법체계·적용대상·행위·의무·예외·제재

법 조항을 외워도 사례에 대입하지 못하면 답이 아니다

같은 데이터 제공도 누가 누구에게 어떤 목적으로 어떤 정보를 어떤 시점에 보냈는지에 따라 판단이 달라질 수 있다. 동의를 받는다 같은 한 문장을 모든 사례에 적용하면 다른 처리근거, 예외, 권리와 안전조치를 놓친다. 법규 답안에는 사실과 규범의 조건을 하나씩 맞추는 추론 과정이 드러나야 한다.

새봄센터의 담당자가 “외부에 자료를 보내니 동의서만 받으면 된다”고 말한다고 하자. 다른 담당자는 “공공목적이니 동의는 필요 없다”고 답한다. 두 사람 모두 주체·자료·상대방·이용 목적과 실제 적용 조문을 확인하지 않았다. 단어 하나로 결론을 내리는 대신, 서로 다른 조건을 나눠 어떤 근거에서 무엇을 해야 하는지 보여야 한다.

이 장은 기술사 답안과 시스템 준수사항을 작성할 때 필요한 읽기·대입·근거 관리 방법을 가르친다. 이 절에서 규범과 사실을 연결한 뒤 시간과 부칙, 판본과 교재 주장 관리로 이어 간다. 아래 LR-R1·LR-F1은 문장 읽기를 위한 자체 가상 규정·사례이며 대한민국의 실제 의무나 예외를 만든 것이 아니다.

먼저 연결할 앞선 설명

규범의 위계는 문서의 제목보다 발행권한·위임·적용범위를 확인했다. 적용대상과 공식 근거는 주체·대상·행위·시점과 원문을 연결했다. 이 절에서는 그 틀에 실제 문장과 부족한 사실을 하나씩 대입한다.

법적 적용 판단의 정의

법적 적용 판단은 기준일에 유효한 규범에서 주체, 보호대상, 문제행위, 요건, 의무·권리, 예외와 제재·구제를 분해하고, 확인된 사실을 각 요건에 대입해 규범효과와 필요한 조치를 도출하는 방법이다. 법률 자문을 대신하는 직감이 아니라 원문 위치와 사실의 불확실성을 드러내는 구조다.

‘규범효과’는 조건을 만족할 때 생기는 의무·권리·금지·허용 등의 결과다. ‘요건’은 그 결과가 생기려면 맞아야 하는 조건이다. 따라서 예외가 존재한다는 사실과 지금 사건이 그 예외 요건을 충족한다는 사실은 다르다. 결론에는 적용한 조문뿐 아니라 요건을 충족한다고 본 사실이 따라야 한다.

1. 법체계는 문서 목록이 아니라 권한과 연결의 구조다

법률은 국회의 입법을 거쳐 정해지는 규범이고, 대통령령·총리령·부령은 정해진 권한과 범위에서 법률의 내용을 구체화하거나 집행한다. 헌법 제75조는 대통령령을 법률의 구체적인 위임 또는 법률 집행에 필요한 사항과 연결한다. 따라서 시행령이 더 자세하다는 이유만으로 상위법의 범위를 마음대로 바꿀 수 있다고 읽지 않는다.¹

이 절의 그림은 정보시스템 실무에서 자주 만나는 관계만 줄여 그린 것이다. 조약·자치법규·각 헌법기관의 규칙 등 법체계의 모든 관계를 단일 사다리로 표현한 그림은 아니다.

화살표는 위 문서와 아래 문서가 연결되는 이유다. 상위 문구가 ‘대통령령으로 정한다’고 하면 해당 시행령을 찾아야 하고, 시행령이 다시 고시로 구체화한 범위가 있다면 그 연결도 확인한다. 아무 고시나 주제가 같다는 이유로 가져오면 위임 대상·범위가 달라질 수 있다.

「행정기본법」 제2조의 ‘법령등’에는 법률·명령뿐 아니라 정해진 위임을 받은 훈령·예규·고시 등과 자치법규도 포함된다. 이는 모든 보도자료나 내부 안내문이 같은 법적 효력을 갖는다는 뜻이 아니다. 행정규칙은 문서명만으로 결론 내리지 않고 위임·내용·대상과 적용 맥락을 확인해야 한다.²

예컨대 계약이 특정 표준 판본을 준수하도록 정했다면 계약상 확인할 기준이 생길 수 있다. 그것을 곧바로 ‘법률이 모든 기관에 그 표준을 강제한다’고 바꾸면 근거가 달라진다. 반대로 법률상 요구가 존재하는데 계약서에 없다는 이유로 무시할 수도 없다. 법적 의무·계약상 약속·조직이 선택한 통제를 다른 칸에 기록한다.

2. 조·항·호·목을 문장의 주소로 읽는다

조문은 보통 제○조, 항 번호 ①·②, 호 번호 1.·2., 목 표시 가.·나.처럼 층을 나누어 조건을 적는다. ‘제4조’만 표시하면 그 조의 어느 의무·예외를 말하는지 모호할 수 있다. 정확한 인용 주소는 법령명·판본에 조·항·호·목을 붙이고 필요한 별표나 부칙까지 연결한 것이다.

본문은 기본 규칙을, ‘다만’으로 이어지는 단서는 그 문장의 예외·제한 등 특별한 조건을 둘 수 있다. ‘이 경우’는 바로 앞에서 정한 상황을 전제로 뒤 규칙을 연결할 수 있다. 이런 말은 삭제해도 되는 장식이 아니며, 어느 문장·범위에 붙는지 읽어야 한다.

‘또는’을 모두 충족 조건으로 바꾸면 적용범위를 부당하게 좁힐 수 있고, ‘그리고’를 하나만 충족하는 조건으로 바꾸면 예외를 넓힐 수 있다. 문장에 없는 선택지를 추가하지 않는다. 여러 호의 공통 앞부분에 적용되는 수식어도 각 호에 함께 붙여 읽는다.

‘이상’은 경계값을 포함하고 ‘초과’는 포함하지 않는다. 가상 규정의 대상이 ‘100건 이상’이라면 100건도 포함되지만 ‘100건 초과’라면 100건은 빠진다. ‘건’의 집계 단위·기간·중복 기준을 정하지 않은 채 숫자만 대입해서는 안 된다. 이 예의 100건은 실제 감리나 개인정보 법령의 기준값이 아니다.

3. 사실·주장·추정과 법적 평가를 나눈다

‘자료를 보냈다’는 한 문장을 다음처럼 분해한다. 보낸 사람의 역할, 받는 주체, 자료의 종류, 목적, 제공일, 승인·권한, 이후 이용과 삭제·반환의 조건을 확인한다. 같은 회사 안의 전달, 다른 회사의 독립 이용, 지시에 따른 업무 처리는 사실관계부터 같다고 전제하지 않는다.

불확실성이 있다고 모든 결론이 불가능한 것은 아니다. 이미 확인된 일부 요건의 충족 여부는 먼저 판단하고, 추가 사실에 따라 달라지는 쟁점만 조건부로 남긴다. 예외를 뒷받침할 자료가 없다는 것과 예외 사유가 실제 없다는 것도 구별한다. 누가 어떤 근거를 제출해야 하는지는 해당 절차의 증명책임과 규정을 별도로 확인한다.

쟁점–규칙–대입–결론

먼저 사례에서 결정해야 할 쟁점과 기준일을 적는다. 공식 원문에서 적용 규칙과 요건·예외를 찾고, 각 요건 옆에 확인된 사실과 부족한 사실을 대응시킨다. 결론은 적용된다에서 끝내지 않고 필요한 통제·증적·권리대응과 위반 시 조치로 연결한다. 사실 또는 해석이 불확실하면 조건부 결론과 확인 항목을 구분한다.

이 순서를 IRAC라고 부르기도 한다. Issue는 쟁점, Rule은 규칙, Application은 대입, Conclusion은 결론이다. 약자를 넣는 것이 목표가 아니라 판단의 중간 과정을 보이는 것이 목표다. 결론부터 적고 비슷한 조문을 뒤에 붙이는 방식과 다르다.

4. 따라 풀기 LR-R1: 예외 하나가 모든 의무를 없애지는 않는다

다음은 조문 읽기만을 위해 만든 가상 「신청자료 전달규정 R」이다. 실제 개인정보 보호법이나 긴급상황의 법정 예외를 요약한 것이 아니다. 이 예제에서는 시행시점이 이미 지났고 다른 규범과 충돌하지 않는다고 가정한다. 실제 법령의 시간 문제는 다음 절에서 따로 다룬다.

가상 제2조: ‘대상기관’은 이 규정의 등록대장에 올라 있는 기관이다. ‘보호자료’는 특정 신청자와 연결되는 개인별 신청기록이다. 개인을 식별하거나 다시 연결할 수 없는 통계집계는 여기의 보호자료에서 제외한다.

가상 제4조제1항: 대상기관이 보호자료를 외부 수신자에게 제공하려면 담당 책임자의 사전승인을 받아야 한다. 다만, 즉시 보호조치가 필요하고 사전승인을 받을 시간적 여유가 없는 경우에는 사전승인 없이 제공할 수 있다.

가상 제4조제2항: 제1항에 따라 제공하는 경우에는 목적에 필요한 최소 항목만 제공하고, 수신자·목적·항목·시각을 기록하여야 한다. 제1항 단서를 적용한 경우에도 같다.

가상 제5조: 자료의 당사자는 잘못된 전달기록의 정정을 요청할 수 있고, 대상기관은 정정 결과와 관련 수신처 조치를 확인하여야 한다.

제4조제1항의 적용에는 대상기관·보호자료·외부 제공이 모두 필요하다. 적용되는 경우 사전승인이 기본 경로이며, 예외 경로에는 ‘즉시 보호 필요’와 ‘사전승인의 시간적 불가능’이 함께 필요하다. 단순히 민원이 급하다고 표현한 것만으로 두 요건을 충족하지 않는다.

가상 규칙의 구조를 기호 없이 먼저 읽고, 다음처럼 짧게 표시할 수 있다.

적용범위 = 대상기관 AND 보호자료 AND 외부 제공
사전승인 경로 충족 = 승인 있음 OR (즉시 보호 필요 AND 승인 시간 없음)
남는 의무 = 최소 항목 AND 제공기록

AND는 ‘모두’, OR는 ‘어느 하나’다. 마지막 줄은 예외 경로에도 적용된다. 이 식은 위의 가상 규칙만 요약하며 개인정보 처리근거를 계산하는 실제 법률 공식이 아니다.

LR-F1의 여섯 사건을 서로 다르게 판단한다

F1의 기록 미충족은 확인된 사실이다. F3은 단서 요건의 자료가 부족하므로 현재 자료만으로 적법이나 위법을 단정하지 않는다. ‘추가 사실 필요’를 실패와 같은 칸에 몰아넣지 않아야 조사해야 할 대상이 보인다.

F4는 특정 가상 조문의 비적용이지 모든 법률에서 개인정보가 아니라는 판정이 아니다. 실제로 개인을 다시 알아볼 수 있는지는 자료·환경·다른 정보의 결합 가능성을 따져야 한다. 암호화 파일이나 이름을 지운 개인별 행을 이 가상 통계집계와 자동으로 같다고 보지 않는다.

5. 의무·위반·제재·구제는 별도의 연결을 확인한다

의무는 해야 하는 일이고 위반은 해당 의무의 요건과 실제 상태가 어긋난 경우다. 제재는 위반에 대해 법이 정한 불이익이며, 구제는 영향을 받은 권리나 잘못된 결정·상태를 바로잡는 경로다. 기술적 결함 하나를 찾았다고 가능한 모든 처벌과 배상을 한꺼번에 확정할 수는 없다.

헌법 제13조제1항은 행위 당시의 법률에 의하여 범죄를 구성하지 않는 행위로 소추되지 않는다는 경계를 둔다. 행정상 제재처분의 시간 기준은 「행정기본법」 제14조제3항과 개별 법령을 별도로 확인한다. 두 영역을 ‘최신 제재표를 적용한다’는 한 문장으로 합치지 않는다.³⁴

F1에서 기록 의무 위반을 확인해도 위 가상 규정에는 과태료나 형벌의 금액이 정해져 있지 않다. 따라서 ‘벌금 100만원’ 같은 결론을 만들어 낼 수 없다. 지금 할 수 있는 것은 누락 사실을 정확히 기록하고 원래 확인 가능한 근거로 보완하며, 실제 적용 규범에 별도 제재·보고·구제 조항이 있는지 확인하는 것이다. 나중에 만든 기록을 제공 당시 작성된 기록처럼 소급 꾸며서는 안 된다.

6. 법 문장을 구현 요구와 확인 가능한 증거로 옮긴다

「개인정보 보호법」 제29조는 개인정보처리자의 안전조치를 기술적·관리적·물리적 측면으로 연결하고 대통령령의 구체화에 따르도록 한다. 2026년 9월 11일 시행 표시가 있는 법률 제21445호의 해당 조문을 이 절의 제한된 실제 예로 사용한다.⁵ 법률 문장 자체가 모든 시스템의 구체 제품·설정값·운영 역할을 한꺼번에 정해 주는 것은 아니다.

실무에서는 실제 적용되는 시행령·고시와 대상 조건을 더 확인한 뒤 통제와 증거로 내려간다. 이 절은 특정 암호화 알고리즘·접속기록 보존기간을 새로 정하지 않고, 앞 개인정보 장의 역할을 대신하지 않는다.

가상 규정 R을 시스템 요구로 옮긴 LR-C1은 다음과 같다.

표의 구현은 자체 설계이며 규정의 유일한 제품 선택지가 아니다. 통제를 구현했다는 것과 실제 대상·판본·기간에서 작동했다는 것은 다른 주장이다. 정상 처리와 금지된 처리의 거부, 예외 사용과 그 기록을 함께 확인한다. 법률상 해석이 결정되지 않은 부분은 기술 담당자가 임의로 확정하지 않고 담당 법무·업무 책임자의 판단과 필요한 사실을 연결한다.

결론부터 정하고 조문을 찾지 않는다

조문 일부만 떼면 정의조항·예외·부칙과 충돌할 수 있고, 사실관계를 생략하면 같은 문구가 다른 결과를 낸다. 일반 원칙을 기술통제 하나와 일대일로 고정하지 말고 목적에 맞는 대안과 증적을 판단한다. 출처 확인 없이 기억한 조문번호와 단정적 법률효과를 쓰지 않는다.

같은 사건에 여러 법률이 관련되면 어느 쟁점에서 무엇을 특별히 정했는지 비교한다. ‘특별법’이라는 제목이나 나중의 공포일만으로 앞의 모든 의무가 사라진다고 읽지 않는다. 동시에 이행 가능한 서로 다른 의무인지, 같은 사항에 대한 특별 규정인지, 적용관계 조항과 판례·해석이 필요한 충돌인지 나누어야 한다. 결론이 갈릴 때에는 법적 근거와 함께 남은 해석 쟁점도 표시한다.

7. 자체 10점 문제와 완성 답안

법적 적용 판단의 절차를 설명하고, LR-F1의 F1·F3·F4를 구별하여 판단하시오.

요구는 정의의 반복이 아니라 서로 다른 결론을 만드는 요건과 사실의 연결이다. 실제 법정 시험문항이나 공식 채점기준이 아니라 위 가상 규정의 이해를 확인하는 자체 문제다.

8. 자체 25점 문제와 완성 적용·통제안

새봄센터가 가상 규정 R을 업무·시스템에 적용하려 한다. LR-C1의 적용 판단·예외 통제·증거·권리 대응 체계를 설계하고, 사실 부족과 위반을 구별하는 방법을 제시하시오.

‘준수체계를 수립한다’는 지침만으로 끝내지 않는다. 입력 자료, 담당 판단, 실제 처리·거부·추가 확인과 산출물을 제시한다.

9. 자기교정

조건을 바꾸어 다시 판단한다

F3에서 사전승인을 받을 시간도 없었다는 근거가 확인되면?

F4의 통계집계에 특정 신청자를 다시 연결할 식별표가 함께 제공된다면?

규정이 ‘100건 이상’에서 ‘100건 초과’로 바뀌고 기관의 해당 기간 집계가 정확히 100건이라면?

근거와 적용 범위

공식 법령은 아래 명시한 조문과 판본의 제한된 범위에서 2026-09-20 대조했다. 전문 전체·개별 사건 법률자문·법원 판단·독립 감수를 수행한 것은 아니다. LR-R1·F1·C1의 규칙·자료·도식·답안은 자체 작성이며 실제 개인정보 처리의 허용 근거·긴급 예외·제재표로 인용하지 않는다.

한 번에 되찾기

법적 적용 판단은 기준일의 규범요건에 사실을 대입해 의무·권리·예외와 조치를 도출하는 과정이다. 원문 위치, 부족한 사실과 조건부 결론을 분리한다.