개인정보보호교육 대상 기준과 직무별 판단방법 쉽게 정리

2026-10-05 pick 정부 개인정보 개인정보보호교육 대상

미리결론
1 개인정보보호교육 대상은 개인정보취급자가 기준
2 전 직원 교육이 무조건 법정 기준은 아니다
3 직무별로 개인정보보호교육 대상을 판단하는 방법
4 파견근로자와 시간제근로자도 대상이 될 수 있다
5 신규입사자·휴직자·퇴직자는 어떻게 관리할까
6 인 미만 사업장도 직원 수만으로 제외하지 않는다
7 교육대상 명단은 접근권한과 함께 관리한다
8 개인정보보호교육 대상 자주 묻는 질문
9 공식 기준으로 대상자를 마지막 점검하기
결론

개인정보보호교육 대상은 회사에 재직한다는 이유만으로 자동 결정되는 것이 아니라, 개인정보처리자의 지휘·감독을 받아 실제로 개인정보를 처리하는 개인정보취급자인지를 기준으로 판단하는 것이 핵심입니다. 임직원뿐 아니라 파견근로자와 시간제근로자도 업무에서 개인정보를 처리한다면 대상이 될 수 있습니다.

반대로 개인정보를 전혀 다루지 않는 직원을 법이 일률적으로 교육대상이라고 정한 것은 아닙니다. 부서명이나 고용형태보다 실제 열람·입력·수정·전송·보관·삭제 같은 개인정보 처리업무와 시스템 접근권한을 확인하는 것이 중요합니다.

이 글에서는 개인정보보호교육 대상을 개인정보취급자 정의부터 직무별 예시, 신규입사자·휴직자·외부인력 판단, 대상자 명단과 권한 관리까지 실무 순서대로 정리합니다.

개인정보보호교육 개인정보배움터 개인정보보호교육 대상 개인정보보호교육 온라인 개인정보보호교육 자체교육

◆ 개인정보보호교육 대상은 개인정보취급자가 기준

개인정보 보호법 제28조는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 임직원, 파견근로자, 시간제근로자 등을 개인정보취급자로 정의합니다. 개인정보처리자는 이 범위를 최소한으로 제한하고 적절하게 관리·감독해야 하며, 개인정보취급자에게 정기적으로 필요한 교육을 실시해야 합니다.

따라서 교육대상을 정할 때 가장 먼저 확인할 것은 근로계약 형태가 아니라 실제 업무입니다. 고객 이름과 연락처를 조회하는 상담직원, 직원 인사정보를 다루는 인사담당자, 주문정보를 처리하는 물류담당자, 개인정보처리시스템에 접근하는 개발·운영 담당자처럼 업무상 개인정보를 처리하는 사람이 대표적입니다.

반대로 같은 회사에 근무하더라도 개인정보를 조회하거나 처리할 권한이 없고 실제 업무에서도 개인정보를 다루지 않는 사람이라면 개인정보취급자 해당 여부를 다시 살펴볼 수 있습니다.

판단 기준	확인 내용	교육대상 판단
실제 업무	개인정보를 열람·입력·수정하는가	취급하면 대상 가능성 높음
시스템 권한	개인정보처리시스템 접근권한이 있는가	권한 범위 확인
문서 취급	신청서·인사서류 등을 다루는가	오프라인 처리도 포함
고용형태	정규직·파견·시간제 여부	형태보다 실제 처리업무가 중요

◆ 전 직원 교육이 무조건 법정 기준은 아니다

검색 결과에서는 개인정보 보호 교육을 모든 직원이 반드시 받아야 하는 법정의무교육이라고 단순하게 설명하는 글이 적지 않습니다. 하지만 개인정보 보호법 제28조의 직접적인 교육대상은 개인정보취급자입니다.

회사가 내부 보안문화 강화 차원에서 전 직원을 대상으로 교육하는 것은 가능합니다. 그러나 법에서 모든 재직자에게 동일한 횟수와 내용으로 반드시 교육하도록 정했다고 이해하면 실제 법 조문보다 범위를 넓혀 설명하게 됩니다.

실무에서는 전사 공통교육과 개인정보취급자 전문교육을 나누는 방법도 사용할 수 있습니다. 전 직원에게는 피싱·화면잠금·문서관리 같은 기본 보안수칙을 안내하고, 개인정보취급자에게는 수집·이용·제공·파기, 접근권한, 유출 대응처럼 업무와 직접 연결된 교육을 추가하는 방식입니다.

◆ 직무별로 개인정보보호교육 대상을 판단하는 방법

부서 이름만으로 대상 여부를 정하면 누락이 생길 수 있습니다. 예를 들어 마케팅 부서라도 고객 명단이나 이벤트 신청자 정보를 직접 다루면 개인정보취급자가 될 수 있고, 같은 부서 안에서도 개인정보 접근권한이 없는 직원은 업무가 다를 수 있습니다.

인사·급여 담당자는 임직원의 주민등록번호, 계좌정보, 급여정보 등 민감한 정보를 다루는 경우가 많습니다. 고객센터는 이름·연락처·문의내역을 조회하고, 쇼핑몰 운영자는 주문·배송정보를 처리합니다. IT·개발부서는 운영 데이터베이스나 관리자 화면에 접근할 수 있는지를 확인해야 합니다.

외부 영업이나 현장업무에서도 신청서·명부·사진·연락처를 수집하거나 보관한다면 개인정보 처리업무에 포함될 수 있습니다.

직무 예시	주요 개인정보 처리	확인 포인트
인사·급여	직원 인사·급여정보	고유식별정보 포함 여부
고객상담	회원정보·상담내역	조회·본인확인 권한
영업·마케팅	고객·신청자 명단	수집·전송·제공 여부
IT·개발	DB·로그·관리자 화면	운영데이터 접근 여부
물류·배송	수취인·주소·연락처	출력물·시스템 처리 여부

◆ 파견근로자와 시간제근로자도 대상이 될 수 있다

개인정보 보호법은 개인정보취급자의 예로 임직원뿐 아니라 파견근로자와 시간제근로자도 명시합니다. 따라서 아르바이트, 계약직, 파견직이라는 이유만으로 교육대상에서 자동 제외하면 안 됩니다.

고객 주문을 접수하는 시간제근로자가 고객 이름과 연락처를 조회하거나, 파견직원이 인사·행정 업무를 하면서 개인정보 파일을 다룬다면 실제 처리업무를 기준으로 판단해야 합니다.

반대로 외부업체 직원이라고 해서 모두 개인정보취급자가 되는 것은 아닙니다. 개인정보처리자의 지휘·감독 관계와 실제 처리업무, 위탁관계, 접근권한을 함께 살펴봐야 합니다.

◆ 신규입사자·휴직자·퇴직자는 어떻게 관리할까

신규입사자는 개인정보를 처리하는 업무에 배치되기 전에 기본적인 처리원칙과 보안수칙을 교육하는 편이 안전합니다. 계정을 발급한 뒤 오랜 시간이 지나 교육하는 것보다 실제 접근권한이 생기는 시점과 교육을 연결하는 것이 관리하기 쉽습니다.

휴직자는 휴직 중 실제 개인정보 처리업무와 시스템 접근권한이 중지되어 있는지 확인하는 것이 중요합니다. 복직 후 다시 개인정보취급 업무를 맡는다면 변경된 정책과 시스템을 포함해 필요한 교육을 보완할 수 있습니다.

퇴직자나 업무가 변경된 직원은 교육대상 명단뿐 아니라 개인정보처리시스템의 권한도 함께 정리해야 합니다. 교육대상 명단에는 없는데 관리자 권한이 남아 있거나, 반대로 개인정보를 처리하는 직원이 명단에서 빠져 있다면 관리체계를 다시 점검할 필요가 있습니다.

◆ 5인 미만 사업장도 직원 수만으로 제외하지 않는다

개인정보보호교육 대상을 판단할 때 상시근로자 수 5명 기준을 산업안전보건교육과 혼동하기 쉽습니다. 개인정보 보호법 제28조는 개인정보취급자에 대한 교육을 사업장 규모 5명을 기준으로 나누지 않습니다.

고용노동부 1350 상담에서도 개인정보보호교육은 개인정보를 처리하는 자를 기준으로 안내하고 있습니다. 따라서 소규모 사업장이라도 고객·직원·회원 개인정보를 처리하는 사람이 있다면 개인정보취급자 교육의무를 별도로 확인해야 합니다.

다만 개인정보보호교육의 대상 판단과 다른 법정의무교육의 적용범위는 서로 다릅니다. 사업장 규모만 보고 여러 교육을 한꺼번에 동일하게 판단하지 않는 것이 좋습니다.

◆ 교육대상 명단은 접근권한과 함께 관리한다

개인정보보호교육 대상을 한 번 정하고 끝내기보다 인사이동과 시스템 권한 변경에 맞춰 갱신하는 것이 좋습니다. 개인정보취급자 범위는 실제 개인정보 처리업무가 바뀌면 함께 달라질 수 있기 때문입니다.

대상자 명단에는 부서, 직무, 처리하는 개인정보, 접근 시스템, 교육일과 수료 여부 등을 정리할 수 있습니다. 개인정보처리시스템 권한대장과 대조하면 교육 누락이나 과도한 접근권한을 찾는 데 도움이 됩니다.

교육 후에는 참석자 명단이나 수료기록, 교육자료, 교육일시와 방법을 확인할 수 있는 기록을 남기는 것이 좋습니다. 자체교육을 했다면 교육일지와 사용한 자료를 함께 보관할 수 있습니다.

관리 항목	확인 내용	갱신 시점
대상자 명단	부서·직무·취급 여부	입사·이동·복직
접근권한	시스템·파일 접근 범위	업무 변경·퇴직
교육기록	일시·과정·수료 여부	교육 실시 직후
보완교육	미수료·위험업무 대상	점검·사고 발생 후