개인정보 유출 통지 받았다면…증거 보존부터 118 신고까지
유출 통지·문자·이메일·화면 캡처부터 보존해야
118 상담과 개인정보침해신고센터 신고는 역할 달라
금전 피해·계정 탈취·해킹 정황 있으면 경찰 등 별도 신고 필요
개인정보가 유출됐다는 문자나 이메일을 받으면 가장 먼저 해야 할 일은 해당 통지를 지우지 않고 보관하는 것이다. 유출된 개인정보의 항목과 발생 시점, 사업자가 안내한 대응조치, 이후 발생한 이상 로그인이나 결제기록 등을 함께 남겨야 이후 신고와 분쟁조정 과정에서 사실관계를 설명하기 쉽다.
한국인터넷진흥원 개인정보침해신고센터는 개인정보 침해와 관련한 상담과 신고를 받고 있다. 전화 118을 이용해 상담할 수 있고, 구체적인 침해 사실과 증거자료를 갖춘 경우 서면이나 온라인을 통해 정식 신고 절차를 진행할 수 있다.
다만 개인정보 유출과 동시에 보이스피싱이나 계정 탈취, 금융사기 같은 실제 범죄 피해가 발생했다면 개인정보침해신고센터 신고만으로 끝나는 것은 아니다. 금전 피해나 해킹 등 형사사건 가능성이 있는 경우에는 경찰 등 관련 기관에 별도로 신고해야 한다.
유출 통지를 받으면 먼저 ‘기록’을 남겨야 한다
개인정보 유출 통지를 받은 뒤 가장 흔한 실수는 안내문을 읽고 바로 삭제하는 것이다.
유출 사실이 확인됐거나 사업자가 유출 가능성을 통지했다면 해당 문자와 이메일, 앱 알림을 그대로 보관하는 것이 좋다. 가능하면 전체 화면을 캡처하고 수신 날짜와 발신자를 확인할 수 있도록 저장하는 편이 안전하다.
통지 내용 가운데 특히 확인해야 할 것은 어떤 개인정보가 유출됐는지다.
이름과 전화번호, 이메일 주소처럼 연락처 수준의 정보가 유출됐는지, 비밀번호와 인증정보, 금융정보, 주민등록번호 등 피해 가능성이 더 큰 정보가 포함됐는지에 따라 이후 대응도 달라질 수 있다.
사업자가 안내한 유출 시점과 원인, 이용자가 해야 할 조치도 기록해 둬야 한다. 비밀번호 변경이나 재발급을 권고했다면 실제 조치한 날짜도 함께 남겨두는 것이 좋다.
이상 로그인·문자·결제 기록도 함께 보존
유출 통지만 증거가 되는 것은 아니다.
이후 평소와 다른 로그인 알림이나 비밀번호 변경 시도, 인증번호 문자, 카드결제, 소액결제, 계좌이체 등이 발생했다면 해당 기록을 모두 보관해야 한다.
개인정보 침해 신고에서 중요한 것은 유출 사실과 실제 피해 사이의 연결관계를 보여주는 것이다.
예를 들어 개인정보 유출 통지를 받은 뒤 특정 계정에 해외 로그인 시도가 발생했다면 로그인 알림과 접속기록을 함께 확보해야 한다. 금융피해가 발생했다면 카드내역과 계좌거래내역, 금융회사 상담기록도 남겨야 한다.
문자나 메신저로 의심스러운 링크를 받았다면 링크를 다시 누르기보다 화면을 캡처하고 발신번호와 수신시간을 보존하는 편이 안전하다.
118은 상담창구, 정식 신고는 별도 절차
개인정보 침해가 의심되지만 어디에 신고해야 할지 모르겠다면 118 상담을 이용할 수 있다.
118은 한국인터넷진흥원이 운영하는 상담창구로 개인정보 침해뿐 아니라 해킹과 스팸 등 인터넷 관련 피해 상담을 제공한다.
상담은 피해자가 자신의 상황에서 어떤 절차를 이용해야 하는지 안내받는 단계다. 단순 문의나 제도 설명을 듣는 것과 정식 침해신고를 접수하는 것은 구분해야 한다.
개인정보 침해 사실을 공식적으로 신고하려면 개인정보침해신고센터를 통해 구체적인 사실관계와 증거자료를 제출해야 한다.
발제자료에서도 상담과 서면신고를 구분하고 있으며, 정확한 사실관계와 증거자료가 필요하다고 명시하고 있다.
신고서에는 ‘무슨 일이 있었는지’ 구체적으로 적어야
개인정보 침해 신고는 단순히 “내 정보가 유출됐다”고 적는 것보다 사건의 흐름을 구체적으로 정리하는 것이 중요하다.
언제 어느 사업자의 서비스를 이용했고, 어떤 통지를 받았으며, 어떤 정보가 유출됐다고 안내받았는지를 시간순으로 정리하는 것이 좋다.
이후 이상 로그인이나 광고전화, 스미싱, 금융피해 등이 발생했다면 그 내용도 함께 적어야 한다.
가능하면 유출 통지와 문자·이메일 화면, 거래기록, 상담기록, 사업자와 주고받은 답변 등을 첨부하는 것이 좋다.
개인정보침해신고센터는 이런 자료를 토대로 사실관계를 확인하고 해당 사업자에 대한 시정이나 관계기관 이관 여부를 검토한다.
상담과 사실확인은 처리기간도 다르다
개인정보침해신고센터의 상담과 정식 신고는 처리방식과 기간이 다르다.
발제자료에 따르면 상담 답변은 원칙적으로 14일 이내 처리하는 구조로 제시돼 있다. 침해 신고가 접수돼 사실확인과 시정유도로 이어지는 경우에는 60일, 행정조사로 전환된 뒤에는 120일을 기준으로 진행될 수 있다.
따라서 정식 신고를 하면 바로 다음 날 결론이 나오는 구조는 아니다.
사실관계를 확인하려면 사업자의 개인정보 처리내용과 보안조치, 유출 경위 등을 확인해야 하고 필요하면 추가 자료를 요구할 수 있다.
피해자 입장에서는 사건번호나 접수번호를 보관하고 이후 추가 피해가 발생할 때 관련 자료를 보완하는 것이 중요하다.
사업자가 답변했다고 신고를 못 하는 것은 아니다
개인정보를 유출한 사업자가 사과문이나 안내문을 보냈다고 해서 피해자가 별도의 신고를 할 수 없는 것은 아니다.
사업자의 자체조치와 이용자의 권리구제 절차는 별개다.
사업자가 유출 사실을 통지하고 비밀번호 변경 등을 안내했더라도 이용자가 개인정보 처리 과정에 문제가 있었다고 판단하거나 피해가 발생했다면 개인정보침해신고센터에 신고할 수 있다.
특히 사업자가 어떤 정보가 유출됐는지 명확하게 설명하지 않거나 유출 원인과 후속조치가 충분하지 않다고 판단되는 경우에는 관련 내용을 신고서에 구체적으로 적는 것이 좋다.
금전 피해가 있으면 개인정보 신고와 형사 신고를 나눠야
개인정보 유출 이후 실제 돈이 빠져나갔다면 대응 경로가 달라진다.
개인정보침해신고센터는 개인정보보호 관련 사실관계를 다루는 기관이다. 반면 피싱과 해킹, 계정 탈취, 금융사기 등은 형사범죄 여부를 판단해야 하기 때문에 경찰 신고가 별도로 필요할 수 있다.
발제에서도 사기와 해킹 피해는 경찰 등 관할기관에 별도로 신고하도록 구분하고 있다.
카드나 계좌에서 의심스러운 거래가 발생했다면 금융회사에 즉시 지급정지나 사고신고를 요청하는 것도 중요하다.
개인정보 유출 신고가 진행 중이라는 이유로 금융피해 대응을 미뤄서는 안 된다.
계정 비밀번호는 유출된 서비스만 바꾸면 끝이 아니다
개인정보 유출 통지에 비밀번호나 로그인 정보가 포함됐다면 같은 비밀번호를 쓰는 다른 서비스까지 점검할 필요가 있다.
한 서비스에서 유출된 이메일 주소와 비밀번호 조합을 다른 사이트에 대입해 로그인하는 ‘크리덴셜 스터핑’ 형태의 공격이 가능하기 때문이다.
동일하거나 비슷한 비밀번호를 여러 사이트에 사용했다면 각각 다른 비밀번호로 변경하고 가능하면 다중인증을 활성화하는 편이 좋다.
이 조치는 신고와 별개로 피해 확대를 막는 예방조치다.
유출 사실을 증명하기 위해 비밀번호를 그대로 유지할 필요는 없다. 통지와 화면을 증거로 보관한 뒤 계정 보안을 강화하는 것이 우선이다.
분쟁조정은 ‘보상’ 문제를 다루는 절차
개인정보 유출 피해에서는 신고와 분쟁조정도 구분할 필요가 있다.
침해신고는 사업자의 개인정보 처리 과정에서 법 위반이나 부적절한 조치가 있었는지 확인하고 시정을 요구하는 절차에 가깝다.
반면 실제 피해에 대한 손해배상 등 당사자 사이의 분쟁을 해결하려면 개인정보분쟁조정위원회와 같은 별도의 구제절차를 검토할 수 있다.
즉 “사업자가 잘못했는지 조사해 달라”는 요구와 “그 잘못 때문에 발생한 피해를 보상받고 싶다”는 요구는 목적이 다르다.
피해 상황에 따라 두 절차가 함께 필요할 수도 있다.
유출 통지 이후 행동 순서는 단순하다
개인정보 유출 통지를 받은 뒤 해야 할 일을 순서대로 정리하면 복잡하지 않다.
먼저 유출 통지와 관련 화면을 저장하고, 어떤 개인정보가 유출됐는지를 확인해야 한다.
이후 비밀번호 변경과 다중인증 설정 등 즉시 할 수 있는 보안조치를 실시하고, 이상 로그인이나 문자·결제 내역을 지속적으로 살펴야 한다.
개인정보 처리 과정에 문제가 있다고 판단되면 118에서 상담을 받은 뒤 개인정보침해신고센터를 통해 정식 신고를 진행할 수 있다.
금전 피해나 계정 탈취, 해킹 등 범죄 정황이 있다면 경찰과 금융기관 등 해당 기관에 별도로 신고해야 한다.
피해보상 문제까지 이어진다면 개인정보분쟁조정 등 추가적인 권리구제 절차를 검토할 수 있다.
결국 개인정보 유출 대응에서 가장 중요한 것은 통지만 읽고 끝내지 않는 것이다.
유출 사실을 기록으로 남기고 피해 가능성을 차단하며, 필요한 경우 신고와 형사절차, 분쟁조정을 각각 목적에 맞게 이용해야 한다.