개인정보 보호법 시행령 제39조(개인정보 유출 등의 통지)

① 개인정보처리자는 개인정보가 유출등이 되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 즉시 정보주체에게 알릴 수 있다. <개정 2026.9.10>

(1) When웬 a어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 becomes비컴즈 aware어웨어 that^ð댓 personal퍼시늘 information인^f퍼메이션 has해즈 been빈 subject서브젝트 to투 a어 leak,릭 etc.,엣세터^r러 it잇 shall섈 inform인^f폼 the^ð더 data데이타 subjects서브직츠 of어^v브 the^ð더 matters매터즈 under언더 the^ð더 subparagraphs서브패^r러그^r래^f프스 of어^v브 Article아터클 34 (1) of어^v브 the^ð디 Act액트 by바이 written^r리튼 or오 similar시멀러 methods메^θ써즈 within위^ð딘 72 hours.아워즈 However,하우에^v버 in인 either이^ð더 of어^v브 the^ð더 following^f팔로잉 cases,케이시즈 it잇 may메이 inform인^f폼 the^ð더 data데이타 subjects서브직츠 immediately이미디어틀리 after애^f프터 the^ð더 grounds그^r라운즈 have해^v브 ceased시스트 to투 exist:이그지스트

② 제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그 때까지 확인된 내용 및 같은 항 제3호부터 제6호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다. <개정 2024.3.12, 2026.9.10>

(2) Notwithstanding낫위^ð드스탠딩 paragraph패^r러그^r래^f프 (1), where웨어 a어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 intends인텐즈 to투 give기^v브 notification노우터^f퍼케이션 under언더 that^ð댓 paragraph패^r러그^r래^f프 but벗 has해즈 not낫 been빈 able에이블 to투 confirm컨^f펌 the^ð더 specific스퍼시^f픽 details디테일즈 of어^v브 the^ð더 matters매터즈 under언더 Article아터클 34 (1) 1 or오 2 of어^v브 the^ð디 Act,액트 it잇 shall섈 first^f퍼스트 give기^v브 notification,노우터^f퍼케이션 by바이 written^r리튼 or오 similar시멀러 methods,메^θ써즈 of어^v브 the^ð더 fact^f팩트 that^ð댓 personal퍼시늘 information인^f퍼메이션 has해즈 been빈 subject서브젝트 to투 a어 leak,릭 etc.,엣세터^r러 the^ð더 details디테일즈 confirmed컨^f펌드 so소우 far,^f파 and앤드 the^ð더 matters매터즈 under언더 subparagraphs서브패^r러그^r래^f프스 3 through^θ쓰^r루 6 of어^v브 that^ð댓 paragraph,패^r러그^r래^f프 and앤드 shall섈 give기^v브 notification노우터^f퍼케이션 of어^v브 further^f퍼^ð더 details디테일즈 as애즈 soon순 as애즈 they^ð데이 are아 confirmed.컨^f펌드

③ 제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.

(3) Notwithstanding낫위^ð드스탠딩 paragraphs패^r러그^r래^f프스 (1) and앤드 (2), where웨어 there^ð데어 is이즈 a어 justifiable저스터^f파이어블 reason,^r리즌 such서치 as애즈 the^ð더 data데이타 subject's서브젝츠 contact칸택트 details디테일즈 being비잉 unknown,언논 a어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 may,메이 under언더 the^ð더 proviso프^r러^v바이조 to투 the^ð더 part파트 of어^v브 Article아터클 34 (1) of어^v브 the^ð디 Act액트 other어^ð더 than^ð댄 the^ð더 subparagraphs,서브패^r러그^r래^f프스 replace^r리플레이스 the^ð더 notification노우터^f퍼케이션 under언더 paragraphs패^r러그^r래^f프스 (1) and앤드 (2) by바이 posting포우스팅 the^ð더 matters매터즈 under언더 the^ð더 subparagraphs서브패^r러그^r래^f프스 of어^v브 that^ð댓 paragraph패^r러그^r래^f프 on안 its잇츠 website웨브사잇 for^f포 at앳 least리스트 30 days데이즈 so소우 that^ð댓 data데이타 subjects서브직츠 can캔 easily이절리 see시 them.^ð뎀 However,하우에^v버 a어 personal퍼시늘 information인^f퍼메이션 controller컨트^r로울러 that^ð댓 does더즈 not낫 operate아퍼^r레잇 a어 website웨브사잇 may메이 replace^r리플레이스 the^ð더 notification노우터^f퍼케이션 under언더 paragraphs패^r러그^r래^f프스 (1) and앤드 (2) by바이 posting포우스팅 the^ð더 matters매터즈 under언더 the^ð더 subparagraphs서브패^r러그^r래^f프스 of어^v브 Article아터클 34 (1) of어^v브 the^ð디 Act액트 at앳 an앤 easily이절리 visible^v비저블 place플레이스 in인 its잇츠 place플레이스 of어^v브 business,비즈니스 etc.엣세터^r러 for^f포 at앳 least리스트 30 days.데이즈