100만 명 이상 개인정보 유출, 12개월 처리 원칙｜피해 보상 기한과 다른 이유

개인정보보호위원회가 100만 명 이상 유출된 중요 사건을 12개월 안에 처리한다는 관리 원칙을 마련했다. 일반 사건은 6개월, 경미 사건은 3개월이 목표다. 12개월은 피해자에게 그 안에 돈을 지급한다는 약속이 아니라 감독기관의 사건 처리 목표다. 유출 통지를 받은 사람은 조사 완료를 기다리기보다 유출 항목과 2차 피해 가능성을 먼저 확인해야 한다.

세 기간은 누구에게 적용되나

중요 사건 12개월, 일반 사건 6개월, 경미 사건 3개월은 개인정보위의 조사·처분 관리 기준이다. 유출 규모나 사안의 복잡성에 따라 분류되며 모든 100만 명 사건이 같은 날 마무리되는 것은 아니다. 대규모 사건에서는 관련 시스템 조사와 사업자 의견 청취, 법적 검토가 오래 걸릴 수 있다. 처리기간이 지났다고 손해배상금이 자동 확정되거나 개인정보위의 판단 없이 업체의 법적 책임이 결정되는 구조는 아니다.

유출 신고가 늘었다는 숫자 읽기

개인정보위는 유출 신고 건수가 2022년 167건에서 2025년 447건으로 늘었고 2026년 상반기에만 432건이라고 밝혔다. 신고 건수는 사고의 피해자 수나 한 사람의 피해액과 같은 수치가 아니다. 신고제도와 탐지 수준의 변화도 장기 비교에 영향을 줄 수 있어 증가 원인을 한 가지로 단정해서는 안 된다. 다만 대규모 정보를 보유한 사업자의 사고가 반복되면 감독기관의 조사 예측 가능성과 시민 통지가 중요해지는 것은 분명하다.

유출 통지를 받으면 우선 확인할 것

통지문에서 어느 서비스에서 언제 어떤 정보가 빠져나갔는지, 비밀번호·결제정보·연락처가 포함됐는지 살펴야 한다. 비밀번호가 관련됐다면 해당 서비스와 같은 비밀번호를 쓴 다른 곳의 비밀번호도 바꾸고 다중 인증을 켠다. 결제수단이나 계정 탈취 징후가 있으면 해당 금융기관과 서비스의 신고 경로를 이용한다. 출처가 불분명한 ‘보상 신청’ 링크에 주민등록번호나 인증번호를 다시 입력하지 말자. 조사 진행과 별개로 증거가 되는 통지문·비정상 로그인 기록을 보관해야 한다.

조사가 길어질 때 알림은

개인정보위는 경미한 사안이라 조사에 착수하지 않고 종결할 때 그 사실을 알리고, 조사 기간이 연장되면 6개월 또는 12개월 단위로 진행 상황을 알리는 방침을 설명했다. 이 원칙은 이용자가 자기 사건의 단계가 무엇인지 파악하도록 돕는 행정 절차다. 개인정보 분쟁조정이나 민사상 손해배상은 요건과 경로가 달라 조사 목표기간을 곧바로 소송 기한으로 오해해서는 안 된다. 피해 유형과 증빙을 따로 모아 공식 상담 창구에 문의할 필요가 있다.

독자가 확인할 질문

12개월 뒤 무조건 배상을 받나

아니다. 개인정보위의 중요 사건 처리 목표이며 배상 판단과 다르다.

일반 사건은 몇 개월인가

발표된 관리 원칙은 일반 6개월, 경미 3개월이다.

조사 완료 전 비밀번호를 바꿔야 하나

계정정보 유출 가능성이 있다면 기다리지 말고 해당 계정과 재사용 계정의 보안을 점검한다.

100만 명은 신고 건수인가

한 사건의 유출 규모를 분류하는 기준이며 연간 신고 건수와 다른 숫자다.

확인한 공식 자료: 개인정보보호위원회 대규모 유출 사건 처리 방안(2026-10-02). 2026년 10월 2일 확인. 신청·행사·제도 세부사항은 해당 기관의 최신 공지를 다시 확인하세요.