13 — 정보보호 법규와 윤리

전체 요약 목차

적용 기준

이 장은 아래에 명시한 법령 판본을 기준으로 개념을 정리한다. 9월 14일 시험의 적용 법령 기준은 미확인 상태다. 2026-09-11 시행 개정은 기존 판본과 구분하며 날짜·수치는 마지막 적용 시점 표와 함께 읽는다. 이번 수정은 문장 구조 정리이며 법령 판본의 재검증은 수행하지 않았다.

A — 윤리·정의·원칙

• 보안윤리는 권한 범위 준수, 피해 최소화, 사생활·기밀·저작권 존중을 함께 보는 판단이다. 사칭/기망, 모욕·괴롭힘, 무단 공개·불법 복제/유통은 피해와 권리 침해 관점에서 구분하되 개별 범죄 성립은 해당 행위·요건으로 판단한다. 저작물 이용은 출처 표시와 함께 이용허락 또는 해당 법정 이용 요건을 확인한다. DRM·워터마크·핑거프린팅의 보호/추적 기능과 한계는 10장 F와 연결한다. 한국저작권위원회 상담
• 개인정보를 처리하거나 처리했던 자의 부정 취득/동의, 업무상 누설·무권한 제공, 권한 없거나 초과한 이용·훼손·멸실·변경·위조·유출은 법제59조의 금지 대상이다. 직접 확인한 제59조, 제20897호
• OECD 개인정보 8원칙: 수집 제한, 정보의 질, 목적 명확화, 이용 제한, 안전성 확보, 공개, 개인 참여, 책임성. 국제 지침의 개인정보 보호 원칙이며 한국법의 신고기한은 해당 조문에서 확인한다. 정보의 질은 정확성·완전성·최신성에, CIA의 무결성은 부적절한 변경·파괴 방지에 초점을 둔다. OECD
• 개인정보는 살아 있는 개인을 알아보거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보이며 가명정보도 포함된다. 익명 여부는 다른 정보와의 결합 등을 통한 개인 식별 가능성을 함께 판단한다. 처리에는 수집부터 검색·공개·파기까지 포함된다. 개인정보처리자는 업무 목적으로 개인정보파일을 운용하며 처리하는 주체, 취급자는 그 지휘·감독 아래 처리하는 사람, 정보주체는 처리 정보로 알아볼 수 있는 당사자다. ¹
• 민감정보의 제한과 고유식별정보의 별도 요건을 구분한다. 고유식별정보는 주민등록·여권·운전면허·외국인등록번호이며 주민등록번호 처리는 별도의 법정 허용 요건을 확인한다. 혈액형 등 항목은 문맥과 건강정보 해당 여부를 함께 판단한다. ¹
• 적용 법률은 주체·행위와 다른 법률의 특별 규정을 기준으로 확인한다. 개인정보 조문의 이관·개정 이력에 따라 해당 판본의 적용 조문을 찾는다.

B — 처리 근거·고지·제공·위탁

수집·이용은 동의 외에도 법정 의무, 공공기관 소관 업무, 계약 이행/요청한 계약 전 조치, 급박한 이익, 제한된 정당한 이익, 공공 안전 등의 근거가 있다. 각각 필요성과 범위를 따진다. 최초 수집 근거와 처리정지 요청에 대한 거절 사유는 해당 단계의 요건으로 각각 확인한다.

동의를 받을 때 목적·항목·보유 이용기간·거부권/불이익을 알린다. 제3자 제공은 수령자와 그 이용 목적도 구분한다. 수집·이용과 제3자 제공은 각각의 근거를 확인하며 제17조의 참조 근거·합리적 관련성 요건을 적용한다. 처리방침은 처리 내용을 공개하고, 동의는 고지한 처리에 대한 의사표시를 받는 절차다. ¹

제공과 위탁은 처리 목적과 주체의 역할로 분류한다. 위탁은 문서·공개·교육/감독을 갖추고 수탁자는 범위를 넘지 않아야 한다. 재위탁 동의 주체는 위탁자다. 홍보·판매 권유 위탁의 알림은 일반 위탁 공개와 다르다. 국외 이전에는 제공·조회·위탁·보관이 포함되며 법정 근거와 보호조치를 모두 본다. ¹

C — 권리·파기·책임

열람, 정정·삭제, 처리정지·동의철회는 각각 요건과 거절/연기 사유가 있다. 열람의 10일, 정정·삭제·정지 결과통지의 10일은 각 절차의 기한으로 읽고, 지체 없는 조치 등 해당 의무의 시점도 함께 적용한다. 만14세 미만은 동의가 필요한 처리에서 법정대리인 동의·확인을 적용한다. 연령과 해당 처리의 동의 필요 여부를 함께 확인한다. ¹

불필요해지면 지체 없이 복구·재생 불가능하게 파기한다. 다른 법령상 보존은 분리 저장·관리한다. 파기 방법은 복구·재생 가능성을 제거하는 방식으로 정한다. 구 1년 미이용 유효기간제 폐지 이후에도 처리 목적·보유기간·법정 보존 근거에 따라 파기 시점을 판단한다. ¹²³

손해배상은 처리자의 법정 책임을 본다. 일반 배상, 고의/중과실 사고의 가중 배상, 법정손해배상은 서로 다른 경로다. 5배 이내·300만원 이하는 해당 배상 경로의 한도이며 적용 요건과 인정액을 함께 판단한다. ¹

D — 안전조치·내부 책임

수집 동의·공개 처리방침·내부 관리계획은 다른 문서/행위다. CPO는 개인정보보호 업무를 총괄하며 CISO는 정보보호 역할과 요건으로 별도 확인한다. 소상공인의 별도 지정 예외는 대표자가 맡는 책임을 함께 읽는다. 내부 관리계획의 소규모 예외는 해당 요건으로 별도 판단한다. ¹².

암호화는 정보 종류·이용자 여부·저장 위치/전송 구간별로 판별한다. 비밀번호는 복호화 불가능한 저장 방식이며 인터넷망 개인정보 전송은 암호화한다. 정보통신서비스 이용자의 신용카드·계좌번호 저장에는 해당 암호화 규정을 적용한다. 비이용자의 내부망 고유식별정보도 원칙 암호화이며, 위험도 분석 예외의 대상 정보와 주민등록번호의 별도 의무를 구분한다. ¹².

접근권한은 최소화하고 변경·말소하며 이력은3년, 접속기록은 원칙 1년/5만명 이상 처리 시스템·민감 또는 고유식별정보 처리 시스템·해당 기간통신사업자 중 하나에 해당하면 2년으로 구분한다. 2026-10-31 유예 전 접속기록 점검은 월1회 이상이며 다운로드 사유도 확인한다. 업무 접속기록은 로그인과 실제 처리 행위 등 요구 항목을 갖춰 보관한다. 교육·관리계획 점검·접속기록 점검은 각 의무의 주기를 적용한다. ¹².

영상은 고정/이동, 공개 장소, 허용 근거, 민감 장소 제한, 표시·운영·안전조치를 순서대로 구분한다. 사생활 장소 촬영은 장소와 법정 예외 요건을 확인한다. 고정형 영상정보처리기기의 녹음 금지는 제25조의 적용 범위로 읽는다. ¹.

E — 개인정보 유출과 침해사고

구별	핵심
개인정보 정보주체 통지	유출등 인지 후72시간 원칙. 정보주체 통지의 별도 요건 적용
개인정보 기관 신고	1천명 이상 또는 민감/고유식별정보 또는 외부 불법접근 유출 조건. 인지 후72시간 원칙, 보호위원회/KISA
정보통신망법 침해사고 신고	정보통신서비스 제공자, 법률상 즉시·시행령상 인지 후24시간 이내, 과기정통부/KISA. 추가 사실도 별도 기한
기반시설 사고 통지	주요시설 관리기관의 법정 수신자·사고 요건. 해당 법의 수신자·요건·시점 확인

위 표는 아래 판본·시행일을 전제로 한다. 개인정보 통지·신고는 각 지연·신고 제외 요건을 확인한다. 확인된 내용으로 우선 통지·신고하고 추가 사실을 보완한다. 항목·시점/경위·피해 최소화 방법·대응·연락처 등 통지 내용은 기관 신고 서식과 구분한다. 다른 법에 따른 신고의 인정은 해당 조문이 정한 의무·방향·조건에 적용한다. ¹⁴⁵

F — 영향평가

공공기관의 전자적 개인정보파일 대상 기준과 실제 평가 고려사항을 구분한다. 민감/고유식별5만명, 다른 파일과 연계 결과50만명, 전체100만명은 서로 다른 분기다. 이미 평가한 파일의 운용체계 변경은 변경 부분을 평가하는 기준이 있다. 공공기관의 법정 대상 기준과 민간의 평가 적용을 구분한다. 개인정보 수·제공·권리침해 위험·정보 종류·보유기간은 평가 고려사항이며 평가기관 자격표와 다르다. ¹

G — 망법·CISO·ISMS

CISO 지정·신고, 규모별 직위/자격, 겸직 제한을 나누고 CPO와 비교한다. 소규모 신고 예외와 대표자 간주는 남는 책임·업종별 예외 조건을 함께 확인한다. CISO의 핵심 역할은 계획·감사·위험관리·교육으로 연결하고 경력·자본금별 세부 자격표는 해당 법·시행령에서 확인한다. ⁴.

ISMS는 임의 신청과 법정 의무 대상(망서비스·집적시설·규모 분기)을 구분한다. 규모 기준은 매출의 대상 부문·이용자 산정·업종·예외 조건을 함께 적용한다. 유효기간3년과 연1회 이상 사후심사, 기관 지정의 별도 기간, 심사 일부 생략과 인증 의무 면제를 구분한다. 설계단계 보안 고려와 특정 대상 사전점검 권고도 다르다. ⁴. 인증 구조는 C12에서 설명한다.

허용 접근권한 초과 침입, 정당한 사유 없는 악성프로그램 유포, 운영 방해 목적의 장애 유발 등은 행위·목적·결과 요건으로 나누며 도구의 사용은 권한과 실제 행위·목적·결과 요건으로 판단한다. ⁴.

I/J — 기술에 필요한 법적 연결

전자서명은 법정 정의상 문서와 연결된 전자정보다. 공개키 서명 알고리즘은 이를 구현하는 기술적 방식의 하나로 읽는다. 전자적 형태라는 이유만으로 효력을 부인하지 않으며 법령/약정에 따라 선택한 경우의 효력이 있다. 표시의 진정성과 무변조 여부는 해당 증거·검증 조건으로 확인한다. 구 공인인증제도는 당시 판본·경과조치를 기준으로 읽는다. ⁶

기반시설은 법정 정의로, 주요시설 지정은 지정 절차와 결과로 확인한다. 중앙행정기관의 지정과 위원회 심의, 관리기관의 보호대책과 중앙행정기관의 종합 보호계획, 취약점 평가와 지원/조치 명령을 나눈다. ISAC는 분야별 취약점·대응정보·경보·분석을 공유하는 체계다. 법정 평가 자격과 기관 지정은 해당 요건으로 확인한다. ⁵

적용 시점과 남은 확인 사항

• 개인정보 보호법 제20897호(2025-10-02 시행), 시행령 제36121호(2026-08-20 시행)를 기존 핵심 대조의 기준으로 사용했다.
• 제21445호 일반 시행은 2026-09-11. CPO/대표자 책임과 유출 관련 변경은 공포된 개정 내용으로 분리한다. 제32조의2 인증 의무화 관련 예외 시행은 2027-07-01이다. 신설 하위요건 전체·KCA 시험 적용은 미확인.
• 안전성 확보조치 기준의 일부 접근권한/접속기록 등은 2026-10-31, 특정 공공시스템 점검·침투테스트는 2027-01-01 유예가 있다. 각 조항은 개별 시행·유예 일자를 기준으로 적용한다.
• 9월 14일 시험 적용 판본은 확인이 필요한 상태다. 학습 시 안정된 개념·기존 판본·공포된 변경을 구분하고, 시험용 날짜·수치는 출제 판본 확인 후 적용한다. ¹, ².

핵심 연결

• 법규는 적용 주체 → 처리 행위 → 허용 근거·요건 → 이행 내용 → 기한 순서로 읽는다.
• 수집·이용, 제공, 위탁, 국외 이전은 각 목적과 역할에 맞는 근거·조치를 확인한다.
• 정보주체 권리는 요청 종류별 조치·통지·거절 요건을 연결한다.
• 안전조치는 정보 종류·처리 구간·시스템 조건에 맞춰 적용한다.
• 유출 통지·기관 신고·침해사고 신고는 대상·수신자·기한을 각각 확인한다.
• 법적 효력·인증·지정은 해당 요건으로 판단하고 시행일·시험 적용 판본을 함께 관리한다.

출처와 범위

2026-09-09까지 대조한 채택 핵심을 유지한다. 2026-09-10에는 출처 연결과 문서 구성을 정리했으며 기술·법령의 최신성 재검증은 수행하지 않았다. 제품·규격은 명시된 버전과 조건을 기준으로 읽는다.

Footnotes

1. 개인정보 보호법 제20897호(2025-10-02 시행)·시행령 제36121호(2026-08-20 시행). 법 본문 · 시행령 본문 · 제21445호 개정문·부칙. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴

2. 개인정보의 안전성 확보조치 기준 제2026-9호. 개별 조항의 시행·유예일은 위 적용 시점 참조. 본문·부칙. ↩ ↩² ↩³ ↩⁴ ↩⁵

3. 보유 목적·기간과 법정 보존 근거를 기준으로 판단. 개인정보위 유효기간제 폐지 후 조치 안내. ↩

4. 정보통신망법 제21305호·시행령 제36502호(2026-07-07 시행). CISO·ISMS·침해사고는 해당 주체·조문별 조건 적용. 법 본문 · 시행령 본문 · ISMS-P 고시 제2024-8호·제2024-30호. ↩ ↩² ↩³ ↩⁴

5. 정보통신기반 보호법 제20068호(2025-01-24 시행)·시행령 제35947호(2026-01-02 시행). 법 본문 · 시행령 본문. ↩ ↩²

6. 전자서명법 제18479호(2022-10-20 시행). 구 제도는 해당 판본·경과조치로 읽는다. 법 본문 · 개정문·부칙. ↩