개인정보 유출 신고 기한 72시간 - 통지·신고 절차와 지연 시 과징금
결론부터: 유출 사실을 안 때로부터 72시간 이내에 ① 정보주체(당사자)에게 통지하고, ② 일정 요건에 해당하면 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고해야 합니다. 안 하면 과태료, 사고가 중대하면 매출 기반 과징금까지 이어집니다.
먼저, 나는 "신고하는 쪽"인가 "피해자"인가
혼동이 잦은 지점입니다. 법이 정한 72시간 신고 의무는 개인정보를 다루는 사업자(개인정보처리자)에게 부과됩니다. 내 정보가 새어나간 일반 이용자라면, 아래처럼 나뉩니다.
- 사업자·기관(개인정보처리자) → 72시간 통지·신고 의무 대상. 이 글의 핵심.
- 개인(피해 당사자) → 72시간 기한과 무관. 언제든 국번없이 118 또는 개인정보침해 신고센터(privacy.kisa.or.kr)로 침해 신고·상담이 가능합니다.
핵심 조항 — 72시간이 두 개다
개인정보 보호법 제34조와 시행령에 따라, "72시간"은 성격이 다른 두 의무를 가리킵니다.
1) 정보주체(당사자) 통지 — 72시간 이내
유출 사실을 안 때로부터 지체 없이(72시간 이내) 서면·이메일·전화 등으로 알립니다. 통지 항목: 유출된 개인정보 항목 / 유출 시점과 경위 / 피해 최소화 방법 / 기관의 대응 조치 및 구제절차 / 신고 접수 담당부서와 연락처.
2) 개인정보위·KISA 신고 — 72시간 이내(요건 해당 시)
다음 중 하나라도 해당하면 개인정보보호위원회 또는 전문기관(KISA)에 신고합니다.
· 유출된 정보주체가 1천 명 이상
· 민감정보 또는 고유식별정보가 포함
· 해킹 등 외부의 불법적인 접근에 의한 유출
기산점은 "유출이 발생한 시점"이 아니라 처리자가 유출을 알게 된 시점입니다. 천재지변 등 부득이한 사유로 72시간을 넘기기 어려우면 사유 해소 후 지체 없이 신고할 수 있고, 유출 경로가 확인되어 회수·삭제로 침해 가능성이 현저히 낮아진 경우 신고하지 않을 수 있습니다.
해킹이면 신고 창구가 하나 더
해킹·악성코드 등 침해사고로 인한 유출이라면, 위 개인정보 신고와 별개로 정보통신망법에 따라 과학기술정보통신부 또는 KISA에 침해사고 신고를 해야 합니다. 개인정보 신고를 했다고 침해사고 신고가 면제되지 않습니다.
가능 vs 위험 — 실무 판단표
| 상황 | 가능(안전) | 위험(제재 소지) |
|---|---|---|
| 기한 계산 | 인지 시점 기록 후 72시간 내 통지·신고 | "조사 끝나면 신고" 미루다 기한 초과 |
| 규모 애매 | 1천 명 미만이라도 민감·고유식별정보면 신고 | "천 명 안 넘으니 안 해도 됨"으로 자가 판단 |
| 해킹 유출 | 개인정보 신고 + 침해사고 신고 병행 | 개인정보 신고만 하고 침해사고 신고 누락 |
| 통지 내용 | 법정 5개 항목 모두 포함해 통지 | "유출됐습니다"만 알리고 구제절차 누락 |
| 지연 사유 | 부득이한 사유·해소 시점을 문서로 남김 | 사유 근거 없이 임의로 기한 연장 |
지연·미이행 시 제재
- 통지·신고 미이행 → 개인정보 보호법 제75조에 따라 3천만 원 이하 과태료.
- 중대한 유출 사고 → 안전조치 의무 위반 등이 인정되면 매출액 기반 과징금 대상. 개정으로 상한이 전체 매출액의 최대 3% 수준으로 강화되는 흐름이며, 부과 통지를 받은 날부터 30일 이내 납부해야 합니다.
과징금은 "신고를 늦게 해서"가 아니라 "안전조치를 소홀히 해 유출을 냈다"는 실체적 위반에 붙는다는 점이 통지·신고 과태료와의 결정적 차이입니다.
72시간 대응 체크리스트
- 인지 시각 기록 — 누가·언제 유출을 알았는지 타임스탬프 확보(기산점 증빙).
- 범위 파악 — 유출 항목·인원수·민감/고유식별정보 포함 여부·경로 확인.
- 정보주체 통지문 작성 — 법정 5개 항목(항목/시점·경위/피해 최소화/대응·구제/담당 연락처) 포함.
- 신고 요건 판정 — 1천 명 이상·민감·고유식별·해킹 중 하나라도 해당하면 개인정보위/KISA 신고.
- 해킹이면 침해사고 신고 병행 — 과기정통부/KISA 창구 별도 접수.
- 피해 확산 차단 — 접근차단·비밀번호 재설정·회수·삭제 등 조치와 그 근거 기록.
- 전 과정 문서화 — 이후 조사·소명 대비 대응 로그 보관.
무료로 먼저 확인
신고 창구는 공식 채널을 이용하세요. 개인정보포털(privacy.go.kr)에서 유출 신고 접수, KISA 개인정보침해 신고센터(국번없이 118)에서 개인 침해 상담이 가능합니다.
개인정보위 유출신고 안내 보기유출 대응, 72시간 안에 끝내는 실무 가이드
통지문 템플릿, 신고 요건 판정표, 해킹 병행 신고 체크리스트, 사후 소명 문서 양식까지 — 인지 순간부터 신고 완료까지 시간 순서대로 정리한 실무 가이드입니다.
유료 가이드 보러 가기본 글은 2026년 8월 기준 일반 정보이며 법률 자문이 아닙니다. 구체적 사안의 신고 요건·기한·제재 판단은 개인정보보호위원회 고시와 최신 개정 내용, 전문가 확인을 따르시기 바랍니다.