개인정보가 유출된 것을 알게 되었다면 72시간 이내에 서면등의 방법으로 해당 회원들에게 법이 정한 사항을 알려야 합니다. 유출된 항목이나 시점·경위를 아직 정확히 확인하지 못했더라도, 유출 사실과 그때까지 확인된 내용 등을 먼저 알리고 추가로 확인되는 내용은 확인되는 즉시 알려야 합니다. 개인정보 보호법 제34조 제1항은 개인정보처리자가 개인정보가 유출등이 되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 알려야 할 사항을 정합니다. 유출등이 된 개인정보의 항목, 유출등이 된 시점과 그 경위, 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 구체적인 정보, 개인정보처리자의 대응조치 및 피해 구제절차, 피해 신고 등을 접수할 수 있는 담당부서 및 연락처, 손해배상과 법정손해배상의 청구 및 분쟁조정 등 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보입니다. 개인정보 보호법 시행령 제39조 제1항은 이 사항을 서면등의 방법으로 72시간 이내에 알리도록 정합니다. 다만 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 회수·삭제 등 긴급한 조치가 필요한 경우나 천재지변 등 부득이한 사유로 72시간 이내 통지가 곤란한 경우에는 그 사유가 해소된 후 즉시 알릴 수 있습니다. 같은 조 제2항은 유출된 항목이나 시점·경위의 구체적인 내용을 확인하지 못한 경우 유출 사실, 그때까지 확인된 내용, 피해 최소화 방법부터 법적 권리까지의 사항을 우선 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지하도록 합니다. 질문하신 경우 해킹으로 회원들의 이름과 연락처가 빠져나간 사실을 알게 되셨으므로, 그때부터 72시간 안에 회원들에게 알려야 합니다. 몇 명의 어떤 정보가 언제 나갔는지 아직 정확히 모르신다고 하셨으므로 제2항에 따라 확인된 내용으로 먼저 통지하고, 나머지는 확인되는 대로 이어서 알리시면 됩니다. 해킹 경로 차단 같은 긴급 조치가 필요해 72시간 안에 알리기 어렵다면, 그 사유가 해소된 후 즉시 알려야 합니다. 회원 연락처를 알 수 없는 경우 등 정당한 사유가 있으면 시행령 제39조 제3항에 따라 같은 사항을 인터넷 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있습니다. 또 법 제34조 제3항은 개인정보처리자가 해당 개인정보의 회수·삭제 등 피해 확산을 방지하기 위한 조치를 포함하여 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다고 정합니다. 물음별로 정리하면, 언제까지냐는 물음에는 유출을 알게 된 때부터 72시간 이내이고, 긴급 조치나 부득이한 사유가 있으면 그 사유가 해소된 후 즉시입니다. 무엇을 알리느냐는 물음에는 유출된 항목, 시점과 경위, 피해 최소화 방법, 회사의 대응조치와 구제절차, 담당부서와 연락처, 회원의 법적 권리와 행사 방법입니다. 회원 통지와 별도로 기관 신고 의무는 법 제34조 제4항이 따로 정합니다. 구체적인 사안은 변호사와 상담하시기 바랍니다. ※ 2026년 10월 현행 법령을 기준으로 정리한 일반 정보입니다. 개별 사안은 전문가와 상담하세요.