건강정보 유출 통지 받았다면? 72시간 규정과 대응 5단계 정리
제약사·병원발 환자 건강정보 유출 소식이 이어집니다. 국내 개인정보보호법상 72시간 통지 규정, 민감정보 기준, 통지받았을 때 바로 할 대응 5단계를 정리했습니다.
건강정보 유출 통지를 받았다면 순서는 정해져 있습니다 — 비밀번호 변경 → 금융 명의 보호 등록 → 통신 명의 확인 → 증거 보관 → 신고·구제 접수. 이 다섯 가지를 하루 안에 끝내면 2차 피해 가능성이 크게 줄어듭니다.
미국 바이오제약사 암젠이 2026년 7월 31일 미국 증권거래위원회(SEC)에 제3자 클라우드 환경 침해로 환자 건강정보와 사내 데이터가 외부로 빠져나갔다고 공시하면서, “내 진료·투약 정보도 새어 나갈 수 있나”라는 검색이 늘었습니다. 해당 사고의 국내 영향 범위는 조사 진행 중이라 단정할 수 없지만, 통지를 받는 입장에서 무엇을 해야 하는지는 미리 알아 둘 수 있습니다.
건강정보는 왜 ‘더 센’ 취급을 받나
개인정보보호법은 건강·의료 정보를 민감정보(유출 시 사생활 침해 우려가 큰 정보)로 따로 분류합니다. 이름·전화번호 같은 일반 개인정보보다 수집·이용 요건이 엄격하고, 유출 시 신고 기준도 다릅니다.
| 구분 | 일반 개인정보 | 건강·의료 정보(민감정보) |
|---|---|---|
| 법적 분류 | 일반 개인정보 | 민감정보 (별도 동의 필요) |
| 신고 기준 | 1천 명 이상 유출 등 | 규모와 무관하게 신고 대상이 될 수 있음 |
| 2차 피해 유형 | 스팸·스미싱 | 맞춤형 사기, 보험·고용 관련 불이익 우려 |
| 사후 복구 | 비밀번호 변경 등으로 차단 | 병력은 바꿀 수 없어 회복이 어려움 |
핵심 차이는 마지막 줄입니다. 비밀번호는 바꾸면 되지만 병력·투약 이력은 교체가 불가능합니다. 그래서 유출 이후에는 “정보를 되돌리는” 대신 “그 정보로 벌어질 일을 막는” 쪽으로 움직여야 합니다.
72시간 규정 — 기업이 지켜야 하는 시계
개인정보보호법은 유출 사실을 안 시점부터 72시간 이내에 정보주체에게 알리고, 요건에 해당하면 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고하도록 정하고 있습니다. 신고 대상은 1천 명 이상 유출, 민감정보·고유식별정보 유출, 외부의 불법적인 접근에 의한 유출 등입니다. 신고를 하지 않으면 과태료 대상이 됩니다.
즉 통지가 늦거나 항목 설명이 부실하다면, 그 자체가 문제 제기 근거가 됩니다. 통지문에는 보통 유출 항목, 유출 시점과 경위, 피해 최소화 방법, 담당 부서 연락처가 담깁니다. 세부 기준은 개정이 잦으니 개인정보보호위원회 공식 안내에서 최신 내용을 확인하세요.
통지받았을 때 대응 5단계
1단계 — 계정부터 끊어 내기
같은 비밀번호를 여러 곳에 쓰고 있었다면 전부 교체하고, 메일·포털·금융 앱에 2단계 인증을 켭니다. 유출 계정으로 로그인 시도가 있었는지 접속 이력도 확인합니다.
2단계 — 금융 명의 보호 등록
금융감독원 금융소비자포털 ‘파인’의 개인정보 노출자 사고예방 시스템에 등록하면, 내 명의로 카드 발급·대출 신청이 들어올 때 금융회사가 본인 확인을 강화합니다. 무료입니다.
3단계 — 통신·계좌 명의 점검
한국정보통신진흥협회(KAIT)가 운영하는 엠세이퍼(M-safer) 에서 내 명의 휴대폰·인터넷 가입 현황을 조회하고 명의도용 방지를 신청합니다. 계좌는 어카운트인포(계좌정보통합관리서비스) 로 한 번에 확인할 수 있습니다.
4단계 — 증거 보관
받은 통지문, 의심 문자·메일, 이상 결제 내역을 캡처해 모아 둡니다. 나중에 분쟁조정이나 손해배상을 진행할 때 이 자료가 출발점이 됩니다.
5단계 — 신고·구제 접수
피해가 의심되면 국번 없이 118(개인정보침해 신고상담)로 상담하고, 필요하면 개인정보 분쟁조정위원회에 조정을 신청할 수 있습니다.
흔히 하는 실수
- 통지 문자의 링크를 그대로 클릭 — 유출 사고 직후에는 이를 사칭한 스미싱이 늘어납니다. 반드시 공식 홈페이지·대표번호로 우회 확인하세요.
- “내 정보는 별거 없다”며 방치 — 건강정보는 그 자체로 맞춤형 사기의 재료가 됩니다. 병명을 아는 상대가 보내는 문자는 훨씬 잘 통합니다.
- 비밀번호만 바꾸고 끝 — 금융·통신 명의 보호 등록까지 해야 명의도용 경로가 막힙니다.
- 증거를 지워 버림 — 스팸 문자를 바로 삭제하면 피해 입증이 어려워집니다.
정리 — 오늘 할 일 체크리스트
- 주요 계정 비밀번호 교체 + 2단계 인증 켜기
- 금감원 ‘파인’에서 개인정보 노출자 사고예방 등록
- 엠세이퍼로 내 명의 통신 가입 현황 조회, 어카운트인포로 계좌 점검
- 통지문·의심 문자·이상 결제 내역 캡처해 보관
- 피해 의심 시 118 상담, 필요하면 개인정보 분쟁조정 신청
- 해당 기업·기관의 공식 공지에서 유출 항목과 후속 조치 직접 확인
유출 사고는 통보를 받은 그날의 대응 속도가 피해 크기를 갈라놓습니다. 완벽한 분석보다 오늘 다섯 가지를 끝내는 것이 먼저입니다.
자주 묻는 질문
건강정보도 '민감정보'에 해당하나요?
네. 개인정보보호법은 건강·의료 정보를 사상·신념, 노조 가입, 유전정보 등과 함께 민감정보로 별도 분류해 더 엄격하게 다룹니다. 그래서 건강정보는 유출 규모가 크지 않아도 신고 대상이 될 수 있고, 처리자에게 요구되는 보호 수준도 일반 개인정보보다 높습니다.
유출 통지 문자가 왔는데 진짜인지 어떻게 확인하나요?
문자 속 링크를 누르지 말고, 해당 기업·병원의 공식 홈페이지 공지나 대표 고객센터 번호로 직접 확인하는 것이 안전합니다. 실제 유출 사고 뒤에는 그 사고를 사칭한 스미싱이 함께 늘어납니다. 공식 통지는 보통 유출 항목·시점·기업 연락처를 함께 안내합니다.
해외 기업에서 유출된 경우에도 국내 법으로 보호받나요?
국내 이용자의 개인정보를 처리하는 경우라면 국내 개인정보보호법 적용이 논의될 수 있지만, 사안별 판단이 필요합니다. 국내 법인·지사가 있다면 그쪽 공지를 먼저 확인하고, 피해가 의심되면 개인정보침해 신고(국번없이 118)나 개인정보 분쟁조정 절차를 이용할 수 있습니다.