2026년 개인정보보호교육, 헷갈리는 포인트와 예상 문제 정답 답안

개인정보보호교육도 직장인이라면 빠질 수 없는 법정 의무교육 중 하나입니다. 개인정보 보호법 제28조에 따라, 업무상 개인정보파일을 다루는 사업자나 단체는 개인정보를 취급하는 임직원을 대상으로 교육을 실시해야 합니다. 영상 내용은 매번 비슷해 보여도 평가에서 헷갈리는 포인트는 정해져 있어서, 핵심만 짚으면 어렵지 않게 통과할 수 있습니다.

이 글은 핵심 개념 해설과 예상 문제 40개로 구성했습니다. Ctrl+F로 키워드를 검색하면 더 빠르게 원하는 내용을 찾을 수 있습니다.

1. 교육 개요부터 짚고 가기

개인정보보호교육은 개인정보를 다루는 모든 업무 종사자(개인정보취급자)를 대상으로 하며, 사업장 규모와 관계없이 실시 의무가 있습니다. 보통 연 1회 이상 이수해야 하고, 평가는 매년 새로 받아야 하며 전년도 이수 기록으로는 인정되지 않는 경우가 많습니다. 중도 입사자나 휴직 후 복귀자도 해당 연도 내에 별도로 교육을 이수해야 한다는 점이 자주 출제됩니다.

2. 개인정보의 정의, 생각보다 범위가 넓습니다

개인정보 관련 문제에서 가장 자주 나오는 함정은 “이름이나 주민등록번호처럼 직접적으로 신원을 알 수 있는 정보만 개인정보다”라는 좁은 정의입니다. 실제로 개인정보는 직접 식별이 가능한 정보뿐 아니라, 다른 정보와 결합했을 때 특정 개인을 알아볼 수 있는 정보까지 포함하는 넓은 개념입니다. 예를 들어 사번이나 사내 직원 코드만으로는 누구인지 모를 수 있지만, 부서 정보나 다른 자료와 결합해 특정인을 알아볼 수 있다면 이 역시 개인정보로 취급됩니다.

또한 “사망한 사람의 정보는 개인정보 보호법의 적용을 받지 않는다”는 설명이 옳은 진술로 출제되는 경우가 있습니다. 개인정보 보호법은 원칙적으로 생존하는 개인에 관한 정보를 대상으로 합니다.

민감정보(건강, 정치적 견해, 노동조합 가입 여부 등)와 고유식별정보(주민등록번호, 여권번호 등)는 일반 개인정보보다 더 엄격하게 보호해야 하는 정보로 구분됩니다. “민감정보도 일반 개인정보와 동일한 수준으로만 관리하면 충분하다”는 설명은 틀린 진술입니다.

3. 수집과 이용, 동의의 원칙

개인정보 수집과 관련해 가장 자주 나오는 함정은 “수집 목적을 구체적으로 밝히지 않아도 동의만 받으면 된다”는 설명입니다. 개인정보를 수집할 때는 수집·이용 목적, 수집 항목, 보유 및 이용 기간을 정보주체에게 구체적으로 알리고 동의를 받아야 합니다.

또한 “한 번 동의를 받으면 어떤 목적으로든 개인정보를 활용할 수 있다”는 설명도 틀린 진술입니다. 최초에 동의받은 목적 범위를 벗어나 개인정보를 이용하려면 별도의 동의를 다시 받아야 하는 것이 원칙입니다.

필요한 최소한의 정보만 수집해야 한다는 “최소수집 원칙”도 자주 출제됩니다. “더 많은 정보를 수집할수록 서비스 품질이 높아지므로 가능한 한 많이 수집하는 것이 바람직하다”는 설명은 이 원칙에 반하는 틀린 진술입니다.

4. 보관과 파기, “계속 보관해도 된다”는 표현은 의심하세요

개인정보는 수집 목적을 달성했거나 보유 기간이 끝나면 지체 없이 파기해야 한다는 것이 원칙입니다. “수집한 개인정보는 향후 활용 가능성을 위해 기간과 관계없이 계속 보관해도 된다”는 설명은 명백히 틀린 진술입니다.

파기 방법과 관련해서도, 단순히 삭제 버튼을 누르는 것만으로는 충분하지 않을 수 있으며, 복구·재생이 불가능한 방법으로 파기해야 한다는 점이 강조됩니다. 종이 문서의 경우 분쇄나 소각 등의 방법이, 전자파일의 경우 복원이 불가능한 기술적 방법이 요구됩니다.

5. 개인정보 유출 시 대응, 순서를 헷갈리지 마세요

개인정보가 유출된 것을 인지했을 때 “조용히 내부적으로만 처리하고 외부에 알리지 않는다”는 설명은 틀린 진술입니다. 일정 규모 이상의 유출이 발생한 경우 정보주체에게 알리고, 개인정보보호위원회 등 관계 기관에 신고해야 하는 의무가 있습니다.

유출 사고 발생 시 가장 먼저 해야 할 일은 추가 피해를 막기 위한 조치(접근 차단, 시스템 점검 등)이며, 그 다음으로 사실관계를 파악하고 정해진 절차에 따라 보고와 신고를 진행해야 합니다. “사고 원인을 완벽히 파악한 뒤에만 신고할 수 있다”는 식으로 신고를 미루는 설명도 틀린 진술로 나올 수 있습니다.

6. 개인정보취급자의 일상적 준수사항

업무 중 개인정보를 다룰 때 가장 자주 나오는 함정은 “업무 효율을 위해 개인정보가 담긴 파일을 USB나 개인 메일로 자유롭게 옮겨도 된다”는 설명입니다. 개인정보가 담긴 자료는 정해진 보안 절차를 거치지 않고 외부로 반출하면 안 됩니다.

비밀번호 관리와 관련해서도, “동료와 비밀번호를 공유해 업무 편의를 높이는 것이 바람직하다”는 설명은 틀린 진술입니다. 개인정보처리시스템에 접근하는 계정과 비밀번호는 개인별로 관리되어야 하며 공유해서는 안 됩니다.

화면에 개인정보가 노출된 상태로 자리를 비우거나, 책상 위에 개인정보가 담긴 문서를 그대로 방치하는 행위도 보안 원칙에 반하는 행동으로 다뤄집니다.

7. 예상 문제로 점검해보기

지금까지 정리한 핵심 개념을 바탕으로 구성한 자가 점검용 문제 40개입니다. 실제 평가의 정확한 문구와는 다를 수 있지만, 출제되는 핵심 개념은 거의 동일하니 참고해보세요.

교육 제도와 법적 근거

Q1. 개인정보보호교육의 법적 근거가 되는 법률은?

① 산업안전보건법 ② 개인정보 보호법 ③ 남녀고용평등법 ④ 근로기준법

정답: ② — 개인정보 보호법 제28조에 따라 개인정보취급자에 대한 교육 실시 의무가 규정되어 있습니다.

Q2. 개인정보보호교육 이수 주기에 대한 설명으로 가장 적절한 것은?

① 입사 시 한 번만 받으면 평생 유효하다 ② 연 1회 이상 받아야 하며 일반적으로 매년 새로 이수해야 한다 ③ 5년에 한 번만 받으면 충분하다 ④ 법적으로 정해진 주기가 없다

정답: ②

Q3. 중도 입사자의 개인정보보호교육 이수에 대한 설명으로 옳은 것은?

① 연말까지 입사한 직원은 교육 대상에서 제외된다 ② 입사일 이후 가능한 빠른 시일 내에 해당 연도 교육을 이수해야 한다 ③ 입사 다음 해부터 교육을 받으면 된다 ④ 정규직만 교육 대상이다

정답: ②

Q4. 개인정보보호교육 대상에 대한 설명으로 옳은 것은?

① 개인정보를 다루지 않는 직원도 모두 동일한 교육을 받아야 한다 ② 업무상 개인정보를 처리하는 개인정보취급자가 교육 대상이다 ③ 관리자급 이상만 교육 대상이다 ④ 외부 협력업체 직원은 교육 대상에서 완전히 배제된다

정답: ②

Q5. 개인정보보호교육을 실시하지 않은 사업장에 대한 설명으로 가장 적절한 것은?

① 어떠한 불이익도 없다 ② 법령상 의무 위반으로 과태료 등 제재 대상이 될 수 있다 ③ 형사처벌만 가능하며 행정 제재는 없다 ④ 교육 미실시는 문제가 되지 않으며 결과만 중요하다

정답: ②

개인정보의 정의와 범위

Q6. 개인정보의 정의로 가장 적절한 것은?

① 이름과 주민등록번호만 개인정보에 해당한다 ② 직접 또는 다른 정보와 결합해 특정 개인을 알아볼 수 있는 정보를 가리킨다 ③ 회사 업무와 관련된 정보만 개인정보로 분류된다 ④ 숫자로 이루어진 정보만 개인정보에 해당한다

정답: ②

Q7. 다음 중 개인정보에 해당할 가능성이 가장 낮은 것은?

① 직원의 휴대폰 번호 ② 고객의 이메일 주소 ③ 특정인을 식별할 수 없는 익명화된 통계자료 ④ 직원의 자택 주소

정답: ③

Q8. 사망한 사람의 정보와 개인정보 보호법의 관계에 대한 설명으로 가장 적절한 것은?

① 사망자의 정보도 생존자와 완전히 동일하게 적용된다 ② 개인정보 보호법은 원칙적으로 생존하는 개인의 정보를 대상으로 한다 ③ 사망자의 정보는 법적으로 전혀 보호받지 못한다 ④ 사망자의 정보는 누구나 자유롭게 활용할 수 있다

정답: ②

Q9. 민감정보에 해당하는 것으로 가장 적절한 것은?

① 직원의 사내 직급 ② 건강 상태나 정치적 견해에 관한 정보 ③ 회사의 대표 전화번호 ④ 부서 명칭

정답: ②

Q10. 고유식별정보에 해당하는 것으로 가장 적절한 것은?

① 주민등록번호 ② 부서명 ③ 직급명 ④ 회사 주소

정답: ①

Q11. 민감정보와 고유식별정보의 관리 수준에 대한 설명으로 옳은 것은?

① 일반 개인정보와 동일한 수준으로만 관리하면 충분하다 ② 일반 개인정보보다 더 엄격한 보호조치가 요구된다 ③ 별도의 관리 기준이 존재하지 않는다 ④ 관리 수준은 회사 규모와 관계없이 동일하게 낮아도 된다

정답: ②

Q12. 가명처리나 익명처리에 대한 설명으로 가장 적절한 것은?

① 가명처리된 정보는 어떠한 경우에도 개인정보로 취급되지 않는다 ② 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리하는 방법이다 ③ 익명처리는 개인정보 보호와 무관한 개념이다 ④ 가명처리는 법적으로 금지된 행위이다

정답: ②

수집과 이용 동의의 원칙

Q13. 개인정보를 수집할 때 정보주체에게 알려야 할 사항으로 보기 어려운 것은?

① 수집·이용 목적 ② 수집하는 개인정보 항목 ③ 보유 및 이용 기간 ④ 정보주체의 개인 신용정보 등급

정답: ④

Q14. 개인정보 수집·이용 동의에 대한 설명으로 옳지 않은 것은?

① 동의는 정보주체가 명확히 인지할 수 있는 방식으로 받아야 한다 ② 한 번 동의를 받으면 향후 어떤 목적으로든 자유롭게 활용할 수 있다 ③ 동의 거부 시 불이익이 있다면 이를 함께 안내해야 하는 경우가 있다 ④ 법령에서 별도로 정한 경우가 아니라면 동의 없이 수집할 수 없다

정답: ② — 최초 동의받은 목적 범위를 벗어난 이용에는 별도의 동의가 필요합니다.

Q15. 개인정보 수집의 최소수집 원칙에 대한 설명으로 가장 적절한 것은?

① 가능한 한 많은 정보를 수집하는 것이 서비스 품질 향상에 유리하다 ② 수집 목적에 필요한 최소한의 개인정보만 수집해야 한다 ③ 최소수집 원칙은 권고사항일 뿐 지키지 않아도 무방하다 ④ 정보 항목의 개수와 관계없이 동의만 받으면 모두 허용된다

정답: ②

Q16. 만 14세 미만 아동의 개인정보 수집에 대한 설명으로 옳은 것은?

① 아동 본인의 동의만으로 충분하다 ② 법정대리인의 동의가 필요한 경우가 있다 ③ 아동의 개인정보는 수집이 전면 금지된다 ④ 별도의 동의 절차 없이 자유롭게 수집할 수 있다

정답: ②

Q17. 개인정보 수집 목적 외 이용이 예외적으로 허용되는 경우로 가장 적절한 것은?

① 담당자가 필요하다고 판단하면 항상 가능하다 ② 법령에 특별한 규정이 있는 경우 등 제한적 사유에 한해 가능하다 ③ 회사 매출 증대를 위해서라면 항상 가능하다 ④ 정보주체에게 알리지 않으면 자유롭게 가능하다

정답: ②

제3자 제공 및 위탁

Q18. 개인정보를 제3자에게 제공할 때 필요한 절차로 가장 적절한 것은?

① 별도의 동의 없이 영업 목적이면 자유롭게 제공할 수 있다 ② 원칙적으로 정보주체의 동의를 받거나 법령상 근거가 있어야 한다 ③ 제공받는 자가 신뢰할 수 있는 기업이라면 동의가 필요 없다 ④ 제3자 제공은 법적으로 전면 금지되어 있다

정답: ②

Q19. 개인정보 처리 업무를 외부 업체에 위탁할 때의 설명으로 옳지 않은 것은?

① 위탁자는 수탁자에 대한 관리·감독 책임이 있다 ② 위탁 계약에는 개인정보 보호 관련 사항이 포함되어야 한다 ③ 위탁했다는 이유로 위탁자의 책임이 전부 사라진다 ④ 수탁자도 개인정보 보호 의무를 준수해야 한다

정답: ③ — 위탁 후에도 위탁자는 일정한 관리·감독 책임을 지닙니다.

Q20. 개인정보의 국외 이전과 관련한 설명으로 가장 적절한 것은?

① 국외 이전은 별도의 규정 없이 자유롭게 가능하다 ② 국외 이전 시에도 정보주체의 동의 등 법령상 요건을 충족해야 하는 경우가 있다 ③ 국외 이전은 국내 법규의 적용을 받지 않는다 ④ 국외 이전 여부는 정보주체에게 알릴 필요가 없다

정답: ②

보관과 파기

Q21. 개인정보의 보관과 파기에 대한 설명으로 옳지 않은 것은?

① 보유 기간이 끝나면 지체 없이 파기해야 한다 ② 수집 목적을 달성한 개인정보는 파기 대상이 된다 ③ 향후 활용 가능성을 위해 기간과 관계없이 계속 보관해도 된다 ④ 다른 법령에서 보존 기간을 정한 경우 그 기간 동안 보관할 수 있다

정답: ③

Q22. 개인정보 파기 방법에 대한 설명으로 가장 적절한 것은?

① 단순히 삭제 버튼을 누르면 모든 경우에 충분하다 ② 복구·재생이 불가능한 방법으로 파기해야 한다 ③ 파기 방법에 대한 별도 기준은 없다 ④ 파일명만 변경하면 파기로 인정된다

정답: ②

Q23. 종이 문서에 담긴 개인정보의 파기 방법으로 가장 적절한 것은?

① 일반 쓰레기와 함께 배출한다 ② 분쇄나 소각 등 복원이 어려운 방법으로 처리한다 ③ 책상 위에 보관하다가 필요시 폐기한다 ④ 파기 방법은 자유롭게 선택해도 무방하다

정답: ②

Q24. 개인정보처리시스템에서의 접근 권한 관리에 대한 설명으로 옳지 않은 것은?

① 업무에 필요한 최소한의 권한만 부여한다 ② 퇴직자의 계정은 즉시 삭제하거나 차단해야 한다 ③ 권한은 한 번 부여하면 계속 유지하는 것이 효율적이다 ④ 권한 부여 및 변경 내역을 기록·관리해야 한다

정답: ③ — 업무 변경이나 퇴직 등에 따라 권한도 즉시 재검토·조정되어야 합니다.

개인정보 유출 대응

Q25. 개인정보 유출 사고 인지 시 가장 먼저 취해야 할 조치로 가장 적절한 것은?

① 사고 원인을 완벽히 규명한 뒤에만 조치를 시작한다 ② 추가 피해를 막기 위한 차단 등 긴급 조치를 우선 시행한다 ③ 외부에 알리지 않고 조용히 종료한다 ④ 일정 기간 경과 후 보고 여부를 결정한다

정답: ②

Q26. 개인정보 유출 시 신고 및 통지 의무에 대한 설명으로 옳은 것은?

① 어떠한 경우에도 외부 신고 의무는 없다 ② 일정 요건에 해당하면 정보주체에게 알리고 관계 기관에 신고해야 한다 ③ 내부적으로 처리하면 외부 통지는 항상 면제된다 ④ 유출 규모와 관계없이 신고 의무는 동일하지 않다

정답: ②

Q27. 개인정보 유출 신고를 미루는 것에 대한 설명으로 가장 적절한 것은?

① 원인 조사가 끝날 때까지 신고를 미루는 것이 바람직하다 ② 정해진 절차와 기한 내에 신속히 신고하는 것이 원칙이다 ③ 신고 시점은 담당자 개인의 판단에 전적으로 맡긴다 ④ 신고는 한 달 이상 지난 뒤에 해도 무방하다

정답: ②

Q28. 개인정보 유출 사고 발생 시 정보주체에게 알려야 할 사항으로 보기 어려운 것은?

① 유출된 개인정보의 항목 ② 유출 시점과 경위 ③ 정보주체가 취할 수 있는 대응 방법 ④ 사고를 일으킨 직원의 개인 신상 정보

정답: ④

일상적 보안 준수사항

Q29. 개인정보가 담긴 파일의 외부 반출에 대한 설명으로 옳은 것은?

① 업무 효율을 위해 개인 USB로 자유롭게 옮겨도 된다 ② 정해진 보안 절차를 거치지 않은 외부 반출은 지양해야 한다 ③ 외부 반출은 어떠한 경우에도 전면 금지된다 ④ 개인 메일로 전송하는 것이 가장 안전한 방법이다

정답: ②

Q30. 개인정보처리시스템 계정 관리에 대한 설명으로 옳지 않은 것은?

① 계정과 비밀번호는 개인별로 관리해야 한다 ② 동료와 계정을 공유해 업무 편의를 높이는 것이 바람직하다 ③ 비밀번호는 주기적으로 변경하는 것이 권장된다 ④ 퇴직자나 업무 변경자의 계정은 즉시 정리해야 한다

정답: ②

Q31. 자리를 비울 때의 개인정보 보호 행동으로 가장 적절한 것은?

① 화면에 개인정보가 노출된 상태로 자유롭게 자리를 비운다 ② 화면 잠금을 설정하거나 로그아웃 후 자리를 비운다 ③ 문서를 책상 위에 그대로 펼쳐두어도 무방하다 ④ 보안 절차는 업무 효율을 위해 생략해도 된다

정답: ②

Q32. 개인정보가 담긴 문서의 책상 위 관리에 대한 설명으로 가장 적절한 것은?

① 보안과 무관하므로 자유롭게 둔다 ② 사용하지 않을 때는 보관함에 넣거나 안전하게 관리한다 ③ 누구나 볼 수 있도록 게시하는 것이 효율적이다 ④ 문서 관리 규정은 개인정보와 무관하다

정답: ②

Q33. 이메일로 개인정보를 송수신할 때 주의사항으로 가장 적절한 것은?

① 수신자를 확인하지 않고 빠르게 전송하는 것이 우선이다 ② 수신자를 정확히 확인하고 필요한 경우 암호화 등 보호조치를 취한다 ③ 개인정보가 포함된 메일은 제목에 내용을 모두 적어야 한다 ④ 참조(CC)에 다수의 외부인을 포함해도 무방하다

정답: ②

사업장 및 담당자의 책임

Q34. 개인정보보호책임자의 역할로 적절하지 않은 것은?

① 개인정보 처리에 관한 업무를 총괄한다 ② 개인정보 침해 사고 발생 시 대응을 지휘한다 ③ 개인정보 관련 사항을 독단적으로 결정하고 기록을 남기지 않는다 ④ 개인정보 보호 교육 계획을 수립하고 관리한다

정답: ③

Q35. 개인정보 처리방침에 대한 설명으로 가장 적절한 것은?

① 사업장 내부 직원만 열람할 수 있는 비공개 문서이다 ② 정보주체가 쉽게 확인할 수 있도록 공개해야 하는 문서이다 ③ 한 번 작성하면 변경할 필요가 없다 ④ 법적으로 작성 의무가 없는 참고 문서이다

정답: ②

Q36. 개인정보 영향평가에 대한 설명으로 가장 적절한 것은?

① 개인정보 처리가 미치는 영향을 사전에 분석하는 절차이다 ② 모든 기업과 무관한 절차이다 ③ 사고가 발생한 이후에만 진행하는 절차이다 ④ 개인정보와 무관한 일반 보안 점검을 의미한다

정답: ①

종합 점검

Q37. 개인정보보호교육의 목적으로 가장 적절한 것은?

① 형식적인 법적 의무를 채우기 위한 절차에 불과하다 ② 개인정보취급자가 안전한 처리 방법을 숙지해 침해사고를 예방하기 위함이다 ③ 특정 부서의 업무를 늘리기 위한 절차이다 ④ 정보주체의 권리를 제한하기 위한 절차이다

정답: ②

Q38. 개인정보보호교육 평가에서 자주 나오는 함정 표현의 공통점으로 가장 적절한 것은?

① 항상 구체적인 숫자가 정답이다 ② “자유롭게”, “계속”, “할 필요 없다”처럼 절차나 원칙을 생략하는 표현이 자주 함정이다 ③ 가장 짧은 선택지가 항상 정답이다 ④ 가장 긴 선택지가 항상 오답이다

정답: ②

Q39. 개인정보보호교육 이수와 관련한 설명으로 가장 적절한 것은?

① 평가에 불합격하면 재응시 기회가 전혀 없는 경우가 많다 ② 일정 점수 이상을 받으면 수료로 인정되어 이수증이 발급된다 ③ 이수증 발급 여부는 확인할 필요가 없다 ④ 평가 점수는 인사고과에 항상 직접 반영된다

정답: ②

Q40. 개인정보보호교육에서 가장 강조되는 핵심 가치로 가장 적절한 것은?

① 정보 활용의 자유로운 확대 ② 정보주체의 권리 보호와 안전한 개인정보 처리 ③ 업무 처리 속도의 극대화 ④ 데이터 수집량의 최대화

정답: ②

마무리

평가를 마치셨다면 마이페이지나 수료 확인 메뉴에서 이수증이 정상적으로 발급되었는지 확인해보시길 권장합니다. 정확한 사업장별 절차나 세부 기준은 소속 회사의 개인정보보호책임자나 개인정보보호위원회 개인정보 배움터(edu.privacy.go.kr)를 통해 다시 한번 확인하시는 것이 가장 정확합니다.

같은 시리즈로 성희롱예방교육, 장애인 인식개선교육 정리 글도 함께 준비했으니, 이번 시즌 의무교육을 한 번에 정리하고 싶으신 분들은 참고해보세요.