※ 본 게시글의 예상문제는 AI를 활용하여 새롭게 제작한 비공식 예상문제입니다. 실제 시험 문제와 무관하며, 학습 참고용으로 작성되었습니다.
문제 1. 개인정보의 정의와 결합 가능성
온라인 서비스 기업 A사는 회원의 서비스 이용행태를 분석하기 위해 별도의 분석 데이터베이스를 운영하고 있다. 분석 데이터베이스에는 성명과 전화번호가 저장되지 않고, 8자리의 고객식별키, 접속 시각, 이용한 서비스 메뉴와 같은 정보만 저장되어 있다.
A사는 회원관리 데이터베이스를 별도로 보유하고 있으며, 분석 데이터베이스의 고객식별키와 회원관리 데이터베이스의 회원번호를 연결할 수 있는 대응표도 내부 시스템에 보유하고 있다. 이 연결은 A사의 통상적인 업무 절차로 가능하고 별도의 고도의 기술이나 상당한 비용을 필요로 하지 않는다.
이 경우 분석 데이터베이스에 저장된 정보에 대한 설명으로 가장 정확한 것은?
① A사가 보유한 다른 정보와 쉽게 결합할 수 있으므로 개인정보에 해당한다.
② 분석 데이터베이스 자체로 개인을 확인할 수 없으므로 개인정보에 해당하지 않는다.
③ 고객식별키를 실제 회원과 연결해 본 경우에만 개인정보로 볼 수 있다.
④ 난수형 식별키를 사용했으므로 해당 정보는 익명정보로 처리되어야 한다.
⑤ 성명 등 직접식별정보를 추가하지 않는 한 개인정보가 될 수 없는 정보이다.
정답: ①
해설
이 문제의 핵심은 개인정보 해당 여부를 하나의 데이터베이스만 떼어 놓고 판단하지 않는 것입니다.
현행 「개인정보 보호법」 제2조제1호나목은 해당 정보만으로 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보를 개인정보에 포함합니다. 이때 쉽게 결합할 수 있는지는 다른 정보의 입수 가능성뿐 아니라 개인을 알아보는 데 소요되는 시간·비용·기술 등을 합리적으로 고려하여 판단합니다.
이 사례에서 A사는 분석 데이터베이스와 회원관리 데이터베이스를 별도로 운영하고 있지만, 두 데이터를 연결할 수 있는 대응표를 이미 보유하고 있습니다. 또한 그 결합이 통상적인 업무 절차로 가능하고 특별한 기술이나 큰 비용을 필요로 하지 않습니다.
따라서 분석 데이터베이스에 성명이 직접 들어 있지 않다는 사실만으로 개인정보성이 부정되는 것이 아니라, 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있다는 전체적인 처리환경을 기준으로 개인정보에 해당한다고 판단하는 것이 타당합니다.
또한 현행법의 가명정보는 제2조제1호다목에 별도로 정의되어 있습니다. 가명처리를 했다는 사정만으로 개인정보라는 성격이 당연히 사라지는 것이 아니며, 가명정보 역시 개인정보 보호법의 체계 안에서 관리됩니다. 반대로 제58조의2는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용해도 더 이상 개인을 알아볼 수 없는 정보에 대하여 법 적용을 제외하는 규정이므로, 이 사례와는 구별해야 합니다.
오답 해설
① 정답입니다.
분석 데이터베이스 자체만 보면 직접 식별정보가 없지만, A사가 보유한 대응표를 통해 개인을 쉽게 식별할 수 있습니다. 개인정보의 판단에서는 이러한 결합 가능성을 함께 고려합니다.
② 틀렸습니다.
개별 데이터베이스만으로 식별되지 않는다는 사실은 충분한 판단 기준이 아닙니다. 다른 정보와 쉽게 결합할 수 있다면 개인정보에 포함될 수 있습니다.
③ 틀렸습니다.
실제로 특정 회원을 한 번 연결해 보았는지가 기준이 되는 것은 아닙니다. 합리적으로 판단했을 때 다른 정보와 쉽게 결합하여 개인을 알아볼 수 있는지가 중요합니다.
④ 틀렸습니다.
난수형 식별키를 사용했다는 이유만으로 익명정보가 되는 것은 아닙니다. 추가 정보나 다른 정보와의 결합을 통해 개인을 알아볼 수 있다면 개인정보가 될 수 있습니다.
⑤ 틀렸습니다.
개인정보는 성명이나 주민등록번호 같은 직접식별정보에 한정되지 않습니다. 간접적으로 식별할 수 있는 정보도 개인정보가 될 수 있습니다.
핵심 포인트
개인정보 해당 여부는 직접 식별 가능성만으로 판단하지 않습니다.
다른 정보와 쉽게 결합할 수 있는지와 그에 필요한 시간·비용·기술 등을 함께 살펴야 합니다.
난수형 식별자나 별도 키를 사용했다고 해서 자동으로 익명정보가 되는 것도 아닙니다.
시험에서는 “이 DB만 보면 누구인지 알 수 없다”는 사실을 제시한 뒤 결합 가능성을 판단하게 하는 방식에 주의해야 합니다.
관련 법령·기준
- 「개인정보 보호법」 제2조제1호
- 「개인정보 보호법」 제2조제1호다목: 가명정보
- 「개인정보 보호법」 제58조의2: 적용제외
- CPPG 공식 출제기준: 개인정보보호의 이해 → 개인정보의 개요 → 개인정보의 정의·유형·특성
출제 의도
“개인정보 = 이름이나 주민등록번호가 들어 있는 정보”라는 단순한 이해를 배제하고, 결합 가능성을 포함한 개인정보 해당성 판단 능력을 확인하기 위한 문제입니다.
난이도
중급
문제 2. 개인정보보호 관련 규범의 법적 성격
기업 B사는 개인정보 보호 관련 내부 기준을 정비하기 위해 다음 자료를 함께 검토하고 있다.
- 「개인정보 보호법」
- 「개인정보 보호법 시행령」
- 「개인정보의 안전성 확보조치 기준」
- 개인정보보호위원회의 표준 개인정보 보호지침
법무팀은 네 자료가 모두 개인정보 보호를 위한 공식 기준이므로 동일한 수준의 법적 효력을 가진다고 주장하고 있다.
이에 대한 설명 중 가장 정확한 것은?
① 시행령은 법률과 같은 수준이므로 두 규범의 효력 차이를 구별할 필요가 없다.
② 안전성 확보조치 기준은 법률과 동일한 형식의 규범으로 모든 사업자에게 직접 적용된다.
③ 표준 개인정보 보호지침은 보호위원회가 정하므로 이를 따르지 않으면 법률 위반이 된다.
④ 내부 규정은 사업자가 더 엄격하게 정한 경우 법률보다 우선하여 적용할 수 있다.
⑤ 안전성 확보조치 기준은 위임에 따른 행정규칙이고 표준지침은 법에서 준수를 권장할 수 있도록 한 기준이다.
정답: ⑤
해설
개인정보보호 실무에서 사용되는 모든 문서가 동일한 법적 지위를 가지는 것은 아닙니다.
「개인정보의 안전성 확보조치 기준」은 국가법령정보센터에서 행정규칙이자 위임행정규칙으로 확인됩니다. 현행 고시 제2026-9호 제1조는 「개인정보 보호법」 제29조 및 시행령 제16조제2항, 제30조, 제30조의2에 근거하여 개인정보 안전성 확보에 필요한 기술적·관리적·물리적 안전조치의 최소 기준을 정한다고 규정하고 있습니다.
반면 「개인정보 보호법」 제12조는 개인정보보호위원회가 개인정보 처리의 기준과 침해 예방조치 등에 관한 표준 개인정보 보호지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있도록 규정하고 있습니다. 따라서 표준지침이 공식적으로 만들어진 문서라고 하더라도 법률 자체와 동일한 법적 지위를 갖는다고 볼 수 없습니다.
즉, 시험에서는 단순히 “공식 문서인가?”만 보는 것이 아니라 법률인지, 대통령령인지, 위임에 따른 고시인지, 준수를 권장하는 지침인지를 구분해야 합니다.
오답 해설
① 틀렸습니다.
시행령은 대통령령으로서 법률의 위임 또는 집행에 관한 사항을 정하는 하위 법령입니다. 법률과 동일한 단계의 규범이라고 볼 수 없습니다.
② 틀렸습니다.
안전성 확보조치 기준은 법률과 동일한 형식이 아니라 법률과 시행령에 근거하여 세부 안전조치 기준을 정하는 위임행정규칙입니다.
③ 틀렸습니다.
현행 「개인정보 보호법」 제12조는 표준 개인정보 보호지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다고 규정합니다. 표준지침을 따르지 않았다는 사실만으로 곧바로 해당 지침 자체의 위반이 법률 위반이 되는 것은 아닙니다.
④ 틀렸습니다.
내부 규정은 조직 내부의 기준으로 활용할 수 있지만 법률보다 우선하는 규범이 될 수는 없습니다. 더 엄격한 내부 기준을 세울 수 있다는 것과 법적 위계가 변경된다는 것은 다른 문제입니다.
⑤ 정답입니다.
안전성 확보조치 기준은 상위 법령의 위임에 따른 행정규칙이고, 표준 개인정보 보호지침은 법률에서 준수를 권장할 수 있도록 규정한 기준입니다. 두 문서는 모두 실무상 중요하지만 법적 성격은 다릅니다.
핵심 포인트
CPPG에서는 법률·시행령·고시·지침의 법적 성격을 구별해야 합니다.
「개인정보의 안전성 확보조치 기준」은 법 제29조와 시행령 등에 근거한 위임행정규칙입니다.
표준 개인정보 보호지침은 법 제12조에 따라 준수가 권장되는 기준입니다.
“공식 기준”이라는 이유만으로 모두 동일한 법적 효력을 갖는다고 판단하면 안 됩니다.
관련 법령·기준
- 「개인정보 보호법」 제12조
- 「개인정보 보호법」 제29조
- 「개인정보 보호법 시행령」 제30조
- 「개인정보의 안전성 확보조치 기준」 제1조
- 「개인정보의 안전성 확보조치 기준」 개인정보보호위원회고시 제2026-9호
출제 의도
개인정보보호 관련 자료를 실무상 중요하다는 이유만으로 동일한 법적 효력을 가진다고 이해하지 않는지를 확인합니다. 법령의 위계와 행정규칙의 성격을 함께 판단하는 문제입니다.
난이도
중상급
문제 3. 계약 이행에 필요한 개인정보와 추가 정보 수집
온라인 교육서비스 사업자 C사는 유료 강의 서비스를 제공하고 있다. 이용자가 강의를 신청하면 C사는 계정 생성과 강의 이용을 위해 성명과 이메일 주소를 처리한다. 이용자가 인쇄 교재를 선택한 경우에는 교재 배송을 위해 배송주소도 처리한다.
C사는 앞으로 기업고객 영업에 활용하기 위해 이용자의 소속회사명, 직급 및 개인적인 관심분야까지 수집하려고 한다. 이 세 항목은 강의 제공이나 교재 배송에 필요하지 않으며, C사는 이 추가 정보에 대해서는 별도의 선택 동의 절차를 마련하였다. 선택 동의 화면에는 이용자가 추가 정보 수집에 동의하지 않을 수 있다는 내용도 안내하고 있다.
이용자가 추가 정보 수집에 동의하지 않은 경우 C사의 처리 방법으로 가장 적절한 것은?
① 추가 정보가 없으면 향후 영업에 불편하므로 강의 이용 자체를 제한한다.
② 계약 이행에 필요한 정보는 동의 없이 처리하고, 추가 정보는 별도 동의 여부에 따라 선택적으로 처리한다.
③ 계약이 체결된 이용자라면 강의와 무관한 정보도 계약 이행을 위해 수집할 수 있다.
④ 최소수집 원칙 때문에 계약 이행에 필요한 성명과 이메일도 별도 동의 없이는 수집할 수 없다.
⑤ 추가 정보에 동의하지 않은 이용자에게는 필수 정보 제공까지 함께 거부하도록 요구한다.
정답: ②
해설
현행 「개인정보 보호법」 제15조제1항제4호는 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위해 필요한 경우 개인정보를 수집·이용할 수 있도록 합니다. 따라서 계약 이행에 필요한 성명·이메일이나 이용자가 교재를 선택한 경우 필요한 배송주소는 그 필요성 범위 안에서 처리할 수 있습니다. 반드시 별도의 동의만이 유일한 법적 근거가 되는 것은 아닙니다.
그러나 계약을 이행한다는 이유로 강의 제공과 직접 관련 없는 소속회사명·직급·관심분야까지 모두 처리할 수 있는 것은 아닙니다. 「개인정보 보호법」 제16조제1항은 개인정보를 수집하는 경우 목적에 필요한 최소한의 개인정보를 수집하도록 하고 있습니다.
또한 C사가 추가 정보를 동의에 의하여 수집하려는 경우에는 제16조제2항에 따라 필요한 최소한의 정보 외의 정보에 대해 동의하지 않을 수 있다는 사실을 구체적으로 알리고 수집해야 합니다. 제16조제3항에 따라 정보주체가 그 추가 정보 수집에 동의하지 않았다는 이유로 재화 또는 서비스 제공을 거부해서도 안 됩니다.
따라서 이 사례에서는 계약 이행에 필요한 정보와 추가적인 영업 목적의 정보를 분리하여 판단하는 것이 정확합니다.
오답 해설
① 틀렸습니다.
추가 정보가 기업 영업에 유용하다는 이유만으로 강의 서비스 자체를 제한할 수는 없습니다. 최소한의 정보 외 추가 정보 수집에 동의하지 않았다는 이유로 서비스 제공을 거부해서는 안 됩니다.
② 정답입니다.
계약 이행에 필요한 개인정보는 제15조제1항제4호를 근거로 처리할 수 있고, 계약 이행에 필요하지 않은 추가 정보는 별도의 동의 여부에 따라 처리할 수 있습니다. 추가 정보에 대한 거부를 이유로 서비스 자체를 거부해서도 안 됩니다.
③ 틀렸습니다.
계약관계가 존재한다고 해서 계약과 관련성이 없는 모든 개인정보를 동의 없이 수집할 수 있는 것은 아닙니다. 제15조제1항제4호는 계약 이행 등을 위해 필요한 경우로 한정됩니다.
④ 틀렸습니다.
최소수집 원칙은 개인정보를 필요한 범위에서 최소한으로 수집해야 한다는 의미이지, 계약 이행에 필요한 개인정보까지 모두 별도 동의를 받아야 한다는 의미는 아닙니다.
⑤ 틀렸습니다.
추가 정보에 대한 동의와 필수 정보의 처리를 하나로 묶어 거부할 수 없습니다. 정보주체가 최소한의 정보 외 개인정보 수집에 동의하지 않는다는 이유로 서비스 제공을 거부해서는 안 됩니다.
핵심 포인트
개인정보 수집·이용의 법적 근거는 동의만 존재하는 것이 아닙니다.
계약 이행에 필요한 개인정보는 제15조제1항제4호를 근거로 처리할 수 있습니다.
다만 계약과 무관한 정보까지 계약 이행이라는 이유로 수집할 수는 없으며 제16조의 최소수집 원칙도 함께 적용됩니다.
추가 정보를 동의로 수집하는 경우에는 제16조제2항의 동의 거부 가능성 안내와 제16조제3항의 서비스 제공 거부 금지까지 연결하여 이해해야 합니다.
관련 법령·기준
- 「개인정보 보호법」 제15조제1항제4호
- 「개인정보 보호법」 제16조제1항
- 「개인정보 보호법」 제16조제2항
- 「개인정보 보호법」 제16조제3항
- CPPG 공식 출제기준: 개인정보 라이프사이클 관리 → 개인정보 수집·이용 원칙 및 유의 사항
출제 의도
“개인정보 수집은 동의가 있어야 한다”는 단순 암기에서 벗어나 계약 이행 근거와 최소수집 원칙, 추가 정보에 대한 동의 및 서비스 제공 제한을 함께 적용할 수 있는지를 확인합니다.
난이도
중상급
문제 4. 내부관리계획 생략 기준
온라인 쇼핑몰을 운영하는 D사는 「소상공인기본법」상 소상공인에 해당한다. 현재 D사는 개인정보를 처리하는 정보주체가 정확히 10,000명이며, 개인정보처리시스템에 대한 접근권한 관리와 암호화 등의 보호조치를 시행하고 있다.
D사는 과거 정보주체가 9,700명이었을 때 내부관리계획을 별도로 마련하지 않았고, 현재도 소상공인이므로 이를 계속 생략할 수 있다고 판단하고 있다.
이 상황에서 「개인정보의 안전성 확보조치 기준」에 따른 판단으로 가장 적절한 것은?
① 소상공인은 처리하는 정보주체 수와 관계없이 내부관리계획을 생략할 수 있다.
② 과거에 생략 요건에 해당했다면 정보주체 수가 증가한 후에도 그 예외가 계속 적용된다.
③ 접근권한과 암호화 조치를 시행하고 있다면 내부관리계획은 별도로 둘 필요가 없다.
④ 정확히 10,000명인 경우에는 1만명 미만 예외에 해당하지 않으므로 내부관리계획을 수립·시행해야 한다.
⑤ 내부관리계획 생략 여부는 소상공인 여부만으로 결정되므로 정보주체 수는 판단하지 않아도 된다.
정답: ④
해설
현행 「개인정보의 안전성 확보조치 기준」 제4조제1항은 개인정보처리자가 내부 의사결정 절차를 통해 내부관리계획을 수립·시행하도록 하면서, **“1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인·개인·단체”**의 경우에는 이를 생략할 수 있도록 하고 있습니다. 현재 시행 중인 개인정보보호위원회고시 제2026-9호에도 동일한 예외 문언이 확인됩니다.
문제에서 D사가 소상공인이라는 점은 이미 전제되어 있지만, 예외는 소상공인이라는 하나의 조건만으로 성립하는 것이 아니라 “1만명 미만”이라는 정보주체 수 요건과 함께 충족되어야 합니다.
여기서 시험상 가장 중요한 부분은 1만명 미만이라는 표현입니다. “미만”은 기준값을 포함하지 않으므로 정확히 10,000명은 예외 범위에 들어가지 않습니다.
또한 소상공인 여부 자체도 단순히 사업 규모가 작다는 주관적인 판단으로 정하는 것이 아닙니다. 현행 「소상공인기본법」 제2조는 소상공인을 「중소기업기본법」상 소기업 중에서 상시 근로자 수가 10명 미만이고 업종별 기준을 충족하는 자로 정의하고 있습니다. 다만 이 문제에서는 D사가 이미 법적으로 소상공인에 해당한다고 전제했으므로, 수험생이 판단해야 할 핵심은 고시상 1만명 미만이라는 숫자 조건입니다.
한편 현행 고시 제4조는 내부관리계획에 개인정보 보호 조직, 보호책임자, 역할과 책임, 교육, 접근권한, 접근통제, 암호화, 접속기록, 악성프로그램 방지, 물리적 안전조치, 파기, 유출사고 대응, 위험 분석 및 관리, 수탁자 관리·감독 등의 사항을 포함하도록 하고 있습니다. 따라서 내부관리계획은 접근권한이나 암호화와 동일한 하나의 조치가 아니라 이러한 보호활동을 조직적으로 관리하는 기준입니다.
오답 해설
① 틀렸습니다.
소상공인이라는 사실만으로 항상 내부관리계획이 면제되는 것은 아닙니다. 현행 고시는 1만명 미만의 정보주체를 처리하는 소상공인·개인·단체에 한하여 생략할 수 있도록 하고 있습니다.
② 틀렸습니다.
예외 요건은 현재의 처리 상황을 기준으로 판단해야 합니다. 과거 9,700명으로 예외에 해당했다는 사실만으로 현재 10,000명인 경우에도 예외가 유지된다고 볼 수 없습니다.
③ 틀렸습니다.
접근권한 관리와 암호화는 안전성 확보를 위한 개별 보호조치이고, 내부관리계획은 조직과 절차를 포함하여 이러한 조치를 관리하는 체계입니다. 하나가 다른 하나를 자동으로 대체하지 않습니다.
④ 정답입니다.
고시의 표현은 “1만명 미만”입니다. 따라서 정확히 10,000명인 경우에는 해당 숫자 예외에 포함되지 않습니다. D사가 소상공인이라는 사실만으로 내부관리계획을 생략할 수는 없습니다.
⑤ 틀렸습니다.
고시는 소상공인 여부와 함께 처리하는 정보주체 수를 명시적인 요건으로 사용합니다. 따라서 두 요소를 함께 판단해야 합니다.
핵심 포인트
숫자 조건이 있는 법령·고시는 “미만”과 “이하”를 정확히 구별해야 합니다.
현행 「개인정보의 안전성 확보조치 기준」 제4조의 예외는 1만명 미만의 정보주체를 처리하는 소상공인·개인·단체에 적용됩니다.
따라서 정확히 10,000명은 해당 예외의 문언에 들어가지 않습니다.
또한 소상공인 여부와 내부관리계획 생략 여부는 동일한 판단이 아니며, 소상공인 요건 + 정보주체 수 요건을 구분하여 보아야 합니다.
관련 법령·기준
- 「개인정보 보호법」 제29조(안전조치의무)
- 「개인정보 보호법 시행령」 제30조(개인정보의 안전성 확보 조치)
- 「개인정보의 안전성 확보조치 기준」 제4조
- 개인정보보호위원회고시 제2026-9호, [시행 2026. 7. 1.]
- 「소상공인기본법」 제2조(정의)
출제 의도
이 문제는 특정 연도의 고시가 새롭게 만든 예외를 묻는 문제가 아닙니다. 핵심은 현행 고시의 숫자 조건을 정확히 읽고 미만을 경계값까지 포함하는 것으로 잘못 해석하지 않는지를 확인하는 것입니다.
난이도
중상급
문제 5. 개인정보 관리체계의 개념
기업 E사는 개인정보보호 수준을 높이기 위해 개인정보처리시스템에 방화벽을 설치하고 데이터베이스의 개인정보를 암호화하였다. 또한 중요 시스템에 대한 접근권한 통제도 운영하고 있다.
그러나 E사에는 개인정보 보호정책과 책임체계가 충분히 정리되어 있지 않고, 개인정보 처리 과정에서 발생할 수 있는 위험을 정기적으로 식별·평가하는 절차도 마련되어 있지 않다. 보호조치 이행 여부를 점검하거나 점검 결과에 따라 개선하는 정례적인 절차도 운영하지 않고 있다.
E사의 현재 상태를 개인정보 관리체계의 관점에서 평가한 설명으로 가장 적절한 것은?
① 기술적 보호조치가 충분하다면 별도의 관리체계는 없어도 개인정보 보호 수준을 완성한 것이다.
② 개인정보 보호책임자 한 명을 지정하면 정책과 위험관리 절차가 없어도 관리체계가 성립한다.
③ 정책·조직·위험관리·운영·점검·개선이 연결되어 지속적으로 작동해야 관리체계가 제대로 운영된다고 볼 수 있다.
④ 외부기관의 보안점검을 정기적으로 받는다면 내부 정책과 개선 절차의 부족을 대신할 수 있다.
⑤ 개인정보 관리체계는 개인정보처리시스템의 취약점을 제거하기 위한 보안 솔루션을 의미한다.
정답: ③
해설
개인정보 관리체계는 방화벽, 암호화, 접근통제와 같은 개별적인 기술적 보호조치의 집합을 의미하지 않습니다.
CPPG 공식 출제기준은 개인정보 관리체계 영역에서 개인정보 관리체계의 개념, 국내외 개인정보보호 관리체계의 유형 및 현황, 개인정보 영향평가, 개인정보보호 수준진단, 개인정보보호관리체계를 별도의 학습범위로 제시하고 있습니다.
또한 공식 ISMS-P 누리집은 정보보호 및 개인정보보호 관리체계를 **“정보보호 및 개인정보보호를 위한 일련의 조치와 활동”**으로 설명하고 있으며, 관리체계 수립 및 운영 영역을 ① 관리체계 기반 마련, ② 위험 관리, ③ 관리체계 운영, ④ 관리체계 점검 및 개선으로 구성하고 있습니다.
따라서 E사가 기술적 보호조치를 도입했다는 점은 긍정적인 보호활동이지만, 그것만으로 개인정보 관리체계가 완성됐다고 볼 수는 없습니다. 정책과 조직의 책임체계를 마련하고, 위험을 식별·평가하고, 보호활동을 운영하며, 점검 결과를 다시 개선으로 연결하는 구조가 지속적으로 작동해야 합니다.
이 문제에서 중요한 것은 “보호조치의 존재”와 “그 보호조치를 조직적으로 관리하는 체계”를 구별하는 것입니다.
오답 해설
① 틀렸습니다.
기술적 보호조치는 개인정보 보호에 필요한 중요한 요소이지만 관리체계 전체를 의미하지 않습니다. 관리체계는 조직·정책·위험관리·운영·점검·개선을 포함하는 더 넓은 개념입니다.
② 틀렸습니다.
개인정보 보호책임자의 지정은 중요한 조직 요소이지만 한 사람을 지정하는 것만으로 관리체계가 성립하는 것은 아닙니다. 정책과 위험관리, 운영 및 점검·개선 등이 함께 작동해야 합니다.
③ 정답입니다.
관리체계가 제대로 운영되려면 기반을 마련하고 위험을 관리하며 실제 업무에서 운영하고, 그 결과를 점검해 다시 개선하는 순환적인 구조가 필요합니다. ISMS-P 공식 인증기준도 이러한 구조로 관리체계를 구분하고 있습니다.
④ 틀렸습니다.
외부점검은 관리체계를 지원할 수 있는 활동이지만 내부 정책, 역할과 책임, 위험관리, 개선절차가 없어도 이를 대신할 수 있는 것은 아닙니다.
⑤ 틀렸습니다.
보안 솔루션은 관리체계에서 활용되는 수단 중 일부일 뿐입니다. 개인정보 관리체계는 기술적 제품이 아니라 조직의 정책과 활동을 관리하는 체계적인 구조입니다.
핵심 포인트
개인정보 관리체계는 보안 솔루션의 목록이 아니라 조직적인 관리 구조입니다.
CPPG 출제기준에서도 관리체계의 개념과 주요 관리체계가 별도의 출제범위로 구분됩니다.
ISMS-P에서는 관리체계를 기반 마련 → 위험 관리 → 운영 → 점검 및 개선의 구조로 제시하고 있습니다.
시험에서는 방화벽·암호화·접근통제 같은 기술적 보호조치와 관리체계 자체를 동일시하는 선택지를 주의해야 합니다.
관련 법령·기준
- CPPG 공식 출제기준: 개인정보 관리체계 → 개인정보 관리체계의 개념
- ISMS-P 공식 인증기준
- 1.1 관리체계 기반 마련
- 1.2 위험 관리
- 1.3 관리체계 운영
- 1.4 관리체계 점검 및 개선
출제 의도
개인정보 보호를 기술적 보안으로만 이해하지 않고, 정책·조직·위험관리·운영·점검·개선이 연결된 관리체계 개념으로 이해하고 있는지를 확인합니다.
난이도
중상급
1회차 5문제 핵심 정리
첫째, 개인정보 해당 여부는 직접 식별정보의 존재 여부만으로 결정하지 않습니다. 다른 정보와 쉽게 결합할 수 있는지와 그 과정에 필요한 시간·비용·기술을 함께 판단해야 합니다.
둘째, 개인정보보호 관련 법률·시행령·고시·지침은 모두 실무상 중요하지만 동일한 법적 성격을 갖는 것은 아닙니다. 「개인정보의 안전성 확보조치 기준」은 위임행정규칙이고, 표준 개인정보 보호지침은 법에서 준수를 권장할 수 있도록 한 기준입니다.
셋째, 개인정보 수집·이용의 법적 근거는 동의만이 아닙니다. 계약 이행에 필요한 경우에는 제15조제1항제4호를 근거로 처리할 수 있지만, 그 범위는 필요한 최소한의 개인정보로 제한됩니다.
넷째, 내부관리계획 생략의 숫자 조건에서는 **1만명 미만**이라는 문언을 정확히 읽어야 합니다. 정확히 10,000명인 경우에는 해당 예외에 포함되지 않습니다.
다섯째, 개인정보 관리체계는 단순히 암호화·방화벽·접근통제 같은 기술조치를 도입하는 것을 의미하지 않습니다. 정책과 조직, 위험관리, 운영, 점검과 개선이 연결되는 관리 구조를 이해해야 합니다.
이번 회차에 사용된 법령·기준
「개인정보 보호법」
[시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]
- 제2조: 개인정보·가명정보 정의
- 제12조: 개인정보 보호지침
- 제15조: 개인정보의 수집·이용
- 제16조: 개인정보의 수집 제한
- 제29조: 안전조치의무
특히 현행 제29조는 개인정보가 유출등이 되지 않도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 규정하고 있습니다. 2026년 3월 10일 개정사항도 현행 조문에 반영되어 있습니다.
「개인정보 보호법 시행령」
[시행 2026. 9. 11.] [대통령령 제36671호, 2026. 9. 10., 일부개정]
- 제30조: 개인정보의 안전성 확보 조치
현행 시행령 제30조는 법 제29조에 따른 안전성 확보조치로 내부관리계획의 수립·시행 및 점검, 접근권한 제한 등의 조치를 규정하고 있습니다.
「개인정보의 안전성 확보조치 기준」
개인정보보호위원회고시 제2026-9호, [시행 2026. 7. 1.]
현재 국가법령정보센터에서 확인되는 현행 고시이며, 제1조에서 법 제29조와 시행령 제16조제2항, 제30조 및 제30조의2를 근거로 안전성 확보에 필요한 기술적·관리적·물리적 안전조치의 최소 기준을 정한다고 규정합니다.
제4조제1항에는 다음 예외가 명시되어 있습니다.
1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인·개인·단체의 경우 내부관리계획을 생략할 수 있음
또한 제4조에는 개인정보 보호 조직, 보호책임자와 취급자의 역할 및 책임, 교육, 접근권한, 접근통제, 암호화, 접속기록, 악성프로그램 방지, 물리적 안전조치, 파기, 유출사고 대응, 위험 분석 및 관리, 위탁업체 관리·감독 등이 내부관리계획에 포함되도록 규정되어 있습니다.
「소상공인기본법」
[시행 2026. 6. 3.] [법률 제21192호, 2025. 12. 2., 일부개정]
제2조는 소상공인을 「중소기업기본법」상 소기업 중 상시 근로자 수 10명 미만 및 업종별 대통령령상 기준을 충족하는 자로 정의합니다.
CPPG 공식 출제기준
CPPG 공식 출제기준에는 개인정보의 정의·프라이버시·개인정보 유형 및 특성, 개인정보보호 관련 법률 체계, 개인정보 수집·이용, 개인정보 보호조치 기준, 개인정보 관리체계 개념 등이 각 영역별 세부 출제범위로 제시되어 있습니다.
ISMS-P 공식 기준
ISMS-P 공식 누리집은 관리체계를 “정보보호 및 개인정보보호를 위한 일련의 조치와 활동”으로 설명하고 있으며, 관리체계 수립 및 운영을 관리체계 기반 마련 → 위험 관리 → 관리체계 운영 → 관리체계 점검 및 개선으로 구분합니다.