개인정보 유출 통지, 9월부터 달라집니다

고객 명단을 다른 사람에게 잘못 보냈거나, 퇴사한 직원의 계정을 그대로 두고 있지는 않으신가요?

이런 작은 실수도 개인정보 사고가 될 수 있습니다.

2026년 9월 11일부터는 개인정보 사고가 확정된 경우뿐 아니라, 법에서 정한 유출 가능성을 알게 된 경우에도 고객에게 알려야 합니다.

사장님이 알아둘 내용만 쉽게 정리했습니다.

9월 11일부터 달라지는 세 가지

1. 유출 가능성도 통지 대상이 됩니다

기존에는 개인정보가 유출됐다는 사실을 알게 된 경우 고객에게 통지하는 것이 기본이었습니다.

앞으로는 법에서 정한 ‘유출 등의 가능성’을 알게 된 경우에도 지체 없이 알려야 합니다.

다만 막연한 의심만으로 무조건 모든 고객에게 통지해야 한다는 뜻은 아닙니다.

구체적인 판단 기준은 후속 시행령에 따라 달라질 수 있으므로, 사고가 의심된다면 개인정보 침해 상담전화 118을 통해 확인하는 것이 안전합니다.

2. 위조·변조·훼손도 포함됩니다

개인정보 사고의 범위도 넓어집니다.

기존의 분실·도난·유출뿐 아니라 개인정보가 위조되거나 변경·훼손된 경우도 통지·신고 대상에 포함됩니다.

랜섬웨어로 고객 정보가 암호화되거나 변경된 경우도 확인이 필요합니다.

3. 피해구제 방법도 알려야 합니다

고객에게 사고 사실을 통지할 때는 어떤 정보가 영향을 받았는지와 사업장의 대응 조치뿐 아니라 손해배상 청구, 분쟁조정 신청 등 피해구제 방법도 함께 안내해야 합니다.

우리 가게도 해당될까요?

고객이나 직원의 정보를 수집하고 이용한다면 개인정보처리자에 해당할 수 있습니다.

예약 고객의 이름과 전화번호
배달·배송을 위한 주소와 연락처
회원가입 정보와 구매 내역
상담 신청서와 견적 요청 내용
직원의 주민등록번호와 급여계좌
매장 CCTV 영상

온라인 쇼핑몰뿐 아니라 음식점, 미용실, 학원, 숙박업소, 여행사도 고객 정보를 관리한다면 개인정보 보호 의무를 확인해야 합니다.

이런 상황도 개인정보 사고입니다

개인정보 사고는 해킹으로만 발생하지 않습니다.

고객 명단을 다른 사람에게 잘못 전송한 경우
여러 고객의 연락처가 보이도록 단체 문자를 보낸 경우
고객 정보가 담긴 서류나 노트북을 잃어버린 경우
직원이 고객 정보를 개인 휴대전화에 저장한 경우
퇴사자의 계정과 접근 권한을 삭제하지 않은 경우
권한이 없는 사람이 고객 정보를 열람한 경우
랜섬웨어로 고객 정보가 변경되거나 훼손된 경우

작은 실수라도 고객 피해로 이어질 가능성이 있다면 그대로 넘기지 말고 사고 범위를 확인해야 합니다.

사고가 의심되면 이렇게 대응하세요

1. 발견 내용을 기록합니다

사고를 발견한 시간과 관련된 고객 정보, 시스템을 기록합니다.

2. 추가 피해를 막습니다

노출된 계정의 비밀번호를 변경하고 불필요한 접속 권한을 차단합니다.

문제가 된 파일과 접속 기록은 원인 확인에 필요할 수 있으므로 임의로 삭제하지 않습니다.

3. 사고 범위를 확인합니다

접속 기록과 문자·이메일 발송 내역, 파일 다운로드 기록을 확인합니다.

어떤 정보가 몇 명에게 영향을 미쳤는지도 살펴봐야 합니다.

4. 통지·신고 여부를 확인합니다

고객에게 알리는 ‘통지’와 개인정보보호위원회 등에 알리는 ‘신고’는 서로 다른 절차입니다.

사고 규모와 개인정보 종류 등에 따라 의무가 달라질 수 있으므로 판단이 어렵다면 118에 문의하세요.

고객에게 무엇을 알려야 할까요?

통지 대상에 해당한다면 일반적으로 다음 내용을 안내해야 합니다.

영향을 받은 개인정보
사고 발생 시점과 경위
고객이 피해를 줄이기 위해 할 수 있는 방법
사업장이 취하고 있는 대응 조치
문의를 접수할 연락처
손해배상과 분쟁조정 등 피해구제 방법

사고가 난 뒤 안내문을 처음 만들면 대응이 늦어질 수 있습니다.

고객에게 안내할 항목과 담당 연락처를 미리 정해 두는 것이 좋습니다.

지금 확인할 다섯 가지

필요 없는 고객 정보를 계속 보관하고 있지 않은가
직원마다 필요한 정보만 볼 수 있도록 권한을 나눴는가
퇴사자의 계정과 접근 권한을 바로 삭제하고 있는가
고객 명단과 개인정보 파일에 암호를 설정했는가
사고가 발생했을 때 누구에게 보고할지 정했는가

가장 좋은 방법은 필요하지 않은 개인정보를 처음부터 받지 않는 것입니다.

수집하는 정보가 적으면 관리 부담과 사고 위험도 함께 줄어듭니다.

대표자의 책임도 커집니다

9월 11일부터 사업주와 대표자의 개인정보 관리·감독 책임이 명확해집니다.

반복적이거나 중대한 위반에는 전체 매출액의 최대 10%까지 과징금이 부과될 수 있습니다.

다만 모든 사고에 10%가 적용되는 것은 아닙니다. 고의나 중대한 과실로 위반을 반복하거나 1천만 명 이상에게 피해를 준 경우, 시정명령 불이행으로 사고가 발생한 경우 등이 대상입니다.

개인정보 보호책임자와 ISMS-P 인증 관련 의무도 강화되지만, 이는 일정 규모 이상의 기업·기관을 대상으로 합니다. 모든 소상공인이 별도 인증을 받아야 하는 것은 아닙니다.

사장님이 기억할 한 가지

개인정보 사고는 대기업에서만 일어나지 않습니다.

잘못 보낸 문자 한 통, 암호 없이 공유한 예약 파일, 퇴사자의 남아 있는 계정에서도 시작될 수 있습니다.

필요한 정보만 받고, 볼 사람만 보게 하고, 필요 없으면 안전하게 삭제하세요.

이 기본 원칙이 고객의 신뢰와 사업장을 함께 지켜줍니다.

공식 정보 확인

※ 이 글은 2026년 9월 1일 기준으로 작성했습니다. 실제 통지·신고 기준은 공포되는 후속 시행령과 사고 내용에 따라 달라질 수 있습니다.