개인정보 유출 사고 초기 72시간 대응 체계: 알게 된 때부터 시계가 돕니다

30초 핵심

개인정보 유출을 알게 된 때부터 통지는 지체 없이, 시행령상 원칙 72시간 안에 해야 하고, 감독기관 신고는 정해진 요건에 해당할 때 같은 시간 안에 판단해야 하므로 대응 절차를 미리 정해 두어야 합니다.

• 사실: 개인정보 보호법 제34조는 알게 되었을 때 지체 없이 알리도록 하고, 시행령 제39조는 원칙 72시간 이내의 통지를, 제40조는 요건에 해당할 때 72시간 이내의 신고를 정합니다.
• 분석: 통지와 신고는 요건이 다릅니다. 통지에는 규모 요건이 없지만 신고는 1천 명 이상, 민감정보 또는 고유식별정보, 외부로부터의 불법적인 접근 중 하나에 해당할 때 이루어집니다.
• 권고: 시간 기준의 출발점은 알게 된 때이므로, 발견 시각을 기록하고 사실 확인과 확산 차단, 통지와 신고 판단, 기록 보존을 한 장의 대응표로 미리 정해 두시기 바랍니다.