최근 개인정보 유출 사고가 반복되면서 기업이 위험을 언제, 어떻게 알리는지가 중요해졌다. 이러한 문제를 개선하기 위해 지난 3월 개정된 개인정보 보호법과 시행령이 지난 9월 11일(금)부터 시행됐다. 이번 개정은 개인정보 유출 가능성 단계까지 통지 의무를 확대했다. 피해 예방과 구제에 필요한 정보 제공도 강화됐다.

 

 유출 확인 전에도 알린다, 달라진 통지 기준

 

 개인정보보호위원회에 따르면 개인정보 유출 신고는 2024년 307건에서 2025년 447건으로 늘었다. 올해는 8월까지 579건이 접수돼 지난해 연간 건수를 넘어섰다. 유출 방지뿐 아니라 사고 후 이용자의 대응 시간 확보도 중요해졌다.

 기존 법은 개인정보처리자가 유출 사실을 인지한 후 이용자에게 통지하도록 규정했다. 하지만 침해 정황이 발견되더라도 유출 여부를 조사하는 동안 이용자 통지가 이뤄지지 않을 수 있었다. 그사이 이용자는 자신의 정보가 위험에 놓였다는 사실을 모른 채 서비스를 계속 이용하게 되는 것이다.

 이번에 도입된 ‘개인정보 유출 가능성 통지제’는 이러한 공백을 줄이려는 조치다. 통지 대상은 두 가지 경우로 구분된다. △불법적인 시스템 접근으로 개인정보 유출이 의심되지만 유출 대상자를 특정하기 어려운 경우 △일부 개인정보의 불법 거래가 확인돼 다른 이용자의 정보도 유출됐을 가능성이 있는 경우다. 개인정보처리자는 법령에서 정한 유출 가능성을 인지한 시점부터 72시간 이내에 이용자에게 알려야 한다. 이전에도 유출 사실을 인지한 뒤 72시간 안에 통지하는 규정은 있었지만, 이번에는 통지 의무가 시작되는 시점 자체가 넓어진 것이다.

 이용자는 유출 확정 전부터 비밀번호를 변경하고 의심스러운 로그인 기록을 확인할 수 있다. 이로써 계정 도용이나 사칭 연락 등 추가 피해에 대비할 시간을 확보할 수 있다.

 

 조기 경고의 효과, 안내의 내용에 달려

 

 문제는 빠른 통지가 반드시 정확한 통지를 뜻하지는 않는다는 점이다. 사고 초기에는 기업조차 어떤 정보가 노출됐는지, 영향을 받은 이용자가 누구인지 모두 파악하지 못할 수 있다. 이용자가 ‘유출 가능성이 있다’는 말을 들으면 경각심은 생기더라도 구체적으로 무엇을 해야 할지 판단하기 어렵다.

 이를 보완하기 위해 개정 시행령은 유출이 의심되는 개인정보 항목과 시점·경위, 피해를 줄일 수 있는 방법 등을 통지하도록 했다. 이후 실제 유출이 확인되면 확정된 유출 사실을 통지해야 한다. 반면 유출 가능성을 통지한 뒤 유출이 발생하지 않은 것으로 밝혀지면 즉시 그 사실을 알려야 한다. 처음부터 모든 사실을 확정해 알리는 대신 확인된 내용을 먼저 알리고 조사 결과를 추가로 전달하도록 했다.

 통지문이 이용자에게 제대로 도달하는지도 관건이다. 지난 9월 개인정보보호위원회와 한국인터넷진흥원은 ‘개인정보 유출 등 대응 안내서’를 공개했다. 법무법인 화우는 이를 분석해 과거 통지 과정에서 확인된 문제들을 짚었다. 유출 항목을 모호하게 적거나 개별 연락이 가능한데도 홈페이지 공지만으로 알리는 경우 등이 대표적이다. 이를 해결하지 못하면 조기 통지 보호 효과도 제한될 수 있다.

 특히 정보의 종류에 따라 이용자가 취할 조치가 달라진다. 계정 관련 정보가 위험에 노출됐다면 비밀번호 변경과 추가 인증 설정이 필요할 수 있다. 전화번호가 노출된 경우에는 사칭 문자와 전화에 주의해야 한다. 따라서 통지는 단순한 사고 안내를 넘어, 이용자가 자신의 상황에 맞게 행동하도록 돕는 정보여야 한다. 이는 기업이 법정 기한을 지켰다는 사실만으로 통지가 제 역할을 했다고 평가하기 어려운 이유다.

 

 피해구제 안내 확대, 권리 행사 문턱 낮아질까

 

 개정법은 이용자가 피해구제에 필요한 권리를 행사할 수 있도록 관련 안내도 강화했다. 기존 통지 항목에는 △유출된 개인정보의 항목 △유출 시점과 경위 △피해 최소화 방법 △개인정보처리자의 대응조치 및 피해구제 절차 △신고 접수 담당 부서와 연락처가 포함돼 있었다. 이번 개정으로 손해배상·법정손해배상 청구와 분쟁조정 등 법적 권리 및 행사 방법이 추가됐다. 그 밖에 대통령령으로 정하는 이용자 보호 사항도 포함되면서 통지 항목은 5개에서 7개로 확대됐다.

 기존에는 유출 사실을 알아도 구제 수단은 피해자가 별도로 찾아봐야 했다. 이번 개정법에서는 사고 통지문에서 분쟁조정이나 손해배상 청구 방법을 함께 확인할 수 있도록 개정됐다. 이는 개인정보 보호 제도를 잘 모르는 이용자도 필요한 절차를 찾는 데 도움을 받을 수 있다는 의미다. 다만 안내 문구가 법률 용어를 나열하는 데 그친다면 이용자 구제 절차를 활용하기 어렵다. 어디에 문의하고 어떤 방법으로 신청할 수 있는지까지 이해하기 쉽게 설명해야 한다.

 통지 대상과 안내 내용이 확대됐다는 사실만으로는 이용자 보호가 실질적으로 강화됐다고 보기 어렵다. 사고 초기에는 유출 범위와 피해 여부가 명확하지 않아 이용자가 통지받더라도 구체적인 대응 방법을 판단하기 어려울 수 있다. 또한 피해구제 절차에 대한 안내가 확대됐지만, 실제 피해를 입증하고 보상받는 과정의 어려움까지 해결된 것은 아니다. 따라서 개정법의 실효성은 신속한 통지를 넘어 이용자의 실질적인 피해 예방과 권리 행사까지로 이어지는지에 달려 있다.