고객 개인정보 유출, 작은 사업장도 예외가 아닙니다

OPUS 보안팀 · 개인정보·정보보안 대응 ·

핵심 요약: 개인정보보호법은 대기업·중소기업·개인사업자 등 규모와 무관하게 모든 개인정보처리자에 적용됩니다. 유출을 알게 되면 72시간 이내에 정보주체(고객)에게 통지해야 하고, 1천 명 이상 유출·민감정보/고유식별정보 유출·외부 불법접근(해킹 등)에 의한 유출이면 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고해야 합니다.

"우리는 작은 가게라 개인정보보호법은 해당 없겠지"라고 생각하기 쉽습니다. 하지만 고객 연락처·예약명단·주문정보를 다루는 순간, 규모와 상관없이 의무가 생깁니다.

규모와 무관하게 적용된다

개인정보보호법은 사업자 규모를 따지지 않습니다. 대기업뿐 아니라 중소기업·개인사업자·소상공인도 모두 "개인정보처리자"로서 동일한 의무를 집니다.

유출되면 72시간 — 통지가 먼저다

개인정보가 유출된 사실을 알게 되면, 72시간 이내에 해당 정보주체(고객)에게 유출된 항목·시점·경위, 피해를 줄일 수 있는 방법, 대응 연락처 등을 알려야 합니다.

이럴 땐 신고까지 — 개인정보위/KISA

  • 1천 명 이상의 정보주체 개인정보가 유출된 경우
  • 민감정보 또는 고유식별정보(주민등록번호 등)가 유출된 경우
  • 외부의 불법적인 접근(해킹 등)으로 유출된 경우

평소에 위험을 줄이는 법

  • 꼭 필요한 정보만 받고, 보관기간이 지난 정보는 파기한다.
  • 접근 권한을 최소화하고 비밀번호·암호화를 적용한다.
  • 택배·메신저 등 외부 위탁 시 처리방침과 수탁자 관리를 점검한다.
  • 유출 대응 절차(누가·언제·어디에 통지·신고할지)를 미리 문서화한다.

이 글에서 남길 것

  • 지킬 것: 고객 데이터를 받으면 유출 대응 절차도 같이 만든다 — 규모는 면책 사유가 아니고, 통지 기한은 72시간이다.
  • 띄울 것: 갖춰 둔 보안 체계를 B2B 제안서의 경쟁력으로 쓴다 — 큰 거래처일수록 계약 전에 개인정보 관리 수준을 묻는다.
  • 지금 할 일: 유출을 발견했을 때 누가 무엇을 하는지 한 장으로 적어 둔다

자주 묻는 질문

1인 사업자도 개인정보보호법 대상인가요?

네. 개인정보보호법은 사업자 규모와 무관하게 개인정보를 처리하는 모든 개인정보처리자에 적용됩니다.

개인정보가 유출되면 언제까지 알려야 하나요?

유출 사실을 알게 된 때로부터 72시간 이내에 정보주체에게 통지해야 합니다.

신고는 언제 해야 하나요?

1천 명 이상 유출, 민감정보·고유식별정보 유출, 외부 불법접근에 의한 유출이면 72시간 이내에 개인정보보호위원회 또는 KISA에 신고해야 합니다.

사업에 도움이 되는 비즈니스 칼럼들

OPUS