데이터 3법

INFO — 이 문서는 법률 자문이 아니라 조문 좌표다

데이터베이스를 설계·운영하다가 “이 주제는 어느 법 어느 조문에 걸리는가”를 찾을 때 쓴다. 기준 시점은 개인정보 보호법 법률 제21445호(2026-03-10 공포, 2026-09-11 시행)와 같은 날 시행된 시행령(대통령령 제36671호)·고시다. 실제 판단이 필요하면 시행일 기준 조문 원문을 국가법령정보센터에서, 해설·고시·안내서는 개인정보보호위원회에서 대조한다.

세 법을 통째로 읽는 대신 설계 중인 테이블과 운영 절차에서 출발해 조문으로 거슬러 올라가는 순서로 정리했다. 그래서 모든 항목에 조·항·호를 붙인다. 합법·위법 판단은 하지 않는다. 조문이 무엇을 요구하는지만 옮기고, 그 요구가 스키마·보관 기간·계정·로그 설계에서 어디에 닿는지 한 줄로 이어 둔다. 숫자가 시행령·고시에 있으면 숫자를 적고, 대통령령에 위임된 대목은 위임 사실을 적는다.

데이터 3법이란

개인정보 보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법), 신용정보의 이용 및 보호에 관한 법률(신용정보법) 세 법률을 묶어 부르는 말이다. “데이터 3법”은 2020-02-04 공포된 개정 묶음을 가리키는 관용어이고, 세 법은 모두 이미 시행 중인 법률이다. 법안이 아니다.

현행 상태는 한 지점으로 모인다. 2026-03-10 공포된 법률 제21445호가 개인정보 보호법 개정법률이면서 정보통신망법과 신용정보법을 부칙으로 함께 개정했고, 세 법 모두 2026-09-11 같은 날 시행됐다.

개정 연혁

개인정보 보호법의 2020년 이후 연혁이다.

공포일	법률번호	시행일	제개정 구분
2026-09-08	법률 제21910호	2027-03-09 (시행예정)	일부개정
2026-03-10	법률 제21445호	2026-09-11 (현행)	일부개정
2025-04-01	법률 제20897호	2025-10-02	일부개정
2023-03-14	법률 제19234호	2023-09-15	일부개정
2020-02-04	법률 제16930호	2020-08-05	일부개정
2017-07-26	법률 제14839호	2017-07-26	타법개정

제정은 2011-03-29 법률 제10465호이고 연혁은 제정 1건과 개정 13건을 합쳐 14건이다. 2020-08-05 시행 이후 세 차례 더 개정되어 시행됐고(2023-09-15, 2025-10-02, 2026-09-11), 1건이 시행을 기다린다(2027-03-09).

표를 읽을 때 갈라지는 지점이 셋 있다.

2023-03-14 공포분(법률 제19234호)은 일부개정이다. 전부개정이 아니다.
“2024-03-15 시행”은 별도 개정이 아니다. 제37조의2(자동화된 결정)의 조문 말미 표기는 “본조신설 2023.3.14”이고, 2023-03-14 개정 부칙에 따라 1년 유예되어 그 날 시행됐다. 부칙 유예 시행일을 연혁에 섞으면 개정 건수가 부풀려진다.
현행 법률 안에도 시행일이 다른 조문이 있다. 제32조의2 제1항 단서와 제75조 제2항 제15호는 2027-07-01 시행이다.

2026-09-11 시행 개정에서 DB 운영에 바로 닿는 조문은 아래와 같다.

사항	조문
“유출등” 정의(분실·도난·유출·위조·변조·훼손)	제23조 제2항
유출등의 가능성 통지 신설	제34조 제2항
통지 항목 확대(분쟁조정 신청·손해배상 청구 방법)	제34조 제1항
사업주·대표자의 최종책임	제30조의3
개인정보 보호책임자(CPO) 직무권한 강화	제31조
정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 의무화(2027-07-01 시행)	제32조의2 제1항
가명정보 안전조치·적용범위 개정	제28조의4 제1항, 제28조의7

법률 제20897호(2025-10-02 시행)와 법률 제21910호(2027-03-09 시행예정)의 개정 범위는 국가법령정보센터의 개정문·개정이유에서 확인한다.

세 법의 역할 분담

법률	소관	현행
개인정보 보호법	개인정보보호위원회	법률 제21445호, 2026-09-11 시행
정보통신망법	과학기술정보통신부·방송미디어통신위원회	법률 제21445호(타법개정), 2026-09-11 시행
신용정보법	금융위원회	법률 제21445호(타법개정), 2026-09-11 시행

개인정보 보호법이 일반법 자리에 있다. 온라인 서비스의 개인정보 의무를 정보통신망법에서 찾으면 대부분 삭제된 조문에 닿는다. 금융·신용 도메인은 신용정보법에 가명처리·익명처리 정의가 따로 있어 용어부터 갈린다.

개인정보 보호법

개인정보의 법정 정의

제2조 제1호는 개인정보를 “살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보”로 정의한다. 세 목 구조가 이 문서 전체의 뼈대다.

목	정의
가목	성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
나목	해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보
다목	가목 또는 나목을 가명처리함으로써 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보(가명정보)

나목의 “쉽게 결합”은 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여 판단한다. 조인 한 번으로 특정 개인에 닿는 컬럼 조합이면 그 테이블도 검토 범위에 들어온다.
가명정보는 개인정보의 한 유형이다(다목). 개인정보와 나란히 놓인 별개 범주가 아니다. 가명정보에 붙는 제28조의2부터 제28조의7까지의 특례는 개인정보라는 전제 위에 얹힌 예외다.
가명처리 정의는 제2조 제1호의2다. “개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것”이다. 식별자 대체 한 가지로 한정되지 않는다.

가목이 예시로 드는 값을 문서나 테스트 데이터에 넣을 때는 실제 형식을 피한다. 이름 홍길동, 전화번호 010-1234-1423, 주민등록번호 800101-******* 처럼 쓴다. 체크디지트까지 맞는 주민등록번호는 실제 누군가의 번호와 일치할 수 있다.

가명정보

처리가 허용되는 범위

제28조의2 제1항은 “통계작성, 과학적 연구, 공익적 기록보존 등을 위하여” 정보주체의 동의 없이 가명정보를 처리할 수 있다고 정한다. 열거 뒤에 “등”이 붙어 있어 세 가지로 닫힌 목록이 아니다.
“과학적 연구”에는 정의 조문이 있다. 제2조 제8호는 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구로 정의한다.
제2항은 제3자 제공 시 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함할 수 없다고 정한다. 제공용 추출 쿼리에 추가 정보나 매핑 키가 함께 실려 나가지 않는지가 이 항의 확인 지점이다.

결합과 반출

제28조의3이 정하는 흐름이다.

서로 다른 개인정보처리자 간의 가명정보 결합은 개인정보보호위원회(이하 보호위원회) 또는 관계 중앙행정기관의 장이 지정한 전문기관이 수행한다(제1항).
결합 결과를 기관 외부로 반출하려면 가명정보 또는 제58조의2에 해당하는 정보로 처리한다(제2항).
반출에는 전문기관의 장의 승인이 필요하다(제2항).
결합 절차, 전문기관 지정과 취소, 반출 승인 기준은 대통령령에 위임돼 있다(제3항).

조문상 명칭은 “전문기관”이고, 지정 주체는 보호위원회만이 아니다. 관계 중앙행정기관의 장도 지정한다. 사내 데이터 웨어하우스에서 서로 다른 처리자의 가명정보를 조인하는 설계는 1번에 걸리므로 이 조문의 검토 대상이다.

벌칙이 붙는다.

위반	벌칙 조문
전문기관 지정 없이 가명정보를 결합	제71조 제6호
전문기관장 승인 없이 결합정보를 반출·제3자 제공	제71조 제7호
특정 개인을 알아보기 위한 목적으로 가명정보를 처리	제71조 제8호

제71조 각 호는 5년 이하의 징역 또는 5천만원 이하의 벌금이다. 제3호부터 제8호까지에는 “제26조 제8항에 따라 준용되는 경우를 포함한다”가 붙어 수탁자에게도 적용된다.

안전조치·기록·벌칙

의무	내용	조문
추가 정보 분리	별도로 분리하여 보관·관리, 유출등 방지 조치	제28조의4 제1항
처리 기간	처리 목적 등을 고려해 별도로 정할 수 있다	제28조의4 제2항
기록 보관	처리 목적·제공받는 자·처리 기간 등 기록 작성·보관, 파기한 날부터 3년 이상	제28조의4 제3항
목적 제한	특정 개인을 알아보기 위한 목적의 처리 금지	제28조의5 제1항
생성 시 조치	식별 가능 정보가 생성되면 즉시 처리 중지, 지체 없이 회수·파기	제28조의5 제2항

제28조의4 제1항의 “별도로 분리”는 스키마·계정 분리로 내려온다. 매핑 테이블이 원본과 같은 계정으로 조회되면 분리 상태라고 보기 어렵다.
제28조의4 제3항의 3년은 파기 시점부터 센다. 가명 테이블을 지운 뒤에도 기록은 남아야 한다. 파기 배치가 기록까지 함께 지우는 설계가 여기서 걸린다.
제28조의5 제2항은 재식별을 발견한 뒤의 절차를 요구한다. 즉시 중지와 회수·파기를 하려면 그 가명정보가 어디로 복제됐는지 추적할 수 있어야 한다.
제28조의7은 가명정보에 제20조, 제20조의2, 제27조, 제34조 제1항·제2항, 제35조, 제35조의2, 제36조, 제37조를 적용하지 아니한다고 정한다. 어떤 의무가 가명 테이블에 붙고 어떤 의무가 빠지는지는 이 목록이 경계다.

익명처리와 적용제외

개인정보 보호법에는 “익명정보” 정의 조문이 없다. 법정 용어는 가명정보(제2조 제1호 다목)뿐이다. 익명처리한 결과물은 정의 규정이 아니라 적용제외 조문으로 다뤄진다.

제58조의2는 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보에 이 법을 적용하지 아니한다고 정한다. 제28조의3 제2항과 시행령 제16조 제1항이 이 조를 인용한다.

상태	법적 취급	근거
개인정보	이 법 전면 적용	제2조 제1호 가목·나목
가명정보	개인정보이나 제28조의2~제28조의7의 특례·적용 배제	제2조 제1호 다목
제58조의2에 해당하는 정보	이 법을 적용하지 아니한다	제58조의2

세 번째 줄을 법정 범주 이름으로 부르지 않는 이유가 여기 있다. 판단 근거가 정의 조문이 아니라 적용제외 요건이고, 요건 자체가 시간·비용·기술이라는 상대적 척도다. 같은 컬럼 조합이라도 결합 가능한 외부 정보가 늘어나면 판정이 달라질 수 있다.

용어는 법마다 다르다. 신용정보법 제2조 제17호에는 “익명처리” 정의가 따로 있다. 금융 도메인 문서에서 익명처리를 쓸 때는 어느 법의 용어인지 밝힌다.

가명처리 기법과 DB 설계

법 제2조 제1호의2는 기법을 “일부 삭제”, “일부 또는 전부 대체”로만 표현한다. 아래 명칭은 실무 분류이고 법령 문언이 아니다. 「가명정보 처리 가이드라인」(2026.3. 개정)이 쓰는 용어 체계는 가이드라인 본문으로 대조한다.

기법	예	주의점
치환(토큰화)	홍길동 → `u_8f3a12`	매핑 테이블을 원본과 다른 스키마·계정에 두고 접근 권한을 분리한다
일방향 해시	`email` → `sha256(email + salt)`	솔트 없이 해시하면 사전 공격으로 복원된다. 솔트는 키 관리 대상이다
범주화	35세 → 30대	희소 구간(90대, 특정 소도시)은 범주화해도 그 자체로 식별될 수 있다
삭제	주민등록번호 컬럼 제거	백업본, 로그, 덤프에도 남아 있는지 함께 확인한다

IMPORTANT — 마스킹과 가명처리는 같지 않다

가명처리는 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것이다(제2조 제1호의2). 이름을 홍*동으로 가린 값은 생년월일·지역·거래 컬럼과 결합하면 다시 특정될 수 있다. 일부를 가린 표시는 화면 노출을 줄이는 수단이고, 제2조 제1호의2의 문언은 추가 정보 없이 알아볼 수 있는지까지 본다.

DB 설계·운영에 걸리는 의무

숫자가 나오는 대목은 대부분 법률이 아니라 시행령과 고시에 있다. 현행 고시는 「개인정보의 안전성 확보조치 기준」 개인정보보호위원회 고시 제2026-9호(발령·시행 2026-07-01)다. 이 고시의 제15조 제5호와 제18조는 2027-01-01 시행이다.

암호화 대상

근거 사슬을 먼저 본다. 법 제24조 제3항(고유식별정보)·제24조의2 제2항(주민등록번호)·제29조(안전조치의무) → 시행령 제30조 제1항 제4호 → 시행령 제30조 제3항의 위임 → 고시 제7조로 내려온다. 주민등록번호 암호화 적용 시기는 시행령 제21조의2에 있다.

고시 제7조의 대상이다.

구분	대상
인증정보	비밀번호, 생체인식정보 등. 비밀번호는 복호화되지 아니하도록 일방향 암호화
이용자 개인정보 저장	주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 생체인식정보
이용자가 아닌 정보주체	인터넷망 구간·DMZ의 고유식별정보, 내부망의 고유식별정보
전송 구간	인터넷망 구간에서 송·수신하는 개인정보
단말·매체	취급자의 컴퓨터, 모바일 기기, 보조저장매체에 저장하는 경우

현행 고시 용어는 “생체인식정보”다. “바이오정보”는 현행 고시의 표기가 아니다.
저장 시 암호화 대상은 위 표의 둘째 줄처럼 7종으로 열거돼 있고, 비밀번호는 인증정보로 묶여 일방향 암호화 대상이 된다.
내부망에 저장하는 주민등록번호 외의 고유식별정보는 영향평가 결과나 위험도 분석 결과에 따라 적용 여부와 범위를 정할 수 있다.
암호 키 관리 절차(생성·이용·보관·배포·파기)를 수립·시행해야 하는 범위가 따로 있다. 10만명 이상을 처리하는 대기업·중견기업·공공기관, 100만명 이상을 처리하는 중소기업·단체다.
암호화 컬럼은 인덱스 전략이 바뀐다. 동등 비교만 필요하면 별도 해시 컬럼으로 검색하고, 범위 검색이 필요하면 설계 단계에서 다시 판단한다. 키는 DB 안이 아니라 별도 키 관리 체계에 둔다. 데이터 암호화로 이어진다.

접근권한 관리

고시 제5조가 요구하는 것이다.

업무 수행에 필요한 최소한의 범위로 권한을 차등 부여한다.
취급자나 업무가 바뀌면 지체 없이 권한을 변경하거나 말소한다.
권한 부여·변경·말소 내역을 기록하여 최소 3년간 보관한다.
계정은 정당한 사유가 없으면 취급자별로 발급하고 공유하지 않는다.
인증수단을 안전하게 적용·관리하고, 일정 횟수 이상 인증에 실패하면 접근을 제한한다.

3년 보관 대상은 접속 로그가 아니라 권한 변경 이력이다. 콘솔에서 손으로 실행한 GRANT·REVOKE 는 이력을 남기지 않는다. 권한 변경 경로를 한 곳으로 모아 기록을 남기는 편이 이 조항을 맞추기 쉽다. 취급자별 계정 발급 요구는 애플리케이션이 공용 DB 계정 하나로 접속하는 구조와 정면으로 부딪치므로, 사람이 직접 조회하는 경로와 애플리케이션 경로를 계정 단위로 갈라 둔다.

접속기록

고시 제8조가 기간을 정한다.

보관 기간	대상
1년 이상	개인정보처리시스템의 접속기록(정보주체의 접속은 제외)
2년 이상	5만명 이상 정보주체의 개인정보를 처리하는 시스템
2년 이상	고유식별정보 또는 민감정보를 처리하는 시스템
2년 이상	「전기통신사업법」에 따라 등록·신고한 기간통신사업자

상위 근거는 시행령 제30조 제1항 제5호 가목부터 다목까지다. 접속일시·처리내역 등의 저장과 점검·확인·감독, 안전한 보관, 위조·변조 방지를 요구한다.
고시 제8조는 접속기록과 다운로드 상황의 확인·점검 주기·방법·사후조치 절차를 내부 관리계획에 규정하고 이행하도록 한다.
공공시스템운영기관은 시행령 제30조의2 제1항 제3호에 따라 접속기록 저장·분석·점검·관리 조치를 추가로 이행한다.

1년과 2년의 갈림이 파티셔닝 설계와 직결된다. 처리 규모가 5만명을 넘거나 민감정보 컬럼이 하나 늘면 같은 로그 테이블의 보존 기간이 두 배가 된다. 월 단위 파티션에 기간별 드롭 정책을 걸어 두면 기준이 바뀔 때 정책 값만 고친다.

로그가 들고 있어야 하는 것은 접속일시와 처리내역이다. 누가 언제 어떤 정보주체의 어떤 항목을 조회했고 무엇을 다운로드했는지가 컬럼으로 남아야 확인·점검이 성립한다. 접속기록 자체가 개인정보를 담으므로 로그 테이블도 같은 보호 대상이다.

파기

법 제21조는 보유기간 경과, 처리 목적 달성, 가명정보의 처리 기간 경과 등으로 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 한다. 다른 법령에 보존 의무가 있으면 예외이고, 이때는 다른 개인정보와 분리하여 저장·관리한다. 파기할 때는 복구·재생되지 않도록 조치한다.
시행령 제16조 제1항은 전자적 파일 형태를 “복원이 불가능한 방법으로 영구 삭제”로 정한다. 기술적 특성으로 영구 삭제가 매우 어려우면 법 제58조의2에 해당하는 정보로 처리해 복원되지 않도록 조치한다. 기록물·인쇄물·서면 등은 파쇄 또는 소각이다.
파기 범위에서 자주 빠지는 곳은 백업본, 리드 레플리카, 바이너리 로그, 슬로우 쿼리 로그, 개발·스테이징으로 복사한 덤프다.
가명정보를 파기했으면 기록은 파기한 날부터 3년 이상 보관한다(제28조의4 제3항).

WARNING — 논리 삭제는 파기가 아니다

is_deleted = true 플래그는 복원이 가능한 상태이므로 시행령 제16조 제1항의 문언인 “복원이 불가능한 방법으로 영구 삭제”를 그대로 충족하지 않는다. 논리 삭제를 쓰는 설계라면 물리 삭제나 복원 불가 처리로 넘어가는 후속 단계를 따로 둔다.

국외 이전

법 제28조의8 제1항은 개인정보를 국외로 제공(조회를 포함한다)·처리위탁·보관하는 것을 원칙적으로 제한하고 다섯 가지 경우를 둔다.

요건	내용
별도 동의	정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
법률·조약	법률, 대한민국을 당사자로 하는 조약·국제협정에 특별한 규정이 있는 경우
계약 이행	계약 체결·이행에 처리위탁·보관이 필요하고 제2항 사항을 처리방침에 공개하거나 전자우편 등으로 통지한 경우
인증	이전받는 자가 제32조의2에 따른 인증 등을 받고 안전조치·권리보장 조치와 이전국에서의 이행 조치를 모두 한 경우
동등성 인정	해당 국가·국제기구의 보호 수준이 이 법과 실질적으로 동등함을 보호위원회가 인정한 경우

동의를 받는 경로라면 사전에 고지할 항목이 제2항에 있다. 이전 항목, 이전되는 국가·시기·방법, 이전받는 자의 성명(명칭)과 연락처, 이용 목적 및 보유·이용 기간, 거부 방법·절차·효과다. 고지 사항이 바뀌면 다시 알리고 다시 동의를 받는다(제3항).
국외 이전 시에도 제17조부터 제19조까지와 제5장을 준수하고 대통령령이 정하는 보호조치를 한다(제4항). 이 법 위반 내용을 담은 국외 이전 계약은 체결할 수 없다(제5항). 세부사항은 대통령령이다(제6항).
제1항이 조회를 포함하므로 걸리는 범위가 넓다. 리전 선택, 리드 레플리카 배치, 관리형 DB·SaaS 위탁, 해외 사무소에서 관리 콘솔로 국내 DB를 조회하는 운영 동작이 모두 이 조문의 검토 대상이다. 네 번째 요건은 제32조의2의 인증을 인용하므로 거버넌스 절과 묶어서 본다.

유출등 대응

2026-09-11 시행 개정으로 대응 범위가 넓어졌다. 제23조 제2항은 분실·도난·유출·위조·변조·훼손을 “유출등”으로 묶는다. 랜섬웨어로 데이터가 위조·변조·훼손된 상황도 들어온다.

의무	기한·방법	근거
정보주체 통지	알게 된 때부터 72시간 이내, 서면등의 방법	법 제34조 제1항, 시행령 제39조
유출등 가능성 통지	가능성이 있는 모든 정보주체에게 피해 최소화 정보 통지	법 제34조 제2항
신고	알게 된 때부터 72시간 이내, 보호위원회 또는 한국인터넷진흥원	법 제34조 제4항, 시행령 제40조

신고 기준은 셋 중 하나다. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우, 민감정보 또는 고유식별정보가 유출등이 된 경우, 개인정보처리시스템이나 취급자가 사용하는 정보기기에 대한 외부로부터의 불법적인 접근으로 유출등이 발생한 경우다. 유출 경로가 확인되어 회수·삭제 등의 조치로 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다.

통지 내용은 제34조 제1항에 열거돼 있다. 유출등이 된 항목, 시점과 경위, 피해를 최소화할 수 있는 방법, 대응조치와 피해 구제절차, 담당 부서와 연락처, 손해배상·법정손해배상 청구와 분쟁조정 등 권리와 그 행사 방법이다. 항목과 시점을 파악하지 못했으면 확인된 내용만 우선 통지한다(시행령 제39조).

통지를 미룰 수 있는 경우는 둘이다. 확산이나 추가 유출을 막기 위한 긴급조치(접속경로 차단, 취약점 점검·보완, 회수·삭제)가 필요한 경우, 그리고 천재지변 등 부득이한 사유가 있는 경우다. 두 경우 모두 사유가 해소된 뒤 즉시 통지한다.

72시간을 운영 절차로 환산하면 미리 준비돼 있어야 하는 조회가 정해진다.

대상 정보주체 목록. 어느 행이 빠져나갔는지에서 정보주체 식별자 목록으로 가는 조회다. 1천명 경계를 넘는지 판단하는 숫자가 여기서 나온다.
유출 항목. 테이블·컬럼 단위로 민감정보나 고유식별정보가 포함됐는지 본다. 컬럼 분류가 카탈로그에 없으면 72시간 안에 셀 수 없다.
시점과 경위. 접속기록과 변경 이력에서 나온다. 사고 후에는 만들 수 없고, 보관 기간이 1년이냐 2년이냐가 소급 가능한 범위를 정한다.
무결성 확인. 위조·변조·훼손이 범위에 들어오므로 값이 바뀌었는지 판정할 근거가 필요하다. 변경 이력 테이블, 바이너리 로그 보존, 체크섬이나 행 수 기준선이 사전 조건이다.

IMPORTANT — 가명 테이블은 통지 의무가 다르다

가명정보에는 제34조 제1항·제2항이 적용되지 않는다(제28조의7). 같은 사고에서 원본 테이블과 가명 테이블의 의무가 갈리므로 어느 테이블이 가명정보인지 문서로 확정돼 있어야 한다.

2026-09-11 시행 개정은 반복·고의·중과실 유출에 전체 매출액의 10% 이내 범위에서 부과하는 징벌적 과징금과, 예방투자와 연계한 과징금 의무 감경제를 함께 들여왔다. 산정 조문과 감경 기준은 시행일 기준 법률·시행령에서 확인한다.

전송요구권과 자동화된 결정

법 제35조의2는 대통령령 기준에 해당하는 개인정보처리자에게 본인 전송(제1항)과 개인정보관리 전문기관·기준을 충족한 사업자로의 제3자 전송(제2항)을 요구할 수 있게 한다.

항목	내용
전송 대상	동의 기반 정보, 계약 이행·체결 과정에서 처리된 정보, 보호위원회가 심의·의결로 지정한 정보
제외	수집한 개인정보를 기초로 분석·가공하여 별도로 생성한 정보
형식	시간·비용·기술적으로 허용되는 합리적 범위에서 정보처리장치로 처리 가능한 형태(제3항)
위임	세부사항은 대통령령(제8항)

제외 문언이 스키마 경계를 만든다. 수집한 값과 분석·가공으로 생성한 값이 한 테이블에 섞여 있으면 전송 범위를 계산할 수 없다. 파생 컬럼, 집계 테이블, 피처 스토어에는 산출 근거를 남기고 원본 수집 컬럼과 파생 컬럼을 컬럼 단위로 구분해 두면 요구가 들어온 뒤에 세지 않아도 된다. 적용 대상자 기준과 단계별 일정은 대통령령에 있으므로 시행령을 함께 본다. 가명정보에는 제35조의2가 적용되지 않는다(제28조의7).

제37조의2는 자동화된 결정에 대한 정보주체의 거부와 설명 요구를 정한다. 조문 말미 표기는 “본조신설 2023.3.14”이고 부칙에 따라 2024-03-15 시행됐다. 설명 요구에 답하려면 결정 당시의 입력값, 적용된 기준, 모델·룰 버전을 그 시점 상태로 재현할 수 있어야 한다. 현재 값만 들고 있는 테이블로는 지난 결정을 설명할 수 없으므로 결정 이력 테이블이 설계 주제가 된다.

정보통신망법

개인정보 조항의 이관

현행은 2026-03-10 공포 법률 제21445호(타법개정), 2026-09-11 시행이고 소관은 과학기술정보통신부·방송미디어통신위원회다.

2020-02-04 개정으로 제4장 제목이 “정보통신서비스의 안전한 이용환경 조성”으로 바뀌고 제4장 제1절부터 제3절까지가 전부 삭제됐다.

삭제 시점	삭제된 조문
2020-02-04	제22조 · 제23조 · 제24조 · 제24조의2 · 제25조 · 제26조 · 제26조의2 · 제27조 · 제27조의2 · 제27조의3 · 제28조 · 제28조의2 · 제29조 · 제29조의2 · 제30조 · 제30조의2 · 제31조 · 제32조 · 제32조의2~제32조의4
2011-03-29	제33조~제40조

감독 주체가 바뀐 것이 아니라 조항 자체가 삭제·이관됐다. 실무에서 갈라지는 지점이 둘 있다.

동의 없는 수집·이용 금지의 근거를 정보통신망법에서 찾으면 삭제된 구 제22조 계열에 닿는다. 현행 근거는 개인정보 보호법이다.
일정 기간 접속하지 않은 이용자의 개인정보를 자동 삭제하도록 하던 유효기간제는 구 제29조에 있었고 함께 삭제됐다. 휴면 계정 자동 삭제 배치를 정보통신망법 의무로 설계했다면 근거가 현행 조문에 없다. 보유기간과 파기는 개인정보 보호법 제21조에서 본다.

현행에 남은 조항

조	제목	DB 설계에서 닿는 지점
제22조의2	접근권한에 대한 동의	앱 접근권한 동의 이력
제23조의2	주민등록번호의 사용 제한	회원 테이블의 주민등록번호 컬럼
제23조의3	본인확인기관의 지정 등	본인확인 결과 저장
제23조의4	본인확인업무의 정지 및 지정취소	—
제23조의5	연계정보의 생성·처리 등	연계정보(CI) 컬럼
제23조의6	연계정보의 안전조치 의무 등	연계정보 저장·전달 경로
제32조의5	국내대리인의 지정	—
제44조의5	게시판 이용자의 본인 확인	게시판 작성자 식별 정보
제44조의6	이용자 정보의 제공청구	제공청구 대응 조회

제32조의5는 제1항 제1호·제2호가 삭제되고 제64조 제1항의 자료제출 관련만 남았다. 제44조의6은 2026-01-06 개정됐다.

신용정보법

본인신용정보관리업

현행은 2026-03-10 공포 법률 제21445호(타법개정), 2026-09-11 시행이고 소관은 금융위원회다. 시행령은 대통령령 제36671호(2026-09-11 시행)이고, 시행규칙은 총리령 제1635호(2020-08-05 시행)로 그 뒤 개정이 없다.

마이데이터의 조문 좌표다.

조문	내용
제2조 제9호의2	본인신용정보관리업. 개인인 신용정보주체의 신용관리를 지원하기 위해 각 목의 신용정보를 대통령령이 정하는 방식으로 통합해 본인에게 제공하는 행위를 영업으로 하는 것
제2조 제9호의3	본인신용정보관리회사. 그 업에 관하여 금융위원회의 허가를 받은 자
제33조의2	개인신용정보의 전송요구
제40조의2 제1항·제2항	가명처리 시 추가정보 분리 보관 등

제33조의2의 구조가 데이터 모델로 바로 내려온다. 본인, 본인신용정보관리회사, 개인신용평가회사 등에게 전송을 요구할 수 있고(제1항), 전송 대상 정보의 범위는 대통령령이 정한다(제2항). 지체 없이 정보처리장치로 처리 가능한 형태로 전송할 의무가 있고(제3항), 정기적인 전송 요구가 가능하다(제4항). 요구는 철회할 수 있고(제7항), 거절·정지·중단이 따로 규정돼 있다(제8항).

정기 전송과 철회·정지·중단이 조문에 들어 있으므로 전송 요구 자체가 상태를 가진 엔티티다. 요구 이력, 다음 전송 예정 시점, 현재 상태를 컬럼으로 들고 있어야 제3항의 “지체 없이”를 절차로 만들 수 있다.

개인정보 보호법과 용어가 다르다

개념	개인정보 보호법	신용정보법
가명처리	제2조 제1호의2	제2조 제15호
가명정보	제2조 제1호 다목	제2조 제16호(가명처리한 개인신용정보)
익명처리	정의 조문 없음(제58조의2 적용제외)	제2조 제17호
전송 요구	제35조의2	제33조의2
추가정보 분리 보관	제28조의4 제1항	제40조의2 제1항·제2항

금융 도메인 DB를 설계할 때는 어느 법의 정의를 쓰는지 먼저 고정한다. 두 법 모두 가명처리 정의를 두고 있어, 같은 컬럼을 두고 가명처리했다고 말할 때 기준 조문이 달라질 수 있다. 신용정보법에는 익명처리 정의가 있고 개인정보 보호법에는 없다는 차이가 특히 문서에서 섞인다.

거버넌스

개인정보보호위원회는 국무총리 소속이고, 「정부조직법」 제2조에 따른 중앙행정기관으로 본다(법 제7조 제2항). 다만 제7조의8 제3호·제4호의 사무와 제7조의9 제1항 제1호의 사항에는 같은 법 제18조를 적용하지 않는다. 구 제7조 제3항부터 제9항까지는 2020-02-04 개정으로 삭제됐다. 법률상 조문 제목은 “개인정보 보호위원회”이고 기관 공식 표기는 “개인정보보호위원회”다.

2026-09-11 시행 개정이 책임 구조를 바꿨다.

사항	내용	조문
대표자 책임	사업주·대표자의 최종책임 명시	제30조의3
CPO 권한	전문인력·예산 확보, 이사회 보고	제31조 제3항
CPO 지정 절차	지정·변경·해제 시 이사회 의결과 보호위원회 신고	제31조 제4항·제7항
인증 의무화	ISMS-P 인증 의무화	제32조의2 제1항

DB 팀에게 실무 정보는 시점이다. 제32조의2 제1항의 인증 의무는 2027-07-01부터 시행된다(제1항 단서와 제75조 제2항 제15호의 시행일). 심사 범위에 들어가는 구성요소는 이 문서가 앞에서 나열한 것과 겹친다. 암호화 적용 범위, 계정과 권한 이력, 접속기록 보관 기간, 파기 절차다. 제28조의8 제1항의 네 번째 요건이 제32조의2의 인증을 인용하므로, 국외 이전 경로를 인증에 걸어 두는 설계라면 두 조문을 같이 본다.

처리방침과 스키마 대조

법 제30조 제1항은 처리방침에 담을 항목을 정한다. 처리방침과 실제 DB가 어긋나는 사고를 문서 단계에서 잡으려면 항목마다 대조할 대상을 정해 둔다.

기재사항	대조할 스키마·운영 요소
처리 목적과 보유기간	테이블별 보유기간 정책, 파기 배치 주기
제3자 제공	연동 대상별 전송 컬럼 목록
파기 절차와 방법	삭제 작업, 백업 만료 정책
민감정보 공개 가능성	민감정보로 분류된 컬럼 목록
처리위탁	수탁자용 계정과 권한 범위
가명정보 처리 사항	가명 테이블, 추가 정보 보관 위치
정보주체 권리 행사 방법	열람·정정·삭제 요청 처리 경로

처리방침과 계약 내용이 다르면 정보주체에게 유리한 것을 적용한다(제30조 제1항).
제30조의2는 처리방침을 평가한다. 필수 기재사항의 적정성, 알기 쉬운 작성, 공개 방법의 접근성 세 가지를 보고 제61조 제2항에 따라 개선을 권고한다.
국내대리인을 지정한 경우 처리방침에 기재한다(제31조의2 제4항).

참고 자료

자료	판·번호	위치
개인정보 보호법·시행령 조문	법률 제21445호, 대통령령 제36671호(2026-09-11 시행)	국가법령정보센터
「개인정보의 안전성 확보조치 기준」	개인정보보호위원회 고시 제2026-9호(2026-07-01 시행)	국가법령정보센터 행정규칙
「가명정보 처리 가이드라인」	2026.3. 개정	개인정보보호위원회 자료실
「개인정보 처리방침 작성지침」	2026.4. 개정	개인정보보호위원회 안내서 목록
2026-09-11 시행 개정 안내	2026-09-10 보도자료	개인정보보호위원회 보도자료

법령은 개정된다. 이 문서의 조문 번호와 숫자는 2026-09-11 시행 기준이고, 판단이 필요한 대목은 시행일 기준 조문 원문과 현행 고시로 대조한다.