민감정보와 고유식별정보는 어떻게 구분하나요?

신고 요건에서 두 용어는 OR 로 묶여 있습니다

공개 안내가 적는 두 번째 신고 요건은 민감정보 또는 고유식별정보가 유출된 경우입니다. 두 용어가 또는으로 연결되어 있어, 어느 한쪽에 해당하면 요건이 충족됩니다. 그래서 실무에서 필요한 것은 두 용어의 정확한 경계를 다투는 일보다, 유출된 항목 목록을 빠뜨리지 않고 적는 일입니다.

분류보다 목록이 먼저입니다

판정이 틀어지는 지점은 대개 분류가 아니라 목록입니다. 항목을 덜 적어 두면 어떤 분류 기준을 써도 결론이 달라지지 않습니다. 그래서 순서를 목록 작성, 분류, 요건 대조로 고정하는 편이 안전합니다. 목록은 화면에서 보이는 항목만이 아니라 데이터베이스 열 이름까지 확인해 적습니다.

인원 요건과 독립적으로 작동합니다

이 요건은 인원과 무관합니다. 1천명 미만이어도 민감정보나 고유식별정보가 포함되어 있으면 신고 의무가 발생합니다. 반대로 인원이 1천명을 넘으면 항목 종류와 무관하게 첫 요건으로 이미 의무가 생깁니다. 두 요건은 서로를 대체하지 않고 각각 독립적으로 걸립니다.

판정이 뒤집히는 전형적인 경우

초기 집계에서 이름과 연락처만 있다고 보고했다가, 나중에 특정 열에 고유식별정보가 들어 있던 것이 드러나는 경우가 있습니다. 이때 판정은 신고 의무 없음에서 있음으로 바뀝니다. 기한은 유출을 알게 된 때부터 72시간이고 기산점이 뒤로 밀리지 않으므로, 뒤늦게 뒤집히면 남은 시간이 거의 없습니다. 그래서 목록 확인을 초기에 끝내는 것이 기한 관리의 핵심입니다.

사례: 항목 목록 재확인으로 판정이 바뀐 경우

상황은 유출 인원 300명 규모의 사고입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 초기 보고 항목은 이름과 이메일, 원인은 내부 담당자의 설정 오류입니다. 계산은 세 요건 대조입니다. 300명은 1천명 미만, 이름과 이메일은 민감정보·고유식별정보 아님, 원인은 외부 접근 아님이므로 초기 판정은 신고 의무 없음, 통지 의무만 있음입니다. 그런데 데이터베이스 열을 다시 확인해 한 열에 고유식별정보가 들어 있던 것이 확인되면 두 번째 요건에 해당하게 됩니다. 최종 결과는 신고 의무 발생으로 판정 변경이고, 기한은 처음 알게 된 시각부터 72시간 그대로입니다. 결과를 바꾸는 예외는 그 열이 실제로는 비어 있어 유출된 값이 없는 경우로, 그때는 항목이 존재했더라도 유출된 사실이 없으므로 판정이 유지됩니다. 다음 행동은 열 이름 목록과 각 열의 실제 값 유무를 나란히 적는 것입니다.

통지문에도 항목이 들어갑니다

항목 목록은 판정에만 쓰이는 값이 아닙니다. 정보주체에게 통지할 때 어떤 정보가 나갔는지 알려야 하므로 같은 목록이 통지 내용의 근거가 됩니다. 판정용과 통지용 목록을 따로 만들면 두 문서의 값이 어긋날 수 있습니다. 하나의 목록을 만들고 두 곳에서 같이 참조하는 편이 안전합니다.

이 글에서 단정하지 않은 것

어떤 항목이 민감정보에 들어가고 어떤 항목이 고유식별정보에 들어가는지의 개별 판단은 법령의 정의와 사안의 맥락에 따라 달라집니다. 이 글은 두 용어가 신고 요건에서 OR 로 묶여 있다는 구조와, 그래서 목록 작성이 먼저라는 실무 순서를 적었습니다. 개별 항목의 분류와 법적 판단은 관계 기관의 안내와 자문으로 확정하는 것이 맞습니다.

신고 요건에서 두 용어가 놓인 자리