답변
예약 명단이 새어나간 걸 알게 된 순간 가장 급한 건 신고 기한입니다. 결론부터 말씀드리면, 개인정보 보호법 제34조와 그 시행령에 따라 알게 된 시점부터 72시간이라는 시계가 이미 돌아가고 있다고 보셔야 합니다. 다만 이 시계가 정확히 무엇을 향해 가는지, 누구에게 무엇을 언제 알려야 하는지를 순서대로 정리해야 실수 없이 대응하실 수 있습니다. 먼저 정보주체, 즉 고객에게 알리는 절차입니다. 제34조 제1항은 개인정보처리자가 개인정보의 분실·도난·유출 등이 있음을 알게 되었을 때 지체 없이 해당 정보주체에게 다섯 가지를 알리도록 합니다. 유출된 개인정보의 항목, 유출 등이 발생한 시점과 경위, 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 개인정보처리자의 대응조치와 피해 구제절차, 정보주체가 상담 등을 접수할 수 있는 담당부서 및 연락처입니다. 문자나 이메일로 '고객님의 정보가 유출됐을 수 있습니다' 한 줄만 보내는 것으로는 부족하고, 이 다섯 항목이 실제로 다 들어가야 나중에 통지 의무를 다했다고 인정받을 수 있습니다. 다음은 신고입니다. 제34조 제3항은 개인정보의 유형, 유출 등의 경로 및 규모 등을 고려해 일정한 경우 개인정보보호위원회 또는 한국인터넷진흥원(KISA) 같은 전문기관에 신고하도록 하고, 신고 대상이 되는 기준은 시행령에 정해져 있습니다. 다음 중 하나라도 해당하면 신고 대상입니다. 유출된 정보주체가 1천 명 이상인 경우, 민감정보나 주민등록번호 같은 고유식별정보가 유출된 경우, 개인정보처리시스템이나 업무용 기기에 외부로부터의 불법적인 접근으로 유출된 경우입니다. 예약 명단이라도 이름·전화번호 정도라면 1천 명을 넘는지가 신고 여부를 가르는 기준이 되고, 해킹처럼 외부 침입으로 인한 유출이라면 인원수와 무관하게 신고 대상이라는 점을 눈여겨보시기 바랍니다. 통지와 신고 모두 원칙은 '알게 된 때부터 72시간 이내'입니다. 유출 사실을 인지한 시점을 기준으로 시간을 재시고, 정확한 유출 규모나 원인을 다 확인하지 못한 상태라도 그 시점까지 확인된 사실만으로 우선 통지·신고부터 진행하시는 게 맞습니다. 원인 조사가 끝난 뒤에 정리해서 한 번에 알리겠다고 미루다가 72시간을 넘기면, 나중에 원인을 명확히 규명했더라도 신고 자체가 지연된 것으로 남습니다. 확인되는 대로 보완 신고를 하면 되니, 완벽한 보고서보다 빠른 1차 신고가 우선입니다. 신고는 실제로 이렇게 하시면 됩니다. 한국인터넷진흥원(KISA)이 운영하는 개인정보 유출신고 시스템에 온라인으로 접수하는 방법이 기본이고, 해외에 있어 접속이 어려운 경우 등을 위한 이메일·우편 접수 경로도 안내되어 있습니다. 신고 화면에서는 유출된 개인정보 항목과 규모, 유출 시점과 경위, 피해 최소화 대책, 정보주체 구제절차, 담당자 연락처를 입력하게 되어 있으니, 앞서 고객에게 통지할 다섯 항목을 미리 정리해 두면 신고서 작성도 그대로 활용하실 수 있습니다. 신고나 상담이 막막하시면 개인정보보호위원회의 개인정보보호 종합포털(privacy.go.kr)이나 개인정보침해신고센터(국번 없이 118)로 전화해 절차를 먼저 확인하셔도 됩니다. 신고를 하지 않고 넘어가면 어떻게 되는지도 분명히 말씀드리겠습니다. 신고 대상 요건에 해당하는데 신고하지 않으면 개인정보 보호법 제75조 제2항 제18호에 따라 3천만원 이하의 과태료 대상이 됩니다. 여기에 더해 유출 규모가 크거나 고의·과실 정도가 심한 경우에는 별도로 과징금이 부과된 사례도 있어, 초기 대응을 미루는 쪽이 오히려 더 큰 리스크로 돌아옵니다. 유출을 알게 된 즉시 담당자를 지정해 로그·접속기록 같은 증거부터 보전하고, 위 절차대로 통지와 신고를 동시에 준비하시는 것이 가장 안전합니다. 예약 시스템을 외부 업체(SaaS 예약 솔루션, 결제대행사 등)에 위탁해 운영하고 있다면, 유출이 그 업체 쪽 서버에서 시작됐더라도 실제 예약을 받은 매장(위탁자)도 함께 통지·신고 의무를 지는지 위탁 계약서의 개인정보 처리 위탁 조항과 사고 대응 분담을 먼저 확인해 두셔야 합니다. 한 가지는 확인하지 못했습니다. 시행령에는 정당한 사유가 있어 72시간 안에 통지·신고할 수 없는 경우에 대한 예외 규정이 있다고 알려져 있는데, 그 정당한 사유로 인정되는 구체적 기준과 지연 시 추가로 밟아야 하는 절차는 이번 확인 범위에서 원문으로 확인하지 못했습니다. 실제로 조사가 늦어질 수밖에 없는 사정이 있다면, 우선 확인된 사실만으로 1차 신고를 하시면서 개인정보보호위원회 신고 접수 창구(privacy.go.kr) 또는 118을 통해 해당 사정을 함께 설명하고 지연 사유 인정 여부를 직접 확인하시길 권합니다. 신고와 별개로 고객 응대 창구도 미리 열어 두셔야 합니다. 환불·비밀번호 변경 같은 피해 최소화 조치를 안내하는 전용 연락처를 통지문에 함께 적어 두면, 문의가 한꺼번에 몰릴 때 응대가 훨씬 수월해집니다.