개인정보 보호법 한눈에 보기 — 기능별로 찾아야 할 조문 지도

한 문장 결론

서비스가 업무 목적으로 개인정보파일을 운용한다면 회사 규모와 관계없이 개인정보 보호법이 적용되고, 개발자는 기능마다 “어느 조문이 이 기능을 규율하는가”를 아래 지도에서 먼저 찾은 뒤 시행령·고시로 내려가 구체 요건을 확인해야 합니다.

적용 조건과 예외

법령 체계: 어디까지가 의무인가

층위	예시	성격	이 사이트의 kind
법률	「개인정보 보호법」(법률 제21445호, 2026.9.11. 시행)	법적 의무	law
시행령	「개인정보 보호법 시행령」(대통령령 제36671호, 2026.9.11. 시행)	법률이 위임한 구체 기준. 법적 의무	decree
고시	「개인정보의 안전성 확보조치 기준」(보호위원회 고시 제2026-9호, 2026.7.1. 시행)	시행령이 위임한 세부 기준. 법적 의무	notice
안내서	개인정보 처리 통합 안내서 등	보호위원회의 해석·권고. 그 자체로 새 의무를 만들지 않음	guide
기술 표준	OWASP ASVS 5.0	보안 검증 기준. 법적 의무 아님	standard
프로젝트 권장	이 사이트의 설계 제안	법적 의무 아님	best-practice

법률 조문이 “대통령령으로 정한다”고 하면 시행령을, 시행령이 “보호위원회가 정하여 고시한다”고 하면 고시를 찾아야 구체적인 숫자(기간, 인원 기준, 암호화 대상)가 나옵니다. 예: 법 제29조(안전조치의무) → 시행령 제30조 → 안전성 확보조치 기준 고시 제7조(암호화).

누가 적용 대상인가 (제2조제5호)

“개인정보처리자”는 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인입니다.

• 회원 DB를 가진 스타트업, 사내 인사 시스템을 운영하는 회사, 고객 명단을 엑셀로 관리하는 개인사업자 모두 해당할 수 있습니다.
• “다른 사람을 통하여”가 포함되므로, 클라우드나 외주 개발사에 맡겨 처리해도 처리자 지위가 사라지지 않습니다. 위탁 관계는 제26조로 따로 규율됩니다. → 제공과 위탁 구분
• 용어 정의는 핵심 용어 정의에서 데이터 모델 관점으로 다룹니다.

적용이 일부 제외되는 경우 (제58조)

조항	대상	적용하지 않는 규정
제58조제1항제2호	국가안전보장과 관련된 정보 분석 목적으로 수집 또는 제공 요청되는 개인정보	제3장~제8장
제58조제1항제4호	언론·종교단체·정당이 취재·보도, 선교, 선거 입후보자 추천 등 고유 목적으로 수집·이용하는 개인정보	제3장~제8장
제58조제2항	제25조제1항 각 호에 따라 공개된 장소에 설치·운영하는 고정형 영상정보처리기기로 처리되는 개인정보	제15조, 제22조, 제22조의2, 제27조제1항·제2항, 제34조, 제37조
제58조제3항	동창회, 동호회 등 친목 도모 단체 운영을 위한 처리	제15조, 제30조, 제30조의3, 제31조

주의할 점:

• 제58조제4항에 따라 제1항 대상이라도 최소 기간·최소 정보 처리, 기술적·관리적·물리적 보호조치, 고충처리 등은 여전히 마련해야 합니다.
• 제2항·제3항은 열거된 조문만 빠집니다. 예를 들어 친목단체라도 제29조(안전조치의무)는 빠지지 않습니다.
• 회사 서비스가 “언론” 또는 “친목단체”에 해당하는지는 사실관계에 따라 달라지므로 법무 검토 대상입니다(review-required).

법이 아예 적용되지 않는 정보 (제58조의2)

“시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보”에는 이 법을 적용하지 않습니다. 흔히 익명정보라고 부릅니다. 단순히 이름을 지운 데이터는 대부분 여기에 해당하지 않으며, 추가 정보로 복원 가능하면 가명정보(제2조제1호다목)로 여전히 법의 적용을 받습니다. → 가명처리와 익명처리

다른 법률과의 관계 (제6조)

제6조제1항: 개인정보의 처리 및 보호에 관하여 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따릅니다. 신용정보, 위치정보, 통신비밀, 정보통신망 관련 법률 등 특별 규정이 있으면 그 규정이 먼저 적용될 수 있습니다. 어느 법이 특별 규정인지는 관련 법률에서 상황별로 다루며, 그 내용은 아직 원문 대조 전이라 review-required입니다.

실제 법적 근거

• 제3조(개인정보 보호 원칙) 요지:
  1. 처리 목적을 명확히 하고 필요한 범위에서 최소한의 개인정보만 적법하고 정당하게 수집(제1항)
  2. 목적 범위에서 적합하게 처리하고 목적 외 용도로 활용 금지(제2항)
  3. 목적에 필요한 범위에서 정확성·완전성·최신성 보장(제3항)
  4. 권리 침해 가능성과 위험 정도를 고려해 안전하게 관리(제4항)
  5. 제30조 처리방침 등 처리 사항 공개, 열람청구권 등 권리 보장(제5항)
  6. 사생활 침해를 최소화하는 방법으로 처리(제6항)
  7. 익명처리로 목적 달성 가능하면 익명, 불가능하면 가명으로 처리되도록 해야 함(제7항)
  8. 법과 관계 법령의 책임·의무를 준수해 신뢰를 얻도록 노력(제8항)
• 제4조(정보주체의 권리): ① 처리에 관한 정보를 제공받을 권리 ② 동의 여부·범위를 선택·결정할 권리 ③ 처리 여부 확인, 열람(사본 발급 포함)·전송 요구권 ④ 처리 정지, 정정·삭제·파기 요구권 ⑤ 피해를 신속·공정하게 구제받을 권리 ⑥ 완전히 자동화된 결정을 거부하거나 설명 등을 요구할 권리.

(현행 법률 제21445호, 2026.9.11. 시행 기준. 국가법령정보센터 원문과 대조함.)

개발자용 실무 해설

기능별 조문 지도

만들려는 기능	먼저 볼 법률 조문	이어서 볼 시행령·고시	이 사이트 문서
회원가입·프로필 필드 추가	제15조, 제16조(최소 수집), 제22조(동의 방법)	시행령 제14조의2, 제17조	처리 근거, 동의 UI
만 14세 미만 사용자	제22조의2	시행령 제17조의2	아동 개인정보
건강·생체·사상 등 데이터	제23조	시행령 제18조	민감정보 구분
주민번호·여권번호 등	제24조, 제24조의2	시행령 제19조, 제21조, 제21조의2, 고시 제7조	고유식별정보
통계·연구용 데이터셋	제2조제1호의2, 제28조의2~제28조의7, 제58조의2	시행령 제29조의2~제29조의5	가명처리
외부 회사에 데이터 전달	제17조, 제18조, 제26조	시행령 제28조	제공 vs 위탁
해외 클라우드·해외 API	제28조의8	시행령 제29조의7~제29조의10	국외 이전
권한·암호화·로그	제29조	시행령 제30조, 안전성 확보조치 기준	접근통제, 암호화, 접속기록
탈퇴·보존기간 만료	제21조	시행령 제16조, 고시 제13조	보존·파기
처리방침 페이지	제30조	시행령 제31조	처리방침
유출 탐지·통지	제34조	시행령 제39조~제40조	유출 대응
열람·정정·삭제·처리정지 API	제35조~제38조	시행령 제41조~제46조	정보주체 권리
추천·심사 자동화, AI 판정	제37조의2	시행령 제44조의2~제44조의4	자동화된 결정
사내 직원 데이터	제15조, 제28조(개인정보취급자 감독)	시행령 제30조	직원 정보

원칙(제3조)을 설계 결정으로 바꾸기

제3조는 개별 의무 조문의 해석 기준이 됩니다. 코드 리뷰에서 다음처럼 질문으로 바꿔 쓰면 실용적입니다.

원칙	리뷰 질문
최소 수집(①)	이 필드가 없으면 기능이 정말 동작하지 않는가?
목적 외 활용 금지(②)	이 데이터를 다른 팀·다른 기능이 재사용하고 있지 않은가?
정확성(③)	사용자가 직접 고칠 수 있는 경로가 있는가?
위험 비례 관리(④)	민감도 높은 필드에 더 강한 통제를 적용했는가?
공개·권리 보장(⑤)	처리방침과 실제 코드가 일치하는가? 열람·삭제 요청을 처리할 수 있는가?
익명·가명 우선(⑦)	분석·로그·테스트에서 실명 데이터가 꼭 필요한가?

권장 설계

docs/privacy/
├─ processing-inventory.yaml   ← 필드·목적·근거·보유기간 (제3조①, 제15조, 제30조)
├─ article-map.md              ← 기능 → 조문 매핑 (이 문서의 표를 프로젝트에 맞게 복사)
└─ exemptions.md               ← 제58조/제58조의2를 근거로 적용 제외를 주장하는 경우 근거와 검토자

• 처리 인벤토리를 단일 소스로 둡니다. 필드별 목적, 처리 근거, 보유기간, 민감도 등급을 한 파일에 두고 동의 화면, 처리방침, 파기 배치가 같은 정의를 참조하게 합니다.
• 조문 번호를 코드 상수로 고정하지 말고 메타데이터로 둡니다. 개정으로 항·호 번호가 바뀝니다(예: 2026년 개정으로 제31조 제3항제9항이 제4항제10항으로 이동). → 최근 개정
• 적용 제외 주장은 기록으로 남깁니다. “익명정보라서 법 적용 대상이 아니다”라는 판단은 재식별 위험 평가와 검토자를 함께 기록합니다.

위험한 설계

• “우리는 B2B라서” 또는 “사내 시스템이라서” 개인정보 보호법이 적용되지 않는다고 가정함 — 직원 정보도 개인정보입니다.
• 안내서 문구를 법적 의무처럼 코드 주석·정책 문서에 적음 — 안내서는 해석·권고이고 근거 층위를 구분해야 합니다.
• 이름만 지운 데이터를 “익명 데이터”로 분류해 외부 공유 — 제58조의2 기준을 충족하는지 따로 평가해야 합니다.
• 법령 조문을 기억에 의존해 인용 — 개정으로 번호와 내용이 바뀌므로 국가법령정보센터 현행본에서 확인합니다.

Python/TypeScript 구현 예제

# 기능 → 확인할 조문 목록을 PR 템플릿에 자동으로 붙이는 간단한 매퍼
from enum import Enum

class Feature(str, Enum):
    SIGNUP = "signup"
    CHILD_USERS = "child_users"
    SENSITIVE = "sensitive"
    EXPORT_TO_PARTNER = "export_to_partner"
    OVERSEAS_API = "overseas_api"
    BREACH_ALERT = "breach_alert"

ARTICLE_MAP: dict[Feature, list[str]] = {
    Feature.SIGNUP: ["법 제15조", "법 제16조", "법 제22조", "영 제17조"],
    Feature.CHILD_USERS: ["법 제22조의2", "영 제17조의2"],
    Feature.SENSITIVE: ["법 제23조", "영 제18조"],
    Feature.EXPORT_TO_PARTNER: ["법 제17조", "법 제18조", "법 제26조"],
    Feature.OVERSEAS_API: ["법 제28조의8", "영 제29조의10"],
    Feature.BREACH_ALERT: ["법 제34조", "영 제39조", "영 제39조의2", "영 제40조"],
}

def articles_for(features: set[Feature]) -> list[str]:
    seen: list[str] = []
    for f in features:
        for a in ARTICLE_MAP[f]:
            if a not in seen:
                seen.append(a)
    return seen

// 근거 층위를 타입으로 구분해 "권고"를 "의무"로 표시하지 않게 한다
type BasisKind = 'law' | 'decree' | 'notice' | 'guide' | 'standard' | 'best-practice';

const BINDING: ReadonlySet<BasisKind> = new Set(['law', 'decree', 'notice']);

interface Requirement {
  id: string;
  kind: BasisKind;
  article?: string; // 예: '제29조'
  text: string;
}

export function label(r: Requirement): string {
  return BINDING.has(r.kind) ? `[법적 의무] ${r.text}` : `[권고] ${r.text}`;
}

더 많은 예제는 구현 예제와 코드리뷰 체크리스트를 참고하세요.

개발 체크리스트

• 서비스가 업무 목적으로 개인정보파일을 운용하는지(제2조제5호) 확인했다
• 기능별로 해당 조문을 위 지도에서 찾아 설계 문서에 적었다
• 시행령·고시의 구체 기준(기간, 인원 기준, 암호화 대상)을 현행본에서 확인했다
• 다른 법률의 특별 규정(제6조)이 있는지 법무팀에 확인을 요청했다 (review-required)
• 제58조 적용 제외를 주장하는 경우, 제외되는 조문만 정확히 빼고 나머지 의무는 유지했다
• 익명정보 주장(제58조의2)에 재식별 위험 평가 기록이 있다
• 정책 문서에서 법적 의무와 안내서·표준·권장사항을 구분해 표시했다

공식 원문 링크와 확인일

아래 “근거 구분표”와 “공식 원문 링크”를 참고하세요. 법률·시행령·고시 조문은 2026-10-23에 국가법령정보센터 Open API로 받은 현행본과 대조했습니다. 안내서 해석과 다른 법률의 특별 규정 여부는 원문 대조 전이라 review-required입니다.