개인정보 유출 가능성·위조·변조도 통지, 9월 11일 개인정보보호법 변경 내용
9월 11일 시행되는 개인정보보호법 변경은 실제 유출 확인에만 머물지 않고 위조·변조·훼손 또는 유출 가능성을 알게 된 상황까지 통지 범위를 넓히는 내용입니다.
2026년 9월 11일부터 개인정보보호법상 통지 범위가 넓어집니다. 실제 유출이 확인된 경우뿐 아니라 개인정보가 위조·변조·훼손되었거나 유출 가능성을 알게 된 경우도 통지 의무 판단 대상에 포함됩니다. POS·예약·회원관리 시스템에서 이상 징후가 생기면 먼저 계정과 접근을 통제하고 로그·영향 범위를 보존한 뒤 해당 사고가 통지·신고 대상인지 공식 절차로 판단해야 합니다.
이번 법 개정에서 달라지는 핵심
매장에서는 고객 연락처, 예약명단, 주문정보, 상담기록, 직원 계정 등 개인정보가 여러 서비스에 나뉘어 저장됩니다. 앞으로는 ‘유출이 확정됐는지’만 기다리기보다 위조·변조·훼손 또는 유출 가능성을 인지한 시점부터 사고를 확인하고 통지 의무를 판단할 필요가 커집니다.
사고를 발견했을 때 가장 먼저 묻는 것
- 개인정보 유출 의심만 있어도 고객에게 알려야 하나요?
- POS나 예약 프로그램이 해킹되면 어떻게 해야 하나요?
- 개인정보가 변조된 경우도 통지 대상인가요?
- 직원이 실수로 고객 명단을 보냈다면 무엇을 기록해야 하나요?
사고 유형별 첫 대응
접근 차단과 로그 보존부터
관련 계정의 비밀번호와 접근권한을 통제하고 삭제나 덮어쓰기를 하기 전에 접속기록·전송기록·업체 통화내용을 보존합니다.
개정 내용 확인위조·변조·훼손 여부 확인
변경된 데이터와 정상 원본을 비교하고 누가 언제 접근했는지 확인합니다. 화면과 로그를 남겨 프로그램 오류인지 외부 접근인지 구분하세요.
법 개정 내용 확인업체 통보와 계약상 역할 확인
예약·문자·쇼핑몰·POS 업체에 사고 시각, 영향 범위, 로그 제공 여부를 문의하고 개인정보 처리 위탁계약의 협조 조항을 확인합니다.
공식 정책 안내 보기9월 11일부터 달라지는 판단 범위
통지 사유
유출뿐 아니라 위조·변조·훼손·유출 가능성 인지까지 통지 의무 판단 범위가 확대됩니다.
사업자의 대응
이상 징후를 인지한 시점부터 사실관계와 영향 범위를 기록할 필요가 커집니다.
제재 위험
반복·중대한 개인정보 침해에 대한 제재 강화 방향도 함께 확인해야 합니다.
작은 매장에도 해당되는 이유
고객 연락처를 보유한 매장
예약·단골 문자·배달 주문 데이터도 개인정보가 될 수 있으므로 접근권한과 보관 장소를 정리해야 합니다.
외부 서비스를 쓰는 매장
솔루션 업체가 보유한 데이터라도 위탁·관리 역할이 남을 수 있어 사고 통보와 자료 요청 절차를 미리 정하세요.
직원 계정이 여러 개인 매장
공용 계정 대신 사용자별 계정을 쓰고 퇴사·업무변경 때 권한을 회수해야 사고 범위를 좁힐 수 있습니다.
개인정보 사고를 발견했을 때의 대응 순서
추가 접근 차단
의심 계정 로그아웃, 비밀번호 변경, 관리자 권한 제한 등으로 추가 피해를 막습니다.
증거 보존
접속 로그, 오류 화면, 파일 변경 시간, 업체 안내를 삭제하지 말고 사고 기록에 남깁니다.
영향 범위 확인
어떤 시스템에서 어떤 정보가 언제부터 영향을 받았는지 목록화합니다.
통지·신고 여부 판단
개인정보보호위원회와 관련 기관의 최신 절차를 기준으로 통지·신고 대상과 방법을 확인합니다.
사고 대응 파일에 남길 자료
- 사고를 처음 발견한 날짜·시간과 발견자
- 접속기록·변경기록·전송기록
- 영향받을 수 있는 고객정보 항목과 규모
- 외부업체의 사고 답변
- 접근 차단·복구 조치 기록
성급하게 처리하면 안 되는 부분
- 유출 가능성을 인지했다는 이유만으로 사실관계를 확인하지 않은 대량 안내문을 먼저 보내면 혼란이 커질 수 있습니다.
- 확정되지 않았다며 로그를 삭제하거나 업체 확인을 미루면 대응 시점을 놓칠 수 있습니다.
- 고객 개인정보를 사고 조사 자료로 복사해 메신저나 공개 문서에 공유하지 마세요.
- 통지·신고의 기한과 창구는 사고 유형에 따라 달라질 수 있으므로 공식 기관의 현재 안내를 확인해야 합니다.
매장에서 생길 수 있는 사례
예약 프로그램에서 고객 전화번호가 바뀐 경우
데이터 변경 시각과 접근 로그를 보존하고 프로그램 오류인지 외부 접근인지 확인한 뒤 영향받은 예약정보 범위를 파악합니다.
직원이 고객 명단을 개인 메일로 잘못 보낸 경우
수신자와 전송 파일, 회수 가능 여부를 기록하고 추가 전달을 막은 뒤 통지·신고 필요성을 판단합니다.
법 개정 시행일
- 2026-09-11
개인정보보호법 변경 내용 시행
유출뿐 아니라 위조·변조·훼손·유출 가능성 관련 통지 범위 확대
자주 묻는 질문
유출이 확정되지 않아도 무조건 고객에게 통지해야 하나요?
모든 의심 사례를 같은 방식으로 통지한다는 뜻은 아닙니다. 다만 유출 가능성을 알게 된 경우에도 통지 의무 판단 대상이 될 수 있으므로 사고를 기록하고 공식 기준에 따라 판단해야 합니다.
POS 오류도 개인정보 유출로 보나요?
단순 표시 오류인지 데이터 위조·변조·훼손인지, 외부 접근이 있었는지 사실관계를 확인해야 합니다.
외주업체에서 사고가 나면 매장 책임인가요?
업무 위탁 관계와 사고 내용에 따라 역할이 달라질 수 있습니다. 업체에 사고 범위와 로그를 요청하고 계약상 협조 조항을 확인하세요.
고객정보를 사고 조사 자료로 직원 단체방에 공유해도 되나요?
필요한 범위 이상으로 주민번호·연락처 등을 복사해 공유하지 않는 것이 안전합니다.
공식 자료
- 대한민국 정책브리핑 개인정보보호법 개정 시행 안내2026.09.01
이 이슈를 함께 이야기해보세요
같은 이슈를 겪은 사장님들의 경험을 확인하고, 내 상황도 질문할 수 있습니다.