개인정보가 유출됐음을 알게 된 회사는 지체 없이 해당 정보주체에게 법정 사항을 알려야 한다(개인정보 보호법 제34조 제1항). 사과 문구만으로 통지 내용이 모두 갖춰졌다고 볼 수는 없다. 어떤 정보가 어떻게 유출됐고 피해를 줄이기 위해 무엇을 할 수 있는지가 보여야 한다.
통지에 들어갈 내용을 나누어 본다
가령 이용한 서비스에서 개인정보 유출 안내를 받았다고 하자. 설명용 가상 사례다. 먼저 유출된 정보 항목과 유출 시점 · 경위가 무엇인지 읽는다. 피해를 최소화하기 위해 이용자가 할 수 있는 방법에 관한 구체적 정보, 회사의 대응조치와 피해 구제절차, 피해 신고 등을 접수할 담당부서 및 연락처도 통지할 사항이다. 막연히 주의하라는 안내와 실제 대응에 쓸 정보를 구별해야 한다.
법적 권리와 행사 방법도 확인한다
현행 제34조 제1항 제6호는 손해배상, 법정손해배상 청구와 분쟁조정 등 피해 정보주체의 법적 권리 및 행사 방법에 관한 정보도 정한다. 제7호의 대통령령상 보호사항도 통지 대상이다. 법적 권리를 안내한다는 말이 모든 이용자에게 특정 금액을 지급한다는 보장은 아니다. 통지에서 안내한 구제절차와 창구가 무엇인지 따로 확인한다.
통지와 피해 확산 방지는 별개 의무다
연락처를 알 수 없는 경우 등 정당한 사유가 있으면 대통령령에 따른 조치로 통지를 갈음할 수 있다(제1항 단서). 또 제2항은 대통령령으로 정하는 유출 가능성을 알게 된 때의 안내를 따로 정하므로 모든 의심 상황을 이미 유출이 확인된 경우와 같게 읽지 않는다. 제3항은 회수 · 삭제 등 피해 확산 방지조치를 포함한 대책과 필요한 조치도 요구한다. 제4항의 기관 신고는 정보주체 통지와 구별된다. 받은 통지의 원문, 추가 안내와 문의 회신을 모아 항목별로 빠진 정보가 무엇인지 살핀다. 이 글은 구체적인 신고 규모나 통지 대체 방법을 임의로 정하지 않으며, 각자의 피해나 배상액을 확정하는 설명도 아니다.
