대만 사업장이 해킹됐을 때, 개인정보 통지와 보안사고 신고의 대상

대만 보안사고 신고에는 안 뒤 1시간이라는 기한이 적용되는 기관이 있습니다(신고 규정 제11조). 모든 외국계 회사의 공통 기한은 아닙니다.

한국 본사와 공유하는 인사 계정이 침해됐다면, 대만 직원의 어떤 자료에 접근할 수 있었는지부터 범위를 확인해야 합니다. 서버가 있는 나라만으로 통지할 대상을 정할 수는 없습니다. 대만 사업장에서 처리한 이름·급여 등 개인을 식별할 수 있는 자료가 포함됐는지, 어느 회사가 보유·처리했는지가 출발점입니다(個人資料保護法 제2조).

보안사고가 모두 같은 법으로 신고되지는 않습니다

資通安全管理法 제3조는 특정 비공무기관을 핵심기반시설 제공자, 공영사업, 특정 재단법인, 정부 지배 사업·단체·기관으로 정합니다. 외국계 회사나 반도체 공급사라는 이유만으로 여기에 들어가지는 않습니다. 핵심기반시설 제공자는 업종상 중요성만으로 정해지는 것이 아니라 지정·승인 절차를 거칩니다.

제20조에 따르면 중앙 목적사업 주무기관이 지정하고 주무부처를 거쳐 행정원의 승인을 받은 뒤 서면으로 통지합니다. 대만 사업장이 받은 지정 공문과 법상 기관 유형을 확인할 이유입니다. 회사의 조직 형태는 자회사와 지점의 차이와 함께 확인할 수 있습니다.

그 대상에 해당하면 제24조에 따른 사고 신고·대응 의무가 문제됩니다. 신고 상대는 중앙 목적사업 주무기관입니다. 신고·대응·훈련 규정 제11조는 사고를 안 뒤 1시간 안에 지정 방식으로 신고하도록 하고, 그 방식이 불가능해도 같은 시간 안에 다른 적절한 방식으로 알린 뒤 보완하도록 합니다. 짧은 기한입니다. 모든 기업의 개인정보 유출에 적용되는 공통 기한으로 옮겨 쓰면 안 됩니다. 법의 주무부처는 제2조상 디지털발전부입니다.

2025년 개정 조문에는 시행일이 남아 있습니다

개인자료보호법은 버전부터 구분해야 합니다. 2026년 10월 23일 확인한 제12조 페이지는 2025년 11월 11일 개정 조항의 시행일이 미정이라고 표시합니다. 자료 침해를 알게 된 때의 통지, 일정 범위의 관청 신고와 즉시 대응을 규정한 새 문장을 이미 시행 중인 의무로 쓰면 안 됩니다.

현재 적용되는 제12조는 법 위반으로 개인자료가 도난·유출·변조 등 침해된 경우, 조사·확인 후 적절한 방법으로 당사자에게 통지하도록 정합니다. 시행세칙 제22조는 침해 사실과 취한 대응 조치를 통지 내용으로 요구하며, 당사자가 알 수 있는 방식으로 즉시 알리도록 합니다. 본사에만 보고하면 직원이나 고객에게도 알린 셈일까요? 수신자가 다릅니다.

전 기업에 같은 신고 창구와 시간을 적용할 수도 없습니다. 현재 적용되는 제22조는 업종의 중앙 목적사업 주무기관 및 지방정부의 검사 권한을 두고 있고, 제27조는 적절한 보안조치와 지정 업종의 안전관리계획 등을 규율합니다. 업종마다 확인합니다. 신고 상대와 기한을 정한 규칙이 있는지 살펴야 합니다. 개정 페이지에는 제27조가 삭제로 표시됩니다. 삭제도 미시행 상태입니다(공식 표시).

회사가 입증할 내용

해킹 사실이 확인됐다고 회사의 과실까지 자동으로 정해지지는 않습니다. 그렇다고 외부 공격이었다는 설명으로 끝나지도 않습니다. 민간 기업에는 개인자료보호법 제29조가 적용됩니다. 법 위반으로 불법 수집·처리·이용이나 권리 침해가 발생하면 배상책임을 지되, 회사가 고의·과실 없음을 증명하면 예외가 인정됩니다.

같은 조는 제28조 제2~6항을 준용합니다. 비재산적 손해, 실제 손해액의 입증이 어려울 때의 법원 산정과 다수 피해의 배상 규칙도 검토 대상입니다. 제28조 제1항의 공공기관 책임 기준 전체를 민간 회사에 그대로 옮기는 구조는 아닙니다.

실무에서는 사고 전 접근권한·보안조치, 침해를 처음 안 시각, 확인한 자료 범위, 통지와 복구 기록을 함께 정리합니다. 기술팀이 확인하지 못한 범위는 미확인으로 남깁니다. 복구 완료와 자료 유출 여부는 따로 기록할 항목입니다.

대만 변호사에게는 적용 기관·업종 확인, 통지·신고 문안과 기한 검토, 본사 및 현지 법인의 역할 정리, 피해자 배상청구 대응을 맡길 수 있습니다. 기업 법무 상담 문의는 wei@hoveringlaw.com.tw, 사무소는 臺北市大同區承德路一段35號7樓之2 및 臺中市北區館前路19號6樓之1입니다. 최초 상담에서는 유출된 명단 자체보다 사고를 안 시각과 어떤 종류의 자료가 관련됐는지부터 정리하는 편이 적절합니다.

참고한 자료

확인일: 2026년 10월 23일

• 個人資料保護法 제2조, 개정 제12조와 미시행 표시, 제27조 삭제의 미시행 표시, 현재 적용 제12·22·27조, 제28조, 제29조.
• 個人資料保護法施行細則 제22조.
• 資通安全管理法 제2조, 제3조, 제20조, 제24조, 개정법 2025년 12월 1일 시행 연혁.
• 資通安全事件通報應變及演練辦法 제11조.