개인정보 유출 통지를 받았다면, 유출 항목별로 할 일

"고객님의 개인정보가 유출되었음을 알려드립니다." 이런 문자나 이메일을 받으면 무엇이 나갔는지보다 불안이 먼저 옵니다. 그런데 통지문에는 법이 정한 항목이 반드시 들어가야 하고, 그중 유출된 항목이 할 일을 정합니다. 이메일과 비밀번호가 나갔다면 계정을, 카드번호가 나갔다면 카드를, 주민등록번호가 나갔다면 내 명의를 지켜야 합니다. 개인정보 보호법과 시행령, 개인정보보호위원회와 금융위원회 안내를 기준으로 정리했습니다.

한눈에 보기

법령 기준일은 2026년 10월 5일입니다. 개인정보 보호법(법률 제21445호)과 시행령(대통령령 제36671호) 모두 2026년 9월 11일 시행본이 현행입니다.

통지문에서 먼저 볼 다섯 줄

법 제34조제1항은 통지에 들어갈 내용을 정해 둡니다. 통지문을 받으면 아래 항목이 있는지부터 봅니다.

1. 유출된 개인정보의 항목: 할 일을 정하는 가장 중요한 줄입니다.
2. 유출 시점과 경위: 해킹인지, 직원 실수인지, 언제부터인지.
3. 정보주체가 피해를 줄이기 위해 할 수 있는 방법: 비밀번호 변경 같은 구체적인 안내.
4. 기업의 대응조치와 피해 구제절차, 그리고 피해 신고를 받는 부서와 연락처.
5. 손해배상과 법정손해배상 청구, 분쟁조정 등 법적 권리와 행사 방법: 2026년 3월 10일 개정으로 추가돼 9월 11일 이후 알게 된 유출부터 적용됩니다(부칙 제2조).

기업이 72시간 안에 유출 항목이나 경위를 다 확인하지 못했다면, 유출 사실과 그때까지 확인된 내용을 먼저 알리고 나머지는 확인되는 즉시 추가로 알려야 합니다(시행령 제39조제2항). 그래서 같은 회사에서 통지가 두세 번 올 수 있습니다. 해킹 경로를 막는 긴급 조치가 필요하거나 천재지변 같은 부득이한 사유가 있으면 그 사유가 해소된 뒤 즉시 알릴 수 있습니다.

유출 항목별로 할 일

비밀번호가 나갔다면

유출된 사이트의 비밀번호만 바꾸면 끝나지 않습니다. 공격자는 유출된 이메일·비밀번호 조합을 다른 사이트에 그대로 넣어 봅니다. 같은 비밀번호를 쓰는 곳을 모두 바꾸고, 중요 계정은 2단계 인증을 켭니다. 비밀번호 자체가 없는 로그인 방식은 패스키 안내에 정리했습니다.

이름과 전화번호가 나갔다면

금융위원회와 금융감독원은 2026년 9월 18일 보도자료에서, 사기범이 유출된 개인정보로 접근해 "개인정보 유출로 대포통장이 개설됐다", "명의도용 범죄에 연루됐다"고 겁을 주거나 "유출 보상금을 지급하겠다"며 링크를 누르게 하거나 악성 앱을 설치하게 한다고 경고했습니다. 진짜 유출 통지라도 보상 신청이나 조회는 문자 속 링크가 아니라 그 회사 앱이나 직접 찾아 들어간 누리집에서 합니다. 이미 링크를 눌렀다면 스미싱 대처 순서를 따릅니다.

카드번호가 나갔다면

카드번호와 유효기간이 함께 나갔다면 카드사에 연락해 정지하고 번호가 바뀌는 재발급을 요청하는 것이 확실합니다. 재발급 전까지는 결제 알림을 켜 두고, 모르는 결제가 보이면 바로 카드사에 이의를 제기합니다. 카드번호가 일부 가려진 채 유출됐다면 통지문의 안내를 보고 판단합니다.

주민등록번호가 나갔다면

이름, 생년월일, 주민등록번호가 함께 나가면 위험은 내 명의로 새로 무언가가 만들어지는 것입니다. 무료로 막을 수 있는 장치가 두 가지 있습니다.

• 엠세이퍼(명의도용방지서비스): 한국정보통신진흥협회(KAIT)가 운영하며, 전기통신사업법 제32조의6에 따라 통신사가 제공하는 무료 서비스입니다. 가입사실현황조회로 내 명의로 개통된 회선을 한 번에 보고, 가입제한서비스로 이동전화 신규 개통을 미리 막고, 이메일 안내서비스로 개통 사실을 통보받을 수 있습니다.
• 금융거래 안심차단서비스: 금융위원회 안내 기준으로 세 가지입니다. 여신거래 안심차단은 신용대출, 카드론, 신용카드 발급 등 내 명의 여신거래를 전 금융권에서 막고(2024년 8월 23일 시행), 비대면 계좌개설 안심차단은 비대면 계좌개설을 막고(2025년 3월 12일 시행), 오픈뱅킹 안심차단은 오픈뱅킹을 통한 계좌 조회·이체를 막습니다(2025년 11월 14일 시행). 이용 중인 금융회사 영업점, 금융결제원 어카운트인포 앱, 은행 모바일뱅킹에서 신청합니다.

막아 둔 기능은 내가 쓸 때도 막히므로, 대출이나 새 계좌가 필요할 때는 해제한 뒤 이용하고 다시 걸어 둡니다.

기업이 지켜야 할 의무

통지 기한 72시간은 "유출을 알게 된 때"부터 셉니다. 2026년 9월 11일부터는 범위가 넓어졌습니다. 시스템에 불법 접근이 있었지만 누구의 정보인지 특정하기 어렵거나, 일부 정보가 불법 거래되는 것이 확인돼 다른 사람 정보도 나갔을 수 있는 경우, 기업은 유출 가능성 단계에서 72시간 안에 알려야 합니다(시행령 제39조의2, 제39조의3). 나중에 실제로 유출되지 않은 것으로 확인되면 그 사실도 즉시 다시 알려야 합니다. 개인정보보호위원회는 같은 개정으로 위조·변조·훼손(랜섬웨어 등)도 유출 신고·통지 대상에 들어갔다고 설명했습니다.

연락처를 모르는 사람에게는 홈페이지에 30일 이상 게시하는 것으로 통지를 대신할 수 있습니다. 탈퇴한 회원이나 회원이 아닌 사람은 개별 통지를 못 받을 수 있으니, 이용했던 서비스의 사고 소식이 들리면 그 회사 홈페이지 공지를 직접 확인하는 편이 안전합니다.

배상은 따로 청구해야 합니다

기업에 부과되는 과징금은 피해자에게 돌아오지 않습니다. 개인정보보호위원회는 2026년 6월 10일 약 3,755만 명의 개인정보가 유출된 쿠팡에 과징금 6,246억 8,100만 원을 의결했지만, 과징금은 국가에 내는 행정 제재입니다. 피해자 몫은 아래 세 가지 경로로 따로 청구합니다.

• 일반 손해배상(제39조제1항): 실제 손해를 청구합니다. 기업이 고의·과실이 없었다는 것을 증명하지 못하면 배상 책임을 집니다. 고의나 중대한 과실로 유출돼 손해가 생겼다면 법원은 손해액의 5배까지 정할 수 있습니다(제39조제3항).
• 법정손해배상(제39조의2): 고의나 과실로 유출됐다면 손해액을 증명하지 않아도 300만 원 이하에서 법원이 상당한 금액을 정합니다. 일반 손해배상으로 소송을 시작했어도 사실심 변론이 끝나기 전까지 이 청구로 바꿀 수 있습니다.
• 분쟁조정(제43조, 제49조): 소송 대신 개인정보 분쟁조정위원회에 신청합니다. 위원회는 신청일부터 60일 안에 조정안을 만들어야 하고, 조정안을 받고 15일 안에 답하지 않으면 수락한 것으로 봅니다. 수락한 조정은 재판상 화해와 같은 효력이 있습니다. 같은 사고로 피해자가 50명 이상이면 집단분쟁조정을 할 수 있습니다.

가상 계산: 가나쇼핑 회원 B씨

가나쇼핑(가상 회사)에서 해킹으로 회원 정보가 유출됐고, B씨는 유출된 카드번호로 40만 원이 부정결제돼 돌려받지 못했다고 가정합니다. 법이 정한 상한을 보여 주는 계산이며, 실제 배상액은 법원이나 분쟁조정위원회가 정합니다.

손해를 숫자로 증명하기 어려운 사람, 예를 들어 부정결제는 없었지만 주민등록번호가 나간 사람에게는 법정손해배상이 손해액 증명 부담을 덜어 주는 길입니다. 반대로 실제 손해가 크고 기업의 중대한 과실이 드러났다면 일반 손해배상이 더 클 수 있습니다.

흔한 오해

• "통지를 못 받았으니 나는 괜찮다": 연락처가 없으면 홈페이지 게시로 대신할 수 있고, 유출 범위가 나중에 확인되면 통지가 늦게 옵니다. 이용한 서비스의 공지를 직접 확인합니다.
• "보상금 안내 문자니까 눌러도 된다": 금융당국이 경고한 대표적인 2차 피해 수법입니다.
• "과징금이 크게 나오면 피해자도 나눠 받는다": 과징금은 국고로 갑니다. 배상은 소송이나 분쟁조정으로 따로 받아야 합니다.
• "휴대전화를 잃어버린 것도 같은 대응이다": 기기 분실은 원격 잠금과 회선 정지가 먼저입니다. 휴대전화 분실 대처를 참고합니다.

정리

유출 통지를 받으면 유출된 항목부터 확인합니다. 비밀번호는 같은 비밀번호를 쓴 곳까지 바꾸고, 카드번호는 재발급을 받고, 주민등록번호는 엠세이퍼 가입제한과 금융거래 안심차단으로 내 명의의 개통·대출·계좌개설을 막습니다. 기업은 72시간 안에 알려야 하고, 고의나 과실이 있었다면 손해를 증명하지 않아도 300만 원 이하의 법정손해배상을 청구할 수 있습니다.

참고 자료

• 국가법령정보센터: 개인정보 보호법 제34조(개인정보 유출등의 통지·신고), 2026년 9월 11일 시행본
• 국가법령정보센터: 개인정보 보호법 제39조(손해배상책임)
• 국가법령정보센터: 개인정보 보호법 제39조의2(법정손해배상의 청구)
• 국가법령정보센터: 개인정보 보호법 제44조(처리기간)와 제47조(분쟁의 조정)
• 국가법령정보센터: 개인정보 보호법 시행령 제39조~제40조(유출 등의 통지·가능성 통지·신고), 2026년 9월 11일 시행본
• 개인정보보호위원회(정책브리핑), 개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행 (2026년 9월 10일)
• 개인정보보호위원회(정책브리핑), 개인정보위, 쿠팡 및 계열사의 개인정보 유출 및 침해 제재처분 의결 (2026년 6월 11일)
• 금융위원회·금융감독원(정책브리핑), 추석 명절 전후 보이스피싱 피해에 주의하세요! (2026년 9월 18일)
• 한국정보통신진흥협회, 명의도용방지서비스(엠세이퍼) (2026년 10월 5일 확인)