개인정보 유출등 대응 매뉴얼 개정안 공개…9월 11일 시행 앞두고 ISMS-P 인증기업 대응 분주할 듯

개인정보보호위원회와 한국인터넷진흥원(KISA)이 「개인정보 유출 등 대응 매뉴얼」 개정판 초안을 9월 3일까지 의견수렴에 부친다. 이번 개정은 9월 11일 시행되는 개정 「개인정보 보호법」 제34조(개인정보 유출 등의 통지·신고) 내용을 반영한 것으로, ISMS-P 인증을 보유했거나 인증을 준비 중인 기업이라면 반드시 짚어야 할 변화다.

① '유출 가능성' 단계 통지 의무 신설
가장 큰 변화는 유출이 확정되기 전, '가능성' 단계에서도 통지 의무가 발생한다는 점이다. ① 개인정보처리시스템에 대한 불법 접근 정황은 있으나 대상자를 특정하기 어려운 경우, ② 일부 개인정보의 불법 거래·유통이 확인돼 다른 정보주체도 유출 가능성이 있다고 인정되는 경우, 인지 후 72시간 이내에 해당 가능성을 알려야 한다. 이후 실제 유출 여부가 확정되면 유출 통지(확정) 또는 정정 통지(비유출 확인)를 추가로 이행해야 한다.

② 암호화·소수 유출도 예외 없음
암호화된 개인정보가 유출돼도 통지·신고 의무는 그대로 적용된다. 단, 안전한 암호화 알고리즘과 키 관리 정책이 준수되고 암호키 자체는 유출되지 않았다면 조사·처분 단계에서 법 위반으로 보지 않을 수 있다는 단서가 있다. 정보주체가 단 1명이라도 유출되면 통지 대상이 된다는 원칙도 재확인됐다.

③ ISMS-P 인증기준과의 연계 지점
이번 개정 내용은 ISMS-P 인증기준 여러 항목과 직결된다.

2.5 접근통제 / 2.6 접속기록 — 유출 인지 시점을 객관적으로 입증해야 하므로, 접속기록의 위·변조 방지 조치와 로그 자동삭제 설정이 실제로 작동하는지가 조사 시 핵심 쟁점이 된다.
2.11 사고 예방 및 대응 — 매뉴얼은 1천 명 이상 정보주체를 처리하는 개인정보처리자(공공기관 포함)에게 '개인정보 유출 등 대응 매뉴얼' 마련을 권고하며, 내부관리계획에 유출사고 대응계획 포함을 의무화(안전성 확보조치 기준 제4조)한다. 인증심사 시 이 매뉴얼의 실효성(모의훈련 이력 포함)이 확인 대상이 될 가능성이 높다.
3.1~3.4 개인정보 처리단계별 요구사항 — 위탁사 개인정보 유출 시 원칙적으로 위탁자(개인정보처리자)가 신고 의무를 지되, 동일 원인으로 다수 위탁사에 유출이 발생한 경우 수탁사의 일괄 신고로 갈음할 수 있다는 유권해석이 명시돼, 위수탁 계약서상 책임 분담 조항의 중요성이 커졌다.
④ 벌칙 및 실무 시사점
72시간 통지·신고 기한을 넘길 경우 인지 지연 사유의 입증 책임은 개인정보처리자에게 있으며, 위반 시 3천만 원 이하 과태료가 부과될 수 있다. 매뉴얼은 실제 제재 사례(통지 지연, 항목 누락, 홈페이지 게시로만 갈음한 사례 등)를 다수 인용해 흔한 실무 오류를 구체적으로 짚었다.

의견 제출은 전자우편으로 가능하며, 최종 확정안은 시행일 전후 공고될 예정이다.