개인정보보호

왜 배우는가: 개인정보보호는 실무에서 정보시스템 설계·운영의 법적 책임을 결정하는 기준이며, 개인정보 보호법 개정과 AI·빅데이터 규제 논의가 이어지면서 시험에서 정의·법령·안전조치를 묶어 반복 출제된다. 정의의 범위와 처리 개념을 정확히 알아야 이후 안전성 확보조치와 영향평가 문항에 대응할 수 있다.

출제 이력: 제104회 3교시 5번, 제95회 2교시 4번, 제93회 4교시 6번

1. 한 줄 정의와 핵심 키워드

개인정보는 살아 있는 개인을 알아볼 수 있는 정보이며, 다른 정보와 쉽게 결합해 식별되는 정보와 가명정보까지 포함한다.

• 개인정보
• 가명처리
• 가명정보
• 개인정보처리자
• 정보주체
• 안전조치의무
• 영향평가

2. 개념 풀이

쉬운 말로 하면 개인정보는 "이름이나 얼굴처럼 바로 사람을 알아볼 수 있는 정보"와 "여러 정보를 합치면 사람을 알아볼 수 있는 정보"를 모두 가리킨다. 정식 정의는 「개인정보 보호법」 제2조제1호에 있으며, 살아 있는 개인에 관한 정보로서 성명, 주민등록번호, 영상 등으로 개인을 알아볼 수 있는 정보와 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보를 말한다.

핵심은 결합 가능성 판단이다. 나머지 정보와 쉽게 결합할 수 있는지는 다른 정보의 입수 가능성, 개인을 알아보는 데 드는 시간·비용·기술을 합리적으로 고려해 판단한다. 기술이 발전하면 과거에 식별되지 않던 정보도 개인정보가 될 수 있다는 뜻이다.

가명처리는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체해, 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리하는 것이다. 이렇게 처리된 정보가 가명정보이며, 원래 상태로 복원하기 위한 추가 정보를 쓰지 않으면 특정 개인을 알아볼 수 없어야 한다. 가명정보는 여전히 개인정보로 분류되되, 통계작성·과학적 연구·공익적 기록보존 목적에 한해 특례를 적용받는다.

「개인정보 보호법」은 처리(수집, 생성, 연계, 저장, 보유, 가공, 이용, 제공, 파기 등 모든 행위)를 넓게 정의한다. 따라서 빅데이터 분석이나 AI 학습용 데이터 생성도 모두 처리에 해당하며 법적 규율을 받는다. 개인정보처리자는 업무를 목적으로 개인정보파일을 운용하는 공공기관, 법인, 단체, 개인이다. 정보주체는 처리되는 정보에 의해 알아볼 수 있는 본인을 말한다.

개인정보파일은 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 집합물이다. 파일 단위로 영향평가와 등록 의무가 걸리므로, 시스템 설계 단계에서 파일 단위를 정확히 잡는 것이 중요하다.

개인정보 보호법 제29조는 개인정보처리자가 유출 등이 되지 않도록 내부 관리계획 수립, 접속기록 보관 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 정한다. 이 조치의 세부 기준은 시행령 제30조가 정한다. 시행령 제30조제1항은 내부 관리계획, 접근 권한 제한, 접근 통제, 암호화, 접속기록 보관, 악성프로그램 방지, 물리적 조치 등 8개 호로 조치를 나열한다.

정보주체의 개인정보 침해 우려 시 공공기관은 영향평가를 실시한다. 영향평가는 개인정보파일 운용으로 인한 위험요인을 분석하고 개선 사항을 도출하는 평가다. 이 평가는 보호위원회가 지정한 평가기관에 의뢰해야 한다.

3. 등장 배경과 필요성

정보통신 기술이 발전하면서 개인정보가 대량으로 수집·결합·분석되기 시작했다. 이에 따라 개인정보 유출이 대규모 피해로 이어지는 사례가 늘었고, 개인정보를 개별 법률이 나누어 규율하던 체계로는 대응이 어려워졌다. 이에 개인정보 보호법이 제정되어 공공과 민간을 아우르는 기본 법률이 되었다.