법정의무교육 · 2026-10-03 기준 법령 원문
개인정보 보호교육, 누구에게 얼마나 해야 하나? 법이 정한 것과 정하지 않은 것
개인정보취급자 교육은 법이 ‘정기적으로 필요한 교육’을 실시하라고 정한 의무이고, 횟수나 시간은 법에 숫자로 정해져 있지 않습니다.[1]
한눈에 보기
누가 대상인가 — 개인정보취급자
- · 개인정보취급자는 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 사람입니다.[6]
- · 정규직 직원만 대상이 아닙니다. 지휘·감독을 받아 개인정보를 처리한다면 파견근로자와 시간제근로자도 포함됩니다.[6]
- · ‘처리’는 수집과 저장만이 아니라 기록, 검색, 출력, 이용, 제공, 파기까지 모든 행위를 말합니다.[7]
- · 개인정보는 성명, 주민등록번호, 영상 등으로 개인을 알아볼 수 있는 정보입니다.[8]
- · 그 정보만으로는 알아볼 수 없어도 다른 정보와 쉽게 결합해 알아볼 수 있으면 개인정보에 해당합니다.[9]
언제·얼마나 — 법에 숫자는 없습니다
교육에 담을 내용 — 처리 원칙과 안전조치
- · 처리 원칙은 목적을 명확히 하고, 그 목적에 필요한 최소한의 개인정보만 적법하고 정당하게 수집하는 것입니다.[10]
- · 수집한 개인정보를 목적 외의 용도로 활용해서는 안 됩니다.[11]
- · 수집·이용의 근거는 정보주체의 동의, 법령상 의무, 계약 이행 등으로 나뉩니다.[12][13][14][15]
- · 동의를 받을 때는 수집·이용 목적, 수집 항목, 보유·이용 기간, 동의를 거부할 권리와 불이익을 알려야 합니다.[16][17][18][19]
- · 건강, 노동조합 가입·탈퇴 같은 민감정보와 고유식별정보는 처리에 제한이 있습니다.[20][21]
- · 주민등록번호는 정해진 경우를 제외하고는 처리할 수 없고, 보관할 때는 암호화 조치가 필요합니다.[22][23]
- · 안전성 확보 조치는 내부 관리계획 수립, 접속기록 보관 등 기술적·관리적·물리적 조치를 말합니다.[3]
- · 접근 권한은 부여·변경·말소 기준을 세워 시행해야 하고, 정당한 권한을 가진 사람인지 확인하는 인증수단도 기준을 정해 운영해야 합니다.[24][25]
- · 비밀번호는 일방향 암호화 저장 등으로 보호하고, 접속기록은 저장하고 점검하며 확인·감독해야 합니다.[26][27]
- · 개인정보가 불필요해지면 지체 없이 파기해야 하고, 복구하거나 재생할 수 없게 조치해야 합니다.[28][29]
- · 전자 파일은 복원이 불가능한 방법으로 영구 삭제하고, 인쇄물과 서면은 파쇄 또는 소각합니다.[30][31]
- · 정보주체가 열람, 정정·삭제, 처리정지를 요구하면 담당자가 바로 알아볼 수 있도록 창구와 절차를 교육에 넣습니다.[32][33][34]
유출이 생기면 — 72시간 통지·신고
- · 유출등은 분실, 도난, 유출, 위조, 변조, 훼손을 말합니다.[35]
- · 개인정보가 유출등이 되었음을 알게 되면 지체 없이 해당 정보주체에게 알려야 합니다.[36]
- · 시행령은 알게 된 때부터 서면등의 방법으로 72시간 이내에 정보주체에게 알리도록 정합니다.[37]
- · 구체적인 내용을 아직 모르더라도 확인된 것부터 통지하고, 추가로 확인되는 내용은 확인되는 즉시 통지해야 합니다.[38]
- · 유출등의 가능성이 있음을 알게 되었을 때에도 지체 없이 가능성이 있는 모든 정보주체에게 알려야 합니다.[39]
- · 통지에는 유출된 항목, 유출된 시점과 경위, 피해를 줄이기 위해 정보주체가 할 수 있는 방법이 들어갑니다.[40][41][42]
- · 대응조치와 피해 구제절차, 신고를 접수할 담당부서와 연락처, 피해를 입은 정보주체의 법적 권리와 행사 방법도 알려야 합니다.[43][44][45]
- · 신고 대상이면 72시간 이내에 보호위원회 또는 전문기관에 신고해야 하고, 전문기관은 한국인터넷진흥원입니다.[46][47]
- · 신고 대상은 1천명 이상의 정보주체 정보가 유출등이 된 경우, 민감정보나 고유식별정보가 유출등이 된 경우, 외부의 불법적인 접근으로 유출등이 된 경우입니다.[48][49][50]
회사가 함께 할 일 · 놓치기 쉬운 점
- · 개인정보취급자의 범위를 최소한으로 제한하고, 취급자에 대해 적절한 관리·감독을 해야 합니다.[51]
- · 업무를 외부에 맡기는 경우 위탁자는 정보주체의 개인정보가 유출등이 되지 않도록 수탁자를 교육하고 감독해야 합니다.[52]
- · 위탁은 목적 외 처리 금지와 기술적·관리적 보호조치 사항이 담긴 문서로 해야 합니다.[53][54][55]
- · 놓치기 쉬운 점 하나는 퇴사자입니다. 금지행위는 개인정보를 처리하는 사람뿐 아니라 처리하였던 사람에게도 적용됩니다.[56]
- · 또 하나는 CCTV입니다. 고정형 영상정보처리기기를 운영하는 쪽도 안전성 확보에 필요한 조치를 해야 합니다.[57]
교육으로 막으려는 위험 — 벌칙 조항
- · 아래는 교육을 하지 않았을 때의 벌칙이 아니라, 교육으로 막으려는 사고와 위반 행위에 붙어 있는 벌칙 조항입니다. 교육 미실시 자체의 제재는 이 페이지에서 다루지 않습니다.[1]
- · 개인정보를 처리하거나 처리하였던 사람은 업무 중에 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공해서는 안 됩니다.[58][56]
- · 이런 누설·제공은 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해질 수 있습니다.[59][60]
- · 권한 없이 또는 허용된 권한을 넘어 다른 사람의 개인정보를 이용, 훼손, 변경, 유출하는 행위도 금지되고, 같은 조항의 벌칙 대상입니다.[61][62]
- · CCTV를 설치 목적과 다르게 임의로 조작하거나 녹음기능을 사용하면 3년 이하의 징역 또는 3천만원 이하의 벌금에 처해질 수 있습니다.[63][64]
- · 안전성 확보에 필요한 조치를 하지 않은 경우는 3천만원 이하의 과태료 대상입니다.[65][66]
- · 개인정보 파기 등 필요한 조치를 하지 않은 경우와, 유출 사실을 보호위원회 또는 전문기관에 신고하지 않은 경우도 과태료 부과 대상에 들어 있습니다.[67][68]
- · 화장실 등 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있게 CCTV를 설치하는 것은 금지되며, 5천만원 이하의 과태료 조항이 있습니다.[69][70]
자주 묻는 질문
개인정보보호 교육 의무 — 1년에 몇 번 해야 하나요?
법 조문에는 ‘정기적으로 필요한 교육’이라고만 되어 있고 횟수를 숫자로 정해 둔 곳이 없습니다. 횟수와 시간은 회사가 내부 관리계획에서 정합니다.[1][4]
파견근로자나 시간제 직원도 교육 대상인가요?
지휘·감독을 받아 개인정보를 처리한다면 파견근로자와 시간제근로자도 개인정보취급자에 포함됩니다.[6]
교육 과목이 법으로 정해져 있나요?
법은 교육을 실시하라고만 하고 필수 과목 목록을 정하지 않습니다. 처리 원칙, 안전조치, 유출 대응 같은 핵심 의무를 조문에서 골라 구성하는 방식이 일반적입니다.[1][10][3][36]