아파트 개인정보 유출되면 72시간 안에 통지·신고 (안 하면 과태료 3천만원)
"관리사무소가 무슨 개인정보 신고를 해요?"
입주민 명부, 차량번호·주차등록, 관리비 자동이체 계좌, CCTV 영상, 세대별 연락처. 아파트 관리사무소가 다루는 정보는 대부분 개인정보입니다. 그래서 공동주택 관리주체(관리사무소·입주자대표회의)도 개인정보 보호법상 "개인정보처리자"에 해당합니다.
문제는 이 정보가 새어 나갔을 때입니다. 직원이 명부를 통째로 외부로 보냈거나, 경비실 PC가 해킹당했거나, CCTV 영상이 외부에 넘어갔다면 "우리끼리 조용히 처리"할 수 있는 사안이 아닙니다. 법이 정한 시한 안에 입주민에게 알리고, 규모가 크면 관계기관에 신고까지 해야 하는 법정 의무가 발생합니다.
정보주체(입주민)에게 알릴 의무 — 언제·무엇을
개인정보 보호법 제34조 제1항은 개인정보가 분실·도난·유출된 사실을 알게 되면 "지체 없이" 해당 정보주체에게 알리도록 하고 있습니다. 시행령 제39조는 이를 더 구체화해, 정당한 사유가 없으면 유출을 알게 된 때부터 "72시간 이내"에 통지하도록 정하고 있습니다.
① 통지 시기 (시행령 제39조 제1항)
- 원칙: 지체 없이. 정당한 사유가 없으면 알게 된 때부터 72시간 이내.
- 방법: 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법.
② 통지에 반드시 담아야 할 5가지 항목 (법 제34조 제1항)
- 유출된 개인정보의 항목(이름·연락처·계좌 등 무엇이 샜는지)
- 유출된 시점과 경위
- 피해를 최소화하기 위해 정보주체가 할 수 있는 방법
- 관리주체(개인정보처리자)의 대응조치 및 피해 구제절차
- 신고를 접수할 담당부서와 연락처
"유출됐다"는 통보만으로는 부족하고, 위 5가지가 빠지면 통지를 제대로 안 한 것으로 볼 수 있으니 문안 작성 시 항목을 하나씩 대조하는 것이 안전합니다.
관계기관 신고 의무 — 규모가 크면 KISA·개인정보위에
통지와 별개로, 유출 규모가 일정 기준을 넘으면 신고 의무가 추가됩니다. 개인정보 보호법 제34조 제3항과 시행령 제40조는 다음 중 하나에 해당하면 알게 된 때부터 "72시간 이내"에 개인정보보호위원회 또는 전문기관(한국인터넷진흥원, KISA)에 신고하도록 정하고 있습니다.
- 정보주체 1천명 이상의 개인정보가 유출된 경우
- 민감정보(건강·사상 등) 또는 고유식별정보(주민등록번호 등)가 유출된 경우
- 외부로부터의 불법적인 접근(해킹 등)에 의해 유출된 경우
세대수가 많은 단지는 명부 하나만 새도 "1천명 이상"에 쉽게 걸립니다. 신고 창구는 개인정보 포털(privacy.go.kr) 또는 KISA이며, 천재지변 등 부득이한 사유로 72시간 내 신고가 어려우면 사유가 해소된 뒤 지체 없이 신고할 수 있습니다. 유출 경로가 확인되어 곧바로 회수·삭제해 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있는 예외도 있습니다.
과거엔 24시간·5일 제각각이었다 — 2023년 개정으로 72시간 통일
여기서 옛 자료를 그대로 보면 안 되는 이유가 있습니다. 과거에는 통지·신고 시한이 개인정보처리자 유형별로 달랐습니다. 정보통신서비스 제공자(온라인 사업자)는 "24시간 이내", 그 밖의 일반 처리자는 "지체 없이"(신고는 5일 이내) 식으로 기준이 갈렸습니다.
2023년 3월 개정(2023년 9월 15일 시행)으로 정보통신서비스 제공자 특례가 삭제되고, 모든 개인정보처리자에게 "72시간 이내"로 일원화되었습니다. 즉 지금은 아파트 관리주체든 온라인 기업이든 같은 72시간 기준이 적용됩니다. 인터넷에 도는 "24시간 이내 신고" 같은 설명은 개정 전 옛 기준일 수 있으니 2026년 현재는 72시간이 맞습니다.
안 지키면? — 과태료 3천만원 이하
정해진 통지·신고 의무를 이행하지 않으면 과태료가 부과됩니다.
- 정보주체에게 유출 사실을 알리지 않은 경우(제34조 제1항 위반): 3천만원 이하 과태료 — 개인정보 보호법 제75조 제2항 제17호.
- 개인정보보호위원회·전문기관에 신고하지 않은 경우(제34조 제3항 위반): 3천만원 이하 과태료 — 제75조 제2항 제18호.
실제 부과액은 위반 정도·횟수에 따라 감경·가중되지만, 상한은 각각 3천만원입니다. 통지와 신고는 별개 의무이므로, 둘 다 놓치면 두 건이 각각 문제 될 수 있습니다.
실무 체크리스트 — 유출을 인지한 순간부터
- "언제 알게 됐는가"를 기록: 72시간의 기산점이 됩니다. 인지 시각을 메모·문서화.
- 규모부터 판단: 유출 인원이 1천명 이상인가, 민감정보·고유식별정보가 포함됐나, 해킹인가 → 하나라도 해당하면 신고 대상.
- 통지 문안에 5개 항목(항목·시점경위·대응방법·구제절차·연락처)을 모두 포함.
- 신고 대상이면 privacy.go.kr 또는 KISA로 72시간 내 신고. 부득이한 사유는 근거를 남길 것.
- 유출 즉시 회수·삭제 등 피해 최소화 조치를 병행하고, 통지·신고·조치 내역을 캡처·문서로 보관(이행 증빙).
마무리
정리하면 아파트 개인정보 유출 대응은 "정보주체 통지 72시간 · 규모 이상 신고 72시간 · 미이행 시 각각 3천만원 이하 과태료" 세 축입니다. 근거는 개인정보 보호법 제34조와 시행령 제39조·제40조, 과태료는 제75조 제2항 제17호·제18호입니다. 2023년 개정으로 24시간·5일이 72시간으로 통일된 점까지 기억해 두면, 옛 자료에 휘둘리지 않고 개인정보 유출 통지·신고를 정확히 처리할 수 있습니다.