개인정보보호교육
개인정보취급자 대상 정기 교육 : 개인정보 보호법 제28조 제2항
교육 미실시 자체 과태료 없음
횟수·시간 기준 법령상 미규정
내부 관리계획에 교육 사항 포함
안전조치 의무 위반 시 과태료 대상
유출 사고 시 과징금 리스크
전체 매출액 3% 이하 과징금 부과 가능
핵심 요약
•
개인정보처리자는 개인정보의 적정한 취급을 보장하기 위해 개인정보취급자에게 정기적으로 필요한 교육을 실시해야 함 (개인정보 보호법 제28조 제2항)
•
교육 미실시 자체에 대한 과태료는 없으나, 교육 사항은 내부 관리계획 필수 포함 항목이어서 안전조치 의무 위반(3천만원 이하 과태료)과 연결됨
•
유출 사고 발생 시 안전성 확보조치 이행 여부 판단에 불리하게 작용해 전체 매출액 3% 이하 과징금 리스크로 이어짐
개요
적용 사업장 | 개인정보를 처리하는 모든 사업장(규모 무관)
→ 임직원 인사정보 · 고객정보 등을 처리하는 이상, 사실상 대부분의 사업장이 해당됨 |
교육 대상 | 개인정보취급자
: 개인정보처리자의 지휘 · 감독을 받아 개인정보를 처리하는 임직원 · 파견근로자 · 시간제근로자 등 |
교육 주기 | 정기 실시
→ 횟수 · 시간 기준은 법령상 미규정이며 실무상 연 1회 이상 실시가 권장됨 |
교육 방법 | 사내(자체)교육, 온라인교육, 위탁교육, 외부강사 초빙교육 등 → 방법 제한 없음 |
위반 시 제재 | 교육 미실시 자체에 대한 과태료 없음
※ 다만 안전조치 의무 위반 시 3천만원 이하 과태료, 유출 사고 시 전체 매출액 3% 이하 과징금 부과 가능 |
근거 법령 | 개인정보 보호법 제28조 제2항, 같은 법 시행령 제30조 제1항 제1호 가목, 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시) 제4조 |
법적 의무의 구조
•
교육 실시 의무 : 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시해야 함 (개인정보 보호법 제28조 제2항)
•
안전조치 의무와의 연계 : 개인정보처리자가 수립 · 시행해야 하는 내부 관리계획에 '개인정보취급자에 대한 관리 · 감독 및 교육에 관한 사항'이 필수적으로 포함됨 (개인정보 보호법 제29조, 시행령 제30조 제1항 제1호 가목, 안전성 확보조치 기준 제4조 제1항)
◦
교육을 실시하지 않으면 교육 자체에 대한 직접 제재는 없으나, 내부 관리계획 미수립 · 미이행 등 안전조치 의무 위반으로 평가될 경우 과태료 대상이 될 수 있음
◦
1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인 · 개인 · 단체는 내부 관리계획 수립을 생략할 수 있음 (안전성 확보조치 기준 제4조 제1항 단서)
→ 교육 실시 의무(법 제28조 제2항) 자체는 면제되지 않음
•
개인정보 보호책임자(CPO) 지정 의무와 별개 : 개인정보처리자는 개인정보 처리에 관한 업무를 총괄해 책임질 개인정보 보호책임자를 지정해야 하며 (개인정보 보호법 제31조 제1항), 보호책임자의 업무에 교육 계획의 수립 · 시행이 포함됨
용어 정리
용어 | 정의 |
개인정보의 처리 | 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위 (개인정보 보호법 제2조 제2호) |
개인정보처리자 | 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등 (개인정보 보호법 제2조 제5호)
→ 회사(법인) 자체가 개인정보처리자에 해당함 |
개인정보취급자 | 개인정보처리자의 지휘 · 감독을 받아 개인정보를 처리하는 임직원, 파견근로자, 시간제근로자 등 (개인정보 보호법 제28조 제1항)
→ 인사 · 총무 · 고객응대 · 마케팅 등 업무상 개인정보에 접근해 수집 · 열람 · 수정 · 삭제 등을 하는 모든 자가 해당함 |
구분 실익
•
'개인정보처리자'는 법상 의무(교육 실시 · 안전조치 등)의 주체
•
'개인정보취급자'는 교육을 받아야 하는 대상
→ 교육 대상 선정 시 전 직원이 아니라 개인정보 처리 업무 담당자를 기준으로 하되, 접근 권한이 있는 인원을 폭넓게 포함하는 것이 안전함
교육 내용 · 방법
교육 내용 구성
•
개인정보 보호 관련 법령 · 제도 개요 및 최근 개정 사항
•
사내 개인정보 처리방침 · 내부 관리계획의 주요 내용과 개인정보취급자의 의무
•
개인정보 수집 · 이용 · 제공 · 파기 단계별 준수사항 (동의, 보유기간, 파기 절차 등)
•
유출 사고 사례와 대처 절차 (유출 통지 · 신고, 피해 최소화 조치)
•
안전성 확보조치 실무 (접근권한 관리, 암호화, 출력 · 복사 제한 등)
교육 방법
•
법령상 교육 방법 제한 없음
•
사내 자체교육, 온라인 교육, 위탁교육, 외부강사 초빙 등 사업장 상황에 맞게 선택 가능
•
개인정보보호위원회 개인정보 포털 등에서 무료 교육 콘텐츠 · 자료가 제공되므로 자체교육 활용 가능
•
교육 실시 후 교육일지 · 참석자 명단 · 교육자료 등 증빙을 보관해 내부 관리계획 이행 사실을 입증할 수 있도록 관리함
위반 시 제재
위반 행위 | 제재 | 근거 |
교육 미실시 | 교육 미실시 자체에 대한 과태료 없음 | 개인정보 보호법 제28조 제2항(제재 규정 부재) |
안전성 확보조치 미이행
(내부 관리계획 미수립 · 미이행 포함) | 3천만원 이하 과태료 | 개인정보 보호법 제29조, 제75조 제2항 |
안전조치 미이행 상태에서 개인정보 분실 · 도난 · 유출 등 발생 | 전체 매출액의 3% 이하 과징금(매출액 산정 곤란 시 20억원 이하)
→ 안전성 확보에 필요한 조치를 다한 경우 제외 | 개인정보 보호법 제64조의2 제1항 제9호 |
※ 교육 실시 이력은 유출 사고 발생 시 '안전성 확보에 필요한 조치를 다하였는지' 판단에서 개인정보처리자에게 유리한 입증자료로 작용 → 교육 미실시는 과징금 면책 판단에 불리하게 작용할 수 있음
실무 이슈
•
'과태료가 없으니 안 해도 된다'는 오해 주의 : 교육 사항은 내부 관리계획 필수 항목이며, 유출 사고 시 과징금 · 손해배상 대응에서 교육 이력이 핵심 입증자료가 됨
•
교육 대상 범위 설정 : 개인정보취급자 범위를 최소한으로 제한하고 적절히 관리 · 감독해야 하므로 (개인정보 보호법 제28조 제1항), 접근 권한 부여 현황과 교육 대상자 명단을 연계해 관리하는 것이 효율적임
•
퇴사 · 이동 시 접근 권한 말소와 함께 교육 대상자 명단도 갱신 필요
•
타 법정의무교육과 달리 전 직원이 아닌 개인정보취급자 대상 교육이므로, 전사 교육으로 일괄 실시하는 경우에도 취급자 대상 심화 교육을 구분해 운영하는 방안 검토 가능
자주 묻는 질문 (FAQ)
개인정보보호교육을 안 하면 과태료가 부과되는지
전 직원이 모두 교육을 받아야 하는지
연 1회 이상이라는 기준은 어디에 근거하는지
온라인 교육이나 자체교육도 인정되는지
직원이 몇 명 안 되는 소규모 사업장도 해야 하는지
실무 체크리스트
•
개인정보취급자 범위 확정 : 개인정보 처리 업무 · 접근 권한 기준 대상자 명단 작성
•
내부 관리계획에 교육 계획(주기 · 대상 · 방법) 반영 여부 확인
•
연 1회 이상 교육 일정 편성 및 실시
•
교육일지 · 참석자 명단 · 교육자료 등 증빙 보관
•
입사 · 이동 · 퇴사 시 접근 권한 부여 · 말소와 교육 대상자 명단 연계 갱신
•
개인정보 보호책임자(CPO) 지정 및 역할 이행 점검
update 2022.09.20. by leedy
update 2026.08.11. by hrside.team