SaaS / 웹서비스 개발 시 고려해야 할 한국 IT 법률 및 아키텍처 가이드

GeekNews 을 보다가 legalize-kr 을 발견했습니다. 이를 보고 생각난게, AI 을 통해서 웹 서비스 개발에 대한 가이드를 작성할 수 있지 않을까? 생각이 들어 작성해 보았습니다.

아래의 내용은 Claude Code + Opus 5 을 사용했습니다. AI Generated 인 만큼 틀린 내용이 있을 수 있으니 맹신하지 말고 참고만 하세요. 고려해야 하지만 빠진 법률들이 있을 수 있으며, 해석의 오류가 있을수도 있습니다.

---

SaaS / 웹서비스 개발 시 고려해야 할 한국 IT 법률 및 아키텍처 가이드

근거 자료: https://github.com/legalize-kr/legalize-kr/tree/main/kr 에 수록된 법령 원문(법률·시행령·시행규칙)
작성 기준일: 2026-07-29

⚠️ 0. 먼저 읽을 것 — 이 문서의 기준 법령 버전

수록된 법령은 최신 공포본(일부는 아직 시행 전) 입니다. 조문을 인용할 때 반드시 시행일을 확인하세요.

법령	이 문서가 참조한 버전의 시행일	작성 기준일(2026-07-29) 현재
개인정보 보호법	2026-09-11	시행 전 (2026.3.10 공포)
정보통신망법	2026-10-01	시행 전
신용정보법	2026-08-13	시행 전
전자상거래법	2026-07-21	시행 중
전기통신사업법	2026-11-20	시행 전
전자금융거래법	2026-12-17	시행 전
저작권법	2026-10-29	시행 전
위치정보법	2025-10-01	시행 중
클라우드컴퓨팅법	2025-10-01	시행 중
통신비밀보호법	2025-08-01	시행 중
인공지능 기본법	2026-01-22	시행 중
약관규제법	2024-02-09	시행 중

즉, 이 문서는 "2026년 하반기~연말에 순차 시행되는 강화된 규제"를 기준으로 설계 가이드를 제시합니다. 지금 설계를 시작한다면 어차피 개발·출시 시점에 이 버전들이 적용되므로, 이 기준으로 만드는 것이 맞습니다. 다만 현시점 감독·처벌은 구 버전 기준이므로, 이미 운영 중인 서비스의 위반 판단에는 구 조문을 확인해야 합니다.

또한 시행령이 위임한 세부 기준(고시) 은 이 저장소에 없습니다. 실제 구현 시 아래 고시를 별도로 확인해야 합니다.

• 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시) — 영 제30조 제3항 위임
• 「전자금융감독규정」(금융위) — 전금법 제21조 제2항 위임
• 「신용정보업감독규정」(금융위) — 신정법 영 제16조 제2항 위임
• 「ISMS-P 인증 등에 관한 고시」 — 망법 제47조 제4항 위임

---

1. 내 서비스가 어떤 법의 적용을 받는가 (지위 매핑)

법 적용은 "IT 서비스냐"가 아니라 "어떤 법적 지위에 해당하냐" 로 결정됩니다. 웹/SaaS 사업자는 보통 아래 지위를 동시에 여러 개 갖습니다.

법적 지위	근거	해당 요건	일반 SaaS 해당 여부
개인정보처리자	개보법 §2 5호	업무 목적으로 개인정보파일을 운용	✅ 회원제면 거의 100%
정보통신서비스 제공자	망법 §2①3호	영리 목적으로 전기통신역무를 이용해 정보를 제공·매개	✅ 거의 100%
부가통신사업자	전기통신사업법 §22①	부가통신사업 경영	✅ 신고 의무 (자본금 1억 이하 소규모는 신고 의제, §22⑤1호)
통신판매업자	전상법 §2 3호	통신판매를 업으로 함	✅ 유료 서비스 판매 시 신고 의무 (§12①)
사이버몰 운영자	전상법 §10	전자상거래용 가상 영업장 운영	✅ 유료 서비스 판매 시
신용정보제공·이용자 (=상거래기업 및 법인)	신정법 §2 7호, §45의3①	상거래를 위해 얻은 신용정보를 제공/제공받아 영업에 이용	⚠️ 결제·정산·미납·연체 정보를 다루면 해당 → 뒤 §5 참조
위치기반서비스사업자	위치정보법 §2 7호, §9	개인위치정보를 이용한 서비스 제공	⚠️ GPS/기지국 측위 사용 시 신고 의무
전자금융업자	전금법 §28②	PG(전자지급결제대행), 선불충전, 직불 발행 등	⚠️ 자체 결제/포인트 충전 구조면 등록 의무
온라인서비스제공자(OSP)	저작권법 §102	송신·캐싱·호스팅·검색 제공	⚠️ UGC/파일 업로드 있으면 해당
인공지능사업자	AI기본법 §2 7호	AI를 개발·제공 또는 이용해 제품/서비스 제공	⚠️ LLM 기능 붙이면 AI이용사업자로 해당
클라우드컴퓨팅서비스 제공자	클라우드법 §2	클라우드컴퓨팅서비스 제공	⚠️ IaaS/PaaS/SaaS를 남에게 제공하면 해당

국외 사업자도 예외 없음: 망법 §5의2, 전기통신사업법 §2의2, AI기본법 §4①은 모두 "국외 행위라도 국내 시장·이용자에게 영향을 미치면 적용"이라고 명시합니다. 해외 법인으로 한국 서비스를 하는 구조는 회피 수단이 되지 않습니다.

1.1 규모별로 새로 생기는 의무 (설계 시 미리 대비할 임계값)

임계값	발생하는 의무	근거
소상공인 초과	개인정보 보호책임자(CPO) 지정 의무	개보법 §31①, 영 §32①
매출 10억↑ AND 일평균 정보주체 1만명↑	손해배상책임 보험/공제 가입 또는 준비금 적립	개보법 §39의7, 영 §48의7
일평균 이용자 10만명↑ AND 매출 10억↑ + 청소년유해매체물 취급	청소년보호책임자 지정	망법 §42의3, 영 §25
정보주체 5만명↑(민감/고유식별정보) 또는 100만명↑(일반)	① 수집출처 통지 의무 ② 이용·제공내역 연 1회 통지 의무	개보법 §20②·§20의2, 영 §15의2·§15의3
고유식별정보 5만명↑	안전성 확보조치 정기 조사 대상(3년 1회)	개보법 §24④, 영 §21②
정보통신서비스 부문 매출 100억↑ 또는 일평균 이용자 100만명↑	ISMS 인증 의무	망법 §47②3호, 영 §49②
일평균 이용자 100만명↑	개인정보취급자 PC의 인터넷망 차단 의무	개보법 영 §30①3호 나목
매출 1,500억↑ + (민감/고유식별 5만명↑ 또는 일반 100만명↑)	CPO 자격요건(별표 1) 충족자 지정 의무	개보법 영 §32④
자산총액 5조↑ 또는 (ISMS 의무 + 자산 5천억↑)	CISO를 이사(등기임원)로 지정 + 겸직 금지	망법 §45의3①③, 영 §36의7①2호·⑤
자산총액·매출 일정 기준↑	정보보호위원회 설치·운영 (CISO가 위원장)	망법 §45의4 (2026-10-01 시행)
일평균 이용자 100만명↑ + 별표1 서비스	대규모 정보통신서비스 제공자 — 투명성보고서·불법정보 조치 등	망법 §2①3호의2, 영 §2의2

---

2. 회원가입 / 동의

2.1 수집 근거를 먼저 정한다 (동의 만능주의 탈피)

개보법 §15①은 7가지 근거를 두고 있고, 동의는 그중 하나일 뿐입니다. 실무에서 가장 중요한 것은:

• §15①4호 (계약 이행): 회원가입·서비스 제공에 반드시 필요한 항목(ID, 이메일, 비밀번호 등)은 동의 없이 수집 가능. → 이걸 "필수 동의"로 받으면 오히려 잘못된 설계입니다.
• §15①6호 (정당한 이익): 부정이용 방지, 보안 로그 등. 단 "명백하게 정보주체 권리보다 우선"해야 하고 합리적 범위 초과 금지.
• §22③: 동의 없이 처리하는 개인정보는 항목과 법적 근거를 동의 대상과 구분해서 처리방침에 공개하거나 이메일 등으로 알려야 함. 입증책임은 사업자.

설계 원칙: 가입 폼의 각 필드마다 수집근거 메타데이터를 붙이고, 동의 화면은 "동의가 필요한 것만" 노출합니다.

2.2 동의를 받을 때의 형식 요건

요건	내용	근거
구분 동의	수집·이용 / 제3자 제공 / 목적외 이용 / 민감정보 / 고유식별정보 / 마케팅 은 각각 별도 동의	개보법 §22① 각 호
4가지 고지사항	①목적 ②항목 ③보유·이용기간 ④거부권 및 거부 시 불이익	개보법 §15②
제3자 제공 시 5가지	①제공받는 자 ②그의 이용목적 ③제공항목 ④그의 보유·이용기간 ⑤거부권·불이익	개보법 §17②
자유로운 의사	자유롭게 결정 가능 / 구체적·명확 / 쉬운 문구 / 명확한 표시 방법 제공	영 §17①
다크패턴 금지	선택 동의 여부를 명확히 알 수 있게 표시 / 미리 체크(pre-ticked) 금지	영 §17④, 전상법 §21의2①2호
최소수집	최소 정보 외 수집에는 동의 안 할 수 있다는 사실을 구체적으로 알림	개보법 §16②
거부 시 서비스 거부 금지	선택 동의 미동의를 이유로 서비스 제공 거부 금지	개보법 §16③, §22⑤
중요내용 명확 표시	마케팅 연락 사실, 민감정보, 여권/운전면허/외국인등록번호, 보유기간, 제공받는 자 → 부호·색채·굵은 글씨 등으로 강조	개보법 §22②, 영 §17③

2.3 만 14세 미만 아동 (개보법 §22의2)

• 법정대리인 동의 필수 + 동의했는지 확인까지 해야 함.
• 확인 방법(영 §17의2①): 휴대전화 문자 알림 / 카드정보 / 휴대전화 본인인증 / 서면·팩스 / 이메일 / 전화 2회 등.
• 법정대리인 동의를 받기 위한 최소정보(성명·연락처) 는 아동에게서 직접 수집 가능(§22의2②, 영 §17의2②).
• 아동에게 고지할 때는 이해하기 쉬운 양식과 언어 사용(§22의2③).
• 위반 시 형사처벌: 5년 이하 징역 또는 5천만원 이하 벌금(§71 3호) + 과징금(§64의2①2호).
• 챗봇/생성AI 서비스라면 추가로 망법 §44의8: 14세 미만 아동에게 대화형 서비스 제공 시 부적절한 정보가 제공되지 않도록 노력 의무.

설계: 생년월일을 가입 단계에서 받아 14세 미만 분기 → 별도 법정대리인 동의 플로우 → 동의 확인 증적(방법·시각·수단) 저장.

2.4 주민등록번호는 원칙적으로 못 쓴다

• 개보법 §24의2①: 법률·대통령령·각종 규칙에서 구체적으로 요구/허용한 경우가 아니면 처리 불가.
• 망법 §23의2: 정보통신서비스 제공자는 본인확인기관으로 지정받은 경우 등을 제외하고 수집·이용 불가.
• 개보법 §24의2③: 법적 근거가 있어 처리하는 경우에도 홈페이지 회원가입 단계에서는 주민번호 없이 가입할 수 있는 방법을 반드시 제공해야 함.
• 저장 시 암호화 의무(전자적 보관 전량) — 개보법 §24의2②, 영 §21의2.

대체수단: 본인확인기관의 연계정보(CI) — 주민번호를 비가역 암호화한 값(망법 §23의5). 단 CI는 §23의5① 각 호의 경우만 생성·처리 가능하고, CI 이용기관은 CI를 주민번호와 분리 보관 의무(§23의6②).

---

3. 로그인 / 인증 / 본인확인

3.1 인증정보 저장

개보법 영 §30①4호가 직접 요구하는 것:

• 가목: 비밀번호는 일방향 암호화 저장 (해시). → bcrypt/scrypt/Argon2. 단순 SHA-256 단독은 부적절.
• 나목: 주민번호 등 고시가 정한 정보는 암호화 저장.
• 다목: 정보통신망으로 개인정보/인증정보를 송수신하면 전송 암호화 (TLS). → 로그인 페이지 HTTP 노출은 그 자체로 위반.

3.2 접근권한과 인증수단

영 §30①2호:

• 가목: 개인정보처리시스템 접근권한의 부여·변경·말소 기준을 수립·시행.
• 나목: 정당한 권한자인지 확인하기 위한 인증수단 적용 기준의 설정 및 운영. → 관리자/운영자 계정 MFA를 여기서 근거로 잡습니다.

3.3 모바일 앱 접근권한 (망법 §22의2)

• 필수 접근권한: 항목 + 필요 이유 고지
• 선택 접근권한: 항목 + 이유 + "동의하지 않을 수 있다는 사실" 까지 고지
• 선택 권한 미동의를 이유로 서비스 제공 거부 금지 (§22의2②)
• 대상 정보(영 §9의2①): 연락처·일정·영상·통신내용·바이오정보, 위치정보·통신기록·인증정보·신체활동기록, 단말기 고유식별정보(IMEI 등), 카메라·마이크·생체·건강 센서
• 동의 방식(영 §9의2②): 개별 선택 가능한 OS(iOS/최신 Android)면 → 필수/선택 구분 고지 후 최초 접근 시점에 개별 동의. 즉 앱 설치 시 일괄 권한 요구는 안 됨.

3.4 게시판 본인확인

망법 §44의5: 공공기관등만 게시판 본인확인조치 의무. 민간 사업자에 대한 제한적 본인확인제는 삭제되었습니다(2014.5.28). → 민간 서비스는 실명확인 강제할 법적 의무가 없고, 오히려 §16(최소수집)상 과잉수집이 될 수 있습니다.

3.5 자동화된 결정 거부권 (개보법 §37의2) — 로그인/가입 심사에 AI를 쓰면

• 완전 자동화 시스템(AI 포함)의 결정이 권리·의무에 중대한 영향을 미치면 정보주체는 거부권 보유.
• 단, 동의(§15①1호)·법령(2호)·계약(4호)에 근거한 경우는 거부권 배제.
• 설명 요구권은 예외 없이 인정(§37의2②).
• 거부·설명 요구 시 → 자동화 결정 미적용 또는 인적 개입에 의한 재처리 필요(§37의2③).
• 자동화 결정의 기준·절차·처리방식을 공개 의무(§37의2④).

설계: 자동 가입거절/자동 계정정지 로직이 있으면 ①인적 재심 큐 ②결정 근거 로깅(설명 생성용) ③기준 공개 페이지가 필요합니다.

---

4. 개인정보 저장 / 보유 / 파기 — 가장 자주 틀리는 영역

4.1 보유기간 표: 서로 충돌하는 법령들

데이터	보존 의무기간	근거	비고
표시·광고 기록	6개월	전상법 영 §6①1호
계약 또는 청약철회 기록	5년	전상법 영 §6①2호
대금결제 및 재화 공급 기록	5년	전상법 영 §6①3호
소비자 불만·분쟁처리 기록	3년	전상법 영 §6①4호
개인신용정보 처리기록(수집·이용/제공/폐기)	3년	신정법 §20②	상거래기업도 해당
가명처리·익명처리 조치기록	3년	신정법 §40의2⑧
가명정보 파기 후 관리기록	파기일부터 3년 이상	개보법 §28의4③
전자금융거래기록	5년 범위 내 시행령 기간	전금법 §22①	금융회사/전자금융업자
통신과금서비스 기록	5년 이내 시행령 기간	망법 §58④
통신사실확인자료 — 로그기록·접속지 추적자료	3개월 이상	통비법 영 §41②2호	전기통신사업자(부가통신 포함) 협조의무
통신사실확인자료 — 통신일시·상대번호·기지국	12개월 이상	통비법 영 §41②1호
통신이용자정보 제공 대장	기간 명시 없음(비치 의무)	전기통신사업법 §83⑤

핵심 충돌: 개보법 §21①은 "불필요해지면 지체 없이 파기"인데, §21① 단서가 "다른 법령에 따라 보존해야 하는 경우"를 제외합니다. 그리고 §21③은 이 경우 다른 개인정보와 분리 저장·관리를 요구합니다.

또한 전상법 §6②는 동의를 철회해도 거래기록과 관련 개인정보(성명·주소·이메일 등 거래주체 식별정보 한정)를 개보법 §21①·§36②·§37⑤·§39의7③에 불구하고 보존할 수 있다고 규정합니다(영 §5의2). 다만 영 §6②3호는 동의 철회자의 거래기록·개인정보는 철회하지 않은 자와 별도로 보존하도록 합니다.

설계 결론: "탈퇴 = 전부 삭제"가 아니라 탈퇴 = 서비스 데이터 파기 + 법정보존 데이터를 별도 저장소로 격리 이관입니다. 이걸 아키텍처로 만들어야 합니다(§8.5 참조).

4.2 신용정보법의 별도 보유기간 규칙 (해당 시 개보법보다 우선)

신정법 §20의2는 개보법 §21①에 불구하고 적용됩니다:

• 상거래관계 종료일부터 최장 5년 이내에 개인신용정보를 관리대상에서 삭제(§20의2②).
• 목적이 그 전에 달성되면 달성일부터 3개월 이내 삭제.
• 상거래 종료 후 금융위 고시 기한까지: 필수적 개인신용정보는 ①다른 정보주체 정보와 분리 ②접근 가능한 임직원을 지정 ③기타 고시 방법으로 관리(§20의2①, 영 §17의2①1호). 필수적이지 않은 정보는 전부 삭제(영 §17의2①2호).
• 상거래관계 종료일의 기준을 동의받을 때 정보주체에게 알려야 함(영 §17의2⑥).
• 정보주체는 종료 후 일정기간 경과 시 삭제 요구권 보유(§38의3).

4.3 파기 방법 (영 §16①)

• 전자적 파일: 복원 불가능한 방법으로 영구 삭제. 기술적으로 영구삭제가 현저히 곤란하면 §58의2에 해당하는 정보(=더 이상 개인을 알아볼 수 없는 정보)로 처리.
• 그 외 기록물·인쇄물·서면: 파쇄 또는 소각.
• 파기 시 복구·재생 불가 조치(§21②).

주의: 이 조항이 백업/스냅샷/WAL/오브젝트 스토리지 버전관리와 정면 충돌합니다. §8.6 참조.

4.4 정보주체 권리 대응 SLA

권리	처리 기한	근거
열람	시행령이 정한 기간 내 (연기 시 사유 통지)	§35③
정정·삭제	지체 없이 조사 후 조치, 결과 통지	§36②
처리정지·동의철회	지체 없이 정지, 철회 시 복구불가하게 파기	§37②③
전송요구(마이데이터)	시간·비용·기술상 허용되는 합리적 범위에서 기계판독 가능 형태로 전송	§35의2③
자동화 결정 거부·설명	정당한 사유 없으면 미적용 또는 인적 재처리	§37의2③
(신정법) 열람·정정청구	처리결과 7일 이내 통지	신정법 §38⑤

§38④의 함정: 열람등요구의 방법과 절차는 개인정보를 수집한 방법·절차보다 어렵지 않아야 합니다. 즉 "온라인 3클릭 가입 / 탈퇴는 전화 상담 후 서면 제출"은 위법입니다. 전상법 §21의2①4호(탈퇴 절차를 가입보다 복잡하게 설계 금지)와도 중복 규제됩니다.

4.5 민감정보 / 고유식별정보

• 민감정보(§23①, 영 §18): 사상·신념, 노조·정당 가입, 정치적 견해, 건강, 성생활 + 유전정보, 범죄경력자료, 생체인식정보(특정 개인 식별 목적으로 기술적 수단으로 생성한 신체·생리·행동적 특징), 인종·민족.
  • 별도 동의 또는 법령 근거만 가능. 위반 시 5년 이하 징역(§71 4호) + 과징금(§64의2①3호).
  • §23③(신설): 서비스 제공 과정에서 공개되는 정보에 민감정보가 포함되어 사생활 침해 위험이 있으면 → 서비스 제공 전에 공개 가능성 및 비공개 선택 방법을 알려야 함. → 프로필 공개 설정 UX에 직접 영향.
• 고유식별정보(§24, 영 §19): 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호. 4개뿐입니다.
  • 별도 동의 또는 법령이 구체적으로 요구·허용한 경우만.
  • 암호화 등 안전성 확보 조치 의무(§24③).

Face ID / 지문 로그인 설계 주의: 단말기 내에서만 처리되고 서버에 특징정보를 저장하지 않으면 민감정보 처리로 보기 어렵지만, 서버에 생체 템플릿을 올리면 민감정보 + 별도 동의 + 암호화 트랙으로 들어갑니다. 가능하면 WebAuthn/Passkey 방식으로 생체정보가 서버에 도달하지 않게 설계하는 것이 규제 부담을 없애는 정공법입니다.

4.6 가명정보 (분석·AI 학습용)

• 통계작성·과학적 연구·공익적 기록보존 목적이면 동의 없이 처리 가능(§28의2①). "과학적 연구"에 민간 투자 연구·기술 개발·실증 포함(§2 8호). 신정법 §32⑥9호의2는 상업적 목적 통계·산업적 연구도 명시 포함.
• 제3자 제공 시 특정 개인을 알아보기 위해 사용될 수 있는 정보 포함 금지(§28의2②).
• 추가정보(재식별 키)를 별도 분리 보관·관리 + 기술적·관리적·물리적 조치(§28의4①).
• 서로 다른 처리자 간 결합은 지정 전문기관을 통해서만(§28의3①). 신정법은 데이터전문기관(§17의2).
• 특정 개인을 알아보기 위한 목적의 처리 금지 → 5년 이하 징역(§71 8호) + 과징금(§64의2①6호).
• 재식별 정보가 생성되면 즉시 처리 중지 + 지체 없이 회수·파기(§28의5②).
• 가명정보에는 §20, §20의2, §27, §34①②, §35, §35의2, §36, §37이 적용 배제(§28의7).

---

5. 결제 / 전자상거래 / 정산

5.1 결제 방식별 규제 트랙

결제 방식	적용 법령	필요 자격
외부 PG 연동 (토스페이먼츠/NHN KCP 등)	전상법 + 개보법 위탁	없음 (PG가 등록 전자금융업자)
자체 PG (타사 대가를 수수·정산 대행)	전금법 §28②4호 → 등록 필수	분기 거래총액별 자본금 3억/5억/10억 (§30③)
포인트·캐시 충전 후 타사 상품 구매	선불전자지급수단 → 전금법 §28②3호 등록	자본금 20억↑ (§30②)
자사 상품만 쓰는 포인트 (동일 사업주 단일 가맹점)	등록 면제 (§28③1호 가목)	—
발행잔액·연간 총발행액이 시행령 기준 미만	등록 면제 (§28③1호 나목)	—
무상 지급 포인트(직접 대가 미지불) + 상환보증보험 가입	등록 면제 (§28③1호 다목)	단 §28④에 따라 상당수 조문 준용
휴대폰 소액결제	망법 제7장 통신과금서비스 → §53 등록	자본금 5억↑ (§53②)
가맹사업법·대규모유통업법·여객자동차법·전상법 업무 수행 중 부수적 정산 대행	전금법 적용 제외 (§3①2호)	—

가장 흔한 실수: "우리는 마켓플레이스니까 정산 대행이 부수적이므로 전금법 제외"라고 넘어가는 것. 전금법 §3①2호 라목이 전상법을 열거하므로 통신판매중개 업무 과정에서 부수적인 정산은 제외되지만, 정산이 주된 사업이 되면 §2 19호 단서에서 벗어나 PG 등록 대상입니다. 규모가 커지면 반드시 재검토해야 하는 지점입니다.

5.2 선불충전금·정산대금 보호 (전금법, 2026-12-17 시행 강화)

• 선불업자: 선불충전금의 50% 이상(시행령 금액) 을 은행 등 관리기관을 통해 신탁·예치·지급보증보험으로 별도관리, 다른 목적 사용 금지(§25의2①). 상계·압류 금지(§25의2⑤), 양도·담보 제공 금지(§25의2⑥), 이용자 우선변제권(§25의2⑪). 보호조치 내용 고지 의무(§25의3).
• PG(전자지급결제대행업자): 정산대상금액 전액을 정산자금관리기관을 통해 외부관리(§25의4①). 계약상 기한 내 정산 지급 의무(§36의3①).
• 재무건전성 요건 미충족 시 할인발행·적립금 지급 등 경제적 이익 부여 금지(§36의2 1호·2호). 가맹점 축소·이용조건 불리한 변경 시 사전 통지(§36의2 3호).

5.3 전자금융사고 책임 (전금법 §9) — 무과실 책임에 가깝다

금융회사·전자금융업자는 아래 사고로 이용자에게 손해가 발생하면 배상 책임:

1. 접근매체의 위조·변조
2. 계약체결·거래지시의 전자적 전송·처리 과정 사고
3. 정보통신망 침입 후 부정 획득한 접근매체 이용 사고

• 면책은 ①이용자의 고의·중과실(사전 약관 명기 + 시행령이 정한 범위 내여야 함, §9③) ②소기업 아닌 법인 이용자에게 충분한 주의의무를 다한 경우로 한정.
• 전자금융보조업자의 고의·과실은 본인의 고의·과실로 간주(§11①). → PG/인증 벤더에 책임 전가 불가.
• §9④: 책임 이행을 위해 보험·공제 가입 또는 준비금 적립 의무.
• 접근매체 분실·도난 통지 후의 제3자 사용 손해는 사업자 책임(§10①).

5.4 전자상거래법 필수 구현 항목

조문	요구사항	구현 위치
§7	조작 실수 방지 — 대금 부과 시점이나 청약 전 내용 확인·정정 절차	결제 확인 화면
§8②, 영 §9	재화 내용·종류/가격/용역 제공기간을 명확 고지 + 확인 절차 (미리 동의 체크 표시 금지)	결제창
§8③	결제 완료 사실 통지 + 언제든 결제 관련 자료 열람 가능	결제 알림 + 결제내역 페이지
§10①	사이버몰에 상호·대표자명·주소(불만 처리 주소 포함)·전화·이메일·사업자등록번호·이용약관·호스팅사업자 상호 표시	푸터 / 사업자정보 페이지
§13①	표시·광고에 상호·대표자명·주소·전화·이메일 + 통신판매업 신고번호와 신고기관	상품 페이지
§13②	계약 전 12개 항목 표시·광고·고지 + 계약 체결 시 공급 시까지 계약내용 서면(전자문서) 교부	주문완료 메일
§13③	미성년자 계약 시 법정대리인 미동의 시 취소 가능하다는 내용 고지	결제 전 안내
§13⑥	정기결제 대금 증액 / 무료→유료 전환 시 사전 기간 내 일시·변동 전후 가격·결제방법 동의 + 취소·해지 조건·방법·효과 고지	구독 갱신 플로우
§14	청약 수신확인·판매가능 여부 신속 통지 + 계약 전 청약내용 확인·정정·취소 절차	주문 플로우
§15①	청약일부터 7일 이내 공급 조치 / 선지급식은 대금 지급일부터 3영업일 이내	프로비저닝
§15③	공급 절차·진행상황 확인 가능 조치	주문 상태 추적
§5④	회원가입·청약·정보제공 동의를 전자문서로 할 수 있게 했으면 → 회원탈퇴·청약철회·계약해지·동의철회도 전자문서로 가능해야 함	셀프서비스 탈퇴/해지
§6①	거래기록 보존 + 소비자가 쉽게 열람·보존할 수 있는 방법 제공	거래내역 다운로드
§22①	휴업·영업정지 기간에도 청약철회·환급 업무 계속	운영 연속성

5.5 청약철회 (§17) — SaaS/디지털콘텐츠가 특히 주의할 부분

• 원칙: 7일 (계약내용 서면 수령일 또는 공급 시작일 중 늦은 날부터).
• 표시·광고와 다르거나 계약과 다르게 이행: 공급일부터 3개월 이내, 안 날부터 30일 이내(§17③).
• 철회 제한 사유(§17②) 중 SaaS 관련:
  • 5호: 용역 또는 디지털콘텐츠의 제공이 개시된 경우 → 단 가분적 용역·디지털콘텐츠는 제공 개시되지 않은 부분은 철회 가능. → 월 구독을 "가분적"으로 볼 여지가 크므로 미사용 기간 환불 로직이 필요합니다.
  • 4호: 복제 가능한 재화의 포장 훼손.
• §17⑥ 핵심: 철회 불가 사유에 해당해도, 그 사실을 명확히 표시하거나 시험 사용 상품 제공 등 권리 행사 방해 방지 조치를 하지 않으면 → 철회가 가능해집니다. 디지털콘텐츠는 표시 + 시험 사용 상품 제공 등(영 §21의2)까지 요구.
• 환급 기한(§18②): 용역·디지털콘텐츠는 청약철회한 날부터 3영업일 이내. 지연 시 연 최대 40% 범위 내 시행령 이율의 지연배상금.
• §18⑪: 통신판매업자 / 대금 수령자 / 계약 체결자가 다르면 환급 의무에 연대책임.
• §17⑤: 훼손 책임·계약 체결 사실 및 시기·공급 사실 및 시기에 다툼이 있으면 통신판매업자가 입증.
• §35: 소비자에게 불리한 계약은 무효. 약관으로 이 규정들을 배제할 수 없습니다.

5.6 다크패턴 금지 (전상법 §21의2) — 2026년 개발 시 필수 반영

1. 1호 — 숨은 총액: 가격 표시·광고 첫 화면에 필수 지급 총금액(부수 필수비용 포함) 중 일부만 표시해서 유인 금지.
2. 2호 — 미리 선택된 동의: 구매·가입·계약 진행 중 다른 재화 청약 선택항목을 미리 체크해서 제공 금지.
3. 3호 — 시각적 편향(오도): 구매/취소, 가입/탈퇴, 체결/해지 선택항목 간 크기·모양·색깔에 현저한 차이를 두어 ①특정 항목만 선택 가능한 것처럼 오인 ②특정 항목을 반드시 선택해야 하는 것처럼 오인시키는 행위.
4. 4호 — 취소·탈퇴·해지 방해: ①가입보다 복잡하게 설계 ②가입과 다른 방법으로만 가능하게 제한.
5. 5호 — 반복 팝업(nagging): 이미 결정한 내용의 변경을 팝업 등으로 반복 요구. 단 시행령이 정한 기간 이상 "다시 보지 않기"를 선택할 수 있게 하면 예외.

§21의4 (리뷰 투명성): 사용후기를 게시하면 게시기간, 등급평가 및 삭제 기준, 삭제 시 이의제기 절차 등 수집·처리 정보를 공개 의무.

5.7 결제 데이터와 신용정보법 — 일반 SaaS도 걸린다

신정법 §2 7호의 "신용정보제공·이용자"는 "고객과의 금융거래 등 상거래를 위하여 본인의 영업과 관련하여 얻거나 만들어 낸 신용정보를 타인에게 제공하거나 타인으로부터 제공받아 본인의 영업에 이용하는 자" 입니다. 금융회사에 한정되지 않습니다. 실제로 §45의3①은 금융위 감독을 받지 않는 신용정보제공·이용자를 "상거래기업 및 법인" 으로 부르며 개인정보보호위원회의 감독 대상으로 규정합니다.

상거래기업 및 법인에 적용되는 조문("상거래정보보호규정", §45의3①1호):

• §15(수집·처리 원칙), §17(처리 위탁)
• §19(신용정보전산시스템 안전보호), §20의2(보유기간)
• §32(제공 동의), §33(이용), §34(개인식별정보), §36(상거래 거절 근거 고지), §37(동의 철회·연락중지청구), §38(열람·정정), §38의3(삭제 요구), §39의4(누설 통지), §40의2(가명·익명처리 행위규칙), §42(업무목적 외 누설 금지)

특히 §32①의 강한 요건: 개인신용정보를 타인에게 제공하려면 제공할 때마다 미리 개별적으로 ①서면 ②실지명의 확인 가능한 전자서명 전자문서 ③유무선 통신 + 개인비밀번호 입력 ④유무선 통신 + 음성녹음 등 증거자료 확보·유지 및 사후 고지 ⑤기타 시행령 방식 중 하나로 동의를 받아야 합니다. 개보법 §17보다 형식 요건이 엄격합니다. 그리고 §32⑪: 개별 동의를 받았는지 다툼이 있으면 사업자가 증명합니다.

§33① 이용 제한: 개인신용정보는 ①신청한 상거래관계 설정·유지 판단 목적 ②별도 동의 ③개인이 직접 제공한 정보를 제공받은 목적으로 이용(단 상품·서비스 소개나 구매 권유 목적은 제외) ④§32⑥ 각 호 ⑤시행령 경우 — 에만 이용 가능. → 결제/연체 데이터를 마케팅에 쓰는 것은 §33①3호에서 명시적으로 배제됩니다.

§37② 연락중지청구권: 상품·용역 소개·구매 권유 목적의 연락 중지를 청구할 수 있고, 사업자는 즉시 따라야 하며(§37③) 권리 내용·행사방법을 고지하고 이행 절차를 갖추어야 합니다(§37③④). 비용은 사업자 부담(§37⑤).

§42의2 과징금: 전체 매출액의 3% 이하 (§19① 위반으로 개인신용정보 유출 시에는 50억원 이하). 매출 산정 곤란 시 200억원 이하.
§43② 징벌적 손해배상: 고의·중과실로 개인신용정보 누설 시 손해의 5배 범위.
§43의2 법정손해배상: 300만원 이하, 사업자가 무과실 입증 못하면 면책 불가.

---

6. 보안 (안전성 확보조치)

6.1 개보법 영 §30① — 8개 항목이 법정 최소선

호	요구사항	구현
1호	내부 관리계획 수립·시행·점검 (취급자 관리·감독·교육 / CPO 지정 등 조직 구성·운영 / 2~8호 이행 세부사항 포함)	문서 + 연간 점검
2호	접근권한 제한: 부여·변경·말소 기준 수립·시행 / 인증수단 적용 기준 설정·운영	IAM, MFA 정책
3호	접근통제: 침입 탐지·차단 조치 / 일평균 이용자 100만명↑이면 취급자 PC 인터넷망 차단	WAF, IDS/IPS, 망분리
4호	안전한 저장·전송: 비밀번호 일방향 암호화 / 주민번호 등 고시 정보 암호화 / 전송 암호화	해시, KMS, TLS
5호	접속기록: 접속일시·처리내역 등 저장·점검·확인·감독 / 안전한 보관 / 위·변조 방지	감사로그 (§8.4)
6호	악성프로그램(바이러스·스파이웨어·랜섬웨어) 항시 점검·치료 기능 프로그램 설치·운영 + 주기적 갱신·점검	EDR/AV
7호	물리적 조치: 보관시설 마련 또는 잠금장치	데이터센터/사무실
8호	기타 안전성 확보에 필요한 조치	—

세부 기준은 보호위원회 고시(영 §30③)로 정해집니다.

6.2 유출 시 과징금 — 설계의 경제적 근거

개보법 §64의2①9호: 개인정보가 유출등이 된 경우 → 전체 매출액의 3% 이하 과징금.
단서: "§29에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다."

즉 유출 자체가 과징금 요건이고, 안전조치 이행이 면책 요건입니다. 이것이 §6.1의 8개 항목을 "체크리스트"가 아니라 "증적을 남겨야 하는 통제"로 만들어야 하는 이유입니다.

2026-09-11 시행 §64의2②로 신설된 가중 사유 — 전체 매출액의 10% 이하 (또는 50억원 이하):

1. 과징금 처분받은 날부터 3년 경과 전 같은 호 위반 반복 (고의·중과실)
2. 고의·중과실 위반으로 피해 정보주체 1천만명 이상
3. §64① 시정조치 명령 불이행 후 유출

감경 요소(§64의2⑤): 4호 암호화 등 안전성 확보 조치 이행 노력, 6호 피해 회복·확산방지 조치, 10호 개인정보 보호 인증·자율 보호활동, 11호 협조·시정. §64의2⑥: 예산·인력·설비·장치 투자·운영 시 감경 의무(고의·중과실 제외).

6.3 조직: CPO / CISO

CPO (개보법 §31)

• 소상공인 외 전원 지정 의무(영 §32①). 미지정 시 사업주·대표자가 CPO가 됨(§31②).
• 공공기관 외: 사업주·대표자 또는 임원(임원 없으면 개인정보 처리 담당 부서장) — 영 §32③2호.
• 매출 1,500억↑ + (민감/고유식별 5만명↑ or 일반 100만명↑) → 별표 1 자격요건 충족자 지정 의무(영 §32④).
• 2026-09-11 시행 §31③ 신설: 시행령 기준 해당 사업자는 ①CPO 지정·변경·해제 시 이사회 의결 ②보호위원회에 신고.
• 독립성 보장 의무(§31⑦, 영 §32⑥): ①처리 관련 정보 접근 보장 ②대표자 또는 이사회에 직접 보고할 체계 구축 ③적합한 조직체계·인적·물적 자원 제공.
• §30의3: 사업주 또는 대표자가 최종 책임자 — 전문 인력과 충분한 예산 지원을 실효성 있게 해야 함.

CISO (망법 §45의3)

• 정보통신서비스 제공자는 지정 + 과기정통부 신고(자산총액·매출 기준 미달 시 신고 면제, 신고 안 하면 대표자를 CISO로 지정한 것으로 봄 — 영 §36의7②③).
• 자본금 1억 이하 / 소기업 / 일부 중기업 → 사업주 또는 대표자(영 §36의7①1호).
• 자산총액 5조원↑, 또는 ISMS 의무 대상 중 자산 5천억원↑ → 이사(등기임원) 지정 + 겸직 금지(§45의3③, 영 §36의7⑤).
• 자격요건(영 §36의7④): 정보보호/정보기술 석사↑ / 학사+3년 / 전문학사+5년 / 실무 10년 / ISMS 인증심사원 자격 / 해당 사업자 정보보호 부서장 1년↑.
• 겸직금지 대상은 추가로 정보보호 4년↑ 또는 정보보호·IT 5년↑(그중 정보보호 2년↑) + 상근(영 §36의7⑥).
• 업무(§45의3④1호): 정보보호 계획 수립·시행·개선 / 실태·관행 정기 감사·개선 / 위험 식별·평가 및 대책 / 교육과 모의훈련 계획 수립·시행 / 인력 관리·예산 편성 / 이사회 보고.
• 겸직 가능(§45의3④2호): 정보보호 공시 업무, 정보통신기반보호법 정보보호책임자, 전금법 정보보호최고책임자, 개보법 CPO.
• 신고 기한: 의무 발생일부터 6개월 이내(영 §36의8).

6.4 인증

인증	근거	대상
ISMS	망법 §47②	주요정보통신서비스 제공자 / 집적정보통신시설 사업자 / 정보통신서비스 부문 매출 100억↑ 또는 일평균 이용자 100만명↑ (금융회사 제외) — 영 §49②
ISMS 특례(간소화)	망법 §47의7, 영 §49의2	중기업 중 정보통신 부문 매출 300억 미만, 또는 300억↑이지만 주요 설비 미보유 + 인증받은 호스팅/클라우드 이용자 (단 가상자산사업자·금융회사 제외)
개인정보 보호 인증(ISMS-P 개인정보 파트)	개보법 §32의2①	임의 인증. 단 2026-09-11 시행 단서로 시행령 기준 해당 사업자는 의무화
CSAP (클라우드 보안인증)	클라우드법 §23의2	공공부문에 클라우드서비스 제공 시
ISMS 심사 일부 생략	망법 §47③	국제표준 정보보호 인증(ISO 27001 등) 보유 또는 정보보호 조치 시

ISMS 특례 활용 팁: 중기업이 자체 IDC 없이 ISMS/ISMS-P/CSAP 인증을 받은 클라우드(AWS/NCP 등)나 호스팅을 쓰면 특례 대상이 됩니다(영 §49의2①2호). 클라우드 사업자 선정 시 인증 보유 여부를 확인하면 자사 인증 부담이 줄어듭니다.

6.5 정보보호 사전점검 (망법 §45의2①) — Security by Design의 법적 근거

"정보통신서비스 제공자는 새로이 정보통신망을 구축하거나 정보통신서비스를 제공하고자 하는 때에는 그 계획 또는 설계에 정보보호에 관한 사항을 고려하여야 한다."

권고 수준이지만, 신규 서비스 설계 단계에 보안 검토를 넣는 것이 법의 명시적 요구입니다. §45의4(2026-10-01 시행)로 일정 규모 이상은 정보보호위원회 설치·운영이 의무화됩니다.

6.6 침해행위 금지 (망법 §48) — 자사 보안 테스트 시 유의

• ①정당한 접근권한 없이 또는 허용된 권한을 넘어 정보통신망 침입 금지
• ②악성프로그램 전달·유포 금지
• ③대량 신호·데이터 전송 등으로 장애 발생 금지
• ④정상적인 보호·인증 절차를 우회하는 프로그램·기술적 장치 설치·전달·유포 금지 (2024.1.23 신설)

침투 테스트·버그바운티는 범위와 권한을 서면으로 명확히 해야 합니다. 망법 §47의6은 정보보호 취약점 신고자 포상 근거를 두고 있어, 공식 버그바운티 정책 수립이 권장됩니다.

---

7. 침해사고 / 유출 대응 — 시계가 매우 빠르다

7.1 통합 타임라인

시각	해야 할 일	근거
인지 즉시	확산 방지 조치(접속경로 차단, 취약점 점검·보완, 유출 정보 회수·삭제), 피해 최소화 대책	개보법 §34③
24시간 내	침해사고 발생 사실을 과기정통부 또는 KISA에 신고 (발생 일시·원인·피해내용 / 대응 현황 / 담당 부서·연락처)	망법 §48의3①, 영 §58의2①
72시간 내	① 정보주체에게 유출 통지 (7개 항목) ② 보호위원회 또는 KISA에 신고	개보법 §34①④, 영 §39①·§40①
추가 확인 시	침해사고 추가 확인 사실 → 확인한 때부터 24시간 내 추가 신고	영 §58의2②
항목·시점 미확인	유출 사실 + 확인된 내용 + §34①3~5호를 우선 통지·신고, 추가 확인 즉시 통지	영 §39②, §40②
클라우드 사업자	침해사고·이용자정보 유출·예고 없는 서비스 중단 → 지체 없이 이용자 통지, 유출은 즉시 과기정통부 통지	클라우드법 §25①②

개보법 §34① 통지 7개 항목: ①유출된 항목 ②시점과 경위 ③피해 최소화 방법 등 구체 정보 ④대응조치 및 피해 구제절차 ⑤신고 접수 담당부서·연락처 ⑥§39 손해배상·§39의2 법정손해배상 청구 및 §43 분쟁조정 등 법적 권리와 행사방법 ⑦기타 시행령 사항.

신고 기준(영 §40①) — 아래 중 하나면 신고:

1. 1천명 이상 정보주체의 개인정보 유출
2. 민감정보 또는 고유식별정보 유출
3. 외부로부터의 불법적 접근에 의한 유출 (건수 무관!)

3호가 실무상 가장 중요합니다. 외부 침입에 의한 유출은 1건이어도 신고 대상입니다.

72시간 예외(영 §39① 단서): ①긴급 조치(차단·점검·회수) 필요 ②천재지변 등 → 사유 해소 후 지체 없이.
신고 면제(영 §40① 단서): 유출 경로가 확인되어 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아진 경우.

7.2 2026-09-11 신설 — "유출 가능성" 단계 통지 (개보법 §34②)

"개인정보의 유형, 정보주체에게 미치는 영향 및 유출등의 위험 정도를 고려하여 대통령령으로 정하는 유출등의 가능성이 있음을 알게 되었을 때에는 지체 없이 유출등의 가능성이 있는 모든 정보주체에게 피해를 최소화하기 위한 정보 등을 알려야 한다."

확정 전 단계에서도 통지 의무가 생깁니다. 이는 인시던트 대응 프로세스를 근본적으로 바꿉니다 — "확인될 때까지 대기"가 불가능해지고, 영향 범위 정보주체를 즉시 산출할 수 있는 능력이 아키텍처 요구사항이 됩니다.

7.3 신용정보법 트랙 (개인신용정보 취급 시 중복 적용)

• §39의4①: 지체 없이 신용정보주체 통지 (통지사항은 개보법 §34① 준용).
• §39의4③④: 시행령 규모 이상 누설 시 금융위 등에 신고. 상거래기업 및 법인은 보호위원회 등에 신고.

7.4 반복 침해사고 과징금 (망법 §48의8, 2026-10-01 시행)

고의·중과실로 5년 이내 2회 이상 침해사고 발생 → 매출액의 3% 이하 과징금.

단 개보법 §64의2①9호에 해당하는 경우는 적용 배제(§48의8④) — 이중 제재 조정.

§48의7 이행강제금: 시정명령 불이행, 자료 미제출/거짓 제출, 출입·조사 방해 시 → 1일당 1일 평균매출액의 1만분의 3 범위(매출 없으면 1일당 200만원 범위).

7.5 침해사고 관리·대응 매뉴얼 (망법 §48의9, 2026-10-01 시행)

시행령이 정하는 사업자는 과기정통부 표준안에 따라 서비스 규모·특성에 적합한 매뉴얼을 작성해 과기정통부와 KISA에 제출해야 합니다(신규 작성·변경 시에도). 과기정통부가 작성·운용 실태를 정기·수시 점검하고 시정·보완 명령을 할 수 있으며 사업자는 따라야 합니다.

7.6 손해배상 리스크

유형	금액	근거
일반 손해배상	실손해. 사업자가 무과실 입증 못하면 면책 불가	개보법 §39①
징벌적 손해배상	고의·중과실 유출 시 손해액의 5배 이내	개보법 §39③
법정손해배상	300만원 이하. 무과실 입증 못하면 면책 불가	개보법 §39의2①
(신정법) 징벌적	5배 이내	신정법 §43②
(신정법) 법정	300만원 이하	신정법 §43의2①
수탁자 행위	수탁자를 위탁자의 소속 직원으로 봄	개보법 §26⑦
(신정법) 수탁자	위탁자가 수탁자와 연대 책임	신정법 §43⑥
보험 가입 의무	매출 10억↑ + 일평균 정보주체 1만명↑ → 보험/공제/준비금 (최저금액 별표 1의4)	개보법 §39의7, 영 §48의7

---

8. 서비스 / DB 아키텍처 설계

법령 요구를 코드와 스키마로 옮기는 부분입니다.

8.1 전체 구조 — 개인정보 등급별 저장소 분리

┌──────────────────────────────────────────────────────────────┐
│  Public Zone (WAF / TLS 1.2+ / HSTS)                        │
│  ├── Web / API Gateway                                       │
│  │     · 개인정보 미저장, 요청 로그에 PII 미기록              │
│  │     · 개보법 영 §30①4호 다목: 전송 암호화                  │
└──────────────────────────────────────────────────────────────┘
                            │ mTLS
┌──────────────────────────────────────────────────────────────┐
│  Application Zone (Private Subnet)                           │
│  ├── App Servers  ── PII 접근은 반드시 Data Access Layer 경유 │
│  └── PII Access Proxy (필수 게이트)                           │
│        · 목적(purpose) 태그 없는 조회 거부                     │
│        · 모든 조회를 감사로그에 기록 (영 §30①5호)              │
└──────────────────────────────────────────────────────────────┘
                            │
┌──────────────────────────────────────────────────────────────┐
│  Data Zone (No Internet Egress)                              │
│  ├── [C0] Operational DB   — 비식별 운영데이터, 통계          │
│  ├── [C1] Identity DB      — 계정, ID, 이메일, 비밀번호해시   │
│  ├── [C2] Sensitive DB     — 민감정보/고유식별정보 (별도 KMS) │
│  ├── [C3] Credit DB        — 개인신용정보 (신정법 트랙)       │
│  ├── [C4] Archive (WORM)   — 법정보존 데이터 (탈퇴자 격리)    │
│  ├── [C5] Audit Log Store  — append-only, 무결성 서명        │
│  └── [C6] Pseudonym Store  — 가명정보 + 추가정보는 물리 분리  │
└──────────────────────────────────────────────────────────────┘

분리의 법적 근거:

• 개보법 §21③: 법령상 보존해야 하는 개인정보는 다른 개인정보와 분리하여 저장·관리 → [C4]
• 개보법 §28의4①: 가명정보의 추가정보를 별도로 분리하여 보관·관리 → [C6]
• 신정법 §20의2③, 영 §17의2①1호: 상거래 종료 정보를 거래 중 정보주체 정보와 분리 → [C3] 내 파티션 분리
• 신정법 §32⑨: 영업양수 등으로 제공받은 개인신용정보는 거래 중 정보와 분리 관리
• 망법 §23의6②: 연계정보(CI)를 주민등록번호와 분리 보관·관리
• 전상법 영 §6②3호: 동의 철회자 거래기록·개인정보를 철회하지 않은 자와 별도 보존
• 개보법 영 §30①3호 나목: 일평균 이용자 100만명↑ → 개인정보취급자 PC의 인터넷망 차단 → Data Zone은 egress 차단 + 관리자 접근은 별도 망분리 구간에서만

8.2 필드 단위 메타데이터 — 컴플라이언스를 스키마로

모든 개인정보 컬럼에 아래 메타데이터를 붙여 카탈로그로 관리합니다. 이것이 처리방침 자동 생성, 파기 자동화, 유출 시 영향범위 즉시 산출의 기반입니다.

column: users.phone_number
classification: C1                    # 저장소 등급
legal_basis: contract                 # 개보법 §15①4호
purpose: [ "본인확인", "서비스 알림" ]
consent_required: false
retention:
  policy: until_withdrawal            # 또는 fixed_period / legal_hold
  legal_hold: null
encryption:
  at_rest: aes-256-gcm                # KMS 키 ID 참조
  transit: tls1.3
maskable: true                        # 화면 노출 시 마스킹 규칙
exportable: true                      # §35의2 전송요구 대상 여부
third_party_shared: []                # §17 제공 이력
processor_shared: [ "sms-vendor-a" ]  # §26 위탁
sensitive_disclosure_risk: false      # §23③ 공개 시 사생활 침해 위험

왜 필요한가:

• 개보법 §30①1호 "처리하는 개인정보의 항목"(영 §31①1호) 공개 → 카탈로그에서 자동 생성
• 개보법 §22③ "동의 없이 처리하는 개인정보의 항목과 법적 근거를 구분해 공개" → legal_basis + consent_required 조합으로 생성. 입증책임이 사업자에게 있으므로 기계적 근거가 필요합니다.
• 개보법 §34② (유출 가능성 통지) → 침해 테이블/컬럼에서 영향 정보주체 즉시 산출
• 개보법 §35의2 (전송요구) → exportable로 대상 범위 결정. §35의2①2호는 분석·가공하여 별도 생성한 정보는 제외하므로 파생 컬럼은 false

8.3 암호화 설계

대상	요구	근거
비밀번호 등 인증정보	일방향 암호화 (bcrypt/scrypt/Argon2id) 또는 상응 조치	영 §30①4호 가목
주민등록번호	전자적 보관 시 전량 암호화	개보법 §24의2②, 영 §21의2①
고시가 정한 정보(계좌·카드번호 등)	암호화 저장 또는 상응 조치	영 §30①4호 나목
정보통신망 전송 시 개인정보·인증정보	전송 암호화	영 §30①4호 다목
고유식별정보	암호화 등 안전성 확보 조치	개보법 §24③, 영 §21①
수탁자에게 개인신용정보 제공 시 식별정보	암호화 등 보호 조치	신정법 §17④
가명정보의 추가정보	분리 보관 + 기술·관리·물리적 조치	개보법 §28의4①

키 관리 설계:

• 등급별 분리된 KMS 키 — [C2] 민감정보 키를 [C1] 키와 분리하면, 한 키 유출이 전체 유출로 번지지 않습니다. §64의2⑤4호(암호화 등 안전성 확보 조치 이행 노력)의 감경 근거로도 작동합니다.
• 애플리케이션 레벨 암호화(ALE) 를 최소 [C2]에 적용 — DB 관리자도 평문을 볼 수 없게. 디스크 암호화(TDE)만으로는 "내부자에 의한 유출"을 막지 못합니다.
• 키 순환(rotation) 이력 보관 — 파기 대상 데이터의 crypto-shredding(키 폐기로 복호 불가화)에 필요합니다. §8.6 참조.

8.4 접속기록 / 감사로그 (영 §30①5호)

요구사항: 접속일시·처리내역 등 접속기록의 저장·점검·확인·감독 / 안전한 보관 / 위·변조 방지.

audit_log (append-only, 파티션: 월별)
├─ event_id            ULID
├─ occurred_at         timestamptz            # 접속일시
├─ actor_type          user | admin | system | processor
├─ actor_id            (관리자는 개인 식별 가능해야 함 — 공용계정 금지)
├─ actor_ip, user_agent
├─ action              read | create | update | delete | export | print
├─ resource            테이블/컬럼 또는 API 엔드포인트
├─ subject_ids         영향받은 정보주체 ID (배열 또는 조인 테이블)
├─ record_count        조회·처리 건수 (대량조회 탐지용)
├─ purpose             처리 목적 태그 (필수 — 없으면 요청 거부)
├─ legal_basis         해당 처리의 법적 근거
├─ result              success | denied | error
└─ integrity           prev_hash + HMAC (해시체인)

설계 포인트:

• [C5]에 별도 격리 + append-only(WORM / S3 Object Lock). 애플리케이션 DB 계정에 DELETE/UPDATE 권한을 주지 않습니다.
• 위·변조 방지는 명문 요구입니다 → 해시체인 + 주기적 외부 앵커링(별도 계정/리전에 다이제스트 보관).
• "점검" 의무가 있습니다 — 로그를 쌓는 것만으로는 부족하고 정기 점검 결과의 증적이 필요합니다. 자동 이상탐지 룰(대량 조회, 비업무시간 접근, 권한 외 조회) + 월간 점검 리포트를 만들어 두세요.
• 감사로그 자체에 PII를 평문으로 넣지 마세요. subject_ids는 내부 대체키(surrogate ID)로 기록하고, 실제 식별정보는 조회 시점에 조인합니다. 안 그러면 감사로그가 최대 규모의 PII 저장소가 됩니다.
• 보관기간: 개보법상 접속기록 보관기간은 고시(「안전성 확보조치 기준」)에 있습니다. 별도로 신정법 §20②의 3년, 통비법 영 §41②2호의 로그기록 3개월 이상(전기통신사업자 협조의무)을 함께 고려해야 합니다. 실무적으로는 최소 2년, 권장 3년 보관이 안전한 선택입니다.

로그에 PII 유입 방지 (별도 통제): 애플리케이션 로그·APM·에러 트래커(Sentry 등)·LB 액세스로그는 개인정보 저장 대상이 아니지만, 실제로는 PII가 흘러들어갑니다. 이 로그가 유출되면 개보법 §64의2①9호 과징금 대상입니다.

• 구조적 로깅 + 필드 화이트리스트 방식(블랙리스트는 반드시 새어나갑니다)
• 쿼리스트링·요청 바디의 자동 마스킹 미들웨어
• 로그 파이프라인에 PII 패턴 탐지기(주민번호·카드번호·전화번호 정규식) 배치 → 탐지 시 알림

8.5 보유기간 / 파기 파이프라인

가장 어렵고 가장 자주 틀리는 부분입니다. "탈퇴 = DELETE" 는 위법이 될 수도 있고(법정보존 위반), 반대로 "탈퇴 = soft delete 후 방치" 도 위법입니다(§21① 파기 의무 위반).

[탈퇴 / 보유기간 만료 이벤트]
        │
        ▼
① 법정보존 판정 (Legal Hold Resolver)
   각 데이터 항목에 대해 아래를 평가:
   · 전상법 영 §6①    → 계약·청약철회 5년 / 결제·공급 5년 / 불만·분쟁 3년 / 표시광고 6개월
   · 신정법 §20②      → 개인신용정보 처리기록 3년
   · 신정법 §20의2②   → 상거래 종료 후 최장 5년, 목적달성 시 3개월
   · 전금법 §22①      → 전자금융거래기록 (해당 시)
   · 통비법 영 §41②   → 로그기록 3개월↑ / 통신일시 등 12개월↑
   · 세법·상법 등 기타 보존의무
        │
   ┌────┴─────────────────────────┐
   ▼                              ▼
② 보존 대상                    ③ 즉시 파기 대상
   → [C4] Archive로 이관           → 물리적 영구 삭제
   → 원본 저장소에서 삭제              (영 §16①1호)
   → 필수 최소 항목만 (§21③ 분리)    → 복구·재생 불가 조치 (§21②)
   → 접근권한 최소화 + 별도 감사       → crypto-shredding 병용
   → 만기 자동 파기 스케줄 등록
        │
        ▼
④ 파기 증적 기록 (destruction_log)
   · 파기일자 / 파기 항목 / 파기 사유·근거  ← 신정법 §20②3호가 명시 요구
   · 파기 방법 / 실행자 / 대상 건수
   · 가명정보는 파기 후 3년 이상 기록 보관 (개보법 §28의4③)
        │
        ▼
⑤ 통지 (해당 시)
   · 신정법 §38의3②: 삭제 요구 처리 결과 통지
   · 신정법 §38의3③: 삭제 못 하고 분리 보관 시 → 그 결과도 통지
   · 신정법 §20의2④: 분리 보존 정보를 활용하는 경우 → 정보주체에게 통지

스키마 예시:

-- 보유기간 관리 테이블 (모든 개인정보 레코드가 참조)
CREATE TABLE retention_schedule (
  subject_id        uuid NOT NULL,
  data_domain       text NOT NULL,        -- 'account' | 'order' | 'payment' | 'inquiry'
  relationship_end  timestamptz,          -- 신정법 영 §17의2⑤: 상거래관계 종료일
  legal_hold_until  timestamptz,          -- 법정보존 만기 (없으면 NULL)
  legal_hold_basis  text,                 -- '전상법 영 §6①2호' 등 조문 명시
  purge_after       timestamptz NOT NULL, -- 실제 파기 실행 시점
  archived_at       timestamptz,
  purged_at         timestamptz,
  PRIMARY KEY (subject_id, data_domain)
);
CREATE INDEX ON retention_schedule (purge_after) WHERE purged_at IS NULL;

중요: relationship_end(상거래관계 종료일)의 기준을 동의 받을 때 정보주체에게 알려야 합니다(신정법 영 §17의2⑥). 종료 사유는 "계약기간 만료, 해지권·해제권·취소권 행사, 소멸시효 완성, 변제 등으로 인한 채권 소멸, 그 밖의 사유"(영 §17의2⑤)이므로, 이 판정 로직을 코드로 명확히 구현하고 약관·처리방침에 서술해야 합니다.

"휴면계정" 설계 주의: 과거 망법에 있던 1년 미접속 시 파기·분리보관 의무는 현행법에 없습니다. 따라서 휴면 전환은 법적 의무가 아니라 사업자 선택입니다. 그런데도 휴면 정책을 운영한다면, 처리방침에 보유기간으로 명시하고 그 기간이 §3①(최소 수집·목적 필요 범위)에 부합해야 합니다. "무기한 보유"는 §21①과 충돌합니다.

8.6 백업 · 스냅샷 · 파기의 정면 충돌 — 반드시 설계해야 할 부분

영 §16①1호는 "복원이 불가능한 방법으로 영구 삭제"를 요구하고, §21②는 "복구 또는 재생되지 아니하도록 조치"를 요구합니다. 그런데 현대 인프라는 정반대로 설계되어 있습니다:

충돌 지점	문제	대응 설계
DB 스냅샷 / PITR	삭제 후에도 스냅샷에 평문 잔존. 복구하면 부활	crypto-shredding: 정보주체별(또는 코호트별) DEK를 두고, 파기 시 DEK를 폐기. 스냅샷의 암호문은 복호 불가 → 영 §16①1호 단서의 "§58의2 정보로 처리"에 해당
WAL / binlog / CDC	변경 이력에 삭제 전 값 잔존	보관기간을 파기 주기보다 짧게 설정(예: 7~14일) + CDC 싱크 대상에 파기 이벤트 전파
오브젝트 스토리지 버전관리	이전 버전에 파일 잔존	개인정보 버킷은 버전관리 대신 명시적 lifecycle + noncurrent version expiration
읽기 복제본 / 캐시 / 검색 인덱스	Redis, Elasticsearch, 데이터웨어하우스에 사본 산재	파기 이벤트를 이벤트버스로 브로드캐스트 → 각 싱크가 삭제 확인(ACK) 회신 → 미확인 싱크는 알림. 파기는 분산 트랜잭션으로 설계해야 합니다
데이터웨어하우스 / BI	분석 테이블에 PII 복제	원칙적으로 [C6] 가명정보만 적재. 원본 PII는 DW로 보내지 않습니다
로그 / 감사로그	파기 대상이 로그에 남음	감사로그는 법정 보관 의무가 있어 삭제 대상이 아니지만, subject_ids를 대체키로만 기록해 두면 원본 파기 후 재식별 불가 상태가 됩니다

실무 결론: 파기 요구를 충족하는 유일하게 견고한 방법은 DEK 단위 crypto-shredding + 파기 이벤트의 전 싱크 전파 + ACK 추적입니다. 물리 DELETE만 믿으면 백업에서 부활합니다.

8.7 동의 이력 관리 — 입증책임이 사업자에게 있다

개보법 §16①(최소수집 입증), §22③(동의 없이 처리 가능한 정보 입증), 신정법 §32⑪(개별 동의 여부 입증) — 모두 사업자가 입증합니다. 따라서 동의는 "boolean 컬럼"이 아니라 불변 이력 테이블이어야 합니다.

CREATE TABLE consent_events (
  event_id        ulid PRIMARY KEY,
  subject_id      uuid NOT NULL,
  consent_type    text NOT NULL,   -- collect_use | third_party | purpose_beyond
                                   -- | sensitive | unique_id | marketing
                                   -- | cross_border | night_marketing
  action          text NOT NULL,   -- granted | withdrawn | reconfirmed
  granted_at      timestamptz NOT NULL,

  -- 고지 내용의 스냅샷 (버전이 아니라 실제 렌더된 내용의 해시 + 원문 참조)
  notice_version  text NOT NULL,
  notice_hash     text NOT NULL,   -- 실제로 보여준 문구의 해시
  notice_snapshot jsonb NOT NULL,  -- 목적/항목/보유기간/거부권·불이익 (§15②)
                                   -- 제3자: 제공받는 자/그의 목적/항목/기간/거부권 (§17②)
                                   -- 국외이전: 항목/국가·시기·방법/받는 자/목적·기간/거부방법·효과 (§28의8②)

  -- 취득 정황 (증거력)
  method          text NOT NULL,   -- web_form | app | phone_recorded | written | email
  ip, user_agent  text,
  ui_screenshot   text,            -- 화면 캡처/DOM 스냅샷 참조 (선택)
  voice_record    text,            -- 신정법 §32①4호: 유무선 통신 시 음성녹음 증거

  legal_guardian  jsonb            -- 14세 미만: 법정대리인 정보 + 확인 방법·시각 (§22의2①)
);
-- 절대 UPDATE/DELETE 하지 않음. 철회는 새 이벤트(action='withdrawn')로 기록.

추가 요구사항:

• 마케팅 수신동의 2년 재확인 (망법 §50⑧, 영 §62의3①): 수신동의를 받은 날부터 2년마다 수신동의 여부를 확인. 확인 시 ①전송자 명칭 ②동의 사실과 동의한 날짜 ③유지·철회 의사표시 방법을 밝혀야 함(영 §62의3②). → 스케줄러로 자동화하고 이력을 남겨야 합니다.
• 동의/거부/철회 처리결과 통지 14일 내 (망법 §50⑦, 영 §62의2): ①전송자 명칭 ②동의·거부·철회 사실과 그 날짜 ③처리 결과 통지.
• §35의2 전송요구 이력: 전송 요구·철회 내역과 전송 이력 별도 관리(개보법 §35의4②).

8.8 위탁 / 제3자 제공 관리 (개보법 §26)

위탁(§26)과 제3자 제공(§17)은 완전히 다른 트랙입니다. 위탁은 동의가 필요 없지만 문서·공개·감독 의무가 있고, 제3자 제공은 동의가 필요합니다. AWS·Sentry·Datadog·SendGrid 같은 벤더는 위탁입니다.

위탁 시 필수 계약 조항 (§26①, 영 §28①):

1. 위탁업무 수행 목적 외 처리 금지
2. 기술적·관리적 보호조치
3. 위탁업무의 목적 및 범위
4. 재위탁 제한
5. 개인정보 접근 제한 등 안전성 확보 조치
6. 관리 현황 점검 등 감독
7. 수탁자 의무 위반 시 손해배상 등 책임

공개 의무 (§26②, 영 §28②): 위탁 업무 내용과 수탁자를 인터넷 홈페이지에 지속적으로 게재. 재위탁받은 제3자도 포함.
통지 의무 (§26③): 홍보·판매권유 업무를 위탁하면 → 서면·이메일·팩스·전화·문자 등으로 정보주체에게 알림. 변경 시에도 동일.
감독 의무 (§26④, 영 §28⑥): 수탁자 교육 + 처리 현황 점검 등 감독. §64의2①5호: 관리·감독 또는 교육을 소홀히 하여 수탁자가 위반하면 위탁자에게 과징금.
재위탁 (§26⑥): 수탁자가 재위탁하려면 위탁자의 동의 필요.
책임 (§26⑦): 수탁자의 위반으로 인한 손해배상책임에서 수탁자를 위탁자의 소속 직원으로 봄.
준용 (§26⑧): 수탁자에게 §15§18, §21§25의2, §27§34의2, §35§38, §59, §63, §64의2 등이 준용됨.

신용정보법 위탁 추가 요건:

• §17④: 수탁자에게 개인신용정보 제공 시 식별정보 암호화 등 보호조치
• §17⑤: 수탁자 교육 + 안전한 처리에 관한 사항을 위탁계약에 반영
• §17⑦: 재위탁 원칙 금지 (금융위 인정 시만 예외) — 개보법보다 엄격
• §17③: 시행령이 정하는 자는 제공 신용정보 범위를 금융위에 통보

아키텍처 반영:

processor_registry (수탁자 대장 — 홈페이지 공개 소스)
├─ processor_name, country, service_url
├─ entrusted_tasks[]          # 위탁 업무 내용 (§26② 공개 대상)
├─ pii_scope[]                # 접근 가능한 데이터 항목/등급
├─ contract_id, contract_clauses_checked[]   # 영 §28① 7개 조항 체크
├─ subprocessors[]            # 재위탁 — 위탁자 동의 여부 (§26⑥)
├─ cross_border               # 국외 이전 여부 → §28의8 트랙
├─ audit_last_at, audit_result, training_last_at   # §26④ 감독·교육 증적
└─ is_marketing_task          # true면 §26③ 정보주체 통지 필요

이 레지스트리를 처리방침 페이지의 데이터 소스로 직결하면 "벤더 추가했는데 처리방침 업데이트를 잊음"이라는 가장 흔한 위반이 구조적으로 방지됩니다. CI 파이프라인에 검사를 넣으세요: 새 외부 SDK/API 의존성이 추가되면 processor_registry 등록 여부를 확인하고 미등록이면 빌드 실패.

8.9 국외 이전 / 클라우드 리전 설계 (개보법 §28의8) — 원칙 금지

§28의8①은 "국외로 제공·처리위탁·보관하여서는 아니 된다"로 시작합니다. 아래 5가지 예외에 해당해야만 가능합니다:

근거	요건	실무
1호	별도 동의	항목·국가·시기·방법·받는 자·목적·기간·거부 방법과 거부의 효과를 알리고 동의(§28의8②)
2호	법률·조약·국제협정의 특별 규정	—
3호	계약 체결·이행을 위한 처리위탁·보관이 필요한 경우 + ①처리방침에 §28의8② 각 호 공개 또는 ②이메일 등으로 알림	✅ 해외 클라우드 이용의 정공법. 동의 불필요
4호	이전받는 자가 인증(개보법 §32의2 등 고시 인증) 취득 + 안전조치·권리보장 조치 + 이전 국가에서 이행 조치	—
5호	이전 국가·국제기구가 보호위원회 인정(적정성 결정)	영 §29의9 절차

3호 활용 시 실무 요건: 처리방침에 국외 이전의 근거와 §28의8② 각 호 사항을 모두 공개(영 §31①2호). 즉 AWS us-east-1을 쓴다면 "이전되는 항목/국가(미국)/시기·방법/받는 자(Amazon Web Services, Inc. + 연락처)/이용목적·보유기간/거부 방법과 효과"를 처리방침에 명시해야 합니다.

추가 의무:

• §28의8④, 영 §29의10①: ①영 §30① 안전성 확보 조치 ②고충처리·분쟁해결 조치 ③기타 필요 조치
• 영 §29의10②: 위 사항을 이전받는 자와 미리 협의하고 계약 내용에 반영 → DPA에 반드시 포함
• §28의8⑤: 이 법을 위반하는 내용의 국외 이전 계약 체결 금지
• §28의11: 이전받은 자가 제3국으로 재이전할 때도 §28의8·§28의9 준용
• §28의9: 위반 또는 부적정 보호 시 보호위원회가 국외 이전 중지 명령 가능
• 과징금: §64의2①7호(위반 이전), 8호(중지명령 불이행) → 매출 3% 이하

클라우드법 추가 (§26): 이용자는 이용자 정보가 저장되는 국가의 명칭을 알려달라고 요구할 수 있고(§26①), 정보통신서비스 이용자는 정보통신서비스 제공자에게 클라우드 이용 여부와 자신의 정보가 저장되는 국가를 알려달라고 요구할 수 있습니다(§26②).

리전 설계 결론:

권장: 데이터 원본은 국내 리전 (ap-northeast-2 등)
      └─ [C1]~[C4] 전부 국내
      └─ 국외 이전은 "불가피한 SaaS 도구"로 최소화하고 §28의8①3호 트랙 적용
         · 예: 에러 트래킹, 이메일 발송, 결제 게이트웨이
         · 각각 processor_registry에 cross_border=true + 처리방침 공개
      └─ CDN/WAF 엣지: PII를 엣지에 저장·로깅하지 않도록 구성
         (전송 경유는 이전으로 보기 어렵지만, 엣지 로그에 PII가 남으면 "보관"이 됩니다)

주의: 글로벌 SaaS 벤더의 "데이터 처리 위치" 옵션을 반드시 국내/지정 리전으로 고정.
      기본값이 US인 서비스가 많습니다.

8.10 마이데이터 / 전송요구 API (개보법 §35의2, 신정법 §33의2)

시행령 기준에 해당하면 개인정보를 기계판독 가능한 형태로 전송할 의무가 생깁니다.

대상 정보 요건 (§35의2①):

1. 본인에 관한 개인정보로서 ①동의 기반(§15①1호, §23①1호, §24①1호) ②계약 이행 기반(§15①4호) ③법령 기반 중 보호위원회가 지정한 것
2. 분석·가공하여 별도로 생성한 정보가 아닐 것 ← 추천 점수, 세그먼트, 신용평점 등은 제외
3. 정보처리장치로 처리되는 정보일 것

전송 대상 (§35의2②): ①정보주체 본인 ②개인정보관리 전문기관 ③안전조치 이행 + 시설·기술 기준 충족자

설계 함의:

• 정규화된 export 스키마를 처음부터 설계하세요. 나중에 붙이면 §35의2③의 "합리적 범위"를 넘는 비용이 됩니다.
• 필드 카탈로그(§8.2)의 exportable 플래그로 대상 범위를 자동 결정.
• 본인 확인 실패 시 거절·중단 가능(§35의2⑥) → 강한 인증 게이트 필요.
• 전송 요구·철회 내역, 전송 이력을 별도 관리(§35의4②).
• 신정법 §33의2⑤: 전송요구 시 ①받는 자 ②전송 요구 정보 ③제공받는 자 ④정기 전송 여부와 주기를 모두 특정해야 함 → API에 이 파라미터가 필수.
• 신정법 §33의2④: 정기적 전송 요구 가능 → 배치 스케줄러 필요.

8.11 마케팅 발송 아키텍처 (망법 §50)

요구	내용	근거
명시적 사전 동의	전자적 전송매체로 영리목적 광고 전송 시 명시적 사전 동의 필수	§50①
예외	거래를 통해 직접 연락처를 수집한 자가 거래 종료일부터 6개월 이내에 동종의 재화 광고	§50①1호, 영 §61①
야간 별도 동의	21:00~08:00 전송은 별도의 사전 동의 필요. 전자우편은 예외	§50③, 영 §61②
표시 의무	전송자 명칭·연락처 + 수신거부·철회 조치 및 방법 (별표 6 형식)	§50④, 영 §61③
금지행위	수신거부 회피·방해 / 연락처 자동 생성 / 자동 등록 / 신원·출처 은닉 / 기망하여 회신 유도	§50⑤
비용 부담	수신거부·철회 시 무료전화 등 제공 — 수신자 비용 부담 금지	§50⑥, 영 §62
처리결과 통지	동의·거부·철회 의사표시일부터 14일 이내 통지	§50⑦, 영 §62의2
2년 재확인	수신동의 받은 날부터 2년마다 동의 여부 확인	§50⑧, 영 §62의3
위탁	문자 전송 위탁은 전송자격인증 받은 자에게만 (§50의3①, 2026-03-31 시행). 수탁자의 §50 위반 방지 관리·감독 의무, 수탁자는 손해배상에서 위탁자의 소속 직원으로 봄	§50의3
프로그램 설치	광고 표시 또는 개인정보 수집 프로그램을 이용자 기기에 설치 시 동의 + 용도와 삭제방법 고지	§50의5
과징금	§50, §50의4, §50의5, §50의7, §50의8 위반 → 매출액의 6% 이하 (매출 산정 곤란 시 20억 이하)	§50의9

광고 관련 과징금 상한이 6% 로, 개인정보 유출(3%)보다 높습니다. 마케팅 자동화는 가장 저평가된 리스크 영역입니다.

아키텍처:

Marketing Consent Service (단일 진실 공급원)
├─ 채널별 동의 상태: email / sms / push / kakao
├─ 야간(21~08) 별도 동의 플래그  ← SMS/푸시는 필수, 이메일은 불필요
├─ 동의 만료일 (granted_at + 2년) → 재확인 스케줄러
├─ 수신거부 리스트 (즉시 반영, 우선순위 최상위)
├─ §50①1호 예외 트랙: 거래 종료일 + 6개월 + 동종 재화 판정
└─ 신정법 §37② 연락중지청구 상태  ← 별도 트랙 (개인신용정보 취급 시)

발송 파이프라인
Campaign → [Consent Gate] → [Quiet Hours Gate] → [Suppression List] → Send
                 │                    │                  │
            미동의 차단          21~08 별도동의 확인    거부자 차단
                 └──── 모든 차단·발송 결정을 감사로그에 기록 ────┘

핵심: 발송 직전에 동의 상태를 실시간 조회해야 합니다. 캠페인 생성 시점의 스냅샷으로 발송하면, 그 사이 철회한 사람에게 발송됩니다.

8.12 UGC / 게시판 / 콘텐츠 (망법 제5장, 저작권법 §102~103)

망법 §44의2 (정보 삭제요청) — 권리 침해 주장 시:

• 삭제·반박내용 게재 요청을 받으면 지체 없이 삭제·임시조치 등 필요한 조치 + 신청인과 정보게재자에게 즉시 통보 + 해당 게시판에 공시(§44의2②).
• 권리침해 판단이 어렵거나 다툼이 예상되면 임시조치(최대 30일) 가능(§44의2④).
• 필요한 조치의 내용·절차를 미리 약관에 구체적으로 명시해야 함(§44의2⑤).
• 조치를 하면 배상책임 감면 가능(§44의2⑥).
• §44의3: 자체 판단으로 임의의 임시조치도 가능.

저작권법 §102~103 (OSP 면책) — 안전항(safe harbor):

• 유형 1(단순 전송·연결), 2(캐싱), 3(호스팅·검색)별 요건을 모두 갖추면 면책.
• 공통 요건(§102①1호): ①송신 미개시 ②저작물·수신자 미선택 ③반복 침해자 계정 해지 방침 채택 및 합리적 이행 ④권리자의 표준적 기술조치 수용·미방해.
• 호스팅형 추가(§102①3호): ①침해행위 통제 권한·능력이 있을 때 직접적 금전이익 미취득 ②침해 인지 또는 중단요구 시 즉시 중단 ③중단요구 수령인 지정·공지.
• §102③: 모니터링·적극 조사 의무는 없음. → 사전 필터링을 법이 요구하지 않습니다.
• §103②: 중단요구 받으면 즉시 중단 + 권리주장자 통보 (호스팅형은 복제·전송자에게도 통보).
• §103③: 복제·전송자가 정당한 권리를 소명해 재개 요구하면 → 재개요구 사실·재개예정일을 권리주장자에게 통보하고 예정일에 재개. (권리주장자가 소 제기를 통보하면 제외) → counter-notice 플로우 필수.
• §103④: 수령인을 지정하여 이용자가 쉽게 알 수 있도록 공지.
• §103⑤: 공지 + 중단·재개 이행 시 양방향 책임 면제.
• §103⑥: 정당한 권리 없이 중단·재개를 요구한 자는 손해배상 책임 → 남용 억제.

구현해야 하는 것:

Notice & Takedown 시스템
├─ 수령인(담당자) 공지 페이지            ← 저작권법 §103④, 필수
├─ 신고 접수 (침해사실 소명 첨부)
├─ 즉시 조치 워크플로 (삭제 / 임시조치 30일)  ← 망법 §44의2②④
├─ 신청인 + 게재자 양방향 통보            ← 망법 §44의2②, 저작권법 §103②
├─ 게시판 공시                            ← 망법 §44의2②
├─ Counter-notice → 재개예정일 통보 → 자동 재개  ← 저작권법 §103③
├─ 반복 침해자 계정 해지 방침 + 자동 카운터   ← 저작권법 §102①1호 다목 (면책 요건!)
└─ 전 과정 감사 이력 (면책 주장의 증거)
+ 약관에 조치 내용·절차 구체적 명시          ← 망법 §44의2⑤

불법촬영물등 유통방지 (망법 §44의9): 시행령 기준 해당 사업자는 불법촬영물등 유통방지 책임자 지정 의무. 전기통신사업법 §22의5①의 삭제·접속차단 조치 업무를 수행.

불법정보 저장 방지 기술조치 (망법 §44의7⑥, 2024.1.23 신설): 국내에 임시 저장 서버를 운영하는 시행령 기준 사업자는 ①심의 거친 불법정보의 서버 저장 여부 식별 및 신속한 접근 제한 ②게재자에게 유통금지 요청 ③조치 운영·관리 실태의 시스템 자동 기록 및 시행령 기간 보관 ④기타 조치.

허위조작정보 (망법 §44의7②, 2026-10-01 시행): 손해를 끼칠 의도 또는 부당한 이익 목적으로 타인의 인격권·재산권·공익을 침해하는 ①허위정보 ②조작정보 유통 금지 (풍자·패러디 제외). §44의10③: 시행령 기준 이상의 게재자에 대해 손해액의 5배 범위 배상 가능. §44의12·§44의13(신고 및 조치, 신고 남용 대응), §44의14(보고서 공표), §44의17(투명성센터) 등 신설 → 대규모 사업자는 신고 처리 시스템과 투명성 보고서 발행 체계를 갖춰야 합니다.

8.13 AI 기능 아키텍처 (AI기본법 + 개보법 §37의2)

투명성 의무 (AI기본법 §31) — 시행 중, 즉시 적용:

1. 고영향 AI 또는 생성형 AI 기반 제품·서비스 제공 시 → 해당 AI에 기반해 운용된다는 사실을 사전 고지(§31①).
2. 생성형 AI 결과물 → 생성형 AI에 의해 생성되었다는 사실 표시(§31②).
3. 실제와 구분하기 어려운 가상의 음향·이미지·영상 → 이용자가 명확히 인식할 수 있는 방식으로 고지 또는 표시(§31③). 단 예술적·창의적 표현물은 전시·향유를 저해하지 않는 방식으로 가능.

안전성 의무 (§32): 학습 누적 연산량이 시행령 기준 이상인 시스템 → ①수명주기 전반 위험 식별·평가·완화 ②안전사고 모니터링·대응 위험관리체계 구축 + 결과를 과기정통부에 제출.

고영향 AI (§2 4호): 에너지 공급, 먹는물 생산, 보건의료, 의료기기·디지털의료기기, 핵물질·원자력시설, 범죄수사·체포용 생체인식정보 분석, 채용·대출 심사 등 개인의 권리·의무에 중대한 영향을 미치는 판단·평가, 교통수단·시설·체계, 공공서비스 자격 확인·결정·비용징수 등 국가기관 의사결정, 유아·초등·중등 교육의 학생 평가.

• §33①: 고영향 AI 해당 여부를 사전 검토해야 하며, 필요시 과기정통부에 확인 요청 가능.
• §34①: 고영향 AI라면 ①위험관리방안 수립·운영 ②최종결과, 결과 도출에 활용된 주요 기준, 학습용데이터 개요에 대한 설명 방안 수립·시행 ③이용자 보호 방안 ④사람의 관리·감독 ⑤조치 내용을 확인할 수 있는 문서 작성·보관.
• §35: 사전 영향평가 노력 의무 (인공지능취약계층 특성 반영).

개보법 §37의2와의 결합: 채용·대출·신용 심사에 AI를 쓰면 고영향 AI(AI기본법)이면서 동시에 자동화된 결정(개보법)입니다. 두 트랙이 겹칩니다.

• 개보법 §37의2①: 결정 거부권 (단 동의·법령·계약 근거면 배제)
• 개보법 §37의2②: 설명 요구권 (예외 없음)
• 개보법 §37의2③: 거부·설명 요구 시 미적용 또는 인적 개입 재처리
• 개보법 §37의2④: 기준·절차·처리방식 공개
• 신정법 §36의2: 자동화평가 시 결과·주요 기준·기초정보 개요 설명 의무 + 유리한 정보 제출권 + 기초정보 정정·삭제 요구 및 재산출 요구권

설계:

AI Feature Layer
├─ AI 사용 사실 사전 고지 배너/툴팁            ← AI기본법 §31①
├─ 생성물에 AI 생성 표시 (워터마크/라벨/메타데이터)  ← §31②③
├─ decision_log (자동화 결정 감사 테이블)
│   ├─ model_id, model_version, prompt_hash
│   ├─ input_features[]        # 기초정보 (신정법 §36의2①2호 다목)
│   ├─ output, confidence
│   ├─ main_criteria[]         # 주요 기준 (설명 생성용)
│   └─ human_review: {reviewed_by, at, outcome}
├─ 설명 생성 엔드포인트                        ← 개보법 §37의2②, 신정법 §36의2①
├─ 거부·이의제기 → 인적 재심 큐               ← 개보법 §37의2③, 신정법 §36의2②
├─ 기초정보 정정·삭제 → 재산출 트리거          ← 신정법 §36의2②2호
└─ 기준·절차 공개 페이지                       ← 개보법 §37의2④

학습 데이터 파이프라인 주의:

• 이용자 데이터로 모델을 학습시키는 것은 당초 수집 목적을 넘는 이용일 가능성이 큽니다. 경로는 두 가지:
  1. 가명처리 후 §28의2 — "과학적 연구"에 기술 개발·실증·민간 투자 연구가 포함되므로(§2 8호) 동의 없이 가능. 단 추가정보 분리 보관(§28의4①), 재식별 금지(§28의5), 결합은 전문기관 경유(§28의3).
  2. §15③ 추가적 이용 — 영 §14의2①: ①당초 목적과 관련성 ②정황·관행상 예측 가능성 ③이익 부당 침해 여부 ④가명처리 또는 암호화 등 안전조치 여부를 고려. 지속적으로 발생하면 판단 기준을 처리방침에 공개하고 CPO가 점검(영 §14의2②).
• 외부 LLM API에 프롬프트로 개인정보를 보내면 국외 이전 + 위탁입니다. §28의8 트랙과 §26 트랙을 모두 밟아야 합니다. 벤더의 "학습에 사용하지 않음(zero retention)" 옵션을 반드시 계약으로 고정하세요.
• 프롬프트에 PII를 넣지 않는 것이 최선입니다. PII 마스킹/토큰화 레이어를 LLM 호출 앞단에 두세요.

8.14 위치정보 아키텍처 (해당 시)

적용 판단: 「전기통신설비·전기통신회선설비를 이용하여 측위된」 정보만 위치정보입니다(§2 1호). 이용자가 직접 입력한 주소는 위치정보가 아니며 개보법만 적용됩니다. GPS·기지국·Wi-Fi 측위 결과를 쓰면 위치정보법 트랙입니다.

요구	내용	근거
사업 신고	위치기반서비스사업 → 방송미디어통신위원회 신고. 소상공인·1인창조기업은 개시 후 1개월 내 신고(§9의2)	§9①, §9의2
동의	이용약관에 명시한 후 동의 취득 (상호·주소·연락처 / 권리와 행사방법 / 서비스 내용 / 확인자료 보유근거·기간 / 개인위치정보 보유목적·기간)	§19①
제3자 제공	제공받는 자·제공목적 고지 + 동의 + 매회 제공받는 자·제공일시·제공목적 즉시 통보 (동의 시 최대 30일 범위 모아 통보 가능)	§19②③④
일부 유보	정보주체는 수집 범위·약관 내용 일부에 대해 동의를 유보할 수 있음	§18②, §19⑤
14세 미만	법정대리인 동의 + 동의 확인	§25①
보호조치	취급·관리 지침 제정 또는 접근권한자 지정 등 관리적 조치 + 방화벽·암호화 SW 등 기술적 조치	§16①
확인자료 자동 기록	위치정보 수집·이용·제공사실 확인자료를 위치정보시스템에 자동 기록·보존	§16②
파기	목적 달성 시 확인자료를 제외한 개인위치정보는 즉시 파기 + 복구·재생 방지 조치	§23①②
이용 제한	약관 명시·고지 범위를 넘어 이용·제공 금지 (예외: 요금정산용 확인자료, 통계·학술·시장조사용 비식별 가공)	§21
처리방침	개보법 §30 처리방침에 ①처리목적·보유기간 ②확인자료 보유근거·기간 ③파기 절차·방법 ④제3자 제공 사항 포함	§21의2
권리	언제든 동의 철회 / 일시 중지 요구(거절 불가 + 기술적 수단 구비 의무) / 확인자료 열람·고지·정정 요구	§24
철회 시	지체 없이 개인위치정보 및 확인자료 파기	§24④
손해배상	위반으로 손해 발생 시 배상, 사업자가 무과실 입증 못하면 면책 불가	§27
휴·폐업	30일 전 정보주체 통보 + 신고, 휴업·폐업과 동시에 개인위치정보 파기	§11

설계:

location_service
├─ [즉시 파기] 원본 좌표 — 목적 달성 시 즉시 삭제 (§23①)
│    · 실시간 처리 후 미저장이 최선. 저장 시 TTL을 짧게(분/시간 단위)
├─ [보존] location_access_log — 수집·이용·제공사실 확인자료 (§16②)
│    · 요청인 / 일시 / 방법 (수집사실) — 위치값 자체는 제외 (§2 4호)
│    · 제공받는 자 / 취득경로 / 일시 / 방법 (이용·제공사실) (§2 5호)
│    · 위치정보시스템에 **자동** 기록되도록 (수동 기록 불가)
├─ [필수] 일시중지 토글 — 거절 불가 + 기술적 수단 구비 (§24②)
├─ [필수] 제3자 제공 시 매회 즉시 통보 (또는 30일 범위 모아 통보) (§19③④)
└─ [파생] 비식별 가공 통계 — 통계·학술·시장조사용 (§21 2호)

8.15 멀티테넌시 (B2B SaaS)

법령에는 멀티테넌시 조항이 없지만, 아래 조문들이 격리 설계를 사실상 요구합니다.

• 개보법 §26: B2B SaaS 사업자는 고객사(개인정보처리자)의 수탁자입니다. §26⑧에 따라 §15~§18, §29, §30, §31, §33, §34 등이 수탁자에게 준용됩니다. 즉 SaaS 제공자 자신도 안전조치·유출통지 의무의 직접 주체입니다.
• §26⑤: 위탁받은 업무 범위를 초과하여 이용하거나 제3자에게 제공 금지. → 테넌트 A의 데이터를 제품 개선·모델 학습에 쓰려면 고객사의 별도 권한 부여가 필요합니다. 약관에 "서비스 개선에 사용" 한 줄로는 부족합니다.
• §26⑥: 재위탁 시 위탁자(고객사)의 동의 필요. → 하위 벤더(AWS, Sentry 등)를 서브프로세서 목록으로 공개하고, 변경 시 사전 통지 + 이의제기 기간을 두는 것이 표준입니다.
• §26⑦: 수탁자의 위반은 위탁자의 소속 직원 행위로 간주 → 고객사가 과징금을 맞고 SaaS 제공자에게 구상합니다. 계약상 책임 한도(LoL) 설계와 직결됩니다.
• 클라우드법 §27③④: 계약 종료 시 이용자 정보를 반환하고 보유 정보를 파기. 사업 종료 시에도 종료 사실을 알리고 종료일 전까지 반환·파기. 단 §27⑤로 계약으로 달리 정할 수 있음 → 계약서에 반환 형식·기한·파기 시점을 명시하세요.
• 클라우드법 §27①: 법원의 제출명령이나 법관이 발부한 영장에 의하지 아니하고는 이용자 동의 없이 이용자 정보를 제3자 제공·목적 외 이용 불가. → 수사기관 요청 대응 정책(Law Enforcement Response Policy)을 문서화해야 합니다.

격리 설계 원칙:

격리 강도 선택 (규제 강도에 비례)
├─ Row-level (tenant_id + RLS)  — 일반 B2B SaaS
│    · 모든 쿼리에 tenant_id 강제 (ORM 레벨 + DB RLS 이중화)
│    · 애플리케이션 버그 하나가 전 테넌트 유출로 이어지므로 DB RLS 필수
├─ Schema-level                 — 민감정보 취급 테넌트
└─ DB/Cluster-level             — 금융·의료 테넌트, 데이터 주권 요구 테넌트

공통
├─ 테넌트별 DEK (crypto-shredding으로 테넌트 단위 파기 가능) ← 클라우드법 §27③
├─ 감사로그에 tenant_id 필수 + 테넌트별 감사로그 열람 API 제공
├─ 서브프로세서 목록 공개 + 변경 사전 통지               ← 개보법 §26⑥
├─ 테넌트 데이터 export API (계약 종료 시 반환용)         ← 클라우드법 §27③
└─ 수사기관 요청 대응 정책 + 통지 정책                   ← 클라우드법 §27①

8.16 서비스 안정성 / 장애 대응

요구	대상	근거
서비스 안정수단 확보, 이용자 요구사항 처리 등 조치 + 이행 현황·계획을 매년 1월 말까지 제출	이용자 수·트래픽 시행령 기준 이상 부가통신사업자	전기통신사업법 §22의7
집적정보통신시설(IDC) 보호조치 + 보험 가입 + 서비스 중단 시 지체 없이 과기정통부 보고	집적정보통신시설 사업자등	망법 §46
침해사고 시 이용자 피해 확산 방지 및 신속한 피해구제 조치 + 조치 내용·결과를 과기정통부에 제출	정보통신서비스 제공자	망법 §48의10 (2026-10-01 시행)
침해사고 발생 시 지체 없이 이용자에게 통지	정보통신서비스 제공자 (시행령이 정한 침해사고)	망법 §48의3④ (2026-10-01 시행)
침해사고·이용자정보 유출·예고 없는 서비스 중단 시 지체 없이 이용자 통지	클라우드컴퓨팅서비스 제공자	클라우드법 §25①
이용자 정보 임치(에스크로) 가능	클라우드 제공자·이용자 합의	클라우드법 §28

설계: 상태 페이지(status page), 장애 알림 채널, 인시던트 사후보고서(postmortem) 공개 체계는 단순 신뢰 확보 수단이 아니라 위 조문들의 이행 증적입니다.

---

9. 이용약관 설계 (약관규제법)

작성 요건:

• §3①: 한글로 작성, 표준화·체계화된 용어, 중요한 내용을 부호·색채·굵고 큰 문자 등으로 명확히 표시.
• §3②: 계약 체결 시 약관 내용을 분명히 밝히고, 요구 시 사본 교부.
• §3③: 중요한 내용을 고객이 이해할 수 있도록 설명.
• §3④: §2·§3 위반 시 → 해당 약관을 계약의 내용으로 주장할 수 없음. ← 스크롤 한 번으로 넘어가는 약관 UX가 실제로 무효화될 수 있는 근거입니다.
• §4: 개별 약정이 약관보다 우선.
• §5②: 뜻이 명백하지 않으면 고객에게 유리하게 해석.
• §6①: 신의성실 원칙을 위반해 공정성을 잃은 조항은 무효. §6②: ①고객에게 부당하게 불리 ②거래형태 등에 비추어 예상하기 어려운 조항 ③계약 목적을 달성할 수 없을 정도로 본질적 권리를 제한하는 조항 → 공정성 상실로 추정.
• 개보법 §30③: 처리방침 내용과 계약 내용이 다르면 정보주체에게 유리한 것을 적용.
• 전상법 §35: 소비자에게 불리한 계약은 무효.

약관에 반드시 담아야 하는 것 (다른 법이 요구):

• 망법 §44의2⑤: 삭제·임시조치 등 필요한 조치의 내용·절차를 구체적으로 명시
• 망법 §49의2⑤⑥, 영 §60의10: 피싱 등 속이는 행위 대응 조치(접속경로 차단, 전화번호 서비스 중지, 이용자 통지) 관련 약관 사항
• 망법 §50의4②: 광고성 정보 관련 역무 제공 거부 조치를 이용계약 내용에 포함
• 망법 §59③, 영 §66의9: (통신과금) 이의신청·권리구제 절차를 이용약관에 명시
• 전상법 §10①5호: 사이버몰에 이용약관 표시
• 위치정보법 §12①: 이용약관 공개 + 변경 시 이유·내용 지체 없이 공개 (방통위가 변경 명령 가능, §12②)
• 전기통신사업법 §22의9①: 앱 마켓사업자는 결제 및 환불에 관한 사항을 이용약관에 명시

---

10. 사업 개시 전 등록·신고 체크리스트

#	절차	기관	조건	근거
1	부가통신사업 신고	과기정통부	부가통신사업 경영. 자본금 등 시행령 기준 소규모는 신고 의제	전기통신사업법 §22①⑤
2	통신판매업 신고	공정위 또는 시·군·구	통신판매업. 거래횟수·규모가 공정위 고시 기준 이하면 면제. 주소가 외국이면 공정위 제출	전상법 §12①, 영 §13①
3	선지급식 판매 시 결제대금예치 또는 소비자피해보상보험 증명 서류 첨부	위와 동일	선지급식 통신판매	전상법 영 §13①1호
4	위치기반서비스사업 신고	방송미디어통신위원회	개인위치정보 이용 서비스. 소상공인·1인창조기업은 개시 후 1개월 내	위치정보법 §9①, §9의2
5	개인위치정보 대상 위치정보사업 등록	방송미디어통신위원회	측위 정보를 수집해 LBS 사업자에게 제공 (법인 요건 등)	위치정보법 §5①
6	전자금융업 등록	금융위원회	PG / 선불 / 직불 / 전자자금이체. 자본금 3억~20억	전금법 §28②, §30
7	전자화폐 발행·관리 허가	금융위원회	전자화폐 (자본금 50억↑, 주식회사)	전금법 §28①, §30①
8	통신과금서비스 등록	과기정통부	휴대폰 소액결제 (자본금 5억↑)	망법 §53
9	CISO 지정·신고	과기정통부	정보통신서비스 제공자 (일부 신고 면제). 의무 발생일부터 6개월 내	망법 §45의3①, 영 §36의8
10	CPO 지정 (+ 일정 규모는 이사회 의결·보호위 신고)	개인정보보호위원회	소상공인 외. §31③은 2026-09-11 시행	개보법 §31①③
11	ISMS 인증	KISA / 인증기관	정보통신 부문 매출 100억↑ 또는 일평균 이용자 100만명↑	망법 §47②, 영 §49②
12	개인정보 보호 인증	보호위 / 인증기관	2026-09-11 시행 §32의2① 단서로 시행령 기준 해당 시 의무	개보법 §32의2①
13	손해배상 보험·공제 가입 또는 준비금 적립	(보험사)	매출 10억↑ AND 일평균 정보주체 1만명↑	개보법 §39의7, 영 §48의7
14	국내대리인 지정	각 소관	국내 주소·영업소 없는 사업자 (아래 표 참조)	다수
15	청소년보호책임자 지정	—	일평균 이용자 10만명↑ AND 매출 10억↑ AND 청소년유해매체물 취급	망법 §42의3, 영 §25
16	불법촬영물등 유통방지 책임자 지정	—	시행령 기준 해당 사업자	망법 §44의9

국내대리인 지정 의무 (국외 사업자) — 법마다 별도로 존재하므로 중복 지정이 필요합니다:

법	조문	기준	대리 사항
개인정보 보호법	§31의2, 영 §32의3①	전체 매출 1조원↑ 또는 국내 정보주체 일평균 100만명↑	고충처리·피해구제 / 유출 통지·신고 / 자료 제출
정보통신망법	§32의5	이용자 수·매출 시행령 기준	§64① 자료 제출
전기통신사업법	§22의8	§22의7① 기준 해당 부가통신사업자	이용자 요구사항 처리 국내 연락수단 / 자료 제출 / 이용자 보호 업무
전자상거래법	§20의5	매출·소비자 규모 시행령 기준	거래조건 이행 / 소비자 불만·분쟁 해결 / 공정위 처분 이행
AI 기본법	§36	이용자 수·매출 시행령 기준	안전성 이행결과 제출 / 고영향 확인 요청 / 조치 이행 지원

공통적으로 국내 법인이 있으면 그 법인 중에서 지정해야 하고(개보법 §31의2②, 전상법 §20의5②, 전기통신사업법 §22의8②), 국내대리인의 위반은 본인의 위반으로 간주됩니다.

---

11. 형사처벌 · 과징금 리스크 요약

11.1 개인정보보호법 형사처벌 — 대표자와 담당자 개인이 처벌됩니다

형량	행위	조문
10년 이하 징역 / 1억원 이하 벌금	공공기관 개인정보 변경·말소로 업무 중단·마비 / 부정한 수단으로 취득한 개인정보를 영리·부정 목적으로 제3자 제공 및 교사·알선	§70
5년 이하 / 5천만원 이하	동의 없는 제3자 제공(및 사정을 아는 수령자) / 목적 외 이용·제공 / 14세 미만 아동 법정대리인 동의 없이 처리 / 민감정보 처리 / 고유식별정보 처리 / 미지정 기관의 가명정보 결합 / 무승인 반출 / 재식별 목적 가명정보 처리 / 업무상 알게 된 개인정보 누설·권한 없는 이용 제공 / 권한 없이 타인 개인정보 이용·훼손·유출	§71
3년 이하 / 3천만원 이하	영상정보처리기기 임의 조작·녹음 / 거짓·부정한 수단으로 개인정보 취득 또는 동의 취득 / 직무상 비밀 누설	§72
2년 이하 / 2천만원 이하	정정·삭제 조치 없이 계속 이용·제공 / 처리정지 불이행 후 계속 이용·제공 / 비밀유지명령 위반 / 자료제출 거부·거짓 제출(은폐·축소 목적) / 조사 거부·방해·기피(자료 은닉·폐기·위조·변조)	§73
양벌규정	종업원 위반 시 법인도 처벌 (§70은 7천만원 이하 벌금, §71~73은 각 조문의 벌금형). 다만 상당한 주의와 감독을 게을리하지 않으면 면책	§74
몰수·추징	위반으로 취득한 금품·이익 몰수, 불가 시 가액 추징 (다른 벌칙에 부가)	§74의2
과태료	최대 5천만원 이하	§75

§74 단서가 실무의 핵심입니다. "상당한 주의와 감독을 게을리하지 아니한 경우" 법인이 면책됩니다. 이것을 입증하는 것이 §6.1의 내부관리계획, §28②의 정기 교육, §26④의 수탁자 감독, 그리고 §8.4의 감사로그입니다. 컴플라이언스 증적은 법인을 지키는 방어 수단입니다.

11.2 과징금 상한 비교

법	사유	상한
개보법 §64의2①	동의 없는 처리, 14세 미만, 민감정보, 고유식별정보, 수탁자 감독 소홀, 재식별, 국외이전 위반, 중지명령 불이행, 유출	전체 매출액 3% (매출 없거나 산정 곤란 시 20억)
개보법 §64의2② (2026-09-11)	3년 내 반복(고의·중과실) / 피해 1천만명↑(고의·중과실) / 시정명령 불이행 후 유출	전체 매출액 10% (또는 50억)
망법 §50의9	광고성 정보 전송 위반 (§50, §50의4, §50의5, §50의7, §50의8)	매출액 6% (또는 20억)
망법 §48의8 (2026-10-01)	고의·중과실로 5년 내 2회 이상 침해사고	매출액 3%
망법 §44의24 (2026-10-01)	불법정보·허위조작정보 유통	별도 산정
신정법 §42의2①	동의 없는 제3자 제공, 목적 외 이용, 재식별, 개인비밀 업무목적 외 누설·이용	전체 매출액 3%
신정법 §42의2① 1호	§19① 위반으로 개인신용정보 유출	50억원 이하
전상법 §34	법 위반행위	관련 매출액 기준 (별도)
전금법 §46	법 위반행위	별도
위치정보법 §14	법 위반행위	별도

11.3 정보통신망법 주요 형사처벌

• §71: 개인정보 관련 위반 (다수 항목)
• §72: 정보통신망 무단 침입(§48①) 등
• §70: 명예훼손 (사실 적시 / 허위 사실)
• §48② 악성프로그램 유포, §48③ 서비스 거부 공격, §48④ 인증 우회 프로그램 설치·유포

---

12. 개발 착수 전 통합 체크리스트

12.1 설계 단계 (Design)

• 우리 서비스의 법적 지위 전부 확인 (§1 표) — 지위마다 별개의 의무가 붙습니다
• 규모 임계값 대비 계획 수립 (§1.1) — 특히 일평균 100만명(망분리) / 매출 100억(ISMS) / 매출 10억+1만명(보험)
• 개인정보 필드 카탈로그 작성, 각 항목에 legal_basis 확정 (§8.2)
• "동의 없이 처리 가능한 항목"과 "동의 필요 항목" 분리 → §22③ 공개 대비
• 데이터 등급 분류 및 저장소 분리 설계 (§8.1)
• 보유기간 매트릭스 작성 (§4.1) — 법령별 충돌 해소, retention_schedule 설계
• 파기 파이프라인 설계, 백업·복제본·캐시·DW까지 전파 (§8.5, §8.6)
• crypto-shredding(DEK 단위 키 폐기) 채택 여부 결정 — 백업 파기 문제의 실질적 유일 해법
• 국외 이전 대상 벤더 목록화 → §28의8①3호(계약 이행 위탁) 트랙 적용 + 처리방침 공개 문안 준비 (§8.9)
• 정보보호 사전점검(망법 §45의2①) 수행 — 설계 단계에 보안 검토를 넣는 것이 법의 명시적 요구
• 리전 결정: 원본 PII는 국내, 국외 전송은 최소화 (§8.9)

12.2 구현 단계 (Build)

인증·계정

• 비밀번호 일방향 암호화(bcrypt/scrypt/Argon2id) — 영 §30①4호 가목
• 전 구간 TLS, 로그인 페이지 HTTP 노출 없음 — 영 §30①4호 다목
• 관리자 계정 MFA + 개인 식별 가능(공용계정 금지) — 영 §30①2호 나목
• 접근권한 부여·변경·말소 기준 문서화 및 시스템 구현 — 영 §30①2호 가목
• 회원가입 단계에서 주민번호 없이 가입 가능 — §24의2③
• 14세 미만 분기 + 법정대리인 동의 확인 + 증적 저장 — §22의2①, 영 §17의2①
• 앱: 필수/선택 접근권한 구분, 개별 동의(최초 접근 시점), 선택 미동의 시 서비스 거부 안 함 — 망법 §22의2, 영 §9의2②

동의·권리

• consent_events 불변 이력 테이블 + 고지 내용 스냅샷 해시 (§8.7)
• 동의 UI: 구분 동의, pre-ticked 금지, 중요내용 강조, 선택 여부 명확 표시 — §22, 영 §17
• 열람·정정·삭제·처리정지·동의철회를 가입과 동일한 난이도로 셀프서비스 제공 — §38④, 전상법 §21의2①4호
• 전자문서 가입이면 탈퇴·철회·해지도 전자문서로 — 전상법 §5④
• 자동화된 결정이 있으면: 거부·설명 요구 접수 → 인적 재심 큐 + 기준 공개 (§8.13)
• 전송요구(§35의2) 대상이면 기계판독 export API (§8.10)

보안·로깅

• 감사로그: append-only, 해시체인 무결성, purpose 태그 필수, 대량조회 탐지 (§8.4)
• 감사로그에 PII 평문 미기록 (대체키 사용)
• 애플리케이션 로그/APM/에러트래커 PII 마스킹 미들웨어 + 파이프라인 PII 패턴 탐지 (§8.4)
• 등급별 분리된 KMS 키, [C2]에 애플리케이션 레벨 암호화 (§8.3)
• 침입 탐지·차단(WAF/IDS), 악성코드 상시 점검(EDR) — 영 §30①3호·6호
• 일평균 100만명 도달 시 취급자 PC 인터넷망 차단 — 영 §30①3호 나목

결제·전자상거래

• 결제 방식별 등록 필요 여부 확인 (§5.1) — 특히 자체 포인트 충전은 선불업 등록 대상
• 결제 전 조작실수 방지 확인 절차 — 전상법 §7
• 결제창: 재화 내용·가격·용역 제공기간 고지 + 확인 절차, 미리 동의 표시 금지 — 전상법 §8②, 영 §9
• 사이버몰 사업자정보 표시 (상호·대표자·주소·전화·이메일·사업자등록번호·이용약관·호스팅사업자) — 전상법 §10①, 영 §11의4
• 상품 페이지에 통신판매업 신고번호와 신고기관 — 전상법 §13①3호
• 계약내용 서면(전자문서) 교부 — 전상법 §13②
• 정기결제 증액 / 무료→유료 전환: 사전 동의 + 취소·해지 조건·방법·효과 고지 — 전상법 §13⑥
• 청약철회: 7일 / 콘텐츠 개시 시 제한 + 표시·시험사용 제공 조치(안 하면 철회 가능) / 3영업일 환급 + 지연배상금 — 전상법 §17, §18
• 미성년자 계약 시 법정대리인 미동의 취소 가능 고지 — 전상법 §13③
• 거래기록 보존(6개월/5년/5년/3년) + 소비자 열람·보존 방법 제공 — 전상법 §6, 영 §6

다크패턴 제거 (전상법 §21의2)

• 가격 첫 화면에 필수 총금액 표시 (숨은 수수료 없음)
• 미리 체크된 동의/추가상품 선택 전부 제거
• 구매/취소, 가입/탈퇴 버튼의 시각적 편향 제거 (크기·색·모양)
• 취소·탈퇴·해지를 가입과 동일 경로·동일 난이도로
• 반복 팝업에 "N일간 보지 않기" 옵션

마케팅 (망법 §50)

• 채널별 수신동의 관리, 야간(21~08) 별도 동의 (이메일 제외)
• 광고에 전송자 명칭·연락처 + 수신거부 방법 표시 (별표 6)
• 수신거부·철회 무료 수단 제공
• 동의/거부/철회 처리결과 14일 내 통지 자동화
• 2년 주기 수신동의 재확인 스케줄러
• 발송 직전 실시간 동의 상태 조회 (스냅샷 발송 금지)
• 개인신용정보 취급 시 신정법 §37② 연락중지청구 별도 트랙

UGC / AI (해당 시)

• Notice & Takedown: 수령인 공지, 즉시조치, 양방향 통보, 게시판 공시, counter-notice 재개, 반복침해자 계정 해지 방침 (§8.12)
• 약관에 삭제·임시조치 절차 구체적 명시 — 망법 §44의2⑤
• AI 사용 사실 사전 고지 + 생성물 AI 생성 표시 — AI기본법 §31
• 고영향 AI 해당 여부 사전 검토 및 문서화 — AI기본법 §33①
• LLM 호출 앞단 PII 마스킹, 벤더 zero-retention 계약 고정
• 학습 데이터: 가명처리(§28의2) 또는 추가적 이용(§15③, 영 §14의2) 근거 확정 + CPO 점검

위탁·계약

• processor_registry 구축 + 처리방침 페이지에 직결 (§8.8)
• 위탁계약에 영 §28① 7개 조항 전부 포함
• CI에 신규 외부 의존성 추가 시 레지스트리 등록 검사 (미등록 시 빌드 실패)
• 수탁자 교육 및 감독 증적 (§26④ — 소홀 시 위탁자 과징금)
• 재위탁 시 위탁자 동의 절차 (§26⑥)

문서·공개

• 개인정보 처리방침 — §30① 8개 항목 + 영 §31① 4개 항목(처리 항목 / 국외이전 근거와 §28의8② 사항 / 안전성 확보 조치 / 국외 직접수집 시 처리 국가명)
• 위치정보 취급 시 처리방침에 위치정보법 §21의2 4개 항목 추가
• 이용약관 — 약관규제법 §3 형식 요건 + 각 법이 요구하는 필수 조항 (§9)
• 위탁 업무·수탁자 홈페이지 지속 게재 (§26②, 영 §28②)
• 자동화된 결정 기준·절차 공개 (§37의2④)
• 리뷰 수집·처리 정보 공개 (전상법 §21의4)

12.3 운영 준비 (Operate)

• 인시던트 대응 플레이북: 24시간(망법 신고) / 72시간(개보법 통지·신고) 타임라인 (§7.1)
• §34② "유출 가능성" 통지 대비: 영향 정보주체를 즉시 산출하는 쿼리·도구 준비 (2026-09-11)
• 유출 통지 템플릿 7개 항목 (§34①) — 특히 6호 법적 권리와 행사방법
• 침해사고 관리·대응 매뉴얼 작성 및 제출 준비 (망법 §48의9, 2026-10-01)
• 내부 관리계획 수립·시행·점검 (영 §30①1호)
• 개인정보취급자 정기 교육 (§28②) — 양벌규정 면책의 핵심 증적
• CPO / CISO 지정(및 신고), 독립성 보장 체계 — 대표자·이사회 직접 보고 라인 (§6.3)
• 감사로그 정기 점검 프로세스 및 리포트 (영 §30①5호 "점검" 의무)
• 정보주체 권리 요청 대응 SLA 및 담당자 (§4.4)
• 접속기록 이상탐지 룰 (대량조회 / 비업무시간 / 권한 외)
• 파기 배치 실행 및 파기 증적(destruction_log) 확인 루틴
• 보험·공제 가입 또는 준비금 적립 (§39의7 해당 시)
• 상태 페이지 + 장애 통지 채널 (§8.16)
• 수사기관 자료 요청 대응 정책 — 전기통신사업법 §83③(통신이용자정보), 통비법 §13(통신사실확인자료), 클라우드법 §27①(영장주의)

---

13. 조문 인덱스 (원문 위치)

주제	조문	파일
개인정보 정의·가명처리	개보법 §2	kr/개인정보보호법/법률.md
보호 원칙 / 정보주체 권리	개보법 §3, §4	동일
수집·이용 근거 (7가지)	개보법 §15	동일
최소수집 / 제3자 제공 / 목적 외	개보법 §16, §17, §18	동일
이용·제공 내역 통지	개보법 §20의2 / 영 §15의3	동일
파기	개보법 §21 / 영 §16	동일
동의 방법	개보법 §22 / 영 §17	동일
아동 개인정보	개보법 §22의2 / 영 §17의2	동일
민감정보 / 고유식별정보 / 주민번호	개보법 §23, §24, §24의2 / 영 §18, §19, §21, §21의2	동일
위탁	개보법 §26 / 영 §28	동일
가명정보 특례	개보법 §28의2§28의7 / 영 §29의2§29의5	동일
국외 이전	개보법 §28의8§28의11 / 영 §29의7§29의12	동일
안전조치 8개 항목	개보법 §29 / 영 §30	동일
처리방침	개보법 §30 / 영 §31	동일
CPO / 국내대리인	개보법 §31, §31의2 / 영 §32, §32의3	동일
보호 인증	개보법 §32의2 / 영 §34의2	동일
유출 통지·신고	개보법 §34 / 영 §39, §40	동일
열람 / 전송요구 / 정정·삭제 / 처리정지	개보법 §35, §35의2, §36, §37	동일
자동화된 결정	개보법 §37의2 / 영 §44의2~§44의4	동일
손해배상 / 법정손배 / 보험	개보법 §39, §39의2, §39의7 / 영 §48의7	동일
금지행위	개보법 §59	동일
과징금	개보법 §64의2 / 영 §60의2	동일
벌칙 / 양벌	개보법 §70~§75	동일
정보통신서비스 제공자 정의	망법 §2	kr/정보통신망이용촉진및정보보호등에관한법률/법률.md
국외행위 적용	망법 §5의2	동일
앱 접근권한	망법 §22의2 / 영 §9의2	동일
주민번호 사용 제한 / 본인확인기관 / 연계정보(CI)	망법 §23의2§23의6 / 영 §10§16	동일
게시판 본인확인	망법 §44의5	동일
정보 삭제요청·임시조치	망법 §44의2, §44의3	동일
불법정보·허위조작정보	망법 §44의7	동일
대화형 서비스 아동 보호	망법 §44의8	동일
정보보호지침 / CISO / 정보보호위원회	망법 §45, §45의3, §45의4 / 영 §36의7, §36의8	동일
정보보호 사전점검	망법 §45의2	동일
ISMS	망법 §47, §47의7 / 영 §49, §49의2	동일
침해행위 금지	망법 §48	동일
침해사고 신고(24h)	망법 §48의3 / 영 §58의2	동일
반복 침해사고 과징금 / 대응 매뉴얼 / 피해구제	망법 §48의8, §48의9, §48의10	동일
광고성 정보 전송	망법 §50, §50의3§50의9 / 영 §61§63	동일
통신과금서비스	망법 §53§61 / 영 §66의2§66의9	동일
신용정보 정의 / 개인신용정보	신정법 §2	kr/신용정보의이용및보호에관한법률/법률.md
수집·처리 원칙 / 처리 위탁	신정법 §15, §17	동일
신용정보전산시스템 안전보호	신정법 §19 / 영 §16	동일
관리·보호인 / 처리기록 3년	신정법 §20 / 영 §17	동일
개인신용정보 보유기간	신정법 §20의2 / 영 §17의2	동일
제공 동의 (개별·형식 요건)	신정법 §32 / 영 §28	동일
이용 제한	신정법 §33	동일
전송요구 (마이데이터)	신정법 §33의2 / 영 §28의3	동일
자동화평가 설명·이의제기	신정법 §36의2 / 영 §31의2	동일
동의 철회 / 연락중지청구	신정법 §37 / 영 §32	동일
열람·정정 / 삭제 요구	신정법 §38, §38의3	동일
누설 통지	신정법 §39의4	동일
가명·익명처리 행위규칙	신정법 §40의2	동일
업무목적 외 누설 금지	신정법 §42	동일
과징금 / 손해배상	신정법 §42의2, §43, §43의2, §43의3	동일
상거래기업 및 법인	신정법 §45의3, §45의4	동일
전자금융거래 정의 / 적용범위	전금법 §2, §3	kr/전자금융거래법/법률.md
접근매체	전금법 §6	동일
사고 책임 (무과실에 준함)	전금법 §9, §10, §11	동일
안전성 확보의무 / CISO / 취약점 평가	전금법 §21, §21의2, §21의3	동일
침해사고 통지·대응	전금법 §21의5, §21의6	동일
거래기록 생성·보존·파기	전금법 §22	동일
선불충전금 / 정산대금 보호	전금법 §25의2~§25의5	동일
전자금융업 허가·등록 / 자본금	전금법 §28, §30, §31	동일
선불업자 / PG 행위규칙	전금법 §36의2, §36의3	동일
통신판매업자 정의 / 적용제외	전상법 §2, §3	kr/전자상거래등에서의소비자보호에관한법률/법률.md
전자문서 활용 (탈퇴·철회 대칭)	전상법 §5	동일
거래기록 보존	전상법 §6 / 영 §5의2, §6	동일
조작실수 방지 / 전자적 대금지급	전상법 §7, §8 / 영 §7~§10	동일
호스팅서비스 협력 / 전자게시판 책임	전상법 §9, §9의2	동일
사이버몰 표시	전상법 §10 / 영 §11의4	동일
통신판매업 신고	전상법 §12 / 영 §13, §15, §16	동일
신원·거래조건 정보제공 / 정기결제	전상법 §13 / 영 §20, §20의2	동일
청약확인 / 공급	전상법 §14, §15	동일
청약철회 / 효과	전상법 §17, §18 / 영 §21, §21의2, §21의3	동일
통신판매중개자 책임	전상법 §20~§20의4	동일
국내대리인	전상법 §20의5	동일
금지행위	전상법 §21	동일
다크패턴 금지	전상법 §21의2	동일
리뷰 투명성	전상법 §21의4	동일
소비자피해보상보험	전상법 §24	동일
불리한 계약 무효	전상법 §35	동일
위치정보 정의	위치정보법 §2	kr/위치정보의보호및이용등에관한법률/법률.md
사업 등록·신고	위치정보법 §5, §9, §9의2	동일
이용약관 공개	위치정보법 §12	동일
보호조치 / 확인자료 자동기록	위치정보법 §16	동일
수집·이용·제공 동의	위치정보법 §18, §19	동일
이용·제공 제한 / 처리방침	위치정보법 §21, §21의2	동일
파기	위치정보법 §23	동일
권리 (철회·중지·열람)	위치정보법 §24, §25	동일
손해배상	위치정보법 §27	동일
부가통신사업 신고	전기통신사업법 §22	kr/전기통신사업법/법률.md
불법촬영물 유통방지	전기통신사업법 §22의5	동일
서비스 안정성 확보	전기통신사업법 §22의7	동일
국내대리인	전기통신사업법 §22의8	동일
앱 마켓사업자 의무	전기통신사업법 §22의9	동일
통신이용자정보 제공	전기통신사업법 §83, §83의2	동일
통신사실확인자료 정의	통비법 §2 11호	kr/통신비밀보호법/법률.md
통신사실확인자료 제공 절차	통비법 §13	동일
자료 보관기간 (3개월/12개월)	통비법 §15의2 / 영 §41	동일
CSAP 보안인증	클라우드법 §23의2	kr/클라우드컴퓨팅발전및이용자보호에관한법률/법률.md
침해사고·유출·중단 통지	클라우드법 §25	동일
저장 국가 명칭 공개	클라우드법 §26	동일
이용자 정보 보호 / 반환·파기	클라우드법 §27	동일
정보 임치	클라우드법 §28	동일
손해배상	클라우드법 §29	동일
약관 작성·설명 의무	약관규제법 §3	kr/약관의규제에관한법률/법률.md
개별약정 우선 / 해석	약관규제법 §4, §5	동일
불공정약관 무효	약관규제법 §6~	동일
OSP 책임 제한	저작권법 §102	kr/저작권법/법률.md
복제·전송 중단 (N&T)	저작권법 §103	동일
법원 명령 범위 / 정보 제공 청구	저작권법 §103의2, §103의3	동일
특수유형 OSP 의무	저작권법 §104	동일
AI / 고영향 AI / 생성형 AI 정의	AI기본법 §2	kr/인공지능발전과신뢰기반조성등에관한기본법/법률.md
국외행위 적용	AI기본법 §4	동일
투명성 확보 의무	AI기본법 §31	동일
안전성 확보 의무	AI기본법 §32	동일
고영향 AI 확인 / 사업자 책무 / 영향평가	AI기본법 §33, §34, §35	동일
국내대리인	AI기본법 §36	동일

---

14. 이 문서의 한계 (반드시 인지할 것)

1. 시행령이 위임한 고시를 포함하지 않았습니다. 「개인정보의 안전성 확보조치 기준」, 「전자금융감독규정」, 「신용정보업감독규정」, 「ISMS-P 인증 고시」의 세부 기준(암호화 알고리즘, 접속기록 보관기간, 망분리 상세 등)은 별도 확인이 필요합니다. 특히 암호화 대상 정보 목록과 접속기록 보관기간은 고시에 있습니다.
2. 별표(별첨) 내용이 없습니다. 개보법 영 별표 1(CPO 자격요건), 별표 1의4(보험 최저가입금액), 망법 영 별표 6(광고 표시 방법), 별표 1(대규모 사업자 대상 서비스)은 이 저장소에 첨부파일 링크만 있습니다.
3. 판례와 감독기관 해석을 반영하지 않았습니다. 조문만으로 판단이 어려운 영역(특히 "정당한 이익"의 범위, "가분적 디지털콘텐츠"의 판단, 정산 대행의 "부수성" 판단)은 보호위원회 결정례, 공정위 심결례, 금융위 유권해석을 확인해야 합니다.
4. §0의 시행일 문제: 이 문서의 상당 부분은 2026년 하반기 시행 예정 조문 기준입니다. 현재 운영 중인 서비스의 위반 여부 판단에는 사용하지 마세요.
5. 업종별 특별법을 다루지 않았습니다. 의료(의료법, 생명윤리법), 교육(교육관련기관 정보보호법), 게임(게임산업진흥법 등급분류), 가상자산(가상자산이용자보호법), 마이데이터 전문기관(신정법 §22의9), 채권추심(채권추심법) 등은 별도 검토가 필요합니다.
6. 최종 판단은 법률 전문가의 것입니다. 이 문서는 개발팀이 설계 단계에서 무엇을 검토해야 하는지 파악하기 위한 기술 문서이며, 법률 의견서가 아닙니다. 등록·허가 필요 여부, 과징금 리스크 평가, 약관 조항의 유효성 같은 판단은 반드시 법률 검토를 받으세요.