정보주체에게 보내는 유출 통지문, 무엇을 적어야 하나요?

통지는 신고와 별개로 거의 항상 남습니다

답부터 적으면 통지는 정보주체 본인에게 알리는 의무이고 신고는 감독기관에 알리는 의무입니다. 신고 요건에 해당하지 않아도 유출을 알게 되었다면 통지 의무는 남습니다. 그래서 통지문은 신고 여부와 무관하게 준비해야 하는 문서입니다.

기한은 신고와 같은 72시간입니다

기한은 유출을 알게 된 때부터 72시간입니다. 통지와 신고가 같은 기한을 쓰므로 두 작업을 한 흐름으로 묶을 수 있습니다. 다만 통지는 대상이 많으면 발송 자체에 시간이 걸립니다. 문안을 기한 직전에 쓰기 시작하면 발송 시간을 확보하지 못합니다.

통지문의 값은 항목 목록에서 나옵니다

통지문에서 가장 중요한 값은 어떤 정보가 나갔는지입니다. 이 값은 신고 요건을 판정할 때 쓴 유출 항목 목록과 같아야 합니다. 판정용과 통지용 목록을 따로 만들면 두 문서의 값이 어긋나고, 나중에 어느 쪽이 맞는지 다투게 됩니다. 목록은 한 곳에 만들어 두 문서가 함께 참조합니다.

보내는 방법은 여러 가지가 열려 있습니다

공개 안내는 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법을 적습니다. 즉 수단이 하나로 정해져 있지 않습니다. 대상 수가 많으면 전자우편이나 문자전송이 현실적이고, 연락처가 없는 대상이 있으면 수단을 나눠야 합니다. 어느 수단을 썼는지도 기록에 남깁니다.

사례: 대상 2천명의 통지를 72시간에 맞추기

상황은 회원 정보가 유출된 서비스입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 인지 화요일 09시, 유출 인원 2천명, 이메일 보유 1천800명, 휴대전화번호만 보유 150명, 연락처 없음 50명입니다. 계산은 기한과 수단을 함께 배치하는 것입니다. 기한은 금요일 09시입니다. 이메일 1천800건은 전자우편으로, 150건은 문자전송으로 보냅니다. 연락처가 없는 50건은 다른 상당한 방법을 찾아야 하므로 가장 오래 걸립니다. 최종 결과는 기한 내 발송 1천950건, 별도 처리 50건이고 50건의 처리 방법과 사유를 기록에 남깁니다. 결과를 바꾸는 예외는 이메일 발송이 대량 차단되는 경우로, 그때는 남은 건수를 문자전송으로 돌려야 하므로 수단별 여유를 미리 계산해 둡니다. 다음 행동은 대상 2천명을 보유 연락처 종류로 분류한 표를 만드는 것입니다.

발송 기록이 이행의 근거가 됩니다

통지를 했다는 사실은 발송 기록으로 보입니다. 언제 어떤 수단으로 몇 건을 보냈는지, 실패한 건은 어떻게 처리했는지가 남아야 합니다. CISA 의 지침이 중요 시스템 로그를 최소 1년 보관하라고 적는 것처럼, 통지 기록도 사고 종료 후 일정 기간 보관하는 편이 안전합니다. 기록이 없으면 기한 내 이행을 보일 수 없습니다.

문안을 이 글에 그대로 싣지 않은 이유

통지문에 담아야 하는 법정 기재 사항은 법령으로 정해지고 사안에 따라 달라질 수 있습니다. 이 글은 통지가 신고와 별개라는 구조, 기한이 72시간이라는 값, 항목 목록이 통지문의 근거가 된다는 실무 순서를 적었습니다. 완성 문안은 관계 기관의 안내 서식과 자문으로 확정하는 것이 맞습니다.

통지와 신고를 나란히 놓고 보기