개인정보 보호법 시행령 제40조(개인정보 유출 등의 신고)

① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각 호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조 제4항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다. <개정 2026.9.10>

(1) When웬 a어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 becomes비컴즈 aware어웨어 that^ð댓 personal퍼시늘 information인^f퍼메이션 has해즈 been빈 subject서브젝트 to투 a어 leak,릭 etc.엣세터^r러 in인 any에니 of어^v브 the^ð더 following^f팔로잉 cases,케이시즈 it잇 shall섈 report^r리포트 the^ð더 matters매터즈 under언더 the^ð더 subparagraphs서브패^r러그^r래^f프스 of어^v브 Article아터클 34 (1) of어^v브 the^ð디 Act액트 by바이 written^r리튼 or오 similar시멀러 methods메^θ써즈 to투 the^ð더 Protection프^r러텍션 Commission커미션 or오 the^ð더 specialized스페셜라이즈드 institution인스티투션 under언더 the^ð더 former^f포머 part파트 of어^v브 paragraph패^r러그^r래^f프 (4) of어^v브 the^ð더 same세임 Article아터클 within위^ð딘 72 hours.아워즈 However,하우에^v버 where웨어 it잇 is이즈 difficult디^f퍼컬트 to투 report^r리포트 within위^ð딘 72 hours아워즈 due두 to투 a어 natural내처^r럴 disaster디재스터 or오 other어^ð더 unavoidable어너^v보이더블 reasons,^r리즌즈 it잇 may메이 report^r리포트 immediately이미디어틀리 after애^f프터 the^ð더 grounds그^r라운즈 have해^v브 ceased시스트 to투 exist,이그지스트 and앤드 where웨어 the^ð더 route^r룻 of어^v브 the^ð더 leak,릭 etc.엣세터^r러 of어^v브 personal퍼시늘 information인^f퍼메이션 has해즈 been빈 identified아이덴터^f파이드 and앤드 the^ð더 likelihood라이클리후드 of어^v브 infringement인^f프^r린지먼트 of어^v브 the^ð더 data데이타 subjects'서브직츠 rights^r라잇츠 and앤드 interests인트^r러스츠 has해즈 been빈 significantly시그니^f피컨틀리 reduced^r러두스트 through^θ쓰^r루 measures메저즈 such서치 as애즈 retrieving^r리트^r리^v빙 or오 deleting딜리팅 the^ð더 relevant^r렐러^v번트 personal퍼시늘 information,인^f퍼메이션 it잇 need니드 not낫 report:^r리포트

② 제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.

(2) Notwithstanding낫위^ð드스탠딩 paragraph패^r러그^r래^f프 (1), where웨어 a어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 intends인텐즈 to투 make메이크 a어 report^r리포트 under언더 paragraph패^r러그^r래^f프 (1) but벗 has해즈 not낫 been빈 able에이블 to투 confirm컨^f펌 the^ð더 specific스퍼시^f픽 details디테일즈 of어^v브 the^ð더 matters매터즈 under언더 Article아터클 34 (1) 1 or오 2 of어^v브 the^ð디 Act,액트 it잇 shall섈 first^f퍼스트 report,^r리포트 by바이 written^r리튼 or오 similar시멀러 methods,메^θ써즈 the^ð더 fact^f팩트 that^ð댓 personal퍼시늘 information인^f퍼메이션 has해즈 been빈 subject서브젝트 to투 a어 leak,릭 etc.,엣세터^r러 the^ð더 details디테일즈 confirmed컨^f펌드 so소우 far,^f파 and앤드 the^ð더 matters매터즈 under언더 subparagraphs서브패^r러그^r래^f프스 3 through^θ쓰^r루 5 of어^v브 that^ð댓 paragraph,패^r러그^r래^f프 and앤드 shall섈 report^r리포트 further^f퍼^ð더 details디테일즈 as애즈 soon순 as애즈 they^ð데이 are아 confirmed.컨^f펌드

③ 법 제34조제3항 전단 및 후단에서 "대통령령으로 정하는 전문기관"이란 각각 한국인터넷진흥원을 말한다.

(3) "Specialized스페셜라이즈드 institution인스티투션 prescribed프^r리스크^r라이브드 by바이 Presidential프^r레저덴실 Decree"디크^r리 in인 the^ð더 former^f포머 and앤드 latter래터 parts파츠 of어^v브 Article아터클 34 (3) of어^v브 the^ð디 Act액트 means,민즈 in인 each이치 case,케이스 the^ð더 Korea코^r리아 Internet인터넷 and앤드 Security시큐^r러티 Agency.에이전시