고객 데이터가 유출되면 몇 시간 안에 개인정보보호위원회에 신고해야 하나요

컨트롤러(정보처리자)는 침해 사실을 알게 된 때부터 가능한 한 72시간 이내에 지체 없이 개인정보보호위원회(PDPC) 사무국에 신고해야 합니다(법 제37조 제4항). 다만 그 침해가 개인의 권리와 자유를 침해할 위험이 없는 경우는 예외입니다. 위원회 고시는 침해가 실제로 발생했다고 믿을 만한 상당한 이유가 있을 때 신고 절차가 시작된다고 정하고 있으므로, 예비 조사를 최대한 신속히 해야 합니다.

데이터가 유출되면 매번 고객에게 알려야 하나요

매번은 아닙니다. 침해가 정보주체의 권리와 자유를 침해할 높은 위험이 있을 때 그에게 구제 방안과 함께 통지해야 합니다. PDPC 신고는 개인의 권리와 자유에 대한 위험이 있을 때 해야 하며, 위험이 전혀 없는 경우에만 신고하지 않아도 됩니다. 컨트롤러는 신고하지 않기로 결론을 내린 경우에도 매번 평가 근거를 기록해 두어야 합니다.

72시간 안에 신고하지 못하면 어떻게 해야 하나요

위원회 고시는 사무국이 지연 신고에 대한 면책을 심사하도록 요청할 수 있는 길을 열어 두고 있습니다. 다만 예비 조사나 사고 진압 등 피할 수 없는 필요가 있어야 하며, 그 이유를 소명하고 최대한 신속히, 늦어도 침해를 알게 된 날부터 15일 이내에 신고해야 합니다. 면책 여부는 사무국의 재량이므로 이를 항상 쓸 수 있는 권리로 보아서는 안 됩니다.

시스템이 클라우드 제공업체나 외주 업체에 있고 그쪽에서 데이터를 유출했다면 누가 신고하나요

프로세서(위탁 처리자)는 법 제40조에 따라 발생한 사고를 컨트롤러에게 알릴 의무가 있습니다. 그러나 PDPC 신고와 정보주체 통지 의무는 컨트롤러, 일반적으로 고객 데이터를 보관하는 회사에 있습니다. 위원회 고시는 컨트롤러가 프로세서와의 계약에 사고를 알게 된 때부터 72시간 이내에 통지하도록 명시할 것을 정하고 있으므로, 서비스 제공자가 먼저 알려 주기를 기다렸다가 기산을 시작해서는 안 됩니다.

데이터 유출 사고를 신고하지 않으면 어떤 처벌이 있나요

법 제37조(신고 의무를 포함)를 지키지 않은 컨트롤러는 법 제83조에 따라 300만 밧 이하의 행정 과징금을 부과받습니다. 이 밖에도 법 제77조에 따라 피해를 입은 정보주체에게 민사 배상금을 지급해야 할 수 있고, 고객의 신뢰를 잃게 됩니다. 이 금액은 상한이며 고정 요율이 아닙니다.

고객 데이터 유출, 회사가 가장 먼저 해야 할 일: PDPA에 따른 72시간 대응 계획

이 글은 누구를 위한 것이며, 핵심 원칙은 무엇인가

이 글은 고객 데이터 유출 사실을 막 알게 된 회사의 대표나 경영진을 위해 쓰였습니다. 해킹을 당했든, 직원이 잘못된 상대에게 파일을 보냈든, 기기를 분실했든, 외부 서비스 제공업체의 시스템에 문제가 생겼든 마찬가지입니다.

핵심 원칙은 3가지입니다.

시계는 사고를 인지한 시점부터 돌아갑니다. 개인정보처리자는 사고를 인지한 때로부터 지체 없이, 가능한 한 72시간 이내에 개인정보보호위원회 사무국(สคส., 태국 개인정보보호위원회 사무국)에 통지해야 합니다. 다만 개인의 권리와 자유에 대한 위험이 없는 경우는 예외입니다.
통지 여부를 결정하기 전에 위험을 평가해야 하며, 그 근거를 기록해 두어야 합니다.
일을 빨리 끝내려고 시스템을 삭제하거나 지워서는 안 됩니다. 증거는 위험을 평가하고 회사가 의무를 다했음을 입증할 수 있게 해주는 것입니다.

사고 발생 전 PDPA 시스템을 준비하는 방법은 비즈니스를 위한 PDPA 체크리스트를 참고하십시오. 이 글은 사고가 이미 발생한 시점만을 다룹니다.

데이터 컨트롤러와 데이터 프로세서는 어떻게 다르며, 누가 신고해야 하는가

역할	누구인가	데이터 유출 시 의무
데이터 컨트롤러	데이터 이용 목적과 방법을 결정하는 자. 예: 자사 고객 데이터를 보관하는 회사	위험 평가, สคส.(태국 개인정보보호위원회)에 신고, 정보주체에 통지, 사고 해결 (제37조 (4))
데이터 프로세서	컨트롤러의 지시에 따라 또는 컨트롤러를 대신하여 데이터를 처리하는 자. 예: 클라우드 서비스 제공업체, CRM 시스템, 급여 대행 회계법인	발생한 사고를 컨트롤러에게 통지하고 보안 조치를 마련 (제40조)

사업주들이 흔히 놓치는 점은, 데이터가 서비스 제공업체의 시스템에 있으면 제공업체가 알아서 처리해야 한다고 생각하는 것입니다. 실제로는 สคส. 및 정보주체에 대한 통지 의무는 컨트롤러인 회사에 그대로 남아 있습니다. 원인이 서비스 제공업체에 있더라도 마찬가지입니다.

위원회 고시는 또한 컨트롤러가 프로세서를 이용하는 경우, 프로세서가 사고를 인지한 때부터 72시간 이내에 지체 없이 컨트롤러에게 통지하도록 계약서에 명시할 것을 정하고 있습니다. 계약서에 이 조항이 아직 없다면, 이번 사고가 마무리된 후에 추가하는 것이 좋습니다.

데이터 유출을 알게 되었을 때 가장 먼저 해야 할 일

아래 순서는 각 항목에 명시된 법적 의무에 근거한 저희가 권장하는 실무입니다.

1단계. 담당자를 지정하고 시간 기록을 시작하세요

조정 담당자 한 명을 정하고, 누가 언제 어떤 경로로 알게 되었는지 즉시 기록하세요. "사고를 인지한" 시점이 신고 기한의 기산점이 되기 때문입니다. 위원회 고시는 정보관리자가 구두, 서면, 이메일 등 어떤 방식으로든 누군가로부터 초기 정보를 통보받은 때에 확인해야 하는 것으로 보고 있습니다.

2단계. 피해를 멈추되 증거는 보존하세요

해야 할 일

사용된 계정의 권한을 차단하고, 비밀번호와 API 키를 변경하며, 의심되는 기기나 시스템을 네트워크에서 분리합니다.
시스템이 덮어쓰기 하기 전에 서버, 애플리케이션, 방화벽, 이메일의 로그를 백업합니다.
화면을 캡처하고 관련 이메일이나 메시지를 보관하며, 누가 시스템에 어떤 조치를 했는지 기록합니다.

해서는 안 될 일은 시스템을 새로 설치해 덮어쓰거나, 변조된 파일을 삭제하거나, 포렌식 데이터를 백업하지 않은 채 서비스를 급히 전부 중단하는 것입니다. 위원회 고시는 정보관리자가 높은 위험을 발견한 경우 즉시 할 수 있는 범위에서 예방, 저지 또는 시정 조치를 하도록 정하고 있습니다. 증거 보존은 이 의무와 충돌하지 않습니다.

3단계. 관련 서비스 제공자와 파트너에게 연락하세요

클라우드, 호스팅, CRM 시스템 제공자 또는 시스템 개발사에 즉시 알리고, 로그와 사고 보고서를 서면으로 보내달라고 요청하세요. 최소한 어떤 유형의 정보가, 누구의 것이, 몇 명 분이, 어느 기간에 유출되었으며, 취약점이 이미 차단되었는지를 물어보세요. 사이버 보안 컨설팅 회사가 있다면 이 단계에서 투입하세요. 사이버 보험(가입한 경우)이 있다면 사고 통지 조건을 제때 확인해야 합니다. 일부 보험은 전문가를 고용하기 전에 보험사에 먼저 통지하도록 정하고 있기 때문입니다.

4단계. 정보주체에 대한 위험을 평가하세요

위원회 고시 제12조는 정보관리자가 다음 요소들을 고려하도록 정하고 있습니다.

침해의 성격과 유형 (정보의 기밀성, 무결성 또는 가용성)
관련 정보의 유형, 예컨대 주민등록번호, 금융 정보, 건강 정보, 비밀번호
규모 — 정보주체 수와 데이터 항목 수 모두
정보주체의 상태, 예컨대 아동, 장애인 또는 취약계층
발생했거나 발생할 수 있는 영향의 심각성, 그리고 사고를 저지하기 위해 사용한 조치의 효과성

고시에 따라 "위험이 없음"에 해당하는 경우, 예컨대 정보가 개인을 식별할 수 없거나, 충분한 기술적 조치(예: 적절히 암호화되어 있고 키가 유출되지 않은 경우)로 인해 정보가 사용할 수 없는 상태에 있는 경우, 정보관리자는 이를 입증할 수 있어야 하며 사무국에 증빙 서류를 제출해 심사를 받아야 할 수도 있습니다. 기록도 없이 스스로 "위험이 없을 것 같다"고 결론 내리는 것은 위험합니다.

5단계. 신고 여부를 결정하고 제때 신고하세요

다음 항목을 참고하세요. 평가 결과 신고해야 한다면, 고시가 정한 세부 사항을 그 시점에 보유한 범위에서 준비하세요. 모든 측면의 정보가 다 갖춰질 때까지 기다릴 필요는 없습니다. 고시는 "할 수 있는 범위에서"라는 표현을 사용하고 있기 때문입니다.

6단계. 해킹이나 시스템 공격이라면 경찰에 신고하고 당국에 연락하세요

보호 조치가 되어 있는 컴퓨터 시스템이나 데이터에 부정하게 접근하는 것은 컴퓨터 범죄에 관한 법률 (제5조 및 제7조)에 따른 범죄입니다. 따라서 회사는 피해자로서 신고할 수 있으며, 로그, 타임라인, 전문가 보고서를 함께 제출하면 됩니다. 경찰 신고는 PDPA에 따른 의무와 별개의 사안이며 서로를 대체하지 않습니다. 위원회 고시도 สคส.(개인정보보호위원회 사무국)에 신고했다고 해서 사업과 관련된 다른 법률상 의무가 면제되는 것은 아니라고 명시하고 있습니다.

7단계. 고객과 소통하세요

아래 "고객에게 어떻게 알릴 것인가" 항목을 참고하세요.

8단계. 검토하고 근본 원인을 해결하세요

위원회 고시는 정보관리자가 사고를 저지하고, 대응하고, 시정하고, 복구하고, 재발을 방지하기 위해 필요하고 적절한 조치를 취하도록 정하고 있으며, 보안 조치를 재검토하는 것도 포함됩니다. 내부 사고 보고서를 매번 작성해 두는 것이 좋습니다.

개인정보보호위원회 신고 및 고객 통지는 언제 해야 하는가

경우	법적 의무
개인의 권리와 자유를 침해할 위험이 없는 경우	개인정보보호위원회에 신고할 필요는 없으나, 위험이 없음을 입증할 수 있어야 함
위험이 있는 경우	사유를 알게 된 때부터 72시간 이내에, 가능한 범위에서 지체 없이 개인정보보호위원회에 신고
위험이 높은 경우	개인정보보호위원회에 신고하고 또한 영향을 받은 정보주체에게 구제 방안과 함께 지체 없이 통지

근거는 개인정보보호법 제37조 (4) 및 위원회 고시 제5항부터 제10항입니다.

개인정보보호위원회에 신고할 때 포함해야 하는 사항 고시 제6항은 사무국이 정한 방식에 따라 서면 또는 전자적 방법으로 신고하도록 하며, 가능한 범위에서 다음을 기재하도록 합니다.

침해의 성격과 유형에 관한 개요 — 정보주체의 수 또는 건수로 설명할 수 있습니다.
DPO 또는 회사가 업무를 위임한 담당자의 이름과 연락처
발생할 수 있는 영향
예방, 중단, 시정 또는 구제를 위해 사용한 조치 또는 사용할 조치

실제 제출 경로는 신고할 때마다 개인정보보호위원회 웹사이트에서 확인해야 합니다. 방법을 정하는 주체가 사무국이기 때문입니다.

72시간을 넘겨 지연 신고하는 경우 고시 제7항에 따라 불가피한 사유가 있을 때에는 사무국에 면책을 심사해 달라고 요청할 수 있습니다. 예를 들어 사전 조사나 사고의 방지·중단 조치가 먼저 필요했던 경우입니다. 이때는 사유를 소명하고 지체 없이, 사유를 알게 된 날부터 15일을 넘지 않게 신고해야 합니다. 사무국은 추후 추가 소명을 요구할 수 있습니다. 이는 면책을 요청하는 것이지 자동으로 주어지는 권리가 아니므로, 항상 정해진 기한에 맞춰 신고하고 세부 내용은 나중에 보완하는 것이 좋습니다.

고객에게 어떻게 알리고, 무엇을 말해야 하며, 무엇을 말하지 말아야 하는가

위험이 높을 때, 고시 제10조는 정보주체에 대한 통지에 최소한 다음이 포함되어야 한다고 규정합니다. 즉 사고의 성격에 관한 개요 정보, DPO 또는 담당자의 연락처, 그에게 발생할 수 있는 영향, 구제 방안, 그리고 그가 스스로 할 수 있는 조치에 대한 권고입니다. 예컨대 비밀번호 변경이나 전화·이메일 사기를 주의하는 것 등입니다.

개별적으로 연락할 수 없는 경우, 제11조는 대중매체나 온라인 매체를 통해 집단으로 통지하거나 일반 공지로 알릴 수 있도록 허용합니다. 다만 이는 정보주체에게 추가적인 피해를 발생시켜서는 안 됩니다.

커뮤니케이션 실무 지침 (법적 강제 사항은 아님)

말해야 하는 것: 확인된 사실, 어떤 유형의 정보가 관련되었는지, 회사가 이미 한 조치, 고객이 해야 할 일, 그리고 실제로 응답이 가능한 연락처
말하지 말아야 하는 것: 조사 결과가 나오기 전에 원인이나 행위자를 추측하는 것, 근거 없이 "영향이 없을 것" 같은 표현으로 심각성을 축소하는 것, 고객에게 보내는 서신에서 서비스 제공업체에 책임을 전가하는 것, 책임이 평가되기 전에 보상을 약속하는 것
고객에게 보내는 통지와 สคส.(태국 개인정보보호위원회 사무국)에 대한 신고 내용은 일치해야 합니다. 서로 모순되는 정보는 나중에 문제를 일으킵니다.
평이한 언어를 사용하고, 고객이 신뢰하는 채널을 통해 발송하며, 사고 통지 메시지 자체가 사기꾼이 모방할 수 있는 통로가 되지 않도록 주의하십시오.

신고하지 않으면 어떤 처벌을 받나요

제37조를 준수하지 않은 개인정보 관리자(컨트롤러)는 제4항의 신고 의무를 포함하여, 제83조에 따라 300만 바트 이하의 행정 과징금을 부과받습니다. 즉 이것이 상한이며, 각 사안의 정황에 따라 판단됩니다.

일부 자료에서 볼 수 있는 500만 바트 상한과 혼동하지 마십시오. 그 상한은 민감정보와 국외 이전에 관한 제84조의 것으로, 신고 의무에 관한 것이 아닙니다. 다만 유출된 정보가 건강정보 등 민감정보인 경우에는 다른 쟁점이 함께 발생할 수 있습니다.

정당한 사유 없이 제40조를 준수하지 않은 개인정보 처리자(프로세서) 역시 제86조에 따라 300만 바트 이하의 행정 과징금을 부과받습니다. 과징금 외에도 제77조는 위법 행위로 정보주체에게 손해가 발생한 경우, 고의나 과실이 없더라도 법이 정한 예외를 입증하지 못하면 손해를 배상하도록 하고 있습니다. 전체 개요는 2026년 태국 기업을 위한 PDPA 법령 업데이트에서 확인하십시오.

NCSA에도 신고해야 합니까?

규제기관이 지정한 핵심정보통신기반시설(CII) 에 해당하는 회사만이, 시스템에 대한 중대한 사이버 위협이 발생했을 때 이 의무를 집니다. 사이버보안 유지법(불기 2562년) 제57조는 국가사이버보안위원회 사무국(NCSA)과 통제·감독기관에 보고하도록 정하고 있으며, 이는 PDPA와는 별개의 의무로서 함께 이행해야 합니다.

CII 그룹에 속하지 않는 일반 회사는 같은 조항에 따른 의무가 없습니다. 다만 금융이나 통신 등 별도의 감독기관이 있는 분야에 속한 경우에는 해당 기관의 규정을 추가로 확인해야 합니다.

첫 72시간 체크리스트

사건을 인지한 시각과 출처를 기록하고, 담당 조정자를 지정한다.
비정상적인 접근을 차단하고, 비밀번호와 키를 교체한다.
시스템을 초기화하거나 재설치하기 전에 로그와 증거를 백업한다.
서비스 제공자와 처리자에게 통지하고, 서면 보고서를 요청한다.
정보의 유형, 건수, 정보주체의 범위를 특정한다.
고시에 규정된 요소에 따라 위험을 평가하고, 그 판단 근거를 기록한다.
위험이 있는 경우, 확보한 정보에 따라 สคส.(태국 개인정보보호위원회 사무국)에 통지한다. 위험이 높은 경우, 정보주체에게 보낼 통지문을 준비한다.
해킹을 당한 경우, 수사기관에 신고하고 관련 서류를 보관한다.
해당 조직이 CII(핵심 기반시설)에 해당하는지, 또는 별도의 감독 기관의 관할인지 확인한다.
사건 보고서와 시정 계획을 작성하고, 처리자와의 계약을 개정하는 것도 포함한다.