위탁·제3자·국외·가명정보·유출

외부 업체와 계약했다는 한 문장으로 다섯 가지 처리를 설명할 수 있을까

가상 새봄시가 학습지원 신청 서비스를 운영업체에 맡겼다. 운영업체는 신청 상태를 관리하고 결과 안내를 보내며, 다른 나라에 있는 업체의 저장 공간도 사용하려 한다. 한편 제휴사는 신청인 명단을 자기 강좌 광고에 쓰고 싶어 하고, 연구팀은 이용 현황을 분석하기 위해 일부 자료를 요청한다.

모두 ‘외부로 정보가 간다’는 점은 비슷하다. 그러나 기관의 업무를 대신하는 처리, 받는 쪽의 자체 목적을 위한 제공, 국외의 처리·보관, 가명정보의 연구 활용은 같은 요건으로 끝나지 않는다. 계약서 제목을 ‘위탁’으로 정하거나 이름을 지웠다는 이유만으로 다른 처리가 적법해지지 않는다.

이 절에서는 처리 목적과 역할, 이동 장소, 정보의 형태, 사건의 확인 상태를 별도 축으로 판단한다. 새봄시와 업체·연구·사건·시간·수량은 자체 교육용 가정이다. 실제 기관에 서비스를 적용하거나 신고·법률자문을 수행한 기록이 아니다. 앞 전자정부 절의 행정정보 이용 권한도 외부업체의 자체 이용 권한으로 넘기지 않는다.

먼저 연결할 앞선 설명

개인정보보호 법규의 경계에서는 처리의 주체·대상·행위·목적·시점을 확인했다. 개인정보 생명주기와 가명·익명·PET는 정보와 기술의 경계를 설명했다. 여기서는 그 정의를 다시 세우지 않고 어느 처리에 어떤 조문·계약·공개·보호·신고가 필요한지 대입한다.

1. 계약 상대의 이름이 아니라 실제 처리마다 역할을 정한다

위탁은 개인정보처리자가 자신의 처리업무를 다른 자에게 맡겨 그 범위에서 수행하게 하는 관계다. 제3자 제공은 수령자가 제공받은 개인정보를 이용하는 관계로서, 위탁 업무의 수행과 구별하여 제공의 근거·목적·범위를 판단해야 한다. 실제 구별에는 누구의 업무와 목적을 위해 처리하는지, 어떤 지시·통제·이용 범위가 있는지가 중요하다. 돈을 지불했는지나 데이터 전송 방식 하나만으로 결정하지 않는다.¹²

같은 회사도 서로 다른 업무에서는 역할이 달라질 수 있다. 기관의 지시에 따라 안내를 발송하는 처리와 그 회사가 자기 광고를 위해 명단을 이용하는 처리를 한 줄로 합치면 책임을 잘못 적용한다. 위탁 범위를 벗어난 이용은 위탁계약이 있다는 이유로 허용되지 않는다.

국외 이전 여부는 이 구별에 추가되는 질문이다. 국내에서 처리하는 위탁도 있고 국외에서 처리·보관하는 위탁도 있다. 받는 업체의 자체 목적을 위한 제공 역시 국내·국외로 나뉜다. ‘위탁·제3자·국외 중 하나를 고르라’는 서로 배타적인 분류표는 잘못된 출발점이다.³

이 표의 FL 번호는 학습용이며 법률의 유형 코드가 아니다. 먼저 실제 행위를 쪼개고, 각 행에 처리근거·책임·통제와 확인할 사실을 연결한다. 한 번 수집한 동의가 이 다섯 행을 모두 덮는다고 가정하지 않는다.

2. 위탁은 동의서 한 장 대신 실제 관리·감독을 요구한다

법 제26조제1항은 처리업무의 위탁을 문서로 하도록 하며, 위탁 목적 외 처리 금지와 기술적·관리적 보호조치 등 필요한 내용을 포함하도록 한다. 제2항은 위탁업무와 수탁자를 정보주체가 쉽게 확인할 수 있도록 공개하는 구조다. 수탁자의 범위에는 다시 업무를 위탁받은 자도 포함된다.¹

따라서 적법한 수집·이용 업무를 그 범위에서 맡기는 위탁을 모든 경우 ‘제3자 제공 동의’로 바꾸어 받아야 한다고 설명하는 것은 부정확하다. 반대로 별도의 제공 동의가 없다는 이유로 공개·계약·감독·안전조치도 필요 없다고 생각해서는 안 된다. 최초 처리의 근거와 위탁에 따른 의무는 따로 충족해야 한다.

표의 구체 운영안은 법정 문구 전체를 복제한 서식이 아니라 자체 설계다. 시행령 제28조의 위탁 문서·공개·통지·감독 관련 세부사항도 계약과 실제 운영에 맞춰 확인해야 한다. 계약 해지로 개인정보가 저절로 지워지지 않으므로 활성본·복제본·백업과 법정 보존 근거를 구별한다.

제26조제3항은 재화·서비스의 홍보나 판매 권유 업무를 위탁하는 경우 업무 내용과 수탁자를 정보주체에게 알리도록 한다. 변경된 경우도 포함한다. 일반 위탁업무의 공개와 이 홍보·판매 권유 위탁의 통지를 같은 것으로 보지 않는다. 광고성 정보 전송에는 별도의 관련 법령도 적용될 수 있으므로 위탁 통지를 했다는 사실만으로 모든 광고 발송이 허용된다고 결론 내리지 않는다.¹

제4항의 교육·감독, 제5항의 범위 초과 이용·제공 금지, 제6항의 재위탁 시 위탁자 동의도 연결한다. 재위탁 동의를 하는 주체는 이 조항에서 위탁자이며, 이를 정보주체의 국외 이전 동의와 같은 행위로 합치지 않는다. 수탁자에게도 법이 정한 조항이 준용되고, 위탁 관련 손해배상책임에 관한 제7항의 규정이 있으므로 ‘외주를 주었으니 원래 기관의 책임은 없다’는 답안은 성립하지 않는다.¹

3. 제공받는 쪽의 자체 목적이면 제공 근거를 다시 본다

법 제17조제1항은 동의에 따른 제3자 제공과 법이 열거한 수집근거에 따라 수집한 목적 범위에서의 제공을 규정한다. 열거된 수집근거는 제15조제1항제2호·제3호·제5호부터 제7호까지다. 그러므로 계약 이행을 위한 수집·이용 근거가 있다는 말만으로 모든 제3자 제공의 근거가 자동 성립하지 않는다. 제17조의 다른 요건과 관련 규정은 해당 사실에 따로 대조한다.²

동의에 근거한 제공이라면 누구에게, 어떤 목적으로, 무엇을, 얼마나 보유·이용하도록 제공하는지와 거부권·거부에 따른 불이익을 미리 설명해야 한다. 법 제17조제2항의 고지 사항을 ‘서비스 개선을 위한 제휴사 제공’이라는 모호한 문구로 대체하지 않는다. 중요한 내용 변경도 적절한 고지·동의 판단이 필요하다.²

처음 수집한 목적과 다른 이용·제공이면 제18조의 목적 외 처리 제한과 예외를 함께 읽는다. 예외가 열거돼 있어도 해당 사실이 실제로 요건을 충족해야 하고, 정보주체 또는 제3자의 이익을 부당하게 침해할 우려 등의 제한을 확인해야 한다. 특히 일부 예외는 공공기관에 한정된다. ‘공공기관이니까 목적 외 제공이 자유롭다’는 규칙은 없다.⁴

FL-2에서 제휴사가 자기 상품을 광고하려는 것은 시의 지원 신청·심사를 대신하는 일이 아니다. 신청을 위해 필요했던 연락처를 광고 목록으로 보내려면 실제 제공·이용의 근거를 다시 확인해야 한다. 이 예제에서는 별도 동의나 다른 근거가 확인되지 않았으므로 해당 전송을 보류한다. 이미 보낸 뒤 서류 이름을 바꾸는 것은 적법성 검토가 아니다.

법 제17조제4항은 당초 수집 목적과 합리적으로 관련된 범위의 추가 제공을 일정 조건에서 허용하는 별도 구조다. 관련성·정보주체의 예측 가능성·불이익·안전성 확보 조치 등 시행령 제14조의2의 기준을 대조해야 한다. ‘관련 서비스’라고 사업자가 이름 붙인 것만으로 이 경로가 성립하지 않는다.²

제공받는 자에게도 제19조의 목적 외 이용·제공 제한이 이어진다. 제공자의 근거만 확인한 뒤 수령자의 재제공·이용을 무시하지 않는다. 제공할 항목·수령자의 목적·기간·보호·후속 처리를 연결하고 변경이 생기면 새 처리로 돌아가 판단한다.⁴

4. 국외 이전은 서버의 소유 국적보다 실제 접근·보관을 본다

법 제28조의8은 개인정보의 국외 제공에 조회되는 경우를 포함하고, 처리위탁과 보관도 국외 이전의 범위로 다룬다. 파일을 다운로드하지 않았다는 이유만으로 국외 조회의 가능성을 지울 수 없다. 반대로 외국계 기업의 제품이라는 이름만으로 모든 처리가 국외 이전이라고 단정하지도 않는다. 실제 국가·수령자·접근자·경로·처리 범위를 확인한다.³

예를 들어 국내 저장소를 선택했어도 해외 지원인력이 개인정보를 열람하거나 다른 국가에 백업·로그가 전송될 수 있다. 기능 설명의 ‘국내 리전’ 표시와 실제 계약·하위 처리·지원 접근을 대조한다. 제3국으로 다시 이전하는 경우에는 제28조의11에 따른 준용 관계도 확인한다. 처음 수령 국가만 기록하고 이후 이동을 모두 빼면 흐름이 불완전하다.³

국외 이전의 다섯 근거는 조건이 서로 다르다

여기서 제3호의 계약은 정보주체와의 계약이다. 기관이 해외업체와 구매계약을 체결했다는 사실은 그 자체로 같은 요건이 아니다. 새봄시의 공공 신청·행정업무에 정보주체와의 계약이라는 경로를 사용할 수 있는지 확인하지 않았다면, 값이 싸다는 이유로 제3호를 선택해서는 안 된다.

반대로 별도의 유료 서비스 사례에서 정보주체와 체결한 계약의 수행에 해당 위탁·보관이 실제로 필요하고 정한 공개·통지를 했다고 가정하면 제3호를 검토할 수 있다. 그래도 받는 업체가 자기 광고를 위해 이용하는 행위는 같은 위탁·보관으로 처리하지 않는다. 동의 여부만 묻기 전에 실제로 선택한 경로의 모든 조건을 확인한다.

이전 안내를 구체적인 항목으로 바꾼다

제28조의8제2항의 다섯 고지 사항은 이전 항목, 국가·시기·방법, 수령자와 연락처, 수령자의 이용목적·보유기간, 거부 방법·절차·효과다. 제1항제3호의 공개·통지도 이 내용을 연결한다. 다음은 FL-X1이라는 가상 검토안이며 실제 동의서나 승인된 국외 이전 계약이 아니다.³

표에서 아직 국가나 실제 수령자가 특정되지 않았다면 ‘작성 완료’로 볼 수 없다. 모두 ‘해외’, ‘제휴사’, ‘필요한 동안’으로 적고 이용자에게 동의만 요구하는 것은 정보를 충분히 정한 상태가 아니다. 변경 시에는 적용되는 법률·선택한 이전 근거에 맞춰 다시 고지·동의·계약을 검토한다.

이전 근거가 성립해도 제28조의8제4항의 다른 보호 규정과 시행령 제29조의10의 보호조치가 남는다. 안전성 확보, 고충·분쟁 처리와 권리보호 조치를 수령자와 사전에 협의하고 계약 등에 반영해야 한다. 위법한 내용의 이전 계약은 체결할 수 없으며, 제28조의9는 법정 조건에서 보호위원회의 이전 중지 명령을 정한다. 동의와 계약은 보호의 종결점이 아니다.⁵

5. 가명정보 특례는 목적과 처리 경계를 가진다

가명정보가 개인정보 규율 밖의 정보가 아니라는 점은 가명·익명·PET에서 배웠다. 이 절에서는 법 제28조의2의 통계작성·과학적 연구·공익적 기록보존 등이라는 목적과 동의 없이 처리할 수 있는 범위를 읽는다. 연구라는 이름만 붙인 개인별 광고·불이익 결정까지 자동 허용되는 것은 아니다. 목적·방법·필요 항목과 실제 후속 이용을 확인해야 한다.⁶

가상 연구 FL-R1은 새봄시 학습지원 서비스의 이용 대기를 집계해 다음 운영을 개선하려는 통계 분석이다. 원자료의 이름·연락처를 가명으로 바꾸었어도, 희귀한 조건·자유서술·세밀한 시점 조합이 개인을 알아보게 할 수 있다. 필요한 항목을 줄이고 결과의 작은 집단이나 재식별 위험도 살핀다. 법적 목적 판단과 가명처리의 기술적 적절성은 둘 다 필요하다.

제28조의2제2항은 제3자에게 가명정보를 제공할 때 특정 개인을 알아보기 위해 사용될 수 있는 정보를 포함하지 못하게 한다. 대응표를 별도 파일로 첨부한 뒤 ‘가명자료만 보냈다’고 할 수 없다. 보관 위치만 나누고 같은 사람이 제한 없이 합칠 수 있게 하는 방식도 실제 분리·접근 통제로 충분한지 확인해야 한다.⁶

서로 다른 처리자의 가명정보를 결합한다면

법 제28조의3은 통계·연구·공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간 가명정보 결합을 지정 전문기관이 수행하도록 한다. 결합기관 밖으로 반출하려면 가명정보 또는 제58조의2에 해당하는 정보로 처리하고 전문기관장의 승인을 받아야 한다. 단순히 같은 해시값으로 바꾸었으니 두 기관이 마음대로 합칠 수 있다고 설명하지 않는다.⁷

FL-R1에 다른 기관이 보유한 자료를 사람 단위로 연결하려는 계획이 추가되면, 두 자료의 처리자와 결합 행위·목적이 이 요건에 해당하는지 먼저 확인한다. 해당한다면 결합 신청·처리·반출 심사와 필요한 안전조치를 따른다. 기관 전체의 통계 결과를 비교하는 일과 개인 단위 자료를 연결하는 일을 같은 결합이라고 단정하지 않는 것도 중요하다.

제28조의4는 추가정보의 분리·보관·관리 등 안전조치와 처리내용 기록을 연결한다. 목적을 고려해 별도 처리기간을 정할 수 있고, 가명정보를 파기한 경우 관련 처리 기록은 파기일부터 3년 이상 보관해야 한다. 이 기록의 보관기간을 가명 원자료의 일률적 보유기간으로 바꾸지 않는다. 제28조의5는 특정 개인을 알아보기 위한 처리를 금지하고, 처리 중 개인을 알아볼 수 있는 정보가 생성되면 즉시 그 처리를 중지하고 지체 없이 회수·파기하도록 한다.⁸

권리·통지 특례가 모든 책임의 면제는 아니다

제28조의7은 제28조의2 또는 제28조의3에 따라 처리된 가명정보에 대해 적용하지 않는 조항을 열거한다. 2026년 9월 11일 시행 판본에서는 제34조제1항·제2항의 실제 유출등·가능성 통지 등이 그 목록에 들어 있다. 열람·정정 등도 각 해당 조항의 적용범위를 따라 구별한다.⁹

그러나 기관 신고인 제34조제4항과 안전조치·피해 제한까지 모두 지운 목록은 아니다. 가명정보가 침해된 경우에는 해당 특례의 요건과 남는 신고·보호 의무를 따로 대조해야 한다. 모든 이름 삭제 파일에 이 특례를 붙이거나, 통지를 위해 일부러 개인을 다시 알아보려는 처리도 경계해야 한다.

이 특례가 정보주체를 무시해도 된다는 의미는 아니다. 목적·안전·재식별 금지·기록과 필요한 감독이 남는다. 가명자료의 특례와 아직 식별 가능한 원본의 처리·권리 대응을 한꺼번에 면제하지 않는다.

6. 사건은 실제 유출등·법정 가능성·기관 신고로 나누어 읽는다

2026년 개정 법 제23조제2항에서 묶어 부르는 유출등에는 분실·도난·유출뿐 아니라 위조·변조·훼손이 포함된다. 유출등이 발생했음을 알게 됐을 때의 실제 통지, 대통령령이 정한 가능성 통지, 피해 제한, 기관 신고는 법 제34조의 서로 다른 항에 놓여 있다. 단순히 파일이 밖으로 나갔는지만 보거나 구판의 항 번호를 그대로 쓰면 판단이 틀어질 수 있다.¹⁰

가능성 통지의 첫 유형은 처리시스템이나 개인정보취급자의 처리 기기에 불법 접근이 발생하여 유출등이 의심되지만 정보주체를 특정하기 곤란한 경우다. 둘째 유형은 위법한 제3자 거래 등 일부 유출등이 확인되고 다른 사람의 정보도 유출등이 되었을 수 있다고 인정되는 경우다. 시행령 제39조의2는 각 사실을 알게 된 때를 구별한다. 일반적인 의심 이메일이나 취약점 발견이 모두 이 두 유형이라고 자동 판정하지 않는다.¹¹

실제 통지는 법의 지체 없는 통지와 시행령 제39조의 원칙적 72시간 이내 규칙을 함께 읽는다. 가능성 통지는 제39조의3에 따라 제39조의2가 정한 인지 시점부터 72시간 이내다. 같은 숫자를 사용하지만 알게 된 사실과 대상이 다르다. 실제로 누가 언제 어떤 사실을 알았는지 기록해야 두 시계를 구별할 수 있다.¹²¹¹

7. 1천 명은 모든 대응의 최소 인원이 아니다

시행령 제40조의 신고는 실제 유출등이 있고 다음 세 조건 중 어느 하나에 해당하는지를 본다. 1천 명 이상인지, 민감정보 또는 고유식별정보인지, 처리시스템·처리 기기에 대한 외부의 불법 접근에 의한 것인지다. 원칙적으로 알게 된 때부터 72시간 이내에 신고한다.¹³

다음 FL-I1은 법34① 통지 특례가 없는 일반 개인정보 사건을 가정하며, 회수·삭제에 따른 신고 예외와 기한 예외는 적용하지 않는다고 정한다. 기기 식별코드처럼 명칭에 ‘식별’이 있다는 이유만으로 법정 고유식별정보라고 분류하지 않고 해당 법정 범위를 확인한다.

신고에는 천재지변 등 부득이한 사유로 기한 내 신고가 곤란한 경우의 처리와, 경로가 확인되고 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아진 경우의 예외가 있다. 삭제 요청 메일을 보냈다는 사실만으로 예외가 성립했다고 단정하지 않는다. 어느 자료가 어디에 남았고 실제 위험이 어떻게 바뀌었는지 대조한다.¹³

실제 통지의 긴급 확산방지 조치 사유, 가능성 통지의 부득이한 사유, 신고의 예외는 서로 문구와 범위가 다르다. 한 절차의 예외를 다른 절차의 기한 정지로 복사하지 않는다. 예외가 불명확하면 즉시 사실·조문 확인과 담당 협의를 진행하되, 필요한 보호조치까지 아무것도 하지 않는 이유로 삼지 않는다.

8. 무엇을 알릴지와 후속 확인도 사건별로 연결한다

실제 유출등 통지에는 항목·시점·경위, 정보주체가 할 수 있는 구체적인 피해 예방 방법, 처리자의 대응·구제절차, 담당 연락처가 필요하다. 2026년 개정은 손해배상·법정손해배상·분쟁조정 등 피해자의 법적 권리와 행사 방법에 관한 정보도 연결한다. 모든 사건에 똑같은 비밀번호 변경 문구만 붙이지 말고 실제 정보 유형과 가능한 피해에 맞춰 설명한다.¹⁰

항목·시점 등의 구체 내용이 아직 확인되지 않았다면 확인된 사실과 필요한 정보를 먼저 알리고 추가 확인 내용을 이어서 통지하는 규칙을 따른다. 시행령 제39조제2항의 실제 통지와 제40조제2항의 우선 신고가 요구하는 사항도 각각 읽는다. 최종 원인보고서가 없다는 이유로 최초 통지·신고를 무조건 미루지 않는다.¹²¹³

가능성 통지는 가능성이 있는 항목, 의심·인정되는 시점과 경위, 예방·대응·문의 정보와 실제 유출등 확인 시의 추가 통지 안내를 담는다. 가능성 통지 기한 안에 실제 유출등을 확인하면 실제 통지로 갈음하는 규정을 적용하고, 이미 가능성을 통지한 뒤 실제 유출등이 없었다고 확인되면 그 사실도 즉시 알린다. 미확인인 상태를 ‘유출 없음’으로 표현하지 않는다.¹¹

연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 법과 시행령이 정한 대체 통지 방법을 검토한다. 홈페이지 30일 이상 게시 등의 규정은 해당 사유와 내용을 갖추어 사용하는 것이지, 연락 가능한 사람에게도 편의상 공지만 올리면 된다는 규칙이 아니다. 발송·반송·대체 방법의 근거와 실제 조치를 구분한다.¹²¹¹

9. 따라 판단 FL-I2: 두 인지 시점과 겹치는 대상

모든 시각은 한국 표준시이며, 아래 사실이 각각 법정 요건을 충족한다고 확인된 가정이다. 해당 정보는 가명정보 특례 대상이 아니고 특별한 기한 예외도 없다. 시각은 실제 사건 기록이 아니라 현재 법규를 적용하는 교육용 상황이다.

09월 20일 09:00부터 72시간을 단순히 더하면 09월 23일 09:00이다. 09월 21일 15:00부터 72시간을 더하면 09월 24일 15:00이다. 두 사실의 인지 간격은 30시간이다. 나중 시각을 알게 됐다고 앞서 발생한 통지의 시계를 새로 시작하지 않는다. 이 사례는 가능성 안내를 2시간 뒤 시작하고 실제 확인 뒤에는 1시간 뒤 추가 통지·신고하는 조치로 구성했다.

가능성 대상 2,000명 안에 실제 확인된 240명이 포함돼 있으므로 둘을 더해 ‘영향받은 고유 인원 2,240명’이라고 쓰면 중복이다. 240명은 실제 확인 범위이고 나머지 1,760명은 확인되지 않은 범위다. 나머지가 모두 안전하다고 확인한 것은 아니다. 조사 범위가 커지거나 새로운 사실이 생기면 대상·내용·조치를 갱신한다.

발송률과 실제 안내 상태의 분모도 나눈다

11:00 가능성 안내 단계에서 직접 연락처가 있는 1,800명에게 발송해 1,700명은 전달 기록이 있고 100명은 반송됐다고 하자. 나머지 200명은 연락처를 알 수 없어 정당한 사유와 대체 통지 방법을 검토하고 있다. 아직 대체 통지를 수행했다고 가정하지 않는다.

발송 시도 집단의 전달 기록 비율은 1,700/1,800≈94.44%다. 전체 가능성 대상 중 전달 기록을 확보한 비율은 1,700/2,000=85%다. 남는 대상은 반송 100명과 연락처 미확인 200명, 합계 300명이다. 이 비율은 안내 작업의 상태이지 전체 법적 의무 준수율이나 모두 읽었다는 비율이 아니다.

반송된 사람은 다른 적법한 연락 경로를 확인하고, 연락처를 알 수 없는 경우는 대체 방법의 요건과 실행을 기록한다. 이후 실제 유출이 확인된 240명의 통지·신고도 별도로 추적한다. ‘1,800건 발송 성공’ 같은 한 숫자로 반송·미확인·후속 통지를 지우지 않는다.

다음은 절차 순서가 아닌 처리별 질문의 대응표다. FL-3처럼 한 처리에 여러 행의 검토가 함께 필요할 수 있다.

사건 대장은 정보주체 식별자마다 ‘실제 유출 확인 여부’와 ‘가능성 안내 전달 여부’를 별도 열로 둔다. 첫 열의 확인 240명과 둘째 열의 후속 미완료 240명은 다른 질문의 결과다. 이름표 없이 수만 비교하면 어느 사람에게 추가 실제 통지와 안내 재시도가 필요한지 찾을 수 없다.

10. 실제 처리안 FL-G1: 흐름별 근거와 중단 조건을 정한다

FL-G1은 새봄시의 신청 운영과 결과 안내를 위한 처리만 기본 범위로 둔다. FL-1 운영업체는 지시된 접수·통지에 필요한 항목만 처리하고, 업무·수탁자 공개와 문서·권한·기록·교육·감독을 연결한다. 재위탁은 실제 업무와 업체를 확인한 위탁자 동의를 거치며, 변경·종료·사본 처리와 사건 통보 협력을 계약에 둔다.

FL-2의 제휴 광고는 기존 공공 신청업무와 목적이 다르고 추가 근거가 확인되지 않아 전송을 보류한다. 다른 목적을 위해 자료를 일단 보낸 뒤 동의·공개를 사후에 맞추는 안은 기각한다. 제공할 필요가 생기면 목적·수령자·항목·기간과 제공 근거를 새로 대조한다.

FL-3은 해외업체라는 이름만으로 승인·금지하지 않고 실제 보관·지원·제3국 이전을 조사한다. 이 공공업무에서 정보주체와의 계약에 필요한 위탁·보관이라는 조건은 아직 입증되지 않았으므로 제28조의8제1항제3호를 근거로 자동 승인하지 않는다. 적법한 이전 경로·필수 공개/통지·수령자의 보호를 확인하기 전에는 해당 국외 처리를 시작하지 않고, 검토된 국내 처리 범위를 유지한다. 이것은 모든 사업에 국내 보관이 법정 의무라는 결론이 아니라 이 사례의 미확인에 따른 선택이다.

FL-4 연구는 통계 목적·필요 항목·가명처리·추가정보 분리와 제공 조건을 확인한다. 서로 다른 처리자의 자료 결합이 필요하면 전문기관·반출 승인 경로를 적용하고, 결과로 개인이 드러나면 처리 중지·회수·파기를 수행한다. 가명자료 파기와 관련 처리 기록의 보관을 구별한다.

사건 대응 담당은 실제 사실과 가능성의 인지 시점을 분리해 기록한다. 개인정보 담당은 통지·신고·특례·기한을, 보안·운영 담당은 접근 차단·자료 보존·회수·복구와 실제 결과를, 업무 책임자는 이용자 대응·서비스 지속과 필요한 자원을 맡는다. 위탁자는 수탁자에게 기다리지 말고 정해진 협력 경로로 사실과 미확인을 전달하도록 요구한다. 어느 한쪽의 보고가 법정 책임을 모두 끝냈다고 보지 않는다.

산출물은 처리별 역할·근거표, 위탁·재위탁 대장과 문서, 공개·통지 문안, 국외 이동·보호 조건표, 가명 활용·결합·파기 기록, 사건별 시계·대상·통지/신고·잔여 조치표다. 확인되지 않은 국가·수령자, 목적 외 이용, 전문기관 절차 누락, 법정 통지 미실행, 재식별 가능성 은폐가 있으면 영향을 받는 처리를 중단·보류하고 수정·확인한다. 이 설계의 실행 결과는 별도 증거로 확인해야 한다.

11. 자체 10점 문제와 완성 답안

FL-1·FL-2·FL-3의 법적 검토를 구별하고, 외부 불법 접근으로 240명의 일반 개인정보 유출을 확인한 FL-I2의 통지·신고 판단을 설명하시오.

짧은 설명의 목차·풀이·완성 답안 보기

목차: 목적·역할과 위치 → 처리별 근거 → 인지 사실·기한·대상.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

2026-09-20 09:00 가능성 2,000명의 시계는 09-23 09:00까지, 09-21 15:00 실제 확인 240명의 시계는 09-24 15:00까지다. 이후 인지로 앞 시계를 초기화하지 않는다. 240명은 2,000명 안의 부분집합이며 1,760명은 안전 확인이 아닌 미확인이다. 실제 외부 불법 접근은 규모가 1천 명 미만이어도 해당 신고 조건을 대조한다. 실제 통지와 기관 신고는 같은 실제 유출 인지에서 각각 시작하며, 통지 완료를 신고의 선행조건으로 두지 않는다. 두 통지 경로와 기관 신고는 각각 미확인·반송·추가 확인을 후속 조치로 연결한다.

완성 답안

FL-1은 기관의 지시에 따라 접수·통지를 처리하는 위탁으로, 최초 처리근거 외에 법 제26조의 문서·공개·교육·감독·범위 제한을 연결한다. 재위탁에는 위탁자의 동의가 필요하다. FL-2의 자체 광고는 같은 위탁이 아니므로 제공·목적 외 처리의 근거와 고지·동의를 별도로 검토하며, 근거가 없는 현재 계획의 전송은 보류한다.

FL-3의 해외 보관·원격 지원은 위탁 여부에 추가하여 국외 이전 요건을 검토한다. 법 제28조의8제1항제3호는 정보주체와의 계약에 필요한 처리위탁·보관과 정한 공개·통지를 요구한다. 해외업체와 구매계약을 했다는 사실이나 자체 광고 제공에는 자동 적용되지 않는다. 국가·수령자·항목·목적·기간·거부 정보와 보호조치를 확인한다.

FL-I2는 2,000명의 가능성을 인지한 시점과 그중 240명의 실제 유출을 확인한 시점이 다르다. 외부 불법 접근에 의한 실제 유출이면 1천 명 미만이어도 시행령 제40조의 해당 신고 조건을 충족한다. 실제 정보주체 통지와 기관 신고를 각각 수행하고 기존 가능성 안내도 추적한다. 240명은 2,000명에 포함되므로 합산하지 않으며 나머지는 안전 확인이 아니라 미확인이다. 72시간을 기다릴 허가로 쓰거나 나중 인지로 앞 기한을 초기화하지 않는다.

12. 자체 25점 문제와 완성 설계 답안

새봄시의 외부 처리와 연구 활용·사고 대응을 FL-G1로 설계하시오. 위탁·제3자 제공·국외 이전·가명정보의 요건, 책임·산출물과 통지·신고·중단을 포함하시오.

사례 적용의 목차·풀이·완성 답안 보기

목차: 처리 흐름·주체 → 근거와 보호 → 가명 활용·결합 → 사건 시계·조치·책임.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

운영 수탁자는 시의 지시 범위에서 접수·통지를 처리한다. 재위탁은 위탁자의 동의·공개·감독을 연결한다. 업체의 자체 광고는 별도 제공 근거가 없어 보류하며, 가명 통계·연구는 목적·추가정보·결합·반출 조건을 대조한다. 국외 이전은 이 역할 구분에 추가되는 독립된 질문이다.

완성 설계 답안

FL-G1은 접수·통지의 업무를 위탁하는 FL-1, 제휴사의 자기 광고 FL-2, 해외 보관·지원 FL-3, 가명 통계·연구 FL-4를 별도 행으로 관리한다. 기관의 행정정보 이용 권한을 업체의 자체 이용 권한으로 넘기지 않는다. 같은 업체라도 처리 목적이 다르면 근거와 역할을 나눈다. 위탁/제공과 국내/국외는 독립된 축이며 최초 수집의 동의가 모든 후속 처리를 허용하지 않는다.

위탁에는 목적·범위·보호·재위탁·변경·종료·사고 협력을 문서화하고 업무와 수탁자를 공개한다. 기관은 교육·실제 처리 점검과 감독을 하며 수탁자는 범위 초과 이용·제공을 하지 않는다. 재위탁은 위탁자 동의와 실제 업체·위치·업무를 연결한다. 제휴 광고는 근거가 없어 전송을 보류한다. 국외 처리는 국가·수령자·접근·보관·제3국 흐름과 법 제28조의8의 경로를 대조한다. 이번 공공업무의 계약 필요성은 확인되지 않았으므로 제3호로 승인하지 않고, 적법한 근거·고지와 안전·권리보호 조치가 확보될 때까지 해당 처리를 시작하지 않는다.

연구는 통계 목적과 필요한 항목, 가명처리·추가정보 분리·제공 제한을 확인한다. 서로 다른 처리자의 가명자료를 결합하는 경우 지정 전문기관과 반출 승인 조건을 따르고, 개인을 알아볼 수 있는 정보가 생성되면 처리 중지·회수·파기를 한다. 원자료의 처리기간과 파기 후 관련 기록 3년 이상 보관은 구별한다. 법 제28조의7의 통지 특례를 안전조치나 기관 신고 전체의 면제로 확대하지 않는다.

FL-I2는 가능성 2,000명의 인지와 실제 확인 240명의 인지를 별도 시계로 관리하고, 확인 범위·항목·권리·구제 정보를 알린다. 외부 불법 접근 조건이 있으므로 240명의 실제 유출도 기관 신고를 판단한다. 가능성 안내 발송 1,800명 중 전달 기록 1,700명은 94.44%지만 전체 대상의 85%이며, 남은 반송·연락 불가 300명과 후속 실제 통지를 추적한다. 개인정보 담당은 법적 판단·통지/신고, 보안·운영 담당은 차단·보존·회수·복구, 업무 책임자는 이용자 대응·서비스 지속·자원을 맡는다. 역할·근거·위탁/이전·연구·사건 조치표를 유지하고 근거 부재·목적 이탈·재식별·통지 누락을 발견하면 관련 처리를 보류·시정한다.

13. 자기교정

조건을 바꾸어 다시 판단한다

FL-3의 같은 업체가 기관 자료로 자기 광고 모델도 학습한다면?

조건 변경의 풀이와 판단 보기

기관의 업무 수행을 위한 위탁·보관과 다른 목적이다. 해당 입력·이용·제공의 별도 근거를 확인하고, 기존 계약 필요성 경로로 자동 승인하지 않는다. 역할과 국외 이전을 함께 다시 판단한다.

FL-I1의 일반 오발송이 999명에서 1,000명으로 바뀌면?

조건 변경의 풀이와 판단 보기

다른 가정과 신고 예외가 같다면 규모 조건으로 신고 대상이 된다. 999명인 경우에도 실제 통지·피해 제한까지 없었던 것은 아니다. 같은 사건의 레코드 수가 아니라 정보주체 수인지도 확인한다. 신고 조건을 대입한다.

반송 100명 중 60명에게 후속 안내의 전달 기록이 생겼다면?

조건 변경의 풀이와 판단 보기

전체 가능성 대상의 직접 전달 기록은 1,760/2,000=88%다. 아직 남은 것은 반송 40명과 연락처 미확인 200명, 총 240명이다. 이 240명과 실제 유출 확인 240명이 같은 사람들이라고 가정할 수 없으며 대체 통지·추가 통지는 별도 추적한다. 안내 상태의 대상 식별자를 유지한다.

근거와 판본·검토 범위

기준일은 2026-09-20이며 이 절의 현재 법률 기준은 제21445호(2026-03-10 공포, 주된 시행 2026-09-11), 시행령은 제36671호(2026-09-10 공포, 2026-09-11 시행)다. 제21445호 부칙 제2조는 제34조제1항·제4항과 제2항을 시행 이후의 해당 인지에 연결하고, 제3항은 시행 이후의 유출등에 적용한다. 이 절의 FL-I2는 모두 그 시행 뒤의 가상 사건이다. 기존 사건에 현재 조문을 기계적으로 소급하지 않는다.

법률 제21445호의 제32조의2제1항 단서·제75조제2항제15호는 2027-07-01 별도 시행이므로 현재 모든 처리자가 그 개정 인증 의무를 부담한다고 적지 않는다. 검색에 공포됐지만 시행 전인 후속 개정이 나오더라도 현재 허용 근거로 사용하지 않는다. 모든 하위 고시·해외 인정 대상·개별 계약·산업별 특별법과 2027년 시험일 전체 판본을 전수 감수한 것은 아니다.

공식 웹의 현재·연혁·개정문을 대조하고, 동적 조문이 구판을 반환하거나 열리지 않는 부분은 저장소에 이미 보존된 해당 판본의 공식 HTML을 읽었다. 원 관찰일과 보존파일을 갱신하거나 새로운 원문 전문을 취득·보존했다고 표시하지 않았다. 아래 현재 조문 위치와 보존 판본을 함께 식별하며, 이 절의 자체 표·그림·시간·문제·답안은 원문 서식의 복제가 아니다. 실제 사고 조사·신고·기관 승인·독립 법률 감수·시스템 시험을 수행한 기록도 아니다.

회독의 핵심

누구의 목적을 위해 무엇을 처리하는지와 어느 나라에서 누가 접근·보관하는지를 분리한다. 위탁·제공·국외 이전·가명 활용은 각각의 근거와 보호를 연결하며 하나의 계약·동의·기술로 모두 끝내지 않는다. 사건에서는 인지 사실·시계·대상·통지·신고·피해 제한을 나누고, 보고나 발송의 숫자를 실제 해소와 같은 것으로 쓰지 않는다.

Footnotes

1. 국가법령정보센터, 「개인정보 보호법」 제26조제1항~제8항. https://www.law.go.kr/LSW/lsLawLinkInfo.do?chrClsCd=010202&lsJoLnkSeq=900079880 의 공개 조문과 법률 제21445호 공식 본문 보존본을 대조했다. 위탁 문서·공개·홍보/판매권유 통지·교육/감독·재위탁 동의·준용 및 책임의 해당 범위를 사용했다. 시행령의 구체 문서·공개 방법은 제28조와 연결한다. ↩ ↩² ↩³ ↩⁴

2. 「개인정보 보호법」 제17조와 시행령 제14조의2. 현재 법률 식별 위치 https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839 . 기존 공식 본문 보존본의 제17조를 대조하고, 제공 근거·고지와 합리적 관련 범위 추가 제공을 구별했다. 개별 업체의 정당한 처리 여부를 승인하는 목록이 아니다. ↩ ↩² ↩³ ↩⁴

3. 같은 법 제28조의8~제28조의11. https://law.go.kr/lsLinkCommonInfo.do?lsJoLnkSeq=1020398611 의 반환 제20897호 문구와 제21445호 본문·개정 범위를 함께 읽었다. 다섯 이전 경로·법정 고지·다른 보호 의무·제3국 준용을 사용하며 특정 인증·국가의 최신 인정 여부는 별도 확인한다. ↩ ↩² ↩³ ↩⁴

4. 같은 법 제18조·제19조. 목적 외 처리의 제한·예외·수령자 제한을 제21445호 본문과 이전 제19234호 개정문에서 대조했다. 개정문 https://www.law.go.kr/LSW/lsRvsDocListP.do?chrClsCd=010202&lsId=011357&lsRvsGubun=all . 예외 전체의 개별 사건 판단을 수행한 것이 아니다. ↩ ↩²

5. 같은 법 제28조의8제4항·제5항, 제28조의9와 시행령 제29조의10. 시행령 현재 판본 식별 위치 https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=289537 . 보호조치의 사전 협의·계약 반영은 해당 조문 범위에서 사용했다. ↩

6. 같은 법 제28조의2. 기존 공식 본문 보존본에서 목적·동의 특례와 특정 개인을 알아보기 위한 정보의 제공 제한을 대조했다. 가명처리의 정의·기술적 경계는 가명·익명·PET의 설명을 함께 따른다. ↩ ↩²

7. 같은 법 제28조의3제1항·제2항. 서로 다른 처리자 간 결합의 전문기관 수행과 반출 처리·승인의 조건을 사용했다. 모든 결합 절차·전문기관별 세부 심사기준을 승인한 것은 아니다. ↩

8. 같은 법 제28조의4·제28조의5. 추가정보 분리·안전조치·별도 처리기간·파기 후 처리기록 3년 이상 보관과 재식별 목적 금지·식별정보 생성 시 조치를 대조했다. ↩

9. 같은 법 제28조의7과 제21445호 개정문. 제34조제1항·제2항의 적용 제외를 제4항 신고까지 확대하지 않는다. 특례의 대상은 제28조의2 또는 제28조의3에 따라 처리된 가명정보다. ↩

10. 같은 법 제23조제2항·제34조 및 제21445호 부칙 제1조·제2조. 실제 유출등 통지·가능성 통지·피해 제한·기관 신고와 인지/발생 적용례를 개정문·본문에서 확인했다. 구판의 신고 제3항을 현행 신고 항 번호로 쓰지 않는다. ↩ ↩²

11. 같은 시행령 제39조의2·제39조의3. 불법 접근/대상 특정 곤란, 일부 유출 확인/다른 주체 가능성의 인지 구분, 72시간과 실제 확인·유출 없음 확인의 후속 안내 및 대체 방법을 보존 원문에서 대조했다. ↩ ↩² ↩³ ↩⁴

12. 「개인정보 보호법 시행령」 제39조, 대통령령 제36671호의 기존 공식 HTML 보존본. 실제 통지의 72시간·예외·우선/추가 통지·대체 게시를 읽었다. 다른 통지·신고 절차로 예외를 자동 확장하지 않는다. ↩ ↩² ↩³

13. 같은 시행령 제40조제1항·제2항. 실제 유출등의 세 신고 조건, 72시간, 기한·위험감소 예외와 우선 신고·추가 확인을 대조했다. 개인정보위·KISA 공식 안내의 규모·정보유형·외부 불법 접근 구별도 참고하되 구판의 항 번호보다 현행 제34조제4항을 사용한다. https://www.kisa.kr/1030402 . ↩ ↩² ↩³