EIS

지도 위치 : 5과목 · README 4장 ① 목표와 체계 층의 "법규" (탑다운 6단계 ) | 출제기준: 2. 정보보호 관련 윤리 및 법규 > 3. 개인정보보호 관련 법제 | 이전: 23 정보보안 윤리와 정보통신망법 | 다음: 25 실기 ① 보안특성 파악과 취약점 점검 출제 빈도 : ⭐⭐⭐ (회당 약 6.4문항 — 출제분석.md, 5과목 최다 ) · 변화 ▲ (5.9→6.9) · ⚠️ 신규 범위 포함 (유출 신고 72시간 · 1천 명, 처리방침, 가명 · 익명정보, 프라이버시 강화 기술, 영향평가, 접속기록, CPO 자격요건, 위수탁) 세세항목 : 개인정보보호 관련 용어의 정의 / 개인정보보호법의 이해

⚠️ 법령 기준일 — 이 노트의 조문 · 숫자는 2026년 10월 19일 국가법령정보센터 현행본 기준입니다: 개인정보 보호법(2026.9.11 시행), 같은 법 시행령(2026.9.11 시행), 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2026-9호). 개인정보보호법은 2023.9 · 2024.3 · 2026.9 에 연달아 크게 바뀌었습니다. 시험 전 국가법령정보센터(law.go.kr)에서 반드시 다시 확인 하세요. CBT 문제은행에는 개정 전 기준 문제가 남아 있으므로, 바뀐 곳은 현행 / 개정 전 을 함께 적었습니다.

이 노트를 다 읽으면

1. 개인정보 · 가명정보 · 익명정보, 민감정보 · 고유식별정보, 정보주체 · 개인정보처리자를 정의로 구별할 수 있다.
2. 수집 · 이용(제15조), 제3자 제공(제17조), 목적 외 이용(제18조)의 동의 없이 가능한 경우 와 동의 시 알릴 사항 을 말할 수 있다.
3. 위탁과 제3자 제공 을 누구의 이익을 위한 처리인가로 가르고, 위탁자의 의무를 말할 수 있다.
4. 민감정보 · 고유식별정보 · 주민등록번호 · 영상정보처리기기(고정형 · 이동형)의 처리 제한을 말할 수 있다.
5. 안전성 확보조치(접근통제 · 암호화 대상 · 접속기록 1년/2년 )와 처리방침 · CPO · 영향평가 · 파기 의무를 말할 수 있다.
6. 유출 시 72시간 · 1천 명 통지 · 신고 기준을 개정 전 기준과 함께 말할 수 있다.
7. 가명처리 · 비식별 기법과 프라이버시 강화 기술(차분 프라이버시 · 동형암호 · 재현데이터)을 구별할 수 있다.

---

0. 이 노트의 판별 축

23번 노트가 "정보통신망과 기반시설을 지키는 법"이었다면, 이 노트는 "사람에 관한 정보를 다루는 법" 입니다. 앞에서 배운 접근통제(17번 노트) · 암호화(19번 노트) · 로그(02번 노트)가 여기서 안전성 확보조치라는 법적 의무 로 다시 나옵니다. 출제 비중이 5과목에서 가장 크므로, 각 절의 📝 기출 포인트부터 보세요.

---

1. 용어와 원칙 ⭐

1.1 정의 (제2조)

⚠️ 반례 — 사망자의 정보, 법인의 상호 · 매출액은 개인정보가 아닙니다. 반대로 가명정보는 개인정보입니다 ("가명처리하면 개인정보가 아니다"는 오답).

1.2 처리 원칙 (제3조)과 OECD 8원칙

⚠️ ⑦의 순서는 익명 우선, 다음이 가명 입니다. "가명처리를 우선한다"는 2019년 오답 보기였습니다.

Privacy by Design — 서비스 기획 단계부터 전 생애주기에 개인정보 보호를 내장하는 원칙(사후 보완이 아니라 사전 설계, 기본값으로 보호). 2025년 출제.

1.3 정보주체의 권리 (제4조)

① 처리에 관한 정보를 제공받을 권리 ② 동의 여부 · 범위를 선택 · 결정 할 권리 ③ 처리 여부 확인 · 열람 (사본 발급 포함) · 전송 요구권 ④ 처리정지 · 정정 · 삭제 · 파기 요구권 ⑤ 피해를 신속 · 공정하게 구제 받을 권리 ⑥ 완전히 자동화된 결정을 거부 · 설명 요구 할 권리(2023 개정, 2024.3.15 시행).

📝 기출 포인트 — 개인정보 정의 조문 빈칸 (결합 · 가명처리, 2018년), 용어 정의 오류, 보호원칙 오류(익명 우선), 가명정보 vs 익명정보 (2025년), 정보주체 권리에 해당하지 않는 것 (2019년 등 4회), OECD 8원칙 (2013 · 2015 · 2016 · 2018년).

---

2. 수집 · 이용 · 제공 ⭐⭐

2.1 수집 · 이용 (제15조)

동의 없이도 수집 · 이용할 수 있는 경우 : ① (동의를 받은 경우) ② 법률에 특별한 규정 또는 법령상 의무 준수에 불가피 ③ 공공기관 의 소관 업무 수행에 불가피 ④ 정보주체와의 계약 체결 · 이행 에 필요 ⑤ 정보주체 또는 제3자의 급박한 생명 · 신체 · 재산 의 이익 ⑥ 처리자의 정당한 이익 이 명백히 정보주체 권리보다 우선(합리적 범위) ⑦ 공중위생 등 공공의 안전과 안녕 을 위해 긴급히 필요(2023 신설).

동의 받을 때 알릴 사항 4가지 : ① 수집 · 이용 목적 ② 수집 항목 ③ 보유 및 이용 기간 ④ 동의 거부 권리 와 거부 시 불이익 내용.

⚠️ "위탁업체(수탁자)", "제3자 제공 받는 자"는 수집 동의 시 고지사항이 아닙니다 (2024 · 2025년 오답 보기). 위탁은 처리방침으로 공개 하는 사항입니다.

⚠️ 개정 전 — 2023.9.15 전에는 ④ "계약 체결 · 이행에 불가피하게 필요"였고 "급박한 이익"에 "정보주체 또는 법정대리인이 의사표시를 할 수 없는 상태" 요건이 붙어 있었습니다. 2023년 개정으로 요건이 완화되었습니다.

2.2 제3자 제공 (제17조)과 목적 외 이용 · 제공 (제18조)

🔍 읽는 포인트 : 제17조 제1항 제2호가 인용하는 번호는 "제15조제1항제2호, 제3호 및 제5호부터 제7호까지" 입니다. 즉 계약 이행(제4호)으로 수집한 정보는 동의 없이 제3자에게 줄 수 없습니다 . 그리고 "수사기관의 요청이 있다 "는 사실만으로는 제공 근거가 되지 않습니다(2024년 출제 — 법률상 근거 · 영장 등이 필요).

2.3 동의 받는 방법 (제22조)과 아동

• 동의 사항을 구분 하여 각각 동의: 수집 · 이용, 제3자 제공, 목적 외 이용 · 제공, 민감정보, 고유식별정보, 홍보 · 판매 권유 등.
• 서면 동의 시 중요한 내용 (목적 · 항목 · 기간 등)은 글씨 크기 · 색 등으로 명확히 표시 .
• 동의 없이 처리할 수 있는 개인정보 는 그 항목과 법적 근거를 동의 항목과 구분하여 처리방침에 공개하거나 알려야 하며, 입증책임은 개인정보처리자 에게 있습니다. 선택 동의 · 홍보 동의를 하지 않았다고 서비스를 거부할 수 없습니다 .
• 만 14세 미만 아동 : 법정대리인의 동의 를 받고 동의 여부를 확인. 법정대리인 동의를 받기 위한 최소 정보 는 아동에게서 직접 수집 가능(제22조의2).

2.4 위탁 (제26조)과 통지 의무

위탁 계약 문서 에 들어갈 것: 목적 외 처리 금지, 기술적 · 관리적 보호조치, 그 밖에 대통령령 사항(위탁 업무 목적 · 범위, 재위탁 제한, 접근 제한, 관리 현황 점검 등 감독, 위반 시 손해배상 책임).

통지 의무 두 가지 (대상: 5만 명 이상 민감 · 고유식별정보 처리자 또는 100만 명 이상 개인정보 처리자, 전년도 말 직전 3개월 일평균 기준)

📝 기출 포인트 — M2.3 최다 영역. 수집 동의 시 고지사항 (2013 · 2014 · 2015 · 2016 · 2024 · 2025 · 2025년 — 매년!), 동의 없이 수집 가능한 경우 / 아닌 것 (2015 · 2017 · 2018 · 2019 · 2025년), 제3자 제공 요건 과 "기관 요청만 있는 경우"(2024년), 14세 미만 법정대리인, 입증 책임은 처리자 (2015년), 위탁 시 별도 동의 불필요 (2025년), 위수탁 계약서 항목(2024년), 수집 출처 통지 기준 100만 · 5만 (2024 · 2025년), 이용내역 통지(2025년).

---

3. 특별한 정보와 영상정보처리기기 ⭐

3.1 민감정보 · 고유식별정보 · 주민등록번호

⚠️ 고유식별정보는 4가지 뿐입니다. 신용카드번호 · 계좌번호 · 휴대전화번호 · 건강보험번호는 고유식별정보가 아닙니다(단, 카드 · 계좌번호는 3.3의 암호화 대상 에 포함). 주민등록번호만 "별도 동의로도 안 된다" 는 점이 고유식별정보 중 유일한 차이입니다.

3.2 영상정보처리기기 (제25조 · 제25조의2)

⚠️ 안내판 기재 항목은 2023년 개정 전후로 문구가 바뀌어 출제되었습니다(2022 · 2024년). 현행 법률 문구 " 설치 목적 및 장소 / 촬영 범위 및 시간 / 관리책임자의 연락처 "로 기억하세요.

📝 기출 포인트 — 민감정보 범위 / 아닌 것 (2018 · 2018 · 2019 · 2025년), 민감정보 · 주민번호 수집 요건 오류(2024년), 고유식별정보 범위 4가지 (2024년), 고유식별정보 처리 허용 경우, 영상정보처리기기 설치 허용 사유 (2014 · 2019 · 2023년), 안내판 기재 항목 · 설치 예외 (2022 · 2024 · 2024년), 임의 조작 · 녹음 금지 (2022 · 2024년), 영상 열람 요청(2024년).

---

4. 가명정보와 프라이버시 강화 기술 ⚠️ 신규 범위

4.1 가명정보 처리 특례 (제28조의2 ~)

4.2 비식별 · 가명처리 기법

4.3 프라이버시 강화 기술 (PET)

📝 기출 포인트 — 가명처리 기법 식별(2022 · 2023년), 동의 없이 가명정보를 처리할 수 있는 목적 (2023 · 2024년), 가명정보 처리 기록 보관 기간 (2025년), 차분 프라이버시 · 동형암호 · 재현데이터 구분 (2024년 신규).

---

5. 보호 체계 — 안전조치 · 처리방침 · CPO · 영향평가 · 파기 ⭐⭐

5.1 안전성 확보조치 (제29조, 「개인정보의 안전성 확보조치 기준」 고시)

2023.9.22 고시로 종전의 「개인정보의 기술적 · 관리적 보호조치 기준」(정보통신서비스 제공자용)과 「안전성 확보조치 기준」(일반)이 하나로 통합 되었습니다. 다만 옛 정보통신서비스의 이용자 개념(" 이용자 ")은 일부 조항에 남아 있습니다.

개인정보처리시스템 은 DB만이 아니라 개인정보를 처리하도록 체계적으로 구성한 시스템 전체 — DB와 연동된 웹 서버 · WAS 도 포함됩니다(2025년 출제).

⚠️ 생년월일 · 이름 · 이메일 · 전화번호 는 법정 암호화 대상이 아닙니다 (2025년 "암호화 대상이 아닌 것 = 생년월일"). "비밀번호는 복호화 가능하게 양방향 암호화"는 오답(2019년).

⚠️ 시험 문제은행은 "월 1회 이상 점검" (2024년 출제)을 기준으로 합니다. 접속기록 필수 항목에 " 서버 IP "는 없습니다(2025년 출제 — 접속지 정보는 접속한 사용자 측 정보).

5.2 개인정보 처리방침 (제30조)

필수 기재사항 : 처리 목적 / 처리 및 보유 기간 / 제3자 제공(해당 시) / 파기 절차 · 방법 (법령상 보존 시 근거와 항목) / 민감정보 공개 가능성 · 비공개 선택 방법(해당 시) / 위탁 (해당 시) / 가명정보 처리(해당 시) / 정보주체 · 법정대리인의 권리 · 의무와 행사방법 / CPO 성명 또는 담당 부서 · 연락처 / 쿠키 등 자동 수집 장치 의 설치 · 운영 및 거부(해당 시) / 그 밖에 대통령령 사항.

• 처리방침과 정보주체와의 계약 내용이 다르면 정보주체에게 유리한 것 을 적용합니다.
• 2023년 개정으로 동의 없이 처리하는 항목과 그 법적 근거를 구분해 공개하게 되었습니다(동의 · 비동의 항목 구분 — 최근 출제 경향).
• 공공기관은 개인정보파일 등록 (제32조) 대상 파일에 대해 처리방침을 정하고, 파일의 명칭 · 운영 근거와 목적 · 기록 항목 · 처리 방법 · 보유기간 · 제공받는 자 등을 보호위원회에 등록 합니다.

5.3 개인정보 보호책임자 (CPO, 제31조)

5.4 개인정보 영향평가 (제33조)

5.5 파기 (제21조)

보유기간 경과 · 목적 달성 · 가명정보 처리 기간 경과 등 불필요하게 되었을 때 지체 없이 파기 → 복구 · 재생되지 않도록 . 다른 법령에 따라 보존해야 하면 다른 개인정보와 분리 하여 저장 · 관리. 일부만 파기할 때 종이는 마스킹 · 구멍 뚫기 , 전자 파일은 삭제 후 복구 불가 관리.

⚠️ 개정 전 "개인정보 유효기간제" (구 정보통신망법: 1년 미이용 이용자 정보 파기 또는 분리 보관)는 2023.9.15 개정으로 폐지 되었습니다(2015년 출제 문항이 남아 있음).

📝 기출 포인트 — 영향평가 대상 · 고려사항 (6회, 2024 · 2025 · 2025년 연속 — 최다), 파기 원칙 · 방법 (5회), 접속기록 보관 1년 · 2년 과 점검 주기(2013 · 2014 · 2024 · 2025년), 접속기록 항목, 암호화 대상 / 아닌 것 (4회), 내부관리계획 포함 사항(2017 · 2022 · 2024년), 처리방침 필수 기재사항(2016 · 2017 · 2018 · 2019년), CPO 지정 기준 · 자격요건 (2019 · 2024 · 2025년), 개인정보처리시스템 범위(2025년), 물리적 안전조치(2025년), 접근권한 말소(2013년).

---

6. 사고와 권리 구제 ⭐⭐

6.1 유출 통지 · 신고 (제34조, 시행령 제39 · 40조)

⚠️ 구체적 내용을 다 확인하지 못해도 확인된 것부터 먼저 통지 · 신고하고, 추가 확인 사항은 즉시 추가합니다. 회수 · 삭제로 권익 침해 가능성이 현저히 낮아지면 신고하지 않을 수 있습니다.

⚠️ 72시간(개인정보 유출, 보호위원회 · KISA) ↔ 24시간(침해사고, 과기정통부 · KISA, 23번 노트) . 해킹으로 개인정보가 유출되면 둘 다 해당할 수 있습니다.

6.2 정보주체의 권리 행사 (제35 ~ 37조의2)

6.3 손해배상 · 과징금 · 감독기관

개인정보보호위원회 — [감독기관]인데, [ 국무총리 소속 중앙행정기관 으로 개인정보 보호 사무를 독립적으로 수행한다]는 점에서 부처 소속 위원회와 구별된다(2020.8.5 출범 · 행정안전부 · 방송통신위원회의 개인정보 사무 승계). 업무: 법령 · 정책 수립, 침해 조사 · 처분(과징금 · 시정명령), 영향평가 · 인증 제도 운영, 분쟁조정위원회 지원 등. ⚠️ ISMS-P 인증위원회 운영 은 인증기관(KISA)의 일(22번 노트).

📝 기출 포인트 — 유출 통지 사항 · 신고 기준 (2014 · 2014 · 2016 · 2019 · 2019 · 2022년), 72시간 · 1천 명 · 신고기관 (2024 · 2024 · 2025년 — 신규 핵심), 열람 처리 기한 10일 , 열람 제한 · 거절 사유 (2022 · 2025년), 열람 청구 대상(2024년), 손해배상 입증책임 (2016 · 2024년), 손해배상 보장 대상(2025년), 과징금, 개인정보보호위원회 지위 · 업무(2015 · 2024년).

---

7. 개정 연표 — 한 장으로

---

8. 실기 연결

서술형 답안 핵심어

• 유출 신고: " 1천 명 이상 , 민감 · 고유식별정보 , 외부 불법 접근 에 의한 유출 시 알게 된 때부터 72시간 이내 개인정보보호위원회 또는 KISA "
• 비밀번호 저장: " 복호화되지 않도록 일방향 암호화 (해시 + 솔트)"
• 접속기록: "식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 / 1년 이상 , 5만 명 이상 · 고유식별 · 민감정보 · 기간통신사업자 2년 이상 "
• 위탁 vs 제공: "위탁은 처리자의 업무 처리를 위한 것 으로 동의 불요 · 공개 및 수탁자 감독, 제3자 제공은 받는 자의 이익 을 위한 것으로 동의 필요"

점검 관점 예시 — 개인정보처리시스템 접속기록

2026-10-15 23:47:12 | user=hr_kim | src=10.20.31.77 | target=customer_db
                    | action=SELECT+EXPORT | subjects=12,480 rows | file=cust_all.xlsx
2026-10-15 23:49:03 | user=hr_kim | src=10.20.31.77 | action=USB_COPY | file=cust_all.xlsx

🔍 읽는 포인트 : ① 식별자 · 일시 · 접속지 · 처리한 정보주체 · 수행업무 다섯 항목이 모두 남아 있는가(법정 항목 점검), ② 업무시간 외 대량 다운로드 (12,480건) + 보조저장매체 복사 는 내부관리계획의 점검 기준상 사유 확인 대상 , ③ 실제 유출로 확인되면 1천 명 이상 → 72시간 이내 통지 · 신고 , ④ 영업 · 인사 직원이 고객 DB 전체를 받을 권한이 있었는지 → 접근 권한 최소화 위반 여부.

---

9. 확인 문제

문제 1. 개인정보처리자가 정보주체로부터 개인정보 수집 · 이용 동의를 받을 때 알려야 할 사항이 아닌 것은? ① 수집 · 이용 목적 ② 수집하려는 개인정보의 항목 ③ 개인정보 처리 업무를 위탁받는 자 ④ 동의를 거부할 권리와 거부 시 불이익

문제 2. 다음 중 개인정보 보호법령상 고유식별정보에 해당하지 않는 것은? ① 여권번호 ② 운전면허번호 ③ 신용카드번호 ④ 외국인등록번호

문제 3. 현행 법령상 개인정보 유출 신고에 대한 설명으로 옳은 것은? ① 1만 명 이상 유출된 경우에만 신고 의무가 있다. ② 민감정보가 1건이라도 유출되면 72시간 이내 신고 대상이다. ③ 신고 기관은 과학기술정보통신부장관이다. ④ 유출 내용을 모두 확인한 뒤에만 신고할 수 있다.

문제 4. 「개인정보의 안전성 확보조치 기준」상 접속기록을 2년 이상 보관해야 하는 경우가 아닌 것은? ① 5만 명 이상의 정보주체 개인정보를 처리하는 시스템 ② 고유식별정보를 처리하는 시스템 ③ 기간통신사업자인 개인정보처리자 ④ 개인정보취급자가 10명 이상인 시스템

문제 5. 가명정보에 대한 설명으로 옳지 않은 것은? ① 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리한 정보다. ② 통계작성 · 과학적 연구 · 공익적 기록보존을 위해 동의 없이 처리할 수 있다. ③ 가명처리한 정보는 개인정보가 아니므로 이 법이 적용되지 않는다. ④ 가명정보를 파기한 경우에도 처리 기록은 파기한 날부터 3년 이상 보관해야 한다.

문제 6. 공공기관 개인정보 영향평가의 대상 개인정보파일 기준으로 옳은 것은? ① 1만 명 이상의 정보주체에 관한 민감정보를 처리하는 파일 ② 연계 결과 50만 명 이상의 정보주체 개인정보가 포함되는 파일 ③ 10만 명 이상의 정보주체에 관한 개인정보파일 ④ 모든 공공기관의 모든 개인정보파일

문제 7. 다음 중 정보주체의 동의 없이도 가능한 것은? ① 마케팅 제휴사에 회원 정보를 제공 ② 배송 업무를 택배사에 위탁 (처리방침에 수탁자 공개) ③ 회원 가입 시 주민등록번호를 별도 동의를 받아 수집 ④ 건강 정보를 다른 개인정보 동의와 함께 한 번에 받아 처리

문제 8. 암호화된 상태 그대로 연산한 결과를 복호화하면 평문으로 연산한 결과와 같아지는 프라이버시 강화 기술은? ① 차분 프라이버시 ② 동형암호 ③ 재현데이터 ④ 데이터 마스킹

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 24번 노트만 근거로 4지선다 8문제를 내줘. 비전공자 기준으로.
"수집 동의 고지사항", "동의 없이 수집·제공 가능한 경우", "위탁 vs 제3자 제공", "민감정보·고유식별정보·주민번호",
"영상정보처리기기", "암호화 대상과 접속기록 1년/2년", "영향평가 대상", "유출 통지·신고 72시간·1천 명"을 꼭 포함해줘.
최소 2문제는 "현행 기준"과 "개정 전 기준"을 구별해야 풀리게 만들어줘.
내가 답하면 채점하고, 틀린 이유를 노트의 판별 축 번호와 절 번호로 설명해줘. 노트에 없는 숫자는 지어내지 마.