개인정보 유출시의 조치방안
개인정보의 유출 
개인정보의 유출이란?
개인정보의 분실·도난·유출은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 말합니다(「표준 개인정보 보호지침」 제25조).
개인정보 유출 통지와 피해구제
개인정보 유출등 통지
개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손(이하 “유출등”이라 함)이 되었음을 알게 되었을 때에는 지체 없이 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법(이하 “서면등”이라 함)으로 72시간 이내에 해당 정보주체에게 개인정보 유출등에 관한 다음의 사실을 알려야 합니다(
「개인정보 보호법」 제34조제1항 본문, 제5항 및 「개인정보 보호법 시행령」 제39조제1항 본문).
유출등이 된 개인정보의 항목
유출등이 된 시점과 그 경위
유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위해 정보주체가 할 수 있는 방법 등에 관한 구체적인 정보
개인정보처리자의 대응조치 및 피해 구제절차
정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
개인정보 유출등으로 인한 손해배상과 법정손해배상의 청구 및 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보
그 밖에 개인정보가 유출등이 된 정보주체의 보호를 위하여 「개인정보 보호법 시행령」으로 정하는 사항
다만, 다음의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 즉시 정보주체에게 알릴 수 있습니다(「개인정보 보호법 시행령」 제39조제1항 단서).
유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위해 접속경로의 차단, 취약점 점검·보완, 유출등이 된 개인정보의 회수·삭제 등 긴급한 조치가 필요한 경우
천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우
개인정보처리자는 위에 따른 통지를 하려는 경우로서 구체적인 유출등이 된 개인정보의 항목, 유출등이 된 시점과 그 경위 내용을 확인하지 못한 경우에는 먼저 개인정보가 유출등이 된 사실과 유출등이 확인된 사항만을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 합니다(「개인정보 보호법 시행령」 제39조제2항).
개인정보처리자는 정보주체의 연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있습니다. 다만, 인터넷 홈페이지를 운영하지 않을 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 방법으로 통지할 수 있습니다(「개인정보 보호법」 제34조제1항 단서 및 「개인정보 보호법 시행령」 제39조제3항).
이를 위반하여 정보주체에게 위의 각 사실을 알리지 않은 자는 3천만원 이하의 과태료를 부과받습니다(「개인정보 보호법」 제75조제2항제17호).
개인정보 유출등의 가능성 통지
위에도 불구하고 개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 다음의 구분에 따른 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 ①유출등의 가능성이 있는 개인정보의 항목, ②유출등이 있었을 것으로 의심 또는 인정되는 시점과 그 경위, ③「개인정보 보호법」 제34조제1항제3호부터 제5호까지의 사항, ④유출등의 여부가 확정될 경우 추가 통지를 하겠다는 사실을 알려야 합니다(「개인정보 보호법」 제34조제2항 및 「개인정보 보호법 시행령」 제39조의2).
개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 불법적인 접근이 발생하여 개인정보 유출등이 의심되는 정황이 있으나 그 개인정보의 정보주체를 특정하기 곤란한 경우: 해당 불법적인 접근을 알게 된 때
개인정보처리자가 처리하는 개인정보가 「개인정보 보호법」, 「개인정보 보호법 시행령」 또는 개인정보 보호에 관한 다른 법령을 위반하여 제3자에 의해 거래되는 등 일부 개인정보가 유출등이 된 사실이 확인된 경우로서 다른 정보주체에 관한 개인정보도 유출등이 되었을 수 있다고 인정되는 경우: 해당 사실을 알게 된 때
개인정보처리자는 위의 구분에 따른 때부터 72시간 이내에 서면등의 방법으로 통지해야 합니다. 다만, 천재지변이나 그 밖에 부득이한 사유로 기한 내에 통지하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 통지해야 합니다(「개인정보 보호법 시행령」 제39조의3제1항).
개인정보처리자는 위에 따른 기한 내에 개인정보가 실제로 유출등이 된 사실을 확인한 경우에는 「개인정보 보호법」 제34조제2항에 따른 통지에 갈음하여 「개인정보 보호법」 제34조제1항에 따른 통지를 해야 합니다(「개인정보 보호법 시행령」 제39조의3제2항).
이를 위반하여 정보주체에게 피해를 최소화하기 위한 정보 등의 사항을 알리지 않은 자는 3천만원 이하의 과태료를 부과받습니다(「개인정보 보호법」 제75조제2항제17호).
위에 따른 통지를 한 개인정보처리자는 개인정보가 실제로 유출등이 되지 않은 사실을 확인한 경우 즉시 정보주체에게 그 사실을 통지해야 합니다(「개인정보 보호법 시행령」 제39조의3제3항).
개인정보처리자는 정보주체의 연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있습니다. 다만, 인터넷 홈페이지를 운영하지 않을 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 방법으로 통지할 수 있습니다(「개인정보 보호법 시행령」 제39조의3제4항).
피해구제를 위한 조치
개인정보처리자는 개인정보가 유출등이 된 경우에는 해당 개인정보의 회수·삭제 등 피해 확산을 방지하기 위한 조치를 포함하여 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 해야 합니다(「개인정보 보호법」 제34조제3항).
개인정보 유출등에 대한 신고
개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 다음에 해당하는 경우 72시간 이내에 개인정보 보호위원회 또는 한국인터넷진흥원에 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법으로 신고해야 합니다(「개인정보 보호법」 제34조제4항 전단, 「개인정보 보호법 시행령」 제40조제1항 본문 및 제3항).
1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
민감정보 또는 고유식별정보가 유출등이 된 경우
개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우
이를 위반하여 조치 결과를 신고하지 않은 자는 3천만원 이하의 과태료를 부과받습니다(「개인정보 보호법」 제75조제2항제18호).
과징금의 부과 등
과징금의 부과
개인정보 보호위원회는 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우 해당 개인정보처리자에게 전체 매출액의 100분의 3을 초과하지 않는 범위에서 과징금을 부과할 수 있습니다(「개인정보 보호법」 제64조의2제1항제9호 본문).
다만, 개인정보가 유출등이 되지 않도록 개인정보처리자가 안전성 확보에 필요한 조치를 다한 경우에는 그렇지 않습니다(「개인정보 보호법」 제64조의2제1항제9호 단서).
위에도 불구하고 개인정보 보호위원회는 다음의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 않는 범위에서 과징금을 부과할 수 있습니다(「개인정보 보호법」 제64조의2제2항 본문).
개인정보 보호위원회는 위에 따른 과징금을 부과하려는 경우 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 과징금을 산정합니다(「개인정보 보호법」 제64조의2제3항).
개인정보 보호위원회는 위반행위에 상응하는 비례성과 침해 예방에 대한 효과성이 확보될 수 있도록 다음의 사항을 고려해야 합니다(「개인정보 보호법」 제64조의2제5항).
위반행위의 내용 및 정도
위반행위의 기간 및 횟수
위반행위로 인하여 취득한 이익의 규모
암호화 등 안전성 확보 조치 이행 노력
개인정보가 유출등이 된 경우 위반행위와의 관련성 및 유출등의 규모
위반행위로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부
개인정보처리자의 업무 형태 및 규모
개인정보처리자가 처리하는 개인정보의 유형과 정보주체에게 미치는 영향
위반행위로 인한 정보주체의 피해 규모
개인정보 보호 인증, 자율적인 보호 활동 등 개인정보 보호를 위한 노력
개인정보 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부
개인정보 보호위원회는 과징금을 부과하려는 경우에는 해당 위반행위를 조사·확인한 후 위반사실, 부과금액, 이의제기 방법 및 이의제기 기간 등을 서면으로 명시하여 과징금 부과대상자에게 통지해야 합니다(「개인정보 보호법 시행령」 제60조의3제1항).
과징금의 납부
과징금 부과대상자는 그 통지를 받은 날부터 30일 이내에 개인정보 보호위원회가 지정하는 금융기관에 과징금을 납부해야 합니다(「개인정보 보호법 시행령」 제60조의3제2항).
과징금의 감면
개인정보 보호위원회는 개인정보 보호를 위해 예산·인력·설비·장치 등을 투자하고 운영하는 경우로서 다음의 사항을 고려하여 보호위원회가 정하여 고시하는 기준을 충족하는 경우 「개인정보 보호법」 제64조의2제1항 및 제2항에 따른 과징금을 감경합니다. 다만, 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외합니다(「개인정보 보호법」 제64조의2제6항 및 「개인정보 보호법 시행령」 제60조의2제5항).
보호위원회는 다음의 어느 하나에 해당하는 사유가 있는 경우에는 과징금을 부과하지 않을 수 있습니다(「개인정보 보호법」 제64조의2제7항 및 「개인정보 보호법 시행령」 제60조의2제6항).
가산금 징수
개인정보 보호위원회는 과징금을 내야 할 자가 납부기한까지 내지 않으면 납부기한의 다음 날부터 내지 않은 과징금의 연 100분의 6에 해당하는 가산금을 징수합니다. 이 경우 가산금을 징수하는 기간은 60개월을 초과하지 못합니다(「개인정보 보호법」 제64조의2제9항).
독촉 등
개인정보 보호위원회는 과징금을 내야 할 자가 납부기한까지 내지 않으면 기간을 정하여 독촉을 하고, 그 지정한 기간 내에 과징금 및 가산금을 내지 않으면 국세강제징수의 예에 따라 징수합니다(「개인정보 보호법」 제64조의2제10항).
과태료에 관한 특례
과징금을 부과한 행위에 대해서는 과태료를 부과할 수 없습니다(「개인정보 보호법」 제76조).
본 콘텐츠는 법제처 공공데이터를 기반으로 정확한 법률 정보 제공을 위해 정제·편찬되었습니다.