개인정보의 개념·처리주체와 보호 원칙 | 정보보안기사 필기

1. 개인정보의 판단

2026년 9월 13일 시행 법령을 기준으로 정리한다. 개인정보는 살아 있는 개인에 관한 정보로, 그 정보 자체 또는 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 정보 및 법에서 정한 가명정보를 포함한다.

쉽게 결합할 수 있는지는 다른 정보의 입수 가능성, 필요한 시간·비용·기술 등을 합리적으로 고려한다. 이름이 없어도 계정·영상·위치·거래기록 등이 다른 자료와 연결돼 개인을 식별할 수 있다. 법인 자체의 정보와 사망자만의 정보는 이 정의와 다르지만, 살아 있는 담당자나 유족에 관한 정보를 함께 담으면 별도로 판단한다.

2. 가명정보와 익명 상태

상태	식별 관계	개인정보 보호법 적용
일반 개인정보	직접 또는 쉬운 결합으로 식별	적용
가명정보	추가 정보를 사용·결합해야 원래 개인을 알아볼 수 있도록 가명처리	적용
익명 상태	시간·비용·기술 등을 합리적으로 고려할 때 다른 정보로도 더 이상 식별 불가	법 제58조의2의 적용 제외 판단

이름을 코드로 바꾸고 대응표를 보관했다면 일반적으로 가명처리 맥락이다. 암호화·마스킹·해시라는 처리 이름만으로 익명이 되지 않는다. 결과와 이용 환경을 평가해야 한다.

가명정보는 통계작성, 과학적 연구, 공익적 기록보존 등 법정 목적에 한해 동의 없이 처리할 수 있는 특례가 있다. 모든 마케팅·판매를 허용하는 포괄 면제가 아니다. 추가 정보 분리·안전조치, 재식별 금지, 서로 다른 처리자 간 결합 시 전문기관 등 요건을 확인한다.

3. 처리와 주체

처리는 수집뿐 아니라 생성·기록·저장·검색·이용·제공·공개·복구·파기 등 전 과정을 포함한다.

용어	뜻
정보주체	처리되는 정보로 알아볼 수 있는 사람
개인정보파일	쉽게 검색하도록 규칙에 따라 배열·구성한 개인정보 집합
개인정보처리자	업무 목적으로 개인정보파일을 운용하기 위해 직접 또는 다른 사람을 통해 처리하는 공공기관·법인·단체·개인 등
개인정보취급자	처리자의 지휘·감독 아래 개인정보 처리업무를 수행하는 임직원 등

개인정보파일은 전산 DB에만 한정되지 않는다. 체계적으로 정리한 종이 명부도 해당할 수 있다. 서버 저장을 외부에 맡겼다고 서비스 운영자의 처리자 지위와 책임이 자동 사라지지 않는다.

4. 개인정보 보호 원칙

목적을 명확히 하고 필요한 최소한의 정보를 적법·정당하게 수집한다.
목적에 필요한 범위에서 적합하게 처리하고 목적 외 활용을 제한한다.
목적에 필요한 정확성·완전성·최신성을 유지한다.
정보의 종류·처리 방법·위험을 고려해 안전하게 관리한다.
처리사항을 공개하고 정보주체의 권리를 보장한다.
사생활 침해를 최소화하는 방법을 선택한다.
가능하면 익명, 익명으로 목적을 달성하기 어렵다면 가명 처리가 가능한지 고려한다.
법적 책임과 의무를 준수하고 신뢰를 확보한다.

원칙 중 하나만 충족하면 나머지가 면제되는 것은 아니다. 적법한 동의를 받았어도 과도한 수집·허술한 보호·무기한 보관이 허용되는 것은 아니다.

5. 사례로 연결하기

학습 서비스의 계정과 개인별 오답 기록은 회원과 연결되면 개인정보다. 운영자가 업무 목적으로 회원파일을 관리한다면 개인정보처리자에 해당할 수 있다. 통계 공개에 이름이 필요 없다면 최소한의 집계로 목적을 달성할 수 있는지 검토한다.

코드로 바꾼 개인별 학습 이력을 대응표와 연결할 수 있다면 가명정보로 보호한다. 개인정보 여부, 처리 목적·근거, 안전조치, 보유·파기를 각각 판단해야 한다.