로 먼저 알림
그 후	추가 확인 내용 통지, 위탁계약서 통보 조항·수탁사 점검 기록 정비

• 우리 회사 수탁사 목록(호스팅·PG·택배·외주)과 개인정보 처리방침의 위탁 항목이 일치하는지
• 위탁계약서에 사고 통보 기한 조항이 있는지
• 고객 통지문 양식을 미리 만들어 두었는지
• 사고 대응 담당자와 연락처를 정해 두었는지

정리

유출이든 유출 가능성이든 알게 된 때부터 72시간입니다. 고객 통지는 인원과 관계없이, 기관 신고는 1천 명 이상·민감·고유식별정보·해킹일 때입니다. 협력사 사고도 결국 우리 회사 책임으로 돌아오니, 위탁계약서의 통보 조항부터 확인해 두세요.

갱신 이력

2026.10.24 첫 작성(2026.9.11 시행 개정법 반영). 개인정보위 고시·해설서 개정 시 갱신합니다.

직원 주민번호가 가장 많이 오가는 시기는 연말정산입니다. 일정은 사업주 연말정산 일정표: 미리보기부터 3월 10일 지급명세서까지에서 확인하세요.

출처: 개인정보보호위원회 '개인정보 유출신고제도' 안내(pipc.go.kr), 법률신문 '2026.9.11. 개인정보 보호법 개정법 시행'(법무법인 광장), 데이터법 '2026년 9월 11일 시행 개정 개인정보 보호법 신구조문 대조표', 아시아경제 2026.9.10·머니투데이 2026.9.29·보안뉴스 2026.10.23 보도, 대한항공·아시아나 유출 보도(2026.10.23). 이 글은 일반 정보이며 실제 사고 대응·신고는 변호사 등 전문가와 상의하세요.