근거 기준

이 지침서가 근거로 삼는 법령과 고시는 다음과 같다. 근거가 개정되면 이 표의 번호와 시행일을 먼저 갱신하고, 조문에 인용된 조항 번호를 대조한다.

기준	번호	시행일
「개인정보 보호법」	법률 제21445호	2026. 9. 11.
「개인정보 보호법 시행령」	대통령령 제36671호	2026. 9. 11.
「개인정보의 안전성 확보조치 기준」	개인정보보호위원회고시 제2026-9호	2026. 7. 1.
「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」	개인정보보호위원회고시 제2024-8호 · 과학기술정보통신부고시 제2024-30호	2024. 7. 24.

「개인정보의 안전성 확보조치 기준」은 제15조제5호 및 제18조가 2027. 1. 1. 시행이다. 두 조항은 공공시스템운영기관에 적용되며 부칙 B 에서 다룬다.

이하 이 지침서에서 “고시”는 「개인정보의 안전성 확보조치 기준」을 가리킨다. “ISMS-P 인증기준”은 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」 별표 7 의 인증기준을 가리키며, 항목은 번호로 인용한다.

IMPORTANT — 조문의 적용 여부가 처리 규모에 따라 갈린다

고시 제3조(안전조치의 적용 원칙)는 “처리하는 개인정보의 보유 수, 유형 및 정보주체에게 미치는 영향 등을 고려하여” 각자의 환경에 맞게 안전조치를 적용하도록 한다. 규모 기반 차등 적용이 고시의 기본 설계다. 이 지침서에도 규모 요건이 붙은 조문이 있다 — 접속기록 보관 기간(제8조), 암호 키 관리 절차(제7조), 재해·재난 대비 안전조치(제9조), 내부 관리계획 수립(제14조)이다. 해당 요건에 걸리는지는 처리하는 개인정보의 수와 유형, 기관 유형을 확인하여 판단한다. 이 지침서는 그 판단을 대신하지 않고, 갈리는 기준만 조문과 표에 적는다.

또한 이 지침서에는 고시가 숫자를 정하지 않아 자체 기준으로 정한 값이 있다. 그런 값은 해당 조문 아래에서 “이 지침서는 …로 정한다”로 밝힌다.