개인정보 유출 조사 기간 — 100만 명 넘으면 12개월, 일반은 6개월이 원칙입니다

「회원님의 개인정보가 유출되었습니다」로 시작하는 문자를 받으면 그다음에 드는 생각은 대개 하나입니다. 그래서 조사는 언제 끝나고 결과는 언제 나오나. 지금까지는 이 물음에 답이 없었어요. 개인정보보호위원회가 2026년 10월 2일에 낸 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」 보도자료에 그 기한이 숫자로 처음 적혔어요. 아래는 그 자료 본문만 보고 적은 것이고, 확인한 날은 2026년 10월 12일입니다.

내 사고가 어느 갈래에 들어가는지부터 갈립니다

기한이 하나로 정해진 게 아니라 사건을 셋으로 갈라 놓고 각각 다른 기한을 붙였어요.

갈래	처리 기한 원칙	무엇이 이 갈래인가
중요사건	12개월 이내	① 100만 명 이상 유출 ② 사회적 관심·우려가 큰 사건 ③ 주요 공공시스템 해킹 등
일반사건	6개월 이내	동종·유사 사건을 유형화해 연계·일괄 처리
경미사건	3개월 이내	중소·영세 사업자 최초 과태료 면제 · 기술지원으로 재발방지 전환

눈여겨볼 선은 100만 명입니다. 통신·플랫폼·유통처럼 많은 개인정보를 가진 사업자에서 사고가 나면 수백만에서 수천만 명이 한꺼번에 영향을 받는 일이 이어지고 있어요. 그런 사고는 중요사건 쪽에 들어가니 기한도 12개월이 원칙입니다. 동네 학원이나 작은 쇼핑몰에서 수십 명분이 샌 경우라면 3개월 안쪽 자리예요.

중요사건에는 전담 조사단을 꾸리고, 사고가 나면 즉시 현장 대응반이 들어가 유출 영향을 받은 시스템과 증적을 먼저 보존합니다. 유출 통지가 제대로 나갔는지, 추가 피해를 막는 조치를 했는지도 같이 봐요.

경미사건 쪽에 붙은 기술지원 예산은 2027년 정부안 22억 원입니다. 아직 확정 예산이 아니라 정부안이에요.

신고가 늘어난 폭이 이 개편의 이유입니다

해	유출 신고
2022년	167건
2023년	318건
2025년	447건
2026년 상반기만	432건

2022년과 견주면 2025년이 2.7배입니다. 그런데 더 눈에 걸리는 줄은 맨 아래예요 — 2026년은 반년 만에 지난해 한 해치에 거의 닿았습니다. 보도자료는 2024년 값을 적지 않아서 그 해 숫자는 여기 비워 둬요.

개인정보위가 든 원인은 건수만이 아니에요. 인공지능 기술이 퍼지면서 개인정보를 겨눈 공격이 고도화·지능화되고 있다는 진단을 앞에 놓고, 그래서 사고가 빠르게 늘고 있다고 했습니다.

여기서 센 신고는 사고를 낸 쪽이 개인정보위에 하는 유출 신고예요. 창구는 개인정보 유출신고제도 쪽입니다.

그 창구 안내에는 누가 언제 신고해야 하는지가 표로 붙어 있어요. 근거는 「개인정보 보호법」 제34조와 같은 법 시행령 제40조이고, 기한은 한 줄입니다 — 72시간 이내.

대상	신고 기준	기한
개인정보처리자	① 1천 명 이상 정보주체의 개인정보가 유출된 경우 ② 민감정보 또는 고유식별정보가 유출된 경우 ③ 개인정보처리시스템이나 취급자의 정보기기에 외부에서 불법적으로 접근해 유출된 경우	72시간 이내
상거래기업 및 법인	1만 명 이상 신용정보주체의 개인신용정보가 유출(누설)된 경우	72시간 이내

셋 중 하나만 해당해도 신고 대상입니다. 1천 명 선을 넘지 않아도 고유식별정보나 민감정보가 섞였으면 그것만으로 걸려요. 안 하면 같은 법 제75조 제2항 제18호에 따라 3천만 원 이하의 과태료가 붙습니다.

신고서에 적는 여섯 칸 중 둘은 유출된 사람 쪽을 겨눕니다 — 정보주체에게 통지했는지, 그리고 정보주체가 할 수 있는 피해 최소화 방법과 구제절차예요. 문자를 받고 「그래서 내가 뭘 해야 하나」를 못 찾으셨다면, 그 칸이 신고서에 들어가 있어야 하는 칸이라는 뜻입니다.

받는 곳은 개인정보위가 아니라 한국인터넷진흥원이에요. 개인정보위가 「개인정보 보호법」에 따라 신고 접수 전문기관으로 지정한 곳이고, 담당부서는 개인정보위 조사총괄과입니다. 다만 은행·증권·보험 같은 금융기관과 신용정보회사·채권추심회사의 유출신고는 금융감독원 쪽으로 가요. 위 내용은 2026년 10월 19일에 받은 개인정보위 안내 화면에 적힌 그대로입니다.

621건을 갈라 보니 공공과 민간이 뒤집혀 있었습니다

처분이 끝난 유출 사건 621건의 원인을 갈라 본 표예요.

	1위	2위	3위
민간	해킹 235건	업무과실 192건	시스템 오류 51건
공공	업무과실 79건	해킹 33건	시스템 오류 9건

1위와 2위가 서로 바뀌어 있습니다. 민간에서는 밖에서 뚫고 들어오는 쪽이 1위인데, 공공에서는 안에서 잘못 다루는 쪽이 1위예요. 공공기관의 해킹 33건보다 업무과실 79건이 두 배 넘게 많습니다. 담당자가 파일을 잘못 보내거나 권한을 잘못 준 일이 공공 쪽 유출의 주된 모습이라는 뜻이죠. 방화벽을 한 겹 더 두르는 것으로는 줄지 않는 갈래고, 그래서 경미사건 쪽을 과태료가 아니라 기술지원과 재발방지로 돌린 대목이 숫자와 맞물립니다.

과징금 1억 원 이하가 소위원회로 내려갑니다

지금은 과태료 사건만 소위원회에서 보고 과징금 사건은 전체회의로 올라가요. 그 문턱을 내리는 방안이 함께 들어갔어요.

예상 과징금	지금	바뀌는 방향
과태료 사건	소위원회	그대로
1억 원 이하 소액 과징금	전체회의	먼저 소위원회로 내린다
10억 원 이하	전체회의	운영 성과를 보고 단계적으로 넓힌다

실제 비중도 붙어 있어요. 과징금을 매긴 200건 가운데 1억 원 이하가 107건(54%), 3억 원 이하가 136건(68%), 10억 원 이하가 169건(85%)이에요. 개인정보위가 잡은 목표치가 「약 54%에서 85%까지를 소위원회에서 처리」예요. 전체회의를 기다리느라 몇 달씩 밀리던 작은 사건이 먼저 끝난다는 이야기이고, 뒤집어 보면 내 사고가 작을수록 결론이 빨리 나온다는 뜻이기도 합니다.

조사받는 쪽에 가는 통지도 늘어납니다

읽으시는 분이 유출 사고를 당한 쪽이 아니라 사고를 낸 쪽일 수도 있어서 이 대목을 따로 적어요.

• 사건이 들어오면 초기에 부서별 전담 인력을 지정해 조사에 들어갈지를 먼저 정합니다
• 경미해서 조사에 착수하지 않고 끝내는 경우에도 그 사실을 알립니다. 지금은 알리지 않습니다
• 조사가 길어지면 6개월 또는 12개월 단위로 통지합니다
• 조사 착수·자료제출 요구·현장조사 알림도 개별통지 원칙을 지킵니다
• 큰 사건은 사실관계 조사결과를 미리 설명하고, 결과를 통지한 뒤에도 의견을 낼 기회를 줍니다

공개하는 범위도 넓혀요. 처분이 끝난 건은 지금도 개인정보보호법 제66조에 따라 「결과의 공표」 게시판에 올라오는데, 거기 실리는 내용이 지금은 처분 건수 위주예요. 앞으로는 연도·기관별 접수와 처분 현황, 평균 조사기간, 소송 제기 현황, 주요 유출 사례까지 내놓겠다고 했습니다. 과징금을 어떻게 계산했는지도 중대성 판단과 가중감경률에 더해 부과기준율과 투자감경률까지 공개합니다. 투자감경률은 개인정보보호법이 개정되면서 새로 들어온 항목이에요.

다섯 과제 중 하나는 조사하는 쪽을 손보는 이야기입니다

위에 적은 기한·소위원회·통지·공개는 이 방안의 다섯 과제 중 넷입니다. 개인정보위는 전략적 사건 관리, 신속 처리절차 도입, 조사절차 투명성 제고, 조사역량 강화, 처리현황 공개 순으로 과제를 들고, 본문도 같은 순서로 ①부터 ⑤까지 갈라 놓았어요. 위에서 빠진 하나가 네 번째인 조사역량 강화이고, 방안 제목의 「신속 조사 및 조사역량 강화」에서 뒤 절반이 이 자리입니다.

	과제	무엇을 바꾸나
①	전략적 사건 관리	중요 12개월·일반 6개월·경미 3개월로 기한을 가른다
②	신속 처리절차 도입	1억 원 이하 과징금 사건을 소위원회로 내린다
③	조사절차 투명성 제고	착수·연장·종결을 조사받는 쪽에 개별통지한다
④	조사역량 강화	전문 조사관을 키우고 조사 자료를 시스템으로 묶는다
⑤	처리현황 공개	평균 조사기간·소송 제기 현황까지 내놓는다

④에 들어간 것은 셋입니다. 분야별 맞춤형 교육과 신규 조사관 기초 교육을 강화해 전문 조사관을 키우고, 순환보직으로 업무가 끊기는 자리를 메우려고 핵심 조사관을 전문관으로 지정해 업무 연속성과 전문성을 확보합니다. 그리고 한국인터넷진흥원의 신고관리시스템과 개인정보위의 조사정보시스템, 포렌식 랩으로 조사에 필요한 자료를 서로 공유해 조사 업무의 생산성을 올리겠다고 했어요.

순환보직 줄이 저는 제일 눈에 걸렸어요. 12개월을 가는 사건에서 담당자가 중간에 바뀌면 그 사건을 처음부터 다시 설명하는 쪽은 조사받는 기업입니다. 기한을 숫자로 못 박는 일과 담당자를 묶어 두는 일이 한 방안에 같이 들어간 이유가 거기 있다고 봅니다.

다만 ④에는 숫자가 없습니다. 전문관을 몇 명 지정하는지, 교육을 얼마나 늘리는지, 시스템 연계를 언제 여는지를 개인정보위가 밝히지 않았어요. 경미사건 기술지원에 붙은 2027년 정부안 22억 원 같은 예산 줄도 ④에는 따라붙지 않았습니다.

아직 정해지지 않은 것

• 시행일이 없어요. 보도자료는 방안을 마련하고 「단계적으로 추진한다」까지만 적었습니다. 언제부터 이 기한이 적용되는지는 이 자료로 알 수 없습니다
• 소위원회 확대도 「추진」과 「계획」으로 적혀 있습니다. 이미 바뀐 제도가 아닙니다
• 2024년 유출 신고 건수는 자료에 없어요
• 인공지능 검색 데이터베이스를 조사에 쓰는 방안은 중장기 검토 단계입니다
• 보도자료와 함께 「방안」 전문 파일(hwpx·pdf)이 올라와 있는데 이 글은 그 파일을 열지 못했어요. 위의 빈칸 몇 개는 그 안에 있을 수 있습니다

이미 통지를 받으신 사고가 있다면 그 건이 어느 갈래로 분류됐는지는 조사가 끝나기 전에는 바깥에서 알기 어렵습니다. 다만 유출 규모가 기사로 이미 나와 있다면 100만 명 선을 기준으로 가늠은 해보실 수 있어요. 의결이 끝나면 개인정보보호위원회 누리집의 공표 게시판에 처분 내용이 올라옵니다. 실제로 보상 접수가 열린 건이 어떻게 굴러가는지는 티빙 유출 보상 글에 접수 창과 기한까지 적어 뒀습니다.