월요일 아침, 쇼핑몰 관리자 페이지에 새벽 3시 로그인 기록이 남아 있습니다. IP는 처음 보는 주소이고, 회원 목록이 조회된 흔적도 보입니다. 외주 개발사에 전화하니 확인해 보고 연락드리겠다는 답이 돌아옵니다.
그 전화를 끊는 순간부터 72시간 시계가 돌기 시작합니다. 문제는 이 72시간 안에 필요한 자료가 대부분 우리 사무실이 아니라 외주사가 관리하는 서버 안에 있다는 점입니다. 계약서에 한 줄이 빠져 있으면 그 자료를 받아내는 데만 이틀이 걸립니다.
시계는 사고가 난 날이 아니라 알게 된 때부터 돕니다
개인정보 보호법 제34조는 유출을 알게 되었을 때 지체 없이 정보주체에게 알리도록 정합니다. 그 지체 없이가 얼마인지는 시행령 제39조와 제40조가 72시간으로 못 박았습니다. 정보주체 통지도 72시간, 개인정보보호위원회 신고도 72시간입니다.
기산점은 사고가 발생한 날이 아니라 유출 사실을 알게 된 때입니다. 새벽에 뚫렸어도 월요일 아침에 알았다면 월요일 아침이 0시입니다. 반대로 이상 징후를 보고받고도 조사부터 하자며 미루면 그 시간 역시 72시간 안에서 흘러갑니다.
72시간은 원인을 규명하는 시간이 아니라, 아는 만큼이라도 신고서를 접수하는 시간입니다.
신고 대상은 세 가지 중 하나만 걸려도 해당합니다
개인정보보호위원회가 안내하는 신고 기준은 세 가지입니다. 이 중 하나에만 해당해도 신고 의무가 생깁니다.
- 1천 명 이상의 정보주체에 관한 개인정보가 유출된 경우
- 민감정보 또는 고유식별정보가 유출된 경우
- 개인정보처리시스템에 대한 외부의 불법적인 접근으로 유출된 경우
두 번째와 세 번째에는 인원 기준이 아예 없습니다. 주민등록번호가 한 건만 새어도, 해킹 정황이 확인되면 대상이 열 명이어도 신고해야 합니다. 몇 명인지 아직 모른다는 말은 신고를 미룰 근거가 되지 못합니다.
정보주체에게 알릴 다섯 가지 항목은 이미 정해져 있습니다
법 제34조 제1항이 통지 항목을 지정해 두었습니다. 유출된 개인정보의 항목, 유출된 시점과 경위, 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 처리자의 대응조치와 피해 구제절차, 신고를 접수할 담당부서와 연락처입니다.
다섯 가지 중 하나라도 빠지면 통지를 마쳤다고 보기 어렵습니다. 실무에서 가장 자주 빠지는 것이 마지막 항목입니다. 문자 한 통으로 사과만 보내는 것은 통지가 아닙니다.
항목과 경위가 아직 확인되지 않았다면 그때까지 확인된 내용만 먼저 알리고 나머지는 확인되는 즉시 추가로 알립니다. 연락처를 알 수 없는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시하는 방법으로 갈음할 수 있습니다.
신고 창구는 업종에 따라 갈립니다
일반 사업자는 한국인터넷진흥원이 운영하는 개인정보 유출신고 시스템(brss.pipc.go.kr)으로 접수합니다. 국내 본인확인이 어려운 해외 사업자에게만 전자우편 접수를 열어 두고 있습니다.
은행, 증권, 보험사와 신용정보회사는 금융감독원에 따로 신고합니다. 우리 회사가 어느 쪽인지 사고 당일에 찾아보면 늦습니다. 신고를 하지 않으면 3천만 원 이하의 과태료 대상이 됩니다.
72시간을 시간 순으로 쪼개면 이렇게 됩니다
- 0~6시간: 인지 시각을 분 단위로 기록하고, 접속기록과 서버 로그를 별도 위치에 복사합니다. 동시에 외주사에 서면으로 로그 보전을 요청합니다.
- 6~24시간: 유출된 항목과 대략의 규모, 침입 경로를 확인하고 그 경로를 차단합니다.
- 24~48시간: 신고서와 통지문 초안을 만들되 확인된 사실과 미확인 사실을 구분해 적습니다.
- 48~72시간: 신고를 접수하고 통지를 발송합니다. 연락처를 확보하지 못한 대상이 있으면 홈페이지 게시를 함께 준비합니다.
앞의 6시간이 가장 중요합니다. 웹서버 로그는 용량 정책에 따라 덮어써지고, 침입자가 흔적을 지우는 경우도 있습니다. 시간이 지날수록 확인이 아니라 추정이 됩니다.
접속기록이 없으면 신고서의 절반을 못 씁니다
신고서와 통지문이 요구하는 내용은 유출된 항목, 규모, 시점, 경위입니다. 네 가지 모두 접속기록과 서버 로그에서 나옵니다. 로그가 없으면 유출 여부를 확인할 수 없다고 적는 수밖에 없습니다.
개인정보의 안전성 확보조치 기준 제8조는 접속기록을 1년 이상 보관하도록 정합니다. 5만 명 이상의 정보주체를 처리하거나 고유식별정보·민감정보를 다루는 시스템은 2년 이상입니다. 접속기록에는 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무가 들어가야 합니다.
점검 주기는 지금도 월 1회 이상입니다. 2025년 10월 31일 시행된 개정 고시가 점검 주기를 내부 관리계획으로 자율 설정하도록 바꾸었지만, 확인한 개정 해설 자료 기준으로 그 조항의 시행일은 2026년 10월 30일입니다. 2026년 9월인 지금은 월 1회 점검이 그대로 의무입니다.
과징금 면책 조항이 로그를 챙길 진짜 이유입니다
법 제64조의2는 개인정보가 유출된 경우 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있게 합니다. 매출액이 없거나 산정이 곤란하면 20억 원 이하입니다.
같은 조항에 빠져나갈 문이 하나 있습니다. 제29조에 따른 안전성 확보에 필요한 조치를 다한 경우는 제외한다는 문구입니다. 문제는 다했다는 사실을 말로 증명할 수 없다는 점입니다. 접속기록과 월별 점검 이력이 그 증명 자료입니다.
로그는 사고를 막는 장치가 아니라, 사고가 난 뒤 회사를 변호해 줄 유일한 증거입니다.
외주 개발사는 법적으로 남이 아니라 수탁자입니다
법 제26조 제8항은 수탁자에게 제34조를 준용합니다. 외주 개발사도 유출을 알게 되면 통지와 신고 의무를 진다는 뜻입니다. 그렇다고 발주사의 의무가 사라지지는 않습니다. 같은 조 제4항은 위탁자가 수탁자를 교육하고 처리 현황을 점검해 감독하도록 정합니다.
법이 정하지 않은 것은 시한입니다. 수탁자가 위탁자에게 몇 시간 안에 알려야 하는지, 로그를 며칠 안에 넘겨야 하는지는 조문에 없습니다. 그 공백을 계약서로 메우지 않으면 72시간의 절반을 전화 독촉에 쓰게 됩니다.
유지보수 계약서에 미리 넣을 문장은 여섯 개입니다
- 제출 대상 로그를 이름으로 특정합니다. 웹서버 접속 로그, DB 접속기록, 관리자 페이지 로그인 이력, 계정·권한 변경 이력, 배포 이력이 기본입니다.
- 보관 기간을 법정 기간 이상으로 적고, 계약이 끝나거나 해지된 뒤에도 그 기간까지 의무가 남는다고 씁니다.
- 수탁자가 사고를 인지한 뒤 위탁자에게 서면 통보할 시한을 시간 단위로 정합니다. 24시간이 현실적인 선입니다.
- 위탁자가 요청하면 24시간 안에 로그 원본과 해시값을 함께 제출하도록 합니다.
- 재위탁은 사전 서면 동의를 받게 하고, 재수탁자에게도 같은 의무를 그대로 넘기도록 합니다.
- 클라우드 루트 계정과 로그 저장소의 소유권을 발주사 명의로 둡니다.
새로운 요구가 아닙니다. 시행령 제28조 제1항은 위탁 문서에 안전성 확보 조치, 관리 현황 점검 등 감독, 의무 위반 시 손해배상 책임을 담도록 이미 요구하고 있습니다. 위 여섯 줄은 그 법정 항목을 사고 당일에 그대로 꺼내 쓸 수 있는 문장으로 바꾼 것입니다.
이 정도까지 필요하지 않은 경우도 있습니다
회원가입도 문의 폼도 없는 소개용 홈페이지라면 개인정보처리시스템 자체가 없습니다. 이때는 로그 조항을 붙이기보다 개인정보를 아예 받지 않는 구조를 유지하는 편이 낫습니다.
임대형 서비스만 쓰는 경우도 다릅니다. 서버와 로그를 플랫폼이 쥐고 있어 외주사 계약서에 제출 조항을 넣어도 실효가 없습니다. 이때는 플랫폼의 로그 열람과 발급 절차를 미리 확인해 두는 쪽이 우선입니다.
신고 기준과 접수 창구는 개인정보보호위원회 유출신고제도 안내에서 확인할 수 있습니다. 위탁 계약과 운영 점검을 다룬 글은 실무 가이드와 운영 노트에 모아 두었습니다. 계약서 조항 검토가 필요하면 Codeforest로 문의하세요.
결론: 72시간은 조사 시간이 아니라 제출 시간입니다
사고 당일에 할 일은 원인 규명이 아닙니다. 인지 시각을 기록하고, 로그를 보전하고, 1천 명·민감정보·외부 침입 세 기준 중 무엇에 걸리는지 확인하고, 아는 만큼 신고서를 넣는 것입니다. 나머지는 추가 신고로 채우면 됩니다.
그 네 가지를 72시간 안에 하려면 로그가 이미 손에 있어야 합니다. 외주사에 로그의 종류와 보관 기간, 통보 시한, 제출 시한을 계약서로 못 박아 두세요. 계약서를 고치는 데는 하루면 충분하지만, 사고가 난 뒤에는 고칠 기회가 없습니다.
