---
type: knowledge
domain: engineering
status: active
last-reviewed: 2026-07-07
---

# 개인정보와 컴플라이언스

> 한 줄 정의
> 개인정보(PII)는 "많을수록 좋은 자산"이 아니라 **보관하는 동안 계속 비용과 리스크가 나가는 부채**다. 기술적 방어는 [[보안 원리]], 마스킹 구현은 [[PII Redaction]] — 여기는 데이터 관점의 규율이다.

> [!WARNING] 법률 자문이 아니다
> 이 문서는 엔지니어링 관례다. 규제 요건(개인정보보호법 등)은 개정되므로 실제 판단 시점에 원문·전문가 확인이 필요하다.

## 제1원칙 — 모으지 않은 데이터는 유출도 없다

수집 전에 묻는다: **"이 필드가 없으면 기능이 안 되는가?"** — "나중에 쓸모 있을 것 같아서"는 수집 근거가 아니라 리스크 적립이다. 최소 수집은 컴플라이언스 이전에 공격면 축소다 ([[보안 원리]] 공격면 원리의 데이터판).

## PII 인벤토리 — 어디에 있는지부터

규제 대응의 절반은 "우리 PII가 어디에 있나"를 아는 것이다:

- 모델링 시점에 PII 필드를 표시한다 ([[데이터 원리]] 재확인) — 나중에 전수조사하는 것보다 압도적으로 싸다.
- 본체 DB만이 아니다: **로그, 백업, 분석용 복제본, 캐시, 외부 툴(에러 트래커·분석 도구), LLM 대화 기록**까지가 인벤토리다. 삭제 요청이 오면 이 전부에서 지워져야 한다.

## 수명주기 — "무기한 보관"은 결정이 아니라 방치다

| 단계 | 규율 |
|------|------|
| 수집 | 동의 근거와 목적 기록 — 목적 외 사용이 위반의 전형 |
| 이용 | 접근 권한 최소화 + 접근 로그 (누가 누구 정보를 봤나) |
| 보관 | 항목별 보존 기간 명시 (법정 보존 의무가 있는 항목은 그 기간을 따른다) |
| 파기 | 기간 만료·탈퇴 시 삭제 경로가 **실제로 동작**하는지 — 만들어놓고 안 돌아가는 배치가 단골 |

## 로그 — 가장 흔한 비고의 유출 경로

- 요청 전체를 통째로 로깅하면 비밀번호·토큰·주민번호가 로그 저장소에 평문으로 쌓인다. 로그 저장소는 대개 본체 DB보다 접근 통제가 느슨하다 — **유출 지점은 DB가 아니라 로그인 경우가 많다.**
- 처방: 영속화 직전 지점에 마스킹을 배선한다 (수집 지점마다 개별 대응이 아니라 한 곳의 게이트로) → [[S-skills-하네스-패턴]] PII 마스킹 게이트.
- 에러 메시지·에러 트래커로 나가는 페이로드도 같은 게이트를 통과시킨다.

## 가명화 vs 익명화 — 다른 것이다

- **가명화**: 식별자를 대체했지만 추가 정보와 결합하면 재식별 가능 — 여전히 개인정보로 취급.
- **익명화**: 재식별이 불가능 — 개인정보 규제 대상에서 벗어남. 단, "이름만 지움"은 익명화가 아니다 (희소 속성 조합으로 재식별되는 사례가 고전).
- 분석·테스트 용도는 가능한 한 익명화·합성 데이터로 — 프로덕션 복사 금지 → [[테스트 전략 실전]].

## 제3자 제공 vs 위탁 — 국내 실무에서 자주 섞이는 구분

- **위탁**: 내 목적을 위해 남이 처리 (호스팅, 결제 대행, 문자 발송) — 위탁 사실 고지 + 수탁사 관리 책임.
- **제3자 제공**: 남의 목적을 위해 데이터를 넘김 — 별도 동의가 원칙.
- 외부 SaaS 도입 = 대부분 위탁 발생이다. 개인정보처리방침의 위탁 목록이 실제 사용 툴과 어긋나 있는 것이 흔한 결함.

## LLM 시대의 추가 규율

- **외부 LLM API로 PII를 보내는 순간 = 국외 이전 + 위탁이 동시에 발생**할 수 있다 — 프롬프트에 넣기 전 마스킹이 기본값 → [[PII Redaction]].
- LLM 대화 기록은 PII 저장소다: 사용자가 프롬프트에 뭘 넣을지 통제할 수 없으므로, 보존 기간과 마스킹을 첫날 설계한다 ([[데이터 원리]] AI 특수사항).
- 벤더의 학습 사용 여부(opt-out)·보존 정책을 계약 시점에 확인하고 기록한다.

## 유출 대응 — 기술 대응과 신고 의무는 별개다

- 유출 인지 시: 기술 대응(차단·로테이션 → [[보안 원리]])과 **별도로 법정 신고·통지 의무**가 있고 기한이 짧다 — "조용히 고치고 넘어가기"는 위반을 추가하는 선택이다.
- 인시던트 프로세스에 "개인정보 포함 여부 판단" 단계를 명시해 둔다 → [[장애 대응 실전]].

## 관련 문서

- [[보안 원리]] — 기술적 방어·시크릿·최소 권한
- [[PII Redaction]] — 마스킹 구현 패턴
- [[데이터 원리]] — PII 필드 표시·수명주기 설계
- [[장애 대응 실전]] — 유출 인시던트 대응