개인신용정보 1만명 기준은 누구에게 적용되나요?

숫자가 두 개인 이유는 주체가 다르기 때문입니다

답부터 적으면 1천명과 1만명은 느슨한 기준과 엄한 기준의 관계가 아닙니다. 적용되는 주체와 정보의 종류가 달라서 나란히 존재하는 값입니다. 공개 안내는 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우를 일반 기준으로 적고, 상거래기업과 법인에 대해 1만명 이상 신용정보주체의 개인신용정보가 유출된 경우를 따로 적습니다.

먼저 정하는 것은 인원이 아니라 주체입니다

순서를 바꾸면 틀어집니다. 인원을 먼저 세고 어느 기준에 걸리는지 보는 방식은, 주체와 정보 종류가 확정되지 않은 상태에서 숫자만 비교하는 것입니다. 먼저 우리 조직이 어느 주체에 해당하는지, 유출된 정보가 일반 개인정보인지 개인신용정보인지 정하고, 그다음에 해당 기준으로 인원을 셉니다.

두 기준이 동시에 걸릴 수 있습니다

한 사고에서 일반 개인정보와 개인신용정보가 함께 나갈 수 있습니다. 이때 두 기준을 각각 적용합니다. 일반 개인정보가 1천명을 넘으면 그 축으로 의무가 생기고, 개인신용정보가 1만명을 넘으면 그 축으로도 생깁니다. 어느 한쪽이 미달이라고 다른 쪽이 면제되는 구조가 아닙니다.

인원 미달이어도 다른 요건이 남습니다

두 숫자 모두 미달이어도 끝이 아닙니다. 일반 기준에는 인원과 별개로 두 요건이 더 있습니다. 민감정보 또는 고유식별정보가 유출된 경우, 그리고 개인정보처리시스템이나 정보기기에 대한 외부로부터의 불법적인 접근으로 유출된 경우입니다. 숫자만 보고 의무 없음으로 결론 내리면 이 두 축을 놓칩니다.

사례: 두 종류가 섞인 사고를 끝까지 판정하기

상황은 결제 기능을 운영하는 서비스의 사고입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 일반 회원 정보 800명분과 개인신용정보 1만2천명분이 함께 유출, 원인은 외부의 불법적인 접근입니다. 계산은 축을 나눠 각각 봅니다. 일반 개인정보 축은 800명으로 1천명 미만이지만 원인이 외부의 불법적인 접근이므로 세 번째 요건으로 의무가 발생합니다. 개인신용정보 축은 1만2천명으로 1만명을 넘어 해당 기준으로 의무가 발생합니다. 최종 결과는 두 축 모두 신고 의무 발생이고 통지 의무도 발생하며 기한은 알게 된 때부터 72시간입니다. 결과를 바꾸는 예외는 원인이 외부 접근이 아닌 내부 실수였던 경우로, 그때 일반 개인정보 축은 의무가 발생하지 않고 개인신용정보 축만 남습니다. 다음 행동은 유출 데이터를 일반 개인정보와 개인신용정보로 나눠 각각 인원을 세는 것입니다.

인원 집계에서 흔히 틀어지는 자리

두 축으로 나누면 같은 사람이 양쪽에 모두 들어갈 수 있습니다. 합산해 한 숫자로 만들면 어느 기준과 비교해야 할지 알 수 없게 됩니다. 축별로 따로 세고, 중복 계정과 탈퇴 회원을 어떻게 셀지 규칙을 먼저 정합니다. 규칙을 정하지 않으면 집계가 사람마다 달라집니다.

정의와 범위는 법령이 정합니다

개인신용정보의 정의와 상거래기업·법인의 범위는 관련 법령으로 정해지고 사안에 따라 판단이 갈릴 수 있습니다. 이 글은 두 기준이 서로 다른 축이라는 구조와, 주체·정보 종류를 먼저 정하고 인원을 세는 순서를 적었습니다. 개별 해당 여부는 관계 기관 안내와 자문으로 확정하는 것이 맞습니다.

두 기준을 주체와 정보 종류로 나누기