개인정보 유출 확인 방법 2026 — 9월 11일 통지 의무화, 뭐가 달라지나
얼마 전 카드사에서 “고객님의 정보가 외부에 유출됐을 가능성이 있습니다”라는 문자를 받아본 적이 있을 거다. 그런데 그 문자가 며칠, 심하면 몇 주씩 늦게 오는 경우가 적지 않았다. 앞으로는 사정이 달라진다. 2026년 9월 11일 개정 개인정보보호법이 시행되면서, 기업이 유출 사실을 알게 된 순간부터 72시간 안에 당사자에게 알려야 하는 의무가 법으로 못 박혔다.
내 정보가 실제로 유출됐는지, 유출됐다면 뭘 해야 하는지 지금부터 정리한다.
9월 11일부터 뭐가 바뀌나
바뀌는 핵심은 통지 기한, 과징금, 책임자 지정 세 가지다. 개인정보보호위원회가 공개한 개정 내용을 표로 정리하면 이렇다.
| 항목 | 기존 | 2026년 9월 11일 이후 |
|---|---|---|
| 유출 통지 기한 | 지체 없이(구체 기한 불명확) | 인지 시점부터 72시간 이내 |
| 과징금 상한 | 전체 매출액의 3% | 전체 매출액의 10% |
| 개인정보 보호책임자(CPO) | 지정만 하면 됨 | 지정·변경·해제 시 이사회 의결·신고 의무 |
| 일정 규모 이상 사업자 | 권고 수준 | ISMS-P 인증 의무화 |
과징금이 3%에서 10%로 세 배 넘게 뛴다는 건, 기업이 유출을 숨기거나 뭉갤 유인이 그만큼 줄어든다는 뜻이다. 다만 통지 기한이 짧아졌다고 모든 회사가 곧바로 문자를 보내주는 건 아니다. 연락처를 확보하지 못했다는 이유로 홈페이지 공지로 대신하는 경우도 여전히 있다.
그래서 내가 직접 확인하는 절차가 필요하다.
내 정보가 유출됐는지 확인하는 법
KISA 개인정보침해 신고센터와 ‘털린 내 정보 찾기’ 서비스 두 곳만 확인하면 된다. 실제로 눌러보면 절차 자체는 3분도 안 걸린다.
- KISA 개인정보침해 신고센터(privacy.kisa.or.kr) 접속 → 상담·신고 현황에서 최근 유출 신고 기업명 검색
- ‘털린 내 정보 찾기’ 서비스(kidc.eprivacy.go.kr)에서 본인 명의로 가입된 사이트 목록 조회
- 최근 이용한 적 없는 사이트가 목록에 있으면 즉시 탈퇴 신청
- 확인 결과 이상이 없어도 자주 쓰는 계정 비밀번호는 최근 1년간 안 바꿨다면 이 김에 교체
여기서 하나 짚을 게 있다. ‘털린 내 정보 찾기’는 명의도용 여부를 알려주는 서비스지 유출 사실 자체를 실시간으로 알려주는 창구는 아니다. 실제로 확인해보면 이미 탈퇴한 사이트가 목록에 남아 있는 경우도 있는데, 그건 유출과 무관한 시스템 반영 지연일 때가 많다.
유출 통지를 받았다면 가장 먼저 할 일
비밀번호 변경 → 2단계 인증 → 명의도용 방지 서비스 신청, 이 순서다. 순서를 바꿔도 상관은 없지만, 비밀번호부터 바꿔야 나머지 조치가 의미가 있다.
- 유출 통지에 적힌 서비스의 비밀번호를 즉시 변경한다 — 같은 비밀번호를 다른 사이트에서도 썼다면 그 사이트들도 전부 바꾼다
- 가능한 서비스는 2단계 인증(OTP·문자 인증)을 켠다
- 주민등록번호·계좌번호가 포함된 유출이라면 명의도용방지서비스(PASS 앱 등)에서 가입사실현황을 조회한다
- 수상한 문자·전화(피싱)에 대비해 출처가 불명확한 링크는 클릭하지 않는다
회사가 통지를 안 해줄 때 신고하는 법
KISA 118 상담센터로 전화하거나 개인정보보호위원회 유출신고제도로 접수하면 된다. 이미 언론에 유출 사실이 보도됐는데 정작 당사자인 나에게는 연락이 없다면 이 경로를 쓰자.
- 국번 없이 118로 전화(평일 오전 8시~오후 8시) — 개인정보 관련 상담원 연결
- 개인정보보호위원회 유출신고제도 페이지에서 온라인 민원 접수
- 접수 시 유출 사실을 알게 된 경위(보도·지인 제보 등)와 이용 중인 서비스명을 구체적으로 적는다
72시간 통지 의무를 어긴 기업은 이제 매출의 최대 10%까지 과징금을 물 수 있으니, 신고 자체가 예전보다 실효성이 커졌다고 볼 수 있다. 다만 과징금 액수와 실제 내 피해 보상은 별개다.
금전 피해가 발생했다면 손해배상은 신고와 별도로 민사 절차를 알아봐야 한다.
✅ 지금 바로 점검할 것
- KISA ‘털린 내 정보 찾기’에서 명의도용 여부 조회했는가
- 1년 넘게 안 바꾼 비밀번호가 있는가
- 주요 계정에 2단계 인증이 켜져 있는가
- 최근 받은 유출 통지 문자의 링크를 누르지 않았는가
자주 묻는 질문
개인정보 유출 통지를 못 받았는데 내 정보만 빠진 걸 수도 있나?
가능하다. 기업이 연락처를 확보하지 못했거나 유출 규모가 작아 개별 통지 대신 홈페이지 공지로 갈음하는 경우가 있다. 확실히 하려면 KISA ‘털린 내 정보 찾기’로 직접 조회하는 게 낫다.
72시간은 어느 시점부터 세나?
기업이 유출 사실을 인지한 시점부터다. 사고가 실제로 발생한 시점이 아니라 회사가 그 사실을 파악한 시점이 기준이라, 인지가 늦어지면 통지도 함께 늦어질 수 있다.
과징금 10%는 어떤 회사에 적용되나?
중대하거나 반복적인 위반으로 한정된다. 모든 유출 사고에 일괄 적용되는 게 아니라 고의·중과실이나 반복 위반이 확인된 경우에 상한이 10%까지 올라간다.
출처
✍️ Leo Han · 에디터
