72시간 규정의 기산점은 언제부터인가

개인정보보호법 제34조와 시행령 제40조는 개인정보처리자가 개인정보의 유출 등이 있음을 알게 됐을 때 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 서면 등의 방법으로 신고하도록 규정합니다. 여기서 기산점은 '유출이 실제로 발생한 시점'이 아니라 '유출 사실을 알게 된 시점'입니다. 즉 시스템 로그에 이상 징후가 발생한 시점과, 담당자가 그 사실을 인지하고 유출로 판단한 시점이 다를 수 있으며, 신고 기한은 후자를 기준으로 흘러갑니다.

이 구조 때문에 실무에서 가장 위험한 태도는 "확실해질 때까지 조사부터 하고 신고는 나중에"라는 접근입니다. 유출 여부가 명확해질 때까지 내부 조사를 먼저 끝내려다 보면 72시간이 순식간에 지나갑니다. 법은 확정된 사실만 신고하라고 요구하지 않습니다.

확인되지 않은 상태에서는 어떻게 신고해야 하나

개인정보가 유출된 것으로 보이지만 구체적인 내용을 아직 확인하지 못한 경우에는, 유출된 것으로 보이는 사실과 그때까지 확인된 내용, 관련 사항을 우선 신고하고, 추가로 확인되는 내용은 확인되는 즉시 보완해서 신고해야 합니다. 이 절차 덕분에 "정확한 피해 규모를 몰라서 신고를 못 했다"는 변명은 통하지 않습니다. 오히려 초기 신고를 늦추는 것 자체가 별도의 위반으로 다뤄질 수 있습니다.

이런 구조를 팀 안에서 미리 공유해두는 것이 중요합니다. 유출 정황을 처음 발견한 실무자가 "아직 확실하지 않으니 조금 더 확인해보고 보고하자"고 판단하지 않도록, "의심되는 시점에 즉시 보고"를 원칙으로 삼는 문화를 만들어야 합니다.

신고하지 않으면 어떤 불이익이 있나

72시간 이내 신고 의무를 지키지 않으면 개인정보보호법 제75조 제2항 제18호에 따라 3천만 원 이하의 과태료가 부과됩니다. 이 과태료는 유출 사고 자체에 대한 제재와는 별개로, '신고 의무를 지키지 않은 것' 자체에 부과되는 제재라는 점이 중요합니다. 즉 유출 사고의 원인이 외부 해킹처럼 회사 과실이 크지 않은 경우라도, 신고 시한을 넘기면 그 부분만으로도 별도의 제재 대상이 됩니다.

여기에 더해 유출 사고의 원인과 규모에 따라 별도의 과징금, 시정명령, 형사 고발, 피해자의 민사 손해배상청구까지 이어질 수 있습니다. 신고 자체는 이런 후속 제재를 피하기 위한 절차가 아니라, 오히려 성실하게 대응하고 있다는 근거를 남기는 절차로 이해하는 것이 맞습니다. 신고를 늦춘 회사와 제때 신고한 회사는, 같은 유출 사고를 겪었더라도 이후 조사와 제재 수위에서 서로 다르게 취급될 가능성이 큽니다.

고객 통지는 어떤 내용을 담아야 하나

유출 신고와 별개로, 유출된 개인정보의 정보주체(고객)에게도 통지해야 합니다. 통지에는 유출된 개인정보 항목, 유출이 발생한 시점, 이용자가 취할 수 있는 조치(비밀번호 변경 안내 등), 개인정보처리자의 대응 조치와 피해 구제 절차, 문의 접수 담당부서 및 연락처가 포함돼야 합니다. 통지 방식은 이메일, 문자, 서면, 홈페이지 공지 등 이용자에게 실제로 도달할 수 있는 방법을 택해야 하며, 단순히 홈페이지 한구석에 공지문을 올려두는 것만으로는 충분한 통지로 인정받기 어려울 수 있습니다.

통지 문구를 작성할 때는 마케팅팀의 카피라이팅 감각이 오히려 방해가 될 수 있다는 점도 유의해야 합니다. 사고를 축소하거나 완곡하게 표현하려는 시도는 이용자의 신뢰를 더 떨어뜨리고, 사실관계를 정확히 전달하지 못했다는 추가 지적으로 이어질 수 있습니다. 정확한 사실과 구체적인 조치 방법을 담백하게 전달하는 것이 원칙이며, 법무·정보보호 담당자의 검토를 거친 뒤에 발송하는 절차를 반드시 지켜야 합니다.

마케터는 초동 대응에서 어떤 역할을 해야 하나

마케팅팀이 유출 정황을 가장 먼저 발견하는 경우도 적지 않습니다. 예를 들어 발송 대상이 아닌 고객에게 잘못된 이메일이 대량 발송됐거나, 캠페인용으로 내려받은 회원 명단 파일이 외부로 유출된 정황을 발견하는 식입니다. 이런 상황에서 마케팅팀이 가장 먼저 해야 할 일은 사고를 축소해서 보고하거나 자체적으로 조용히 해결하려 하지 않고, 즉시 정보보호 담당 부서에 알리는 것입니다.

72시간이라는 시한을 생각하면, 초동 보고가 늦어질수록 이후 조사와 신고, 통지까지 이어지는 전체 대응 시간이 그만큼 줄어듭니다. 평소 마케팅팀 내에 "이런 정황을 발견하면 누구에게, 어떤 채널로 보고한다"는 간단한 비상 연락 체계를 만들어두는 것이 실질적인 대응 속도를 좌우합니다. 사고 발생 시점의 담당자 개인 판단에만 의존하기보다, 미리 정해둔 절차를 따르게 하는 것이 훨씬 안정적입니다.