이름이나 주민등록번호만 개인정보라고 생각하기 쉽지만, 실제 개인정보의 범위는 훨씬 넓습니다. 얼굴이 찍힌 사진, 특정 사람의 위치 기록, 구매 내역, 인터넷 검색 기록도 상황에 따라 개인정보가 될 수 있습니다. 다른 정보와 결합해야 개인을 알아볼 수 있는 정보도 개인정보에 포함될 수 있기 때문입니다.
개인정보 보호법 제2조는 개인정보를 어떻게 정의하고, 개인정보를 처리하는 주체와 정보의 주체를 어떻게 구분하는지 규정합니다. CPPG 시험에서는 이 정의를 단순히 외우는 것뿐 아니라 사례를 보고 개인정보에 해당하는지 판단하는 능력도 중요합니다.
이번 글에서는 개인정보 보호법 제2조의 핵심 문구부터 개인정보 유형, 개인정보와 민감정보의 차이, 시험에서 헷갈리기 쉬운 사례까지 순서대로 정리합니다.
1. 개인정보란 무엇인가? 개인정보 보호법 제2조의 정의
「개인정보 보호법」 제2조 제1호에 따르면 개인정보란 살아 있는 개인에 관한 정보로서 다음 중 하나에 해당하는 정보를 말합니다.
- 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
- 그 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보
- 가명처리된 정보로서 원래 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보, 즉 가명정보
핵심은 개인정보가 반드시 이름이나 주민등록번호처럼 개인을 직접 식별할 수 있는 정보에 한정되지 않는다는 점입니다. 여러 정보가 결합되어 특정 개인을 알아볼 수 있다면 개인정보에 해당할 수 있습니다.
| 법적 기준 | 쉬운 설명 | 예시 |
|---|---|---|
| 살아 있는 개인에 관한 정보 | 살아 있는 자연인과 관련된 정보여야 함 | 생존한 사람의 이름, 연락처 |
| 개인을 알아볼 수 있는 정보 | 정보 자체로 특정 개인을 식별할 수 있음 | 이름과 주민등록번호, 개인을 식별할 수 있는 사진 |
| 다른 정보와 쉽게 결합 가능한 정보 | 다른 정보를 더하면 개인을 알아볼 수 있음 | 특정인의 소속 부서와 직급, 근무 일정 등의 조합 |
| 가명정보 | 추가 정보 없이는 개인을 알아보기 어렵도록 가명처리한 정보 | 이름을 임의의 식별값으로 대체한 연구용 데이터 |
여기서 가명정보는 일반적인 익명정보와 구분해야 합니다. 가명정보는 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 처리한 정보이며, 법에서 정한 개인정보의 범위에 포함됩니다. 가명처리를 했다는 이유만으로 개인정보 보호법의 적용 대상에서 자동으로 제외되는 것은 아닙니다.
2. 개인정보인지 판단하는 3가지 핵심 질문
시험 문제에서 어떤 정보가 개인정보인지 묻는다면, 다음 세 가지 질문을 순서대로 적용하면 판단하기 쉽습니다.
첫 번째: 살아 있는 개인에 관한 정보인가?
개인정보 보호법 제2조의 정의는 살아 있는 개인에 관한 정보를 대상으로 합니다. 사망한 사람에 관한 정보만으로는 원칙적으로 이 정의의 개인정보에 해당하지 않습니다. 다만 해당 정보에 살아 있는 가족 등 다른 개인에 관한 정보가 포함되어 있다면 별도로 판단해야 합니다.
회사 이름이나 제품 정보처럼 법인 또는 사물 자체에 관한 정보도 일반적으로 자연인에 관한 개인정보와는 구분됩니다. 하지만 회사 자료에 직원의 이름, 직통 전화번호, 인사평가 등이 포함되어 있다면 그 부분은 개인정보가 될 수 있습니다.
두 번째: 정보 자체로 개인을 알아볼 수 있는가?
이름, 주민등록번호, 개인을 식별할 수 있는 얼굴 사진처럼 특정 개인을 직접 알아볼 수 있는 정보가 대표적입니다. 연락처, 개인 이메일 주소, 계정 식별자 등도 개인과 연결되어 특정인을 알아볼 수 있다면 개인정보가 될 수 있습니다.
모든 사진이나 모든 번호가 항상 개인정보인 것은 아닙니다. 사진 속 인물을 알아볼 수 있는지, 번호가 누구와 연결되는지 등 구체적인 상황을 함께 살펴봐야 합니다.
세 번째: 다른 정보와 쉽게 결합하면 개인을 알아볼 수 있는가?
개인정보 보호법은 단독으로는 개인을 식별하기 어려운 정보도 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있다면 개인정보에 포함합니다.
예를 들어 어느 회사의 특정 부서에 직원이 한 명뿐이고, 그 직원의 근무시간과 방문 기록을 결합하면 누구인지 알 수 있다고 가정해 보겠습니다. 각 정보만 보면 개인을 특정하기 어려워도 조합을 통해 식별할 수 있다면 개인정보에 해당할 수 있습니다.
법에서는 다른 정보와 쉽게 결합할 수 있는지 판단할 때 다른 정보의 입수 가능성, 개인을 알아보는 데 필요한 시간·비용·기술 등을 합리적으로 고려하도록 규정합니다.
3. 개인정보의 유형과 실제 사례
개인정보는 이름과 연락처 같은 인적사항에만 국한되지 않습니다. 개인의 신체, 건강, 성향, 학력, 직장, 재산, 통신 및 위치와 관련된 정보도 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있다면 개인정보가 될 수 있습니다.
| 유형 | 주요 예시 | 기억할 점 |
|---|---|---|
| 인적 정보 | 성명, 주민등록번호, 주소, 연락처, 생년월일, 성별 | 개인을 식별하는 대표적인 정보 |
| 가족 정보 | 가족관계, 가족 구성원 정보 | 다른 가족 구성원에 관한 정보도 포함될 수 있음 |
| 신체 정보 | 얼굴, 홍채, 음성, 유전자 정보, 지문, 키, 몸무게 | 개인을 알아볼 수 있는지 확인 |
| 의료·건강 정보 | 건강상태, 진료기록, 병력, 장애 관련 정보 | 민감정보에 해당하는지 별도 검토 |
| 정신적 정보 | 성향, 가치관, 종교, 사상, 신념 | 법정 민감정보 해당 여부를 구분 |
| 교육 정보 | 학력, 성적, 출석기록, 자격증 보유 내역 | 특정 학생이나 개인과 연결되면 개인정보가 될 수 있음 |
| 근로·사회 정보 | 직장, 근무경력, 직무평가, 병역 관련 정보 | 인사·채용 업무에서 자주 다루는 정보 |
| 법적 정보 | 재판 관련 정보, 범죄경력 등 | 정보의 종류와 법적 보호 기준을 구분 |
| 재산·신용 정보 | 소득, 대출, 신용평가, 계좌번호, 부동산 보유 정보 | 개인과 연결되는 경우 개인정보가 될 수 있음 |
| 통신·온라인 정보 | 서비스 이용기록, 온라인 식별자, 검색 기록 | 계정·기기·기타 정보와 결합 가능성 확인 |
| 위치 정보 | 이동 경로, 위치 기록, 특정 장소 방문 내역 | 특정 개인의 위치를 알아볼 수 있는지 확인 |
이 표는 개인정보의 범위를 이해하기 위한 학습용 분류입니다. 모든 항목이 어떤 상황에서나 동일하게 개인정보가 되는 것은 아니며, 정보가 특정 개인과 연결되는지와 식별 가능성을 함께 고려해야 합니다.
4. 개인정보와 민감정보는 어떻게 다를까?
CPPG 시험에서 반드시 구분해야 할 개념 중 하나가 개인정보와 민감정보입니다. 민감정보는 개인정보의 한 종류로, 유출되거나 부적절하게 처리될 경우 사생활 침해 등 더 큰 피해를 일으킬 수 있어 법에서 별도로 보호하는 정보입니다.
「개인정보 보호법」 제23조는 민감정보의 처리를 제한하며, 법에서 정한 요건을 충족해야 처리할 수 있도록 규정합니다. 따라서 어떤 정보가 개인정보인지 판단하는 것과 민감정보인지 판단하는 것은 서로 다른 단계입니다.
| 구분 | 의미 | 예시 |
|---|---|---|
| 일반적인 개인정보 | 살아 있는 개인에 관한 정보로 법 제2조의 정의에 해당하는 정보 | 성명, 연락처, 주소 |
| 민감정보 | 개인정보 중 법에서 별도로 규정한 민감한 정보 | 사상·신념, 노동조합·정당 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보 등 |
| 개인정보가 될 수 있는 생체 관련 정보 | 개인을 식별하거나 개인과 연결할 수 있는 신체·생체 관련 정보 | 얼굴 사진, 지문, 홍채, 음성 등 |
| 개인정보 보호법상 생체인식정보 | 개인의 신체적·생리적·행동적 특징에 관한 정보 중 특정 개인을 알아보기 위해 기술적으로 처리되는 정보 | 개인 식별을 위한 지문·얼굴 특징값 등 |
주의할 점은 신체나 생체와 관련된 모든 정보가 자동으로 법정 민감정보가 되는 것은 아니라는 사실입니다. 예를 들어 얼굴 사진은 개인을 알아볼 수 있다면 개인정보가 될 수 있습니다. 다만 얼굴 사진을 어떤 목적으로 어떻게 처리하는지에 따라 생체인식정보 등 별도의 기준이 적용되는지 확인해야 합니다.
또한 법정 민감정보의 범위는 일상적인 의미의 ‘민감한 정보’와 완전히 같지 않습니다. 시험에서는 법 제23조에서 정한 범위를 기준으로 판단하는 습관을 들이세요.
5. 개인정보와 가명정보·익명정보의 차이
개인정보를 활용할 때는 개인을 알아볼 수 있는 정도에 따라 가명정보와 익명정보를 구분하는 것이 중요합니다. 특히 가명정보는 개인정보 보호법 제2조에서 별도로 정의하고 있으므로 시험에서 자주 혼동할 수 있는 개념입니다.
| 구분 | 개인 식별 가능성 | 핵심 특징 |
|---|---|---|
| 개인정보 | 직접 식별 가능하거나 다른 정보와 쉽게 결합해 식별 가능 | 법 제2조의 개인정보 정의에 해당 |
| 가명정보 | 추가 정보의 사용·결합 없이는 특정 개인을 알아보기 어려움 | 개인정보를 가명처리한 정보로 개인정보 보호법의 적용 대상 |
| 익명정보 | 합리적으로 가능한 방법을 사용해도 개인을 알아볼 수 없도록 처리된 정보 | 실제로 개인을 알아볼 수 없는 상태인지 판단 필요 |
가명정보는 추가 정보를 이용하면 원래 개인과 연결될 가능성이 남아 있습니다. 반면 익명정보는 합리적으로 가능한 방법을 사용해도 특정 개인을 알아볼 수 없도록 처리된 정보라는 점에서 차이가 있습니다.
단순히 이름을 삭제했다고 해서 익명정보가 되는 것은 아닙니다. 생년월일, 지역, 직업, 이용기록 등의 조합으로 개인을 알아볼 수 있다면 여전히 개인정보에 해당할 수 있습니다.
6. 개인정보인지 헷갈리는 사례 5가지
사례 1. 이름이 없는 고객번호
고객번호만으로는 누구인지 알 수 없더라도 회사가 보유한 고객 데이터베이스와 쉽게 결합해 고객을 알아볼 수 있다면 개인정보가 될 수 있습니다. 이름을 삭제했다는 사실만으로 개인정보가 아니라고 단정할 수 없습니다.
사례 2. CCTV에 촬영된 사람의 영상
영상으로 특정 개인을 알아볼 수 있다면 개인정보에 해당할 수 있습니다. 영상 속 인물을 알아볼 수 있는지, 영상이 어떤 목적으로 처리되는지 등을 고려해야 합니다.
사례 3. 여러 사람의 통계 자료
충분히 집계된 통계로 특정 개인을 알아볼 수 없다면 개인에 관한 개인정보에 해당하지 않을 수 있습니다. 하지만 소수 인원만 포함된 통계이거나 다른 정보와 결합해 개인을 식별할 수 있다면 별도의 검토가 필요합니다.
사례 4. 회사 대표 전화번호
법인이나 회사 자체에 관한 대표 전화번호는 일반적으로 자연인에 관한 개인정보와 구분됩니다. 반면 특정 직원의 직통번호나 개인 휴대전화 번호처럼 특정 개인과 연결되는 정보는 개인정보가 될 수 있습니다.
사례 5. 개인을 구분할 수 있는 위치 기록
위치 기록이 특정 계정이나 기기와 연결되고, 그 계정이나 기기의 사용자를 알아볼 수 있다면 개인정보가 될 수 있습니다. 위치 정보가 단독으로 개인을 식별하지 못하더라도 다른 정보와 쉽게 결합할 수 있는지 살펴봐야 합니다.
7. CPPG 시험에서 기억할 개인정보 보호법 제2조 핵심 용어
개인정보의 정의와 함께 제2조에 규정된 관련 용어도 정리해 두면 좋습니다.
| 용어 | 핵심 의미 | 암기 포인트 |
|---|---|---|
| 개인정보 | 살아 있는 개인에 관한 정보로 법정 정의에 해당하는 정보 | 직접 식별, 쉽게 결합, 가명정보 |
| 가명처리 | 추가 정보 없이는 특정 개인을 알아볼 수 없도록 개인정보의 일부를 삭제하거나 대체하는 등의 처리 | 추가 정보와의 연결 가능성 |
| 처리 | 수집, 생성, 연계, 기록, 저장, 이용, 제공, 공개, 파기 등 개인정보에 대한 일련의 행위 | 단순 수집뿐 아니라 이용·보관·파기도 포함 |
| 정보주체 | 처리되는 정보에 의하여 알아볼 수 있는 사람으로 그 정보의 주체 | 개인정보의 주인에 해당하는 사람 |
| 개인정보파일 | 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 집합물 | 검색하기 쉽도록 체계적으로 구성 |
| 개인정보처리자 | 업무를 목적으로 개인정보파일을 운용하기 위해 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등 | 업무 목적과 개인정보파일 운용 |
특히 ‘처리’의 의미를 좁게 이해하지 않는 것이 중요합니다. 개인정보를 수집하는 행위뿐 아니라 저장, 검색, 출력, 정정, 이용, 제공, 공개, 파기 등도 법에서 말하는 처리에 포함됩니다.
실무에서 중요한 이유: 보안 운영에서는 개인정보를 수집하는 시스템만 점검해서는 충분하지 않습니다. 개인정보가 저장된 DB, 조회 권한, 출력 파일, 외부 전송 경로, 로그 및 파기 절차까지 확인해야 하는 이유가 바로 개인정보 처리의 범위가 넓기 때문입니다.
8. CPPG 암기 포인트 요약
- 개인정보 보호법 제2조 제1호: 개인정보의 정의
- 핵심 문구: 살아 있는 개인에 관한 정보
- 식별 기준: 정보 자체로 식별 가능하거나 다른 정보와 쉽게 결합해 식별 가능
- 가명정보: 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 가명처리한 정보
- 개인정보와 민감정보: 민감정보는 개인정보의 한 종류이며 별도의 처리 제한이 적용될 수 있음
- 개인정보 처리: 수집·저장뿐 아니라 이용·제공·공개·파기 등도 포함
- 판단할 때 주의할 점: 이름 삭제, 고객번호 부여, 일부 정보 마스킹만으로 개인정보가 아니라고 단정하지 않기
9. CPPG 확인 문제 5개
아래 문제는 개인정보 보호법 제2조의 기본 개념을 확인하기 위한 학습용 문제입니다. 실제 기출문제가 아닙니다.
문제 1. 개인정보 보호법 제2조의 개인정보 정의에 대한 설명으로 옳은 것은?
- 이름과 주민등록번호만 개인정보에 해당한다.
- 살아 있는 개인에 관한 정보로서 법에서 정한 요건에 해당하는 정보가 개인정보다.
- 다른 정보와 결합해야 식별되는 정보는 개인정보가 아니다.
- 개인정보는 전자파일 형태로 저장된 정보만을 의미한다.
정답: 2번
개인정보는 이름이나 주민등록번호에 한정되지 않습니다. 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 정보도 개인정보에 포함될 수 있으며, 정보의 형태에도 제한이 없습니다.
문제 2. 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는지 판단할 때 법에서 고려하도록 한 요소는?
- 정보를 저장한 서버의 제조사만 고려한다.
- 정보의 파일 확장자와 저장 용량만 고려한다.
- 다른 정보의 입수 가능성과 식별에 필요한 시간·비용·기술 등을 고려한다.
- 정보를 보유한 회사의 매출만 고려한다.
정답: 3번
법 제2조는 다른 정보의 입수 가능성과 개인을 알아보는 데 필요한 시간, 비용, 기술 등을 합리적으로 고려하도록 규정합니다.
문제 3. 가명정보에 대한 설명으로 옳은 것은?
- 가명처리를 하면 언제나 개인정보 보호법의 적용을 받지 않는다.
- 이름을 삭제한 모든 데이터는 가명정보가 된다.
- 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 가명처리한 정보다.
- 가명정보는 반드시 종이 문서로만 존재해야 한다.
정답: 3번
가명정보는 개인정보를 가명처리한 정보로 법 제2조에서 정의합니다. 이름을 삭제했다는 사실만으로 가명정보 또는 익명정보가 되는 것은 아니며, 처리 결과와 추가 정보의 관계를 살펴봐야 합니다.
문제 4. 다음 중 개인정보에 해당할 가능성이 가장 높은 것은?
- 특정 개인을 전혀 알아볼 수 없도록 집계한 전국 단위 통계
- 특정 개인과 연결되지 않는 일반적인 제품 설명
- 고객 이름을 삭제했지만 고객 DB와 쉽게 결합해 해당 고객을 알아볼 수 있는 고객번호
- 개인과 무관한 회사의 일반적인 제품 모델명
정답: 3번
고객번호만으로는 개인을 알아볼 수 없더라도 고객 DB와 쉽게 결합해 식별할 수 있다면 개인정보가 될 수 있습니다. 정보 하나만 따로 보지 말고 다른 정보와의 결합 가능성까지 판단해야 합니다.
문제 5. 개인정보 보호법 제2조에서 말하는 개인정보 처리에 포함되는 행위로 옳은 것은?
- 개인정보의 수집만 포함된다.
- 개인정보의 수집과 이용은 포함되지만 파기는 포함되지 않는다.
- 개인정보의 저장, 이용, 제공, 공개, 파기 등도 포함된다.
- 개인정보를 종이로 출력하는 행위는 포함되지 않는다.
정답: 3번
법 제2조의 ‘처리’에는 수집·생성·저장·이용·제공·공개·파기 등 다양한 행위가 포함됩니다. 개인정보를 다루는 전 과정이 처리 범위에 들어갈 수 있다는 점을 기억하세요.
10. 자주 묻는 질문(FAQ)
Q1. 개인정보 보호법 제2조에서 가장 중요한 내용은 무엇인가요?
개인정보의 정의입니다. 살아 있는 개인에 관한 정보 중 개인을 알아볼 수 있는 정보와 다른 정보와 쉽게 결합해 알아볼 수 있는 정보, 법에서 정의한 가명정보를 이해하는 것이 핵심입니다.
Q2. 이름이나 주민등록번호가 없으면 개인정보가 아닌가요?
그렇지 않습니다. 이름이나 주민등록번호가 없더라도 다른 정보와 쉽게 결합해 특정 개인을 알아볼 수 있다면 개인정보에 해당할 수 있습니다. 고객번호, 온라인 식별자, 위치 기록 등도 구체적인 상황에 따라 개인정보가 될 수 있습니다.
Q3. 가명정보와 익명정보는 같은 의미인가요?
같지 않습니다. 가명정보는 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없도록 처리한 개인정보입니다. 익명정보는 합리적으로 가능한 방법을 사용해도 개인을 알아볼 수 없도록 처리된 정보라는 점에서 구분됩니다.
Q4. 사진이나 음성도 개인정보인가요?
사진이나 음성으로 특정 개인을 알아볼 수 있다면 개인정보가 될 수 있습니다. 다만 사진이나 음성이라는 형식만으로 모든 경우를 단정할 수는 없으며, 개인 식별 가능성과 처리 맥락을 함께 검토해야 합니다.
Q5. 민감정보는 개인정보와 다른 개념인가요?
민감정보는 개인정보와 완전히 별개인 개념이 아니라 개인정보 중 법에서 별도로 규정한 정보입니다. 민감정보에 해당하는 경우에는 개인정보 보호법 제23조 등 관련 규정에 따른 처리 제한을 확인해야 합니다.
다음 CPPG 학습 주제
개인정보의 정의를 이해했다면 다음에는 개인정보가 왜 보호되어야 하는지, 프라이버시와 개인정보는 어떤 관계인지 살펴보는 것이 좋습니다. 개인정보의 유형을 암기하는 데 그치지 않고 정보주체의 권리와 개인정보 처리 원칙으로 연결하면 이후 법령 과목을 공부하기도 수월해집니다.
- 다음 글: 프라이버시란 무엇인가? 개인정보보호의 중요성과 개인정보의 가치 쉽게 이해하기
- 내부 링크 제안: ‘CPPG 자격증이란?’ 글을 개인정보 보호법 제2조를 처음 소개하는 문단에 연결하세요.
- 관련 글 연결: 민감정보, 고유식별정보, 가명정보를 다루는 후속 글이 발행되면 해당 용어가 등장하는 표와 설명에 링크를 추가하세요.
공식 법령 확인: 국가법령정보센터 개인정보 보호법 제2조에서 최신 시행 법령을 확인할 수 있습니다. 시험 대비 시에는 교재의 설명과 함께 시험 기준일에 적용되는 법령을 확인하세요.