개정 개인정보 보호법(9/11 시행) 대응: 72시간 통지·신고, 무엇을 어떻게 입증하나

2026년 9월 11일 개정 개인정보 보호법이 시행됩니다. 유출 통지·신고 의무가 강화되면서, 사고 발생 시 “누가·언제·무엇에 접근했는가”를 짧은 시간 안에 입증하는 일이 중요해집니다. 이 글은 무엇이 바뀌는지와, 실무에서 무엇을 준비해야 하는지를 정리합니다.

핵심 요약: 개정법 시행으로 개인정보가 유출되면 지체 없이 정보주체에게 개별 통지해야 하고, 일정 요건에서는 72시간 이내에 신고해야 합니다. 즉, 유출 사실과 범위, 접근 경로를 빠르게 확인·입증할 수 있는 접속기록과 접근통제 체계가 사전에 갖춰져 있어야 합니다.

무엇이 바뀌나

통지·신고의 기준과 시한이 강화됩니다. 개인정보보호위원회와 KISA는 시행에 앞서 유출 통지 매뉴얼을 준비했으며, 보도된 주요 내용은 다음과 같습니다(세부는 공식 매뉴얼·법령 원문으로 재확인 권장 — 확인 필요).

• 개인정보가 1건이라도 유출되면 서면·이메일·문자 등으로 지체 없이 개별 통지
• 1,000명 이상 유출, 민감·고유식별정보 유출, 외부 불법접근(해킹)에 의한 유출은 72시간 이내 신고
• 불법 접근·거래를 알게 된 때부터 72시간 내에 유출 ‘가능성’이 있는 모든 정보주체에게 선제적으로 통지

72시간 안에 무엇을 입증해야 하나

짧아진 시한을 지키려면, 사고 직후 다음을 빠르게 확인·증빙할 수 있어야 합니다.

• 접근 주체: 어떤 계정이 언제 접근했는가(정상/비정상 구분)
• 접근 대상: 어떤 개인정보·시스템이 열람·반출되었는가
• 영향 범위: 유출 ‘가능성’이 있는 정보주체의 범위
• 대응 근거: 통지·신고 시한 준수를 뒷받침하는 기록

이 확인을 사람이 로그를 수작업으로 뒤져서 하기는 어렵습니다. 개인정보 접속기록 관리와 데이터베이스·시스템 접근통제가 갖춰져 있으면, 접근 이력을 근거로 빠르게 범위를 좁힐 수 있습니다.

대응 체크리스트

• 개인정보 처리시스템의 접속기록이 누락 없이 수집·보관되는가
• 이상 접근·대량 조회를 탐지·차단할 수 있는가
• 접근 권한이 최소 권한 원칙으로 관리되는가
• 유출 통지·신고 절차와 담당자, 시한 관리 체계가 문서화되어 있는가
• 통지·신고에 필요한 기록을 신속히 추출할 수 있는가

접속기록·이상행위 대응은 INFOSAFER 개인정보 접속기록 관리 FAQ와 개인정보 접속기록 관리란 무엇인가요 글에서 더 자세히 다룹니다. PNPSECURE는 접속기록 관리(INFOSAFER)와 접근통제(DBSAFER) 영역의 솔루션을 제공합니다.

자주 묻는 질문

개정법은 언제 시행되나요?

2026년 9월 11일 시행됩니다. 통지·신고 기준과 시한이 강화됩니다.

72시간 신고는 모든 유출에 적용되나요?

보도에 따르면 1,000명 이상 유출, 민감·고유식별정보 유출, 해킹에 의한 유출 등 일정 요건에서 72시간 이내 신고가 적용됩니다. 구체 요건은 공식 매뉴얼·법령 원문으로 확인하시기 바랍니다.

접속기록이 왜 중요한가요?

통지·신고 시한이 짧아질수록, 누가·언제·무엇에 접근했는지를 빠르게 입증할 수 있어야 합니다. 접속기록과 접근통제가 그 근거가 됩니다.

다음 단계

개정법 시행 전, 개인정보 처리시스템의 접속기록·접근통제 현황을 점검해 보세요. 대응 체계 진단이 필요하면 문의해 주시면 도움을 드립니다.

개정 개인정보 보호법 대응 체계(접속기록·접근통제)를 점검하고 싶으시다면 PNPSECURE에 상담을 문의해 보세요.