※ 본 게시글의 예상문제는 AI를 활용하여 새롭게 제작한 비공식 예상문제입니다. 실제 시험 문제와 무관하며, 학습 참고용으로 작성되었습니다.
문제 1. 민감정보와 고유식별정보
기업 A는 임직원 인사관리 시스템을 운영하면서 다음 개인정보를 처리하고 있다.
가. 임직원의 성명
나. 노동조합 가입 여부
다. 주민등록번호
라. 회사가 부여한 사내 사번
마. 개인 이메일주소
A의 개인정보 보호 담당자는 각 정보의 법적 성격을 구분한 후 필요한 처리 제한을 적용하려고 한다.
다음 중 현행 「개인정보 보호법」에 따른 설명으로 가장 정확한 것은?
① 나와 다는 모두 민감정보이므로 동일한 처리 제한을 적용한다.
② 나는 민감정보이고, 다는 고유식별정보이며 주민등록번호에는 별도의 처리 제한이 적용된다.
③ 다는 고유식별정보가 아니므로 일반 개인정보와 동일한 기준으로 처리할 수 있다.
④ 라는 회사가 부여한 번호이므로 법에서 정한 고유식별정보에 해당한다.
⑤ 마는 개인정보이므로 별도의 법률상 민감정보로 분류된다.
정답: ②
해설
현행 「개인정보 보호법」 제23조는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보와 그 밖에 사생활을 현저히 침해할 우려가 있는 개인정보 중 대통령령으로 정하는 정보를 민감정보로 규정합니다. 따라서 노동조합 가입 여부는 민감정보에 해당합니다.
제24조의 고유식별정보는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보 중 대통령령으로 정하는 정보입니다. 현행 시행령 제19조는 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호를 고유식별정보로 규정하고 있습니다.
여기서 주민등록번호는 한 번 더 구별해야 합니다. 주민등록번호는 고유식별정보이면서 제24조의2의 별도 제한을 받습니다. 제24조의2는 법령에서 구체적으로 처리를 요구하거나 허용하는 경우 등 법에서 정한 예외를 제외하고 주민등록번호를 처리할 수 없도록 하고 있습니다. 따라서 일반적인 고유식별정보와 같은 방식으로 “별도 동의를 받으면 처리할 수 있다”고 이해하면 안 됩니다.
따라서 나와 다의 법적 분류를 각각 민감정보와 고유식별정보로 보고, 주민등록번호에 대해서는 제24조의2를 별도로 확인해야 한다는 ②가 가장 정확합니다.
선택지별 해설
① 틀렸습니다.
노동조합 가입 여부는 민감정보이고 주민등록번호는 고유식별정보입니다. 두 정보가 모두 특별한 보호가 필요한 정보라는 점과 동일한 법적 범주라는 것은 다른 문제입니다.
② 정답입니다.
노동조합 가입 여부는 제23조의 민감정보이고, 주민등록번호는 시행령 제19조의 고유식별정보입니다. 또한 주민등록번호는 제24조의2에서 별도의 처리 제한을 받습니다.
③ 틀렸습니다.
주민등록번호는 시행령 제19조에서 명시적으로 고유식별정보로 규정하고 있습니다.
④ 틀렸습니다.
고유식별정보는 단순히 “개인을 식별하는 번호”라는 이유만으로 결정되지 않습니다. 법 제24조와 시행령 제19조가 정하는 범위를 확인해야 합니다. 일반적인 사내 사번은 그 명칭만으로 법정 고유식별정보가 되는 것은 아닙니다.
⑤ 틀렸습니다.
이메일주소는 개인정보가 될 수 있지만, 그 자체로 제23조의 민감정보에 해당하는 것은 아닙니다.
핵심 포인트
민감정보와 고유식별정보는 서로 다른 기준으로 분류되는 법적 개념입니다.
민감정보는 노동조합 가입·탈퇴, 건강, 정치적 견해 등 사생활을 현저히 침해할 우려가 있는 정보가 중심입니다.
고유식별정보는 시행령 제19조에서 정한 주민등록번호·여권번호·운전면허번호·외국인등록번호 등이 대표적입니다.
특히 주민등록번호는 제24조의2에서 별도로 제한되며, 정보주체의 동의만으로 처리할 수 있는 일반적인 고유식별정보와 구별해서 이해해야 합니다.
관련 법령·기준
- 「개인정보 보호법」 제23조
- 「개인정보 보호법」 제24조
- 「개인정보 보호법」 제24조의2
- 「개인정보 보호법 시행령」 제19조
- CPPG 공식 출제기준: 개인정보의 개요 → 개인정보의 유형 및 종류
출제 의도
“특별히 보호되는 개인정보”라는 하나의 큰 범주로 암기하지 않고 민감정보·고유식별정보·주민등록번호의 관계를 조문별로 구별할 수 있는지를 확인합니다.
난이도
중상급
문제 2. 개인정보의 정확성·최신성
온라인 쇼핑몰 B는 주문과 배송 업무를 위해 고객의 성명과 배송주소를 처리하고 있다. 정기적인 개인정보 점검 과정에서 일부 고객의 배송주소가 실제 주소와 다르다는 사실이 확인되었다.
B의 담당자는 “고객이 직접 정정 요청을 하지 않았다면 기존 주소를 업무에 계속 사용할 수 있고, 주소를 최신 상태로 관리할 책임은 전적으로 고객에게 있다”고 주장하였다.
다음 중 현행 개인정보 보호 원칙에 가장 부합하는 판단은?
① 고객의 정정 요구가 없는 동안에는 기존 주소의 정확성이나 최신성을 별도로 확인할 필요가 없다.
② 배송 목적에 필요한 범위에서 정확성과 최신성이 유지되도록 관리하고, 오류가 확인된 정보는 적절히 정비한다.
③ 개인정보를 처음 수집할 당시 정확했다면 이후 변경된 정보까지 계속 사용하는 것은 보호 원칙상 문제가 되지 않는다.
④ 주소를 수정하는 과정에서 업무가 번거로워질 수 있으므로 오류가 확인되어도 현행 정보를 우선 유지한다.
⑤ 고객이 계약 당시 주소를 직접 입력했다면 이후 주소 변경 여부와 관계없이 그 정보를 최신 정보로 간주한다.
정답: ②
해설
현행 「개인정보 보호법」 제3조는 개인정보처리자가 개인정보를 처리할 때 처리 목적에 필요한 범위에서 정확성·완전성·최신성이 보장되도록 해야 한다는 원칙을 규정합니다.
따라서 개인정보가 처음 수집된 시점에 정확했다는 사실만으로 이후에도 계속 정확한 것으로 간주할 수 없습니다. 특히 이 문제처럼 현재 주소와 다르다는 사실을 이미 확인했다면, 고객이 반드시 먼저 정정 요구를 해야만 개인정보의 정확성·최신성 관리가 시작된다고 볼 수 없습니다.
이 문제는 정보주체의 정정권과 개인정보처리자의 기본적인 개인정보 관리 원칙을 구별하는 데 목적이 있습니다. 정보주체에게 정정·삭제 등의 권리가 있다는 사실과 개인정보처리자가 정확한 개인정보를 관리해야 한다는 원칙은 별개의 문제입니다.
선택지별 해설
① 틀렸습니다.
현행법은 정보주체가 정정 요구를 한 경우에만 정확성·최신성을 고려하도록 하는 것이 아닙니다. 처리 목적에 필요한 범위에서 개인정보의 정확성·완전성·최신성을 보장해야 합니다.
② 정답입니다.
배송이라는 처리 목적에 필요한 범위에서 주소의 정확성과 최신성이 유지되도록 관리하는 것이 개인정보 보호 원칙에 부합합니다.
③ 틀렸습니다.
수집 당시 정확했다는 사실만으로 개인정보의 최신성이 영구적으로 보장되는 것은 아닙니다. 주소와 같이 변경될 수 있는 정보는 처리 목적에 필요한 범위에서 최신성이 유지되도록 관리해야 합니다.
④ 틀렸습니다.
업무상의 편의는 개인정보 보호 원칙보다 우선하는 판단 기준이 아닙니다. 이미 오류를 확인했다면 정확한 개인정보를 관리하기 위한 적절한 조치를 검토해야 합니다.
⑤ 틀렸습니다.
정보주체가 입력한 시점의 정보가 정확했다는 사실과 현재에도 최신이라는 사실은 동일하지 않습니다.
핵심 포인트
개인정보 보호 원칙에는 정확성·완전성·최신성이 포함됩니다.
정정권은 정보주체가 행사할 수 있는 권리이고, 정확성·최신성 보장은 개인정보처리자가 지켜야 할 기본 원칙이라는 점을 구별해야 합니다.
시험에서는 “정정 요구가 없으면 기존 정보를 계속 써도 된다”처럼 두 개념을 연결한 보기에 주의해야 합니다.
관련 법령·기준
- 「개인정보 보호법」 제3조(개인정보 보호 원칙)
- CPPG 공식 출제기준: 개인정보보호 원칙과 의무 → 개인정보의 정확성·완전성·최신성 보장
출제 의도
정보주체의 정정 요구와 개인정보처리자의 정확성·최신성 관리 의무를 혼동하지 않고 개인정보 보호 원칙을 실제 업무에 적용할 수 있는지 확인합니다.
난이도
중상급
문제 3. 필수항목과 선택적 동의
온라인 교육서비스 C는 회원가입 과정에서 다음과 같이 개인정보를 처리한다.
- 필수항목: 성명, 이메일주소
- 선택항목: 직업, 관심 분야
성명과 이메일주소는 계정관리와 강의 이용에 필요하지만, 직업과 관심 분야는 개인 맞춤형 강의 추천을 위해서만 사용된다.
C는 선택항목에 대한 동의 여부를 별도로 표시하고 있으며, 선택항목에 동의하지 않아도 기본 강의를 이용할 수 있다고 안내하고 있다. 한편 마케팅팀은 추천 기능의 활용도를 높이기 위해 선택항목을 필수항목으로 변경하자고 제안하였다.
C의 운영방식으로 현행 「개인정보 보호법」에 가장 부합하는 것은?
① 선택항목에 동의하지 않은 회원에게도 기본 강의 서비스를 제공한다.
② 추천 기능의 중요성을 고려하여 직업과 관심 분야를 필수항목으로 전환한다.
③ 필수항목과 선택항목을 하나의 동의 화면에서 한 번에 처리한다.
④ 선택항목에 동의하지 않은 회원에게 기본 강의 이용기간을 제한한다.
⑤ 선택항목도 서비스 이용에 필요하다고 보고 비동의 회원의 가입을 제한한다.
정답: ①
해설
현행 「개인정보 보호법」은 필요한 최소한의 정보 외 개인정보를 수집하는 경우 정보주체에게 그 추가 정보에 동의하지 않을 수 있다는 사실을 구체적으로 알리도록 하고 있습니다. 또한 제22조제5항은 정보주체가 선택적으로 동의할 수 있는 사항에 동의하지 않았다는 이유로 재화 또는 서비스의 제공을 거부해서는 안 된다고 규정합니다.
따라서 C사는 기본 강의 이용에 필요한 필수항목과 개인화 추천에 필요한 선택항목을 구분해 운영할 수 있으며, 선택항목에 동의하지 않았다는 이유로 기본 강의 서비스를 제한해서는 안 됩니다.
또한 제22조제1항은 개인정보 처리에 대한 동의를 받을 때 각각의 동의 사항을 구분하여 정보주체가 명확하게 인지할 수 있도록 알리고 동의를 받도록 규정하고 있습니다. 특히 일반적인 개인정보 수집·이용 동의나 제3자 제공, 민감정보·고유식별정보 처리에 대한 동의, 홍보·판매 권유 목적의 동의 등은 법에서 정한 경우 구분하여 동의를 받아야 합니다.
선택지별 해설
① 정답입니다.
선택항목에 동의하지 않았다는 이유로 기본 강의 서비스 제공을 거부해서는 안 됩니다. C가 선택항목을 별도로 구분하여 운영한다는 전제와도 부합합니다.
② 틀렸습니다.
추천 기능에 필요하다는 이유만으로 이를 기본 서비스에 필요한 필수정보로 바꾸는 것은 실제 처리 목적과 필요성을 구분하지 않은 것입니다.
③ 틀렸습니다.
동의를 받을 때에는 각각의 동의사항을 정보주체가 명확하게 인지할 수 있도록 구분하여야 합니다. 현행 제22조제1항은 일정한 동의사항에 대해 각각의 동의를 받도록 규정합니다.
④ 틀렸습니다.
선택항목에 동의하지 않았다는 이유로 기본 서비스의 이용기간을 제한하는 것은 서비스 제공에 불이익을 주는 방식으로 선택적 동의를 사실상 강제하는 결과가 될 수 있습니다. 제22조제5항의 취지에 맞지 않습니다.
⑤ 틀렸습니다.
문제에서 직업과 관심 분야는 기본 강의 이용에 필요하지 않고 개인 맞춤형 추천에만 사용된다고 명시되어 있습니다. 이를 근거 없이 필수정보로 취급하여 가입을 제한할 수는 없습니다.
핵심 포인트
필수항목과 선택항목을 실질적으로 구분해야 합니다.
필요한 최소한의 정보 외 개인정보를 수집하는 경우에는 비동의 가능성을 구체적으로 알려야 합니다.
현행 제22조제5항은 선택적 동의사항에 동의하지 않았다는 이유로 재화 또는 서비스 제공을 거부하지 못하도록 합니다.
관련 법령·기준
- 「개인정보 보호법」 제16조제1항·제2항·제3항
- 「개인정보 보호법」 제22조제1항
- 「개인정보 보호법」 제22조제5항
- CPPG 공식 출제기준: 개인정보 수집·이용 원칙 및 유의사항
출제 의도
필수·선택항목의 구분을 단순한 UI 설계 문제가 아니라 최소수집, 구분 동의, 선택적 동의와 서비스 제공 제한 금지라는 법적 요구사항으로 이해하고 있는지를 확인합니다.
난이도
중상급
문제 4. 이용자 개인정보 시스템의 외부 접속
온라인 쇼핑몰 D는 회원에게 상품 검색·주문·배송 서비스를 제공한다. D의 개인정보처리시스템에는 이용자인 회원의 성명, 연락처, 배송정보가 저장되어 있다.
D는 재택근무를 위해 개인정보취급자가 회사 외부에서 이 시스템에 접속할 수 있도록 VPN을 구축하였다. 현재 직원은 VPN에 연결한 뒤 회사 계정과 비밀번호를 입력하면 회원 개인정보가 저장된 시스템에 접근할 수 있다.
D의 보안담당자는 “VPN을 사용하고 있으므로 외부 접속에 필요한 안전한 인증수단을 별도로 적용하지 않아도 된다”고 판단하였다.
현행 「개인정보의 안전성 확보조치 기준」에 따른 판단으로 가장 적절한 것은?
① VPN을 사용하고 있으므로 별도의 인증수단을 적용하지 않아도 된다.
② 접속 가능한 IP를 제한하면 외부 접속 인증요건을 충족한다.
③ 직원의 접속이므로 외부 접속 관련 규정은 적용되지 않는다.
④ 회원정보 시스템이므로 VPN만으로는 제6조제2항을 충족하지 못한다.
⑤ 비밀번호 변경주기를 강화하면 외부 접속의 인증요건을 대신할 수 있다.
정답: ④
해설
현행 「개인정보의 안전성 확보조치 기준」 제6조제2항은 다음과 같이 규정하고 있습니다.
개인정보처리자는 개인정보처리시스템에 대한 정당한 접근 권한을 가진 자(다만, 정보주체는 제외한다)가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서·보안토큰·일회용 비밀번호 등 안전한 인증수단을 적용하여야 합니다.
다만 같은 항에는 중요한 단서가 있습니다. 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우에는 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있습니다.
현행 고시 제2조제2호는 여기서 말하는 “이용자”를 정보통신서비스 제공자가 제공하는 정보통신서비스를 이용하는 자로 정의하고 있습니다. 따라서 이 문제에서 온라인 쇼핑 서비스를 이용하는 회원은 해당 고시의 이용자에 해당하는 것으로 전제할 수 있습니다.
따라서 이 시스템은 이용자인 회원의 개인정보를 처리하는 시스템이므로 “이용자가 아닌 정보주체”에 관한 단서가 적용되지 않습니다. VPN을 사용하고 있더라도 제6조제2항 본문의 안전한 인증수단 적용을 검토·충족해야 합니다.
선택지별 해설
① 틀렸습니다.
VPN만 사용한다는 이유로 안전한 인증수단 적용 필요성이 사라지는 것은 아닙니다. VPN으로 갈음할 수 있는 단서는 이용자가 아닌 정보주체의 개인정보를 처리하는 시스템에 관한 것입니다.
② 틀렸습니다.
IP 주소 등을 이용한 접근 제한과 외부 접속자의 안전한 인증수단 적용은 별개의 조치입니다. 하나가 다른 하나를 자동으로 대체하지 않습니다.
③ 틀렸습니다.
직원은 정당한 접근 권한을 가진 자로서 제6조제2항이 직접 적용되는 대상입니다. 직원이라는 이유로 외부 접속 관련 요구사항에서 제외되는 것이 아닙니다. VPN으로 갈음할 수 있는지는 처리하는 개인정보가 이용자의 것인지에 따라 달라집니다.
④ 정답입니다.
이 문제는 온라인 쇼핑몰 회원이라는 이용자의 개인정보를 처리하는 시스템으로 사실관계를 한정했습니다. 따라서 이용자가 아닌 정보주체에 관한 단서가 적용되지 않으므로 VPN만으로 제6조제2항의 요구사항을 충족한다고 볼 수 없습니다.
⑤ 틀렸습니다.
비밀번호 관리 강화는 중요한 보안관리 활동이 될 수 있지만, 외부 접속 시 요구되는 안전한 인증수단 적용을 단순한 비밀번호 변경주기만으로 대체할 수 있는 것은 아닙니다.
핵심 포인트
외부 접속 문제에서는 먼저 개인정보의 정보주체가 누구인지 확인해야 합니다.
현행 제6조제2항의 본문은 정당한 접근 권한을 가진 자가 외부에서 개인정보처리시스템에 접속할 때 안전한 인증수단을 적용하도록 합니다.
다만 이용자가 아닌 정보주체의 개인정보를 처리하는 시스템에는 VPN 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있습니다.
따라서 시험에서는 “VPN이면 항상 충분하다” 또는 “VPN은 항상 인증수단을 대신할 수 없다”처럼 단순 암기하지 말고 단서의 적용요건까지 확인해야 합니다.
관련 법령·기준
- 「개인정보 보호법」 제29조
- 「개인정보 보호법 시행령」 제30조
- 「개인정보의 안전성 확보조치 기준」 제2조제2호(이용자 정의)
- 「개인정보의 안전성 확보조치 기준」 제5조(접근 권한의 관리)
- 「개인정보의 안전성 확보조치 기준」 제6조(접근통제)
- 개인정보보호위원회고시 제2026-9호, [시행 2026. 7. 1.]
출제 의도
외부 접속에 대한 안전한 인증수단을 단순 암기하는 것이 아니라, 본론의 적용대상과 ‘이용자가 아닌 정보주체’라는 단서를 실제 사실관계에 대입할 수 있는지 확인합니다.
난이도
중상급
문제 5. ISMS-P 관리체계 단계별 활동
기업 E는 ISMS-P 관리체계를 운영하면서 다음과 같은 활동을 수행하고 있다.
- 활동 A: 정기점검 결과 확인된 관리체계 미흡사항에 대해 개선조치를 수행한다.
- 활동 B: 개인정보보호 정책을 수립하고 관련 조직과 담당자의 책임체계를 마련한다.
- 활동 C: 개인정보 처리 및 정보자산에 존재하는 위험을 식별·평가하고 대응방안을 결정한다.
- 활동 D: 수립된 정책과 보호대책을 실제 업무에 적용하고 관리체계를 운영한다.
위 활동과 ISMS-P 「1. 관리체계 수립 및 운영」의 세부 영역을 올바르게 연결한 것은?
① A-1.1 / B-1.3 / C-1.4 / D-1.2
② A-1.3 / B-1.4 / C-1.2 / D-1.1
③ A-1.4 / B-1.1 / C-1.2 / D-1.3
④ A-1.2 / B-1.1 / C-1.3 / D-1.4
⑤ A-1.4 / B-1.2 / C-1.1 / D-1.3
정답: ③
해설
ISMS-P 공식 인증기준은 「1. 관리체계 수립 및 운영」을 다음 네 영역으로 구분합니다.
- 1.1 관리체계 기반 마련
- 1.2 위험 관리
- 1.3 관리체계 운영
- 1.4 관리체계 점검 및 개선
문제의 활동을 각각 적용하면 다음과 같습니다.
활동 A는 관리체계의 운영 결과를 점검하고 미흡사항을 개선하는 것이므로 1.4 관리체계 점검 및 개선입니다.
활동 B는 정책과 조직, 책임체계를 마련하는 것이므로 1.1 관리체계 기반 마련입니다.
활동 C는 위험을 식별·평가하고 대응방안을 결정하므로 1.2 위험 관리입니다.
활동 D는 수립된 정책과 보호대책을 실제 업무에서 적용하고 운영하는 것이므로 1.3 관리체계 운영입니다.
따라서 A-1.4 / B-1.1 / C-1.2 / D-1.3인 ③이 정답입니다.
선택지별 해설
① 틀렸습니다.
활동 A는 정책이나 기반을 처음 마련하는 것이 아니라 이미 운영된 관리체계의 미흡사항을 개선하는 것이므로 1.1이 아니라 1.4입니다. 활동 B 역시 실제 운영이 아니라 정책·조직의 기반 마련이므로 1.3이 아닙니다.
② 틀렸습니다.
활동 A의 정기점검 및 개선은 1.3이 아니라 1.4이고, 활동 B의 정책·책임체계 마련은 1.4가 아니라 1.1입니다.
③ 정답입니다.
점검 결과 개선은 1.4, 정책·조직 기반 마련은 1.1, 위험 식별·평가는 1.2, 실제 관리체계 운영은 1.3에 해당합니다.
④ 틀렸습니다.
활동 A는 위험을 평가하는 것이 아니라 점검 결과를 개선하는 것이므로 1.2가 아니라 1.4입니다. 활동 C 역시 실제 운영이 아니라 위험관리 활동이므로 1.3이 아닙니다.
⑤ 틀렸습니다.
활동 B는 위험관리 단계가 아니라 정책과 조직의 기반을 마련하는 1.1에 해당합니다. 활동 C 역시 기반 마련이 아니라 1.2 위험 관리입니다.
핵심 포인트
ISMS-P의 관리체계 수립 및 운영은 다음 네 영역으로 구성됩니다.
1.1 관리체계 기반 마련 → 1.2 위험 관리 → 1.3 관리체계 운영 → 1.4 관리체계 점검 및 개선
시험에서는 이 순서를 그대로 제시하기보다 정책 수립, 위험 평가, 실제 운영, 점검·개선 같은 구체적 활동을 섞어 어느 단계에 해당하는지 판단하게 할 수 있습니다.
특히 정책을 “수립하는 것”과 정책을 “실제 업무에서 운영하는 것”, 위험을 “평가하는 것”과 결과를 “점검하고 개선하는 것”을 구별해야 합니다.
관련 법령·기준
- ISMS-P 인증기준
- 1.1 관리체계 기반 마련
- 1.2 위험 관리
- 1.3 관리체계 운영
- 1.4 관리체계 점검 및 개선
- CPPG 공식 출제기준: 개인정보 관리체계 → 개인정보 관리체계의 개념 및 주요 개인정보 관리체계
출제 의도
관리체계의 네 단계를 단순한 번호 암기로 해결하지 않고, 실제 조직의 개인정보 보호 활동을 각 단계에 정확히 매칭할 수 있는지 평가합니다.
난이도
중상급
2회차 핵심 정리
1. 민감정보와 고유식별정보는 분리해서 이해한다
민감정보와 고유식별정보는 서로 다른 법적 기준으로 분류됩니다. 노동조합 가입 여부는 민감정보이고, 주민등록번호는 고유식별정보입니다.
2. 주민등록번호는 제24조의2까지 확인한다
주민등록번호는 고유식별정보에 해당하지만 제24조의2에서 별도로 더 엄격하게 제한됩니다. 일반적인 고유식별정보 처리 규정과 동일하게 이해하면 안 됩니다.
3. 정확성·완전성·최신성은 기본 원칙이다
개인정보처리자는 처리 목적에 필요한 범위에서 개인정보의 정확성·완전성·최신성이 보장되도록 해야 합니다. 정보주체의 정정 요구가 있어야만 이러한 원칙을 고려하는 것은 아닙니다.
4. 선택적 동의는 실질적인 선택권을 보장해야 한다
필요한 최소한의 정보 외 개인정보를 수집하는 경우에는 비동의 가능성을 알려야 하고, 선택적 동의사항에 동의하지 않았다는 이유로 재화 또는 서비스 제공을 거부해서는 안 됩니다.
5. VPN 문제는 정보주체를 먼저 확인한다
외부 접속 시 안전한 인증수단이 원칙이지만, 이용자가 아닌 정보주체의 개인정보를 처리하는 시스템에는 VPN 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있습니다.
6. ISMS-P는 활동으로 구별한다
기반 마련 → 위험 관리 → 운영 → 점검 및 개선의 구조를 기억하되, 실제 활동을 어느 단계에 배치해야 하는지 판단할 수 있어야 합니다.
이번 회차에 사용된 법령·기준
「개인정보 보호법」
[시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]
- 제3조: 개인정보 보호 원칙
- 제16조: 개인정보의 수집 제한
- 제22조: 동의를 받는 방법
- 제23조: 민감정보의 처리 제한
- 제24조: 고유식별정보의 처리 제한
- 제24조의2: 주민등록번호 처리의 제한
- 제29조: 안전조치의무
현행 제16조는 최소한의 개인정보 수집과 선택적 추가정보에 관한 정보주체의 선택권을 규정하고 있으며, 제22조제5항은 선택적 동의사항에 동의하지 않았다는 이유로 재화 또는 서비스 제공을 거부할 수 없도록 규정합니다.
「개인정보 보호법 시행령」
[시행 2026. 9. 11.] [대통령령 제36671호, 2026. 9. 10., 일부개정]
- 제19조: 고유식별정보의 범위
- 제30조: 개인정보의 안전성 확보 조치
시행령 제19조는 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호를 고유식별정보의 범위로 규정합니다.
「개인정보의 안전성 확보조치 기준」
[시행 2026. 7. 1.] [개인정보보호위원회고시 제2026-9호, 2026. 7. 1., 일부개정]
- 제2조제2호: 이용자의 정의
- 제5조: 접근 권한의 관리
- 제6조: 접근통제
현행 제6조제2항은 정당한 접근 권한을 가진 자가 외부에서 개인정보처리시스템에 접속하는 경우 안전한 인증수단을 적용하도록 하면서, 이용자가 아닌 정보주체의 개인정보를 처리하는 시스템에는 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있도록 규정하고 있습니다.