유출 '의심'만 돼도 72시간 안에 알림, 홈페이지 문의창 점검할 때

홈페이지 상담 신청란에 손님 이름과 전화번호가 매달 수십 건씩 쌓이고 있다면, 이 글은 우리 가게 이야기입니다. 9월 11일부터는 해킹이 '확인'된 뒤가 아니라 '유출 가능성이 높다'고 판단되는 순간부터 손님에게 알릴 의무가 생겼습니다. 사고가 나기 전에 문의창이 어디에 무엇을 저장하는지 알아 두는 것이 가장 싸게 대비하는 방법입니다.

9월 11일부터 무엇이 바뀌었나

가장 큰 변화는 손님에게 알리는 시점이 앞당겨졌다는 것입니다. 개인정보보호위원회는 2026년 9월 10일 보도자료에서, 3월에 개정된 개인정보 보호법과 시행령·고시가 9월 11일부터 시행된다고 밝혔습니다.

예전에는 유출이 확인된 뒤에 알렸다면, 이제는 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우에도 알려야 합니다. 법 제34조 제2항이 이 내용으로 새로 생겼고, 시행령은 가능성을 알게 된 때부터 72시간 안에 통지하도록 정했다고 언론은 전했습니다(남도일보·아이티데일리, 2026년 9월).

알려야 하는 사고의 범위도 넓어졌습니다. 분실·도난·유출에 더해 위조·변조·훼손이 들어갔습니다. 예를 들어 랜섬웨어로 문의 기록 파일이 잠겨 버린 경우도 대상이 될 수 있습니다.

매출 10% 과징금, 동네 가게에도 해당하나

과징금 10%는 아무 위반에나 붙는 숫자가 아닙니다. 정책브리핑(2026년 9월 10일)에 따르면 고의·중과실로 인한 반복 위반, 1,000만 명 이상 피해, 시정명령 위반 같은 경우에 전체 매출액의 최대 10%까지 부과할 수 있고, 사전 예방에 투자했다면 최대 40%까지 깎아 줍니다.

동네 학원이나 의원이 이 기준에 걸릴 일은 드뭅니다. 사장님에게 더 현실적인 것은 과태료입니다. 법 제75조는 안전조치 의무(제29조) 위반 등에 최대 3천만 원 과태료를 정해 두었고, 위반 정도와 사업 규모를 보고 줄일 수 있게 했습니다.

하나 더 눈여겨볼 문장이 있습니다. 개정법은 사업주·대표자를 개인정보 관리의 최종 책임자로 명시했습니다. 홈페이지를 만들어 준 업체나 직원에게 맡겨 두었더라도, 손님 앞에서 책임지는 사람은 대표라는 뜻입니다.

우리 홈페이지 문의창, 어디에 무엇이 쌓이나

점검의 출발은 '받은 정보가 어디에 저장되는지' 아는 것입니다. 같은 상담 신청란이라도 메일로 오는지, 구글 시트나 외부 설문 서비스에 쌓이는지, 홈페이지 관리자 화면에 남는지에 따라 할 일이 다릅니다.

우리 가게에 적용하면, 손님이 '홈페이지 개인정보처리방침 만들기'나 '개인정보 유출 통지 72시간'을 검색해 볼 만큼 이 주제는 이제 낯설지 않습니다. 처리방침 링크가 없는 홈페이지는 손님 눈에도 허술해 보입니다. 반대로 문의창 바로 아래에 '받는 항목, 쓰는 목적, 보관 기간'이 짧게 적혀 있으면 처음 연락하는 손님도 안심하고 이름과 번호를 남깁니다.

상담 챗봇을 달았다면 따로 볼 것

요즘은 홈페이지에 AI 상담 챗봇을 다는 가게가 늘었습니다. 챗봇은 손님이 직접 증상, 사건 내용, 자녀 성적 같은 민감한 이야기를 적는 창구가 되기 쉽습니다.

개인정보위는 2026년 4월 24일 개인정보 처리방침 작성지침을 고치면서 생성형 AI 서비스 부록을 새로 만들었습니다(아시아경제, 2026.4.24). 손님이 입력한 글·음성·첨부파일과 그 결과물이 저장된다면 처리 항목으로 적도록 권장하는 내용입니다.

2026년 1월 22일 시행된 인공지능기본법도 있습니다. 과학기술정보통신부의 투명성 확보 가이드라인은 이용자에게 AI 서비스를 직접 제공하는 사업자에게 AI 사용 사실을 미리 알리도록 하고, 과태료는 1년 이상 계도기간을 두었습니다. AI를 업무 도구로만 쓰는 경우는 대상이 아니라고 설명합니다. 우리 챗봇이 어디에 해당하는지 애매하다면, 챗봇 첫 화면에 'AI가 답하는 상담이며, 주민등록번호 등은 적지 마세요' 한 줄을 넣어 두는 것이 손해 없는 선택입니다.

챗봇 대화 기록이 얼마나 오래 남는지도 확인하세요. 챗봇 서비스 업체 화면에서 보관 기간을 정할 수 있는 경우가 많고, 상담이 끝난 대화를 계속 쌓아 둘수록 사고 때 알려야 할 손님 수도 늘어납니다. 필요한 기간만 남기고 지우는 것이 가장 확실한 보안입니다.

제작 업체에 맡겼다면 계약 단계에서 물어볼 것

문의창 보안은 대부분 제작 업체와 호스팅 업체가 실제로 손을 댑니다. 그래서 대표가 직접 기술을 알 필요는 없지만, 무엇을 물어야 하는지는 알아 두셔야 합니다.

첫째, 문의 내용이 어느 회사 서버에 저장되는지입니다. 외부 설문 서비스나 메일 서비스를 쓴다면 그 회사가 개인정보 처리를 맡은 곳(수탁자)이 되고, 처리방침에 이름을 적어야 합니다. 개정 작성지침은 수탁자가 자주 바뀌는 경우 유형으로 묶어 적는 것도 허용했지만, 손님이 메뉴에서 확인할 수 있어야 한다는 조건이 붙습니다.

둘째, 오픈 뒤 누가 관리자 계정을 갖는지입니다. 제작이 끝난 뒤에도 옛 업체 직원 계정이 그대로 남아 있는 홈페이지가 적지 않습니다. 계약서에 '오픈 시 관리자 계정 인계, 제작사 계정 삭제'를 한 줄 넣어 두면 나중에 다툴 일이 줄어듭니다.

셋째, 이상 접속을 알려 주는지입니다. 72시간은 사장님이 '알게 된 때'부터 셉니다. 호스팅 업체가 이상 징후를 언제, 어떤 경로로 알려 주는지 미리 정해 두면 판단이 빨라집니다.

사고가 나면 72시간, 미리 정해 둘 세 가지

72시간은 생각보다 짧습니다. 주말에 이상 접속 알림을 받았는데 제작 업체 연락이 안 되면 그대로 시간이 흐릅니다.

1. 누가 알릴지: 대표, 실무 담당, 제작 업체 중 누가 판단하고 연락할지 정해 둡니다.
2. 무엇을 알릴지: 언론 보도에 따르면 통지에는 유출 항목, 의심 시점과 경위, 피해 줄이는 방법, 피해 구제 절차, 신고 연락처가 들어가야 합니다. 빈칸 양식을 미리 만들어 두면 됩니다.
3. 어디에 신고할지: 유형과 규모에 따라 개인정보위나 전문기관에 신고해야 합니다(법 제34조 제4항). 한국인터넷진흥원 상담 번호 118을 연락처 목록에 넣어 둡니다.

홈페이지를 새로 만들거나 바꿀 계획이라면, 견적을 받을 때 '문의 내용이 어디에 저장되고 누가 볼 수 있나요'를 꼭 물어보세요. 저희가 홈페이지를 만들 때 쓰는 기준은 홈페이지 제작 안내에 정리해 두었습니다. 지금 홈페이지가 검색에 어떻게 보이는지 궁금하시면 무료 진단 리포트로 함께 확인해 드립니다.

우리 가게에 맞는 점검은 저희가 대신 해 드립니다 · 무료 진단 리포트 받기

이 글은 공개된 자료를 바탕으로 한 정보 제공용 칼럼이며 법률·세무 자문이 아닙니다. 수치와 규정은 글에 적은 날짜 기준이니, 적용 전에 원문과 관할 기관을 확인해 주세요.

홈페이지·자동화 마케팅 자세히 보기칼럼 목록