1천명 미만 유출이면 신고하지 않아도 되나요?

인원만으로 결론이 나지 않습니다

답부터 적으면 1천명 미만이어도 신고 의무가 생길 수 있습니다. 공개 안내가 적는 신고 요건은 세 가지이고 서로 OR 관계입니다. 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보 또는 고유식별정보가 유출된 경우, 개인정보처리시스템이나 개인정보취급자가 쓰는 정보기기에 대한 외부로부터의 불법적인 접근으로 유출된 경우입니다. 인원은 세 축 중 하나일 뿐입니다.

세 요건이 OR 로 묶여 있다는 뜻

OR 이라는 말은 하나만 맞아도 의무가 생긴다는 뜻입니다. 그래서 인원을 먼저 세고 미만이라는 이유로 멈추면 나머지 두 축을 보지 않은 채 결론을 내리게 됩니다. 실무에서 가장 자주 걸리는 쪽은 세 번째입니다. 외부의 불법적인 접근으로 유출된 경우에는 인원이 몇 명이든 요건에 들어갑니다.

신고가 없어도 통지는 남습니다

여기서 두 의무를 분리해야 합니다. 통지는 정보주체 본인에게 알리는 것이고 신고는 감독기관에 알리는 것입니다. 신고 요건에 해당하지 않아도 유출을 알게 되었다면 정보주체에게 알리는 의무는 그대로 남습니다. 신고가 없으니 통지도 없다고 읽는 것이 가장 비용이 큰 착오입니다.

기한은 두 의무에 같이 적용됩니다

기한은 유출을 알게 된 때부터 72시간입니다. 통지와 신고 모두 이 시간 안에 처리하는 구조입니다. 기산점이 사고 발생 시점이 아니라 알게 된 시점이라는 점도 함께 봐야 합니다. 로그를 나중에 분석해 과거의 유출을 발견했다면 발견한 시각부터 셉니다.

사례: 유출 인원 400명을 끝까지 판정하기

상황은 온라인 서비스에서 회원 정보가 외부로 나간 경우입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 인원 400명, 항목은 이름과 휴대전화번호, 원인은 관리자 계정 탈취로 인한 외부 접근입니다. 계산은 세 요건을 차례로 보는 것입니다. 첫째 400명은 1천명 미만이므로 첫 요건에 해당하지 않습니다. 둘째 이름과 휴대전화번호는 민감정보나 고유식별정보가 아니므로 둘째 요건에도 해당하지 않습니다. 셋째 관리자 계정 탈취로 인한 외부의 불법적인 접근이므로 세 번째 요건에 해당합니다. 최종 결과는 신고 의무 발생이고, 통지 의무도 함께 발생하며 기한은 알게 된 때부터 72시간입니다. 결과를 바꾸는 예외는 원인이 외부 접근이 아니라 내부 담당자의 단순 실수였던 경우로, 그때는 세 요건 모두에 해당하지 않아 신고 의무는 발생하지 않고 통지 의무만 남습니다. 다음 행동은 원인을 외부 접근과 내부 실수 중 어느 쪽으로 볼 것인지 근거와 함께 한 줄로 적는 것입니다.

신용정보는 기준 숫자가 다릅니다

상거래기업과 법인에는 별도의 기준이 적용됩니다. 공개 안내는 1만명 이상 신용정보주체의 개인신용정보가 유출된 경우를 적습니다. 즉 일반 개인정보의 1천명과 개인신용정보의 1만명은 서로 다른 주체에 적용되는 다른 숫자입니다. 두 값을 섞어 쓰면 의무 판정이 틀어집니다.

판정에서 빠지기 쉬운 자리

세 요건을 다 보고도 인원 집계에서 틀어지는 경우가 있습니다. 중복 계정과 탈퇴 회원을 어떻게 셀지 정하지 않으면 400명과 1천명의 경계가 흔들립니다. 또 항목 목록을 나중에 다시 확인했을 때 고유식별정보가 섞여 있는 것이 드러나면 판정이 뒤집힙니다. 그래서 인원과 항목 목록은 추정치가 아니라 확인된 값으로 적고, 바뀌면 판정을 다시 합니다.

인원과 정보 종류를 교차해서 보기