2026 개인정보 유출 가능성 통지제｜9월 11일부터 회사가 72시간 안에 알려야 하는 것

2026년 9월 11일부터 개인정보 보호법과 시행령이 개정되면서 실제 개인정보 유출이 확정되기 전이라도 일정한 유출 가능성이 확인되면 개인정보처리자가 정보주체에게 통지해야 하는 제도가 시행됩니다.

따라서 앞으로 회사나 기관에서 ‘개인정보가 유출됐을 가능성이 있다’는 문자나 이메일을 받을 수 있습니다.

다만 단순한 해킹 시도나 막연한 의심만으로 모든 이용자에게 통지하는 것은 아닙니다.

개인정보 유출 가능성 통지제란

기존에는 개인정보가 실제로 유출됐다는 사실을 알게 된 뒤 정보주체에게 통지하는 것이 기본이었습니다.

이번 개정은 개인정보 유출이 의심되는 초기 단계부터 이용자가 비밀번호 변경이나 피싱 예방 등의 조치를 할 수 있도록 통지 시점을 앞당긴 것이 핵심입니다.

어떤 경우에 유출 가능성을 알려야 하나

첫째, 개인정보처리시스템이나 개인정보 처리에 사용하는 정보기기에 불법적인 접근이 발생했고 개인정보 유출이 의심되지만 어떤 정보주체의 개인정보인지 특정하기 어려운 경우입니다.

둘째, 개인정보처리자가 보유한 일부 개인정보가 불법적으로 거래되거나 유통된 사실이 확인됐고 다른 정보주체의 개인정보도 유출됐을 가능성이 있다고 인정되는 경우입니다.

72시간 안에 알려야 한다

개인정보처리자는 이러한 유출 가능성을 알게 된 때부터 원칙적으로 72시간 이내에 정보주체에게 통지해야 합니다.

천재지변 등 부득이한 사유로 기한 내 통지가 어려운 경우에는 그 사유가 해소된 뒤 즉시 통지해야 합니다.

유출 가능성 통지에 들어가야 하는 내용

• 유출 가능성이 있는 개인정보 항목
• 유출이 있었을 것으로 의심되는 시점과 경위
• 정보주체가 피해를 최소화하기 위해 할 수 있는 방법
• 개인정보처리자의 대응조치와 피해구제 절차
• 신고나 문의를 접수할 담당부서와 연락처
• 실제 유출 여부가 확정되면 추가 통지하겠다는 사실

실제로 유출된 것으로 확인되면

조사 과정에서 실제 개인정보 유출 사실이 확인되면 정식 개인정보 유출 통지를 해야 합니다.

실제 유출 통지에는 유출된 개인정보 항목, 발생 시점과 경위, 피해예방 방법, 회사의 대응조치와 담당부서뿐 아니라 손해배상과 법정손해배상 청구, 개인정보 분쟁조정 등 정보주체의 법적 권리와 그 행사방법도 포함됩니다.

실제 유출이 아니었다면

회사가 먼저 유출 가능성을 통지한 뒤 조사 결과 실제 개인정보가 유출되지 않은 것으로 확인됐다면 그 사실도 정보주체에게 즉시 알려야 합니다.

따라서 유출 가능성 통지를 받은 경우 회사의 후속 안내까지 확인하는 것이 중요합니다.

랜섬웨어 사고도 통지 대상이 될 수 있다

이번 개정으로 개인정보의 분실·도난·유출뿐 아니라 위조·변조·훼손도 개인정보 유출등 사고의 범위에 포함됐습니다.

랜섬웨어 등으로 개인정보가 변조되거나 훼손된 사고도 통지와 신고 대상이 될 수 있습니다.

개인정보 유출 가능성 문자를 받았다면

1. 문자를 보낸 회사와 발신번호가 실제 공식 안내인지 확인합니다.
2. 문자 링크보다 회사 공식 앱이나 홈페이지에서 공지를 먼저 확인합니다.
3. 유출 가능성이 있는 개인정보 항목을 확인합니다.
4. 비밀번호 관련 정보가 포함됐다면 비밀번호를 변경합니다.
5. 휴대전화번호나 이메일 등이 포함됐다면 피싱과 스미싱에 주의합니다.
6. 회사가 실제 유출 여부를 추가 통지하는지 확인합니다.

연락처를 모르는 경우의 통지

정보주체의 연락처를 알 수 없는 등 정당한 사유가 있으면 개인정보처리자는 자신의 인터넷 홈페이지에 관련 내용을 30일 이상 게시하는 방식으로 통지를 갈음할 수 있습니다.

홈페이지가 없는 경우에는 사업장의 보기 쉬운 장소에 30일 이상 게시할 수 있습니다.

자주 묻는 질문

유출 가능성 문자는 실제 유출 확정 문자와 같은가요?

아닙니다. 유출 가능성 단계와 실제 유출 확정 단계는 구분됩니다.

새 제도는 언제 시행되나요?

2026년 9월 11일부터 시행됩니다.

회사는 언제까지 알려야 하나요?

유출 가능성 통지 요건을 알게 된 때부터 원칙적으로 72시간 이내입니다.

실제로 유출되지 않았다면 어떻게 되나요?

실제 유출이 아닌 것으로 확인된 경우 회사가 그 사실을 즉시 알려야 합니다.

개인정보 피해 상담은 어디에서 하나요?

개인정보 침해 신고·상담은 국번 없이 118을 이용할 수 있고, 분쟁조정은 개인정보분쟁조정위원회를 통해 신청할 수 있습니다.

결론

2026년 9월 11일부터는 개인정보가 실제로 유출됐다는 확정 결과가 나오기 전이라도 일정한 유출 가능성이 확인되면 개인정보처리자가 정보주체에게 알려야 합니다.

유출 가능성 문자를 받았다면 어떤 개인정보가 영향을 받을 수 있는지와 회사의 대응방법을 확인하고 실제 유출 여부에 대한 후속 통지까지 지켜보는 것이 중요합니다.