함께 확인할 관련 법률 — 언제 개인정보 보호법 밖을 봐야 하나

한 문장 결론

개인정보 보호법은 다른 법률에 특별한 규정이 없을 때 적용되는 일반법(제6조)이므로, 통신 내용 수집·광고 발송·직원 감시·금융 데이터·크롤링처럼 특정 영역에 닿는 기능은 해당 영역의 법률을 반드시 따로 확인해야 하고, 이 문서는 “언제 확인해야 하는지”를 알려줄 뿐 다른 법률의 요건을 확정하지 않습니다.

원문을 대조한 다른 법률 조문은 통신비밀보호법 제2조·제3조(법률 제21989호, 2026.10.2. 시행), 근로자참여법 제20조제1항제14호(법률 제18927호), 저작권법 제7조(법률 제21336호), 정보통신망법 제22조의2·제50조(법률 제21988호)와 같은 법 시행령 제9조의2·제61조~제62조의3(대통령령 제36728호)입니다. 정보통신망법의 그 밖의 조문과 근로기준법(법률 제21533호)은 현행 버전만 확인했고 개별 조문은 review-required입니다. 원문을 대조한 조문도 특정 기능에 어떻게 적용되는지는 법무 검토로 판단해야 합니다.

적용 조건과 예외

상황별로 확인할 법률

이런 기능을 만든다면	확인할 법률	확인할 쟁점
통화 녹음, 메신저·이메일 내용 수집, 패킷 캡처, 타인 간 대화 저장	통신비밀보호법	당사자 동의 없는 감청(제2조제7호)에 해당하는지, 공개되지 아니한 타인간 대화의 녹음·청취(제3조제1항)인지 — 조문 대조 완료, 기능별 해당 여부는 review-required
통신 로그, 접속 IP·위치 기록을 외부에 제공	통신비밀보호법	통신사실확인자료(제2조제11호) 제공에 해당하는지 — 조문 대조 완료, 해당 여부는 review-required
이메일·문자·앱 푸시로 광고성 정보 발송	정보통신망법	명시적 사전 동의, 야간(2108시) 별도 동의, 수신거부 처리, 14일 이내 처리 결과 통지, 2년마다 동의 확인(제50조, 시행령 제61조제62조의3, 대조 완료). 앱 푸시 해당 여부는 review-required → 광고성 정보 전송
일반 이용자 대상 온라인 서비스 운영	정보통신망법	정보통신서비스 제공자에 해당하는지, 개인정보 보호법과 별개인 의무 (review-required)
직원 PC·업무 메신저 모니터링, CCTV·출입 기록, 생산성 분석	근로자참여법, 근로기준법, 통신비밀보호법	사업장 내 근로자 감시 설비 설치는 노사협의회 협의 사항(근로자참여법 제20조제1항제14호, 대조 완료). 모니터링 도구가 “감시 설비”인지, 취업규칙 반영 필요성(근로기준법, review-required), 통신 내용 열람 여부
웹 크롤링, LLM 학습 데이터 수집	저작권법	법령·판결·고시 등과 사실 전달에 불과한 시사보도는 보호받지 못함(제7조, 대조 완료). 그 밖의 저작물 이용 범위와 데이터베이스 보호는 review-required
대출·결제·신용평가·마이데이터	신용정보의 이용 및 보호에 관한 법률	개인신용정보 해당 여부, 개인정보 보호법보다 우선하는 특별 규정
위치 기반 기능(실시간 위치, 이동 경로)	위치정보의 보호 및 이용 등에 관한 법률	위치정보사업·위치기반서비스사업 해당 여부, 위치정보 수집 동의
온라인 쇼핑몰 거래기록 보관	전자상거래 등에서의 소비자보호에 관한 법률	거래기록 보존 의무와 기간(개인정보 보호법 제21조제1항 단서 “다른 법령에 따라 보존”)
의료·건강 서비스	의료법 등 보건의료 관련 법률	진료기록 처리 규정, 민감정보 처리의 법령 근거

신용정보법, 위치정보법, 전자상거래법, 의료법은 이 사이트의 출처 레지스트리에 아직 등록되지 않아 근거 구분표에 표시되지 않습니다.

개인정보 보호법 안에서 확인 가능한 연결 고리 (원문 대조 완료)

다른 법률의 내용은 확인하지 못했지만, 개인정보 보호법령 원문 자체가 다른 법률을 인용하는 지점은 확인했습니다.

• 제6조제1항: 다른 법률에 특별한 규정이 있으면 그 규정이 우선합니다.
• 제15조제1항제2호, 제17조제1항제2호, 제18조제2항제2호, 제23조제1항제2호, 제24조제1항제2호: “법률에 특별한 규정”, “법령에서 처리를 요구하거나 허용하는 경우”가 처리 근거가 됩니다. 다른 법률이 처리 근거가 될 수 있다는 뜻입니다.
• 제21조제1항 단서: 다른 법령에 따라 보존해야 하면 파기하지 않을 수 있고, 제3항에 따라 분리 저장해야 합니다.
• 개정법(제21445호) 부칙 제4조: 신용정보법 제20조와 정보통신망법 제45조의3이 개인정보 보호법 제31조(개인정보 보호책임자)를 인용하는 부분을 함께 고쳤습니다.
• 시행령 제21조제4항제3호: 신용정보법 제45조의5에 따른 상시평가 등 다른 법률의 정기 점검을 고유식별정보 안전조치 조사로 인정할 수 있는 경우를 둡니다.
• 안전성 확보조치 기준 제2조: “이용자”는 정보통신망법 제2조제1항제4호의 정보통신서비스 이용자를, “정보통신망”은 같은 법 제2조제1항제1호를 인용합니다. 고시 제7조제2항(이용자 개인정보 암호화)의 적용 범위가 이 정의에 따라 달라집니다.

실제 법적 근거

• 「개인정보 보호법」 제6조 ① 개인정보의 처리 및 보호에 관하여 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다. ② 개인정보의 처리 및 보호에 관한 다른 법률을 제정하거나 개정하는 경우에는 이 법의 목적과 원칙에 맞도록 하여야 한다.
• 「통신비밀보호법」 제3조제1항: 누구든지 이 법과 「형사소송법」 등에 따르지 아니하고는 우편물의 검열·전기통신의 감청 또는 통신사실확인자료의 제공을 하거나 공개되지 아니한 타인간의 대화를 녹음 또는 청취하지 못한다.
• 같은 법 제2조제7호: “감청”은 전기통신에 대하여 당사자의 동의없이 전자장치·기계장치등을 사용하여 통신의 음향·문언·부호·영상을 청취·공독하여 그 내용을 지득 또는 채록하거나 송·수신을 방해하는 것. 제11호: “통신사실확인자료”에는 전기통신일시, 개시·종료시간, 상대방 가입자번호, 인터넷 로그기록자료, 발신기지국 위치추적자료, 접속지 추적자료 등이 포함됩니다.
• 「근로자참여 및 협력증진에 관한 법률」 제20조제1항: 협의회가 협의하여야 할 사항으로 제14호 **“사업장 내 근로자 감시 설비의 설치”**를 둡니다. (같은 조 제5호 “인사·노무관리의 제도 개선”, 제9호 “신기계·기술의 도입”도 함께 검토 대상이 될 수 있습니다.)
• 「저작권법」 제7조: 헌법·법률·조약·명령·조례 및 규칙(제1호), 국가 또는 지방자치단체의 고시·공고·훈령 등(제2호), 법원의 판결·결정 등(제3호), 이들의 국가·지자체 편집물·번역물(제4호), 사실의 전달에 불과한 시사보도(제5호)는 보호를 받지 못합니다.
• 정보통신망법(제22조의2·제50조와 시행령 해당 조문 제외), 근로기준법, 신용정보법 등의 개별 조문: 원문 미확인. 근거 구분표에 review-required로 표시했습니다.

(개인정보 보호법은 법률 제21445호, 통신비밀보호법은 법률 제21989호, 근로자참여법은 법률 제18927호, 저작권법은 법률 제21336호 기준으로 국가법령정보센터 원문과 대조함.)

개발자용 실무 해설

1. “내용”과 “메타데이터”를 구분합니다

통신비밀보호법은 통신의 내용을 지득·채록하는 감청(제2조제7호)과 통신에 관한 사실인 통신사실확인자료(제2조제11호: 통신일시, 상대방 번호, 로그기록, 접속지 추적자료 등)를 구분해 정의합니다. 설계 문서에 어떤 것을 수집하는지 명확히 나누어 적으면 법무 검토가 빨라집니다. 특히 사내 보안 솔루션(DLP, 메신저 아카이빙, TLS 복호화 프록시)이 메시지 본문을 저장하는지, 그것이 “당사자의 동의 없는” 지득에 해당하는지 확인하세요. 회사가 통신 당사자인지, 동의를 어떻게 받았는지에 따라 판단이 달라질 수 있어 개별 기능의 해당 여부는 review-required입니다.

2. 광고 발송은 개인정보 보호법 동의와 별도 트랙으로 봅니다

개인정보 보호법 제22조제1항제7호는 홍보·판매 권유 목적의 처리에 대한 동의를 구분해 받도록 합니다. 정보통신망법 제50조는 이와 별도로 광고성 정보 전송 자체에 수신자의 명시적 사전 동의를 요구하고, 야간 전송·수신거부·정기 확인 규칙을 둡니다(원문 대조 완료). 두 동의를 하나의 체크박스로 합칠지는 법무 확인 후 정하되(review-required), 데이터 모델에서는 채널별(이메일·SMS·푸시) 수신 상태와 변경 이력을 따로 저장합니다. → 광고성 정보 전송과 마케팅 수신동의, 동의 UI

3. 직원 모니터링은 세 겹으로 봅니다

층	질문	근거
개인정보 보호법	처리 근거(제15조), 최소 수집(제16조), 처리방침 공개(제30조)를 갖췄는가	원문 대조 완료
근로자참여법	“사업장 내 근로자 감시 설비의 설치”로서 노사협의회 협의 대상인가	제20조제1항제14호 대조 완료, 해당 여부는 review-required
근로기준법	취업규칙 반영이 필요한가	review-required
통신비밀보호법	통신 내용을 당사자 동의 없이 지득·채록하는가(제2조제7호, 제3조제1항)	조문 대조 완료, 해당 여부는 review-required

→ 활동 모니터링, 직원 정보

4. 크롤링·학습 데이터는 저작권과 개인정보가 동시에 걸립니다

공개된 웹페이지라도 저작권 쟁점과 개인정보 쟁점이 각각 존재합니다. 법령·고시·판결과 사실의 전달에 불과한 시사보도는 저작권법 제7조에 따라 보호받지 못하지만, 법령 해설서, 판례 평석, 일반 기사·블로그 글은 제7조에 해당하지 않으므로 별도 검토가 필요합니다(review-required). 이 사이트가 법령 원문 발췌를 싣는 근거도 제7조입니다. 저작권 문제가 없는 데이터라도 게시글 속 이름·연락처는 개인정보 보호법이 따로 적용됩니다. → AI 학습 데이터

권장 설계

• 기능 설계 문서에 “관련 법률 체크” 섹션을 둡니다. 위 상황표의 행 중 해당하는 것을 체크하고, 법무 검토 요청 링크를 붙입니다.
• 처리 근거 메타데이터에 “다른 법률” 값을 허용합니다. 예: basis: LEGAL_OBLIGATION, law: "전자상거래법", article: "확인 필요", reviewedBy: null. 검토자가 비어 있으면 배포 전 경고를 띄웁니다.
• 보존 의무 데이터는 분리 저장합니다. 다른 법령에 따른 보존은 제21조제3항에 따라 다른 개인정보와 분리해야 하므로 별도 스키마·테이블·버킷으로 설계합니다.

위험한 설계

• 사내 메신저 본문 전체를 보안 목적이라며 무기한 수집·검색 가능하게 저장
• 마케팅 수신 동의 하나로 개인정보 처리 동의와 광고 전송 동의를 동시에 처리하고 채널별 상태를 저장하지 않음
• “공개된 데이터니까” 크롤링한 게시글·프로필을 그대로 학습 데이터로 사용
• 다른 법률의 보존 의무를 이유로 탈퇴 회원의 전체 프로필을 원래 테이블에 그대로 둠
• 다른 법률의 조문 번호를 확인 없이 코드 주석·처리방침에 기재

Python/TypeScript 구현 예제

# 기능 플래그 → 확인할 관련 법률 목록. 결과는 법무 검토 요청 템플릿에 붙인다.
from dataclasses import dataclass

@dataclass(frozen=True)
class LawCheck:
    law: str
    reason: str
    status: str = "review-required"  # 원문 미확인

RULES = {
    "stores_message_content": LawCheck("통신비밀보호법", "통신 내용 수집·저장"),
    "sends_ads": LawCheck("정보통신망법", "광고성 정보 전송"),
    "monitors_employees": LawCheck("근로자참여법 제20조제1항제14호", "근로자 감시 설비 협의 여부"),
    "crawls_web": LawCheck("저작권법", "저작물 복제·이용 (제7조 비보호 대상 여부 포함)"),
    "uses_credit_data": LawCheck("신용정보법", "개인신용정보 특별 규정"),
    "uses_location": LawCheck("위치정보법", "위치정보 수집·이용"),
}

def related_law_checks(flags: set[str]) -> list[LawCheck]:
    return [RULES[f] for f in sorted(flags) if f in RULES]

// 보존 의무 데이터는 별도 저장소로 이동하고 근거 법률을 기록한다 (개인정보 보호법 제21조제3항)
interface RetentionHold {
  subjectId: string;
  dataset: 'orders' | 'payments';
  law: string;          // 예: '전자상거래법' — 조문은 법무 확인 후 기입
  article?: string;     // 확인 전에는 비워 둔다
  holdUntil: string;    // ISO 날짜, 법무 확인 값
  reviewedBy?: string;
}

export function assertReviewed(h: RetentionHold): void {
  if (!h.article || !h.reviewedBy) {
    throw new Error(`보존 근거 검토 필요: ${h.dataset} (${h.law})`);
  }
}

개발 체크리스트

• 기능이 통신 내용, 광고 발송, 직원 감시, 신용·위치·의료 데이터, 크롤링 중 어디에 해당하는지 표시했다
• 해당하는 법률마다 법무 검토를 요청했다 (review-required)
• 통신 “내용”과 “메타데이터”를 구분해 수집 범위를 문서화했다
• 광고성 정보 수신 상태를 채널별로 저장하고 변경 이력을 남긴다
• 다른 법령에 따른 보존 데이터는 분리 저장한다(개인정보 보호법 제21조제3항)
• 코드·처리방침에 다른 법률 조문을 적을 때는 원문 확인 후 기재한다

공식 원문 링크와 확인일

아래 “근거 구분표”와 “공식 원문 링크”를 참고하세요. 2026-10-23에 국가법령정보센터 Open API 현행본과 대조한 범위는 개인정보 보호법령(법률·시행령·고시), 통신비밀보호법 제2조·제3조, 근로자참여법 제20조, 저작권법 제7조, 정보통신망법 제22조의2·제50조와 같은 법 시행령 제9조의2·제61조~제62조의3입니다. 정보통신망법의 그 밖의 조문, 근로기준법 개별 조문과 신용정보법·위치정보법·전자상거래법·의료법은 원문을 대조하지 않아 review-required이며, 국가법령정보센터에서 현행본을 직접 확인해야 합니다.